3 Generelt om virksomheten og gjennomføring av kontrollen

Transkript

1 Saksnummer: 14/01190 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Mona Lisa Huset (St. Croix AS) Sted: Grensen 10, Oslo Utarbeidet av: Andreas Jensen Hofstad 1 Innledning Datatilsynet gjennomførte en uanmeldt kontroll hos Mona Lisa Huset den Kontrollen ble utført med hjemmel i personopplysningsloven 44, jf. 42, 3. ledd. Temaet for kontrollen var virksomhetens kameraovervåkning. Kontrollen fant sted ved virksomhetens faste forretningsadresse. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og vedtak. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Harun Demirci, Food & Beverages Manager 2.2 Fra Datatilsynet: - Andreas Jensen Hofstad, rådgiver - Marte Lindblad Skaslien, rådgiver - Ted Tøraasen, overingeniør 3 Generelt om virksomheten og gjennomføring av kontrollen Mona Lisa Huset er et restauranthus med flere serveringssteder i samme bygning. Alle serveringsstedene drives av virksomheten St. Croix AS (org.nr ). I kjelleren ligger restauranten Kos Kos, i første etasje (på gateplan) ligger restauranten La Brasserie og sportsbaren Da Vinci. I andre etasje ligger restauranten Mona Lisa og i tredje etasje ligger nattklubben G10, samt kundetoaletter. I fjerde etasje er det kontorer, lagerrom samt omkledningsrom for ansatte. Det finnes to trappeoppganger i bygningen, hvorav den ene er tilgjengelig for kunder og fungerer som bindeledd mellom serveringsstedene. Baktrappen er avstengt for kundeferdsel, men brukes av ansatte og folk som leverer varer osv. I tillegg er det en trapp fra Kos Kos som går direkte opp til gateplanet. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 8177 Dep Tollbugt OSLO

2 Da Datatilsynet ankom ba vi om å få snakke med daglig leder eller lignende, og vi fikk snakke med Harun Demirci som er ansvarlig for mat og drikke i restauranthuset. Vi oppfordret ham til å kontakte virksomhetens øverste leder, men Demirci opplyste at dette ikke var nødvendig. Han ga uttrykk for at han kunne svare på virksomhetens vegne, og kontrollen ble gjennomført uten problemer. 4 Kameraovervåkningen I virksomhetens lokaler ble det til sammen funnet 19 kameraer. Disse kan deles i tre kategorier: Den første kategorien er tradisjonelle overvåkningskameraer som i det ytre er lett å fastslå at er kameraer (se eksempel i vedlegg 1). Ca. halvparten av kameraene er i denne kategorien. Den andre kategorien er kameraer som var skjulte, i den forstand at de lignet alarmsensorer (se vedlegg 2). Ca en tredjedel av kameraene var i denne kategorien. Den siste kategorien av kameraer var tilnærmet umulig å få øye på, disse vil bli beskrevet konkret i teksten nedenfor. 4.1 Ansvarsplassering Datatilsynet legger til grunn at St. Croix AS er behandlingsansvarlig i henhold til definisjonen i personopplysningsloven 2 nummer 4, for kameraovervåkningen i hele lokalet som har navnet Mona Lisa Huset. 4.2 Gjennomgang av kameraovervåkningen i de ulike lokalene Kos Kos to kameraer Kos kos er restauranten i kjelleren. Dette lokalet fremstår i det ytre som en bar/nattklubb, men det serveres også mat. Det er to kameraer i lokalet. Det ene er et synlig kamera som er montert ved inngangsdøren og dette fanger primært opp området bak disken hvor de ansatte ferdes. Det andre kameraet er montert lengre inn i lokalet og er av typen som ligner en alarmsensor. Dette fanger opp store deler av området hvor kundene oppholder seg Trapperom tre kameraer I hovedtrappen for ferdsel mellom etasjene er det montert ett kamera i første etasje, som er ment å fange opp garderoben. Dette er et vanlig overvåkningskamera. I baktrappen, rett innenfor døren ut mot gaten, er det montert et skjult kamera i en liten firkantet koblingsboks (se vedlegg 3). Dette kameraet fanger opp inngangsdøren som brukes av ansatte og til varelevering. Døren er vanligvis låst. I den tredje trappen, som åpnes for ferdsel mellom Kos Kos og gaten, var det montert et synlig kamera rett innenfor døren på gateplan. Dette kameraet fanger opp ferdsel inn gjennom døren La Brasserie fem kameraer La Brasserie er en av restaurantene på gateplan. I denne restauranten er det matservering både innendørs og utendørs, uteserveringen er på gateplan med fysisk skille mot gågaten. Det er to overvåkningskameraer utvendig, og disse fanger opp både uteserveringen og deler av gågaten 2

3 utenfor. Innendørs er det tre kameraer. Ett er montert bak betjeningen i bardisken og er vendt mot kundene i baren. De andre to er plassert i hver sin ende av lokalet og fanger opp bordene hvor gjestene spiser Da Vinci tre kameraer I sportsbaren Da Vinci, som også ligger på gateplan, er det to kameraer innvendig og ett utenfor inngangsdøren. Det utvendige fanger opp selve inngangspartiet. Av de innvendige kameraene er ett plassert bak baren, rettet mot kundene og inngangsdøren. Det andre er montert slik at det fanger opp området hvor kundene oppholder seg. Det sistnevnte er av typen som ligner en alarmsensor Mona Lisa to kameraer Mona Lisa er restauranten som ligger i andre etasje. I denne restauranten er det to overvåkningskameraer: Ett synlig kamera og ett av typen som ligner en alarmsensor. Disse kameraene fanger hovedsakelig opp områdene hvor kundene sitter og spiser, og deler av bardisken G10 ett kamera G10 er nattklubben i tredje etasje. I nattklubben er det montert ett kamera som er vendt mot dansegulvet. Dette er et vanlig overvåkningskamera Kundetoaletter i tredje etasje ett kamera Toalettene ligger i tredje etasje. I gangen som leder inn mot toalettene er det montert et kamera av typen som ligner alarmsensor. Dette kameraet er ment å fange opp en disk som tidligere har blitt brukt som serveringssted (se til illustrasjon vedlegg 4). Toalettene i seg selv blir ikke fanget opp av dette kameraet, men all ferdsel til og fra toalettene fanges opp Kontorer, lager og øvrige rom i fjerde etasje to kameraer I denne etasjen er det i den ene fløyen en låst dør som leder inn mot ledelsens kontorer. I den andre fløyen er det omkledningsrom og lager. I området mellom disse to fløyene lagres bruskasser og annet materiell, og her er det et knapt synlig overvåkningskamera under taket (se vedlegg 5). Dette kameraet fanger opp ferdsel ut og inn av heisen i etasjen. I den fløyen hvor ansattes omkledningsrom fant Datatilsynet ingen overvåkningskameraer. I den fløyen hvor ledelsens kontorer er, bak den låste døren, finnes et skjult kamera i et hull i veggen innerst i korridoren (se vedlegg 6). Dette kameraet fanger opp ferdsel til og fra kontorene og området der det lagres bruskasser og annet materiell. 4.3 Overvåkningens formål Det er meldeplikt overfor Datatilsynet for kameraovervåkning. På kontrolltidspunktet var det ingen gyldig melding å ta utgangspunkt i for å kunne avklare formålet med kameraovervåkingen. (Det er naturlig at dette er angitt i meldingens punkt 6 c - Nærmere beskrivelse.) 3

4 Under kontrollen opplyste virksomheten at alle kameraene er begrunnet med behov for verdisikring. De brukes som virkemiddel mot både tyverier fra gjester og tyveri og underslag av virksomhetens verdier. Virksomhetens representant ga også uttrykk for at det var et generelt behov for å fange opp eventuelle hendelser hvor politiet ville ha nytte av opptak. Det ble nevnt et eksempel hvor det hadde vært en slåsskamp på gaten, og hvor politiet hadde bedt om opptak. 4.4 Skilt om kameraovervåkning Kameraovervåkningen er merket ved klistremerke på inngangsdørene. To dører var merket med Securitas sine klistremerker som forteller at området er overvåket. På de andre to dørene var det hvit tekst med ordlyden «Området kan være overvåket». Se vedlegg 7 og Sletterutiner Opptak fra kameraovervåkningen ser ut til å slettes rutinemessig etter en måned. Noen av de eldre opptakene kunne ikke vises, uten at Datatilsynet fikk noen forståelse av hvorfor. Opptakene som ikke kunne vises ble ledsaget av feilmeldingen «Video loss». Når Datatilsynet forsøkte å se på opptak som var 30 dager gamle kunne et fåtall av disse vises, og hoveddelen av de eldste opptakene kunne ikke spilles av. 5 Kort om personopplysningsloven og reglene om kameraovervåkning Lov om behandling av personopplysninger av 14. april 2000 nr. 31 (personopplysningsloven) har egne bestemmelser om kameraovervåkning, definert i lovens 36. Disse følger av personopplysningslovens kapittel VII. Personopplysningsforskriftens kapittel 8 har utfyllende bestemmelser for kameraovervåking. I tillegg til bestemmelsene i lovens kapittel om kameraovervåking ( 36 41), gjelder lovens 8, 9, 11, 31 og 32 for all kameraovervåking. 5.1 Grunnkrav og vilkår for å behandle personopplysninger Personopplysningslovens 11 oppstiller grunnkrav til behandling av personopplysninger. Disse gjelder også for kameraovervåkning. Innsamling og bruk av personopplysninger skal skje til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet, jf 11 bokstav b. Det er med andre ord en forutsetning at det er klargjort hvorfor personopplysningene samles inn og hva de skal brukes til. (Det er vanskelig å se hvordan et formål kan være uttrykkelig angitt uten at det også å være skriftlig nedfelt.) Etter personopplysningslovens 11 første ledd bokstav a må behandling av personopplysninger oppfylle ett av vilkårene i personopplysningslovens 8 (og 9 om det er sensitive personopplysninger). Dette kalles behandlingsgrunnlag. Behandlingsgrunnlaget for kameraovervåkning vil normalt være lovens 8 bokstav f. 4

5 Vilkåret etter dette alternativet er at behandlingen av personopplysningene er nødvendig for at den behandlingsansvarlige kan vareta en berettiget interesse, og at hensynet til den registrertes personvern ikke overstiger denne interessen. Med den registrerte menes her enhver som omfattes av opptakene og kan gjenkjennes, herunder ansatte, kunder, besøkende, eller andre. Oppfyller ikke overvåkningen vilkåret i 8, vil den mangle behandlingsgrunnlag, og følgelig være i strid med loven. Personopplysningsloven 37 angir retningslinjer for hvordan avveiningen skal foretas når det gjelder kameraovervåkning, og slår fast at det skal legges vesentlig vekt på om overvåkningen bidrar til å verne om liv og helse eller forebygger alvorlige eller gjentatte straffbare handlinger. 5.2 Skjerpet interesseavveining for områder hvor bare ansatte ferdes For kameraovervåking på en arbeidsplass vil det svært ofte gjelde et strengere krav til behov. Personopplysningsloven 38 stiller et krav om særskilt behov for overvåkingen om overvåkingen skjer et sted der en begrenset krets av personer ferdes jevnlig. Et typisk eksempel kan være et lagerrom eller områder bak bardisk o.l. hvor kun ansatte har tilgang. Det er med andre ord høye terskler for en lovlig overvåking av ansatte. Det gjelder særlig strenge krav dersom overvåkingen i stor grad fanger opp områder hvor de ansatte utfører sine alminnelige gjøremål i løpet av en arbeidsdag. 6 Funn og avvik fra lovbestemte krav til kameraovervåkning Etter Datatilsynets vurdering, faller kameraovervåkingen hos Mona Lisa Huset inn under personopplysningslovens definisjon av kameraovervåking, jf. personopplysningsloven 36. I rapportens påfølgende deler ser vi på den konkrete overvåkingen opp mot personopplysningslovens krav til kameraovervåking, som varslingsplikt, krav til rettslig grunnlag for behandlingen av personopplysningene, meldeplikt med videre. Datatilsynet anser personopplysningsloven 8 bokstav f som det aktuelle rettslige grunnlaget som virksomhetens overvåkning må vurderes opp mot. Tilsynet mener at lovens 38 kommer til anvendelse for overvåking på de steder hvor kundene ikke har adgang. 6.1 Behandlingsgrunnlag personopplysningsloven Overvåkning av gågaten utenfor lokalet Kameraovervåkningen som fanger opp gågaten utenfor forretningslokalet er begrunnet i samfunnets behov for å oppklare straffbare handlinger på offentlig sted. Dette er imidlertid en oppgave for politiet, og kan ikke rettferdiggjøre privat initiert kameraovervåkning på offentlig sted. 5

6 6.1.2 Områder hvor kunder og ansatte ferdes Personverninteressen er særlig tungtveiende på utesteder, nattklubber og restauranter. Slike steder skiller seg vesentlig fra vanlige butikker, kjøpesentre o.l. Kundene har en berettiget interesse i å besøke disse stedene uten å bli kontinuerlig fanget opp på video. Datatilsynet har en langvarig og entydig praksis hvor dette hensynet har blitt tillagt stor vekt. Dette kommer også til uttrykk i vår veileder om kameraovervåkning, som er tilgjengelig på Datatilsynets nettsider. Når det gjelder kameraovervåkning på dansegulvet i nattklubben G10 så er det ikke fremlagt noen begrunnelse for hvorfor dette skulle være nødvendig og dette vurderes som svært inngripende overfor gjestene. Når mesteparten av serveringsområdene er under overvåkning blir de ansattes daglige arbeidsutførelse også i stor grad omfattet av overvåkningen. Også dette må tas hensyn til i interesseavveiningen jf. personopplysningsloven 8 bokstav f. Behovet for å forebygge tyveri og underslag må veies opp mot de to ovennevnte hensynene. Datatilsynet oppfatter det slik at kameraovervåkningen er ment å imøtegå en generell trussel om tyveri og underslag, ikke som et tiltak i en spesielt utsatt situasjon eller en bekjempelse av allerede påviste og konkrete problemer forårsaket av ansatte eller kunder. Vår foreløpige vurdering er at det angitte behovet ikke rettferdiggjør overvåkning i den utstrekning det skjer ved Mona Lisa Huset. Dette behovet kan i beste fall rettferdiggjøre kameraovervåkning i inngangspartiene for å skaffe et signalement på eventuelle tyver Områder hvor bare ansatte har adgang De skjerpede kravene i personopplysningsloven 38 gjelder for områder hvor bare de ansatte ferdes. Dette gjelder for området bak bardiskene samt områdene i fjerde etasje. Datatilsynet kan ikke se at Mona Lisa Huset har et spesielt sikkerhetsbehov. Helt konkret: Stedet fremstår ikke som spesielt utsatt i det tidsrommet de ansatte er på jobb. Det er flere på jobb samtidig, og stedet fremstår ikke som ransutsatt (skjønt det ikke kan utelukkes at det kan skje). Datatilsynet er ikke kjent med at det eksisterer noen pågående og spesiell situasjon av typen internt svinn, verken av penger eller varer. Tilsynet har heller ikke inntrykk av at det hersker utrygghet blant ansatte for ulike trusler som skulle kunne rettferdiggjøre en omfattende overvåking. En generell henvisning til at det i en bardisk oppbevares dyre drikkevarer er ikke tilstrekkelig begrunnelse for kameraovervåkning i denne sammenhengen. Når det gjelder kameraovervåkning i fjerde etasje hvor de ansatte ferdes kun sporadisk og hvor det lagres varer, så oppfattes dette som lite problematisk for de ansatte. Området er åpent tilgjengelig både via trappen og heisen og derfor forståelig at behovet for verdisikring kan være reelt. 6

7 6.1.4 Konklusjon behandlingsgrunnlag Datatilsynets konklusjoner, i henhold til de vurderinger som fremkommer ovenfor, er følgende: Områder hvor både ansatte og gjester ferdes, jf. punkt ovenfor, hvor Datatilsynet mener at det ikke foreligger et gyldig behandlingsgrunnlag: - Overvåkning av områder hvor gjestene spiser og drikker, under en generell henvisning til behovet for å sikre gjestene mot tyverier, har ikke behandlingsgrunnlag i personopplysningsloven 8 bokstav f. - Overvåkning av gågaten utenfor serveringsstedene har ikke behandlingsgrunnlag i personopplysningsloven 8 bokstav f. - Overvåkning av dansegulvet på G10 har ikke behandlingsgrunnlag i personopplysningsloven 8 bokstav f. - Overvåkning av gangen inn til toalettene har ikke behandlingsgrunnlag i personopplysningsloven 8 bokstav f. Områder hvor både ansatte og gjester ferdes, jf. punkt ovenfor, hvor Datatilsynet mener at det foreligger et gyldig behandlingsgrunnlag: - Overvåkning av trapp i forbindelse med stedets garderobe har behandlingsgrunnlag i personopplysningsloven 8 bokstav f. - Overvåkning av inngangspartiene for å skaffe signalement på eventuelle tyver har behandlingsgrunnlag i personopplysningsloven 8 bokstav f. Områder hvor en begrenset krets personer ferdes jenvlig, jf. punkt ovenfor, hvor Datatilsynet mener det foreligger et gyldig behandlingsgrunnlag: - Overvåkning i fjerde etasje hvor de ansatte ferdes kun sporadisk og hvor det lagres varer har behandlingsgrunnlag i personopplysningsloven 8 bokstav f. - Overvåkning av baktrappen innenfor døren på gateplan har behandlingsgrunnlag i personopplysningsloven 8 bokstav f. 6.2 Informasjon om kameraovervåkning Lovens krav Personopplysningsloven 40 slår fast at ved kameraovervåkning skal det «ved skilting eller på annen måte gjøres tydelig oppmerksom på at stedet blir overvåket». Når kameraene ikke er synlige må kravet til skilting praktiseres strengere enn ellers. Overfor de ansatte vil det som 7

8 regel være hensiktsmessig og påkrevet å informere nærmere om hvilke områder som er overvåket og hvilke som ikke er det, slik at de vet hva de har å forholde seg til Datatilsynets vurdering og konklusjon Den informasjonen som finnes om at det er kameraovervåkning i lokalene er festet til dørene inn fra gaten. Det er ingen spesifikasjon for hvilke deler av lokalet som er overvåket og hvilke som ikke er det. Skiltingen er snarere egnet til å skape usikkerhet for kunder og ansatte, når man har brukt formuleringen «kan være overvåket». Det foreligger ingen skriftlig informasjon som er tilgjengelig for ansatte eller kunder om kameraovervåkningen. Dette er spesielt uheldig når en stor andel av kameraene er skjulte. For de ansatte er det vanskelig å ha oversikt over hvilke områder som faktisk overvåkes, da det ikke er mulig å skille mellom hva som er et kamera og hva som er en alarmsensor. Vi bemerker at det finnes mange alarmsensorer i lokalet som ikke fungerer som overvåkningskameraer. Det er illustrerende at virksomhetens representant selv hadde vansker med å angi hvor mange kameraer som fantes i lokalene og hvor disse var plassert. Eksempelvis ble det under kontrollen nødvendig å se på monitorene mens Datatilsynets medarbeidere sto i rommet for å avgjøre hvor kameraene var plassert. Når det hersker en slik usikkerhet for ledelsen om hvilke områder som er overvåket er det naturlig å legge til grunn at heller ikke de ansatte har oversikt over dette. Kundene har ingen forutsetninger for å vite om de skjulte kameraene. Det samme gjelder for kameraene som er plassert i fjerde etasje, da disse knapt er synlige. Datatilsynets konklusjon er at det ikke gis tilfredsstillende informasjon om kameraovervåkningen i lokalene. Vi konstaterer at det her er et avvik fra lovens krav. 6.3 Internkontroll Lovens krav Personopplysningsloven 14 stiller opp en plikt for den behandlingsansvarlige til å etablere og vedlikeholde systematiske tiltak som er nødvendige for å oppfylle lovens og forskriftens krav. Tiltakene skal dokumenteres skriftlig, jf. 14 andre ledd. Hvor strengt man skal tolke kravet til internkontrollsystemet avhenger blant annet av hvilke personopplysninger som behandles. Tiltakene må stå i et rimelig forhold til hvor inngripende overvåkningen er for de som er berørt av den Datatilsynets vurdering og konklusjon Virksomheten hadde ingen skriftlige dokumenter som omhandlet kameraovervåkningen. Det var, som nevnt nedenfor i punkt 6.5, innført informasjonssikkerhetstiltak for å forhindre at uvedkommende får tilgang på opptak, og det var innført sletterutiner, som Datatilsynet mener er mangelfulle. 8

9 Datatilsynet har ikke fått fremlagt noen skriftlig angivelse av formålet med kameraovervåkningen med tilhørende rutine for når opptak skal benyttes. En skriftlig formålsangivelse vil kunne bidra til å forebygge misbruk av opptak, for eksempel at overvåkningskameraene ikke skal brukes til å kontrollere hvordan de ansatte utfører sitt arbeid. Datatilsynet har heller ikke fått fremlagt skriftlig informasjon som gis til de ansatte vedrørende kameraovervåkningen. Det er den behandlingsansvarlige som må dokumentere at det gis tilfredsstillende informasjon til de ansatte. En skriftlig redegjørelse om hvilke deler av lokalet som er overvåket samt hvilke formål overvåkningen er ment å oppfylle vil medføre mye større grad av sikkerhet for at hver enkelt ansatt faktisk mottar slik informasjon, i motsetning til dagens angitte rutine som består i å gi informasjonen muntlig. Vi mener at skriftlig informasjon til ansatte er nødvendig for at internkontrollplikten skal være oppfylt. Datatilsynets konklusjon er altså at det foreligger avvik fra lovens krav, jf. personopplysningsloven Sletting av opptak Lovens krav Personopplysningsforskriften kapittel 8 har regler om sletting av opptak fra kameraovervåkning. Den generelle regelen er at opptak skal slettes når det ikke lenger er saklig behov for lagring. Opptak skal uansett slettes rutinemessig senest etter syv dager. Unntaket er dersom det foreligger en hendelse hvor det kan være aktuelt å anmelde forholdet til politiet. I slike tilfeller har man en utvidet slettefrist på 30 dager for de aktuelle opptakene. Dette følger av personopplysningsforskriften Datatilsynets vurdering og konkusjon Selv om det var slik at noen av de eldste opptakene ikke kunne vises da Datatilsynet gjennomførte sin kontroll, så var det slik at virksomheten har lagt opp til automatisk og rutinemessig sletting av opptak etter en måned. Datatilsynet konstaterer at dette er avvik fra forskriftens krav. 6.5 Meldeplikt Lovens krav Personopplysningsloven 31 slår fast at behandling av personopplysninger generelt er meldepliktig. Dette omfatter også kameraovervåkning Datatilsynets vurdering og konklusjon Datatilsynet kan ikke se at kameraovervåkningen var meldt på kontrolltidspunktet. Dette er et avvik fra lovens krav. 9

10 6.6 Informasjonssikkerhet Lovens krav Personopplysningsloven 13 slår fast at den behandlingsansvarlige må sørge for «tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet». I dette ligger at opptak fra kameraovervåkning ikke skal være tilgjengelige for uvedkommende, de skal ikke kunne manipuleres av ansatte eller utenforstående, og de skal være tilgjengelige for ledelsen når det oppstår situasjoner som kameraovervåkningen er ment å skulle forebygge og oppklare Datatilsynets vurdering og konklusjon Det er opplyst at opptak kun lagres lokalt og kun er tilgjengelig ved fysisk tilgang til datamaskinen hvor systemet drives. Maskinen er på kontoret som ligger bak en låst dør, og er ikke tilkoblet Internett. Det er lagt inn en firesifret pinkode for å få tilgang til opptakene, slik at tilgangsstyring er mulig. Datatilsynets vurdering er at virksomheten har foretatt tilfredsstillende grep for å ivareta informasjonssikkerheten. Her foreligger det ikke et avvik fra lovens krav. 10