Apotea AB, kamerabevakning

Beslut

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Apotea AB behandlar personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte uppfylla kravet på information till de registrerade avseende kamerabevakning vid bolagets logistikcenter på Tjusarvägen 40 i Morgongåva.

Integritetsskyddsmyndigheten ger Apotea AB en reprimand enligt artikel 58.2 b i dataskyddsförordningen för den konstaterade överträdelsen.

Integritetsskyddsmyndigheten förelägger Apotea AB att vidta åtgärder för att säkerställa att

1. det på kamerabevakningsskyltarna på anläggningen i Morgongåva finns kontaktuppgifter till bolaget och en tydlig hänvisning till var externa besökare kan ta del av ytterligare information, och 2. att det i det andra informationslagret för anställda finns uppgift om samtliga rättigheter som avses i artikel 13.2 b samt att informationen inte ger uttryck för att de registrerades rättigheter är begränsade i tid eller underkastade formkrav på ett sätt som saknar stöd i dataskyddsförordningen.

Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.

Redogörelse för tillsynsärendet

Bakgrund

Integritetsskyddsmyndigheten (IMY) har tagit del av uppgifter i media som gör gällande att Apotea AB (hädanefter ”Apotea” eller ”bolaget”) bedriver kamerabevakning vid sitt logistikcenter på Tjusarvägen 40, Morgongåva. I medierapporteringen har det bland annat gjorts gällande att Apotea använder bevakningskameror för att arbetsleda och kontrollera hur arbetstagare utför sina arbetsuppgifter. IMY har därför inlett tillsyn mot Apotea i syfte att utreda bolagets kamerabevakning vid logistikcentret.

Vad som framkommit i ärendet

Apotea har i huvudsak uppgett följande. Apotea bedriver kamerabevakning vid logistikcentret men anser att medierapporteringen har gett en missvisande bild av bevakningen.

Apotea bedriver kamerabevakning i lokalen med ett antal kameror som är indelade i ”verksamhetskameror”, ”lokalkameror” och ”stillbildskamera”. Verksamhetskamerorna används i syfte att hantera incidenter och spåra läkemedel. Majoriteten av verksamhetskamerorna används dessutom för IT-support. Lokalkamerorna används i syfte att förebygga, förhindra, utreda och upptäcka brott. Stillbildskameran används för

logistik- och affärsrelaterade syften. Kamerabevakning används endast för de ovan angivna ändamålen och aldrig för arbetsledning eller kontroll av enskilda anställda.

Samtliga kameror förutom stillbildskameran bevakar med bildinspelning. Realtidsbevakning sker endast med verksamhetskamerorna som används för ITsupport och då endast på förekommen anledning, när ett ärende har eskalerats till ITsupportavdelningen. Stillbildskameran tar en stillbild var 15:e minut, som raderas när nästa stillbild tas.

Apotea har uppgett att bevakning i samtliga fall har stöd enligt artikel 6.1 f i dataskyddsförordningen. Vad gäller bevakningen i syfte att hantera incidenter och spåra läkemedel har Apotea uppgett att det finns krav som följer av lag, förordning och Läkemedelsverkets särskilda föreskrifter som innebär att Apotea har en skyldighet att vidta skyddsåtgärder för att se till att läkemedel hanteras på ett säkert sätt och inte försvinner eller levereras till fel slutkund. Kamerabevakning är nödvändig för att Apotea ska kunna uppfylla de rättsliga krav kring säkerhet som uppställs på verksamheten. Kamerabevakningen utgör också ett viktigt allmän- och samhällsintresse för att säkerställa en fungerade apoteksverksamhet eftersom tillgång till läkemedel är essentiell för både enskilda individer och folkhälsan i stort. En del i detta intresse är att läkemedel inte missbrukas. Det finns också ett allmänintresse i att de som bedriver apoteksverksamhet hanterar läkemedel på ett ansvarsfullt och säkert sätt och att eventuella situationer där läkemedel hamnar på avvägar kan redas ut. Apotea har implementerat ett flertal säkerhetsåtgärder för att undvika att läkemedelsrelaterade incidenter uppstår och kamerabevakningen tillämpas som ett sista alternativ för att spåra läkemedel eller identifiera felpaketerade eller fellevererade läkemedel.

Majoriteten av verksamhetskamerorna används även som visuellt stöd för bolagets interna IT-jour vid tekniska problem i produktionen. Eftersom Apotea bedriver verksamhet som innebär ansvar för att leverera livsnödvändig medicin dygnet runt är det av stor vikt att bolaget kan avhjälpa tekniska problem omgående under alla tider på dygnet. Åtkomst till material för dessa ändamål är mycket begränsad och ges endast som ett sista alternativ då andra avhjälpande åtgärder på plats inte har varit framgångsrika.

Lokalkamerorna används som ett stöd i bolagets brottsförebyggande arbete och utgör ett komplement till övriga åtgärder som vidtas för att komma tillrätta med brott. Kamerabevakningen används dels för att hindra att obehöriga personer tar sig in i lokalen och för att avskräcka från sådana intrång, dels för att bevaka särskilt utsatta områden och/eller platser där stöldbegärliga varor/läkemedel hanteras. Apoteksbranschen är brottsutsatt, särskilt på grund av tillgången till narkotikaklassade preparat. I lokalen förvaras bland annat varor och läkemedel (inklusive narkotiska läkemedel) som är särskilt stöldbegärliga. Apotea har uppgett att bolagets lagerverksamhet har varit utsatt för stölder sedan 2011 och att logistikcentret i Morgongåva på motsvarande sätt har varit brottsutsatt sedan bolaget tillträdde lokalerna under 2018. Av bolagets ingivna incidentrapportering framgår att det har inträffat två polisanmälda brott på platsen sedan bolaget tillträtt lokalerna. Därutöver har flera misstänkta incidenter förekommit som inte har polisanmälts, exempelvis har tomma förpackningar påträffats där stöld har misstänkts.

Stillbildskameran används för att var 15:e minut ta en stillbild över logistikcentrets inleveransyta och används endast för att avgöra hur stor del av inleveransytan som är tillgänglig för kommande inleveranser av gods. Enskilda personer kan förekomma på

vissa stillbilder i samband med en leverans, men bolaget bedömer att detta endast sker sällan.

Motivering av beslutet

Omfattningen av IMY:s prövning i ärendet

Dataskyddsförordningen och kamerabevakningslagen (2018:1200) innehåller ett stort antal regler som måste följas i samband med behandling av personuppgifter genom kamerabevakning. Inom ramen för detta tillsynsärende prövar IMY inte samtliga regler och frågeställningar som kan aktualiseras vid en sådan personuppgiftsbehandling som den i ärendet aktuella kamerabevakningen innebär. IMY:s prövning i ärendet är avgränsad till frågorna om Apotea har uppfyllt kravet på rättslig grund enligt dataskyddsförordningen, om bevakningen är tillståndspliktig enligt kamerabevakningslagen samt om Apotea uppfyllt upplysningsplikten och informationsplikten enligt kamerabevakningslagen respektive dataskyddsförordningen.

Vilka regelverk gäller för Apoteas kamerabevakning?

Kamerabevakning är en form av personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och kamerabevakningslagen som kompletterar dataskyddsförordningen.

Kamerabevakningslagen

I 4 § kamerabevakningslagen anges att lagen gäller om kamerabevakning enligt 3 § sker med utrustning som finns i Sverige. Enligt 3 § 1 kamerabevakningslagen avses med kamerabevakning att en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning, utan att manövreras på platsen används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

Den bevakning som Apotea bedriver vid logistikcentret i Morgongåva sker med utrustning som finns i Sverige och utgör kamerabevakning enligt 3 § 1 kamerabevakningslagen. Detta innebär att kamerabevakningslagens bestämmelser gäller för kamerabevakningen.

Dataskyddsförordningen

Dataskyddsförordningen ska enligt artikel 2.1 bland annat tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg.

Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring, läsning och radering.

Om en bevakningskamera fångar en identifierbar person eller någon annan personuppgift i bild måste därför reglerna i dataskyddsförordningen följas. Eftersom Apotea filmar identifierbara personer med sina kameror gäller dataskyddsförordningens bestämmelser för kamerabevakningen.

Behöver Apotea tillstånd för den aktuella kamerabevakningen?

Enligt 7 § kamerabevakningslagen krävs tillstånd till kamerabevakning av en plats dit allmänheten har tillträde om bevakningen ska bedrivas vid utförande av en uppgift av

allmänt intresse som följer av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd av lag eller annan författning.

Apotek utför en uppgift av allmänt intresse i den mening som avses i 7 § kamerabevakningslagen. Tillstånd till kamerabevakning krävs visserligen enligt 9 § tionde punkten kamerabevakningslagen inte vid bevakning i en butikslokal där det bedrivs apoteksverksamhet, om bevakningen har till syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Den i ärendet aktuella kamerabevakningen avser dock inte butikslokal och sker delvis för andra syften än att bekämpa brott. Det som blir avgörande för om Apotea behöver tillstånd till kamerabevakningen är därför om bevakningen avser platser dit allmänheten har tillträde.

Med uttrycket "plats dit allmänheten har tillträde" avses platser där människor kan tänkas uppehålla sig och som inte är enskilda. Exempel på platser dit allmänheten har tillträde är utrymmen i affärer, varuhus och banker, såvida det inte är fråga om utrymmen för personal, lagring av varor, kontor, underhåll, drift m.m. (prop. 1989/90:119 s. 17 och 44, prop. 1997/98:64 s. 54). Bedömningen av om allmänheten har tillträde till platsen ska göras utifrån omständigheterna i det enskilda fallet (prop. 2012/13:115 s. 34). Omständigheter som kan få betydelse vid denna prövning är bland annat platsens karaktär, den personkrets som verksamheten riktar sig till och förekomsten av anordningar som rent fysiskt hindrar någon från att ta sig fram till den övervakade platsen (se RÅ 2010 ref. 35). När det gäller personkretsen kan denna utgöras antingen av den egna personalen eller av utomstående som på grund av avtal har att leverera varor eller att utföra ett arbete. Om däremot vem som helst har tillträde till lokalerna, kan de inte betraktas som förbehållna en begränsad personkrets (SOU 1987:74 s. 114). I praxis har även beaktats om det finns en möjlighet för allmänheten att på egen hand ta sig till platsen eller om platsen endast är tillgänglig för allmänheten efter att behörig personal berett dem tillträde (se Kammarrätten i Stockholms dom den 2 december 2015 i mål nr 3168-3197-15).

Apoteas kamerabevakning sker huvudsakligen inomhus av områden som är avsedda för bolagets personal och dit allmänheten uppenbart inte har tillträde. Viss inomhusbevakning sker visserligen i anslutning till lokalens entré, men det är enligt Apoteas uppgifter – utöver personal – endast behöriga externa besökare som har tillträde till det bevakade området. Någon verksamhet som riktar sig till allmänheten bedrivs inte heller på platsen. IMY bedömer därmed att utredningen i ärendet inte ger stöd för annat än att den kamerabevakning som Apotea bedriver inomhus bevakar platser dit allmänheten inte har tillträde. Vad gäller kamerabevakning som sker utomhus avser denna inhägnat område som är avsett för personal samt utomstående som ska leverera eller hämta gods. IMY bedömer att utredningen i ärendet inte ger stöd för annat än att även dessa kameror bevakar platser dit allmänheten inte har tillträde.

Sammanfattningsvis avser den aktuella bevakningen inte platser dit allmänheten har tillträde. Apotea behöver därför inte tillstånd för bevakningen.

Har Apotea rättslig grund för sin kamerabevakning?

För att Apoteas kamerabevakning ska vara tillåten krävs det att bestämmelserna i dataskyddsförordningen följs. Det innebär bland annat att Apotea måste ha en rättslig grund för bevakningen. Bolaget har uppgett att den rättsliga grunden för bevakningen

är artikel 6.1 f i dataskyddsförordningen, den så kallade intresseavvägningen. Det finns tre förutsättningar som måste vara uppfyllda för att så ska vara fallet.

Den första förutsättningen är att de intressen som bevakningen avser att skydda måste utgöra berättigade intressen för den personuppgiftsansvarige eller en tredje part. Inte alla tänkbara intressen som skulle kunna uppnås eller skyddas genom kamerabevakning kan anses vara berättigade. Ett berättigat intresse är ett intresse som, i allmänhet, åtnjuter rättsordningens skydd eller i övrigt anses som legitimt, etiskt eller försvarbart. Ett intresse som skyddas av EU-rätten eller relevant nationell rätt måste exempelvis betraktas som berättigat. Ett berättigat intresse kan vara ett juridiskt, ekonomiskt eller icke-materiellt intresse. Det berättigade intresset måste vara verkligt och behovet måste vara aktuellt vilket innebär att det inte får vara fiktivt eller spekulativt.

Den andra förutsättningen är att bevakningen är nödvändig för ett ändamål som rör det berättigade intresset. Det innebär att det berättigade intresset inte rimligen kan skyddas på ett lika effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i EU:s stadga om de grundläggande rättigheterna (2012/C 326/02). Samtidigt följer av praxis att nödvändighetskriteriet kan anses uppfyllt om det bidrar till effektivisering. Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

Den tredje förutsättningen är att den registrerades grundläggande fri- och rättigheter (integritetsintresset) inte väger tyngre än det berättigade intresse som bevakningen avser att skydda (bevakningsintresset). Den personuppgiftsansvariga måste utvärdera riskerna för intrång i den registrerades rättigheter, och det avgörande kriteriet är intrångets intensitet för den registrerades rättigheter och friheter. Intensiteten kan bland annat definieras utifrån vilken typ av information som samlas in (informationsinnehåll), omfattningen (informationstäthet, rumslig och geografisk omfattning), antalet berörda registrerade, antingen som ett specifikt antal eller som en andel av den berörda befolkningen, situationen i fråga, den registrerades faktiska intressen, alternativa metoder samt uppgifternas art och omfattning. Vidare ska det tas hänsyn till vilken typ av personuppgiftsbehandling det är fråga om och hur denna konkret går till, varvid det särskilt ska beaktas hur många personer som har tillgång till personuppgifterna och formerna för åtkomst till dessa. Vid avvägningen mellan integritetsintresset och bevakningsintresset ska även beaktas den registrerades rimliga förväntningar vid tidpunkten och i samband med behandlingen av dess personuppgifter.

Samtliga tre förutsättningar måste vara uppfyllda för kamerabevakning i ett visst syfte ska ha en rättslig grund. Eftersom Apoteas kamerabevakning sker i flera syften ska prövningen göras enskilt för varje syfte.

Bevakning i syfte att arbetsleda och kontrollera anställda

I medierapporteringen som IMY tog del av innan tillsynen mot Apotea inleddes gjordes det gällande att bolaget använder bevakningskameror för att kontinuerligt arbetsleda personalen och kontrollera hur arbetstagare utför sina arbetsuppgifter. Sådan bevakning saknar normalt sett rättslig grund i artikel 6 dataskyddsförordningen. Apotea har dock uppgett att kamerabevakning aldrig används för arbetsledning eller kontroll av enskilda anställda. Utöver uppgifterna i media har det inte heller i utredningen framkommit något annat som talar för att bevakning skett på det sätt som angivits i media. IMY konstaterar därmed att utredningen i ärendet inte ger stöd för att Apotea har använt kamerabevakning i detta syfte. Det saknas därför skäl att bedöma om Apotea haft rättslig grund för kamerabevakning i syfte att arbetsleda eller kontrollera anställda.

Bevakning i syfte att hantera incidenter och spåra läkemedel

Har Apotea ett berättigat intresse att hantera incidenter och spåra läkemedel? IMY har inledningsvis att ta ställning till om det är ett berättigat intresse för Apotea att hantera läkemedelsrelaterade incidenter och spåra bortkomna läkemedel. Det kan konstateras att Apotea är skyldiga att följa de regler som finns i lag, förordning och Läkemedelsverkets föreskrifter och som reglerar apoteksverksamhet och läkemedelshantering. Det innebär bland annat att handel med läkemedel ska bedrivas på ett sådant sätt att läkemedlen inte skadar människor, egendom eller miljö samt så att läkemedlens kvalitet inte försämras. Det ställs också krav på att verksamhetens lokaler ska vara lämpliga för sitt ändamål och utformade och inredda så att god kvalitet på läkemedel säkerställs och bibehålls samt att en hög säkerhetsnivå vid läkemedelshantering garanteras. Den som bedriver detaljhandel med läkemedel ska även utöva särskild kontroll (egenkontroll) över detaljhandeln och verksamheten i övrigt och se till att det finns ett för verksamheten lämpligt egenkontrollprogram. Det innebär bland annat att avvikelser och brister i läkemedelshanteringen eller läkemedelsförsörjningen samt de åtgärder som vidtas med anledning av dessa fortlöpande ska dokumenteras, sammanställas och utvärderas. Öppenvårdsapotek ska ha ett systematiskt arbetssätt för att identifiera och hantera avvikelser och brister i verksamheten, exempelvis brister i läkemedelsförsörjningen som kan resultera i att en kund inte får sitt läkemedel. När en avvikelse eller brist har identifierats bör den skyndsamt hanteras och utredas. Inledningsvis bör det utredas vad som har hänt och vilka eventuella konsekvenser det har medfört.

Mot bakgrund av de rättsliga skyldigheter Apotea har med avseende på att säkerställa en korrekt läkemedelshantering samt följa upp och hantera avvikelser bedömer IMY att Apotea har ett berättigat intresse av att hantera läkemedelsrelaterade incidenter och spåra bortkomna läkemedel.

Är kamerabevakningen nödvändig?

Frågan är då om Apoteas kamerabevakning är nödvändig för att hantera incidenter och spåra läkemedel. Apotea har redogjort för alternativa kontrollåtgärder för att upptäcka incidenter och spåra läkemedel. Trots dessa åtgärder förekommer det enligt Apotea incidenter som inte kan avhjälpas endast med hjälp av de alternativa åtgärderna. Kamerabevakning har då använts som ett sista alternativ för att lokalisera receptpåsar och identifiera om paket behöver återkallas från fraktbolag.

Apotea har framfört att bolaget endast bevakar begränsade delar av lokalen och endast sådana områden där bevakningen är särskilt påkallad med hänsyn till identifierade ändamål. Av utredningen framgår vidare att kamerabevakningen i syfte att hantera incidenter och spåra läkemedel är begränsad till ytor där läkemedel hanteras och förpackas eller områden i direkt anslutning till sådana ytor. Eftersom verksamheten pågår dygnet runt är kamerorna aktiva under hela dygnet.

Enligt IMY ger utredningen stöd för att alternativa åtgärder inte är tillräckliga för att uppnå ändamålet med bevakningen. Kamerabevakningen används som ett sista alternativ när andra åtgärder inte är tillräckliga och bevakningen är begränsad till områden som är relevanta för bevakningens syfte. IMY bedömer mot denna bakgrund att kamerabevakningen är nödvändig för att hantera incidenter och spåra läkemedel.

Intresseavvägningen

IMY har därefter att pröva om den registrerades grundläggande fri- och rättigheter (integritetsintresset) väger tyngre än det berättigade intresse som bevakningen avser att skydda (bevakningsintresset).

I fråga om bevakningsintresset bedömer IMY mot bakgrund av vikten av en säker läkemedelshantering samt de krav som ställs på Apotea att säkerställa en sådan och att hantera läkemedelsrelaterade incidenter att bevakningsintresset väger relativt tungt.

Vad gäller integritetsintresset kan det inledningsvis konstateras att kamerabevakning av arbetsplatser kan ge upphov till särskilda integritetsrisker. Det kan exempelvis möjliggöra kartläggning av personalens arbetsinsatser eller vanor i övrigt. En anställd förväntar sig inte heller i de flesta fall att bli övervakad av sin arbetsgivare på sin arbetsplats. Detta innebär att integritetsintresset på arbetsplatser som utgångspunkt väger tungt. I förevarande fall är det dock fråga om en arbetsplats där läkemedel, inklusive narkotiska läkemedel, hanteras och som därför måste uppfylla ett antal rättsliga krav avseende bland annat säker hantering av läkemedel och utredning av läkemedelsrelaterade incidenter. Under sådana förhållanden bedömer IMY att anställda i större utsträckning än annars kan förvänta sig att kamerabevakning sker på arbetsplatsen.

Bevakningen i syfte att hantera incidenter och spåra läkemedel är som tidigare angetts begränsad till vissa särskilt utvalda områden. Bevakningen vid receptdelen träffar i någon del samtliga medarbetare som arbetar i den delen av lokalen, vilka utgör ca en tiondel av den sammanlagda personalstyrkan. Även bevakningen av lagerverksamheten träffar en begränsad del av det totala antalet medarbetare per skift.

Tillgången till det inspelade materialet är begränsad till tre befattningshavare. Åtkomsten är begränsad till situationer där alternativa försök att spåra läkemedel har misslyckats. I första hand utreds incidenten av chefer på plats i lokalen. De

befattningshavare som har åtkomst till bevakningsmaterialet är informerade om att materialet omfattas av tystnadsplikt och att de därmed inte får röja eller utnyttja sådan information som de genom bevakningsmaterialet får veta om någon enskilds personliga förhållanden. Åtkomst till kamerabevakningsmaterialet loggas i mjukvaran och kan kontrolleras i efterhand. Den fysiska tillgången till platsen där materialet sparas är begränsad.

Mot bakgrund av vad som framkommit i ärendet bedömer IMY – i synnerhet med beaktande av att det är fråga om bevakning av anställda som är i beroendeställning till sin arbetsgivare – att integritetsintresset väger relativt tungt. Vid en sammantagen avvägning mellan bevakningsintresset och integritetsintresset bedömer IMY dock att Apoteas intresse av att bevaka i syfte att hantera incidenter och spåra läkemedel väger något tyngre än integritetsintresset på platserna som bevakas. I bedömningen har särskilt beaktats att bevakningen är begränsad till områden som är relevanta för syftet med bevakningen, att tillgången till materialet är begränsad och endast sker som ett sista alternativ samt att Apoteas verksamhet är sådan att anställda i större utsträckning än vad som normalt gäller på en arbetsplats kan förvänta sig att kamerabevakning sker på arbetsplatsen.

Apotea har därmed rättslig grund för bolagets kamerabevakning i syfte att hantera läkemedelsrelaterade incidenter och spåra läkemedel.

Bevakning i syfte att förebygga, avslöja och utreda brott

Har Apotea ett berättigat intresse att förebygga, avslöja och utreda brott? Att skydda egendom mot inbrott, stöld eller vandalism kan utgöra ett berättigat intresse för kamerabevakning, under förutsättning att det är fråga om ett faktiskt intresse och inte ett intresse som är fiktivt eller spekulativt. Om brott inträffat på platsen tidigare talar detta för att det är fråga om ett faktiskt intresse. Något krav på att det ska ha inträffat brott finns dock inte utan även andra omständigheter kan tala för att det föreligger ett faktiskt intresse.

Apotea har redogjort för två polisanmälda brott som inträffat på anläggning sedan bolaget tillträdde lokalerna år 2018. Därutöver har bolaget uppgett att det inträffat flera misstänkta incidenter som inte har polisanmälts. Det är således fråga om ett mycket litet antal konstaterade brott och IMY bedömer därför att dessa uppgifter i sig inte är tillräckliga för att konstatera att det finns ett faktiskt intresse av att förebygga, avslöja och utreda brott. Enligt IMY måste det dock även beaktas att Apotea hanterar läkemedel, inklusive narkotikaklassade sådana, vilket utgör särskilt stöldbegärliga varor. I de krav som uppställs på Apotea med avseende på en säker läkemedelshantering ingår även att vidta åtgärder för att motverka stöld och säkerställa att obehöriga inte får tillgång läkemedel. IMY bedömer mot denna bakgrund att Apotea har ett faktiskt berättigat intresse att förebygga, avslöja och utreda brott.

Är kamerabevakningen nödvändig?

Frågan är då om Apoteas kamerabevakning är nödvändig för att förebygga, avslöja och utreda brott. Apotea har redogjort för alternativa åtgärder som bolaget vidtagit

vilket bland annat innefattar vidtagande av skyddsåtgärder som krävs enligt Läkemedelsverkets föreskrifter, såsom neutrala paketeringar av narkotikaklassade läkemedel. Läkemedelsverkets föreskrifter uppställer även krav på ändamålsenligt utformade lokaler vilket innefattar att lokalerna ska vara försedda med lås och larm så att obehörigt tillträde försvåras väsentligt. Apotea har även uppgett att bolaget fört dialog med Polismyndigheten kring säkerheten i lokalen eftersom apotek är en utsatt verksamhet på grund av tillgången till narkotiska läkemedel.

Apotea har uppgett att kamerabevakningen syftar till att hindra att obehöriga personer tar sig in i lokalen och att avskräcka från sådana intrång samt att bevaka särskilt utsatta områden där stöldbegärliga varor hanteras. IMY konstaterar att bevakningen är begränsad till områden som är relevanta för de angivna syftena. Efter komplettering från Apotea har vidare framkommit att upptagningsområdet för en kamera delvis har maskerats för att undvika bevakning av kontorsplatser. Kamerorna är aktiva dygnet runt.

IMY bedömer att utredningen i ärendet ger stöd för att syftet med bevakningen inte rimligen kan skyddas på ett lika effektivt sätt genom alternativa åtgärder. Bevakningen är begränsad till områden som är relevanta för bevakningens syfte. IMY bedömer mot denna bakgrund att kamerabevakningen är nödvändig för att förebygga, avslöja och utreda brott.

Intresseavvägningen

IMY har därefter att pröva om den registrerades grundläggande fri- och rättigheter (integritetsintresset) väger tyngre än det berättigade intresse som bevakningen avser att skydda (bevakningsintresset).

Vad gäller bevakningsintresset har Apotea redogjort för två polisanmälda brott på anläggningen sedan 2018 samt uppgett att det därutöver inträffat flera misstänkta incidenter som inte har polisanmälts. Eftersom det är fråga om ett mycket begränsat antal inträffade brott anser IMY att dessa endast får en begränsad betydelse vid bedömningen av bevakningsintressets tyngd. Som framkommit ovan hanterar dock Apotea särskilt stöldbegärliga varor i form av läkemedel inklusive narkotika. Apoteas verksamhet är vidare sådan att bolaget måste följa de rättsliga krav som finns i fråga om säker hantering av läkemedel, vilket innefattar en skyldighet att skydda läkemedel från att stjälas. IMY bedömer mot denna bakgrund att Apoteas bevakningsintresse i syfte att förebygga, upptäcka och utreda brott väger relativt tungt.

Kamerabevakning av arbetsplatser kan – som redogjorts för ovan – ge upphov till särskilda integritetsrisker, vilket innebär att integritetsintresset som utgångspunkt väger tungt. I förevarande fall bedriver bolaget bevakning i brottsbekämpande syfte dels av inhägnat område utomhus, dels av områden inomhus. Vad gäller bevakningen inomhus träffar denna en stor mängd personer i form av besökare och anställda vilket ökar riskerna för integritetsintrång. Samtidigt är dessa platser av sådan karaktär att personer i regel inte kan förväntas uppehålla sig på platserna någon längre tid, vilket talar för en lägre risk för integritetsintrång. När det gäller bevakningen utomhus bedöms denna avse platser av mindre känslig karaktär där personer inte kan förväntas uppehålla sig annat än tillfälligt. I likhet med vad som framförts tidigare innebär vidare den omständighet att det är fråga om en arbetsplats där särskilt stöldbegärliga varor hanteras samt att Apotea är skyldig att uppfylla ett antal rättsliga krav för att skydda

läkemedel från stöld att anställda i större utsträckning än annars kan förvänta sig att kamerabevakning sker på arbetsplatsen.

Tillgången till det inspelade materialet för att utreda brottslighet är begränsad till ett antal utsedda chefer. I särskilda fall kan ytterligare en person med särskild befattning beviljas åtkomst för att assistera utredningen med teknisk kompetens. Som tidigare redogjorts för har den fysiska åtkomsten till platsen där materialet sparas begränsats och berörda personer informerats om bland annat tystnadsplikten och dess innebörd. Åtkomsten till materialet loggas och kan kontrolleras i efterhand.

Mot bakgrund av vad som framkommit i ärendet bedömer IMY – i synnerhet med beaktande av att det är fråga om bevakning av anställda som är i beroendeställning till sin arbetsgivare – att integritetsintresset väger relativt tungt. Vid en sammantagen avvägning mellan bevakningsintresset och integritetsintresset bedömer IMY dock att Apoteas intresse av att bevaka i brottsbekämpande syften väger något tyngre än integritetsintresset på platserna som bevakas. I bedömningen har särskilt beaktats att bevakningen är begränsad till områden som är relevanta för syftet med bevakningen, att tillgången till materialet är begränsad samt att Apoteas verksamhet är sådan att anställda i större utsträckning än vad som normalt gäller på en arbetsplats kan förvänta sig att kamerabevakning sker på arbetsplatsen.

Apotea har därmed rättslig grund för bolagets kamerabevakning i syfte att förebygga, avslöja och utreda brott.

Bevakning i syfte att tillhandahålla IT-support

Har Apotea ett berättigat intresse att tillhandahålla IT-support? Apotea har uppgett att syftet med att tillhandahålla IT-support via kameror är affärsrelaterat. Bevakningen har till syfte att ge visuellt stöd för Apoteas interna IT-jour – som är lokaliserad på annan ort – vid tekniska problem i produktionen. Det kan röra felsökningsärenden eller akut support som kräver visuell assistans. Apotea har vidare uppgett att det är viktigt att bolaget snabbt och effektivt kan avhjälpa tekniska problem som inte kan lösas på plats eftersom bolaget tillhandahåller livsnödvändig medicin dygnet runt.

IMY konstaterar att ett berättigat intresse kan vara ekonomiskt. Vidare ligger det i kunders intresse att tekniska problem avhjälps eftersom Apotea bland annat levererar läkemedel. Sammantaget bedömer IMY att Apotea har ett berättigat intresse att tillhandahålla IT-support för att avhjälpa tekniska problem som inte kan lösas på plats.

Är kamerabevakningen nödvändig?

Frågan är då om Apoteas kamerabevakning är nödvändig för att tillhandahålla ITsupport.

Apotea har uppgett att bolagets IT-avdelning är lokaliserad på annan ort och att det därför i vissa fall finns ett behov av att på distans få visuell åtkomst via verksamhetskamerorna för att tillhandahålla support i de fall problemet inte kan lösas på plats. Bevakningen används enligt Apotea endast som ett sista alternativ då andra avhjälpande åtgärder på plats inte har varit framgångsrika. Bevakningen sker endast i realtid och är begränsad till de kameror som bedömts vara relevanta för ändamålet att tillhandahålla IT-support.

IMY bedömer att utredningen i ärendet ger stöd för att syftet med bevakningen inte rimligen kan uppnås på ett lika effektivt sätt genom alternativa åtgärder. Bevakningen används som ett sista alternativ när andra mindre ingripande åtgärder är uttömda. IMY bedömer mot denna bakgrund att kamerabevakningen är nödvändig för att tillhandahålla IT-support.

Intresseavvägningen

IMY har därefter att pröva om den registrerades grundläggande fri- och rättigheter (integritetsintresset) väger tyngre än det berättigade intresse som bevakningen avser att skydda (bevakningsintresset).

Vad gäller bevakningsintresset har Apotea uppgett att syftet med bevakningen är affärsrelaterat och att bevakningen är nödvändig för att snabbt och effektivt kunna åtgärda tekniska fel och återuppta verksamheten. Även om det enligt IMY i viss mån får beaktas att det även ligger i kunders intresse att leveranser inte försenas på grund av tekniska fel konstaterar IMY att det angivna syftet i första hand är av ekonomisk natur. Intresset av kamerabevakningen i syfte att tillhandahålla IT-support är visserligen berättigat men väger enligt IMY relativt lätt.

I likhet med vad som gäller för den bevakning som sker i andra syften kan bevakningen i syfte att tillhandahålla IT-support innebära att arbetstagare bevakas på sin arbetsplats, vilket innebär att integritetsintresset som utgångspunkt väger tungt. I förevarande fall är det dock fråga om en begränsad bevakning som sker i realtid och endast när ett avhjälpande på plats inte varit möjligt. Tillgången till materialet är vidare begränsad till tre personer med särskild behörighet på IT-avdelningen som är informerade om bland annat tystnadsplikten och dess innebörd. Dessa omständigheter innebär att risken för integritetsintrång minskar avsevärt. Mot denna bakgrund bedömer IMY att integritetsintrånget väger relativt lätt.

Sammantaget bedömer IMY att Apoteas intresse av att bevaka i syfte att tillhandahålla IT-support väger något tyngre än integritetsintresset på platserna som bevakas. I bedömningen har särskilt beaktats att bevakningen sker i realtid, är begränsad till områden som är relevanta för syftet med bevakningen samt att tillgången till materialet är begränsad.

Apotea har därmed rättslig grund för bolagets kamerabevakning i syfte att tillhandahålla IT-support.

Bevakning i syfte att kontrollera varumottagning

Har Apotea ett berättigat intresse att kontrollera varumottagningen? Apotea har uppgett att syftet med att bevaka varumottagningen är affärsrelaterat. Varumottagningen bevakas för att Apoteas inköpsavdelning ska kunna kontrollera hur stor del av inleveransytan som är tillgänglig för kommande inleveranser och därigenom kunna planera verksamheten på ett effektivt sätt. IMY konstaterar att ett berättigat intresse kan vara ekonomiskt och bedömer att Apotea har ett berättigat intresse att kontrollera varuflödet i varumottagningen för att kunna planera sin verksamhet.

Är kamerabevakningen nödvändig?

Bevakningen av varumottagningen syftar inte till att kontinuerligt övervaka området utan till att ge bolagets inköpsavdelning en ögonblicksbild för att avgöra hur stor del av inleveransytan som är tillgänglig för kommande inleveranser av gods. Det är enligt Apotea nödvändigt för personalen på inköpsavdelning att ta del av bilderna för att de

ska kunna utföra sitt arbete att hantera inleveranskapacitet och planera verksamheten. Bevakningen är begränsad till att avse stillbilder som tas var femtonde minut och alla tidigare bilder raderas så att endast den senast tagna bilden finns tillgänglig. Bevakningen omfattar inte större område än som är nödvändigt för att uppfylla syftet med bevakningen. Enligt Apotea saknas effektiva alternativa åtgärder för bevakningen.

IMY konstaterar att bevakningen av varumottagningen är begränsad till relevant bevakningsområde och till att endast avse fyra stillbilder per timme. IMY bedömer att bevakningen av varumottagningen bidrar till effektiv planering av verksamheten och att bevakningen är nödvändig för att uppnå det angivna syftet.

Intresseavvägningen

Frågan är då om den registrerades grundläggande fri- och rättigheter (integritetsintresset) väger tyngre än det berättigade intresse som bevakningen avser att skydda (bevakningsintresset).

Vad gäller bevakningsintresset konstaterar IMY att syftet med bevakningen är affärsrelaterat. Även om intresset av att bedriva kamerabevakning är berättigat bedömer IMY att bevakningsintresset väger relativt lätt.

I likhet med vad som gäller för den bevakning som sker i andra syften kan bevakningen i syfte att kontrollera varumottagningen innebära att arbetstagare bevakas på sin arbetsplats, vilket innebär att integritetsintresset som utgångspunkt väger tungt. I förevarande fall är det dock fråga om en mycket begränsad bevakning i form av stillbilder var femtonde minut. Enligt Apotea är det endast ett fåtal personer som arbetar inom kamerans upptagningsområde och bolaget uppskattar att det endast är ett fåtal stillbilder per dygn som fångar medarbetare. De medarbetare som har tillgång till materialet är informerade om bland annat tystnadsplikten och att bildmaterial uteslutande får användas för de ändamål som de samlades in för. Dessa omständigheter innebär att risken för integritetsintrång minskar avsevärt. Att inköpsavdelningen har gruppbehörighet att ta del av bilderna ökar visserligen riskerna något, men mot bakgrund av framförallt att det är fråga om enstaka stillbilder i timmen bedömer IMY sammantaget att integritetsintresset på platsen väger lätt.

Sammantaget bedömer IMY att Apoteas intresse av att bevaka i syfte att kontrollera varumottagningen väger tyngre än integritetsintresset på platsen som bevakas. I bedömningen har särskilt beaktats att bevakningen sker i form av stillbilder var femtonde minut och endast undantagsvis innebär att medarbetare fångas i bild.

Apotea har därmed rättslig grund för bolagets kamerabevakning i syfte att kontrollera varumottagningen.

Upplysningsplikt och informationsskyldighet

Den som bedriver kamerabevakning har långtgående skyldigheter att informera berörda personer om den pågående bevakningen. Dels gäller enligt 15 § kamerabevakningslagen ett krav på att upplysning om kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Utöver detta ska den som är personuppgiftsansvarig för kamerabevakning lämna information om bevakningen och den personuppgiftsbehandling som bevakningen innebär enligt artiklarna 12 och 13 i dataskyddsförordningen. IMY ska därför bedöma om bolaget har levt upp till kraven i dessa bestämmelser avseende sin kamerabevakning.

Upplysningsplikt enligt kamerabevakningslagen

Kravet på upplysning enligt kamerabevakningslagen innebär att den som bedriver kamerabevakning på en plats måste upplysa om detta. Bestämmelsen avser själva användningen av kamerabevakningsutrustning och inte den behandling av personuppgifter som bevakningen innebär. Bestämmelsen innehåller inga krav i övrigt angående vilken information som ska lämnas. Upplysningsplikten får därmed anses vara uppfylld om den som bedriver bevakningen på ett tydligt sätt lämnar upplysning om att kamerabevakning sker på en viss plats. Denna upplysning ska lämnas genom skyltning eller på något annat verksamt sätt.

Av utredningen i ärendet framgår att bolaget har satt upp skyltar runt om i lokalerna, dels i anslutning till infart för fordon och vid inpassering för anställda och besökare, dels i direkt anslutning till de kamerabevakade områdena. IMY bedömer mot denna bakgrund att Apotea har lämnat upplysning om bevakningen genom tydlig skyltning och därigenom uppfyllt upplysningskravet i 15 § kamerabevakningslagen.

Informationsplikt enligt dataskyddsförordningen

Tillämpliga bestämmelser

I artiklarna 12-14 i dataskyddsförordningen finns bestämmelser om vilken information som den personuppgiftsansvarige ska lämna till den registrerade vid alla former av personuppgiftsbehandling, inklusive vid kamerabevakning.

Artikel 12 innehåller allmänna bestämmelser om rätten till information och de registrerades rättigheter i övrigt. I artikeln anges bland annat att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Vidare framgår att informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form.

Artikel 13 reglerar vilken information som ska lämnas när personuppgifterna samlas in direkt från den registrerade och artikel 14 vilken information som ska lämnas när personuppgifterna samlas in från någon annan än den registrerade. Vid kamerabevakning anses personuppgifter samlas in direkt från den registrerade. IMY ska därför bedöma om bolaget har levt upp till sina skyldigheter enligt artiklarna 12 och 13 i dataskyddsförordningen.

Enligt artikel 13.1 och 13.2 ska den personuppgiftsansvarige bland annat informera den registrerade om följande.

• Den personuppgiftsansvariges identitet och kontaktuppgifter. • Kontaktuppgifter till dataskyddsombudet. • Ändamålet med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. • Om den rättsliga grunden är artikel 6.1 f (intresseavvägning), vilket berättigat intresse behandlingen syftar till att tillvarata.

• Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall. • Den period under vilken personuppgifterna kommer att lagras eller de kriterier som används för att fastställa denna period. • Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling. • Att den registrerade har rätt att inge klagomål till en tillsynsmyndighet.

Av artikel 13.4 framgår att punkterna 1, 2 och 3 inte ska tillämpas om och i den mån den registrerade redan förfogar över informationen.

Informationen ska i princip lämnas till den registrerade innan behandlingen av den registrerades personuppgifter påbörjas. Mot bakgrund av att det är fråga om en stor mängd information som ska lämnas till den registrerade har EDPB tagit fram riktlinjer kring hur den personuppgiftsansvarige kan gå tillväga för att leva upp till kraven i artiklarna 12 och 13. Av dessa riktlinjer framgår att den personuppgiftsansvarige kan använda sig av en stegvis metod för att tillhandahålla den information som framgår av artikel 13. Den stegvisa metoden innebär att den information som är av störst vikt för den registrerade ska redovisas redan innan den registrerade kliver in i det bevakade området, till exempel på en skylt (det första informationslagret). Övrig information kan redovisas på annat sätt, till exempel på en webbplats eller i ett komplett informationsblad på en central plats som till exempel vid en informationsdisk eller i en reception (det andra informationslagret).

Vilken information som är av störst vikt för den registrerade och som därmed ska ingå i det första informationslagret kan variera beroende på hur och på vilken plats bevakningen sker, men bör generellt sett omfatta den personuppgiftsansvariges identitet och kontaktuppgifter, syftet med bevakningen, den registrerades rättigheter och information om behandlingens främsta inverkan (till exempel lagringstid, publicering av material eller överföring av material till tredje part). Det första informationslagret bör dessutom innehålla all information som kan vara förvånande för den registrerade, till exempel om överföring av material sker till tredje part eller om det är fråga om en lång lagringsperiod av det inspelade materialet. Slutligen ska det första informationslagret innehålla en hänvisning till hur den registrerade kan gå tillväga för att ta del av det andra informationslagret, till exempel genom en länk till en webbplats, en QR-kod eller ett telefonnummer som den registrerade kan ringa.

Hur Apotea lämnar information om bevakningen till den registrerade I det första informationslagret, som består av skyltar på anläggningen, informerar Apotea den registrerade om att bolaget bedriver kamerabevakning på platsen, syftena med bevakningen och den maximala lagringstiden för inspelat material. För ytterligare information och för att ta del av sina rättigheter såsom rätten till tillgång hänvisas den registrerade till bolagets fullständiga integritetspolicy som kan nås via anslag eller hos närmsta chef. På skylten finns även kontaktuppgifter till bolagets dataskyddsombud.

För anställdas del utgörs det andra informationslagret av bolagets personuppgifts- och integritetspolicy för anställda. I policyn informerar bolaget om den rättsliga grunden för behandlingen (intresseavvägning) samt vilka intressen bevakningen syftar till att

tillvarata. Policyn innehåller även mer detaljerad information om vilka lagringstider som tillämpas beroende på för vilket syfte bevakningen sker samt att den registrerade har möjlighet att inge klagomål till IMY. Vidare anges att Apotea kan vara skyldiga att lämna ut personuppgifter till exempelvis Polismyndigheten i samband med brottsutredning. I fråga om registrerades rättigheter anges att den registrerade har rätt till att en gång per kalenderår ta del av sina personuppgifter och/eller begära att få dem raderade samt att en sådan begäran måste vara skriftlig, innehålla den registrerades personnummer och vara undertecknad av den registrerade. Vidare anges att den registrerade har rätt att begära att uppgifterna rättas eller raderas om de skulle vara ofullständiga, felaktiga eller irrelevanta.

För externa besökare utgörs den andra informationslagret av ett informationsblad angående behandling av personuppgifter via kamerabevakning som finns vid inskrivningsplatsen. I informationsbladet redogörs för den rättsliga grunden för bevakningen och vilka intressen bevakningen syftar till att tillvarata. Informationsbladet innehåller även mer detaljerad information om vilka lagringstider som tillämpas beroende på för vilket syfte bevakningen sker samt att den registrerade har möjlighet att inge klagomål till IMY. Vidare anges att kamerabevakningsmaterial kan delas med brottsbekämpande organ för ändamålet att utreda ett brott. I fråga om registrerades rättigheter anges att den registrerade har rätt att begära tillgång till och rättelse eller radering av sina personuppgifter samt rätt att begära att personuppgifter ska sluta behandlas eller att behandlingen ska begränsas.

IMY:s bedömning

IMY konstaterar inledningsvis att Apotea har lämnat merparten av den information som ska lämnas enligt artikel 13 i antingen det första eller andra informationslagret.

I fråga om information om mottagare av personuppgifter (artikel 13.1 e) framgår det av EDPB:s riktlinjer att sådan information kan vara förvånande för den registrerade och att informationen därför kan behöva lämnas i det första informationslagret. Mot bakgrund av att syftet med bevakningen bland annat är att utreda brott, vilket anges på det första informationslagret, bör det dock inte vara förvånande för de registrerade att materialet kan komma att lämnas till brottsbekämpande myndigheter. I förevarande fall lämnas vidare information om att inspelat material kan överlämnas till brottsbekämpande myndigheter i det andra informationslagret både för anställda och externa besökare. IMY bedömer sammantaget att det i ärendet inte finns stöd för slutsatsen att frånvaron av information om brottsbekämpande myndigheter som mottagare av inspelat material i det första informationslagret innebär en brist i förhållande till artikel 13 i dataskyddsförordningen.

När det gäller information om den personuppgiftsansvariges kontaktuppgifter konstaterar IMY att det på det första informationslagret visserligen anges personuppgiftsombudets e-postadress. Detta är dock en separat uppgift som ska informeras om enligt artikel 13 och kan inte likställas med att vara kontaktuppgift till den personuppgiftsansvarige. Kontaktuppgifter i form av postadress återfinns visserligen i det andra informationslagret men bör, i enlighet med vad som framgår EDPB:s riktlinjer, framgå redan av det första informationslagret. IMY konstaterar att anställda kan förväntas förfoga över kontaktuppgifter till sin arbetsgivare, men att detta inte nödvändigtvis gäller för externa besökare. Att det saknas kontaktuppgifter till Apotea på kamerabevakningsskyltar bedöms därför utgöra en brist i förhållande till artikel 13 i dataskyddsförordningen.

Av EDPB:s riktlinjer framgår att skylten måste tydligt hänvisa till informationen i det andra informationslagret samt var och hur man hittar den. IMY konstaterar att det på skylten anges att om den registrerade vill ha ytterligare information hänvisas denne till bolagets integritetspolicy som kan nås via anslag eller hos närmsta chef. I förhållande till externa besökare bedömer IMY att hänvisningen till närmsta chef inte är relevant samt att uttrycket ”nås via anslag” är allt för vagt för att anses ge tydlig information om var ytterligare information kan erhållas. Att kamerabevakningsskyltarna inte innehåller en tydlig hänvisning till var ytterligare information kan erhållas utgör enligt IMY:s bedömning en brist i förhållande till artikel 13 i dataskyddsförordningen.

I fråga om innehållet i det andra informationslagret för anställda konstaterar IMY att Apoteas personuppgifts- och integritetspolicy för anställda saknar information om rätten att begära begränsning av behandling och att invända mot behandling. Detta innebär en brist i förhållande till artikel 13 i dataskyddsförordningen.

I dokumentet framgår visserligen att anställda har rätt att begära tillgång, rättelse och radering. Dessa rättigheter anges dock vara begränsade till att endast gälla en gång per år samt innehåller formkrav med innebörden att begäran måste vara skriftlig, innehålla personnummer och vara underskriven av den registrerade. IMY konstaterar att en personuppgiftsansvarig visserligen under vissa omständigheter får vägra att tillmötesgå en registrerads begäran om bland annat rättelse och radering om den personuppgiftsansvarige visar att denne inte är i stånd att identifiera den registrerade (artikel 11.1 och 12.2 i dataskyddsförordningen) samt att den personuppgiftsansvarige får ta ut en rimlig avgift eller vägra att tillmötesgå sådana begäranden om dessa är uppenbart ogrundade eller orimliga, särskilt på grund av dess repetitiva art (artikel 12.5 i dataskyddsförordningen). I dataskyddsförordningen finns dock inte några specifika begränsningar som ger stöd för att en registrerad endast får utöva sina rättigheter en gång per år eller att begäran alltid måste vara skriftlig och innehålla personnummer och underskrift. I stället måste en bedömning göras i varje enskilt fall. Den information som Apotea lämnar ger därför enligt IMY felaktigt sken av att de anställdas rättigheter med avseende på den personuppgiftsbehandling som kamerabevakningen innebär är begränsade i tid samt alltid behäftade med formkrav på ett sätt som saknar stöd i dataskyddsförordningen. IMY bedömer mot denna bakgrund att informationen i personuppgifts- och integritetspolicyn för anställda om att anställdas rätt att utöva sina rättigheter endast får ske en gång per kalenderår och att begäran är behäftad med vissa formkrav utgör en brist i förhållande till artikel 13.2 b i dataskyddsförordnigen.

Sammanfattningsvis bedömer IMY att de brister som konstaterats ovan innebär att Apotea har överträtt artikel 13 i dataskyddsförordningen.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel

58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY har konstaterat att Apotea har överträtt artikel 13 i dataskyddsförordningen genom att inte ange kontaktuppgifter till bolaget på sina kamerabevakningsskyltar, på sina kamerabevakningsskyltar inte lämna tillräckligt tydlig information om var den registrerade kan ta del av ytterligare information samt lämna ofullständig och missvisande information i det andra informationslagret för anställda. En överträdelse av den bestämmelsen kan föranleda en sanktionsavgift.

IMY bedömer att den ofullständiga och missvisande informationen om registrerades rättigheter i Apoteas personuppgifts- och integritetspolicy för anställda innebär en risk för att registrerade inte får kännedom om sina rättigheter eller utövar sina rättigheter i mindre utsträckning än vad de har rätt till enligt dataskyddsförordningen.

När det gäller frånvaron av kontaktuppgift på skyltarna innebär detta främst en brist i förhållande till externa besökare, eftersom anställda kan förväntas ha kännedom om sin arbetsgivares kontaktuppgifter. Det konstateras också att kontaktuppgifter finns i det andra informationslagret för både anställda och externa besökare.

Även bristen i form av otydlig information om var den registrerade kan ta del av det andra informationslagret är hänförlig till externa besökare, vilka utgör en mindre del av antalet personer som träffas av bevakningen. Det är vidare fråga om en otydlighet och inte en frånvaro av hänvisning till det andra informationslagret. Apotea har även uppgett att informationsbladet finns tillgängligt vid inskrivningen som alla externa besökare passerar.

IMY konstaterar även att kamerabevakningen i fråga bedrivs på platser dit allmänheten inte har tillträde vilket innebär att bristerna i informationen drabbar en avgränsad krets av personer.

IMY finner vid en samlad bedömning av omständigheterna att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 att det finns anledning att avstå från att påföra Apotea en sanktionsavgift för den konstaterade överträdelsen. Apotea ska därför, med stöd av artikel 58.2 b i dataskyddsförordningen, i stället ges en reprimand för den konstaterade överträdelsen.

Det är enligt IMY angeläget att Apotea vidtar åtgärder för att säkerställa att de registrerade får korrekt och fullständig information avseende den aktuella kamerabevakningen. Det finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga Apotea att vidta åtgärder för att säkerställa att det på kamerabevakningsskyltarna på anläggningen i Morgongåva finns kontaktuppgifter till bolaget och en tydlig hänvisning till var externa besökare kan ta del av ytterligare information samt att det i det andra informationslagret för anställda finns uppgift om samtliga rättigheter som avses i artikel 13.2 b och att dessa rättigheter inte är begränsade i en omfattning som går utöver vad som framgår av dataskyddsförordningen. Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut vunnit laga kraft.

Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Andreas Persson. Charlotte Waller Dahlberg, 2023-03-13 (Det här är en elektronisk signatur)

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

Tillsynsskrivelse

DI-2021-774 Tillsyn enligt dataskyddsförordningen

Integritetsskyddsmyndigheten (IMY), tidigare Datainspektionen har beslutat att granska er personuppgiftsbehandling och har inlett ett tillsynsärende. Ni behöver därför svara på våra frågor.

Varför granskar IMY er verksamhet?

IMY är tillsynsmyndighet och ansvarar för att övervaka tillämpningen av dataskyddsförordningen (GDPR) och kamerabevakningslagen (2018:1200). Det innebär bland annat att vi har till uppgift att kontrollera om kamerabevakning som bedrivs i Sverige utförs på ett korrekt sätt.

Vi har tagit del av uppgifter i media som gör gällande att ni bedriver kamerabevakning på ert logistikcenter vid Tjusarvägen 40, Morgongåva (se bilaga 1). Det framgår bland annat att det sker kontinuerlig bevakning med bildinspelning av era arbetstagare under arbetstid och att kamerorna även används för arbetsledning.

Kamerabevakning är en form av personuppgiftsbehandling. Den som bedriver kamerabevakning måste följa bestämmelserna i GDPR och kamerabevakningslagen. IMY har beslutat att inleda tillsyn mot er för att utreda om er kamerabevakning följer dessa lagar.

Våra frågor

IMY vill att ni svarar på följande frågor:

1. Bedriver eller har ni vid något tillfälle bedrivit kamerabevakning vid ert verksamhetsställe vid Tjusarvägen 40, Morgongåva? 2. Är Apotea AB personuppgiftsansvarig för bevakningen?

Allmänt om kamerabevakningen

3. Hur många kameror använder ni? Bifoga en ritning där respektive kameras placering och upptagningsområde framgår tydligt. Bifoga skärmbild från

samtliga kameror. 4. När började ni bedriva kamerabevakning?

5. Beskriv området eller områdena ni bevakar. Ange till exempel vilken typ av verksamhet ni bedriver på platserna som bevakas eller vilka personer eller personalkategorier som uppehåller sig inom de bevakade områdena. 6. Vilken typ av kameror är uppsatta?

Hur kamerabevakningen bedrivs

7. Under vilka tider är kamerorna igång? 8. Varför har ni valt just dessa tider för bevakning?

9. Bedriver ni bevakning i realtid? a. Om ja, ange med vilka kameror. b. Beskriv hur realtidsbevakningen bedrivs, t.ex. under vilka tider realtidsbevakning sker, var monitor för realtidsbevakningen är placerad samt vilka personer som har behörighet att titta på bevakningen i realtid.

10. Sker bildinspelning? a. Om ja, ange med vilka kameror. b. Ange hur lång tid bildmaterial sparas samt hur ni motiverat den valda lagringstiden. c. Hur många och vilka personer/befattningshavare har tillgång till det inspelade bildmaterialet? Beskriv hur ni har valt att begränsa kretsen av personer med denna behörighet.

11. Avlyssnar ni eller spelar ni in ljud med kamerorna? a. Om ja, ange med vilka kameror. b. Ange syftet med ljudavlyssning och/eller ljudupptagningen.

Ändamål och rättslig grund

12. För vilket eller vilka ändamål bedriver ni kamerabevakning? Sker bevakningen för flera syften, redogör för varje syfte separat. 13. Vilken rättslig grund enligt artikel 6.1 GDPR stödjer ni kamerabevakningen på? Förklara hur ni har resonerat och motivera ert val av rättslig grund. 14. Har ni vidtagit några alternativa åtgärder för att uppnå syftet med bevakningen? Om ja, beskriv vilka åtgärder ni vidtagit och varför dessa åtgärder inte har varit tillräckliga för att uppnå syftet.

Upplysningsplikt och rätt till information

15. Enligt artikel 13 GDPR är den personuppgiftsansvarige skyldig att tillhandahålla information till registrerade personer om den behandling av personuppgifter som pågår, inklusive vid kamerabevakning. Vilken information har ni tillhandahållit till de som har blivit föremål för kamerabevakning? 16. Hur har informationen tillhandahållits? När och av vem? Inkom med eventuellt skriftligt informationsmaterial som har tillhandahållits till de som blivit föremål för bevakningen. 17. Enligt 15 § kamerabevakningslagen ska upplysning om kamerabevakning lämnas genom tydlig skyltning eller på något annat verksamt sätt. Hur lämnar ni upplysning om er bevakning? Om ni använder skyltar, bifoga en bild eller kopia av skylten.

Andra omständigheter av betydelse

18. Har ni något övrigt att tillägga gällande er kamerabevakning eller de uppgifter som framgår av bilaga 1?

Era svar

Svara skriftligt till IMY senast den 24 februari 2021. Förutsatt att svaret inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess, kan ni e-posta det till och referera till vårt diarienummer DI-2021-774.

Måste ni svara IMY?

Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen, GDPR . Det innebär att vi får begära att ni lämnar all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

Vad händer sen?

När IMY är färdig med granskningen kommer ni att få ett beslut. Där kommer ni att få besked om eventuella brister i ert dataskydd och om ni måste vidta några korrigerande åtgärder. IMY kan exempelvis påföra administrativa sanktionsavgifter enligt dataskyddsförordningen. Om ni har frågor kontakta Gustav Linder på tfn. 08-657 61 57. Med vänlig hälsning Gustav Linder, 2021-02-10 (Det här är en elektronisk signatur)

Information om IMY:s behandling av personuppgifter

https://