text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: Personuppgiftsansvarig är den fysiska eller juridiska person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (se

text: artikel 4.1 p

text: . 7 i dataskyddsförordningen).

text: EU-domstolens dom i

text: mål C-708/18

text: , TK mot Asociatia de Properietari bloc M5A-ScaraA, punkt 44.

text: Kamerabevakning – vägledning för behandling av personuppgifter, s. 10. Vägledningen är framtagen av SABO, Fastighetsägarna och Hyresgästföreningen.

text: Artikel 29-arbetsgruppen, Riktlinjer om öppenhet enligt förordning

text: (EU) 2016/679

text: , punkt 38.

nyckelord:
Kamerabevakning
Dina rättigheter

sanktionsavgift: 20 000 kronor

slug: bostadsrattsforening-halmstad

title: Bostadsrättsförening Halmstad

text: Datainspektionens beslut

text: Datainspektionen konstaterar att BRF Gårdsbjörken i Halmstad, org. nr 769620-6528 (BRF Gårdsbjörken) genom att kamerabevaka trapphus, entré och källarförråd samt spela in ljud vid samtliga dessa platser har behandlat personuppgifter i strid med

text: - artikel 5 dataskyddsförordningen genom att behandla de registrerades personuppgifter, med såväl bild- som ljudinspelning, på ett för den personliga integriteten mer ingripande sätt, och omfattat fler personuppgifter än vad som är nödvändigt, för det angivna ändamålet, - artikel 6 genom att behandla personuppgifter i bild och ljud för ett intresse som inte väger tyngre än de registrerades intressen, och - artikel 13 genom att tillhandahålla bristfällig information till de registrerade.

text: Datainspektionen beslutar med stöd av artikel 58.2 och artikel 83 i dataskyddsförordningen att BRF Gårdsbjörken för överträdelserna av artikel 5, artikel 6 och artikel 13 i dataskyddsförordningen ska betala en administrativ sanktionsavgift på 20 000 kronor.

text: Datainspektionen förelägger med stöd av artikel 58.2 f i dataskyddsförordningen BRF Gårdsbjörken att upphöra med kamerabevakningen i bild vad gäller kamerorna 1-3, som bevakar trapphus och entré, samt att upphöra med ljudinspelning vad gäller samtliga kameror.

text: Datainspektionen förelägger med stöd av artikel 58.2 d i dataskyddsförordningen BRF Gårdsbjörken att begränsa kamerabevakningen i bild vad gäller kamera 4, som bevakar föreningens el-central, så att den inte bevakar föreningens källarförråd och inte tar upp ljud.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har efter att ha tagit emot klagomål om att BRF Gårdsbjörken (föreningen) bedriver kamerabevakning av trapphuset i sitt bostadshus inlett tillsyn i syfte att utreda omfattningen av föreningens bevakning samt om den bevakningen är förenlig med reglerna i dataskyddsförordningen.

text: BRF Gårdsbjörken har i huvudsak uppgett följande.

text: Föreningen har satt upp totalt fyra kameror. Dess placering och upptagningsområde är enligt följande.

text: Kamera 1 och 2 – trapphus

text: Kamerorna är placerade i varsitt av föreningens två trapphus på gatunummer 11A och 11B. Av kopior på skärmbilder från kamerorna framgår att deras upptagningsområde omfattar trapphuset samt vissa av de boendes lägenhetsdörrar på de respektive våningsplan som kamerorna bevakar.

text: Kamera 3 – entré till trapphus 11A

text: En kamera är placerad vid ingången till föreningens fastighet. Av kopia på skärmbild från kameran framgår att dess upptagningsområde omfattar en kortare gång till husets innergård samt området precis utanför entrédörren till uppgången för de boende på adressen 11A.

text: Kamera 4 – el-central i källarförråd

text: En kamera är placerad intill en el-central i föreningens förrådsrum. Av kopia på skärmbild från kameran framgår att dess upptagningsområde omfattar elcentral samt del av förrådsrum.

text: Redogörelse i övrigt

text: Kamerorna sattes sannolikt upp under april och juli månad år 2018. Föreningen har uppgett att ingen kan ta sig till någon av föreningens lägenheter utan att bli filmad av föreningens kameror. Kamerorna spelar in bilder och ljud alla dagar i veckan dygnet runt och lagrar inspelat material i tio dagar. I det fall det förekommer händelser som bedöms som viktiga av föreningen sparas klipp från sådan händelse under längre tid.

text: Föreningen upplyser om bevakningen genom skyltning vid grinden till fastigheten samt vid föreningens bägge ytterdörrar till respektive trapphus. Skylten visar en silhuett av en bevakningskamera samt texten ”TV/VIDEO”.

text: Föreningen har haft problem med skadegörelse samt viss annan brottslighet vid flertalet tillfällen från november 2017 till och med augusti 2018. Föreningens entrédörr vid adressen 11A har vid flertalet tillfällen utsatts för skadegörelse genom att lim och träflisor har förts in i låset varvid låset förstörts, även föreningens kodlås har förstörts. Vidare har kablar kopplade till internet/el-centralen i källaren klippts av vid två tillfällen och värmen stängts av i delar av huset. Någon har även haft sönder låset till källarförrådet. Vid ett tillfälle hälldes hal vätska ut i ena trapphuset och vid ett annat tillfälle sprayades färg på en av bevakningskamerornas kameralins.

text: Föreningen har vidare uppgett att skadegörelse vid 10-15 tillfällen har riktats mot en lägenhetsdörr i trapphuset på gatunummer 11A. Lägenhetsdörren leder till föreningens styrelseordförandes lägenhet. Enligt föreningen har skadegörelsen bestått av att snus, samt att något som beskrivs som frätande vätska och annan vätska slängts på lägenhetsdörren. Vidare har cigarettfimpar och snus slängts på dörrmattan invid lägenhetsdörren. Vid ett tillfälle har boende i lägenheten blivit kallad okvädningsord av en granne.

text: Kostnaden för all skadegörelse beräknas uppgå till ungefär 60 000 kronor.

text: De boende har inte tillfrågats om kamerabevakningen. Anledningen är att föreningens styrelse misstänkte boende i föreningen för att ha orsakat skadegörelsen. Besluten att sätta upp kamerorna har tagits enhälligt av styrelsen. Vid tidpunkten för besluten bestod styrelsen av nio personer, vilket utgjorde mer än hälften av de boende i föreningen.

text: Motivering av beslut

text: Vilka regler gäller för föreningens kamerabevakning?

text: Kamerabevakning med ljudinspelning är en form av personuppgiftsbehandling. Hur och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och

text: kamerabevakningslagen (2018:1200)

text: som kompletterar dataskyddsförordningen.

text: Gäller

text: kamerabevakningslagen

text: I

text: 4 § i kamerabevakningslagen

text: anges att lagen gäller om kamerabevakning enligt 3 § sker med utrustning som finns i Sverige. Av

text: 3 § 1 p kamerabevakningslagen

text: framgår att kamerabevakning innefattar att en tvkamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning, utan att manövreras på platsen används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

text: Den kamerabevakning som föreningen bedriver manövreras inte på platsen och innebär en varaktig bevakning av de boende i huset samt övriga besökare.

text: Kamerabevakningslagen

text: gäller därför för föreningens bevakning.

text: Bostadsrättsföreningar omfattas inte av tillståndsplikten

text: I

text: kamerabevakningslagen

text: finns bestämmelser om när det krävs tillstånd för att kamerabevaka. Av

text: 7 § kamerabevakningslagen

text: följer att tillstånd krävs av en plats dit allmänheten har tillträde om bevakningen bedrivs av en myndighet eller någon annan än en myndighet vid utgörande av en uppgift av allmänt intresse som följer av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd av lag eller annan författning.

text: En bostadsrättsförening behöver inte tillstånd för att kamerabevaka eftersom de inte utför en uppgift av allmänt intresse.

text: Utöver bestämmelsen om tillstånd finns andra regler i

text: kamerabevakningslagen

text: , t.ex. tystnadsplikt avseende det inspelade materialet och vissa krav på upplysning som kan bli aktuella vid kamerabevakning.

text: Gäller dataskyddsförordningen?

text: Om en bevakningskamera fångar en identifierbar person eller någon annan personuppgift i bild måste reglerna i dataskyddsförordningen följas. Detta framgår av artikel 2.1 dataskyddsförordningen.

text: Eftersom föreningen filmar, och tar upp ljud från, identifierbara personer med kamerorna gäller dataskyddsförordningen.

text: Är föreningens kamerabevakning laglig enligt dataskyddsförordningen?

text: Dataskyddsförordningen innehåller ett stort antal regler som måste följas vid behandling av personuppgifter. Inom ramen för detta tillsynsärende

text: behandlar Datainspektionen inte samtliga regler och frågeställningar som kan aktualiseras vid en sådan personuppgiftsbehandling som den aktuella kamerabevakningen innebär. Prövningen är avgränsad till om föreningen har en rättslig grund för att bedriva den aktuella kamerabevakningen, om föreningen lever upp till de grundläggande principerna för behandling av personuppgifter samt om föreningen har lämnat den information till de registrerade som krävs enligt dataskyddsförordningen.

text: Grundläggande principer för behandling av personuppgifter (artikel 5)

text: Av artikel 5.1 i dataskyddsförordningen framgår bl.a. att personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). Vidare framgår att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning). Avslutningsvis följer av artikel 5.2 att den personuppgiftsansvarige ska ansvara för och kunna visa att de principer som följer av artikel 5.1 efterlevs (ansvarsskyldighet).

text: Enligt föreningen är ändamålet med kamerabevakningen att komma tillrätta med den skadegörelse som skett i föreningens fastighet. Datainspektionen anser att det är ett berättigat ändamål och att föreningen, baserat på vad som framkommit av utredningen, efterlever principen om ändamålsbegränsning.

text: Bedömningen om föreningen behandlar personuppgifter i strid med principen om uppgiftsminimering kommer ske i samband med bedömningen av om föreningen haft rättslig grund för sin kamerabevakning.

text: Rättslig grund för bevakningen (artikel 6)

text: För att den kamerabevakning som föreningen bedriver ska vara laglig krävs att det finns en rättslig grund för personuppgiftsbehandlingen enligt artikel 6 i dataskyddsförordningen. Den rättsliga grund som är aktuell i detta ärende är intresseavvägning enligt artikel 6.1 f dataskyddsförordningen. Det innebär att föreningen måste visa att bevakningen på varje plats är nödvändig för ett ändamål som rör ett för föreningen berättigat intresse och att detta intresse

text: väger tyngre än intressen eller grundläggande rättigheter och friheter hos de personer som blir bevakade.

text: De kameror som föreningen har satt upp bevakar olika platser där integritetsintresset väger olika tungt. Datainspektionen kommer därför i bedömningen dela upp de platser som är föremål för bevakning var för sig och pröva om föreningen följer principen om uppgiftsminimering enligt artikel 5 och om föreningen har rättslig grund enligt artikel 6 nedan.

text: Vidare kommer Datainspektionen dela upp bedömning till att först avse kamerabevakning i bild och därefter göra en samlad bedömning av samtliga kamerors ljudupptagning.

text: Kamera 1 och 2 – Föreningens trapphus

text: Föreningen bevakar den första våningen i respektive trapphus. Av kopior på skärmbilder från kamerorna framgår att kamerornas upptagningsområde omfattar trapphuset samt vissa av de boendes lägenhetsdörrar på de respektive våningsplanen.

text: Integritetsintresset kamera 1 och 2

text: Kamerabevakning som sker i bostadshus anses som utgångspunkt vara mycket integritetskänslig (se rättsfallet

text: HFD 2011 ref. 77

text: ). Den aktuella bevakningen innebär att de boende filmas varje gång de kommer hem eller lämnar sina hem. Även andra personer som har för avsikt att besöka bostäderna måste passera bevakningskamerorna. Sådan bevakning möjliggör en kartläggning av de boendes vanor, besök och umgängeskrets. Redan det faktum att bevakningen avser de boende och deras hemmiljö innebär därför att det krävs mycket starka skäl för att bevakningen ska vara tillåten.

text: Bevakningsintresset kamera 1 – trapphus 11A

text: De incidenter som föreningen redogjort för är nästan uteslutande riktade mot en enskild boende och dennes lägenhetsdörr. Incidenterna har i huvudsak bestått av nedsmutsning av lägenhetsdörren samt att boende i lägenheten vid ett tillfälle även blivit utsatta för okvädningsord. Föreningen har uppgett att det finns ett samband med att en boende i lägenheten var styrelseordförande i föreningen och de incidenter som riktats mot denne. Föreningen har vidare redogjort för en incident då någon hällt ut hal vätska i trapphuset.

text: Datainspektionen anser sammantaget att bevakningsintresset väger relativt tungt eftersom det är fråga om återkommande incidenter som särskilt riktats mot en av de boende. Att incidenterna i huvudsak består av olika former av nedsmutsning sänker bevakningsintresset något.

text: Bedömning kamera 1 – trapphus 11A

text: De incidenter som föreningen har redogjort för har i huvudsak riktats mot en viss lägenhet. Den boende i lägenheten har vid tidpunkten för incidenterna varit ordförande i föreningens styrelse. Föreningen har uppgett att det finns ett samband mellan incidenterna och att den boende i lägenheten var ordförande i föreningens styrelse.

text: Datainspektionen anser att en bostadsrättsförening under särskilda omständigheter kan anses ha ett påtagligt behov av att kamerabevaka ett trapphus och rikta kameran mot en viss boendes ytterdörr. En omständighet som kan tala för att en sådan bevakning skulle kunna vara tillåten är om lägenhetsinnehavaren blir utsatt för brott med anledning av sin position som förtroendevald i föreningen. För att sådan bevakning ska vara tillåten krävs det dock att bevakningsintresset väger mycket tungt.

text: I förevarande fall har incidenterna i huvudsak bestått av nedsmutsning av lägenhetsdörren samt nedskräpning på tillhörande dörrmatta. Vid ett tillfälle har de boende i lägenheten blivit tilltalade okvädningsord. Mot denna bakgrund och med beaktande av det tungt vägande integritetsintresset på platsen bedömer Datainspektionen att föreningens intresse av kamerabevakning inte väger tyngre än de registrerades intresse av att inte bli bevakade.

text: Datainspektionen konstaterar därför att föreningen inte har rättslig grund för bevakningen med bildinspelning av föreningens trapphus på nummer 11A.

text: Bevakningsintresset kamera 2 – trapphus 11B

text: Enligt föreningen har kodlåset till entrédörren som leder till trapphuset förstörts vid ett till två tillfällen. Vidare har föreningen uppgett att det skett skadegörelse i källaren, vilken man kan nå från trapphuset. Av skärmbild på kamerans upptagningsområde framgår att vare sig entrédörr eller källare syns i kamerans upptagningsområde.

text: Datainspektionen anser sammantaget att bevakningsintresset inte väger särskilt tungt eftersom det inte förekommit några incidenter inom kamerans upptagningsområde.

text: Bedömning kamera 2 – trapphus 11B

text: Datainspektionen har mot bakgrund av de incidenter som inträffat i trapphus 11B bedömt att bevakningsintresset på platsen inte väger särskilt tungt. Mot denna bakgrund och med beaktande av det tungt vägande integritetsintresset på platsen bedömer Datainspektionen att föreningens intresse av kamerabevakning inte väger tyngre än de registrerades intresse av att inte bli bevakade.

text: Datainspektionen anser därför att föreningen inte har rättslig grund för bevakningen med bildinspelning av föreningens trapphus på nummer 11B.

text: Kamera 3 – Entré till 11A

text: Föreningen kamerabevakar entrén till sin fastighet. Av kopia på skärmbild från kameran framgår att dess upptagningsområde omfattar en kortare gång till husets innergård och området precis utanför entrédörren till uppgången för de boende på adressen 11A.

text: Integritetsintresset kamera 3 – entré till 11A

text: I detta fall är det fråga om en bostadsrättsförening som kamerabevakar entrén till ett bostadshus samt gången till innergården. Även kamerabevakning som sker i anslutning till entréer i bostadshus anses som utgångspunkt vara mycket integritetskänslig (se rättsfallet

text: HFD 2011 ref. 77

text: ). Den aktuella bevakningen innebär att de boende filmas varje gång de kommer hem eller lämnar sina hem. Även andra personer som har för avsikt att besöka bostäderna måste passera bevakningskamerorna. Sådan bevakning möjliggör en kartläggning av de boendes vanor, besök och umgängeskrets. Redan det faktum att bevakningen avser de boende och deras hemmiljö innebär därför att det krävs tungt vägande skäl för att bevakningen ska vara tillåten.

text: Bevakningsintresset kamera 3 – entré till 11A

text: Föreningen har uppgett att någon har förstört låset till den ena entrédörren genom att hälla lim i låset eller trycka in träflisor i låset vid fyra tillfällen. Vidare har någon förstört intilliggande kodlås till samma entrédörr vid två tillfällen. Skadegörelsen har pågått under en period om två månader.

text: Föreningen har inte uppgett att de vidtagit alternativa åtgärder till kamerabevakningen.

text: Datainspektionen konstaterar att den brottslighet som skett i förevarande fall har varit av närmast systematisk karaktär. Av de polisanmälningar som föreningen redogjort för framgår att föreningen inte har haft problem med skadegörelse mot entrédörren sedan den 24 januari 2018. Kameran vid entrédörren installerades i maj 2018.

text: Datainspektionen anser att intresset av bevakningen som utgångspunkt väger tungt i förevarande fall, i synnerhet eftersom det rör sig om en systematisk och återkommande skadegörelse.

text: Vid en prövning av det berättigade intresset av att bevaka krävs att bevakningsintresset faktiskt kan anses föreligga vid tidpunkten för bevakningen. Bevakningsintresset kan sålunda inte vara hypotetiskt vid tidpunkten för bevakningen.

text: Har föreningen ett faktiskt bevakningsintresse vid tidpunkten för

text: bevakningen?

text: I förevarande fall har bevakningen föranletts av skadegörelse som skett inom en tvåmånadersperiod. Enligt föreningen har de inte drabbats av någon brottslighet sedan augusti 2018, och ingen skadegörelse har skett mot entrédörren, som nu är föremål för bevakning, sedan januari 2018.

text: En prövning måste ske av samtliga omständigheter för att bedöma om intresset av bevakning kan anses faktiskt föreligga vid tidpunkten för bevakning.

text: Enligt Datainspektionens mening måste den personuppgiftsansvarige vid en sådan prövning dels ta hänsyn till om det finns risk att brottslighet inträffar på grund av platsens karaktär, dels ta hänsyn till om tidigare begången brottslighet medför risk för att brott inträffar ånyo.

text: En plats kan till sin karaktär medföra ett faktiskt bevakningsintresse att bevaka även om något brott inte skett på platsen. Så kan vara fallet då det

text: föreligger en hotbild mot platsen i fråga, vilket torde vara fallet vid t.ex. banker som hanterar kontanter i stora mängder.

text: Vidare kan omständigheten att brott har begåtts vid en plats som normalt inte utsätts för brott tala för ett faktiskt bevakningsintresse. Vid bevakning av sådana platser måste den personuppgiftsansvarige kunna visa att bevakningsintresset faktiskt föreligger även vid tidpunkten för bevakning.

text: I förevarande fall avser bevakningen en entrédörr till ett flerbostadshus. En sådan plats är inte till sin karaktär brottsutsatt, varför det som utgångspunkt krävs att den personuppgiftsansvarige visar att det föreligger ett faktiskt intresse att bevaka platsen vid tidpunkten för bevakningen.

text: Av branschorganisationers vägledning för kamerabevakning i flerfamiljshus rekommenderas att en förnyad bedömning av bevakningsintresset görs halvårsvis eller om det uppstår särskild anledning till omprövning av beslut att kamerabevaka. Datainspektionen anser att en sådan omprövningsfrist är rimlig och att föreningen som utgångspunkt åtminstone borde ompröva sitt behov av att bedriva kamerabevakning var sjätte månad från det att bevakningen inleddes.

text: I förevarande fall har ingen brottslighet skett mot entrédörren sedan januari 2018 och ingen brottslighet har skett vid föreningens fastighet sedan augusti 2018. Vidare konstaterar Datainspektionen att det inte heller av utredningen i ärendet framkommit andra omständigheter som talar för att föreningens intresse av att kamerabevaka är faktiskt och föreligger vid tidpunkten för detta beslut. Datainspektionen anser därför att föreningen i vart fall från och med den 10 december 2019 inte längre kan anses ha ett faktiskt intresse av att bevaka.

text: Sammanfattande bedömning kamera 3 – entré till 11A

text: Datainspektionen anser sammanfattningsvis att föreningens intresse av att spela in bildmaterial vägde tyngre än de boendes intresse av att inte bli bevakade vid tidpunkten för när bevakningen påbörjades, men att intresset i vart fall inte längre kan anses vara faktiskt vid tidpunkten för föreningens sista yttrande den 10 december 2019. Av föreningens yttrande framgår att

text: inga incidenter inträffat vid den aktuella platsen sedan augusti år 2018. Datainspektionen konstaterar därför att föreningen inte längre har rättslig grund för bevakningen med bildinspelning av föreningens entré.

text: Kamera 4 – El-central i källarförråd

text: Föreningen bevakar el-centralen som ligger på källarplan invid föreningens källarförråd. Av kopia på skärmbild från kameran framgår att dess upptagningsområde omfattar el-central samt del av källarförråd.

text: Integritetsintresset kamera 4 – källarförråd

text: Bevakningen sker av ett gemensamt utrymme i en flerfamiljsfastighet. Datainspektionen anser att kamerabevakning av sådana utrymmen generellt sett innebär ett intrång i de boendes integritet. Integritetsintrånget förstärks ytterligare av att bilder spelas in och att bevakningen pågår dygnet runt.

text: Datainspektionen anser dock att det även finns omständigheter som talar för att integritetsintrånget minskar. Av kopia på skärmbild från kamerans upptagningsområde framgår att kameran i huvudsak filmar el-centralen, även om en viss del av källarförrådet kommer med. Vidare anser Datainspektionen att ett källarförråd är en sådan plats där de boende rör sig i begränsad omfattning och endast uppehåller sig i under kortare tidsperioder. Detta talar för att integritetsintresset väger relativt lätt i anslutning till elcentralen.

text: Bevakningsintresset kamera 4 – källarförråd

text: Föreningen har uppgett att den upprepade gånger har haft problem med skadegörelse mot el-centralen i källaren och att strömmen till föreningens ordförandes lägenhet stängts av. Vidare har även internetkablar som finns i anslutning till el-centralen utsatts för skadegörelse. Föreningen har upprättat flera polisanmälningar med anledning av de incidenter som skett i källaren.

text: Sammanfattande bedömning kamera 4 – källarförråd

text: Föreningen har uppgett att skadegörelsen har utförts av någon som sannolikt haft nyckel till källarförrådet eftersom dörren saknat brytmärken eller andra skador som tyder på att någon utomstående har tagit sig in i källarförrådet. Detta talar enligt Datainspektionens mening för att kamerabevakningen har varit nödvändig för att uppnå ändamålet.

text: Datainspektionen konstaterar att föreningens intresse av att spela in bildmaterial väger tyngre än de boendes intresse av att inte bli bevakade mot bakgrund av att föreningen har haft omfattande problematik med skadegörelse mot just el-centralen.

text: En förutsättning för att föreningen fortsatt ska kunna bedriva bevakningen är dock att föreningen själv bedömer att deras intresse av att bedriva bevakningen faktiskt föreligger. Detta innebär att föreningen löpande själv måste göra en prövning av samtliga omständigheter om intresset av att bedriva bevakningen är aktuellt och reellt när bevakningen utförs.

text: Kamerans upptagningsområde innefattar dock även delar av källarförrådet. Eftersom ändamålet med kamerabevakningen varit att förhindra skadegörelse vid el-centralen är det inte förenligt med principen om uppgiftsminimering att även filma delar av föreningens källarförråd. Föreningen måste därför begränsa bevakningen så att den inte bevakar föreningens källarförråd.

text: Ljudinspelning vid samtliga kameror

text: Föreningens bevakning innefattar i förevarande fall även ljudinspelning vid samtliga kameror. Ljudinspelning är särskilt integritetskänsligt och bör bli föremål för en noggrann prövning i det enskilda fallet (

text: prop. 2017/18:231 s. 67

text: ). Att det rör sig om ljudinspelning i ett bostadshus förstärker risken för integritetsintrång ytterligare.

text: Föreningen har uppgett att det vid de inträffade incidenterna uttalats förolämpningar och fula ord. Enligt Datainspektionen har föreningen dock inte visat varför ljudinspelning skulle vara nödvändig för att uppnå ändamålet med bevakningen.

text: Enligt Datainspektionens mening rör det sig i förevarande fall om en typ av brottslighet som till sin karaktär sällan nödvändiggör ljudinspelning och att de boendes intresse av att inte bli avlyssnade på samtliga platser för bevakning väger tyngre än föreningens intresse av att spela in ljud. Ljudinspelningen innebär ett synnerligen allvarligt integritetsintrång som är alltför omfattande i förhållande till föreningens intresse av ljudinspelningen.

text: Datainspektionen anser sammantaget att föreningens ljudinspelning saknar rättslig grund och strider mot principen om uppgiftsminimering.

text: Information till registrerade (artikel 13)

text: I artikel 13 dataskyddsförordningen anges vilken information som ska tillhandahållas om personuppgifter samlas in från den registrerade. Av artikel 13 framgår bl.a. att information om identitet och kontaktuppgifter för den personuppgiftsansvarige, ändamålen med behandlingen för vilken personuppgifterna är avsedda, samt den rättsliga grunden och den period under vilken personuppgifterna kommer lagras ska tillhandahållas.

text: I artikel 12 dataskyddsförordningen framgår att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artikel 13, och att sådan information ska tillhandahållas i en koncis, klar och tydlig, begriplig och lätt tillgänglig form. Den personuppgiftsansvarige kan t.ex. lämna information i olika lager, där en skylt kan utgöra det första lagret och information på webbplats eller information i en broschyr kan utgöra det andra lagret av information. Den viktigaste informationen bör generellt sett ges i det första lagret.

text: Av

text: 15 § andra stycket kamerabevakningslagen

text: följer vidare att om ljud kan avlyssnas eller tas upp vid bevakningen ska en särskild upplysning lämnas om detta.

text: Föreningen har uppgett att de upplyser om bevakningen genom skyltning vid entrégrinden till fastigheten samt vid entrédörr till respektive trapphus. Föreningen har vidare skickat in bilder på skyltarna. Av bilderna framgår att skyltarna visar en silhuett av en bevakningskamera samt texten ”TV/VIDEO”.

text: Datainspektionen konstaterar att den information som föreningen tillhandahåller förvisso upplyser om att kamerabevakning bedrivs, men att informationen på skylten inte är tillräcklig för att uppnå kraven enligt artikel 13 i dataskyddsförordningen. Skylten saknar bl.a. information om vem som bedriver bevakningen och var den registrerade kan vända sig för att få ytterligare information. Datainspektionen konstaterar vidare att föreningen inte informerar om den behandling som sker avseende ljudinspelning, vilket är en särskilt allvarlig brist.

text: Datainspektionen konstaterar att den information som föreningen lämnat inte lever upp till kraven i artikel 13 i dataskyddsförordningen.

text: Val av ingripande

text: I artikel 58 i dataskyddsförordningen anges samtliga befogenheter som Datainspektionen har. Enligt artikel 58.2 har Datainspektionen ett antal korrigerande befogenheter, bl. a. varningar, reprimander eller begränsningar av behandling.

text: Enligt artikel 58.2 (i) i dataskyddsförordningen framgår att tillsynsmyndigheten ska påföra administrativa sanktionsavgifter i enlighet med artikel 83. Enligt artikel 83.2 ska administrativa sanktionsavgifter, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2 a–h och j. Vidare framgår av artikel 83.2 n vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter överhuvudtaget ska påföras och vid bestämmande av avgiftens storlek

text: Istället för sanktionsavgifter får i vissa fall enligt skäl 148 till dataskyddsförordningen en reprimand utfärdas istället för sanktionsavgifter om det är frågan om en mindre överträdelse. Hänsyn ska vid bedömningen tas till omständigheter såsom överträdelsens karaktär, svårighetsgrad och varaktighet.

text: Sanktionsavgift och föreläggande

text: Datainspektionen har ovan bedömt att föreningen genom sin kamerabevakning med ljudinspelning av trapphus, källarförråd samt entréer överträtt artiklarna 5 och 6 i dataskyddsförordningen samt genom sin bristfälliga information till de registrerade överträtt artikel 13 i dataskyddsförordningen.

text: Mot bakgrund av att stora delar av den personuppgiftsbehandling som denna tillsyn omfattar har inneburit olaglig kamerabevakning med såväl bild som ljud, rörande boende i sin hemmiljö, är det inte fråga om en mindre överträdelse. Datainspektionen vill i sammanhanget framhålla att föreningens upptagning och lagring av ljud från stora delar av huset är särskilt allvarlig och att det med anledning av ljudupptagningen inte finns skäl att ersätta sanktionsavgiften med en reprimand.

text: Någon annan korrigerande åtgärd är inte heller aktuell för den behandling som skett. Föreningen ska därför påföras en administrativ sanktionsavgift.

text: Bestämmande av sanktionsbeloppets storlek

text: Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande.

text: Den administrativa sanktionsavgiften får enligt artikel 83.3 inte överstiga beloppet för den grövsta överträdelsen om det är frågan om en eller samma uppgiftsbehandlingar eller sammankopplade uppgiftsbehandlingar.

text: I artikel 83. 2 i dataskyddsförordningen anges samtliga faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek. Vid bedömningen av storleken på sanktionsavgift ska bl. a. hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), b (uppsåt eller oaktsamhet), g (kategorier av personuppgifter), h (hur överträdelsen kom till Datainspektionens kännedom) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst) dataskyddsförordningen.

text: Vid Datainspektionens bedömning av sanktionsavgiftens storlek har hänsyn tagits till att det har varit överträdelser rörande flera artiklar i dataskyddsförordningen och att överträdelse av artikel 5, 6 och 13 är att bedöma som allvarligare och omfattas av den högre sanktionsavgiften. Vidare har hänsyn tagits till att överträdelsen pågått under en längre tid, att överträdelsen kom till Datainspektionens kännedom genom ett klagomål och att kamerabevakningen av föreningens medlemmar skett i deras hemmiljö. Datainspektionen har avslutningsvis tagit särskild hänsyn till att ljudinspelning har skett med kamerorna. Dessa omständigheter är försvårande.

text: Som förmildrande omständigheter beaktas att föreningen saknar vinstintresse och bedrivs ideellt av privatpersoner. Det är dessutom i viss utsträckning samma personer som drabbas av påförande av sanktionsavgiften som drabbats av överträdelsen. Därutöver har föreningen i viss mån informerat om kamerabevakningen, om än inte helt i enlighet med dataskyddsförordningen. Vidare har föreningen även haft ett berättigat intresse för sin bevakning, även om de gjort en felaktig avvägning mellan sitt

text: berättigade intresse och de registrerades intressen och grundläggande rättigheter och friheter i sin boendemiljö. Avslutningsvis tillmäts det även betydelse att det är en förening vars omsättning år 2018 uppgick till 821 389 kronor och som endast består av 15 lägenheter.

text: Datainspektionen bedömer utifrån en samlad bedömning att föreningen ska betala en administrativ sanktionsavgift på 20 000 kronor.

text: Föreläggande att upphöra med bevakning

text: Eftersom Datainspektionen konstaterat att delar av bevakningen är olaglig ska föreningen föreläggas att upphöra med den. Datainspektionen förelägger därför föreningen enligt artikel 58.2 f dataskyddsförordningen att upphöra med kamerabevakningen i bild vad gäller kamerorna 1-3, som bevakar trapphus och entré, samt att upphöra ljudinspelning vad gäller samtliga kameror.

text: Datainspektionen förelägger vidare föreningen att begränsa kamerabevakningen i bild vad gäller kamera 4, som bevakar föreningens elcentral, så att den inte bevakar föreningens källarförråd och inte tar upp ljud.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Nils Henckel. Vid den slutliga handläggningen har även chefsjuristen Hans-Olof Lindblom, enhetschefen Charlotte Waller Dahlberg och juristen Jeanette Bladh Gustafson medverkat.

text: Lena Lindgren Schelin, 2020-06-15 (Det här är en elektronisk signatur)

text: Bilaga

text: Bilaga 1 – Hur man betalar sanktionsavgift

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Ert diarienr

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

sprak: sv

titel: Beslut mot Polismyndigheten

nyckelord: Dataskydd Brottsbekämpning Myndighet

publisher: Integritetsskyddsmyndigheten

slug: brottsbekampande-myndigheter

title: Brottsbekämpande myndigheter – Beslut mot Polismyndigheten

org: imy

sammanfattning: Vi har granskat behandlingen av personuppgifter och fattat beslut.

text: Polismyndigheten Rättsavdelningen Enheten för rättslig styrning och stöd Box 122 56 102 26 Stockholm

type: stycke

text: Tillsyn enligt

text: brottsdatalagen (2018:1177)

text: - Polismyndighetens förteckning över behandlingar

type: rubrik

text: Datainspektionens beslut

text: 1. Datainspektionen konstaterar att Polismyndighetens förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter om de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till enligt 3 kap. 3 § 3 och 4

text: brottsdataförordningen (2018:1202)

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Polismyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, senast den 31 oktober 2019.

text: 2. Polismyndigheten föreläggs att senast den 31 oktober 2019 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Polismyndigheten har vidtagit med anledning av föreläggandet i punkten 1.

text: Övrigt

text: Utöver vad som framgår av punkterna 1-2 lämnar Datainspektionen rekommendationer, enligt

text: 5 kap. 7 § 1 brottsdatalagen

text: , till Polismyndigheten gällande tidsfrister för hur länge kategorierna av personuppgifter får behandlas enligt

text: 3 kap. 3 § 9 brottsdataförordningen

text: Redogörelse för tillsynsärendet

text: Datainspektionen har den 17 oktober 2018 inlett tillsyn mot Polismyndigheten i syfte att granska om Polismyndighetens förteckning över behandlingar av personuppgifter överensstämmer med

text: 3 kap. 3 § brottsdataförordningen

text: Polismyndigheten har i huvudsak uppgett följande. Polismyndigheten har valt att dela upp förteckningen i två delar: en för behandlingar som förs med stöd av dataskyddsförordningen och en för behandlingar som förs med stöd av

text: brottsdatalagen

text: . De två delarna utgörs av två separata flikar i en Excelfil. Förteckningen innehåller även en flik med allmän information om personuppgiftsansvar och kontaktuppgifter till dataskyddsombud. Utöver förteckningen har Polismyndigheten ytterligare dokumentation om varje personuppgiftsbehandling. Dokumentationen betraktas dock inte som en del av förteckningen.

text: Vid skapandet av Polismyndighetens förteckning över behandlingar migrerades uppgifterna från personuppgiftsombudets förteckning. I samband med det togs en del obsoleta behandlingar och dubbletter bort. Det gjordes även en övergripande kvalitetssäkring av tillämplig lag, med hänsyn till bland annat

text: brottsdatalagens

text: utvidgade tillämpningsområde jämfört med

text: polisdatalagens (2010:361)

text: När det gäller kolumnerna ”tjänstemän med tillgång” och ”kategorier av mottagare” har dessa setts över så att rätt information står i rätt kolumn. Det är dock många rader som fortfarande saknar information. Denna information

text: finns i den bakomliggande dokumentationen ”Anmälan till PUO:s förteckning”.

text: När det gäller kolumnen ”tidsfrister” har inget arbete ännu påbörjats. Polismyndigheten har bedömt att den information som finns i de gamla anmälningarna inte är tillräckligt bra för att det ska vara möjligt att uppdatera förteckningen i större utsträckning än som hittills har gjorts. Istället ska ett större arbete initieras för att uppdatera alla äldre anmälningar och ersätta dem med nya.

text: Datainspektionen har vid sin granskning av Polismyndighetens förteckning över behandlingar iakttagit huvudsakligen följande. Polismyndighetens förteckning över behandlingar innehåller följande kolumner. - Namn, - rättslig grund, - ansvarig för behandlingen, - ändamål, - kategorier av tjänstemän med tillgång, - kategorier av mottagare som uppgifterna kan komma att lämnas ut till, - kategorier av registrerade och personuppgifter, - samling av överföringar till tredje land, - användning av profilering, - tidsfrister för hur länge kategorierna av personuppgifter får behandlas samt - allmän beskrivning av säkerhetsåtgärder.

text: Motivering av beslutet

text: Vad Datainspektionen har att ta ställning till

text: Datainspektionen har i tillsynsärendet att ta ställning till om Polismyndighetens förteckning över behandlingar, uppfyller kraven

text: 3 kap. 3 § brottsdataförordningen

text: . Tillsynen avser bara den förteckning som Polismyndigheten för enligt

text: brottsdatalagen

text: Tillämpliga bestämmelser

text: Den 1 augusti 2018 trädde

text: brottsdatalagen

text: i kraft med kompletterande bestämmelser i

text: brottsdataförordningen

text: Brottsdatalagen

text: gäller enligt

text: 1 kap. 2 §

text: för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Polismyndigheten gäller utöver

text: brottsdatalagen

text: sedan den 1 januari 2019 även lagen (

text: ) om polisens behandling av personuppgifter inom

text: brottsdatalagens

text: område (polisens brottsdatalag) med kompletterande bestämmelser i förordningen (

text: brottsdatalagens

text: område. I och med att polisens brottsdatalag trädde ikraft så upphörde

text: polisdatalagen

text: att gälla.

text: Enligt

text: 3 kap. 3 § brottsdataförordningen

text: ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen, 3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering, 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

text: Enligt

text: 5 kap. 7 § brottsdatalagen

text: får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid

text: med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att Polismyndighetens förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter om de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till.

text: Skälen för Datainspektionens bedömning är följande

text: Polismyndigheten för en förteckning enligt

text: 3 kap. 3 § brottsdataförordningen

text: över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt

text: brottsdatalagen

text: . För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Polismyndighetens förteckning över behandlingar innehåller i separata kolumner de i bestämmelsen uppräknade punkterna. Datainspektionen har inte några synpunkter avseende punkterna 1-2, 5-8 samt 10.

text: Kolumnerna för att ange de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas (punkten 3) och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till (punkten 4) saknar uppgifter för vissa kategorier av behandlingar. Datainspektionen konstaterar därför att Polismyndighetens förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter enligt 3 kap. 3 § 3 och 4

text: brottsdataförordningen

text: . Datainspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Polismyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till.

text: Kolumnen för tidsfrister för hur länge kategorierna av personuppgifterna får behandlas är, för varje kategori av behandling, tom. Enligt 3 kap. 3 § 9 brotts-

text: dataförordningen ska det, om det är möjligt, anges tidsfrister. Polismyndigheten har angett att det ska initieras ett större arbete för att uppdatera alla äldre anmälningar till den tidigare förteckningen och ersätta dem med nya.

text: Datainspektionen konstaterar att Polismyndighetens förteckning över behandlingar saknar uppgifter om tidsfrister enligt

text: 3 kap. 3 § 9 brottsdataförordningen

text: . Datainspektionen får enligt

text: 5 kap. 7 § 1 brottsdatalagen

text: genom råd, rekommendationer eller påpekanden (som anges i

text: 5 kap. 6 § första stycket samma lag

text: ) försöka förmå Polismyndigheten att vidta åtgärder. Datainspektionen anser att det i nuläget är tillräckligt att rekommendera Polismyndigheten att göra en bedömning av om det är möjligt att ange tidsfrister i förteckningen över behandlingar.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Maria Andersson.

text: Charlotte Waller Dahlberg

text: Maria Andersson

text: Kopia till:

text: Säkerhets- och integritetsskyddsnämnden

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

type: avgorande


text: Ert diarienr

titel: Beslut mot Kriminalvården

title: Brottsbekämpande myndigheter – Beslut mot Kriminalvården

text: Kriminalvården Box 306 Slottsgatan 78 601 80 Norrköping

text: Tillsyn enligt

text: brottsdatalagen (2018:1177)

text: – Kriminalvårdens förteckning över behandlingar

text: Datainspektionens beslut

text: 1. Datainspektionen konstaterar att Kriminalvårdens förteckning över behandlingar saknar namnet på och kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud enligt

text: 3 kap. 3 § brottsdataförordningen (2018:1202)

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kriminalvården att i förteckningen över behandlingar ange namnet på och kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud, senast den 31 oktober 2019.

text: 2. Datainspektionen konstaterar att Kriminalvårdens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till enligt 3 kap. 3 § 3 och 4

text: brottsdataförordningen

text: på ett otydligt sätt.

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kriminalvården att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av

text: mottagare som uppgifterna kan komma att lämnas ut till på så sätt som anges i motiveringen till detta beslut, senast den 31 oktober 2019.

text: 3. Datainspektionen konstaterar att Kriminalvårdens förteckning över behandlingar, för varje kategori av behandling, saknar uppgifter om användning av profilering enligt

text: 3 kap. 3 § 8 brottsdataförordningen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kriminalvården att i förteckningen över behandlingar, för varje kategori av behandling, ange om profilering används, senast den 31 oktober 2019.

text: 4. Kriminalvården föreläggs att senast den 31 oktober 2019 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Kriminalvården har vidtagit med anledning av föreläggandena i punkterna 1-3.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har den 17 oktober 2018 inlett tillsyn mot Kriminalvården i syfte att granska om Kriminalvårdens förteckning över behandlingar av personuppgifter överensstämmer med

text: 3 kap. 3 § brottsdataförordningen

text: Datainspektionen har inom ramen för tillsynsärendet besökt Kriminalvården den 4 december 2018. Kriminalvården har vid inspektionen förevisat förteckningen över behandlingar (nedan Registerförteckningen) och Datainspektionen har ställt frågor om denna. Datainspektionen har vid inspektionen granskat vissa utvalda registreringar (nedan Registerbeskrivningar) i Registerförteckningen. Urvalet bestod av de två centrala systemen i Kriminalvårdens verksamhet, Kriminalvårdsregistret (KVR) och LIFT administrativt transportplaneringssystem samt ett antal slumpmässigt utvalda Registerbeskrivningar. Kriminalvården har yttrat sig över det inspektionsprotokoll som upprättats i samband med inspektionstillfället.

text: Kriminalvården har i huvudsak uppgett följande. Förteckningen över behandlingar hanteras i ett egenutvecklat system som kallas Registerförteckningen. Flera av Registerbeskrivningarna kommer att uppdateras med anledning av kommande författningsändringar. Information om att det är Kriminalvården

text: som är personuppgiftsansvarig samt kontaktuppgifter till myndigheten finns förutom på intranätet även på myndighetens externa hemsida. Kriminalvården är inte gemensamt personuppgiftsansvarig för någon personuppgiftsbehandling. Fältet ”Till vilka mottagare uppgifterna lämnas” inkluderar både interna och externa mottagare. Det förekommer ingen användning av profilering i Kriminalvårdens register.

text: Datainspektionen har vid sin granskning av Kriminalvårdens förteckning över behandlingar iakttagit huvudsakligen följande. Varje Registerbeskrivning innehåller ett antal fält som antingen är fritextfält, ja eller nej frågor alternativt innehåller ett antal kryssmöjligheter. Fälten är följande. - Registrets/behandlingens namn, - datum, - tillhörighet, - ansvarig chef, - ändamål, - kategorier (grupper) av personer som berörs av behandlingen, - personuppgifter som behandlas, - känsliga personuppgifter, - personnummer, - till vilka mottagare uppgifterna lämnas, - rättslig grund enligt GDPR, - rättslig grund enligt

text: brottsdatalagen

text: , - rättslig grund enligt

text: patientdatalagen

text: , - kontaktperson, - uppgifterna lämnas till utlandet, - lämnas till utlandet, - gallring av uppgifter i registret, - allmän beskrivning av vidtagna säkerhetsåtgärder, - övriga upplysningar, - beskrivningsstatus och - unikt ID för beskrivning.

text: Motivering av beslutet

text: Vad Datainspektionen har att ta ställning till

text: Datainspektionen har i tillsynsärendet att ta ställning till om Kriminalvårdens förteckning över behandlingar, uppfyller kraven

text: 3 kap. 3 § brottsdataförordningen

text: . Inspektionen har valt att begränsa tillsynen genom att välja ut vissa kategorier av behandlingar (Registerbeskrivningar) i förteckningen för

text: särskild granskning. Tillämpliga bestämmelser

text: Den 1 augusti 2018 trädde

text: brottsdatalagen

text: i kraft med kompletterande bestämmelser i

text: brottsdataförordningen

text: Brottsdatalagen

text: gäller enligt

text: 1 kap. 2 §

text: för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Kriminalvården gäller utöver

text: brottsdatalagen

text: sedan den 1 januari 2019 även lagen (

text: ) om kriminalvårdens behandling av personuppgifter inom

text: brottsdatalagens

text: område (kriminalvårdens brottsdatalag) med kompletterande bestämmelser i förordningen (

text: brottsdatalagens

text: område. I och med att kriminalvårdens brottsdatalag trädde ikraft så upphörde lagen (

text: ) om behandling av personuppgifter inom kriminalvården att gälla.

text: Enligt

text: 3 kap. 3 § brottsdataförordningen

text: ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen, 3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen,

text: 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering, 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

text: Enligt

text: 5 kap. 7 § brottsdatalagen

text: får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

text: Kriminalvården för en förteckning enligt

text: 3 kap. 3 § brottsdataförordningen

text: brottsdatalagen

text: . För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Kriminalvårdens förteckning över behandlingar innehåller för varje kategori av behandling punkterna 1-7 och 9-10. Datainspektionen har inte några synpunkter avseende punkterna 1-2, 5-7 samt 9-10.

text: Kontaktuppgifter

text: Datainspektionens bedömning

text: 3 kap. 3 § brottsdataförordningen

text: En förteckning över behandlingar ska enligt

text: 3 kap. 3 § brottsdataförordningen

text: innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Kriminalvården har uppgett att kontaktuppgifter till myndigheten finns på intranätet och på myndighetens externa hemsida. Kriminalvården har vidare uppgett att för det fall någon begär ut Registerförteckningen, så skickas kontaktuppgifterna med som ett missiv.

text: Enligt

text: brottsdataförordningen

text: ska förteckningen över behandlingar i sig innehålla ovan angivna uppgifter. Datainspektionen konstaterar därför att Kriminalvårdens förteckning över behandlingar saknar namnet på och kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kriminalvården att i förteckningen över behandlingar ange namnet på och kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud.

text: Punkterna 3 och 4 – kategorier av tjänstemän och kategorier av mottagare

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att Kriminalvårdens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till på ett otydligt sätt.

text: En förteckning över behandlingar ska, för varje kategori av behandling, innehålla uppgifter om de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer. Detta framgår av 3 kap. 3 § 3 och 4

text: brottsdataförordningen

text: Av förarbetena till

text: brottsdatalagen

text: framgår att när det gäller kategorier av mottagare kan det räcka att ange vilken typ av myndighet som personuppgifterna kan komma att lämnas till, till exempel åklagare eller domstol (se

text: SOU 2017:29 s. 322

text: Kriminalvården har ett fält i sina Registerbeskrivningar som kallas ”Till vilka mottagare uppgifterna lämnas”. Under fältet anges i Registerbeskrivningarna texten ”De roller/funktioner som har tillgång till uppgifterna samt de som uppgifterna eventuellt lämnas ut till”. Enligt Kriminalvården ska uppgifter i detta fält innehålla både interna och externa mottagare.

text: Av de Registerbeskrivningar som Datainspektionen granskat framgår avseende beskrivningarna för LIFT, Pilot Utsikt, Intagnas IT, Spelkonsoller, Beläggning 6:3, Klintkoll och Hund endast kategorier av tjänstemän. Datainspektionen anser att de angivna Registerbeskrivningarna saknar uppgifter om kategorier av mottagare som uppgifterna kan komma att lämnas ut till.

text: Avseende Registerbeskrivningen för KVR anges att uppgifter lämnas enligt 37 § och 46-48 § förordningen till angivna myndigheter. Det innebär att mottagarna som uppgifterna kan komma att lämnas ut till anges. Datainspektionen anser dock att det saknas uppgifter om de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas.

text: Datainspektionen anser, utifrån de Registerbeskrivningar som granskats, att på det sätt som Kriminalvården har valt att utforma fältet ”Till vilka mottagare uppgifterna lämnas”, innebär att de kategorier av tjänstemän som har tillgång till uppgifterna (punkten 3) sammanblandas med de kategorier av mottagare som uppgifterna kan komma att lämnas ut till (punkten 4). Datainspektionen konstaterar därför att Kriminalvårdens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kriminalvården att i förteckningen över behandlingar, för varje kategori av behandling, förtydliga de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till. Exempel på hur mottagare kan anges framgår av förarbetena som återges ovan.

text: Det finns även två fält i Registerbeskrivningarna som kallas ”uppgifterna lämnas till utlandet” och ”lämnas till utlandet”. Datainspektionen har inte några synpunkter avseende hur kategorier av mottagare i tredjeland eller internationella organisationer anges.

text: Punkten 8 – användning av profilering

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att Kriminalvårdens förteckning över behandlingar, för varje kategori av behandling, saknar uppgifter om användning av profilering.

text: En förteckning över behandlingar ska, för varje kategori av behandling, enligt

text: 3 kap. 3 § 8 brottsdataförordningen

text: , innehålla uppgifter om användning av profilering. Kriminalvården har uppgett att det inte förekommer någon användning av profilering i myndighetens register.

text: Enligt

text: brottsdataförordningen

text: ska förteckningen över behandlingar innehålla uppgifter om användning av profilering även när det inte förekommer. Datainspektionen konstaterar därför att Kriminalvårdens förteckning över behandlingar, för varje kategori av behandling, saknar uppgifter om användning av profilering. Datainspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kriminalvården att i förteckningen över behandlingar, för varje kategori av behandling, ange om profilering används.

text: Charlotte Waller Dahlberg

text: Maria Andersson

text: Hur man överklagar

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Ert diarienr

titel: Beslut mot Kustbevakningen

title: Brottsbekämpande myndigheter – Beslut mot Kustbevakningen

text: Kustbevakningen Box 536 371 23 Karlskrona

text: Tillsyn enligt

text: brottsdatalagen (2018:1177)

text: – Kustbevakningens förteckning över behandlingar

text: Datainspektionens beslut

text: 1. Datainspektionen konstaterar att Kustbevakningens förteckning över behandlingar saknar kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud enligt

text: 3 kap. 3 § brottsdataförordningen (2018:1202)

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kustbevakningen att i förteckningen över behandlingar ange kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud, senast den 31 oktober 2019.

text: 2. Datainspektionen konstaterar att Kustbevakningens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av mottagare som uppgifterna kan komma att lämnas ut till enligt

text: 3 kap. 3 § 4 brottsdataförordningen

text: på ett otydligt sätt.

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kustbevakningen att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av mottagare som uppgifterna kan komma att lämnas ut till på så sätt som anges i motiveringen till detta beslut, senast den 31 oktober 2019.

text: 3. Kustbevakningen föreläggs att senast den 31 oktober 2019 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Kustbevakningen har vidtagit med anledning av föreläggandena i punkterna 1-2.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har den 17 oktober 2018 inlett tillsyn mot Kustbevakningen i syfte att granska om Kustbevakningens förteckning över behandlingar av personuppgifter är i överensstämmelse med

text: 3 kap. 3 § brottsdataförordningen

text: Datainspektionen har vid sin granskning av Kustbevakningens förteckning över behandlingar iakttagit huvudsakligen följande. Förteckningen över behandlingar innehåller följande kolumner. - Ansvariga, - kategorier av tjänstemän som har tillgång, - ändamål i tre olika nivåer, - namn på behandling, - rättslig grund, - kommentar till rättslig grund, - kategorier av registrerade som berörs av behandlingen, - kategorier av personuppgifter som kan komma att behandlas, - kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, även tredje land eller internationella organisationer, - samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, - om möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, - om möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits samt - användning av profilering.

text: Kustbevakningen har i huvudsak uppgett följande. Kolumnerna ”samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer” och ”användning av profilering” är tomma. Det betyder att det inte förekommer.

text: Motivering av beslutet

text: Vad Datainspektionen har att ta ställning till

text: Datainspektionen har i tillsynsärendet att ta ställning till om Kustbevakningens förteckning över behandlingar, uppfyller kraven 3 kap. 3 § brottsdata-

text: förordningen. Tillämpliga bestämmelser

text: Den 1 augusti 2018 trädde

text: brottsdatalagen

text: i kraft med kompletterande bestämmelser i

text: brottsdataförordningen

text: Brottsdatalagen

text: gäller enligt

text: 1 kap. 2 §

text: för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Kustbevakningen gäller utöver

text: brottsdatalagen

text: sedan den 1 januari 2019 även lagen (

text: ) om Kustbevakningens behandling av personuppgifter inom

text: brottsdatalagens

text: område.

text: Enligt

text: 3 kap. 3 § brottsdataförordningen

text: ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen, 3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering, 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och

text: 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

text: Enligt

text: 5 kap. 7 § brottsdatalagen

text: får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

text: Kustbevakningen för en förteckning enligt

text: 3 kap. 3 § brottsdataförordningen

text: över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt

text: brottsdatalagen

text: . För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Kustbevakningens förteckning över behandlingar innehåller för varje kategori av behandling punkterna 1-10. Datainspektionen har inte några synpunkter avseende punkterna 1-3 samt 5-10.

text: Kontaktuppgifter

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att Kustbevakningens förteckning över behandlingar saknar kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud.

text: Skälen för Datainspektionens bedömning är följande

text: En förteckning över behandlingar ska enligt

text: 3 kap. 3 § brottsdataförordningen

text: Kustbevakningens förteckning över behandlingar innehåller enbart namnet på den personuppgiftsansvarige. Datainspektionen konstaterar därför att Kustbevakningens förteckning över behandlingar saknar kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kustbevakningen att i förteckningen över behandlingar ange kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombud.

text: Punkten 4 – kategorier av mottagare

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att Kustbevakningens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av mottagare som uppgifterna kan komma att lämnas ut till på ett otydligt sätt.

text: Enligt

text: 3 kap. 3 § 4 brottsdataförordningen

text: ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer.

text: Datainspektionen har iakttagit att det för alla kategorier av behandlingar, utom en, anges: Internt, externt samt till viss del även till tredje land efter prövning. I förteckningen anges inte vilken typ av externa mottagare som avses.

text: Av förarbetena till

text: brottsdatalagen

text: SOU 2017:29 s. 322

text: ). Datainspektionen anser med anledning av det som framgår av förarbetena att det inte är tillräckligt att enbart ange ”externt”. Inspektionen konstaterar därför att Kustbevakningens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av mottagare som uppgifterna kan komma att lämnas ut till på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Kustbevakningen att i förteckningen över behandlingar, för varje kategori av behandling, förtydliga de kategorier av mottagare som uppgifterna kan komma att lämnas ut till. Exempel på hur mottagare kan anges framgår av

text: förarbetena som återges ovan.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Maria Andersson.

text: Charlotte Waller Dahlberg

text: Maria Andersson

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.