Storstockholms Lokaltrafik, SL – Beslut

grund enligt artikel 6.1 f samt varit i strid med principen om laglighet och principen om uppgiftsminimering i artikel 5.1 a och c i dataskyddsförordningen och c) 4 000 000 (fyramiljoner) kronor avser Aktiebolaget Storstockholms Lokaltrafiks bristande information till de registrarade vilket strider mot artikel 13 och principen om öppenhet i artikel 5.1 a i dataskyddsförordningen.

Redogörelse för tillsynsärendet

Bakgrund

Integritetsskyddsmyndigheten (IMY), tidigare Datainspektionen, uppmärksammades genom uppgifter i media på att Aktiebolaget Storstockholms Lokaltrafik (SL) planerade att utrusta sina biljettkontrollanter med kroppsburna kameror och inledde därför tillsyn mot SL.

Syftet med tillsynen har varit att granska om SL:s personuppgiftsbehandlingar med de kroppsburna kamerorna har skett i enlighet med reglerna om laglig grund i artikel 6 och gällande information till de registrerade i artikel 13 i dataskyddförordningen. IMY har även undersökt om SL följt principerna om laglighet och öppenhet i artikel 5.1 a och principen om uppgiftsminimering i artikel 5.1 c.

Vad som framkommit i ärendet

SL har i samband med IMY:s tillsyn mot bolagets användning av kroppsburna kameror, och den personuppgiftsbehandling som därmed sker, uppgett i huvudsak följande.

Inledningsvis var det planerat att de kroppsburna kamerorna skulle användas i Stockholms tunnelbana under en testperiod på två månader från den 10 december 2018 till och med den 10 februari 2019. Testperioden förlängdes dock till den 9 maj 2019 och sedan ytterligare en period för att avslutas den 8 januari 2020. Under testperioden var det 4-10 stycken biljettkontrollanter som bar de kroppsburna kamerorna.

De kroppsburna kamerorna skulle användas för att filma de resenärer som saknar giltig biljett i samband med biljettkontroll och som får en tilläggsavgift utställd. Ändamålet med behandlingen var att:

 förebygga hotfulla situationer i samband med biljettkontroll,  dokumentera inträffade incidenter för att underlätta utredning i efterhand, samt  säkerställa identiteten på resenärer som ska betala tilläggsavgift.

Under tillsynens gång har SL tagit beslut om att införa de kroppsburna kamerorna permanent. Det innebär att de kroppsburna kamerorna som mest används av cirka 55 stycken biljettkontrollanter på vardagar och cirka 20 stycken biljettkontrollanter på helgdagar. SL har även utökat det geografiska användningsområdet för de kroppsburna kamerorna, från att inledningsvis endast användas i Stockholms tunnelbana, till att användas i samtliga trafikslag inom hela SL:s trafiknät.

SL har uppgett att de har omfattande problem med fuskåkning. Av utredningen i ärendet framkommer att intäktsbortfallet under år 2017 kopplat till fuskåkning var 254 miljoner kronor och under 2018 var motsvarande siffra 280 miljoner kronor. Den

ekonomiska förlusten är dock enligt bolaget inte den primära anledningen till att arbeta aktivt med biljettkontroller, då det kostar mer än vad SL får in i tilläggsavgifter. SL har som princip att alla som reser med bolaget ska betala för sin resa och det är SL som ska säkerställa att så sker. Därtill måste intäktsbortfallet från fuskåkandet alltid beaktas vid prissättning av biljetter. De vanligaste formerna av fuskåkning är att köpa rabatterad biljett utan att ha rätt till rabatten samt att åka utan biljett. SL har även problem med att fuskåkande resenärer uppger någon annans identitet vid biljettkontroll, vilket leder till svårigheter i samband med utkrävande av ersättning för utebliven betalning av tilläggsavgift i domstol.

Enligt SL har användningen av de kroppsburna kamerorna inneburit att ca 90 procent av resenärerna uppvisar identitetshandling, jämfört med cirka 60 procent utan kroppskamera, att färre tilläggsavgifter bestrids och att fyra ärenden avskrevs under testperioden med anledning av det inspelade materialet. Vidare har SL uppgett att biljettkontrollanterna upplever att färre resenärer blir upprörda i samband med utställandet av tilläggsavgift och att biljettkontrollanterna känner sig tryggare.

SL har uppgett att biljettkontrollanterna bär kamerorna på sig under hela arbetspasset och själva kontrollerar kameran. Kameran och mikrofonen spelar kontinuerligt in film med bild och ljud. Kamerorna har ett s.k. cirkulärt minne, vilket innebär att det sker en kontinuerlig automatisk rensning av allt videomaterial som är äldre än en minut. Efter rensningen är det inspelade materialet, inklusive personuppgifter, raderat. IMY benämner tekniken för kontinuerlig upptagning och radering fortsättningsvis som förinspelningsteknik.

SL har beskrivit att biljettkontrollanten, i olika situationer, kan aktivera en inspelning genom att trycka på en inspelningsknapp. Till inspelningen läggs då till den information som finns lagrad i kameran genom förinspelningstekniken. SL har angett att det finns behov av att kunna bevara material som visar händelseförloppet precis innan utställandet av en tilläggsavgift eller vid hotfulla/våldsamma situationer. Inledningsvis lagrades materialet under två minuter men det har ändrats till en minut under tillsynens gång. IMY benämner den fortsatta inspelningen som sker efter kontrollantens knapptryckning som aktiverad inspelning.

SL har ingått ett tilläggsavtal med personuppgiftsbiträdet som ansvarar för biljettkontrollerna. Av tilläggsavtalet följer att kamerorna ska vara på för filmning under hela arbetspasset. När en biljettkontrollant ska ställa ut en tilläggsavgift är hen instruerad att spela in material. Alla situationer då tilläggsavgift utfärdas kommer därmed att dokumenteras. Vidare ska biljettkontrollanten dokumentera situationer då hot uppstår.

Efter att kontrollanten avslutat sitt arbetspass placeras kameran i en kommunikationsdocka som förvaras i ett låst utrymme. Kameran laddar därefter upp materialet till en server för granskning av bevisadministratörer vid SL och bildmaterialet blir tillgängligt för ett fåtal bevisadministratörer så snart det är uppladdat.

När en biljettkontrollant utfärdar en tilläggsavgift skrivs samtidigt ett papper ut med information om bolagets personuppgiftsbehandling. Av informationen framgår bland annat att SL kommer att behandla foto och/eller film på personen som tillställts

tilläggsavgiften. Vidare hänvisar SL till sin webbplats för fullständig information om personuppgiftshanteringen.

SL har genomfört en konsekvensbedömning avseende den personuppgiftsbehandling vid inspelning som sker med de kroppsburna kamerorna. Av konsekvensbedömningen framgår att SL anser att den personuppgiftsbehandling som sker vid inspelning antingen är av ”acceptabel nivå” eller av ”övervakningsnivå", och att riskerna inte är tillräckligt höga för att begära förhandssamråd.

Dataskyddsförordningen innehåller ett stort antal regler som måste följas i samband med behandling av personuppgifter. Inom ramen för detta tillsynsärende behandlar IMY inte samtliga regler och frågeställningar som kan aktualiseras vid en sådan personuppgiftsbehandling som den nu aktuella användningen av kroppsburna kameror innebär.

IMY:s prövning är avgränsad till frågorna om SL har uppfyllt kravet på laglig grund för den nu aktuella användningen av de kroppsburna kamerorna, om SL lever upp till de grundläggande principerna om laglighet, öppenhet och uppgiftsminimering för behandling av personuppgifter och om SL har lämnat den information till de registrerade som krävs enligt dataskyddsförordningen.

Motivering av beslutet

Personuppgiftsansvarig

SL har uppgett att Aktiebolaget Storstockholms Lokaltrafik är personuppgiftsansvarig för den behandling av personuppgifter som skett i samband med biljettkontroll. IMY gör ingen annan bedömning.

Vilka regler gäller för SL:s användning av kamerorna?

Kamerabevakning är en form av personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskydds-förordningen och kamerabevakningslagen (2018:1200) som kompletterar dataskyddsförordningen.

Gäller kamerabevakningslagen?

I 4 § kamerabevakningslagen anges att lagen gäller om kamerabevakning enligt 3 § sker med utrustning som finns i Sverige. Enligt 3 § 1 kamerabevakningslagen avses med kamerabevakning att en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning, utan att manövreras på platsen används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

De kroppsburna kameror som används i nu aktuellt fall manövreras på platsen av biljettkontrollanterna. Kamerabevakningslagen gäller därför inte för SL:s användning av kroppsburna kameror.

Gäller dataskyddsförordningen?

Dataskyddsförordningen ska enligt artikel 2.1 bland annat tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg.

Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring, läsning och radering.

Om en bevakningskamera fångar en identifierbar person eller någon annan personuppgift i bild måste därför reglerna i dataskyddsförordningen följas. Eftersom SL filmar, och tar upp ljud, från identifierbara personer med sina kameror gäller dataskyddsförordningen.

Grundläggande principer för behandling av personuppgifter (artikel 5)

I artikel 5 i dataskyddsförordningen finns ett antal grundläggande principer som den personuppgiftsansvarige måste beakta vid behandlingen av personuppgifter.

Av artikel 5.1 a följer att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade.

Av artikel 5.1 c följer att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering).

Av artikel 5.2 följer att den personuppgiftsansvarige ska ansvara för och kunna visa att de principer som följer av artikel 5.1 efterlevs (principen om ansvarsskyldighet).

Av skäl 39 i dataskyddsförordningen följer att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel.

Bedömningen av om SL behandlar personuppgifter i enlighet med principerna om laglighet och öppenhet i artikel 5.1 a och principen om uppgiftsminimering i artikel 5.1 c kommer att ske i samband med bedömningen av artiklarna 6 och 13.

Laglig grund för behandling av personuppgifter (artikel 6)

För att användningen av de kroppsburna kamerorna ska anses vara laglig krävs det att åtminstone ett av villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllda.

SL har uppgett att den lagliga grund som de stödjer sin personuppgiftsbehandling på är intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen.

Inledningsvis uppgav SL även att bolaget hade för avsikt att byta laglig grund till artikel 6.1 b i dataskyddsförordningen (fullgörande av avtal), men att de först måste ändra sina allmänna villkor. Av SL:s slutliga yttrande framgår dock att det är artikel 6.1 f (intresseavvägning) som bolaget stödjer sin behandling på. IMY kommer därför att pröva den personuppgiftsbehandling som nu är föremål för tillsyn enligt artikel 6.1 f.

För att personuppgiftsbehandlingen ska vara laglig enligt artikel 6.1 f i dataskyddsförordningen krävs att SL kan visa att 1) det finns ett berättigat intresse, 2) behandlingen av personuppgifter är nödvändig för ett ändamål som rör det berättigade intresse som eftersträvas och 3) att de registrerades grundläggande frioch rättigheter inte väger tyngre än det berättigade intresset.

Testprojekt

SL har inledningsvis uppgett att den personuppgiftsbehandling som utförts med de kroppsburna kamerorna skett inom ramen för ett testprojekt. IMY konstaterar att dataskyddsförordningen inte innehåller några undantag för testprojekt. Förordningens krav behöver därför uppfyllas även om den personuppgiftsansvarige benämner personuppgiftsbehandlingen som testverksamhet.

SL:s användning av kroppsburna kameror för att förebygga och dokumentera hot och våld (ändamål A och B)

SL har uppgett att bolaget behandlar personuppgifter med ändamålet att:

 förebygga hotfulla situationer i samband med biljettkontroll, nedan benämnt ”ändamål A”,  dokumentera inträffade incidenter, nedan benämnt ”ändamål B”, samt  säkerställa att det är rätt person som tillställs tilläggsavgiften, nedan benämnt ”ändamål C”.

Bolaget uppger att all typ av inspelning som sker med de kroppsburna kamerorna utgör en (IMY:s kursivering) behandling av personuppgifter, eftersom ändamålen för inspelningarna ofta överlappar varandra och är nära sammankopplade.

IMY anser att SL:s tre ändamål är av olika karaktär, där ändamål A och B är av en annan karaktär än ändamål C. Ändamål A och B syftar båda till att förbättra säkerheten för biljettkontrollanterna, medan ändamål C syftar till att förbättra SL:s möjlighet att nå framgång vid utkrävandet av tilläggsavgift. Varje ändamål kräver därför en egen bedömning, och kan således också föranleda olika slutsatser av hur omfattande en personuppgiftsbehandling får vara för att uppnå ett visst ändamål.

SL:s biljettkontrollanter använder de kroppsburna kamerorna för att förebygga och dokumentera hot och våld som drabbar kontrollanterna (ändamål A och B) samt för att säkerställa identiteten på den som får en tilläggsavgift i samband med biljettkontroll (ändamål C).

IMY kommer inledningsvis att pröva om den personuppgiftsbehandling som sker vid användandet av de kroppsburna kamerorna för ändamål A och B är förenlig med artikel 6.1 f och principen om laglighet i artikel 5.1 a samt principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Vid intresseavvägningen enligt artikel 6.1 f i dataskyddsförordningen prövas om det finns ett berättigat intresse, om behandlingen är nödvändig för att uppnå angivna ändamål och om den personuppgiftsansvariges intressen väger tyngre än enskildas integritetsintresse.

Har SL ett berättigat intresse för ändamål A och B

SL har uppgett att det finns en omfattande problembild avseende hot och våld mot biljettkontrollanterna i tunnelbanan. SL har vidare inkommit med statistik avseende tillbud och skador under åren 2018, 2019 och delar av 2020.

År 2018 rapporterades totalt 62 tillbud (vilket innefattar muntliga påhopp, hot om våld och våld), 21 fall av skada utan frånvaro samt tre fall av skada med sjukfrånvaro. Statistiken baseras på rapporter från cirka 60 stycken biljettkontrollanter. År 2019 rapporterades totalt 110 tillbud. Av dessa var 101 tillbud mindre allvarliga incidenter

(t.ex. muntliga okvädesord, kränkningar och hot) och 9 var incidenter av allvarlig eller mycket allvarlig karaktär (incidenter av allvarlig karaktär innefattar t.ex. knuffar och incidenter av mycket allvarliga karaktär omfattar bl.a. sparkar, slag och stryptag). Under år 2020 fram till och med november 2020 rapporterades totalt 226 incidenter. Av dessa incidenter var 221 av mindre allvarlig karaktär och 5 incidenter var av allvarlig eller mycket allvarlig karaktär. Statistiken för 2019 och 2020 bygger på cirka 100 kontrollanter, motsvarande 84 heltidstjänster, och avser incidenter i hela kollektivtrafiken.

SL har konstaterat att verbala hot och kränkningar har mer än fördubblats från år 2019 till år 2020, trots de begränsningar i resande som Covid-19 medfört. SL konstaterar även en stor procentuell minskning av de allvarliga eller mycket allvarliga incidenterna från år 2019 vilket SL anser visar på effekterna av de kroppsburna kamerorna.

IMY konstaterar att SL har visat att det föreligger ett berättigat intresse för bolaget att använda sig av kroppsburna kameror, med aktiverad bild- och ljudinspelning, för att förebygga och dokumentera hot och våld (ändamål A och B). IMY konstaterar även att SL har ett berättigat intresse att använda sig av förinspelningsteknik för dessa ändamål.

Är SL:s behandling nödvändig för att uppnå ändamål A och B?

Som IMY konstaterat ovan anser myndigheten att SL har ett berättigat intresse av att använda sig av kroppsburna kameror i samband med hot och våld.

Nästa fråga är då om SL:s användning av kroppsburna kameror med bild och ljudinspelning samt förinspelningsteknik är nödvändig för att uppnå det berättigade intresset?

Nödvändighetskriteriet ska ses mot bakgrund av att undantag och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är absolut nödvändigt. Vidare följer av skäl 39 till dataskyddsförordningen att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Samtidigt följer av praxis att nödvändighetskriteriet kan anses uppfyllt om det bidrar till effektivisering.

Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

Utredningen i ärendet har visat att SL har vidtagit alternativa åtgärder till de kroppsburna kamerorna. Biljettkontrollanterna har fått utbildning i lågaffektivt bemötande och under vissa arbetspass medföljs biljettkontrollanterna också av ordningsvakter. Dessa åtgärder har dock enligt SL inte visat sig vara tillräckliga, varför bolaget tog beslut om att använda kroppsburna kameraor och att spela in med rörlig bild och ljud.

IMY anser att SL har vidtagit rimliga alternativa åtgärder för att uppnå ändamålen i samband med hot och våldssituationer.

IMY prövar i det följande om SL:s personuppgiftsbehandling med kroppsburna kameror är nödvändig för att uppnå ändamålen A och B, det vill säga för att förebygga och dokumentera hotfulla eller våldsamma situationer.

IMY kommer att dela upp prövningen till att dels avse om aktiverad inspelning av bild och ljud i samband med hot och våld är nödvändig för att uppnå ändamålen A och B, och dels avse om SL:s kontinuerliga användning av förinspelningsteknik är nödvändig för att uppnå ändamålen A och B.

Är SL:s aktiverade inspelning i samband med pågående hotfulla situationer

nödvändig?

Vad gäller SL:s inspelningar av hotfulla situationer kan konstateras att den brottslighet som riktas mot SL:s biljettkontrollanter ofta är verbal. En personuppgiftsbehandling ska vara effektiv i förhållande till sitt ändamål, vilket i detta fall delvis är att utreda hot eller våld mot biljettkontrollanter. För att uppnå ett sådant ändamål bör tillgången till en inspelning av rörliga bilder, på den som uttalat hot eller agerat våldsamt samt inspelning av ljud från vad som sagts under situationen, kunna bidra till att underlätta utredningen.

IMY konstaterar därför att aktiverad inspelning av ljud och bild under en pågående hotfull eller våldsam situation är nödvändig för att uppnå SL:s ändamål att förebygga och dokumentera hot och våld (ändamål A och B).

Är SL:s användning av förinspelningsteknik i samband med hotfulla situationer

nödvändig?

SL har i sin konsekvensbedömning konstaterat att det vid hotfulla situationer är svårt att avgöra när en inspelning bör påbörjas, varför förinspelning sker under en minuts tid (inledningsvis under tillsynen under två minuter).

IMY konstaterar att det finns en problembild med hot och våld i samband med biljettkontroller och att det kan finnas behov av att, när ett tillbud inträffar, kunna ha tillgång till bild- och ljudmaterial som omfattar vad som föregått själva tillbudet. Det kan uppnås med den typ av förinspelningsteknik som SL använder.

IMY konstaterar samtidigt att förinspelningstekniken medför en omfattande personuppgiftsbehandling innefattandes såväl bild- som ljudupptagning av resenärer som vare sig beter sig hotfullt eller våldsamt mot biljettkontrollanterna. Det är frågan om ett stort antal resenärer som på så sätt riskerar att bli bevakade i en miljö de är beroende av för att kunna ta sig till exempelvis arbete, skola eller aktiviteter för rekreation. Även om de förinspelade filmerna kan vara till nytta för att uppnå ändamålen för de fall en hotfull eller våldsam situation uppstår plötsligt, anser IMY att det är frågan om ett omfattande intrång i den personliga integriteten för ett stort antal resenärer. Nödvändighetsrekvisitet ska, som nämnts, prövas tillsammans med principen om uppgiftsminimering vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

IMY konstaterar att användning av förinspelningsteknik i och för sig uppfyller kravet på nödvändighet för att motverka hot och våld. IMY konstaterar samtidigt att den SL: personuppgiftsbehandling som sker genom användandet av förinspelningsteknik vida överstiger vad som är nödvändigt för ändamålet. Användning av

förinspelningstekniken under en minut är för omfattande i förhållande till de hot- och risksituationer som uppstår i samband med biljettkontroller.

IMY konstaterar att användingen av förinspelningstekniken på det sätt den nu används inte är nödvändig för att uppnå ändamål A och B, vilket innebär att personuppgiftsbehandlingen saknat laglig grund enligt artikel 6.1 f samt strider mot principerna om laglighet och uppgiftsminimering i artikel 5.1 a och c.

För det fall förinspelningstekniken endast pågått under en kortare tid hade personuppgiftsbehandlingen, givet den problembild som finns, kunnat anses vara nödvändig för att uppnå ändamål A och B. IMY anser i det här specifika fallet att en kortare tidsrymd om maximalt 15 sekunder, hade kunnat godtas för att uppnå ändamålet.

IMY prövar nu som ett sista led i den intresseavvägning som ska göras enligt artikel 6.1 f om de registrerades intressen väger tyngre vid SL:s inspelningar av hotfulla situationer samt användning av förinspelningsteknik för ändamål A och B.

Väger de registrerades intressen och rättigheter tyngre för ändamål A och B?

IMY konstaterar inledningsvis att kamerabevakning med fasta kameror är relativt vanligt i tunnelbanemiljön. Kamerabevakning i en tunnelbanevagn och av en tunnelbanestation med fasta kameror är undantagen tillståndsplikten för vissa ändamål . När tunnelbanevagnar och tunnelbanestationer undantogs från tillståndsplikten uppgav regeringen som skäl för undantaget att enskilda kan förvänta sig att bli övervakade när de befinner sig där eftersom det finns ett stort antal kameror där. Vidare uppgav regeringen att de som bevakades även var de som normalt skyddades av bevakningen. Detta talar för att integritetsintresset vid användning av kameror som tar upp bildmaterial i tunnelbanan väger relativt lätt. IMY konstaterar dock att SL numera har utvidgat området för användningen av kroppsburna kameror till att gälla hela SL:s trafiknät och alla trafikslag och att samma slutsats gällande integritetsintresset inte kan dras på alla platser och gällande alla trafikslag.

Av förarbetena till kamerabevakningslagen framgår att inspelning eller avlyssning av ljud sedan länge har betraktats som särskilt integritetskänsligt och att sådan personuppgiftsbehandling även framöver bör bli föremål för en noggrann prövning i det enskilda fallet.

Av Europeiska dataskyddsstyrelsens (EDPB) riktlinjer för behandling av personuppgifter genom videoenheter framgår att om man antar att videoövervakning är nödvändig för att skydda en personuppgiftsansvarigs berättigade intressen, får ett videoövervakningssystem endast tas i drift om den personuppgiftsansvarigas eller en tredje parts berättigade intressen (t.ex. skydd av egendom eller fysisk integritet) inte åsidosätter den registrerades intressen eller grundläggande rättigheter och friheter. Den personuppgiftsansvariga måste överväga; 1) i vilken utsträckning övervakningen påverkar enskilda personers intressen, grundläggande rättigheter och friheter och 2)

om detta orsakar kränkningar eller negativa konsekvenser med avseende på den registrerades rättigheter. En avvägning av dessa intressen är obligatorisk.

Även vid bedömningen av de registrerades intressen och rättigheter kommer IMY dela upp prövningen till att dels avse SL:s aktiverade inspelningar av hotfulla eller våldsamma situationer, dels avse SL:s förinspelningsteknik som används löpande för att spela in förstadiet till hotfulla eller våldsamma situationer.

Väger de registrerades intressen och rättigheter tyngre i samband med pågående

hotfulla eller våldsamma situationer (ändamål A och B)?

Enligt IMY:s bedömning gör sig integritetsintresset starkare gällande vid bild- och ljudinspelningen av hotfulla situationer med de kroppsburna kamerorna än vid övrig kamerabevakning som sker med fasta kameror i tunnelbanan. Detta eftersom kameran riktas mot en viss person och vid inspelning följer denne kontinuerligt på grundval av att den enskilde agerat på ett visst sätt, t.ex. att resenären agerat på ett sätt som uppfattats som hotfullt. Som vid bevakning med fasta kameror registreras även ett stort antal resenärer som inte har uppträtt hotfullt. Några åtgärder för att minska det intrånget har såvitt framkommit i ärendet inte vidtagits.

Vidare innefattar nu aktuell kamerabevakningen att ljud tas upp, till skillnad från övrig kamerabevakning i tunnelbanan, vilket innebär att integritetsintrånget blir större då ljudupptagning anses vara särskilt integritetskänsligt. Det är också frågan om ljudupptagning på en allmän plats, i SL:s hela trafiknät, som många är beroende av för att ta sig till olika platser, där resenäraren inte rimligen kan förvänta sig att ljudupptagning sker. Sammantaget anser IMY att integritetsintresset vid SL:s inspelningar av pågående hotfulla situationer gör sig starkt gällande.

Vad gäller behovet av bevakning har SL visat ett tungt vägande intresse av att utföra den nu aktuella personuppgiftsbehandlingen eftersom det finns en faktisk hotbild mot biljettkontrollanterna. Vidare innebär SL:s inspelning av en pågående hotfull eller våldsam situation att personuppgiftsbehandlingen är begränsad till att endast ske då en hotfull situation faktiskt uppstått, varvid personuppgiftsbehandlingen begränsas till då den är absolut nödvändig. Det inspelade materialet lagras under dagen lokalt och laddas först vid arbetspassets slut in på en central lagringsyta. Vidare är åtkomsten till det inspelade materialet begränsat till ett fåtal personer.

IMY konstaterar att SL:s intresse av bevakning väger tungt under hotfulla situationer. Mot detta ska vägas att integritetsintresset på platsen gör sig starkt gällande. Även om ett stort antal resenärer fångas av bevakningen, av vilka merparten inte har uppträtt hotfullt och ljudupptagning är en särskilt integritetskänslig behandling, anser IMY att SL:s aktiverade bild- och ljudupptagning under hotfulla situationer är godtagbar mot bakgrund av det tungt vägande intresset i dessa situationer.

IMY anser vid en samlad bedömning att SL:s berättigade intresse av att spela in bildoch ljudmaterial vid hotfulla situationer väger något tyngre än integritetsintresset. Härvid beaktas särskilt att SL visat att biljettkontrollanterna är utsatta för brott och att personuppgiftsbehandlingen endast kommer att pågå när en hotfull eller våldsam situation inträffar.

Väger de registrerades intressen och rättigheter tyngre vid kontinuerlig användning av

förinspelningsteknik för ändamål A och B?

Som IMY konstaterat ovan anser myndigheten att SL:s användning av kontinuerlig förinspelningsteknik inte är nödvändig, åtminstone inte under en så lång tid som en minut.

IMY konstaterar dessutom vid en intresseavvägning att användningen av förinspelningsteknik innebär att samtliga resenärer som befinner sig framför en biljettkontrollant med kamera blir föremål för såväl bild- som ljudupptagning.

Mot detta ska vägas att förinspelningen endast lagras lokalt i biljettkontrollantens kamera och raderas efter en minut, för det fall en hotfull situation inte uppstår. SL har även uppgett att det kan vara svårt att avgöra när en inspelning ska påbörjas och har visat att det finns en faktisk hotbild mot biljettkontrollanterna.

IMY konstaterar att integritetsintresset väger tyngre än SL:s intresse av att använda förinspelningsteknik under en hel minut. IMY anser inte att SL har ett tillräckligt tungt vägande intresse för att motivera en kontinuerlig bild- och ljudinspelning av samtliga resenärer som befinner sig framför kamerans upptagningsområde. Det innebär att personuppgiftsbehandlingen, genom den kontinuerliga användningen av försinspelningsteknik, saknat laglig grund enligt artikel 6.1 f samt strider mot principen om laglig grund i artikel 5.1 a i dataskyddsförordningen.

IMY konstaterar även att förinspelningstekniken lett till en alltför omfattande personuppgiftsbehandling i förhållande till de ändamål för vilka de behandlas, då förinspelningstekniken bedöms omfatta många registrerade som inte ska behöva förvänta sig att bli filmade och inspelade med bild- och ljud vid hotfulla situationer som de själva inte är delaktiga i. Även barn, som ses som särskilt skyddsvärda, kan komma att filmas. Bevakningen har dessutom skett i en mijö som resenärer många gånger är beroende av för att ta sig till arbete, skola och rekreation. Behandlingen har därför även skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

IMY anser dock att förinspelningstekniken skulle kunna vara godtagbar inom ramen för artikel 6.1 f om SL begränsade behandlingen till att endast pågå under en kortare tid. Den behandling av personuppgifter som nu sker kontinuerligt under en minut, genom förinspelningstekniken, är enligt IMY en alltför lång tid och leder till ett alltför stort intrång i den personliga integriteten för de resenärer som kan komma att filmas med både bild och ljud. Myndigheten anser som ovan anförts att maximalt 15 sekunder hade kunnat vara en acceptabel tid i det här fallet.

Sammanfattande bedömning av ändamål A och B

IMY konstaterar att SL:s användning av kroppsburna kameror med aktiverad inspelning av bild- och ljudmaterial för att förebygga och dokumentera pågående hotfulla eller våldsamma situationer inte strider mot reglerna i dataskyddsförordningen.

IMY konstaterar däremot att SL:s användning av förinspelningsteknik som kontinuerligt spelar in bild- och ljudmaterial samt lagrar det under minst en minuts tid, strider mot artikel 6.1 f i dataskyddsförordningen då behandlingen inte är nödvändig och integritetsintresset väger tyngre för de registrerade.

SL:s användning av förinspelningsteknik saknar således laglig grund och personuppgiftsbehandlingen uppfyller därmed inte principen om laglighet i artikel 5.1 a.

IMY konstaterar även att förinspelningstekniken lett till en alltför omfattande personuppgiftsbehandling i förhållande till de ändamål för vilka de behandlas och att behandlingen därför även skett i strid med principen om uppgiftsminimering i artikel 5.1 c.

IMY anser dock att förinspelningstekniken skulle kunna vara förenlig med artikel 6.1 f samt artikel 5.1 a och c om SL begränsade behandlingen till att endast pågå kontinuerligt under maximalt 15 sekunder.

SL:s användning av kroppskameror för att säkerställa identiteten på resenärer som ska betala tilläggsavgift (ändamål C)

SL använder även de kroppsburna kamerorna för att säkerställa identiteten på den person som tillställs en tilläggsavgift. Biljettkontrollanterna är instruerade att använda förinspelningstekniken och spela in händelsen varje gång en tilläggsavgift ställs ut genom aktiverad inspelning.

SL anser att behandlingen av personuppgifter som sker med syfte att fastställa identiteten gällande personer för vilka tilläggsavgift utfärdas och behandling som sker i samband med hotfulla eller våldsamma situationer är intimt sammankopplade. Hotfulla eller våldsamma situationer uppstår nästan alltid i samband med att tilläggsavgift utfärdas.

På grund av ovanstående, samt den begränsade möjligheten för enskilda kontrollanter att i praktiken och tekniskt, hantera kroppskamerorna på skilda sätt beroende på om det rör sig om identifiering eller en hotfull eller våldsam situation, anser SL att bedömningen av den aktuella behandlingen som sker, i första hand måste utgå utifrån behovet för kontrollanter att begränsa hotfulla och våldsamma situationer och inte i syfte att identifiera personer för vilka tilläggsavgift har utfärdats. SL anser inte att det är realistiskt att ställa krav på att kontrollanterna behandlar respektive situation annorlunda.

SL har även uppgett att en resenär inte har någon laglig skyldighet att identifiera sig i samband med biljettkontroller i kollektivtrafiken. Biljettkontrollanter har ingen rätt att begära en resenärs identitetshandling, vilket gör att möjligheterna till säker identifiering i samband med utfärdandet av tilläggsavgift är klart begränsade.

IMY prövar i det följande om den personuppgiftsbehandling som sker vid användandet av de kroppsburna kamerorna för att säkerställa identiteten på resenärer som tillställs en tilläggsavgift är förenlig med dels artikel 6.1 f och principen om laglighet i artikel 5.1 a, dels principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

Har SL ett berättigat intresse för ändamål C?

SL har uppgett att antalet tilläggsavgifter de senaste tre åren har uppgått till ca 30 000 per år. Tilläggsavgiften uppgår till 1 500 kronor samt biljettkostnader.

Under år 2017 uppgick intäktsbortfallet på grund av fuskåkning eller biljettfusk till 254 miljoner kronor. 69 procent av de resenärer som ertappas i biljettkontrollerna har köpt en rabatterad biljett trots att de inte är berättigade till det och 29 procent saknar helt biljett. Biljettfusket uppges vara vanligare i tunnelbanan än på pendeltåg och buss.

År 2017 gick 291 ärenden vidare till prövning i tingsrätten i fall då resenären vägrat betala tilläggsavgift. Av dessa fick SL rätt i 144 ärenden, 48 ärenden återkallades eller avskrevs, 95 ärenden slutade med förlikning mellan SL och resenären, två ärenden ogillades och två stycken är pågående. Under 2018 var intäktsbortfallet kopplat till fuskåkande 280 miljoner kronor.

SL har uppgett att för tidsperioden januari till november 2020 har 38 ärenden gällande identitetsstölder i samband med tilläggsavgifter skrivits av. Det innebär att ärenden avslutas bland annat med anledning av att tilläggsavgiften har bestridits och resenären inte kunnat identifieras. Det bör här också beaktas att SL:s systematiska biljettkontroller hade uppehåll under våren och sommaren 2020 med anledning av Covid-19. Under ett normalt år hade antal ärenden och avskrivna ärenden sannolikt varit betydligt högre.

SL anser att statistiken stödjer deras ståndpunkt att användningen av kroppsburna kameror, trots den personuppgiftsbehandling som den innebär, är nödvändig både i ärenden som rör tilläggsavgift och ärenden som omfattar hotfulla/våldsamma situationer samt att behandlingen är proportionerlig i förhållande till ändamålen.

IMY anser att SL har ett berättigat intresse för att behandla personuppgifter i samband med säkerställande av identitet.

Är SL:s behandling nödvändig för ändamål C?

Nödvändighetskriteriet ska, som nämnts ovan, ses mot bakgrund av att undantag och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är absolut nödvändighet. Av skäl 39 till dataskyddsförordningen följer att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Samtidigt följer av praxis att nödvändighetskriteriet kan anses uppfyllt om det bidrar till effektivisering.

Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

SL har vidtagit vissa alternativa åtgärder till de kroppsburna kamerorna för att säkerställa identiteten på den som tillställs tilläggsavgiften. SL frågar alltid efter identitetshandling. Biljettkontrollanten kan även kontrollera resenärens identitet genom att kräva in personnummer, namn och adress och jämföra dessa med uppgifterna i Statens personuppgiftsadresser (SPAR). SL har uppgett att biljettkontrollanterna ibland även gör slagningar på det uppgivna namnet på Facebook för att säkerställa identiteten. För det fall invändningar uppstår i efterhand används biljettkontrollantens anteckningar och vittnesmål.

SL har dock uppgett att det är svårt att säkerställa identiteten med stöd av biljettkontrollantens minnesanteckningar och vittnesmål. SL har hänvisat till en dom från Högsta domstolen gällande beviskrav och bevisbörda i mål om tilläggsavgift enligt lagen (1977:67) om tilläggsavgift i kollektiv persontrafik för att påvisa att det är svårt att bevisa identitet med hjälp av biljettkontrollantens vittnesmål och minnesanteckningar.

Av domen framgår att det är trafikföretaget som har bevisbördan för att det förhåller sig så som trafikföretaget påstår. Avseende beviskravet uttalar Högsta domstolen i huvudsak följande:

”Trafikföretaget bör kunna uppfylla sin bevisbörda i frågan om resenärens identitet genom viss enklare standardbevisning, så länge den utpekade resenären inte framför invändningar och motbevisning av viss tyngd”. Högsta domstolen uttalar vidare ”Det enkla fallet är när det av biljettkontrollantens anteckningar eller vittnesmål framgår att resenären vid kontrollen har visat upp en giltig legitimationshandling; utrymmet för att kontrollanten då har tagit miste får anses vara mycket begränsat. Men även när det finns dokumentation som utvisar att kontrollanten har försäkrat sig om resenärens identitet på annat övertygande sätt får trafikföretaget normalt anses ha uppfyllt sin bevisbörda. Ett exempel på detta är när resenären i samband med kontrollen har lämnat fullständiga och konsistenta uppgifter om namn, adress och personnummer. I ett sådant fall måste det dock, vid den samlade bevisvärdering som ska göras om svaranden åberopar motbevisning, vägas in att kontrollantens identifiering av resenären har rymt ett större moment av osäkerhet jämfört med om det har uppvisats en legitimationshandling. Även en förhållandevis svag motbevisning kan då få till följd att käromålet ska ogillas”.

SL har uppgett att de visserligen kan använda sig av en stillbild i form av en s.k. snap shot från det inspelade materialet men att det med en stillbild inte kan uppnås samma säkerhet gällande identifieringen som med rörlig bild, eftersom såväl biljettkontrollanten som resenären rör på sig. Situationen då en tilläggsavgift fastställs är ofta trång och rörig med många medresenärer i rörelse (exempelvis i tunnelbanemiljö eller på bussen). En stillbild med tillgänglig teknik kommer därför många gånger inte uppnå erforderlig kvalitet och därmed omintetgöra säker identifiering av resenären. Andra omständigheter som försvårar en identifiering är till exempel resenärers klädsel, så som kepsar, mössor etc. Dessa omständigheter kan ofta medföra att en stillbild inte möjliggör identifiering. Med hjälp av bildinspelning som kompletteras med ljudinspelning kan det även fastställas vilka uppgifter som faktiskt angavs vid tillfället för utfärdandet av tilläggsavgiften. Mindre integritetskänsliga alternativ är därför enligt SL inte möjliga för att uppnå ändamålet.

SL använder även förinspelningstekniken för att säkerställa identiteten i samband med biljettkontroll (ändamål C), och biljettkontrollanterna är instruerade att spela in med bild och ljud vid varje tillfälle när tilläggsavgift ställs ut. SL har uppgett att bild- och ljudupptagning gör det lättare att fastställa identiteten på den som tillställs tilläggsavgiften. SL har uppgett att inspelningen som sker har tre ändamål; förebygga hotfulla situationer i samband med biljettkontroll, dokumentera inträffade incidenter för

att underlätta utredning i efterhand, samt säkerställa identiteten på resenärer som ska betala tilläggsavgift. Att inspelningen har tre ändamål medför att filmen kan bli längre än enbart för att uppnå syftet att säkerställa identiteten på den som tillställs tilläggsavgiften.

IMY konstaterar, att principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen innebär att omfattningen av en personuppgiftsbehandling ska vara adekvat, relevant och inte för omfattande i förhållande till sitt ändamål. Vidare följer av principen om ändamålsbegräsning i artikel 5.1 b i dataskyddsförordningen att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål.

SL har uppgett att inspelning används för tre ändamål. Att en viss teknik, i förevarande fall kameror, används för flera ändamål av den som är personuppgiftsansvarig innebär inte att personuppgiftsbehandlingen kan utföras på samma sätt för samtliga ändamål som en personuppgiftsansvarig behandlar personuppgifter för. Prövningen av i vilken omfattning SL får behandla personuppgifter i syfte att säkerställa identiteten på en resenär som ertappas utan giltigt färdbevis måste ske utifrån just det ändamålet. Att SL även behandlar personuppgifter i syfte att förebygga och utreda incidenter kan därför inte tillmätas betydelse vid bedömningen av hur omfattande personuppgiftsbehandlingen ska vara för att säkerställa identiteten på en viss person.

Av den praxis som SL hänvisat till framgår att utrymmet för en biljettkontrollant att ta fel om en resenär visat upp en giltig identitetshandling ska anses vara mycket begränsat. IMY konstaterar därför att SL hade kunnat vidta andra, mindre integritetskränkande åtgärder, än att aktivera inspelning av den som ska kontrolleras för att säkerställa identiteten på den som tillställs en tilläggsavgift när en identitetshandling har visats upp. Att använda såväl bild- och ljudupptagning samt att dessutom systematiskt använda förinspelningsteknik går långt utöver vad som kan anses vara nödvändigt för att uppnå ändamålet att säkerställa en korrekt identifiering när en legitimationshandling visas upp.

IMY konstaterar att behovet av att behandla ytterligare personuppgifter i syfte att säkerställa identiteten på en resenär endast kan anses vara nödvändigt när en resenär inte förmår styrka sin identitet med en legitimationshandling. Inte heller när legitimationshandling saknas bedömer IMY att det är nödvändigt att spela in med såväl rörlig bild som ljud. Av de uppgifter SL redovisat framkommer att det, av cirka 30 000 kontroller, är frågan om förhållandevis få fall där identiteten inte har kunnat fastställas. För 2020 var det – även om pandemin sannolikt har medfört att det varit frågan om väsentligt färre fall än under normala förhållanden – frågan om 38 ärenden. Under 2018 var det fråga om 291 ärenden som gick till domstol. IMY anser inte att det är visat att rörlig bild kombinerat med ljudupptagning och dessutom användande av förinspelningsteknik har varit nödvändig för att uppnå ändamålet att säkerställa en korrekt identifiering av resenärer som inte har uppvisat en legitimationshandling. IMY anser att SL rimligen kunnat använda sig av andra mindre integritetskränkande åtgärder, till exempel en stillbild eller liknande, för att säkerställa identiteten på den som tillställts en tilläggsavgift och saknar giltig identitetshandling.

IMY anser därmed sammanfattningsvis att behandlingen inte är nödvändig, som den nu utförs, med bild- och ljudinspelning samt förinspelningsteknik, i samband med säkerställande av en resenärs identitet oavsett om en identitetshandling kunnat visas upp eller inte. IMY konstaterar därför att att personuppgiftsbehandlingen saknat laglig

grund enligt artikel 6.1 f samt strider mot principen om laglighet i artikel 5.1 a i dataskyddsförordningen.

IMY konstaterar även att behandlingen har lett till en alltför omfattande personuppgiftsbehandling i förhållande till det ändamål för vilka de behandlas, både i relation till de som kontrolleras och andra registrerade som inte ska behöva förvänta sig att bli filmade och inspelade med bild- och ljud vid biljettkontroller som de själva inte är delaktiga i. Även barn, som ses som särskilt skyddsvärda, kan komma att filmas. Bevakningen har skett i en mijö som resenärer många gånger är beroende av för att ta sig till arbete, skola och rekreation. Behandlingen har därför även skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

Väger de registrerades intressen och rättigheter tyngre för ändamål C?

Som IMY konstaterat ovan anser myndigheten att SL:s användning av aktiverad rörlig bild och ljudinspelning samt användning av förinspelningsteknik inte är nödvändig för att uppnå ändamål C, det vill säga för att säkerställa identiteten i samband med biljettkontroll.

IMY konstaterar dessutom vid en intresseavvägning att SL:s användning av kroppskameror som tar upp såväl bild som ljud samt bolagets användning av förinspelningsteknik innebär att samtliga resenärer som befinner sig framför en biljettkontrollant som ska utfärda en tilläggsavgift blir föremål för såväl bild- som ljudupptagning. Kamerabevakning anses generellt sett vara ett stort intrång i den personliga integriteten, särskilt när den bedrivs på ett sett som innebär bevakning av personer som endast är på väg till och från sitt arbete, skola eller är ute i rekreationssyfte och som i de flesta fall dessutom har betalat sin biljett.

Som nämnts tidigare är ljudupptagning vid kamerabevakning dessutom typiskt sett särskilt integritetskänsligt. Detta gäller i synnerhet i det förevarande fallet eftersom ljudinspelningen sker i en situation då resenärer, särskilt de som inte är föremål för biljettkontroll, inte rimligen kan förvänta sig att biljettkontrollanterna spelar in ljud.

Av tidigare nämnda riktlinjer framgår vidare att den personuppgiftsansvarige måste utvärdera riskerna för intrång i den registrerades rättigheter, och det avgörande kriteriet är intrångets intensitet för den registrerades rättigheter och friheter. Intensiteten kan bland annat definieras utifrån vilken typ av information som samlas in (informationsinnehåll), omfattningen (informationstäthet, rumslig och geografisk omfattning), antalet berörda registrerade, antingen som ett specifikt antal eller som en andel av den berörda befolkningen, situationen i fråga, den registrerades faktiska intressen, alternativa metoder samt uppgifternas art och omfattning. Viktiga balanseringsfaktorer kan vara storleken på det område som övervakas och antalet registrerade som övervakas. Som exempel nämns:

Om en bilkamera är installerad (t.ex. för att samla in bevis i händelse av en olycka) är det viktigt att se till att denna kamera inte konstant spelar in trafiken, och de personer som befinner sig nära vägen. Annars kan intresset av att ha videoinspelningar som bevis om en trafikolycka rent teoretiskt skulle inträffa inte motivera det allvarliga intrånget i de registrerades rättigheter.

IMY anser att man kan dra en parallell mellan exemplet ovan och den förinspelningsteknik som SL använder. Tekniken innebär att bild- och ljudinspelningen lagras en minut innan en kontrollant trycker på knappen, vilket innebär att alla som befinner sig i närheten riskerar att spelas in med såväl bild som ljud.

Även om förinspelningstekniken är tänkt att användas vid hotfulla situationer kommer den i praktiken att användas även vid inspelning i syfte att säkerställa identiteten på resenärer som saknar giltigt färdbevis. I likhet med exemplet ovan konstaterar IMY att det är viktigt att tillse att alla andra personer som råkar befinna sig i närheten av en biljettkontrollant inte spelas in konstant med bild och ljud.

Vidare anser IMY att de registrerade befinner sig i en trängd situation vid utställande av tilläggsavgift och att en aktiverad bild- och ljudinspelning av den situationen innebär ett större integritetsintrång. Användningen av förinspelningstekniken som lagrar material en minut bakåt från det att kontrollanten trycker in knappen och aktiverar inspelningen, innebär dessutom, som nämnts ovan i samband med bedömningen av ändamål A och B, att den stora massan av resenärer (utöver den som tillställs en tilläggsavgift) filmas helt utan att vara medvetna om det, med både bild-och ljud.

Mot detta ska vägas att SL visat att det finns svårigheter med att fastställa identiteten på den person som tillställs tilläggsavgiften samt att det förekommit resenärer som uppgivit annan persons identitet.

IMY anser, med hänsyn tagen till det stora integritetsintrång som det innebär att filmas med bild och i synnerhet med ljud på det sätt som nu sker och med användning av förinspelningsteknik, att SL:s intresse av att säkerställa identiteten på den som tillställs tilläggsavgiften väger förhållandevis lätt i förhållande till de registrerades intressen och rättigheter.

IMY konstaterar att SL:s användning av aktiverad bildinspelning samt användning av förinspelningsteknik saknar laglig grund enligt artikel 6.1 f och att personuppgiftsbehandlingen därmed strider mot principen om laglighet i artikel 5.1 a.

IMY konstaterar även att förinspelningstekniken lett till en alltför omfattande personuppgiftsbehandling i förhållande till de ändamål för vilka de behandlas och att behandlingen därför även skett i strid med principen om uppgiftsminimering i artikel 5.1 c då förinspelningstekniken bedöms omfatta många registrerade som inte ska behöva förvänta sig att bli filmade och inspelade med bild- och ljud vid hotfulla situationer som de själva inte är delaktiga i. Bevakningen har dessutom skett i en mijö som resenärer många gånger är beroende av för att ta sig till arbete, skola och rekreation.

Sammanfattande bedömning av ändamål C

IMY konstaterar att SL visserligen haft ett berättigat intresse av att använda sig av kroppsburna kameror för att säkerställa identiteten i samband med biljettkontroll men att de kunnat använda sig av andra mindre integritetskränkande åtgärder, särskilt i de fall där en resenär faktiskt kunnat uppvisa en identitetshandling, och att personuppgiftsbehandlingen därför inte varit nödvändig. IMY anser att en stillbild eller liknande hade kunnat vara en godtagbar åtgärd för att uppnå ändamålet.

IMY anser vidare att de registrerades intressen och rättigheter väger tyngre än bevakningsintresset i samband med ändamål C.

IMY konstaterar därför att SL:s användning av kroppsburna kameror, med användning av förinspelningsteknik, för att säkerställa identiteten på den som tillställs en tilläggsavgift innebär att SL behandlar personuppgifter i strid med artikel 6.1 f i dataskyddsförordningen då behandlingen inte är nödvändig och integritetsintresset väger tyngre för de registrerade. SL:s användning av kroppsburna kameror för ändamål C saknar således laglig grund. Överträdelsen strider därför mot principen om laglighet i artikel 5.1 a.

Överträdelsen bedöms omfatta många registrerade, som inte ska behöva förvänta sig att aktiverad bild- och ljudupptagning sker av dem vid situationer som de inte själva är delaktiga i. Bevakningen sker i en miljö som resenärer många gånger är beroende av för att exempelvis ta sig till arbete, skola och rekreation. Behandlingen har därför även skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

IMY konstaterar även att förinspelningstekniken lett till en alltför omfattande personuppgiftsbehandling i förhållande till de ändamål för vilka de behandlas och att även denna behandling har skett i strid med principen om uppgiftsminimering i artikel 5.1 c.

Information till registrerade (artikel 13)

Enligt artikel 5.1 a ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till de registrerade.

Av skäl 58 följer att öppenhetsprincipen kräver att information som riktar sig till allmänheten eller till registrerade är kortfattad, lättåtkomlig och ättbegriplig samt utformad på ett tydigt och enkelt språk. Är det frågan om information och kommunikation som riktar sig till barn bör den utformas på ett tydligt och enkelt språk som barn lätt kan förstå.

Av skäl 60 framgår att den registrerade ska informeras om att behandlilng sker och syftet med den. Den personuppgiftsansvarige bör lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.

I artikel 13 i dataskyddsförordningen anges vilken information som ska tillhandahållas om personuppgifter samlas in från registrerade.

Av artikel 12.1 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14, och att sådan information ska tillhandahållas i en koncis, klar och tydlig, begriplig och lätt tillgänglig form.

Av artikel 12.7 i dataskyddsförordningen framgår det att den information som ska tillhandahållas de registrerade i enlighet med artiklarna 13 och 14 får tillhandahållas kombinerad med standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen.

Det finns inga undantag till artikel 13, utöver det fall att den registrerade redan förfogar över informationen som ska lämnas (artikel 13.4).

Den personuppgiftsansvarige kan dock lämna information i olika lager, där en skylt kan utgöra det första lagret och information på en webbplats eller information i en broschyr kan utgöra det andra lagret av information. Den viktigaste informationen bör generellt sett ges i det första lagret.

Av artikel 13 framgår att SL måste lämna information när personuppgifterna erhålls från den registrerade. Det är härvid av vikt att den registrerade måste kunna skapa sig en uppfattning om vilka områden som är föremål för bevakning så att den registrerade antingen kan undvika att bli filmade eller ändra sitt beteende.

Bildmaterialet

SL har inledningsvis uppgett att de tillhandahåller en förkortad skriftlig information till de personer som tillställs en tilläggsavgift. Informationen framgår på det kvitto där instruktioner även finns för hur betalningen av tilläggsavgiften ska ske. Den skriftliga informationen innehåller en upplysning om att; SL är personuppgiftsansvarig, information om vilka kategorier av personuppgifter som behandlas, information om SL:s ändamål med personuppgiftsbehandlingen, information om lagringstid, kontaktuppgifter till dataskyddsombud, upplysning om att dataskyddsombudet kan kontaktas för det fall den registrerade vill utöva sina rättigheter samt en hänvisning till SL:s webbsida och kundtjänst där ytterligare information kan erhållas. Vidare har SL tagit fram ett dokument med svar på de vanligaste frågorna kring biljettkontrollerna. IMY noterar dock att det av SL:s konsekvensbedömning av den 21 november 2018 framkommer att förinspelningstekniken innebär att filminspelning startar innan information har lämnats till resenären.

IMY konstaterar att det när IMY:s tillsyn inleddes endast var den person som tillställdes en tilläggsavgift som erhöll den information som SL lämnade i sitt första lager. Övriga personer som SL filmade, t.ex. övriga resenärer som råkade befinna sig i kamerans upptagningsområde eller de resenärer som filmades på grundval av att de uppfattades som hotfulla, fick ingen information. Även om merparten av dessa resenärer kunde besöka SL:s webbplats eller ringa SL för att få informationen är det inte tillräckligt för att anse att SL har lämnat informationen i den mening som avses i artikel 13.

Omständigheten att det inspelade materialet i huvudsak raderas efter en minut (inledningsvis två minuter) är utan betydelse vid denna bedömning då det saknas undantag för att tillhandahålla information avseende kortvariga personuppgiftsbehandlingar i dataskyddsförordningen.

Av SL:s slutliga yttrande från den 17 december 2020 framkommer det att det i biljettkontrollanternas uniform numera ingår en s.k. ”badge” som informerar om att de bär en kroppskamera. Storleken på badge:n är sju centimeter i diameter. På badge:n visualiseras ett tydligt piktogram av en kamera samt den skriftliga informationen ”Kroppskamera/Body Camera”. SL uppger vidare att enligt artikel 12.7 får den personuppgiftsansvarige tillhandahålla information till de registrerade genom standardiserade symboler (inklusive ikoner) för att bland annat ge en överskådlig och meningsfull överblick av behandlingen. Badge:n utgör enligt SL numera ett första lager

information om den personuppgiftsbehandling som sker. I övrigt lämnas information så som tidigare anförts via kvitto samt på SL:s webbplats.

SL hänvisar även till den irländska dataskyddsmyndigheten och dess riktlinjer för användning av kroppsburna kameror eller actionkameror. Enligt dessa riktlinjer anges att lämpliga sätt att tillhandahålla information till registrerade beror på den specifika kontexten och miljön som uppgifterna insamlas i. Det krävs alltså en bedömning av vad som är lämpligt i det enskilda fallet. Den irländska dataskyddsmyndigheten exemplifierar även en badge på kontrollanters uniformer som ett sätt att tillhandahålla informationen.

IMY instämmer i vad SL hänvisat till gällande den irländska dataskyddsmyndighetens ståndpunkt, att hur information ska tillhandahållas beror på den specifika kontexten och miljön och vad som är lämpligt från fall till fall och att en badge kan vara ett sätt att lämna information. Som framgår av riktlinjen från EDPB som IMY hänvisat till tidigare så måste man göra en bedömning från fall till fall och även se till vilken typ av information som samlas in, omfattning och antal berörda registrerade. En viktig faktor är även storleken på det område som övervakas och antalet registrerade.

I nu aktuellt fall är det fråga om ett betydande antal kontrollanter som rör sig över ett stort geografiskt område (hela SL:s trafiknät) och som filmar med såväl bild som ljud.

IMY konstaterar därmed att det inte är tillräckligt att enbart använda sig av en badge med ett piktogram av en kamera med texten Kroppskamera/Body Camera som ett första lager för informationslämning i det här fallet.

SL har anfört att det enligt art 12.7 framgår att den personuppgiftsansvarige får tillhandahålla information genom standardiserade ikoner. Av artikel 12.7 framkommer det dock att den information som ska tillhandahållas de registrerade i enlighet med artikel 13 och 14 får tillhandahållas kombinerad (IMY:s kursivering) med standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen.

Enligt skäl 60 får information tillhandahållas till de registrerade ”kombinerad” med standardiserade symboler, vilket därmed möjliggör en flerskiktsstrategi. Symboler bör dock inte rent av ersätta sådan information som är nödvändig för de registrerades utövande av sina rättigheter, och de bör inte heller användas som ett substitut för att den personuppgiftsansvarige ska fullgöra sina skyldigheter enligt artiklarna 13 och 14.

IMY konstaterar således att artikel 12.7 inte kan tolkas så att enbart en symbol, om än med texten Kroppskamera/Body Camera, kan ersätta all den information som ska lämnas i ett första lager.

Det är centralt att alla som reser med SL får kunskap om att kamerabevakning med kroppsburna kameror kan komma att ske för att ge dem möjlighet att välja hur de önskar genomföra sitt resande.

IMY konstaterar att även om biljettkontrollanterna har en badge på sig som indikerar att kroppskameror används så riskerar den registrerade som blir kontrollerad eller som uppträder hotfullt att se badge:n (informationen) först i samband med att hen blir

filmad. För övriga som fångas av bild- och ljudupptagningen finns mycket begränsade möjligheter att uppfatta att de blir filmade. Den registrerade har då ingen möjlighet att undvika kameran eller förändra sitt beteende.

De varningssymboler som numera finns på biljettkontrollanterna bör därför kompletteras med varningsskyltar som samtliga registrerade kan läsa innan de beträder själva området där de kan bli föremål för bevakning med kroppsburen kamera. IMY vill framhålla att de registrerade ska ha möjlighet att avgöra om de vill beträda ett område där kroppsburna kameror kontinuerligt används innan de beträder området.

IMY konstaterar att SL har överträtt artikel 13 i dataskyddsförordningen genom att inte tillhandahålla tillräcklig information om den bildupptagning som sker med de kroppsburna kamerorna samt att SL även behandlat personuppgifter i strid med öppenhetsprincipen i artikel 5.1 a i dataskyddsförordningen.

Ljudupptagning

SL spelar inte bara in bildmaterial med de kroppsburna kamerorna, utan tar även upp ljud. SL uppger på den skriftliga information som lämnas över till resenärer som tillställts tilläggsavgift att film spelas in för att förebygga och dokumentera hotfulla situationer. Det framkommer däremot inte att ljud spelas in. På SL:s webbplats under rubriken ”Biljettkontroll och tilläggsavgift” uppgav SL inledningsvis endast att de behandlade ”rörliga bilder och stillbilder”. På SL:s webbplats under rubriken ”Så behandlar vi dina personuppgifter” framgår det numera att SL i samband med biljettkontroll bland annat behandlar rörliga bilder, ljud (IMY:s understrykning) och stillbilder. Det framkommer dock inte av badge:n, vilken numera är lager ett för information, att ljud spelas in.

Det första informationslagret bör, som nämnts ovan, innehålla den information som påverkar den registrerade mest och upplysa om sådan behandling som skulle kunna komma som en överraskning för de registrerade.

IMY konstaterar att ljudupptagning är särskilt integritetskänsligt, ljudinspelning kan komma att påverka de registrerade i stor omfattning, inte minst eftersom SL inte upplyser om att ljud spelas in mer än på sin webbplats, vilket kan leda till att de som blir föremål för ljudupptagningen kan säga saker som de inte hade gjort om de haft kännedom om ljudupptagningen. Vidare konstaterar IMY att resenärer i SL:s trafiknät inte rimligen kan förvänta sig att bli avlyssnade och att ljudinspelningen därför är överraskande för dem. IMY konstaterar att det är särskilt allvarligt att uppgift om ljud inte lämnas i det första lagret av information eftersom ljudinspelning betraktas som särskilt integritetskänsligt.

IMY konstaterar därmed att SL har överträtt artikel 13 i dataskyddsförordningen genom att inte tillhandahålla tillräcklig information om den ljudupptagning som sker med de kroppsburna kamerorna samt att SL även behandlat personuppgifter i strid med öppenhetsprincipen i artikel 5.1 a i dataskyddsförordningen.

Sammanfattande bedömning av information till de registrerade

IMY konstaterar att SL inledningsvis enbart lämnade viss information till de registrerade som erhöll en tilläggsavgift. Uppgift om att ljud togs upp framkom inte. IMY anser inte att det var tillräckligt tydligt att hänvisa till att film spelas in på den skriftliga information som SL tillhandahåller de resenärer som tillställts tilläggsavgift.

SL:s biljettkontrollanter har numera en s.k. badge på sin uniform med en bild på en kamera samt texten Kroppskamera/Body Camera. Badge:n anses utgöra lager ett. IMY konstaterar att den information som lämnas på badge:n är bristfällig och inte uppfyller kraven på den information som ska finnas i lager ett.

IMY konstaterar därför att SL har överträtt artikel 13 i dataskyddsförordningen genom att inte tillhandahålla tillräcklig information om den bild- och ljudinspelning som sker.

IMY konstaterar att kamerabevakningen rör ett stort antal resenärer som är beroende av SL:s trafiknät för att ta sig till arbete, skola och platser för rekreation. IMY konstaterar att förinspelningstekniken medför en mycket omfattande personuppgiftsbehandling innefattandes såväl bild- som ljudupptagning av den stora massan resenärer som vare sig beter sig hotfullt eller våldsamt mot biljettkontrollanterna, har giltigt färdbevis och inte heller blir föremål för någon kontroll. Detta särskilt som kontrollanterna är instruerade att ha kameran på under hela sitt arbetspass och således kan komma att filma alla resenärer som kan tänkas passera en kontrollant . Behovet av information gör sig därför starkt gällande. SL har därigenom även behandlat personuppgifter i strid med öppenhetsprincipen i artikel 5.1 a i dataskyddsförordningen.

Val av ingripande

IMY har konstaterat att SL:s biljettkontrollanter använder sig av kroppsburna kameror med förinspelningsteknik för att spela in ljud och bild i samband med biljettkontroll för att förebygga hotfulla situationer, dokumentera incidenter och för att kontrollera identiteten på resenärer. Under tillsynens gång har försöket med kroppskameror blivit permanent och antalet biljettkontrollanter som använder kroppskamerorna har ökat. Även ytan har utökats till att gälla hela SL:s trafiknät. Förinspelningstekniken har inneburit att såväl vuxna som barn har kunnat fångas på film om än helt kortvarigt för det fall inget material lagrats längre än en minut.

Användningen av de kroppsburna kamerorna har saknat laglig grund, med undantag för den inspelning som sker i samband med hotfulla situationer, och har inneburit att fler personuppgifter har samlats in än vad som har varit nödvändigt för ändamålen. IMY anser att SL:s behandling av personuppgifter i samband med den förinspelning som sker under en minut, och som innebär att alla som kan tänkas passera framför kameran filmas, även de som inte uppträtt hotfullt eller våldsamt eller fått någon tilläggsavgift, har inneburit en omfattande insamling och behandling av en alltför stor mängd personuppgifter.

Detta innebär att SL har behandlat personuppgifter i strid med artikel 5.1 a och artikel 5.1 c i dataskyddsförordningen samt bestämmelsen om laglig grund för personuppgiftsbehandling i artikel 6 i dataskyddsförordningen.

Vidare har IMY konstaterat att SL inte har tillhandahållit information om personuppgiftsbehandlingen till de registrerade i tillräcklig utsträckning. Dels genom att utelämna upplysning om ljudinspelning, dels genom att inte informera de registrerade på ett tydligt sätt innan de registrerade beträder det område där biljettkontrollanterna

tar upp rörlig bild och ljud med de kroppsburna kamerorna. Det innebär att SL även har agerat i strid med öppenhetsprincipen i artikel 5.1 a och bestämmelsen om information i artikel 13 i dataskyddsförordningen.

Möjliga ingripande åtgärder

I artikel 58 i dataskyddsförordningen anges samtliga befogenheter som IMY har. IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a-j, bland annat reprimand, föreläggande och sanktionsavgifter.

Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

Sanktionsavgift ska påföras

IMY har bedömt att SL har överträtt artiklarna 5.1 a och c, 6.1 f och 13 i dataskyddsförordningen. Dessa artiklar omfattas av artikel 83.5 i dataskyddsförordningen, vilket innebär att tillsynsmyndigheten, enligt artikel 83.2, ska överväga att påföra administrativa sanktionsavgifter utöver, eller istället för, andra korrigerande åtgärder.

Mot bakgrund av att stora delar av den personuppgiftsbehandling som denna tillsyn omfattat har inneburit olaglig behandling av personuppgifter rörande ett stort antal registrerade, att behandlingen pågått under en längre tid och att SL inte tillhandahållit tillräcklig information till de registrerade är det inte fråga om en mindre överträdelse.

SL ska därför påföras en administrativ sanktionsavgift.

Fastställande av sanktionsavgiftens storlek

Generella bestämmelser

Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande.

I artikel 83.2 i dataskyddsförordningen anges faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek. Dessa faktorer är bland annat a) överträdelsens karaktär, svårighetsgrad och varaktighet, f) graden av samarbete med tillsynsmyndigheten för att komma till rätta med överträdelsen och minska dess potentiella negativa effekter g) de kategorier av personuppgifter som omfattas av överträdelsen, h) det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, särskilt huruvida och i vilken omfattning den personuppgiftsansvarige anmälde överträdelsen och k) eventuell annan försvårande eller förmildrande faktor som är tillämplig på omständigheterna i fallet.

Överträdelser av artikel 5, 6 och 13 är att bedöma som allvarliga och omfattas av den högre sanktionsavgiften enligt artikel 83.5 i dataskyddsförordningen. Detta innebär att sanktionsavgiftens belopp kan uppgå till 20 000 000 EUR, eller om tillsynsobjektet är

ett företag, upp till 4 % av den totala årsomsättning under föregående budgetår, beroende på vilket värde som är högst.

Av artikel 4.18 i dataskyddsförordningen följer att ett företag är en fysisk eller juridisk person som bedriver ekonomisk verksamhet, oavsett dess juridiska form, vilket inbegriper partnerskap eller föreningar som regelbundet bedriver ekonomisk verksamhet. För att kunna påföra sanktionsavgifter som är effektiva, proportionella och avskräckande ska företagsdefinitionen innebära att ett företag ska anses vara en ekonomisk enhet som kan utgöras av ett moderbolag och alla dess dotterbolag.

Av skäl 150 i dataskyddsförordningen framgår bland annat att om administrativa sanktionsavgifter åläggs ett företag, bör ett företag anses vara ett företag i den mening som avses i artiklarna 101 och 102 i EUF-fördraget.

Detta innebär att bedömningen av vad som utgör ett företag ska utgå från konkurrensrättens definitioner. Reglerna för koncernansvar i EU:s konkurrenslagstiftning kretsar kring begreppet ekonomisk enhet. Ett moderbolag och ett dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal.

Vid bestämmande av maxbeloppet för sanktionsavgiften utgår IMY från SL:s årsredovisning från föregående budgetår. Av SL:s årsredovisning från år 2020 framgår att SL är moderbolag i en koncern där SL står som ensam ägare till bolagen SL Älvsjö AB, AB SL Finans och Waxholms Ångfartygs AB.

IMY utgår från SL:s omsättning för koncernen vid bestämmande av sanktionsavgiftens storlek. Omsättningen för koncernen SL uppgick år 2020 till 20 981 000 000 kronor. Det maximala sanktionsbelopp som SL kan påföras är således 839 240 000 kronor, vilket motsvarar fyra procent av SL:s omsättning.

SL har anfört att dess verksamhet har varit särskilt utsatt med anledning av covid 19pandemin. SL har vidare uppgett att bolaget lidit stora förluster under år 2020. SL:s biljettintäkter uppgick år 2019 till 8 750 000 000 kr och uppgår till och med november 2020 till 5 068 000 000 kr. Prognosticerade biljettintäkter för hela 2020 uppgår till 5 632 000 000 kr vilket innebär att biljettintäkterna på helåret minskat med 3 118 000 000 kr jämfört med föregående år. SL anser att dessa ekonomiska omständigheter ska utgöra förmildrande omständigheter om en sanktionsavgift ska utfärdas.

SL anför vidare att Aktiebolaget Storstockholms Lokaltrafik ägs av Region Stockholm och således utgör ett offentligägt bolag. Som framgår av årsredovisningarna från 2018 och 2019 som SL bifogat, består de totala intäkterna till 44 procent av verksamhetsbidrag. Verksamhetsbidraget avser den skattefinansiering som SL erhåller för att bedriva kollektivtrafikverksamhet. Av årsredovisningen från år 2020 uppges skattefinansieringsgraden uppgå till 54,4 %. Verksamhetsbidraget avser inte omsättning i form av sålda varor och tjänster utan är ett bidrag från Region Stockholm för kostnadstäckning i AB SL. Enligt lagen (1977:67) om tilläggsavgift i kollektiv persontrafik får avgifternas storlek inte överstiga de merkostnader som SL drabbas av för kontrollverksamheten och enligt samma lag ska SL inte tillföras ekonomiska vinster

genom uttaget av tilläggsavgifterna. Utfärdandet av tilläggsavgifterna är således inte en vinstdrivande verksamhet för SL.

Med anledning av att utfärdandet inte är vinstgivande för SL innebär biljettkontrollerna i realiteten endast kostnader för SL att genomföra. SL anser dock att det finns ett intresse att utföra dessa kontroller eftersom det ökar betalningsviljan i kollektivtrafiken.

Bedömning av överträdelserna

IMY har konstaterat tre överträdelser. IMY bedömer att de tre överträdelserna inte utgör sammankopplade behandlingar och att det därför ska ges en sanktionsavgift per överträdelse.

SL:s användning av kroppsburna kameror för att förebygga och dokumentera hot och

våld (ändamål A och B)

Vad gäller överträdelsens svårighetsgrad konstaterar IMY att behandlingen som skett för att förebygga och dokumentera hot och våld till stor del har varit laglig (den behandling som skett under pågående hot och våld).

Överträdelsen i denna del består dock av SL:s alltför omfattande användning av förinspelningsteknik genom vilken de kontinuerligt spelat in med bild och ljud, under som kortast en minuts tid. Inspelningen har inte bara omfattat de personer som agerat hotfullt utan även alla andra resenärer som råkat förekomma i kamerans upptagningsområde, som inte ska behöva förvänta sig att bli inspelade med bild- och ljud.

Det rör sig om en allvarlig överträdelse eftersom det är fråga om en allmän plats som omfattar hela SL:s trafiknät. Det har handlat om en omfattande övervakning av ett stort antal resenärer, även barn, som är beroende av SL:s trafiknät för att ta sig till arbete, skola och platser för rekreation. Behandlingen har dessutom innefattat upptagning av ljud som är en särskilt integritetskänslig behandling och som har medfört ett omfattande integritetsintrång för enskilda.

IMY konstaterar även att SL inte hade inlett sin användning av kroppsburna kameror när tillsynen inleddes utan att SL kom att göra det kort där efter. SL förlängde även användningen av de kroppsburna kamerorna under tillsynens gång för att slutligen göra behandlingen permanent. SL har även utökat sin användning av kroppsburna kameror till att inte bara omfatta Stockholms tunnelbana utan hela SL:s trafiknät och alla trafikslag. IMY anser att det här, oaktat tidsutdträkten för tillsynen, är försvårande omständigheter.

IMY konstaterar samtidigt att SL:s personuppgiftsbehandling har skett för berättigade ändamål, att det funnits en faktisk hotbild mot biljettkontrollanterna och att bevakningen har bidragit till att öka tryggheten för kontrollanterna i deras dagliga arbetsmiljö. Filmningen som skett med förinspelningstekniken har endast lagrats lokalt i kamerorna om inte kontrollanterna aktiverat inspelningen manuellt. Det inspelade materialet har vidare varit begränsat till ett fåtal personer. Vidare har SL under tillsynens gång vidtagit vissa åtgärder såsom att minska tiden för förinspelningen från två minuter till en minut. IMY anser att det här är förmildrande omständigheter.

Vid fastställandet av sanktionsavgiftens storlek har IMY beaktat att SL inte använt sig av de kroppsburna kamerorna i vinstsyfte och att SL:s biljettintäkter enligt de uppgifter som redovisats i ärendet minskade under 2020.

IMY har konstaterat att SL saknat laglig grund enligt artikel 6.1 f samt att SL:s behandling med förinspelningsteknik under så lång tid som en minut strider mot principen om laglighet och principen om uppgiftsminimering i artikel 5.1 a och c.

Mot bakgrund av överträdelsernas allvar och att den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande bestämmer IMY den administrativa sanktionsavgiften till 4 000 000 kronor för överträdelsen i denna del.

SL:s användning av kroppskameror för att säkerställa identiteten på resenärer som

ska betala tilläggsavgift (ändamål C)

Även den behandling som skett för att säkerställa identiteten på den som tillställs tilläggsavgift har skett med förinspelningsteknik och omfattat personuppgifter i såväl bild som ljud. Även här har aktiverad inspelning använts.

IMY anser att den registrerade befinner sig i en trängd situation när tilläggsavgift ställs ut, vilket gör överträdelsen allvarlig. Att kontinuerligt använda inspelning med ljud och bild med kroppsburna kameror är särskilt allvarligt när identitetshandling har visats upp av den kontrollerade. Antalet kontroller bedöms vara stort. Av SL:s uppgifter framkommer att ca 30 000 tilläggsavgifter ställs ut årligen och att merparten av de kontrollerade visar upp en identitetshandling.

Att SL spelat in bild och ljud från övriga resenärer i SL:s trafiknät, utöver de som tillställs en tilläggsavgift, utgör en omfattande övervakning av ett stort antal resenärer som är beroende av SL:s trafiknät för att ta sig till arbete, skola och platser för rekreation. IMY konstaterar att inspelningen av bild och ljud i samband med utställande av tilläggsavgift varit olaglig och går långt utöver vad som bedömts vara nödvändigt för ändamålet. SL hade kunnat vidta andra mindre integritetskränkande åtgärder för att uppnå ändamålet. IMY anser mot denna bakgrund att det rör sig om en allvarlig överträdelse.

IMY konstaterar samma försvårande och förmildrande omständigheter för ändamål C som anfördes ovan gällande ändamål A och B.

IMY har konstaterat att SL saknat laglig grund enligt artikel 6.1 f samt att SL:s behandling strider mot principen om laglighet och principen om uppgiftsminimering i artikel 5.1 a och c i dataskyddsförordningen.

Mot bakgrund av överträdelsernas allvar och att den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande bestämmer IMY den administrativa sanktionsavgiften till 8 000 000 kronor för överträdelsen i denna del.

Information till de registrerade

Kraven på information till registrerade enligt dataskyddsförordningen är omfattande. Tillgången till information är avgörande för att registrerade ska kunna välja hur de vill agera i en given situation. Tillgången är också avgörande för att registrerade ska kunna göra vissa av sina rättigheter enligt dataskyddsförordningen gällande.

SL:s brister vid tillhandahållandet av information till de registrerade har i huvudsak inneburit att de registrerade inte fått någon information om att kamerabevakning med kroppsburna kameror kan komma att ske innan de har blivit filmade av SL. De har

därigenom inte haft möjlighet att välja om de ändå önskar genomföra resandet i SL:s trafiknät eller avstå.

Registrerade som blivit kontrollerade eller som uppträtt hotfullt har kunnat uppfatta informationen i första lagret, kontrollanternas badge, först i samband med att de blivit filmade. Det saknas helt information som riktar sig mot övriga registrerade, som inte själva kontrollerats eller medverkat i en hotfull situation, men som ändå fångats av bild- och ljudupptagningen. Vidare har SL inte tillhandahållit en särskild upplysning om att ljud spelats in trots att det är en särskild integritetskänslig behandling.

Bristen på information om att kamerabevakning med kroppsburna kameror kan komma att ske rör ett stort antal resenärer som är beroende av SL:s trafiknät för att ta sig till arbete, skola och platser för rekreation. Även barn, som ses som särskilt skyddsvärda, kan komma att filmas. IMY anser att det rör sig om en allvarlig överträdelse, särskilt som att den stora massan av resenärer som endast råkat befinna sig i biljettkontrollantens upptagningsområde inte har fått någon information om att SL använder sig av kroppsburna kameror.

SL har numera utrustat kontrollanterna med en s.k. badge på uniformen, en åtgärd som enligt IMY visar på att SL haft en ambition att vidta åtgärder för att minska integritetsintrånget och följa reglerna i dataskyddsförordningen.

Mot bakgrund av överträdelsernas allvar och att den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande bestämmer IMY den administrativa sanktionsavgiften till 4 000 000 kronor för överträdelsen i denna del.

Sammanfattning

IMY bedömer utifrån en samlad bedömning att SL ska betala en administrativ sanktionsavgift på sammanlagt 16 000 000 kronor för överträdelserna av artiklarna 5, 6 och 13 i dataskyddsförordningen.

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Jeanette Bladh Gustafson. Vid den slutliga handläggningen har även enhetschefen Charlotte Waller Dahlberg samt juristen Jenny Bård medverkat. Under handläggningen har även rättschefen David Törngren deltagit.

Lena Lindgren Schelin, 2021-06-21 (Det här är en elektronisk signatur)

Bilaga

Information om betalning av sanktionsavgift

Kopia till

SL:s dataskyddsombud: dataskyddsombudet@sl.se

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.