Oversendelse av sak til klagebehandling - kameraovervåking i bank i butikk - Personvernnemnda

Transkript

1 Personvernnemnda Postboks SANDEFJORD Deres referanse Vår referanse (bes oppgitt ved svar) Dato 12/ /HTE 6. november 2013 Oversendelse av sak til klagebehandling - kameraovervåking i bank i butikk - Personvernnemnda Datatilsynet har mottatt en klage datert 11. september 2013 fra Advokatfirmaet Ræder DA, v/adv. Vebjørn Søndersrød, som representerer NorgesGruppen ASA (heretter NorgesGruppen), herunder Kiwi Norge AS og Kjøpmannshuset Norge AS (heretter profilhusene). Datatilsynet har i tillegg mottatt klage fra DNB Bank ASA (heretter DNB eller banken), som etter tilsynets vurdering har en rettslig klageinteresse. Klagene gjelder Datatilsynets vedtak av hhv. 21. og 25. juni Klagene på Datatilsynets vedtak er rettidig fremsatt, jf. forvaltningsloven 29. Datatilsynet har foretatt en ny vurdering av saken, men finner ikke grunnlag for å oppheve eller endre vedtaket. I medhold av personopplysningsloven 43 oversendes saken til klagebehandling i Personvernnemnda. 1. Hovedproblemstillingen Hovedproblemstillingen i denne saken og som Personvernnemnda må ta stilling til gjelder plassering av ansvar for kameraovervåkingen av «bank i butikk»-tjenester («bank i butikk» heretter BIB). Nærmere bestemt om profilhusene kan være behandlingsansvarlig for kameraovervåkingen av «bank i butikk»-tjenester. Kameraovervåkingen av BIB-tjenestefinner sted i butikkene, siden de hensynene som ligger bak en slik kameraovervåking vil skiller seg fra den øvrige kameraovervåkingen som kunne hjemle en utvidet lagringstid på inntil 90 dager, jf. personopplysningsforskriften 8-4 sjette ledd. Datatilsynet har i vedtakene konkludert med at profilhusene ikke kan være behandlingsansvarlige for kameraovervåkingen av BIB-tjenester. Virkningen av vedtakene er, hvis klagerne ønsker å opprettholde en slik kameraovervåking med en utvidet lagringstid på inntil 90 dager, at banken må være behandlingsansvarlig. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt OSLO Hjemmeside:

2 Personvernnemndas avgjørelse i dette spørsmålet vil være bestemmende for de etterfølgende problemstillingene som gjelder spørsmål om lagringstid og adgangen til å utlevere kameraopptakene. 2. Saksgangen 2.1 Innledning Høsten 2012 gjennomførte Datatilsynet to kontroller overfor dagligvarebutikker som formidlet BIB-tjenester. Datatilsynet gjennomførte kontroller mot butikkene Kiwi Sognsveien den 10. oktober 2012 (saksnr. 12/00853) og Spar Tåsen den 19. oktober 2012 (saksnr. 12/00852). Den 12. oktober 2012 (saksnr. 12/00859) gjennomførte tilsynet en kontroll mot ICA Norge AS og deres butikk Rimi Semsbyen som formidler «post i butikk» (heretter PIB). Vedtakene tilsynet fattet i denne saken er også påklagd og vil bli oversendt Personvernnemnda i egen oversendelse. Selskapene som er oppgitt til å ha behandlingsansvaret for kameraovervåkingen i butikkene Kiwi Sognsveien og Spar Tåsen er hhv. Kiwi Norge AS og Kjøpmannshuset Norge AS. Både Kiwi Norge AS og Kjøpmannshuset Norge AS eies av NorgesGruppen. Spørsmålene som klagene reiser er likelydende og vil derfor være gjenstand for en samlet behandling i det følgende. For enkelhets skyld vil tilsynet kun vise til vedtakspunktene fattet overfor Kiwi Norge AS. Problemstillingene som reises i disse to sakene vil få betydning for øvrige dagligvarebutikker som formidler BIB-tjenester på tilsvarende måte. 2.2 Gjennomgang av sentrale korrespondanser og vedtak i saken Den 12. september 2012 varslet Datatilsynet DNB om at tilsynet skulle gjennomføre kontroller mot hhv. Kiwi Sognsveien og Spar Tåsen, og at kontrollen var rettet mot kameraovervåking av BIB. I e-post av 18. september 2012 får tilsynet beskjed fra DNB om at de ikke anser seg for å være behandlingsansvarlig for kameraovervåkingen av BIB-tjenester. Etter den tilbakemeldingen sendte tilsynet et endret varsel om kontroll til hhv. NG Kiwi Oslo Akershus AS og NG Spar sør AS i brev datert 20. september I løpet av tilsynets saksbehandling blir det klarlagt at rette juridisk person skal være Kiwi Norge AS for kontrollen på butikken Kiwi Sognsveien og Kjøpmannshuset Norge AS for kontrollen på butikken Spar Tåsen. Datatilsynet gjennomførte kontroller mot Kiwi Sognsveien den 10. oktober 2012 og Spar Tåsen den 19. oktober

3 Datatilsynet oversendte den foreløpige kontrollrapporten og varsel om vedtak hhv. 11. februar og 19. mars april 2013 ble det avholdt et møte mellom NorgesGruppen, DNB og Datatilsynet. I møte fikk partene anledning til å gi sine synspunkter og presentere de praktiske utfordringene som tilsynets varsel om vedtak ville medføre. DNB og NorgesGruppen innga sine merknader i brev av hhv. 29. april og 30. april Datatilsynet oversendte den endelige kontrollrapporten og vedtak overfor profilhusene i brev av hhv. 21. juni (Kiwi Norge AS) og 25. juni 2013 (Kjøpmannshuset Norge AS). Overfor Kiwi Norge AS var påleggende utformet som følger: 1. Virksomheten må etablere og dokumentere internkontroll i samsvar med personopplysningsloven 14 jf personopplysningsforskriften kapittel 3. Det vises til tilsynsrapportens punkt 5.3 flg. Som ledd i dette arbeidet må virksomheten blant annet: a. plassere ansvaret for å gjennomføre den behandlingsansvarliges oppgaver, jf personopplysningsloven 14 jf 2 nr 4. Dette gjelder for all behandling av personopplysninger som virksomheten er behandlingsansvarlig for. Det vises til rapportens punkt 5.3 flg og punkt 5.1 flg, herunder punkt Det vises også til vurderingen av svar til dette pålegget ovenfor. b. utarbeide en samlet oversikt over alle behandlinger av personopplysninger virksomheten er behandlingsansvarlig for med behandlingens formål og behandlingsgrunnlag i henhold til personopplysningsloven 14 jf personopplysningsforskriften 3-1. Det vises til rapportens punkt 5.3, herunder punkt c. utarbeide dokumenterte rutiner på ivaretakelse av sletteplikten, jf personopplysningsloven 14 jf. 11 bokstav e, jf 28 og personopplysningsforskriften 8-4. Det vises til rapportens punkt 5.3, herunder og 5.4, herunder punkt d. utarbeide dokumenterte rutiner om utlevering av billedopptak som sikrer at eventuelle utleveringer skjer i henhold til regelverket, jf personopplysningsloven 14 jf 39. Det vises til rapportens punkt 5.3 flg og punkt flg. e. utarbeide dokumenterte rutiner som sikrer at det kun inngås reelle databehandlerrelasjoner jf personopplysningsloven 14 jf 2 nr 4 jf 2 nr 5. Det vises til rapportens punkt 5.3 flg og flg. f. utarbeide rutiner som sikrer oppfyllelse av melde- og konsesjonsplikt i henhold til personopplysningsloven 14 jf personopplysningsforskriften 3-1 tredje ledd bokstav f. Det vises til rapportens 5.3 flg. 2. Virksomheten må sørge for tilfredsstillende informasjonssikkerhet i samsvar med kravene i personopplysningsloven 13. Det vises til rapportens punkt 5.5 flg herunder punkt

4 3. Virksomheten skal sørge for at det inngås gyldige databehandleravtaler i samsvar med personopplysningsloven 15. Det vises til kontrollrapportens punkt 5.6 flg, herunder punkt Virksomheten skal sørge for at det i praksis ikke utleveres billedopptak i strid med personopplysningsloven 39. Det vises til rapportens punkt flg, herunder punkt Virksomheten må slette billedopptak som er lagret utover det som følger av personopplysningsforskriften 8-4 første og annet ledd. Det vises til rapportens punkt 5.4, herunder punkt september 2013 ble det avholdt et nytt møte mellom NorgesGruppen, DNB og Datatilsynet. I brev av 11. september 2013 klager profilhusene på deler av tilsynets vedtak, hva gjelder plassering av behandlingsansvar for kameraopptak av BIB (pkt. 1 a.), samt tilsynets fastsettelse av profilhusenes sletteplikt for opptakene (pkt. 5). I brev av 11. september 2013 klager DNB på deler av tilsynets vedtak. Klagen begrenser seg til å gjelde tilsynets pålegg knyttet til plassering av behandlingsansvar for kameraovervåkingen, utlevering og oppbevaringstid (pkt. 1 a., 4 og 5). 3. Klage fra profilhusene 3.1 Plassering av behandlingsansvar Datatilsynet mener at profilhusene ikke er å anse som behandlingsansvarlige for kameraovervåkingen av BIB-tjenester, jf. pkt. 1 a. i vedtaket mot Kiwi Norge AS. Profilhusene ønsker at Personvernnemnda endrer den delen av vedtaket, slik at det slås fast at Kiwi Norge AS og Kjøpmannshuset Norge AS er å anse som behandlingsansvarlig for kameraovervåkingen av BIB. I korthet anfører profilhusene følgende argumenter for hvorfor de mener at de bør anses som behandlingsansvarlige: Profilhusene oppfyller definisjonen av hva en behandlingsansvarlig er, jf. personopplysningsloven 2 nr. 4. Det er profilhusenes virksomhet som overvåkes. Formålet med kameraovervåkingen er fastsatt av profilhusene Kameraovervåkingen skjer i profilhusenes interesse, siden profilhusene har ansvar for å forebygge kriminalitet, oppklare kriminalitet samt sikre sine ansatte. Profilhusene vil være fornærmet etter strafferetten i svindelsaker Den tillit kunder tidligere hadde til bankfunksjonærer er i dag overført til tillit til ansatte i kassene i profilhusene. Hensynet til de ansatte i profilhusene tilsier at profilhusene må være behandlingsansvarlig. Plassering av behandlingsansvaret til profilhusene ivaretar personvernhensynene til de ansatte, som slipper å bli overvåket av andre enn arbeidsgiver. 4

5 3.2 Profilhusene mener man har hjemmel i personopplysningsforskriften til å lagre kameraopptak av BIB-tjenester i inntil tre måneder Datatilsynet har (vedtaks pkt. 5) fastslått at profilhusene må slette billedopptak som er lagret utover det som følger av personopplysningsforskriften 8-4 første og annet ledd. Profilhusene ber Personvernnemnda endre den delen av vedtaket slik at det endelige vedtaket blir at virksomhetene kan lagre kameraopptak av BIB-tjenester i inntil tre måneder, jf. personopplysningsforskriften 8-4 første og tredje ledd. I korthet anfører profilhusene følgende argumenter på hvorfor virksomhetene kan lagre kameraopptak av BIB-tjenester i inntil tre måneder, jf. personopplysningsforskriften 8-4 første og tredje ledd: Ansvaret for å tilby post- og banktjenester og ansvaret for tjenestens sikkerhet er i dag i stor grad overført til profilhusene. Butikkene er mer ransutsatt enn tradisjonelle postog banklokaler. BIB- og PIB-tjenester omfattes av bestemmelsene i personopplysningsforskriften 8-4 tredje ledd. En slik forskriftsforståelse ivaretar personvernhensynene til de ansatte, siden en slik løsning vil virke forebyggende på kriminalitet på deres arbeidsplass, og ved at opptakene kan dokumenterer at den ansatte ikke er deltakende i kriminell virksomhet. 3.3 BIB medfører et særlig behov for å lagre opptak i lengre tid en syv dager Hvis Datatilsynet etter en ny vurdering ikke kommer til at profilhusene har hjemmel til å oppbevare opptak av BIB-tjenester etter forskriftens 8-4 tredje ledd, så mener profilhusene at det foreligger uansett «særlig behov» for oppbevaring av billedopptak av BIB-tjenester i mer enn syv dager, jf. personopplysningsforskriften 8-4 sjette ledd. Profilhusene søker derfor subsidiært Datatilsynet om å få lagre kameraopptak av BiB-tjenester i inntil tre måneder, jf. personopplysningsforskriften 8-4 sjette ledd, med den begrunnelse at man oppfyller kravet til et «særlig behov». Dersom Datatilsynet skulle være av den oppfatning at profilhusene ikke oppfyller kravet om «særlig behov» etter personopplysningsforskriften 8-4 sjette ledd, påklages også dette vedtaket til Personvernnemnda. Profilhusene begrunner det forlengende lagringsbehovet med at kameraopptak er viktig bevis for å oppklare bedrageri- og svindelsaker, og felles for disse sakene er at det tar lengre tid enn syv dager før bankkunder reklamerer på banktransaksjonene. Hvis profilhusene ikke får lagret kameraopptak lengre enn syv dager, vil man ikke kunne klare å oppklare bedrageri- og svindelsaker. 5

6 Videre foretar personer som planlegger kriminelle handlinger som ran og innbrudd rekognoseringer forut for den kriminelle handlingen. Ved lengre lagringstid vil opptak fra slike rekognoseringer bidra til å identifisere kriminelle, siden ranere og innbruddstyver ofte vil være maskerte under selve ranet eller innbruddet. 4. Klage fra DNB 4.1 Generelt om grunnlaget for klagen DNB er av den oppfatning at Datatilsynet har etablert en ny situasjon hva gjelder bruk av kameraovervåking i butikker. Banken er ikke enig med tilsynet i at påleggende er en nødvendig følge av gjeldende lovgivning på området og etablerte tolkningsmessige avklaringer, blant annet nedfelt i ny standardkonsesjon som tilsynet utferdiget til bankene i mai Banken mener tvert imot at påleggene representerer en innskjerpet lovanvendelse som representerer et brudd med etablert praksis og som i vesentlig grad innsnevrer det tolknings- og handlingsrommet som lovgivningen åpner for. Banken er klar over at Datatilsynet er innforstått med behovet for kameraovervåking av butikker samt for kameraovervåking av BIB- og PIB-tjenester. Og at den endelige virkningen av påleggene ikke er ment å skulle hindre eller vesentlig redusere overvåkingen, men heller et ønske om en opprydding av ansvarsforholdet i samsvar med hva som oppfattes å være lovens system. DNB er i den sammenheng uenig i at lovgivningen påkaller en slik opprydding. Etter bankens vurdering vil påleggene fremtvinge ansvarsforhold som er konstruerte og som skaper uklarhet i forhold til dem som overvåkes og mellom de selskapene som involveres i overvåkingen og etterfølgende bruk av bildeopptakene. 4.2 Pålegg om at behandlingsansvaret for kameraovervåking skal legges til DNB DNB har forstått tilsynets uttalelser i vedtaksbrevene til profilhusene slik at det ligger implisitt i pålegg 1 a. at banken må være behandlingsansvarlig for kameraovervåking av BIBtjenester. Det vises til Datatilsynets uttalelser i brev til Kiwi den 21. juni 2013, der tilsynet sier at det fremgår klart av standardkonsesjonen av 2010 og et tidligere dispensasjonsvedtak av 24. september 2007 (saksnr. 07/ ) at «det er DNB som er behandlingsansvarlig for kameraovervåking av bank i butikk». DNB deler ikke tilsynets vurdering av at tidligere vedtak måtte forstås slik at bare DNB kunne være behandlingsansvarlig. Banken viser i den sammenheng til at bankens standardkonsesjon fra 2010 kun er en dispensasjon fra personopplysningsforskriftens regulære syv dagers oppbevaringstid og er begrenset til «den fjernsynsovervåkingen som banken selv er behandlingsansvarlig for, og er kun knyttet til bankvirksomhet». DNB har derfor lagt til grunn at dispensasjonen kun får betydning dersom banken skulle etablere egen kameraovervåking i BIB. Standardkonsesjonen ble fra bankens side ikke oppfattet å gripe inn i den kameraovervåkingen som var etablert av butikken selv. Dispensasjonsvedtaket ble videre ikke lest slik at det forutsatte at DNB overtok behandlingsansvaret for den kameraovervåkingen som butikkene etablerte i BIB. 6

7 DNB erkjenner at banken og NorgesGruppen i ettertid kanskje kan bebreides for at man ikke problematiserte at tilsynet valgte å formulere den positive besvarelsen av henvendelsen som et dispensasjonsvedtak og for at det ikke ble reagert på at Datatilsynet benevnte banken alene som søker. Datatilsynets pålegg som innebærer at banken kan være behandlingsansvarlig for all kameraovervåking av BIB-tjenester fremstår som ny tolkning og praksis sett fra DNB. Tilsynets utgangspunkt om at det er den som er ansvarlig for virksomheten som også må ha ansvaret for eventuell kameraovervåking av denne virksomheten, anses som diskutabel fra bankens side. Særlig i sammensatte virksomheter eller når aktører eller samarbeidspartnere er blitt enige om hvor ansvaret skal ligge. Når overvåkingen i betydelig grad omfatter ansatte og kunder, vil arbeidsgiveransvaret og kundeopplevelsen (definert som hvem kunden opplever å ha oppsøkt), spille en betydelig rolle i plassering av behandlingsansvar, etter bankens vurdering. I denne saken mener banken at tilsynet tar feil med hensyn til hvilken virksomhet det er som overvåkes i bankdelen av BIB. Etter bankens syn er formålet med kameraovervåkingen å samle inn bilder som kan benyttes til å oppklare og følge opp kriminelle handlinger rettet mot formidlingen av banktjenester, altså profilhusene (butikkene). Det vises til at det er i hovedsak butikkenes ansatte og tredjepersoner (som ikke er kunder i banken) som filmes. Banken fremhever at personvernhensynet tilsier at den som har ansvaret for de ansatte og dennes arbeidssituasjon også bør være ansvarlig for billedopptakene og bruken av dem. Et vesentlig vurderingsmoment etter bankens vurdering er at den del av opptakene som er relevant for behandlingsformålet «registering av kriminell handlinger», vil utgjøre en meget liten del av det totale billedmaterialet som samles inn og lagres fra kameraene som det vil være aktuelt å pålegge banken behandlingsansvar for. Banken påpeker at butikkene normalt vil ha kameraovervåking over hele butikken, og at kameraovervåking av BIB-tjenesten kun utgjør en liten del. Det vil derfor fremstå som konstruert å skulle operere med delt eller separat ansvar for enkeltsekvenser med banktjenester som måtte inngå i disse opptakene. Personvernhensyn og hensynet til arbeidsmiljøet taler etter bankens syn ikke for delt behandlingsansvar for disse opptakene, snarere tvert i mot. 4.3 Pålegg om at billedopptak ikke skal utleveres til banken DNB forstår tilsynets vedtaks pkt. 4 i brev av 21. juni 2013, slik at butikkene ikke skal ha lov til å utlevere billedopptak til DNB, siden tilsynet er av den oppfatning at det ikke foreligger noen databehandlerrelasjon mellom profilhusene og DNB. DNB mener pålegget vil avskjære dagens godt fungerende oppfølging av straffbare forhold knyttet til banktjenestene i BIB. DNB tar til etterretning at fravær av databehandleravtale er et avvik, jf. personopplysningsloven 15. 7

8 Banken viser til løsningsforslaget som ble fremmet i brev av 29. april 2013 (dok. 12 i saken), der banken foreslår følgende: «DNB sitt forslag til løsning er at oppbevaring inntil 3 måneder tillates på betingelse av at opptak eldre enn 7 dager bare kan hentes ut av Profilhuset og banken i fellesskap. Behandlingsansvaret ligger fortsatt hos Profilhuset, men bruk av eldre opptak tillates bare ved at opptakene overlates til banken med det avgrensede formål å følge opp straffbare forhold knyttet til banktjenester.» Resultatet av tilsynets pålegg om at bildeopptakene kun skal utleveres fra butikk til politi uten at DNB skal ha bearbeidet materialet, vil resultere til at antall anmeldelser og sanksjonerte saker vil falle dramatisk. DNB mener at tilsynet også ser dette og at pålegget anses å være formulert med det siktemål å tvinge frem en løsning knyttet til behandlingsansvar som kommentert i pkt. 4.2 over. Det forhold at DNB har en egeninteresse i at resultatet blir best mulig, kan ikke være til hinder for at banken opptrer som databehandler for butikken. Det kan i den forbindelse ikke være tvilsomt at DNB bidrar til å oppfylle butikkenes behandlingsformål og derfor kan ha rolle som databehandler. Utleveringsforbudet i personopplysningsloven 39 vil i en slik sammenheng ikke komme til anvendelse. 4.4 Pålegg om å slette billedopptak innen fristen i forskriften 8-4 annet ledd DNB er av den oppfatning at utvidet oppbevaringstid må følge av personopplysningsloven 8-4 tredje ledd, dvs. at BIB må anses som et banklokale. DNB anfører videre at utvidet oppbevaringstid hjemlet i 8-4 tredje ledd ikke er betinget av hvem som er behandlingsansvarlig. I det tilfelle man skulle komme til at det ikke foreligger hjemmel i personopplysningsforskriften 8-4 tredje ledd, så bør dispensasjon kunne innvilges uavhengig av hvem som er behandlingsansvarlig. Det sentrale etter bankens syn er at opptakene er tilgjengelige for det formålet de er innsamlet for og at det eventuelt treffes tiltak for å hindre at de benyttes til andre formål. Det vises igjen til bankens løsningsforslag i brev av 29. april Datatilsynets vurderinger 5.1 Innledning Høsten 2012 besluttet Datatilsynet å gjennomføre tre kontroller rettet mot kameraovervåking av BIB og PIB. Hensikten med kontrollene var å finne ut hvordan aktørene hadde organisert og gjennomført kameraovervåkingen som var knyttet til BIB og PIB. Øvrig kameraovervåking som butikkene gjennomførte i forbindelse med ordinær butikkdrift var i utgangspunktet ikke gjenstand for tilsynets kontroll. Forut for kontrollene har Datatilsynet hatt følgende korrespondanse med klagerne vedrørende kameraovervåking av BIB-tjenester. 8

9 I brev av 17. august 2007 henvendte DNB og NorgesGruppen seg til Datatilsynet for å få avklart om BIB kom inn under definisjonen banklokale, jf. personopplysningsforskriften 8-4 tredje ledd. Datatilsynet besvarte henvendelsen i brev av 24. september 2007 med overskriften «Dispensasjon utvidet lagring av billedopptak». Brevet var rettet til DNB (den gang DnB NOR Bank ASA), med NorgesGruppen som kopimottaker. I brevet gjør Datatilsynet det klart at man anså brev av 17. august 2007 for å være en søknad fra DNB om å oppbevare billedopptak gjort i «bankdelen» av bank i butikk-konseptet i inntil 3 måneder. 1 Datatilsynet fant at banken oppfylte kravet om «særlig behov» og innvilget derfor søknaden med hjemmel i personopplysningsforskriften 8-4 sjette ledd. I 2010 ga Datatilsynet ut en ny standard konsesjon for behandling av personopplysninger for banksektoren «Konsesjon til å behandle personopplysninger Banktjenester». Konsesjonen regulerer utvidet lagringstid for kameraovervåking i pkt. 8, og nærmere om kameraovervåking av BIB-tjenester i merknadene til pkt. 8. Følgende er et utdrag fra sist nevnte pkt.: «Utover billedopptak av ordinære ekspedisjonssteder, minibanker plassert i og rett utenfor banklokalet, vil dispensasjonen om utvidet lagringstid til tre måneder bl. a. dekke opptak gjort av frittstående minibanker og betalingsterminaler knyttet til bank i butikk tjenester. Lagring i tre måneder vil kun være tillatt av det området av butikklokalet hvor kunder ekspederes for bank i butikk -tjenester. Ved bildeopptak i lokaler (for eksempel i forbindelse med bank i butikk ) og av terminaler/automater som ikke direkte blir kontrollert av banken, skal banken som behandlingsansvarlig for opptak, inngå en databehandleravtale med den som har utplassert og/eller drifter kameraet, jf. personopplysningsloven 15. Videre skal det tydelig fremgå av merkingen i lokalet og på terminalen at banken er ansvarlig for overvåkingen, jf. personopplysningslovens 40. Personopplysningsloven 38 oppstiller krav om at det skal foreligge et særlig behov for overvåking av ansatte, enten bankes eller butikkens ansatte i bank i butikk - tjenester, må således oppfylle kravet til et særlig behov, i tillegg til arbeidsmiljølovens kapittel 9 om kontrolltiltak i virksomheten. Utvidet lagringstid ved fjernsynsovervåking, anses som en personvernulempe både for ansatte og kunder. Det stilles i den forbindelse krav til banken om at overvåking med utvidet lagringstid begrenses til et minimum, jf. personopplysningslovens 11 bokstav b. Typisk bør overvåking av bank i butikk være begrenset til dedikerte kasser.» På bakgrunn av dispensasjonen som ble gitt i brev av 24. september 2007 og senere i standard konsesjonen og de presiseringer som ble foretatt i merknadene, fant tilsynet det naturlig å 1 Brevet må forstås slik at tilsynet har tatt stilling til at butikklokalet der BIB-tjenester blir formidlet ikke er å anse som et banklokale etter personopplysningsforskriften 8-4 tredje ledd. 9

10 sende varsel om kontroll av kameraovervåking av BIB-tjenester til DNB. Når tilbakemeldingen var at banken ikke anså seg selv som behandlingsansvarlig for kameraovervåking av BIB-tjenester, valgt tilsynet å gjennomføre kontrollen overfor virksomhetene som hadde påtatt seg slikt ansvar. 5.2 Behandlingsansvarlig for kameraovervåking av BIB Datatilsynet er kjent med at profilhusene har kameraovervåking generelt i butikkene for å sikre ansatte, kunder og varer. Tilsynet er innforstått med at disse kameraene også dekker de områdene der BIB-tjenester utføres. Tilsynet anser at profilhusene vil ha adgang til å behandle slike personopplysninger når personopplysningsloven 37 og 38 er oppfylt. Profilhusene må etter personopplysningsforskriften 8-4 annet ledd slette slike opptak senest etter 7 dager. Problemstillingen i denne saken er om Profilhusene kan være behandlingsansvarlige for kameraovervåking av BIB-tjenester med en mulighet til å lagre opptakene i inntil tre måneder. Datatilsynet vil poengtere at tilsynet ikke problematiserer om profilhusene de facto er behandlingsansvarlig eller om profilhusene oppfyller definisjonen i personopplysningsloven 2 nr. 4. Det Datatilsynet problematiserer er om profilhusene kan være behandlingsansvarlig for kameraovervåking av BIB-tjenester. Det er på det rene at DNB er behandlingsansvarlig for behandling av personopplysninger som skjer når det formidles banktjenester. Det er videre klart at i BIB vil profilhusene utføre banktjenestene på vegne av banken. Profilhusene vil i den relasjon være en databehandler, jf. personopplysningsloven 2 nr. 5. Spørsmålet som reiser seg er om profilhuset (databehandleren) kan være behandlingsansvarlig for kameraovervåkingen av bankens (behandlingsansvarliges) virksomhet. Det rettslige utgangspunktet er personopplysningsloven 11 bokstav b) som sier: «Den behandlingsansvarlige skal sørge for at personopplysningene som behandles bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet» (vår understrekning). Formålet må etter dette ha en nær og naturlig sammenheng med profilhusenes virksomhet. Virksomheten til NorgesGruppen er gjennom butikkene Kiwi Sognsveien og Spar Tåsen å drive butikkhandel med bredt vareutvalg med hovedvekt på nærings- og nytelsesmidler. Videre er profilhusenes sentrale virksomhet å utvikle, forvalte og administrere hhv. Kiwi- og Spar-konseptet. Formålet med kameraovervåking er av profilhusene (pkt. 2.3 i klagen) oppgitt til å være: forebygge kriminalitet oppklare kriminalitet beskytte kunder mot kriminalitet sikre at ansatte mot uriktig anklager om svindel og andre straffbare forhold sikre ansatte mot urettmessige erstatningskrav 10

11 Formålene om å oppklare kriminalitet, forebygge kriminalitet og beskytte kunder mot kriminalitet vil profilhusene, etter tilsynets vurdering, kunne oppfylle ved ordinær lagringstid (innen syv dager), jf. personopplysningsforskriften 8-4 annet ledd. Hensynene kunne i så måte gjort seg gjeldende selv om butikken ikke hadde formidlet BIB-tjenester. Formålene om å sikre ansatte mot falske anklager og urettmessige erstatningskrav har tidligere ikke blitt angitt som formål for kameraovervåking av BIB før brev av 11. september Datatilsynet har i forbindelse med kontrollen fått tilsendt samarbeidsavtalen mellom NorgesGruppen og DNB av 5. november 2004 m.m. I samarbeidsavtalens pkt 10 (forhold til tredjeparter) heter det at: «Banken, NorgesGruppen og det enkelte Kjedemedlem driver virksomhet som selvstendige juridiske enheter og bærer selv ansvaret i forhold til egne ansatte, kunder, leverandører, offentlige myndigheter m.v. Banken har i forhold til tredjeparter ansvaret for følgene av stans i betalingsformidlingen og/eller annen svikt som fullt ut eller hovedsakelig relaterer seg til Bankes kjernevirksomhet, med mindre slike feil skyldes forsømmelse hos NorgesGruppen eller Kjedemedlemmet eller andre forhold NorgesGruppen svarer for. Banken skal holde NorgesGruppen skadesløs for ethvert krav fra tredjeparter som følge av slike forhold som Banken svarer for etter denne bestemmelse. NorgesGruppen har i forhold til tredjeparter ansvaret for følgende av feil ved kontanthåndtering i de av Kjedemedlemmene som er egeneide. Videre også for butikkdatasystemer og/eller annen svikt ved andre funksjoner som fullt ut eller hovedsakelig relaterer seg til NorgesGruppens virksomhet eller det enkelte egeneide Kjedemedlems butikkvirksomhet, med mindre slike feil skyldes forsømmelse hos Banken eller andre forhold Banken svarer for.» Datatilsynet forstår dette punktet slik at banken i utgangspunktet bærer kostnadene hvis BIBtjenesten blir utsatt for en kriminell handling som f.eks. svindel. Det vil imidlertid kunne rettes et regresskrav mot NorgesGruppen, hvis det kan påvises forsømmelse fra NorgesGruppens side. Datatilsynet forstår at det er bakgrunnen for at profilhusene begrunner kameraovervåkingen av BIB-tjenester til også å sikre ansatte mot falske anklager og urettmessige erstatningskrav. Hensynet bak kameraovervåkingen av BIB-tjenester må således forståes som et tiltak for å kunne dokumentere at NorgesGruppen og deres ansatte ikke har opptrådt klanderverdig eller erstatningsbetingende. Det som begrunner en utvidet lagringstid på inntil tre måneder er for å oppklare kriminelle handlinger som det erfaringsmessig tar noe tid å oppdage, som f.eks. svindel eller bedrageri. Datatilsynet legger til grunn at hvis en BIB blir utsatt for svindel eller bedrageri, så er det hhv. bankkunden eller banken som anses som fornærmet i strafferettslig forstand. 11

12 Det er banken som påføres det økonomiske tapet når handlinger (svindel) som begrunner den utvidet lagringstiden oppstår. Det at handlingen blir fanget opp gjennom kameraovervåkingen vil følgelig være i bankens interesse og beskytte bankens virksomhet. Det kan videre hevdes at det vil være vanskelig for banken å påberope at NorgesGruppen v/profilhusene har oppdrått erstatningsbetingende uten at kameraopptak av den aktuelle hendelsen foreligger. Bevisbyrden må i slike tilfeller påhvile banken som krever regress av NorgesGruppen. Det kan anføres at profilhusene har en indirekte interesse av få oppklart den kriminelle handlingen, siden den kriminelle gjerningen blir utført i deres lokaler, og kan i den anledning oppleves belastende for ansatte og virksomheten. Datatilsynet er imidlertid av den oppfatningen at denne interessen ligger i periferien av hva som kan anses som profilhusenes virksomhet, og profilhusene vil uansett kunne ivareta disse hensynene gjennom de avtalene virksomheten inngår med banken. Profilhusenes kameraovervåking av BIB-tjenester, vil etter tilsynets vurdering, falle utenfor hva som er profilhusenes virksomhet, jf. personopplysningsloven 11 bokstav b). 5.3 Utlevering av billedopptakene til banken Det vises til at virksomhetene har inngått en databehandleravtale, der profilhusene er behandlingsansvarlige for kameraovervåkingen av BIB og banken er databehandler. 2 Profilhusene overleverer opptakene til DNB som igjen «bearbeider» opptaket før det gis til politiet. Etter bankens statistikk er bearbeidingen av opptakene avgjørende for å få de som har begått ugjerningen straffeforfulgt og dømt. Etter Datatilsynets vurdering er en slik konstruksjon en omgåelse av personopplysningsloven 39, som forbyr utlevering av bildeopptak til andre behandlingsansvarlige dersom den som er avbildet ikke har samtykket eller utleveringsadgangen ikke følger av lov. Datatilsynet registrer at DNB i sin klage mener ordningen er «kurant og uproblematisk». Banken anfører videre at «det forhold at DNB har en egeninteresse i at resultatet blir best mulig kan ikke være til hinder for at banken i denne sammenheng opptrer som databehandler for butikken.» Datatilsynet er i utgangspunktet enig i at selv om banken har en egeninteresse i at resultatet blir best mulig, er ikke det til hinder for at man kan opptre som en databehandler. I dette tilfellet vurderer tilsynet at denne egeninteressen er svært fremtredende og ikke minst utslagsgivende for at man i det hele tatt kan lagre kameraopptak i inntil tre måneder. Etter tilsynets vurdering foretas kameraovervåkingen av BIB for bankens interesser, jf. pkt 5.2 over. Det er banken som bærer den økonomiske risikoen og banken betaler sågar profilhusene 2 Banken har erkjent at fravær av en skriftlig databehandleravtale er et avvik, jf. lovens 15 12

13 for å få utlevert bildeopptakene til seg, noe som helt klart viser hvor fremtredende bankens egeninteresse er. Datatilsynet finner av den grunn ikke banken til å være en databehandler, men en behandlingsansvarlig når de mottar bildeopptak fra profilhusene. Profilhusene vil derfor være forhindret til å utlevere billedopptakene til DNB, uten at vilkårene i personopplysningsloven 39 er oppfylt. DNB fremmet i brev av 29. april 2013 (gjengitt i pkt. 4.3 over) et løsningsforslag på hvordan utlevering av bildeopptak kunne gjennomføres. I løsningen foreslår DNB at profilhusene og banken i fellesskap skal få tilgang til opptak eldre enn 7 dager. Banken er av den oppfatning at de kan få slik tilgang uten å være behandlingsansvarlig. Datatilsynet deler ikke denne forståelsen. Etter Datatilsynets oppfatning kan ikke banken få slik tilgang til opptakene uten å være behandlingsansvarlig for kameraovervåkingen av BIB. Banken vil følgelig ikke kunne bearbeide kameraopptakene som de gjør i dag uten å være behandlingsansvarlig. Datatilsynet kan ikke se at den foreslåtte løsningen kan være i tråd med personopplysningsloven, da den løsningen i likhet med dagens løsning vil være i strid med personopplysningsloven Personvernhensyn Profilhusene har anført en rekke argumenter på hvorfor man mener at kameraovervåkingen av BIB-tjenester ligger innenfor profilhusenes virksomhet. Det vises blant annet til at det er profilhusenes virksomhet (butikker) og ansatte som overvåkes. Datatilsynet vil til det fremheve at partene har valgt å inngå et kommersielt samarbeid som innebærer at banken får tilbudt grunnleggende banktjenester, på en rimeligere måte enn det å ha egne banklokaler, gjennom NorgesGruppens butikker. Et slikt samarbeid vil naturlig nok kunne medføre enkelte personvernutfordringer. Datatilsynet forstår at profilhusene som databehandler har interesser knyttet til hvordan BIBtjenesten fungerer og banken som behandlingsansvarlig har en interesse knyttet til hvordan butikken fremstår. Den andre avtalepartens disposisjoner vil således få følger for hvordan kunder opplever samarbeidspartneren. Partene står fritt til å løse slike potensielle interessekonflikter gjennom å finne konstruktive løsninger innenfor lovens rammer. I profilhusenes klage (pkt. 3.5) opplyser NorgesGruppen at man ikke ønsker at DNB eller Posten skal kunne etablere egne kameraer, siden en slik løsning ville ledet til at «DNB og Posten kunne overvåke samtlige av NorgesGruppens kunder og samtlige av transaksjonene og samtlige handlinger profilhusets ansatte foretar». Tilsynet vil til det innvende at selv om banken er behandlingsansvarlig for BIB-tjenester betyr ikke det at banken har anledning til å drive med kontinuerlig monitorering av hendelsene i butikken. Banken vil kun ha anledning til å gjennomgå opptak når en hendelse som begrunner kameraovervåking av BIB-tjenester finner sted. Datatilsynet har fått opplyst at slike hendelser 13

14 blir registrert ned på sekundet, slik at det ikke vil være nødvendig med en omfattende gjennomgang av opptakene. Partene kan i så måte avtale nærmere hvordan prosedyrene for slik innsyn skal være og om en eventuell databehandler skal benyttes. Resultatet av en slik avtale må dog være forholdsmessig og ivareta hensynet til de ansatte, jf. personopplysningsloven 8 bokstav f) og 38. Banken påpeker (pkt. 4.2 over) at butikkene normalt har kameraovervåking over hele butikken og at det vil fremstå som konstruert å operere med delt eller separat ansvar for enkeltsekvenser med banktjenester som måtte inngå i disse opptakene. Datatilsynet vil til det understreke at profilhusenes generelle kameraovervåking der formålet er å sikre de ansatte, kunder og varer mot kriminelle handlinger, gjøres i profilhusenes egen interesse. Hvis banken er behandlingsansvarlig for kameraovervåking av BIB-tjenester, vil ikke det føre til et delt behandlingsansvar, selv om kameraopptakene skulle fange opp de samme bildende. Dette skyldes at de behandlingsansvarlige (hhv. profilhusene og banken) har forskjellige formål med behandlingen og det knyttes også forskjellige virkninger til deres behandling. 5.5 Kan formålene om å sikre ansatte mot falske anklager og urettmessige erstatningskrav hjemle kameraovervåking og lagring av slike opptak i inntil tre måneder? For å kunne behandle personopplysninger må man ha et behandlingsgrunnlag, jf. 11 og 8. Et slikt behandlingsgrunnlag er normalt enten hjemmel i lov, samtykke fra den personopplysningen gjelder, eller at en slik behandling er nødvendig for nærmere angitte formål ( 8 bokstav a-f). Det aktuelle behandlingsgrunnlaget for kameraovervåking vil være 8 bokstav f), som baserer seg på en interesseavveining mellom den som ønsker å overvåke og de som blir overvåket. Kameraovervåkingen vil være av et sted hvor en begrenset krets av personer ferdes jevnlig (ansatte). Etter personopplysningsloven 38 er kameraovervåking bare tillatt dersom det ut fra virksomheten er behov for å forebygge mot at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet eller det for øvrig er et særskilt behov 3 for overvåkingen. Spørsmålet blir i første omgang om profilhusenes interesse om å sikre ansatte mot falske anklager og urettmessige erstatningskrav overstiger hensynet til de registrertes (ansattes) krav til personvern, samt om kravet til særskilt behov er oppfylt, jf. lovens 38. Datatilsynet er av den oppfatning at profilhusene ikke vil ha en berettiget interesse som overstiger de ansattes krav på personvern på arbeidsplassen. Det at man ønsker å beskytte de ansatte mot falske anklager og urettmessige erstatningskrav fra banken, må således sikres på 3 I merknadene (Prop. 47 L ( )) til 38 heter det at formuleringen «behov for å forebygge at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet» er tilføyd som en utdyping av vilkåret «særskilt behov». Videre heter det at formålet med utdypningen er å presisere at nettopp det sikkerhetsmessige aspektet i en virksomhet er kjernen i hva slags type behov som kan legitimere overvåkingen. 14

15 en annen måte. Tilsynet finner heller ikke at kravet til et særskilt behov, jf. 38 blir oppfylt gjennom profilhusenes oppgitte formål. 5.6 Er BIB omfattet av bestemmelsen i personopplysningsforskriften 8-4 tredje ledd Profilhusene anfører at BIB omfattes av definisjonen av banklokaler, jf. personopplysningsforskriften 8-4 tredje ledd, slik at opptak gjort i BIB av den grunn kan lagres i inntil tre måneder. DNB har i sin klage anført at oppbevaringstid hjemlet i forskriftens 8-4 tredje ledd ikke er betinget av hvem som er behandlingsansvarlig. Datatilsynet deler ikke denne forståelsen. Etter tilsynets vurdering må forskriftens 8-4 tredje ledd sees i lys av lovens 11 bokstav b). Etter personopplysningsloven 11 bokstav b) kan ikke den behandlingsansvarlige fritt velge seg et hvilket som helst lovlig formål for behandling av personopplysninger. Bestemmelsen forhindrer at en behandlingsansvarlig behandler personopplysninger, når behandlingsformålet ikke er saklig begrunnet i den behandlingsansvarliges virksomhet. Datatilsynet har i pkt. 5.2 over konkludert med at profilhusene ikke kan være behandlingsansvarlig for kameraovervåking av BIB-tjenester, siden behandlingsformålet ikke er saklig begrunnet i profilhusenes virksomhet. Datatilsynet finner av den grunn ikke personopplysningsforskriften 8-4 tredje ledd anvendelig. 5.7 Søknad om lagring av opptak etter personopplysningsforskriften 8-4 sjette ledd Profilhusene har i brev av 11. september 2013 subsidiært søkt tilsynet om tillatelse til å lagre kameraovervåkingsopptak av BIB i inntil tre måneder, jf. personopplysningsforskriften 8-4 sjette ledd. 4 Datatilsynet har i pkt. 5.2 konkludert med at profilhusene ikke kan være behandlingsansvarlig for kameraovervåking av BIB-tjenester, siden behandlingsformålet ikke er saklig begrunnet i profilhusenes virksomhet. De hensynene som legitimerer kameraovervåking i butikkene og som er saklig begrunnet i profilhusenes virksomhet er formål som er begrunnet ut fra å oppklare kriminalitet og forebygge kriminalitet som er rettet mot butikk, ansatte eller kunder. Datatilsynet kan ikke se at slike formål skulle føre til et særskilt behov til å lagre kameraopptak utover syv dager. Det at butikkene har BIB i sine lokaler vil etter tilsynets vurdering ikke medføre at kravet til «særskilt behov» er oppfylt. Profilhusene opplyser at det er en forutsetning for butikker som har BIB, at de har et lukket system for kontanthåndtering og at butikkene er godt fysisk sikret mot kriminelle anslag. Butikkene med BIB i sine lokaler fremstår derfor som mindre ransutsatt enn andre virksomheter. 4 Se nærmere pkt. 3.3 over 15

16 Datatilsynet kan ikke se at Personvernnemndas vurderinger i PVN 2002/03 kan tas til inntekt for å innvilge en utvidet lagringstid til profilhusene. Parten (behandlingsansvarlig) i den saken var Posten Norge BA som ønsket å forlenge oppbevaringstiden (fra syv dager til tre måneder) for kameraovervåkingsopptak av ekspedisjoner ved minibanker som var plassert utenfor postlokaler. For BIB har bankene gjennom bankkonsesjonen fått dispensasjon til å lagre kameraopptak av BIB-tjenester i inntil tre måneder. Datatilsynet har i så måte videreført Personvernnemndas vurderinger. Profilhusene vil etter dette ikke oppfylle vilkåret om særskilt behov, jf. personopplysningsforskriften 8-4 sjette ledd. Datatilsynet avslår derfor søknaden. Datatilsynets eventuelle avslag er i profilhusenes brev av 11. september 2013 påklaget til Personvernnemnda. Tilsynet ber derfor Personvernnemnda ta stilling tilsynets vedtak under dette punkt. 6. Avsluttende betraktninger Banken hevder i sin klage at tilsynets vedtak representerer en innskjerpet lovanvendelse, og representerer et brudd med etablert praksis og som igjen i vesentlig grad innsnevrer det tolknings- og handlingsrommet som lovgivningen åpner for. Datatilsynet deler ikke dette syn. Bankens vurderinger er tuftet på den forståelsen av at partene (NorgesGruppen v/profilhusene og DNB) seg i mellom fritt kan plassere hvor behandlingsansvaret skal ligge. Mens Datatilsynet er av den oppfatning at blant annet personopplysningsloven 11 bokstav b) vil sette skranker for en slik plassering. Klagerne har etter det tilsynet forstår kommet frem til dagens ordning gjennom forhandlinger, der partene har tatt utgangspunkt i hva som gagner deres interesser. Ordningen tar i liten grad hensyn til hvilke skranker personopplysningsloven setter eller hvilke avklaringer tilsynet har kommet med. NorgesGruppen har som utgangspunkt at man ikke ønsker eksterne behandlingsansvarlige som har muligheten til å overvåke sine butikker, ansatte eller kunder. Banken på sin side ønsker å beskytte sine interesser, og når banken får kameraopptakene av de hendelsene som begrunner kameraovervåking med utvidet lagringstid fra profilhusene, så blir deres interesser ivaretatt. For at kameraovervåking av BIB-tjenester skal være i tråd med personopplysningsloven må banken være den behandlingsansvarlig. Det er virkningen av Datatilsynets vedtak. Spørsmålet om banken får lov til å kameraovervåke BIB-tjenestene vil bero på om NorgesGruppen, profilhusene og banken kan komme til enighet om hvordan en slik kameraovervåking skal gjennomføres. Datatilsynet har tidligere informert partene om at det i utgangspunktet ikke er nødvendig for banken å installere egne kameraer i butikken, men at enkelte av butikkens eksisterende 16

17 kameraer kan benyttes, hvis profilhusene skulle tillate det. 5 Regelverket vil dog sette skranker for hvordan blant annet lagringen blir gjennomført, hvem som skal ha tilgang til opptakene og at det settes opp skilt med den behandlingsansvarliges navn på, jf. lovens 40. Tilsynet vil etter klagebehandlingen kunne veilede partene nærmere i hvordan man kan gå frem for å få oppfylt personopplysningslovens plikter. Med vennlig hilsen Bjørn Erik Thon direktør Henok Tesfazghi rådgiver Kopi: Advokatfirma Ræder DA, Postboks 2994 Solli, 0230 OSLO DNB Bank ASA, 0021 OSLO Vedlegg: Samtlige dokumenter i saksnr. 12/00853, 12/00852 og 07/ Det forutsettes da at profilhusene opptrer som en databehandler. 17