1(24)
Utbildningsnämnden i Stockholms stad
Diarienummer:
DI-2021-5774 Beslut efter tillsyn enligt
Datum: dataskyddsförordningen –
2023-10-03
Utbildningsnämnden i Stockholms
stad
Innehåll
1. Integritetsskyddsmyndighetens beslut ........................................................................3
2. Redogörelse för tillsynsärendet ..................................................................................3
2.1 Bakgrund........................................................................................................3
2.2 Vad som framkommit i ärendet ......................................................................4
2.3 Omfattningen av IMY:s prövning i ärendet.....................................................4
3. Motivering av beslutet .................................................................................................5
3.1 Tillämplig lagstiftning för Utbildningsnämndens kamerabevakning ...............5
3.1.1 Dataskyddsförordningen ..................................................................5
3.1.2 Kamerabevakningslagen ..................................................................5
3.2 Personuppgiftsansvar ....................................................................................5
3.3 Behöver Utbildningsnämnden tillstånd för kamerabevakningen? ..................5
3.4 Har Utbildningsnämnden haft rättslig grund för sin kamerabevakning enligt
artikel 6.1 c i dataskyddsförordningen? ...............................................................6
3.4.1 Tillämpliga bestämmelser m.m. .......................................................6
3.4.2 IMY:s bedömning .............................................................................7
3.5 Har Utbildningsnämnden haft rättslig grund för sin kamerabevakning enligt
artikel 6.1 e i dataskyddsförordningen? ...............................................................7
3.5.1 Tillämpliga bestämmelser m.m. .......................................................7
Postadress: 3.5.2 Har det fastställts en uppgift av allmänt intresse som kan ge stöd
Box 8114 för behandlingen? .....................................................................................9
104 20 Stockholm
3.5.3 IMY:s bedömning av nödvändighet och proportionalitet ................10
Webbplats:
www.imy.se 3.6 Upplysningsplikt och informationsskyldighet................................................16
E-post: 3.6.1 Upplysningsplikt enligt kamerabevakningslagen ............................16
[email protected]
3.6.2 Informationsplikt enligt dataskyddsförordningen ............................17
Telefon:
08-657 61 00
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 2(24)
Datum: 2023-10-03
3.7 Val av ingripande .........................................................................................21
3.7.1 Tillämpliga bestämmelser ..............................................................21
3.7.2 Ska sanktionsavgift påföras? .........................................................21
3.7.3 Bestämmande av sanktionsavgiften ..............................................22
3.7.4 Föreläggande .................................................................................22
4. Hur man överklagar ..................................................................................................24
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 3(24)
Datum: 2023-10-03
1. Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Utbildningsnämnden i Stockholms stad
under tiden 25 maj 2018 till 3 oktober 2023 behandlat personuppgifter genom
kamerabevakning på Aspuddens skola i strid med
• principen om laglighet i artikel 5.1 a i dataskyddsförordningen1,
• principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen,
• kravet på rättslig grund i artikel 6.1 i dataskyddsförordningen, samt
• skyldigheten att lämna information enligt artikel 13 i dataskyddsförordningen.
Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i
dataskyddsförordningen och 6 kap. 2 § dataskyddslagen2 att Utbildningsnämnden i
Stockholms stad, för överträdelse av artiklarna 5.1 a, 5.1 c och 6.1 i
dataskyddsförordningen, ska betala en administrativ sanktionsavgift på 800 000
(åttahundratusen) kronor.
Integritetsskyddsmyndigheten förelägger med stöd av artikel 58.2 d i
dataskyddsförordningen Utbildningsnämnden i Stockholms stad att under
verksamhetstid upphöra med kamerabevakning på Aspuddens skola med undantag
för den kamerabevakning som sker, med ändamålet att förebygga och följa upp
anlagda bränder, utanför dörren eller ingång till toalettutrymmen i lokaler tillhörande
högstadiet och som innebär att endast personer som passerar in och ut bevakas.
Åtgärden ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.
Integritetsskyddsmyndigheten förelägger med stöd av artikel 58.2 d i
dataskyddsförordningen Utbildningsnämnden i Stockholms stad att vidta åtgärder för
att säkerställa att det i det andra informationslagret på Stockholms stads webbplats
finns information om korrekt rättslig grund för behandlingen samt information om de
rättigheter som avses i artikel 13.2 b i dataskyddsförordningen. Åtgärderna ska ha
vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.
2. Redogörelse för tillsynsärendet
2.1 Bakgrund
Integritetsskyddsmyndigheten (IMY) har mottagit klagomål om att Aspuddens skola
tillhörande Stockholm stad bedriver omfattade kamerabevakning i stora delar av
skolan och att ingen information om kamerabevakningen och den
personuppgiftsbehandling som bevakning innebär har lämnats till vårdnadshavare och
elever. IMY har även mottagit ett anonymt tips som gör gällande att personal vid
skolan inte lämnats information om kamerabevakningen och att det saknats skyltar om
kamerabevakning vid entréer till skolan. IMY har därför inlett tillsyn mot
Utbildningsnämnden i Stockholms stad (Utbildningsnämnden eller nämnden) som
uppgett att nämnden är personuppgiftsansvarig för den behandling av personuppgifter
som sker vid Aspuddens skola.
1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
direktiv 95/46/EG (allmän dataskyddsförordning).
2 Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 4(24)
Datum: 2023-10-03
2.2 Vad som framkommit i ärendet
Utbildningsnämnden i Stockholms stad har i ärendet uppgett bland annat följande.
Aspuddens skola är en grundskola med elever från förskoleklass till årskurs 9. I
oktober 2021 hade skolan 1060 elever, 150 lärare och annan personal samt 22
timvikarier. Kamerabevakning infördes i skolan år 2014 och föranleddes av flertalet
anlagda bränder i skolans lokaler, ibland flera bränder per dag. I skolan finns ca 50
stycken fast monterade kameror utrustade med fast optik. Kamerorna bevakar
korridorer, trapphus och hallar i anslutning till dörrar, toaletter och elevskåp och finns
uppsatta i stora delar av skolan. Ingen bevakning sker på platser i skolan dit
allmänheten har tillträde. Kamerorna aktiveras vid rörelse och bevakningen sker
dygnet runt med bildinspelning.
Ändamålen med bevakningen är att förebygga och följa upp skadegörelse, kränkande
behandling, brand, inbrott och annat intrång eller annan åverkan i skollokalerna.
Utbildningsnämnden har gett in sammanställningar av incidenter med kränkande
behandling som skett i skolan under åren 2018–2021 samt en sammanställning av
brott och andra händelser som inträffat på skolan under perioden oktober 2018 till maj
2022. Utbildningsnämnden har därutöver anfört att det under läsåret 2022/2023
fortsatt förekomma fysiska kränkningar, påhälsningar från utomstående i skolans
lokaler, brand och inbrott.
Aspuddens skola har vidtagit och vidtar andra åtgärder för att förebygga och främja
trygghet och säkerhet på skolan. Skolan har bland annat övervägt att låsa
entrédörrarna för att förhindra intrång från obehöriga men har bedömt att elevernas
behov av att röra sig fritt mellan skolbyggnaderna väger tyngre än att förhindra intrång
från obehöriga. Vidare har skolan ett trygghetsteam som arbetar med de strategiska
frågorna för elevers trygghet. Trygghetsteamet utreder också händelser i
skolvardagen. Även eleverna är delaktiga i trygghetsarbetet på skolan genom klass-,
fritids- och elevråd. För att visa på allvaret med bränder hålls årligen brandutbildning
för årkurs 5 och 8. Rastvärdar finns tillgängliga på alla stadier med tydliga uppdrag och
gula västar så att de är lätta att se. Avsikten med rastvärdarnas närvaro är att
förhindra konflikter, upptäcka obehöriga och förhindra skadegörelse. Rastvärdarnas
närvaro har dock inte varit tillräcklig då det trots närvaron anlagts bränder på
framförallt toaletter.
Utbildningsnämnden har anfört att det vid prövning den 24 augusti 2023 bedömts att
behovet av kamerabevakning fortsatt föreligger för att garantera trygghet och säkerhet
för elever och personal.
2.3 Omfattningen av IMY:s prövning i ärendet
IMY:s prövning i ärendet är avgränsad till frågorna om Utbildningsnämndens
personuppgiftsbehandling genom kamerabevakningen vid Aspuddens skola har stöd i
artikel 6.1 i dataskyddsförordningen, om Utbildningsnämnden följer principerna om
laglighet och uppgiftsminimering i artikel 5.1 a och c i dataskyddsförordningen, om
bevakningen är tillståndspliktig enligt kamerabevakningslagen och om
Utbildningsnämnden uppfyller upplysningsplikten och informationsplikten enligt
kamerabevakningslagen (2018:1200) respektive dataskyddförordningen.
Den granskade kamerabevakningen har pågått sedan 2014. Eftersom
dataskyddsförordningen började tillämpas den 25 maj 2018 är IMY:s prövning enligt
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 5(24)
Datum: 2023-10-03
dataskyddsförordningen begränsad till tiden därefter. Omständigheter i samband med
införandet av kamerabevakningen 2014 och det som skett fram till den 25 maj 2018
ligger därmed utanför IMY:s tillsyn.
3. Motivering av beslutet
3.1 Tillämplig lagstiftning för Utbildningsnämndens
kamerabevakning
Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om
och i vilken utsträckning det är tillåtet att kamerabevaka regleras i
dataskyddsförordningen och kamerabevakningslagen som kompletterar
dataskyddsförordningen.
3.1.1 Dataskyddsförordningen
Dataskyddsförordningen ska enligt artikel 2.1 tillämpas på behandling av
personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i
dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller
identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 i
dataskyddsförordningen avses med behandling en åtgärd eller kombination av
åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring,
läsning och radering.
Om en bevakningskamera fångar en identifierbar person eller någon annan
personuppgift i bild måste därför reglerna i dataskyddsförordningen följas. Då IMY:s
bedömning är att uppgifter om identifierbara personer behandlas genom den aktuella
kamerabevakningen är dataskyddsförordningen tillämplig på behandlingen.
3.1.2 Kamerabevakningslagen
Av 3 § 1 kamerabevakningslagen framgår att med kamerabevakning avses en tv-
kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning
som, utan att manövreras på platsen används på ett sådant sätt som innebär varaktig
eller regelbundet upprepad personbevakning.
Den aktuella kamerabevakningen manövreras inte på platsen och innebär en varaktig
bevakning av elever, anställda och övriga besökare. IMY gör därför bedömningen att
kamerabevakningslagen är tillämplig på den aktuella bevakningen.
3.2 Personuppgiftsansvar
Utbildningsnämnden har anfört att nämnden är personuppgiftsansvarig för den
behandling av personuppgifter som sker genom kamerabevakning på Aspuddens
skola. Vad nämnden anfört vinner stöd av övrig utredning i ärendet. IMY bedömer
därför att Utbildningsnämnden i Stockholms stad är personuppgiftsansvarig för den
aktuella personuppgiftsbehandlingen i den mening som avses i artikel 4.7 i
dataskyddsförordningen.
3.3 Behöver Utbildningsnämnden tillstånd för
kamerabevakningen?
I kamerabevakningslagen finns bestämmelser om när det krävs tillstånd för att
kamerabevaka. Av 7 § kamerabevakningslagen följer att tillstånd krävs för bevakning
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 6(24)
Datum: 2023-10-03
av en plats dit allmänheten har tillträde om bevakningen bedrivs av en myndighet eller
någon annan än en myndighet vid utförande av en uppgift av allmänt intresse som
följer av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd
av lag eller annan författning.
Utbildningsnämnden är en myndighet och behöver därför som utgångspunkt tillstånd
till kamerabevakning under förutsättning att bevakningen sker på en plats dit
allmänheten har tillträde. Allmänheten anses i regel inte ha tillträde till inomhusmiljön i
en skola. Undantag görs dock för rektorsexpeditionen och utrymmen man passerar för
att ta sig dit (jfr Förvaltningsrätten i Göteborgs dom i mål nr 11460-17).
Utbildningsnämnden har uppgett att det inte finns någon kamerabevakning vid
huvudentrén eller vägen fram till rektorsexpeditionen. Detta framgår också av den
ritning som Utbildningsnämnden gett in. Mot bakgrund av vad som framkommit om
platserna för bevakning bedömer IMY att det inte är fråga om platser dit allmänheten
har tillträde. Utbildningsnämnden behöver därför inte tillstånd för bevakningen.
Att kamerabevakningen är tillståndsfri innebär dock inte att bevakningen per automatik
är tillåten. Eftersom bevakningen innebär att personuppgifter behandlas gäller reglerna
i dataskyddsförordningen. I kamerabevakningslagen finns också, utöver
bestämmelsen om tillstånd, till exempel regler om krav på upplysning som blir aktuella
vid kamerabevakning.
3.4 Har Utbildningsnämnden haft rättslig grund för sin
kamerabevakning enligt artikel 6.1 c i dataskyddsförordningen?
För att Utbildningsnämndens kamerabevakning ska vara tillåten krävs det att
bestämmelserna i dataskyddsförordningen följs. Det innebär bland annat att
Utbildningsnämnden måste ha stöd för sin kamerabevakning i minst en av de rättsliga
grunder som anges i artikel 6.1 i dataskyddsförordningen.
Utbildningsnämnden har uppgett att den rättsliga grund på vilken nämnden stödjer sin
personuppgiftsbehandling genom kamerabevakning är rättslig förpliktelse i artikel 6.1 c
i dataskyddsförordningen. Nämnden har angett att det av 5 kap. skollagen (2010:800)
följer en rätt till trygg skolmiljö för alla elever och att det med anledning av skollagens
krav därför föreligger en sådan rättslig förpliktelse som avses i artikel 6.1 c i
dataskyddsförordningen.
3.4.1 Tillämpliga bestämmelser m.m.
I artikel 6.1 i dataskyddsförordningen anges att en behandling endast är laglig om
minst ett av de angivna villkoren i artikeln är uppfyllt.
Av artikel 6.1 c i dataskyddsförordningen framgår att ett av villkoren är att
behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den
personuppgiftsansvarige.
Av artikel 6.3 i dataskyddsförordningen framgår att den grund för behandlingen som
avses i 6.1 c i dataskyddsförordningen ska fastställas i enlighet med unionsrätten eller
en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.
Enligt 2 kap. 1 § dataskyddslagen får personuppgifter behandlas med stöd av artikel
6.1 c i dataskyddsförordningen, om behandlingen är nödvändig för att den
personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 7(24)
Datum: 2023-10-03
eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av
lag eller annan författning.
En rättslig förpliktelse kan inte utgöra en rättslig grund för behandling av
personuppgifter om förpliktelsen är för svepande och ger den personuppgiftsansvarige
en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas.3 Vilken grad av tydlighet
och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av
personuppgifter ska anses vara nödvändig måste bedömas från fall till fall, utifrån
behandlingens och verksamhetens karaktär. En behandling av personuppgifter som
inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd
av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång kräver att den
rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.4
3.4.2 IMY:s bedömning
IMY konstaterar att den skyldighet enligt 5 kap. skollagen som Utbildningsnämnden
åberopat är fastställd på det sätt som anges i 2 kap. 1 § dataskyddslagen. IMY
konstaterar dock att den aktuella behandlingen är av integritetskänsligt slag eftersom
den rör kamerabevakning av barn på en plats där de till följd av skolplikten är skyldiga
att vistas. Kamerabevakningen omfattar dessutom anställda. Detta innebär att högre
krav ställs på den rättsliga förpliktelsens precisering. Bestämmelsen i 5 kap. 3 §
skollagen är relativt allmänt hållen. Där anges att huvudmannen har en skyldighet att
säkerställa att det på skolenheten bedrivs ett förebyggande arbete som syftar till att
skapa trygghet och studiero. IMY anser att 5 kap. 3 § skollagen inte är tillräckligt tydlig
och precis för att, enligt artikel 6.1 c i dataskyddsförordningen, kunna ligga till grund för
den integritetskänsliga personuppgiftsbehandling som är aktuell i detta fall.5
Den aktuella behandlingen kan därmed inte stödjas på artikel 6.1 c i
dataskyddsförordningen.
3.5 Har Utbildningsnämnden haft rättslig grund för sin
kamerabevakning enligt artikel 6.1 e i dataskyddsförordningen?
Utbildningsnämnden har uppgett att för det fall IMY anser att nämnden inte kan stödja
sin behandling av personuppgifter på den rättsliga grunden i artikel 6.1 c i
dataskyddsförordningen så bör behandlingen kunna stödjas på artikel 6.1 e i
dataskyddsförordningen. Enligt nämnden fastställer regleringen i 5 kap. 3 § skollagen
den grund för behandlingen som krävs för att uppfylla kravet i artikel 6.3 i
dataskyddsförordningen.
3.5.1 Tillämpliga bestämmelser m.m.
Av artikel 6.1 e i dataskyddsförordningen följer att personuppgifter får behandlas om
behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led
i den personuppgiftsansvariges myndighetsutövning.
Enligt artikel 6.3 i dataskyddsförordningen ska den grund för behandlingen som avses
i artikel 6.1 e fastställas i enlighet med unionsrätten eller en medlemsstats nationella
rätt som den personuppgiftsansvarige omfattas av. Enligt 2 kap. 2 § dataskyddslagen
får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om
3 Jfr SOU 2017:39 s. 114 f., Artikel 29-gruppens yttrande 6/2014, WP 217, s. 20 f. och Förvaltningsrätten i Stockholms
dom 2020-06-17 i mål nr 9379-19 och 9408-19.
4 Prop. 2017/18:105 s. 51.
5 Jfr EDPB:s riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter, antagna den 29 januari 2020, s.
9.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 8(24)
Datum: 2023-10-03
behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av
lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med
stöd av lag eller annan författning eller som ett led i den personuppgiftsansvariges
myndighetsutövning enligt lag eller annan författning.
Av skäl 41 framgår att den rättsliga grunden bör vara tydlig och precis och dess
tillämpning förutsebar för de som omfattas av den, i enlighet med rättspraxis vid EU-
domstolen och Europadomstolen. Vilken grad av tydlighet och precision som krävs i
fråga om den rättsliga grunden som fastställer arbetsuppgiften eller
myndighetsutövningen för att en viss behandling av personuppgifter ska anses vara
nödvändig måste enligt regeringen bedömas från fall till fall, utifrån behandlingens och
verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon
egentlig kränkning av den personliga integriteten, såsom när det gäller behandling av
elevers namn i reguljär skolverksamhet, kan enligt regeringen ske med stöd av en
rättslig grund som är allmänt hållen. Ett mer kännbart intrång, till exempel behandling
av känsliga personuppgifter inom hälso- och sjukvården, kräver emellertid att den
rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.6
Vid bedömningen av om en arbetsuppgift eller myndighetsutövning följer av
exempelvis en lagbestämmelse kan bland annat förarbetsuttalanden, bestämmelsens
syfte och den rättsliga kontext bestämmelsen befinner sig i behöva beaktas. Det är
alltså inte bara lagtextens ordalydelse som är av relevans för att avgöra om något
följer av lag.7
För att artikel 6.1 e i dataskyddsförordningen ska kunna ligga till grund för en
personuppgiftsbehandling krävs inte bara att den personuppgiftsansvarige har en
uppgift av allmänt intresse som fastställts i nationell rätt eller unionsrätten. Den
aktuella behandlingen ska även vara nödvändig för att utföra uppgiften av allmänt
intresse. Av skäl 39 till dataskyddsförordningen framgår att personuppgifter endast bör
behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel.
Gällande kravet på nödvändighet har EU-domstolen angett att kravet inte är uppfyllt
när det eftersträvade målet av allmänintresse rimligen kan uppnås på ett lika effektivt
sätt genom andra medel som i mindre utsträckning inskränker de registrerades
grundläggande rättigheter, särskilt rätten till respekt för privatlivet och rätten till skydd
för personuppgifter enligt artiklarna 7 och 8 i stadgan. EU-domstolen har vidare uttalat
att undantag från och inskränkningar av principen om skydd för personuppgifter inte
får gå utöver vad som är strikt nödvändigt.8 Den personuppgiftsansvarige ska därför,
även när denne agerar inom ramen för sin uppgift av allmänt intresse, inte generellt
och utan åtskillnad samla in personuppgifter, utan måste avstå från att samla in
uppgifter som inte är absolut nödvändiga med hänsyn till ändamålet med
behandlingen av dessa uppgifter.9 Nödvändighetskriteriet ska ses mot bakgrund av att
undantag och begränsningar av skyddet för personuppgifter ska inskränkas till vad
som är absolut nödvändigt.10 Samtidigt följer av praxis att nödvändighetskriteriet kan
6 Prop. 2017/18:105 s. 51
7 Se Sören Öman, Dataskyddsförordningen (GDPR) m.m. (13 oktober 2022, Version 2A, JUNO), kommentaren till
artikel 6 under rubriken Led e – Arbetsuppgift av allmänt intresse eller myndighetsutövning.
8 EU-domstolens dom Latvijas Republikas Saeima, C-439/19, EU:C:2021:504, punkt 110.
9 EU-domstolens dom Valsts ieņēmumu dienests, C-175/20, EU:C:2022:124, punkt 74.
10 EU-domstolens dom Rīgas satiksme, C-13/16, EU:C:2017:336, punkt 30.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 9(24)
Datum: 2023-10-03
anses uppfyllt om det bidrar till effektivisering11, vilket även framhölls i förarbetena till
dataskyddslagen12.
Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen
om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen enligt vilken
personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i
förhållande till de ändamål för vilka de behandlas.13
I 5 kap. 3 § första och andra styckena skollagen anges att alla elever ska tillförsäkras
en skolmiljö där utbildningen präglas av trygghet och undervisningen av studiero. Det
är huvudmannen som ska säkerställa att det på skolenheten bedrivs ett förebyggande
arbete som syftar till att skapa trygghet och studiero.
3.5.2 Har det fastställts en uppgift av allmänt intresse som kan ge stöd för
behandlingen?
En skillnad mellan de rättsliga grunderna i artikel 6.1 c och artikel 6.1 e i
dataskyddsförordningen är att den sistnämnda bestämmelsen inte kräver en precist
fastställd rättslig förpliktelse. En uppgift av allmänt intresse enligt artikel 6.1 e kan vara
mer allmänt beskriven.14 Det innebär att den rättsliga regleringen i 5 kap. 3 §
skollagen, även om den inte kan utgöra grund för personuppgiftsbehandlingen enligt
artikel 6.1 c i dataskyddsförordningen, kan ligga till grund för behandlingen enligt
artikel 6.1 e i dataskyddsförordningen.15
IMY konstaterar inledningsvis att det, varken i 5 kap. 3 § skollagen eller i
bestämmelsens förarbeten, uttryckligen anges att kamerabevakning får ske för att
skapa en trygg skolmiljö. Av ordalydelsen i artikel 6.3 första stycket i
dataskyddsförordningen framgår dock att det som ska fastställas i unionsrätten eller i
nationell rätt är den grund för behandlingen som avses i artikel 6.1 e. Det krävs
således inte en reglering i nationell rätt av den personuppgiftsbehandling som ska ske
med stöd av denna grund. Det räcker att uppgiften av allmänt intresse fastställs i den
nationella lagstiftningen.16
IMY konstaterar att 5 kap. 3 § skollagen innefattar en uppgift av allmänt intresse som
fastställts i svensk rätt på det sätt som anges i artikel 6.3 i dataskyddsförordningen och
2 kap. 2 § dataskyddslagen.
För att bestämmelsen ska kunna ligga till grund för den aktuella
personuppgiftsbehandlingen krävs att den rättsliga grunden är tillräckligt tydlig och
precis samt att dess tillämpning är förutsebar för de registrerade (se skäl 41 till
dataskyddsförordningen).
Som IMY redan konstaterat är kamerabevakning som sker i en skola en
integritetskänslig personuppgiftsbehandling. Personuppgiftsbehandlingens karaktär
ställer därför vissa krav på den rättsliga grundens utformning.
Av förarbetena till den aktuella bestämmelsen i skollagen framgår bland annat
följande. Huvudmannen ska säkerställa att det på skolenheten bedrivs ett
förebyggande arbete som syftar till att skapa trygghet och studiero. Att eleverna
11 EU-domstolens dom Huber, C-524/06, EU:C:2008:724, punkt 62.
12 Prop. 2017/18:105 s. 46 f.
13 EU-domstolens dom av den 11 december 2019, TK, C-708/18, EU:C:2019:1064, punkt 48.
14 Jfr The EU General Data Protection Regulation (GDPR) A Commentary, red. Kuner m.fl., 2020, s. 600.
15 Jfr prop. 2017/18:105 s. 53 f.
16 Jfr prop. 2017/18:105, s. 49.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 10(24)
Datum: 2023-10-03
känner sig trygga har avgörande betydelse för deras lärande och utveckling.17 Arbetet
med trygghet i skolan innefattar såväl att skapa en säker miljö som att förebygga och
motverka kränkningar och arbeta främjande med normer och värden.18 Ett
förebyggande arbete innebär bland annat att skolor och huvudmän följer upp
elevernas trygghet såväl som studiero. Det innebär även att skolor och huvudmän
analyserar vilka hinder som finns för att elever ska vara trygga och ha studiero och
aktivt verkar för att dessa hinder undanröjs. Begreppet trygghet ska kopplas samman
med begreppet utbildning för att tydliggöra att elever ska vara trygga i alla delar som
hör till utbildningen.19
IMY konstaterar att kamerabevakning får anses vara ett vanligt förekommande verktyg
för att säkerställa trygghet och säkerhet i olika typer av miljöer. Det ligger nära till
hands att kamerabevakning kan komma att användas om det är nödvändigt för att
säkerställa en trygg och säker skolmiljö i kommunens lokaler.
Mot den bakgrunden bedömer IMY att 5 kap. 3 § skollagen är tillräckligt tydlig och
förutsebar för att utgöra grund för kamerabevakning.
För att bestämmelsen ska kunna ligga till grund för den aktuella
personuppgiftsbehandlingen krävs vidare, enligt artikel 6.3 i dataskyddsförordningen,
att den är proportionell mot det legitima mål som eftersträvas. IMY konstaterar att
kravet på proportionalitet i artikel 6.3, enligt ordalydelsen, tar sikte på utformningen av
den nationella lagstiftningen som ska ligga till grund för behandlingen, dvs. i det här
fallet 5 kap. 3 § skollagen. Det är dock inte möjligt att enbart utifrån denna
bestämmelse göra en fullständig bedömning av om kravet på proportionalitet är
uppfyllt. Detta förhållande utesluter, enligt IMY:s bedömning, inte att bestämmelsen i
skollagen kan utgöra rättslig grund för personuppgiftsbehandlingen. Av EU-domstolens
praxis följer att den närmare bedömningen av kravet på proportionalitet kan ske utifrån
omständigheterna kring den faktiska personuppgiftsbehandlingen.20
Bedömningen av om kravet på proportionalitet enligt artikel 6.3 är uppfyllt sker
lämpligen i samband med bedömningen av om behandlingen varit nödvändig i den
mening som avses i artikel 6.1 e i dataskyddsförordningen.
3.5.3 IMY:s bedömning av nödvändighet och proportionalitet
För att Utbildningsnämndens personuppgiftsbehandling genom kamerabevakning ska
vara tillåten krävs att behandlingen är nödvändig för att utföra den uppgift av allmänt
intresse som regleras i skollagen samt att behandlingen är proportionerlig i förhållande
till det mål som eftersträvas. Prövningen av nödvändighet och proportionalitet är nära
förknippad med principen om uppgiftsminimering enligt artikel 5.1 c i
dataskyddsförordningen som innebär att personuppgifter som samlas in ska vara
adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de
behandlas. Utbildningsnämnden har uppgett att ändamålen med kamerabevakningen
är att förebygga och följa upp skadegörelse, kränkande behandling, brand, inbrott och
annat intrång eller annan åverkan i skollokalerna. IMY konstaterar att nödvändigheten
och proportionaliteten behöver bedömas utifrån respektive ändamål. Mot bakgrund av
vad som framgår av utredningen i ärendet finner IMY även anledning att särskilja
prövningen av ändamålet att förebygga och förhindra anlagda bränder från annan typ
av brottslighet. Det finns också anledning att pröva de olika ändamålen med hänsyn till
17 Prop. 2021/22:160 s. 28.
18 Prop. 2021/22:160 s. 42.
19 Prop. 2021/22:160 s. 229.
20 EU-domstolens dom Norra Stockholms Bygg AB, C-268/21, EU:C:2023:145, punkt 54-59.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 11(24)
Datum: 2023-10-03
kamerabevakning som sker under verksamhetstid och efter verksamhetstid. Med
verksamhetstid avses här den tid då det bedrivs skolverksamhet i lokalerna och elever
och personal befinner sig i skolan.
Innan IMY går in på bedömningen utifrån de olika ändamålen med
kamerabevakningen finns det skäl att göra en allmän bedömning av
integritetsintressena vid den bevakning som sker under verksamhetstid. Skolan är en
arbetsplats för eleverna som, på grund av skolplikten, måste befinna sig där under
verksamhetstid. Skolan är också en arbetsplats där de anställda som står i
beroendeförhållande till sin arbetsgivare, måste befinna sig under arbetstid.
Kamerabevakning som sker på skolor kan ge upphov till särskilda integritetsrisker.
Den kan exempelvis möjliggöra kartläggning av personalens arbetsinsatser eller
personalens och elevernas vanor i övrigt. En anställd förväntar sig inte heller i de flesta
fall att bli övervakad av sin arbetsgivare på sin arbetsplats.21 Vidare betraktas
personuppgifter om barn som särskilt skyddsvärda.22 Detta innebär att
integritetsintresset på skolor som utgångspunkt väger tungt. Att bevakningen sker med
bildinspelning ökar integritetsintresset ytterligare.
Av utredningen framgår att kamerabevakningen i Aspuddens skola sker i de flesta av
skolans byggnader. Bevakningen sker i korridorer, trapphus och hallar. Bevakningen i
korridorer sker där det finns elevskåp, bord och bänkar. Bevakningen sker också
utanför toaletter, utanför matsalen där det finns plats för avhängning samt i hallar för
av- och påklädning för de yngre eleverna. Upptagningsområdet omfattar även viss
undervisningsyta för de yngre eleverna. IMY konstaterar därför att de platser som
bevakas är sådana där elever vistas och umgås under en stor del av den tid de
tillbringar i skolan. Enligt IMY:s bedömning väger integritetsintresset särskilt tungt på
platser där elever kan tänkas befinna sig under en längre tid, så som
undervisningsytor och sittplatser i korridorer. Bevakning som sker på sådana platser i
skolan under skoltid måste generellt betraktas som ett kännbart intrång i elevernas och
de anställdas integritet. Detta medför att det måste finnas ett påtagligt behov av
bevakningen.23 Bevakningens integritetskänsliga natur innebär också att det krävs
noggranna överväganden om alternativa eller mindre integritetskänsliga
tillvägagångssätt.
Ändamålet förebygga och följa upp inbrott och stöld efter verksamhetstid
Utbildningsnämnden har uppgett att den aktuella kamerabevakningen sker dygnet runt
vilket innebär att kamerabevakning även sker när det inte pågår någon
skolverksamhet i lokalerna. Av utredningen i ärendet framgår att det har skett
händelser i form av inbrott och stöld efter verksamhetstid.
När det gäller den kamerabevakning som sker efter verksamhetstid väger
integritetsintresset mindre tungt. IMY finner inte skäl att ifrågasätta bevakningens
laglighet med hänsyn till den problematik med inbrott och stöld som framgår av
utredningen, under förutsättning att kamerabevakningen sker när ingen behörig person
befinner sig i lokalerna. I ärendet har det inte utretts närmare i vilken utsträckning
bevakningen utanför verksamhetstid kan omfatta personer, t.ex. besökare vid
uthyrning eller lokalvårdare, som har rätt att befinna sig i lokalerna och det finns därför
inte underlag att bedöma om sådan bevakning haft rättslig grund enligt artikel 6.1 i
dataskyddsförordningen. IMY understryker dock vikten av att Utbildningsnämnden i
21 Europeiska dataskyddsstyrelsens (EDPB) riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter,
version 2.0, antagna den 29 januari 2020, punkt 37.
22 Skäl 38 till dataskyddsförordningen.
23 Jfr Högsta förvaltningsdomstolens dom den 22 mars 2012 i mål nr 914-11.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 12(24)
Datum: 2023-10-03
enlighet med principen om ansvarsskyldighet i artikel 5.2 gör en noggrann bedömning
av om det finns rättslig grund för sådan bevakning.
Ändamålet förebygga och följa upp anlagda bränder under verksamhetstid
Av utredningen i ärendet framgår att det har skett fem fall av anlagd brand eller försök
till brand i skolan under perioden oktober 2018 – maj 2022. Bränderna har skett på
toaletter och i ett omklädningsrum. Endast i två fall har bränder inträffat på en plats där
det funnits en kamera i närheten. Enligt Utbildningsnämnden har det även förekommit
brand i skolan under läsåret 2022/2023. Utbildningsnämnden har uppgett att det som
föranledde kamerabevakningen i skolan år 2014 var problem med anlagda bränder
som inträffade ibland flera gånger per dag. Vidare har Utbildningsnämnden uppgett att
det trots rastvärdars närvaro har anlagts bränder och att kameror utanför toaletter på
högstadiet har underlättat skyndsam utredning när brand har uppstått.
IMY konstaterar att anlagda bränder är händelser av allvarlig karaktär som kan utgöra
hot mot liv och hälsa och kan dessutom få stora konsekvenser avseende egendom.
De anlagda bränderna har till största del inträffat inne på toaletter där någon
kamerabevakning inte skett men kamerabevakningen utanför toaletterna uppges ha
underlättat utredningen av bränder. Av utredningen i ärendet framgår att händelser
med anlagda bränder främst har skett i lokaler där högstadieelever vistas och
Utbildningsnämnden har uppgett att kameror utanför toaletter på högstadiet har
underlättat skyndsam utredning när brand har uppstått.
Mot bakgrund av allvarligheten och de konsekvenser anlagda bränder i skolan kan
orsaka, skolans historik med anlagda bränder, att rastvakters närvaro inte varit
tillräcklig och att bränder fortsatt har anlagts anser IMY att den aktuella
kamerabevakningen som har skett i lokaler tillhörande högstadiet med ändamål att
förebygga och följa upp bränder i och för sig kan anses uppfylla kraven på
nödvändighet och proportionalitet. Detta trots att områden strax utanför toaletter till sin
karaktär är särskilt integritetskänsliga och att omfattningen av inträffade anlagda
bränder varit relativt begränsad.
En förutsättning för att kamerabevakningen för detta ändamål ska anses ha varit
nödvändig är dock att kamerornas upptagningsområde varit begränsat till ett område i
nära anslutning till toalettutrymmena och inte omfattat mer än vad som varit
nödvändigt i förhållande till ändamålet med bevakningen i enlighet med principen om
uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. IMY konstaterar att
utredningen visar att kamerorna som varit aktuella vid utredning av brand varit riktade
längs med korridorerna och i stort sett bevakat dessa i sin helhet och inte enbart i
anslutning till toalettutrymmen. Utredningen visar bland annat att en av de kameror
som har använts för utredning av en brand också bevakat ingången till lokalerna för
skolhälsovården, vilket är en särskilt integritetskänslig plats.
Sammantaget finner IMY, mot bakgrund av vad som framkommit i ärendet, att viss del
av bevakningen som skett utanför toalettutrymmen i lokaler tillhörande högstadiet har
varit nödvändig och proportionerlig för att säkerställa trygghet i skolan. Denna del av
bevakningen omfattar ett begränsat område strax utanför dörren eller ingång till
toalettutrymmet. För att bevakningen ska uppfylla kraven på nödvändighet och
proportionalitet krävs att endast personer som passerar in och ut från toalettutrymmet
bevakas. För den begränsade bevakningen utanför toaletter i lokaler tillhörande
högstadiet bedömer IMY att Utbildningsnämndens behandling genom
kamerabevakning haft rättslig grund enligt artikel 6.1 e i dataskyddsförordningen.
Denna bedömning grundar sig på den utredning som presenterats i ärendet.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 13(24)
Datum: 2023-10-03
Bedömningen kan bli en annan om förhållandena förändras varför det finns en
skyldighet för Utbildningsnämnden att kontinuerligt och regelbundet ompröva om
bevakningen är tillåten.
Kamerabevakningen som skett utöver detta område har däremot varit mer omfattande
än nödvändigt varför rättslig grund enligt artikel 6.1 e i dataskyddsförordningen
saknats för den delen av bevakningen. Enligt IMY:s bedömning finns det inte heller
någon annan rättslig grund i artikel 6.1 e som har kunnat ligga till grund för den
kamerabevakningen. Kamerabevakningen har således skett i strid med artikel 6.1 i
dataskyddsförordningen.
Då behandlingen har avsett barn som genom sin skolplikt varit tvungna att befinna sig i
skolan samt anställda i beroendeförhållande till sin arbetsgivare bedömer IMY att
avsaknaden av rättslig grund är en sådan principiell överträdelse att
Utbildningsnämndens behandling även har skett i strid med principen om laglighet i
artikel 5.1 a i dataskyddsförordningen. IMY bedömer också att behandlingen har skett i
strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen
eftersom den omfattat fler personuppgifter än vad som varit nödvändigt.
Ändamålet förebygga och följa upp kränkande behandling under verksamhetstid
Av utredningen framgår att det förekommit kränkande behandling i skolans korridorer.
Det framgår också att kränkande behandling förekommit i alla årskurser
(förskoleklass–årskurs 9) och att antalet incidenter inte skiljer sig åt mellan
årskurserna i någon större omfattning.
Enligt 6 kap. 3 § skollagen avses med kränkande behandling ett uppträdande som
utan att vara diskriminering enligt diskrimineringslagen (2008:567) kränker ett barns
eller en elevs värdighet. Enligt förarbetena är det som avses mobbning och liknande
beteenden som har sin grund i att någon exempelvis är överviktig, har en viss hårfärg
eller är en "plugghäst" etc. Kränkande behandling kan även föreligga utan att den som
kränker anger någon specifik egenskap hos det barn eller den elev som utsätts för
kränkningar. Att man utan verbala nedsättande omdömen över exempelvis någons
hårfärg eller klädsel ger uttryck för sitt missnöje genom att till exempel knuffa eller
rycka någon i håret eller sätta krokben för personen i fråga kan också utgöra
kränkande behandling i lagens mening. Även psykiska kränkningar genom till exempel
utfrysning omfattas av uttrycket kränkande behandling.24
Skollagen ställer bland annat krav på att huvudmannen ska se till att det genomförs
åtgärder för att förebygga och förhindra att barn och elever utsätts för kränkande
behandling samt att huvudmannen skyndsamt ska utreda omständigheterna kring
uppgivna kränkningar.25 Hur utredningen ska gå till väga beror på förhållandena i det
enskilda fallet. I vissa situationer kan det vara tillräckligt att genom några frågor få
händelsen klarlagd och därigenom utagerad. I sådana fall kan den aktuella
verksamheten anses ha fullgjort sin skyldighet att utreda. En sådan enkel utredning
kan dock bara anses tillräcklig om det framgår att händelsen varit bagatellartad. I
andra mer komplicerade fall av kränkningar kan utredningsskyldigheten bli mer
långtgående och omfatta fler barn eller elever samt personal.26
IMY konstaterar att begreppet kränkande behandling är vitt och omfattar många olika
typer av handlingar samt att svårighetsgraden på den kränkande behandlingen kan
24 Prop. 2007/08:95 s. 575.
25 6 kap. 7 och 10 §§ skollagen.
26 Prop. 2005/06:38 s. 141.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 14(24)
Datum: 2023-10-03
variera. Kränkande behandling kan utgöras av alltifrån fysiska slag och sparkar till
verbala nedsättande ord och utfrysning. Av det underlag som Utbildningsnämnden gett
in framgår också att de kränkningar som förekommit på Aspuddens skola varit av
varierande slag. IMY konstaterar vidare att det finns en lagstadgad skyldighet för
huvudmannen att arbeta förebyggande med kränkande behandling för att på så sätt
motverka att kränkande behandling av barn och elever sker i skolan. I de fall
kränkande behandling ändå sker varierar den utredningsskyldighet som åligger
huvudmannen beroende på hur komplicerade fallen är.
Som IMY konstaterat ovan är kamerabevakning i skolan en integritetsingripande
personuppgiftsbehandling. IMY anser att kamerabevakning som en generell åtgärd
med ändamål att förebygga och följa upp kränkande behandling inte kan anses vara
varken proportionerlig i förhållande till ändamålet eller nödvändig för att uppfylla de
skyldigheter som åligger huvudmannen enlig skollagen. Utbildningsnämnden har
anfört att kamerabevakning kan användas för att enklare utreda kränkningar men har
inte beskrivit behovet av kamerabevakning för aktuellt ändamål närmare än så. Utöver
detta har det inte framkommit att Utbildningsnämnden har gjort några särskilda
överväganden avseende kamerabevakningen mot bakgrund av de fall av kränkande
behandling som skett vid Aspuddens skola. IMY bedömer därför att det
Utbildningsnämnden anfört och vad som i övrigt framkommit i ärendet inte är tillräckligt
för att det ska finnas ett sådant påtagligt intresse av kamerabevakning som krävs för
att kunna motivera kamerabevakningen. IMY anser därför att kamerabevakningen som
skett med ändamål att förebygga och följa upp kränkande behandling inte kan anses
ha varit nödvändig och proportionerlig för att utföra den aktuella uppgiften av allmänt
intresse.
Utbildningsnämnden har därför saknat rättslig grund enligt artikel 6.1 e i
dataskyddsförordningen för kamerabevakning som skett i detta ändamål. Enligt IMY:s
bedömning finns det inte heller någon annan rättslig grund i artikel 6.1 e som har
kunnat ligga till grund för kamerabevakningen. Kamerabevakningen har således skett i
strid med artikel 6.1 i dataskyddsförordningen.
IMY bedömer att kamerabevakningen även skett i strid med principen om laglighet i
artikel 5.1 a i dataskyddsförordningen då behandlingen har avsett barn som genom sin
skolplikt varit tvungna att befinna sig i skolan samt anställda i beroendeförhållande till
sin arbetsgivare.
Ändamålen förebygga och följa upp skadegörelse, stöld, intrång och annan åverkan i
skolan under verksamhetstid
Den sammanställning av brott och andra händelser som Utbildningsnämnden gett in i
ärendet visar att det, under dagtid, har skett drygt 20 händelser under perioden
oktober 2018 – maj 2022 på Aspuddens skola som utgörs av skadegörelse, stöld och
intrång av obehöriga. Utbildningsnämnden har anfört att besök från obehöriga även
förekommit under läsåret 2022/2023. Utbildningsnämnden har även anfört att vissa
alternativa åtgärder har vidtagits för att komma till rätta med problematiken på
Aspuddens skola, så som ett trygghetsteam som på olika sätt arbetar med frågor
gällande trygghet samt närvaro av rastvärdar. Vidare har anförts att skolan har
övervägt att låsa entrédörrarna för att förhindra intrång från obehöriga, men att man
gjort bedömningen att elevernas behov av att röra sig fritt mellan skolbyggnaderna
varit större än att förhindra intrång.
Utbildningsnämnden har vidare anfört att kamerabevakningen infördes år 2014 och att
bevakningen utökades med fler kameror under 2017. Enligt Utbildningsnämnden har
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 15(24)
Datum: 2023-10-03
kamerabevakningen begränsats till de utrymmen där incidenter av allvarlig karaktär
har skett eller sker.
IMY konstaterar att ändamålen att förebygga och följa upp skadegörelse, stöld, intrång
och annan åverkan i skolan i sig är berättigade ändamål och kan anses förenliga med
uppgiften att säkerställa ett förebyggande arbete som syftar till att skapa en trygg
skolmiljö. IMY konstaterar också att det inte är uteslutet att kamerabevakning som sker
för dessa ändamål kan anses vara nödvändig beroende bland annat på den
problembild som genom dokumentation kan visas i det enskilda fallet samt hur
bevakningen i övrigt har arrangerats sett till omfattning, tid och plats.
Som IMY ovan har konstaterat är kamerabevakning i en skola under verksamhetstid
en integritetskänslig åtgärd och det krävs därför att det finns ett påtagligt behov för att
bevakningen ska kunna motiveras. Detta innebär i sin tur att den
personuppgiftsansvarige, i enlighet med principen om ansvarsskyldighet enligt artikel
5.2 i dataskyddsförordningen, behöver göra en noggrann analys och inventering av de
problem som kamerabevakningen syftar till att komma till rätta med. En sådan
behovsanalys är nödvändig för att kunna bedöma hur ändamålen med
kamerabevakningen uppnås på det minst integritetskänsliga tillvägagångssättet och
om kamerabevakningen kan vara en nödvändig och proportionerlig åtgärd. I de fall en
probleminventering visar att det finns en reell problembild av viss art eller omfattning
kan sådana alternativa och mindre integritetsingripande åtgärder till exempel vara att
begränsa omfattningen av kamerabevakningen till endast vissa specifika platser eller
tider. Även användning av integritetsvänlig teknik, så som maskering och användning
av endast lågupplösta bilder, är exempel på sådana åtgärder. Först om ett mindre
integritetskänsligt tillvägagångssätt inte visat sig få avsedd effekt anser IMY att det
skulle kunna bli aktuellt att överväga en mer ingripande eller mer omfattande
behandling.
IMY konstaterar att Utbildningsnämnden har vidtagit vissa alternativa åtgärder för att
säkerställa trygghet i skolan. Det har däremot inte framkommit att
Utbildningsnämnden, under den tid som omfattas av denna tillsyn, gjort sådana
noggranna överväganden om alternativa och mindre integritetskänsliga åtgärder som
krävs vid denna typ av integritetskänslig personuppgiftsbehandling. Sådana
överväganden skulle till exempel kunnat leda till att behov av kamerabevakning inte
ansågs föreligga längre, att andra åtgärder bedömts vara tillräckliga eller i det fall
behov av kamerabevakning ändå ansågs föreligga, att kamerorna begränsades till de
platser där det faktiskt var nödvändigt att bevaka för att uppnå det aktuella syftet. IMY
konstaterar exempelvis utifrån sammanställningen av brott och andra händelser att det
under perioden oktober 2018–maj 2022 har inträffat händelser i form av skadegörelse,
stöld och intrång i främst två av de sex skolbyggnaderna som bevakas. Några enstaka
händelser har skett i en tredje byggnad. I vissa av de bevakade skolbyggnaderna finns
således inga rapporterade händelser. Vidare konstaterar IMY att de händelser som har
inträffat varit av begränsad omfattning och allvarlighetsgrad. Det Utbildningsnämnden
framfört och vad som i övrigt framkommit av utredningen ger inte stöd för att det skulle
föreligga en särskilt svår problembild med brott på Aspuddens skola som kan motivera
den kamerabevakningen.
IMY konstaterar också att skolan valt att inte använda en mindre integritetskänslig
åtgärd med system med låsta dörrar och inpassering för elever trots problem med
intrång från obehöriga under verksamhetstid.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 16(24)
Datum: 2023-10-03
Nödvändighetsrekvisitet ska också som nämnts ovan, prövas tillsammans med
principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, vilken
föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte
för omfattande i förhållande till de ändamål för vilka de behandlas. IMY konstaterar
mot bakgrund av vad som framkommit i ärendet att kamerabevakningen varit för
omfattande och inneburit att fler personuppgifter samlats in än vad som varit
nödvändigt i förhållande till de ändamål för vilka de samlats in. Kamerabevakningen
som skett i stora delar av skolan har vidare inneburit att en stor mängd uppgifter
dagligen samlats in utan att vara relevanta för ändamålen med bevakningen.
IMY bedömer att kamerabevakningen, på det sätt som den har bedrivits under
verksamhetstid, har varit mer ingripande och mer omfattande än vad som varit
nödvändigt för att utföra den aktuella uppgiften av allmänt intresse. Bevakningen som
skett under verksamhetstid med ändamål att förebygga och följa upp skadegörelse,
inbrott och annat intrång eller annan åverkan i skollokalerna har därför inte uppfyllt
dataskyddsförordningens krav på nödvändighet och proportionalitet.
Utbildningsnämnden har därmed saknat rättslig grund för denna bevakning enligt
artikel 6.1 e i dataskyddsförordningen. Enligt IMY:s bedömning finns det inte heller
någon annan rättslig grund i artikel 6.1 e som har kunnat ligga till grund för
kamerabevakningen. Kamerabevakningen har således skett i strid med artikel 6.1 i
dataskyddsförordningen.
IMY bedömer att kamerabevakningen även skett i strid med principen om laglighet i
artikel 5.1 a i dataskyddsförordningen då behandlingen har avsett barn som genom sin
skolplikt varit tvungna att befinna sig i skolan samt anställda i beroendeförhållande till
sin arbetsgivare. IMY bedömer också att behandlingen har skett i strid med principen
om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.
3.6 Upplysningsplikt och informationsskyldighet
Den som bedriver kamerabevakning har långtgående skyldigheter att informera
berörda personer om den pågående bevakningen. I 15 § kamerabevakningslagen
finns ett krav på att upplysning om kamerabevakning ska lämnas genom tydlig
skyltning eller på något annat verksamt sätt. Utöver detta ska den som är
personuppgiftsansvarig för kamerabevakning lämna information om bevakningen och
den personuppgiftsbehandling som bevakningen innebär enligt artiklarna 12 och 13 i
dataskyddsförordningen. IMY ska därför bedöma om Utbildningsnämnden har levt upp
till kraven i dessa bestämmelser avseende sin kamerabevakning.
3.6.1 Upplysningsplikt enligt kamerabevakningslagen
Kravet på upplysning enligt kamerabevakningslagen innebär att den som bedriver
kamerabevakning på en plats måste upplysa om detta. Bestämmelsen avser själva
användningen av kamerabevakningsutrustning och inte den behandling av
personuppgifter som bevakningen innebär.27 Bestämmelsen innehåller inga krav i
övrigt angående vilken information som ska lämnas. Upplysningsplikten får därmed
anses vara uppfylld om den som bedriver bevakningen på ett tydligt sätt lämnar
upplysning om att kamerabevakning sker på en viss plats. Denna upplysning ska
lämnas genom skyltning eller på något annat verksamt sätt.
Av utredningen i ärendet framgår att skolan, sedan kamerabevakningen påbörjades,
har haft skyltar om kamerabevakning direkt innanför entréerna i respektive byggnad
27 Prop. 2017/18:231 s. 88 f.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 17(24)
Datum: 2023-10-03
och vid ingång till korridorer där trapphus leder från entréerna till korridorer där
bevakning sker. Kamerabevakning har inte skett av område mellan yttre och inre
entréer. Sedan oktober 2021 är skyltarna om kamerabevakning placerade på de yttre
entrédörrarna så att de är synliga även för personer utanför byggnaden. IMY bedömer
att Utbildningsnämnden har lämnat upplysning om bevakningen genom tydlig skyltning
och därigenom uppfyllt upplysningskravet i 15 § kamerabevakningslagen. Nästa fråga
är om Utbildningsnämnden har levt upp till kraven på information enligt
dataskyddsförordningen.
3.6.2 Informationsplikt enligt dataskyddsförordningen
Tillämpliga bestämmelser
I artiklarna 12–14 i dataskyddsförordningen finns bestämmelser om vilken information
som den personuppgiftsansvarige ska lämna till den registrerade vid alla former av
personuppgiftsbehandling, inklusive vid kamerabevakning.
I artikel 12.1 i dataskyddsförordningen anges bland annat att den
personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade
tillhandahålla all information som avses i artiklarna 13 och 14 i en koncis, klar och
tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk.
Detta gäller särskilt om informationen är riktad till barn. Vidare framgår att
informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så
är lämpligt, i elektronisk form. Av skäl 58 framgår att eftersom barn förtjänar särskilt
skydd, bör all information och kommunikation som riktar sig till barn utformas på ett
tydligt och enkelt språk som barnet lätt kan förstå.
Artikel 13 i dataskyddsförordningen reglerar vilken information som ska lämnas när
personuppgifterna samlas in direkt från den registrerade och artikel 14 reglerar vilken
information som ska lämnas när personuppgifterna samlas in från någon annan än
den registrerade.
Europeiska dataskyddsstyrelsen (EDPB) har i sina riktlinjer gjort bedömningen att
artikel 13, och inte artikel 14 i dataskyddsförordningen, är tillämplig vid
personuppgiftsbehandling genom användning av kamerabevakning.28 EDPB har enligt
artikel 70 i dataskyddförordningen till uppgift att se till att dataskyddsförordningen
tillämpas enhetligt och ska i detta syfte bland annat besluta om riktlinjer om tolkningen
av dataskyddsförordningen. EDPB har således en central roll för att säkerställa
harmoniseringen av regelverket som är ett av dataskyddsförordningens två
huvudsyften (se artikel 1 och skäl 9 och 10). Vägledningarna från EDPB utgör ett viktig
stöd både i tillsynsmyndigheternas verksamhet och i personuppgiftsansvarigas arbete
med att uppfylla förordningens krav. Kammarrätten i Stockholm har dock i dom den 26
januari 2023 i mål nr 1552-22 bedömt att det inte är artikel 13 i dataskyddförordningen
utan artikel 14 som ska vara tillämplig vid personuppgiftsbehandling genom
kamerabevakning. IMY har överklagat domen till Högsta förvaltningsdomstolen (mål nr
870-23) och kammarrättens dom har därmed inte vunnit laga kraft. Med hänsyn till den
ställning som EDPB:s riktlinjer har enligt förordningen och i avvaktan på ett
lagakraftvunnet avgörande utgår IMY i sin bedömning från EDPB:s riktlinjer och att det
är artikel 13 i dataskyddsförordningen som ska tillämpas i ärendet.
28 WP260 Riktlinjer om öppenhet enligt förordning (EU) 2016/679, antagna den 11 april 2018, punkt 26 (EDPB har
genom ett särskilt beslut bekräftat dessa riktlinjer, se Endorsement 1/2018) och EDPB:s riktlinjer 3/2019, för
behandling av personuppgifter genom videoenheter, version 2.0, antagna den 29 januari 2020, punkt 110–119.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 18(24)
Datum: 2023-10-03
Enligt artikel 13.1 i dataskyddsförordningen ska den registrerade informeras om bland
annat den personuppgiftsansvariges identitet och kontaktuppgifter, ändamålen med
behandlingen för vilken personuppgifterna är avsedda samt den rättsliga grunden för
behandlingen. Därutöver ska den registrerade, enligt artikel 13.2 i
dataskyddsförordningen, bland annat informeras om den period under vilken
personuppgifterna kommer att lagras, att det föreligger en rätt att av den
personuppgiftsansvarige begära tillgång till och rättelse eller radering av
personuppgifter eller begränsning av behandling som rör den registrerade eller att
invända mot behandling samt rätten att inge klagomål till en tillsynsmyndighet.
Av artikel 13.4 i dataskyddsförordningen framgår att punkterna 1, 2 och 3 i artikel 13
inte ska tillämpas om och i den mån den registrerade redan förfogar över
informationen.
Informationen ska i princip lämnas till den registrerade innan behandlingen av den
registrerades personuppgifter påbörjas. Mot bakgrund av att det är fråga om en stor
mängd information som ska lämnas till den registrerade har EDPB tagit fram riktlinjer
kring hur den personuppgiftsansvarige kan gå tillväga för att leva upp till kraven i
artiklarna 12 och 13 i dataskyddsförordningen.29 Av dessa riktlinjer framgår att den
personuppgiftsansvarige kan använda sig av en stegvis metod för att tillhandahålla
den information som framgår av artikel 13 i dataskyddsförordningen. Den stegvisa
metoden innebär att den information som är av störst vikt för den registrerade ska
redovisas redan innan den registrerade kliver in i det bevakade området, till exempel
på en skylt (det första informationslagret). Övrig information kan redovisas på annat
sätt, till exempel på en webbplats eller i ett komplett informationsblad på en central
plats som till exempel vid en informationsdisk eller i en reception (det andra
informationslagret). Riktlinjerna från EDPB antogs i slutet av januari 2020.
I riktlinjerna framgår att det kan variera vilken information som är av störst vikt för den
registrerade och som därmed ska ingå i det första informationslagret, beroende på hur
och på vilken plats bevakningen sker. Generellt sett bör det första informationslagret
omfatta den personuppgiftsansvariges identitet och kontaktuppgifter, syftet med
bevakningen, den registrerades rättigheter och information om behandlingens främsta
inverkan (till exempel lagringstid, publicering av material eller överföring av material till
tredje part).30 Det första informationslagret bör dessutom innehålla all information som
kan vara förvånande för den registrerade, till exempel om överföring av material sker
till tredje part eller om det är fråga om en lång lagringsperiod av det inspelade
materialet.31 Slutligen ska det första informationslagret innehålla en hänvisning till hur
den registrerade kan gå tillväga för att ta del av det andra informationslagret, till
exempel genom en länk till en webbplats, en QR-kod eller ett telefonnummer som den
registrerade kan ringa.32
Artikel 29-gruppen, som numera ersatts av EDPB, har i riktlinjer om öppenhet enligt
dataskyddsförordningen uppgett att personuppgiftsansvariga är skyldiga, enligt de
särskilda öppenhetsåtgärder som ska vidtas när det gäller barn enligt artikel 12.1 (med
stöd av skälen 38 och 58 till dataskyddsförordningen), att säkerställa att all information
och kommunikation sker på ett klart och tydligt språk eller via ett medium som är
lättbegripligt för barn, om de riktar sig till barn eller är medvetna om att deras varor
eller tjänster särskilt används av barn i läs- och skrivkunnig ålder33. För att undvika
29 EDPB:s riktlinjer 3/2019, punkt 110-119.
30 EDPB:s riktlinjer 3/2019, punkt 114 och 116.
31 EDPB:s riktlinjer 3/2019, punkt 115.
32 EDPB:s riktlinjer 3/2019, punkt 114.
33 WP260 Riktlinjer om öppenhet enligt förordning (EU) 2016/679, antagna den 11 april 2018, punkt 15.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 19(24)
Datum: 2023-10-03
tvivel ska öppenhetsåtgärderna också få riktas till personer som har föräldraansvar för
barn som är mycket små eller inte är läs- och skrivkunniga, eftersom sådana barn i de
flesta fall sannolikt inte kommer att kunna förstå ens de enklaste meddelanden om
öppenhet som ges i skriftlig eller annan form.34
Hur Utbildningsnämnden lämnar information om bevakningen till den registrerade
Utbildningsnämnden har i ärendet uppgett att det fram till augusti 2021 suttit skyltar i
form av dekaler om kamerabevakning direkt innanför entréerna i respektive byggnad
och vid ingång till korridorer där trapphus leder från entréerna till korridorer där
bevakning sker. I augusti 2021 sattes nya kameraskyltar upp som bättre skulle uppfylla
de krav på information som dataskyddsförordningen uppställer. I oktober 2021
flyttades kameraskyltarna till samtliga yttre entréer till skolan där kamerabevakning
sker. Utbildningsnämnden har i ärendet gett in bilder som visar hur de nya skyltarna
ser ut. På skyltarna, som utgör det första lagret, informerar Utbildningsnämnden den
registrerade om att nämnden bedriver kamerabevakning på platsen, syftet med
bevakningen, att bildmaterial utan ljud spelas in och lagringstiden för inspelat material.
Vidare finns information om att materialet kan komma att överlämnas till utredande
myndighet vid brottsutredning och att den registrerade som bevakad har rätt att få
tillgång till sina personuppgifter och begära att få dem raderade. För ytterligare
information hänvisas till Stockholms stads webbplats. På skylten finns även
kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud.
På Stockholms stads webbplats, som får anses utgöra det andra lagret, har
Utbildningsnämnden information om att kamerabevakning som sker i skolan följer av
en rättslig förpliktelse, som utgör den lagliga grunden för behandlingen. På
webbplatsen finns vidare information om bland annat vem man ska kontakta för det fall
man har frågor om kamerabevakningen och att man ska vända sig till skolan eller
dataskyddsombudet med synpunkter och klagomål samt möjligheten att lämna
klagomål till IMY.
Sedan läsårsstart i augusti 2021 har skolan och huvudmannen nya rutiner för att
upplysa om kamerabevakning. De nya rutinerna innebär att rektorn vid läsårsstart
kommunicerar användandet och syftet med kamerabevakningen till samtliga elever
och vårdnadshavare i ett rektorsbrev. I rektorsbrevet från augusti 2021 angavs att
kamerabevakning används på skolan som ett komplement till skolans trygghetsarbete,
att kamerabevakningen inte sker i realtid och att händelser i form av brand och intrång
av obehöriga i lokalerna har kunnat utredas med hjälp av material från
kamerabevakningen.
Vidare har lärarna i uppdrag att inför läsårsstart muntligen informera eleverna om
kamerabevakningen. För vårdnadshavare finns även information om skolans
kamerabevakning att tillgå på Skolplattformens startsida. Den information som ges på
Skolplattformens startsida utgörs av en bild på skylten om kamerabevakning (första
lagret). Aspuddens skola har sedan augusti 2021 fortsatt att löpande informera om
kamerabevakningen och dess syfte till elever, vårdnadshavare och personal.
Utbildningsnämnden har uppgett att de nya rutinerna tillkommit med anledning av
IMY:s granskning av skolans kamerabevakning. Tidigare fanns inga tydliga rutiner för
att upplysa om kamerabevakningen som sker i skolan. Användningen av
kamerabevakning har inte kommunicerats till vårdnadshavare i rektorsbrev eller via
34 WP260 Riktlinjer om öppenhet enligt förordning (EU) 2016/679, antagna den 11 april 2018, punkt 15.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 20(24)
Datum: 2023-10-03
information på Skolplattformen innan läsårstart i augusti 2021. Lärarna har inte heller
getts i uppdrag att informera eleverna om kamerabevakningen före augusti 2021.
IMY:s bedömning
Barns personuppgifter förtjänar särskilt skydd eftersom barn kan vara mindre
medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när
det gäller behandling av personuppgifter. Kamerabevakningen innebär en
integritetskänslig personuppgiftsbehandling. Det krävs därför särskilda åtgärder för att
informera elever och vårdnadshavare om personuppgiftsbehandlingen. Utöver
informationen som Utbildningsnämnden gett de registrerade i form av skyltar (första
lagret) och informationen på Stockholms stads webbsida (andra lagret) konstaterar
IMY att Aspuddens skola sedan augusti 2021 också vidtar flera insatser för att särskilt
informera elever och vårdnadshavare. Mot bakgrund av skolans verksamhet och att
merparten av de registrerade är barn, anser IMY att de insatser som vidtagits sedan
augusti 2021 utgör ett viktigt komplement till övrig information som ges.
IMY konstaterar att Utbildningsnämnden sedan augusti 2021 lämnar merparten av den
information som ska lämnas enligt artikel 13 i dataskyddsförordningen i antingen det
första eller andra informationslagret.
I fråga om information om den rättsliga grund som personuppgiftsbehandlingen stödjer
sig på (artikel 13.1 c) framgår av det andra informationslagret att kamerabevakning i
skolan följer av en rättslig förpliktelse i skollagen som uppställer krav på att skolmiljön
präglas av trygghet. Det framgår inte av informationen vilken bestämmelse i skollagen
som utgör den rättsliga förpliktelsen. IMY konstaterar att felaktig information om rättslig
grund för behandlingen kan få konsekvenser för de registrerade. Exempelvis gäller
rätten att göra invändningar mot behandlingen enligt artikel 21 i
dataskyddsförordningen bara vid behandling som grundar sig på artikel 6.1 e eller f i
dataskyddsförordningen och inte när behandlingen sker med stöd av en rättslig
förpliktelse enligt artikel 6.1 c. Den felaktigt angivna rättsliga grunden för behandlingen
får således konsekvenser för registrerades möjligheter att invända mot behandlingen.
Sammanfattningsvis konstaterar IMY att den felaktigt angivna rättsliga grunden utgör
en brist i förhållande till artikel 13.1 c i dataskyddsförordningen.
IMY konstaterar vidare att det i såväl det första som i det andra informationslagret
saknas information om de registrerades rätt att begära begränsning av behandling
samt information om rätten att invända mot behandling. Det är information som den
personuppgiftsansvariga enligt artikel 13.2 i dataskyddsförordningen ska lämna till den
registrerade för att säkerställa rättvis och transparent behandling. IMY bedömer mot
denna bakgrund att avsaknaden av information om de registrerades rätt att begära
begränsning av behandling samt information om rätten att invända mot behandling
utgör en brist i förhållande till artikel 13.2 b i dataskyddsförordningen.
Sammanfattningsvis bedömer IMY att de brister som konstaterats ovan innebär att
Utbildningsnämnden under perioden 25 maj 2018 till 3 oktober 2023 har överträtt
artikel 13 i dataskyddsförordningen genom att ge felaktig information om den rättsliga
grund som personuppgiftsbehandlingen stödjer sig på samt att det saknats information
om de registrerades rätt att begära begränsning av behandling och invända mot
behandling.35
35 Med anledning av att frågan om det är artikel 13 eller 14 som ska tillämpas vid kamerabevakning är föremål för
domstolsprövning (Högsta förvaltningsdomstolens mål nr 870-23) vill IMY framhålla att artikel 14 ställer upp
motsvarade krav som artikel 13 i fråga om information om rättslig grund och registrerades rättigheter.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 21(24)
Datum: 2023-10-03
3.7 Val av ingripande
3.7.1 Tillämpliga bestämmelser
IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande
befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av
artikel 58.2 a–j i dataskyddsförordningen.
IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder
som avses i artikel 58.2 i dataskyddsförordningen, beroende på omständigheterna i
varje enskilt fall.
Enligt artikel 83.7 i dataskyddsförordningen får det i nationell rätt föreskrivas att
myndigheter kan påföras administrativa sanktionsavgifter. Enligt 6 kap. 2 §
dataskyddslagen kan sanktionsavgifter tas ut av myndigheter. Då ska artikel 83.1, 83.2
och 83.3 i dataskyddsförordningen tillämpas. Sanktionsavgiften ska bestämmas till
högst 5 000 000 kronor vid överträdelser som avses i artikel 83.4 i
dataskyddsförordningen och till högst 10 000 000 kronor vid överträdelser som avses i
artikel 83.5 och 83.6 i dataskyddsförordningen.
Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en
och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av
oaktsamhet överträder flera av bestämmelserna i dataskyddsförordningen får den
administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs
för den allvarligaste överträdelsen. Det framgår av artikel 83.3 i
dataskyddsförordningen.
Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa
sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det
anges i artikel 83.1 i dataskyddsförordningen.
I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas vid
bedömningen av om en administrativ sanktionsavgift ska påföras, men också vad som
ska påverka sanktionsavgiftens storlek.
Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i
dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.
3.7.2 Ska sanktionsavgift påföras?
IMY har vid den granskning som myndigheten gjort av Utbildningsnämndens
kamerabevakning vid Aspuddens skola funnit att Utbildningsnämnden saknat rättslig
grund för personuppgiftsbehandling genom kamerabevakning som skett under
verksamhetstid, med undantag för kamerabevakning med ändamålet att förebygga
och följa upp anlagda bränder, som skett utanför dörren eller ingång till
toalettutrymmen i lokaler tillhörande högstadiet och som inneburit att endast personer
som passerar in och ut bevakas. Utbildningsnämnden har i och med det överträtt
artiklarna 6.1 och 5.1 a och c i dataskyddsförordningen. IMY bedömer att
överträdelserna avser en och samma uppgiftsbehandling.
Överträdelserna har av de skäl som utvecklas nedan utgjort ingripande intrång i
elevers och anställdas integritet och inneburit risker för de berördas rätt att utöva sina
rättigheter. IMY:s bedömning är därför att det inte är fråga om mindre överträdelser i
den mening som avses i skäl 148 till dataskyddsförordningen. Överträdelserna ska
därför leda till en administrativ sanktionsavgift.
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 22(24)
Datum: 2023-10-03
Utbildningsnämnden har vidare överträtt artikel 13 i dataskyddsförordningen genom att
ge felaktig information om den rättsliga grund som personuppgiftsbehandlingen stödjer
sig på samt genom att inte ge information om de registrerades rättigheter att begära
begränsning av behandling och att invända mot behandlingen. IMY konstaterar att
denna överträdelse till stor del utgör en konsekvens av Utbildningsnämndens felaktiga
bedömning av den rättsliga grunden för behandlingen. Det finns därför inte skäl att
utfärda en sanktionsavgift för denna överträdelse. Enligt IMY är ett föreläggande att
vidta rättelse en tillräcklig åtgärd i förhållande till bristerna enligt artikel 13 (se vidare
nedan).
3.7.3 Bestämmande av sanktionsavgiften
Överträdelser av artiklarna 5 och 6 omfattas av artikel 83.5 i dataskyddsförordningen.
Det maximala beloppet för sanktionsavgiften är därför, enligt 6 kap. 2 § andra stycket
dataskyddslagen, 10 000 000 kr.
När det gäller bedömningen av överträdelsernas allvarlighetsgrad finns det till en
början faktorer som medför att det finns skäl att se allvarligare på överträdelserna.
Personuppgiftsbehandlingen har avsett kamerabevakning av barn och anställda vid
skolan i deras vardagliga miljö där de spenderar en stor del av sin vardag.
Personuppgiftsbehandlingen har omfattat barns personuppgifter, vilka är särskilt
skyddsvärda. Bevakningen har skett på en arbetsplats där de anställda är i
beroendeförhållande till sin arbetsgivare. Såväl barnen som de anställda har varit
skyldiga att befinna sig på platsen och har således inte haft någon möjlighet att undgå
bevakningen. Kamerabevakning som sker på skolor ger upphov till särskilda
integritetsrisker. Den kan exempelvis möjliggöra kartläggning av personalens
arbetsinsatser eller personalens och elevernas vanor i övrigt. En anställd förväntar sig
inte heller i de flesta fall att bli övervakad av sin arbetsgivare på sin arbetsplats.
Kamerabevakningen har skett kontinuerligt med bildinspelning utan laglig grund i
omfattande delar av skolan, inklusive ytor där elever kan sitta ned för att studera och
utanför skolhälsan. Kamerabevakningen har pågått under en lång tid. Överträdelserna
har därmed påverkat ett relativt stort antal registrerade, majoriteten av dem barn,
under en längre tid och sammantaget avsett ett stort antal personuppgifter.
IMY konstaterar samtidigt att det finns faktorer som talar i motsatt riktning.
Utbildningsnämnden har vidtagit åtgärderna som ett led i att utföra den lagstadgade
uppgiften av allmänt intresse, att skapa trygghet och studiero i skolan.
Kamerabevakningen har haft till syfte att säkerställa en trygg skolmiljö för de elever
som omfattas av den. Bevakningen har vidare skett på platser dit allmänheten inte har
tillträde vilket innebär att en avgränsad krets av personer har drabbats.
IMY bedömer att det saknas ytterligare försvårande eller förmildrande omständigheter
som påverkar sanktionsavgiftens storlek.
Vid en samlad bedömning av nämnda omständigheter och mot bakgrund av att den
administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande i
det nu aktuella fallet bestämmer IMY den administrativa sanktionsavgiften för
Utbildningsnämnden till 800 000 kr.
3.7.4 Föreläggande
Eftersom bevakningen, såvitt framgår av utredningen, fortfarande är pågående är det
angeläget att Utbildningsnämnden upphör med den bevakning som inte är tillåten. Det
finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga
Utbildningsnämnden att under verksamhetstid upphöra med kamerabevakning på
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 23(24)
Datum: 2023-10-03
Aspuddens skola med undantag för den kamerabevakning som sker, med ändamålet
att förebygga och följa upp anlagda bränder, utanför dörren eller ingång till
toalettutrymmen i lokaler tillhörande högstadiet och som innebär att endast personer
som passerar in och ut bevakas.
Det är enligt IMY också angeläget att Utbildningsnämnden vidtar åtgärder för att
säkerställa att de registrerade får korrekt och fullständig information avseende den
personuppgiftsbehandling genom kamerabevakning som sker vid Aspuddens skola.
Det finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga
Utbildningsnämnden att vidta åtgärder för att säkerställa att det i det andra
informationslagret på Stockholms stads webbplats finns uppgift om korrekt rättslig
grund för behandlingen samt information om de rättigheter som avses i artikel 13.2 b i
dataskyddsförordningen.
Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.
______________________________
Detta beslut har fattats av vikarierande generaldirektören Karin Lönnheden efter
föredragning av juristerna Sarah Bodlander och Måns Lysén. Vid den slutliga
handläggningen har även rättschefen David Törngren och enhetschefen Jenny Bård
medverkat.
Karin Lönnheden, 2023-10-03 (Det här är en elektronisk signatur)
Bilaga
Information om betalning av sanktionsavgift
Kopia till
Dataskyddsombud, Utbildningsnämnden Stockholms Stad
Integritetsskyddsmyndigheten Diarienummer: DI-2021-5774 24(24)
Datum: 2023-10-03
4. Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet
meddelades. Om överklagandet har kommit in i rätt tid sänder
Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.