text: Högsta förvaltningsdomstolen

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Fördraget om Europeiska unionens funktionssätt. 08-657 61 00

text: Tidigare artikel 29-gruppen. 4 EDPB:s

text: riktlinjer 3/2019

text: för behandling av personuppgifter genom videoenheter, version 2.0, antagna den 29 januari 2020, p. 110–119. 5 Öman, Dataskyddsförordningen (GDPR) m.m. JUNO uppl. 2, kommentaren till

text: artikel 13

text: , under rubriken ”Första punkten…” och Brinnen, Dataskyddsförordningen

text: artikel 13

text: , under rubriken ”2. Rättsläget”, Lexino 2022-01-01 (JUNO). 6 Conseil d'État, den 8 februari 2017, n° 393714, punkt 5, https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2017- 02-08/393714. 7 Se

text: Riktlinjer om öppenhet enligt förordning

text: (EU) 2016/679

text: antagna den 11 april 2018, p. 26. Riktlinjerna har godkänts av Europeiska dataskyddsskyddstyrelsen (EDPB), se Endorsement 1/2018.

text: EU-domstolens dom Ryneš,

text: mål C-212/13

text: , EU:C:2014:2428.

text: (EU) 2016/679

text: antagna den 11 april 2018, punkt 26. 10 Se Endorsement 1/2018. 11 EDPB:s

text: riktlinjer 3/2019

text: för behandling av personuppgifter genom videoenheter, version 2.0, antagna den 29 januari 2020, p. 110–119. 12

text: Riktlinjer 01/2020

text: om behandling av personuppgifter i samband med uppkopplade fordon och rörlighetsrelaterade applikationer, version 2.0, antagna den 9 mars 2021, punkterna 83-85. 114, 127, 139, 157 och 168. 13 Öman, Dataskyddsförordningen (GDPR) m.m. JUNO uppl. 2, kommentaren till

text: artikel 13

text: , under rubriken ”Första punkten…”. 14 Brinnen, Dataskyddsförordningen

text: artikel 13

text: , under rubriken ”2. Rättsläget”, Lexino 2022-01-01 (JUNO).

text: Artikel 32

text: , la loi n° 78-17 du 6 janvier 1978. Lagen ändrades genom la loi n° 2004-801 du 6 août 2004 för att implementera dataskyddsdirektivet (för förarbeten och beslut om antagande, se https://www.senat.fr/dossierlegislatif/pjl01-203.html). 16

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 17 Conseil d'État, den 8 februari 2017, n° 393714, punkt 5, https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2017- 02-08/393714. 18 Ryneš,

text: mål C-212/13

text: , punkt 34. 19 Se

text: prop. 2017/18:231 s. 87

text: och EDPD:s riktlinjer 3/2019, punkt 113.

text: Se bland annat Cilfit m.fl., 283/81, EU:C:1982:335, punkt 21, Ferreira da Silva e Brito m.fl.,

text: , EU:C:2015:565, punkt 38–39 och Consorzio Italian Management och Catania Multiservizi,

text: , EU:C:2021:799, punkt 33.

text: Se Öman, Dataskyddsförordningen (GDPR) m.m. JUNO uppl. 2, kommentaren till

text: artikel 13

text: , under rubriken ”Inledning”. 22 Se

text: prop. 2017/18:231 s. 87

text: och EDPD:s riktlinjer 3/2019, punkt 113. 23

text: (EU) 2016/679

text: antagna den 11 april 2018, p. 26.

text: Se

text: prop. 2017/18:231 s. 87

text: . 25

text: SOU 2017:55 s. 301

text: f. 26

text: Prop. 2009/10:85 s. 85

text: f. 27

text: 2 kap. 2 § tredje stycket polisdatalagen

titel: Ta del av överklagandet

nyckelord:
Kamerabevakning
Dina rättigheter

sanktionsavgift: 8 miljoner kronor

slug: storstockholms-lokaltrafik-sl

title: Storstockholms Lokaltrafik, SL – Ta del av överklagandet

sammanfattning: SL överklagade IMY:s beslut till förvaltningsrätten. Bolaget fick delvis rätt och sanktionsavgiften sänktes. Ärendet gick vidare till kammarrätten som undanröjde förvaltningsrättens dom och IMY:s beslut i den del som avsåg sanktionsavgift för bristande information till de registrerade, eftersom kammarrätten bedömde att IMY tillämpat fel artikel om informationsskyldighet. Sanktionsavgiften bestämdes till åtta miljoner kronor. I övrigt avslogs överklagandena. För att få klarhet i vilken artikel i GDPR som är tillämplig när personuppgifter hämtas in via en kroppsburen kamera överklagade IMY kammarrättens dom till Högsta förvaltningsdomstolen. Domstolen meddelade prövningstillstånd och beslutade att hämta in ett förhandshandsavgörande från EU-domstolen. Högsta förvaltningsdomstolen beslutade den 25 juni 2026 att upphäva kammarrättens dom i den del som avser sanktionsavgift på grund av bristande information till de registrerade och visar målet åter till kammarrätten för ny prövning av den frågan.

text: IMY-2023-1305 Komplettering av överklagande i mål

text: nr 870-23

text: Uppgifter om målet

text: Klagande

text: Integritetsskyddsmyndigheten, ,

text: Motpart

text: AB Storstockholms Lokaltrafik, 556013-0683

text: Överklagat avgörande

text: Kammarrätten i Stockholms dom den 26 januari 2023 i mål nr 1552-22

text: Saken

text: Tillsyn enligt dataskyddsförordningen

text: Integritetsskyddsmyndighetens yrkande

text: Integritetsskyddsmyndigheten (IMY) yrkar att Högsta förvaltningsdomstolen

text: 1. meddelar prövningstillstånd, 2. begär förhandsavgörande från EU-domstolen enligt artikel 267 i EUFfördraget avseende frågan om det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig i fråga om den personuppgiftsansvariges skyldighet att lämna information till registrerade vid behandling av personuppgifter som inhämtas genom kamerabevakning, samt 3. undanröjer kammarrättens dom i den del den avser sanktionsavgift för bristande information till registrerade och återförvisar målet till kammarrätten

text: Grunderna för yrkandena

text: Formulering av rättsfrågan

text: Den fråga som enligt IMY bör prövas av Högsta förvaltningsdomstolen är om det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig i fråga om den personuppgiftsansvariges skyldighet att lämna information till registrerade vid behandling av personuppgifter som inhämtas genom kamerabevakning.

text: Prövningstillstånd

text: Enligt IMY är det av vikt för ledning av rättstillämpningen att överklagandet prövas av Högsta förvaltningsdomstolen.

text: Kammarrättens bedömning att artikel 13 inte är tillämplig vid personuppgiftsbehandling genom användning av kroppsburna kameror går emot den bedömning som Europeiska dataskyddsstyrelsen (EDPB) – vars uppgift är att se till att dataskyddsförordningen tillämpas enhetligt – gjort, bland annat i riktlinjerna för behandling av personuppgifter genom videoenheter. Bedömningen går även emot den dominerande tolkningen i svensk doktrin samt vad den franska högsta förvaltningsdomstolen uttalat i ett mål om insamling av personuppgifter via observation. Kammarrättens avgörande innebär mot denna bakgrund betydande osäkerhet för personuppgiftsansvariga och registrerade i frågan om vilken artikel som är tillämplig för informationsgivning vid kamerabevakning. Frågan är dessutom inte endast av betydelse för personuppgiftsbehandling genom kamerabevakning utan för all typ av personuppgiftsbehandling som sker genom observation av den registrerade.

text: Enligt IMY saknas vägledande avgörande från EU-domstolen i frågan. Inte heller har Högsta förvaltningsdomstolen tidigare prövat frågan om vilken bestämmelse i dataskyddsförordningen som är tillämplig avseende informationsskyldighet vid inhämtning av personuppgifter genom kamerabevakning eller annan typ av observation av den registrerade.

text: Det är enligt IMY av stor vikt för personuppgiftsansvariga och registrerade att den i målet aktuella frågan klargörs. Att Högsta förvaltningsdomstolen ger ledning i frågan är även av stor betydelse för IMY:s tillsynsverksamhet.

text: Lagrum

text: 36 § första stycket 1 förvaltningsprocesslagen (1971:291)

text: Förhandsavgörande av EU-domstolen

text: Frågan i målet är om det är artikel 13 eller 14 i dataskyddsförordningen som är tillämplig vid kamerabevakning. Frågan avser därmed tolkningen och tillämpningen av en EU-rättsakt.

text: Kammarrätten gör i den överklagade domen en annan bedömning än det EU-rättsliga organet EDPB, vars uppgift enligt dataskyddsförordningen är att se till att förordningen tillämpas enhetligt. Om kammarrättens dom vinner laga kraft skulle detta medföra betydande oklarheter för tillsynsmyndigheter, personuppgiftsansvariga och registrerade i unionen i fråga om hur dataskyddsförordningen ska tolkas samt innebära en betydande risk för skillnader i rättspraxis inom unionen.

text: IMY anser inte heller att EU-domstolens uttalanden i det mål kammarrätten hänvisar till kan anses innebära att EU-domstolen redan uttalat sig i frågan eller att den korrekta tillämpningen av unionsrätten är uppenbar.

text: Det är mot denna bakgrund nödvändigt att EU-domstolen ger vägledning om hur EUrätten ska tolkas i det aktuella avseendet innan Högsta förvaltningsdomstolen avgör målet. IMY anser därför att Högsta förvaltningsdomstolen ska begära förhandsavgörande från EU-domstolen avseende frågan om det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig i fråga om den personuppgiftsansvariges skyldighet att lämna information till registrerade vid behandling av personuppgifter som inhämtas genom kamerabevakning.

text: Lagrum

text: Artikel 267 i fördraget om Europeiska unionens funktionssätt

text: Undanröjande av kammarrättens dom och återförvisning

text: Enligt IMY har kammarrätten gjort en felaktig bedömning av vilken artikel i dataskyddförordningen som AB Storstockholms Lokaltrafik (SL) har att följa avseende informationsskyldighet vid användande av kroppsburna kameror. IMY delar inte kammarrättens bedömning att ordalydelsen i artikel 13 tyder på att det krävs någon typ av medvetet handlande från den registrerade för att personuppgifterna ska anses ha samlats in från denne. IMY anser inte heller att EU-domstolens dom i

text: mål C-212/13

text: kan tillmätas någon avgörande betydelse vid bedömningen av frågan om vilken artikel som ska vara tillämplig i förevarande fall.

text: IMY:s uppfattning är – i linje med vad EDPB uttalat i sina riktlinjer – att personuppgiftsbehandling genom användning av kroppsburna kameror innebär att personuppgifter samlas in från den registrerade och att artikel 13 därför är tillämplig i målet. Kammarrättens dom ska därför undanröjas i den del den avser sanktionsavgift för bristande information till registrerade.

text: Kammarrätten har inte närmare prövat om SL brustit i informationsskyldigheten enligt artikel 13 och öppenhetsprincipen i artikel 5.1 a och således inte heller om IMY haft skäl för att påföra administrativ sanktionsavgift för överträdelsen. Målet bör därför återförvisas till kammarrätten för prövning i denna del.

text: Lagrum

text: Artiklarna 5.1 a, 13 och 14 i dataskyddsförordningen.

text: Utveckling av talan

text: Prövningstillstånd

text: Kammarrätten i Stockholm har i den överklagade domen bedömt att inhämtning av personuppgifter med hjälp av en kroppsburen kamera inte innebär att personuppgifterna samlas in från den registrerade. Följden av kammarrättens resonemang blir att artikel 14 och inte artikel 13 i dataskyddsförordningen ska vara tillämplig i fråga om vilken information om personuppgiftsbehandlingen som ska lämnas till registrerade, när i tiden information ska lämnas och vilka undantag från skyldigheten att lämna information till registrerade som är tillämpliga.

text: Kammarrättens bedömning går emot den bedömning som EDPB gjort i frågan. EDPB har enligt artikel 70 i dataskyddsförordningen i uppgift att se till att förordningen tillämpas enhetligt. För detta ändamål ska EDPB bland annat enligt artikel 70.1 e utfärda riktlinjer, rekommendationer och bästa praxis i syfte att främja en enhetlig tillämpning av förordningen. EDPB har således en i dataskyddsförordningen fastställd central roll i att tolka förordningen och ge vägledning till aktörer som har att tillämpa förordningen. Vägledningarna från EDPB utgör ett viktig stöd både i tillsynsmyndigheternas verksamhet och i personuppgiftsansvarigas arbete med att uppfylla förordningens krav.

text: Artikel 29-gruppen, som numera ersatts av EDPB, har i riktlinjer om öppenhet enligt dataskyddsförordningen uppgett att artikel 13 är tillämplig i fråga om personuppgifter som en personuppgiftsansvarig inhämtar från en registrerad genom observation (t.ex. med användning av automatiserad datafångstutrustning eller datafångstprogramvara som kameror, nätverksutrustning, wi-fi-spårning, RFID eller andra slags sensorer) . Riktlinjerna har godkänts av EDPB. EDPB har därefter gjort samma bedömning i sina riktlinjer för behandling av personuppgifter genom videoenheter . Även i fråga om personuppgiftsbehandling i samband med uppkopplade fordon – till exempel när sensorer och ansluten fordonsburen utrustning samlar in och registrerar motorprestanda, körvanor, besökta platser, förarens ögonrörelser, puls eller biometriska uppgifter – är det enligt EDPB normalt fråga om inhämtning av uppgifter från den registrerade enligt artikel 13. EDPB har alltså vid flertalet tillfällen bedömt att artikel 13 är tillämplig för personuppgiftsbehandling som inhämtas genom observation av den registrerade i allmänhet och kameraanvändning i synnerhet.

text: Det kan vidare konstateras att kammarrättens bedömning även går emot uttalanden i den svenska doktrinen. Öman har uttalat att personuppgifterna, vid kamerabevakning, får anses insamlade från den registrerade och att artikel 13 således är tillämplig. Även Brinnen har – med hänvisning till artikel 29-gruppens riktlinjer om öppenhet – uttalat att artikel 13 omfattar tillfällen då den personuppgiftsansvarige samlar in personuppgifter genom observation av den registrerade exempelvis vid videoövervakning, wifi-tracking, RFID och andra former av sensorer.

text: Kammarrättens bedömning går även emot vad den franska högsta förvaltningsdomstolen, Conseil d'État, uttalat i ett mål som avsåg insamling av personuppgifter från mobiltelefoner tillhörande personer som passerar reklamskyltar. Målet avsåg i relevant del tolkning av nationella bestämmelser som motsvarade den svenska

text: personuppgiftslagen (1998:204)

text: och som införlivade dataskyddsdirektivets artikel 10 och 11 om informationsskyldighet. Dessa artiklar motsvarar artiklarna 13 och 14 i dataskyddsförordningen. Domstolen uttalade i målet att den aktuella insamlingen av personuppgifter visserligen inte krävde någon handling från de berörda personerna men att insamlingen trots detta hade karaktären av direkt insamling av personuppgifter och att det därför varit korrekt av den franska dataskyddsmyndigheten att tillämpa bestämmelsen som motsvarande dagens artikel 13 i dataskyddsförordningen.

text: Eftersom kammarrättens dom går emot vad som uttalats av EDPB, i svensk doktrin och av Conseil d’État skulle domen medföra betydande osäkert i rättsläget om den skulle vinna laga kraft.

text: IMY anser vidare att det saknas avgörande från EU-domstolen som klargör rättsläget. I det avgörande som kammarrätten hänvisar till i den överklagade domen (Ryneš,

text: mål C-212/13

text: ) nämns visserligen dataskyddsdirektivets motsvarighet till artikel 14. Målet rörde dock frågan om det så kallade privatundantagets tillämplighet när en privatperson bedriver kamerabevakning i anslutning till sitt hem och inte frågan om vilken artikel om informationsskyldighet som ska tillämpas vid kamerabevakning. Domstolen för inte några resonemang kring frågan om vilken artikel som ska vara tillämplig i fråga om informationsskyldighet vid kamerabevakning. Domstolen uttalade endast – efter att ha konstaterat att privatundantaget inte är tillämpligt för en privatpersons kamerabevakning om bevakningen även omfattar platser dit allmänheten har tillträde – att det i dataskyddsdirektivet, i förekommande fall, finns möjlighet att beakta berättigade intressen hos den personuppgiftsansvarige, till exempel vid bedömningen av om rättslig grund föreligger för en personuppgiftsbehandling eller om det kan göras undantag från informationsskyldighet enligt artikel 11.2 i direktivet (motsvarande artikel 15.4 b i dataskyddsförordningen). Uttalandet gjordes alltså obiter dictum, efter att domstolen redan tagit ställning i sakfrågan. Uttalandet bör enligt IMY ses som en upplysning om att bevakningen, trots att privatundantaget inte är tillämpligt, ändå kan vara laglig. Några säkra slutsatser kring vilken bestämmelse som ska tillämpas för lämnande av information vid kamerabevakning kan däremot inte dras utifrån domstolens uttalanden. IMY konstaterar också att domen avsåg dataskyddsdirektivet och inte dataskyddsförordningen samt att det föreligger skillnader i rättsakternas innehåll i fråga om skyldigheten att lämna information, bland annat med avseende på tidpunkten för lämnande av information. I det avseendet anges i artikel 11 i dataskyddsdirektivet att informationen som utgångspunkt ska lämnas vid tiden för registrering medan det i artikel 14.3 a i dataskyddsförordningen anges att informationen som utgångspunkt ska lämnas inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad. Denna skillnad i ordalydelse kan påverka bedömningen av tillämplig artikel enligt dataskyddsförordningen eftersom information vid kamerabevakning förutsätts lämnas innan den registrerade beträder det bevakade området . Mot denna

text: bakgrund anser IMY att den aktuella domen från EU-domstolen inte innebär att rättsläget är klargjort.

text: Att rättsläget klargörs är av stor betydelse för IMY:s tillsynsverksamhet och internationella samverkan enligt de så kallade samordnings- och tvistelösningsmekanismerna i dataskyddsförordningen. Om kammarrättens dom vinner laga kraft skulle detta få stora konsekvenser för IMY, i synnerhet i gränsöverskridande ärenden som rör informationsskyldigheten vid kamerabevakning eller annan personuppgiftsbehandling genom observation. Sådana ärenden förutsätter ofta samarbete med andra berörda tillsynsmyndigheter inom unionen enligt kapitel VII i dataskyddsförordningen. En avvikande nationell hållning i fråga om vilken artikel som är tillämplig avseende informationsskyldigheten i sådana ärenden kan antas leda till invändningar från andra tillsynsmyndigheter enligt artikel 60.4 i dataskyddsförordningen. Frågan måste då hänvisas till EDPB för antagande av ett bindande beslut enligt artikel 65.1 a i dataskyddsförordningen. IMY är enligt artikel 65.2 och 65.6 därefter skyldig att följa ett sådant beslut från EDPB. Vid ett eventuellt överklagande har vidare den nationella domstolen enligt skäl 143 andra stycket i förordningen inte behörighet att ogiltigförklara beslutet utan måste hänskjuta frågan om giltighet till EU-domstolen i enlighet med

text: artikel 267 EUF-fördraget

text: Att överklagandet prövas är även av stor vikt för personuppgiftsansvariga och registrerade. Frågan om det är artikel 13 eller 14 som är tillämplig i målet har vidare inte enbart stor betydelse för informationslämnande vid kamerabevakning, utan även vid annan typ av personuppgiftsbehandling som sker genom observation av den registrerade.

text: Högsta förvaltningsdomstolen har inte tidigare prövat frågan om vilken bestämmelse i dataskyddsförordningen som är tillämplig avseende informationsskyldighet vid inhämtning av personuppgifter genom kamerabevakning eller annan typ av observation av den registrerade.

text: Sammanfattningsvis är rättsläget i den i målet aktuella frågan osäkert. Det är därför av vikt för ledning av rättstillämpningen att Högsta förvaltningsdomstolen prövar överklagandet.

text: Begäran om förhandsavgörande från EU-domstolen

text: Enligt

text: artikel 267 i fördraget om Europeiska unionens funktionssätt

text: ska EU-domstolen vara behörig att meddela förhandsavgöranden angående bland annat tolkningen av rättsakter som beslutas av unionens institutioner, organ eller byråer. När en sådan fråga uppkommer vid en domstol i en medlemsstat får den domstolen, om den anser att ett beslut i frågan är nödvändigt för att döma i saken, begära att EU-domstolen meddelar ett förhandsavgörande. Om frågan uppkommer i ett ärende vid en domstol i en medlemsstat, mot vars avgöranden det inte finns något rättsmedel enligt nationell lagstiftning, ska den nationella domstolen föra frågan vidare till EU-domstolen.

text: EU-domstolen har vid ett flertal tillfällen uttalat sig om den begränsade möjligheten till undantag från skyldigheten att begära förhandsavgörande. Av EU-domstolens praxis framgår att undantag föreligger endast om den uppkomna frågan saknar relevans, om EU-domstolen redan har uttalat sig i samma eller en snarlik fråga eller om den

text: korrekta tillämpningen av unionsrätten är så uppenbar att det inte finns utrymme för något rimligt tvivel. När den nationella domstolen avgör om något undantag från skyldigheten föreligger måste domstolen beakta unionsrättens särdrag, de särskilda svårigheter som dess tolkning medför samt risken för skillnader i rättspraxis inom unionen.

text: IMY konstaterar att frågan om vilken artikel i dataskyddsförordningen som är tillämplig avseende informationsskyldigheten vid personuppgiftsbehandling i form av kamerabevakning avser tolkningen och tillämpningen av en EU-förordning. Frågan är avgörande för utgången i målet och kan därför inte anses sakna relevans. I enlighet med vad som framförts under föregående rubrik anser IMY inte att EU-domstolen kan anses ha uttalat sig i samma eller en snarlik fråga i och med domen i Ryneš,

text: mål C-212/13

text: . IMY vill särskilt framför att EU-domstolens uttalanden avseende artikel 11 i dataskyddsdirektivet inte var en del av sakfrågan i målet, att målet avsåg dataskyddsdirektivet och inte dataskyddsförordningen samt att det inte framgår av domen att EU-domstolen gjort några avvägningar kring frågan om vilken artikel som ska vara tillämplig för lämnande av information vid kamerabevakning. Den korrekta tillämpningen av unionsrätten kan inte heller anses vara uppenbar. Detta gäller särskilt med beaktande av att EDPB – till skillnad från kammarrätten – bedömt att artikel 13 ska vara tillämplig vid kamerabevakning. EDPB har vidare upprepat sin bedömning vid ett flertal tillfällen, samtliga vid tidpunkter efter EU-domstolens avgörande i Ryneš,

text: mål C-212/13

text: . Frågan innefattar därför även bedömningar av vilken rättslig tyngd EDPB:s uttalanden ska ges vid tolkningen av dataskyddsförordingen. Det faktum att det även finns uttalanden i svensk doktrin som går emot kammarrättens bedömning och att den franska högsta förvaltningsdomstolen bedömt att artikel 13 är tillämplig vid inhämtning av personuppgifter genom observation av den registrerade talar också för att tillämpningen av de aktuella bestämmelserna inte är uppenbar samt att det finns uppenbara risker för skillnader i rättspraxis inom union om frågan inte klargörs av EUdomstolen.

text: Frågan i målet är av betydelse för att säkerställa en enhetlig tillämpning av EU-rätten inom unionen och bör ytterst avgöras av EU-domstolen. Enligt IMY saknas skäl att göra undantag från skyldigheten att begära förhandsavgörande. IMY anser därför att Högsta förvaltningsdomstolen ska begära förhandsavgörande från EU-domstolen i enlighet med IMY:s yrkande.

text: Upphävande och återförvisning

text: Kammarrätten stödjer sitt resonemang dels på EU-domstolens dom i Ryneš,

text: mål C-212/13

text: , dels på ordalydelsen i artikel 13 i dataskyddsförordningen.

text: I enlighet med de resonemang som framförts ovan anser IMY inte att de uttalanden som EU-domstolen gjorde i den aktuella domen kan ges någon avgörande betydelse vid tolkningen av om det är artikel 13 eller 14 i dataskyddsförordningen som är tillämplig vid personuppgiftsbehandling i form av kamerabevakning.

text: Vad gäller ordalydelsen i artikel 13 delar IMY inte kammarrättens bedömning att denna tyder på att det krävs någon typ av medvetet handlande från den registrerade för att personuppgifterna ska anses ha samlats in från denne. IMY anser tvärtom att begreppet ”samlas in” (”are collected” enligt den engelska ordalydelsen) rent språkligt snarare talar för att det krävs aktivitet från den personuppgiftsansvariges sida. Det får dock antas att begreppet även omfattar situationer där den registrerade självmant

text: lämnar in uppgifter till en personuppgiftsansvarig. Ordalydelsen i artikel 13 talar därmed inte för att artikeln inte är tillämplig av det skälet att det saknas medvetet handlande från den registrerade. Att det inte krävs ett aktivt handlande från den registrerade får även stöd av den tidigare nämnda domen från den franska högsta förvaltningsdomstolen (Conseil d’État). IMY konstaterar vidare att det vid kamerabevakning inte heller helt saknas inslag av medvetet handlande från den registrerades sida. Eftersom information vid kamerabevakning förutsätts lämnas innan personuppgiftsbehandlingen påbörjas är det den registrerade som genom att medvetet beträda det bevakade området möjliggör att personuppgifterna samlas in av den personuppgiftsansvarige.

text: Vid bedömningen av vilken artikel som är tillämplig för informationsskyldighet vid kamerabevakning måste även artikel 14 och tillhörande skäl i dataskyddsförordningen beaktas. Artikel 14 i dataskyddsförordningen avser situationer när personuppgifterna inte har erhållits från den registrerade. I skäl 61 till dataskyddsförordningen uttrycks detta som att ”personuppgifterna erhålls direkt från en annan källa”. I artikel 29gruppens riktlinjer om öppenhet anges som exempel att det kan vara fråga om att personuppgifter hämtas från personuppgiftsansvariga i egenskap av tredje part, allmänt tillgängliga källor, datamäklare eller andra registrerade. I artikel 14.2 f i dataskyddsförordningen anges vidare att information ska lämnas om varifrån (”from which source” i den engelska lydelsen) personuppgifterna kommer. Detta talar sammantaget för att artikel 14 är tillämplig i de fall personuppgifter hämtas från någon extern aktör eller källa som inte är den personuppgiftsansvarige själv. Så kan enligt IMY inte anses vara fallet i fråga om kamerabevakning som bedrivs av den personuppgiftsansvarige själv. Detta talar emot att artikel 14 skulle vara tillämpligt i nu aktuellt mål.

text: Andra relevanta skillnader mellan artikel 13 och 14 i dataskyddsförordningen är tidpunkten för när information ska lämnas samt möjligheterna till undantag från informationskyldigheten. Enligt artikel 13 ska informationen lämnas när personuppgifterna erhålls medan informationen enligt artikel 14.3 som huvudregel får lämnas inom en rimlig period och senast inom en månad. Vidare innehåller artikel 14.5 undantag från informationsskyldigheten som inte har någon motsvarighet i artikel 13, bland annat om tillhandahållandet av information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning (artikel 14.5 b i dataskyddsförordningen). Även om tillämpningen av undantaget i artikel 14.5 b förutsätter att den personuppgiftsansvarige vidtar lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet att göra uppgifterna tillgängliga för allmänheten (”publicly available” i den engelska lydelsen), skulle slutsatsen att artikel 14 är tillämplig vid kamerabevakning medföra en risk för att personuppgiftsansvariga tolkar förordningen på ett sådant sätt att information inte behöver lämnas vid det bevakade området när personuppgiftsbehandlingen påbörjas med hänvisning till artikel 14.3 samt att information inte heller behöver lämnas i efterhand enligt undantaget i artikel 14.5 b. Om artikel 14 skulle anses tillämplig vid kamerabevakning skulle detta alltså kunna leda till att registrerade inte informeras om bevakningen på ett tillfredställande sätt. Även detta talar enligt IMY för att det är artikel 13 och inte artikel 14 som ska vara tillämplig i målet.

text: Kammarrätten anger även i sin dom att det varken i

text: kamerabevakningslagen (2018:1200)

text: eller dess förarbeten specificeras vilken artikel lagen stöder sig på avseende informationskravet vid kamerabevakning. IMY vill dock framhålla att regeringen i förarbetena uttalar att kamerabevakning skiljer sig från övrig personuppgiftsbehandling eftersom enskilda i praktiken måste upplysas om personuppgiftsbehandlingen i förväg. Mot bakgrund av att artikel 13 anger att informationen ska lämnas när personuppgifterna erhålls medan artikel 14 anger att information ska lämnas inom en rimlig period anser IMY att regeringens uttalande talar för att det i första hand varit artikel 13 som avsetts. I det betänkande som låg till grund för regeringens proposition är det vidare kraven i artikel 13 och inte artikel 14 som utredningen hänvisar till i de resonemang som fördes avseende upplysningskravets utformning. IMY konstaterar även att regeringen i förarbetena till införandet av bland annat

text: polisdatalagen (2010:361)

text: bedömde att

text: 23 § personuppgiftslagen

text: , dvs. motsvarigheten till artikel 13 i dataskyddsförordningen, var tillämplig för polisens insamling av personuppgifter genom ljud och bild. I den nya

text: polisdatalagen

text: infördes ett undantag från polisens informationsskyldighet enligt

text: 23 § personuppgiftslagen

text: i fråga om insamling av personuppgifter genom bilder eller ljud. Regeringen har alltså tidigare bedömt att insamling genom bild- och ljudupptagningar innebär att uppgifterna samlas in från den registrerade. Sammantaget anser IMY att de redovisade förarbetsuttalanden talar för att det även är den svenska lagstiftarens uppfattning att artikel 13 i dataskyddsförordningen som ska vara tillämplig vid kamerabevakning.

text: Som tidigare nämnts har även EDPB bedömt att artikel 13 ska vara tillämplig vid kamerabevakning. Att EDPB enligt dataskyddsförordningen har till uppgift att se till att förordningen tillämpas enhetligt och att utfärda vägledning i syfte att främja en enhetlig tillämpning av förordningen innebär enligt IMY att stor vikt bör läggas vid EDPB:s uttalanden i frågan.

text: Avslutningsvis konstateras att även de tidigare nämnda uttalandena av Öman och Brinnen i svensk doktrin ger stöd för bedömningen att personuppgiftsbehandling genom kamerabevakning innebär att personuppgifterna samlas in från de registrerade i enlighet med artikel 13 i dataskyddsförordningen.

text: Sammanfattningsvis anser IMY att artikel 13 i dataskyddsförordningen är tillämplig för SL:s personuppgiftsbehandling genom användning av kroppsburna kameror. Kammarrätten har därmed inte haft skäl för sitt beslut att delvis undanröja förvaltningsrättens dom och IMY:s beslut. Kammarrättens dom bör därför undanröjas i den del den avser sanktionsavgift för bristande information till registrerade och målet bör återförvisas till kammarrätten för prövning av frågan om utdömande av sanktionsavgift på grund av överträdelser av artikel 13 och öppenhetsprincipen i artikel 5.1 a i dataskyddsförordningen. ______________________________ Detta överklagande har beslutats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Andreas Persson. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetschefen Charlotte Waller Dahlberg och den seniora juristen Jenny Bård medverkat.

text: Lena Lindgren Schelin, 2023-03-02 (Det här är en elektronisk signatur)


text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: Prop. 2017/18:105

text: , Ny dataskyddslag, s. 47 f.

text: EDPB:s

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, version 2.0, antagna den 7 juli 2021, 07/2020, punkt 25. 4 Dom Rīgas satiksme,

text: , EU:C:2017:336, punkt 28. 5 Dom TK,

text: , EU:C:2019:1064, punkt 42. 6 EDPB:s

text: riktlinjer 3/2019

text: för behandling av personuppgifter genom videoenheter, antagna den 29 januari 2020, punkt 20.

text: Dom TK,

text: , EU:C:2019:1064, punkt 46-48 och 50. 8 EDPB:s

text: riktlinjer 3/2019

text: , punkt 32. 9 EU-domstolens dom i

text: mål C-708/18

text: TK, punkt 57. 10 Skäl 47 i dataskyddsförordningen och Dom TK

text: TK, punkt 58. 11 EDPB:s

text: riktlinjer 3/2019

text: , punkt 37.

text: Prop. 2017/18:231

text: , Ny kamerabevakningslag, s. 87 f. 13 Artikel 29-arbetsgruppen, Riktlinjer om öppenhet enligt förordning

text: (EU) 2016/679

text: rev.01, punkt 26 samt EDPB:s

text: Riktlinjer 3/2019

text: , punkt 110. Se dock Kammarrätten i Stockholms dom den 26 januari 2023 i mål nr 1552-22 i vilken Kammarrätten bedömt att det inte är

text: artikel 13

text: utan

text: artikel 14

text: som ska vara tillämplig vid kamerabevakning. Domen är överklagad till Högsta förvaltningsdomstolen (mål nr

text: ) och har därmed inte vunnit laga kraft. Med hänsyn till den ställning som EDPB:s riktlinjer har enligt förordningen och i avvaktan på ett lagakraftvunnet avgörande utgår IMY i sin bedömning från EDPB:s riktlinjer och att det är artikel 13 i dataskyddsförordningen som ska tillämpas i ärendet. Högsta förvaltningsdomstolen (HFD) har i målet begärt förhandsavgörande från EU-domstolen ifråga om artikel

text: eller

text: är tillämplig vid bevakning med kroppsburen kamera.

text: EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR (slutligt antagna den 24 maj 2023). 15 EU-domstolens dom Akzo Nobel,

text: , EU:C:2017:314, p. 48. 16 EU-domstolens dom Akzo Nobel and Others,

text: , EU:C:2009:536, p. 59–61.

text: EU-domstolens dom Nacionalinis visuomenes sveikatos centras,

text: , EU:C:2023:949, punkt 81, och dom Deutsche Wohnen,

text: , EU:C:2023:950, p. 76. 18 Tillsynsbeslut DI-2018-14593, BRF Gårdsbjörken, beslutat den 15 juni 2020, tillsynsbeslut DI-2020-4534, Uppsalahem AB, beslutat den 14 december 2020 och tillsynsbeslut DI-2021-2172, Bergsporten, beslutat den 18 april 2024 (de två förstnämnda besluten publicerades vid beslutsdatum på IMY:s webbplats där de ännu finns tillgängliga, Bergsporten har överklagats till förvaltningsrätten och har därmed inte vunnit laga kraft). 19 Koncernstruktur, Bisnode Infotorg per den 10 december 2024.

text: Artikel 83.5 i dataskyddsförordningen.

sprak: sv

titel: Beslut

nyckelord: Kamerabevakning Dataskydd

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 200 000 kronor

slug: granit-bostad-beritsholm-ab

title: Granit Bostad Beritsholm AB

org: imy

sammanfattning: Integritetsskyddsmyndigheten konstaterar att Granit Bostad Beritsholm AB (556529–2215) under perioden 1 november 2022 till och med 11 december 2024 har behandlat personuppgifter i strid med artikel 6.1 och artikel 13 i dataskyddsförordningen1 genom att utan rättslig grund bedriva kamerabevakning i bolagets fastighet på Limhamnsvägen 22a i Malmö.

text: 1. Integritetsskyddsmyndighetens beslut

type: rubrik

text: Integritetsskyddsmyndigheten konstaterar att Granit Bostad Beritsholm AB (556529–2215) under perioden 1 november 2022 till och med 11 december 2024 har behandlat personuppgifter i strid med artikel 6.1 och artikel 13 i dataskyddsförordningen genom att utan rättslig grund bedriva kamerabevakning i bolagets fastighet på Limhamnsvägen 22a i Malmö. Granit Bostad Beritsholm AB uppfyller inte heller kravet på information till de registrerade avseende kamerabevakningen.

type: stycke

text: Administrativ sanktionsavgift

text: IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Granit Bostad Beritsholm AB ska betala en administrativ sanktionsavgift på 200 000 (tvåhundratusen) kronor för de ovan konstaterade överträdelserna av artiklarna 6.1 och 13 i dataskyddsförordningen.

text: Föreläggande

text: Integritetsskyddsmyndigheten förelägger Granit Bostad Beritsholm AB enligt artikel 58.2 d i dataskyddsförordningen att senast fyra veckor efter att detta beslut fått laga kraft vidta åtgärder för att säkerställa att

text: 1. bolaget upphör med kamerabevakningen av samtliga platser i fastigheten undantaget garaget.

text: 2. det på kamerabevakningsskyltarna finns uppgifter om bolagets identitet och och kontaktuppgifter till bolaget, i form av mailadress eller telefonnummer.

text: 2. Redogörelse för tillsynsärendet

text: 2.1 Bakgrund

text: IMY har inlett tillsyn mot Granit Bostad Beritsholm AB (bolaget) i syfte att utreda ett klagomål om att bolaget bedriver otillåten kamerabevakning i flerbostadshus på Limhamnsvägen 22a i Malmö samt brister i sin informationsskyldighet.

text: 2.2 Vad som framkommit i ärendet

text: Klaganden har uppgett i huvudsak följande. Klaganden bor i hyresfastigheten på Limhamnsvägen 22a i Malmö där det bedrivs omfattande kamerabevakning. Det finns kameror vid tre huvudentréer, vid hissar och vid lägenhetsdörrar på bottenplan samt ett flertal kameror i källargång i anslutning till ingång till förråd, tvättstuga och bastu. Det finns även ett flertal kameror i garage, cykelförråd, soprum, återvinningsrum samt inomhus vid entrén på baksidan av fastigheten. Klaganden har kontaktat hyresvärden angående omfattningen av kamerabevakningen och bristen på information. Det finns ingen fysisk information på plats, eller på annat sätt, som besökare och hyresgäster kan ta del av. Klaganden anser att det bör finnas information i övrigt kring behandling av personuppgifter till hyresgästerna, såsom loggning av användning av taggar för

text: inpassering. Området där fastigheten är belägen är generellt mycket lugnt utan vidare problem, därför bör omfattningen av kamerabevakningen ske på ett sätt som minimerar upptagningen i förhållande till problemen. I december 2022 fick klaganden svar från hyresvärden att de ska se över informationsbehovet avseende kamerabevakningen. Klaganden har inte fått några konkreta besked om åtgärder och upplever därför inte trygghet i om personuppgifter, som samlas in genom kamerabevakning, behandlas korrekt och säkert samt enligt dataskyddsförordningen.

text: Bolaget har uppgett i huvudsak följande. I samband med att bolaget tog över fastigheten den 1 november 2022 tog de även över driften av kamerabevakningssystemet. Det är okänt när bevakningen påbörjades, en omfattande systemombyggnad skedde år 2013. Området har historiskt haft problem med incidenter i form av bl.a. cykelstölder, inbrottsförsök, förrådsinbrott, bilinbrott, skadegörelse och klotter i allmänna utrymmen. De flesta incidenter har utretts framgångsrikt.

text: Bolaget bedriver kamerabevakning på Limhamnsvägen 22a i Malmö och är personuppgiftsansvarig för behandling av personuppgifter. Kamerabevakningen sker med 18 kameror som är monterade i garage, källare, förråd, drift, tvättstuga och soprum. Kamerorna är riktade mot garage, källarentré vid gym, cykelförråd, värmecentral, utanför kontor, korridor mot tvättstuga och garage, trapphus A-C, källare i trappa C, förråd och soprum. Kamerabevakningen sker dygnet runt eftersom incidenter och brott inträffar vid dygnets alla timmar, på vardagar och helger. Inspelning sker vid rörelsedetektering med samtliga kameror. Det sker ingen realtidsbevakning och ingen ljudinspelning. Det har inträffat inbrott och skadegörelse under varierande tider på dygnet, därav valet av tid för bevakningen. Bildmaterial sparas i 14 dagar på grund av att det endast finns en förvaltare och kontoret inte har fasta bemanningstider. Det kan även ta tid att upptäcka en incident. Tre personer har tillgång till inspelat bildmaterial.

text: Syftet med bevakningen är att motverka och förebygga brott, skapa trygg boendemiljö, dokumentera underlag vid incidenter samt motverka stora kostnader vid omfattande felsortering och olägenhet på grund av skadedjur. Vidare sker kamerabevakningen i avskräckande syfte. Kamerorna är uppskattade av hyresgästerna och de har en avskräckande funktion vad gäller inbrott och bedrägeriförsök. Bolaget har generellt fått ett positivt intryck från de boende avseende kamerabevakningen.

text: Bolaget har inkommit med bl.a. en dokumenterad intresseavvägning, en ritning som visar var kameror är monterade, skärmbilder från samtliga kameror, kopia på äldre skyltar och nya skyltar, kartbild, koncernstruktur som bolaget ingår i, en sammanställning av incidenter och polisanmälningar hämtat från polisen samt kopia på integritetspolicy.

text: 2.3 Omfattningen av IMY:s granskning i ärendet

text: IMY:s granskning i ärendet är avgränsad till frågorna om den personuppgiftsbehandling som kamerabevakningen innebär, sedan 1 november 2022, har haft laglig grund enligt dataskyddsförordningen och om bolaget har uppfyllt kravet på upplysning enligt

text: 15 § kamerabevakningslagen (2018:1200)

text: samt skyldigheten att lämna information enligt artikel 13 i dataskyddsförordningen. IMY:s granskning i detta tillsynsärende omfattar inte om bolagets kamerabevakning sker i enlighet med övriga gällande bestämmelser i dataskyddsförordningen.

text: 3. Motivering av beslutet

text: 3.1 Vilken lagstiftning gäller för aktuell kamerabevakning?

text: Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och

text: kamerabevakningslagen

text: 3.1.1 Dataskyddsförordningen

text: Dataskyddsförordningen ska enligt artikel 2.1 tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring, läsning och radering.

text: Om en bevakningskamera filmar en identifierbar person, eller någon annan personuppgift, sker en behandling av personuppgifter och reglerna i dataskyddsförordningen måste följas. IMY konstaterar att bolagets bevakningskameror filmar identifierbara personer och att dataskyddsförordningens bestämmelser därmed gäller avseende aktuell personuppgiftsbehandling.

text: Den personuppgiftsansvarige ska identifiera den lagliga grunden i artikel 6 i dataskyddsförordningen innan kamerabevakningen inleds, och ansvarar - både gentemot de registrerade och i förhållande till tillsynsmyndigheten - för att principerna om behandling av personuppgifter i artikel 5 i dataskyddsförordningen efterlevs. Principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen innebär att den personuppgiftsansvarige måste kunna visa att artikel 5.1 följts, vilket innebär att tillämpningen av dataskyddsförordningen ofta behöver dokumenteras.

text: Kamerabevakningslagen

text: Kamerabevakningslagen (2018:1200)

text: , är en kompletterande lag i förhållande till dataskyddsförordningen. Av

text: 3 § 1 kamerabevakningslagen

text: framgår att med kamerabevakning avses en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning som, utan att manövreras på platsen, används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning.

text: Den aktuella kamerabevakningen manövreras inte på platsen och innebär en varaktig bevakning av boende och övriga besökare i fastigheten. IMY bedömer att även

text: kamerabevakningslagen

text: därmed är tillämplig på den aktuella bevakningen.

text: 3.2 Är bolaget personuppgiftsansvarig?

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, den fysiska eller juridiska person som, ensamt eller tillsammans med andra, bestämmer ändamålen och medlen för behandlingen av personuppgifter. Avgörande för frågan om vem som är personuppgiftsansvarig är vem eller vilka som har bestämt varför och hur behandlingen sker, samt utövar ett inflytande över vilka personuppgifter som samlas in och behandlas, hur länge de lagras och vem som har åtkomst. Bedömningen av vem

text: eller vilka som är personuppgiftsansvarig för viss behandling ska alltid utgå från de faktiska omständigheterna i det specifika fallet.

text: Granit Bostad Beritsholm AB har uppgett att bolaget är personuppgiftsansvarig för behandlingen av personuppgifter som sker genom aktuell kamerabevakning på Limhamnsvägen 22a i Malmö. IMY anser att detta har stöd i utredningen och bedömer därför att bolaget är personuppgiftsansvarig för den aktuella personuppgiftsbehandlingen i den mening som avses i artikel 4.7 i dataskyddsförordningen.

text: 3.3 Har kamerabevakningen haft laglig grund i dataskyddsförordningen?

text: För att behandling av personuppgifter ska vara laglig krävs att det finns stöd i minst en av de lagliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Bolaget har uppgett att aktuell kamerabevakning har stöd i den lagliga grund som anges i artikel 6.1 f i dataskyddsförordningen, vilket är den så kallade intresseavvägningen. Det finns tre förutsättningar som samtliga måste vara uppfyllda för att kamerabevakningen ska kunna ske med stöd av artikel 6.1 f i dataskyddsförordningen: Den personuppgiftsansvariga måste kunna visa 1) att det finns ett berättigat intresse, 2) att den aktuella behandlingen av personuppgifter är nödvändig för att uppnå det intresset, samt 3) att det berättigade intresset (bevakningsintresset) vid en avvägning väger tyngre än de registrerades grundläggande fri- och rättigheter (integritetsintresset) på platsen.

text: 3.3.1 Finns det ett berättigat intresse?

text: För att det intresse som bevakningen avser att skydda ska anses berättigat behöver det normalt sett ha stöd i relevant nationell rätt eller i EU-rätten. En bostadsrättsförening som vill skydda bostadsrättsinnehavarnas egendom, hälsa och liv kan anses ha ett sådant berättigat intresse. Att skydda egendom, hälsa och liv kan utgöra ett berättigat intresse för kamerabevakning, under förutsättning att det är fråga om ett faktiskt intresse och inte ett intresse som är fiktivt eller spekulativt vid tidpunkten för personuppgiftsbehandlingen. Detta innebär i regel att det måste ha inträffat brott eller andra incidenter som gör att det föreligger ett konkret bevakningsbehov.

text: Bolaget har angett att syftet med kamerabevakningen är att öka säkerheten och tryggheten för hyresgästerna, förebygga och utreda brott samt skydda fastighetens egendom. Bolaget har också angett att bevakningen sker i avskräckande syfte. Bevakningen försvårar inbrottsförsök i lägenheter, vind och källare på grund av att personer blir bevakade på vägen ut med eventuellt stöldgods. Av utredningen framgår att det sedan år 2019 har inträffat incidenter i form av bl.a. bilinbrott, stöld, skadegörelse, klotter, inbrott och inbrottsförsök. IMY bedömer att bolaget har ett berättigat intresse av att bedriva kamerabevakning för att öka säkerheten och tryggheten för hyresgästerna, förebygga och utreda brott samt skydda egendom.

text: 3.3.2 Är kamerabevakningen nödvändig för att uppnå det berättigade intresset?

text: Att den kamerabevakning som bedrivs ska vara nödvändig innebär att det berättigade intresset inte rimligen kan skyddas på ett lika effektivt sätt på andra sätt som i mindre

text: utsträckning inkräktar på de registrerades grundläggande fri- och rättigheter. Det ska beaktas om kamerorna har använts på ett sätt som begränsar det intrång i den personliga integriteten som bevakningen innebär utan att för den sakens skull äventyra bevakningens effektivitet, vilket innefattar en bedömning av om det exempelvis är tillräckligt att kamerabevakningen sker begränsad till vissa platser eller tider. Nödvändigheten ska prövas tillsammans med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen , som innebär att personuppgifter som samlas in ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

text: Av utredningen i ärendet framgår att alternativa åtgärder har vidtagits genom att begränsa tillträde till fastigheten med hjälp av passersystem med taggar, uppgradering av starkare portautomatik, montering av galler framför dörrar och rörelsevakt för automatisk belysning samt förbättring av belysning. Vid källarentrén finns belysning som sätts på vid rörelse på grund av att personer har rört sig nära hyresgästers balkonger under kvällstid. Åtgärderna vidtogs av tidigare ägare och har inte minskat incidenterna i tillräcklig omfattning enligt bolaget. Bolaget uppger att i de områden där kameror finns uppsatta har det haft en avskräckande funktion avseende inbrott och bedrägeriförsök. IMY konstaterar att tidigare fastighetsägare har vidtagit alternativa och mindre integritetskänsliga åtgärder till kamerabevakning samt att bevakningen enligt bolaget har haft en avskräckande effekt. IMY bedömer att även om bolaget varken har begränsat bevakningen i tid respektive upptagningsområde, t.ex. genom maskning, i syfte att minska integritetsintrånget, kan bevakningen anses vara nödvändig för att skydda bolagets och de boendes berättigade intressen.

text: 3.3.3 Väger bevakningsintresset tyngre än integritetsintresset på platsen?

text: Att det berättigade intresse som bevakningen avser att skydda (bevakningsintresset) vid en avvägning ska väga tyngre än de registrerades grundläggande fri- och rättigheter (integritetsintresset), innebär att den personuppgiftsansvariga måste utvärdera riskerna för intrång i den registrerades rättigheter. Det avgörande kriteriet är intrångets intensitet för den registrerades rättigheter och friheter, som bl.a. kan definieras utifrån informationsinnehållet, omfattningen, situationen i fråga och den registrerades faktiska intressen. Vidare ska hänsyn tas till vilken typ av personuppgiftsbehandling det är fråga om och hur denna konkret går till. Vid avvägningen mellan integritetsintresset och bevakningsintresset ska även beaktas den registrerades rimliga förväntningar vid tidpunkten och i samband med behandlingen av dess personuppgifter.

text: Avseende integritetsintresset konstaterar IMY följande. All kamerabevakning innebär ett intrång i den enskildes integritet. Europeiska dataskyddsstyrelsen (EDPB) har i riktlinjer, som är vägledande för hur dataskyddsförordningens bestämmelser ska tolkas, uttalat att registrerade inte rimligen bör förvänta sig att bli föremål för bevakning i bostadsområden. IMY anser att kamerabevakning i boendemiljöer som utgångspunkt är mycket känsligt ur integritetssynpunkt. Integritetsintresset varierar dock beroende på det specifika området för bevakningen.

text: Vad gäller bevakningsintresset har bolaget uppgett att många människor rör sig i området där fastigheten är belägen. Dels på grund av att det bl.a. finns en strand i närheten som många människor besöker. Bolaget hänvisar till uppgifter i

text: Brottsförebyggande rådets senaste upplaga av Kriminalstatistik, anmälda brott 2023. I upplagan framgår att det i storstadskommuner som bl.a. Malmö anmäls ett stort antal brott på grund av den höga genomströmningen av människor som inte är bofasta i kommunen, vilket förklarar den höga brottsligheten i området. Bolaget har inkommit med en sammanställning av 25 incidenter som inträffat i området där fastigheten är belägen under perioden 13 september 2017 och 13 december 2023. Bolaget har också inkommit med en sammanställning av incidenter och polisanmälningar avseende år 2019 till och med år 2024, hämtat från polisen, som inträffat i området där fastigheten är belägen och området omkring fastigheten. Bolaget har vidare uppgett att polisen inte får lämna ut anmälningar och händelser hänförliga till fastigheten. IMY anser att bolaget har visat att det förekommit brott och incidenter i området där fastigheten är belägen. Det är dock inte visat att dessa brott och incidenter har inträffat i fastigheten eller på de platser i fastigheten som bevakas. IMY anser därmed inte att underlaget som bolaget inkommit med påverkar IMY:s bedömning av bevakningsintresset i aktuell fastighet där bolaget bedriver kamerabevakning.

text: Entréer och trapphusen

text: Kamerabevakning som sker innanför entrén eller i trapphuset till lägenheter ses generellt som särskilt integritetskänslig eftersom de boende blir övervakade när de kommer till och lämnar sina bostäder. Det möjliggör en kartläggning av de boendes vanor, besök och umgängeskrets. Det är nu fråga om kamerabevakning dygnet runt av entréer till samtliga trapphus, såväl trapphus A, B och C, och en källarentré till fastigheten vid ett gym. Inom upptagningsområdet av trapphus B finns även en gästlägenhet, vilket innebär att flera olika personer kan träffas av bevakningen, vilket höjer integritetsintresset något. Integritetsintresset försvagas något av den omständigheten att bevakningen delvis syftar till att skydda de personer som blir föremål för bevakningen. Vid en sammantagen bedömning anser IMY att integritetsintresset i entréer och trapphus väger tungt.

text: Avseende bevakningsintresset konstaterar IMY följande. Bolaget har lämnat en redogörelse för brott och incidenter som inträffat under perioden 13 maj 2019 till och med 31 december 2023. Av underlaget framgår att inbrottslarm har utlösts i trapphus B och C på grund av obehörig åtkomst, ett larm om misstänkt obehörig åtkomst i trapphus B, inbrott i trapphus B, larm om obehörig åtkomst i trapphus B, larm vid byggnadsställning vid utsidan av fastigheten, krossad fönsterruta till trapphus samt ett polisingripande i en lägenhet som medfört skador på lägenhet och trapphus. Bolaget har vidare uppgett att obehörig åtkomst till fastigheten sker tre till fyra gånger per år genom nödutgångar som skadats till följd av detta samt att skadegörelse i form av klotter har inträffat i trapphusen. Bolaget har uppgett att det har förkommit problematik i dåvarande ägares fastighetsbestånd i Malmö med att obehöriga berett sig tillträde, i synnerhet narkomaner, vilket medfört otrygghet för hyresgäster. IMY konstaterar att det har skett incidenter och brott i fastigheten, t.ex. problematik med obehörig åtkomst i fastigheten vilket IMY förstår påverkar tryggheten för de boende. IMY anser dock att det rör sig om incidenter som inte är av tillräckligt allvarlig karaktär för att bevakningsintresset i entréer och trapphus ska anses väga tyngre än integritetsintresset på platsen. Vid en sammantagen bedömning anser IMY att bevakningsintresset i entréer och trapphusen väger relativt lätt.

text: Mot bakgrund av de incidenter som inträffat på platserna bedömer IMY att bevakningsintresset på platsen väger relativt lätt. Med beaktande av det tungt vägande integritetsintresset på platserna bedömer IMY att bolagets intresse av att kamerabevaka entréer och trapphus inte väger tyngre än de boendes intresse av att inte bli kamerabevakade där.

text: IMY anser därför att kamerabevakningen av entréer och trapphus inte kan stödjas på en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Det har inte heller framkommit att det skulle vara möjligt att stödja bevakningen på någon annan laglig grund i artikel 6.1 i dataskyddsförordningen. Bolaget har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen.

text: Källare, förråd, drift, tvättstuga, soprum och korridorer till platserna Kamerabevakning av cykelförråd, soprum, förråd och liknande anses inte lika integritetskänslig som kamerabevakning i anslutning till lägenheter, eftersom de boende inte behöver passera dessa utrymmen för att ta sig till och från sina bostäder, och inte heller uppehåller sig där under längre stunder. IMY konstaterar dock att bolaget bedriver omfattande kamerabevakning dygnet runt i fastigheten. De boende kan på grund av detta inte undgå kamerabevakningen, vilket talar för en högre risk för integritetsintrång. Risken för integritetsintrång minskar dock något i fråga om bevakningen av nämnda utrymmen, särskilt under senare kvälls- och nattetid, då boende i mindre utsträckning kan antas vistas på platserna. Integritetsintresset försvagas något av omständigheten att bevakningen delvis syftar till att skydda de personer som blivit föremål för bevakningen. IMY bedömer att integritetsintresset i källare, förråd, drift, tvättstuga, soprum och korridorer till platserna väger relativt tungt.

text: Avseende bevakningsintresset konstaterar IMY följande. Av redogörelsen för brott och incidenter som bolaget har lämnat framgår att det har inträffat larm om misstänkt obehörig åtkomst till elcentral, larm om att dörr till soprum har brutits upp samt larm om skadad dörr till soprum sannolikt på grund av inbrottsförsök. Utöver dessa incidenter har det inträffat skadegörelse i form av klotter på platserna. IMY konstaterar att det krävs att det finns ett faktiskt intresse av att bevaka, dvs. det bör ha inträffat faktiska incidenter på platserna som kamerabevakas. IMY anser att bolaget har visat att det förekommit incidenter på vissa platser som bevakas, men inte på samtliga platser. Det rör sig huvudsakligen inte heller om återkommande incidenter. IMY bedömer sammantaget att även om vissa incidenter har inträffat väger bevakningsintresset på platserna relativt lätt.

text: IMY bedömer sammantaget att bolagets intresse av att kamerabevaka källare, förråd, drift, tvättstuga, soprum och korridorer till platserna inte väger tyngre än de boendes intresse av att inte bli kamerabevakade där.

text: IMY anser därför att kamerabevakningen av källare, förråd, drift, tvättstuga, soprum och korridorer till platserna inte kan stödjas på en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Det har inte heller framkommit att det skulle vara möjligt att stödja bevakningen på någon annan laglig grund i artikel 6.1 i dataskyddsförordningen. Bolaget har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen även i denna del.

text: Garage

text: IMY anser även här att kamerabevakning av garage är mindre känslig, eftersom enskilda inte behöver passera dessa utrymmen för att ta sig till sina bostäder, och inte heller uppehåller sig där under längre stunder. Detta innebär att integritetsintresset väger något lättare på platsen.

text: Avseende bevakningsintresset konstaterar IMY följande. Av utredningen framgår att garageporten blev påkörd vid ett tillfälle år 2023, inbrott skedde i garaget år 2019 och år 2023 då bilar blev bestulna på rattar och strålkastare. IMY konstaterar att det i garaget finns stöldbegärlig egendom, vilket skiljer sig från andra platser i fastigheten,

text: exempelvis källargång och tvättstuga. Det rör sig om en annan sorts plats som bevakas och annan egendom som ska skyddas än i fastigheten i övrigt, vilket påverkar bedömningen av bevakningsintresset som anses väga tyngre i garaget än på övriga platser i fastigheten.

text: IMY bedömer därför att bolagets intresse av att kamerabevaka garaget, även om en incident ligger ett antal år bakåt i tiden, väger något tyngre än de boendes intresse av att inte bli kamerabevakade där. Bolaget har därmed laglig grund enligt artikel 6.1 f i dataskyddsförordningen avseende bevakningen av garaget.

text: IMY:s sammanfattande bedömning

text: Sammanfattningsvis bedömer IMY att bolaget har laglig grund enligt artikel 6.1 f i dataskyddsförordningen för den kamerabevakning som pågår i garaget. Däremot saknar bolaget laglig grund enligt artikel 6 i dataskyddsförordningen för sin bevakning i övrigt.

text: 3.4 Har bolaget uppfyllt kravet på upplysning och sin skyldighet att informera?

text: 3.4.1 Kravet på upplysning enligt

text: kamerabevakningslagen

text: I

text: 15 § kamerabevakningslagen

text: uppställs ett krav på att upplysning om kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Bestämmelsen avser själva användningen av kamerabevakningsutrustning och inte den behandling av personuppgifter som bevakningen innebär. Bestämmelsen innehåller inga krav angående vilken information som ska lämnas och upplysningsplikten får därmed anses vara uppfylld om den som bedriver bevakningen på ett tydligt sätt lämnar upplysning om att kamerabevakning sker på en viss plats.

text: Av utredningen i ärendet framgår att det sitter skyltar på entrédörrar, vid port och dörr samt på fasaden. Bolaget har inkommit med en ritning av källarplan inklusive garage och en ritning av samtliga trapphus (A, B och C). Av ritningarna framgår att skyltar sitter vid samtliga ingångar till fastigheten.

text: IMY bedömer att bolaget har lämnat upplysning om bevakningen genom tydlig skyltning och därigenom uppfyllt upplysningskravet i

text: 15 § kamerabevakningslagen

text: 3.4.2 Informationsskyldigheten i dataskyddsförordningen

text: IMY ska även bedöma om bolaget har levt upp till sina skyldigheter att informera om personuppgiftsbehandlingen enligt artikel 13 i dataskyddsförordningen. Artikel 13 i dataskyddsförordningen reglerar vilken information som ska lämnas när personuppgifterna samlas in från den registrerade. Vid kamerabevakning anses personuppgifter samlas in från den registrerade.13

text: Enligt artikel 13.1 i dataskyddsförordningen ska den personuppgiftsansvarige, när personuppgifterna erhålls, lämna information till den registrerande om bl.a. följande.

text: • Den personuppgiftsansvariges identitet och kontaktuppgifter. • Kontaktuppgifter för ev. dataskyddsombud. • Ändamålen med behandlingen för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. • Om den rättsliga grunden är artikel 6.1 f (intresseavvägning), vilket berättigat intresse behandlingen syftar till att tillvarata. • Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

text: Enligt artikel 13.2 i dataskyddsförordningen ska den personuppgiftsansvarige, vid insamlingen av personuppgifterna, lämna information till den registrerande om bl.a. följande.

text: • Den period under vilken personuppgifterna kommer att lagras eller de kriterier som används för att fastställa denna period. • Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling. • Att den registrerade har rätt att inge klagomål till en tillsynsmyndighet.

text: Av artikel 13.4 framgår att punkterna 1, 2 och 3 i artikel 13 inte ska tillämpas om och i den mån den registrerade redan förfogar över informationen.

text: Utredningen visar att när bolaget tillträdde fastigheten 2022 har det på skyltningen saknats uppgifter om bl.a. syftet med personuppgiftsbehandlingen (kamerabevakningen), den personuppgiftsansvarigas identitet (bolaget), kontaktuppgifter till den personuppgiftsansvarige (bolaget), en upplysning om att de bevakade kan utöva sina rättigheter enligt dataskyddsförordningen, hur länge bildmaterial lagras och hänvisning till var man kan få veta mer om personuppgiftsbehandlingen.

text: Under tillsynens gång har skyltarna uppdaterats, dock utan att bolaget varit involverat. På de nya skyltarna har det saknats uppgifter om den personuppgiftsansvarigas identitet (bolaget) och kontaktuppgifter till den personuppgiftsansvarige (bolaget) på skyltarna. IMY konstaterar att bolaget har uppgett att skyltningen kommer att förtydligas med uppgifter om att bolaget är personuppgiftsansvarig för kamerabevakningen.

text: Bolaget har uppgett att information om behandling av personuppgifter som pågår vid kamerabevakning tillhandahållits de registrerade via bolagets hemsida som uppdaterats den 4 juni 2024 med fullständig information. Den 29 augusti 2024 uppdaterades hemsidan med bl.a. ytterligare information om ändamålet med kamerabevakningen och ett tydliggörande om att bolaget är personuppgiftsansvarig.

text: De registrerade har tidigare hänvisats till bolagets fastighetsförvaltarens hemsida med information om kamerabevakningen. Den informationen har funnits tillgänglig sedan den 1 november 2022. Hemsidan omarbetades och informationen uppdaterades den 27 november 2023. Vid den tidpunkten saknades uppgifter om vem den personuppgiftsansvariga är, kontaktuppgifter till den personuppgiftsansvariga, uppgifter om ändamålet med kamerabevakningen, rättslig grund för bevakningen och

text: hur länge bevakningsmaterialet lagras. Om den rättsliga grunden är artikel 6.1 f i dataskyddsförordningen (intresseavvägning), ska det även anges vilket berättigat intresse behandlingen syftar till att tillvarata. Det ska även framgå uppgifter om mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna i förekommande fall. Det saknades även information om att de registrerade har rätt att av den personuppgiftsansvarige (bolaget) begära radering av personuppgifter eller att invända mot behandling.

text: Fastighetsförvaltaren har i samband med visning av lägenheter informerat muntligen om kamerabevakningen och hänvisat till bolagets hemsida för mer information. Förvaltaren har också informerat samtliga nya hyresgäster om kamerabevakningen och var de kan hitta mer information om det. Information om kamerabevakning har inte skickats ut i fysisk form till de registrerade och inte tillhandahållits de registrerade på annat sätt.

text: IMY bedömer att det har funnits brister i det första och det andra informationslagret, men det råder inte total avsaknad av information om personuppgiftsbehandlingen. IMY konstaterar att även om fastighetsförvaltaren vid visning av lägenheter muntligen har informerat om att kamerabevakning sker och hänvisat till bolagets hemsida för mer information, vistas även andra än de boende i de bevakade utrymmena, såsom gäster till de boende, hantverkare m.fl. Dessa har därmed varit hänvisade till skyltarna om kamerabevakning. Skyltarna om kamerabevakning har uppdaterats under tillsynens gång liksom hemsidan med information om kamerabevakningen. Även om de nya skyltarna och hemsidan innehåller mer information än tidigare finner IMY att det fortsatt finns vissa brister i det första informationslagret. På kamerabevakningsskyltarna saknas uppgifter om den personuppgiftsansvarigas identitet (bolaget) och kontaktuppgifter till bolaget, i form av mailadress eller telefonnummer. Denna information kan enligt IMY med förhållandevis enkla medel läggas till på de befintliga skyltarna. IMY bedömer sammantaget att den information som har lämnats inte uppfyller alla krav enligt artikel 13.1 och 13.2 i dataskyddsförordningen.

text: IMY konstaterar därför att bolaget sedan 1 november 2022 har behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen.

text: 3.5 Val av ingripande

text: IMY har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av artikel 58.2 a–j i dataskyddsförordningen.

text: IMY ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2 i dataskyddsförordningen, beroende på omständigheterna i varje enskilt fall. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska

text: beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid bedömningen av sanktionsavgiftens storlek.

text: Vid bedömningen av storleken på sanktionsavgiften ska bland annat hänsyn tas till artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), c (de åtgärder som den personuppgiftsansvarige har vidtagit) och k (annan försvårande eller förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst).

text: EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

text: Enligt artikel 83.5 i dataskyddsförordningen kan vid överträdelser av artiklarna 6 och 13 i dataskyddsförordningen administrativa sanktionsavgifter påföras på upp till 20 000 000 EUR eller, om det gäller företag, på upp till 4 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna

text: och

text: i EUF-fördraget (se skäl 150 i dataskyddsförordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.

text: Reglerna för koncernansvar i EU:s konkurrenslagstiftning kretsar kring begreppet ekonomisk enhet. Ett moderbolag och ett dotterbolag betraktas som en del av samma ekonomiska enhet när moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av rättspraxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande innebär en presumtion för att kontroll ska anses föreligga. Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden.

text: 3.5.1 Sanktionsavgift ska påföras

text: IMY har funnit att bolaget har överträtt artikel 6.1 i dataskyddsförordningen genom att utan rättslig grund bedriva kamerabevakning i bolagets fastighet på Limhamnsvägen 22a i Malmö under perioden 1 november 2022–11 december 2024. Bolaget har vidare behandlat personuppgifter i strid med artikel 13 i dataskyddsförordningen genom att inte uppfylla kravet på information till de registrerade avseende kamerabevakningen.

text: IMY konstaterar att personuppgiftsbehandlingen genom kamerabevakning av privatpersoner i direkt anslutning till deras hem har skett utan rättslig grund. Mot denna bakgrund bedömer IMY att det inte är fråga om sådana mindre överträdelser som avses i skäl 148 till dataskyddsförordningen. IMY finner därmed att en sanktionsavgift inte kan ersättas med en reprimand.

text: EU-domstolen har klargjort att det krävs att den personuppgiftsansvariga har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter

text: ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

text: IMY konstaterar att bolaget, i egenskap av personuppgiftsansvarig, ansvarar för den personuppgiftsbehandling som sker inom bolaget och för att den sker i enlighet med dataskyddsförordningen genom principen om ansvarsskyldighet i artikel 5.2. IMY har bedömt att bolaget inte har efterlevt dataskyddsförordningen avseende kraven på rättslig grund och den information som ska lämnas till registrerade. Mot bakgrund av EU-domstolens uttalande nämnt ovan och med beaktande av tidigare tillsynsbeslut från IMY och utredningen i ärendet, framgår att bolaget inte kan anses ha varit okunniga om att agerandet kunde utgöra en överträdelse av dataskyddsförordningen. IMY anser mot denna bakgrund att bolaget har varit oaktsam i förhållande till de överträdelser av dataskyddsförordningen som konstaterats. Det finns därmed förutsättningar för att påföra bolaget en administrativ sanktionsavgift.

text: 3.5.2 Sanktionsavgiftens storlek

text: IMY konstaterar att Granit Bostad Beritsholm AB enligt senast tillgängliga koncernstruktur från december 2022 är ett helägt dotterbolag ingående i en koncern med moderbolaget Granit Bostad AB (559300–4913). I koncernen ingår, utöver Granit Bostad Beritsholm AB, följande bolag. Granit Bostad 1 AB (559304-5825), Granit Bostad Bilen AB (556823-6235), Granit Bostad Bredäng AB (556832-5335), Granit Bostad Forskningen AB (556865-7281), Granit Bostad Sorgenfri AB (556883-2819), Granit Bostad 2 AB (556995-9330), Granit Bostad Annedal AB (556833-4741), Granit Bostad Hjorthagskvarteret AB (556832-5285), Granit Bostad Klippern AB (556833- 4782), Granit Bostad Rosendal AB (556917-7164), Granit Bostad 3 AB (556994-5768), Granit Bostad Bryggvägen AB (556833-4733), Granit Bostad Fyrislundsgatan AB (556879-2716), Granit Bostad Kommendörkaptenen AB (556823-6367), Granit Bostad 4 AB (559318-0846), Granit Bostad Duvan 4 AB (559317-1282), Granit Bostad Duvan AB (556807-4214), Granit Bostad Korpen 4 AB (559317-1274), Granit Bostad Korpen AB (556886-3400), Granit Bostad Lissabon AB (559340-8429), Granit Bostad 5 AB (559381-9708) och Granit Bostad Malmö 5 AB (559395-2350). Moderbolagets ägande är hundraprocentigt i dotterbolagen som i sin tur innehar ett hundraprocentigt ägande i sina dotterbolag.

text: Mot bakgrund av vad som redovisats ovan innebär ett hundraprocentigt eller nästan hundraprocentigt ägande en presumtion för att kontroll ska anses föreligga och att moderbolaget och dotterbolagen ska beaktas vid beräkningen.

text: Bolaget har anfört att uppgifter om koncernstruktur som bolaget ingår i avviker på följande sätt. Granit Bostad 4 Duvan AB har fusionerats ner i Granit Bostad Duvan AB, Granit Bostad 4 Korpen AB har fusionerats ner i Granit Bostad Korpen AB och Granit Bostad Malmö 5 AB har fusionerats ner i Granit Bostad Beritsholm AB. Två bolag har förvärvats; Granit Bostad Slottstaden AB och Granit Bostad Villandia AB. Bolaget har vidare anfört att bolaget förvärvade fler fastigheter år 2023 vilket innebar att nettoomsättningen för 2023 ökade till 274 053 000 kr. Bolagets resultat hade samtidigt

text: en kraftig negativ utveckling under året till följd av stigande räntekostnader samt en värdeminskning på fastighetsbeståndet. Fastighetsvärdet minskade med 360 251 000 kr år 2023 vilket resulterade i ett negativt nettoresultat på minus 318 734 000 kr.

text: Avseende de ekonomiska förändringarna som skett under året gör IMY följande bedömning. Enligt dataskyddsförordningens bestämmelse om uträkning av administrativ sanktionsavgift ska beräkningen göras utifrån den totala globala årsomsättningen under föregående budgetår. Det negativa nettoresultatet år 2023 ska därför inte påverka beräkningen av sanktionsavgiften. IMY finner därmed inte anledning att bortse från bestämmelsen och sanktionsavgiften ska beräknas utifrån den totala årsomsättningen.

text: IMY bedömer att den årsomsättning som ska läggas till grund för beräkning av den administrativa sanktionsavgiften som Granit Bostad Beritsholm AB kan åläggas är samtliga ovan redovisade bolag som ingår i koncernen med Granit Bostad AB som moderbolag. Av årsredovisningar för räkenskapsåret 2023 för bolaget framgår att omsättningen sammantaget uppgår till 274 053 000 kr. 4 % av det beloppet är 10 962 120 kr. Eftersom detta belopp är lägre än 20 000 000 EUR ska sanktionsavgiften bestämmas till ett belopp mellan 0 och 20 000 000 EUR.

text: När det gäller bedömningen av överträdelsernas allvarlighetsgrad finns det till en början faktorer som medför att det finns skäl att se allvarligare på överträdelserna. Personuppgiftsbehandlingen har avsett kamerabevakning av boende i direkt anslutning till deras hem och besökare till boende. Kamerabevakningen har bedrivits dygnet runt med ett stort antal kameror av stora delar av fastigheten under en längre tid. Bolaget har bevakat entréer och trapphus i fastigheten vilket har inneburit att de boende har blivit bevakade varje gång de har rört sig till och från sina hem och det har inte varit möjligt att undvika att bli kamerabevakad. Att de personer som träffas av bevakningen inte har fått all den information som bolaget har varit skyldig att tillhandahålla har vidare inneburit en risk för att registrerade inte fått kännedom om sina rättigheter eller att de har utövat sina rättigheter i mindre utsträckning än vad de har rätt till enligt dataskyddsförordningen.

text: IMY konstaterar samtidigt att bolaget har visat att det förekommit viss problematik med inbrott i garaget och har haft ett berättigat intresse samt vidtagit andra åtgärder för att komma tillrätta med detta, vilket innebär att det inte har varit fråga om uppsåtliga överträdelser. IMY konstaterar även att bevakningen varit begränsad till de boende och besökare. Bolaget har under tillsynens gång uppdaterat skyltar om kamerabevakning och deras hemsida med information om kamerabevakning med mer information än tidigare och har på så sätt försökt vidta rättelse för att uppfylla informationsplikten.

text: IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av sanktionsavgiften bör därför sättas lågt i förhållande till det aktuella maxbeloppet.

text: Utöver bedömningen av överträdelsernas allvar ska IMY bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek. IMY bedömer att det saknas ytterligare försvårande eller

text: förmildrande omständigheter, utöver de som har beaktats vid bedömningen av allvarlighetsgraden ovan, som påverkar sanktionsavgiftens storlek.

text: Mot bakgrund av överträdelsernas karaktär och allvar bestämmer IMY att den administrativa sanktionsavgiften för Granit Bostad Beritsholm AB kan stanna vid 200 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande i det nu aktuella fallet.

text: 3.5.3 Föreläggande

text: Enligt artikel 58.2 d har tillsynsmyndigheten befogenhet att förelägga en personuppgiftsansvarig att se till att behandlingen sker i enlighet med bestämmelserna i dataskyddsförordningen och om så krävs på ett specifikt sätt och inom en specifik period.

text: Eftersom bevakningen, såvitt framgår av utredningen, fortfarande är pågående är det angeläget att bolaget upphör med den bevakning som inte är tillåten. Det finns därför skäl att med stöd av artikel 58.2 d i dataskyddsförordningen förelägga bolaget att upphöra med kamerabevakning av samtliga platser i fastigheten, undantaget garaget. Det är enligt IMY också angeläget att bolaget vidtar åtgärder för att säkerställa att de registrerade får korrekt och fullständig information avseende den personuppgiftsbehandling genom kamerabevakning som sker. IMY beslutar med stöd av artikel 58.2 d i dataskyddsförordningen att bolaget ska föreläggas att, senast fyra veckor efter att detta beslut fått laga kraft, vidta åtgärder för att säkerställa att

text: 1. bolaget upphör med kamerabevakningen av samtliga platser i fastigheten undantaget garaget,

text: 2. det på kamerabevakningsskyltarna finns uppgifter om bolagets identitet och kontaktuppgifter till bolaget, i form av mailadress eller telefonnummer.

text: Att åtgärd ska ha vidtagits senast fyra veckor efter att detta beslut fått laga kraft innebär att om beslutet inte överklagas ska åtgärd ha vidtagits senast fyra veckor efter att överklagandetiden har gått ut.

text: Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristen Khadija Faras.

text: Jenny Bård Bilagor

text: 1. Klagandens personuppgifter 2. Information om betalning av sanktionsavgift 3. Information om kamerabevakning i flerbostadshus

text: 4. Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Se bilaga

text: Warner Music Sweden Aktiebolag

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Skäl 39. 3 EDPB:s

text: riktlinjer 05/2020

text: om samtycke enligt förordning

text: (EU) 2016/679

text: , version 1.1, antagna den 4 maj 2020, punkterna 113-114. Svensk version. 4 A.a. punkterna 62-64 och 116. 5 A.a. punkt 67.

text: Rapport om det arbete som utförts av arbetsgruppen ”Cookie Banner Taskforce”, antagen den 17 januari 2023, punkt. 35 och yttrande 08/2024 om giltiga samtycken gällande “Consent or Pay Models” implementerade av stora onlineplattformar, antaget den 17 April 2024, punkt 169 (IMY:s översättning).

titel: Läs beslutet

slug: warner-music-sweden-ab

title: Warner Music Sweden AB

sammanfattning: IMY har inlett tillsyn mot Warner Music i syfte att utreda ett klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak designen av kakbanners, placering av kakor och efterföljande behandling av personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller enhet. IMY konstaterar att Warner Music Sweden AB (Warner Music) (556055-2605) har behandlat klagandens personuppgifter i strid med artikel 6 och 7.3 i dataskyddsförordningen då bolaget inte lämnat tillräcklig information om rätten att återkalla samtycke. IMY ger Warner Music en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen.

text: IMY-2023-16448 Beslut efter tillsyn – Warner Music

text: Sweden AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Warner Music Sweden AB (Warner Music) (556055-2605) har behandlat klagandens personuppgifter i strid med artikel 6 och 7.3 i dataskyddsförordningen då bolaget inte lämnat tillräcklig information om rätten att återkalla samtycke.

text: Redogörelse för tillsynsärendet

text: IMY har inlett tillsyn mot Warner Music i syfte att utreda ett klagomål. Klagomålet är ett av flera klagomål som lämnats in till de europeiska dataskyddsmyndigheterna gällande kakor och kakbanners. Klagomålen rör i huvudsak designen av kakbanners, placering av kakor och efterföljande behandling av personuppgifter efter att kakorna blivit placerade på den klagandes webbläsare eller enhet. För att underlätta samarbetet kring dessa klagomål skapades en arbetsgrupp (Cookie Banner Taskforce) inom den europeiska dataskyddstyrelsen.

text: Mot bakgrund av att det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda tillsynsmyndigheter har varit dataskyddsmyndigheterna i Österrike och Italien.

text: Klaganden har uppgett i huvudsak följande. Warner Music har den 21 maj 2021 behandlat klagandens personuppgifter i strid med dataskyddsförordningen eftersom det inte funnits ett giltigt samtycke. Warner Music har inte haft ett framträdande alternativ att återkalla sitt samtycke, på samma sätt som det finns för att samtycka. Att inte ha ett alternativ att återkalla som är lika enkelt att hitta som kakbannern gör att det

text: inte är lika enkelt att återkalla samtycke som att lämna det. Warner Music:s information om att kakor används på webbplatsen (i en så kallad kakbanner) har bifogats klagomålet.

text: Warner Music har uppgett i huvudsak följande. Den lagliga grunden för den efterföljande behandlingen av personuppgifter som samlats in genom sättande av kakor är samtycke. Bolaget uppfyller villkoren på samtycke i artikel 7 i dataskyddsförordningen bland annat genom den information som lämnas i bolagets kakbanner på webbplatsen. Kakbannern innehåller information om användning av kakor och information om den behandling av personuppgifter som samlas in genom sättandet av kakor. Besökarna av hemsidan kan genom kakbannern göra tydliga val för att möjliggöra ett informerat och frivilligt val gällande behandlingen av personuppgifter. Besökare informeras även genom kakbannern om att de har valet att återkalla sitt samtycke när som helst. På kakbannern framgår att besökaren kan administrera sina valmöjligheter för kakor på bolagets hemsida genom att klicka på ”cookie inställningar”. Denna länk visas på samtliga sidor på webbplatsen.

text: Warner Music har vidare föreslagit ändringar i sin kakbanner, för att inkludera ordalydelsen ”du kan när som helst återkalla ditt samtycke”. Uppdateringarna skulle innebära att ordalydelsen förs in i både det första och andra lagret av bannern.

text: Ärendets avgränsning

text: Post- och telestyrelsen är ensam behörig tillsynsmyndighet över lagen (

text: ) om elektronisk kommunikation (LEK) som ställer upp särskilda krav för lagring av kakor i terminalutrustning eller insamlingen av uppgifter från sådan utrustning. Den personuppgiftsbehandling som sker efter insamling, till exempel analys eller profilering, träffas däremot av dataskyddsförordningens regler där IMY är behörig tillsynsmyndighet. IMY:s granskning har mot den bakgrunden avgränsats till den behandling av personuppgifter som skett efter att uppgifterna samlats in och de brister som görs gällande i klagomålet angående denna efterföljande behandling.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Behandling av personuppgifter är endast laglig om något av de villkor som anges i artikel 6 i dataskyddsförordningen är uppfyllt. Den lagliga grunden som är aktuell i ärendet är samtycke enligt artikel 6.1 a.

text: Samtycke definieras i artikel 4.11 dataskyddsförordningen som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. För att ett samtycke ska vara giltigt krävs det att alla dessa krav är uppfyllda.

text: Att personuppgifter ska behandlas på ett öppet sätt i förhållande till den registrerade följer av öppenhetsprincipen i artikel 5.1 i förordningen. Det är i ljuset av denna princip som kravet på att ett samtycke ska vara informerat ska läsas.

text: Artikel 7.3 i dataskyddsförordningen föreskriver att det krävs att den registrerade ska ha rätt att när som helst återkalla sitt samtycke för att ett samtycke ska vara giltigt. Innan samtycke lämnas ska den registrerade informeras om detta. Det ska vara lika lätt att återkalla som att ge sitt samtycke.

text: Av skälen till dataskyddsförordningen framgår att fysiska personer bör göras medvetna om bland annat sina rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen.

text: I den europeiska dataskyddsstyrelsens (EDPB:s) riktlinjer om samtycke anges att samtycke inte måste lämnas och återkallas genom en och samma handling, däremot ska det vara lika enkelt. När samtycke lämnas elektroniskt genom ett enda musklick, en svajp eller ett tangenttryck måste de registrerade i praktiken kunna återkalla samtycket lika lätt. Om samtycke erhålls genom ett tjänstespecifikt användargränssnitt (t.ex. via en webbplats eller en app), måste den registrerade utan tvivel kunna återkalla samtycket via samma elektroniska gränssnitt, eftersom det skulle kräva en omotiverad ansträngning att byta till ett annat gränssnitt enbart för att återkalla samtycket. Dessutom bör den registrerade kunna återkalla samtycket utan problem. Detta innebär bland annat att en personuppgiftsansvarig måste se till att det inte kostar något att återkalla samtycket och att det hela inte innebär att tjänsten försämras.

text: EDPB anser vidare att information om rätten att återkalla sitt samtycke är ett minimikrav för att samtycket ska anses vara informerat, och därmed vara ett giltigt samtycke. Denna information måste ges innan användaren lämnar sitt samtycke. Att lämna information om möjligheten att återkalla är nödvändigt för att användaren ska kunna utöva sin rätt att återkalla sitt samtycke. Om den personuppgiftsansvarige inte ger lättillgänglig information blir användarens samtycke en ogiltig grund för behandling. När personuppgiftsansvariga begär samtycke bör de se till att alltid använda ett klart och tydligt språk. Till exempel måste förklaringen om samtycke kallas så. Fraser som ”jag förstår att..” uppfyller inte kraven på ett tydligt språk.

text: Frågan i ärendet är om det funnits ett giltigt samtycke för att behandla klagandens personuppgifter via kakor.

text: Bedömning

text: Warner Music lämnar information om att kakor används på webbplatsen i en så kallad kakbanner som bland annat visas när användaren för första gången går in på webbplatsen. I det första lagret av kakbannern, som den såg ut vid tidpunkten för klagomålet, finns tre lika framstående val: ”Cookie inställningar”, ”Avvisa alla” och ”Acceptera alla cookies”. Nedanstående bedömning utgår från denna kakbanner och bolagets webbplats.

text: Klar och tydlig information om rätten att återkalla samtycke

text: IMY anser att den personuppgiftsansvarige måste lämna information om möjligheten att återkalla sitt samtycke för att uppfylla kravet på informerat samtycke. Att återkalla ett samtycke är en rättighet som varje registrerad har när samtycke använts som laglig grund. Det är därför nödvändigt att en användare får denna information innan samtycke lämnas. I EDPB:s riktlinjer anges att en personuppgiftsansvarig alltid bör använda ett klart och tydligt språk vid begäran om samtycke. IMY anser att kravet på klart och tydligt språk även bör gälla information om återkallande av samtycke. Detta innebär att det klart och tydligt ska framgå för den klagande att denne har rätt att återkalla sitt samtycke.

text: Varken i informationstexten på kakbannern eller på hemsidan i övrigt står det något om en användares rätt att när som helst återkalla sitt samtycke. Istället anges i informationstexten i kakbannern att ”Du kan administrera dina valmöjligheter för cookies på vår sajt nu eller senare genom att klicka på ”Cookie inställningar”. I ”Cookie inställningar” anges ”Uppdatera dina cookieinställningar närsomhelst genom att klicka på ”Cookie inställningar” på alla sidor, som då kommer att ta dig tillbaka till detta inställningscenter”.

text: Att endast ge information om möjligheten att administrera sina valmöjligheter för kakor eller att uppdatera inställningar är inte tillräckligt för att det ska anses stå klart för en användare att det finns en rätt att återkalla sitt samtycke.

text: IMY anser mot bakgrund av artikel 7.3 i dataskyddsförordningen, skäl 39 och EDPB:s riktlinjer om samtycke att Warner Music inte har informerat om den klagandens rätt att återkalla sitt samtycke på ett tillräckligt tydligt sätt för att denne ska kunna tillvara sina rättigheter. Den klagande kan därför inte anses ha lämnat ett informerat samtycke. Eftersom det inte funnits information om rätten att återkalla har det inte varit lika enkelt att lämna som att återkalla samtycke.

text: Jämförelse av förfarandena för att lämna respektive återkalla samtycke

text: Klaganden lyfter fram alternativet att ha en permanent hovrande ikon som är synlig på alla sidor på webbplatsen för att återkalla samtycke. IMY anser att en permanent hovrande ikon är ett alternativ som kan uppfylla villkoret på att det ska vara lika enkelt att återkalla som att lämna samtycke. Däremot anser inte IMY att dataskyddsförordningen innefattar ett krav på en viss specifik teknisk lösning som alla personuppgiftsansvariga måste använda för att uppfylla kravet i artikel 7.3. Bedömningen av om det är lika enkelt att återkalla som att lämna samtycke behöver göras i det enskilda fallet utifrån det aktuella förfarandet som används för att lämna ett samtycke. Denna bedömning är i linje med ”Cookie Banner taskforce report” och EDPB:s yttrande om giltigt samtycke.

text: Vid den aktuella perioden när en användare för första gången besökte Warner Music:s webbplats dykte kakbannern omedelbart upp. Där kunde användaren med endast ett knapptryck samtycka till användningen av samtliga (icke-nödvändiga) kakor. När en användare hade lämnat sitt samtycke i kakbannern försvann kakbannern. För att återkalla samtycket behövde den registrerade klicka på länken ”cookie inställningar” som låg längst ned i sidfoten. Vid klick på länken hamnade man i ett inställningscenter, i det andra lagret av vyn. I inställningscentret behövde den registrerade klicka ur de kategorier av kakor som denne tidigare samtyckt till och sedan bekräfta sina val. Vid en jämförelse med hur samtycken inhämtades på webbplatsen behövdes det alltså färre knapptryck för att lämna samtycke än att återkalla samtycke.

text: Sedan den aktuella perioden har Warner Music ändrat sitt inställningscenter som den registrerade kommer till efter att ha klickat på ”cookie inställningar”. Den registrerade behöver inte längre klicka ur de kategorier av kakor som denne samtyckt till utan kan direkt välja ”avvisa alla”. IMY anser att denna åtgärd underlättat för den registrerade att återkalla sitt samtycke. Till följd av denna förbättring anser IMY att bristen som fanns vid tidpunkten för klagomålet, i detta avseende, inte längre kvarstår. Länken ”cookie inställningar” är permanent tillgänglig på samtliga sidor på webbplatsen och

text: den registrerade kan återkalla sitt samtycke genom ett knapptryck efter att ha tryckt på länken. IMY:s bedömning är därför att denna brist har åtgärdats.

text: Sammanfattning

text: Warner Music har inte lämnat tillräckligt tydlig information om möjligheten att återkalla samtycke och den registrerade har därmed inte kunnat lämna ett informerat samtycke. Eftersom det inte funnits information om rätten att återkalla har det inte varit lika enkelt att återkalla som att samtycka på bolagets webbplats warnermusic.se. Det har därmed inte funnits ett giltigt samtycke och därför inte någon laglig grund att behandla klagandens personuppgifter. Warner Music har således behandlat klagandens personuppgifter i strid med artikel 6 och 7.3 i dataskyddsförordningen.

text: Val av ingripande

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY konstaterar följande relevanta omständigheter. IMY har bedömt att bolaget inte har haft laglig grund att behandla klagandes personuppgifter. Trots att Warner Music inte bedöms ha gjort återkallandet lika enkelt som lämnandet av samtycke så har det funnits en möjlighet att återkalla sitt samtycke via en permanent tillgänglig länk på hemsidan. Warner Music har lämnat viss information om att den registrerade kan ändra sina val, även om denna bedömts vara otillräcklig. Warner Music har därtill gjort vissa förbättringar efter klagomålet för att underlätta för registrerade att återkalla samtycke. Bolaget har inte tidigare konstaterats överträtt dataskyddsförordningen.

text: Eftersom Warner Music även har uppgett att de avser att lägga till klar och tydlig information om rätten att återkalla samtycket i sin kakbanner finner IMY inte anledning att förelägga bolaget att göra detta.

text: Vid en sammanvägd bedömning anser IMY att det är fråga om sådana mindre överträdelser i den mening som avses i skäl 148 dataskyddsförordningen som medför att Warner Music ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

text: Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen Michaela Prieto Ceric.

text: Albin Brunskog

text: Bilaga

text: Klagandens personuppgifter

text: Kopia till

text: privacypolicy@wmg.com

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

type: avgorande