GDPR og arbeidsrett: Kameraovervåking

Hva er kameraovervåking?

Med kameraovervåking menes vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkningskamera eller annet lignende utstyr som er fastmontert. Håndholdt utstyr faller altså utenfor. Både overvåking med og uten mulighet for opptak og lagring av lyd- og bildemateriale er omfattet. Det samme gjelder uekte kameraovervåkingsutstyr eller skilting, oppslag eller lignende som gir inntrykk av at kameraovervåking finner sted. Poenget er at slik uekte kameraovervåking medfører tilsvarende opplevelse av å bli overvåket som ekte utstyr.

Når gjelder reglene?

Slik som tittelen på forskrift angir, er reglene om kameraovervåking i forskrift avgrenset til kameraovervåking i virksomhet, dvs. innenfor rammene for artikkel 88 i GDPR som gjelder arbeidsforhold. De tidligere reglene i personopplysningsloven fra 2000 og tilhørende forskrifter gjaldt kameraovervåking generelt samtidig som det var egne bestemmelser om kameraovervåking på arbeidsplass. Med den nye loven er kameraovervåking utenfor arbeidsplass regulert av de alminnelige reglene i GDPR/personopplysningsloven.

Hva skal så til for at noe anses for å være kameraovervåking i virksomhet? Forarbeidene til den nye personopplysningsloven klargjør at det er ikke avgjørende at arbeidsgiveren selv setter opp og/eller administrerer overvåkingen. Det vil være tilstrekkelig at overvåkingen skjer i forståelse med arbeidsgiver, er i arbeidsgivers interesse og at formålet er å overvåke arbeidsgivers virksomhet. Videre er det uttalt at det kun vil være kameraovervåking som kan anses som et kontrolltiltak etter arbeidsmiljøloven kapittel 9 som vil falle innenfor de særlige reglene i den nye forskriften. Det verdt å merke seg at forskriften ikke er ment å gjelde for kameraovervåking som ikke, eller i svært liten grad, anses som en belastning for arbeidstakers personlige integritet.

Vilkår for kameraovervåking

For at en arbeidsgiver skal kunne overvåke et område i virksomheten hvor en begrenset krets av person ferdes jevnlig kreves det etter § 3 i forskriften at:

(i) det ut fra virksomheten er behov for å forebygge at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet, eller at

(ii) det for øvrig er et særskilt behov for overvåkingen.

Før kameraovervåking er tatt i bruk i virksomheten, må arbeidsgiveren derfor identifisere, vurdere og dokumentere de ovennevnte formål og det konkrete behovet for behandlingen.

Det er viktig å huske på at også de grunnleggende personvernprinsippene som følger av GDPR/personopplysningsloven gjelder for kameraovervåking i virksomhet, jf. forskriften § 2 som inneholder en generell henvisning til personopplysningsloven. Noen av de viktigste prinsippene for innsamling og behandling av personopplysninger er kravet om at personopplysninger kun samles inn for spesifikke, uttrykkelige angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene. De må videre være adekvate, relevante og begrenset til det som er nødvendig for de oppgitte formålene, jf. GDPR artikkel 5 nr. 1.

Utlevering og sletting

Forskriften viderefører de tidligere reglene om utlevering og sletting av opptak i virksomhet. Utlevering av personopplysninger som er innsamlet ved kameraovervåking til andre enn den behandlingsansvarlige, normalt arbeidsgiver, er kun tillatt dersom:

a) den som er avbildet samtykker,

b) utleveringen skjer til politiet ved etterforskning av straffbare handlinger eller ulykker, og lovbestemt taushetsplikt ikke er til hinder for utleveringen, eller

c) det ellers følger av lov at utlevering kan skje.

I tilfeller der det er flere virksomheter som er involvert i aktiviteter på stedet der kameraovervåkingen finnes sted, må det vurderes konkret hvem som er behandlingsansvarlig og dermed eier av opptakene. I særlige tilfeller kan det være grunnlag for å fastslå et såkalt felles behandlingsansvar, noe som i sin tur legger til rette for at flere virksomheter kan få tilgang.

Når det gjelder sletting, er hovedregelen at opptak skal slettes senest én uke etter at opptakene er gjort. Dersom opptaket skal utleveres til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker, kan opptakene oppbevares inntil 30 dager. En lengre periode gjelder – opp til 3 måneder – for opptak på utsalgssteder som benytter betalingsinstrument eller identitetsbevis, eller i lokaler hvor post- eller banktjenester leveres.

Det er gjort unntak fra sletteplikten for opptak som politiet er i besittelse av, opptak som kan være av betydning for bl.a. nasjonale sikkerhetsinteresser, og hvor det foreligge samtykke fra den som er avbildet i at opptakene oppbevares lenger.

Det er også verdt å merke seg at tidligere gitte dispensasjoner fra Datatilsynet, for utvidet lagringstid, er gyldige i henhold til forskriften § 7.