1(17)
Direktionen för Räddningstjänsten Östra Skaraborg
Majorsgatan 1
54141 Skövde
Per e-post: [email protected]
Diarienummer:
DI-2018-22697 Beslut efter tillsyn enligt
Ert diarienummer: dataskyddsförordningen –
2019–000014
Datum:
kamerabevakning inom
2021-06-09
Räddningstjänsten Östra Skaraborg
Innehåll
Integritetsskyddsmyndighetens beslut............................................................................ 2
Redogörelse för tillsynsärendet...................................................................................... 2
Motivering av beslutet..................................................................................................... 4
Personuppgiftsansvarig....................................................................................... 4
Tiden för prövningen............................................................................................ 4
Regler för Räddningstjänstens kamerabevakning............................................... 4
Kamerabevakningslagen........................................................................... 4
Dataskyddsförordningen........................................................................... 5
Är Räddningstjänstens kamerabevakning tillåten enligt
dataskyddsförordningen?..................................................................................... 5
Laglig grund för behandlingen av personuppgifter (artikel 6).................... 5
Grundläggande principer för behandling av personuppgifter (artikel 5).... 7
Principerna om laglighet och korrekthet (artikel 5.1 a).............................. 8
Principen om uppgiftsminimering (artikel 5.1 c)...................................... 11
Säkerhet i samband med behandlingen (artikel 32)................................ 12
Val av ingripande............................................................................................... 14
Rättslig reglering..................................................................................... 14
Sanktionsavgift........................................................................................ 14
Postadress: Hur man överklagar...................................................................................................... 17
Box 8114
104 20 Stockholm
Webbplats:
www.imy.se
E-post:
[email protected]
Telefon:
08-657 61 00
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 2(17)
Datum: 2021-06-09
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Direktionen för Räddningstjänsten Östra
Skaraborg, med organisationsnummer 222000-1115, sedan den 25 maj 2018 fram till
den 6 maj 2021 genom att kamerabevaka i vagnhallen på åtta brandstationer har
behandlat personuppgifter i strid med
- artikel 5.1 a i dataskyddsförordningen1 genom att kamerabevaka anställdas
plats för ombyte vid larm i strid med principen om korrekthet,
- artikel 5.1 c i dataskyddsförordningen genom att behandla fler personuppgifter
än vad som har varit nödvändigt för ändamålen i strid med principen om
uppgiftsminimering, samt
- artikel 32.1 och 32.4 i dataskyddsförordningen eftersom instruktioner från den
personuppgiftsansvarige har saknats för hur personuppgifterna har fått
användas och kravet på lämpliga organisatoriska åtgärder, för att säkerställa
en säkerhetsnivå som är lämplig i förhållande till risken, därmed inte är
uppfyllt.
Integritetsskyddsmyndigheten beslutar med stöd av 6 kap. 2 § dataskyddslagen2 och
artiklarna 58.2 och 83 dataskyddsförordningen att Direktionen för Räddningstjänsten
Östra Skaraborg ska betala en administrativ sanktionsavgift på 350 000
(trehundrafemtiotusen) kronor, varav 300 000 (trehundratusen) kronor avser
överträdelserna av artikel 5.1 a resp. 5.1 c och 50 000 (femtiotusen) kronor avser
överträdelserna av artikel 32.1 och artikel 32.4 i dataskyddsförordningen.
Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har mottagit klagomål som gör gällande att
Direktionen för Räddningstjänsten Östra Skaraborg (Räddningstjänsten) bedriver
kamerabevakning i brandstationens vagnhall med plats för ombyte vid larm och har
inlett tillsyn mot Räddningstjänsten.
Tillsynen har inletts i syfte att granska om Räddningstjänstens
personuppgiftsbehandling i form av kamerabevakning har skett i enlighet med
principerna om laglighet och korrekthet i artikel 5.1 a i dataskyddsförordningen,
principen om uppgiftsminimering i artikel 5.1 c, kravet på laglig grund i artikel 6 och
kraven på organisatorisk säkerhet i artikel 32.
Vid granskning av personuppgiftsbehandlingen i form av kamerabevakning av
vagnhallarna har i huvudsak följande framkommit.
Kamerabevakning har sedan mars–april 2015 till den 6 maj 2021 bedrivits på
stationerna i Skövde, Mariestad, Hjo, Tibro, Karlsborg, Hova, Gullspång och Töreboda.
En kamera har monterats på varje station. Samtliga kameror har varit placerade i
vagnhallarna på brandstationerna och har bevakat ett utrymme som används som
garage för räddningsfordon. I vagnhallen förvaras även personalens utryckningskläder,
1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016 om skydd för
fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om
upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
2 Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 3(17)
Datum: 2021-06-09
larmställ, som snabbt ska kunna tas på inför uttryckning vid larm. För andra typer av
ombyten finns särskilda omklädningsrum som inte kamerabevakas.
Kamerabevakningen av vagnhallarna har bedrivits dygnet runt i realtid utan
bildinspelning. Kamerorna har varit rörligt monterade och har visat ett antal vyer enligt
ett förutbestämt rörelsemönster. Kamerorna har även kunnat styras manuellt och har
optik som kan zooma.
Filmmaterialet har i realtid granskats av inre befäl från ledningscentralen i Skövde när
larm har aktiverats på en brandstation. Ledningscentralen som kamerorna är
uppkopplade mot bemannas vid larmsituationer. Granskning av vad som fångats av
kamerans upptagningsområde har endast skett vid dessa situationer. Ljud har kunnat
upptas i realtid efter att det inre befälet har aktiverat en mikrofon för att kunna samtala
med den inryckande styrkan. En lampa har lyst i vagnhallen när mikrofonen har varit
aktiverad.
De kamerabevakade brandstationerna bemannas av personal som är såväl
heltidsanställd (Skövde och Mariestad) som deltidsanställd (samtliga granskade
stationer). När deltidsanställd personal rycker in ska brandmännen normalt inom fem
minuter från att larm går, ombytta ha lämnat brandstationen i ett fordon. Då ska
brandmännen ha tagit sig till brandstationen, ofta i privat bil, ha bytt om och ha
placerat sig i rätt fordon. Heltidspersonal befinner sig som regel på brandstationen när
larm går och byter om från stationsuniform. Brandmännen befinner sig på den
bevakade platsen i vagnhallen i cirka en minut.
I klagomålet har uppgetts att det har hänt att inryckande personal vid larm mitt i natten
har kommit till brandstationen i morgonrock med underkläder eller ingenting alls under,
vilket har inneburit att personal har blivit kamerabevakad naken eller endast i
underkläder vid ombytet till larmställ. Räddningstjänsten har i yttrande som kommit in
den 31 maj 2021 uppgett att det överhuvudtaget inte förekommer att
räddningspersonal i beredskap kommer till respektive station vid larm endast klädd i
morgonrock med endast underkläder eller inget alls under. I yttrande inkommet den 22
maj 2019 uppges att ingen medarbetare ska vistas i Räddningstjänstens lokaler
naken, förutom i omklädningsrum avsedda för detta, då det kan upplevas besvärande
och stötande för andra medarbetare. Vidare har uppgetts att larmstället är utformat så
att dess funktion upprätthålls oavsett om medarbetaren väljer att klä sig endast i
larmställ eller väljer att ha underställ under larmstället. De medarbetare som väljer att
inte använda t.ex. underställ kan välja att endast ha underkläder på sig under
larmstället och kommer således i sådana fall enbart ha underkläder på sig under en
kortare tid vid påklädning och avklädning av larmstället.
Vidare har det framkommit att de anställda på en av brandstationerna protesterade
mot kamerabevakningen i samband med införandet 2015 genom att täcka för en del
av ytan där larmställen hänger med en pappskiva. Räddningstjänsten har i yttrandet
som kom in den 22 maj 2019, med komplettering den 28 maj 2019, uppgett att
pappskivan togs bort efter samverkan med lokal facklig företrädare efter ett inbrott. Vid
samverkan med arbetstagarorganisationer under 2015 framkom synpunkter som bland
annat gjorde gällande att kamerabevakning inte borde omfatta plats där ombyte sker,
att det vore en fördel att aktivera kameran först vid larm, att det upplevdes kränkande
att vara övervakad och att informationen om kamerabevakningen brustit. Inför
samverkan i augusti 2015 angavs arbetsgivarens inriktning vara att åtgärder skulle
vidtas så att område där personal byter om ej skulle kunna kamerabevakas. Vid
samverkansmötet beslutades att se till att varje station skulle anpassas så att
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 4(17)
Datum: 2021-06-09
kameraövervakning av omklädningsrum inte skulle ske. Räddningstjänsten har uppgett
att det sedan augusti 2015 inte har kommit in klagomål mot kamerabevakningen eller
att frågan lyfts på samverkan igen.
Vad gäller den information om kamerabevakningen som lämnas har
Räddningstjänsten uppgett att det nu finns med i checklistan vid introduktion att
informera nyanställda om kamerabevakningen, att en skriftlig information har tagits
fram för att säkerställa denna information samt att det skyltas i lokalerna om
kamerabevakning.
Räddningstjänsten har till sitt slutliga yttrande i maj 2021 bifogat ett beslut fattat den 6
maj 2021 där det framgår att den kamerabevakning som granskas ska avslutas med
omedelbar verkan. Vidare att behovet av kamerabevakning på nytt ska bedömas efter
att IMY fattat beslut i nu aktuellt ärende.
Motivering av beslutet
Personuppgiftsansvarig
Direktionen för Räddningstjänsten Östra Skaraborg uppges vara
personuppgiftsansvarig för Räddningstjänstens personuppgiftsbehandling. IMY delar
denna uppfattning.
Tiden för prövningen
Den granskade kamerabevakningen har pågått sedan mars-april 2015 till den 6 maj
2021. Då dataskyddsförordningen började tillämpas först den 25 maj 2018 är IMY:s
prövning, som sker utifrån nämnda reglering, begränsad till omständigheter som har
förelegat under tiden därefter. Omständigheter i samband med införandet av
kamerabevakningen 2015 ligger därmed utanför IMY:s tillsyn.
Regler för Räddningstjänstens kamerabevakning
Kamerabevakning är en form av personuppgiftsbehandling. Hur och i vilken
utsträckning det är tillåtet att kamerabevaka i det aktuella fallet regleras i
dataskyddsförordningen och kamerabevakningslagen (2018:1200) som kompletterar
dataskyddsförordningen.
Kamerabevakningslagen
I 4 § kamerabevakningslagen anges att lagen gäller om kamerabevakning enligt 3 §
sker med utrustning som finns i Sverige. Av 3 § punkt 1 kamerabevakningslagen
framgår att kamerabevakning innefattar att en tv-kamera, ett annat optisk-elektroniskt
instrument eller en därmed jämförbar utrustning, utan att manövreras på platsen
används på ett sådant sätt som innebär varaktig eller regelbundet upprepad
personbevakning. Den kamerabevakning som Räddningstjänsten har bedrivit har inte
manövrerats på platsen och har inneburit en varaktig bevakning av de anställda samt
övriga besökare. Kamerabevakningslagen gäller därför för Räddningstjänstens
bevakning.
I kamerabevakningslagen finns bestämmelser om när det krävs tillstånd för att
kamerabevaka. Av 7 § kamerabevakningslagen följer att tillstånd krävs för bevakning
av en plats dit allmänheten har tillträde om bevakningen bedrivs av en myndighet eller
någon annan än en myndighet vid utförande av en uppgift av allmänt intresse som
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 5(17)
Datum: 2021-06-09
följer av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd
av lag eller annan författning.
Räddningstjänsten Östra Skaraborg är ett kommunalförbund och därmed en
myndighet, och är som utgångspunkt tillståndspliktig vid kamerabevakning. Frågan är
då om allmänheten anses ha tillträde till den plats som Räddningstjänsten
kamerabevakar. Av praxis framgår att begreppet ”plats dit allmänheten har tillträde”
ska tolkas vitt (se Högsta förvaltningsrättens avgörande RÅ 2000 ref. 52). Många
arbetsplatser anses dock vara en plats dit allmänheten inte har tillträde (prop.
2017/18:23 s.22).
Mot bakgrund av vad som framkommit om platsen för bevakningen bedömer IMY att
det inte är fråga om en plats dit allmänheten har tillträde. Något krav på att söka
tillstånd finns därmed inte. Att kamerabevakningen är tillståndsfri innebär dock inte att
bevakningen är tillåten. Utöver bestämmelsen om tillstånd finns andra regler i
kamerabevakningslagen, t.ex. om tystnadsplikt avseende det inspelade materialet,
förhandlingsskyldighet med arbetstagarorganisationer och krav på upplysning, som
kan bli aktuella att följa vid kamerabevakning. Dessutom tillkommer reglerna i
dataskyddsförordningen.
Dataskyddsförordningen
Dataskyddsförordningen ska enligt artikel 2.1 bland annat tillämpas på behandling av
personuppgifter på helt automatisk väg. Av artikel 4.1 i dataskyddsförordningen
framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person
är en personuppgift. Enligt artikel 4.2 avses med behandling en åtgärd beträffande
personuppgifter, till exempel insamling, registrering, läsning och radering. Om en
bevakningskamera fångar en identifierbar person eller någon annan personuppgift i
bild måste därför reglerna i dataskyddsförordningen följas. Eftersom
Räddningstjänsten har filmat, och tagit upp ljud från, identifierbara personer med sina
kameror gäller dataskyddsförordningen.
Dataskyddsförordningen innehåller ett stort antal regler som måste följas vid
behandling av personuppgifter. Inom ramen för detta tillsynsärende är IMY:s prövning
begränsad till om Räddningstjänsten har en laglig grund enligt artikel 6 i
dataskyddsförordningen för att bedriva den aktuella kamerabevakningen, om
Räddningstjänsten har levt upp till de grundläggande principerna för behandling av
personuppgifter i artikel 5.1 a om laglighet och korrekthet samt i artikel 5.1 c om
uppgiftsminimering, samt om Räddningstjänsten har uppfyllt kraven på säkerhet i
artikel 32 genom att ha vidtagit lämpliga organisatoriska åtgärder.
Är Räddningstjänstens kamerabevakning tillåten enligt
dataskyddsförordningen?
Laglig grund för behandlingen av personuppgifter (artikel 6)
I artikel 6 i dataskyddsförordningen anges att en behandling endast är laglig om minst
ett av de angivna villkoren i artikeln är uppfyllt, det vill säga att det finns en laglig grund
för behandlingen.
Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, 6.1 e
Räddningstjänsten har uppgett att den lagliga grunden för bevakningen är att
bevakningen är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel
6.1 e i dataskyddsförordningen.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 6(17)
Datum: 2021-06-09
Av förarbetena till lag (2018:218) med kompletterande bestämmelser till EU:s
dataskyddsförordning (nedan dataskyddslagen) framgår följande i prop. 2017/18:105
(s. 60).
För att behandling av personuppgifter ska vara tillåten enligt artikel
6.1 e i dataskyddsförordningen krävs att ändamålet med behandlingen
är nödvändigt för att utföra uppgiften. Detta ska enligt regeringens
bedömning inte tolkas som att uppgiften av allmänt intresse måste vara
avgränsad så att den bara kan utföras på ett sätt. Den metod som den
personuppgiftsansvarige väljer för att utföra sin uppgift måste dock –
som all offentlig förvaltning – vara ändamålsenlig, effektiv och
proportionerlig och får därmed inte medföra ett onödigt intrång i
enskildas privatliv. Ju mer detaljerat en viss uppgift har reglerats, desto
mindre utrymme torde det finnas för den personuppgiftsansvarige att
välja olika tillvägagångssätt. Detta medför i sin tur en större
förutsebarhet i fråga om vilken personuppgiftsbehandling som kan
aktualiseras. Om ett uppdrag i stället har reglerats på en mer
övergripande och resultatinriktad nivå kan det sannolikt utföras på
många olika sätt, vilka i förhållande till varandra kan vara mer eller
mindre nödvändiga i dataskyddsförordningens mening.
Enligt artikel 6.3 ska behandling med stöd i artikel 6.1 e dessutom fastställas i enlighet
med unionsrätten eller en medlemsstats nationella rätt.
Räddningstjänstens verksamhet regleras nationellt i lag (2003:778) om skydd mot
olyckor. Med räddningstjänst avses enligt 1 kap. 2 § de räddningsinsatser som staten
eller kommunerna ska ansvara för vid olyckor och överhängande fara för olyckor, för
att hindra och begränsa skador på människor, egendom eller miljön. Av 1 kap. 3 §
framgår att räddningstjänsten ska planeras och organiseras så att räddningsinsatserna
kan påbörjas inom godtagbar tid och genomföras på ett effektivt sätt. Även om
närmare bestämmelser för hur Räddningstjänsten ska behandla personuppgifter
saknas, behöver regleringen vara tillräckligt specifik för att kunna läggas till grund för
bedömningen av laglig grund i artikel 6 i dataskyddsförordningen. Att lagstiftningen är
övergripande kan ge en större möjlighet för Räddningstjänsten att välja hur deras
uppdrag ska genomföras än om regleringen hade varit mer specifik.
Räddningstjänsten har anfört att de ändamål som har fastställts för bevakningen är
följande.
- Att underlätta ledningsförmåga och effektivitet under en räddningsinsats
- Att underlätta närvarokontroll av brandmännen som rycker in efter larm
- Att underlätta fordonsval
- Att göra det möjligt att säkerställa att styrkeledaren mår bra och kan hantera
uppgiften
- Att säkra skalskyddet samt
- Att bedöma korrektheten av eventuellt larm kopplat till nyckelskåpen på
stationerna
IMY bedömer att ändamålen kan delas in i två kategorier. De inledande fyra
ändamålen avser att möjliggöra arbetsledning och effektivitet vid en larmsituation. De
två sistnämnda ändamålen rör fysisk säkerhet på brandstationen.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 7(17)
Datum: 2021-06-09
Räddningstjänsten har uppgett att kamerabevakningen på samtliga brandstationer
utom på Tibro station med automatik även har skett av utrymmet där
uttryckningskläderna förvaras. Det innebär att på övriga brandstationer har
bevakningen omfattat den plats där personalen byter om till larmställ. Orsaken till att
kameran på Tibro station inte har bevakat plats för ombyte vid larm är en
felprogrammering som har inneburit att kamerans rörelsemönster inte har täckt platsen
för ombyte, om kameran inte manuellt har styrts för att bevaka denna. Enligt
Räddningstjänsten har dock avsikten varit att åtgärda detta så att även
kamerabevakningen på Tibro station skulle omfatta plats för ombyte. Jämfört med de
stationer där plats för ombyte har bevakats, har Räddningstjänsten uppgett att det på
Tibro station har varit sämre förutsättningar för ledningsförmågan och effektiviteten vid
utryckning. Det har varit svårare att säkerställa närvarokontroll och att säkerställa att
styrkeledaren mår bra vid larm. Genom kamerabevakningen kan ändamålen med
bevakningen som rör larmsituationen uppnås samtidigt som personalen gör sig
iordning för att åka på larm, det vill säga arbetssättet är kostnads- och
utförandeeffektivt.
IMY:s bedömning – laglig grund
IMY konstaterar att den kamerabevakning Räddningstjänsten bedriver avser
bevakning av anställda på deras arbetsplats där personalen måste befinna sig under
arbetstid. De registrerade befinner sig i en beroendeställning och bevakas i sin
vardagliga miljö. Bevakningen har inneburit dygnetruntbevakning i realtid och
upptagningsområdet har även innefattat plats för ombyte. Det förekommer uppgifter
om att det har hänt att anställda av effektivitetsskäl under ombytet har vistats på
ombytesplatsen helt utan kläder, vilket dock har tillbakavisats av Räddningstjänsten.
Såväl omfattningen på bevakningen som vad som fångas av kamerorna har ökat
intrånget för den enskilde.
Kamerabevakningen, som bland annat har omfattat de anställda i underkläder, innebär
att Räddningstjänsten har kamerabevakat de anställda i integritetskänsliga situationer.
Behandlingen har däremot inte omfattat särskilda kategorier av personuppgifter, så
kallade känsliga personuppgifter, enligt artikel 9 i dataskyddsförordningen. Den
nationella lagstiftningen som enligt artikel 6.3 ska fastställa den lagliga grunden
behöver därför inte vara mer preciserad än i lag om skydd mot olyckor, utan kan vara
allmänt hållen.
Mot bakgrund av ovanstående och med hänsyn till Räddningstjänstens särskilda
uppdrag och krav på effektivitet gör IMY bedömningen att behandlingen varit
nödvändig för att utföra en uppgift av allmänt intresse och att Räddningstjänsten har
haft laglig grund enligt artikel 6.1 e i dataskyddsförordningen för den aktuella
behandlingen.
Frågan blir då om den aktuella behandlingen har levt upp till vissa av de
grundläggande principerna för behandling av personuppgifter i artikel 5.
Grundläggande principer för behandling av personuppgifter (artikel 5)
I artikel 5 i dataskyddsförordningen finns ett antal grundläggande principer som den
personuppgiftsansvarige måste beakta vid behandlingen av personuppgifter.
Av artikel 5.1 a följer bland annat att all personuppgiftsbehandling, utöver att vara
laglig, också måste vara korrekt (principerna om laglighet och korrekthet). Av artikel
5.1 c följer att personuppgifter som behandlas ska vara adekvata, relevanta och inte
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 8(17)
Datum: 2021-06-09
för omfattande i förhållande till de ändamål för vilka de behandlas (principen om
uppgiftsminimering).
Avslutningsvis följer av artikel 5.2 att den personuppgiftsansvarige ska ansvara för och
kunna visa att de principer som följer av artikel 5.1 efterlevs (principen om
ansvarsskyldighet).
Principerna om laglighet och korrekthet (artikel 5.1 a)
Att behandlingen ska vara laglig innebär det ska finnas en laglig grund i artikel 6. IMY
har ovan bedömt att Räddningstjänsten uppfyller kravet på laglig grund i artikel 6.1 e,
uppgift av allmänt intresse. Behandlingen bedöms därför vara förenlig med principen
om laglighet i artikel 5.1 a.
Vad gäller att behandlingen ska vara korrekt framgår följande av förarbetena till
dataskyddslagen (prop. 2017/18:105 s. 47).
Såvitt avser principen om korrekthet kan det vid en jämförelse med
andra språkversioner ifrågasättas om den svenska termen korrekt
motsvarar avsikten med bestämmelsen. I den danska språkversionen
anges i stället att uppgifterna ska behandlas rimeligt. På motsvarande
sätt används i den engelska språkversionen termen fairly, vilket
betyder rättvist, skäligt eller rimligt. I den franska språkversionen
används termen loyale, vilken har motsvarande betydelse som
engelskans fairly. I den tyska språkversionen används uttrycket Treu
und Glauben, vilket brukar översättas med god tro eller tro och heder.
Alla dessa termer indikerar enligt regeringens mening, tydligare än den
svenska termen korrekt, att en intresseavvägning ska göras. I det
enskilda fallet kan det således t.ex. vara oförenligt med principen om
korrekthet att vidta en viss behandlingsåtgärd, även om denna i och för
sig skulle kunna anses vara lagligt grundad enligt artikel 6, nämligen
om behandlingen är oskälig i förhållande till den registrerade.
Lagstiftaren har här uttalat att även om en laglig grund föreligger, bör det vid en
bedömning av om behandlingen lever upp till principen om korrekthet ändå göras en
intresseavvägning för att fastställa om behandlingen är oskälig i förhållande till den
registrerade, i det här fallet de anställda.
Räddningstjänsten har i yttrandet som kom in den 22 maj 2019 uppgett att det inte
finns några andra, mindre integritetskränkande lösningar för att göra samma sak utan
att räddningsinsatsen påverkas negativt. Man har dock även uppgett att det inte är
nödvändigt att kamerabevakning sker dygnet runt för att bedriva räddningstjänst, utan
att det endast behöver ske vid larm till aktuell station. Vidare har Räddningstjänsten
uppgett att kamerorna tekniskt är uppkopplade mot applikationen de visas i dygnet
runt.
Till den intresseavvägning som lagstiftaren menar ska göras vid en prövning av
principen om korrekthet saknas närmare vägledning. Europeiska dataskyddsstyrelsen,
EDPB, har dock i EU-riktlinjer om inbyggt dataskydd och dataskydd som standard
angett att bland annat följande omständigheter ska vägas in vid prövningen av om
principen om korrekthet efterlevs.3 Där anges till exempel att behandlingen ska
överensstämma med de registrerades rimliga förväntningar. Vidare att maktbalans bör
3 EDPB:s riktlinjer 4/2019 om artikel 25, Inbyggt dataskydd och dataskydd som standard, version 2.0, s. 18 ff.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 9(17)
Datum: 2021-06-09
vara ett centralt mål för förhållandet mellan den personuppgiftsansvarige och den
registrerade. Den personuppgiftsansvarige måste också respektera de registrerades
grundläggande rättigheter och vidta lämpliga åtgärder och skyddsåtgärder. Den
personuppgiftsansvarige ska även se till behandlingens påverkan på den enskildes
rättigheter och värdighet.
IMY:s bedömning - principen om korrekthet
Gällande den intresseavvägning som ska göras gör IMY följande bedömning av de
olika intressena.
IMY konstaterar inledningsvis att Räddningstjänsten genom lagen om skydd mot
olyckor har ett krav på sin verksamhet att den ska bedrivas effektivt avseende både tid
och utförande, för att vid olyckor och fara för olyckor hindra och begränsa skador på
människor, egendom eller miljö.
Räddningstjänsten har uppgett att man bland annat har en beredskap för människor
som hamnar i sjönöd och andra livshotande situationer, giftiga ämnen som släpps ut i
naturen, trafikolyckor, bränder som uppstår i byggnader och terräng samt människor
och egendom som hotas av extrem väderlek. Det är inte sällan liv står i fara vid de
händelser Räddningstjänsten larmas ut på och då kan såväl sekunder som minuter
göra skillnad.
Syftet med Räddningstjänstens kamerabevakning som nu granskas beskrivs utförligt
ovan och kan sammanfattas till att möjliggöra arbetsledning och effektivitet vid larm
respektive att säkerställa den fysiska säkerheten på brandstationen.
Räddningstjänsten har uppgett att det inte finns andra mindre integritetskänsliga sätt
att uppnå samma effektivitet. På Tibro brandstation, där bevakning av plats för ombyte
inte har skett automatiskt, uppges förutsättningarna för ledningsförmågan och
effektiviteten vid utryckning ha varit sämre jämfört med på övriga stationer. Personalen
uppehåller sig inte på stationen mer än den tid då de tar på sig larmställ, vilket innebär
att om kommunikation med dem ska ske utan att räddningsinsatsen fördröjs, måste
den pågå samtidigt som ombyte sker.
IMY bedömer sammantaget att Räddningstjänstens behov av kamerabevakning på
platsen väger tungt, särskilt vid larm.
Ett av ändamålen med bevakningen är närvarokontroll av brandmännen som rycker in
efter larm. IMY konstaterar att kamerabevakning för att utföra närvarokontroll på en
arbetsplats i princip är otillåten. I nu aktuellt fall har bevakningsintresset bedömts väga
tungt, särskilt vid larm. IMY gör bedömningen att Räddningstjänstens bevakning är ett
sådant fall där kamerabevakning som närvarokontroll kan anses vara tillåtet. Vid den
bedömningen har särskilt beaktats det krav på effektivitet vid larm som åligger
Räddningstjänsten, där sekunder och minuter kan göra skillnad för liv och hälsa.
Vad gäller de registrerades intressen kan konstateras att platserna som
kamerabevakas är arbetsplatser där de anställda, som är i beroendeförhållande till sin
arbetsgivare, måste befinna sig under sin arbetstid. I vagnhallen vistas de anställda
både vid larm men även vid utförandet av andra arbetsuppgifter. Platsens karaktär
innebär att de anställda befinner sig där i sin vardagliga miljö och inte kan välja bort att
bli kamerabevakade. Integritetsintresset väger därför som utgångspunkt tungt.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 10(17)
Datum: 2021-06-09
När det gäller avlyssning och upptagning av ljud i samband med kamerabevakning är
detta särskilt integritetskänsligt och är endast undantagsvis tillåtet. Som
integritetshöjande åtgärd tänds dock en lampa när mikrofonen som möjliggör muntlig
kommunikation mellan ledningscentralen och vagnhallen är aktiverad. IMY konstaterar
att ljudavlyssningen således är begränsad till situationer som kräver kommunikation
och att mikrofonen har använts i skarpa situationer vid larm, då behovet att bevaka
väger särskilt tungt. Vidare är ljudet som avlyssnas huvudsakligen ett samtal med de
som bevakas. Att personalen är del i samtalet i kombination med lampaktivering gör
att de är medvetna om att avlyssning sker. Åtgärden minskar intrånget något vad
gäller avlyssning och upptagning av ljud. IMY gör därför bedömningen att
ljudupptagningen vid larm som den har bedrivits är tillåten.
Vidare framgår att bevakningsområdet även omfattar plats för ombyte vid påtagning
och avklädning av larmställ, där kamerabevakningen vid larm under en kort stund har
fångat de anställda i underställ eller underkläder när de byter om till uttryckningskläder.
Om personalen i några fall har övervakats helt utan kläder har inte kunnat klargöras i
ärendet. Räddningstjänsten menar att de anställda är extremt vana vid att hantera
integritetskänsliga situationer både i sin tjänsteutövning vid räddningsinsatser
gentemot tredje man, men också vid stationsarbetet och internt i organisationen då det
sker ombyten inför varandra vid varje larmsituation, men också vid regelbunden övning
och utbildning. Räddningstjänsten anser att det inre befäl som har tillgång till
realtidsbevakningen har ett ledningsansvar oavsett om det sker i det fysiska rummet
eller via teknisk utrustning, för bästa möjliga ledning. Enligt Räddningstjänstens
bedömning ryms ombytet inför kollegor och befäl väl i ett proportionalitetsperspektiv.
IMY bedömer att integritetsintresset på platsen där ombyte sker är väsentligt mer
framträdande än i övriga vagnhallen. Det ska dock vägas in att lösningen med ombyte
till larmställ i vagnhallen och kamerabevakningen av denna bedöms vara nödvändig
för verksamhetens effektivitet, vilket minskar intrånget något. IMY gör dock
sammantaget bedömningen att integritetsintresset på platsen sammantaget väger
mycket tungt, så som bevakningen har bedrivits. Det gäller även om personalen i
ombytessituationen har underställ eller underkläder på sig.
I bedömningen av de två sidorna i intresseavvägningen har IMY därmed bedömt att
behovet av bevakningen väger tungt, särskilt vid larm, och att det registrerades, de
anställdas, intressen vad gäller kamerabevakning av platsen för ombyte väger mycket
tungt.
Vid en avvägning mellan Räddningstjänstens behov och de anställdas intressen gör
IMY vidare följande bedömning. Vad gäller om de registrerade kan förvänta sig den
aktuella kamerabevakningen har Räddningstjänsten uppgett att man i nuläget har
informerat om bevakningen på flera sätt, bland annat genom skyltar i lokalerna.
Däremot har det framkommit att det saknas riktlinjer för i vilka situationer den behöriga
personalen har haft rätt till tillgång till realtidsbevakningen, vilket kan innebära att de
anställda har haft svårt att bedöma i vilken omfattning materialet har använts. I fråga
om maktbalansen mellan Räddningstjänsten och de anställda har det konstaterats att
de anställda är i beroendeförhållande till sin arbetsgivare, vilket innebär att
maktbalansen är ojämn.
Då bevakningen av ombyten omfattar integritetskänslig information, ställs högre krav
än annars på skyddsåtgärder för att minska integritetsintrånget. IMY menar att det är
nödvändigt med integritetshöjande åtgärder, exempelvis en delvis avskärmning av
platsen för ombyte. Räddningstjänsten har som integritetshöjande åtgärder angett att
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 11(17)
Datum: 2021-06-09
det utöver att en lampa tänts vid aktiverad mikrofon endast gått att höra ljudet från
vagnhallen i ett headset i ledningscentralen samt att det råder tillträdesbegräsning till
ledningscentralen. Vad gäller att till exempel maskera eller avgränsa delar av platsen
för ombyte för att minimera insamlingen av dessa uppgifter, har någon sådan åtgärd
inte framkommit under IMY:s granskning.
Angående att maskera platsen för ombyte, har Räddningstjänsten i yttrande den 22
maj 2019, anfört följande (s.7).
Mot bakgrund av att de flesta stationer har larmställen hängande i
vagnhallen försvann syftet med kamerorna om dessa ytor helt
skärmades av, det vill säga vagnhallen skulle inte ses i kamerorna.
Av bilder från kamerabevakningen som Räddningstjänsten har skickat in i yttrande den
16 januari 2019, synes det dock enligt IMY:s mening stå klart att det utan större
svårighet bör gå att delvis avgränsa upptagningen av platsen för ombyte från
respektive kamera, så att inte mer än till exempel huvuden fångas av bevakningen.
Det kan till exempel antingen ske genom en maskering på de kameravyer som visar
platsen för ombyte eller genom en fysisk skärm i respektive vagnhall.
När det gäller kamerabevakningens påverkan på de anställdas rättigheter och
värdighet, konstaterarar IMY att det inte har framkommit att det har gått att undvika att
bli kamerabevakad under ombytet till larmställ. Att ha kamerabevakats när ombyte
sker vid larm, har kunnat innebära att de anställda upprepat har vistats i underkläderna
kortvariga stunder på det bevakade området. Vid en objektiv bedömning kan det anses
gå utöver vad som är en korrekt behandling från en arbetsgivares sida.
IMY konstaterar sammantaget att Räddningstjänstens ändamål är berättigade.
Räddningstjänstens intresse av bevakningen har bedömts väga tungt, särskilt vid larm.
De registrerades intressen har dock bedömts väga mycket tungt, i synnerhet vad gäller
plats för ombyte till larmställ, som har kamerabevakats utan maskering eller
avgränsning. Även när hänsyn har tagits till de särskilda omständigheter och krav på
effektivitet som råder vid Räddningstjänstens insatser, konstaterar IMY att de
anställdas intressen väger tyngre i frågan om platsen för ombyte vid larm och att
bevakningen i denna situation, så som den har genomförs, är oskälig i förhållande till
de anställda. Bevakningen av ombytessituationen vid larm utan avgränsning har därför
skett i strid med principen om korrekthet i artikel 5.1 a i dataskyddsförordningen.
Principen om uppgiftsminimering (artikel 5.1 c)
Av artikel 5.1 c i dataskyddsförordningen framgår att personuppgifter som behandlas
ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för
vilka de behandlas, vilket utgör principen om uppgiftsminimering.
Den kamerabevakning som nu granskas har bedrivits dygnet runt i realtid i vagnhallen
på åtta brandstationer och har omfattat plats för ombyte utan någon maskering eller
avgränsning. Inre befäl vid ledningscentralen har granskat kamerabevakningen vid
larm.
Räddningstjänsten har uppgett att det inte är nödvändigt att kamerabevaka vagnhallen
dygnet runt, utan att det endast behöver ske vid larm till aktuell station. Kamerorna har
dock varit uppkopplade mot den tekniska lösningen där kamerabilden visas dygnet
runt.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 12(17)
Datum: 2021-06-09
Vad gäller bevakningen av plats för ombyte har Räddningstjänsten uppgett att det inte
finns andra mindre integritetskänsliga sätt att uppnå samma effektivitet. Bevakningen
av platsen för ombyte är nödvändig då personalen inte uppehåller sig på stationen mer
än den tid då de tar på sig larmställ. Det innebär att kommunikationen med dem måste
ske samtidigt som de byter om, för att räddningsinsatsen inte ska fördröjas.
IMY:s bedömning – principen om uppgiftsminimering
IMY har ovan konstaterat att bevakning av anställda som byter om innebär behandling
av integritetskänslig information som går utöver vad de enskilda ska behöva
acceptera. Bevakningen av brandstationerna har omfattat anställda, som befinner sig i
beroendeförhållande till sin arbetsgivare. Det ställer särskilda krav på arbetsgivaren att
vidta åtgärder för att minska integritetsintrånget för de anställda. Någon anpassning av
bevakningen har inte genomförts, utöver åtkomstbegränsning, och plats för ombyte
har kamerabevakats utan maskering eller avgränsning. Bevakningen har pågått
dygnet runt i realtid, trots att den har uppgetts vara nödvändig endast vid larm.
IMY konstaterar mot denna bakgrund att Räddningstjänstens kamerabevakning har
inneburit en alltför omfattande behandling av personuppgifter i förhållande till
ändamålen. Behandlingen har därmed skett i strid med principen om
uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.
Räddningstjänstens ändamål som har avsett den fysiska säkerheten på
brandstationerna, det vill säga att säkra skalskydd och att bedöma korrektheten av
larm kopplat till nyckelskåpen på stationerna har enligt Räddningstjänsten inte
innefattat att förebygga och utreda brott. IMY konstaterar att ändamålen är
berättigade, men att kamerabevakning dygnet runt är alltför långtgående för angivna
syften. Nämnda ändamål bör kunna uppnås med mindre långtgående åtgärder, till
exempel genom en annan lösning för inpassering eller en aktiverad bevakning vid larm
från nyckelskåpet.
Även denna behandling har därmed skett i strid med principen om uppgiftsminimering i
artikel 5.1 c i dataskyddsförordningen.
Säkerhet i samband med behandlingen (artikel 32)
Vad gäller Räddningstjänstens säkerhet i samband med kamerabevakningen har IMY
granskat den organisatoriska säkerheten vad gäller behörighetsstyrning och riktlinjer
för hanteringen av bevakningsmaterialet.
I artikel 32 i dataskyddsförordningen regleras säkerhet i samband med behandlingen.
Enligt punkt 1 ska den personuppgiftsansvarige och personuppgiftsbiträdet bland
annat med beaktande av den senaste utvecklingen, genomförandekostnaderna och
behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av
varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter
vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en
säkerhetsnivå som är lämplig i förhållande till risken.
Enligt punkt 2 ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de
risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring,
förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de
personuppgifter som överförts, lagrats eller på annat sätt behandlats.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 13(17)
Datum: 2021-06-09
Av punkt 4 framgår att den personuppgiftsansvarige och personuppgiftsbiträdet ska
vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den
personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får
tillgång till personuppgifter, endast behandlar dessa på instruktion från den
personuppgiftsansvarige.
Av skäl 39 till dataskyddsförordningen framgår bland annat att personuppgifter bör
behandlas på ett sätt som säkerställer lämplig säkerhet och konfidentialitet för
personuppgifterna samt förhindrar obehörigt tillträde till och obehörig användning av
personuppgifter och den utrustning som används för behandlingen.
Räddningstjänsten har uppgett att 29 personer har haft tillgång till ledningscentralen
där kamerabevakningen vid larm har tagits upp till helskärmsvy, varav 6 inre befäl som
har sin arbetsplats i ledningscentralen, 16 andra befäl och chefer som har uppgifter i
ledningscentralen vid larm eller stabsarbete samt 7 drifttekniker för underhåll av lokaler
och teknik. Alla medarbetare vistas inte där samtidigt, utan den medarbetare som har
tagit del av kameramaterialet är tjänstgörande inre befäl vid larm. Samtliga
medarbetare som har tillträde till ledningscentralen har dock haft möjlighet att se
kamerabilden och vad som pågår på en brandstation i realtid. I de fall insatsen är
komplicerad eller flera parallella insatser pågår kan flera inre befäl eller andra
ledningsfunktioner finnas i ledningscentralen samtidigt och har då kunnat se
kamerabilden.
Räddningstjänsten har uppgett att det inte har funnits några riktlinjer för när en behörig
person har fått titta på kamerabilden. Arbetssättet har dock varit att kamerabilden
manuellt tas upp i helskärmsvy vid larm på aktuell station.
IMY:s bedömning – säkerhet för behandlingen
När det gäller vilka som har tillgång till bildmaterialet från kamerabevakningen
konstaterar IMY att Räddningstjänsten har angett att ett antal personer har tillträde till
den lokal där kamerabevakningen visas i realtid, ledningscentralen. Även om det inte
står klart hur den helskärmsvy som visar kamerabevakningen är avgränsad,
konstaterar IMY att det vid olika tidpunkter och situationer kan finnas behov av att flera
personer har tillgång till realtidsbevakningen vid larm, så som Räddningstjänsten har
beskrivit hanteringen. Verksamheten pågår också dygnet runt, vilket innebär att fler än
annars behöver ha tillgång till materialet. IMY finner därför att det kan vara befogat att
ett större antal medarbetare har behörighet att få tillgång till uppgifter från
kamerabevakningen. Det är dock centralt att den personuppgiftsansvarige då har
organisatoriska åtgärder på plats för att säkerställa säkerheten för uppgifterna. Bland
annat behövs tydliga riktlinjer för vem som ska få tillgång till materialet, under vilka
förutsättningar och om behörigheten är omgärdad av särskilda begränsningar för
hanteringen av bildmaterialet.
IMY konstaterar att en personuppgiftsansvarig enligt artikel 32.1 ska vidta lämpliga
tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är
lämplig i förhållande till risken. Vid bedömningen av lämplig säkerhetsnivå ska särskild
hänsyn tas till de risker som behandlingen medför, bland annat för obehörig åtkomst till
de personuppgifter som behandlats. Den personuppgiftsansvarige ska enligt artikel
32.4 i dataskyddsförordningen också vidta åtgärder för att säkerställa att en fysisk
person endast behandlar personuppgifter enligt instruktion från den
personuppgiftsansvarige.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 14(17)
Datum: 2021-06-09
Ju känsligare information som behandlas, desto högre krav ställs på säkerheten för att
den ska anses vara lämplig i förhållande till den behandling som bedrivs. Att riktlinjer
har saknats för när och hur kamerabevakningen får användas kan innebära att de som
har hanterat kamerabevakningen har gått utöver vad som är nödvändigt och därmed
tillåtet. Det innebär också att det kan råda en osäkerhet för de som har
kamerabevakats, gällande i vilka situationer kamerabevakningen har använts och
huruvida den har begränsats till situationer där bevakningen har varit nödvändig.
Så som bevakningen har bedrivits har den innefattat systematisk bevakning av
anställda och integritetskänslig behandling av personuppgifter vad gäller bevakningen
av anställda som byter om. Kraven på säkerheten höjs därmed för att den ska anses
ha en lämplig nivå. Då riktlinjer uppges ha saknats helt, konstaterar IMY att
Räddningstjänsten har brustit i kravet på att säkerställa att personuppgifter endast
hanteras enligt instruktion från den personuppgiftsansvarige och att kravet på lämpliga
organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i
förhållande till risken därmed inte är uppfyllt. IMY konstaterar därför att
Räddningstjänsten har behandlat personuppgifter i strid med artikel 32.1 och 32.4 i
dataskyddsförordningen.
Val av ingripande
Rättslig reglering
Om det har skett en överträdelse av dataskyddsförordningen har IMY ett antal
korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen.
Tillsynsmyndigheten kan bland annat förelägga den personuppgiftsansvarige att se till
att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt
och inom en specifik period.
Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska
påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som
avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.
För myndigheter får enligt artikel 83.7 i dataskyddsförordningen nationella regler ange
att myndigheter kan påföras administrativa sanktionsavgifter. Enligt 6 kap. 2 §
dataskyddslagen kan sanktionsavgifter beslutas för myndigheter, men till högst
5 000 000 kronor alternativt 10 000 000 kronor beroende på om överträdelsen avser
artiklar som omfattas av artikel 83.4 eller 83.5 i dataskyddsförordningen.
I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ
sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens
storlek. Av central betydelse för bedömningen av överträdelsens allvar är dess
karaktär, svårighetsgrad och varaktighet. Om det är fråga om en mindre överträdelse
får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand
i stället för att påföra en sanktionsavgift.
Sanktionsavgift
Den tillsyn IMY har gjort har visat att Räddningstjänsten har behandlat personuppgifter
i strid med artikel 5.1 a och 5.1 c samt artikel 32.1 och 4 i dataskyddsförordningen.
Vid bedömningen av om överträdelserna är så allvarliga att en administrativ
sanktionsavgift ska påföras har IMY beaktat att personuppgiftsbehandlingen har avsett
kamerabevakning av anställda i beroendeställning, i deras vardagliga miljö som har
innefattat integritetskänsliga situationer. Bevakningen har skett systematiskt under
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 15(17)
Datum: 2021-06-09
lång tid. Bevakningen har inneburit att fler uppgifter än nödvändigt har behandlats då
den dels har skett dygnet runt i realtid, trots att behov endast föreligger vid larm, och
dels utan att någon maskering eller avgränsning har skett av den yta där de anställda
byter om. Omfattningen på bevakningen har varit relativt stor då den har skett dygnet
runt i realtid i vagnhallen på åtta brandstationer, vilket innebär att ett inte obetydligt
antal registrerade har berörts. Det har vidare inte framkommit att Räddningstjänsten,
under tiden kamerabevakningen har pågått, utöver en lampa som indikerar aktiverad
mikrofon samt vissa åtkomstbegränsningar, har vidtagit några åtgärder för att minska
intrånget för de anställda. IMY:s bedömning är att behandlingen inte har inneburit en
mindre överträdelse. Överträdelserna ska därför leda till en administrativ
sanktionsavgift.
De bestämmelser i dataskyddsförordningen som Räddningstjänsten har överträtt
omfattas såväl av artikel 83.4 i dataskyddsförordningen, som artikel 83.5. Det
maximala beloppet för sanktionsavgiften är enligt artikel 83.4 och 83.5 samt 6 kap. 2 §
andra stycket dataskyddslagen 5 miljoner kronor avseende överträdelserna av artikel
32 och 10 miljoner kronor avseende överträdelserna av artikel 5.
Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och
avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa
sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den
dessutom är proportionerlig i förhållande till såväl aktuella överträdelser som till
tillsynsobjektets betalningsförmåga.
Vid fastställandet av ett belopp som är effektivt, proportionerligt och avskräckande kan
IMY konstatera att Räddningstjänsten har kamerabevakat anställda som är i
beroendeförhållande till sin arbetsgivare, i en integritetskänslig situation vid ombyte till
larmställ, vilket har inneburit att de systematiskt har filmats i underkläder eller
underställ på sin arbetsplats. Bevakningen har pågått dygnet runt i realtid trots att
behov endast har förelegat vid larm. Räddningstjänsten har i dessa avseenden inte
vidtagit nödvändiga åtgärder för att begränsa insamlandet av uppgifter. Bevakningen
har skett systematiskt under lång tid och omfattat åtta brandstationer. Det har varit
frågan om ett förhållandevis stort antal personer i ledningscentralen som har kunnat ta
del av bevakningen. Även om dessa har varit behöriga att ta del av bevakningen har
det helt saknats riktlinjer och instruktioner för i vilka situationer behöriga personer har
haft rätt till tillgång till kamerabevakningen. Dessa omständigheter ses som
försvårande.
IMY har vid bedömningen tagit hänsyn till Räddningstjänstens tungt vägande behov av
kamerabevakningen och det krav på effektivitet som åligger Räddningstjänsten, liksom
det samhällsviktiga uppdraget att vid olyckor och fara för olyckor hindra och begränsa
skador på människor, egendom eller miljö där sekunder och minuter kan vara
avgörande. Hänsyn har vidare tagits till att nu gällande regler började tillämpas först i
maj 2018. Prövningen har därmed begränsats till tid därefter. Det har även framkommit
att kamerabevakningen nu har upphört. Att beslut i ärendet har dragit ut på tiden ligger
inte Räddningstjänsten till last vid bedömningen av överträdelserna.
Efter en samlad bedömning finner IMY att Direktionen för Räddningstjänsten Östra
Skaraborg ska betala en administrativ sanktionsavgift på 350 000 kronor, varav
300 000 kr avser överträdelserna av artikel 5.1 a respektive 5.1 c och 50 000 kr avser
överträdelserna av artikel 32.1 och artikel 32.4 i dataskyddsförordningen.
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 16(17)
Datum: 2021-06-09
Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning
av juristen Jenny Bård. Vid den slutliga handläggningen har även enhetschefen
Charlotte Waller Dahlberg samt juristen Jeanette Bladh Gustafson medverkat. Under
handläggningen har även rättschefen David Törngren deltagit.
Lena Lindgren Schelin, 2021-06-09 (Det här är en elektronisk signatur)
Bilaga
Information om betalning av sanktionsavgift
Kopia till
Direktionen för Räddningstjänsten Östra Skaraborgs dataskyddsombud:
[email protected]
Integritetsskyddsmyndigheten Diarienummer: DI-2018-22697 17(17)
Datum: 2021-06-09
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet
meddelades. Om överklagandet har kommit in i rätt tid sänder
Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.