Den registrertes rettigheter

Databehandlingens beskaffenhet ved bruk av videoovervåking gjør at noen av de registrertes rettigheter etter personvernforordningen krever nærmere klargjøring. Dette kapittelet er likevel ikke uttømmende, da alle rettighetene etter personvernforordningen også vil gjelde for behandling av personopplysninger ved bruk av videoovervåking.

Rett til innsyn

Den registrerte har rett til å få den behandlingsansvarliges bekreftelse på om personopplysninger om vedkommende behandles. For videoovervåking innebærer dette at hvis ingen opplysninger på noen måte lagres eller overføres etter at tidspunktet for sanntidsovervåkingen er omme, er det nok at den behandlingsansvarlige informerer om at ingen personopplysninger lenger behandles (bortsett fra de generelle informasjonspliktene i henhold til artikkel 13, se kapittel 7 i denne veilederen, "Krav til åpenhet og informasjon"). Men hvis opplysninger fortsatt behandles på tidspunktet for forespørselen (det vil si hvis opplysningene er lagret eller behandles kontinuerlig på en eller annen måte), skal den registrerte ha rett til innsyn og informasjon i henhold til artikkel 15.

Det finnes likevel en rekke begrensninger som i visse tilfeller kan få anvendelse på retten til innsyn:

Artikkel 15 nr. 4: Negativ innvirkning på andres rettigheter

Gitt at et ukjent antall registrerte kan bli fanget opp samtidig i forbindelse med videoovervåking, vil en gjennomgang av materialet medføre ytterligere behandling av personopplysningene til andre registrerte. Hvis den registrerte ønsker å motta en kopi av materialet (artikkel 15 nr. 3), kan dette gi negativ innvirkning på rettighetene og frihetene til andre registrerte i materialet.

For å forhindre den konsekvensen, må den behandlingsansvarlige derfor ta med i vurderingen at som følge av videoopptakenes sensitive beskaffenhet, bør den behandlingsansvarlige i noen tilfeller ikke levere fra seg videoopptak hvor andre registrerte kan identifiseres. Vernet av rettighetene til tredjeparter skal likevel ikke brukes som en unnskyldning for å forhindre berettigede anmodninger om innsyn, og den behandlingsansvarlige skal i slike tilfeller treffe tekniske tiltak for å etterkomme innsynsanmodningen (for eksempel bilderedigering i form av sladding eller forvrengning). De behandlingsansvarlige er likevel ikke pålagt å treffe slike tiltak hvis de på annen måte kan sikre at de reagerer på anmodningen i henhold til artikkel 15 innenfor tidsrammen som er angitt i artikkel 12 nr. 3.

Artikkel 11 nr. 2: Den behandlingsansvarlige er ikke i stand til å identifisere den registrerte

Hvis videoopptaket ikke er søkbart med hensyn til personopplysninger (for eksempel hvis den behandlingsansvarlige må gjennomgå en stor mengde lagret materiale for å finne den registrerte det gjelder), kan det hende at den behandlingsansvarlige ikke er i stand til å identifisere den registrerte.

På grunn av dette må den registrerte (i tillegg til å identifisere seg i form av ID-dokument eller ved personlig oppmøte) i sin anmodning til den behandlingsansvarlige spesifisere når – innenfor et rimelig tidsrom sett i forhold til antallet registrerte som fanges opp – han eller hun beveget seg inn på det overvåkede området. Den behandlingsansvarlige skal informere den registrerte på forhånd om hvilken informasjon den behandlingsansvarlige trenger for å etterkomme anmodningen. Dersom den behandlingsansvarlige kan påvise at man ikke er i stand til å identifisere den registrerte, skal den behandlingsansvarlige, dersom det er mulig, informere den registrerte om dette. I en slik situasjon skal den behandlingsansvarlige i sitt svar til den registrerte informere om det nøyaktige området overvåkingen gjelder, bekreftelse på kameraer som var i bruk og så videre, slik at den registrerte har full oversikt over hvilke personopplysninger som kan ha blitt behandlet.

Artikkel 12: Overdrevne anmodninger

Dersom anmodninger fra en registrert er åpenbart grunnløse eller overdrevne, kan den behandlingsansvarlige enten kreve et rimelig gebyr i henhold til artikkel 12 nr. 5 bokstav a eller nekte å etterkomme anmodningen (artikkel 12 nr. 5 bokstav b). Den behandlingsansvarlige skal bære bevisbyrden for at en anmodning er åpenbart grunnløs eller overdreven.

Rett til sletting og rett til å protestere

Rett til sletting (rett til å bli glemt)

Hvis den behandlingsansvarlige fortsetter å behandle personopplysninger utover overvåking i sanntid (for eksempel lagring), kan den registrerte anmode om at personopplysningene slettes (i henhold til artikkel 17 i personvernforordningen).

Den behandlingsansvarlige har ved anmodning fra den registrerte plikt til å slette personopplysninger uten ugrunnet opphold dersom et av forholdene i artikkel 17 nr. 1 gjør seg gjeldende (og dersom ingen av unntakene som er angitt i artikkel 17 nr. 3, gjelder). Det omfatter plikten til å slette personopplysninger som ikke lenger er nødvendige for formålet de ble lagret for, eller hvis behandlingen er ulovlig (se også kapittel 8 i denne veiledningen, "Lagringsperioder og plikt til å slette"). I tillegg, avhengig av det rettslige grunnlaget for behandlingen, skal personopplysninger slettes:

• for samtykke når samtykket trekkes tilbake (og det ikke foreligger noe annet rettslig grunnlag for behandlingen)
• for berettiget interesse
  • når den registrerte utøver sin rett til å protestere (se del 2.2), og det ikke finnes mer tungtveiende berettigede grunner til behandlingen, eller
  • hvis det er snakk om direkte markedsføring (inkludert profilering), når den registrerte protesterer mot behandlingen.

Dersom den behandlingsansvarlige har offentliggjort personopplysningene (for eksempel via kringkasting eller strømming via nettet), skal vedkommende treffe rimelige tiltak for å underrette andre behandlingsansvarlige (som nå behandler de aktuelle personopplysningene) om anmodningen (i henhold til artikkel 17 nr. 2 i personvernforordningen). De rimelige tiltakene skal, idet det tas hensyn til tilgjengelig teknologi og gjennomføringskostnadene, omfatte tekniske tiltak. Så langt det er mulig, skal den behandlingsansvarlige underrette enhver mottaker som har fått utlevert personopplysninger, om enhver sletting av opplysningene i henhold til artikkel 19 i personvernforordningen.

I tillegg til den behandlingsansvarliges plikt til å slette personopplysninger på anmodning fra den registrerte, har den behandlingsansvarlige plikt til å begrense lagrede personopplysninger i henhold til de generelle prinsippene i personvernforordningen (se kapittel 8, "Lagringsperioder og plikt til å slette").

For videoovervåking er det verdt å merke seg at hvis man for eksempel gjør et bilde uklart, uten at det i etterkant er mulig å hente frem igjen de personopplysningene som bildet tidligere inneholdt, anses personopplysningene som slettet i henhold til personvernforordningen.

Rett til å protestere

For videoovervåking som baserer seg på berettiget interesse (artikkel 6 nr. 1 bokstav f), eller som er nødvendig for å utføre en oppgave i allmennhetens interesse (artikkel 6 nr. 1 bokstav e), har den registrerte – til enhver tid – av grunner knyttet til vedkommendes særlige situasjon, rett til å protestere mot behandling (artikkel 21 i personvernforordningen). Så fremt ikke den behandlingsansvarlige kan påvise at det foreligger tvingende berettigede grunner som går foran den registrertes rettigheter og interesser, må behandlingen av opplysningene til den som protesterer, dermed opphøre. Den behandlingsansvarlige har plikt til å svare på anmodninger fra registrerte uten ugrunnet opphold, og senest innen én måned.

Når det gjelder videoovervåking, vil den registrerte kunne protestere enten idet vedkommende kommer inn på det overvåkede området, mens vedkommende oppholder seg der, eller etter å ha forlatt området. I praksis betyr det at med mindre den behandlingsansvarlige har tvingende berettigede grunner, vil overvåking av et område hvor fysiske personer kan identifiseres, utelukkende være lov hvis:

• den behandlingsansvarlige umiddelbart kan hindre kameraet i å behandle personopplysninger ved anmodning om dette, eller
• hvis det overvåkede området er godt nok avgrenset til at den behandlingsansvarlige kan være sikker på å få godkjenning fra den registrerte før sistnevnte beveger seg inn på området, og det er et område som den registrerte som vanlig innbygger ikke har adgang til.

Disse retningslinjene tar ikke sikte på å identifisere hva som anses som tvingende berettigede grunner (artikkel 21 i personvernforordningen).

Når videoovervåking brukes i forbindelse med direkte markedsføring, har den registrerte rett til å protestere på behandlingen på skjønnsmessig grunnlag, siden retten til å protestere er absolutt i så henseende (artikkel 21 nr. 2 og 3 i personvernforordningen).