text: G Inkasso AB

text: Under 2021 fick IMY information från bland annat Konsumentverket rörande G Inkasso AB som inkassoombud för Svenskt Fordonsskydd Ltd. I huvudsak framkom följande i

sprak: sv

titel: Beslut

nyckelord: Dataskydd Tillsyn

publisher: Integritetsskyddsmyndigheten

slug: g-inkasso-ab

title: G Inkasso AB

org: imy

sammanfattning: IMY påpekar brister i samband med samarbetet med Svenskt Fordonsskydd. IMY vidtar inga ytterligare åtgärder och förutsätter att G Inkasso AB fortsätter att vidta åtgärder för att ytterligare förbättra sina rutiner i syfte att undvika att medverka till indrivning av tvivelaktiga fordringar.

text: DI-2021-7660 Beslut efter tillsyn enligt

text: inkassolagen

type: stycke

text: – indrivning av tvivelaktiga fordringar

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: G Inkasso AB (556564-1106) har brutit mot

text: 4 § inkassolagen (1974:182)

text: genom att inte ha vidtagit tillräckliga åtgärder för att kontrollera giltigheten av de fordringar man driver in för uppdragsgivaren Svenskt Fordonsskydd Ltd och därigenom vållat gäldenärer onödig skada och olägenhet, samt mot -

text: 8 § inkassolagen

text: genom att ha vidtagit inkassoåtgärder avseende fodringar från denna uppdragsgivare när det förelegat sannolika skäl för att fordringar inte varit lagligen grundade eller annars framstått som obefogade.

text: Integritetsskyddsmyndigheten förutsätter att G inkasso AB vidtar åtgärder för att ytterligare förbättra sina rutiner i syfte att undvika att medverka till indrivning av tvivelaktiga fordringar.

text: Ärendet avslutas.

text: Redogörelse för ärendet

text: Integritetsskyddsmyndigheten (IMY) har uppmärksammats på att G Inkasso AB har drivit in fordringar för det Hongkong-registrerade bolaget Svenskt Fordonsskydd Ltd.

text: IMY har inlett tillsyn mot G Inkasso AB för att utreda om bolaget vidtagit rimliga åtgärder för att försäkra sig om att de fordringar som bolaget åtagit sig att driva in har haft laglig grund.

text: Bakgrund

text: G Inkasso har IMY:s tillstånd att bedriva inkassoverksamhet.

text: informationen från Konsumentverket och i den dom som meddelats av Patent- och marknadsdomstolen med anledning av Svensk Fordonsgarantis

text: marknadsföringsutskick.

text: Svenskt Fordonsskydd Ltd.

text: Under 2020 fick Konsumentverket kännedom om det Hongkong-registrerade bolaget Svenskt Fordonsskydd Ltd (nedan Svenskt Fordonsskydd). Bolaget gör utskick till privatpersoner i Sverige och erbjuder fabriksgarantier för fordon och förlängning av tidigare garantitid, trots att bolaget inte har någon koppling till försäljaren eller fordonstillverkaren. I vissa fall har utskicken sänts till personer vars garanti fortfarande gäller.

text: Utskicken utgör erbjudanden som enligt Konsumentverket kan misstas för en faktura och vilseleda konsumenten till betalning. Den som tecknar tjänsten blir bunden under viss tid.

text: Konsumentverket har sedan 2020 fått in över 800 anmälningar mot Svenskt Fordonsskydd och har försökt att få kontakt med bolaget, utan resultat.

text: Den 4 juni 2021 beslutade Konsumentverket att föra upp Svenskt Fordonsskydd på sin varningslista. Av pressmeddelandet framgick följande.

text: Efter ett stort antal anmälningar och klagomål har Konsumentverket valt att placera bolaget Svenskt Fordonsskydd Ltd på Varningslistan. Svenskt Fordonsskydd Ltd. är ett bolag registrerat i Hongkong som marknadsför fordonsgarantier genom direktmarknadsföring via brev. Konsumentverket har sedan 2020 mottagit över 800 anmälningar mot Svenskt Fordonsskydd Ltd. angående främst vilseledande marknadsföring. Även Konsumentverkets upplysningstjänst Hallå konsument har under denna period noterat ett stort antal klagomål mot bolaget. Anmälningarna och klagomålen har bland annat handlat om de erbjudanden som bolaget skickat ut och som många har uppfattat som fakturor. Konsumenter uppfattar marknadsföringen som vilseledande av tre orsaker: 1.Det står att det är en förlängning av deras tidigare garanti trots att de inte har någon koppling till försäljaren eller tillverkaren. 2.För vissa konsumenter är informationen felaktig då deras garanti fortfarande gäller. 3. Vissa uppfattar ”erbjudandet” som en faktura då det inte tydligt framgår att det är ett erbjudande. Konsumentverket bedömer att Svenskt Fordonsskydd Ltd. har orsakat och fortfarande orsakar konsumenter betydande problem. Myndigheten finner också att problemen Innebär en överhängande risk för ekonomisk skada för konsumenter. Konsumentombudsmannen, KO, har tidigare agerat rättsligt mot ett annat bolag – Svensk Fordons Garanti AB (Garanti för bilar i Skandinavien AB i konkurs) – som marknadsförde fordonsgarantier på ett liknande sätt, men som inte ska sammanblandas med Svenskt Fordonsskydd Ltd. Eftersom Svenskt Fordonsskydd Ltd. är registrerat i Hongkong och inte har gått att nå har rättsliga åtgärder försvårats. Konsumentverket bedömer att det är angeläget att nå ut till konsumenter och informera om problemen och att det bästa sättet att göra det på är att placera bolaget på varningslistan.

text: G Inkasso AB svarar för Svenskt Fordonsskydds inkassohantering. Även fakturaservice ingår i uppdraget. Konsumentverket var under september-november 2020 i kontakt med G Inkasso för att få information om samarbetet med Svenskt Fordonsskydd. Av det brev som Konsumentverket sände till G inkasso framgick bland annat att myndigheten i tillsynsärendet mot Svenskt Fordonsskydd gjort bedömningen att marknadsföringen strider mot bestämmelserna i bland annat

text: och

text: 10 §§

text: marknadsföringslagen (2008:486)

text: då den är vilseledande och otillbörlig. Konsumentverket lämnade också följande information i brevet till G inkasso.

text: Konsumentverket har i sitt tillsynsarbete genom anmälningar uppmärksammat bolaget Svenskt Fordonsskydd Ltd som marknadsför fordonsgarantier, bland annat genom direktmarknadsföring via brev till konsumenter. Brevet är utformat på så vis att det saknas reklamidentifiering samt att det inte klargörs på ett tydligt sätt att det rör sig om ett erbjudande och inte en faktura. Vidare påstår bolaget i brevutskicket att det rör sig om att förlänga konsumentens skydd i ytterligare tre år eftersom konsumentens fabriksgaranti har slutat gälla. Konsumenter vilseleds därför att betala för tjänsten i tron att det dels rör sig om en faktura avseende ett ingånget avtal, dels att det rör sig om en garanti från tillverkaren av fordonet. Enligt uppgift från Kronofogden har 20 ansökningar om betalningsföreläggande avseende Svenskt Fordonsskydd lämnats in. De flesta har bestridits eller återkallats. Inget utslag har meddelats.

text: Svensk Fordonsgaranti

text: Svensk Fordonsgaranti (efter namnbyte senare Garanti för bilar i Skandinavien AB) gjorde utskick till privatpersoner under åren 2017 och 2018, som påminner om de utskick som beskrivs ovan.

text: Även i detta fall tog Konsumentverket emot över 800 anmälningar från konsumenter.

text: Konsumentombudsmannen ansåg att marknadsföringen var vilseledande och otillbörlig och stämde bolaget vid Patent- och marknadsdomstolen. Domstolen delade Konsumentombudsmannens uppfattning. I dom från Patent- och marknadsdomstolen den 12 april 2019 i mål nr PMT 13814-18 förbjöds Garanti för bilar i Skandinavien AB vid vite att vid marknadsföring till konsumenter bland annat att, när så inte är fallet, påstå att konsumenten kan förlänga garantin i ytterligare tre år eller förlänga sitt skydd i ytterligare tre år genom en ny fordonsgaranti då marknadsföringen enligt domstolen var vilseledande. I domen, som även omfattade vissa andra vilseledande påståenden i sin marknadsföring till konsumenter dömdes bolaget att betala en marknadsstörningsavgift på 1,5 miljoner kronor.

text: G Inkasso AB (då Auktoritet Inkasso AB) svarade för bolagets inkassohantering.

text: Enligt uppgift från Kronofogden inkom, med Svensk Fordonsgaranti som borgenär, 375 ansökningar om betalningsföreläggande. Av dessa bestreds 79 st., 237 st. återkallades och 31 st. avskrevs.

text: Mot denna bakgrund har IMY inlett tillsyn mot G Inkasso AB i syfte att granska bolagets rutiner för att motverka fakturabedrägerier och liknande samt hur bolaget har tillämpat rutinerna i samband med samarbetet med Svenskt Fordonsskydd.

text: Bolagets yttrande

text: Bolaget har inkommit med yttrande och har i huvudsak uppgett följande.

text: Rutiner inför tecknande av avtal om inkassotjänster

text: – Registreringsbevis från Bolagsverket – Kreditupplysning från UC, Bisnode eller Creditsafe – Kontroll mot Svensk Handels varningslista avseende juridiska personer – Kontroll av identitetshandling – Kontroll av verklig huvudman avseende juridiska personer – Kontroll av firmatecknare avseende juridiska personer – Fördjupad kundkännedom, KYC, (enligt särskild bedömning) – Signering av avtal via BankID

text: I syfte att ha en god kundkännedom inhämtar G Inkasso AB uppgifter och information från sina klienter i en blankett, innefattande bland annat frågor om företagets hemvist, verklig huvudman, ekonomisk situation och avsikten med transaktionerna.

text: Bolagets rutiner för att upprätthålla god inkassosed

text: – Bedömning av om anspråket är befogat eller inte, enligt

text: 8 § inkassolagen

text: – Bedömning att uppdragsgivarens rutiner är tillräckliga för att förhindra att ogrundade krav framförs – Individuell prövning av omständigheterna rörande fordran – Kontroll av att namn, organisationsnummer/personnummer, adress är riktiga för att säkerställa gäldenärens identitet – Att ingen inkassoåtgärd vidtas om det av gäldenärens invändning framgår att fordran saknar grund – Att saklig invändning från gäldenären även medför ett avstående från att använda den summariska processen.

text: G Inkasso AB:s rutiner för att motverka oseriösa uppdragsgivare är förutom att det görs en omfattande kontroll före det att avtal med nya kunder tecknas enligt ovan att det därutöver löpande;

text: – Det sker en bedömning att uppdragsgivarens rutiner är tillräckliga för att förhindra att ogrundade krav framförs. – Det sker en individuell prövning av omständigheterna rörande fordringar. – Det sker kontroll mot Svensk Handels varningslista.

text: Avseende samarbetet med Svenskt Fordonsskydd Ltd uppger G inkasso i huvudsak följande.

text: G Inkasso AB (då Auktoritet Inkasso AB) ingick 2020-03-06 avtal med Svenskt Fordonsskydd omfattande normal inkasso, provisions inkasso, efterbevakning, fakturaservice och juridiska tjänster.

text: Vid kontakten med Konsumentverket den 23 september 2020 hade Konsumentverket erhållit 22 anmälningar mot Svenskt Fordonsskydd. Därmed inledde bolaget en ny individuell bedömning om Svenskt Fordonsskydds fordringar. Följande punkter undersöktes:

text: – Om erbjudandet innehöll oriktiga påståenden som omfattas av den så kallade svarta listan. – Om erbjudandet var i strid mot

text: marknadsföringslagen

text: . – Om företaget följer reglerna om ångerrätt enligt

text: distansavtalslagen

text: . – Om företagets fordringar är lagligen grundade.

text: Den individuella bedömningen gav bolaget uppfattningen att

text: marknadsföringslagen

text: och

text: distansavtalslagen

text: följdes/följs och att Svenskt Fordonsskydds fordringar var/är lagligen grundade.

text: I en skrivelse från Kronofogdemyndigheten den 19 november 2020 underrättade Kronofogdemyndigheten G Inkasso AB om att Kronofogdemyndigheten med hänsyn till inlett tillsynsärende av Konsumentverket mot Svenskt Fordonsskydd inte ansåg sig kunna handlägga G Inkasso AB:s ansökningar om betalningsföreläggande inom ramen för den summariska processen då Kronofogdemyndigheten hade anledning att anta att ansökningarna var ogrundade eller obefogade. Kronofogdemyndigheten underrättade samtidigt G Inkasso AB om sökandens möjlighet att begära målen överlämnade till domstol för materiell prövning av Svenskt Fordonsskydds anspråk. Med anledning av Konsumentverkets pågående utredning valde G Inkasso AB den 26 november 2020 att samtliga pågående ärenden skulle återkallas och att inga kommande inkassoärenden skulle skickas vidare till Kronofogdemyndigheten i avvaktan på utfallet av Konsumentverkets pågående utredning. G Inkasso skickar i allmänhet ingen information till gäldenärer när ärenden återkallas från Kronofogdemyndigheten, vilket inte heller gjordes i dessa fall. G Inkasso AB fortsatte efter denna tidpunkt att skicka inkassokrav i nya inkassouppdrag.

text: Därutöver vill G Inkasso AB även hänvisa till bla SOU 2015;77 sid 329 ff om vad som i doktrin som skrivs om vad som bör gälla för att föra upp företag på varningslistor.

text: Det finns inget föreläggande, pågående mål, eller domar registrerade på Konsumentombudsmannen eller Konsumentverkets webbplats rörande Svenskt Fordonsskydd. Svenskt Fordonsskydd är inte uppförda på Svensk Handels varningslista för oseriösa företag.

text: Publiceringen av Svenskt Fordonsskydd på Konsumentverkets varningslista den 4 juni fick G Inkasso AB kännedom om i samband med IMY:s begäran om yttrande den 17 september 2021.

text: Samtliga inkassokrav stoppades då, dvs. den 17 september 2021, och har placerats på efterbevakning med status ”under utredning” tills vidare i avvaktan på att Konsumentverkets utredning avslutas eller slutligen fastställs i domstol. Inga tvistiga fordringar hanteras inom ramen för efterbevakning av G Inkasso AB.

text: IMY begärde den 5 oktober yttrande och förtydligande av Svenskt Fordonsskydds rutiner och svar erhölls 7 oktober 2021. Avseende processbeskrivningen av verksamheten angav bolaget i huvudsak följande. Kunden får ett erbjudande via postförsändelse om möjlighet att förlänga sin garanti. Önskar kunden detta erbjudande görs en inbetalning. Efter att denna betalning registrerats skickas ett välkomstbrev samt ett garantibevis för det fordon kunden har förlängt sin garanti på. Nya fakturor skickas därefter ut till kunden, beroende på kundens val av premie. Svensk Fordonsskydd Ltd har vidare bland annat bifogat kopior på garantierbjudande, garantibevis, allmänna avtalsvillkor, exempel på tillfällen då ångerrätt utnyttjats eller ersättning utbetalats samt statistikuppgifter.

text: Antal inkassoärenden med Svenskt Fordonsskydd som borgenär har totalt uppgått till 3893, av dessa har 2556 reglerats, 230 bestridits och återstående 1096 kravstoppats och placerats på efterbevakning med status ”under utredning. En ärendemängd som inte på något onormalt sätt avviker från det normala varför G Inkasso AB inte haft någon särskild anledning att ifrågasätta det tjänstetillhandahållande som Svensk Fordonsskydd erbjuder.

text: Inga inkassoärenden har dock hänskjutits till domstol för materiell prövning eftersom G Inkasso AB:s överenskommelse med Kronofogdemyndigheten den 26 november 2020 ligger fast i avvaktan på att Konsumentverkets utredning avslutas eller slutligen fastställs i domstol.

text: Vad gäller de kontroller som gjordes inför ingående av avtal med Svenskt Fordonsskydd så hänvisas till vad som framgår ovan vad gäller Rutiner inför tecknande av avtal samt rutiner för att upprätthålla god inkassosed.

text: I samband med att Konsumentverket under hösten 2020 kontaktade Auktoritet Inkasso AB så inleddes ett arbete relaterat till Svenskt Fordonsskydd som bland annat har inneburit följande;

text: 1. Dialog med KO 2020-09-23 – 2020-11-24 2. Individuell bedömning av SFS Erbjudande gentemot

text: Marknadsföringslagen

text: samt EU direktiv

text: 2020-10-27 och

text: Distansavtalslagen

text: 3. Bevis om företrädare och ägare 2020-10-28 4. Åtgärdsstopp avseende rättsliga åtgärder KFM (2020-11-26) 5. Bevis om firmatecknare 2020-12-18 6. KYC genomförd (2021-03-05) 7. Kontroll med Patent- och Marknadsdomstolen 2021-05-05 8. Inhämtat yttrande SFS 2021-10-05 9. Svar yttrande från SFS 2021-10-07 10. Kravstopp efter påminnelsehantering av klientens fordringar (Ny) 11. Samtliga pågående inkassoärenden flyttade till Efterbevakning – Under utredning (Ny) 12. Automatisk bevakning av Varningslistan (KO) till info mailen. (Ny) 13. Kontroll av Konsumentombudsmannen och Konsumentverkets webbplats om föreläggande, pågående mål, eller domar registrerats mot Svensk Fordonsskydd Ltd.

text: En ansökan om ett intermistiskt förbud enligt

text: marknadsföringslagen

text: , så som i ärendet avseende Svensk Fordonsgaranti, har vad G Inkasso AB känner till inte ingivits vad gäller Svenskt Fordonsskydd.

text: Konsumentverket beslutade den 17 februari 2022 att avsluta ärendet mot Svenskt Fordonsskydd.

text: G inkasso AB har sedermera sagt upp avtalet med Svenskt Fordonsskydd Ltd den 1 februari 2022 med upphörande per den 30 april 2022. G Inkasso AB har i skrivelse till Svenskt Fordonsskydd Ltd motiverat uppsägningen med att G Inkasso AB efter en samlad bedömning ansett att de inte haft förutsättningar att uppnå tillräcklig kundkännedom om Svenskt Fordonsskydd Ltd som klient.

text: G Inkasso AB har uppgett att de från 2021 och framåt vidtagit en mängd åtgärder för att förändra och förbättra bolagets processfunktioner.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: Inkassoverksamhet ska bedrivas enligt god inkassosed. Det innebär att en gäldenär inte får vållas onödig skada eller olägenhet eller utsättas för otillbörlig påtryckning eller annan otillbörlig inkassoåtgärd. (

text: 4 § inkassolagen

text: ). Vad som är god inkassosed preciseras av

text: 11 §§

text: inkassolagen

text: , av de allmänna råden ”Tillämpning av

text: inkassolagen

text: ” och IMY:s praxis i inkassofrågor.

text: En inkassoåtgärd bör inte vidtas om det finns sannolika skäl för att en fordran inte är lagligen grundad eller om fordran annars framstår som obefogad (

text: 8 § inkassolagen

text: Enligt förarbetena till

text: inkassolagen

text: ger bestämmelsen i

text: 8 § inkassolagen

text: uttryck för principen att inkassobolagen inte bör medverka vid indrivning av tvivelaktiga fordringar. Inkassobolagen ska så långt som möjligt försöka begränsa risken för obefogade krav. Inkassobolagen kan visserligen inte åläggas att ingående pröva grunden för varje fordran, men om det av inlämnade handlingar eller under handläggningens gång framgår att en fordran saknar laglig grund bör inkassobolaget inte längre befatta sig med ärendet. I en sådan situation bör bolaget alltså avvisa inkassouppdraget eller, om det på ett senare stadium visar sig att betalningsanspråket är obefogat, frånträda det (

text: prop. 1974:42 s. 78

text: och

text: I IMY:s allmänna råd anges avseende kontroll av grunden för fordringar under ett pågående samarbete att det kan ske en förenklad granskning av kravunderlag vid ett stort inflöde av ärenden gällande en viss typ av fordringar, men att nya uppdragsgivare bör kontrolleras mer noggrant (s. 19).

text: I de allmänna råden anges vidare att om flera gäldenärer riktar samma invändning mot en viss uppdragsgivares anspråk, till exempel att en vara eller tjänst inte har beställts, finns det ofta skäl för inkassoombudet att ifrågasätta om fordran har laglig grund. Ombudet bör under sådana förhållanden inte åta sig/avsäga sig uppdraget (s. 21).

text: Vidare framgår att inkassobolag bör respektera en gäldenärs önskan om att få ett ärende som avser en i sak tvistig fordran slutgiltigt avgjort. I den situationen bör inkassobolaget inte efterbevaka fordran utan i stället skaffa sig en exekutionstitel eller avskriva ärendet. Om fordran är tvistig och exekutionstitel saknas är det motiverat att efterbevaka en fordran först om gäldenären uppenbarligen saknar betalningsförmåga (s. 40).

text: Integritetsskyddsmyndigheten bedömning

text: IMY anser att principen att inkassobolagen inte bör medverka vid indrivning av tvivelaktiga fordringar medför en skyldighet för inkassobolaget att vidta rimliga åtgärder för att försäkra sig om att de fordringar som bolaget åtar sig att driva in har laglig grund.

text: Ett inkassobolag som står inför att inleda ett samarbete med en ny uppdragsgivare bör därför alltid sätta sig in i den presumtiva uppdragsgivarens verksamhet och rutiner. Utöver att hämta in information från uppdragsgivaren själv bör inkassobolaget göra egna kontroller för att bedöma karaktären av uppdragsgivarens verksamhet. Sådana kontroller kan till exempel visa om uppdragsgivaren förekommer på Konsumentverkets eller Svensk Handels varningslista, om den har varit föremål för åtgärder från någon

text: myndighet och vad som skrivs om den på internet i allmänhet. Bolaget bör vidare i detta initiala skede göra en generell kontroll av grunden för den presumtive uppdragsgivarens fordringar.

text: För det fall inkassobolaget vid den initiala kontrollen fattar misstanke om att uppdragsgivarens verksamhet inte är helt seriös men trots det överväger att inleda ett samarbete bör inkassobolaget vidta ytterligare kontrollåtgärder för att leva upp till vad IMY anser vara god inkassosed. Beroende på vad som har kommit fram vid den initiala kontrollen kan det till exempel bli aktuellt att föra en dialog med uppdragsgivaren om hur den ställer sig till det som kommit fram eller att kontakta någon myndighet.

text: Kvarstår tveksamheter om uppdragsgivarens seriositet därefter bör inkassobolaget, för att leva upp till god inkassosed, inte inleda något samarbete med den uppdragsgivaren. Anser inkassobolaget i stället att det som kom fram vid den initiala kontrollen är tillräckligt utrett och att det generellt sett finns laglig grund för uppdragsgivarens fordringar kan samarbetet inledas. Även i det fallet bör dock inkassobolaget i högre grad än annars kontrollera grunden för den uppdragsgivarens fordringar innan inkassoåtgärder vidtas och vara extra lyhörd för reaktioner från kravmottagarna eller andra omständigheter som ger skäl att vidta ytterligare kontroller för att bedöma fordringarnas giltighet.

text: I ärendet har framkommit att G Inkasso AB gör initiala kontroller av uppdragsgivare vid ett nytt samarbete. Dessa rutiner har såvitt framgår även tillämpats vid inledandet av samarbetet med Svenskt Fordonsskydd. I ärendet har det dock framkommit att det förelegat omständigheter gällande samarbetet med Svenskt Fordonsskydd som, mot bakgrund av de ovan redovisade kraven enligt god inkassosed, bör ha gett G Inkasso AB anledning att vidta ytterligare utredningsåtgärder för att bedöma uppdragsgivarens verksamhet samt fordringarnas giltighet utöver de sedvanliga kontrollerna. IMY anser särskilt att de kontakter som G Inkasso AB hade med Konsumentverket i september till november 2020, det stora antalet klagomål till Konsumentverket, kontakten med Kronofogdemyndigheten i november 2020 samt Konsumentverkets beslut den 4 juni 2021 att föra upp Svenskt Fordonsskydd på sin varningslista bör ha föranlett ytterligare kontroller.

text: Det framgår av ärendet att G Inkasso AB också har vidtagit vissa utredningsåtgärder med anledning av de uppgifter som framkommit i kontakten med myndigheterna. I samband med att Konsumentverket under hösten 2020 kontaktade bolaget och informerade om att myndigheten ansåg att det brev som Svenskt Fordonsskydd skickar strider mot bestämmelserna i bland annat

text: och

text: 10 §§

text: marknadsföringslagen (2008:486)

text: då den är vilseledande och otillbörlig gjorde G inkasso AB en egen bedömning att

text: marknadsföringslagen

text: och

text: distansavtalslagen

text: följts och att Svenskt Fordonsskydds fordringar var lagligen grundade. G inkasso AB har inte närmare motiverat sin juridiska analys i denna del.

text: G inkasso AB har också gjort vissa fördjupade undersökningar under 2020 och 2021, både innan och efter det att IMY inlett aktuell tillsyn. I yttrande till IMY har bolaget bifogat handlingar som erhölls i samband med att de den 5 oktober 2021 begärde förtydligande av Svenskt Fordonsskydds rutiner. IMY kan konstatera att handlingarna bland annat innehöll exempel på de så kallade garantierbjudanden som Svenskt Fordonsskydd hade skickat ut. I dessa brev framgick bland annat följande formuleringar:

text: ”Nyteckning av garanti för personbil med reg.nr (…)”

text: ”Din fabriksgaranti har slutat att gälla för din (…) med reg.nr (…). Du kan förlänga

text: ditt skydd i ytterligare fem år genom en ny garanti.”

text: I breven angavs aktuell bilmodell och registreringsnummer.

text: Brevens utformning kan jämföras med de brev som bedömdes utgöra vilseledande marknadsföring enligt Patent- och marknadsdomstolens dom den 12 april 2019 i mål nr PMT 13814-18. I det aktuella målet angavs bland annat följande:

text: Att marknadsföringen förmedlar intrycket av en koppling till fordonstillverkare eller generalagent och de garantier dessa aktörer erbjuder vid köp av en ny bil stöds av de anmälningar till Konsumentverket som lagts fram av KO. I ett flertal av anmälningarna har anmälarna gett uttryck för att de trott att marknadsföringen haft en koppling till fordonstillverkaren eller dennes generalagent. I målet är dock ostridigt att bolaget saknar koppling till fordonstillverkare eller generalagenter och de garantier som utfärdas av dessa.

text: Intrycket av en koppling till ett garantiåtagande från fordonstillverkaren eller generalagenten förstärks vidare av hur marknadsföringen som helhet är utformad. Särskilt kan framhållas förekomsten av påståendena överst till höger i utskicken där det anges ”Ansökan om förlängd garanti för din personbil med registreringsnummer (…)” (domsbilaga 1), ”Erbjudande att ansöka om ny garanti för din personbil med registreringsnummer (…)” (domsbilaga 2) och ”Erbjudande att ansöka om ny garanti” (domsbilaga 3).

text: G Inkasso AB bör ha varit väl medvetna om den ovan nämnda domen då bolaget agerat inkassoombud även för Garanti för bilar i Skandinavien AB, det bolag vars marknadsföring var föremål för bedömning i målet. Den omständighet att G Inkasso AB tidigare varit inkassoombud för ett bolag med snarlikt affärsupplägg, där marknadsföringen ansetts vilseledande, bör vidare enligt IMY ytterligare ha förstärkt G Inkasso AB:s skäl till att vara särskilt noggranna i sin bedömning av fordringsunderlaget från Svenskt Fordonsskydd. IMY anser att G Inkasso AB mot denna bakgrund borde ha genomfört en fördjupad granskning i samband med inledande av samarbetet med Svenskt Fordonsskydd eller, i vart fall, senast i samband med att Konsumentverket kontaktade bolaget i september 2020. Denna undersökning borde vidare, mot bakgrund av Svenskt Fordonsskydds affärsuppläggs uppenbara likheter med det bolag som G Inkasso AB tidigare företrätt och utfallet i domen från Patent- och marknadsdomstolens åtminstone innehållit en granskning av de garantierbjudanden som bolaget skickade.

text: IMY anser att de brev som Svenskt Fordonsskydd skickade har uppenbara likheter med de brev som bedömdes i Patent- och marknadsdomstolens dom och de lydelser som bedömdes strida mot

text: marknadsföringslagen

text: . Dessa brev borde G Inkasso AB, enligt vad som anges ovan, ha granskat senast i samband med Konsumentverkets kontakter med bolaget under hösten 2020.

text: Det faktum att G Inkasso AB i oktober 2020 utan tydlig motivering gjort bedömningen att Svenskt Fordonsskydds marknadsföring inte var i strid med marknadsföringslagstiftningen, trots Konsumentverkets information och den ovan redovisade domen talar enligt IMY starkt för att G Inkasso AB inte i tillräcklig utsträckning agerat för att undvika att medverka till indrivningen av tvivelaktiga

text: fordringar. Det är inkassobolaget som är självständigt ansvarig för att mot bakgrund av aktuell och relevant information ta ställning till huruvida ett samarbete med en uppdragsgivare ska ingås eller fortlöpa. Att det saknats föreläggande, pågående mål, eller domar registrerade på Konsumentombudsmannen eller Konsumentverkets webbplats rörande Svenskt Fordonsskydd kan vidare förklaras av att Svenskt Fordonsskydd är registrerat i Hongkong och inte har gått att nå, vilket också angavs i Konsumentverkets pressmeddelande med anledning av uppförandet av Svenskt Fordonsskydd på Konsumentverkets varningslista.

text: IMY anser vid en samlad bedömning att de kravrutiner G Inkasso AB har tillämpat i samarbetet med Svenskt Fordonsskydd inneburit att G Inkasso AB har vidtagit inkassoåtgärder när det funnits sannolika skäl för att fordringar inte varit lagligen grundade eller där fordringar annars framstått som obefogade.

text: Av G Inkasso AB:s yttrande framgår vidare att inga inkassoärenden har hänskjutits till domstol för materiell prövning eftersom G Inkasso AB:s överenskommelse med Kronofogdemyndigheten den 26 november 2020 låg fast i avvaktan på att Konsumentverkets utredning avslutas eller slutligen fastställs i domstol. IMY kan inte se att den överenskommelse som G Inkasso AB hänvisar till, som innebar att samtliga pågående ärenden skulle återkallas och att inga kommande inkassoärenden skulle skickas vidare till Kronofogdemyndigheten, även innebar att G Inkasso AB var förhindrade att verka för att Svenskt Fordonsskydds anspråk skulle bli föremål för materiell prövning i domstol genom att ansöka om stämning i tvistiga ärenden. Att G Inkasso AB underlåtit att medverka till att fordringarnas giltighet blir slutligt prövad i domstol, när det fanns omständigheter som gav anledning att ifrågasätta fordringarnas riktighet, har också inneburit men för gäldenärer då tvistiga fordringar rutinmässigt lagts vilande istället för att prövas slutligt i domstol. G Inkasso AB har inte heller tagit kontakt med IMY för att få vägledning om vad som är god inkassosed.

text: Vid en sammantagen bedömning anser IMY att G Inkasso AB har brutit mot

text: 4 § inkassolagen

text: genom att inte ha vidtagit tillräckliga åtgärder för att kontrollera giltigheten av de fordringar man driver in för uppdragsgivaren Svenskt Fordonsskydd Ltd och därigenom vållat gäldenärer onödig skada och olägenhet samt mot

text: 8 § inkassolagen

text: G Inkasso AB har nu sagt upp avtalet med Svenskt Fordonsskydd Ltd och uppgett att de har vidtagit åtgärder för att förbättra sina processer. IMY anser bland annat mot den bakgrunden inte att det finns skäl att i nuläget vidta några ytterligare åtgärder mot bolaget än att påpeka de ovanstående bristerna. IMY förutsätter därvid att G Inkasso AB fortsätter att vidta åtgärder för att ytterligare förbättra sina rutiner i syfte att undvika att medverka till indrivning av tvivelaktiga fordringar.

text: Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Evelin Palmér.

text: Catharina Fernquist, 2023-03-06 (Det här är en elektronisk signatur)

text: Kopia till

text: – Justitiekanslern

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick del av beslutet. Integritetsskyddsmyndigheten sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning, om myndigheten inte själv ändrar beslutet på det sätt ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Länsstyrelsens beslut fattades enligt den numera upphävda

text: kameraövervakningslagen (2013:460)

text: . H&M är i enlighet med den nu gällande

text: kamerabevakningslagen (2018:1200)

text: inte längre en tillståndspliktig aktör. Enligt övergångsbestämmelser ska befintliga tillstånd till kameraövervakning som inte kräver tillstånd enligt den nya lagen upphöra att gälla.

text: EDPB:s

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0, antagna den 7 juli 2021, punkt 25. 4 EDPB:s

text: riktlinjer 07/2020

text: , punkt 27.

text: EDPB:s

text: riktlinjer 07/2020

text: , punkt 14. 6 Skäl 74 till dataskyddsförordningen. 7 EDPB:s

text: riktlinjer 07/2020

text: , punkt 19. 8 Öman, S. Dataskyddsförordningen (GDPR) m.m. (27 september 2023, Version 2B, JUNO), kommentarer till artikel 4 under rubriken Sjunde punkten – Personuppgiftsansvarig, samt till artikel 29.

text: EDPB:s

text: riktlinjer 07/2020

text: , punkt 19.

text: EU-domstolens dom Rīgas satiksme,

text: , EU:C:2017:336, punkt 28. 11 Öman, S. Dataskyddsförordningen (GDPR) m.m. JUNO uppl. 2, kommentaren till artikel 6.1 f, under rubriken ”Berättigade intressen”. 12 EU-domstolens dom TK,

text: , EU:C:2019:1064, punkt 42 och 44. 13 EDPB:s

text: Riktlinjer 3/2019

text: för behandling av personuppgifter genom videoenheter, version 2.0, antagna den 29 januari 2020, punkt 20. 14 EU-domstolens dom TK,

text: , EU:C:2019:1064, punkt 47. 15 EU-domstolens dom Huber,

text: , EU:C:2008:724, punkt 62. 16 EU-domstolens dom TK,

text: , EU:C:2019:1064, punkt 48 och 50. 17 EDPB:s

text: riktlinjer 3/2019

text: , punkt 26. 18 EDPB:s

text: riktlinjer 3/2019

text: , punkt 32.

text: EU-domstolens dom TK,

text: , EU:C:2019:1064, punkt 57.

text: EDPB:s

text: riktlinjer 3/2019

text: , punkt 37.

text: EDPB:s

text: riktlinjer 3/2019

text: , punkt 24.

text: Prop. 2017/18:231 s. 87

text: . 23 Artikel 29-arbetsgruppen, Riktlinjer om öppenhet enligt förordning

text: (EU) 2016/679

text: rev.01, punkt 26 samt EDPB:s

text: riktlinjer 3/2019

text: , punkt 110. Se dock Kammarrätten i Stockholms dom den 26 januari 2023 i mål nr 1552-22 i vilken Kammarrätten bedömt att det inte är

text: artikel 13

text: utan

text: artikel 14

text: som ska vara tillämplig vid kamerabevakning. Domen är överklagad till Högsta förvaltningsdomstolen som har meddelat prövningstillstånd (mål nr

text: ). I avsaknad på lagakraftvunnet avgörande som går emot EDPB:s riktlinjer i frågan utgår IMY från att det är

text: artikel 13

text: som ska tillämpas i ärendet.

text: EDPB:s

text: riktlinjer 3/2019

text: , punkt 110-119. 25 EDPB:s

text: riktlinjer 3/2019

text: , punkt 114 och 116. 26 EDPB:s

text: riktlinjer 3/2019

text: , punkt 117.

text: EDPB:s

text: riktlinjer 3/2019

text: , punkt 114.

text: EDPB:s

text: Riktlinjer 04/2022

text: om beräkning av administrativa sanktionsavgifter enligt den allmänna dataskyddsförordningen, version 2.1, antagna den 24 maj 2023. 29 EU-domstolens dom Akzo Nobel,

text: , EU:C:2017:314, punkt 48. 30 EU-domstolens dom Nacionalinis visuomenes sveikatos centras,

text: , EU:C:2023:949, punkt 81, och dom Deutsche Wohnen,

text: , EU:C:2023:950, punkt 76

nyckelord: Kamerabevakning Arbetsliv

sanktionsavgift: 300 000 kronor

slug: hm

title: H&M Hennes & Mauritz

sammanfattning: IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att H&M Hennes & Mauritz GBC AB ska betala en administrativ sanktionsavgift på 300 000 kronor för överträdelser av artiklarna 6.1 och 13 i dataskyddsförordningen samt 15 § i kamerabevakningslagen. IMY utfärdar även ett föreläggande.

text: Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC även har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte uppfylla kravet på information till de registrerade avseende kamerabevakning som utförs i fastigheten, då det saknas information om kontaktuppgifter till dataskyddsombud på befintliga skyltar vid personalentréer samt på stängsel.

text: ➢ Integritetsskyddsmyndigheten beslutar med stöd av artikel 58.2 d i dataskyddsförordningen att förelägga H&M Hennes & Mauritz GBC AB att, senast fyra veckor efter att detta beslut fått laga kraft, vidta åtgärder för att säkerställa att det på kamerabevakningsskyltar vid personalentréer och stängsel finns information om kontaktuppgifter till dataskyddsombud.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: Integritetsskyddsmyndigheten (IMY) mottog ett anonymt tips samt ett klagomål i november respektive december 2020, som gjorde gällande att H&M Hennes & Mauritz GBC AB (H&M eller bolaget) bedrev otillåten kamerabevakning i bolagets verksamhetslokaler på Hultagatan 47 i Borås.

text: Av klagomålet och tipset framgick i huvudsak följande. H&M har satt upp kameror i flera områden på arbetsplatsen utan att först informera personalen om att kamerabevakning pågår och för vilket syfte. Det har även förekommit att personal har utsatts för dold kamerabevakning med ljud- och bildinspelning i ett rum. Personalen har haft tillåtelse att uppehålla sig i det aktuella rummet med anledning av den höga ljudvolymen i produktionslokalen. Bevakningsmaterial från tillfällen då personal befunnit sig i det aktuella rummet har visats på möte med chefer och personal från HR-avdelningen.

text: IMY har inlett tillsyn mot bakgrund av uppgifterna i klagomålet och tipset.

text: Vad som framkommit i ärendet

text: Av H&M:s uppgifter och utredningen i ärendet har bl.a. framkommit följande. H&M bedriver kamerabevakning i sina lokaler på Hultagatan 47 i Borås. I lokalerna har H&M lager- och distributionsverksamhet för sin onlinehandel på den nordiska marknaden. Det pågår verksamhet dygnet runt. Kamerabevakningen i lokalerna kan delas in i tre delar; den som sker med 1) yttre säkerhetskameror, 2) inre säkerhetskameror samt 3) processkameror. Utöver den ordinarie kamerabevakningen har, under sammanlagt fem nätter (den 28 oktober 2020, den 29 oktober 2020, den 3 november 2020, den 4 november 2020 och den 6 november 2020), en gruppledares arbetsplats i ett arbetsrum kamerabevakats.

text: Gällande bevakningen med de yttre säkerhetskamerorna har Länsstyrelsen i Västra Götalands län beviljat H&M tillstånd till kameraövervakning av det inhägnade området runt de aktuella verksamhetslokalerna (bl.a. lastområden och parkeringsplatser). Bolagets bevakning med yttre säkerhetskameror sker fortfarande i enlighet med de villkor som föreskrivits av Länsstyrelsen. H&M följer regelbundet upp behovet av

text: kamerabevakning och utvärderar bevakningens effektivitet i förhållande till andra säkerhetsåtgärder.

text: Bevakningen med de inre säkerhetskamerorna omfattar accessvägar inne i fastigheten, dvs. områden där material förs in och ut ur byggnaden. Personer som behörigen vistas i aktuella områden är anställda, inhyrd personal samt besökare. Processkamerorna bevakar den maskinella utrustningen och är en central del i att säkerställa att arbetet fortlöper. Kamerabevakning med processkameror inleddes i slutet av år 2019.

text: Bakgrunden till den tillfälliga bevakningen av ett arbetsrum var att efterfrågan på H&M:s onlinehandel gick upp under covid-19-pandemin, vilket ledde till en omfattande rekrytering och att flertalet problem uppstod på arbetsplatsen. Stölderna ökade och medarbetare uppgav för sina chefer att ett fåtal individer inte utförde sina arbetsuppgifter under nattskiften och försökte bereda sig tillgång till gruppledarens dator. Maskiner och robotar rapporterades felaktigt som servade. Vid den aktuella tiden fanns det således konkreta misstankar om allvarliga missförhållanden på arbetsplatsen som innebar stora risker, både för arbetsmiljön och för att affärsrelaterad information skulle komma obehöriga tillhanda.

text: Den tillfälliga kamerabevakningen utfördes med en iPad respektive en laptop som stod på gruppledarens skrivbord. Bevakningen aktiverades genom en sensor när någon satte sig på gruppledarens arbetsplats under nattetid. Sammanlagt kom bevakningen att omfatta tre personer. Bevakningsmaterialet visades för två av de personer som omfattades av bevakningen, för den lokala gruppledaren, gruppledarens chef samt en person på HR-avdelningen. Det inspelade materialet har raderats.

text: Vad H&M i övrigt har uppgett avseende kamerabevakningen redogörs för i anslutning till bedömningen av om det finns rättslig grund, respektive om kravet på upplysning samt informationsskyldigheten har uppfyllts nedan.

text: Omfattningen av IMY:s granskning

text: IMY har inom ramen för tillsynen granskat om det finns rättslig grund enligt artikel 6.1 i dataskyddsförordningen för den personuppgiftsbehandling som kamerabevakningen i verksamhetslokalerna innebär, och har inneburit. Tillsynen har även avsett frågan om H&M uppfyller kravet på upplysning enligt 15 § KBL samt skyldigheten att lämna information enligt artiklarna 12.1 och 13 i dataskyddsförordningen. IMY:s granskning omfattar inte om kamerabevakningen sker i enlighet med övriga gällande bestämmelser i KBL eller dataskyddsförordningen. Granskningen har även avgränsats till att enbart avse den kamerabevakning som bedrivs med inre säkerhetskameror och processkameror, samt till den tillfälliga bevakning som utförts i ett arbetsrum.

text: Motivering av beslutet

text: Tillämplig lagstiftning för H&M:s kamerabevakning

text: Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och

text: kamerabevakningslagen

text: Dataskyddsförordningen

text: Dataskyddsförordningen ska enligt artikel 2.1 bl.a. tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 i dataskyddsförordningen avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring, läsning och radering.

text: Om en bevakningskamera filmar en identifierbar person, eller någon annan personuppgift, sker en behandling av personuppgifter och reglerna i dataskyddsförordningen måste följas. IMY konstaterar att den kamerabevakning som omfattas av tillsynen innebär att personer som träffas av den kommer att kunna identifieras. Detta innebär att dataskyddsförordningens bestämmelser gäller.

text: Kamerabevakningslagen

text: KBL är en kompletterande lag i förhållande till dataskyddsförordningen. I 4 § KBL anges att lagen gäller om kamerabevakning enligt 3 § KBL sker med utrustning som finns i Sverige. Av 3 § 1 KBL framgår att med kamerabevakning avses en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning som, utan att manövreras på platsen, används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

text: IMY konstaterar att den bevakning som H&M bedriver i verksamhetslokalerna i Borås sker med utrustning som finns i Sverige och utgör kamerabevakning enligt 3 § 1 KBL. Detta innebär att bestämmelserna i KBL gäller. KBL innehåller bestämmelser om bl.a. krav på tillstånd och upplysning. Den kamerabevakning som granskningen avser är inte tillståndspliktig enligt 7 § KBL, men omfattas av bestämmelsen om upplysningsplikt i 15 § KBL.

text: Personuppgiftsansvar

text: Tillämpliga bestämmelser m.m.

text: I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

text: Avgörande för frågan om vem som är personuppgiftsansvarig är vem eller vilka som har bestämt varför och hur behandlingen sker, samt utövar ett inflytande över vilka personuppgifter som samlas in och behandlas, hur länge de lagras och vem som har åtkomst. Bedömningen av vem eller vilka som är personuppgiftsansvarig för viss behandling ska alltid utgå från de faktiska omständigheterna i det specifika fallet. Befintliga traditionella roller som normalt innebär ett visst ansvar kan hjälpa till att identifiera den personuppgiftsansvarige, till exempel en arbetsgivare i samband med behandling av personuppgifter om sina anställda. Bedömningen ska göras utifrån en tillräckligt bred tolkning, som gynnar ett fullständigt skydd av de registrerade

text: personerna. De personuppgiftsansvariga bör åläggas ansvaret för all behandling av personuppgifter som de utför, eller som utförs på deras vägnar.

text: Av Europeiska dataskyddsstyrelsens (EDPB) riktlinjer, som är vägledande för hur dataskyddsförordningens bestämmelser ska tolkas, framgår att i princip all behandling av personuppgifter av anställda som sker inom ramen för en organisations verksamhet betraktas som att den sker under den organisationens kontroll. I undantagsfall kan det hända att en anställd beslutar att behandla personuppgifter för sina egna ändamål och därigenom olagligt överskrider de befogenheter som han eller hon fick. Det är organisationens skyldighet som personuppgiftsansvarig att se till att det finns tillräckliga tekniska och organisatoriska åtgärder, inklusive t.ex. utbildning och information för anställda för att säkerställa att dataskyddsförordningen följs.

text: Av den juridiska doktrinen framgår att den som är anställd och inom ramen för arbetsgivarens verksamhet behandlar personuppgifter normalt sett inte bör anses som personuppgiftsansvarig. Arbetsgivaren är då den personuppgiftsansvarige och den anställde en medhjälpare. Inte ens anställda som inom ramen för anställningen av misstag eller till och med av grov oaktsamhet behandlar personuppgifter i strid med vad den personuppgiftsansvarige har bestämt bör som regel kunna betraktas som personuppgiftsansvariga. Anställda bör dock kunna anses som personuppgiftsansvariga för den klart icke-anställningsrelaterade behandling av personuppgifter som de – med eller utan arbetsgivarens tillåtelse – utför med hjälp av arbetsgivarens utrustning.

text: H&M:s uppgifter

text: H&M har uppgett att bolaget - H&M Hennes & Mauritz GBC AB - är personuppgiftsansvarig för den behandling av personuppgifter som sker genom kamerabevakningen med de inre säkerhetskamerorna samt processkamerorna.

text: Vad gäller den tillfälliga bevakningen i arbetsrummet har H&M uppgett bl.a. följande.

text: Av artikel 29 i dataskyddsförordningen följer att personer som utför arbete under den personuppgiftsansvariges överinseende, och som får tillgång till personuppgifter, endast får behandla dessa på instruktion från den personuppgiftsansvariga, såvida det inte föreligger en skyldighet att göra det enligt lag. Detta innebär ett förbud bl.a. för så kallade medhjälpare (t.ex. anställda hos den personuppgiftsansvarige) att behandla personuppgifter utan instruktion från den personuppgiftsansvarige. Det framgår av den juridiska litteraturen (Öman, Dataskyddsförordningen GDPR m.m. s. 401 f) att anställda kan anses som personuppgiftsansvariga för behandling av personuppgifter som sker i strid med den personuppgiftsansvariges instruktioner.

text: Den tillfälliga kamerabevakningen i ett arbetsrum utfördes av en anställd med en ledande befattning. Detta är en enskild händelse som utgör ett avsteg från H&M:s instruktioner och policyer för hur kamerabevakning ska bedrivas. H&M har varken initierat, påkallat, instruerat eller på något sätt efterfrågat de åtgärder som vidtagits av den anställde. Kamerabevakningen har inte skett inom ramen för den anställdes arbetsuppgifter eller tjänsteåligganden. H&M har, i enlighet med artikel 32.4 i dataskyddsförordningen, vidtagit regelbundna utbildningar i H&M:s policyer för dataskydd för att säkerställa att medarbetare endast behandlar personuppgifter på

text: instruktion. Så snart kamerabevakningen kom till ansvarig funktions kännedom har åtgärder vidtagits för att omedelbart avbryta den. Efter händelsen har en särskild uppföljning skett och ytterligare utbildning har tillhandahållits den person som bedrev bevakningen.

text: IMY:s bedömning

text: IMY anser att vad H&M uppgett om att bolaget är personuppgiftsansvarig för kamerabevakningen med de inre säkerhetskamerorna samt processkamerorna har stöd i utredningen. IMY bedömer att H&M är personuppgiftsansvarig för den bevakningen.

text: När det gäller den tillfälliga kamerabevakningen i arbetsrummet konstaterar IMY att denna inte har utförts med arbetsgivarens ordinarie bevakningssystem eller av en person vars tjänsteåligganden omfattat kamerabevakning. Den anställde har utfört bevakningen på eget bevåg för att, såvitt framkommit, få en misstanke om ett visst beteende bekräftat. IMY konstaterar att det utifrån underlaget i ärendet är tydligt att bevakningen föranletts av de verksamhetsrelaterade problemen på arbetsplatsen. IMY anser därigenom att bevakningen huvudsakligen varit anställningsrelaterad. Den anställde har dessutom använt arbetsgivarens utrustning (iPad och laptop) för att bedriva bevakningen. Vidare har bevakningsmaterialet använts för verksamhetsändamål genom att det delats med andra funktioner och företrädare för H&M samt utgjort underlag vid arbetsrättsliga samtal som lett till arbetsrättsliga åtgärder. IMY anser att personuppgiftsbehandlingen får anses ha skett inom ramen för den aktuella verksamheten och under arbetsgivaren H&M:s kontroll. IMY bedömer sammanfattningsvis mot bakgrund av de faktiska omständigheterna, samt vad som framgår av EDPB:s riktlinjer om behandling av personuppgifter av anställda som sker inom ramen för en organisations verksamhet , att H&M är personuppgiftsansvarig för den tillfälliga kamerabevakningen i arbetsrummet.

text: Har H&M haft rättslig grund för sin kamerabevakning enligt dataskyddsförordningen?

text: H&M har uppgett att kamerabevakningen har stöd i artikel 6.1 f i dataskyddsförordningen, dvs. den rättsliga grunden intresseavvägning. Detta gäller även den tillfälliga bevakningen i arbetsrummet, för det fall IMY skulle bedöma att H&M är personuppgiftsansvarig för denna. Den bevakningen har då haft som syfte att förebygga och utreda oegentligheter samt arbetsplatsolyckor.

text: IMY konstaterar att H&M:s kamerabevakning har utförts och utförs på olika sätt, på olika platser och med olika syften, vilket har betydelse för bedömningen av om det finns rättslig grund för bevakningen enligt artikel 6.1 f i dataskyddsförordningen. Prövningen görs mot den bakgrunden uppdelat på respektive bevakning.

text: Tillämpliga bestämmelser m.m.

text: För att personuppgiftsbehandling ska vara laglig krävs att behandlingen har stöd i minst en av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen.

text: För att personuppgiftsbehandling genom kamerabevakning ska kunna ske med stöd av artikel 6.1 f i dataskyddsförordningen måste tre förutsättningar vara uppfyllda; den personuppgiftsansvariga måste kunna visa 1) att det intresse som bevakningen avser att skydda utgör ett berättigat intresse, 2) att den aktuella bevakningen är nödvändig

text: för att uppnå det intresset, samt 3) att det berättigade intresset vid en avvägning väger tyngre än de registrerades grundläggande fri- och rättigheter (integritetsintresset).

text: Ett berättigat intresse är ett intresse som, i allmänhet, åtnjuter rättsordningens skydd eller i övrigt anses som legitimt, etiskt eller försvarbart. Ett intresse som skyddas av EU-rätten eller relevant nationell rätt måste exempelvis betraktas som berättigat. Att skydda egendom, hälsa och liv kan anses utgöra ett berättigat intresse för kamerabevakning. Det ska dock vara fråga om ett faktiskt intresse vid tidpunkten för personuppgiftsbehandlingen och inte ett intresse som är hypotetiskt vid den tidpunkten. EDPB har i riktlinjer uttalat att mot bakgrund av principen om ansvarsskyldighet gör den personuppgiftsansvarige klokt i att dokumentera relevanta incidenter och därmed sammanhängande brottsrubriceringar. Dokumenterade incidenter kan utgöra ett bevis för att det föreligger ett berättigat intresse.

text: Kamerabevakningen ska även vara nödvändig för att skydda det berättigade intresset. Det innebär att det berättigade intresset inte rimligen ska kunna skyddas på ett lika effektivt sätt genom andra medel som i mindre utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privatlivet och rätten till skydd för personuppgifter enligt artiklarna

text: och

text: i EU:s stadga om de grundläggande rättigheterna (2012/C 326/02). Samtidigt följer av praxis att nödvändighetskriteriet kan anses uppfyllt om behandlingen bidrar till effektivisering.15

text: Av praxis följer även att kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen, vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Vid bedömningen av nödvändigheten av ett kamerabevakningssystem ska det beaktas om kameror har använts på ett sätt som begränsar det intrång i den personliga integriteten som bevakningen innebär utan att för den sakens skull äventyra bevakningens effektivitet. Innan ett kamerasystem används måste den personuppgiftsansvarige bedöma var och när kamerabevakning är absolut nödvändigt. En kameras upptagningsområde kan exempelvis behöva maskeras om bevakning av vissa delar av ett upptagningsområde inte är nödvändig, eller begränsas till vissa tider.

text: För att den kamerabevakning som bedömts nödvändig ska vara tillåten måste även intresset av bevakningen väga tyngre än de registrerades intressen. Avvägningen görs mot bakgrund av omständigheterna i det enskilda fallet. Den personuppgiftsansvarige måste utvärdera riskerna för intrång i den registrerades rättigheter. Det avgörande är intrångets intensitet för den registrerades rättigheter och friheter, vilket bl.a. kan definieras utifrån vilken typ av information som samlas in, omfattningen, antalet berörda registrerade, situationen i fråga och den registrerades faktiska intressen. Vidare ska hänsyn tas till vilken typ av personuppgiftsbehandling det är fråga om och

text: hur denna konkret går till, varvid det särskilt ska beaktas hur många personer som har tillgång till personuppgifterna och formerna för åtkomst till dessa.

text: Bevakningen med inre säkerhetskameror

text: H&M:s uppgifter

text: Bevakningen med de inre säkerhetskamerorna sker med bildinspelning dygnet runt. Någon realtidsbevakning utförs inte med dessa kameror. Kamerorna används inte för att kontrollera eller utvärdera arbetstagares prestationer eller liknande. Syftet med bevakningen med de inre säkerhetskamerorna är att förebygga, förhindra och utreda brott samt arbetsplatsolyckor. Det är fråga om ett industriområde med både vanlig fordonstrafik och tung lastbilstrafik. Kamerorna behövs för att upptäcka och avhjälpa sådana förhållanden som kan leda till arbetsplatsolyckor.

text: Vad gäller bevakning i syfte att komma till rätta med brott utgör kamerorna ett komplement till övriga åtgärder som vidtagits, exempelvis att inhägna fastigheten, begränsa tillträde genom lås och larm samt ha stationära och ronderande vakter på plats. Samtliga kamerabevakade områden är utsatta för upprepad brottslighet i form av exempelvis skadegörelse, stölder av bolagets egendom samt enskild egendom, och obehörigt intrång. Kamerabevakning vid accessvägar används för att förhindra att obehöriga tar sig in lagerlokalen och att varor olovligen förs ut. De varor som hanteras i lokalerna är stöldbegärliga och lätta att gömma undan för att senare omsätta. Om accessvägarna inte skulle vara kamerabevakade skulle detta utnyttjas av obehöriga. Fastigheten är belägen i ett område som av Polismyndigheten klassas som särskilt utsatt. Länsstyrelsen beviljade år 2016 tillstånd till bevakning runt fastigheten med anledning av att området var utsatt för upprepad brottslighet.

text: Av ingiven incidentrapportering för perioden 23 mars 2018 – 30 november 2021 framgår att 57 incidenter inträffat på området. Rapporteringen inkluderar bl.a. bränder och utlösta brandlarm, stölder, inbrott samt skadegörelse. Någon incidentrapportering för senare tidsperiod har inte inhämtats av IMY.

text: IMY:s bedömning

text: IMY bedömer mot bakgrund av det som framkommit av utredningen att H&M har ett faktiskt berättigat intresse av att förebygga, förhindra och utreda brott. Vad gäller intresset av att förebygga, förhindra och utreda arbetsplatsolyckor kan detta också anses berättigat. H&M har redogjort för att trafiken och den maskinella utrustningen vid exempelvis lastutrymmen och lastbryggor innebär att olycksrisken är förhöjd. Med beaktande av det som framgår av underlaget om verksamheten och platsen bedömer IMY att även detta intresse är berättigat.

text: Frågan är därefter om den kamerabevakning som bedrivs är nödvändig för att uppnå det berättigade intresset. IMY konstaterar att de inre säkerhetskamerorna finns vid accessvägar som bedöms utgöra särskilda riskområden. Bevakningen används bl.a. för att utreda och förebygga att obehöriga tar sig in och att varor olovligen förs ut. H&M har uppgett att de alternativa åtgärder som vidtagits inte har varit tillräckliga, bl.a. med anledning av att brott begåtts av personer som varit behöriga att vistas i lokalerna. IMY bedömer att utredningen i ärendet ger stöd för att den aktuella kamerabevakningen är begränsad till områden som är relevanta för att förebygga, avslöja och utreda brott, samt att det berättigade intresset inte rimligen kan skyddas på ett lika effektivt sätt genom alternativa åtgärder. IMY bedömer således att kamerabevakningen är

text: nödvändig för detta syfte. IMY bedömer även att kamerabevakningen sker i områden som är relevanta för syftet att förhindra och utreda arbetsplatsolyckor. IMY noterar att det inte har framkommit att bevakningen i reception och kapprum sker i områden som är relevanta för syftet att förhindra och utreda arbetsplatsolyckor och att H&M inte heller har gjort gällande detta. IMY bedömer att kamerabevakningen i övriga aktuella områden är nödvändig för att komma till rätta med förhållanden som kan leda till arbetsplatsolyckor.

text: IMY ska därefter bedöma om intresset av att förebygga, förhindra och utreda brott väger tyngre än integritetsintresset på aktuella platser. Vid bedömningen av enskildas intresse av att inte bli bevakade på aktuella platser konstaterar IMY inledningsvis att det är fråga om en arbetsplats. Detta medför att särskilda integritetsaspekter måste beaktas då kamerabevakning kan möjliggöra kartläggning av anställdas arbetsinsatser och vanor i övrigt. En anställd ska som regel inte behöva förvänta sig att bli övervakad av sin arbetsgivare. Integritetsintresset väger därför som utgångspunkt tungt. Det som minskar integritetsintresset är att bevakningen är begränsad till ett antal särskilt utvalda områden, som i förhållande till anläggningens totala storlek innebär att det endast är en begränsad del av arbetsplatsen som omfattas av bevakningen. Det har även framkommit att bevakningen inte omfattar de fasta arbetsplatserna och inte heller sker i områden där enskilda har anledning att uppehålla sig under längre stunder. IMY noterar även att bevakningsområdena inte ligger i anslutning till varandra, vilket potentiellt skulle möjliggöra mer precis kartläggning av anställdas rörelsemönster och vanor. Av utredningen framgår även att tillgången till bevakningsmaterialet är begränsad till en särskild befattningshavare och att materialet endast är tillgängligt på plats. Mot bakgrund av vad som framkommit i ärendet bedömer IMY att integritetsintresset väger relativt tungt på aktuella platser.

text: IMY konstaterar att utredningen ger stöd för att det har förekommit viss brottslighet på anläggningen och finner inte skäl att ifrågasätta uppgiften om att de varor som hanteras är stöldbegärliga och att det finns en risk att varorna förs ut för att säljas vidare. IMY bedömer mot bakgrund av utredningen att intresset av att kamerabevaka aktuella platser med inre säkerhetskameror i syfte att förebygga, förhindra och utreda brott sammantaget väger relativt tungt. Även för syftet att förebygga och utreda arbetsplatsolyckor vid accessvägar där varutransporter sker bedömer IMY att bevakningsintresset väger relativt tungt.

text: Vid en sammantagen intresseavvägning finner IMY att H&M:s intresse av att bedriva kamerabevakning med de inre säkerhetskamerorna för aktuella syften väger något tyngre än integritetsintresset på de platser som bevakas. I bedömningen har särskilt beaktats att bevakningsområdena är förhållandevis begränsade och inte heller träffar fasta arbetsplatser. IMY bedömer att H&M:s kamerabevakning med inre säkerhetskameror har rättslig grund enligt artikel 6.1 f i dataskyddsförordningen.

text: Bevakningen med processkameror

text: H&M:s uppgifter

text: Syftet med bevakningen med processkamerorna är att förhindra drifts- och produktionsbortfall samt att förebygga och avhjälpa arbetsplatsolyckor. Driftstopp kan innebära en risk både för personer i produktionen och för personer som ska avhjälpa felet. Bevakningen sker i realtid dygnet runt. Det finns ett underhållsteam och ett wave planner team som kan se bevakningen på monitorer på dedikerade och behörighetsbegränsade platser. Bevakningen används för att kontrollera den

text: maskinella utrustningens funktionalitet, avhjälpa fel samt säkerställa att systemet inte överbelastas. Vid avvikelser i processer eller vid driftstopp måste felavhjälpande åtgärder sättas in omgående. Upptagningsområden har försetts med digital maskering så att personalen inte ska bli bevakad vid arbetsplatser.

text: IMY:s bedömning

text: IMY anser utifrån de uppgifter som lämnats att H&M har ett berättigat intresse av att förhindra drifts- och produktionsbortfall, samt vid behov avhjälpa arbetsplatsolyckor. Frågan är därefter om den kamerabevakning som H&M utför är nödvändig för dessa intressen. IMY noterar att processkamerorna enligt uppgift är riktade mot den maskinella utrustningen och att maskering av kamerornas upptagningsområden sker för att begränsa bevakningen ytterligare. IMY anser att bevakningen är begränsad till områden som är relevanta för syftet och att utredningen i ärendet ger stöd för att syftet med bevakningen inte rimligen kan skyddas på ett lika effektivt sätt genom alternativa åtgärder. Vidare sker bevakningen enbart i realtid, och inte med bildinspelning. IMY bedömer mot denna bakgrund att den kamerabevakning som utförs med processkamerorna är nödvändig för aktuella syften.

text: IMY prövar sedan om intresset av att bedriva bevakningen väger tyngre än de registrerades intresse av att inte bli bevakade på aktuella platser. Som redan konstaterats innebär kamerabevakning på arbetsplatser i regel särskilda risker för enskildas integritet, och integritetsintresset väger som utgångspunkt tungt. Av utredningen framgår dock att processkamerorna endast är riktade mot den maskinella utrustningen och att de inte filmar några fasta arbetsplatser. H&M använder digital maskering för att ytterligare begränsa upptagningsområdet och undvika att personal som arbetar i produktionen filmas. Enligt H&M ska enskilda arbetstagare normalt sett inte uppehålla sig inom upptagningsområdena, men vid enstaka tillfällen kan personalen ändå komma med i bild, t.ex. när fel på utrusningen ska avhjälpas. Tillgången till realtidsbevakningen är vidare begränsad till två team och bevakningen är endast tillgänglig på monitorer på respektive teams dedikerade kontor. Rummen är låsta och har begränsat tillträde. Mot bakgrund av vad som framkommit bedömer IMY sammantaget att integritetsintresset väger lätt. I bedömningen har särskilt beaktats att upptagningsområdena är mycket begränsade, att integritetsfrämjande åtgärd i form av digital maskering har vidtagits och att personer träffas av bevakningen i relativt liten utsträckning.

text: Vad gäller intresset av att bedriva bevakning för att förhindra drifts- och produktionsbortfall bedömer IMY att detta visserligen är berättigat men ändå väger relativt lätt. Intresset av att bedriva kamerabevakning för det sammanhängande syftet att förebygga och avhjälpa arbetsplatsolyckor väger tyngre. Vid en sammantagen avvägning finner IMY att intresset av att utföra kamerabevakning väger tyngre än integritetsintresset på platserna som bevakas. IMY bedömer att H&M:s kamerabevakning med processkameror har rättslig grund enligt artikel 6.1 f i dataskyddsförordningen.

text: Bevakningen som utförts tillfälligt i ett arbetsrum

text: H&M:s uppgifter

text: H&M vidtog flera olika åtgärder för att komma till rätta med problematiken som uppstått på arbetsplatsen; bl.a. byttes koden till det rum där arbetsledarens dator fanns, arbetsmiljön genomlystes av en extern part och kontakter togs med fackliga representanter. Utöver dessa åtgärder beslutades det att en kamera skulle användas för att övervaka gruppledarens arbetsplats som ett temporärt och direkt komplement till

text: de alternativa åtgärderna. Kameran - som vid det första tillfället var en laptop och därefter en iPad - stod på gruppledarens skrivbord och aktiverades genom en sensor när någon satte sig på gruppledarens arbetsplats under nattetid. Kameran aktiverades således inte om någon bara gick in i rummet. Upptagningsområdet var begränsat till att endast omfatta gruppledarens arbetsplats. Cirka 20 anställda hade åtkomst till det aktuella rummet, men ingen annan person än gruppledaren hade anledning att sätta sig vid skrivbordet. Ingen annan anställd hade anledning att befinna sig i det aktuella rummet under de tider som kamerabevakningen skedde. Någon ljudavlyssning eller ljudupptagning skedde inte. Sammanlagt kom bevakningen att omfatta tre personer.

text: IMY:s bedömning

text: IMY konstaterar att syftet med den tillfälliga bevakningen uppgetts vara att förebygga och utreda oegentligheter som bl.a. bedömdes kunde leda till risker för de anställdas säkerhet. IMY konstaterar att H&M i egenskap av arbetsgivare har huvudansvaret för arbetsmiljön och ska vidta åtgärder för att förebygga att arbetstagare utsätts för bl.a. olycksfall. I det ansvaret ingår att se till att maskiner och utrustning underhålls. Ett företag har även ett ekonomiskt intresse av att nödvändiga arbetsuppgifter utförs och att affärsrelaterad information inte kommer obehöriga tillhanda. H&M har uppgett att det vid tidpunkten fanns konkret misstanke om allvarliga missförhållanden på arbetsplatsen som bl.a. innebar risker för personalen. IMY finner inte anledning att ifrågasätta dessa uppgifter och bedömer mot bakgrund av vad som framkommit att H&M haft ett berättigat intresse av att vilja förebygga och utreda oegentligheter i den aktuella situationen.

text: Frågan är därefter om den tillfälliga kamerabevakningen i arbetsrummet kan anses nödvändig för att förebygga och utreda oegentligheter och arbetsplatsolyckor. Kamerabevakningen i arbetsrummet utfördes med anledning av misstanke om att arbetstagare försökt bereda sig tillgång till en arbetsledares dator och var begränsad till det låsta arbetsrummet och till att endast aktiveras när någon satte sig på gruppledarens arbetsplats. I tid var bevakningen begränsad till att enbart ske under nattetid när ingen hade egentlig anledning att vistas i arbetsrummet. H&M har uppgett att det innan kamerabevakningen inleddes vidtogs en rad åtgärder för att komma till rätta med problematiken.

text: Utgångspunkten är att kamerabevakningsåtgärder endast bör väljas om syftet med behandlingen inte rimligen kan uppfyllas på andra sätt som är mindre inkräktande för den registrerades grundläggande rättigheter och friheter. IMY konstaterar att användning av kamerabevakning för att utreda oegentligheter som anställda misstänks orsaka på en arbetsplats är en särskilt integritetskänslig form av personuppgiftsbehandling. Det ställs mycket höga krav på att alternativa och mindre integritetskänsligt tillvägagångssätt har undersökts och prövats utan avsedd effekt innan sådan behandling inleds. Exempel på sådana alternativa åtgärder kan vara utredande samtal, att se till att utrymmen har lämplig behörighetsbegränsning, samt att nödvändiga säkerhetsåtgärder implementerats som i större utsträckning hindrar att känslig IT-utrustning och affärsrelaterad information kommer obehöriga tillhanda. IMY anser vid en samlad bedömning att mindre integritetskänsliga åtgärder inte vidtagits i tillräcklig utsträckning innan kamerabevakningen inleddes. IMY bedömer således att den tillfälliga kamerabevakningen i arbetsrummet inte uppfyller det nödvändighetskriterium som krävs för att personuppgiftsbehandlingen ska vara laglig med stöd av artikel 6.1 f i dataskyddsförordningen. Även om aktuell bevakning skulle anses vara nödvändig, bedömer IMY att H&M:s intresse av att bedriva bevakning av

text: arbetsrummet under aktuella förutsättningar inte kan anses väga tyngre än integritetsintresset på arbetsplatsen.

text: Det har inte heller framkommit att det skulle vara möjligt att stödja bevakningen i denna del på någon annan rättslig grund i artikel 6.1 i dataskyddsförordningen. H&M har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.

text: Har kravet på upplysning samt informationsskyldigheten uppfyllts?

text: Krav på upplysning i

text: kamerabevakningslagen

text: I 15 § KBL uppställs ett krav på att upplysning om kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Bestämmelsen avser själva användningen av kamerabevakningsutrustning och inte den behandling av personuppgifter som bevakningen innebär. Bestämmelsen innehåller inga krav angående vilken information som ska lämnas och upplysningskravet får därmed anses uppfyllt om den som bedriver bevakningen på ett tydligt sätt lämnar upplysning om att kamerabevakning sker på en viss plats.

text: Informationsskyldighet enligt dataskyddsförordningen

text: Artikel 12.1 i dataskyddsförordningen innehåller allmänna bestämmelser om rätten till information. I artikel 12.1 i dataskyddsförordningen anges bl.a. att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artikel 13 i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Vidare framgår att informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form.

text: Artikel 13 i dataskyddsförordningen reglerar vilken information som ska lämnas när personuppgifterna samlas in från den registrerade. Vid kamerabevakning anses personuppgifter samlas in från den registrerade.23

text: Enligt artikel 13.1 i dataskyddsförordningen ska den personuppgiftsansvarige, när personuppgifterna erhålls, lämna information till den registrerande om bl.a. följande.

text: • Den personuppgiftsansvariges identitet och kontaktuppgifter. • Kontaktuppgifter till dataskyddsombudet, i tillämpliga fall. • Ändamålen med behandlingen för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. • Om den rättsliga grunden är artikel 6.1 f (intresseavvägning), vilket berättigat intresse behandlingen syftar till att tillvarata. • Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

text: Enligt artikel 13.2 i dataskyddsförordningen ska den personuppgiftsansvarige, vid insamlingen av personuppgifterna, lämna information till den registrerande om bl.a. följande.

text: • Den period under vilken personuppgifterna kommer att lagras eller de kriterier som används för att fastställa denna period. • Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling. • Att den registrerade har rätt att inge klagomål till en tillsynsmyndighet.

text: Enligt artikel 13.3 i dataskyddsförordningen ska den personuppgiftsansvarige, om den avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2 i artikel 13.

text: Av artikel 13.4 i dataskyddsförordningen framgår att punkterna 1, 2 och 3 i artikel 13 inte ska tillämpas om och i den mån den registrerade redan förfogar över informationen.

text: Informationen ska i princip lämnas till den registrerade innan behandlingen av den registrerades personuppgifter påbörjas. Mot bakgrund av att det är fråga om mycket information som ska lämnas till den registrerade har EDPB tagit fram riktlinjer kring hur den personuppgiftsansvarige kan gå tillväga för att leva upp till kraven i artiklarna 12 och 13. Av dessa riktlinjer framgår att den personuppgiftsansvarige kan använda sig av en stegvis metod för att tillhandahålla den information som framgår av artikel 13. Den stegvisa metoden innebär att den information som är av störst vikt för den registrerade ska redovisas redan innan den registrerade kliver in i det bevakade området, till exempel på en skylt (det första informationslagret). Även övrig information (det andra informationslagret) bör vara möjligt att få tillgång till utan att behöva gå in i det bevakade området, till exempel genom att ringa ett telefonnummer eller gå in på en webbsida. Informationen bör dock också finnas lättillgänglig icke-digitalt, till exempel i ett komplett informationsblad vid en receptionsdisk.

text: Vilken information som är av störst vikt för den registrerade och som därmed ska ingå i det första informationslagret kan variera beroende på hur och på vilken plats som bevakningen sker, men bör generellt sett omfatta den personuppgiftsansvariges identitet och kontaktuppgifter, kontaktuppgifter till dataskyddsombudet i tillämpliga fall, syftet med bevakningen, den registrerades rättigheter samt information om behandlingens främsta inverkan (t.ex. lagringstiden i de fall bevakningen sker med bildinspelning, publicering av material eller överföring av material till tredje part). Det första informationslagret ska innehålla en hänvisning till hur den registrerade kan gå till väga för att ta del av det andra informationslagret, till exempel ett telefonnummer, en webbadress eller en QR-kod.

text: Bevakningen med inre säkerhetskameror och processkameror

text: H&M:s uppgifter

text: Information om kamerabevakningen lämnas i flera lager till de registrerade. Det finns informationsmaterial om kamerabevakningen som bedrivs på anläggningen i Borås

text: tillgängligt både på intranätet och fysiskt i receptionen. Materialet kommuniceras och underhålls löpande av lokal säkerhetschef. Det finns även kartor som visar kamerornas placering och upptagningsområde. Materialet är åtkomligt både för anställda och besökare även när receptionen inte är bemannad. Sedan år 2015 sker en löpande dialog med facket angående kamerabevakningen. Förhandling med facket har genomförts varvid samtliga skyltar och information granskades och godkändes.

text: Nyanställda tar del av ett informationsblad om kamerabevakningen i samband med genomgång med den närmaste chefen alternativt en utbildare eller lokal säkerhetschef samt undertecknar då även detta. Det har varit en del av introduktionsprogrammet sedan år 2016. Det genomförs även riktade kommunikationsinsatser för att höja medvetandet hos anställda om kamerabevakningen. Materialet ”H&M CCTV Borås information” har skickats ut av lokal säkerhetschef till samtliga chefer i Borås med tydlig instruktion att ta informationen i materialet vidare till sin personal. Det finns vidare en generell Privacy Notice för samtliga anställda på H&M Hennes & Mauritz GBC AB som ger övergripande information om kamerabevakning.

text: Skyltar som informerar om kamerabevakning har funnits sedan år 2016. I takt med att det kommit nya riktlinjer och vägledningar kring hur skyltar ska se ut och var de ska vara placerade har skyltarna reviderats. Det finns skyltar vid samtliga personalentréer och vid stängslet runt området som är framtagna med stöd av de riktlinjer som finns för kamerabevakning. Skyltarna visar siluetten av en bevakningskamera och har texten ”Kameraövervakning!”. Skylten informerar om den personuppgiftsansvariges identitet samt anger kontaktuppgifter till säkerhetschef. Vidare anges ändamålet med bevakningen, hur länge materialet sparas och att bevakade kan utöva sina rättigheter (t.ex. rätten att begära tillgång till eller radering av sina personuppgifter). Det finns även hänvisande information om att den bevakade kan vända sig till receptionen eller en angiven sida på intranätet för ytterligare information om kamerabevakningen och rättigheter. Det finns skyltar vid samtliga processkameror som visar siluetten av en bevakningskamera, kamerans beteckning (t.ex. ”Process Kamera Högerbs03/04”) och en bild på kameras upptagningsområde. Skylten hänvisar till ytterligare information i receptionen, på intranätet eller hos säkerhetsansvarig. Vid samtliga säkerhetskameror finns skyltar med texten ”CCTV” eller ”CCTV SÄK” samt kamerans beteckning (t.ex. ”Kamera 1”).

text: IMY:s bedömning

text: Utredningen visar att H&M lämnar upplysning om bevakningen med inre säkerhetskameror samt processkameror genom tydlig skyltning. Kravet på upplysning i 15 § KBL är således uppfyllt avseende bevakningen med dessa kameror. IMY ska även bedöma om H&M har levt upp till sina skyldigheter att informera om personuppgiftsbehandlingen enligt artiklarna 12.1 och 13 i dataskyddsförordningen. IMY anser att utredningen i ärendet visar att kraven i artikel 12.1 i dataskyddsförordningen på hur informationen ska lämnas har uppfyllts. IMY konstaterar vidare att H&M har lämnat merparten av den information som ska lämnas enligt artikel 13 i antingen det första eller andra informationslagret. IMY konstaterar dock att den personuppgiftsansvariga ska lämna information till de registrerade om kontaktuppgifter till dataskyddsombudet i tillämpliga fall. Kontaktuppgifter till dataskyddsombudet ska framgå av det första informationslagret. Det framgår emellertid av utredningen att denna information saknas på de skyltar som sitter vid stängsel och entréer till fastigheten. Istället lämnas information om kontaktuppgifter till säkerhetschef. IMY konstaterar att dataskyddsombudet har särskilda kunskaper om dataskyddsförordningen och registrerades rättigheter. Den registrerade får i enlighet

text: med artikel 38.4 i dataskyddsförordningen kontakta dataskyddsombudet gällande alla frågor som rör behandlingen av dennes personuppgifter och utövandet av dennes rättigheter. IMY bedömer att H&M har överträtt artikel 13.1 i dataskyddsförordningen genom att inte lämna information om kontaktuppgifter till dataskyddsombudet.

text: H&M:s uppgifter

text: Det har inte funnits några skyltar om kamerabevakning i anslutning till arbetsrummet i samband med de enskilda händelserna då kamerabevakning bedrevs där. Denna bevakning var inte initierad, påkallad eller på något sätt efterfrågad av H&M. Det fanns dock ett flertal skyltar om övrig kamerabevakning i lokalerna.

text: IMY:s bedömning

text: Av utredningen framgår att det inte funnits tydlig skyltning eller på annat verksamt sätt upplysts om kamerabevakningen i arbetsrummet. Kravet på upplysning i 15 § KBL kan således inte anses uppfyllt i denna del. Ett följdfel av den aktuella bevakningen blir att H&M, som personuppgiftsansvarig, inte heller kan anses ha levt upp till skyldigheten att informera om personuppgiftsbehandling genom kamerabevakning enligt artikel 13 i dataskyddsförordningen avseende bevakningen.

text: Val av ingripande

text: Tillämpliga bestämmelser m.m.

text: Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bl.a. reprimand, föreläggande och sanktionsavgifter.

text: Av artikel 83.2 i dataskyddsförordningen framgår att IMY ska påföra administrativa sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i artikel 58.2 beroende på omständigheterna i det enskilda fallet. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid bedömningen av sanktionsavgiftens storlek.

text: Vid bedömningen av storleken på sanktionsavgiften ska bl.a. hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), c (de åtgärder som den personuppgiftsansvarige har vidtagit) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst).

text: EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

text: Enligt artikel 83.5 i dataskyddsförordningen kan vid överträdelser av artiklarna 6 och 13 i dataskyddsförordningen administrativa sanktionsavgifter påföras på upp till 20 000 000 EUR eller, om det gäller företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna

text: och

text: i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

text: Ska sanktionsavgift påföras?

text: Avseende den tillfälliga kamerabevakningen i arbetsrummet har IMY funnit att H&M har överträtt artikel 6.1 i dataskyddsförordningen genom att bedriva bevakningen utan rättslig grund. IMY har vidare funnit att H&M avseende denna bevakning har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att information till de registrerade helt har saknats, samt att bolaget därmed också har brutit mot kravet på upplysning i 15 § KBL.

text: IMY konstaterar att den kamerabevakning som har utförts utan rättslig grund har drabbat en relativt liten krets av personer och pågått under en begränsad tidsperiod. Även om antalet personer som har träffats av den olagliga kamerabevakningen är begränsat har bevakningen varit dold, och de registrerade har saknat möjlighet att tillvarata sina rättigheter i fråga om den behandling av personuppgifter som bevakningen har inneburit då information har saknats. Mot denna bakgrund bedömer IMY att det inte är fråga om sådana mindre överträdelser som avses i skäl 148 till dataskyddsförordningen. En sanktionsavgift kan därför inte ersättas med en reprimand.

text: EU-domstolen har klargjort att det krävs att den personuppgiftsansvarige har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

text: IMY konstaterar att H&M, i egenskap av personuppgiftsansvarig, ansvarar för den personuppgiftsbehandling som sker inom bolaget och för att den sker i enlighet med dataskyddsförordningen. IMY har bedömt att H&M inte har efterlevt dataskyddsförordningen avseende kraven på rättslig grund och den information som ska lämnas. Av utredningen i ärendet framgår att H&M inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse av dataskyddsförordningen. IMY anser mot denna bakgrund att H&M har varit oaktsam i förhållande till de överträdelser

text: av dataskyddsförordningen som konstaterats. Det finns därmed förutsättningar för att påföra H&M en administrativ sanktionsavgift.

text: Bestämmande av sanktionsavgiften

text: IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av de administrativa sanktionsavgifter som bolaget kan åläggas är bolagets moderbolag H&M Hennes & Mauritz AB (556042-7220). Av H&M Hennes & Mauritz AB:s årsredovisning för år 2023 framgår att årsomsättningen var ca 236 035 000 000 kronor. Eftersom IMY har konstaterat överträdelser av artiklarna 6.1 och 13 i dataskyddsförordningen är det högsta sanktionsbelopp som kan fastställas i ärendet enligt artikel 83.5 i dataskyddsförordningen fyra procent av detta belopp, dvs. 9 441 400 000 kronor.

text: När det gäller bedömningen av överträdelsernas allvarlighetsgrad finns det till en början faktorer som medför att det finns skäl att se allvarligare på överträdelserna. Av särskild betydelse har varit att behandlingen av personuppgifterna skett genom kamerabevakning som varit dold och utförts utan de registrerades vetskap. Den registrerades rätt till information om behandlingen är en central rättighet enligt dataskyddsförordningen, bl.a. eftersom den är en förutsättning för utövandet av övriga rättigheter i dataskyddsförordningen. I detta fall har anställda inte varit omedvetna om att arbetsplatsen är kamerabevakad på vissa platser. De har dock inte haft att räkna med att kamerabevakning utförs på andra platser än de som framgår av tillgänglig information. IMY anser att det är allvarligt att de inte kunnat lita på att den information som tillhandahållits är korrekt. Anställningsförhållandet har därtill inneburit att de som drabbats av bevakningen befunnit sig i en särskilt utsatt position. IMY beaktar vidare att materialet visades - förutom för två av de personer som träffades av bevakningen för den lokala gruppledaren, gruppledarens chef samt en person på HR-avdelningen. Vidare raderades det inspelade materialet inte förrän cirka en månad efter att kamerabevakningen avslutats.

text: Det finns även omständigheter som talar för att överträdelsernas allvarlighetsgrad ska minska. IMY bedömer, mot bakgrund bl.a. av att kamerabevakningens varaktighet och omfattning har varit mycket begränsad, samt att den aktuella bevakningen har drabbat personer som inte haft några egentliga skäl att befinna sig på den kamerabevakade platsen - vare sig i tjänsten eller i övrigt - att det sammantaget rör sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av sanktionsavgiften bör därför sättas lågt i förhållande till det aktuella maxbeloppet.

text: Utöver bedömningen av överträdelsernas allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek. IMY bedömer att det saknas försvårande omständigheter, utöver de som redan beaktats vid bedömningen av allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek. Som förmildrande omständighet lägger IMY särskild vikt vid att H&M efter att bevakningen i arbetsrummet uppmärksammades vidtog vissa åtgärder för att minska skadan, exempelvis avbröts kamerabevakningen omedelbart när den kom till ansvarig funktions kännedom och att en särskild uppföljning samt utbildning genomfördes.

text: Mot bakgrund av överträdelsernas karaktär och allvar, försvårande och förmildrande omständigheter bestämmer IMY att den administrativa sanktionsavgiften för H&M Hennes & Mauritz GBC AB kan stanna vid 300 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande i det nu aktuella fallet.

text: Föreläggande

text: IMY har även funnit att H&M har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte uppfylla kravet på information till de registrerade, då det saknas information om kontaktuppgifter till dataskyddsombud på befintliga skyltar vid entréer och stängsel. Det är angeläget att H&M vidtar åtgärder för att säkerställa att de registrerade får korrekt och fullständig information avseende den aktuella kamerabevakningen. Det finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga H&M att vidta åtgärder för att säkerställa att det på aktuella kamerabevakningsskyltar på anläggningen i Borås finns kontaktuppgifter till bolagets dataskyddsombud. Åtgärderna ska ha vidtagits senast fyra veckor efter att detta beslut fått laga kraft.

text: __________________________________________

text: Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristen My Lorenius. Vid den slutliga handläggningen har även den tillförordnade rättschefen Cecilia Agnehall och juristen Måns Lysén medverkat.

text: Jenny Bård, 2024-04-18 (Det här är en elektronisk signatur)

text: Bilaga

text: Klagandens personuppgifter Information om betalning av sanktionsavgift

text: Kopia till

text: Dataskyddsombud

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.