Integritetsskyddsmyndigheten (IMY) har utfärdat en sanktionsavgift på 800 000 kronor mot Utbildningsnämnden i Stockholms stad för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att IMY granskat kamerabevakningen på Aspuddens skola i Stockholm. I sitt tillsynsbeslut konstaterar IMY att skolan, som tidigare haft problem med anlagda bränder får kamerabevaka utanför dörren eller ingången till toalettutrymmen i vissa delar av skolan, för att förebygga och följa upp anlagda bränder som sker inne på toaletterna.
Anlagda bränder är allvarliga och kan utgöra hot mot liv och hälsa, vilket gör att IMY i det här fallet kan motivera kamerabevakning av vissa områden. Däremot ska dessa kamerors upptagningsområde begränsas så att de inte filmar mer än nödvändigt, och bara platser där problem med bränder typiskt sett har förekommit.
IMY:s granskning inleddes till följd av klagomål som gjorde gällande att Aspuddens skola, som hör till Stockholm stad, bedriver omfattade kamerabevakning i stora delar av skolan och att ingen information om kamerabevakningen har lämnats till vårdnadshavare och elever. Granskningen visade att det i skolan fanns cirka 50 fasta kameror. Kamerorna bevakar korridorer, trapphus och hallar i anslutning till dörrar, toaletter och elevskåp och finns uppsatta i stora delar av skolan. Bevakningen sker dygnet runt med bildinspelning.
Enligt IMY är kamerabevakning av barn alltid integritetskänslig, särskilt eftersom skolan är en plats där de till följd av skolplikten är skyldiga att vistas. Det är därför viktigt att inte slentrianmässigt ha kamerabevakning i hela skolan, dygnet runt. Det kan vara tillåtet att kamerabevaka i en skola men det är viktigt att man dokumenterar vad som har hänt och undersöker om andra åtgärder är tillräckliga. Först då kan man göra de avvägningar som krävs för att bedöma om bevakningen är tillåten.
IMY riktar i sitt beslut kritik mot skolan för valet av rättslig grund för kamerabevakningen, att all kamerabevakning skett dygnet runt och att kamerornas upptagningsområde inte begränsats utan filmat för stora ytor för ändamålet. Detta innebär enligt IMY överträdelser av principen om laglighet i artikel 5.1 (a) GDPR, principen om uppgiftsminimering i artikel 5.1 (c) GDPR, kravet på rättslig grund i artikel 6.1 GDPR, samt skyldigheten att lämna information enligt artikel 13 GDPR.
Sammantaget gör de påträffade bristerna att IMY utfärdar en administrativ sanktionsavgift på 800 000 kronor mot Utbildningsnämnden i Stockholm. I sitt beslut förelägger IMY skolan att begränsa kamerabevakningen dagtid och framför även synpunkter på hur skolan bör informera om den kamerabevakning som sker.
Kamerabevakning kan vara ett verktyg för att öka trygghet och förhindra och utreda brott. Eftersom många skolor vill kamerabevaka har IMY tidigare publicerat vägledning kring vad man måste tänka på vid kamerabevakning.
Kamerabevakning medför alltid svåra avvägningar mellan olika intressen. Att ge så konkret vägledning som möjligt på detta område är därför en prioriterad uppgift för IMY som myndighet. Beslutet mot Aspuddens skola innehåller information som kompletterar vår tidigare vägledning och kan vara till stort stöd för andra skolors juridiska bedömning av sin kamerabevakning.