Granit Bostad Beritsholm AB

1. Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Granit Bostad Beritsholm AB (556529–2215) under perioden 1 november 2022 till och med 11 december 2024 har behandlat personuppgifter i strid med artikel 6.1 och artikel 13 i dataskyddsförordningen genom att utan rättslig grund bedriva kamerabevakning i bolagets fastighet på Limhamnsvägen 22a i Malmö. Granit Bostad Beritsholm AB uppfyller inte heller kravet på information till de registrerade avseende kamerabevakningen.

Administrativ sanktionsavgift

IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Granit Bostad Beritsholm AB ska betala en administrativ sanktionsavgift på 200 000 (tvåhundratusen) kronor för de ovan konstaterade överträdelserna av artiklarna 6.1 och 13 i dataskyddsförordningen.

Föreläggande

Integritetsskyddsmyndigheten förelägger Granit Bostad Beritsholm AB enligt artikel 58.2 d i dataskyddsförordningen att senast fyra veckor efter att detta beslut fått laga kraft vidta åtgärder för att säkerställa att

1. bolaget upphör med kamerabevakningen av samtliga platser i fastigheten undantaget garaget.

2. det på kamerabevakningsskyltarna finns uppgifter om bolagets identitet och och kontaktuppgifter till bolaget, i form av mailadress eller telefonnummer.

2. Redogörelse för tillsynsärendet

2.1 Bakgrund

IMY har inlett tillsyn mot Granit Bostad Beritsholm AB (bolaget) i syfte att utreda ett klagomål om att bolaget bedriver otillåten kamerabevakning i flerbostadshus på Limhamnsvägen 22a i Malmö samt brister i sin informationsskyldighet.

2.2 Vad som framkommit i ärendet

Klaganden har uppgett i huvudsak följande. Klaganden bor i hyresfastigheten på Limhamnsvägen 22a i Malmö där det bedrivs omfattande kamerabevakning. Det finns kameror vid tre huvudentréer, vid hissar och vid lägenhetsdörrar på bottenplan samt ett flertal kameror i källargång i anslutning till ingång till förråd, tvättstuga och bastu. Det finns även ett flertal kameror i garage, cykelförråd, soprum, återvinningsrum samt inomhus vid entrén på baksidan av fastigheten. Klaganden har kontaktat hyresvärden angående omfattningen av kamerabevakningen och bristen på information. Det finns ingen fysisk information på plats, eller på annat sätt, som besökare och hyresgäster kan ta del av. Klaganden anser att det bör finnas information i övrigt kring behandling av personuppgifter till hyresgästerna, såsom loggning av användning av taggar för

inpassering. Området där fastigheten är belägen är generellt mycket lugnt utan vidare problem, därför bör omfattningen av kamerabevakningen ske på ett sätt som minimerar upptagningen i förhållande till problemen. I december 2022 fick klaganden svar från hyresvärden att de ska se över informationsbehovet avseende kamerabevakningen. Klaganden har inte fått några konkreta besked om åtgärder och upplever därför inte trygghet i om personuppgifter, som samlas in genom kamerabevakning, behandlas korrekt och säkert samt enligt dataskyddsförordningen.

Bolaget har uppgett i huvudsak följande. I samband med att bolaget tog över fastigheten den 1 november 2022 tog de även över driften av kamerabevakningssystemet. Det är okänt när bevakningen påbörjades, en omfattande systemombyggnad skedde år 2013. Området har historiskt haft problem med incidenter i form av bl.a. cykelstölder, inbrottsförsök, förrådsinbrott, bilinbrott, skadegörelse och klotter i allmänna utrymmen. De flesta incidenter har utretts framgångsrikt.

Bolaget bedriver kamerabevakning på Limhamnsvägen 22a i Malmö och är personuppgiftsansvarig för behandling av personuppgifter. Kamerabevakningen sker med 18 kameror som är monterade i garage, källare, förråd, drift, tvättstuga och soprum. Kamerorna är riktade mot garage, källarentré vid gym, cykelförråd, värmecentral, utanför kontor, korridor mot tvättstuga och garage, trapphus A-C, källare i trappa C, förråd och soprum. Kamerabevakningen sker dygnet runt eftersom incidenter och brott inträffar vid dygnets alla timmar, på vardagar och helger. Inspelning sker vid rörelsedetektering med samtliga kameror. Det sker ingen realtidsbevakning och ingen ljudinspelning. Det har inträffat inbrott och skadegörelse under varierande tider på dygnet, därav valet av tid för bevakningen. Bildmaterial sparas i 14 dagar på grund av att det endast finns en förvaltare och kontoret inte har fasta bemanningstider. Det kan även ta tid att upptäcka en incident. Tre personer har tillgång till inspelat bildmaterial.

Syftet med bevakningen är att motverka och förebygga brott, skapa trygg boendemiljö, dokumentera underlag vid incidenter samt motverka stora kostnader vid omfattande felsortering och olägenhet på grund av skadedjur. Vidare sker kamerabevakningen i avskräckande syfte. Kamerorna är uppskattade av hyresgästerna och de har en avskräckande funktion vad gäller inbrott och bedrägeriförsök. Bolaget har generellt fått ett positivt intryck från de boende avseende kamerabevakningen.

Bolaget har inkommit med bl.a. en dokumenterad intresseavvägning, en ritning som visar var kameror är monterade, skärmbilder från samtliga kameror, kopia på äldre skyltar och nya skyltar, kartbild, koncernstruktur som bolaget ingår i, en sammanställning av incidenter och polisanmälningar hämtat från polisen samt kopia på integritetspolicy.

2.3 Omfattningen av IMY:s granskning i ärendet

IMY:s granskning i ärendet är avgränsad till frågorna om den personuppgiftsbehandling som kamerabevakningen innebär, sedan 1 november 2022, har haft laglig grund enligt dataskyddsförordningen och om bolaget har uppfyllt kravet på upplysning enligt 15 § kamerabevakningslagen (2018:1200) samt skyldigheten att lämna information enligt artikel 13 i dataskyddsförordningen. IMY:s granskning i detta tillsynsärende omfattar inte om bolagets kamerabevakning sker i enlighet med övriga gällande bestämmelser i dataskyddsförordningen.

3. Motivering av beslutet

3.1 Vilken lagstiftning gäller för aktuell kamerabevakning?

Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och kamerabevakningslagen.

3.1.1 Dataskyddsförordningen

Dataskyddsförordningen ska enligt artikel 2.1 tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring, läsning och radering.

Om en bevakningskamera filmar en identifierbar person, eller någon annan personuppgift, sker en behandling av personuppgifter och reglerna i dataskyddsförordningen måste följas. IMY konstaterar att bolagets bevakningskameror filmar identifierbara personer och att dataskyddsförordningens bestämmelser därmed gäller avseende aktuell personuppgiftsbehandling.

Den personuppgiftsansvarige ska identifiera den lagliga grunden i artikel 6 i dataskyddsförordningen innan kamerabevakningen inleds, och ansvarar - både gentemot de registrerade och i förhållande till tillsynsmyndigheten - för att principerna om behandling av personuppgifter i artikel 5 i dataskyddsförordningen efterlevs. Principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen innebär att den personuppgiftsansvarige måste kunna visa att artikel 5.1 följts, vilket innebär att tillämpningen av dataskyddsförordningen ofta behöver dokumenteras.

3.1.2 Kamerabevakningslagen

Kamerabevakningslagen (2018:1200), är en kompletterande lag i förhållande till dataskyddsförordningen. Av 3 § 1 kamerabevakningslagen framgår att med kamerabevakning avses en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning som, utan att manövreras på platsen, används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

Den aktuella kamerabevakningen manövreras inte på platsen och innebär en varaktig bevakning av boende och övriga besökare i fastigheten. IMY bedömer att även kamerabevakningslagen därmed är tillämplig på den aktuella bevakningen.

3.2 Är bolaget personuppgiftsansvarig?

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, den fysiska eller juridiska person som, ensamt eller tillsammans med andra, bestämmer ändamålen och medlen för behandlingen av personuppgifter. Avgörande för frågan om vem som är personuppgiftsansvarig är vem eller vilka som har bestämt varför och hur behandlingen sker, samt utövar ett inflytande över vilka personuppgifter som samlas in och behandlas, hur länge de lagras och vem som har åtkomst. Bedömningen av vem

eller vilka som är personuppgiftsansvarig för viss behandling ska alltid utgå från de faktiska omständigheterna i det specifika fallet.

Granit Bostad Beritsholm AB har uppgett att bolaget är personuppgiftsansvarig för behandlingen av personuppgifter som sker genom aktuell kamerabevakning på Limhamnsvägen 22a i Malmö. IMY anser att detta har stöd i utredningen och bedömer därför att bolaget är personuppgiftsansvarig för den aktuella personuppgiftsbehandlingen i den mening som avses i artikel 4.7 i dataskyddsförordningen.

3.3 Har kamerabevakningen haft laglig grund i dataskyddsförordningen?

För att behandling av personuppgifter ska vara laglig krävs att det finns stöd i minst en av de lagliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Bolaget har uppgett att aktuell kamerabevakning har stöd i den lagliga grund som anges i artikel 6.1 f i dataskyddsförordningen, vilket är den så kallade intresseavvägningen. Det finns tre förutsättningar som samtliga måste vara uppfyllda för att kamerabevakningen ska kunna ske med stöd av artikel 6.1 f i dataskyddsförordningen: Den personuppgiftsansvariga måste kunna visa 1) att det finns ett berättigat intresse, 2) att den aktuella behandlingen av personuppgifter är nödvändig för att uppnå det intresset, samt 3) att det berättigade intresset (bevakningsintresset) vid en avvägning väger tyngre än de registrerades grundläggande fri- och rättigheter (integritetsintresset) på platsen.

3.3.1 Finns det ett berättigat intresse?

För att det intresse som bevakningen avser att skydda ska anses berättigat behöver det normalt sett ha stöd i relevant nationell rätt eller i EU-rätten. En bostadsrättsförening som vill skydda bostadsrättsinnehavarnas egendom, hälsa och liv kan anses ha ett sådant berättigat intresse. Att skydda egendom, hälsa och liv kan utgöra ett berättigat intresse för kamerabevakning, under förutsättning att det är fråga om ett faktiskt intresse och inte ett intresse som är fiktivt eller spekulativt vid tidpunkten för personuppgiftsbehandlingen. Detta innebär i regel att det måste ha inträffat brott eller andra incidenter som gör att det föreligger ett konkret bevakningsbehov.

Bolaget har angett att syftet med kamerabevakningen är att öka säkerheten och tryggheten för hyresgästerna, förebygga och utreda brott samt skydda fastighetens egendom. Bolaget har också angett att bevakningen sker i avskräckande syfte. Bevakningen försvårar inbrottsförsök i lägenheter, vind och källare på grund av att personer blir bevakade på vägen ut med eventuellt stöldgods. Av utredningen framgår att det sedan år 2019 har inträffat incidenter i form av bl.a. bilinbrott, stöld, skadegörelse, klotter, inbrott och inbrottsförsök. IMY bedömer att bolaget har ett berättigat intresse av att bedriva kamerabevakning för att öka säkerheten och tryggheten för hyresgästerna, förebygga och utreda brott samt skydda egendom.

3.3.2 Är kamerabevakningen nödvändig för att uppnå det berättigade intresset?

Att den kamerabevakning som bedrivs ska vara nödvändig innebär att det berättigade intresset inte rimligen kan skyddas på ett lika effektivt sätt på andra sätt som i mindre

utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter. Det ska beaktas om kamerorna har använts på ett sätt som begränsar det intrång i den personliga integriteten som bevakningen innebär utan att för den sakens skull äventyra bevakningens effektivitet, vilket innefattar en bedömning av om det exempelvis är tillräckligt att kamerabevakningen sker begränsad till vissa platser eller tider. Nödvändigheten ska prövas tillsammans med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen , som innebär att personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

Av utredningen i ärendet framgår att alternativa åtgärder har vidtagits genom att begränsa tillträde till fastigheten med hjälp av passersystem med taggar, uppgradering av starkare portautomatik, montering av galler framför dörrar och rörelsevakt för automatisk belysning samt förbättring av belysning. Vid källarentrén finns belysning som sätts på vid rörelse på grund av att personer har rört sig nära hyresgästers balkonger under kvällstid. Åtgärderna vidtogs av tidigare ägare och har inte minskat incidenterna i tillräcklig omfattning enligt bolaget. Bolaget uppger att i de områden där kameror finns uppsatta har det haft en avskräckande funktion avseende inbrott och bedrägeriförsök. IMY konstaterar att tidigare fastighetsägare har vidtagit alternativa och mindre integritetskänsliga åtgärder till kamerabevakning samt att bevakningen enligt bolaget har haft en avskräckande effekt. IMY bedömer att även om bolaget varken har begränsat bevakningen i tid respektive upptagningsområde, t.ex. genom maskning, i syfte att minska integritetsintrånget, kan bevakningen anses vara nödvändig för att skydda bolagets och de boendes berättigade intressen.

3.3.3 Väger bevakningsintresset tyngre än integritetsintresset på platsen?

Att det berättigade intresse som bevakningen avser att skydda (bevakningsintresset) vid en avvägning ska väga tyngre än de registrerades grundläggande fri- och rättigheter (integritetsintresset), innebär att den personuppgiftsansvariga måste utvärdera riskerna för intrång i den registrerades rättigheter. Det avgörande kriteriet är intrångets intensitet för den registrerades rättigheter och friheter, som bl.a. kan definieras utifrån informationsinnehållet, omfattningen, situationen i fråga och den registrerades faktiska intressen. Vidare ska hänsyn tas till vilken typ av personuppgiftsbehandling det är fråga om och hur denna konkret går till. Vid avvägningen mellan integritetsintresset och bevakningsintresset ska även beaktas den registrerades rimliga förväntningar vid tidpunkten och i samband med behandlingen av dess personuppgifter.

Avseende integritetsintresset konstaterar IMY följande. All kamerabevakning innebär ett intrång i den enskildes integritet. Europeiska dataskyddsstyrelsen (EDPB) har i riktlinjer, som är vägledande för hur dataskyddsförordningens bestämmelser ska tolkas, uttalat att registrerade inte rimligen bör förvänta sig att bli föremål för bevakning i bostadsområden. IMY anser att kamerabevakning i boendemiljöer som utgångspunkt är mycket känsligt ur integritetssynpunkt. Integritetsintresset varierar dock beroende på det specifika området för bevakningen.

Vad gäller bevakningsintresset har bolaget uppgett att många människor rör sig i området där fastigheten är belägen. Dels på grund av att det bl.a. finns en strand i närheten som många människor besöker. Bolaget hänvisar till uppgifter i

Brottsförebyggande rådets senaste upplaga av Kriminalstatistik, anmälda brott 2023. I upplagan framgår att det i storstadskommuner som bl.a. Malmö anmäls ett stort antal brott på grund av den höga genomströmningen av människor som inte är bofasta i kommunen, vilket förklarar den höga brottsligheten i området. Bolaget har inkommit med en sammanställning av 25 incidenter som inträffat i området där fastigheten är belägen under perioden 13 september 2017 och 13 december 2023. Bolaget har också inkommit med en sammanställning av incidenter och polisanmälningar avseende år 2019 till och med år 2024, hämtat från polisen, som inträffat i området där fastigheten är belägen och området omkring fastigheten. Bolaget har vidare uppgett att polisen inte får lämna ut anmälningar och händelser hänförliga till fastigheten. IMY anser att bolaget har visat att det förekommit brott och incidenter i området där fastigheten är belägen. Det är dock inte visat att dessa brott och incidenter har inträffat i fastigheten eller på de platser i fastigheten som bevakas. IMY anser därmed inte att underlaget som bolaget inkommit med påverkar IMY:s bedömning av bevakningsintresset i aktuell fastighet där bolaget bedriver kamerabevakning.

Entréer och trapphusen

Kamerabevakning som sker innanför entrén eller i trapphuset till lägenheter ses generellt som särskilt integritetskänslig eftersom de boende blir övervakade när de kommer till och lämnar sina bostäder. Det möjliggör en kartläggning av de boendes vanor, besök och umgängeskrets. Det är nu fråga om kamerabevakning dygnet runt av entréer till samtliga trapphus, såväl trapphus A, B och C, och en källarentré till fastigheten vid ett gym. Inom upptagningsområdet av trapphus B finns även en gästlägenhet, vilket innebär att flera olika personer kan träffas av bevakningen, vilket höjer integritetsintresset något. Integritetsintresset försvagas något av den omständigheten att bevakningen delvis syftar till att skydda de personer som blir föremål för bevakningen. Vid en sammantagen bedömning anser IMY att integritetsintresset i entréer och trapphus väger tungt.

Avseende bevakningsintresset konstaterar IMY följande. Bolaget har lämnat en redogörelse för brott och incidenter som inträffat under perioden 13 maj 2019 till och med 31 december 2023. Av underlaget framgår att inbrottslarm har utlösts i trapphus B och C på grund av obehörig åtkomst, ett larm om misstänkt obehörig åtkomst i trapphus B, inbrott i trapphus B, larm om obehörig åtkomst i trapphus B, larm vid byggnadsställning vid utsidan av fastigheten, krossad fönsterruta till trapphus samt ett polisingripande i en lägenhet som medfört skador på lägenhet och trapphus. Bolaget har vidare uppgett att obehörig åtkomst till fastigheten sker tre till fyra gånger per år genom nödutgångar som skadats till följd av detta samt att skadegörelse i form av klotter har inträffat i trapphusen. Bolaget har uppgett att det har förkommit problematik i dåvarande ägares fastighetsbestånd i Malmö med att obehöriga berett sig tillträde, i synnerhet narkomaner, vilket medfört otrygghet för hyresgäster. IMY konstaterar att det har skett incidenter och brott i fastigheten, t.ex. problematik med obehörig åtkomst i fastigheten vilket IMY förstår påverkar tryggheten för de boende. IMY anser dock att det rör sig om incidenter som inte är av tillräckligt allvarlig karaktär för att bevakningsintresset i entréer och trapphus ska anses väga tyngre än integritetsintresset på platsen. Vid en sammantagen bedömning anser IMY att bevakningsintresset i entréer och trapphusen väger relativt lätt.

Mot bakgrund av de incidenter som inträffat på platserna bedömer IMY att bevakningsintresset på platsen väger relativt lätt. Med beaktande av det tungt vägande integritetsintresset på platserna bedömer IMY att bolagets intresse av att kamerabevaka entréer och trapphus inte väger tyngre än de boendes intresse av att inte bli kamerabevakade där.

IMY anser därför att kamerabevakningen av entréer och trapphus inte kan stödjas på en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Det har inte heller framkommit att det skulle vara möjligt att stödja bevakningen på någon annan laglig grund i artikel 6.1 i dataskyddsförordningen. Bolaget har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.

Källare, förråd, drift, tvättstuga, soprum och korridorer till platserna Kamerabevakning av cykelförråd, soprum, förråd och liknande anses inte lika integritetskänslig som kamerabevakning i anslutning till lägenheter, eftersom de boende inte behöver passera dessa utrymmen för att ta sig till och från sina bostäder, och inte heller uppehåller sig där under längre stunder. IMY konstaterar dock att bolaget bedriver omfattande kamerabevakning dygnet runt i fastigheten. De boende kan på grund av detta inte undgå kamerabevakningen, vilket talar för en högre risk för integritetsintrång. Risken för integritetsintrång minskar dock något i fråga om bevakningen av nämnda utrymmen, särskilt under senare kvälls- och nattetid, då boende i mindre utsträckning kan antas vistas på platserna. Integritetsintresset försvagas något av omständigheten att bevakningen delvis syftar till att skydda de personer som blivit föremål för bevakningen. IMY bedömer att integritetsintresset i källare, förråd, drift, tvättstuga, soprum och korridorer till platserna väger relativt tungt.

Avseende bevakningsintresset konstaterar IMY följande. Av redogörelsen för brott och incidenter som bolaget har lämnat framgår att det har inträffat larm om misstänkt obehörig åtkomst till elcentral, larm om att dörr till soprum har brutits upp samt larm om skadad dörr till soprum sannolikt på grund av inbrottsförsök. Utöver dessa incidenter har det inträffat skadegörelse i form av klotter på platserna. IMY konstaterar att det krävs att det finns ett faktiskt intresse av att bevaka, dvs. det bör ha inträffat faktiska incidenter på platserna som kamerabevakas. IMY anser att bolaget har visat att det förekommit incidenter på vissa platser som bevakas, men inte på samtliga platser. Det rör sig huvudsakligen inte heller om återkommande incidenter. IMY bedömer sammantaget att även om vissa incidenter har inträffat väger bevakningsintresset på platserna relativt lätt.

IMY bedömer sammantaget att bolagets intresse av att kamerabevaka källare, förråd, drift, tvättstuga, soprum och korridorer till platserna inte väger tyngre än de boendes intresse av att inte bli kamerabevakade där.

IMY anser därför att kamerabevakningen av källare, förråd, drift, tvättstuga, soprum och korridorer till platserna inte kan stödjas på en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Det har inte heller framkommit att det skulle vara möjligt att stödja bevakningen på någon annan laglig grund i artikel 6.1 i dataskyddsförordningen. Bolaget har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen även i denna del.

Garage

IMY anser även här att kamerabevakning av garage är mindre känslig, eftersom enskilda inte behöver passera dessa utrymmen för att ta sig till sina bostäder, och inte heller uppehåller sig där under längre stunder. Detta innebär att integritetsintresset väger något lättare på platsen.

Avseende bevakningsintresset konstaterar IMY följande. Av utredningen framgår att garageporten blev påkörd vid ett tillfälle år 2023, inbrott skedde i garaget år 2019 och år 2023 då bilar blev bestulna på rattar och strålkastare. IMY konstaterar att det i garaget finns stöldbegärlig egendom, vilket skiljer sig från andra platser i fastigheten,

exempelvis källargång och tvättstuga. Det rör sig om en annan sorts plats som bevakas och annan egendom som ska skyddas än i fastigheten i övrigt, vilket påverkar bedömningen av bevakningsintresset som anses väga tyngre i garaget än på övriga platser i fastigheten.

IMY bedömer därför att bolagets intresse av att kamerabevaka garaget, även om en incident ligger ett antal år bakåt i tiden, väger något tyngre än de boendes intresse av att inte bli kamerabevakade där. Bolaget har därmed laglig grund enligt artikel 6.1 f i dataskyddsförordningen avseende bevakningen av garaget.

IMY:s sammanfattande bedömning

Sammanfattningsvis bedömer IMY att bolaget har laglig grund enligt artikel 6.1 f i dataskyddsförordningen för den kamerabevakning som pågår i garaget. Däremot saknar bolaget laglig grund enligt artikel 6 i dataskyddsförordningen för sin bevakning i övrigt.

3.4 Har bolaget uppfyllt kravet på upplysning och sin skyldighet att informera?

3.4.1 Kravet på upplysning enligt kamerabevakningslagen

I 15 § kamerabevakningslagen uppställs ett krav på att upplysning om kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Bestämmelsen avser själva användningen av kamerabevakningsutrustning och inte den behandling av personuppgifter som bevakningen innebär. Bestämmelsen innehåller inga krav angående vilken information som ska lämnas och upplysningsplikten får därmed anses vara uppfylld om den som bedriver bevakningen på ett tydligt sätt lämnar upplysning om att kamerabevakning sker på en viss plats.

Av utredningen i ärendet framgår att det sitter skyltar på entrédörrar, vid port och dörr samt på fasaden. Bolaget har inkommit med en ritning av källarplan inklusive garage och en ritning av samtliga trapphus (A, B och C). Av ritningarna framgår att skyltar sitter vid samtliga ingångar till fastigheten.

IMY bedömer att bolaget har lämnat upplysning om bevakningen genom tydlig skyltning och därigenom uppfyllt upplysningskravet i 15 § kamerabevakningslagen.

3.4.2 Informationsskyldigheten i dataskyddsförordningen

IMY ska även bedöma om bolaget har levt upp till sina skyldigheter att informera om personuppgiftsbehandlingen enligt artikel 13 i dataskyddsförordningen. Artikel 13 i dataskyddsförordningen reglerar vilken information som ska lämnas när personuppgifterna samlas in från den registrerade. Vid kamerabevakning anses personuppgifter samlas in från den registrerade.13

Enligt artikel 13.1 i dataskyddsförordningen ska den personuppgiftsansvarige, när personuppgifterna erhålls, lämna information till den registrerande om bl.a. följande.

• Den personuppgiftsansvariges identitet och kontaktuppgifter. • Kontaktuppgifter för ev. dataskyddsombud. • Ändamålen med behandlingen för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. • Om den rättsliga grunden är artikel 6.1 f (intresseavvägning), vilket berättigat intresse behandlingen syftar till att tillvarata. • Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

Enligt artikel 13.2 i dataskyddsförordningen ska den personuppgiftsansvarige, vid insamlingen av personuppgifterna, lämna information till den registrerande om bl.a. följande.

• Den period under vilken personuppgifterna kommer att lagras eller de kriterier som används för att fastställa denna period. • Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling. • Att den registrerade har rätt att inge klagomål till en tillsynsmyndighet.

Av artikel 13.4 framgår att punkterna 1, 2 och 3 i artikel 13 inte ska tillämpas om och i den mån den registrerade redan förfogar över informationen.

Utredningen visar att när bolaget tillträdde fastigheten 2022 har det på skyltningen saknats uppgifter om bl.a. syftet med personuppgiftsbehandlingen (kamerabevakningen), den personuppgiftsansvarigas identitet (bolaget), kontaktuppgifter till den personuppgiftsansvarige (bolaget), en upplysning om att de bevakade kan utöva sina rättigheter enligt dataskyddsförordningen, hur länge bildmaterial lagras och hänvisning till var man kan få veta mer om personuppgiftsbehandlingen.

Under tillsynens gång har skyltarna uppdaterats, dock utan att bolaget varit involverat. På de nya skyltarna har det saknats uppgifter om den personuppgiftsansvarigas identitet (bolaget) och kontaktuppgifter till den personuppgiftsansvarige (bolaget) på skyltarna. IMY konstaterar att bolaget har uppgett att skyltningen kommer att förtydligas med uppgifter om att bolaget är personuppgiftsansvarig för kamerabevakningen.

Bolaget har uppgett att information om behandling av personuppgifter som pågår vid kamerabevakning tillhandahållits de registrerade via bolagets hemsida som uppdaterats den 4 juni 2024 med fullständig information. Den 29 augusti 2024 uppdaterades hemsidan med bl.a. ytterligare information om ändamålet med kamerabevakningen och ett tydliggörande om att bolaget är personuppgiftsansvarig.

De registrerade har tidigare hänvisats till bolagets fastighetsförvaltarens hemsida med information om kamerabevakningen. Den informationen har funnits tillgänglig sedan den 1 november 2022. Hemsidan omarbetades och informationen uppdaterades den 27 november 2023. Vid den tidpunkten saknades uppgifter om vem den personuppgiftsansvariga är, kontaktuppgifter till den personuppgiftsansvariga, uppgifter om ändamålet med kamerabevakningen, rättslig grund för bevakningen och

hur länge bevakningsmaterialet lagras. Om den rättsliga grunden är artikel 6.1 f i dataskyddsförordningen (intresseavvägning), ska det även anges vilket berättigat intresse behandlingen syftar till att tillvarata. Det ska även framgå uppgifter om mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna i förekommande fall. Det saknades även information om att de registrerade har rätt att av den personuppgiftsansvarige (bolaget) begära radering av personuppgifter eller att invända mot behandling.

Fastighetsförvaltaren har i samband med visning av lägenheter informerat muntligen om kamerabevakningen och hänvisat till bolagets hemsida för mer information. Förvaltaren har också informerat samtliga nya hyresgäster om kamerabevakningen och var de kan hitta mer information om det. Information om kamerabevakning har inte skickats ut i fysisk form till de registrerade och inte tillhandahållits de registrerade på annat sätt.

IMY bedömer att det har funnits brister i det första och det andra informationslagret, men det råder inte total avsaknad av information om personuppgiftsbehandlingen. IMY konstaterar att även om fastighetsförvaltaren vid visning av lägenheter muntligen har informerat om att kamerabevakning sker och hänvisat till bolagets hemsida för mer information, vistas även andra än de boende i de bevakade utrymmena, såsom gäster till de boende, hantverkare m.fl. Dessa har därmed varit hänvisade till skyltarna om kamerabevakning. Skyltarna om kamerabevakning har uppdaterats under tillsynens gång liksom hemsidan med information om kamerabevakningen. Även om de nya skyltarna och hemsidan innehåller mer information än tidigare finner IMY att det fortsatt finns vissa brister i det första informationslagret. På kamerabevakningsskyltarna saknas uppgifter om den personuppgiftsansvarigas identitet (bolaget) och kontaktuppgifter till bolaget, i form av mailadress eller telefonnummer. Denna information kan enligt IMY med förhållandevis enkla medel läggas till på de befintliga skyltarna. IMY bedömer sammantaget att den information som har lämnats inte uppfyller alla krav enligt artikel 13.1 och 13.2 i dataskyddsförordningen.

IMY konstaterar därför att bolaget sedan 1 november 2022 har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen.

3.5 Val av ingripande

IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av artikel 58.2 a–j i dataskyddsförordningen.

IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2 i dataskyddsförordningen, beroende på omständigheterna i varje enskilt fall. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska

beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid bedömningen av sanktionsavgiftens storlek.

Vid bedömningen av storleken på sanktionsavgiften ska bland annat hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), c (de åtgärder som den personuppgiftsansvarige har vidtagit) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst).

EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

Enligt artikel 83.5 i dataskyddsförordningen kan vid överträdelser av artiklarna 6 och 13 i dataskyddsförordningen administrativa sanktionsavgifter påföras på upp till 20 000 000 EUR eller, om det gäller företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

Reglerna för koncernansvar i EU:s konkurrenslagstiftning kretsar kring begreppet ekonomisk enhet. Ett moderbolag och ett dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av rättspraxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga. Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden.

3.5.1 Sanktionsavgift ska påföras

IMY har funnit att bolaget har överträtt artikel 6.1 i dataskyddsförordningen genom att utan rättslig grund bedriva kamerabevakning i bolagets fastighet på Limhamnsvägen 22a i Malmö under perioden 1 november 2022–11 december 2024. Bolaget har vidare behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte uppfylla kravet på information till de registrerade avseende kamerabevakningen.

IMY konstaterar att personuppgiftsbehandlingen genom kamerabevakning av privatpersoner i direkt anslutning till deras hem har skett utan rättslig grund. Mot denna bakgrund bedömer IMY att det inte är fråga om sådana mindre överträdelser som avses i skäl 148 till dataskyddsförordningen. IMY finner därmed att en sanktionsavgift inte kan ersättas med en reprimand.

EU-domstolen har klargjort att det krävs att den personuppgiftsansvariga har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter

ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

IMY konstaterar att bolaget, i egenskap av personuppgiftsansvarig, ansvarar för den personuppgiftsbehandling som sker inom bolaget och för att den sker i enlighet med dataskyddsförordningen genom principen om ansvarsskyldighet i artikel 5.2. IMY har bedömt att bolaget inte har efterlevt dataskyddsförordningen avseende kraven på rättslig grund och den information som ska lämnas till registrerade. Mot bakgrund av EU-domstolens uttalande nämnt ovan och med beaktande av tidigare tillsynsbeslut från IMY och utredningen i ärendet, framgår att bolaget inte kan anses ha varit okunniga om att agerandet kunde utgöra en överträdelse av dataskyddsförordningen. IMY anser mot denna bakgrund att bolaget har varit oaktsam i förhållande till de överträdelser av dataskyddsförordningen som konstaterats. Det finns därmed förutsättningar för att påföra bolaget en administrativ sanktionsavgift.

3.5.2 Sanktionsavgiftens storlek

IMY konstaterar att Granit Bostad Beritsholm AB enligt senast tillgängliga koncernstruktur från december 2022 är ett helägt dotterbolag ingående i en koncern med moderbolaget Granit Bostad AB (559300–4913). I koncernen ingår, utöver Granit Bostad Beritsholm AB, följande bolag. Granit Bostad 1 AB (559304-5825), Granit Bostad Bilen AB (556823-6235), Granit Bostad Bredäng AB (556832-5335), Granit Bostad Forskningen AB (556865-7281), Granit Bostad Sorgenfri AB (556883-2819), Granit Bostad 2 AB (556995-9330), Granit Bostad Annedal AB (556833-4741), Granit Bostad Hjorthagskvarteret AB (556832-5285), Granit Bostad Klippern AB (556833- 4782), Granit Bostad Rosendal AB (556917-7164), Granit Bostad 3 AB (556994-5768), Granit Bostad Bryggvägen AB (556833-4733), Granit Bostad Fyrislundsgatan AB (556879-2716), Granit Bostad Kommendörkaptenen AB (556823-6367), Granit Bostad 4 AB (559318-0846), Granit Bostad Duvan 4 AB (559317-1282), Granit Bostad Duvan AB (556807-4214), Granit Bostad Korpen 4 AB (559317-1274), Granit Bostad Korpen AB (556886-3400), Granit Bostad Lissabon AB (559340-8429), Granit Bostad 5 AB (559381-9708) och Granit Bostad Malmö 5 AB (559395-2350). Moderbolagets ägande är hundraprocentigt i dotterbolagen som i sin tur innehar ett hundraprocentigt ägande i sina dotterbolag.

Mot bakgrund av vad som redovisats ovan innebär ett hundraprocentigt eller nästan hundraprocentigt ägande en presumtion för att kontroll ska anses föreligga och att moderbolaget och dotterbolagen ska beaktas vid beräkningen.

Bolaget har anfört att uppgifter om koncernstruktur som bolaget ingår i avviker på följande sätt. Granit Bostad 4 Duvan AB har fusionerats ner i Granit Bostad Duvan AB, Granit Bostad 4 Korpen AB har fusionerats ner i Granit Bostad Korpen AB och Granit Bostad Malmö 5 AB har fusionerats ner i Granit Bostad Beritsholm AB. Två bolag har förvärvats; Granit Bostad Slottstaden AB och Granit Bostad Villandia AB. Bolaget har vidare anfört att bolaget förvärvade fler fastigheter år 2023 vilket innebar att nettoomsättningen för 2023 ökade till 274 053 000 kr. Bolagets resultat hade samtidigt

en kraftig negativ utveckling under året till följd av stigande räntekostnader samt en värdeminskning på fastighetsbeståndet. Fastighetsvärdet minskade med 360 251 000 kr år 2023 vilket resulterade i ett negativt nettoresultat på minus 318 734 000 kr.

Avseende de ekonomiska förändringarna som skett under året gör IMY följande bedömning. Enligt dataskyddsförordningens bestämmelse om uträkning av administrativ sanktionsavgift ska beräkningen göras utifrån den totala globala årsomsättningen under föregående budgetår. Det negativa nettoresultatet år 2023 ska därför inte påverka beräkningen av sanktionsavgiften. IMY finner därmed inte anledning att bortse från bestämmelsen och sanktionsavgiften ska beräknas utifrån den totala årsomsättningen.

IMY bedömer att den årsomsättning som ska läggas till grund för beräkning av den administrativa sanktionsavgiften som Granit Bostad Beritsholm AB kan åläggas är samtliga ovan redovisade bolag som ingår i koncernen med Granit Bostad AB som moderbolag. Av årsredovisningar för räkenskapsåret 2023 för bolaget framgår att omsättningen sammantaget uppgår till 274 053 000 kr. 4 % av det beloppet är 10 962 120 kr. Eftersom detta belopp är lägre än 20 000 000 EUR ska sanktionsavgiften bestämmas till ett belopp mellan 0 och 20 000 000 EUR.

När det gäller bedömningen av överträdelsernas allvarlighetsgrad finns det till en början faktorer som medför att det finns skäl att se allvarligare på överträdelserna. Personuppgiftsbehandlingen har avsett kamerabevakning av boende i direkt anslutning till deras hem och besökare till boende. Kamerabevakningen har bedrivits dygnet runt med ett stort antal kameror av stora delar av fastigheten under en längre tid. Bolaget har bevakat entréer och trapphus i fastigheten vilket har inneburit att de boende har blivit bevakade varje gång de har rört sig till och från sina hem och det har inte varit möjligt att undvika att bli kamerabevakad. Att de personer som träffas av bevakningen inte har fått all den information som bolaget har varit skyldig att tillhandahålla har vidare inneburit en risk för att registrerade inte fått kännedom om sina rättigheter eller att de har utövat sina rättigheter i mindre utsträckning än vad de har rätt till enligt dataskyddsförordningen.

IMY konstaterar samtidigt att bolaget har visat att det förekommit viss problematik med inbrott i garaget och har haft ett berättigat intresse samt vidtagit andra åtgärder för att komma tillrätta med detta, vilket innebär att det inte har varit fråga om uppsåtliga överträdelser. IMY konstaterar även att bevakningen varit begränsad till de boende och besökare. Bolaget har under tillsynens gång uppdaterat skyltar om kamerabevakning och deras hemsida med information om kamerabevakning med mer information än tidigare och har på så sätt försökt vidta rättelse för att uppfylla informationsplikten.

IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av sanktionsavgiften bör därför sättas lågt i förhållande till det aktuella maxbeloppet.

Utöver bedömningen av överträdelsernas allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek. IMY bedömer att det saknas ytterligare försvårande eller

förmildrande omständigheter, utöver de som har beaktats vid bedömningen av allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek.

Mot bakgrund av överträdelsernas karaktär och allvar bestämmer IMY att den administrativa sanktionsavgiften för Granit Bostad Beritsholm AB kan stanna vid 200 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande i det nu aktuella fallet.

3.5.3 Föreläggande

Enligt artikel 58.2 d har tillsynsmyndigheten befogenhet att förelägga en personuppgiftsansvarig att se till att behandlingen sker i enlighet med bestämmelserna i dataskyddsförordningen och om så krävs på ett specifikt sätt och inom en specifik period.

Eftersom bevakningen, såvitt framgår av utredningen, fortfarande är pågående är det angeläget att bolaget upphör med den bevakning som inte är tillåten. Det finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga bolaget att upphöra med kamerabevakning av samtliga platser i fastigheten, undantaget garaget. Det är enligt IMY också angeläget att bolaget vidtar åtgärder för att säkerställa att de registrerade får korrekt och fullständig information avseende den personuppgiftsbehandling genom kamerabevakning som sker. IMY beslutar med stöd av artikel 58.2 d i dataskyddsförordningen att bolaget ska föreläggas att, senast fyra veckor efter att detta beslut fått laga kraft, vidta åtgärder för att säkerställa att

1. bolaget upphör med kamerabevakningen av samtliga platser i fastigheten undantaget garaget,

2. det på kamerabevakningsskyltarna finns uppgifter om bolagets identitet och kontaktuppgifter till bolaget, i form av mailadress eller telefonnummer.

Att åtgärd ska ha vidtagits senast fyra veckor efter att detta beslut fått laga kraft innebär att om beslutet inte överklagas ska åtgärd ha vidtagits senast fyra veckor efter att överklagandetiden har gått ut.

__________________________

Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristen Khadija Faras.

Jenny Bård Bilagor

1. Klagandens personuppgifter 2. Information om betalning av sanktionsavgift 3. Information om kamerabevakning i flerbostadshus

4. Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.