text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning. 2 Lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning.

text: Diskrimineringslagen (2008:567)

text: har till ändamål att motverka diskriminering och på andra sätt främja lika rättigheter och möjligheter oavsett kön, könsöverskridande identitet eller uttryck, etnisk tillhörighet, religion eller annan trosuppfattning, funktionsnedsättning, sexuell läggning eller ålder. 4 Skäl 38 till dataskyddsförordningen.

text: EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR. 6 EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 10.

text: EU-domstolens dom i

text: mål C-683/21

text: Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos mot Valstybinė duomenų apsaugos inspekcija av den 5 december 2023, punkt 81 och dom i mål C- 807/21 Deutsche Wohnen av den 5 december 2023, punkt 76. 8 Se för bedömningen av oaktsamhet även Kammarrätten i Stockholms dom den 11 mars 2024 i mål 2829-23 s.12. 9 EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 60.

sprak: sv

titel: Läs beslutet

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Myndighet

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 100 000 kronor

slug: diskrimineringsombudsmannen-do

title: Diskrimineringsombudsmannen (DO)

org: imy

sammanfattning: IMY har granskat en personuppgiftsincident hos Diskrimineringsombudsmannen (DO). IMY bedömer att DO inte vidtagit tillräckligt effektiva säkerhetsåtgärder och utfärdar en sanktionsavgift på 100 000 kronor.

text: Integritetsskyddsmyndighetens beslut

type: rubrik

text: Integritetsskyddsmyndigheten konstaterar att Diskrimineringsombudsmannen har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter vid användning av webbformuläret för tips och klagomål om diskriminering under perioden den 1 september 2020 till den 17 september 2021.

type: stycke

text: Integritetsskyddsmyndigheten beslutar med stöd av

text: 6 kap. 2 § dataskyddslagen

text: och artiklarna 58.2 och 83 i dataskyddsförordningen att Diskrimineringsombudsmannen ska betala en administrativ sanktionsavgift på 100 000 (etthundratusen) kronor för överträdelse av artikel 32.1 i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) beslutade den 6 oktober 2021 att inleda tillsyn mot Diskrimineringsombudsmannen (DO) med anledning av DO:s anmälan den 20 september 2021 av en personuppgiftsincident (IMY:s ärende PUI-2021-4142). Syftet med tillsynen är att granska DO:s behandling av personuppgifter i samband med myndighetens insamling och lagring av personuppgifter när enskilda använder DO:s webbformulär för tips eller klagomål om diskriminering. Tillsynen har bedrivits som en inspektion hos DO den 20 oktober 2021 och efterföljande skriftlig handläggning.

text: IMY:s prövning i ärendet har avgränsats till att bedöma om DO har efterlevt skyldigheten att vidta lämpliga säkerhetsåtgärder enligt artikel 32.1 i dataskyddsförordningen för personuppgifter som inhämtats via webbformuläret för tips och klagomål om diskriminering under tiden från den 1 september 2020 till den 17 september 2021.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Med personuppgiftsansvarig avses enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Behandling av personuppgifter ska följa de grundläggande principerna i artikel 5 i dataskyddsförordningen. Av artikel 5.2 framgår ansvarsskyldigheten, det vill säga att den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna efterlevs.

text: Särskilda kategorier av personuppgifter räknas upp i artikel 9.1 i dataskyddsförordningen, så kallade känsliga personuppgifter. Dessa utgörs av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning.

text: Enligt artikel 32.1 i dataskyddsförordningen ska både den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Vid bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den personuppgiftsansvarige och personuppgiftsbiträdet beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter.

text: Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder, när det är lämpligt,

text: a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: I skäl 75 till dataskyddsförordningen anges att vid bedömningen av risken för fysiska personers rättigheter och friheter ska olika faktorer beaktas. Bland annat nämns personuppgifter som omfattas av tystnadsplikt, uppgifter om hälsa eller sexualliv, om det sker behandling av personuppgifter rörande sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade. I skäl 76 anges att hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är, bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs om behandlingen inbegriper en risk eller en hög risk.

text: Personuppgiftsansvar

text: DO har uppgett att myndigheten är personuppgiftsansvarig för de personuppgifter som samlats in via webbformuläret i enlighet med vad DO angett i anmälan av personuppgiftsincident.

text: Enligt IMY ger utredningen i ärendet stöd för att DO bestämmer ändamål och medel med den aktuella personuppgiftsbehandlingen. IMY delar därför DO:s bedömning att DO är personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen för

text: behandling av personuppgifter som har samlats in via DO:s webbformulär för tips eller klagomål om diskriminering.

text: Att DO är personuppgiftsansvarig innebär att myndigheten har ett ansvar för att säkerställa och kunna visa att personuppgifterna behandlas i enlighet med gällande dataskyddsbestämmelser, se artiklarna 5.1 och 5.2 i dataskyddsförordningen, den så kallade ansvarsskyldigheten.

text: Säkerheten vid behandling av personuppgifter som inhämtats via DO:s webbformulär

text: DO:s uppgifter i incidentanmälan

text: I DO:s anmälan av personuppgiftincident den 20 september 2021 beskriver myndigheten incidenten som ett obehörigt röjande av personuppgifter om personer som lämnat in tips eller klagomål via ett webbformulär. Det anges att en utomstående eller registrerad informerade DO om incidenten. Antalet registrerade som påverkats av incidenten uppskattar DO till mellan 101 och 1 000.

text: DO:s uppgifter i tillsynsärendet m.m.

text: DO:s uppdrag regleras i lagen (

text: ) om Diskrimineringsombudsmannen,

text: diskrimineringslagen (2008:567)

text: föräldraledighetslagen (1995:584)

text: och förordningen (

text: ) med instruktion för Diskrimineringsombudsmannen. Det finns verksamhetsspecifik tystnadsplikt för DO:s verksamhet i

text: 33 kap. 1 § offentlighets- och sekretesslagen (2009:400)

text: , OSL.

text: DO har den 22 september 2021 publicerat nyheten ”DO stänger ner webbformuläret för tips och klagomål” där det framgår att DO fått kännedom om ett säkerhetsproblem i sin webbmiljö.

text: På DO:s webbplats fanns ett webbformulär där enskilda har kunnat lämna tips eller klagomål om diskriminering. Formuläret fanns tillgängligt från den 1 september 2020 fram till att DO fick kännedom om att det kunde finnas ett säkerhetsproblem med koppling till formuläret. Formuläret stängdes den 17 september 2021.

text: När anmälaren hade fyllt i alla uppgifter kunde den se sina svar på en sammanfattningssida och sedan trycka på skicka. Uppgifterna i det ifyllda webbformuläret har, efter att den enskilde valt att skicka in uppgifterna, förts över krypterat till DO:s diarieföringssystem.

text: I september 2021 fick DO frågor från en person som hade använt webbformuläret. Frågorna indikerade att det kunde finnas ett säkerhetsproblem med formuläret. DO inledde därför direkt en undersökning för att komma fram till orsaken till det eventuella problemet. Undersökningen visade att det inte var något säkerhetsproblem med själva webbformuläret. Problemet orsakades av att en säkerhetsinställning – som maskerar uppgifter i fritextfält – i analysverktyget (se nedan) inte fungerade som DO utgick från i förhållande till sammanfattningssidan för webbformuläret.

text: Av nämnda formulär för tips eller klagomål om diskriminering framgick följande.

text: ”Ditt tips eller klagomål är viktigt för vårt arbete mot diskriminering. Med hjälp av dina lämnade uppgifter kan vi identifiera problem inom olika samhällsområden där vi behöver agera för att driva på utvecklingen, ge vägledning och öka kunskapen om risker för diskriminering eller där vi behöver agera för att ändra

text: lagstiftningen. Vi använder alltså informationen för att få fler att följa lagen och inte primärt för att lösa situationer för enskilda personer.

text: Allt du rapporterar in här kommer att bli allmän handling som kan begäras ut av allmänheten och lämnas ut efter en sekretessprövning. Vi rekommenderar därför att du inte lämnar fler personuppgifter än vad som är nödvändigt i fritextfälten.”

text: Formuläret innehöll bland annat ett fritextfält där uppgiftslämnaren kan beskriva vad som hänt. Följande text fanns i anslutning till det fritextfältet.

text: ”Beskriv den eller de händelser som gör att du lämnar ett tips eller klagomål till DO. Tala gärna om vilken roll den person som utsatt någon för diskriminering har (till exempel chef, lärare, sjuksköterska eller handläggare) samt om diskrimineringen har skett vid flera tillfällen. Ange inte personer vid namn.”

text: En obligatorisk uppgift i webbformuläret var att uppgiftslämnaren utifrån förvalda alternativ som rör diskriminering, skulle markera vilket eller vilka alternativ som stämmer överens med de händelser som uppgiftslämnaren beskrivit. Här fanns bland annat alternativen diskriminering som har samband med etnisk tillhörighet, funktionsnedsättning, könsöverskridande identitet och uttryck, religion eller annan trosuppfattning och sexuell läggning. En annan obligatorisk uppgift var att bland förvalda alternativ markera om tipset eller klagomålet handlar om trakasserier, sexuella trakasserier eller repressalier.

text: I formuläret fanns också ett fritextfält för övrig information eller kommentarer med anvisningen att här kan anges annan relevant information som inte lämnats tidigare i formuläret. Under ”Dina kontaktuppgifter” i formuläret framgick att det är frivilligt att fylla i personuppgifter i formuläret, att uppgiftslämnaren inte behöver lämna sina kontaktuppgifter eller andra personuppgifter för att DO ska kunna ta emot och ha användning av tipset eller klagomålet. Uppgiftslämnaren kunde ange e-post eller telefonnummer eller vara anonym. Det var obligatoriskt att ange om tipset eller klagomålet handlar om händelser som uppgiftslämnaren personligen har blivit utsatt för eller om tipset eller klagomålet handlar om händelser som andra utsatts för.

text: Vidare fanns en anvisning för ifyllande av webbformuläret där ingivaren rekommenderades att inte lämna fler personuppgifter än vad som är nödvändigt i fritextfälten.

text: Ändamålet med insamlingen av personuppgifter i webbformuläret var att DO skulle få in underlag för att bedriva tillsyn i enlighet med DO:s uppdrag och att bedriva kunskapsinhämtning som en del av uppdraget.

text: Anmälningarna kunde innehålla känsliga personuppgifter, men DO hade inför lanseringen av webbformuläret arbetat i ett utvecklingsuppdrag med att minska antalet personuppgifter, vilket framgår i DO:s Uppdragsdirektiv för översyn av användandet av begreppet anmälningar i DO:s verksamhet, daterat den 20 januari 2020. DO arbetade med att utforma frågorna i webbformuläret på ett sätt som gör att myndigheten efterfrågar så få personuppgifter, och framför allt känsliga personuppgifter, som möjligt utifrån principen om uppgiftsminimering.

text: På DO:s webbplats har ett analysverktyg från ett företag, ett personuppgiftsbiträde, varit installerat. Det fanns ett personuppgiftsbiträdesavtal. När webbformuläret infördes

text: fanns redan analysverktyget. Verktyget spelade in och sparade olika mätpunkter om användarens session vid besöket på webbplatsen (så kallade ”inspelningar”), till exempel hur en användare navigerar på webbplatsen. På det sättet kunde DO analysera hur webbplatsen användes. Syftet med analysen har varit att optimera och förbättra funktionaliteten på webbplatsen. Verktyget har funnits på hela DO:s webbplats, inklusive på sidan med webbformuläret. Analysverktyget fungerade så att ett slumpmässigt urval besök eller sessioner spridda över dagen spelades in (25 procent av trafiken på webbplatsen).

text: DO har använt en säkerhetsinställning i analysverktyget som gjorde att information som skrivits i fritextfälten bytts mot asterisker, dvs. stjärntecken. Avsikten med inställningen var att de uppgifter som skrevs in i webbformuläret inte skulle ses i klartext i analysverktyget. Säkerhetsinställningen har fungerat korrekt i webbformulärets alla fritextfält. Däremot har den inte fungerat på formulärets sammanfattningssida, med undantag för rutan för telefonnummer eller mejladress. DO:s undersökning visade att detta berodde på att analysverktyget uppfattade sammanfattningssidan som vilken webbsida som helst. Det kan inte uteslutas att den som lämnat uppgifterna har skrivit uppgifter om mejladress och/eller telefonnummer i något annat fritextfält.

text: Med anledning av att den funktion som DO använt sig av inte har fungerat för sammanfattningssidan har personuppgifter från det aktuella formuläret förts över och lagrats hos personuppgiftsbiträdet, vilket inte var avsikten.

text: Personuppgiftsbiträdet har uppgett för DO att all kommunikation mellan analysverktyget och lagringsytan var krypterad med TLS 1.2. Lagringen var krypterad med AES-256.

text: Internt på DO har det enbart varit en behörig person som hade inloggningsuppgifter till analysverktyget. Exempel på andra åtgärder hos DO var att kryptering har använts både för formuläret och för överföring till DO:s registratorsfunktion. Formuläret var placerat på DO:s egna servar och bakom brandvägg.

text: Under den aktuella 12-månadersperioden inkom cirka 5 400 tips och klagomål till DO, av vilka merparten inkom via webbformuläret. DO:s bedömning är att analysverktyget förde över cirka 500 tips och klagomål som kunnat innehålla personuppgifter. En person kunde skriva allt ifrån en sida fritext till 40 sidor fritext. Personuppgifter om barn under 18 år kunde förekomma, exempelvis namn på elever. Andra exempel var namn på anställda på viss arbetsplats.

text: Personuppgiftsbiträdet har till DO skriftligen bekräftat att de inte har tagit del av personuppgifter eller annan information på sammanfattningssidan. De har även informerat om att det enligt deras policy för dataklassificering endast är personal hos dem som har ett reellt och faktiskt verksamhetsbehov som kan komma åt sådan information som genereras av verktyget och endast för support och underhåll. Åtkomst ges baserat på en så kallad "Change Request" och granskas och godkänns beroende på roll.

text: Vid tidpunkten för incidenten hade DO styrdokumenten Informationssäkerhetspolicy och Rutin för registrering av system som innehåller personuppgifter. Sist nämnda dokument har 2023 ersatts av Rutin för hantering av personuppgifter vid inköp. Numera finns också Riktlinjer för dataskydd, som kodifierat och tydliggjort hur DO ska arbeta med dataskydd. Innan lanseringen av webbformuläret gjorde DO en riskanalys i

text: enlighet med gällande rutin och det konstaterades innan lanseringen bland annat att säkerhetsinställningen i analysverktyget behövde vara aktiverad.

text: För att säkerställa att de tekniska och organisatoriska säkerhetsåtgärder som beslutas också genomförs, har DO ett antal rutiner som bidrar till uppföljning. Avtalsansvariga följer löpande upp sina avtal och för en dialog med leverantören om det uppkommer frågor som behöver lösas, t.ex. avseende personuppgiftsbehandling. Dataskyddsombudet gör årligen en uppföljning av myndighetens dataskyddsarbete där det uppmärksammas om det finns något område eller någon fråga som DO måste arbeta med för att ytterligare förbättra sitt arbete med dataskydd. DO:s medarbetare känner till de rutiner som finns på myndigheten och flaggar upp om något sker som inte är i enlighet med dessa rutiner. Till exempel agerade DO direkt när en medarbetare fick frågor som indikerade att det kunde finnas ett problem med webbformuläret. Detta visar att rutinerna för uppföljning har fungerat även vad gäller webbformuläret.

text: Efter att filerna hade exporterats krypterat från personuppgiftsbiträdet till DO gav DO ytterligare instruktion till biträdet att filerna skulle raderas hos biträdet. Den 15 december 2021 har biträdet bekräftat att de har raderat filerna i enlighet med DO:s instruktion. Filerna som har funnits hos personuppgiftsbiträdet får enligt DO därmed anses vara gallrade vid denna tidpunkt. Innehåll i analysverktyget har gallrats manuellt av en medarbetare på DO. Samtliga gallringsåtgärder var klara den 21 december 2021. DO sade upp avtalet med personuppgiftsbiträdet den 15 februari 2022. Verktyget avaktiverades dock redan den 18 september 2021.

text: IMY:s bedömning

text: Behandlingen har krävt en hög säkerhetsnivå

text: Av utredningen framgår att DO utifrån myndighetens uppdrag gällande diskriminering har använt ett webbformulär för att samla in personuppgifter som relaterar till diskriminering i form av tips och klagomål. Detta har skett genom att uppgiftslämnaren har kunnat beskriva vad som har hänt i fritextfält och som obligatorisk uppgift genom förvalda alternativ ange vilken typ av diskriminering som avses. Här fanns bland annat alternativen diskriminering som har samband med etnisk tillhörighet, funktionsnedsättning, könsöverskridande identitet och uttryck, religion eller annan trosuppfattning och sexuell läggning. Uppgiftslämnaren av ett tips eller klagomål har kunnat uppge sin e-postadress eller namn. Personuppgifter om barn kunde förekomma, exempelvis namn på elever. Andra exempel på personuppgifter var namn på anställda på viss arbetsplats. Tips och klagomål kunde handla om händelser som andra än ingivaren av webbformuläret blivit utsatta för. Uppgifterna kunde omfattas av lagstadgad tystnadsplikt enligt

text: 33 kap. 1 §

text: OSL.

text: DO är i egenskap av personuppgiftsansvarig skyldig att vidta lämpliga säkerhetsåtgärder. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats, se artikel 32.1 och 32.2 i dataskyddsförordningen. Att säkerställa en lämplig säkerhet innebär att säkerhetsnivån måste anpassas till riskerna med den aktuella behandlingen.

text: IMY konstaterar att känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen bland annat utgörs av personuppgifter som avslöjar ras eller etniskt ursprung, religiös eller filosofisk övertygelse, uppgifter om hälsa och uppgifter om en fysisk persons

text: sexualliv eller sexuella läggning. Webbformuläret kunde användas för tips eller klagomål om diskrimineringsgrunderna som bland annat omfattar könsöverskridande identitet eller uttryck, etnisk tillhörighet, religion eller annan trosuppfattning, funktionsnedsättning och sexuell läggning. Personuppgifter kopplade till diskrimineringsgrunderna utgör därmed många gånger även känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen. Behandling som omfattar känsliga personuppgifter medför normalt sett högre risker. Vidare förtjänar barns personuppgifter särskilt skydd, eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter.

text: IMY konstaterar att DO har samlat in personuppgifter, även känsliga personuppgifter, som kan omfattas av tystnadsplikt. Under den aktuella tidsperioden inkom cirka 5 400 tips eller klagomål där merparten inkom via webbformuläret. Ingivaren av formuläret kunde skriva upp till 40 sidor fritext och därvid även beskriva händelser som avsåg andra personer än ingivaren själv. Uppgiftslämnare som använt webbformuläret eller andra enskilda som omnämnts i webbformuläret får anses ha en hög förväntan på att obehöriga inte ska kunna få del av deras personuppgifter.

text: Sammanfattningsvis bedömer IMY att personuppgiftsbehandlingens art, omfattning och sammanhang inneburit sådana risker att höga krav måste ställas på de säkerhetsåtgärder som behöver vidtas enligt artikel 32.1 i dataskyddsförordningen avseende behandlingen av personuppgifter som samlas in via webbformuläret.

text: DO har inte vidtagit tillräckliga åtgärder för att skydda uppgifterna IMY konstaterar att det under tiden från den 1 september 2020 till den 17 september 2021 saknades en säkerhetsinställning som skyddade personuppgifter i webbformulärets sammanfattningssida, med undantag för fälten för telefonnummer och mejladress. Det ledde till att personuppgifter från webbformulärets sammanfattningssida överfördes till personuppgiftsbiträdet.

text: Enligt IMY innebär redan det förhållande att DO oavsiktligt överfört de aktuella uppgifterna till personuppgiftsbiträdet att uppgifterna rent faktiskt inte har skyddats mot obehörigt röjande. DO har också i sin anmälan om personuppgiftsincident angett att säkerhetsincidenten bestått i ett obehörigt röjande.

text: Av utredningen i ärendet framgår att DO haft rutiner för bland annat registrering av system som innehåller personuppgifter och att DO inför lanseringen av webbformuläret beslutade att vidta ett antal åtgärder för att skydda personuppgifter som samlades in via webbformuläret. Innan lanseringen konstaterade DO bland annat att säkerhetsinställningen i analysverktyget behövde vara aktiverad. Det säkerställdes dock inte att inställningen fungerade fullt ut. De åtgärder som DO vidtog var därför inte tillräckliga för att skydda personuppgifterna från att röjas för personuppgiftsbiträdet.

text: Förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystem och -tjänster är enligt artikel 32.1 b i dataskyddsförordningen en åtgärd som kan vara lämplig när det gäller att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. En annan åtgärd som kan vara lämplig när det gäller att säkerställa en säkerhetsnivå som är lämplig i förhållande

text: till risken är enligt artikel 32.1 d i dataskyddsförordningen ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: IMY konstaterar att DO vidtog utredningsåtgärder när DO fick frågor från en utomstående som indikerade att det kunde finnas ett säkerhetsproblem med webbformuläret. DO har visserligen uppgett att myndigheten har rutiner för uppföljning av säkerhetsåtgärder. Dessa rutiner har dock inte varit tillräckliga för att DO skulle kunna upptäcka och åtgärda säkerhetsbristen under den aktuella tiden. Enligt IMY:s bedömning har DO därmed under tiden från den 1 september 2020 till den 17 september 2021 saknat ett effektivt systematiskt säkerhetsarbete som gjort det möjligt att upptäcka säkerhetsbristen och det obehöriga röjandet.

text: DO har således behandlat personuppgifter i tips eller klagomål om diskriminering i webbformulärets sammanfattningssida utan att i tillräcklig utsträckning skydda personuppgifterna mot obehörigt röjande under den aktuella tiden. DO har därför inte iakttagit sin skyldighet som personuppgiftsansvarig att vidta lämpliga tekniska och organisatoriska åtgärder som säkerställt en säkerhetsnivå som är lämplig i förhållande till risken i enlighet med artikel 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: Tillämpliga bestämmelser m.m.

text: Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bland annat reprimand, föreläggande och sanktionsavgifter. Av artikel 83.2 framgår att IMY ska påföra administrativa sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i artikel 58.2 beroende på omständigheterna i det enskilda fallet.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

text: Medlemsstaterna får fastställa regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter. Det framgår av artikel 83.7 i dataskyddsförordningen. Av

text: 6 kap. 2 § dataskyddslagen

text: framgår att IMY får ta ut sanktionsavgifter av myndigheter vid överträdelser som avses i artikel 83.4, 83.5 och 83.6 i dataskyddsförordningen och att artikel 83.1, 83.2 och 83.3 i förordningen då ska tillämpas.

text: I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vad som kan påverka sanktionsavgiftens storlek. Av betydelse för bedömningen av överträdelsens allvar är bland annat dess karaktär, svårighetsgrad och varaktighet. EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter. Riktlinjerna kan tillämpas på beräkningen av sanktionsavgifter som ska åläggas offentliga myndigheter och organ.

text: Om det är fråga om en mindre överträdelse får IMY enligt skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 52.2 b i förordningen.

text: DO:s uppgifter

text: DO har i huvudsak uppgett följande avseende korrigerande åtgärder.

text: Behandlingen har inte inneburit någon risk för obehörigt röjande eller obehörig åtkomst till de aktuella uppgifterna. Uppgifterna har överförts krypterat till personuppgiftsbiträdet och har lagrats krypterat i databasen. Informationen i databasen är endast datapunkter som har samlats in från användarens webbläsarsession. För att kunna ta del av uppgifterna krävs att informationen spelas upp i verktyget, vilket förutsätter en aktiv koppling mellan webbläsaren och databasen. Uppgifterna har därför inte lagrats i läsbart skick och har inte heller varit sökbara. Personuppgiftsbiträdet har dessutom bekräftat till DO att ingen personal hos dem har haft åtkomst till de aktuella uppgifterna.

text: Behandlingen har inte heller inneburit att någon extern mottagare, som agerar som personuppgiftsansvarig, har fått del av uppgifterna för sin egen efterföljande behandling för egna ändamål. Detta eftersom personuppgiftsbiträdet har behandlat uppgifterna som ett personuppgiftsbiträde på uppdrag av DO inom ramen för DO:s personuppgiftsansvar och endast enligt DO:s instruktioner. Det kan således konstateras att det i detta fall inte har varit fråga om ett okontrollerat röjande av uppgifter med många mottagare eller publik spridning.

text: Behandlingen har varit begränsad i sin omfattning och endast berört ett fåtal registrerade individer. Det aktuella formuläret fanns på DO:s webbplats under en förhållandevis begränsad tid.

text: DO har vidtagit skyddsåtgärder för att säkerställa de registrerades fri- och rättigheter innan webbformuläret för tips och klagomål lanserades. Så snart det blev känt att fler uppgifter än avsett fördes över till personuppgiftsbiträdet tog DO bort verktyget. DO säkerställde också att uppgifterna togs bort av personuppgiftsbiträdet.

text: Om IMY bedömer att DO inte uppfyllt kraven i artikel 32.1 i dataskyddsförordningen ska överträdelsen ses som en mindre överträdelse där reprimand är en tillräcklig korrigerande åtgärd. Detta särskilt mot bakgrund av att behandlingen i praktiken inte har inneburit någon risk för berörda registrerade individer och att DO har vidtagit flera åtgärder med anledning av det inträffade.

text: Om IMY ändå skulle bedöma att en sanktionsavgift ska påföras ska en eventuell överträdelse av kraven i artikel 32.1 i dataskyddsförordningen under alla förhållanden anses ha en mycket låg allvarlighetsgrad av de skäl som har angivits ovan.

text: IMY:s bedömning

text: Sanktionsavgift ska påföras

text: IMY har bedömt att DO har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Överträdelsen har skett genom att DO har behandlat personuppgifter under drygt ett års tid med en otillräcklig säkerhetsnivå. Den otillräckliga säkerhetsnivån har lett till

text: obehörigt röjande av personuppgifter som kunde vara känsliga eller omfattas av tystnadsplikt. DO har under denna tid saknat förmåga att upptäcka det pågående röjandet av personuppgifterna. IMY bedömer att det inte rör sig om sådana mindre överträdelser som avses i skäl 148 till dataskyddsförordningen.

text: EU-domstolen har klargjort att det krävs att den personuppgiftsansvarige har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

text: Enligt principen om ansvarsskyldighet som bland annat kommer till uttryck i artikel 5.2 i dataskyddsförordningen ska den som ansvarar för behandlingen av personuppgifter säkerställa och kunna visa att behandlingen är förenlig med dataskyddsförordningen. IMY konstaterar att DO ansvarar för att personuppgifter som samlats in i verksamheten behandlas på ett sätt som säkerställer en lämplig säkerhetsnivå. IMY har vid sin prövning konstaterat att DO inte levt upp till de krav som dataskyddsförordningen ställer i dessa avseenden. DO kan inte anses ha varit okunnig om att myndighetens agerande inneburit överträdelser av förordningen. Det föreligger därmed förutsättningar för att påföra DO en administrativ sanktionsavgift.

text: Sanktionsavgiftens storlek

text: Av

text: 6 kap. 2 § dataskyddslagen

text: framgår att sanktionsavgiften för en myndighet ska bestämmas till högst 5 000 000 kronor vid överträdelser som avses i artikel 83.4 i dataskyddsförordningen och till högst 10 000 000 kronor vid överträdelser som avses i artikel 83.5 och 83.6. Överträdelser av artikel 32 omfattas av den lägre sanktionsavgiften.

text: Av EDPB:s riktlinjer framgår att tillsynsmyndigheten ska bedöma om överträdelsen är av låg, medelhög eller hög allvarlighetsgrad enligt artikel 83.2 a, b och g i dataskyddsförordningen. Vid bedömningen av överträdelsens allvarlighetsgrad tar IMY hänsyn till följande omständigheter.

text: Att det saknades en säkerhetsinställning för sammanställningen av fritextfälten och att DO saknat förmågan att upptäcka överföringen av uppgifterna ledde till en personuppgiftsincident som pågick under cirka ett års tid, dvs. under en längre tid. Som framkommit ovan bedömer IMY att redan det förhållande att personuppgifterna överförts till personuppgiftsbiträdet innebär att det skett ett obehörigt röjande. Att det varit fråga om överföring till ett personuppgiftsbiträde förändrar inte detta förhållande, i synnerhet med beaktande av att DO:s avsikt aldrig var att uppgifterna skulle föras över till det personuppgiftsbiträdet. Personuppgiftsbehandlingen innefattade beskrivningar av händelser om diskriminering som förknippas med någon eller några av diskrimineringsgrunderna. Behandlingen har omfattat cirka 500 tips och klagomål som kunde innehålla personuppgifter och det gick att skriva 40 sidor fritext i webbformuläret. Beskrivningar av händelser som rör diskriminering är av personlig karaktär. Det har varit fråga om känsliga personuppgifter i en verksamhet där uppgifterna också kan omfattas av tystnadsplikt.

text: Enskilda personer som utsatts för diskriminering som exempelvis barn och arbetstagare, får anses ha en berättigad förväntan på hög konfidentialitet och på att deras personuppgifter inte röjs.

text: Överträdelsen i form av bristande tekniska och organisatoriska åtgärder har inneburit en risk för att obehöriga tar del av de registrerades personuppgifter.

text: IMY bedömer sammanfattningsvis att överträdelsen ska betraktas som mer allvarlig än om ovanstående omständigheter inte förelegat. I ärendet har dock även framkommit omständigheter som talar för att överträdelsen ska bedömas som mindre allvarlig.

text: IMY konstaterar att DO vid tidpunkten för överträdelsen hade vidtagit ett antal lämpliga tekniska och organisatoriska åtgärder, exempelvis skedde överföringen av uppgifter från webbformuläret till personuppgiftsbiträdet genom krypterad överföring. Det rörde sig därmed inte om ett okontrollerat röjande där uppgifterna exempelvis var åtkomliga via internet. Det kan också konstateras att det i ärendet är fråga om överföringar som skett till en aktör som behandlar uppgifterna i egenskap av personuppgiftsbiträde i förhållande till DO.

text: Vidare hade DO i anvisning för ifyllande av webbformuläret rekommenderat ingivaren att inte lämna fler personuppgifter än vad som är nödvändigt i fritextfälten. DO hade också i arbetet inför lanseringen av webbformuläret identifierat säkerhetsinställningen i analysverktyget som en lämplig säkerhetsåtgärd och aktiverade denna med avsikten att den skulle fungera även avseende sammanfattningssidan.

text: Det har inte heller framkommit att personuppgiftsbiträdet faktiskt tagit del av personuppgifterna som överförts.

text: Vid en samlad bedömning mot bakgrund av ovanstående omständigheter bedömer IMY att det rör sig om en överträdelse av artikel 32.1 i dataskyddsförordningen av låg allvarlighetsgrad.

text: IMY ska också bedöma om det föreligger några försvårande eller förmildrande omständigheter som får betydelse för sanktionsavgiftens storlek.

text: IMY konstaterar att DO efter incidenten vidtog åtgärder genom att upphöra med insamlingen av personuppgifter via webbformuläret för tips och klagomål och genom att kontakta personuppgiftsbiträdet för att utreda incidenten. DO säkerställde även att biträdet upphörde med behandlingen av personuppgifterna. Information om incidenten lämnades genom att DO publicerade en nyhet på myndighetens webbplats. IMY bedömer att dessa åtgärder inte kan anses gå utöver vad som förväntas av DO i det aktuella fallet. De vidtagna åtgärderna utgör därför enligt IMY inte någon förmildrande faktor.

text: IMY bedömer att det, utöver de omständigheter som beaktats ovan, saknas försvårande eller förmildrande omständigheter som påverkar sanktionsavgiften.

text: Mot bakgrund av överträdelsernas allvar bestämmer IMY den administrativa sanktionsavgiften till 100 000 kronor för överträdelsen. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

text: Detta beslut har fattats av enhetschefen Linn Sandmark efter föredragning av avdelningsdirektören Suzanne Isberg. Vid den slutliga handläggningen har även it- och informationssäkerhetsspecialisten Petter Flink och avdelningsjuristen Andreas Persson medverkat.

text: Linn Sandmark

text: Bilaga

text: Information om betalning av sanktionsavgift

text: Kopia till

text: dataskyddsombud@do.se

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: Länsstyrelsen i Västra Götalands läns beslut den 26 februari 2007 i ärende 211-2587-2007.

text: International Electrotechnical Commission, branschstandard för videoövervakningssystem - IEC 62676-4:2016 4 Länsstyrelsen i Västra Götalands läns beslut den 19 december 2012 i ärende 211-41360-2012.

text: SOU 2009:87 s. 162

text: Prop. 2017/18:231 s. 41

text: och

text: . 8

text: Prop. 2017/18:231 s. 137

text: . 9 Jfr.

text: prop. 2017/18:231 s. 137

text: Prop. 2017/18:231 s. 145

text: 11 Länsstyrelsen i Västra Götalands läns beslut den 19 december 2012 i ärende 211-41360-2012. 12 Länsstyrelsen var enligt kameraövervakningslagen (2013:2013:460) ansvarig myndighet att pröva ansökningar om och utfärda tillstånd till kameraövervakning. Uppgiften övertogs av IMY den 1 augusti 2018 genom den nya

text: kamerabevakningslagen

text: IMY förfrågningsärende DI-2020-11701. 14 Lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning

text: Länsstyrelsen i Västra Götalands läns beslut den 19 december 2012 i ärende 211-41360-2012.

text: Prop. 2017/18:231 s. 116

text: Kungälvs kommun

text: Om ni utöver svaren på våra frågor vill hänvisa till ytterligare information eller

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: . 2 Artikel 58.1 i dataskyddsförordningen. 3

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

titel: Beslut

titel: Tillsynsskrivelse

nyckelord:
Kamerabevakning
Dina rättigheter
Brottsbekämpning

amne: Kamerabevakning

lagakraft: Ja

lagrum: 3§ kamerabevakningslagen

nyckelord: Kamera, Kommuner, Övervakning

overklagan: Ja

sammanfattning: Kungälvs kommun kamerabevakade flera allmänna platser i kommunen. Kommunen ansåg att anonymiseringstekniken de använde (pixelering) förhindrade att personer kunde identifieras, och att bevakningen därför inte omfattades av reglerna i kamerabevakningslagen. IMY hade en annan uppfattning och bedömde att upptagning, överföring och bearbetning av originalfilmerna omfattades av kamerabevakningslagen. Anonymiseringstekniken som användes minskade integritetsintrånget, men det var fortfarande möjligt att identifiera enskilda personer. Det innebär att behandlingen av det pixelerade materialet omfattades av kamerabevakningslagens krav. Läs tillsynsbeslutet

slug: kungalvs-kommun

title: Kungälvs kommun

sammanfattning: IMY förbjuder Kungälvs kommun att kamerabevaka på vissa allmänna platser där kommunen inte har ansökt om tillstånd för att få kamerabevaka. Beslutet har överklagats. Högsta förvaltningsdomstolen beslutade den 30 maj 2024 (mål nr 2912-24) att inte meddela prövningstillstånd. Kammarrättens avgörande står därmed fast.

text: Beslut

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Kommunstyrelsen i Kungälvs kommun bryter mot tillståndskravet i

text: 7 § kamerabevakningslagen (2018:1200)

text: genom att på följande platser under angiven tidsperiod bedriva kamerabevakning utan tillstånd.

text: • Nordmannatorget under tiden 19 oktober 2021 till 15 maj 2023 • Utomhusparkeringen Vita fläcken under tiden 8 juni 2021 till 15 maj 2023 • Bandybanan Skarpe Nord under tiden 11 september 2021 till 15 maj 2023 • Kongahälla Center under tiden 11 september 2021 till 15 maj 2023 • Thorildskolan under tiden 1 augusti 2018 till 15 maj 2023 • Utesimbadet i Kungälv under tiden 1 augusti–7 november 2018, 13 maj– 1 september 2019, 10 juni–29 augusti 2020, 21 maj–4 september 2021 samt 5 juni–22 juni 2022.

text: Integritetsskyddsmyndigheten ger Kommunstyrelsen i Kungälvs kommun en reprimand enligt

text: 24 § kamerabevakningslagen

text: och artikel 58.2 b i dataskyddsförordningen för överträdelsen.

text: Integritetsskyddsmyndigheten förbjuder Kommunstyrelsen i Kungälvs kommun enligt

text: 24 § kamerabevakningslagen

text: och artikel 58.2 f i dataskyddsförordningen att bedriva tillståndspliktig kamerabevakning på Nordmannatorget, utomhusparkeringen Vita fläcken, bandybanan Skarpe Nord, Kongahälla Center, Thorildskolan samt Utesimbadet i Kungälv utan kamerabevakningstillstånd.

text: Redogörelse för ärendet

text: Integritetsskyddsmyndigheten (IMY) har tagit emot ett klagomål beträffande kamerabevakning i Kungälvs kommun. I klagomålet anges att kommunen bedriver kamerabevakning utan tillstånd på ett antal platser i kommunen dit allmänheten har tillträde.

text: IMY har inlett tillsyn mot Kommunstyrelsen i Kungälvs kommun (kommunstyrelsen) i syfte att utreda om kommunstyrelsens kamerabevakning på nedan angivna allmänna platser är tillståndspliktig enligt

text: 7 § kamerabevakningslagen

text: samt – om tillståndsplikt bedöms föreligga – huruvida kommunstyrelsen har tillstånd till kamerabevakningen.

text: Kamerabevakningslagen

text: trädde i kraft den 1 augusti 2018. IMY:s tillsyn avser tidsperioden 1 augusti 2018 till dagen för detta beslut.

text: Vad kommunstyrelsen har uppgett

text: Kommunstyrelsen är ansvarig för nio olika kameraanläggningar på nedan angivna allmänna platser i Kungälv. Kommunstyrelsen är personuppgiftsansvarig för bevakningen. På tre av dessa platser (plats 1–3) sker bevakning utan anonymiseringsteknik och på sex platser (plats 4–9) sker bevakningen med anonymiseringsteknik. Bevakning sker på följande platser.

text: 1. Parkeringshuset Tre Kungar. Bevakning sker alla dagar dygnet runt inne i parkeringshuset.

text: 2. Parkeringshuset Palissaden. Bevakning sker alla dagar dygnet runt inne i parkeringshuset. 3. Konsthallen Mimers Hus. Bevakning sker alla dagar dygnet runt i konstutställningshallen. 4. Nordmannatorget. Bevakningen avser torg, anslutande parkeringsplats samt del av Kongahällagatan. Bevakningen inleddes den 19 oktober 2021 och sker alla dagar kl. 18.000–06.00. 5. Utomhusparkeringen ”Vita fläcken”. Bevakningen avser utomhusparkering och gatuparkering. Bevakningen inleddes den 8 juni 2021 och sker alla dagar kl. 00.00–04.00. 6. Bandybanan Skarpe Nord. Bevakningen avser delvis inhägnad sportanläggning. Bevakningen inleddes den 11 september 2021 och sker måndag–fredag kl. 23.30–07.00 samt lördagar och söndagar kl. 22.00–07.00. 7. Kongahälla Center. Bevakningen avser utsidan av köpcentret. Bevakningen inleddes den 11 september 2021 och sker alla dagar kl. 18.00–06.00. 8. Thorildskolan. Bevakningen avser skolgård och fasader utomhus. Bevakningen inleddes den 28 augusti 2017 och sker alla dagar dygnet runt. 9. Utesimbadet i Kungälv. Bevakningen avser utomhusbassäng och intilliggande ytor. Bevakning sker alla dagar kl. 21.40–06.30 under den period på året då det förekommer verksamhet på badet. Bevakning har skett under följande tidsperioder: 7 juli–18 augusti 2015, 9 maj–20 oktober 2016, 17 maj–20 september 2017, 21 juni–7 november 2018, 13 maj–1 september 2019, 10 juni–29 augusti 2020, 21 maj–4 september 2021 samt 5 juni–22 juni 2022.

text: Bevakning i parkeringshus och konsthall (plats 1–3)

text: Avseende bevakningen på plats 1–3 har kommunstyrelsen uppgett i huvudsak följande. Bevakningen sker utan anonymiseringsfunktion. Eftersom bevakningen i parkeringshuset Tre Kungar och parkeringshuset Palissaden sker i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott krävs inget tillstånd. Avseende bevakningen i Konsthallen Mimers Hus har Kungälvs kommun ett giltigt tillstånd till kameraövervakning från länsstyrelsen .

text: Bevakning med anonymiseringsteknik (plats 4–9)

text: Avseende bevakningen på plats 4–9 har kommunstyrelsen uppgett att bevakningen sker med anonymiseringsteknik. Den aktuella tekniken – anonymisering genom pixelering – innebär i korthet att förgrundsobjekt såsom fotgängare, fordon och liknande ersätts med en lågupplöst version av samma objekt. Tanken med bevakningen är att det från anonymiserat videomaterial ska gå att se om personer uppehåller sig på en viss plats under en viss tid, och automatiskt meddela larmoperatören vid oönskade situationer. Larmoperatören tar endast del av anonymiserat bildmaterial. Bevakningen ger larmoperatören som hanterar videolarm information om händelseförloppet i en viss situation så att denne kan avgöra om väktare behöver skickas till platsen. Anonymiserat material sparas och lagras i tre dagar. Originalvideon spelas inte in.

text: Teknisk beskrivning av ”anonymisering genom pixelering”

text: Tekniken ersätter förgrundsobjekt med ett antal större pixlar (kvadratiska bildelement) på ett sätt som omöjliggör identifiering av personen ifråga. Om originalvideon är i färg elimineras färginformationen hos förgrundsobjekten och ersätts av en gråskaleversion av samma objekt. Grovkornigheten hos pixeleringen kan ställas in per kamera. De

text: aktuella kamerorna är inställda så att personers ansikten täcks av maximalt 5x5 pixlar vilket är standardinställningen.

text: All bevakning på plats 4–9 sker med pixeleringsfunktion påslagen. Kamerorna samlar in bildmaterial från platsen, benämnt ”originalvideo”. Den lågupplösta bilden läggs på i en mjukvara som körs på en server med direktuppkoppling mot kameran i ett privat nätverk. Innan den lågupplösta bilden läggs på hanteras videodata endast i kamerans RAM-minne, nätverksbuffrar och liknande, och endast under bråkdelen av en sekund. Ingen originalvideo sparas på hårddisk, i databas eller annan mer permanent lagringsplats. Jämfört med annan teknik handlar det inte om att bildupptagning med identifierbara människor först sparas och sen anonymiseras – utan hela processen med bildupptagning och anonymisering sker simultant och samtidigt.

text: Mjukvaran är en förutsättning för att kameran ska fungera på avsett sätt. Det är inte möjligt att uppta bildmaterial genom kameran utan att behandling av originalvideon sker via mjukvaran. Hela processen sker på mellan 0,02 till 0,1 sekund. Först efter denna process är bildupptagningen tillgänglig för människor. Det finns ingen teknisk möjlighet för en individ att komma åt bildupptagning som sker före processen är slutförd. Det finns inget sätt att återskapa originalvideon från den anonymiserade videon.

text: Kommunstyrelsens bedömning avseende identifiering av enskilda

text: Tekniken anonymisering genom pixelering omfattar en mängd tekniker för att omöjliggöra identifiering av individer. Dessa inkluderar reducering av upplösning till en nivå så låg att identifiering blir omöjlig, borttagning av färgdata för att göra stora objekt och klädesplagg omöjliga att känna igen, ”introducerad onoggrannhet” i bilden som gör precisa mätningar av objekts dimensioner omöjliga. Enskilda personer kan därför inte identifieras utifrån videomaterial där anonymisering genom pixelering har applicerats, varken manuellt eller med tekniska metoder. Kommunstyrelsen har i denna del bl.a. hänvisat till branschstandard för videoövervakningssystem avseende vilken bildupplösning som krävs för att göra en viss bevakningsuppgift, t.ex. identifiering eller igenkänning möjlig.

text: Kommunstyrelsens bedömning avseende tillståndsplikten

text: Kamerabevakning som sker med anonymiseringsfunktionen påslagen utgör inte personuppgiftsbehandling enligt dataskyddsförordningen och inte heller personbevakning i

text: kamerabevakningslagens

text: mening då enskilda personer som träffas av bevakningen inte kan identifieras. Dataskyddsförordningen och

text: kamerabevakningslagen

text: är därför inte tillämpliga avseende den bevakning som sker på plats 4–9.

text: Kommunstyrelsen har i denna del hänvisat till ett tillsynsbeslut från Länsstyrelsen i Västra Götalands län vilket enligt kommunstyrelsen och larmoperatören utgör prejudikat för att bevakning med anonymiseringstekniken inte utgör personbevakning i

text: kamerabevakningslagens

text: mening. Kommunstyrelsen uppger att länsstyrelsens tillsynsbeslut gäller samma grundteknik och inställningar för anonymiseringsfunktionen som används för bevakningen på plats 4–9.

text: Inför ställningstagandet att sätta upp kameror på allmänna platser kontaktade kommunens säkerhetssamordnare IMY (då Datainspektionen) för rådgivning avseende tillståndsplikten. Den rådgivning och myndighetsinformation som IMY

text: lämnade i sitt svar ger intryck av att IMY har gjort en bedömning av det bildmaterial säkerhetssamrodnaren bifogat mailet. Kommunstyrelsen har med fog uppfattat IMY:s svar som att det bifogade bildmaterialet inte utgjorde personbevakning och att kamerabevakning därför inte var tillståndspliktig. Kommunstyrelsen hänvisar även till uppgifter från larmoperatören att den aktuella anonymiseringstekniken har förevisats för och godkänts av IMY som ej tillståndspliktig.

text: Motivering av beslutet

text: Tillämpliga bestämmelser

text: Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 i dataskyddsförordningen avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter, till exempel insamling, registrering, lagring, läsning och radering.

text: Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

text: I

text: kamerabevakningslagen

text: finns bestämmelser om kamerabevakning som kompletterar dataskyddsförordningen.

text: Kamerabevakningslagens

text: syfte är att tillgodose behovet av kamerabevakning för berättigade ändamål och att skydda fysiska personer mot otillbörligt intrång i den personliga integriteten vid sådan bevakning (

text: 2 § kamerabevakningslagen

text: Begreppet kamerabevakning definieras i

text: 3 § kamerabevakningslagen

text: . Av 3 § 1 framgår att med kamerabevakning avses

text: - att en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning används, - att utrustningen används utan att manövreras på platsen, - att utrustningen används på ett sätt som innebär varaktig eller regelbundet upprepad personbevakning.

text: Med personbevakning avses att personer kan identifieras genom bevakningen. Det krävs att sådana kännetecken kan iakttas som gör att man utan större osäkerhet kan skilja de personer som iakttas från andra personer. Så är fallet om hela personen eller personens ansikte syns tydligt. Även sådant som utmärkande klädsel, speciella kroppsrörelser eller särskild kroppskonstitution kan möjliggöra identifiering (

text: prop. 2017/18:231 s. 41

text: och

text: ). Bilder från s.k. värmekameror kan vara så tydliga genom att särskilda karaktäristiska framgår att det kan vara fråga om personövervakning. Även bevakning med stillbildskamera kan utgöra personbevakning trots att kroppsrörelser då inte kan iakttas (jfr Kammarrätten i Stockholms dom den 7 november 2007 i mål nr 6613-07).

text: Med varaktig personbevakning avses t.ex. bevakning med en kamera som under en längre tid är placerad på eller riktad mot en plats där människor normalt vistas. Med regelbundet upprepad personbevakning menas personbevakning vid ett flertal tillfällen.

text: I kravet på regelbundenhet ligger att det i första hand ska vara fråga om tillfällen som ligger relativt nära varandra i tiden. Även bevakning vid tillfällen som är mer utspridda kan emellertid betraktas som regelbunden om det är fråga om systematisk användning av bevakningsutrustning (

text: prop. 2017/18:231 s. 137

text: Enligt

text: 7 § kamerabevakningslagen

text: krävs tillstånd till kamerabevakning av en plats dit allmänheten har tillträde, om bevakningen ska bedrivas av en myndighet, eller någon annan än en myndighet vid utförande av en uppgift av allmänt intresse som följer av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd av lag eller annan författning.

text: Enligt

text: 8 § tredje stycket 2 kamerabevakningslagen

text: ska det vid bedömningen av den enskildes intresse av att inte bli bevakad särskilt beaktas om teknik som främjar skyddet av den enskildes personliga integritet ska användas.

text: Enligt

text: 9 § 8 kamerabevakningslagen

text: krävs inte tillstånd till kamerabevakning vid bevakning i ett parkeringshus, om bevakningen har till syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott.

text: Personuppgiftsansvar

text: Kommunstyrelsen har uppgett att den är personuppgiftsansvarig för den behandling av personuppgifter som sker genom kamerabevakning på plats 1–9 i Kungälv. Vad kommunstyrelsen uppger vinner stöd av utredningen i ärendet. IMY bedömer därför att kommunstyrelsen är personuppgiftsansvarig för den aktuella behandlingen.

text: Bevakningen i konsthallen Mimers Hus, parkeringshuset Tre Kungar och parkeringshuset Palissaden sker utan anonymiseringsteknik. Av utredningen framgår att bevakningen utgör sådan kamerabevakning som avses i

text: 3 § kamerabevakningslagen

text: . IMY konstaterar vidare att eftersom kommunstyrelsen är en myndighet och bevakningen sker på platser dit allmänheten har tillträde krävs som huvudregel tillstånd enligt

text: 7 § kamerabevakningslagen

text: Bevakningen i parkeringshuset Tre Kungar och parkeringshuset Palissaden (plats 1 och 2) sker inne i parkeringshusen och i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Sådan bevakning är enligt

text: 9 § 8 kamerabevakningslagen

text: undantagen från tillståndsplikten. Bevakningen på plats 1 och 2 är således inte tillståndspliktig.

text: Vad gäller bevakningen i konsthallen Mimers Hus (plats 3) har Kungälvs kommun beviljats tillstånd till kameraövervakning enligt äldre lagstiftning. IMY konstaterar att tillståndet enligt övergångsbestämmelserna till

text: kamerabevakningslagen

text: fortfarande gäller. Kommunstyrelsen har alltså tillstånd till bevakningen på plats 3.

text: Mot denna bakgrund konstaterar IMY att kommunstyrelsens kamerabevakning på plats 1–3 antingen har tillstånd eller är undantagen tillståndsplikten. Det saknas därför anledning att utreda kamerabevakningen av dessa platser ytterligare.

text: Kamerabevakningslagen

text: är tillämplig på bevakningen

text: IMY konstaterar att det av utredningen framgår att kamerabevakningen av platserna 4–9 sker med utrustning som faller under begreppet tv-kamera, annat optiskt instrument eller därmed jämförbar utrustning enligt

text: 3 § 1 kamerabevakningslagen

text: . Det framgår vidare att kamerautrustningen är fast monterad på de aktuella platserna. Bevakningen sker automatiskt och utrustningen är därmed inte manövrerad på platsen.

text: Avgörande för frågan om kommunstyrelsens kameraanvändning utgör kamerabevakning i lagens mening är därmed om kamerorna används på ett sätt som innebär varaktig eller regelbundet upprepad personbevakning. Med personbevakning avses att personer kan identifieras utifrån bevakningen.

text: Kommunstyrelsen har uppgett att syftet med bevakningen inte är att identifiera enskilda personer, utan endast att se om någon uppehåller sig på en viss plats och meddela larmoperatör vid oönskade situationer. IMY konstaterar att syftet med användningen av kamerautrustningen saknar betydelse för frågan om

text: kamerabevakningslagens

text: tillämplighet. Lagen är tillämplig både vid sådan användning av kameror som sker i syfte att bevaka människor och sådan användning som sker för andra syften men där människor samtidigt under en längre tid eller någorlunda regelbundet kommer in i kamerans upptagningsområde på ett sätt som gör dem möjliga att identifiera. Vad kommunstyrelsen anfört om syftet med bevakningen saknar därför betydelse för bedömningen.

text: När det gäller användningen av kamerautrustningen framgår av utredningen att den sker först genom upptagning bilddata (originalvideon) och sedan genom överföring av originalvideon till en server. På servern sker en mjukvarubehandling som resulterar i ett bearbetat bildmaterial (pixelerade bilder). De pixelerade bilderna lagras sedan i tre dagar.

text: Kommunstyrelsen anser att bedömningen av om kameraanvändningen innebär personbevakning ska göras utifrån de pixelerade bilderna och inte utifrån originalvideon. IMY konstaterar dock att redan upptagningen av originalvideon, överföringen av originalvideon till servern och bearbetningen av originalvideon utgör användning av sådan utrustning som omfattas av

text: kamerabevakningslagen

text: . Det framgår av utredningen att originalvideon har sådan kvalitet att det är möjligt att identifiera enskilda personer. Att åtkomst till originalvideon förhindras genom tekniska åtgärder höjer visserligen integritetsskyddet men medför inte att behandlingen upphör att utgöra personuppgiftsbehandling eller personbevakning. Behandlingen av originalvideon är således såväl personuppgiftsbehandling enligt dataskyddsförordningen som personbevakning i

text: kamerabevakningslagens

text: mening. Eftersom personbevakningen avser platser där enskilda normalt vistas och regelbundet kommer inom kamerornas upptagningsområde, är bevakningen varaktig och regelbundet upprepad. Kommunstyrelsens kameraanvändning genom upptagning av originalvideon, överföring till servern och bearbetning av videon på servern utgör således kamerabevakning i den mening som avses i

text: 3 § kamerabevakningslagen

text: När det sedan gäller bedömningen av om även behandlingen av de pixelerade bilderna utgör personbevakning konstaterar IMY att den aktuella mjukvarutekniken visserligen försvårar identifiering. Bilderna har, efter pixeleringen, en låg upplösning som minskar möjligheterna att urskilja en persons ansiktsdrag. Vidare har färginformation på personer i bild eliminerats. Det är dock inte fråga om en fullständig maskering där endast konturer kan urskiljas utan personer i bild presenteras i en gråskala. Flera faktorer är av betydelse vid bedömningen av om en identifiering kan ske och en person kan vara identifierbar utifrån ett eller flera kännetecken. De pixelerade bilderna kan fortfarande ge information om t.ex. vilken typ av klädsel personen bär eller om hen använder hjälpmedel såsom rullstol, kryckor eller rullator. Av utredningen framgår att man med kamerorna kan iaktta i vart fall sådana typer av utmärkande klädsel, speciella kroppsrörelser eller särskild kroppskonstitution som gör att man utan större osäkerhet kan skilja de personer som iakttas från andra personer. IMY framhåller särskilt att bevakningen på Thorildskolan avser en begränsad personkrets av elever och personal, vilket kan underlätta identifiering. Det kan vidare konstateras att de pixelerade bilderna sparas i tre dagar vilket innebär större möjligheter till identifiering av enskilda jämfört med om bevakning endast hade skett i realtid. Sammantaget bedömer IMY att kamerabilderna, trots användningen av den beskrivna mjukvaran, är tillräckligt tydliga för att enskilda som passerar kamerorna kan komma att identifieras. Det är därmed frågan om personbevakning.

text: Även om inte samtliga personer som träffas av bevakningen kommer att kunna identifieras bedömer IMY att identifiering kan ske regelbundet. Då det är frågan om systematisk användning av kamerautrustning på platser där många människor vistas bedömer IMY att personbevakningen är varaktig och regelbundet upprepad. Mot denna bakgrund bedömer IMY att även det pixelerade bildmaterialet utgör kamerabevakning i den mening som avses i

text: 3 § kamerabevakningslagen

text: Kamerabevakningslagen

text: är därmed tillämplig även avseende behandlingen av pixelerat bildmaterial.

text: IMY bedömer sammanfattningsvis att såväl upptagningen och behandlingen av originalvideon som behandlingen av de pixelerade bilderna omfattas av

text: kamerabevakningslagen

text: Den teknik som kommunstyrelsen använder på plats 4–9 innebär således inte att bevakningen faller utanför tillämpningsområdet för

text: kamerabevakningslagen

text: . Användningen av tekniken innebär dock att integritetsriskerna med personuppgiftsbehandlingen och kamerabevakningen minskar. Det är således fråga om sådan integritetsfrämjande teknik som, enligt

text: , särskilt ska beaktas vid en tillståndsprövning.

text: Kommunstyrelsen saknar tillstånd till kamerabevakningen

text: Kommunstyrelsen har uppgett att den mot bakgrund av länsstyrelsens beslut , information från IMY samt uppgifter från larmoperatören har haft fog för att uppfatta att

text: kamerabevakningslagen

text: inte är tillämplig när bevakning sker med den aktuella anonymiseringstekniken.

text: Huruvida en viss kameraanvändning innebär tillståndspliktig kamerabevakning eller inte, avgörs av IMY efter en prövning i ett enskilt fall. Varken IMY eller länsstyrelsen

text: har prövat kameraanvändningen på plats 4–9 genom ett tillståndsförfarande eller genom tillsyn granskat kameraanvändningen. IMY konstaterar att kommunens säkerhetssamordnare har vänt sig till IMY:s upplysningstjänst och erhållit generell information avseende begreppet personbevakning i

text: 3 § kamerabevakningslagen

text: . Den informationen har inte kunnat tas till intäkt för att bevakningen inte omfattas av tillståndsplikt.

text: Kommunstyrelsen är en myndighet och behöver därför tillstånd för att bedriva kamerabevakning på platser dit allmänheten har tillträde. IMY konstaterar att allmänheten har tillträde till plats 4–9. Kommunstyrelsens kamerabevakning på plats 4–9 är därmed tillståndspliktig enligt

text: 7 § kamerabevakningslagen

text: Kommunstyrelsen innehar inget giltigt tillstånd till kamerabevakning på de aktuella platserna. Kommunstyrelsen har inte heller ansökt om tillstånd.

text: IMY konstaterar således att kommunstyrelsen bryter mot tillståndskravet i

text: 7 § kamerabevakningslagen

text: Val av ingripande

text: Tillämpliga bestämmelser

text: Enligt

text: 24 § kamerabevakningslagen

text: ska bestämmelser om tillsynsmyndighetens befogenheter i dataskyddsförordningen gälla även vid tillsynen över att

text: kamerabevakningslagen

text: följs.

text: Enligt 25 § 1 får tillsynsmyndigheten ta ut en sanktionsavgift av den som bedriver kamerabevakning och bryter mot tillståndskravet i 7 §.

text: Vid beslut om sanktionsavgift ska, enligt

text: 26 § kamerabevakningslagen

text: , artikel 83.1, 83.2 och 83.3 i dataskyddsförordningen och

text: 6 kap.

text: 7 §§

text: dataskyddslagen

text: tillämpas.

text: Av

text: 27 § kamerabevakningslagen

text: framgår att vid sådana överträdelser som avses i 25 § 1–3 ska avgiftens storlek bestämmas med tillämpning av artikel 83.4 i dataskyddsförordningen eller, i fråga om myndigheter, med tillämpning av den lägre avgiftsnivån i

text: 6 kap. 2 § andra stycket dataskyddslagen

text: Av artikel 58.2 och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel

text: 58.2, som till exempel förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: IMY:s bedömning

text: IMY har konstaterat att kommunstyrelsen genom att bedriva kamerabevakning på plats 4–9 bryter mot tillståndskravet i

text: 7 § kamerabevakningslagen

text: . En överträdelse av den bestämmelsen kan föranleda en sanktionsavgift.

text: Kamerabevakningen bedrivs på platser dit allmänheten har tillträde och omfattar en stor mängd människor ur en obestämd krets och innebär ett intrång i deras personliga integritet. Bevakningen har pågått under en längre tid. I tillsynsärendet har inte framkommit annat än att kamerabevakning alltjämt pågår på samtliga platser med undantag för utesimbadet (plats 9).

text: Det är frågan om bevakning på olika typer av platser där integritetsintresset gör sig olika starkt gällande. Integritetsintrånget vid kamerabevakning nattetid på parkeringsplatser anses generellt sett vara begränsat, då få personer träffas av bevakningen. När det gäller skolor och skolgårdar innebär kamerabevakning däremot ofta ett betydande intrång i integriteten. Barn är enligt dataskyddsförordningen en särskilt skyddsvärd grupp. En skolgård är en plats för rekreation där barn och unga uppehåller sig både under och efter skoltid. Skolan är även en arbetsplats där elever och lärare måste befinna sig. Kamerabevakning under verksamhetstid är därför särskilt känsligt. Mot denna bakgrund bedömer IMY det som försvårande att kommunstyrelsen under flera år bedrivit kamerabevakning dygnet runt på Thorildskolan utan tillstånd.

text: IMY bedömer dock att den bildbehandlingsmjukvara – anonymisering genom pixelering – som kommunstyrelsen använder sig av innebär att integritetsintrånget minskar, jämfört med om det under hela processen varit frågan om behandling och lagring av högupplösta bilder. Att kommunstyrelsen använder integritetsfrämjande teknik är en förmildrande omständighet.

text: IMY bedömer att överträdelsen av

text: 7 § kamerabevakningslagen

text: som konstaterats i detta beslut är av sådan omfattning och allvarlighetsgrad att den normalt sett skulle föranleda en sanktionsavgift.

text: I detta tillsynsärende finns dock särskilda omständigheter som talar emot en sanktionsavgift. Kommunstyrelsen har hänvisat till ett tillsynsbeslut från Länsstyrelsen i Västra Götalands län , som då var behörig tillsynsmyndighet, som stöd för att bevakning med anonymiseringstekniken inte utgör personbevakning i

text: kamerabevakningslagens

text: mening. Kommunstyrelsen uppger att länsstyrelsens tillsynsbeslut gäller samma grundteknik och inställningar för anonymiseringsfunktionen som används för bevakningen på plats 4–9. IMY konstaterar att länsstyrelsens beslut har gett kommunstyrelsen visst fog för uppfattningen att kamerabevakningen inte var tillståndspliktig. Detta har medfört att det uppkommit en oklarhet kring hur regleringen skulle tolkas.

text: Av förarbetena till

text: kamerabevakningslagen

text: framgår att det kan uppkomma fall där det är oklart hur

text: kamerabevakningslagen

text: ska tolkas. I sådana fall bör den som har gjort en felaktig tolkning av regleringen först ges möjlighet att komma till rätta med överträdelsen genom exempelvis ett föreläggande eller en varning från tillsynsmyndigheten. Först om en sådan varning eller ett sådant föreläggande inte följs bör sanktionsavgifter komma i fråga. IMY konstaterar att det är fråga om tillämpning av en bestämmelse om sanktionsavgifter som införts i nationell rätt (

text: 26 § kamerabevakningslagen

text: ) och att förarbetsuttalandena därför är vägledande vid tolkningen av bestämmelsen.

text: IMY finner vid en samlad bedömning av omständigheterna att det, särskilt med beaktande av vad som uttalats i förarbetena till

text: kamerabevakningslagen

text: , finns anledning att avstå från att påföra kommunstyrelsen en sanktionsavgift för den konstaterade överträdelsen. Kommunstyrelsen ska därför, med stöd av

text: 24 § kamerabevakningslagen

text: och artikel 58.2 b i dataskyddsförordningen, i stället ges en reprimand för den konstaterade överträdelsen.

text: Kamerabevakningen innebär ett integritetsintrång för personer som träffas av bevakningen och det är angeläget att kamerabevakningen upphör. IMY bedömer därför att det finns skäl att förbjuda kommunstyrelsen enligt artikel 58.2 f i dataskyddsförordningen och

text: 24 § kamerabevakningslagen

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Moa Nordqvist. Vid den slutliga handläggningen har även rättschefen David Törngren samt it-säkerhetsspecialisten Petter Flink medverkat.

text: Lena Lindgren Schelin, 2023-05-15 (Det här är en elektronisk signatur)

text: Kopia till:

text: Dataskyddsombud (för kännedom)

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

text: Tillsynsskrivelse

text: DI-2021-8567 Tillsyn enligt dataskyddsförordningen

text: Integritetsskyddsmyndigheten (IMY) har beslutat att granska er personuppgiftsbehandling och har inlett ett tillsynsärende. Ni behöver därför svara på våra frågor.

text: Varför granskar Integritetsskyddsmyndigheten er verksamhet?

text: IMY har fått in klagomål där det uppges att ni (Kungälvs kommun) kamerabevakar på platser dit allmänheten har tillträde utan att ha sökt och fått tillstånd av IMY.

text: Våra frågor

text: IMY vill att ni svarar på följande frågor:

text:  Stämmer det att Kungälvs kommun kamerabevakar på platser dit allmänheten har tillträde?  Om ja: - Hur kommer det sig att ni inte sökt tillstånd hos IMY? Utveckla hur ni resonerat. - Vilka platser kamerabevakar ni? - Stämmer det som klagomålet gör gällande - att eventuella personuppgifter som tas upp i och med kamerabevakningen är anonymiserade? Beskriv i sådana fall vilken teknik ni använder och hur anonymiseringen går till.  Är Kungälvs kommun att anse som personuppgiftsansvarig för kamerabevakningen?

text: Era svar

text: Svara skriftligt till IMY senast den 3 november 2021.

text: Förutsatt att svaret inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess, kan ni e-posta det till och referera till vårt diarienummer DI-2021-8567.

text: handlingar så ange detta och vad ni vill visa med dem men skicka inte in handlingar som går utöver det angivna syftet med tillsynen.

text: Måste ni svara Integritetsskyddsmyndigheten?

text: Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen, GDPR . Det innebär att vi får begära att ni lämnar all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Där kommer ni att få besked om eventuella brister i ert dataskydd och om ni måste vidta några korrigerande åtgärder. IMY kan exempelvis påföra administrativa sanktionsavgifter enligt dataskyddsförordningen. Om ni har frågor kontakta Jeanette Bladh Gustafson på tfn. 08-657 61 32. Med vänlig hälsning Jeanette Bladh Gustafson, 2021-10-20 (Det här är en elektronisk signatur)

text: Kopia till:

text: Dataskyddsombudet: dataskyddsombud@kungalv.se

text: Information om IMY:s behandling av personuppgifter