Det är inte bara att sätta upp en kamera
Många tror att det räcker med att skruva fast en kamera på fasaden och trycka på ”record”. Så enkelt är det inte. Inte ens i närheten. I Sverige regleras kameraövervakning av flera lagar samtidigt – kamerabevakningslagen, dataskyddsförordningen (GDPR) och i vissa fall brottsbalken. Och missar du något kan det bli riktigt dyrt.
Jag har sett företag som fått kännbara sanktionsavgifter för att de filmade ett torg utan tillstånd. Andra har fått riva ner hela sina system för att de glömde en skylt. Det handlar inte om byråkrati för sakens skull – det handlar om människors rätt att inte bli övervakade utan anledning.
Vad säger kamerabevakningslagen egentligen?
Sedan 2018 gäller kamerabevakningslagen. Den ersatte den gamla kameraövervakningslagen och anpassades till GDPR. Grundprincipen är enkel: du måste ha ett berättigat intresse som väger tyngre än den enskildes rätt till integritet. Men ”berättigat intresse” är ett luddigt begrepp, eller hur?
I praktiken innebär det att du behöver kunna visa att kameran fyller ett konkret syfte. Förebygga brott vid en utsatt entré? Ja, det kan fungera. Filma en hel park ”för säkerhets skull”? Nej. Inte utan tillstånd från Integritetsskyddsmyndigheten (IMY).
Myndigheter, kommuner och andra offentliga aktörer behöver nästan alltid söka tillstånd. Privata företag kan ibland klara sig med en intresseavvägning – men det beror helt på platsen och syftet. En butik som filmar sin egen entré är en sak. En restaurang som riktar kameran mot gatan utanför? Det är något helt annat.
GDPR – den tunga jätten i rummet
Filmsekvenser där personer kan identifieras räknas som personuppgifter. Punkt. Det betyder att hela GDPR-maskineriet slår in. Du behöver en rättslig grund för behandlingen. Du måste informera de som filmas. Du ska dokumentera ditt syfte i ett register. Och du måste ha koll på hur länge du sparar materialet.
Men vet du vad som ofta glöms bort? Konsekvensbedömningen. En så kallad DPIA – Data Protection Impact Assessment. När kamerabevakning sker i publika miljöer och kan påverka ett stort antal personer krävs det att du gör en ordentlig riskanalys innan du ens sätter igång. Inte efteråt. Innan.
IMY har varit tydliga med att lagringstiden ska vara så kort som möjligt. Tre dygn brukar vara tumregeln för de flesta situationer. Sparar du i veckor eller månader utan motivering? Då har du ett problem.
Informationsplikten – den där skylten räcker inte alltid
Du har sett dem. De små gula skyltarna med en kamerasymbol. De är ett krav, absolut. Men de räcker inte ensamma. Enligt GDPR ska den registrerade få tillgång till betydligt mer information – vem som är ansvarig, varför filmningen sker, hur länge materialet sparas och vilka rättigheter man har.
Lösningen? En första informationsnivå på skylten – kort och tydlig. Sedan en andra nivå, till exempel på en webbsida eller ett anslag i entrén, med fullständig information. Det låter krångligt. Det är det också. Men alternativet är böter som kan landa på upp till 20 miljoner euro eller fyra procent av den globala årsomsättningen.
Så gör du rätt från början
Börja med syftet. Varför behöver du kameran? Skriv ner det. Gör en intresseavvägning och dokumentera den. Genomför en konsekvensbedömning om bevakningen sker i publika miljöer. Sätt tydliga lagringstider – och håll dig till dem.
Sätt upp korrekta skyltar och komplettera med utförlig information. Begränsa kamerans vinkel så att den inte filmar mer än nödvändigt. Och framför allt – se till att bara behöriga personer har tillgång till materialet.
Faktum är att de flesta misstag beror på okunskap, inte illvilja. Men IMY bryr sig inte om avsikten. De tittar på resultatet. Och resultatet måste vara lagligt.