H&M Hennes & Mauritz

Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC även har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte uppfylla kravet på information till de registrerade avseende kamerabevakning som utförs i fastigheten, då det saknas information om kontaktuppgifter till dataskyddsombud på befintliga skyltar vid personalentréer samt på stängsel.

➢ Integritetsskyddsmyndigheten beslutar med stöd av artikel 58.2 d i dataskyddsförordningen att förelägga H&M Hennes & Mauritz GBC AB att, senast fyra veckor efter att detta beslut fått laga kraft, vidta åtgärder för att säkerställa att det på kamerabevakningsskyltar vid personalentréer och stängsel finns information om kontaktuppgifter till dataskyddsombud.

Redogörelse för tillsynsärendet

Bakgrund

Integritetsskyddsmyndigheten (IMY) mottog ett anonymt tips samt ett klagomål i november respektive december 2020, som gjorde gällande att H&M Hennes & Mauritz GBC AB (H&M eller bolaget) bedrev otillåten kamerabevakning i bolagets verksamhetslokaler på Hultagatan 47 i Borås.

Av klagomålet och tipset framgick i huvudsak följande. H&M har satt upp kameror i flera områden på arbetsplatsen utan att först informera personalen om att kamerabevakning pågår och för vilket syfte. Det har även förekommit att personal har utsatts för dold kamerabevakning med ljud- och bildinspelning i ett rum. Personalen har haft tillåtelse att uppehålla sig i det aktuella rummet med anledning av den höga ljudvolymen i produktionslokalen. Bevakningsmaterial från tillfällen då personal befunnit sig i det aktuella rummet har visats på möte med chefer och personal från HR-avdelningen.

IMY har inlett tillsyn mot bakgrund av uppgifterna i klagomålet och tipset.

Vad som framkommit i ärendet

Av H&M:s uppgifter och utredningen i ärendet har bl.a. framkommit följande. H&M bedriver kamerabevakning i sina lokaler på Hultagatan 47 i Borås. I lokalerna har H&M lager- och distributionsverksamhet för sin onlinehandel på den nordiska marknaden. Det pågår verksamhet dygnet runt. Kamerabevakningen i lokalerna kan delas in i tre delar; den som sker med 1) yttre säkerhetskameror, 2) inre säkerhetskameror samt 3) processkameror. Utöver den ordinarie kamerabevakningen har, under sammanlagt fem nätter (den 28 oktober 2020, den 29 oktober 2020, den 3 november 2020, den 4 november 2020 och den 6 november 2020), en gruppledares arbetsplats i ett arbetsrum kamerabevakats.

Gällande bevakningen med de yttre säkerhetskamerorna har Länsstyrelsen i Västra Götalands län beviljat H&M tillstånd till kameraövervakning av det inhägnade området runt de aktuella verksamhetslokalerna (bl.a. lastområden och parkeringsplatser). Bolagets bevakning med yttre säkerhetskameror sker fortfarande i enlighet med de villkor som föreskrivits av Länsstyrelsen. H&M följer regelbundet upp behovet av

kamerabevakning och utvärderar bevakningens effektivitet i förhållande till andra säkerhetsåtgärder.

Bevakningen med de inre säkerhetskamerorna omfattar accessvägar inne i fastigheten, dvs. områden där material förs in och ut ur byggnaden. Personer som behörigen vistas i aktuella områden är anställda, inhyrd personal samt besökare. Processkamerorna bevakar den maskinella utrustningen och är en central del i att säkerställa att arbetet fortlöper. Kamerabevakning med processkameror inleddes i slutet av år 2019.

Bakgrunden till den tillfälliga bevakningen av ett arbetsrum var att efterfrågan på H&M:s onlinehandel gick upp under covid-19-pandemin, vilket ledde till en omfattande rekrytering och att flertalet problem uppstod på arbetsplatsen. Stölderna ökade och medarbetare uppgav för sina chefer att ett fåtal individer inte utförde sina arbetsuppgifter under nattskiften och försökte bereda sig tillgång till gruppledarens dator. Maskiner och robotar rapporterades felaktigt som servade. Vid den aktuella tiden fanns det således konkreta misstankar om allvarliga missförhållanden på arbetsplatsen som innebar stora risker, både för arbetsmiljön och för att affärsrelaterad information skulle komma obehöriga tillhanda.

Den tillfälliga kamerabevakningen utfördes med en iPad respektive en laptop som stod på gruppledarens skrivbord. Bevakningen aktiverades genom en sensor när någon satte sig på gruppledarens arbetsplats under nattetid. Sammanlagt kom bevakningen att omfatta tre personer. Bevakningsmaterialet visades för två av de personer som omfattades av bevakningen, för den lokala gruppledaren, gruppledarens chef samt en person på HR-avdelningen. Det inspelade materialet har raderats.

Vad H&M i övrigt har uppgett avseende kamerabevakningen redogörs för i anslutning till bedömningen av om det finns rättslig grund, respektive om kravet på upplysning samt informationsskyldigheten har uppfyllts nedan.

Omfattningen av IMY:s granskning

IMY har inom ramen för tillsynen granskat om det finns rättslig grund enligt artikel 6.1 i dataskyddsförordningen för den personuppgiftsbehandling som kamerabevakningen i verksamhetslokalerna innebär, och har inneburit. Tillsynen har även avsett frågan om H&M uppfyller kravet på upplysning enligt 15 § KBL samt skyldigheten att lämna information enligt artiklarna 12.1 och 13 i dataskyddsförordningen. IMY:s granskning omfattar inte om kamerabevakningen sker i enlighet med övriga gällande bestämmelser i KBL eller dataskyddsförordningen. Granskningen har även avgränsats till att enbart avse den kamerabevakning som bedrivs med inre säkerhetskameror och processkameror, samt till den tillfälliga bevakning som utförts i ett arbetsrum.

Motivering av beslutet

Tillämplig lagstiftning för H&M:s kamerabevakning

Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och kamerabevakningslagen.

Dataskyddsförordningen

Dataskyddsförordningen ska enligt artikel 2.1 bl.a. tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 i dataskyddsförordningen avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring, läsning och radering.

Om en bevakningskamera filmar en identifierbar person, eller någon annan personuppgift, sker en behandling av personuppgifter och reglerna i dataskyddsförordningen måste följas. IMY konstaterar att den kamerabevakning som omfattas av tillsynen innebär att personer som träffas av den kommer att kunna identifieras. Detta innebär att dataskyddsförordningens bestämmelser gäller.

Kamerabevakningslagen

KBL är en kompletterande lag i förhållande till dataskyddsförordningen. I 4 § KBL anges att lagen gäller om kamerabevakning enligt 3 § KBL sker med utrustning som finns i Sverige. Av 3 § 1 KBL framgår att med kamerabevakning avses en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning som, utan att manövreras på platsen, används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

IMY konstaterar att den bevakning som H&M bedriver i verksamhetslokalerna i Borås sker med utrustning som finns i Sverige och utgör kamerabevakning enligt 3 § 1 KBL. Detta innebär att bestämmelserna i KBL gäller. KBL innehåller bestämmelser om bl.a. krav på tillstånd och upplysning. Den kamerabevakning som granskningen avser är inte tillståndspliktig enligt 7 § KBL, men omfattas av bestämmelsen om upplysningsplikt i 15 § KBL.

Personuppgiftsansvar

Tillämpliga bestämmelser m.m.

I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

Avgörande för frågan om vem som är personuppgiftsansvarig är vem eller vilka som har bestämt varför och hur behandlingen sker, samt utövar ett inflytande över vilka personuppgifter som samlas in och behandlas, hur länge de lagras och vem som har åtkomst. Bedömningen av vem eller vilka som är personuppgiftsansvarig för viss behandling ska alltid utgå från de faktiska omständigheterna i det specifika fallet. Befintliga traditionella roller som normalt innebär ett visst ansvar kan hjälpa till att identifiera den personuppgiftsansvarige, till exempel en arbetsgivare i samband med behandling av personuppgifter om sina anställda. Bedömningen ska göras utifrån en tillräckligt bred tolkning, som gynnar ett fullständigt skydd av de registrerade

personerna. De personuppgiftsansvariga bör åläggas ansvaret för all behandling av personuppgifter som de utför, eller som utförs på deras vägnar.

Av Europeiska dataskyddsstyrelsens (EDPB) riktlinjer, som är vägledande för hur dataskyddsförordningens bestämmelser ska tolkas, framgår att i princip all behandling av personuppgifter av anställda som sker inom ramen för en organisations verksamhet betraktas som att den sker under den organisationens kontroll. I undantagsfall kan det hända att en anställd beslutar att behandla personuppgifter för sina egna ändamål och därigenom olagligt överskrider de befogenheter som han eller hon fick. Det är organisationens skyldighet som personuppgiftsansvarig att se till att det finns tillräckliga tekniska och organisatoriska åtgärder, inklusive t.ex. utbildning och information för anställda för att säkerställa att dataskyddsförordningen följs.

Av den juridiska doktrinen framgår att den som är anställd och inom ramen för arbetsgivarens verksamhet behandlar personuppgifter normalt sett inte bör anses som personuppgiftsansvarig. Arbetsgivaren är då den personuppgiftsansvarige och den anställde en medhjälpare. Inte ens anställda som inom ramen för anställningen av misstag eller till och med av grov oaktsamhet behandlar personuppgifter i strid med vad den personuppgiftsansvarige har bestämt bör som regel kunna betraktas som personuppgiftsansvariga. Anställda bör dock kunna anses som personuppgiftsansvariga för den klart icke-anställningsrelaterade behandling av personuppgifter som de – med eller utan arbetsgivarens tillåtelse – utför med hjälp av arbetsgivarens utrustning.

H&M:s uppgifter

H&M har uppgett att bolaget - H&M Hennes & Mauritz GBC AB - är personuppgiftsansvarig för den behandling av personuppgifter som sker genom kamerabevakningen med de inre säkerhetskamerorna samt processkamerorna.

Vad gäller den tillfälliga bevakningen i arbetsrummet har H&M uppgett bl.a. följande.

Av artikel 29 i dataskyddsförordningen följer att personer som utför arbete under den personuppgiftsansvariges överinseende, och som får tillgång till personuppgifter, endast får behandla dessa på instruktion från den personuppgiftsansvariga, såvida det inte föreligger en skyldighet att göra det enligt lag. Detta innebär ett förbud bl.a. för så kallade medhjälpare (t.ex. anställda hos den personuppgiftsansvarige) att behandla personuppgifter utan instruktion från den personuppgiftsansvarige. Det framgår av den juridiska litteraturen (Öman, Dataskyddsförordningen GDPR m.m. s. 401 f) att anställda kan anses som personuppgiftsansvariga för behandling av personuppgifter som sker i strid med den personuppgiftsansvariges instruktioner.

Den tillfälliga kamerabevakningen i ett arbetsrum utfördes av en anställd med en ledande befattning. Detta är en enskild händelse som utgör ett avsteg från H&M:s instruktioner och policyer för hur kamerabevakning ska bedrivas. H&M har varken initierat, påkallat, instruerat eller på något sätt efterfrågat de åtgärder som vidtagits av den anställde. Kamerabevakningen har inte skett inom ramen för den anställdes arbetsuppgifter eller tjänsteåligganden. H&M har, i enlighet med artikel 32.4 i dataskyddsförordningen, vidtagit regelbundna utbildningar i H&M:s policyer för dataskydd för att säkerställa att medarbetare endast behandlar personuppgifter på

instruktion. Så snart kamerabevakningen kom till ansvarig funktions kännedom har åtgärder vidtagits för att omedelbart avbryta den. Efter händelsen har en särskild uppföljning skett och ytterligare utbildning har tillhandahållits den person som bedrev bevakningen.

IMY:s bedömning

IMY anser att vad H&M uppgett om att bolaget är personuppgiftsansvarig för kamerabevakningen med de inre säkerhetskamerorna samt processkamerorna har stöd i utredningen. IMY bedömer att H&M är personuppgiftsansvarig för den bevakningen.

När det gäller den tillfälliga kamerabevakningen i arbetsrummet konstaterar IMY att denna inte har utförts med arbetsgivarens ordinarie bevakningssystem eller av en person vars tjänsteåligganden omfattat kamerabevakning. Den anställde har utfört bevakningen på eget bevåg för att, såvitt framkommit, få en misstanke om ett visst beteende bekräftat. IMY konstaterar att det utifrån underlaget i ärendet är tydligt att bevakningen föranletts av de verksamhetsrelaterade problemen på arbetsplatsen. IMY anser därigenom att bevakningen huvudsakligen varit anställningsrelaterad. Den anställde har dessutom använt arbetsgivarens utrustning (iPad och laptop) för att bedriva bevakningen. Vidare har bevakningsmaterialet använts för verksamhetsändamål genom att det delats med andra funktioner och företrädare för H&M samt utgjort underlag vid arbetsrättsliga samtal som lett till arbetsrättsliga åtgärder. IMY anser att personuppgiftsbehandlingen får anses ha skett inom ramen för den aktuella verksamheten och under arbetsgivaren H&M:s kontroll. IMY bedömer sammanfattningsvis mot bakgrund av de faktiska omständigheterna, samt vad som framgår av EDPB:s riktlinjer om behandling av personuppgifter av anställda som sker inom ramen för en organisations verksamhet , att H&M är personuppgiftsansvarig för den tillfälliga kamerabevakningen i arbetsrummet.

Har H&M haft rättslig grund för sin kamerabevakning enligt dataskyddsförordningen?

H&M har uppgett att kamerabevakningen har stöd i artikel 6.1 f i dataskyddsförordningen, dvs. den rättsliga grunden intresseavvägning. Detta gäller även den tillfälliga bevakningen i arbetsrummet, för det fall IMY skulle bedöma att H&M är personuppgiftsansvarig för denna. Den bevakningen har då haft som syfte att förebygga och utreda oegentligheter samt arbetsplatsolyckor.

IMY konstaterar att H&M:s kamerabevakning har utförts och utförs på olika sätt, på olika platser och med olika syften, vilket har betydelse för bedömningen av om det finns rättslig grund för bevakningen enligt artikel 6.1 f i dataskyddsförordningen. Prövningen görs mot den bakgrunden uppdelat på respektive bevakning.

Tillämpliga bestämmelser m.m.

För att personuppgiftsbehandling ska vara laglig krävs att behandlingen har stöd i minst en av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen.

För att personuppgiftsbehandling genom kamerabevakning ska kunna ske med stöd av artikel 6.1 f i dataskyddsförordningen måste tre förutsättningar vara uppfyllda; den personuppgiftsansvariga måste kunna visa 1) att det intresse som bevakningen avser att skydda utgör ett berättigat intresse, 2) att den aktuella bevakningen är nödvändig

för att uppnå det intresset, samt 3) att det berättigade intresset vid en avvägning väger tyngre än de registrerades grundläggande fri- och rättigheter (integritetsintresset).

Ett berättigat intresse är ett intresse som, i allmänhet, åtnjuter rättsordningens skydd eller i övrigt anses som legitimt, etiskt eller försvarbart. Ett intresse som skyddas av EU-rätten eller relevant nationell rätt måste exempelvis betraktas som berättigat. Att skydda egendom, hälsa och liv kan anses utgöra ett berättigat intresse för kamerabevakning. Det ska dock vara fråga om ett faktiskt intresse vid tidpunkten för personuppgiftsbehandlingen och inte ett intresse som är hypotetiskt vid den tidpunkten. EDPB har i riktlinjer uttalat att mot bakgrund av principen om ansvarsskyldighet gör den personuppgiftsansvarige klokt i att dokumentera relevanta incidenter och därmed sammanhängande brottsrubriceringar. Dokumenterade incidenter kan utgöra ett bevis för att det föreligger ett berättigat intresse.

Kamerabevakningen ska även vara nödvändig för att skydda det berättigade intresset. Det innebär att det berättigade intresset inte rimligen ska kunna skyddas på ett lika effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i EU:s stadga om de grundläggande rättigheterna (2012/C 326/02). Samtidigt följer av praxis att nödvändighetskriteriet kan anses uppfyllt om behandlingen bidrar till effektivisering.15

Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen, vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Vid bedömningen av nödvändigheten av ett kamerabevakningssystem ska det beaktas om kameror har använts på ett sätt som begränsar det intrång i den personliga integriteten som bevakningen innebär utan att för den sakens skull äventyra bevakningens effektivitet. Innan ett kamerasystem används måste den personuppgiftsansvarige bedöma var och när kamerabevakning är absolut nödvändigt. En kameras upptagningsområde kan exempelvis behöva maskeras om bevakning av vissa delar av ett upptagningsområde inte är nödvändig, eller begränsas till vissa tider.

För att den kamerabevakning som bedömts nödvändig ska vara tillåten måste även intresset av bevakningen väga tyngre än de registrerades intressen. Avvägningen görs mot bakgrund av omständigheterna i det enskilda fallet. Den personuppgiftsansvarige måste utvärdera riskerna för intrång i den registrerades rättigheter. Det avgörande är intrångets intensitet för den registrerades rättigheter och friheter, vilket bl.a. kan definieras utifrån vilken typ av information som samlas in, omfattningen, antalet berörda registrerade, situationen i fråga och den registrerades faktiska intressen. Vidare ska hänsyn tas till vilken typ av personuppgiftsbehandling det är fråga om och

hur denna konkret går till, varvid det särskilt ska beaktas hur många personer som har tillgång till personuppgifterna och formerna för åtkomst till dessa.

Bevakningen med inre säkerhetskameror

H&M:s uppgifter

Bevakningen med de inre säkerhetskamerorna sker med bildinspelning dygnet runt. Någon realtidsbevakning utförs inte med dessa kameror. Kamerorna används inte för att kontrollera eller utvärdera arbetstagares prestationer eller liknande. Syftet med bevakningen med de inre säkerhetskamerorna är att förebygga, förhindra och utreda brott samt arbetsplatsolyckor. Det är fråga om ett industriområde med både vanlig fordonstrafik och tung lastbilstrafik. Kamerorna behövs för att upptäcka och avhjälpa sådana förhållanden som kan leda till arbetsplatsolyckor.

Vad gäller bevakning i syfte att komma till rätta med brott utgör kamerorna ett komplement till övriga åtgärder som vidtagits, exempelvis att inhägna fastigheten, begränsa tillträde genom lås och larm samt ha stationära och ronderande vakter på plats. Samtliga kamerabevakade områden är utsatta för upprepad brottslighet i form av exempelvis skadegörelse, stölder av bolagets egendom samt enskild egendom, och obehörigt intrång. Kamerabevakning vid accessvägar används för att förhindra att obehöriga tar sig in lagerlokalen och att varor olovligen förs ut. De varor som hanteras i lokalerna är stöldbegärliga och lätta att gömma undan för att senare omsätta. Om accessvägarna inte skulle vara kamerabevakade skulle detta utnyttjas av obehöriga. Fastigheten är belägen i ett område som av Polismyndigheten klassas som särskilt utsatt. Länsstyrelsen beviljade år 2016 tillstånd till bevakning runt fastigheten med anledning av att området var utsatt för upprepad brottslighet.

Av ingiven incidentrapportering för perioden 23 mars 2018 – 30 november 2021 framgår att 57 incidenter inträffat på området. Rapporteringen inkluderar bl.a. bränder och utlösta brandlarm, stölder, inbrott samt skadegörelse. Någon incidentrapportering för senare tidsperiod har inte inhämtats av IMY.

IMY:s bedömning

IMY bedömer mot bakgrund av det som framkommit av utredningen att H&M har ett faktiskt berättigat intresse av att förebygga, förhindra och utreda brott. Vad gäller intresset av att förebygga, förhindra och utreda arbetsplatsolyckor kan detta också anses berättigat. H&M har redogjort för att trafiken och den maskinella utrustningen vid exempelvis lastutrymmen och lastbryggor innebär att olycksrisken är förhöjd. Med beaktande av det som framgår av underlaget om verksamheten och platsen bedömer IMY att även detta intresse är berättigat.

Frågan är därefter om den kamerabevakning som bedrivs är nödvändig för att uppnå det berättigade intresset. IMY konstaterar att de inre säkerhetskamerorna finns vid accessvägar som bedöms utgöra särskilda riskområden. Bevakningen används bl.a. för att utreda och förebygga att obehöriga tar sig in och att varor olovligen förs ut. H&M har uppgett att de alternativa åtgärder som vidtagits inte har varit tillräckliga, bl.a. med anledning av att brott begåtts av personer som varit behöriga att vistas i lokalerna. IMY bedömer att utredningen i ärendet ger stöd för att den aktuella kamerabevakningen är begränsad till områden som är relevanta för att förebygga, avslöja och utreda brott, samt att det berättigade intresset inte rimligen kan skyddas på ett lika effektivt sätt genom alternativa åtgärder. IMY bedömer således att kamerabevakningen är

nödvändig för detta syfte. IMY bedömer även att kamerabevakningen sker i områden som är relevanta för syftet att förhindra och utreda arbetsplatsolyckor. IMY noterar att det inte har framkommit att bevakningen i reception och kapprum sker i områden som är relevanta för syftet att förhindra och utreda arbetsplatsolyckor och att H&M inte heller har gjort gällande detta. IMY bedömer att kamerabevakningen i övriga aktuella områden är nödvändig för att komma till rätta med förhållanden som kan leda till arbetsplatsolyckor.

IMY ska därefter bedöma om intresset av att förebygga, förhindra och utreda brott väger tyngre än integritetsintresset på aktuella platser. Vid bedömningen av enskildas intresse av att inte bli bevakade på aktuella platser konstaterar IMY inledningsvis att det är fråga om en arbetsplats. Detta medför att särskilda integritetsaspekter måste beaktas då kamerabevakning kan möjliggöra kartläggning av anställdas arbetsinsatser och vanor i övrigt. En anställd ska som regel inte behöva förvänta sig att bli övervakad av sin arbetsgivare. Integritetsintresset väger därför som utgångspunkt tungt. Det som minskar integritetsintresset är att bevakningen är begränsad till ett antal särskilt utvalda områden, som i förhållande till anläggningens totala storlek innebär att det endast är en begränsad del av arbetsplatsen som omfattas av bevakningen. Det har även framkommit att bevakningen inte omfattar de fasta arbetsplatserna och inte heller sker i områden där enskilda har anledning att uppehålla sig under längre stunder. IMY noterar även att bevakningsområdena inte ligger i anslutning till varandra, vilket potentiellt skulle möjliggöra mer precis kartläggning av anställdas rörelsemönster och vanor. Av utredningen framgår även att tillgången till bevakningsmaterialet är begränsad till en särskild befattningshavare och att materialet endast är tillgängligt på plats. Mot bakgrund av vad som framkommit i ärendet bedömer IMY att integritetsintresset väger relativt tungt på aktuella platser.

IMY konstaterar att utredningen ger stöd för att det har förekommit viss brottslighet på anläggningen och finner inte skäl att ifrågasätta uppgiften om att de varor som hanteras är stöldbegärliga och att det finns en risk att varorna förs ut för att säljas vidare. IMY bedömer mot bakgrund av utredningen att intresset av att kamerabevaka aktuella platser med inre säkerhetskameror i syfte att förebygga, förhindra och utreda brott sammantaget väger relativt tungt. Även för syftet att förebygga och utreda arbetsplatsolyckor vid accessvägar där varutransporter sker bedömer IMY att bevakningsintresset väger relativt tungt.

Vid en sammantagen intresseavvägning finner IMY att H&M:s intresse av att bedriva kamerabevakning med de inre säkerhetskamerorna för aktuella syften väger något tyngre än integritetsintresset på de platser som bevakas. I bedömningen har särskilt beaktats att bevakningsområdena är förhållandevis begränsade och inte heller träffar fasta arbetsplatser. IMY bedömer att H&M:s kamerabevakning med inre säkerhetskameror har rättslig grund enligt artikel 6.1 f i dataskyddsförordningen.

Bevakningen med processkameror

H&M:s uppgifter

Syftet med bevakningen med processkamerorna är att förhindra drifts- och produktionsbortfall samt att förebygga och avhjälpa arbetsplatsolyckor. Driftstopp kan innebära en risk både för personer i produktionen och för personer som ska avhjälpa felet. Bevakningen sker i realtid dygnet runt. Det finns ett underhållsteam och ett wave planner team som kan se bevakningen på monitorer på dedikerade och behörighetsbegränsade platser. Bevakningen används för att kontrollera den

maskinella utrustningens funktionalitet, avhjälpa fel samt säkerställa att systemet inte överbelastas. Vid avvikelser i processer eller vid driftstopp måste felavhjälpande åtgärder sättas in omgående. Upptagningsområden har försetts med digital maskering så att personalen inte ska bli bevakad vid arbetsplatser.

IMY:s bedömning

IMY anser utifrån de uppgifter som lämnats att H&M har ett berättigat intresse av att förhindra drifts- och produktionsbortfall, samt vid behov avhjälpa arbetsplatsolyckor. Frågan är därefter om den kamerabevakning som H&M utför är nödvändig för dessa intressen. IMY noterar att processkamerorna enligt uppgift är riktade mot den maskinella utrustningen och att maskering av kamerornas upptagningsområden sker för att begränsa bevakningen ytterligare. IMY anser att bevakningen är begränsad till områden som är relevanta för syftet och att utredningen i ärendet ger stöd för att syftet med bevakningen inte rimligen kan skyddas på ett lika effektivt sätt genom alternativa åtgärder. Vidare sker bevakningen enbart i realtid, och inte med bildinspelning. IMY bedömer mot denna bakgrund att den kamerabevakning som utförs med processkamerorna är nödvändig för aktuella syften.

IMY prövar sedan om intresset av att bedriva bevakningen väger tyngre än de registrerades intresse av att inte bli bevakade på aktuella platser. Som redan konstaterats innebär kamerabevakning på arbetsplatser i regel särskilda risker för enskildas integritet, och integritetsintresset väger som utgångspunkt tungt. Av utredningen framgår dock att processkamerorna endast är riktade mot den maskinella utrustningen och att de inte filmar några fasta arbetsplatser. H&M använder digital maskering för att ytterligare begränsa upptagningsområdet och undvika att personal som arbetar i produktionen filmas. Enligt H&M ska enskilda arbetstagare normalt sett inte uppehålla sig inom upptagningsområdena, men vid enstaka tillfällen kan personalen ändå komma med i bild, t.ex. när fel på utrusningen ska avhjälpas. Tillgången till realtidsbevakningen är vidare begränsad till två team och bevakningen är endast tillgänglig på monitorer på respektive teams dedikerade kontor. Rummen är låsta och har begränsat tillträde. Mot bakgrund av vad som framkommit bedömer IMY sammantaget att integritetsintresset väger lätt. I bedömningen har särskilt beaktats att upptagningsområdena är mycket begränsade, att integritetsfrämjande åtgärd i form av digital maskering har vidtagits och att personer träffas av bevakningen i relativt liten utsträckning.

Vad gäller intresset av att bedriva bevakning för att förhindra drifts- och produktionsbortfall bedömer IMY att detta visserligen är berättigat men ändå väger relativt lätt. Intresset av att bedriva kamerabevakning för det sammanhängande syftet att förebygga och avhjälpa arbetsplatsolyckor väger tyngre. Vid en sammantagen avvägning finner IMY att intresset av att utföra kamerabevakning väger tyngre än integritetsintresset på platserna som bevakas. IMY bedömer att H&M:s kamerabevakning med processkameror har rättslig grund enligt artikel 6.1 f i dataskyddsförordningen.

Bevakningen som utförts tillfälligt i ett arbetsrum

H&M:s uppgifter

H&M vidtog flera olika åtgärder för att komma till rätta med problematiken som uppstått på arbetsplatsen; bl.a. byttes koden till det rum där arbetsledarens dator fanns, arbetsmiljön genomlystes av en extern part och kontakter togs med fackliga representanter. Utöver dessa åtgärder beslutades det att en kamera skulle användas för att övervaka gruppledarens arbetsplats som ett temporärt och direkt komplement till

de alternativa åtgärderna. Kameran - som vid det första tillfället var en laptop och därefter en iPad - stod på gruppledarens skrivbord och aktiverades genom en sensor när någon satte sig på gruppledarens arbetsplats under nattetid. Kameran aktiverades således inte om någon bara gick in i rummet. Upptagningsområdet var begränsat till att endast omfatta gruppledarens arbetsplats. Cirka 20 anställda hade åtkomst till det aktuella rummet, men ingen annan person än gruppledaren hade anledning att sätta sig vid skrivbordet. Ingen annan anställd hade anledning att befinna sig i det aktuella rummet under de tider som kamerabevakningen skedde. Någon ljudavlyssning eller ljudupptagning skedde inte. Sammanlagt kom bevakningen att omfatta tre personer.

IMY:s bedömning

IMY konstaterar att syftet med den tillfälliga bevakningen uppgetts vara att förebygga och utreda oegentligheter som bl.a. bedömdes kunde leda till risker för de anställdas säkerhet. IMY konstaterar att H&M i egenskap av arbetsgivare har huvudansvaret för arbetsmiljön och ska vidta åtgärder för att förebygga att arbetstagare utsätts för bl.a. olycksfall. I det ansvaret ingår att se till att maskiner och utrustning underhålls. Ett företag har även ett ekonomiskt intresse av att nödvändiga arbetsuppgifter utförs och att affärsrelaterad information inte kommer obehöriga tillhanda. H&M har uppgett att det vid tidpunkten fanns konkret misstanke om allvarliga missförhållanden på arbetsplatsen som bl.a. innebar risker för personalen. IMY finner inte anledning att ifrågasätta dessa uppgifter och bedömer mot bakgrund av vad som framkommit att H&M haft ett berättigat intresse av att vilja förebygga och utreda oegentligheter i den aktuella situationen.

Frågan är därefter om den tillfälliga kamerabevakningen i arbetsrummet kan anses nödvändig för att förebygga och utreda oegentligheter och arbetsplatsolyckor. Kamerabevakningen i arbetsrummet utfördes med anledning av misstanke om att arbetstagare försökt bereda sig tillgång till en arbetsledares dator och var begränsad till det låsta arbetsrummet och till att endast aktiveras när någon satte sig på gruppledarens arbetsplats. I tid var bevakningen begränsad till att enbart ske under nattetid när ingen hade egentlig anledning att vistas i arbetsrummet. H&M har uppgett att det innan kamerabevakningen inleddes vidtogs en rad åtgärder för att komma till rätta med problematiken.

Utgångspunkten är att kamerabevakningsåtgärder endast bör väljas om syftet med behandlingen inte rimligen kan uppfyllas på andra sätt som är mindre inkräktande för den registrerades grundläggande rättigheter och friheter. IMY konstaterar att användning av kamerabevakning för att utreda oegentligheter som anställda misstänks orsaka på en arbetsplats är en särskilt integritetskänslig form av personuppgiftsbehandling. Det ställs mycket höga krav på att alternativa och mindre integritetskänsligt tillvägagångssätt har undersökts och prövats utan avsedd effekt innan sådan behandling inleds. Exempel på sådana alternativa åtgärder kan vara utredande samtal, att se till att utrymmen har lämplig behörighetsbegränsning, samt att nödvändiga säkerhetsåtgärder implementerats som i större utsträckning hindrar att känslig IT-utrustning och affärsrelaterad information kommer obehöriga tillhanda. IMY anser vid en samlad bedömning att mindre integritetskänsliga åtgärder inte vidtagits i tillräcklig utsträckning innan kamerabevakningen inleddes. IMY bedömer således att den tillfälliga kamerabevakningen i arbetsrummet inte uppfyller det nödvändighetskriterium som krävs för att personuppgiftsbehandlingen ska vara laglig med stöd av artikel 6.1 f i dataskyddsförordningen. Även om aktuell bevakning skulle anses vara nödvändig, bedömer IMY att H&M:s intresse av att bedriva bevakning av

arbetsrummet under aktuella förutsättningar inte kan anses väga tyngre än integritetsintresset på arbetsplatsen.

Det har inte heller framkommit att det skulle vara möjligt att stödja bevakningen i denna del på någon annan rättslig grund i artikel 6.1 i dataskyddsförordningen. H&M har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.

Har kravet på upplysning samt informationsskyldigheten uppfyllts?

Krav på upplysning i kamerabevakningslagen

I 15 § KBL uppställs ett krav på att upplysning om kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Bestämmelsen avser själva användningen av kamerabevakningsutrustning och inte den behandling av personuppgifter som bevakningen innebär. Bestämmelsen innehåller inga krav angående vilken information som ska lämnas och upplysningskravet får därmed anses uppfyllt om den som bedriver bevakningen på ett tydligt sätt lämnar upplysning om att kamerabevakning sker på en viss plats.

Informationsskyldighet enligt dataskyddsförordningen

Artikel 12.1 i dataskyddsförordningen innehåller allmänna bestämmelser om rätten till information. I artikel 12.1 i dataskyddsförordningen anges bl.a. att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artikel 13 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Vidare framgår att informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form.

Artikel 13 i dataskyddsförordningen reglerar vilken information som ska lämnas när personuppgifterna samlas in från den registrerade. Vid kamerabevakning anses personuppgifter samlas in från den registrerade.23

Enligt artikel 13.1 i dataskyddsförordningen ska den personuppgiftsansvarige, när personuppgifterna erhålls, lämna information till den registrerande om bl.a. följande.

• Den personuppgiftsansvariges identitet och kontaktuppgifter. • Kontaktuppgifter till dataskyddsombudet, i tillämpliga fall. • Ändamålen med behandlingen för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. • Om den rättsliga grunden är artikel 6.1 f (intresseavvägning), vilket berättigat intresse behandlingen syftar till att tillvarata. • Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

Enligt artikel 13.2 i dataskyddsförordningen ska den personuppgiftsansvarige, vid insamlingen av personuppgifterna, lämna information till den registrerande om bl.a. följande.

• Den period under vilken personuppgifterna kommer att lagras eller de kriterier som används för att fastställa denna period. • Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling. • Att den registrerade har rätt att inge klagomål till en tillsynsmyndighet.

Enligt artikel 13.3 i dataskyddsförordningen ska den personuppgiftsansvarige, om den avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2 i artikel 13.

Av artikel 13.4 i dataskyddsförordningen framgår att punkterna 1, 2 och 3 i artikel 13 inte ska tillämpas om och i den mån den registrerade redan förfogar över informationen.

Informationen ska i princip lämnas till den registrerade innan behandlingen av den registrerades personuppgifter påbörjas. Mot bakgrund av att det är fråga om mycket information som ska lämnas till den registrerade har EDPB tagit fram riktlinjer kring hur den personuppgiftsansvarige kan gå tillväga för att leva upp till kraven i artiklarna 12 och 13. Av dessa riktlinjer framgår att den personuppgiftsansvarige kan använda sig av en stegvis metod för att tillhandahålla den information som framgår av artikel 13. Den stegvisa metoden innebär att den information som är av störst vikt för den registrerade ska redovisas redan innan den registrerade kliver in i det bevakade området, till exempel på en skylt (det första informationslagret). Även övrig information (det andra informationslagret) bör vara möjligt att få tillgång till utan att behöva gå in i det bevakade området, till exempel genom att ringa ett telefonnummer eller gå in på en webbsida. Informationen bör dock också finnas lättillgänglig icke-digitalt, till exempel i ett komplett informationsblad vid en receptionsdisk.

Vilken information som är av störst vikt för den registrerade och som därmed ska ingå i det första informationslagret kan variera beroende på hur och på vilken plats som bevakningen sker, men bör generellt sett omfatta den personuppgiftsansvariges identitet och kontaktuppgifter, kontaktuppgifter till dataskyddsombudet i tillämpliga fall, syftet med bevakningen, den registrerades rättigheter samt information om behandlingens främsta inverkan (t.ex. lagringstiden i de fall bevakningen sker med bildinspelning, publicering av material eller överföring av material till tredje part). Det första informationslagret ska innehålla en hänvisning till hur den registrerade kan gå till väga för att ta del av det andra informationslagret, till exempel ett telefonnummer, en webbadress eller en QR-kod.

Bevakningen med inre säkerhetskameror och processkameror

H&M:s uppgifter

Information om kamerabevakningen lämnas i flera lager till de registrerade. Det finns informationsmaterial om kamerabevakningen som bedrivs på anläggningen i Borås

tillgängligt både på intranätet och fysiskt i receptionen. Materialet kommuniceras och underhålls löpande av lokal säkerhetschef. Det finns även kartor som visar kamerornas placering och upptagningsområde. Materialet är åtkomligt både för anställda och besökare även när receptionen inte är bemannad. Sedan år 2015 sker en löpande dialog med facket angående kamerabevakningen. Förhandling med facket har genomförts varvid samtliga skyltar och information granskades och godkändes.

Nyanställda tar del av ett informationsblad om kamerabevakningen i samband med genomgång med den närmaste chefen alternativt en utbildare eller lokal säkerhetschef samt undertecknar då även detta. Det har varit en del av introduktionsprogrammet sedan år 2016. Det genomförs även riktade kommunikationsinsatser för att höja medvetandet hos anställda om kamerabevakningen. Materialet ”H&M CCTV Borås information” har skickats ut av lokal säkerhetschef till samtliga chefer i Borås med tydlig instruktion att ta informationen i materialet vidare till sin personal. Det finns vidare en generell Privacy Notice för samtliga anställda på H&M Hennes & Mauritz GBC AB som ger övergripande information om kamerabevakning.

Skyltar som informerar om kamerabevakning har funnits sedan år 2016. I takt med att det kommit nya riktlinjer och vägledningar kring hur skyltar ska se ut och var de ska vara placerade har skyltarna reviderats. Det finns skyltar vid samtliga personalentréer och vid stängslet runt området som är framtagna med stöd av de riktlinjer som finns för kamerabevakning. Skyltarna visar siluetten av en bevakningskamera och har texten ”Kameraövervakning!”. Skylten informerar om den personuppgiftsansvariges identitet samt anger kontaktuppgifter till säkerhetschef. Vidare anges ändamålet med bevakningen, hur länge materialet sparas och att bevakade kan utöva sina rättigheter (t.ex. rätten att begära tillgång till eller radering av sina personuppgifter). Det finns även hänvisande information om att den bevakade kan vända sig till receptionen eller en angiven sida på intranätet för ytterligare information om kamerabevakningen och rättigheter. Det finns skyltar vid samtliga processkameror som visar siluetten av en bevakningskamera, kamerans beteckning (t.ex. ”Process Kamera Högerbs03/04”) och en bild på kameras upptagningsområde. Skylten hänvisar till ytterligare information i receptionen, på intranätet eller hos säkerhetsansvarig. Vid samtliga säkerhetskameror finns skyltar med texten ”CCTV” eller ”CCTV SÄK” samt kamerans beteckning (t.ex. ”Kamera 1”).

IMY:s bedömning

Utredningen visar att H&M lämnar upplysning om bevakningen med inre säkerhetskameror samt processkameror genom tydlig skyltning. Kravet på upplysning i 15 § KBL är således uppfyllt avseende bevakningen med dessa kameror. IMY ska även bedöma om H&M har levt upp till sina skyldigheter att informera om personuppgiftsbehandlingen enligt artiklarna 12.1 och 13 i dataskyddsförordningen. IMY anser att utredningen i ärendet visar att kraven i artikel 12.1 i dataskyddsförordningen på hur informationen ska lämnas har uppfyllts. IMY konstaterar vidare att H&M har lämnat merparten av den information som ska lämnas enligt artikel 13 i antingen det första eller andra informationslagret. IMY konstaterar dock att den personuppgiftsansvariga ska lämna information till de registrerade om kontaktuppgifter till dataskyddsombudet i tillämpliga fall. Kontaktuppgifter till dataskyddsombudet ska framgå av det första informationslagret. Det framgår emellertid av utredningen att denna information saknas på de skyltar som sitter vid stängsel och entréer till fastigheten. Istället lämnas information om kontaktuppgifter till säkerhetschef. IMY konstaterar att dataskyddsombudet har särskilda kunskaper om dataskyddsförordningen och registrerades rättigheter. Den registrerade får i enlighet

med artikel 38.4 i dataskyddsförordningen kontakta dataskyddsombudet gällande alla frågor som rör behandlingen av dennes personuppgifter och utövandet av dennes rättigheter. IMY bedömer att H&M har överträtt artikel 13.1 i dataskyddsförordningen genom att inte lämna information om kontaktuppgifter till dataskyddsombudet.

Bevakningen som utförts tillfälligt i ett arbetsrum

H&M:s uppgifter

Det har inte funnits några skyltar om kamerabevakning i anslutning till arbetsrummet i samband med de enskilda händelserna då kamerabevakning bedrevs där. Denna bevakning var inte initierad, påkallad eller på något sätt efterfrågad av H&M. Det fanns dock ett flertal skyltar om övrig kamerabevakning i lokalerna.

IMY:s bedömning

Av utredningen framgår att det inte funnits tydlig skyltning eller på annat verksamt sätt upplysts om kamerabevakningen i arbetsrummet. Kravet på upplysning i 15 § KBL kan således inte anses uppfyllt i denna del. Ett följdfel av den aktuella bevakningen blir att H&M, som personuppgiftsansvarig, inte heller kan anses ha levt upp till skyldigheten att informera om personuppgiftsbehandling genom kamerabevakning enligt artikel 13 i dataskyddsförordningen avseende bevakningen.

Val av ingripande

Tillämpliga bestämmelser m.m.

Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bl.a. reprimand, föreläggande och sanktionsavgifter.

Av artikel 83.2 i dataskyddsförordningen framgår att IMY ska påföra administrativa sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i artikel 58.2 beroende på omständigheterna i det enskilda fallet. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid bedömningen av sanktionsavgiftens storlek.

Vid bedömningen av storleken på sanktionsavgiften ska bl.a. hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), c (de åtgärder som den personuppgiftsansvarige har vidtagit) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst).

EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

Enligt artikel 83.5 i dataskyddsförordningen kan vid överträdelser av artiklarna 6 och 13 i dataskyddsförordningen administrativa sanktionsavgifter påföras på upp till 20 000 000 EUR eller, om det gäller företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

Ska sanktionsavgift påföras?

Avseende den tillfälliga kamerabevakningen i arbetsrummet har IMY funnit att H&M har överträtt artikel 6.1 i dataskyddsförordningen genom att bedriva bevakningen utan rättslig grund. IMY har vidare funnit att H&M avseende denna bevakning har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att information till de registrerade helt har saknats, samt att bolaget därmed också har brutit mot kravet på upplysning i 15 § KBL.

IMY konstaterar att den kamerabevakning som har utförts utan rättslig grund har drabbat en relativt liten krets av personer och pågått under en begränsad tidsperiod. Även om antalet personer som har träffats av den olagliga kamerabevakningen är begränsat har bevakningen varit dold, och de registrerade har saknat möjlighet att tillvarata sina rättigheter i fråga om den behandling av personuppgifter som bevakningen har inneburit då information har saknats. Mot denna bakgrund bedömer IMY att det inte är fråga om sådana mindre överträdelser som avses i skäl 148 till dataskyddsförordningen. En sanktionsavgift kan därför inte ersättas med en reprimand.

EU-domstolen har klargjort att det krävs att den personuppgiftsansvarige har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

IMY konstaterar att H&M, i egenskap av personuppgiftsansvarig, ansvarar för den personuppgiftsbehandling som sker inom bolaget och för att den sker i enlighet med dataskyddsförordningen. IMY har bedömt att H&M inte har efterlevt dataskyddsförordningen avseende kraven på rättslig grund och den information som ska lämnas. Av utredningen i ärendet framgår att H&M inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse av dataskyddsförordningen. IMY anser mot denna bakgrund att H&M har varit oaktsam i förhållande till de överträdelser

av dataskyddsförordningen som konstaterats. Det finns därmed förutsättningar för att påföra H&M en administrativ sanktionsavgift.

Bestämmande av sanktionsavgiften

IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av de administrativa sanktionsavgifter som bolaget kan åläggas är bolagets moderbolag H&M Hennes & Mauritz AB (556042-7220). Av H&M Hennes & Mauritz AB:s årsredovisning för år 2023 framgår att årsomsättningen var ca 236 035 000 000 kronor. Eftersom IMY har konstaterat överträdelser av artiklarna 6.1 och 13 i dataskyddsförordningen är det högsta sanktionsbelopp som kan fastställas i ärendet enligt artikel 83.5 i dataskyddsförordningen fyra procent av detta belopp, dvs. 9 441 400 000 kronor.

När det gäller bedömningen av överträdelsernas allvarlighetsgrad finns det till en början faktorer som medför att det finns skäl att se allvarligare på överträdelserna. Av särskild betydelse har varit att behandlingen av personuppgifterna skett genom kamerabevakning som varit dold och utförts utan de registrerades vetskap. Den registrerades rätt till information om behandlingen är en central rättighet enligt dataskyddsförordningen, bl.a. eftersom den är en förutsättning för utövandet av övriga rättigheter i dataskyddsförordningen. I detta fall har anställda inte varit omedvetna om att arbetsplatsen är kamerabevakad på vissa platser. De har dock inte haft att räkna med att kamerabevakning utförs på andra platser än de som framgår av tillgänglig information. IMY anser att det är allvarligt att de inte kunnat lita på att den information som tillhandahållits är korrekt. Anställningsförhållandet har därtill inneburit att de som drabbats av bevakningen befunnit sig i en särskilt utsatt position. IMY beaktar vidare att materialet visades - förutom för två av de personer som träffades av bevakningen för den lokala gruppledaren, gruppledarens chef samt en person på HR-avdelningen. Vidare raderades det inspelade materialet inte förrän cirka en månad efter att kamerabevakningen avslutats.

Det finns även omständigheter som talar för att överträdelsernas allvarlighetsgrad ska minska. IMY bedömer, mot bakgrund bl.a. av att kamerabevakningens varaktighet och omfattning har varit mycket begränsad, samt att den aktuella bevakningen har drabbat personer som inte haft några egentliga skäl att befinna sig på den kamerabevakade platsen - vare sig i tjänsten eller i övrigt - att det sammantaget rör sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av sanktionsavgiften bör därför sättas lågt i förhållande till det aktuella maxbeloppet.

Utöver bedömningen av överträdelsernas allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek. IMY bedömer att det saknas försvårande omständigheter, utöver de som redan beaktats vid bedömningen av allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek. Som förmildrande omständighet lägger IMY särskild vikt vid att H&M efter att bevakningen i arbetsrummet uppmärksammades vidtog vissa åtgärder för att minska skadan, exempelvis avbröts kamerabevakningen omedelbart när den kom till ansvarig funktions kännedom och att en särskild uppföljning samt utbildning genomfördes.

Mot bakgrund av överträdelsernas karaktär och allvar, försvårande och förmildrande omständigheter bestämmer IMY att den administrativa sanktionsavgiften för H&M Hennes & Mauritz GBC AB kan stanna vid 300 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande i det nu aktuella fallet.

Föreläggande

IMY har även funnit att H&M har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte uppfylla kravet på information till de registrerade, då det saknas information om kontaktuppgifter till dataskyddsombud på befintliga skyltar vid entréer och stängsel. Det är angeläget att H&M vidtar åtgärder för att säkerställa att de registrerade får korrekt och fullständig information avseende den aktuella kamerabevakningen. Det finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga H&M att vidta åtgärder för att säkerställa att det på aktuella kamerabevakningsskyltar på anläggningen i Borås finns kontaktuppgifter till bolagets dataskyddsombud. Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut fått laga kraft.

__________________________________________

Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristen My Lorenius. Vid den slutliga handläggningen har även den tillförordnade rättschefen Cecilia Agnehall och juristen Måns Lysén medverkat.

Jenny Bård, 2024-04-18 (Det här är en elektronisk signatur)

Bilaga

Klagandens personuppgifter Information om betalning av sanktionsavgift

Kopia till

Dataskyddsombud

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.