Räddningstjänsten Östra Skaraborg

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Direktionen för Räddningstjänsten Östra Skaraborg, med organisationsnummer 222000-1115, sedan den 25 maj 2018 fram till den 6 maj 2021 genom att kamerabevaka i vagnhallen på åtta brandstationer har behandlat personuppgifter i strid med

- artikel 5.1 a i dataskyddsförordningen genom att kamerabevaka anställdas plats för ombyte vid larm i strid med principen om korrekthet, - artikel 5.1 c i dataskyddsförordningen genom att behandla fler personuppgifter än vad som har varit nödvändigt för ändamålen i strid med principen om uppgiftsminimering, samt - artikel 32.1 och 32.4 i dataskyddsförordningen eftersom instruktioner från den personuppgiftsansvarige har saknats för hur personuppgifterna har fått användas och kravet på lämpliga organisatoriska åtgärder, för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, därmed inte är uppfyllt.

Integritetsskyddsmyndigheten beslutar med stöd av 6 kap. 2 § dataskyddslagen och artiklarna 58.2 och 83 dataskyddsförordningen att Direktionen för Räddningstjänsten Östra Skaraborg ska betala en administrativ sanktionsavgift på 350 000 (trehundrafemtiotusen) kronor, varav 300 000 (trehundratusen) kronor avser överträdelserna av artikel 5.1 a resp. 5.1 c och 50 000 (femtiotusen) kronor avser överträdelserna av artikel 32.1 och artikel 32.4 i dataskyddsförordningen.

Redogörelse för tillsynsärendet

Integritetsskyddsmyndigheten (IMY) har mottagit klagomål som gör gällande att Direktionen för Räddningstjänsten Östra Skaraborg (Räddningstjänsten) bedriver kamerabevakning i brandstationens vagnhall med plats för ombyte vid larm och har inlett tillsyn mot Räddningstjänsten.

Tillsynen har inletts i syfte att granska om Räddningstjänstens personuppgiftsbehandling i form av kamerabevakning har skett i enlighet med principerna om laglighet och korrekthet i artikel 5.1 a i dataskyddsförordningen, principen om uppgiftsminimering i artikel 5.1 c, kravet på laglig grund i artikel 6 och kraven på organisatorisk säkerhet i artikel 32.

Vid granskning av personuppgiftsbehandlingen i form av kamerabevakning av vagnhallarna har i huvudsak följande framkommit.

Kamerabevakning har sedan mars–april 2015 till den 6 maj 2021 bedrivits på stationerna i Skövde, Mariestad, Hjo, Tibro, Karlsborg, Hova, Gullspång och Töreboda. En kamera har monterats på varje station. Samtliga kameror har varit placerade i vagnhallarna på brandstationerna och har bevakat ett utrymme som används som garage för räddningsfordon. I vagnhallen förvaras även personalens utryckningskläder,

larmställ, som snabbt ska kunna tas på inför uttryckning vid larm. För andra typer av ombyten finns särskilda omklädningsrum som inte kamerabevakas.

Kamerabevakningen av vagnhallarna har bedrivits dygnet runt i realtid utan bildinspelning. Kamerorna har varit rörligt monterade och har visat ett antal vyer enligt ett förutbestämt rörelsemönster. Kamerorna har även kunnat styras manuellt och har optik som kan zooma.

Filmmaterialet har i realtid granskats av inre befäl från ledningscentralen i Skövde när larm har aktiverats på en brandstation. Ledningscentralen som kamerorna är uppkopplade mot bemannas vid larmsituationer. Granskning av vad som fångats av kamerans upptagningsområde har endast skett vid dessa situationer. Ljud har kunnat upptas i realtid efter att det inre befälet har aktiverat en mikrofon för att kunna samtala med den inryckande styrkan. En lampa har lyst i vagnhallen när mikrofonen har varit aktiverad.

De kamerabevakade brandstationerna bemannas av personal som är såväl heltidsanställd (Skövde och Mariestad) som deltidsanställd (samtliga granskade stationer). När deltidsanställd personal rycker in ska brandmännen normalt inom fem minuter från att larm går, ombytta ha lämnat brandstationen i ett fordon. Då ska brandmännen ha tagit sig till brandstationen, ofta i privat bil, ha bytt om och ha placerat sig i rätt fordon. Heltidspersonal befinner sig som regel på brandstationen när larm går och byter om från stationsuniform. Brandmännen befinner sig på den bevakade platsen i vagnhallen i cirka en minut.

I klagomålet har uppgetts att det har hänt att inryckande personal vid larm mitt i natten har kommit till brandstationen i morgonrock med underkläder eller ingenting alls under, vilket har inneburit att personal har blivit kamerabevakad naken eller endast i underkläder vid ombytet till larmställ. Räddningstjänsten har i yttrande som kommit in den 31 maj 2021 uppgett att det överhuvudtaget inte förekommer att räddningspersonal i beredskap kommer till respektive station vid larm endast klädd i morgonrock med endast underkläder eller inget alls under. I yttrande inkommet den 22 maj 2019 uppges att ingen medarbetare ska vistas i Räddningstjänstens lokaler naken, förutom i omklädningsrum avsedda för detta, då det kan upplevas besvärande och stötande för andra medarbetare. Vidare har uppgetts att larmstället är utformat så att dess funktion upprätthålls oavsett om medarbetaren väljer att klä sig endast i larmställ eller väljer att ha underställ under larmstället. De medarbetare som väljer att inte använda t.ex. underställ kan välja att endast ha underkläder på sig under larmstället och kommer således i sådana fall enbart ha underkläder på sig under en kortare tid vid påklädning och avklädning av larmstället.

Vidare har det framkommit att de anställda på en av brandstationerna protesterade mot kamerabevakningen i samband med införandet 2015 genom att täcka för en del av ytan där larmställen hänger med en pappskiva. Räddningstjänsten har i yttrandet som kom in den 22 maj 2019, med komplettering den 28 maj 2019, uppgett att pappskivan togs bort efter samverkan med lokal facklig företrädare efter ett inbrott. Vid samverkan med arbetstagarorganisationer under 2015 framkom synpunkter som bland annat gjorde gällande att kamerabevakning inte borde omfatta plats där ombyte sker, att det vore en fördel att aktivera kameran först vid larm, att det upplevdes kränkande att vara övervakad och att informationen om kamerabevakningen brustit. Inför samverkan i augusti 2015 angavs arbetsgivarens inriktning vara att åtgärder skulle vidtas så att område där personal byter om ej skulle kunna kamerabevakas. Vid samverkansmötet beslutades att se till att varje station skulle anpassas så att

kameraövervakning av omklädningsrum inte skulle ske. Räddningstjänsten har uppgett att det sedan augusti 2015 inte har kommit in klagomål mot kamerabevakningen eller att frågan lyfts på samverkan igen.

Vad gäller den information om kamerabevakningen som lämnas har Räddningstjänsten uppgett att det nu finns med i checklistan vid introduktion att informera nyanställda om kamerabevakningen, att en skriftlig information har tagits fram för att säkerställa denna information samt att det skyltas i lokalerna om kamerabevakning.

Räddningstjänsten har till sitt slutliga yttrande i maj 2021 bifogat ett beslut fattat den 6 maj 2021 där det framgår att den kamerabevakning som granskas ska avslutas med omedelbar verkan. Vidare att behovet av kamerabevakning på nytt ska bedömas efter att IMY fattat beslut i nu aktuellt ärende.

Motivering av beslutet

Personuppgiftsansvarig

Direktionen för Räddningstjänsten Östra Skaraborg uppges vara personuppgiftsansvarig för Räddningstjänstens personuppgiftsbehandling. IMY delar denna uppfattning.

Tiden för prövningen

Den granskade kamerabevakningen har pågått sedan mars-april 2015 till den 6 maj 2021. Då dataskyddsförordningen började tillämpas först den 25 maj 2018 är IMY:s prövning, som sker utifrån nämnda reglering, begränsad till omständigheter som har förelegat under tiden därefter. Omständigheter i samband med införandet av kamerabevakningen 2015 ligger därmed utanför IMY:s tillsyn.

Regler för Räddningstjänstens kamerabevakning

Kamerabevakning är en form av personuppgiftsbehandling. Hur och i vilken utsträckning det är tillåtet att kamerabevaka i det aktuella fallet regleras i dataskyddsförordningen och kamerabevakningslagen (2018:1200) som kompletterar dataskyddsförordningen.

Kamerabevakningslagen

I 4 § kamerabevakningslagen anges att lagen gäller om kamerabevakning enligt 3 § sker med utrustning som finns i Sverige. Av 3 § punkt 1 kamerabevakningslagen framgår att kamerabevakning innefattar att en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning, utan att manövreras på platsen används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning. Den kamerabevakning som Räddningstjänsten har bedrivit har inte manövrerats på platsen och har inneburit en varaktig bevakning av de anställda samt övriga besökare. Kamerabevakningslagen gäller därför för Räddningstjänstens bevakning.

I kamerabevakningslagen finns bestämmelser om när det krävs tillstånd för att kamerabevaka. Av 7 § kamerabevakningslagen följer att tillstånd krävs för bevakning av en plats dit allmänheten har tillträde om bevakningen bedrivs av en myndighet eller någon annan än en myndighet vid utförande av en uppgift av allmänt intresse som

följer av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd av lag eller annan författning.

Räddningstjänsten Östra Skaraborg är ett kommunalförbund och därmed en myndighet, och är som utgångspunkt tillståndspliktig vid kamerabevakning. Frågan är då om allmänheten anses ha tillträde till den plats som Räddningstjänsten kamerabevakar. Av praxis framgår att begreppet ”plats dit allmänheten har tillträde” ska tolkas vitt (se Högsta förvaltningsrättens avgörande RÅ 2000 ref. 52). Många arbetsplatser anses dock vara en plats dit allmänheten inte har tillträde (prop. 2017/18:23 s.22).

Mot bakgrund av vad som framkommit om platsen för bevakningen bedömer IMY att det inte är fråga om en plats dit allmänheten har tillträde. Något krav på att söka tillstånd finns därmed inte. Att kamerabevakningen är tillståndsfri innebär dock inte att bevakningen är tillåten. Utöver bestämmelsen om tillstånd finns andra regler i kamerabevakningslagen, t.ex. om tystnadsplikt avseende det inspelade materialet, förhandlingsskyldighet med arbetstagarorganisationer och krav på upplysning, som kan bli aktuella att följa vid kamerabevakning. Dessutom tillkommer reglerna i dataskyddsförordningen.

Dataskyddsförordningen

Dataskyddsförordningen ska enligt artikel 2.1 bland annat tillämpas på behandling av personuppgifter på helt automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 avses med behandling en åtgärd beträffande personuppgifter, till exempel insamling, registrering, läsning och radering. Om en bevakningskamera fångar en identifierbar person eller någon annan personuppgift i bild måste därför reglerna i dataskyddsförordningen följas. Eftersom Räddningstjänsten har filmat, och tagit upp ljud från, identifierbara personer med sina kameror gäller dataskyddsförordningen.

Dataskyddsförordningen innehåller ett stort antal regler som måste följas vid behandling av personuppgifter. Inom ramen för detta tillsynsärende är IMY:s prövning begränsad till om Räddningstjänsten har en laglig grund enligt artikel 6 i dataskyddsförordningen för att bedriva den aktuella kamerabevakningen, om Räddningstjänsten har levt upp till de grundläggande principerna för behandling av personuppgifter i artikel 5.1 a om laglighet och korrekthet samt i artikel 5.1 c om uppgiftsminimering, samt om Räddningstjänsten har uppfyllt kraven på säkerhet i artikel 32 genom att ha vidtagit lämpliga organisatoriska åtgärder.

Är Räddningstjänstens kamerabevakning tillåten enligt dataskyddsförordningen?

Laglig grund för behandlingen av personuppgifter (artikel 6)

I artikel 6 i dataskyddsförordningen anges att en behandling endast är laglig om minst ett av de angivna villkoren i artikeln är uppfyllt, det vill säga att det finns en laglig grund för behandlingen.

Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, 6.1 e

Räddningstjänsten har uppgett att den lagliga grunden för bevakningen är att bevakningen är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

Av förarbetena till lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (nedan dataskyddslagen) framgår följande i prop. 2017/18:105 (s. 60).

För att behandling av personuppgifter ska vara tillåten enligt artikel 6.1 e i dataskyddsförordningen krävs att ändamålet med behandlingen är nödvändigt för att utföra uppgiften. Detta ska enligt regeringens bedömning inte tolkas som att uppgiften av allmänt intresse måste vara avgränsad så att den bara kan utföras på ett sätt. Den metod som den personuppgiftsansvarige väljer för att utföra sin uppgift måste dock – som all offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss uppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutsebarhet i fråga om vilken personuppgiftsbehandling som kan aktualiseras. Om ett uppdrag i stället har reglerats på en mer övergripande och resultatinriktad nivå kan det sannolikt utföras på många olika sätt, vilka i förhållande till varandra kan vara mer eller mindre nödvändiga i dataskyddsförordningens mening.

Enligt artikel 6.3 ska behandling med stöd i artikel 6.1 e dessutom fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt.

Räddningstjänstens verksamhet regleras nationellt i lag (2003:778) om skydd mot olyckor. Med räddningstjänst avses enligt 1 kap. 2 § de räddningsinsatser som staten eller kommunerna ska ansvara för vid olyckor och överhängande fara för olyckor, för att hindra och begränsa skador på människor, egendom eller miljön. Av 1 kap. 3 § framgår att räddningstjänsten ska planeras och organiseras så att räddningsinsatserna kan påbörjas inom godtagbar tid och genomföras på ett effektivt sätt. Även om närmare bestämmelser för hur Räddningstjänsten ska behandla personuppgifter saknas, behöver regleringen vara tillräckligt specifik för att kunna läggas till grund för bedömningen av laglig grund i artikel 6 i dataskyddsförordningen. Att lagstiftningen är övergripande kan ge en större möjlighet för Räddningstjänsten att välja hur deras uppdrag ska genomföras än om regleringen hade varit mer specifik.

Räddningstjänsten har anfört att de ändamål som har fastställts för bevakningen är följande.

- Att underlätta ledningsförmåga och effektivitet under en räddningsinsats - Att underlätta närvarokontroll av brandmännen som rycker in efter larm - Att underlätta fordonsval - Att göra det möjligt att säkerställa att styrkeledaren mår bra och kan hantera uppgiften - Att säkra skalskyddet samt - Att bedöma korrektheten av eventuellt larm kopplat till nyckelskåpen på stationerna

IMY bedömer att ändamålen kan delas in i två kategorier. De inledande fyra ändamålen avser att möjliggöra arbetsledning och effektivitet vid en larmsituation. De två sistnämnda ändamålen rör fysisk säkerhet på brandstationen.

Räddningstjänsten har uppgett att kamerabevakningen på samtliga brandstationer utom på Tibro station med automatik även har skett av utrymmet där uttryckningskläderna förvaras. Det innebär att på övriga brandstationer har bevakningen omfattat den plats där personalen byter om till larmställ. Orsaken till att kameran på Tibro station inte har bevakat plats för ombyte vid larm är en felprogrammering som har inneburit att kamerans rörelsemönster inte har täckt platsen för ombyte, om kameran inte manuellt har styrts för att bevaka denna. Enligt Räddningstjänsten har dock avsikten varit att åtgärda detta så att även kamerabevakningen på Tibro station skulle omfatta plats för ombyte. Jämfört med de stationer där plats för ombyte har bevakats, har Räddningstjänsten uppgett att det på Tibro station har varit sämre förutsättningar för ledningsförmågan och effektiviteten vid utryckning. Det har varit svårare att säkerställa närvarokontroll och att säkerställa att styrkeledaren mår bra vid larm. Genom kamerabevakningen kan ändamålen med bevakningen som rör larmsituationen uppnås samtidigt som personalen gör sig iordning för att åka på larm, det vill säga arbetssättet är kostnads- och utförandeeffektivt.

IMY:s bedömning – laglig grund

IMY konstaterar att den kamerabevakning Räddningstjänsten bedriver avser bevakning av anställda på deras arbetsplats där personalen måste befinna sig under arbetstid. De registrerade befinner sig i en beroendeställning och bevakas i sin vardagliga miljö. Bevakningen har inneburit dygnetruntbevakning i realtid och upptagningsområdet har även innefattat plats för ombyte. Det förekommer uppgifter om att det har hänt att anställda av effektivitetsskäl under ombytet har vistats på ombytesplatsen helt utan kläder, vilket dock har tillbakavisats av Räddningstjänsten. Såväl omfattningen på bevakningen som vad som fångas av kamerorna har ökat intrånget för den enskilde.

Kamerabevakningen, som bland annat har omfattat de anställda i underkläder, innebär att Räddningstjänsten har kamerabevakat de anställda i integritetskänsliga situationer. Behandlingen har däremot inte omfattat särskilda kategorier av personuppgifter, så kallade känsliga personuppgifter, enligt artikel 9 i dataskyddsförordningen. Den nationella lagstiftningen som enligt artikel 6.3 ska fastställa den lagliga grunden behöver därför inte vara mer preciserad än i lag om skydd mot olyckor, utan kan vara allmänt hållen.

Mot bakgrund av ovanstående och med hänsyn till Räddningstjänstens särskilda uppdrag och krav på effektivitet gör IMY bedömningen att behandlingen varit nödvändig för att utföra en uppgift av allmänt intresse och att Räddningstjänsten har haft laglig grund enligt artikel 6.1 e i dataskyddsförordningen för den aktuella behandlingen.

Frågan blir då om den aktuella behandlingen har levt upp till vissa av de grundläggande principerna för behandling av personuppgifter i artikel 5.

Grundläggande principer för behandling av personuppgifter (artikel 5)

I artikel 5 i dataskyddsförordningen finns ett antal grundläggande principer som den personuppgiftsansvarige måste beakta vid behandlingen av personuppgifter.

Av artikel 5.1 a följer bland annat att all personuppgiftsbehandling, utöver att vara laglig, också måste vara korrekt (principerna om laglighet och korrekthet). Av artikel 5.1 c följer att personuppgifter som behandlas ska vara adekvata, relevanta och inte

för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering).

Avslutningsvis följer av artikel 5.2 att den personuppgiftsansvarige ska ansvara för och kunna visa att de principer som följer av artikel 5.1 efterlevs (principen om ansvarsskyldighet).

Principerna om laglighet och korrekthet (artikel 5.1 a)

Att behandlingen ska vara laglig innebär det ska finnas en laglig grund i artikel 6. IMY har ovan bedömt att Räddningstjänsten uppfyller kravet på laglig grund i artikel 6.1 e, uppgift av allmänt intresse. Behandlingen bedöms därför vara förenlig med principen om laglighet i artikel 5.1 a.

Vad gäller att behandlingen ska vara korrekt framgår följande av förarbetena till dataskyddslagen (prop. 2017/18:105 s. 47).

Såvitt avser principen om korrekthet kan det vid en jämförelse med andra språkversioner ifrågasättas om den svenska termen korrekt motsvarar avsikten med bestämmelsen. I den danska språkversionen anges i stället att uppgifterna ska behandlas rimeligt. På motsvarande sätt används i den engelska språkversionen termen fairly, vilket betyder rättvist, skäligt eller rimligt. I den franska språkversionen

används termen loyale, vilken har motsvarande betydelse som

engelskans fairly. I den tyska språkversionen används uttrycket Treu und Glauben, vilket brukar översättas med god tro eller tro och heder. Alla dessa termer indikerar enligt regeringens mening, tydligare än den svenska termen korrekt, att en intresseavvägning ska göras. I det enskilda fallet kan det således t.ex. vara oförenligt med principen om korrekthet att vidta en viss behandlingsåtgärd, även om denna i och för sig skulle kunna anses vara lagligt grundad enligt artikel 6, nämligen om behandlingen är oskälig i förhållande till den registrerade.

Lagstiftaren har här uttalat att även om en laglig grund föreligger, bör det vid en bedömning av om behandlingen lever upp till principen om korrekthet ändå göras en intresseavvägning för att fastställa om behandlingen är oskälig i förhållande till den registrerade, i det här fallet de anställda.

Räddningstjänsten har i yttrandet som kom in den 22 maj 2019 uppgett att det inte finns några andra, mindre integritetskränkande lösningar för att göra samma sak utan att räddningsinsatsen påverkas negativt. Man har dock även uppgett att det inte är nödvändigt att kamerabevakning sker dygnet runt för att bedriva räddningstjänst, utan att det endast behöver ske vid larm till aktuell station. Vidare har Räddningstjänsten uppgett att kamerorna tekniskt är uppkopplade mot applikationen de visas i dygnet runt.

Till den intresseavvägning som lagstiftaren menar ska göras vid en prövning av principen om korrekthet saknas närmare vägledning. Europeiska dataskyddsstyrelsen, EDPB, har dock i EU-riktlinjer om inbyggt dataskydd och dataskydd som standard angett att bland annat följande omständigheter ska vägas in vid prövningen av om principen om korrekthet efterlevs. Där anges till exempel att behandlingen ska överensstämma med de registrerades rimliga förväntningar. Vidare att maktbalans bör

vara ett centralt mål för förhållandet mellan den personuppgiftsansvarige och den registrerade. Den personuppgiftsansvarige måste också respektera de registrerades grundläggande rättigheter och vidta lämpliga åtgärder och skyddsåtgärder. Den personuppgiftsansvarige ska även se till behandlingens påverkan på den enskildes rättigheter och värdighet.

IMY:s bedömning - principen om korrekthet

Gällande den intresseavvägning som ska göras gör IMY följande bedömning av de olika intressena.

IMY konstaterar inledningsvis att Räddningstjänsten genom lagen om skydd mot olyckor har ett krav på sin verksamhet att den ska bedrivas effektivt avseende både tid och utförande, för att vid olyckor och fara för olyckor hindra och begränsa skador på människor, egendom eller miljö.

Räddningstjänsten har uppgett att man bland annat har en beredskap för människor som hamnar i sjönöd och andra livshotande situationer, giftiga ämnen som släpps ut i naturen, trafikolyckor, bränder som uppstår i byggnader och terräng samt människor och egendom som hotas av extrem väderlek. Det är inte sällan liv står i fara vid de händelser Räddningstjänsten larmas ut på och då kan såväl sekunder som minuter göra skillnad.

Syftet med Räddningstjänstens kamerabevakning som nu granskas beskrivs utförligt ovan och kan sammanfattas till att möjliggöra arbetsledning och effektivitet vid larm respektive att säkerställa den fysiska säkerheten på brandstationen. Räddningstjänsten har uppgett att det inte finns andra mindre integritetskänsliga sätt att uppnå samma effektivitet. På Tibro brandstation, där bevakning av plats för ombyte inte har skett automatiskt, uppges förutsättningarna för ledningsförmågan och effektiviteten vid utryckning ha varit sämre jämfört med på övriga stationer. Personalen uppehåller sig inte på stationen mer än den tid då de tar på sig larmställ, vilket innebär att om kommunikation med dem ska ske utan att räddningsinsatsen fördröjs, måste den pågå samtidigt som ombyte sker.

IMY bedömer sammantaget att Räddningstjänstens behov av kamerabevakning på platsen väger tungt, särskilt vid larm.

Ett av ändamålen med bevakningen är närvarokontroll av brandmännen som rycker in efter larm. IMY konstaterar att kamerabevakning för att utföra närvarokontroll på en arbetsplats i princip är otillåten. I nu aktuellt fall har bevakningsintresset bedömts väga tungt, särskilt vid larm. IMY gör bedömningen att Räddningstjänstens bevakning är ett sådant fall där kamerabevakning som närvarokontroll kan anses vara tillåtet. Vid den bedömningen har särskilt beaktats det krav på effektivitet vid larm som åligger Räddningstjänsten, där sekunder och minuter kan göra skillnad för liv och hälsa.

Vad gäller de registrerades intressen kan konstateras att platserna som kamerabevakas är arbetsplatser där de anställda, som är i beroendeförhållande till sin arbetsgivare, måste befinna sig under sin arbetstid. I vagnhallen vistas de anställda både vid larm men även vid utförandet av andra arbetsuppgifter. Platsens karaktär innebär att de anställda befinner sig där i sin vardagliga miljö och inte kan välja bort att bli kamerabevakade. Integritetsintresset väger därför som utgångspunkt tungt.

När det gäller avlyssning och upptagning av ljud i samband med kamerabevakning är detta särskilt integritetskänsligt och är endast undantagsvis tillåtet. Som integritetshöjande åtgärd tänds dock en lampa när mikrofonen som möjliggör muntlig kommunikation mellan ledningscentralen och vagnhallen är aktiverad. IMY konstaterar att ljudavlyssningen således är begränsad till situationer som kräver kommunikation och att mikrofonen har använts i skarpa situationer vid larm, då behovet att bevaka väger särskilt tungt. Vidare är ljudet som avlyssnas huvudsakligen ett samtal med de som bevakas. Att personalen är del i samtalet i kombination med lampaktivering gör att de är medvetna om att avlyssning sker. Åtgärden minskar intrånget något vad gäller avlyssning och upptagning av ljud. IMY gör därför bedömningen att ljudupptagningen vid larm som den har bedrivits är tillåten.

Vidare framgår att bevakningsområdet även omfattar plats för ombyte vid påtagning och avklädning av larmställ, där kamerabevakningen vid larm under en kort stund har fångat de anställda i underställ eller underkläder när de byter om till uttryckningskläder. Om personalen i några fall har övervakats helt utan kläder har inte kunnat klargöras i ärendet. Räddningstjänsten menar att de anställda är extremt vana vid att hantera integritetskänsliga situationer både i sin tjänsteutövning vid räddningsinsatser gentemot tredje man, men också vid stationsarbetet och internt i organisationen då det sker ombyten inför varandra vid varje larmsituation, men också vid regelbunden övning och utbildning. Räddningstjänsten anser att det inre befäl som har tillgång till realtidsbevakningen har ett ledningsansvar oavsett om det sker i det fysiska rummet eller via teknisk utrustning, för bästa möjliga ledning. Enligt Räddningstjänstens bedömning ryms ombytet inför kollegor och befäl väl i ett proportionalitetsperspektiv.

IMY bedömer att integritetsintresset på platsen där ombyte sker är väsentligt mer framträdande än i övriga vagnhallen. Det ska dock vägas in att lösningen med ombyte till larmställ i vagnhallen och kamerabevakningen av denna bedöms vara nödvändig för verksamhetens effektivitet, vilket minskar intrånget något. IMY gör dock sammantaget bedömningen att integritetsintresset på platsen sammantaget väger mycket tungt, så som bevakningen har bedrivits. Det gäller även om personalen i ombytessituationen har underställ eller underkläder på sig.

I bedömningen av de två sidorna i intresseavvägningen har IMY därmed bedömt att behovet av bevakningen väger tungt, särskilt vid larm, och att det registrerades, de anställdas, intressen vad gäller kamerabevakning av platsen för ombyte väger mycket tungt.

Vid en avvägning mellan Räddningstjänstens behov och de anställdas intressen gör IMY vidare följande bedömning. Vad gäller om de registrerade kan förvänta sig den aktuella kamerabevakningen har Räddningstjänsten uppgett att man i nuläget har informerat om bevakningen på flera sätt, bland annat genom skyltar i lokalerna. Däremot har det framkommit att det saknas riktlinjer för i vilka situationer den behöriga personalen har haft rätt till tillgång till realtidsbevakningen, vilket kan innebära att de anställda har haft svårt att bedöma i vilken omfattning materialet har använts. I fråga om maktbalansen mellan Räddningstjänsten och de anställda har det konstaterats att de anställda är i beroendeförhållande till sin arbetsgivare, vilket innebär att maktbalansen är ojämn.

Då bevakningen av ombyten omfattar integritetskänslig information, ställs högre krav än annars på skyddsåtgärder för att minska integritetsintrånget. IMY menar att det är nödvändigt med integritetshöjande åtgärder, exempelvis en delvis avskärmning av platsen för ombyte. Räddningstjänsten har som integritetshöjande åtgärder angett att

det utöver att en lampa tänts vid aktiverad mikrofon endast gått att höra ljudet från vagnhallen i ett headset i ledningscentralen samt att det råder tillträdesbegräsning till ledningscentralen. Vad gäller att till exempel maskera eller avgränsa delar av platsen för ombyte för att minimera insamlingen av dessa uppgifter, har någon sådan åtgärd inte framkommit under IMY:s granskning.

Angående att maskera platsen för ombyte, har Räddningstjänsten i yttrande den 22 maj 2019, anfört följande (s.7).

Mot bakgrund av att de flesta stationer har larmställen hängande i

vagnhallen försvann syftet med kamerorna om dessa ytor helt

skärmades av, det vill säga vagnhallen skulle inte ses i kamerorna.

Av bilder från kamerabevakningen som Räddningstjänsten har skickat in i yttrande den 16 januari 2019, synes det dock enligt IMY:s mening stå klart att det utan större svårighet bör gå att delvis avgränsa upptagningen av platsen för ombyte från respektive kamera, så att inte mer än till exempel huvuden fångas av bevakningen. Det kan till exempel antingen ske genom en maskering på de kameravyer som visar platsen för ombyte eller genom en fysisk skärm i respektive vagnhall.

När det gäller kamerabevakningens påverkan på de anställdas rättigheter och värdighet, konstaterarar IMY att det inte har framkommit att det har gått att undvika att bli kamerabevakad under ombytet till larmställ. Att ha kamerabevakats när ombyte sker vid larm, har kunnat innebära att de anställda upprepat har vistats i underkläderna kortvariga stunder på det bevakade området. Vid en objektiv bedömning kan det anses gå utöver vad som är en korrekt behandling från en arbetsgivares sida.

IMY konstaterar sammantaget att Räddningstjänstens ändamål är berättigade. Räddningstjänstens intresse av bevakningen har bedömts väga tungt, särskilt vid larm. De registrerades intressen har dock bedömts väga mycket tungt, i synnerhet vad gäller plats för ombyte till larmställ, som har kamerabevakats utan maskering eller avgränsning. Även när hänsyn har tagits till de särskilda omständigheter och krav på effektivitet som råder vid Räddningstjänstens insatser, konstaterar IMY att de anställdas intressen väger tyngre i frågan om platsen för ombyte vid larm och att bevakningen i denna situation, så som den har genomförs, är oskälig i förhållande till de anställda. Bevakningen av ombytessituationen vid larm utan avgränsning har därför skett i strid med principen om korrekthet i artikel 5.1 a i dataskyddsförordningen.

Principen om uppgiftsminimering (artikel 5.1 c)

Av artikel 5.1 c i dataskyddsförordningen framgår att personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, vilket utgör principen om uppgiftsminimering.

Den kamerabevakning som nu granskas har bedrivits dygnet runt i realtid i vagnhallen på åtta brandstationer och har omfattat plats för ombyte utan någon maskering eller avgränsning. Inre befäl vid ledningscentralen har granskat kamerabevakningen vid larm.

Räddningstjänsten har uppgett att det inte är nödvändigt att kamerabevaka vagnhallen dygnet runt, utan att det endast behöver ske vid larm till aktuell station. Kamerorna har dock varit uppkopplade mot den tekniska lösningen där kamerabilden visas dygnet runt.

Vad gäller bevakningen av plats för ombyte har Räddningstjänsten uppgett att det inte finns andra mindre integritetskänsliga sätt att uppnå samma effektivitet. Bevakningen av platsen för ombyte är nödvändig då personalen inte uppehåller sig på stationen mer än den tid då de tar på sig larmställ. Det innebär att kommunikationen med dem måste ske samtidigt som de byter om, för att räddningsinsatsen inte ska fördröjas.

IMY:s bedömning – principen om uppgiftsminimering

IMY har ovan konstaterat att bevakning av anställda som byter om innebär behandling av integritetskänslig information som går utöver vad de enskilda ska behöva acceptera. Bevakningen av brandstationerna har omfattat anställda, som befinner sig i beroendeförhållande till sin arbetsgivare. Det ställer särskilda krav på arbetsgivaren att vidta åtgärder för att minska integritetsintrånget för de anställda. Någon anpassning av bevakningen har inte genomförts, utöver åtkomstbegränsning, och plats för ombyte har kamerabevakats utan maskering eller avgränsning. Bevakningen har pågått dygnet runt i realtid, trots att den har uppgetts vara nödvändig endast vid larm.

IMY konstaterar mot denna bakgrund att Räddningstjänstens kamerabevakning har inneburit en alltför omfattande behandling av personuppgifter i förhållande till ändamålen. Behandlingen har därmed skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

Räddningstjänstens ändamål som har avsett den fysiska säkerheten på brandstationerna, det vill säga att säkra skalskydd och att bedöma korrektheten av larm kopplat till nyckelskåpen på stationerna har enligt Räddningstjänsten inte innefattat att förebygga och utreda brott. IMY konstaterar att ändamålen är berättigade, men att kamerabevakning dygnet runt är alltför långtgående för angivna syften. Nämnda ändamål bör kunna uppnås med mindre långtgående åtgärder, till exempel genom en annan lösning för inpassering eller en aktiverad bevakning vid larm från nyckelskåpet.

Även denna behandling har därmed skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

Säkerhet i samband med behandlingen (artikel 32)

Vad gäller Räddningstjänstens säkerhet i samband med kamerabevakningen har IMY granskat den organisatoriska säkerheten vad gäller behörighetsstyrning och riktlinjer för hanteringen av bevakningsmaterialet.

I artikel 32 i dataskyddsförordningen regleras säkerhet i samband med behandlingen.

Enligt punkt 1 ska den personuppgiftsansvarige och personuppgiftsbiträdet bland annat med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.

Enligt punkt 2 ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

Av punkt 4 framgår att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige.

Av skäl 39 till dataskyddsförordningen framgår bland annat att personuppgifter bör behandlas på ett sätt som säkerställer lämplig säkerhet och konfidentialitet för personuppgifterna samt förhindrar obehörigt tillträde till och obehörig användning av personuppgifter och den utrustning som används för behandlingen.

Räddningstjänsten har uppgett att 29 personer har haft tillgång till ledningscentralen där kamerabevakningen vid larm har tagits upp till helskärmsvy, varav 6 inre befäl som har sin arbetsplats i ledningscentralen, 16 andra befäl och chefer som har uppgifter i ledningscentralen vid larm eller stabsarbete samt 7 drifttekniker för underhåll av lokaler och teknik. Alla medarbetare vistas inte där samtidigt, utan den medarbetare som har tagit del av kameramaterialet är tjänstgörande inre befäl vid larm. Samtliga medarbetare som har tillträde till ledningscentralen har dock haft möjlighet att se kamerabilden och vad som pågår på en brandstation i realtid. I de fall insatsen är komplicerad eller flera parallella insatser pågår kan flera inre befäl eller andra ledningsfunktioner finnas i ledningscentralen samtidigt och har då kunnat se kamerabilden.

Räddningstjänsten har uppgett att det inte har funnits några riktlinjer för när en behörig person har fått titta på kamerabilden. Arbetssättet har dock varit att kamerabilden manuellt tas upp i helskärmsvy vid larm på aktuell station.

IMY:s bedömning – säkerhet för behandlingen

När det gäller vilka som har tillgång till bildmaterialet från kamerabevakningen konstaterar IMY att Räddningstjänsten har angett att ett antal personer har tillträde till den lokal där kamerabevakningen visas i realtid, ledningscentralen. Även om det inte står klart hur den helskärmsvy som visar kamerabevakningen är avgränsad, konstaterar IMY att det vid olika tidpunkter och situationer kan finnas behov av att flera personer har tillgång till realtidsbevakningen vid larm, så som Räddningstjänsten har beskrivit hanteringen. Verksamheten pågår också dygnet runt, vilket innebär att fler än annars behöver ha tillgång till materialet. IMY finner därför att det kan vara befogat att ett större antal medarbetare har behörighet att få tillgång till uppgifter från kamerabevakningen. Det är dock centralt att den personuppgiftsansvarige då har organisatoriska åtgärder på plats för att säkerställa säkerheten för uppgifterna. Bland annat behövs tydliga riktlinjer för vem som ska få tillgång till materialet, under vilka förutsättningar och om behörigheten är omgärdad av särskilda begränsningar för hanteringen av bildmaterialet.

IMY konstaterar att en personuppgiftsansvarig enligt artikel 32.1 ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, bland annat för obehörig åtkomst till de personuppgifter som behandlats. Den personuppgiftsansvarige ska enligt artikel 32.4 i dataskyddsförordningen också vidta åtgärder för att säkerställa att en fysisk person endast behandlar personuppgifter enligt instruktion från den personuppgiftsansvarige.

Ju känsligare information som behandlas, desto högre krav ställs på säkerheten för att den ska anses vara lämplig i förhållande till den behandling som bedrivs. Att riktlinjer har saknats för när och hur kamerabevakningen får användas kan innebära att de som har hanterat kamerabevakningen har gått utöver vad som är nödvändigt och därmed tillåtet. Det innebär också att det kan råda en osäkerhet för de som har kamerabevakats, gällande i vilka situationer kamerabevakningen har använts och huruvida den har begränsats till situationer där bevakningen har varit nödvändig.

Så som bevakningen har bedrivits har den innefattat systematisk bevakning av anställda och integritetskänslig behandling av personuppgifter vad gäller bevakningen av anställda som byter om. Kraven på säkerheten höjs därmed för att den ska anses ha en lämplig nivå. Då riktlinjer uppges ha saknats helt, konstaterar IMY att Räddningstjänsten har brustit i kravet på att säkerställa att personuppgifter endast hanteras enligt instruktion från den personuppgiftsansvarige och att kravet på lämpliga organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken därmed inte är uppfyllt. IMY konstaterar därför att Räddningstjänsten har behandlat personuppgifter i strid med artikel 32.1 och 32.4 i dataskyddsförordningen.

Val av ingripande

Rättslig reglering

Om det har skett en överträdelse av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen. Tillsynsmyndigheten kan bland annat förelägga den personuppgiftsansvarige att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

För myndigheter får enligt artikel 83.7 i dataskyddsförordningen nationella regler ange att myndigheter kan påföras administrativa sanktionsavgifter. Enligt 6 kap. 2 § dataskyddslagen kan sanktionsavgifter beslutas för myndigheter, men till högst 5 000 000 kronor alternativt 10 000 000 kronor beroende på om överträdelsen avser artiklar som omfattas av artikel 83.4 eller 83.5 i dataskyddsförordningen.

I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av central betydelse för bedömningen av överträdelsens allvar är dess karaktär, svårighetsgrad och varaktighet. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

Sanktionsavgift

Den tillsyn IMY har gjort har visat att Räddningstjänsten har behandlat personuppgifter i strid med artikel 5.1 a och 5.1 c samt artikel 32.1 och 4 i dataskyddsförordningen.

Vid bedömningen av om överträdelserna är så allvarliga att en administrativ sanktionsavgift ska påföras har IMY beaktat att personuppgiftsbehandlingen har avsett kamerabevakning av anställda i beroendeställning, i deras vardagliga miljö som har innefattat integritetskänsliga situationer. Bevakningen har skett systematiskt under

lång tid. Bevakningen har inneburit att fler uppgifter än nödvändigt har behandlats då den dels har skett dygnet runt i realtid, trots att behov endast föreligger vid larm, och dels utan att någon maskering eller avgränsning har skett av den yta där de anställda byter om. Omfattningen på bevakningen har varit relativt stor då den har skett dygnet runt i realtid i vagnhallen på åtta brandstationer, vilket innebär att ett inte obetydligt antal registrerade har berörts. Det har vidare inte framkommit att Räddningstjänsten, under tiden kamerabevakningen har pågått, utöver en lampa som indikerar aktiverad mikrofon samt vissa åtkomstbegränsningar, har vidtagit några åtgärder för att minska intrånget för de anställda. IMY:s bedömning är att behandlingen inte har inneburit en mindre överträdelse. Överträdelserna ska därför leda till en administrativ sanktionsavgift.

De bestämmelser i dataskyddsförordningen som Räddningstjänsten har överträtt omfattas såväl av artikel 83.4 i dataskyddsförordningen, som artikel 83.5. Det maximala beloppet för sanktionsavgiften är enligt artikel 83.4 och 83.5 samt 6 kap. 2 § andra stycket dataskyddslagen 5 miljoner kronor avseende överträdelserna av artikel 32 och 10 miljoner kronor avseende överträdelserna av artikel 5.

Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuella överträdelser som till tillsynsobjektets betalningsförmåga.

Vid fastställandet av ett belopp som är effektivt, proportionerligt och avskräckande kan IMY konstatera att Räddningstjänsten har kamerabevakat anställda som är i beroendeförhållande till sin arbetsgivare, i en integritetskänslig situation vid ombyte till larmställ, vilket har inneburit att de systematiskt har filmats i underkläder eller underställ på sin arbetsplats. Bevakningen har pågått dygnet runt i realtid trots att behov endast har förelegat vid larm. Räddningstjänsten har i dessa avseenden inte vidtagit nödvändiga åtgärder för att begränsa insamlandet av uppgifter. Bevakningen har skett systematiskt under lång tid och omfattat åtta brandstationer. Det har varit frågan om ett förhållandevis stort antal personer i ledningscentralen som har kunnat ta del av bevakningen. Även om dessa har varit behöriga att ta del av bevakningen har det helt saknats riktlinjer och instruktioner för i vilka situationer behöriga personer har haft rätt till tillgång till kamerabevakningen. Dessa omständigheter ses som försvårande.

IMY har vid bedömningen tagit hänsyn till Räddningstjänstens tungt vägande behov av kamerabevakningen och det krav på effektivitet som åligger Räddningstjänsten, liksom det samhällsviktiga uppdraget att vid olyckor och fara för olyckor hindra och begränsa skador på människor, egendom eller miljö där sekunder och minuter kan vara avgörande. Hänsyn har vidare tagits till att nu gällande regler började tillämpas först i maj 2018. Prövningen har därmed begränsats till tid därefter. Det har även framkommit att kamerabevakningen nu har upphört. Att beslut i ärendet har dragit ut på tiden ligger inte Räddningstjänsten till last vid bedömningen av överträdelserna.

Efter en samlad bedömning finner IMY att Direktionen för Räddningstjänsten Östra Skaraborg ska betala en administrativ sanktionsavgift på 350 000 kronor, varav 300 000 kr avser överträdelserna av artikel 5.1 a respektive 5.1 c och 50 000 kr avser överträdelserna av artikel 32.1 och artikel 32.4 i dataskyddsförordningen.

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Jenny Bård. Vid den slutliga handläggningen har även enhetschefen Charlotte Waller Dahlberg samt juristen Jeanette Bladh Gustafson medverkat. Under handläggningen har även rättschefen David Törngren deltagit.

Lena Lindgren Schelin, 2021-06-09 (Det här är en elektronisk signatur)

Bilaga

Information om betalning av sanktionsavgift

Kopia till

Direktionen för Räddningstjänsten Östra Skaraborgs dataskyddsombud: dataskyddsombud@skovde.se

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.