Kameraövervakning i butik och GDPR: det här behöver du tänka på

Kameraövervakning är ett vanligt sätt att förebygga stöld, öka tryggheten för personalen och kunna utreda händelser i efterhand. Samtidigt är bilder på människor personuppgifter, och därför behöver kamerabevakning i butik följa dataskyddsförordningen GDPR och kamerabevakningslagen.

Den här artikeln är en allmän översikt och inte juridisk rådgivning. Integritetsskyddsmyndigheten, IMY, är tillsynsmyndighet och har vägledning om kamerabevakning på sin webbplats. Läs den och ta hjälp av en jurist eller dataskyddsombud om du är osäker på vad som gäller för just din verksamhet.

Varför gäller GDPR för kameror i butik?

När en kamera filmar personer som går att identifiera behandlas personuppgifter. Det gäller oavsett om bilderna spelas in eller bara visas live. Butiken är då personuppgiftsansvarig och behöver kunna visa att bevakningen är laglig, nödvändig och proportionerlig.

Börja med syftet

Innan kamerorna sätts upp bör du formulera varför du behöver dem. Vanliga syften i butik är att:

• förebygga och utreda stöld och skadegörelse
• öka tryggheten för personal och kunder
• skydda kassa, lager och värdefulla varor

Syftet styr resten av besluten: var kamerorna placeras, vad de filmar, hur länge materialet sparas och vem som får titta på det. Material som samlats in för ett syfte bör inte användas till något helt annat.

Gör en intresseavvägning

För privata företag är den rättsliga grunden för kamerabevakning oftast så kallat berättigat intresse. Det innebär att butikens intresse av bevakningen ska vägas mot de filmade personernas intresse av att inte bli övervakade.

Frågor att ställa sig:

• Finns det ett verkligt problem som kameran ska lösa?
• Går det att uppnå syftet på ett mindre integritetskänsligt sätt?
• Kan bevakningen begränsas i tid, till exempel bara när butiken är stängd?
• Kan kamerans bildfält begränsas till det som verkligen behövs?

Dokumentera avvägningen. Det visar att du har tänkt igenom bevakningen och gör det lättare att svara på frågor från personal, kunder eller myndigheter.

Placering och bildfält

Kameror bör placeras där de gör nytta för syftet, till exempel vid entré, kassa och utsatta varugrupper. Undvik att filma mer än nödvändigt.

Tänk särskilt på:

• Personalutrymmen: områden som pausrum och omklädningsrum är mycket integritetskänsliga och bör normalt inte bevakas.
• Toaletter och provrum: ska inte bevakas.
• Allmän plats utanför butiken: att filma gata eller trottoar kräver särskild försiktighet, och IMY:s vägledning bör läsas noga.
• Ljud: att spela in ljud anses ofta vara mer integritetskänsligt än bild och kräver starka skäl.

Personalen

Kameror i butik filmar ofta även anställda. Personalen ska informeras om bevakningen, och det kan finnas regler om samverkan med fackliga organisationer. Kamerorna bör inte användas för att kontrollera hur enskilda medarbetare arbetar, om det inte är ett uttalat och godtagbart syfte. Stäm av med HR eller arbetsrättslig expertis vid behov.

Skyltning och information

Den som filmas ska få information om bevakningen. I praktiken betyder det tydliga skyltar vid entrén och där kamerorna finns. Skylten bör visa att kamerabevakning pågår och vem som ansvarar, samt hänvisa till var man kan få mer information, till exempel på butikens webbplats eller vid kassan.

Den fullständiga informationen bör bland annat beskriva syftet, den rättsliga grunden, hur länge materialet sparas och vilka rättigheter den filmade har.

Lagringstid

Inspelat material ska inte sparas längre än nödvändigt för syftet. Bestäm en lagringstid och ställ in inspelningen så att materialet raderas automatiskt. Om en händelse behöver utredas kan relevant material sparas längre och lämnas till polisen. IMY:s vägledning ger stöd för hur du resonerar kring lagringstid.

Säkerhet och åtkomst

Inspelat material behöver skyddas mot obehörig åtkomst. Några grundläggande åtgärder:

• Begränsa vem som får titta på live-bild och inspelningar.
• Använd personliga inloggningar och starka lösenord.
• Logga vem som tittar på eller exporterar material.
• Placera inspelningsutrustningen i ett låst utrymme.
• Håll kamerornas och inspelarens programvara uppdaterad.
• Låt kamerorna ligga på ett eget, avskilt nät.

Om du använder molnlagring eller en leverantör som hanterar materialet behövs normalt ett personuppgiftsbiträdesavtal.

Lokal inspelning eller moln?

Inspelning kan ske på en lokal inspelare i butiken eller i molnet. Lokal inspelning ger dig full kontroll över var materialet finns, men inspelaren behöver skyddas fysiskt. Molnlagring gör att materialet finns kvar även om utrustningen i butiken skadas eller stjäls, men kräver att du granskar leverantören och var datan lagras. Oavsett val gäller samma krav på lagringstid och åtkomst.

De filmades rättigheter

Personer som har filmats har rättigheter enligt GDPR, till exempel att begära att få ta del av de uppgifter som rör dem. Det är bra att i förväg bestämma hur en sådan begäran ska hanteras, vem som ansvarar och hur andra personer i bilden skyddas om material lämnas ut. Rutinen bör vara känd av butikschefen och den som administrerar kamerasystemet.

Videoanalys och integritet

Moderna kameror kan även användas för analys, till exempel värmekartor eller kölarm. Sådana funktioner kan ofta utformas så att de bara ger statistik utan att spara bilder på personer. Även då bör du göra en bedömning av hur analysen påverkar integriteten och informera om den.

Checklista

• Formulera och dokumentera syftet
• Gör och dokumentera en intresseavvägning
• Begränsa placering och bildfält
• Informera personalen
• Sätt upp tydliga skyltar
• Bestäm och ställ in lagringstid
• Skydda materialet och begränsa åtkomsten
• Följ upp bevakningen regelbundet
• Läs IMY:s vägledning om kamerabevakning

Så hjälper StoreIQ dig

StoreIQ installerar IP-kameror med inspelning och mobilapp för butiker i hela Sverige. Vi hjälper dig placera kamerorna så att de täcker det som behövs, sätter upp skyltar och ställer in lagringstid, behörigheter och ett separat nätverk för kamerorna.

Vi ger inte juridisk rådgivning, men vi ser till att tekniken är inställd enligt de beslut du fattar utifrån GDPR och IMY:s vägledning. Kontakta oss för ett butiksbesök.