Kameraovervåking i butikk og GDPR: dette må du tenke på

Kameraovervåking er en vanlig måte å forebygge tyveri, øke tryggheten for de ansatte og kunne undersøke hendelser i etterkant. Samtidig er bilder av mennesker personopplysninger, og derfor må kameraovervåking i butikk følge personvernforordningen GDPR. I tillegg kan det gjelde nasjonale regler om kameraovervåking, for eksempel om skilting, som kan være ulike fra land til land.

Denne artikkelen er en generell oversikt og ikke juridisk rådgivning. I Norge er Datatilsynet tilsynsmyndighet for personvern og har veiledning på nettsidene sine. Les den, og få hjelp av en jurist eller et personvernombud hvis du er usikker på hva som gjelder for akkurat din virksomhet.

Hvorfor gjelder GDPR for kameraer i butikk?

Når et kamera filmer personer som kan identifiseres, behandles personopplysninger. Det gjelder uansett om bildene tas opp eller bare vises direkte. Butikken er da behandlingsansvarlig og må kunne vise at overvåkingen er lovlig, nødvendig og forholdsmessig.

Start med formålet

Før kameraene settes opp, bør du formulere hvorfor du trenger dem. Vanlige formål i butikk er å:

• forebygge og oppklare tyveri og hærverk
• øke tryggheten for ansatte og kunder
• beskytte kasse, lager og verdifulle varer

Formålet styrer resten av beslutningene: hvor kameraene plasseres, hva de filmer, hvor lenge opptakene lagres og hvem som får se dem. Materiale som er samlet inn for ett formål, bør ikke brukes til noe helt annet.

Gjør en interesseavveining

For private virksomheter er det rettslige grunnlaget for kameraovervåking oftest såkalt berettiget interesse. Det betyr at butikkens interesse i overvåkingen skal veies mot de filmede personenes interesse i ikke å bli overvåket.

Spørsmål å stille seg:

• Finnes det et reelt problem som kameraet skal løse?
• Kan formålet nås på en mindre inngripende måte?
• Kan overvåkingen begrenses i tid, for eksempel bare når butikken er stengt?
• Kan kameraets bildefelt begrenses til det som virkelig er nødvendig?

Dokumenter avveiningen. Det viser at du har tenkt gjennom overvåkingen, og gjør det lettere å svare på spørsmål fra ansatte, kunder eller myndigheter.

Plassering og bildefelt

Kameraer bør plasseres der de er nyttige for formålet, for eksempel ved inngang, kasse og utsatte varegrupper. Unngå å filme mer enn nødvendig.

Tenk særlig på:

• Personalrom: områder som pauserom og garderober er svært personvernsensitive og bør normalt ikke overvåkes.
• Toaletter og prøverom: skal ikke overvåkes.
• Offentlig område utenfor butikken: å filme gate eller fortau krever særlig forsiktighet, og de nasjonale reglene og Datatilsynets veiledning bør leses nøye.
• Lyd: opptak av lyd anses ofte som mer inngripende enn bilde og krever sterke grunner.

De ansatte

Kameraer i butikk filmer ofte også de ansatte. De ansatte skal informeres om overvåkingen, og det kan gjelde regler eller avtaler om drøfting med tillitsvalgte. Kameraene bør ikke brukes til å kontrollere hvordan den enkelte medarbeider jobber, med mindre det er et uttalt og akseptabelt formål. Avklar med HR eller arbeidsrettslig ekspertise ved behov.

Skilting og informasjon

Den som filmes, skal få informasjon om overvåkingen. I praksis betyr det tydelige skilt ved inngangen og der kameraene er. Skiltet bør vise at kameraovervåking pågår og hvem som er ansvarlig, og henvise til hvor man kan få mer informasjon, for eksempel på butikkens nettside eller ved kassen.

Den fullstendige informasjonen bør blant annet beskrive formålet, det rettslige grunnlaget, hvor lenge opptakene lagres og hvilke rettigheter den som filmes har.

Lagringstid

Opptak skal ikke lagres lenger enn nødvendig for formålet. Bestem en lagringstid og still inn opptaket slik at materialet slettes automatisk. Hvis en hendelse må undersøkes, kan relevant materiale lagres lenger og leveres til politiet. Det kan gjelde nasjonale regler for hvor lenge opptak kan lagres, og Datatilsynets veiledning gir støtte til hvordan du vurderer lagringstiden.

Sikkerhet og tilgang

Opptak må beskyttes mot uautorisert tilgang. Noen grunnleggende tiltak:

• Begrens hvem som får se direktebilde og opptak.
• Bruk personlige pålogginger og sterke passord.
• Logg hvem som ser på eller eksporterer materiale.
• Plasser opptaksutstyret i et låst rom.
• Hold programvaren i kameraene og opptakeren oppdatert.
• La kameraene ligge på et eget, adskilt nett.

Hvis du bruker skylagring eller en leverandør som håndterer materialet, kreves det normalt en databehandleravtale.

Lokalt opptak eller sky?

Opptak kan skje på en lokal opptaker i butikken eller i skyen. Lokalt opptak gir deg full kontroll over hvor materialet er, men opptakeren må beskyttes fysisk. Skylagring gjør at materialet finnes selv om utstyret i butikken blir skadet eller stjålet, men krever at du vurderer leverandøren og hvor dataene lagres. Uansett valg gjelder de samme kravene til lagringstid og tilgang.

Rettighetene til dem som filmes

Personer som er filmet, har rettigheter etter GDPR, for eksempel rett til innsyn i opplysningene som gjelder dem. Det er lurt å bestemme på forhånd hvordan en slik forespørsel skal håndteres, hvem som er ansvarlig og hvordan andre personer i bildet beskyttes hvis materiale utleveres. Rutinen bør være kjent for butikksjefen og den som administrerer kamerasystemet.

Videoanalyse og personvern

Moderne kameraer kan også brukes til analyse, for eksempel varmekart eller køvarsling. Slike funksjoner kan ofte utformes slik at de bare gir statistikk uten å lagre bilder av personer. Også da bør du vurdere hvordan analysen påvirker personvernet, og informere om den.

Sjekkliste

• Formuler og dokumenter formålet
• Gjør og dokumenter en interesseavveining
• Begrens plassering og bildefelt
• Informer de ansatte
• Sett opp tydelige skilt
• Bestem og still inn lagringstid
• Beskytt materialet og begrens tilgangen
• Følg opp overvåkingen jevnlig
• Les Datatilsynets veiledning og de nasjonale reglene om kameraovervåking

Slik hjelper StoreIQ deg

StoreIQ installerer IP-kameraer med opptak og mobilapp for butikker i hele Sverige. Vi hjelper deg med å plassere kameraene slik at de dekker det som trengs, setter opp skilt og stiller inn lagringstid, tilganger og et separat nettverk for kameraene.

Vi gir ikke juridisk rådgivning, men vi sørger for at teknologien er stilt inn etter beslutningene du tar ut fra GDPR og myndighetenes veiledning. Kontakt oss for et butikkbesøk.