Utbildningsnämnden i Stockholms stad – Aspuddens skola

1. Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Utbildningsnämnden i Stockholms stad under tiden 25 maj 2018 till 3 oktober 2023 behandlat personuppgifter genom kamerabevakning på Aspuddens skola i strid med

• principen om laglighet i artikel 5.1 a i dataskyddsförordningen , • principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, • kravet på rättslig grund i artikel 6.1 i dataskyddsförordningen, samt • skyldigheten att lämna information enligt artikel 13 i dataskyddsförordningen.

Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen och 6 kap. 2 § dataskyddslagen att Utbildningsnämnden i Stockholms stad, för överträdelse av artiklarna 5.1 a, 5.1 c och 6.1 i dataskyddsförordningen, ska betala en administrativ sanktionsavgift på 800 000 (åttahundratusen) kronor.

Integritetsskyddsmyndigheten förelägger med stöd av artikel 58.2 d i dataskyddsförordningen Utbildningsnämnden i Stockholms stad att under verksamhetstid upphöra med kamerabevakning på Aspuddens skola med undantag för den kamerabevakning som sker, med ändamålet att förebygga och följa upp anlagda bränder, utanför dörren eller ingång till toalettutrymmen i lokaler tillhörande högstadiet och som innebär att endast personer som passerar in och ut bevakas. Åtgärden ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.

Integritetsskyddsmyndigheten förelägger med stöd av artikel 58.2 d i dataskyddsförordningen Utbildningsnämnden i Stockholms stad att vidta åtgärder för att säkerställa att det i det andra informationslagret på Stockholms stads webbplats finns information om korrekt rättslig grund för behandlingen samt information om de rättigheter som avses i artikel 13.2 b i dataskyddsförordningen. Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.

2. Redogörelse för tillsynsärendet

2.1 Bakgrund

Integritetsskyddsmyndigheten (IMY) har mottagit klagomål om att Aspuddens skola tillhörande Stockholm stad bedriver omfattade kamerabevakning i stora delar av skolan och att ingen information om kamerabevakningen och den personuppgiftsbehandling som bevakning innebär har lämnats till vårdnadshavare och elever. IMY har även mottagit ett anonymt tips som gör gällande att personal vid skolan inte lämnats information om kamerabevakningen och att det saknats skyltar om kamerabevakning vid entréer till skolan. IMY har därför inlett tillsyn mot Utbildningsnämnden i Stockholms stad (Utbildningsnämnden eller nämnden) som uppgett att nämnden är personuppgiftsansvarig för den behandling av personuppgifter som sker vid Aspuddens skola.

2.2 Vad som framkommit i ärendet

Utbildningsnämnden i Stockholms stad har i ärendet uppgett bland annat följande.

Aspuddens skola är en grundskola med elever från förskoleklass till årskurs 9. I oktober 2021 hade skolan 1060 elever, 150 lärare och annan personal samt 22 timvikarier. Kamerabevakning infördes i skolan år 2014 och föranleddes av flertalet anlagda bränder i skolans lokaler, ibland flera bränder per dag. I skolan finns ca 50 stycken fast monterade kameror utrustade med fast optik. Kamerorna bevakar korridorer, trapphus och hallar i anslutning till dörrar, toaletter och elevskåp och finns uppsatta i stora delar av skolan. Ingen bevakning sker på platser i skolan dit allmänheten har tillträde. Kamerorna aktiveras vid rörelse och bevakningen sker dygnet runt med bildinspelning.

Ändamålen med bevakningen är att förebygga och följa upp skadegörelse, kränkande behandling, brand, inbrott och annat intrång eller annan åverkan i skollokalerna. Utbildningsnämnden har gett in sammanställningar av incidenter med kränkande behandling som skett i skolan under åren 2018–2021 samt en sammanställning av brott och andra händelser som inträffat på skolan under perioden oktober 2018 till maj 2022. Utbildningsnämnden har därutöver anfört att det under läsåret 2022/2023 fortsatt förekomma fysiska kränkningar, påhälsningar från utomstående i skolans lokaler, brand och inbrott.

Aspuddens skola har vidtagit och vidtar andra åtgärder för att förebygga och främja trygghet och säkerhet på skolan. Skolan har bland annat övervägt att låsa entrédörrarna för att förhindra intrång från obehöriga men har bedömt att elevernas behov av att röra sig fritt mellan skolbyggnaderna väger tyngre än att förhindra intrång från obehöriga. Vidare har skolan ett trygghetsteam som arbetar med de strategiska frågorna för elevers trygghet. Trygghetsteamet utreder också händelser i skolvardagen. Även eleverna är delaktiga i trygghetsarbetet på skolan genom klass-, fritids- och elevråd. För att visa på allvaret med bränder hålls årligen brandutbildning för årkurs 5 och 8. Rastvärdar finns tillgängliga på alla stadier med tydliga uppdrag och gula västar så att de är lätta att se. Avsikten med rastvärdarnas närvaro är att förhindra konflikter, upptäcka obehöriga och förhindra skadegörelse. Rastvärdarnas närvaro har dock inte varit tillräcklig då det trots närvaron anlagts bränder på framförallt toaletter.

Utbildningsnämnden har anfört att det vid prövning den 24 augusti 2023 bedömts att behovet av kamerabevakning fortsatt föreligger för att garantera trygghet och säkerhet för elever och personal.

2.3 Omfattningen av IMY:s prövning i ärendet

IMY:s prövning i ärendet är avgränsad till frågorna om Utbildningsnämndens personuppgiftsbehandling genom kamerabevakningen vid Aspuddens skola har stöd i artikel 6.1 i dataskyddsförordningen, om Utbildningsnämnden följer principerna om laglighet och uppgiftsminimering i artikel 5.1 a och c i dataskyddsförordningen, om bevakningen är tillståndspliktig enligt kamerabevakningslagen och om Utbildningsnämnden uppfyller upplysningsplikten och informationsplikten enligt kamerabevakningslagen (2018:1200) respektive dataskyddförordningen.

Den granskade kamerabevakningen har pågått sedan 2014. Eftersom dataskyddsförordningen började tillämpas den 25 maj 2018 är IMY:s prövning enligt

dataskyddsförordningen begränsad till tiden därefter. Omständigheter i samband med införandet av kamerabevakningen 2014 och det som skett fram till den 25 maj 2018 ligger därmed utanför IMY:s tillsyn.

3. Motivering av beslutet

3.1 Tillämplig lagstiftning för Utbildningsnämndens kamerabevakning

Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och kamerabevakningslagen som kompletterar dataskyddsförordningen.

3.1.1 Dataskyddsförordningen

Dataskyddsförordningen ska enligt artikel 2.1 tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 i dataskyddsförordningen avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring, läsning och radering.

Om en bevakningskamera fångar en identifierbar person eller någon annan personuppgift i bild måste därför reglerna i dataskyddsförordningen följas. Då IMY:s bedömning är att uppgifter om identifierbara personer behandlas genom den aktuella kamerabevakningen är dataskyddsförordningen tillämplig på behandlingen.

3.1.2 Kamerabevakningslagen

Av 3 § 1 kamerabevakningslagen framgår att med kamerabevakning avses en tvkamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning som, utan att manövreras på platsen används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

Den aktuella kamerabevakningen manövreras inte på platsen och innebär en varaktig bevakning av elever, anställda och övriga besökare. IMY gör därför bedömningen att kamerabevakningslagen är tillämplig på den aktuella bevakningen.

3.2 Personuppgiftsansvar

Utbildningsnämnden har anfört att nämnden är personuppgiftsansvarig för den behandling av personuppgifter som sker genom kamerabevakning på Aspuddens skola. Vad nämnden anfört vinner stöd av övrig utredning i ärendet. IMY bedömer därför att Utbildningsnämnden i Stockholms stad är personuppgiftsansvarig för den aktuella personuppgiftsbehandlingen i den mening som avses i artikel 4.7 i dataskyddsförordningen.

3.3 Behöver Utbildningsnämnden tillstånd för kamerabevakningen?

I kamerabevakningslagen finns bestämmelser om när det krävs tillstånd för att kamerabevaka. Av 7 § kamerabevakningslagen följer att tillstånd krävs för bevakning

av en plats dit allmänheten har tillträde om bevakningen bedrivs av en myndighet eller någon annan än en myndighet vid utförande av en uppgift av allmänt intresse som följer av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd av lag eller annan författning.

Utbildningsnämnden är en myndighet och behöver därför som utgångspunkt tillstånd till kamerabevakning under förutsättning att bevakningen sker på en plats dit allmänheten har tillträde. Allmänheten anses i regel inte ha tillträde till inomhusmiljön i en skola. Undantag görs dock för rektorsexpeditionen och utrymmen man passerar för att ta sig dit (jfr Förvaltningsrätten i Göteborgs dom i mål nr 11460-17).

Utbildningsnämnden har uppgett att det inte finns någon kamerabevakning vid huvudentrén eller vägen fram till rektorsexpeditionen. Detta framgår också av den ritning som Utbildningsnämnden gett in. Mot bakgrund av vad som framkommit om platserna för bevakning bedömer IMY att det inte är fråga om platser dit allmänheten har tillträde. Utbildningsnämnden behöver därför inte tillstånd för bevakningen.

Att kamerabevakningen är tillståndsfri innebär dock inte att bevakningen per automatik är tillåten. Eftersom bevakningen innebär att personuppgifter behandlas gäller reglerna i dataskyddsförordningen. I kamerabevakningslagen finns också, utöver bestämmelsen om tillstånd, till exempel regler om krav på upplysning som blir aktuella vid kamerabevakning.

3.4 Har Utbildningsnämnden haft rättslig grund för sin kamerabevakning enligt artikel 6.1 c i dataskyddsförordningen?

För att Utbildningsnämndens kamerabevakning ska vara tillåten krävs det att bestämmelserna i dataskyddsförordningen följs. Det innebär bland annat att Utbildningsnämnden måste ha stöd för sin kamerabevakning i minst en av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen.

Utbildningsnämnden har uppgett att den rättsliga grund på vilken nämnden stödjer sin personuppgiftsbehandling genom kamerabevakning är rättslig förpliktelse i artikel 6.1 c i dataskyddsförordningen. Nämnden har angett att det av 5 kap. skollagen (2010:800) följer en rätt till trygg skolmiljö för alla elever och att det med anledning av skollagens krav därför föreligger en sådan rättslig förpliktelse som avses i artikel 6.1 c i dataskyddsförordningen.

3.4.1 Tillämpliga bestämmelser m.m.

I artikel 6.1 i dataskyddsförordningen anges att en behandling endast är laglig om minst ett av de angivna villkoren i artikeln är uppfyllt.

Av artikel 6.1 c i dataskyddsförordningen framgår att ett av villkoren är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

Av artikel 6.3 i dataskyddsförordningen framgår att den grund för behandlingen som avses i 6.1 c i dataskyddsförordningen ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Enligt 2 kap. 1 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 c i dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag

eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning.

En rättslig förpliktelse kan inte utgöra en rättslig grund för behandling av personuppgifter om förpliktelsen är för svepande och ger den personuppgiftsansvarige en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.

3.4.2 IMY:s bedömning

IMY konstaterar att den skyldighet enligt 5 kap. skollagen som Utbildningsnämnden åberopat är fastställd på det sätt som anges i 2 kap. 1 § dataskyddslagen. IMY konstaterar dock att den aktuella behandlingen är av integritetskänsligt slag eftersom den rör kamerabevakning av barn på en plats där de till följd av skolplikten är skyldiga att vistas. Kamerabevakningen omfattar dessutom anställda. Detta innebär att högre krav ställs på den rättsliga förpliktelsens precisering. Bestämmelsen i 5 kap. 3 § skollagen är relativt allmänt hållen. Där anges att huvudmannen har en skyldighet att säkerställa att det på skolenheten bedrivs ett förebyggande arbete som syftar till att skapa trygghet och studiero. IMY anser att 5 kap. 3 § skollagen inte är tillräckligt tydlig och precis för att, enligt artikel 6.1 c i dataskyddsförordningen, kunna ligga till grund för den integritetskänsliga personuppgiftsbehandling som är aktuell i detta fall.

Den aktuella behandlingen kan därmed inte stödjas på artikel 6.1 c i dataskyddsförordningen.

3.5 Har Utbildningsnämnden haft rättslig grund för sin kamerabevakning enligt artikel 6.1 e i dataskyddsförordningen?

Utbildningsnämnden har uppgett att för det fall IMY anser att nämnden inte kan stödja sin behandling av personuppgifter på den rättsliga grunden i artikel 6.1 c i dataskyddsförordningen så bör behandlingen kunna stödjas på artikel 6.1 e i dataskyddsförordningen. Enligt nämnden fastställer regleringen i 5 kap. 3 § skollagen den grund för behandlingen som krävs för att uppfylla kravet i artikel 6.3 i dataskyddsförordningen.

3.5.1 Tillämpliga bestämmelser m.m.

Av artikel 6.1 e i dataskyddsförordningen följer att personuppgifter får behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

Enligt artikel 6.3 i dataskyddsförordningen ska den grund för behandlingen som avses i artikel 6.1 e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Enligt 2 kap. 2 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om

behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning.

Av skäl 41 framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsebar för de som omfattas av den, i enlighet med rättspraxis vid EUdomstolen och Europadomstolen. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden som fastställer arbetsuppgiften eller myndighetsutövningen för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringen bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten, såsom när det gäller behandling av elevers namn i reguljär skolverksamhet, kan enligt regeringen ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, till exempel behandling av känsliga personuppgifter inom hälso- och sjukvården, kräver emellertid att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.

Vid bedömningen av om en arbetsuppgift eller myndighetsutövning följer av exempelvis en lagbestämmelse kan bland annat förarbetsuttalanden, bestämmelsens syfte och den rättsliga kontext bestämmelsen befinner sig i behöva beaktas. Det är alltså inte bara lagtextens ordalydelse som är av relevans för att avgöra om något följer av lag.

För att artikel 6.1 e i dataskyddsförordningen ska kunna ligga till grund för en personuppgiftsbehandling krävs inte bara att den personuppgiftsansvarige har en uppgift av allmänt intresse som fastställts i nationell rätt eller unionsrätten. Den aktuella behandlingen ska även vara nödvändig för att utföra uppgiften av allmänt intresse. Av skäl 39 till dataskyddsförordningen framgår att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel.

Gällande kravet på nödvändighet har EU-domstolen angett att kravet inte är uppfyllt när det eftersträvade målet av allmänintresse rimligen kan uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inskränker de registrerades grundläggande rättigheter, särskilt rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i stadgan. EU-domstolen har vidare uttalat att undantag från och inskränkningar av principen om skydd för personuppgifter inte får gå utöver vad som är strikt nödvändigt. Den personuppgiftsansvarige ska därför, även när denne agerar inom ramen för sin uppgift av allmänt intresse, inte generellt och utan åtskillnad samla in personuppgifter, utan måste avstå från att samla in uppgifter som inte är absolut nödvändiga med hänsyn till ändamålet med behandlingen av dessa uppgifter. Nödvändighetskriteriet ska ses mot bakgrund av att undantag och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är absolut nödvändigt. Samtidigt följer av praxis att nödvändighetskriteriet kan

anses uppfyllt om det bidrar till effektivisering , vilket även framhölls i förarbetena till dataskyddslagen .

Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen enligt vilken personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

I 5 kap. 3 § första och andra styckena skollagen anges att alla elever ska tillförsäkras en skolmiljö där utbildningen präglas av trygghet och undervisningen av studiero. Det är huvudmannen som ska säkerställa att det på skolenheten bedrivs ett förebyggande arbete som syftar till att skapa trygghet och studiero.

3.5.2 Har det fastställts en uppgift av allmänt intresse som kan ge stöd för behandlingen?

En skillnad mellan de rättsliga grunderna i artikel 6.1 c och artikel 6.1 e i dataskyddsförordningen är att den sistnämnda bestämmelsen inte kräver en precist fastställd rättslig förpliktelse. En uppgift av allmänt intresse enligt artikel 6.1 e kan vara mer allmänt beskriven. Det innebär att den rättsliga regleringen i 5 kap. 3 § skollagen, även om den inte kan utgöra grund för personuppgiftsbehandlingen enligt artikel 6.1 c i dataskyddsförordningen, kan ligga till grund för behandlingen enligt artikel 6.1 e i dataskyddsförordningen.

IMY konstaterar inledningsvis att det, varken i 5 kap. 3 § skollagen eller i bestämmelsens förarbeten, uttryckligen anges att kamerabevakning får ske för att skapa en trygg skolmiljö. Av ordalydelsen i artikel 6.3 första stycket i dataskyddsförordningen framgår dock att det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 e. Det krävs således inte en reglering i nationell rätt av den personuppgiftsbehandling som ska ske med stöd av denna grund. Det räcker att uppgiften av allmänt intresse fastställs i den nationella lagstiftningen.

IMY konstaterar att 5 kap. 3 § skollagen innefattar en uppgift av allmänt intresse som fastställts i svensk rätt på det sätt som anges i artikel 6.3 i dataskyddsförordningen och 2 kap. 2 § dataskyddslagen.

För att bestämmelsen ska kunna ligga till grund för den aktuella personuppgiftsbehandlingen krävs att den rättsliga grunden är tillräckligt tydlig och precis samt att dess tillämpning är förutsebar för de registrerade (se skäl 41 till dataskyddsförordningen).

Som IMY redan konstaterat är kamerabevakning som sker i en skola en integritetskänslig personuppgiftsbehandling. Personuppgiftsbehandlingens karaktär ställer därför vissa krav på den rättsliga grundens utformning.

Av förarbetena till den aktuella bestämmelsen i skollagen framgår bland annat följande. Huvudmannen ska säkerställa att det på skolenheten bedrivs ett förebyggande arbete som syftar till att skapa trygghet och studiero. Att eleverna

känner sig trygga har avgörande betydelse för deras lärande och utveckling. Arbetet med trygghet i skolan innefattar såväl att skapa en säker miljö som att förebygga och motverka kränkningar och arbeta främjande med normer och värden. Ett förebyggande arbete innebär bland annat att skolor och huvudmän följer upp elevernas trygghet såväl som studiero. Det innebär även att skolor och huvudmän analyserar vilka hinder som finns för att elever ska vara trygga och ha studiero och aktivt verkar för att dessa hinder undanröjs. Begreppet trygghet ska kopplas samman med begreppet utbildning för att tydliggöra att elever ska vara trygga i alla delar som hör till utbildningen.

IMY konstaterar att kamerabevakning får anses vara ett vanligt förekommande verktyg för att säkerställa trygghet och säkerhet i olika typer av miljöer. Det ligger nära till hands att kamerabevakning kan komma att användas om det är nödvändigt för att säkerställa en trygg och säker skolmiljö i kommunens lokaler.

Mot den bakgrunden bedömer IMY att 5 kap. 3 § skollagen är tillräckligt tydlig och förutsebar för att utgöra grund för kamerabevakning.

För att bestämmelsen ska kunna ligga till grund för den aktuella personuppgiftsbehandlingen krävs vidare, enligt artikel 6.3 i dataskyddsförordningen, att den är proportionell mot det legitima mål som eftersträvas. IMY konstaterar att kravet på proportionalitet i artikel 6.3, enligt ordalydelsen, tar sikte på utformningen av den nationella lagstiftningen som ska ligga till grund för behandlingen, dvs. i det här fallet 5 kap. 3 § skollagen. Det är dock inte möjligt att enbart utifrån denna bestämmelse göra en fullständig bedömning av om kravet på proportionalitet är uppfyllt. Detta förhållande utesluter, enligt IMY:s bedömning, inte att bestämmelsen i skollagen kan utgöra rättslig grund för personuppgiftsbehandlingen. Av EU-domstolens praxis följer att den närmare bedömningen av kravet på proportionalitet kan ske utifrån omständigheterna kring den faktiska personuppgiftsbehandlingen.

Bedömningen av om kravet på proportionalitet enligt artikel 6.3 är uppfyllt sker lämpligen i samband med bedömningen av om behandlingen varit nödvändig i den mening som avses i artikel 6.1 e i dataskyddsförordningen.

3.5.3 IMY:s bedömning av nödvändighet och proportionalitet

För att Utbildningsnämndens personuppgiftsbehandling genom kamerabevakning ska vara tillåten krävs att behandlingen är nödvändig för att utföra den uppgift av allmänt intresse som regleras i skollagen samt att behandlingen är proportionerlig i förhållande till det mål som eftersträvas. Prövningen av nödvändighet och proportionalitet är nära förknippad med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som innebär att personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Utbildningsnämnden har uppgett att ändamålen med kamerabevakningen är att förebygga och följa upp skadegörelse, kränkande behandling, brand, inbrott och annat intrång eller annan åverkan i skollokalerna. IMY konstaterar att nödvändigheten och proportionaliteten behöver bedömas utifrån respektive ändamål. Mot bakgrund av vad som framgår av utredningen i ärendet finner IMY även anledning att särskilja prövningen av ändamålet att förebygga och förhindra anlagda bränder från annan typ av brottslighet. Det finns också anledning att pröva de olika ändamålen med hänsyn till

kamerabevakning som sker under verksamhetstid och efter verksamhetstid. Med verksamhetstid avses här den tid då det bedrivs skolverksamhet i lokalerna och elever och personal befinner sig i skolan.

Innan IMY går in på bedömningen utifrån de olika ändamålen med kamerabevakningen finns det skäl att göra en allmän bedömning av integritetsintressena vid den bevakning som sker under verksamhetstid. Skolan är en arbetsplats för eleverna som, på grund av skolplikten, måste befinna sig där under verksamhetstid. Skolan är också en arbetsplats där de anställda som står i beroendeförhållande till sin arbetsgivare, måste befinna sig under arbetstid. Kamerabevakning som sker på skolor kan ge upphov till särskilda integritetsrisker. Den kan exempelvis möjliggöra kartläggning av personalens arbetsinsatser eller personalens och elevernas vanor i övrigt. En anställd förväntar sig inte heller i de flesta fall att bli övervakad av sin arbetsgivare på sin arbetsplats. Vidare betraktas personuppgifter om barn som särskilt skyddsvärda. Detta innebär att integritetsintresset på skolor som utgångspunkt väger tungt. Att bevakningen sker med bildinspelning ökar integritetsintresset ytterligare.

Av utredningen framgår att kamerabevakningen i Aspuddens skola sker i de flesta av skolans byggnader. Bevakningen sker i korridorer, trapphus och hallar. Bevakningen i korridorer sker där det finns elevskåp, bord och bänkar. Bevakningen sker också utanför toaletter, utanför matsalen där det finns plats för avhängning samt i hallar för av- och påklädning för de yngre eleverna. Upptagningsområdet omfattar även viss undervisningsyta för de yngre eleverna. IMY konstaterar därför att de platser som bevakas är sådana där elever vistas och umgås under en stor del av den tid de tillbringar i skolan. Enligt IMY:s bedömning väger integritetsintresset särskilt tungt på platser där elever kan tänkas befinna sig under en längre tid, så som undervisningsytor och sittplatser i korridorer. Bevakning som sker på sådana platser i skolan under skoltid måste generellt betraktas som ett kännbart intrång i elevernas och de anställdas integritet. Detta medför att det måste finnas ett påtagligt behov av bevakningen. Bevakningens integritetskänsliga natur innebär också att det krävs noggranna överväganden om alternativa eller mindre integritetskänsliga tillvägagångssätt.

Ändamålet förebygga och följa upp inbrott och stöld efter verksamhetstid Utbildningsnämnden har uppgett att den aktuella kamerabevakningen sker dygnet runt vilket innebär att kamerabevakning även sker när det inte pågår någon skolverksamhet i lokalerna. Av utredningen i ärendet framgår att det har skett händelser i form av inbrott och stöld efter verksamhetstid.

När det gäller den kamerabevakning som sker efter verksamhetstid väger integritetsintresset mindre tungt. IMY finner inte skäl att ifrågasätta bevakningens laglighet med hänsyn till den problematik med inbrott och stöld som framgår av utredningen, under förutsättning att kamerabevakningen sker när ingen behörig person befinner sig i lokalerna. I ärendet har det inte utretts närmare i vilken utsträckning bevakningen utanför verksamhetstid kan omfatta personer, t.ex. besökare vid uthyrning eller lokalvårdare, som har rätt att befinna sig i lokalerna och det finns därför inte underlag att bedöma om sådan bevakning haft rättslig grund enligt artikel 6.1 i dataskyddsförordningen. IMY understryker dock vikten av att Utbildningsnämnden i

enlighet med principen om ansvarsskyldighet i artikel 5.2 gör en noggrann bedömning av om det finns rättslig grund för sådan bevakning.

Ändamålet förebygga och följa upp anlagda bränder under verksamhetstid Av utredningen i ärendet framgår att det har skett fem fall av anlagd brand eller försök till brand i skolan under perioden oktober 2018 – maj 2022. Bränderna har skett på toaletter och i ett omklädningsrum. Endast i två fall har bränder inträffat på en plats där det funnits en kamera i närheten. Enligt Utbildningsnämnden har det även förekommit brand i skolan under läsåret 2022/2023. Utbildningsnämnden har uppgett att det som föranledde kamerabevakningen i skolan år 2014 var problem med anlagda bränder som inträffade ibland flera gånger per dag. Vidare har Utbildningsnämnden uppgett att det trots rastvärdars närvaro har anlagts bränder och att kameror utanför toaletter på högstadiet har underlättat skyndsam utredning när brand har uppstått.

IMY konstaterar att anlagda bränder är händelser av allvarlig karaktär som kan utgöra hot mot liv och hälsa och kan dessutom få stora konsekvenser avseende egendom. De anlagda bränderna har till största del inträffat inne på toaletter där någon kamerabevakning inte skett men kamerabevakningen utanför toaletterna uppges ha underlättat utredningen av bränder. Av utredningen i ärendet framgår att händelser med anlagda bränder främst har skett i lokaler där högstadieelever vistas och Utbildningsnämnden har uppgett att kameror utanför toaletter på högstadiet har underlättat skyndsam utredning när brand har uppstått.

Mot bakgrund av allvarligheten och de konsekvenser anlagda bränder i skolan kan orsaka, skolans historik med anlagda bränder, att rastvakters närvaro inte varit tillräcklig och att bränder fortsatt har anlagts anser IMY att den aktuella kamerabevakningen som har skett i lokaler tillhörande högstadiet med ändamål att förebygga och följa upp bränder i och för sig kan anses uppfylla kraven på nödvändighet och proportionalitet. Detta trots att områden strax utanför toaletter till sin karaktär är särskilt integritetskänsliga och att omfattningen av inträffade anlagda bränder varit relativt begränsad.

En förutsättning för att kamerabevakningen för detta ändamål ska anses ha varit nödvändig är dock att kamerornas upptagningsområde varit begränsat till ett område i nära anslutning till toalettutrymmena och inte omfattat mer än vad som varit nödvändigt i förhållande till ändamålet med bevakningen i enlighet med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. IMY konstaterar att utredningen visar att kamerorna som varit aktuella vid utredning av brand varit riktade längs med korridorerna och i stort sett bevakat dessa i sin helhet och inte enbart i anslutning till toalettutrymmen. Utredningen visar bland annat att en av de kameror som har använts för utredning av en brand också bevakat ingången till lokalerna för skolhälsovården, vilket är en särskilt integritetskänslig plats.

Sammantaget finner IMY, mot bakgrund av vad som framkommit i ärendet, att viss del av bevakningen som skett utanför toalettutrymmen i lokaler tillhörande högstadiet har varit nödvändig och proportionerlig för att säkerställa trygghet i skolan. Denna del av bevakningen omfattar ett begränsat område strax utanför dörren eller ingång till toalettutrymmet. För att bevakningen ska uppfylla kraven på nödvändighet och proportionalitet krävs att endast personer som passerar in och ut från toalettutrymmet bevakas. För den begränsade bevakningen utanför toaletter i lokaler tillhörande högstadiet bedömer IMY att Utbildningsnämndens behandling genom kamerabevakning haft rättslig grund enligt artikel 6.1 e i dataskyddsförordningen. Denna bedömning grundar sig på den utredning som presenterats i ärendet.

Bedömningen kan bli en annan om förhållandena förändras varför det finns en skyldighet för Utbildningsnämnden att kontinuerligt och regelbundet ompröva om bevakningen är tillåten.

Kamerabevakningen som skett utöver detta område har däremot varit mer omfattande än nödvändigt varför rättslig grund enligt artikel 6.1 e i dataskyddsförordningen saknats för den delen av bevakningen. Enligt IMY:s bedömning finns det inte heller någon annan rättslig grund i artikel 6.1 e som har kunnat ligga till grund för den kamerabevakningen. Kamerabevakningen har således skett i strid med artikel 6.1 i dataskyddsförordningen.

Då behandlingen har avsett barn som genom sin skolplikt varit tvungna att befinna sig i skolan samt anställda i beroendeförhållande till sin arbetsgivare bedömer IMY att avsaknaden av rättslig grund är en sådan principiell överträdelse att Utbildningsnämndens behandling även har skett i strid med principen om laglighet i artikel 5.1 a i dataskyddsförordningen. IMY bedömer också att behandlingen har skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen eftersom den omfattat fler personuppgifter än vad som varit nödvändigt.

Ändamålet förebygga och följa upp kränkande behandling under verksamhetstid Av utredningen framgår att det förekommit kränkande behandling i skolans korridorer. Det framgår också att kränkande behandling förekommit i alla årskurser (förskoleklass–årskurs 9) och att antalet incidenter inte skiljer sig åt mellan årskurserna i någon större omfattning.

Enligt 6 kap. 3 § skollagen avses med kränkande behandling ett uppträdande som utan att vara diskriminering enligt diskrimineringslagen (2008:567) kränker ett barns eller en elevs värdighet. Enligt förarbetena är det som avses mobbning och liknande beteenden som har sin grund i att någon exempelvis är överviktig, har en viss hårfärg eller är en "plugghäst" etc. Kränkande behandling kan även föreligga utan att den som kränker anger någon specifik egenskap hos det barn eller den elev som utsätts för kränkningar. Att man utan verbala nedsättande omdömen över exempelvis någons hårfärg eller klädsel ger uttryck för sitt missnöje genom att till exempel knuffa eller rycka någon i håret eller sätta krokben för personen i fråga kan också utgöra kränkande behandling i lagens mening. Även psykiska kränkningar genom till exempel utfrysning omfattas av uttrycket kränkande behandling.

Skollagen ställer bland annat krav på att huvudmannen ska se till att det genomförs åtgärder för att förebygga och förhindra att barn och elever utsätts för kränkande behandling samt att huvudmannen skyndsamt ska utreda omständigheterna kring uppgivna kränkningar. Hur utredningen ska gå till väga beror på förhållandena i det enskilda fallet. I vissa situationer kan det vara tillräckligt att genom några frågor få händelsen klarlagd och därigenom utagerad. I sådana fall kan den aktuella verksamheten anses ha fullgjort sin skyldighet att utreda. En sådan enkel utredning kan dock bara anses tillräcklig om det framgår att händelsen varit bagatellartad. I andra mer komplicerade fall av kränkningar kan utredningsskyldigheten bli mer långtgående och omfatta fler barn eller elever samt personal.

IMY konstaterar att begreppet kränkande behandling är vitt och omfattar många olika typer av handlingar samt att svårighetsgraden på den kränkande behandlingen kan

variera. Kränkande behandling kan utgöras av alltifrån fysiska slag och sparkar till verbala nedsättande ord och utfrysning. Av det underlag som Utbildningsnämnden gett in framgår också att de kränkningar som förekommit på Aspuddens skola varit av varierande slag. IMY konstaterar vidare att det finns en lagstadgad skyldighet för huvudmannen att arbeta förebyggande med kränkande behandling för att på så sätt motverka att kränkande behandling av barn och elever sker i skolan. I de fall kränkande behandling ändå sker varierar den utredningsskyldighet som åligger huvudmannen beroende på hur komplicerade fallen är.

Som IMY konstaterat ovan är kamerabevakning i skolan en integritetsingripande personuppgiftsbehandling. IMY anser att kamerabevakning som en generell åtgärd med ändamål att förebygga och följa upp kränkande behandling inte kan anses vara varken proportionerlig i förhållande till ändamålet eller nödvändig för att uppfylla de skyldigheter som åligger huvudmannen enlig skollagen. Utbildningsnämnden har anfört att kamerabevakning kan användas för att enklare utreda kränkningar men har inte beskrivit behovet av kamerabevakning för aktuellt ändamål närmare än så. Utöver detta har det inte framkommit att Utbildningsnämnden har gjort några särskilda överväganden avseende kamerabevakningen mot bakgrund av de fall av kränkande behandling som skett vid Aspuddens skola. IMY bedömer därför att det Utbildningsnämnden anfört och vad som i övrigt framkommit i ärendet inte är tillräckligt för att det ska finnas ett sådant påtagligt intresse av kamerabevakning som krävs för att kunna motivera kamerabevakningen. IMY anser därför att kamerabevakningen som skett med ändamål att förebygga och följa upp kränkande behandling inte kan anses ha varit nödvändig och proportionerlig för att utföra den aktuella uppgiften av allmänt intresse.

Utbildningsnämnden har därför saknat rättslig grund enligt artikel 6.1 e i dataskyddsförordningen för kamerabevakning som skett i detta ändamål. Enligt IMY:s bedömning finns det inte heller någon annan rättslig grund i artikel 6.1 e som har kunnat ligga till grund för kamerabevakningen. Kamerabevakningen har således skett i strid med artikel 6.1 i dataskyddsförordningen.

IMY bedömer att kamerabevakningen även skett i strid med principen om laglighet i artikel 5.1 a i dataskyddsförordningen då behandlingen har avsett barn som genom sin skolplikt varit tvungna att befinna sig i skolan samt anställda i beroendeförhållande till sin arbetsgivare.

Ändamålen förebygga och följa upp skadegörelse, stöld, intrång och annan åverkan i

skolan under verksamhetstid

Den sammanställning av brott och andra händelser som Utbildningsnämnden gett in i ärendet visar att det, under dagtid, har skett drygt 20 händelser under perioden oktober 2018 – maj 2022 på Aspuddens skola som utgörs av skadegörelse, stöld och intrång av obehöriga. Utbildningsnämnden har anfört att besök från obehöriga även förekommit under läsåret 2022/2023. Utbildningsnämnden har även anfört att vissa alternativa åtgärder har vidtagits för att komma till rätta med problematiken på Aspuddens skola, så som ett trygghetsteam som på olika sätt arbetar med frågor gällande trygghet samt närvaro av rastvärdar. Vidare har anförts att skolan har övervägt att låsa entrédörrarna för att förhindra intrång från obehöriga, men att man gjort bedömningen att elevernas behov av att röra sig fritt mellan skolbyggnaderna varit större än att förhindra intrång.

Utbildningsnämnden har vidare anfört att kamerabevakningen infördes år 2014 och att bevakningen utökades med fler kameror under 2017. Enligt Utbildningsnämnden har

kamerabevakningen begränsats till de utrymmen där incidenter av allvarlig karaktär har skett eller sker.

IMY konstaterar att ändamålen att förebygga och följa upp skadegörelse, stöld, intrång och annan åverkan i skolan i sig är berättigade ändamål och kan anses förenliga med uppgiften att säkerställa ett förebyggande arbete som syftar till att skapa en trygg skolmiljö. IMY konstaterar också att det inte är uteslutet att kamerabevakning som sker för dessa ändamål kan anses vara nödvändig beroende bland annat på den problembild som genom dokumentation kan visas i det enskilda fallet samt hur bevakningen i övrigt har arrangerats sett till omfattning, tid och plats.

Som IMY ovan har konstaterat är kamerabevakning i en skola under verksamhetstid en integritetskänslig åtgärd och det krävs därför att det finns ett påtagligt behov för att bevakningen ska kunna motiveras. Detta innebär i sin tur att den personuppgiftsansvarige, i enlighet med principen om ansvarsskyldighet enligt artikel 5.2 i dataskyddsförordningen, behöver göra en noggrann analys och inventering av de problem som kamerabevakningen syftar till att komma till rätta med. En sådan behovsanalys är nödvändig för att kunna bedöma hur ändamålen med kamerabevakningen uppnås på det minst integritetskänsliga tillvägagångssättet och om kamerabevakningen kan vara en nödvändig och proportionerlig åtgärd. I de fall en probleminventering visar att det finns en reell problembild av viss art eller omfattning kan sådana alternativa och mindre integritetsingripande åtgärder till exempel vara att begränsa omfattningen av kamerabevakningen till endast vissa specifika platser eller tider. Även användning av integritetsvänlig teknik, så som maskering och användning av endast lågupplösta bilder, är exempel på sådana åtgärder. Först om ett mindre integritetskänsligt tillvägagångssätt inte visat sig få avsedd effekt anser IMY att det skulle kunna bli aktuellt att överväga en mer ingripande eller mer omfattande behandling.

IMY konstaterar att Utbildningsnämnden har vidtagit vissa alternativa åtgärder för att säkerställa trygghet i skolan. Det har däremot inte framkommit att Utbildningsnämnden, under den tid som omfattas av denna tillsyn, gjort sådana noggranna överväganden om alternativa och mindre integritetskänsliga åtgärder som krävs vid denna typ av integritetskänslig personuppgiftsbehandling. Sådana överväganden skulle till exempel kunnat leda till att behov av kamerabevakning inte ansågs föreligga längre, att andra åtgärder bedömts vara tillräckliga eller i det fall behov av kamerabevakning ändå ansågs föreligga, att kamerorna begränsades till de platser där det faktiskt var nödvändigt att bevaka för att uppnå det aktuella syftet. IMY konstaterar exempelvis utifrån sammanställningen av brott och andra händelser att det under perioden oktober 2018–maj 2022 har inträffat händelser i form av skadegörelse, stöld och intrång i främst två av de sex skolbyggnaderna som bevakas. Några enstaka händelser har skett i en tredje byggnad. I vissa av de bevakade skolbyggnaderna finns således inga rapporterade händelser. Vidare konstaterar IMY att de händelser som har inträffat varit av begränsad omfattning och allvarlighetsgrad. Det Utbildningsnämnden framfört och vad som i övrigt framkommit av utredningen ger inte stöd för att det skulle föreligga en särskilt svår problembild med brott på Aspuddens skola som kan motivera den kamerabevakningen.

IMY konstaterar också att skolan valt att inte använda en mindre integritetskänslig åtgärd med system med låsta dörrar och inpassering för elever trots problem med intrång från obehöriga under verksamhetstid.

Nödvändighetsrekvisitet ska också som nämnts ovan, prövas tillsammans med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. IMY konstaterar mot bakgrund av vad som framkommit i ärendet att kamerabevakningen varit för omfattande och inneburit att fler personuppgifter samlats in än vad som varit nödvändigt i förhållande till de ändamål för vilka de samlats in. Kamerabevakningen som skett i stora delar av skolan har vidare inneburit att en stor mängd uppgifter dagligen samlats in utan att vara relevanta för ändamålen med bevakningen.

IMY bedömer att kamerabevakningen, på det sätt som den har bedrivits under verksamhetstid, har varit mer ingripande och mer omfattande än vad som varit nödvändigt för att utföra den aktuella uppgiften av allmänt intresse. Bevakningen som skett under verksamhetstid med ändamål att förebygga och följa upp skadegörelse, inbrott och annat intrång eller annan åverkan i skollokalerna har därför inte uppfyllt dataskyddsförordningens krav på nödvändighet och proportionalitet. Utbildningsnämnden har därmed saknat rättslig grund för denna bevakning enligt artikel 6.1 e i dataskyddsförordningen. Enligt IMY:s bedömning finns det inte heller någon annan rättslig grund i artikel 6.1 e som har kunnat ligga till grund för kamerabevakningen. Kamerabevakningen har således skett i strid med artikel 6.1 i dataskyddsförordningen.

IMY bedömer att kamerabevakningen även skett i strid med principen om laglighet i artikel 5.1 a i dataskyddsförordningen då behandlingen har avsett barn som genom sin skolplikt varit tvungna att befinna sig i skolan samt anställda i beroendeförhållande till sin arbetsgivare. IMY bedömer också att behandlingen har skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

3.6 Upplysningsplikt och informationsskyldighet

Den som bedriver kamerabevakning har långtgående skyldigheter att informera berörda personer om den pågående bevakningen. I 15 § kamerabevakningslagen finns ett krav på att upplysning om kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Utöver detta ska den som är personuppgiftsansvarig för kamerabevakning lämna information om bevakningen och den personuppgiftsbehandling som bevakningen innebär enligt artiklarna 12 och 13 i dataskyddsförordningen. IMY ska därför bedöma om Utbildningsnämnden har levt upp till kraven i dessa bestämmelser avseende sin kamerabevakning.

3.6.1 Upplysningsplikt enligt kamerabevakningslagen

Kravet på upplysning enligt kamerabevakningslagen innebär att den som bedriver kamerabevakning på en plats måste upplysa om detta. Bestämmelsen avser själva användningen av kamerabevakningsutrustning och inte den behandling av personuppgifter som bevakningen innebär. Bestämmelsen innehåller inga krav i övrigt angående vilken information som ska lämnas. Upplysningsplikten får därmed anses vara uppfylld om den som bedriver bevakningen på ett tydligt sätt lämnar upplysning om att kamerabevakning sker på en viss plats. Denna upplysning ska lämnas genom skyltning eller på något annat verksamt sätt.

Av utredningen i ärendet framgår att skolan, sedan kamerabevakningen påbörjades, har haft skyltar om kamerabevakning direkt innanför entréerna i respektive byggnad

och vid ingång till korridorer där trapphus leder från entréerna till korridorer där bevakning sker. Kamerabevakning har inte skett av område mellan yttre och inre entréer. Sedan oktober 2021 är skyltarna om kamerabevakning placerade på de yttre entrédörrarna så att de är synliga även för personer utanför byggnaden. IMY bedömer att Utbildningsnämnden har lämnat upplysning om bevakningen genom tydlig skyltning och därigenom uppfyllt upplysningskravet i 15 § kamerabevakningslagen. Nästa fråga är om Utbildningsnämnden har levt upp till kraven på information enligt dataskyddsförordningen.

3.6.2 Informationsplikt enligt dataskyddsförordningen

Tillämpliga bestämmelser

I artiklarna 12–14 i dataskyddsförordningen finns bestämmelser om vilken information som den personuppgiftsansvarige ska lämna till den registrerade vid alla former av personuppgiftsbehandling, inklusive vid kamerabevakning.

I artikel 12.1 i dataskyddsförordningen anges bland annat att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Detta gäller särskilt om informationen är riktad till barn. Vidare framgår att informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Av skäl 58 framgår att eftersom barn förtjänar särskilt skydd, bör all information och kommunikation som riktar sig till barn utformas på ett tydligt och enkelt språk som barnet lätt kan förstå.

Artikel 13 i dataskyddsförordningen reglerar vilken information som ska lämnas när personuppgifterna samlas in direkt från den registrerade och artikel 14 reglerar vilken information som ska lämnas när personuppgifterna samlas in från någon annan än den registrerade.

Europeiska dataskyddsstyrelsen (EDPB) har i sina riktlinjer gjort bedömningen att artikel 13, och inte artikel 14 i dataskyddsförordningen, är tillämplig vid personuppgiftsbehandling genom användning av kamerabevakning. EDPB har enligt artikel 70 i dataskyddförordningen till uppgift att se till att dataskyddsförordningen tillämpas enhetligt och ska i detta syfte bland annat besluta om riktlinjer om tolkningen av dataskyddsförordningen. EDPB har således en central roll för att säkerställa harmoniseringen av regelverket som är ett av dataskyddsförordningens två huvudsyften (se artikel 1 och skäl 9 och 10). Vägledningarna från EDPB utgör ett viktig stöd både i tillsynsmyndigheternas verksamhet och i personuppgiftsansvarigas arbete med att uppfylla förordningens krav. Kammarrätten i Stockholm har dock i dom den 26 januari 2023 i mål nr 1552-22 bedömt att det inte är artikel 13 i dataskyddförordningen utan artikel 14 som ska vara tillämplig vid personuppgiftsbehandling genom kamerabevakning. IMY har överklagat domen till Högsta förvaltningsdomstolen (mål nr 870-23) och kammarrättens dom har därmed inte vunnit laga kraft. Med hänsyn till den ställning som EDPB:s riktlinjer har enligt förordningen och i avvaktan på ett lagakraftvunnet avgörande utgår IMY i sin bedömning från EDPB:s riktlinjer och att det är artikel 13 i dataskyddsförordningen som ska tillämpas i ärendet.

Enligt artikel 13.1 i dataskyddsförordningen ska den registrerade informeras om bland annat den personuppgiftsansvariges identitet och kontaktuppgifter, ändamålen med behandlingen för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. Därutöver ska den registrerade, enligt artikel 13.2 i dataskyddsförordningen, bland annat informeras om den period under vilken personuppgifterna kommer att lagras, att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling samt rätten att inge klagomål till en tillsynsmyndighet.

Av artikel 13.4 i dataskyddsförordningen framgår att punkterna 1, 2 och 3 i artikel 13 inte ska tillämpas om och i den mån den registrerade redan förfogar över informationen.

Informationen ska i princip lämnas till den registrerade innan behandlingen av den registrerades personuppgifter påbörjas. Mot bakgrund av att det är fråga om en stor mängd information som ska lämnas till den registrerade har EDPB tagit fram riktlinjer kring hur den personuppgiftsansvarige kan gå tillväga för att leva upp till kraven i artiklarna 12 och 13 i dataskyddsförordningen. Av dessa riktlinjer framgår att den personuppgiftsansvarige kan använda sig av en stegvis metod för att tillhandahålla den information som framgår av artikel 13 i dataskyddsförordningen. Den stegvisa metoden innebär att den information som är av störst vikt för den registrerade ska redovisas redan innan den registrerade kliver in i det bevakade området, till exempel på en skylt (det första informationslagret). Övrig information kan redovisas på annat sätt, till exempel på en webbplats eller i ett komplett informationsblad på en central plats som till exempel vid en informationsdisk eller i en reception (det andra informationslagret). Riktlinjerna från EDPB antogs i slutet av januari 2020.

I riktlinjerna framgår att det kan variera vilken information som är av störst vikt för den registrerade och som därmed ska ingå i det första informationslagret, beroende på hur och på vilken plats bevakningen sker. Generellt sett bör det första informationslagret omfatta den personuppgiftsansvariges identitet och kontaktuppgifter, syftet med bevakningen, den registrerades rättigheter och information om behandlingens främsta inverkan (till exempel lagringstid, publicering av material eller överföring av material till tredje part). Det första informationslagret bör dessutom innehålla all information som kan vara förvånande för den registrerade, till exempel om överföring av material sker till tredje part eller om det är fråga om en lång lagringsperiod av det inspelade materialet. Slutligen ska det första informationslagret innehålla en hänvisning till hur den registrerade kan gå tillväga för att ta del av det andra informationslagret, till exempel genom en länk till en webbplats, en QR-kod eller ett telefonnummer som den registrerade kan ringa.

Artikel 29-gruppen, som numera ersatts av EDPB, har i riktlinjer om öppenhet enligt dataskyddsförordningen uppgett att personuppgiftsansvariga är skyldiga, enligt de särskilda öppenhetsåtgärder som ska vidtas när det gäller barn enligt artikel 12.1 (med stöd av skälen 38 och 58 till dataskyddsförordningen), att säkerställa att all information och kommunikation sker på ett klart och tydligt språk eller via ett medium som är lättbegripligt för barn, om de riktar sig till barn eller är medvetna om att deras varor eller tjänster särskilt används av barn i läs- och skrivkunnig ålder . För att undvika

tvivel ska öppenhetsåtgärderna också få riktas till personer som har föräldraansvar för barn som är mycket små eller inte är läs- och skrivkunniga, eftersom sådana barn i de flesta fall sannolikt inte kommer att kunna förstå ens de enklaste meddelanden om öppenhet som ges i skriftlig eller annan form.

Hur Utbildningsnämnden lämnar information om bevakningen till den registrerade Utbildningsnämnden har i ärendet uppgett att det fram till augusti 2021 suttit skyltar i form av dekaler om kamerabevakning direkt innanför entréerna i respektive byggnad och vid ingång till korridorer där trapphus leder från entréerna till korridorer där bevakning sker. I augusti 2021 sattes nya kameraskyltar upp som bättre skulle uppfylla de krav på information som dataskyddsförordningen uppställer. I oktober 2021 flyttades kameraskyltarna till samtliga yttre entréer till skolan där kamerabevakning sker. Utbildningsnämnden har i ärendet gett in bilder som visar hur de nya skyltarna ser ut. På skyltarna, som utgör det första lagret, informerar Utbildningsnämnden den registrerade om att nämnden bedriver kamerabevakning på platsen, syftet med bevakningen, att bildmaterial utan ljud spelas in och lagringstiden för inspelat material. Vidare finns information om att materialet kan komma att överlämnas till utredande myndighet vid brottsutredning och att den registrerade som bevakad har rätt att få tillgång till sina personuppgifter och begära att få dem raderade. För ytterligare information hänvisas till Stockholms stads webbplats. På skylten finns även kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud.

På Stockholms stads webbplats, som får anses utgöra det andra lagret, har Utbildningsnämnden information om att kamerabevakning som sker i skolan följer av en rättslig förpliktelse, som utgör den lagliga grunden för behandlingen. På webbplatsen finns vidare information om bland annat vem man ska kontakta för det fall man har frågor om kamerabevakningen och att man ska vända sig till skolan eller dataskyddsombudet med synpunkter och klagomål samt möjligheten att lämna klagomål till IMY.

Sedan läsårsstart i augusti 2021 har skolan och huvudmannen nya rutiner för att upplysa om kamerabevakning. De nya rutinerna innebär att rektorn vid läsårsstart kommunicerar användandet och syftet med kamerabevakningen till samtliga elever och vårdnadshavare i ett rektorsbrev. I rektorsbrevet från augusti 2021 angavs att kamerabevakning används på skolan som ett komplement till skolans trygghetsarbete, att kamerabevakningen inte sker i realtid och att händelser i form av brand och intrång av obehöriga i lokalerna har kunnat utredas med hjälp av material från kamerabevakningen.

Vidare har lärarna i uppdrag att inför läsårsstart muntligen informera eleverna om kamerabevakningen. För vårdnadshavare finns även information om skolans kamerabevakning att tillgå på Skolplattformens startsida. Den information som ges på Skolplattformens startsida utgörs av en bild på skylten om kamerabevakning (första lagret). Aspuddens skola har sedan augusti 2021 fortsatt att löpande informera om kamerabevakningen och dess syfte till elever, vårdnadshavare och personal.

Utbildningsnämnden har uppgett att de nya rutinerna tillkommit med anledning av IMY:s granskning av skolans kamerabevakning. Tidigare fanns inga tydliga rutiner för att upplysa om kamerabevakningen som sker i skolan. Användningen av kamerabevakning har inte kommunicerats till vårdnadshavare i rektorsbrev eller via

information på Skolplattformen innan läsårstart i augusti 2021. Lärarna har inte heller getts i uppdrag att informera eleverna om kamerabevakningen före augusti 2021.

IMY:s bedömning

Barns personuppgifter förtjänar särskilt skydd eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. Kamerabevakningen innebär en integritetskänslig personuppgiftsbehandling. Det krävs därför särskilda åtgärder för att informera elever och vårdnadshavare om personuppgiftsbehandlingen. Utöver informationen som Utbildningsnämnden gett de registrerade i form av skyltar (första lagret) och informationen på Stockholms stads webbsida (andra lagret) konstaterar IMY att Aspuddens skola sedan augusti 2021 också vidtar flera insatser för att särskilt informera elever och vårdnadshavare. Mot bakgrund av skolans verksamhet och att merparten av de registrerade är barn, anser IMY att de insatser som vidtagits sedan augusti 2021 utgör ett viktigt komplement till övrig information som ges.

IMY konstaterar att Utbildningsnämnden sedan augusti 2021 lämnar merparten av den information som ska lämnas enligt artikel 13 i dataskyddsförordningen i antingen det första eller andra informationslagret.

I fråga om information om den rättsliga grund som personuppgiftsbehandlingen stödjer sig på (artikel 13.1 c) framgår av det andra informationslagret att kamerabevakning i skolan följer av en rättslig förpliktelse i skollagen som uppställer krav på att skolmiljön präglas av trygghet. Det framgår inte av informationen vilken bestämmelse i skollagen som utgör den rättsliga förpliktelsen. IMY konstaterar att felaktig information om rättslig grund för behandlingen kan få konsekvenser för de registrerade. Exempelvis gäller rätten att göra invändningar mot behandlingen enligt artikel 21 i dataskyddsförordningen bara vid behandling som grundar sig på artikel 6.1 e eller f i dataskyddsförordningen och inte när behandlingen sker med stöd av en rättslig förpliktelse enligt artikel 6.1 c. Den felaktigt angivna rättsliga grunden för behandlingen får således konsekvenser för registrerades möjligheter att invända mot behandlingen. Sammanfattningsvis konstaterar IMY att den felaktigt angivna rättsliga grunden utgör en brist i förhållande till artikel 13.1 c i dataskyddsförordningen.

IMY konstaterar vidare att det i såväl det första som i det andra informationslagret saknas information om de registrerades rätt att begära begränsning av behandling samt information om rätten att invända mot behandling. Det är information som den personuppgiftsansvariga enligt artikel 13.2 i dataskyddsförordningen ska lämna till den registrerade för att säkerställa rättvis och transparent behandling. IMY bedömer mot denna bakgrund att avsaknaden av information om de registrerades rätt att begära begränsning av behandling samt information om rätten att invända mot behandling utgör en brist i förhållande till artikel 13.2 b i dataskyddsförordningen. Sammanfattningsvis bedömer IMY att de brister som konstaterats ovan innebär att Utbildningsnämnden under perioden 25 maj 2018 till 3 oktober 2023 har överträtt artikel 13 i dataskyddsförordningen genom att ge felaktig information om den rättsliga grund som personuppgiftsbehandlingen stödjer sig på samt att det saknats information om de registrerades rätt att begära begränsning av behandling och invända mot behandling.

3.7 Val av ingripande

3.7.1 Tillämpliga bestämmelser

IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av artikel 58.2 a–j i dataskyddsförordningen.

IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2 i dataskyddsförordningen, beroende på omständigheterna i varje enskilt fall.

Enligt artikel 83.7 i dataskyddsförordningen får det i nationell rätt föreskrivas att myndigheter kan påföras administrativa sanktionsavgifter. Enligt 6 kap. 2 § dataskyddslagen kan sanktionsavgifter tas ut av myndigheter. Då ska artikel 83.1, 83.2 och 83.3 i dataskyddsförordningen tillämpas. Sanktionsavgiften ska bestämmas till högst 5 000 000 kronor vid överträdelser som avses i artikel 83.4 i dataskyddsförordningen och till högst 10 000 000 kronor vid överträdelser som avses i artikel 83.5 och 83.6 i dataskyddsförordningen.

Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet överträder flera av bestämmelserna i dataskyddsförordningen får den administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. Det framgår av artikel 83.3 i dataskyddsförordningen.

Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas vid bedömningen av om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek.

Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

3.7.2 Ska sanktionsavgift påföras?

IMY har vid den granskning som myndigheten gjort av Utbildningsnämndens kamerabevakning vid Aspuddens skola funnit att Utbildningsnämnden saknat rättslig grund för personuppgiftsbehandling genom kamerabevakning som skett under verksamhetstid, med undantag för kamerabevakning med ändamålet att förebygga och följa upp anlagda bränder, som skett utanför dörren eller ingång till toalettutrymmen i lokaler tillhörande högstadiet och som inneburit att endast personer som passerar in och ut bevakas. Utbildningsnämnden har i och med det överträtt artiklarna 6.1 och 5.1 a och c i dataskyddsförordningen. IMY bedömer att överträdelserna avser en och samma uppgiftsbehandling.

Överträdelserna har av de skäl som utvecklas nedan utgjort ingripande intrång i elevers och anställdas integritet och inneburit risker för de berördas rätt att utöva sina rättigheter. IMY:s bedömning är därför att det inte är fråga om mindre överträdelser i den mening som avses i skäl 148 till dataskyddsförordningen. Överträdelserna ska därför leda till en administrativ sanktionsavgift.

Utbildningsnämnden har vidare överträtt artikel 13 i dataskyddsförordningen genom att ge felaktig information om den rättsliga grund som personuppgiftsbehandlingen stödjer sig på samt genom att inte ge information om de registrerades rättigheter att begära begränsning av behandling och att invända mot behandlingen. IMY konstaterar att denna överträdelse till stor del utgör en konsekvens av Utbildningsnämndens felaktiga bedömning av den rättsliga grunden för behandlingen. Det finns därför inte skäl att utfärda en sanktionsavgift för denna överträdelse. Enligt IMY är ett föreläggande att vidta rättelse en tillräcklig åtgärd i förhållande till bristerna enligt artikel 13 (se vidare nedan).

3.7.3 Bestämmande av sanktionsavgiften

Överträdelser av artiklarna 5 och 6 omfattas av artikel 83.5 i dataskyddsförordningen. Det maximala beloppet för sanktionsavgiften är därför, enligt 6 kap. 2 § andra stycket dataskyddslagen, 10 000 000 kr.

När det gäller bedömningen av överträdelsernas allvarlighetsgrad finns det till en början faktorer som medför att det finns skäl att se allvarligare på överträdelserna. Personuppgiftsbehandlingen har avsett kamerabevakning av barn och anställda vid skolan i deras vardagliga miljö där de spenderar en stor del av sin vardag. Personuppgiftsbehandlingen har omfattat barns personuppgifter, vilka är särskilt skyddsvärda. Bevakningen har skett på en arbetsplats där de anställda är i beroendeförhållande till sin arbetsgivare. Såväl barnen som de anställda har varit skyldiga att befinna sig på platsen och har således inte haft någon möjlighet att undgå bevakningen. Kamerabevakning som sker på skolor ger upphov till särskilda integritetsrisker. Den kan exempelvis möjliggöra kartläggning av personalens arbetsinsatser eller personalens och elevernas vanor i övrigt. En anställd förväntar sig inte heller i de flesta fall att bli övervakad av sin arbetsgivare på sin arbetsplats. Kamerabevakningen har skett kontinuerligt med bildinspelning utan laglig grund i omfattande delar av skolan, inklusive ytor där elever kan sitta ned för att studera och utanför skolhälsan. Kamerabevakningen har pågått under en lång tid. Överträdelserna har därmed påverkat ett relativt stort antal registrerade, majoriteten av dem barn, under en längre tid och sammantaget avsett ett stort antal personuppgifter.

IMY konstaterar samtidigt att det finns faktorer som talar i motsatt riktning. Utbildningsnämnden har vidtagit åtgärderna som ett led i att utföra den lagstadgade uppgiften av allmänt intresse, att skapa trygghet och studiero i skolan. Kamerabevakningen har haft till syfte att säkerställa en trygg skolmiljö för de elever som omfattas av den. Bevakningen har vidare skett på platser dit allmänheten inte har tillträde vilket innebär att en avgränsad krets av personer har drabbats.

IMY bedömer att det saknas ytterligare försvårande eller förmildrande omständigheter som påverkar sanktionsavgiftens storlek.

Vid en samlad bedömning av nämnda omständigheter och mot bakgrund av att den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande i det nu aktuella fallet bestämmer IMY den administrativa sanktionsavgiften för Utbildningsnämnden till 800 000 kr.

3.7.4 Föreläggande

Eftersom bevakningen, såvitt framgår av utredningen, fortfarande är pågående är det angeläget att Utbildningsnämnden upphör med den bevakning som inte är tillåten. Det finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga Utbildningsnämnden att under verksamhetstid upphöra med kamerabevakning på

Aspuddens skola med undantag för den kamerabevakning som sker, med ändamålet att förebygga och följa upp anlagda bränder, utanför dörren eller ingång till toalettutrymmen i lokaler tillhörande högstadiet och som innebär att endast personer som passerar in och ut bevakas.

Det är enligt IMY också angeläget att Utbildningsnämnden vidtar åtgärder för att säkerställa att de registrerade får korrekt och fullständig information avseende den personuppgiftsbehandling genom kamerabevakning som sker vid Aspuddens skola. Det finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga Utbildningsnämnden att vidta åtgärder för att säkerställa att det i det andra informationslagret på Stockholms stads webbplats finns uppgift om korrekt rättslig grund för behandlingen samt information om de rättigheter som avses i artikel 13.2 b i dataskyddsförordningen.

Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.

______________________________

Detta beslut har fattats av vikarierande generaldirektören Karin Lönnheden efter föredragning av juristerna Sarah Bodlander och Måns Lysén. Vid den slutliga handläggningen har även rättschefen David Törngren och enhetschefen Jenny Bård medverkat.

Karin Lönnheden, 2023-10-03 (Det här är en elektronisk signatur)

Bilaga

Information om betalning av sanktionsavgift

Kopia till

Dataskyddsombud, Utbildningsnämnden Stockholms Stad

4. Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.