Gegevensbeschermingsautoriteit (GBA) har utfärdat en sanktionsavgift på 9 700 euro mot en ägare och förvaltare av ett studenthus för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att den personuppgiftsansvarige är ägare och förvaltare av ett studenthus med 8 studentrum. Sedan 2018 har ägaren installerat fyra bevakningskameror i studenthusets gemensamma utrymmen samt vid entrén mot allmän väg. Kamerorna spelade in både studenter och tredje man, inklusive delar av grannfastigheter. År 2023 lämnade ägaren in ett klagomål till GBA och hävdade att användningen av kamerorna inte var proportionerlig.
Ägaren hävdade att den registrerade var väl medveten om bevakningskamerornas existens och att detta omfattades av hyresavtalet som den registrerade hade undertecknat. Han hävdade vidare att kamerorna var nödvändiga för att säkerställa studenternas säkerhet och den interna ordningen i studenthuset, samt för att lösa ett narkotikabrott, övervaka och upprätthålla efterlevnaden av Covid 19-åtgärder i studenthuset, övervaka antalet besökare i studenthuset och bistå polisen i ett påstått fall av sexuella övergrepp i grannskapet.
GBA konstaterade att ägaren behandlat personuppgifter utan giltig rättslig grund, i strid med principen om laglighet enligt artikel 5.1 (a) GDPR och kravet på rättslig grund enligt artikel 6.1 GDPR. Enligt GBA var syftet med behandlingen dels att skydda ägarens egendom, dels att övervaka att studenter följde husreglerna. Ägarens åberopande av berättigat intresse enligt artikel 6.1 (f) GDPR godtogs endast delvis, då kamerabevakning inte ansågs nödvändig för att skydda egendomen. Behandlingen kunde inte heller stödjas på artikel 6.1 (b) GDPR, eftersom övervakning inte var nödvändig för att fullgöra hyresavtalet.
Därutöver konstaterade GBA att ägaren brutit mot principen om uppgiftsminimering i artikel 5.1 (c) GDPR, eftersom kamerorna även filmade den allmänna vägen, delar av grannarnas fastighet och entrédörren till deras hem, utan någon teknisk åtgärd som skulle begränsa sådan behandling. Vidare konstaterades brott mot artikel 30 GDPR, då något register över behandlingen av personuppgifter med hjälp av de fyra övervakningskamerorna inte hade förts.
Som försvårande omständigheter beaktade GBA att ägaren inte vidtagit några åtgärder för att mildra intrånget eller införa tekniska och organisatoriska skydd som kunde ha begränsat behandlingen. Mot denna bakgrund fann GBA överträdelserna allvarliga och beslutade om en sanktionsavgift på 9 700 euro.