LSS-boende

Datainspektionens beslut

Datainspektionen konstaterar att Gnosjö kommun - Socialutskottet under perioden mars 2019 - april 2020 har kamerabevakat en boende på ett LSSboende i hens sovrum och därigenom behandlat personuppgifter i strid med - artikel 5.1 a i dataskyddsförordningen då kamerabevakningen skett utan rättslig grund och lagligt stöd för behandlingen av personuppgifter dvs. inte varit laglig. Att kamerabevakningen utförts på ett för den boendes personliga integritet mer ingripande sätt än vad som kan anses skäligt, rimligt och proportionellt i förhållande till ändamålet, dvs. inte levt upp till kraven på korrekthet samt att kamerabevakningen skett utan att den boende fått föreskriven information vare sig enligt dataskyddsförordningen eller kamerabevakningslagen, dvs. inte levt upp till kraven på öppenhet. - artikel 6.1 genom att behandla personuppgifter utan att ha någon rättslig grund för det, - artikel 9.2 genom att behandla känsliga personuppgifter om sjukdoms- och hälsotillstånd utan att ha ett lagligt stöd för den behandlingen, - artiklarna 35 och 36 genom att inte ha uppfyllt kraven på en konsekvensbedömning och inte ha förhandssamrått med Datainspektionen och - artikel 13 genom att inte ha uppfyllt kravet på information till den registrerade (den boende) samt - 15 § kamerabevakningslagen (2018:1200) genom att inte ha lämnat upplysning om kamerabevakningen genom tydlig skyltning eller på något annat verksamt sätt.

Administrativa sanktionsavgifter

Datainspektionen beslutar med beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen, 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning samt 25 § punkt 4 i kamerabevakningslagen (2018:1200) att Gnosjö kommun - Socialutskottet för

överträdelserna av artikel 5.1 a, artikel 6.1, artikel 9.2, artikel 13, artikel 35 och artikel 36 i dataskyddsförordningen samt 15 § kamerabevakningslagen ska betala en administrativ sanktionsavgift på 200 000 kronor.

Redogörelse för tillsynsärendet

Bakgrund

Datainspektionen har den 2 maj 2019 mottagit en anmälan från en anhörig till en boende på ett LSS-boende i Gnosjö kommun enligt vilken socialutskottet i Gnosjö kommun (nedan socialutskottet) behandlar personuppgifter genom att kamerabevaka en boende på ett av kommunens LSS-boenden. Enligt anmälan ska socialutskottet ha uppgett att kamerabevakningen sker med stöd av ett godkännande/samtycke från den boendes familj och före detta förvaltare till den boende. Något godkännande/samtycke finns inte enligt ingivaren av anmälan.

Datainspektionen har med anledning av de uppgifter som anmälan innehåller inlett tillsyn i syfte att granska om den behandling av personuppgifter som socialutskottet ska ha genomfört genom kamerabevakning är i enlighet med dataskyddsreglerna och kamerabevakningslagen.

Tillsynsärendet inleddes med en tillsynsskrivelse den 15 juli 2019. Svar på tillsynsskrivelsen kom in den 21 augusti 2019. Kompletterande skrivelser från socialutskottet har kommit in den 2 december 2019, den 11 maj 2020, den 12 augusti 2020 samt den 4 november 2020.

Vad som framkommit i ärendet

Socialutskottet har behandlat personuppgifter genom att i realtid kamerabevaka en boende på ett LSS-boende i syfte att öka säkerheten för den boende. Kameran installerades i mars 2019 och bevakningen upphörde den 29 april 2020 i samband med att verksamheten övertogs av en annan utförare.

Socialutskottet har uppgett följande. Den boende har bott på LSS-boendet sedan hösten 2013. Hen behöver stöd i sin vardag dygnet runt av två personer, då hen utsätter sig för allvarligt självskadebeteende och behöver få hjälp att förhindra detta. Vid känslomässigt svåra situationer vill hen vara själv i sitt sovrum med stängd dörr, personalen har då befunnit sig i vardagsrummet och varit beredda att gå in vid behov. Det har hänt att det har blivit helt tyst inne

hos den boende och när personal öppnat dörren för att se hur hen mår så har hen sovit men väckts när dörren öppnats. Den boende har då återigen blivit känslomässigt upprörd och risk för självskadebeteende har funnits. Vid andra tillfällen har det hänt att den boende allvarligt skadat sig själv utan att personal har hört något.

Under den boendes första tid på LSS-boendet var det periodvis tre personal i tjänst, trots det så hände det flera gånger att både den boende och personalen kom till skada. Det har varit så allvarliga incidenter att det har inneburit en stor fara för hens liv. Efter att personalgruppen har fått både utbildning och handledning beslutade verksamheten att det är bättre för den boende att endast ha två personal i tjänst dygnet runt och så har de arbetat sedan våren 2014. Personalen har märkt att när den boende blir orolig och visar tecken på att vilja skada sig själv, personal eller saker så går det snabbare över om de låter hen vara själv i sitt sovrum.

Sedan kameran installerades har det inte inträffat några allvarliga incidenter när den boende varit själv i sovrummet. Personalen har snabbt kunnat uppmärksamma vad hen haft för sig och de har heller inte behövt störa när hen kommit till ro. Att kameran installerats innebär inte en minskning av antalet personal i tjänst; de är alltid dubbelbemannade dygnet runt.

Kameran används endast i realtid för att se hur den boende mår, inget material sparas. Det sker heller ingen ljudupptagning. Om den boende vill ha personal inne på sitt rum så är personalen där och kameran används då inte.

Motivering av beslut

Personuppgiftsansvarig

Socialutskottet har uppgett att socialutskottet är personuppgiftsansvarig för den behandling av personuppgifter som har skett genom kamerabevakning av en boende på ett av kommunens LSS-boenden. Detta understöds av utredningen där det framgår att det är socialutskottet som beslutat om kamerabevakningen och bestämt ändamål och medel med personuppgiftsbehandlingen.

Vilka regler gäller vid kamerabevakning

Kamerabevakning är en form av personuppgiftsbehandling. Kameraövervakningslagen (2013:460), som socialutskottet hänvisat till, ersattes den 1 augusti 2018 av kamerabevakningslagen (2018:1200) och den gäller numera i dess ställe. Hur och i vilken utsträckning det är tillåtet att kamerabevaka regleras således i dataskyddsförordningen och kamerabevakningslagen (KBL), som kompletterar dataskyddsförordningen.

Av 2 § KBL framgår att syftet med lagen är att tillgodose behovet av kamerabevakning för berättigade ändamål och att skydda fysiska personer mot otillbörligt intrång i den personliga integriteten vid sådan bevakning.

Definitionen av kamerabevakning i 3 § KBL innebär bland annat att det ska vara fråga om utrustning, som utan att manövreras på platsen, används på ett sätt som innebär varaktig eller regelbundet upprepad personbevakning

Enligt 7 § KBL krävs tillstånd till kamerabevakning av en plats dit allmänheten har tillträde, om bevakningen ska bedrivas av en myndighet.

Socialutskottet är en myndighet och måste därför som utgångpunkt ha tillstånd för att kamerabevaka en plats dit allmänheten har tillträde. Frågan är då om allmänheten anses ha tillträde till den plats som socialutskottet kamerabevakar. Av praxis framgår att begreppet ”plats dit allmänheten har tillträde” ska tolkas vitt (se Högsta förvaltningsrättens avgörande RÅ 2000 ref. 52).

Datainspektionens bedömning

Datainspektionen konstaterar att det är fråga om varaktig och regelbundet upprepad personbevakning, med en kamera som inte manövreras på platsen, när socialutskottet använder sig av kamerabevakning och filmar en boende på ett LSS-boende, i sitt sovrum, i realtid.

Mot bakgrund av vad som framkommit om platsen för bevakningen, den boendes sovrum, bedömer Datainspektionen att det inte är fråga om en plats dit allmänheten har tillträde. Något krav på att söka tillstånd finns därmed inte. Att kamerabevakningen är tillståndsfri innebär endast att reglerna i kamerabevakningslagen om tillstånd för kamerabevakning inte gäller. Andra regler i kamerabevakningslagen gäller precis som för tillståndspliktig kamerabevakning, såsom regler om tystnadsplikt och information och när

kamerabevakningen innefattar personuppgiftsbehandling gäller reglerna i dataskyddsförordningen.

Grundläggande principer för behandling av personuppgifter (artikel 5)

I artikel 5 i dataskyddsförordningen finns ett antal grundläggande principer som den personuppgiftsansvarige måste beakta vid behandlingen av personuppgifter.

Den personuppgiftsansvarige har enligt artikel 5.2 i dataskyddsförordningen ansvar för efterlevnaden av förordningen och ska kunna visa att de grundläggande principerna följs.

Av artikel 5.1 a följer att all personuppgiftsbehandling måste vara laglig, korrekt och präglas av öppenhet. Att behandlingen ska vara korrekt innebär att den ska vara rättvis, skälig, rimlig och proportionerlig i förhållande till de registrerade.

I artikel 5.1 c regleras principen om uppgiftsminimering, som innebär att personuppgifter som behandlas vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

Av skäl 39 följer att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel.

Datainspektionens bedömning

Vid en bedömning av om behandlingen är proportionerlig måste behovet av att genomföra behandlingen vägas mot intrånget i den enskildes personliga integritet. Beträffande behovet av behandlingen kan Datainspektionen konstatera att den information som socialutskottet har lämnat visar att den boendes sjukdomsbild skapar stora svårigheter såväl för hen själv som för personalen, och att det uppkommit situationer där det varit fråga om risk för den boendes liv och hälsa. Det har även förekommit att personal kommit till skada. Utredningen i ärendet stödjer socialutskottets bedömning att det har funnits ett behov av att vidta åtgärder för att hantera och förbättra situationen. Det problem som har uppstått tidigare och som kommunen har lyckats stävja genom kamerabevakningen, består i att när den boende blir upprörd lugnas hen bäst genom att få dra sig tillbaka och vara själv i sovrummet, samtidigt som det just då är som störst risk att hen skadar sig

själv allvarligt. Det har således funnits ett behov av att kunna ha den boende under uppsikt utan att denne blir störd av personalen.

Datainspektionen konstaterar samtidigt att den aktuella kamerabevakningen innebär att den boende kamerabevakas i sitt sovrum. Det är därmed fråga om en mycket integritetskänslig behandling av personuppgifter som innebär att den boende övervakas i hemmets mest privata sfär. Datainspektionen bedömer att kamerabevakningen har inneburit ett betydande intrång i den boendes personliga integritet.

För att en sådan bevakning ska kunna bedömas vara ett acceptabelt intrång i den personliga integriteten måste alternativa åtgärder först kunna uteslutas. Datainspektionen konstaterar att socialutskottet tidigare har vidtagit åtgärder i form av t.ex. handledning, för att försöka förbättra situationen. Det framgår emellertid inte av utredningen att socialutskottet har försökt uppfylla just behovet av att hålla den boende under uppsikt utan att riskera att störa hen, med mindre ingripande åtgärder än genom kamerabevakning. Enligt Datainspektionens bedömning borde det för socialutskottet vara möjligt att med relativt enkla och mindre integritetsingripande åtgärder tillgodose samma behov som med kamerabevakningen.

Datainspektionen finner mot den bakgrunden att socialutskottet inte har visat att intresset av kamerabevakningen överstiger den boendes rätt till personlig integritet och en fredad privat sfär. Datainspektionen konstaterar att det sätt som kamerabevakningen utförts på inneburit en omfattande övervakning av den boende som medfört ett betydande ingrepp i den boendes personliga integritet. Det innebär att behandlingen av personuppgifter, dvs. kamerabevakningen, varit oproportionerlig i förhållande till ändamålet. Den behandling av personuppgifter som skett genom kamerabevakningen har därmed inte levt upp till kraven på korrekthet i artikel 5.1 a i dataskyddsförordningen. Som Datainspektionen anger i det följande i motiveringen under rubrikerna Rättslig grund för behandlingen av personuppgifter (artikel 6), Behandling av känsliga personuppgifter (artikel 9) och Information till de registrerade har behandlingen av personuppgifter skett utan rättslig grund i artikel 6.1, utan stöd i artikel 9.2 och utan att det är visat att den boende fått information enligt artikel 13 i dataskyddsförordningen och inte heller enligt kraven i kamerabevakningslagen. Det innebär att socialutskottet inte heller kan anses ha levt upp till kraven i artikel 5.1 a i dataskyddsförordningen på laglighet och öppenhet.

Rättslig grund för behandlingen av personuppgifter (artikel 6)

Enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifterna behandlas på ett lagligt sätt. För att behandlingen ska anses vara laglig krävs det att åtminstone ett av villkoren i artikel 6.1 är uppfyllda.

Socialutskottet har uppgett att den rättsliga grund som är tillämplig på den aktuella personuppgiftsbehandlingen är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Tillhandahållande av socialtjänst är en sådan uppgift av allmänt intresse som avses i artikel 6.1 e. När det är frågan om den rättsliga grunden allmänt intresse och myndighetsutövning får medlemsstaterna enligt artikel 6.2 behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen till nationella förhållanden. Nationell rätt kan närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Men det finns inte bara en möjlighet att införa nationella regler utan också en skyldighet; artikel 6.3 anger att den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med unionsrätten eller medlemsstaternas nationella rätt.

Den rättsliga grunden kan även innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det innebär att det krävs kompletterande bestämmelser i nationell rätt genom vilka grunden för behandlingen fastställs. Av skäl 41 framgår att en sådan rättslig grund eller lagstiftningsåtgärd bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den.

För behandling av personuppgifter i socialtjänstens verksamhet fastställs grunden för behandlingen i 6 § lag (2001:454) om behandling av personuppgifter inom socialtjänsten (SoLPuL). Av den bestämmelsen framgår att personuppgifter får behandlas bara om behandlingen är nödvändig för att arbetsuppgifter inom socialtjänsten skall kunna utföras.

Av förarbetena till dataskyddslagen utvecklas vad skäl 41 innebär för kompletterande nationell lagstiftning (prop. 2017/18:105 Ny dataskyddslag s. 51).

Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter

ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens och

verksamhetens karaktär. Det torde stå klart att en behandling av personuppgifter som inte utgör någon egentlig kränkning av den

personliga integriteten, såsom när det gäller behandling av

elevers namn i reguljär skolverksamhet, kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång,

t.ex. behandling av känsliga personuppgifter inom hälso- och

sjukvården, kräver att den rättsliga grunden är mer preciserad

och därmed gör intrånget förutsebart. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden krävs dessutom särskilt

lagstöd enligt 2 kap. 6 och 20 §§ RF.

Det innebär att kraven på den kompletterande nationella regleringen avseende precision och förutsägbarhet ökar när det är frågan om ett mer kännbart intrång. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden, vilket den aktuella behandlingen gör, krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ regeringsformen.

Datainspektionens bedömning

Datainspektionen konstaterar att 6 § SoLPuL är en tämligen bred och opreciserad bestämmelse som utgör grund för behandling av personuppgifter inom ett stort antal områden. Enligt Datainspektionens bedömning kan enskilda genom bestämmelsen förutse att socialtjänsten behandlar stora mängder integritetskänslig information om enskilda i sin verksamhet, såsom till exempel vid ärendehandläggning. Det kan emellertid inte antas att enskilda kan förutse att Socialtjänsten även kan komma att utföra integritetskänslig kamerabevakning. Mot bakgrund av att kamerabevakningen utgör en ytterst integritetskänslig behandling och att det därmed ställs höga krav på den nationella regleringen avseende precision och förutsägbarhet, bedömer Datainspektionen att den rättsliga grunden i 6 § SoLPuL inte kan utgöra kompletterande nationell bestämmelse till den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen när det är fråga om integritetskänslig kamerabevakning.

Därtill ställer 6 § SoLPuL krav på att behandlingen är nödvändig för att utföra en arbetsuppgift inom socialtjänsten. Beträffande innebörden av begreppet nödvändig, framgår följande av förarbetena till dataskyddslagen (prop. 2017/18:105 s. 51).

Enligt Svenska Akademiens Ordbok betyder det svenska ordet nödvändig att någonting absolut fordras eller inte kan

underlåtas. Det unionsrättsliga begreppet har dock inte denna

strikta innebörd. Nödvändighetsrekvisitet i artikel 7 i

dataskyddsdirektivet har t.ex. inte ansetts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas (prop. 2017/18:105 s. 46).

Även om nödvändighetskravet inte innebär att det ska vara omöjligt att utföra en uppgift av allmänt intresse om inte behandlingen genomförs, kan det enligt Datainspektionens bedömning inte anses vara nödvändigt att genomföra en integritetskänslig behandling av personuppgifter via kamerabevakning om det finns andra rimliga alternativ för att utföra en uppgift som fyller samma syfte. Såsom Datainspektionen tidigare konstaterat borde socialutskottet med kunna leva upp till syftet med kamerabevakningen på ett annat sätt än med just kamerabevakning. Därmed är inte heller kravet på att behandlingen ska vara nödvändig för att den kompletterande nationella regleringen i 6 § SoLPuL ska vara tillämplig uppfyllt.

Socialutskottet har därmed genom kamerabevakningen behandlat personuppgifter utan att ha en rättslig grund för behandlingen enligt artikel 6.1 e i dataskyddsförordningen. Någon annan rättslig grund för behandlingen enligt artikel 6.1 har heller inte visats föreligga.

Behandling av känsliga personuppgifter (artikel 9)

Av artikel 9.1 i dataskyddsförordningen följer att uppgifter om hälsa utgör en

särskild kategori av personuppgifter (så kallade känsliga personuppgifter).

Huvudregeln är att behandling av sådana personuppgifter är förbjuden. I artikel 9.2 anges ett antal undantag då känsliga personuppgifter får behandlas.

Socialutskottet har uppgett att kameran kan komma att bevaka situationer i vilka den boendes sjukdomsbild och hälsotillstånd framkommer. Det innebär

att den aktuella kamerabevakningen på LSS-boendet innefattar behandling av uppgifter om hälsa dvs. känsliga personuppgifter.

För att en behandling av känsliga personuppgifter ska vara laglig krävs både en rättslig grund enligt artikel 6.1 och att något av undantagen från förbudet att behandla känsliga personuppgifter i artikel 9.2 är tillämpligt. Redan den omständigheten att socialutskottet har genomfört kamerabevakningen utan att ha en rättslig grund för behandlingen enligt artikel 6.1 innebär att behandlingen har skett i strid med artikel 9 i dataskyddsförordningen.

Om det däremot hade funnits en rättslig grund för behandlingen enligt artikel 6.1, skulle socialutskottet således även behövt tillämpa något av undantagen i artikel 9.2 för att personuppgiftsbehandlingen skulle vara laglig.

Av artikel 9.2 h framgår att behandling av känsliga personuppgifter får ske om behandlingen är nödvändig av skäl som hör samman med /…/ social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda.

För att undantaget i artikel 9.2 h ska kunna tillämpas krävs således kompletterande regler i unionsrätt eller nationell rätt. I svensk rätt har möjligheten att behandla känsliga personuppgifter i socialtjänstens verksamhet reglerats i 7 § 3 st SoLPuL. Av den bestämmelsen framgår att känsliga personuppgifter får behandlas med stöd av artikel 9.2 h i dataskyddsförordningen om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten och under förutsättning att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är uppfyllt.

För behandling av känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen ställs således än högre krav på den kompletterande nationella regleringen avseende precision och förutsägbarhet för att den ska vara tillämplig. Då den generellt utformade nationella regleringen inte kan anses leva upp till kraven på precision och förutsägbarhet och därmed utgöra rättslig grund för behandling av inte känsliga personuppgifter genom kamerabevakningen, kan inte heller den på motsvarande sätt generellt utformade nationella bestämmelsen avseende behandling av känsliga

personuppgifter anses leva upp till kraven på precision och förutsägbarhet. Bestämmelsen i 7 § SoLPuL kan därmed inte utgöra sådan kompletterande nationell rätt som krävs för att undantaget i artikel 9.2 h i dataskyddsförordningen ska vara tillämpligt för behandling av känsliga personuppgifter genom kamerabevakning.

Därtill ställs det i 7 § SoLPuL även krav på att uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten för att bestämmelsen ska kunna tillämpas. Då personuppgiftsbehandlingen inte avser ett ärende utan kamerabevakningen utgör ett faktiskt handlande, måste uppgifterna vara nödvändiga för verksamheten får att behandlingen ska kunna utföras. Eftersom nödvändighetskravet emellertid inte kan anses vara uppfyllt avseende kravet på rättslig grund för behandling av personuppgifter, kan det inte heller anses vara uppfyllt avseende undantaget i artikel 9.2 h mot förbudet att behandla känsliga personuppgifter.

Datainspektionens bedömning

Även om socialutskottet skulle haft en rättslig grund enligt artikel 6.1 i dataskyddsförordningen, uppfyller personuppgiftsbehandlingen genom kamerabevakning sammanfattningsvis inte kravet på ett i artikel 9.2 tillämpligt undantag från förbudet mot att behandla känsliga personuppgifter. Datainspektionen bedömer därmed att Gnosjö kommun genom att kamerabevaka situationer där sjukdomsbild och hälsotillstånd framkommit behandlat känsliga personuppgifter i strid med artikel 9.1 och 9.2 i dataskyddsförordningen.

Konsekvensbedömning och förhandssamråd (artikel 35 och 36)

Av artikel 35 i dataskyddsförordningen följer att en personuppgiftsansvarig i vissa fall måste göra en konsekvensbedömning avseende dataskydd dvs. före behandlingen av personuppgifter göra en bedömning av en planerad behandlings konsekvenser för skyddet av personuppgifter. Skyldigheten gäller om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

Av artikel 35.7 framgår vad en konsekvensbedömning ska innehålla. Den ska åtminstone innehålla en beskrivning av den planerade behandlingen och behandlingens syften, en bedömning av behovet av och proportionaliteten hos behandlingen, en bedömning av riskerna för de registrerades rättigheter

och friheter samt de åtgärder som planeras för att hantera riskerna och visa att dataskyddsförordningen efterlevs.

En konsekvensbedömning kan således beskrivas som ett verktyg för att identifiera risker med behandlingen av personuppgifter och ta fram rutiner och åtgärder för att hantera riskerna, och därmed bedöma om behandlingen är proportionerlig i förhållande till syftet med den. Att genomföra en konsekvensbedömning innan behandlingen påbörjas är således ofta en viktig åtgärd för att bedöma om en behandling är laglig.

Enligt artikel 36 ska den personuppgiftsansvarige samråda med Datainspektionen före behandlingen om en konsekvensbedömning avseende dataskydd enligt artikel 35 visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.

Datainspektionen har, med ledning av riktlinjer från Artikel 29arbetsgruppen och de kriterier som gruppen tagit fram, beslutat en förteckning över personuppgiftsbehandling som omfattas av krav på konsekvensbedömning avseende dataskydd (2019-01-16, dnr DI-2018-13200). Förteckningen kompletterar och specificerar artikel 35.1 och är avsedd att

närmare exemplifiera när förutsättningarna i den bestämmelsen kan anses vara uppfyllda. Förteckningen är inte avsedd att på ett uttömmande sätt ange när en konsekvensbedömning måste göras. Kriterier som ska beaktas vid bedömningen av om en planerad behandling sannolikt leder till hög risk är bland annat om behandlingen avser systematisk övervakning av människor, känsliga uppgifter eller uppgifter av mycket personlig karaktär, uppgifter om sårbara personer eller användning av ny teknik eller nya organisatoriska lösningar.

En konsekvensbedömning ska göras om minst två av de i förteckningen uppräknade punkterna finns med i den planerade behandlingen. Det är endast obligatoriskt att utföra en konsekvensbedömning om den planerade behandlingen ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter”. En behandling kan uppfylla två eller flera av kriterierna men den personuppgiftsansvarige kan ändå göra bedömningen att den sannolikt inte leder till en hög risk. I sådana situationer bör den personuppgifts-ansvarige motivera och dokumentera anledningarna till att en konsekvensbedömning inte utförs och inkludera dataskyddsombudets synpunkter. I slutet av Datainspektionens förteckning ges också exempel på när minst två av kriterierna ska anses föreligga och därmed när en konsekvensbedömning måste göras. Som exempel anges när verksamheter inom social omsorg använder kamerabevakning i människors boende.

Socialutskottet har uppgett att de inte har gjort någon konsekvensbedömning eftersom de inte sparar information från kamerabevakningen. Socialutskottet har inte heller kommit in med någon begäran om förhandssamråd till Datainspektionen.

Datainspektionens bedömning

Datainspektionen konstaterar att kriterier som ska beaktas vid bedömningen av om en behandling sannolikt leder till hög risk är om behandlingen avser systematisk övervakning av människor, känsliga uppgifter eller uppgifter av mycket personlig karaktär, uppgifter om sårbara personer eller tillämpning av ny teknik eller organisatoriska lösningar.

Av Datainspektionens förteckning framgår att när verksamheter inom social omsorg använder välfärdsteknik, t.ex. robotar eller kamerabevakning, i människors boende, så är det ett exempel på behandling som kräver att en konsekvensbedömning utförs. Då anses kriterierna gällande systematisk

övervakning, behandling av känsliga personuppgifter samt användning av ny teknik eller nya organisatoriska lösningar vara uppfyllda.

Enligt Datainspektionens bedömning har den aktuella behandlingen omfattat ett antal kriterier som talar för att behandlingen sannolikt leder till en hög risk för den registrerades fri- och rättigheter. Ett uttryckligt exempel i Datainspektionens förteckning över när konsekvensbedömning krävs enligt dataskyddsförordningen är när verksamheter inom social omsorg, som i detta fall, använder kamerabevakning i människors boende. Då socialutskottet inte har redogjort för sin bedömning att inte genomföra en konsekvensbedömning har den inte visat att behandlingen sannolikt inte leder till hög risk, trots att flera av kriterierna i riktlinjerna är uppfyllda. Enligt Datainspektionens bedömning har socialutskottet därmed behandlat personuppgifter i strid med artikel 35 i dataskyddsförordningen.

Utifrån vad som har framkommit i ärendet så har socialutskottet inte heller kommit in med ett förhandssamråd. Eftersom socialutskottet inte gjort någon konsekvensbedömning så har det inte heller gjorts någon bedömning av om behandlingen medförde några risker för den registrerades fri- och rättigheter. Därmed har socialutskottet inte heller kunnat visa att den höga risk som sannolikt föreligger har sänkts på ett sådant sätt att det har saknats anledning att begära förhandssamråd hos Datainspektionen. Enligt Datainspektionens bedömning har socialutskottets behandling av personuppgifter således även skett i strid med artikel 36 i dataskyddsförordningen.

Information till registrerade

I artikel 13 i dataskyddsförordningen anges vilken information som ska tillhandahållas om personuppgifter samlas in från den registrerade, såsom information om identitet och kontaktuppgifter för den personuppgiftsansvarige, ändamålen med behandlingen för vilken personuppgifterna är avsedda, den rättsliga grunden, den period under vilken personuppgifterna kommer lagras samt den registrerades rättigheter.

Av artikel 12 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artikel 13, och att sådan information ska tillhandahållas i en koncis, klar, tydlig, begriplig och lätt tillgänglig form och med användning av klart och tydligt språk. Informationen ska tillhandahållas skriftligt eller i någon annan form. Av skäl

58 i dataskyddsförordningen framgår att information ska vara kortfattad, lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk samt att man vid behov använder visualisering.

Socialutskottet har uppgett att de lämnat muntlig information till den boende, den boendes förvaltare och anhöriga. Även personal och besökare uppges ha fått del av information om kamerabevakningen.

Beträffande den information som lämnats till den boende har Socialutskottet uppgett att den boende har fått information om kamerabevakningen genom att hen var med och tittade på när kameran installerades, och att chefen muntligt förklarat för den boende att syftet med kameran är att personalen ska veta att den boende mår bra. Det har inte framkommit att det därutöver lämnats några andra uppgifter om kamerabevakningen till den boende.

Datainspektionen konstaterar att den information som socialutskottet lämnat till den registrerade (den boende) endast omfattar information om att kamerabevakning pågår, och inte all den information som den personuppgiftsansvarige är skyldig att lämna till den registrerade vid insamling av personuppgifter enligt artikel 13 i dataskyddsförordningen.

Socialutskottet har även uppgett att information har lämnats till den registrerades förvaltare. Av 11 kap 4 och 7 §§ föräldrabalken (1949:381) framgår att rätten får förordna om förvaltare för den som på grund av sjukdom, psykisk störning, försvagat hälsotillstånd eller liknande förhållande behöver hjälp med att bevaka sin rätt, förvalta sin egendom eller sörja för sin person, och det inte är tillräckligt att god man förordnas eller att den enskilde på något annat mindre ingripande sätt får hjälp. Förvaltaruppdraget ska anpassas till den enskildes behov i varje särskilt fall och får begränsas till att avse viss egendom eller angelägenhet.

Datainspektionen konstaterar att även när en förvaltares uppdrag är utformat på så sätt att det omfattar uppgiften att sörja för den enskildes person finns det begränsningar i vad en förvaltare får lov att göra. Av förarbetena till bestämmelserna om förvaltarskap framgår följande.

I allmänhet bör huvudmannen också själv få bestämma i frågor som rör hans boende liksom innehållet i erbjuden vård. En

förvaltare bör således i normala fall inte företräda huvudmannen

när det gäller frågor om samtycke till t ex operativa ingrepp. Detta hindrar naturligtvis inte att man från bl.a. vårdinrättningars sida inhämtar förvaltarens synpunkter (prop. 1987/88:124 s 172).

Datainspektionen har i begäran om komplettering skickad den 15 juni 2020 uppmanat socialutskottet att lämna underlag till Datainspektionen avseende förvaltaruppdragets omfattning och vilken information som lämnats till förvaltaren. Socialutskottet har emellertid inte kommit in med underlaget avseende förvaltaruppdragets omfattning och har heller inte redogjort för vilken information som lämnats till förvaltaren. Socialutskottet har därutöver inte heller redogjort för sin bedömning att förvaltaren kan företräda den boende avseende dennes rätt till information enligt artikel 13 i dataskyddsförordningen.

Datainspektionens bedömning

Socialutskottet har inte visat att det finns en möjlighet att informera förvaltaren, istället för den registrerade i det aktuella ärendet, eller att den information som framgår av artikel 13 i dataskyddsförordningen har lämnats. Socialutskottet har således inte uppfyllt informationsplikten genom att informera förvaltaren. Då inte heller den information som socialutskottet har lämnat till den boende är tillräcklig för att informationsplikten ska vara uppfylld, har socialutskottets behandling av personuppgifter även skett i strid med artikel 13 i dataskyddsförordningen.

Vidare framgår det av 15 § kamerabevakningslagen (KBL) att upplysning om kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Det framkommer även att bestämmelser om rätten till information om den personuppgiftsbehandling som kamerabevakningen innebär finns i dataskyddsförordningen och andra föreskrifter som anges i 6 § KBL.

Socialutskottet har inte lämnat information om att det finns någon skylt som informerar om att kamerabevakning bedrivs. För att socialutskottet ska anses ha levt upp till kraven gällande upplysning i kamerabevakningslagen måste således upplysning om kamerabevakning anses ha lämnats på något annat verksamt sätt.

Som konstaterats ovan lever den information om kamerabevakningen som socialutskottet uppger sig har lämnat inte upp till kraven på information enligt dataskyddsförordningen. Datainspektionen bedömer vidare att socialutskottet inte heller levt upp till kraven på att lämna upplysning om kamerabevakning på annat verksamt sätt. Det innebär att behandlingen av personuppgifter även skett i strid med kravet på upplysning i 15 § KBL. Eftersom den boende inte fått föreskriven information enligt dataskyddsförordningen och inte heller enligt kamerabevakningslagen kan socialutskottet inte anses ha levt upp till kraven på öppenhet i artikel 5.1 a i dataskyddsförordningen.

Val av ingripande

Rättslig reglering

Om det skett en överträdelse av dataskyddsförordningen har Datainspektionen ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen. Tillsynsmyndigheten kan bland annat förelägga den personuppgiftsansvarige att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

Av artikel 58.2 i dataskyddsförordningen följer att Datainspektionen i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

För myndigheter får enligt artikel 83.7 i dataskyddsförordningen nationella regler ange att myndigheter kan påföras administrativa sanktionsavgifter. Enligt 6 kap. 2 § dataskyddslagen kan sanktionsavgifter beslutas för myndigheter, men till högst 5 000 000 kronor alternativt 10 000 000 kronor beroende på om överträdelsen avser artiklar som omfattas av artikel 83.4 eller 83.5 i dataskyddsförordningen. Av 25 § punkt 4 KBL framgår även att sanktionsavgift kan tas ut av den som bedriver kamerabevakning och bryter mot upplysningskravet i 15 §.

I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av central betydelse för bedömningen av

överträdelsens allvar är dess karaktär, svårighetsgrad och varaktighet. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

Sanktionsavgift

Datainspektionens tillsyn har visat att socialutskottet har behandlat personuppgifter i strid med artiklarna 5, 6.1, 9.2, 13, 35 och 36 i dataskyddsförordningen. Därtill har socialutskottet brutit mot 15 § KBL.

Vid bedömningen av om överträdelserna är så allvarliga att en administrativ sanktionsavgift ska påföras har Datainspektionen beaktat att personuppgiftsbehandlingen avsett kamerabevakning av en boende i en mycket privat sfär och i en beroendeställning, där behandlingen i viss mån omfattat känsliga personuppgifter. Behandlingen har pågått från mars 2019april 2020, vilket bedöms som en relativt lång tid. Hänsyn har också tagits till att Datainspektionen har fått kännedom om behandlingen genom ett tips från en anhörig till den registrerade. Dessa omständigheter ses som försvårande. Enligt Datainspektionens bedömning har behandlingen inte inneburit en mindre överträdelse utan överträdelser som ska leda till en administrativ sanktionsavgift.

Då de artiklar i dataskyddsförordningen som socialutskottet överträtt omfattas av artikel 83.5 i dataskyddsförordningen samt avser en överträdelse av upplysningsplikten i 15 § KBL är det maximala beloppet för sanktionsavgiften i detta fall 10 miljoner kronor, enligt 6 kap. 2 § andra stycket lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuella överträdelser som till tillsynsobjektets betalningsförmåga.

Vid fastställandet av ett belopp som är effektivt, proportionerligt och avskräckande kan Datainspektionen konstatera att socialutskottet har behandlat känsliga personuppgifter om en boende i situation som är mycket privat och som innebär att boenden befinner sig i en beroendeställning

gentemot kommunen. Överträdelsen avser övervakning av en person i dennes sovrum, vilket är en mycket integritetskränkande behandling. Därtill har behandlingen pågått under relativt lång tid, i mer än ett år. Datainspektionen har tagit hänsyn till att boenden har ett allvarligt självskadebeteende, stundtals med fara för liv och hälsa både för sig själv och personalen. Socialutskottet har vidtagit åtgärden för att lösa en komplex situation där personal och boenden har riskerat att komma till skada. Även om situationen har varit svår att hantera har socialutskottet inte prövat alternativa, mindre ingripande åtgärder för att lösa problemet med att kunna ha den boende under uppsikt på ett smidigt sätt innan kamerabevakningen påbörjades.

Mot bakgrund av överträdelsernas allvar och att den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande finner Datainspektionen att den administrativa sanktionsavgiften för socialutskottet ska bestämmas till 200 000 kronor.

Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Jeanette Bladh Gustafson. Vid den slutliga handläggningen har även chefsjuristen Hans-Olof Lindblom och enhetscheferna Malin Blixt och Charlotte Waller Dahlberg medverkat.

Lena Lindgren Schelin, 2020-11-24 (Det här är en elektronisk signatur)

Bilaga

Hur man betalar sanktionsavgift

Kopia för kännedom till:

Dataskyddsombud för Gnosjö kommun: dataskyddsombud@gislaved.se

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid

sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.