EU‑domstolen har i ett förhandsavgörande (C-422/24) slagit fast viktiga principer om hur dataskyddsförordningen (GDPR) ska tillämpas när kroppsburna kameror används vid biljettkontroller i kollektivtrafiken.
Avgörandet rör Storstockholms Lokaltrafik (SL) och har sitt ursprung i ett tillsynsärende hos Integritetsskyddsmyndigheten (IMY) som ansåg att SL brustit i sin informationsskyldighet gentemot resenärer som filmats i samband med biljettkontroller. IMY beslutade därför om en administrativ sanktionsavgift, ett beslut som SL överklagade till Högsta förvaltningsdomstolen. Ärendet nådde Högsta förvaltningsdomstolen, som begärde vägledning från EU‑domstolen om tolkningen av GDPR i detta sammanhang.
Kärnfrågan i målet var om personuppgifter som samlas in genom kroppsburna kameror ska anses vara insamlade direkt från den registrerade eller indirekt, samt vilken informationsskyldighet som då gäller. EU-domstolen svarar Högsta förvaltningsdomstolen att den registrerade måste få viss information omedelbart, eftersom personuppgifter som inhämtas via kroppsburna kameror samlas in direkt från den registrerade.
För att insamling av personuppgifter ska kvalificeras som ”direkt” krävs det nämligen varken att den registrerade medvetet lämnar personuppgifter eller att han eller hon vidtar någon specifik åtgärd. Personuppgifter som inhämtas genom observation av den person som är källa till uppgifterna ska därför anses vara direkt insamlade från denne. Det andra typfallet, avseende indirekt insamling av personuppgifter, ska tillämpas när den personuppgiftsansvarige inte står i direkt kontakt med den registrerade och erhåller uppgifterna från en annan källa.
Mot denna bakgrund slår domstolen fast att artikel 13 i GDPR är tillämplig. Det innebär att den personuppgiftsansvarige, i detta fall SL, är skyldig att omedelbart ge den registrerade viss information i samband med att personuppgifterna samlas in. Informationen ska omfatta bland annat den personuppgiftsansvariges identitet, ändamålen med behandlingen, den rättsliga grunden för behandlingen samt de registrerades grundläggande rättigheter enligt GDPR.
När personuppgifter samlas in direkt från den registrerade får informationsskyldigheten fullgöras genom en skiktad metod. Den viktigaste informationen får då anges på en varningsskylt. Övrig obligatorisk information får lämnas till den registrerade på ett lämpligt och fullständigt sätt som innebär att informationen görs åtkomlig på en lättillgänglig plats.
Avgörandet får betydande konsekvenser för användningen av kroppsburna kameror och annan liknande övervakning i offentlig miljö. Det klargör att aktörer inte kan undgå informationsskyldigheten genom att hävda att personuppgifter samlas in indirekt när människor filmas i vardagliga situationer. Tolkningen får därmed betydelse inte bara för kollektivtrafikbolag utan även för andra offentliga och privata aktörer som använder kamerateknik i mötet med allmänheten.
Nu återstår för Högsta förvaltningsdomstolen att avgöra det svenska målet med EU‑domstolens tolkning som rättslig grund. Utfallet kan få prejudicerande betydelse i Sverige och påverka hur informationskraven enligt GDPR ska uppfyllas vid framtida användning av kroppsburna kameror och liknande teknik.