Behandlingens lovlighet

Før bruk må formålene med behandlingen spesifiseres (artikkel 5 nr. 1 bokstav b). Videoovervåking kan tjene mange formål, for eksempel bidra til å verne om eiendom eller andre eiendeler, til å verne om folks liv og helse og til å samle inn bevis i forbindelse med sivile krav (reglene for innsamling av bevis i forbindelse med sivile krav varierer mellom medlemsstatene). Disse overvåkingsformålene må dokumenteres skriftlig (artikkel 5 nr. 2) og spesifiseres for hvert overvåkingskamera som brukes. Kameraer som brukes til samme formål av én enkelt behandlingsansvarlig, kan dokumenteres samlet.

I tillegg må de registrerte informeres om formålet eller formålene med behandlingen i samsvar med artikkel 13 (se kapittel 7 i disse retningslinjene, Krav til åpenhet og informasjon). Hvis formålet med videoovervåkingen bare er angitt som «sikkerhet» eller «for din egen sikkerhet», anses ikke dette som spesifikt nok (artikkel 5 nr. 1 bokstav b). Videre bryter det med prinsippet om at personopplysninger skal behandles på en lovlig, rettferdig og åpen måte med hensyn til den registrerte (se artikkel 5 nr. 1 bokstav a).

I utgangspunktet kan alle vilkårene under artikkel 6 nr. 1 fungere som rettslig grunnlag for behandling av opplysninger som stammer fra videoovervåking. For eksempel får artikkel 6 nr. 1 bokstav c anvendelse der nasjonal lovgivning krever bruk av videoovervåking (disse retningslinjene verken analyserer eller går i detalj om hvordan nasjonal lovgivning eventuelt varierer mellom medlemsstatene). Men i praksis vil de følgende vilkårene være mest aktuelle:

• artikkel 6 nr. 1 bokstav f (berettiget interesse)
• artikkel 6 nr. 1 bokstav e (nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet)

Bare i enkelte eksepsjonelle situasjoner vil artikkel 6 nr. 1 bokstav a (samtykke) potensielt kunne brukes som rettslig grunnlag av den behandlingsansvarlige.

Berettiget interesse

Den rettslige vurderingen av artikkel 6 nr. 1 bokstav f skal basere seg på de nedenstående kriteriene, i samsvar med fortalepunkt 47.

Tilstedeværelse av berettigede interesser

Videoovervåking er lovlig hvis det er nødvendig for formål knyttet til de berettigede interessene til den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran (artikkel 6 nr. 1 bokstav f). De berettigede interessene til den behandlingsansvarlige kan være rettslige (Domstolen i Den europeiske union, dom i sak C-13/16, Rīgas satiksme-saken, 4. mai 2017), økonomiske eller ikke-materielle (se WP 217, Artikkel 29-arbeidsgruppen).

Men den behandlingsansvarlige må ta hensyn til at hvis den registrerte protesterer mot overvåkingen (i samsvar med artikkel 21), kan ikke den behandlingsansvarlige gå videre med videoovervåkingen av den registrerte, med mindre det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.

I en reell og farlig situasjon kan formålet om å beskytte en eiendom mot innbrudd, tyveri eller hærverk utgjøre en berettiget interesse for videoovervåking.

De berettigede interessene må være reelle og representere en aktuell problemstilling, det vil si ikke være konstruerte eller spekulative (se WP 217, Artikkel 29-arbeidsgruppen, s. 24 et seq. Se også EU-domstolens sak nr. C-708/18 s. 44). Det må foreligge en reell faresituasjon – slik som forutgående skader eller alvorlige hendelser – før overvåkingen kan iverksettes.

I lys av prinsippet om ansvar vil den behandlingsansvarlige gjøre klokt i å dokumentere relevante hendelser (dato, omstendigheter, økonomisk tap) og tilhørende anmeldelser. Slike dokumenterte hendelser kan utgjøre sterke indisier på at det foreligger berettiget interesse. Tilstedeværelsen av berettiget interesse og nødvendigheten av overvåkingen bør vurderes på nytt med jevne mellomrom (for eksempel én gang i året, avhengig av omstendighetene).

Overhengende faresituasjoner kan utgjøre en berettiget interesse, for eksempel for banker eller butikker som selger dyre varer (for eksempel gullsmeder), eller for steder som har høy sannsynlighet for å bli utsatt for kriminalitet (for eksempel bensinstasjoner).

Personvernforordningen er også klar på at det rettslige grunnlaget berettiget interesse ikke får anvendelse på behandlinger som utføres av offentlige myndigheter som ledd i utførelsen av deres oppgaver (jf. artikkel 6 nr. 1 andre punktum).

Behandlingens nødvendighet

Personopplysninger skal være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for («dataminimering»), jf. artikkel 5 nr. 1 bokstav c. Før den behandlingsansvarlige installerer et videoovervåkingssystem, må vedkommende alltid vurdere nøye om dette tiltaket for det første er egnet til å oppfylle det ønskede formålet, og for det andre adekvat og nødvendig for formålet. Videoovervåking skal bare velges som tiltak hvis formålet med behandlingen ikke i rimelig grad kan oppfylles gjennom andre tiltak som er mindre inngripende med hensyn til den registrertes grunnleggende rettigheter og friheter.

Hvis den behandlingsansvarlige ønsker å forhindre kriminalitet mot egen eiendom, kan vedkommende i stedet for å installere et videoovervåkingssystem benytte alternative sikkerhetstiltak, for eksempel å gjerde inn eiendommen, sette inn regelmessig vakthold, bruke vakter, sørge for bedre belysning, installere sikkerhetslåser, innbruddssikre vinduer og dører eller påføre antigrafittibelegg eller -folie på vegger. Slike tiltak kan være like effektive mot innbrudd, tyveri og hærverk som det videoovervåkingssystemer er. Den behandlingsansvarlige må i hvert enkelt tilfelle vurdere om slike tiltak kan være en rimelig løsning.

Før den behandlingsansvarlige tar i bruk et videoovervåkingssystem, er vedkommende forpliktet til å vurdere hvor og når videoovervåking er strengt nødvendig. Normalt vil et overvåkingssystem som er i drift om natten, samt utenfor vanlige åpningstider, oppfylle den behandlingsansvarliges behov for å forhindre skade på eiendommen.

Generelt sett slutter nødvendigheten av å bruke videoovervåking for å beskytte den behandlingsansvarliges lokaler, ved eiendomsgrensene (dette kan også være underlagt nasjonal lovgivning i enkelte stater). Men det finnes likevel tilfeller hvor overvåking av selve eiendommen ikke er nok til å gi et effektivt vern. I visse enkeltsaker kan det være nødvendig å utvide videoovervåkingen til å dekke omgivelsene i umiddelbar nærhet til lokalene. I denne sammenhengen må den behandlingsansvarlige vurdere fysiske og tekniske tiltak, for eksempel å sladde eller pikselere områder som ikke er relevante.

Spørsmål om behandlingens nødvendighet oppstår også rundt måten bevisene lagres på. I noen tilfeller kan det være nødvendig å bruke løsninger der opptakene slettes automatisk etter en viss lagringsperiode og bare kan hentes frem i tilfelle det skjer noe («svart boks»).

I andre situasjoner kan det hende at det ikke er nødvendig å ta opp videomaterialet i det hele tatt, men at overvåking i sanntid er mer hensiktsmessig. Avgjørelsen om å bruke enten opptak eller overvåking i sanntid skal også ta utgangspunkt i formålet som ønskes oppnådd. Hvis formålet med videoovervåkingen er å innhente bevis, er sanntidsmetoder vanligvis ikke egnet. Noen ganger kan overvåking i sanntid til og med være mer inngripende enn lagring og automatisk sletting av opptak etter en begrenset tidsperiode (for eksempel kan det være mer inngripende hvis noen kontinuerlig ser på skjermen, enn hvis det ikke finnes noen skjerm og alt materialet lagres direkte i en svart boks). Prinsippet om dataminimering må tas hensyn til i denne konteksten (artikkel 5 nr. 1 bokstav c). Det må også vurderes om den behandlingsansvarlige vil kunne bruke sikkerhetspersonell som kan reagere og gripe inn umiddelbart, i stedet for videoovervåking.

Avveining av interesser

Hvis vi går ut fra at videoovervåking er nødvendig for å verne om en behandlingsansvarlig sine berettigede interesser, vil et videoovervåkingssystem kunne tas i bruk så lenge ikke den behandlingsansvarliges eller en tredjeparts berettigede interesser (for eksempel vern av eiendom eller liv og helse) tilsidesettes av interessene eller de grunnleggende rettighetene og frihetene til den registrerte. Den behandlingsansvarlige må vurdere

1. i hvilken grad overvåkingen vil påvirke interessene og de grunnleggende rettighetene og frihetene til enkeltpersoner, og
2. om dette vil føre til brudd på eller negative konsekvenser for den registrertes rettigheter.

Faktisk er det påbudt å avveie disse interessene. De grunnleggende rettighetene og frihetene på den ene siden og den behandlingsansvarliges berettigede interesser på den andre må evalueres og avveies grundig.

Vurdering av hvert enkelt tilfelle

Siden avveining av interesser er obligatorisk i henhold til forordningen, må hvert enkelt tilfelle vurderes hver for seg (se artikkel 6 nr. 1 bokstav f). Det er ikke tilstrekkelig å referere til tenkte situasjoner eller å sammenligne lignende saker med hverandre. Den behandlingsansvarlige må evaluere risikoen forbundet med inngrepet i den registrertes rettigheter, og det avgjørende kriteriet er her inngrepets intensitet med hensyn til personens rettigheter og friheter.

Intensitet kan blant annet defineres av typen informasjon som innhentes (innholdet i informasjonen), omfanget (informasjonstetthet, romlig og geografisk utstrekning), antallet registrerte det gjelder, enten som et bestemt antall eller som en andel av den relevante populasjonen, den aktuelle situasjonen, de faktiske interessene til den aktuelle gruppen registrerte, alternative tiltak og hvilken art og hvilket omfang vurderingen av opplysningene har.

Viktige avveiningsfaktorer kan være størrelsen på området som overvåkes, og antallet registrerte som overvåkes. Bruk av videoovervåking i et avsidesliggende område (for eksempel for å se på dyrelivet eller beskytte viktig infrastruktur slik som en privateid radioantenne) må vurderes annerledes enn videoovervåking i en gågate eller på et kjøpesenter.

De registrertes rimelige forventninger

I henhold til fortalepunkt 47 må det vurderes nøye om det foreligger berettiget interesse. Det må også vurderes om en registrert på tidspunktet for og i forbindelse med innsamling av personopplysninger med rimelighet kan forvente at disse behandles. Når det gjelder systematisk overvåking, kan forholdet mellom den registrerte og den behandlingsansvarlige variere betydelig, noe som kan påvirke de rimelige forventingene den registrerte har. Tolkingen av konseptet med rimelige forventinger skal ikke utelukkende basere seg på de subjektive forventningene som foreligger. Det avgjørende kriteriet skal heller være om en objektiv tredjepart rimeligvis kan forvente og godta overvåking i det aktuelle tilfellet.

En ansatt vil for eksempel i de fleste tilfeller ikke forvente å bli overvåket av arbeidsgiveren sin (se også: Artikkel 29-arbeidsgruppen, Opinion 2/2017 on data processing at work, WP 249, vedtatt 8. juni 2017). Overvåking er heller ikke noe man forventer i egen hage, i oppholdsrom eller i undersøkelses- og behandlingsrom. På samme måte er det ikke rimelig å forvente å bli overvåket på toaletter eller i badstuer, og overvåking på slike steder er en kraftig inngripen i den registrertes rettigheter. De registrertes rimelige forventinger er at det ikke er videoovervåking på slike steder. På den annen side vil bankkunder kunne forvente at de overvåkes inne i banken eller av minibanken.

Registrerte kan også forvente at det ikke skjer overvåking på offentlige områder, spesielt hvis områdene brukes til avslapping, fritidsaktiviteter, generelt opphold og/eller kommunikasjon, for eksempel sitteområder, restaurantbord, parker, kinoer og treningssentre. Her vil de registrertes interesser eller rettigheter og friheter ofte tilsidesette den behandlingsansvarliges berettigede interesser.

Skilt som informerer de registrerte om videoovervåkingen, har ingen relevans for vurderingen av hva de registrerte objektivt sett kan forvente. Det betyr for eksempel at en butikkeier ikke kan basere seg på at kundene objektivt sett har rimelige forventinger om å bli overvåket, bare fordi et skilt ved inngangsdøren informerer dem om overvåkingen.

Nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt

Personopplysninger kan behandles gjennom videoovervåking i henhold til artikkel 6 nr. 1 bokstav e hvis det er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet. (Grunnlaget for behandlingen «skal fastsettes i unionsretten eller medlemsstatens nasjonale rett» og «skal være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt» (artikkel 6 nr. 3).)

Det kan hende at utøvelsen av offentlig myndighet ikke gir rett til slik behandling, men andre rettslige grunnlag, for eksempel vern av besøkendes eller ansattes «helse og sikkerhet», kan gi rett til behandling i begrenset omfang samtidig som kravene i personvernforordningen og de registrertes rettigheter overholdes.

For å tilpasse anvendelsen av reglene i personvernforordningen, kan medlemsstatene beholde eller innføre spesifikk nasjonal lovgivning for videoovervåking ved å fastsette mer presise krav til behandlingen, så lenge lovgivningen er i samsvar med prinsippene i personvernforordningen (for eksempel lagringsbegrensning, forholdsmessighet).

Samtykke

Et samtykke må være frivillig, spesifikt, informert og utvetydig, som beskrevet i retningslinjene for samtykke (artikkel 29-arbeidsgruppen (Art. 29 WP) Guidelines on consent under Regulation 2016/679 (WP 259 rev. 01) – bifalles av Personvernrådet). 

Når det gjelder systematisk overvåking, er det bare under eksepsjonelle omstendigheter at den registrertes samtykke kan fungere som rettslig grunnlag i samsvar med artikkel 7 (se fortalepunkt 43). Det ligger i overvåkingens natur at denne teknologien overvåker et ukjent antall mennesker på samme tid. Den behandlingsansvarlige vil vanskelig kunne bevise at den registrerte har gitt et forutgående samtykke til behandling av personopplysninger (artikkel 7 nr. 1). I et tilfelle der den registrerte trekker tilbake samtykket, vil det i tillegg være vanskelig for den behandlingsansvarlige å bevise at den registrertes personopplysninger ikke lenger behandles (artikkel 7 nr. 3).

Hvis den behandlingsansvarlige ønsker å bruke samtykke som grunnlag, er det den behandlingsansvarliges plikt å sørge for at hver av de registrerte som beveger seg inn på området som blir videoovervåket, har gitt samtykke til å bli overvåket. Dette samtykket må oppfylle vilkårene i artikkel 7. Det å bevege seg inn på et område som er markert som overvåket (for eksempel hvis folk oppfordres til å gå gjennom en bestemt inngang eller port for å komme inn i et overvåket område), utgjør ikke den typen erklæring eller tydelig bekreftelse som kreves for å gi samtykke, med mindre det oppfyller kriteriene i artikkel 4 og 7 som beskrevet i retningslinjene for samtykke (Artikkel 29-arbeidsgruppen (Art. 29 WP) Guidelines on consent under Regulation 2016/679 (WP 259) – bifalles av Personvernrådet – og må tas med i betraktningen).

Maktubalansen mellom arbeidsgivere og ansatte gjør at arbeidsgivere som oftest ikke bør bruke samtykke som rettslig grunnlag for behandling av personopplysninger, da samtykke i slike tilfeller vanskelig kan anses som frivillig. Retningslinjene for samtykke må tas i betraktning i denne sammenhengen.

I medlemsstatenes nasjonale rett eller tariffavtaler, herunder «arbeidsavtaler», kan det fastsettes særlige regler om behandling av arbeidstakernes personopplysninger i ansettelsesforhold (se artikkel 88).