Utbildningsnämnden, Stockholms Stad

IMY-2026-5789 Tillsyn enligt dataskyddsförordningen

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen och kamerabevakningslagen (2018:1200). IMY har beslutat att granska er personuppgiftsbehandling genom kamerabevakning och har därför inlett tillsyn.

Varför granskar IMY er verksamhet?

IMY har fått kännedom om att det finns kamerabevakning i Midsommarkransens skola. IMY har nu inlett tillsyn för att utreda om personuppgiftsbehandlingen som sker genom kamerabevakning av Midsommarkransens matsal och café har stöd i en rättslig grund enligt artikel 6 i dataskyddsförordningen och 7–8 §§ kamerabevakningslagen. IMY kommer inte granska om andra bestämmelser i dataskyddsförordningen är uppfyllda. Tillsynen omfattar inte heller annan kamerabevakning på Midsommarkransens skola.

Vi ber er därför att svara utifrån den bevakning som sker i Midsommarkransens matsal och café, och inte utifrån bevakning som sker på andra platser i skolan.

IMY:s frågor

1. Är Utbildningsnämnden i Stockholms Stad personuppgiftsansvarig för den behandling av personuppgifter som kamerabevakningen på Midsommarkransens skola innebär? Om inte, vänligen uppge vem som är personuppgiftsansvarig för kamerabevakningen.

Om svaret är ja, ska ni även svara på följande frågor och komma in med efterfrågat underlag. Allmänt om kamerabevakningen i matsalen och cafét

1. När började ni bedriva kamerabevakning av matsalen och cafét? 2. Bifoga en ritning, kartbild eller liknande där respektive kameras placering och vilket område kameran filmar framgår tydligt. (Kamerans upptagningsområde kan visas genom en trekant som utgår från den markerade kameran.) 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG. 2 Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, den fysiska eller juridiska person som, ensamt eller tillsammans med andra, bestämmer ändamålen och medlen för behandlingen av personuppgifter. Avgörande för frågan om vem som personuppgiftsansvarig är vem eller vilka som har bestämt varför och hur behandlingen sker, samt utövar ett inflytande över vilka personuppgifter som samlas in och behandlas, hur länge de 08-657 61 00 lagras och vem som har åtkomst.

3. Bifoga skärmbilder som visar varje kameras upptagningsområde i skolans matsal och café. Ange tydligt vilken kamera respektive bild avser (t.ex. genom att numrera). 4. Under vilka tider är kamerorna aktiva, och varför har ni valt just dessa tider för bevakningen? 5. Bedriver ni kamerabevakning med bildinspelning? a) Om ja, ange med vilka kameror. b) Ange hur länge bildmaterial sparas och hur ni motiverar den valda lagringstiden. c) Hur många och vilka personer (befattningshavare) har tillgång till det inspelade bildmaterialet, och hur har behörigheten för dessa personer motiverats? 6. Bedriver ni kamerabevakning i realtid (livebevakning)? a) Om ja, ange med vilka kameror. b) Beskriv hur realtidsbevakningen bedrivs, till exempel under vilka tider den sker, var monitor för att titta på realtidsbevakningen är placerad samt vilka personer som har behörighet att titta på bevakningen i realtid.

Ändamål och rättslig grund för bevakningen i matsalen och cafét

7. För vilket eller vilka ändamål bedriver ni kamerabevakning i matsalen och cafét? Redogör för varje ändamål separat. 8. Ange på vilken rättslig grund i dataskyddsförordningen som kamerabevakningen stöds, och motivera varför den grunden är tillämplig avseende aktuell bevakning. Om ni anser att artikel 6.1 e i dataskyddsförordningen är tillämplig, vänligen a) redogör för vilken nationell eller unionsrättslig reglering som utgör den uppgift av allmänt intresse ni stödjer er behandling på, enligt artikel 6.3 i dataskyddsförordningen. b) Utveckla även varför kamerabevakningen är nödvändig för att utföra den aktuella uppgiften av allmänt intresse samt c) varför den är proportionerlig i förhållande till ändamålen med behandlingen. 9. Har ni vidtagit några alternativa åtgärder för att uppnå syftet med bevakningen? Om ja, beskriv vilka åtgärder ni har vidtagit och när samt varför dessa inte har varit tillräckliga för att uppnå syftet. 10. För det fall det har inträffat brott och/eller incidenter i matsalen eller cafét, bifoga en sammanställning över vilka brott/incidenter som inträffat, var de har inträffat samt när. 11. Utveckla hur ni resonerat vid intresseavvägningen för den aktuella behandlingen i fråga om behovet av kamerabevakning kontra integritetsintresset på platsen.

Måste ni svara IMY?

Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet. För att IMY:s beslut ska grundas på korrekta uppgifter är det viktigt att begärda uppgifter lämnas.

Ni ska svara skriftligt till IMY senast den 9 april 2026.

Ange IMY-2026-5789 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

Hur arbetar IMY med tillsyn?

När IMY är färdig med granskningen kommer ni att få ett beslut. Utifrån vad som har framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

Information om hur IMY arbetar med tillsyn finns på IMY:s webbplats: https://

Om ni har frågor är ni välkomna att kontakta mig per e-post eller telefon.

Anna Lindgren

Jurist, IMY

Kopia till

Dataskyddsombud

Information om IMY:s behandling av personuppgifter

https://