1(12)
Securitas Sverige Aktiebolag
Diarienummer:
IMY-2025-10429 Beslut efter tillsyn enligt
dataskyddsförordningen – Securitas
Datum:
2026-06-16
Sverige AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten (IMY) konstaterar att Securitas Sverige AB
(organisationsnummer är 556108-6082) under tiden den 2 till 18 december 2024 och
den 9 april till 31 maj 2025 har behandlat personuppgifter i strid med artikel 6.1 i
dataskyddsförordningen1 genom att inte ha rättslig grund för behandlingen av
personuppgifter som skett genom användning av bevakningskameror inuti bolagets
bilar.
IMY ger Securitas Sverige AB en reprimand med stöd av artikel 58.2 b i
dataskyddsförordningen för överträdelsen av artikel 6.1.
Redogörelse för tillsynsärendet
Bakgrund
IMY har via ett antal klagomål fått information om att Securitas Sverige AB
(Securitas/bolaget) i sina rondbilar installerat kameror som filmar de anställda under
deras arbetspass. Detta ska bland annat ha skett i Örebro, Skövde, Märsta och
Helsingborg.
IMY har inlett tillsyn mot Securitas i syfte att utreda om den personuppgiftsbehandling
som detta innebär har haft stöd i en rättslig grund enligt artikel 6.1 i
dataskyddsförordningen, om information har lämnats till dem vars personuppgifter
behandlas samt om säkerhetsnivån varit lämplig vid förvaring av personuppgifterna.
Vad Securitas har uppgett
Postadress: Securitas har i huvudsak uppgett följande.
Box 8114
104 20 Stockholm
Bevakningens omfattning
Webbplats: Securitas har inte aktiverade inåtriktade kameror i sina arbetsbilar i dagsläget, men
www.imy.se genomförde ett pilotprojekt under december 2024 till juni 2025. Projektet bedrevs i
E-post:
[email protected] 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
Telefon: avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
08-657 61 00 direktiv 95/46/EG (allmän dataskyddsförordning).
Page 1 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 2(12)
Datum: 2026-06-16
Skövdeområdet, Örebro, Helsingborg och Märsta.2 I dagsläget finns inga beslut om att
återinföra inspelning med inåtriktade kameror i Securitas bilar.
Under pilotprojektet var dels inspelningsfunktionen för inåtriktade kameror aktiverad för
vissa fordon under en viss tid, dels var teknik för realtidsdetektering aktiverad i vissa
fordon under två tidsperioder. Kamerorna var placerade under backspegeln i framrutan
och täckte fordonshytten, vilket innebar att de fångade förarens beteende under
körning.
Inspelningsfunktionen var aktiverad samtidigt i cirka 53 fordon, i genomsnitt under 10,7
dagar per bil under en period den 2–16 december 2024. Under denna tid använde 119
anställda förare bilarna för minst en resa. Kamerabevakningen var aktiv när bilen var i
drift, det vill säga när bilen började röra på sig och stängdes av en tid efter att bilen
stannat.
Tekniken för realtidsdetektering var successivt aktiverad under den 2–18 december
2024 i sammanlagt 53 fordon, samt den 9 april–31 maj 2025 i totalt 42 fordon.
Tekniken avsåg att i realtid detektera vissa händelser genom bildanalys. Dessa var om
föraren rökte (denna stängdes dock av den 11 april 2025), om föraren använde
mobiltelefon, om föraren var ouppmärksam, om föraren saknade säkerhetsbälte samt
om kameran var täckt. Vid en sådan händelse visades först en varningsikon på en
display i bilen, och om beteendet inte korrigerades inom 10–20 sekunder visades
ytterligare en varning och händelsen registrerades.
Teknisk säkerhet och hantering av inspelat material
Under perioden 2–16 december 2024 när inspelningsfunktionen var aktiverad
spelades material in på lokala minneskort i bilarna, där de senaste 100 timmarna
lagrades i varje bil innan äldre inspelningar skrevs över. Vid särskilda händelser, som
höga g-krafter eller andra riskfyllda beteenden, sparades korta filmklipp eller stillbilder i
90 dagar. Åtkomst till inspelningarna var strikt reglerad och skyddad genom flera
säkerhetsåtgärder. Minneskorten var monterade i en enhet bakom ett fysiskt lås i bilen
och åtkomst till den fulla inspelningssekvensen tilldelades endast tekniska installatörer.
Filmklipp som sparades vid registrerade händelser överfördes krypterat till en server
och lagrades även i krypterad form. Åtkomst till filmklippen var begränsad.
Syfte med kamerabevakningen
Syftet med kamerabevakningen var 1. att kunna återkoppla till registrerade om
riskfyllda förarbeteenden och efterleva arbetsmiljökrav, 2. att minimera person-
/fordonsskador samt 3. att utreda ansvars- och försäkringsfrågor kring olyckor.
Behandlingen skedde inte i syfte att detaljövervaka förarens dagliga generella
arbetsutförande, utan avsåg just fordonens framförande och det övergripande syftet
var kopplat till Securitas skadeförebyggande arbeten och bolagets ambition att
förhindra och minska skador.
Rättslig grund
Securitas har uppgett följande bestämmelser om rättslig grund enligt
dataskyddsförordningen till stöd för den aktuella kamerabevakningen.
2 Därutöver har inspelningsfunktionen för kameran i den tekniska projektledarens bil varit aktiv i Stockholm under en
period.
Page 2 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 3(12)
Datum: 2026-06-16
Rättslig förpliktelse, artikel 6.1 c
Securitas har en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen som
arbetsgivare och som företag avseende bolagets ansvar för anställdas arbetsmiljö. Det
framgår av 3 kap. 2 § arbetsmiljölagen (1977:1160) som anger att arbetsgivaren ska
vidta alla åtgärder som behövs för att förebygga att arbetstagaren utsätts för ohälsa
och olycksfall och att undanröja risker samt beakta särskilda risker som kan följa av att
arbetstagaren arbetar ensam, samt 3 kap. 2 a § samma lag där det framgår att
arbetsgivaren systematiskt ska planera, leda och kontrollera verksamheten på ett sätt
som leder till att arbetsmiljön uppfyller föreskrivna krav på en god arbetsmiljö. Det
avser även reglerna i 11–12 §§ Arbetsmiljöverkets föreskrifter och allmänna råd (AFS
2023:1) om systematiskt arbetsmiljöarbete3 gällande undersökning och
riskbedömningar.
I ovan ingår att Securitas som arbetsgivare har ett brett ansvar sett till arbetstagarnas
säkerhet, där lösningen som helhet utvärderades under pilotprojektet som ett led i att
förebygga ohälsa och olycksfall samt att utreda sådana händelser och beakta risker. I
det bör beaktas att arbetsmiljö med fordon i trafik är förknippat med höga risker särskilt
inom ramen för Securitas verksamhet.
Berättigat intresse, artikel 6.1 f
Securitas har vidare uppgett att kamerabevakningen varit nödvändig för bolagets
berättigade intresse enligt artikel 6.1 f i dataskyddsförordningen, dvs. att minimera
skador och säkerställa god fordonsekonomi genom uppföljning kring
försäkringsutredning och reparationskostnader. Behandlingen är också nödvändig för
Securitas berättigade intresse att hantera incidentrapporter och utreda påstådda
tjänstefel, missförhållanden, bristande efterlevnad av Securitas tillämpliga policyer
samt att skydda sig mot tvister mot försäkringsbolag.
Securitas är ett stort publikt säkerhetsföretag inom en samhällsviktig sektor med ett
särskilt förtroende och krav på säkerhet, tillförlitlighet och ansvarstagande. Bolaget
agerar i särskilt riskutsatta miljöer med högre grad av stress än i många andra företag.
De registrerade arbetar med utförande av uppdrag inom säkerhetsbranschen vilket
motiverar högre krav på såväl behandling, säkerhetsrutiner, skademinimeringsinsatser
och uppföljning. Behandlingen har varit rimlig, förutsebar, informerad och medfört
tydliga fördelar även för de registrerade; bland annat genom direkt feedback om
osäker körning och skapandet av en säkrare arbetsmiljö. Det har även funnits fördelar
för allmänheten i form av minskning av antalet olyckor och skador med fordon, och för
Securitas vad gäller minskning av skador och möjlighet att följa upp skador. Utan
behandlingen är möjligheterna att upptäcka, varna och följa upp framförandet av
fordon avsevärt begränsade vilket förhindrar uppfyllandet av ändamålen. Lämpliga
säkerhetsåtgärder har därtill funnits på plats.
Behandlingen bedömdes som nödvändig då det utan tekniken inte var möjligt att ge
tydlig och direkt feedback till förarna om osäkra körbeteenden och därmed kunna
uppnå syftena, och inspelat material är avgörande underlag för att kunna utreda och
följa upp händelser vid olyckor inklusive hantering av försäkringsärenden och
försäkringstvister. Inspelningarna var begränsade genom att inte innefatta ljud och
genererade filmklipp var förbestämda till ett fåtal fördefinierade händelser som
bedömts relevanta. De sparade filmklippen lagrades även under kortare tid.
3 Arbetsmiljöverkets föreskrifter och allmänna råd (AFS 2023:1) om systematiskt arbetsmiljöarbete – grundläggande
skyldigheter för dig med arbetsgivaransvar.
Page 3 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 4(12)
Datum: 2026-06-16
Securitas har under flera år innan den aktuella kamerabevakningen provat andra
alternativa åtgärder men utan avsedd effekt. Det har bland annat inkluderat
genomförandet av olika informationsinsatser i form av meddelande, filmer, skrivna
regler m.m., med varierande men otillräckligt resultat. Flertalet alternativa lösningar
hade prövats över en längre tid, inklusive sensorbaserade system, men bedömdes inte
vara tillräckliga eller till fullo kunna uppfylla syftena. Behandlingen i fråga har skett
inom ramen för ett begränsat pilotprojekt för att utvärdera effekten och visat sig utgöra
en effektiv lösning sett utifrån ändamålen.
En avvägning gjordes mellan Securitas behov av bevakningen och de anställdas
integritet. Vid avvägningen mot de registrerades intressen beaktades deras intresse av
att inte bli bevakade under arbetstid. De huvudsakliga riskerna bedömdes vara brister i
konfidentialitet och skadat anseende om filmklipp fick större spridning än avsett.
Riskerna bedömdes dock inte som höga och riskminimerande åtgärder hade vidtagits
för att minska risken för obehörigt röjande.
Det beaktades även att behandlingen varit transparent genom informationsgivning i
flera led, inklusive i anslutning till bilen. Vidare beaktades att behandlingen syftade till
att förbättra säkerheten, minska risken för person- och sakskador samt underlätta
hanteringen av försäkringsärenden, vilket även kunde gynna de registrerade.
Bolaget bedömde att behandlingen var nödvändig för att uppnå syftena, särskilt
eftersom alternativa åtgärder inte hade gett tillräcklig effekt. Pilotprojektet utformades
därför för att utvärdera en mer riktad lösning, där förarna fick direkt feedback om sitt
körbeteende.
Omfattningen av IMY:s prövning i ärendet
IMY har avgränsat prövningen i ärendet dels till frågan om Securitas haft rättslig grund
enligt artikel 6.1 i dataskyddsförordningen för den kamerabevakning som skett
invändigt i bolagets bilar, och dels frågan om säkerhetsnivån har varit lämplig vid
förvaringen av personuppgifterna enligt artikel 32.1 i dataskyddsförordningen. IMY har
däremot inte att granskat den bevakning som påstås ha skett utanför Securitas bilar
eller om andra bestämmelser i dataskyddsförordningen varit uppfyllda.
Motivering av beslutet
Vilken lagstiftning gäller för aktuell kamerabevakning?
Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om
och i vilken utsträckning det är tillåtet att kamerabevaka regleras i
dataskyddsförordningen och kamerabevakningslagen (2018:1200). Mot bakgrund av
tillsynens omfattning aktualiseras dock inga bestämmelser i kamerabevakningslagen i
detta fall.
Dataskyddsförordningen ska enligt artikel 2.1 tillämpas på behandling av
personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i
dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller
identifierbar fysisk person är en personuppgift. Om en bevakningskamera filmar en
identifierbar person, eller någon annan personuppgift, sker en behandling av
personuppgifter och reglerna i dataskyddsförordningen måste följas.
Page 4 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 5(12)
Datum: 2026-06-16
IMY konstaterar att Securitas bevakningskameror filmat identifierbara personer och att
dataskyddsförordningens bestämmelser därmed gäller avseende aktuell
personuppgiftsbehandling.
IMY kommer inledningsvis ta ställning till om Securitas är personuppgiftsansvarig för
den aktuella behandlingen av personuppgifter. IMY prövar därefter om Securitas har
haft rättslig grund för behandlingen samt om bolaget haft tillräcklig säkerhet vid
lagringen av de personuppgifter de har behandlat, på det sätt som krävs enligt
dataskyddsförordningen.
Personuppgiftsansvar
Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en
fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som
ensamt eller tillsammans med andra bestämmer ändamålen och medlen för
behandlingen av personuppgifter.
Securitas har uppgett att bolaget är personuppgiftsansvarig för den
personuppgiftsbehandling som tillsynen gäller. Av utredningen har framkommit att
bolaget bestämt hur personuppgifterna ska behandlas och för vilka ändamål. IMY
bedömer därför att Securitas är personuppgiftsansvarig för den aktuella behandlingen
av personuppgifter.
Rättslig grund för behandlingen
För att den aktuella kamerabevakningen ska vara tillåten krävs att bestämmelserna i
dataskyddsförordningen följs. I enlighet med principen om ansvarsskyldighet i artikel
5.2 i dataskyddsförordningen är det den personuppgiftsansvarige som ansvarar för
och ska kunna visa att reglerna i dataskyddsförordningen följs, däribland att
behandlingen är laglig. Det innebär bland annat att Securitas måste ha stöd för sin
kamerabevakning i minst en av de rättsliga grunder som anges i artikel 6.1 i
dataskyddsförordningen.
Har Securitas haft rättslig grund för sin kamerabevakning enligt artikel 6.1 c i
dataskyddsförordningen?
Securitas har uppgett att en av de rättsliga grunder på vilken de stödjer sin
kamerabevakning är rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen.
Bolaget menar att det av bestämmelserna i 3 kap. 2–2 a §§ arbetsmiljölagen samt 11–
12 §§ i AFS 2023:1 framgår att det föreligger en sådan rättslig förpliktelse som avses i
artikel 6.1 c i dataskyddsförordningen.
Tillämpliga bestämmelser m.m.
Av artikel 6.1 c i dataskyddsförordningen framgår att behandlingen ska vara nödvändig
för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
Av artikel 6.3 i dataskyddsförordningen framgår att den grund för behandlingen som
avses i artikel 6.1 c ska fastställas i enlighet med unionsrätten eller en medlemsstats
nationella rätt som den personuppgiftsansvarige omfattas av.
Page 5 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 6(12)
Datum: 2026-06-16
Enligt 2 kap. 1 § dataskyddslagen (2018:218)4 får personuppgifter behandlas med stöd
av artikel 6.1 c i dataskyddsförordningen, om behandlingen är nödvändig för att den
personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag
eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av
lag eller annan författning.
En rättslig förpliktelse kan inte utgöra en rättslig grund för behandling av
personuppgifter om förpliktelsen är för svepande och ger den personuppgiftsansvarige
en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas.5 Vilken grad av tydlighet
och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av
personuppgifter ska anses vara nödvändig måste bedömas från fall till fall, utifrån
behandlingens och verksamhetens karaktär. En behandling av personuppgifter som
inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd
av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång kräver att den
rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.6
I 3 kap. 2–2 a §§ arbetsmiljölagen anges att arbetsgivaren ska vidta alla åtgärder som
behövs för att förebygga att arbetstagaren utsätts för ohälsa och olycksfall och att
undanröja risker samt beakta särskilda risker som kan följa av att arbetstagaren
arbetar ensam. Det framgår vidare att arbetsgivaren systematiskt ska planera, leda
och kontrollera verksamheten på ett sätt som leder till att arbetsmiljön uppfyller
föreskrivna krav på en god arbetsmiljö inklusive att utreda arbetsskador, fortlöpande
undersöka riskerna i verksamheten och vidta de åtgärder som föranleds av detta samt
dokumentera arbetsmiljön och arbeta med denna.
Enligt 11–12 §§ i AFS 2023:1 ska arbetsgivaren regelbundet undersöka
arbetsmiljöförhållandena, för att bedöma risker för ohälsa och olycksfall i arbetet. När
ändringar i verksamheten planeras, ska arbetsgivaren undersöka om ändringarna
medför risker för ohälsa eller olycksfall och bedöma dessa. Riskbedömningar ska alltid
dokumenteras skriftligt. Av dokumentationen ska det framgå vilka riskerna är, och om
de är allvarliga. Om någon arbetstagare råkar ut för ohälsa eller olycksfall i arbetet,
eller om något allvarligt tillbud inträffar i arbetet, ska arbetsgivaren utreda orsakerna så
att risker för ohälsa och olycksfall kan förebyggas.
IMY:s bedömning
IMY konstaterar att den skyldighet enligt 3 kap. 2–2 a §§ arbetsmiljölagen samt 11–12
§§ i AFS 2023:1 som Securitas åberopat är fastställd på det sätt som anges i
2 kap. 1 § dataskyddslagen.
IMY bedömer att den aktuella behandlingen varit av integritetskänsligt slag. Detta
eftersom den inneburit bevakning i realtid av anställda under den tid dessa kört sina
arbetsbilar under perioden 2–18 december 2024 samt mellan 9 april–31 maj 2025,
samt med inspelning mellan 2–16 december 2024. Bevakningen har omfattat anställda
på deras arbetsplats där de måste befinna sig under sitt arbetspass. De registrerade
har befunnit sig i en beroendeställning till sin arbetsgivare och har inte haft möjlighet
att undvika bevakningen när de kört sina fordon. Detta innebär att högre krav ställs på
den rättsliga förpliktelsens precisering.
4 Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.
5 Jfr SOU 2017:39 s. 114 f., skäl 41 till dataskyddsförordningen och Förvaltningsrätten i Stockholms dom 2020-06-17 i
mål nr 9379-19 och 9408-19.
6 Prop. 2017/18:105, Ny dataskyddslag, s. 51.
Page 6 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 7(12)
Datum: 2026-06-16
IMY anser att bestämmelserna i 3 kap. 2–2 a §§ arbetsmiljölagen samt 11–12 §§ i
AFS 2023:1 är allmänt hållna. IMY anser att bestämmelserna varken ensamt eller
tillsammans är tillräckligt tydliga och precisa för att göra intrånget förutsägbart. De
aktuella bestämmelserna kan därför inte ligga till grund för den integritetskänsliga
personuppgiftsbehandling som är aktuell i detta fall.
Den aktuella behandlingen kan därmed inte stödjas på artikel 6.1 c i
dataskyddsförordningen.
Har Securitas haft rättslig grund för sin kamerabevakning enligt artikel 6.1 f i
dataskyddsförordningen?
Securitas har även uppgett att de stödjer sin personuppgiftsbehandling på den rättsliga
grunden berättigat intresse i artikel 6.1 f i dataskyddsförordningen.
Tillämpliga bestämmelser m.m.
För att en behandling ska kunna stödjas på den rättsliga grunden berättigat intresse
(även kallad intresseavvägning) i artikel 6.1 f i dataskyddsförordningen krävs att tre
villkor är uppfyllda. För det första ska det finnas ett eller flera berättigade intressen för
den personuppgiftsansvarige eller tredje part. För det andra ska personuppgifts-
behandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje
krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger
tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse
(intresseavvägning).7
Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med
vare sig EU-rätt eller nationell rätt.8 Vidare ska intresset vara klart och tydligt
formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen
och inte är hypotetiskt.9 För att strävan efter att ett sådant berättigat intresse ska
kunna möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste
den personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsför-
ordningen.10
Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det
berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra
medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i
synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt
artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna.
Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset,
EU-domstolen har också angett att behandlingen måste vara strängt nödvändig.11
Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering
enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som
behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är
7 Se bland annat EU-domstolens dom av den 4 maj 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punkt 28,
EU-domstolens dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18,
EU:C:2019:1064, punkt 40 och EU-domstolens dom av den 4 juli 2023, Meta Platforms m.fl., C-252/21,
EU:C:2023:537, punkt 106.
8 Se EU-domstolens dom den 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857,
punkt 49.
9 Se Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, punkt 44.
10 Se Koninklijke Nederlandse Lawn Tennisbond, C-621/22, punkt 50.
11 Se Meta Platforms m.fl., C-252/21, punkt 126 och EDPB:s riktlinjer 1/2024, punkterna 28 och 29. Observera att
riktlinjerna inte har blivit slutligt antagna av EDPB vid tidpunkten för det här beslutet.
Page 7 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 8(12)
Datum: 2026-06-16
nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de
senare behandlas.12
Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av
de konkreta omständigheterna i det aktuella fallet.13 Den personuppgiftsansvarige ska
vid avvägningen identifiera och beakta den registrerades intressen samt rättigheter
och friheter, behandlingens påverkan på den registrerade och huruvida den
registrerade rimligen kan förvänta sig behandling för det aktuella ändamålet. Vid
bedömningen av behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna
som behandlas, om det rör sig om känsliga personuppgifter, behandlingens
sammanhang och övriga konsekvenser. Utifrån dessa omständigheter ska en
avvägning göras av motstående rättigheter och intressen, som ska inkludera
möjligheten till ytterligare förmildrande åtgärder som går utöver vad den
personuppgiftsansvarige är skyldig att göra för att följa reglerna i
dataskyddsförordningen.14
IMY:s bedömning
Berättigat intresse
Securitas har uppgett att de har haft följande berättigade intressen för den behandling
de har utfört. Dels att säkerställa god fordonsekonomi genom uppföljning kring
försäkringsutredning och reparationskostnader. Dels att hantera incidentrapporter och
utreda påstådda tjänstefel, missförhållanden och bristande efterlevnad av Securitas
tillämpliga policyer samt att skydda sig mot tvister mot försäkringsbolag.
IMY bedömer att bolagets intressen av behandlingen har varit lagenliga, verkliga och
faktiska. IMY konstaterar därför att Securitas har haft ett berättigat intresse i den
mening som avses i artikel 6.1 f i dataskyddsförordningen.
Nödvändighet och intresseavvägning
För att behandlingen ska vara laglig krävs det även att den är nödvändig för att
tillgodose det berättigade intresset. Nödvändighetsrekvisitet ska prövas tillsammans
med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, enligt
vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i
förhållande till de ändamål för vilka de behandlas.
Bolaget har angett att de har prövat alternativa åtgärder men att dessa inte gett
önskad effekt. Vidare har behandlingen genomförts inom ramen för ett begränsat
pilotprojekt för att utvärdera effekten av åtgärden. Pilotprojektet har visat att åtgärden
varit verkningsfull för att uppnå de angivna ändamålen. Enligt bolaget skulle
möjligheterna att upptäcka, varna och följa upp framförandet av fordon varit avsevärt
begränsade utan denna behandling.
Vad gäller det tredje villkoret ska vid intresseavvägningen bolagets berättigade
intresse vägas mot de registrerades intressen och grundläggande rättigheter och
friheter, framför allt rätten till respekt för privatlivet och rätten till skydd för
personuppgifter i det aktuella fallet.
12 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, punkterna 47 och 48 och Meta Platforms m.fl.,
C-252/21, punkterna 108 och 109.
13 Se bland annat Asociaţia de Proprietari bloc M5A-ScaraA, punkterna 52–58.
14 Se EDPB:s riktlinjer 1/2024, punkterna 32–34.
Page 8 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 9(12)
Datum: 2026-06-16
För att en personuppgiftsbehandling med stöd av berättigat intresse ska vara laglig
krävs att den registrerades intressen eller grundläggande rättigheter och friheter inte
väger tyngre än bolagets berättigade intresse. I arbetslivet, där arbetstagaren befinner
sig i en beroendeställning gentemot arbetsgivaren, ställs därmed höga krav på att
arbetsgivaren kan visa att behandlingen är proportionerlig och att arbetsgivarens
intresse väger tyngre än arbetstagarnas intresse av skydd för sin personliga integritet.
Kamerabevakning av arbetsplatser kan medföra särskilda risker för de anställdas
personliga integritet. Många anställda måste vistas regelbundet på platser som
kamerabevakas av arbetsgivaren och kan samtidigt känna olust inför att invända mot
kamerabevakningen eller påtala brister på grund av det särskilda beroendeförhållande
som anställningsförhållandet innebär.15
Som nämnts ovan har IMY konstaterat att den aktuella kamerabevakningen varit av
integritetskänsligt slag. Detta eftersom den inneburit bevakning i realtid av anställda
under hela den tid dessa kört sina arbetsbilar under perioden 2–18 december 2024
samt 9 april–31 maj 2025, dessutom bevakning med inspelning den 2–16 december
2024. Bevakningen som har utförts av bolaget har omfattat anställda på deras
arbetsplats där de måste befinna sig under sitt arbetspass. Bevakningen har därmed
skett kontinuerligt under arbetspasset och de anställda har i det aktuella fallet haft
begränsade möjligheter att undvika behandlingen eftersom de behövt befinna sig i
fordonet för att kunna utföra sina arbetsuppgifter. De har därmed inte haft någon reell
möjlighet att välja bort bevakningen eller att undandra sig behandlingen under
arbetstid. IMY bedömer att detta utgjort en systematisk bevakning av arbetstagare och
att behandlingen är av integritetskänslig karaktär.
Vid bedömningen beaktar IMY att den aktuella bevakningen har inneburit att en
kamera varit riktad mot den anställde och registrerat denne under hela tiden fordonet
framförts. Bevakningen har skett i ett begränsat utrymme där den anställde under lång
tid befunnit sig ensam framför kameran. Kamerans upptagningsområde har varit
framsätet av bilen. Den anställde har därmed varit i fokus och bevakningen har avsett
den anställdes beteende och agerande i tjänsten. Systemet som detekterade vissa
händelser genom bildanalys varnade inte bara föraren utan vissa varningar
förmedlades även till arbetsgivaren. Kontinuerlig registrering riskerar att skapa en
känsla av ständig kontroll och kan påverka den personliga integriteten i betydande
grad. Att kameran under en period även har spelat in den registrerade höjer
integritetsintrånget.
IMY bedömer att den behandling som har skett har inneburit systematisk övervakning
av anställda, som inte kunnat undkomma bevakningen, under stora delar av deras
arbetsdag och därmed har varit av ett integritetskänsligt slag. Beroendeförhållandet
mellan den anställde och arbetsgivaren gör att kraven skärps och att arbetsgivare
måste vara restriktiva vid sådan behandling som skett i nu aktuellt fall.
IMY anser att utredningen ger visst stöd för att den aktuella behandlingen kan anses
ha varit nödvändig för ändamålen. För detta talar särskilt att bolaget har vidtagit
alternativa åtgärder men att dessa har bedömts vara otillräckliga. Även om
behandlingen kan ha varit nödvändig för att uppnå de berättade intressena finner dock
IMY vid en sammantagen bedömning att bolagets intressen inte väger tyngre än de
anställdas rätt att inte bli föremål för sådan kontinuerlig kamerabevakning i arbetet. Det
är därmed inte visat att det tredje villkoret i artikel 6.1. f i dataskyddsförordningen är
15 Prop. 2017/18:231, Ny kamerabevakningslag, s.101.
Page 9 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 10(12)
Datum: 2026-06-16
uppfyllt. Den aktuella behandlingen kan därmed inte stödjas på artikel 6.1 f i
dataskyddsförordningen.
Mot bakgrund av att IMY inte anser att bevakningen har rättslig grund i
dataskyddsförordningen finner IMY inte anledning att bedöma om bolaget har
tillhandahållit den information till de registrerade som de är skyldiga att göra enligt
artikel 13 i dataskyddsförordningen.
Har Securitas haft tillräcklig säkerhet för de personuppgifter de
har behandlat?
Tillämpliga bestämmelser m.m.
I artikel 5.1 f i dataskyddsförordningen framgår att vid behandling av personuppgifter
ska de behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna,
inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller
skada genom olyckshändelse, med användning av lämpliga tekniska eller
organisatoriska åtgärder (integritet och konfidentialitet).
Av artikel 32.1 i dataskyddsförordningen framgår vidare att den
personuppgiftsansvarige ska med beaktande av den senaste utvecklingen,
genomförandekostnaderna och behandlingens art, omfattning, sammanhang och
ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska
personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder
för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.
IMY:s bedömning
Securitas har redogjort för hur hanteringen sett ut för det sparade
bevakningsmaterialet från bilarna samt hur länge materialet har sparats. Detta
inkluderar hanteringen av de minneskort där inspelat material sparats, samt tekniska
och organisatoriska åtgärder, t.ex. vilka som har haft tillgång till bevakningsmaterialet.
IMY finner vid en sammantagen bedömning av vad som framkommit i ärendet att
Securitas har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32.1
i dataskyddsförordningen för att säkerställa ett tillräckligt skydd för de personuppgifter
de har behandlat i samband med lagringen av bevakningsmaterialet. IMY finner inget
som tyder på att hanteringen av det lagrade materialet brutit mot de krav på lämplig
säkerhet som finns i artikel 32.1 i dataskyddsförordningen.
Sammanfattande bedömning
Sammanfattningsvis bedömer IMY att Securitas inte har kunnat grunda den aktuella
behandlingen av personuppgifter på varken artikel 6.1 c eller artikel 6.1 f i
dataskyddsförordningen. Det har inte heller framkommit att bolaget haft stöd för
behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i
dataskyddsförordningen. Securitas har därmed behandlat personuppgifter i strid med
artikel 6.1 i dataskyddsförordningen under tiden den 2 till 18 december 2024 och den 9
april till 31 maj 2025 i samband med användning av kameror inuti bolagets bilar.
IMY bedömer att Securitas har vidtagit lämpliga tekniska och organisatoriska åtgärder
enligt artikel 32.1 i dataskyddsförordningen för att säkerställa ett tillräckligt skydd för de
personuppgifter de har behandlat i samband med bevakningen.
Page 10 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 11(12)
Datum: 2026-06-16
Val av ingripande
Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har
befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 i
dataskyddsförordningen för överträdelser av artikel 6 i förordningen.
Beroende på omständigheterna i det enskilda fallet ska administrativa
sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel
58.2, som till exempel reprimand, förelägganden och förbud. Vidare framgår av artikel
83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska
påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre
överträdelse får IMY enligt vad som anges i skäl 148 istället för att påföra en
sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till
försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär,
svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.
IMY har bedömt att Securitas har saknat rättslig grund för den behandling av
personuppgifter som prövningen gäller. Vidare konstaterar IMY att den aktuella
kamerabevakningen har skett inom ramen för ett begränsat pilotprojekt vad gäller
antalet bilar som berörts av bevakningen och under en begränsad tidsperiod.
Behandlingen har avslutats och det har inte framkommit att personuppgifterna använts
för andra ändamål än de uppgivna. Det har inte heller framkommit några tidigare
relevanta överträdelser från bolagets sida.
Överträdelsen avser samtidigt en integritetskänslig behandling i arbetslivet, vilket är en
omständighet som talar i skärpande riktning. Lagstridig övervakning av anställda som
sker upprepat eller annars på ett systematiskt sätt bör normalt motivera en kännbar
sanktionsavgift. I detta fall rör det sig dock om ett pilotprojekt där behandlingen pågått
under en begränsad tid. Vid en samlad bedömning anser IMY därför att det är fråga
om en sådan mindre överträdelse som avses i skäl 148 i dataskyddsförordningen och
att en reprimand är en tillräcklig och proportionerlig åtgärd för att markera
överträdelsen och säkerställa efterlevnaden av dataskyddsförordningen.
Mot den bakgrunden bedömer IMY att Securitas ska ges en reprimand enligt artikel
58.2 b i dataskyddsförordningen för överträdelsen.
__________________________
Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristen
Anders Haag. Vid den slutliga handläggningen av ärendet har även juristen
Sebastian Caicedo Gordh, avdelningsjuristen Sarah Bodlander och IT- och
informationssäkerhetsspecialisten Andreas Majunie medverkat.
Jenny Bård
Kopia till
Dataskyddsombudet
Page 11 of 12
Integritetsskyddsmyndigheten Diarienummer: IMY-2025-10429 12(12)
Datum: 2026-06-16
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder
det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då
beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare
till Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.
Page 12 of 12