Endelig kontrollrapport

Transkript

1 Saksnummer: 12/00058 Dato for kontroll: Rapportdato: Endelig kontrollrapport Kontrollobjekt: Sørlandsbadet AS Sted: Lyngdal Utarbeidet av: Stein Erik Vetland 1 Innledning Datatilsynet gjennomførte kontroll hos Sørlandsbadet AS 18. januar 2012 sammen med Arbeidstilsynet. Kontrollen ble utført med hjemmel i personopplysningslovens 44, jf. 42, 3. ledd. Temaet for kontrollen var virksomhetens behandling av personopplysninger, særlig i forbindelse med kontrolltiltak, deriblant kameraovervåking. Kontrollen fant sted ved virksomhetens faste forretningsadresse. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Atle Homme, dagligg leder - Børge Sundnes, teknisk leder, HMS - Nelly Mathisen, ansatt kjøkken/resepsjon 2.2 Fra Arbeidstilsynet: - Snorre Nordstrand, juridisk rådgiver - Odd T. Johannesen, overingeniør 2.3 Fra Datatilsynet: - Stein Erik Vetland, overingeniør 3 Generelt Sørlandsbadet er et svømmeanlegg innerst i Rosfjorden med både innendørs og utendørs basseng. Anlegget er i februar 2012 fem år gammelt. Anlegget har blant annet bølgebasseng, idrettsbasseng med stupetårn på 1,3 og 5 meter, velværebasseng, kaldkulp, sklier, treningssal og velværeavdeling. Virksomheten har omtrent 40 ansatte fordelt på 20 årsverk. 1 av 6

2 4 Kort om bruk av personopplysninger samt formålet med behandlingene Virksomheten har et adgangskontrollanlegg i forbindelse med resepsjonen for å kunne elektronisk kontrollere besøkende sin inn- og utpassering. Besøkende som ikke registrerer sine personopplysninger vil ikke bli registrert med identifiserbare personopplysninger i adgangskontrollsystemet. Besøkende som ønsker å bli medlem får eget armbånd. Disse vil gi virksomheten et register over når disse har besøkt anlegget og hvor lenge de har vært til stede. Overvåkingsanlegget er et digitalisert anlegg bestående av elleve kamera, hvor to er styrbare og med zoom-funksjon. Ett av kameraene er plassert ved resepsjon og tilknyttet butikk, mens de resterende er i bassengområdet. Virksomheten har kameraovervåking for å kunne oppklare hvordan uheldige episoder har kunnet skje, samt å hjelpe badevaktene til å oppdage objekter under vann som ligger stille. Det kan også brukes for å oppklare tyveri/innbrudd på dagtid og etter åpningstid. De to styrbare kameraene er strategisk plassert på pilarer og gav en kombinasjon av mulighet for oversiktsbilde og detaljerte bilder, avhengig av operatørs betjening. Disse blir sjelden benyttet. Det er tre fastmonterte kamera under vann der det er dypest. Opptak fra disse tre kameraene er overvåket av et program som reagerer på objekter som ligger stille. Det blir kontinuerlig opptak til digitalt lagringsmedium. Opptak slettes etter fire døgn. Monitor for å se kameraene er plassert i et rom med sentral plassering i badeanlegget. Likevel har badevaktene sjelden lengre opphold i rommet. Det finnes andre naturlige plasser der badevaktene har enda bedre oversikt, samt bedre kontakt med besøkende. Rommet er derfor sporadisk besøkt. Rommet er ikke låst, men holdes naturlig under oppsikt av badevaktene. 5 Funn og avvik fra lovbestemte krav til behandling av personopplysninger Adgangskontroll Personopplysningsloven har ikke egne bestemmelser for adgangskontroll. Ut fra dette gjelder alle lovens bestemmelser. Kameraovervåking Personopplysningsloven samt personopplysningsforskriften kapittel 8 stadfester rammer for fjernsynsovervåking. Personopplysningsloven 37 stadfester at når billedopptak fra fjernsynsovervåking lagres på en måte som gjør det mulig å finne igjen opplysninger om en bestemt person, jf. 3 første ledd, gjelder også lovens øvrige bestemmelser. Datatilsynet mener at virksomhetens digitale lagring gjør det mulig å finne igjen opplysninger om en bestemt person, og som en følge av dette gjelder alle lovens bestemmelser. 2 av 6

3 5.1 Adgangskontroll Adgangskontrollsystemet lagrer kun personopplysninger om kunder som er registrert gjennom medlemskap. For andre besøkende blir det ikke registrert hvilken kunde som har hvilket armbånd. Denne sistnevnte registreringen faller dermed utenfor personopplysningsloven, siden det ikke registreres identifiserbare personopplysninger. Medlemskapet er regulert gjennom en Medlemskontrakt inngått mellom Sørlandsbadet og kunden. I kontrakten blir det registrert følgende opplysninger om kunden: Etternavn, fornavn, adresse, postnummer, poststed, fødselsdato, telefonnummer, mobilnummer, e-postadresse, innmeldt dato, priskategori, betalingsmåte, samt eventuell avtale om avtalegiro. Baksiden av medlemskontrakten inneholder rettigheter og plikter. Her fremgår det at Sørlandsbadet vil foreta adgangskontroll ved sjekk av medlemskort og at medlemmet kan ikke overdra sitt personlige medlemskap til en annen. Misbruk/utlån av armbånd kan føre til utestengelse Lagring av innpasseringer Lovkrav Personopplysningsloven 11 stadfester at den behandlingsansvarlige skal sørge for at personopplysningene som behandles a) bare behandles når dette er tillatt etter 8 og 9, b) bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet, c) ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, uten at den registrerte samtykker, d) er tilstrekkelige og relevante for formålet med behandlingen, og e) er korrekt og oppdatert, og ikke lagres lengre enn det som er nødvendig ut fra formålet med behandlingen, jf 27 og 28. Videre stadfester personopplysningsloven 14 den behandlingsansvarlige skal etablere og holde ved like planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i eller medhold av denne loven, herunder sikre personopplysningenes kvalitet Funn Formålet med lagring av innpassering ble opplyst å være å kontrollere bruk av medlemskap ved manglende betaling. Hvis medlemmet ikke brukte anlegget kan Sørlandsbadet si opp avtalen i stedet for å beholde medlemmet og kreve betaling. Sørlandsbadet kunne ikke redegjøre for hvor lenge loggen ble beholdt Vurdering og konklusjon Datatilsynet ser at innpasseringsdata kan være formålstjenelig for virksomheten. Lovverket oppstiller dog krav om at personopplysninger ikke lagres lengre enn det som er nødvendig ut fra formålet med behandlingen, jf personopplysningsloven 11 og 28. Siden virksomheten ikke kan redegjøre for lagringstiden må virksomheten forsikre seg om at lagringstiden er i tilpasset formålet med behandlingen. Lagringstiden må her ikke overstige 3 måneder for de kunder som kun bruker adgangsmerket for inn- og utpasseringer. 3 av 6

4 Manglende kontroll av lagringstiden regnes som et brudd på personopplysningsloven 14, personopplysningsforskriften Kameraovervåking Kameraovervåking ved anlegget er omfattende i bassengområdet. Den direkte bruken av anlegget er mer indirekte. Dette er en følge av at det ikke er personell som kontinuerlig ser på monitoren og bruker de styrbare kameraene. Datatilsynet forutsetter videre at bruken av zoom-funksjonen er minimal. Den minimale bruken bør dog være underlagt kontroll av andre gjennom ordinær kontroll og stikkprøver Etter ledelsens oppfatning er kameraovervåkingen et supplement til badevaktene, men ikke badevaktene sitt primære redskap. Ved at kameraene under vann kan oppdage objekter som ikke rører seg og gi alarm til badevaktene vil dette være et redskap for å begrense farene ved svømming. Datatilsynet bestrider ikke at overvåkingsanlegget kan være nyttig for virksomheten i deres arbeid for å skape trygge rammer omkring bruk av anlegget. Tilsynet ser dette primært knyttet til å oppdage farlige situasjoner og avverge alvorlige konsekvenser (eksempelvis drukning) ved bruk av bassengene. Spørsmålet er likevel om tiltaket er forholdsmessig proporsjonert for det formålet som er definert Melding Lovkrav Den behandlingsansvarlige skal gi melding til Datatilsynet for behandling av personopplysninger med elektroniske hjelpemidler, jf. personopplysningslovens 31, jf Funn Sørlandsbadet har ikke meldt behandlingen ved hjelp av fjernsynsovervåking inn til Datatilsynet Vurdering og konklusjon Manglende melding anses som et brudd på personopplysningsloven 31, jf Varsling Lovkrav Personopplysningsloven 40 stadfester at fjernsynsovervåking på offentlig sted eller sted hvor en begrenset krets av personer ferdes jevnlig, skal varsles om at stedet blir overvåket og hvem som er behandlingsansvarlig Funn Virksomheten har gjennom skilt på dører merket på vei inn i bygningene at den er fjernsynsovervåket, men skiltene forteller ikke hvem som er behandlingsansvarlig. Skiltene oppgir ikke opplysninger om hva som er overvåket. 4 av 6

5 Vurdering og konklusjon Tilsynet mener at varselskilt bør suppleres med mer kvalitativ informasjon om overvåkingen, for de som ønsker noe mer informasjon. De ordinære skiltene kan eksempelvis vise til mer utfyllende informasjon plassert på en egen, tavle, informasjonsskriv, på nettsiden til virksomheten eller annen måte å løse dette på. Dette gjør det mulig for de som ønsker mer informasjon om tiltaket å få mer utfyllende informasjon. Grunnet den overvåking som skjer ved badet både i forhold til omfang og i forhold til en situasjon hvor alminnelig bluferdighet gjør overvåkingen spesiell mener Datatilsynet at badet bør tilgjengliggjøre mer informasjon enn det minimum loven krever. Manglende beskrivelse av hvem som er behandlingsansvarlig og hvor overvåkingen skjer anses som et avvik. Dette er et brudd på personopplysningsloven Lagring og sletting Lovkrav Personopplysningsforskriften 8-4 stiller krav om at billedopptak slettes når det ikke lengre er saklig grunnlag for å oppbevare disse, og senest innen sju dager Funn Opptakene slettes automatisk etter fire dager ved Sørlandsbadet Vurdering og konklusjon Datatilsynet stiller ikke videre spørsmål ved berettigelsen av å lagre opptakene fire dager fra det stedet som ikke er inne i selve badeanlegget (fuktig sone). Når det gjelder lagring av bilder fra overvåkingen inne i fuktig sone, er personverninteressen langt større. I denne sammenheng er det av interesse å nevne at Personvernnemnda har tatt stilling til opptak av badebasseng i en tidligere sak. I denne saken klaget et hotell inn Datatilsynets vedtak om at billedopptak fra et basseng skulle opphøre. Klagen ble ikke tatt til følge. (Vedtaket, 2002/05 kan lese på Datatilsynet er skeptisk til at opptak i det hele tatt lar seg forsvare ut fra en interesseavveining etter 8 f også ved Sørlandsbadet. Det mest tungtveiende hensynet bak overvåkingen er å kunne oppdage og avverge farlige situasjoner, i særlig grad drukning. I denne sammenheng er det badevaktene og det systemet som kan gjøre badevaktene oppmerksomme på objekter som ligger stille under vann som har en slik funksjon. Opptakene kan kun brukes til å kontrollere hvordan kritiske eller uvanlige situasjoner kan skje. Virksomheten har sagt at formålet med lagringen er å kunne lære av uønske situasjoner og kunne gi politiet materiale de kan bruke i eventuelle etterforskninger. På generell basis, ser Datatilsynet at innsamling av personopplysninger som primært lar seg forsvare ut fra et eventuelt fremtidig behov hos politiet, har en vesentlig innvirkning på personvernet. Når politiets eventuelle fremtidige nytte legges til grunn, blir innsamling og 5 av 6

6 lagring gjerne langt mer omfattende. Sett i et personvernperspektiv, er en nøktern innsamling og lagring begrunnet i den behandlingsansvarliges virksomhets eget behov, av stor betydning. Virksomheten har satt lagring i fire dager siden virksomheten da har noen dager på seg å vurdere om opptakene skal tas ut av løsningen for overlevering til politiet. Virksomheten har begrenset muligheten til at opptak kan tas ut av løsningen slik at de må kontakte leverandør for å kunne gjøre dette i praksis. Tilsynet er av den oppfatning at hvis virksomheten utarbeider rutiner for uttak av perioder til lengre lagring kunne lagringen generelt blitt justert ned. Virksomheten oppgir at den aldri har gitt politiet videomateriell, men at politiet heller har kommet til virksomheten for å se opptak der. Datatilsynet ber virksomheten vurdere sin praksis når det gjelder lagring. Virksomheten bør vektlegge egne behov for lagring opp mot personvernkrenkelsen overvåkingen vil være for virksomhetens kunder. 6 av 6