Endelig kontrollrapport

Transkript

1 Saksnummer: 12/01141 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Grottebadet AS Sted: Harstad Utarbeidet av: Ragnhild Castberg Stein Erik Vetland 1 Innledning Datatilsynet gjennomførte kontroll hos Grottebadet AS 28. november Kontrollen ble utført med hjemmel i personopplysningslovens 44, jf. 42, 3. ledd. Temaet for kontrollen var virksomhetens behandling av personopplysninger, særlig i forbindelse med kontrolltiltak, deriblant kameraovervåking. Kontrollen var uvarslet og fant sted ved virksomhetens faste forretningsadresse. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen og utfyllende opplysninger som Grottebadet har ettersendt. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Kjetil Christoffersen, daglig leder 2.2 Fra Datatilsynet: - Ragnhild Castberg, seniorrådgiver - Stein Erik Vetland, overingeniør 3 Generelt Grottebadet er et svømmeanlegg i Harstad sentrum. Anlegget er bygget i Anlegget har blant annet bølgebasseng, idrettsbasseng med stupetårn, terapibasseng og sklie. Virksomheten har omtrent 25 ansatte fordelt på 13 årsverk. 4 Fakta om bruk av personopplysninger samt formålet med behandlingene Adgangskontroll Virksomheten har et elektronisk adgangskontrollanlegg i resepsjonen for å kunne kontrollere inn- og utpassering av besøkende. Adgangskontrollsystemet benyttes også for å sikre korrekt sluttoppgjør mellom Grottebadet og kundene etter oppsigelse av medlemsskapet. Denne registreringen skiller mellom identifiserbare medlemmer og andre besøkende der identitet 1 av 7

2 ikke registreres. Alle besøkende får eget armbånd. Disse vil gi virksomheten en oversikt over hvor mange som har besøkt anlegget og hvor lenge de har vært til stede. Kameraovervåking: Kameraovervåkingsanlegget er et digitalisert anlegg bestående av seksten kamera, hvor ingen er styrbare eller har zoom-funksjon. Kameraene fanger opp inngangsparti, tunnel fra inngangsparti og til resepsjonen, fellesområder, resepsjon, butikk og bassengområdene. Virksomheten begrunner behovet for kameraovervåking med nødvendigheten av å kunne oppklare forekomst av uheldige hendelser i bassengene og for å bistå badevaktene med å oppdage objekter under vann som ligger stille. Kameraovervåkingen benyttes også til å oppklare tyveri/innbrudd på dagtid og etter åpningstid. Overvåkingskameraene lagrer kontinuerlig opptak til digitalt lagringsmedium. Opptak slettes etter sju døgn. Monitor for å se kameraene som overvåker bassengene er plassert i et rom med sentral plassering i badeanlegget. En vakt følger med på kameraene for å kunne gi beskjed til andre vakter om uønskede hendelser. Monitor er også plassert i resepsjonen. Denne monitoren viser de kameraene som ikke viser bassengområdet. Virksomheten bruker ikke fjernaksessløsninger på kontrolltidspunktet. 5 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 5.1 Adgangskontroll Adgangskontrollsystemet lagrer kun personopplysninger om besøkende medlemmer. For andre besøkende blir det ikke registrert personopplysninger, disse får et armbånd, det vil si som en anonym billett. Denne sistnevnte registreringen faller dermed utenfor personopplysningsloven. Medlemskap er personlig og Grottebadet tar bilde av den registrerte for at personellet kan sammenlikne bildet med personen som kommer til badeanlegget Rettslig grunnlag Personopplysningsloven har ikke egne bestemmelser for adgangskontroll. Ut fra dette gjelder alle lovens bestemmelser Lagring av innpasseringer Lovkrav Personopplysningsloven 11 stadfester at den behandlingsansvarlige skal sørge for at personopplysningene som behandles 2 av 7

3 a) bare behandles når dette er tillatt etter 8 og 9, b) bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet, c) ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, uten at den registrerte samtykker, d) er tilstrekkelige og relevante for formålet med behandlingen, og e) er korrekt og oppdatert, og ikke lagres lengre enn det som er nødvendig ut fra formålet med behandlingen, jf 27 og 28. Videre stadfester personopplysningsloven 14 den behandlingsansvarlige skal etablere og holde ved like planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i eller medhold av denne loven, herunder sikre personopplysningenes kvalitet Funn Formålet med lagring av innpassering ble opplyst å være å kontrollere at medlemskapet er gyldig og å sikre korrekt sluttoppgjør mellom Grottebadet og medlemmer som melder seg ut. Grottebadet oppgir at de lagrer på innpasseringene i ett kalenderår Vurdering og konklusjon Datatilsynet ser at innpasseringsdata kan være formålstjenelig for virksomheten. Lovverket oppstiller likevel krav om at personopplysninger ikke skal lagres lengre enn det som er nødvendig ut fra formålet med behandlingen, jf personopplysningsloven 11 og 28. Datatilsynet kan ikke se nødvendigheten å lagre detaljerte opplysninger fra adgangskontrollsystemet utover en kortere periode enn ett kalenderår for å oppnå Grottebadets formål med denne behandlingen av personopplysninger. For lang lagringstid regnes som et brudd på personopplysningsloven Kameraovervåking Rettslig grunnlag for kameraovervåking og internkontroll Personopplysningsloven samt personopplysningsforskriften kapittel 8 angir rammene for kameraovervåking. Ifølge personopplysningsloven 36 er kameraovervåking definert som vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkingskamera eller annet lignende utstyr som er fastmontert. Personopplysningsloven 37, jf. 3 første ledd, bokstav c, fastslår at loven gjelder i sin helhet for alle former for kameraovervåking, bestemmelsen gir også ytterligere vilkår for adgangen til slik overvåking. Grottebadets kameraovervåking omfattes altså av personopplysningsloven i sin helhet. Personopplysningsloven 38a skjerper vilkårene for adgangen til kameraovervåking av parker, strender og lignende rekreasjonsområder som er tilgjengelig for allmennheten. Et 3 av 7

4 badeanlegg som Grottebadet er et typisk eksempel som omfattes av bestemmelsen. Overvåking av slike områder er bare tillatt når behovet for overvåking klart overstiger den enkeltes interesse av ikke å bli overvåket Funn Kameraovervåking ved anlegget er omfattende i bassengområdet. Det er direkte bruk av de ni kameraene i bassengområdet ved at personell kontinuerlig ser på monitoren for kameraene. Etter ledelsens oppfatning er kameraovervåkingen et supplement til badevaktene, men ikke badevaktenes primære redskap Vurdering og konklusjon Datatilsynet ser at overvåkingsanlegget er nyttig for virksomheten i deres arbeid for å skape trygge rammer omkring bruk av anlegget. Tilsynet oppfatter at denne bruken er i samsvar med vilkårene for å benytte kameraovervåking i 37, 3 ledd og bidrar til å verne om liv og helse ved å gi økt mulighet for å oppdage farlige situasjoner og avverge alvorlige konsekvenser (eksempelvis drukning) ved bruk av bassengene. Det kan likevel spørres om tiltaket er forholdsmessig tilpasset det definerte formålet, sett opp mot de skjerpede vilkårene i 38a. Grottebadet bør også vurdere mulighetene for å begrense overvåkingen til det som er nødvendig for på denne måten å ivareta de besøkendes personvernhensyn. Overvåkingsintensiteten kan for eksempel innrettes etter ulike risikovurderinger så som når anlegget har fullt belegg av besøkende og når det er få besøkende. Virksomheten oppgir at kameraene kan brukes til flere formål utover å oppdage farlige situasjoner og avverge alvorlige konsekvenser. Dette kan blant annet være oppklaring av tyveri fra virksomheten og besøkende, minimere risikoen for ran og høyne muligheten for å oppklare ran, påse at alarm er påsatt og lys slokket. Personopplysningsloven 11 bokstav b stadfester at personopplysningene som behandles bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet. Videre stadfester personopplysningsloven 11 bokstav a at virksomheten må ha behandlingsgrunnlag for behandlingen. Normalt vil kameraovervåking være hjemlet i personopplysningsloven 8 bokstav f som sier at den behandlingsansvarlige kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen. Datatilsynet mener at virksomheten skriftlig må nedfelle de uttrykkelige angitte formålene med overvåkingen. Dette er i samsvar med personopplysningsloven 14, jf personopplysningsforskriften 3-1, om internkontroll. Manglende uttrykkelige angitte formål regnes som et brudd på personopplysningslovens 14, jf personopplysningsforskriften 3-1. Manglende uttrykkelig angitte formål gjør det også vanskelig for Datatilsynet å vurdere om virksomhetens interesse overstiger hensynet til den registrerte. 4 av 7

5 5.2.2 Melding Lovkrav Den behandlingsansvarlige skal gi melding til Datatilsynet for behandling av personopplysninger med elektroniske hjelpemidler, jf. personopplysningslovens 31, jf Funn Grottebadet har ikke meldt behandlingen ved hjelp av fjernsynsovervåking inn til Datatilsynet Vurdering og konklusjon Manglende melding anses som et brudd på personopplysningsloven 31, jf Varsling om kameraovervåking Lovkrav Personopplysningsloven 40 stadfester at kameraovervåking på offentlig sted eller sted hvor en begrenset krets av personer ferdes jevnlig, skal varsles om at stedet blir overvåket og hvem som er behandlingsansvarlig Funn Virksomheten har ved skilt på dører på vei inn i anlegget varslet om at området er fjernsynsovervåket, men skiltene forteller ikke hvem som er behandlingsansvarlig. Skiltene oppgir ikke opplysninger om hva som er overvåket Vurdering og konklusjon Tilsynet mener at varselskilt bør suppleres med mer kvalitativ informasjon om overvåkingen, for de som ønsker noe mer informasjon. De ordinære skiltene kan eksempelvis vise til mer utfyllende informasjon plassert på en egen, tavle, informasjonsskriv, på nettsiden til virksomheten eller annen måte å løse dette på. Dette gjør det mulig for de som ønsker mer informasjon om tiltaket å få mer utfyllende informasjon. Grunnet den overvåking som skjer ved badet både i forhold til omfang og i forhold til en situasjon hvor alminnelig bluferdighet gjør overvåkingen spesiell mener Datatilsynet at badet bør tilgjengliggjøre mer informasjon enn det minimum loven krever. Manglende beskrivelse av hvem som er behandlingsansvarlig og hvor overvåkingen skjer anses som et avvik. Dette er et brudd på personopplysningsloven Lagring og sletting Lovkrav Personopplysningsforskriften 8-4 stiller krav om at billedopptak slettes når det ikke lengre er saklig grunnlag for å oppbevare disse, og senest innen sju dager. 5 av 7

6 Videre stadfester personopplysningsloven 38 bokstav a tilleggsvilkår ved overvåking av parker, strender og lignende rekreasjonsområder som er tilgjengelig for allmennheten. Her står det at kameraovervåking er bare tillatt når behovet for overvåking klart overstiger den enkeltes interesse av ikke å bli overvåket. Ved vurdering av behovet for overvåking skal det særlig legges vekt på om overvåkingen er av vesentlig betydning for å forebygge straffbare handlinger som kan true liv eller helse, hindre ulykker eller ivareta liknende samfunnsnyttige interesser. Ved vurdering av den enkeltes interesser av ikke å bli overvåket skal det særlig legges vekt på hvordan overvåkingen skal skje, samt hva slags område som skal overvåkes Funn Opptakene slettes automatisk etter sju dager ved Grottebadet. Virksomheten hevder at formålet med lagringen er å kunne lære av uønskete situasjoner og kunne gi politiet materiale de kan bruke i eventuelle etterforskninger. Virksomheten beskrev også en situasjon der helsepersonell hadde kontaktet virksomheten etter at en kunde hadde blitt funnet under vann. Helsepersonellet ønsket å klargjøre om personen hadde blitt bevisstløs på grunn av vann i lungene eller om opptaket anga at personen var bevisstløs før personen havnet under vannoverflaten. Virksomheten oppgir at de har gitt politiet videomateriell, og at dette har bidratt til å belyse ulike forhold som har vært anmeldt til politiet Vurdering og konklusjon Datatilsynet stiller ikke videre spørsmål ved lagringen av opptakene i sju dager fra andre steder enn selve badeanlegget (fuktig sone). Når det gjelder lagring av bilder fra overvåkingen inne i selve badeanlegget, er personverninteressen langt større. I denne sammenheng er det av interesse å nevne at Personvernnemnda har tatt stilling til opptak av badebasseng i en tidligere sak. I denne saken klaget et hotell inn Datatilsynets vedtak om at billedopptak fra et basseng skulle opphøre. Klagen ble ikke tatt til følge. (Vedtaket, 2002/05 kan leses på Datatilsynet er spørrende til om opptak i det hele tatt lar seg forsvare ut fra en interesseavveining etter 8 f også ved Grottebadet. Det mest tungtveiende hensynet bak overvåkingen er å kunne oppdage og avverge farlige situasjoner, i særlig grad drukning. I denne sammenheng er det badevaktene som har en slik funksjon, og overvåkingen kan benyttes direkte uten at det er behov for opptak. Opptakene er kun egnet til å sikre dokumentasjon av en uønsket hendelse. Datatilsynet ser at innsamling av personopplysninger som primært lar seg forsvare ut fra et eventuelt fremtidig behov hos politiet og andre, har en vesentlig innvirkning på personvernet. Når politiet og andres eventuelle fremtidige nytte legges til grunn, blir innsamling og lagring mer omfattende. Sett i et personvernperspektiv, er en nøktern innsamling og lagring begrunnet i den behandlingsansvarliges virksomhets eget behov av stor betydning. 6 av 7

7 Virksomheten har satt lagring i sju dager siden virksomheten da har noen dager på seg å vurdere om opptakene skal tas ut av løsningen for overlevering til politiet. Datatilsynet mener at denne vurderingen må kunne gjøres vesentlig fortere, og at virksomheten kan ta ut opptak av interesse, hvis det er sannsynlig at disse vil bli utlevert til politiet, innen fire døgn etter hendelsen. Datatilsynet anser lagringen i sju dager som et brudd på personopplysingsloven 38, jf personopplysningsforskriften 38 bokstav a. Tilsynet vurderer at slikt uttak av opptak kan gjøres umiddelbart etter en hendelse, og at det ikke er behov for lagring over fire døgn. 7 av 7