Gegevensbeschermingsautoriteit (GBA) har utfärdat en varning mot en privatperson för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att en privatperson (den personuppgiftsansvarige) använt övervakningskameror som delvis var riktade mot några grannars (de registrerades) bostadsutrymmen och trädgårdar. Den personuppgiftsansvarige uppgav att syftet med kamerorna var att skydda sin samling av värdefulla motorcyklar och att det aldrig hade varit den personuppgiftsansvariges avsikt att kränka någon annans privatliv.
De registrerade lämnade in separata klagomål till GBA, vilka kombinerades i ett enda förfarande. En av de registrerade gick också till polisen, vilket resulterade i en polisutredning mot den personuppgiftsansvarige. Polisen kom fram till flera slutsatser, bland annat att den personuppgiftsansvarige inte registrerat ändamålet med kamerabevakningen innan han satte upp kamerorna, vilket är ett krav. Polisen konstaterade också att den personuppgiftsansvarige inte underrättat polisen om placeringen av bevakningskamerorna, trots att detta är en rättslig skyldighet enligt nationell lagstiftning.
GBA genomförde en utredning av den personuppgiftsansvarige och ansåg att den personuppgiftsansvarige brutit mot flera bestämmelser i dataskyddsförordningen och nationell lagstiftning.
För det första ansåg GBA att inspelningar av fysiska personer med bevakningskameror utgör personuppgifter. För det andra utlöser det faktum att den personuppgiftsansvarige placerade kamerorna på sin egen fastighet inte hushållsundantaget enligt artikel 2.2 (c) GPDR. När kamerorna också spelar in, som i detta fall, offentliga eller privata utrymmen gäller inte denna bestämmelse. Därför var dataskyddsförordningen tillämplig.
GBA ansåg vidare att den personuppgiftsansvarige brutit mot principen om laglighet, rättvisa och öppenhet enligt artikel 5.1 (a) GDPR. Till exempel har den personuppgiftsansvarige inte satt upp en skylt för att visa att kamerabevakning ägde rum, vilket bland annat krävs enligt nationell lagstiftning.
GBA ansåg också att den personuppgiftsansvarige inte uppfyllt den rättsliga skyldigheten att registrera ändamålet med kamerabevakningen hos det lokala poliskontoret. Eftersom det är obligatoriskt att registrera ändamålet, har den personuppgiftsansvarige brutit mot artikel 5.1 (b) GDPR. Enligt GBA kan en sen registrering av ändamålet inte avhjälpa den ursprungliga överträdelsen.
Vidare ansåg GBA att den personuppgiftsansvarige brutit mot principen om uppgiftsminimering enligt artikel 5.1 (c) GDPR eftersom kameran användes för att spela in mer än den personuppgiftsansvariges privata egendom. Även om den personuppgiftsansvarige korrigerat kamerans riktning under förfarandet genom att se till att kamerorna endast spelade in hans egen bakgård, samlade den personuppgiftsansvarige in fler uppgifter än som var nödvändigt för ändamålet.
Enligt GBA har den personuppgiftsansvarige därutöver på två grunder brutit mot principen om ansvarighetsskyldighet enligt artiklarna 5.2 och 24.1 GDPR. Den första grunden var att den personuppgiftsansvarige inte kunde visa hur de registrerade informerades på ett öppet och rättvist sätt, inte kunde visa att uppgifterna behandlades med specificerade, uttryckliga och berättigade ändamål och inte kunde visa att inte fler personuppgifter behandlades än vad som var nödvändigt för de ändamål som den personuppgiftsansvarige eftersträvade. Den andra grunden var att den personuppgiftsansvarige inte heller hade något register för kamerabevakningsmaterial som krävs enligt nationell lagstiftning.
GBA ansåg att det måste bedömas om den personuppgiftsansvarige kunde använda ett berättigat intresse som rättslig grund för behandlingen enligt artikel 6.1 (f) GDPR. Enligt EU-domstolens rättspraxis måste det finnas ett berättigat intresse, behandlingen måste vara nödvändig för detta intresse och en avvägning måste göras mellan den personuppgiftsansvariges berättigade intresse och de registrerades intressen och grundläggande rättigheter.
GBA ansåg att förebyggande av inbrott, vandalism eller stöld kan ses som ett berättigat intresse, med en hänvisning till EDPB:s riktlinjer 3/2019. GBA ansåg att nödvändighetstestet bör bedömas med principen om uppgiftsminimering enligt artikel 5.1 (c) GDPR i åtanke, enligt vilken behandlingen måste vara adekvat, relevant och begränsad till vad som är nödvändigt i förhållande till de ändamål för vilka uppgifterna behandlas. Det hade redan beslutats att den personuppgiftsansvarige brutit mot denna princip. Den ständiga inspelningen av grannars privata utrymmen kan inte ses som relevant, så behandlingen kunde definitivt inte vara nödvändig för den personuppgiftsansvariges berättigade intresse. GBA ansåg också att det berättigade intresset i fråga inte klarade av avvägningstestet. Enligt GBA var den ständiga inspelningen av de registrerade en allvarlig kränkning av deras grundläggande rättigheter. Det fanns också ett mindre ingripande alternativ i form av att sätta ett hölje runt kameran för att hindra en del av dess sikt. GBA ansåg också att det var en faktor som gjorde att det var bortom de registrerades objektiva förväntningar att övervakningskameran var placerad på ett sådant sätt som i detta beslut.
Mot bakgrund av ovanstående gav GBA den personuppgiftsansvarige en varning.