Garante per la protezione dei dati personali (Garante) har beslutat att utfärda en sanktionsavgift på 15 000 euro mot en kommun för olaglig kamerabevakning av anställd i strid med dataskyddsförordningen (GDPR).
Bakgrund
Av beslutet framgår att ärendet inleddes efter ett klagomål från en före detta anställd vid kommunen. Den registrerade uppgav att kommunen hade inlett ett disciplinärt förfarande mot henne baserat på video- och fotomaterial som erhållits genom otillbörlig användning av ett kamerabevakningssystem. Hon hävdade även att kommunens borgmästare hade bett en privatperson att filma henne när hon åt lunch med vänner, som ett led i en utredning av hennes beteende.
Kommunen uppgav att kamerabevakningssystemet hade installerats av säkerhetsskäl och i brottsförebyggande syfte. En inspelning som visade den registrerade lämna arbetsplatsen utan att stämpla ut användes senare i ett disciplinärt förfarande som resulterade i hennes avskedande. Materialet användes även i en brottsutredning avseende misstänkt tjänstefel, vilken senare lades ned utan åtal.
Myndighetens bedömning
Garante konstaterade flera överträdelser av GDPR. Bland annat ansågs inspelningen av den registrerade och två andra anställda utanför arbetsplatsen utgöra en olaglig behandling av personuppgifter i strid med principen om laglighet, korrekthet och öppenhet enligt artikel 5.1 (a) GDPR samt kravet på rättslig grund enligt artiklarna 6.1–6.3 GDPR.
Garante konstaterade också att kommunen inte hade informerat sina anställda om kamerabevakningen, vilket innebar en överträdelse av informationsskyldigheten enligt artiklarna 12 och 13 GDPR. Vidare ansågs användningen av inspelningarna i ett disciplinärt förfarande strida mot principen om ändamålsbegränsning i artikel 5.1 (b) GDPR, eftersom kamerorna uppgavs vara installerade för säkerhetsändamål.
Därutöver ansåg Garante att installationen av kamerabevakningssystemet borde ha föregåtts av en konsekvensbedömning avseende dataskydd enligt artikel 35 GDPR. Slutligen konstaterades även en överträdelse av artikel 88 GDPR, eftersom behandlingen av personuppgifter i anställningssammanhang inte ansågs nödvändig och saknade tillräckliga skyddsåtgärder.
Praktiska konsekvenser
Beslutet illustrerar de dataskyddsrättsliga riskerna med kamerabevakning i arbetslivet. Organisationer behöver säkerställa att kamerabevakning har en tydlig rättslig grund, att de registrerade informeras om behandlingen samt att personuppgifter inte används för andra ändamål än de ursprungligen angivna. I vissa fall kan det även krävas en konsekvensbedömning avseende dataskydd innan kamerabevakning införs.
Kontakta oss
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: Garante.
