United Bakeries Lilleakerveien 16 0283 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 10/01213-5 /SDK 21. desember 2010 Vedtak om pålegg - Kontroll hos United Bakeries Majorstua - Endelig kontrollrapport Det vises til Datatilsynets kontroll hos United Bakeries Majorstua den 20. september 2010 og Datatilsynets varsel om vedtak av 22. oktober 2010. Varslede vedtak, vurdering av tilsvar og endelig kontrollrapport I brev av 22. oktober 2010 varslet Datatilsynet følgende pålegg: 1. Den skjulte kameraovervåkingen av kontoret skal opphøre umiddelbart. Opptak fra dette kameraet skal slettes, jf. personopplysningsloven 40 og 11, 8 bokstav f og 38, og personopplysningsforskriftens 8-4. Det vises til kontrollsrapportens 8.1 8.1.1. 2. Kameraovervåking av kafébord skal opphøre, jf. personopplysningsloven 11, jf. 8 bokstav f. Det vises til kontrollrapportens 8.2 8.2.1. 3. Kameraovervåkingen rundt disken skal enten a. innskrenkes/begrenses og rettes mer eksklusivt mot det oppgitte formålet, b. avgrenses til tider hvor ansatte ikke er på jobb, eller c. opphøre, jf. personopplysningsloven 11, 8 bokstav f og 38. Det vises til kontrollrapportens 8.2 8.2.1. 4. Varslingen av kameraovervåkingen på stedet skal gjennomgås og utbedres vesentlig, jf. personopplysningsloven 40. Det vises til kontrollrapportens 8.4. Datatilsynet forutsetter at de ansatte blir informert om hva som har skjedd og hvilke endringer som er, eller blir utført. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 www.datatilsynet.no 0034 OSLO
Datatilsynet har i brev av 12. november 2010 mottatt virksomhetens merknader. Datatilsynet kan ikke se å ha mottatt merknader til selve rapporten. Den endelig rapporten som ligger vedlagt tilsvarer innholdsmessig den foreløpige rapporten. Derimot gir virksomhetens brev informasjon om lukking av avvik. Dette får betydning for hvilke vedtak Datatilsynet fatter. Slik Datatilsynet forstår tilbakemeldingen, anser virksomheten at den har lukket avvikene knyttet til de varslede vedtakene nr 1, 3, og 4. Datatilsynet tar informasjon til etterretning og fatter ikke vedtak på disse punktene. Varslet vedtak nr 2 gjenstår. Virksomheten ønsker at denne delen av overvåkingen skal fortsette. Datatilsynet fastholder sin vurdering slik den fremkommer i rapporten. Det gjøres oppmerksom på at Datatilsynet ikke vil avvise at en annerledes utførelse kanskje kan ivareta hensynet til sikring av gjenstandene, men uten av det medfører en overvåking av kafébordene. Det fattes derfor vedtak på dette punktet og med den ordlyd som ble gitt i det varslede vedtaket. Vedtak om pålegg Med hjemmel i personopplysningsloven 46 gir Datatilsynet følgende pålegg: 1. Kameraovervåking av kafébord skal opphøre, jf. personopplysningsloven 11, jf. 8 bokstav f. Det vises til kontrollrapportens 8.2 8.2.1. Datatilsynet gir frist for gjennomføring av pålegget til 15. februar 2011. Virksomheten må innen nevnte dato bekrefte skriftlig overfor Datatilsynet at pålegget er gjennomført. Med mindre annet er særskilt angitt kreves det ikke ytterligere dokumentasjon på at pålegget er gjennomført. Det gjøres imidlertid oppmerksom på at Datatilsynet vil kunne foreta en etterkontroll av dette. Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at virksomheten har rett til innsyn i sakens dokumenter, jf forvaltningslovens 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å gjøre om sitt eget vedtak. 2
Reaksjon på lovstridige forhold fortsatt under saksbehandling I Datatilsynets brev av 22. oktober 2010 ble det rettet sterk kritikk mot virksomheten for å ha drevet skjult overvåkning Det ble også opplyst om at denne delen av saken var oversendt for nærmere juridisk vurdering og at utfallet av en slik prosess kan bli vedtak om overtredelsesgebyr eller anmeldelse av forholdet. Det gjøres oppmerksom på at dette fremdeles er under saksbehandling. Med hilsen Leif T. Aanensen Avdelingsdirektør Stian D. Kringlebotn rådgiver Vedlegg: Endelig kontrollrapport 3
Saksnummer: 10/01213-1 Dato for kontroll: 20. september 2010 Rapportdato: 21. desember 2010 Endelig kontrollrapport Kontrollobjekt: United Bakeries Majorstua Sted: Oslo Utarbeidet av: Frank U. Eriksen Stian D. Kringlebotn 1 Innledning Datatilsynet gjennomførte en uanmeldt kontroll hos United Bakeries Majorstua den 20. september 2010. Temaet for kontrollen var virksomhetens bruk av fjernsynsovervåking. Kontrollen ble gjennomført i medhold av personopplysningslovens 44, jf. 42, 3. ledd. I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Tilstede under kontrollen 2.1 Fra virksomheten: - Pernille Bjelke, ass daglig leder ved United Bakeries Majorstua (20. september) - Martin Dröschmeister, daglig leder for United Bakeries Consept AS (22. september) 2.2 Fra Datatilsynet: - Frank U. Eriksen, senioringeniør (begge dager) - Stian D. Kringlebotn, rådgiver (begge dager) 3 Generelt United Bakeries Majorstua er både en kafé og et bakeri. Unitet Bakeries har flere filialer i Oslo. 4 Om kontrollen Kontrollen var uanmeldt og står i sammenheng med oppfølging av tips. Temaet var virksomhetens bruk av kameraovervåking. Under kontrollen informerte Datatilsynet om hjemmel for kontrollen og det ble også opplyst om rettigheter samt plikter for den parten som kontrollen rettet seg mot. Hos Unitet Bakeries Majorstua den 20. september var informasjonsinnhentingen for en stor del avgrenset til avklaringer knyttet til selve overvåkingsanlegget, hva som fantes, hva bildene fanget opp, hvordan og hvor lenge opptak ble lagret med videre. Det var ikke mulig for daglig leder på stedet eller daglig leder for Unitet Bakeries Consept AS å stille på kontrollen. Innhenting av annen viktig informasjon, som formålet med overvåkingen, behov og begrunnelse for tiltaket og enkelte andre forhold, måtte derfor utstå til en senere samtale med 1 av 15
personell som kunne belyse dette. Det ble derfor laget en avtale over telefon med daglig leder den 21. september. Den 22. september ble det innsamlet supplerende informasjon i et møte med daglig leder for Unitet Bakeries Consept AS i Datatilsynets lokaler. Også denne gang ble det informert om rettighetene for kontrollobjektet. Kontrollen ble avsluttet med en kort oppsummering og informasjon om saksgang. 5 Fjernsynsovervåkningen United Bakeries Majorstua Etter beskrivelsen, er overvåkingsanlegget fra 2007. Overvåkingsanlegget er fra den tiden stedet åpnet og anlegget har vært det samme siden den gang. Kameraovervåkingsanlegget ble installert av firmaet Vaktservice. For å få et best mulig grep på den videre fremstillingen er det grunn til å påpeke en viktig distinksjon: Denne saken omfatter to former for kameraovervåking i samme overvåkingssystem: Én del som er mulig å se Én del som er skjult og som det heller ikke er grunn til å tro at eksisterer Kameraovervåking som er mulig å se Kameraovervåkingen består av 7 kuppel- /dome-kameraer som til sammen dekker flere deler av lokalene, både steder kundene beveger seg og steder som er forbehold ansatte. All overvåking er innendørs. De 7 dome-kameraene er lett synlige og montert i taket. Selve kuppelen gjør det vanskelig å se hvor linsen peker. Skjult kameraovervåking I tillegg finnes det ett kamera på et minikontor. Dette ser ikke ut som et overvåkingskamera, men som en røykvarsler/ røykdetektor. 2 av 15
Røykdetektoren nærmest lysarmaturen er overvåkingskameraet. Etter Datatilsynets vurdering, må dette forstås som et klart eksempel på skjult kameraovervåking. Dette beskrives nærmere i rapportens 8.1 og 8.1.1. Hva viser overvåkingsbildene? For den videre gjennomgang er det hensiktsmessig å dele fremstillingen av overvåkingen i tre deler. Overvåkingsbildene viser: Minikontoret den skjulte kameraovervåkingen. Kameraovervåkingsbildet viser rommet sett skrått ovenfra og mot den pulten som er plassert der. Det lille rommet (kanskje 1.5 x 2 meter) er henimot totalovervåket. En person som arbeider ved pulten eller PC en, tar en telefon eller annet vil bli faget opp av kameraet. Bildene er i sorthvitt og skiller seg således fra resten av opptakene som er i fager. Område i tilknytning til disken: Fire dome-kameraer. Disse står på rekke etter hverandre bak disken. Overvåkingsbildene viser område både på innsiden og på utsiden av disken. Da det her er ikke mindre enn fire kameraer med hovedfokus på hver sin del av disken, oppnås det at området bak disken er totalovervåket. De fleste av bildene er meget uskarpe. Ett kamera gir skarpe bilder. Kafébord og kundeområdet. Det overvåkes en del av det området kundene sitter i. En del kaféborder overvåkes, samt delvis en reol med antikviteter. Bildet er også her forholdsvis uskarpt. Gang og dører. Det ene kameraet gir bilder av en gang. Det andre kameraet fanger opp en dør ut mot bakgården og hvor det også skjer varelevering fra. Disse områdene er ikke steder hvor gjester befinner seg. Varslingsskilter På inngangsdøren fra Valkyriegata finnes ett klistremerke med opplysninger om Kameraovervåket område. Dette står delvis skjult bak dørhåndtaket. 3 av 15
På bildet ses det eneste varslingsskiltet på stedet. Bildet viser skiltets størrelse i forhold til en liten fyrstikkeske. Annet Opptaksenheten står i minikontoret. Det er mulig å se løpende overvåkingsbilder, men det behøves brukernavn og passord for å kunne logge seg inn på alle kameraene (dvs også det skjulte kameraet) og opptak. Opptak lagres i 7 dager (gjelder også den skjulte overvåkingen). Det skal ikke være lagring eller overføring av lyd, og det er heller ikke mulig å styre kameraene (opp/ned, i side eller zoom) fra PC-en. Det er 4 personer som har tilgang til opptakene. Overvåkingsbildene er til dels av en svært dårlig kvalitet. Datatilsynet antar at selve utstyret vil gi gode bilder og at det nok også har gjort det tidligere. En sannsynlig forklaring kan være at en del av kameralinsene med tiden har kommet ut av fokus og/ eller at kuppelen eller linsen er tilsmusset. Datatilsynet kan ikke finne en gyldig melding for kameraovervåkingen ved United Bakeries Majorstua. 5.1 Formålet med fjernsynsovervåkingen og behovet for overvåkingen På kontrolltidspunktet var det ingen gyldig melding å ta utgangspunkt i for å kunne avklare formål eller behov for kameraovervåkingen. (Det er naturlig at dette er angitt i meldingens 4 av 15
punkt 6 c - Nærmere beskrivelse.) Under møtet med daglig leder for Unitet Bakeries Consept AS ble formålet nærmere belyst muntlig. Det gis her en fremstilling av dette: Det viktigste hensynet bak kameraovervåkingen er at synlige kameraer forhåpentlig vil gi en preventiv effekt mot kriminelle handlinger og at overvåkingen således sikrer ansatte, kunder og verdier. Dernest er det et formål med overvåkingen at den muliggjør å oppdage og å dokumentere kriminelle forhold som innbrudd, stjeling av varer/ verdier og svindel. Med hensyn til kulepunkt nr 2, er dette formålet gjeldene både for kunder og ansatte. Etter det tilsynet forstår, er formålet knyttet til de ansatte reelt, men likevel av en sekundær eller beskjeden karakter. Det er trusler utenfra som er det primære. Datatilsynet tar utgangspunkt i beskrivelsen ovenfor som formålet med behandlingen av personopplysningene, jf. personopplysningslovens 11 bokstav b. Datatilsynet vil se hen til beskrivelsen i vurderingen av hva som har relevans for formålet. Det er åpenbart for daglig leder, og det ble også eksplisitt nevnt, at fremstillingen inneholder en selvmotsigelse. Det vises her til kombinasjonen av første kulepunkt ovenfor (synlig og kameraer og håp om en preventiv effekt) og skjult overvåking. Datatilsynet kan ikke se at Unitet Bakeries Majorstua har et spesielt sikkerhetsbehov. Helt konkret: Stedet fremstår ikke som spesielt utsatt i det tidsrommet de ansatte er på jobb. Det er flere på jobb samtidig, og stedet fremstår ikke som ransutsatt (skjønt det ikke kan utelukkes at det kan skje). Varene det handles med er ikke farlige eller lettomsettelige i et svart marked, og varene er i stor grad plassert i disk. Datatilsynet er ikke kjent med at det eksisterer noen pågående og spesiell situasjon av typen internt svinn, verken av penger eller varer. Tilsynet har heller ikke inntrykk av at det hersker uttrygghet blant ansatte for ulike trusler som skulle kunne rettferdiggjøre en omfattende overvåking i områder forbeholdt ansatte eller i det tidsrommet stedet er bemannet. Tilsynet er kjent med at tidligere har vært en sak om svinn av varer av mindre karakter. Overvåkingsanlegget, og bakgrunnen for å ha overvåkingen, må i så måte først og fremst ses i sammenheng med en imøtegåelse av en mer statistisk eller generell trussel. Ikke som et tiltak i en spesielt utsatt situasjon eller en bekjempelse av allerede påviste og konkrete problemer forårsaket av ansatte. 5.1.1 Vurdering av formålet og behov og dets betydning for tilsynets vurderinger i saken Det oppgitte formålet er klargjort og forholdsvis tydelig med tanke å kunne ta stilling til hva som faller innenfor formålet og hva som ikke gjør det. Stedet og det som skjer der fremstår ikke som spesielt farlig eller utsatt, verken for deres kunder eller ansatte: Det produseres og selges mat, og det drives kafé. Uten prekære 5 av 15
problemer, verken av intern eller ekstern art, må en eventuell overvåking av ansatte og kunder være av en beskjeden karakter. 5.2 Ansvar for behandlingen av personopplysninger behandlingsansvar Personopplysningslovens 2 nr 4 definer begrepet behandlingsansvarlig som den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes. Virksomhetens ser United Bakeries Consept AS, ved daglig leder, som ansvarlig. United Bakeries Consept AS eier de forskjellige utstalgsstedene/ bakeriene, deriblant Unitet Bakeries Majorstua. Unitet Bakeries Majorstua er ikke et selvstendig selskap og de som jobber der er ansatt i United Bakeries Consept AS. Datatilsynet tar virksomhetens vurdering til etterretning og anser United Bakeries Consept AS, ved daglig leder, som behandlingsansvarlig etter personopplysningslovens 2 nr 4. 6 Generelt om personvernhensyn ved kameraovervåking på arbeidsplassen og på kaféer Det er en vesentlig forskjell mellom det å bli sett av en annen tilstedeværende person og det å bli kameraovervåket: Overvåking medfører i sin alminnelighet at den overvåkede og overvåkeren ikke har en lik mulighet til å se hverandre. I motsetning til en situasjon hvor fysisk tilstedeværende personer gjensidig kan observere hverandre, vil en kameraovervåket person måtte forholde seg til et mulig innsyn som vedkommende i realiteten har liten eller ingen kontroll med. I en del tilfeller vil det også bli en ren gjetning om det som gjøres innenfor kameraenes rekkevidde vil bli sett i det hele tatt. Men den overvåkede må forholde seg til at det som skjer her og nå i det minste kan blir gjenstand for et innsyn fra en part som ikke er fysisk tilstede, enten samtidig eller i ettertid ved hjelp av opptak. Det må anses som et gode for enkeltmennesket å kunne forholde seg til hva en selv kan se og lett kan ta stilling til. Det må også betraktes som et gode å kunne vite seg usett og alene, og å kunne vite seg usett ut over dem man inngår i en samhandling med. I noen situasjoner er dette viktigere enn i andre situasjoner. Personverninteressen i å ikke bli overvåket må ses opp mot hvor inngripende tiltaket er. Eventuell interesse i diskresjon, alminnelige forventninger til å være i fred i denne type situasjoner eller om det som overvåkes har en privat karakter, vil være relevant i vurderingen av personverninteresser. Den konkrete personverninteressen kan ikke vurderes løsrevet fra hva som overvåkes. Kameraovervåking kan utføres på en slik måte at de tilstedeværende ikke vet om overvåkingen. Ved skjult kameraovervåking blir personer fratatt muligheten for å hensynta det utenfrablikk situasjonen faktisk har eller kan få, noe som er et grovt brudd på personvernprinsipper. Et godt personvern avhenger av at de det gjelder er informert om behandling av personopplysninger om seg selv. Uten kjennskap til hva som skjer, mister den overvåkede muligheten til å ivareta sine rettigheter. 6 av 15
Rent generelt, blir det vurdert å være store utfordringer for arbeidstakers personvern knyttet til overvåking i en arbeidssituasjon. At arbeidsutførelsen blir overvåket kan oppleves som en belastning. Selv på jobb har folk behov for en situasjon som ikke er fullstendig transparent og uten en løpende detaljregistrering av arbeidsutførelsen. Tidsaspektet er en viktig grunn til at personvernulempene kan bli høye ved overvåking i arbeidslivet. Arbeidsdagen utgjør en betydelig del av døgnet. Er overvåkingen rettet mot steder hvor den ansatte har sine primære arbeidsoppgaver, kan resultatet blir at tilnærmet hele arbeidsdagen ligger lagret på opptak. En annen viktig grunn kan sees i hva som ofte er relasjonen mellom den overvåkede og overvåkeren; nemlig ansatt og arbeidsgiver/ sjef. I relasjonen ligger det også et maktforhold. Steder som brukes til avslapning, rekreasjon og sosialt samvær er blant de steder hvor personvernhensyn gjør seg tydelig gjeldene. Typiske eksempler på dette er kaféer og restauranter. Det må anses som en rimelig forventning å kunne spise, hygge seg og slappe av, kanskje sammen med familie eller venner, uten at dette skal medføre en filming av oppholdet som sådan. Særlig kameraovervåking av kafé- eller restaurantborder eller andre steder hvor gjestene befinner seg over tid, har betydelige personvernulemper. Uansett hva som overvåkes, vil det ligge en klar personverninteresse i at det ikke samles inn unødvendige personopplysninger og at det velges metoder som er minst mulig inngripende. Eksempelvis er det ofte et samspill mellom bruk av ressurser på bemanning og i hvilken grad en virksomhet ser det som nødvendig å bruke kameraovervåking. Videre er det en betydelig personverninteresse forbundet med at overvåkingen ikke blir brukt på et unødig eller utilbørlig vis. Et viktig aspekt ligger i å tydelig spesifisere formålet med overvåkingen, og avgrense bruken strengt til dette. Det må tas utgangspunkt i at det generelt ikke er i det enkelte menneskets interesse å bli kameraovervåket. Unntaket vil være de tilfeller hvor det medfører noe positivt for den som blir overvåket, og uten at negative sider med overvåkingen overskygger dette. 7 Kort om personopplysningslovens regulering av fjernsynsovervåking Lov om behandling av personopplysninger av 14. april 2000 nr. 31 (personopplysningsloven) har egne bestemmelser om fjernsynsovervåkning, definert i lovens 36. Disse følger av personopplysningslovens kapittel VII. Personopplysningsforskriftens kapittel 8 har utfyllende bestemmelser for fjernsynsovervåking. I tillegg til bestemmelsene i lovens kapittel om fjernsynsovervåking ( 36 41), gjelder lovens 8, 9, 11, 31 og 32 for all fjernsynsovervåking. 7.1 Grunnkrav og vilkår for å behandle personopplysninger Personopplysningslovens 11 oppstiller grunnkrav til behandling av personopplysninger. 7 av 15
Innsamling og bruk av personopplysninger skal skje til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet, jf 11 bokstav b. Det er med andre ord en forutsetning at det er klargjort hvorfor personopplysningene samles inn og hva de skal brukes til. (Det er vanskelig å se hvordan en formål kan være utrykkelig angitt uten at det også å være skriftlig nedfelt.) Begreper som relevans og tilstrekkelighet for formålet, står sentralt i forbindelse med grunnkravene. Det er en forutsetning at formålet er styrende for hva som samles inn av personopplysninger opplysningene skal være relevante for formålet. Selv om dette ikke eksplisitt fremkommer av bestemmelsens ordlyd, gjelder et proporsjonalitetsprinsipp. Tiltaket må stå i rimelige proporsjoner sett opp mot behov og formål og den inngripen i personvernet tiltaket eventuelt medfører. Etter personopplysningslovens 11 første ledd bokstav a må behandling av personopplysninger oppfylle ett av vilkårene i personopplysningslovens 8 (og 9 om det er sensitive personopplysninger). Dette kalles behandlingsgrunnlag. Behandlingsgrunnlaget for kameraovervåkning vil normalt være lovens 8 bokstav f. Vilkåret etter dette alternativet er at behandlingen av personopplysningene er nødvendig for at den behandlingsansvarlige kan vareta en berettiget interesse, og at hensynet til den registrertes personvern ikke overstiger denne interessen. Med den registrerte menes her enhver som omfattes av opptakene og kan gjenkjennes, herunder ansatte, kunder, besøkende, eller andre. Oppfyller ikke overvåkningen vilkåret i 8, vil den mangle behandlingsgrunnlag, og følgelig være en behandling av personopplysninger i strid med loven. En avveining av interesser må ta utgangspunkt i en konkret vurdering. 7.2 Andre sentrale bestemmelser Overvåking innenfor rammen av en arbeidsplass vil svært ofte være omfattet av et skjerpet krav til behov for å kunne anses som lovlig. Personopplysningslovens 38 stiller et krav om særskilt behov for overvåkingen om overvåkingen skjer av sted der en begrenset krets av personer ferdes jevnlig. Et typisk eksempel kan være et produksjonslokale hvor kun ansatte har tilgang. Det er med andre ord høye terskler for en lovelig overvåking av ansatte. Dette gjelder særlig om overvåkingen i stor grad omfatter de ansattes arbeidsutførelse og alminnelige gjøremål i løpet av en arbeidsdag. Fjernsynsovervåking er meldepliktig etter personopplysningslovens 31. Overvåkingen skal tydelig varsles med informasjon om hvem som er behandlingsansvarlig, jf personopplysningslovens 40. Bestemmelser om utlevering av billedopptak finnes i personopplysningslovens 39. Personopplysningsforskriftens kapittel 8 om fjernsynsovervåking har utfyllede bestemmelser om sletting i 8-4 og innsynsrett i 8-5. Etter personopplysningsforskriftens 8-2 skal billedopptak sikres etter personopplysningslovens 13 med utfyllende bestemmelser i personopplysningsforskriftens kapittel 2. 8 av 15
8 Funn og avvik fra lovbestemte krav til behandling av personopplysninger Etter Datatilsynets vurdering, faller kameraovervåkingen ved Unitet Bakeries Majorstua inn under personopplysningslovens definisjonen av fjernsynsovervåking i lovens 36. Tilsynet anser den konkrete overvåkingen som omfattet av de regler som gjelder for fjernsynsovervåkning inn under 37 andre ledd. Dette betyr at det ikke kun er lovens særregulering av fjernsynsovervåking som gjelder (kapittel VII). Personopplysningslovens øvrige bestemmelser vil også gjelde. I rapportens påfølgende deler ses den konkrete overvåkingen opp mot personopplysningslovens krav til fjernsynsovervåking, som varslingsplikt, krav til rettslig grunnlag for behandlingen av personopplysningene, meldeplikt med videre. Den skjulte kameraovervåkingen behandles først og den behandles separat fra andre deler av overvåkingen som har en mer alminnelig karakter. For øvrig legges hovedfokuset i gjennomgangen mot hva som overvåkes, helt konkret, og om dette er berettiget og kan forsvares ut fra lovens krav. De sentral bestemmelsene Datatilsynet vurderer dette opp mot er 11, jf 8 grunnkrav behandlingsgrunnlag (interesseavveining). I tillegg vurderes deler av overvåkingen mot lovens 38 og krav til særskilt behov for overvåking. Datatilsynet ser personopplysningslovens 8 bokstav f som det aktuelle grunnlaget det må vurderes opp mot. Tilsynet mener at lovens 38 kommer til anvendelse for overvåking bak disken og andre steder hvor kundene ikke har adgang. 8.1 Skjult kameraovervåking Datatilsynet anser overvåkingen av minikontoret som en klart eksempel på skjult kameraovervåking (med lagring av bilder). Vurderingen baserer seg ikke alene på at overvåkingskameraet er kamuflert for å gi inntrykk av å være noe annet enn det er: Det finnes ingen varslingskilter eller noe annet som skulle tilsi at rommet er et overvåket. Datatilsynet har søkt å avklare i hvilken grad ansatte har kjent til at røykvarsleren er et kamera. Etter det Datatilsynet forstår, har de ansatte ikke blitt informert om dette, rent generelt. Noen har likevel visst om det, men har ikke fått denne informasjonen fra ledelsen. Det finnes også et annet element som faller inn i et mønster; det her er gjort mye for å unngå at ansatte skal forstå at rommet er overvåket: Kontoret er tilgjengelig for de ansatte og på dataskjermen er det mulig å se overvåkingsbilder i sanntid. Etter det Datatilsynet forstår, skjer dette i en grad fordi bilder nyttes til å se om det er kø i kassene og om man bør gå ut for å hjelpe. Overvåkingsbildene fra de andre kameraene vises, men ikke dette. De vises kun om man logger seg inn på brukergrensesnittet. Datatilsynets personell oppdaget ikke kameraet før virksomhetens representant ble bedt om å logge seg inn slik at det kunne gjøres innsyn i opptak og brukergrensesnitt. (Den ansatte hadde allerede på det tidspunktet sagt at det fantes 9 av 15
ett kamera til, men tilsynets personell forstod ikke hvilke type kamera det var før etter innlogging.) Etter det Datatilsynet forstår, ble rommet med den skjulte overvåkingen tidligere primært brukt som tellerom. Dette har forandret seg over tid. I dag brukes rommet som et kontor og for administrative oppgaver. Oppgjøret tas riktignok her, men det utgjør bare en liten del av den tiden stedet er i bruk. Men utgangspunktet sier noe om motivasjonen: Det har vært et ønske om at de ansatte skulle være kameraovervåket mens pengene ble telt opp, men uten at de visste det. Separat sett er det lettere å forstå målet med overvåking av pengetelling enn overvåking av administrative oppgaver. Men under alle omstendigheter, kontoroppgaver eller pengetelling, skjult kameraovervåking er forbudt. I forbindelse med etterlevelse av regelverket, blir det nærmest sekundært at behandlingen av opplysningene langt på vi strider mot det oppgitte formålet. Det mest fremtredende lovbruddet ligger i tilbakeholdelses- og tilsløringsaspektet. Ikke bare mangler det skilter eller informasjon gitt på annen måte; det er truffet aktive tiltak for å unngå at de ansatte skal forstå hva som skjer. Den konkrete saken skiller seg således klart fra en situasjon hvor varslingsplikten er dårlig ivaretatt gjennom skilting. Den skjulte overvåkingen er av en helt annen alvorlighetsgrad. De ansatte hadde ikke grunner til å tro at kontoret var overvåket, de er aktivt og villet ført bak lyset og det har skjedd i årevis. Skjult kameraovervåking er forbudt, uansett om det skjer over et kort eller langt tidsrom. Men tidsaspektet skiller denne saken fra tilfeller hvor arbeidsgivere, i en kortere periode og på bakgrunnen av konkrete problemer (eksempelvis underslag av penger som man ikke klarer å finne ut av), tyr til skjult overvåking for å finne ut av hvem som står bak. I denne saken derimot, er en liknede skjult overvåking brukt som et fast oppsett. Datatilsynet er heller ikke kjent med at United Bakeries Majorstua noen gang har hatt store problemer med svinn av penger som ikke har latt seg avklare på annet vis. Personvernkonsekvensene er høye for en skjult overvåking som denne. Overvåkingen har pågått i flere år på et sted som fremstår som skjermet fra innsyn utenfra. På mange måter er det verre med skjult overvåking der hvor man antar at man er alene og i en grad skjermet, enn steder hvor man allerede er omfattet av andres blikk eller inngår i en samhandling. For mange av de ansatte er kontoret noe de trolig kun er innom i kortere tidsrom. Det er rimelig å anta at disse kun unntaksvis har vist om overvåkingen. Da rommet brukes til telling, må det antas at store deler av de ansatte har blitt omfattet for dette. Inntrykket er også at kontoret i en grad brukes av ansatte til å sjekke e-post eller ta en telefon, et sted skjermet fra kundebehandlingen ute i salgslokalet. For andre har kontoret var deres primære arbeidssted, og en av disse har ikke visst om overvåkingen. Det må antas at den skjulte overvåkingen har samlet inn opplysninger om de fleste i større eller mindre grad. Et annet forhold nært forbundet med et godt personvern er tillit. Den skjulte overvåkingen bryter en tillitsrelasjon i en situasjon hvor ansatte er overlatt til å stole på hva de blir presentert for og selv kan se. En fordekt behandling av personopplysninger er ikke bare et stort inngrep i seg selv, det er egnet til å bryte ned den tillit som man i så mange relasjoner er avhengig av for gode og rimelige forhold mellom parter. Konkrete erfaringer med grove 10 av 15
overtramp er egnet til å skape fremtid usikkerhet om man kan stole på det man blir presentert for. Det gjelder i et større og mer samfunnsmessig perspektiv og på et mirkoplan som er her, arbeidsplassen og forholdet mellom ansatt og arbeidsgiver. Inntrykket fra informasjonsinnhentingen er at denne delen av overvåkingen i en grad har blitt litt glemt, og at den slik sett har fortsatt i en delvis ny situasjon (bruken av rommet) uten at det har vært bevisst. Kanskje er det riktig. Datatilsynet har ingen informasjon som skulle tilsi at det ikke stemmer. Tilsynet har heller ingen informasjon om at opplysningene har vært i bruk eller at det har vært sett på opptakene uten saklig grunn. Men dette er forhold som vanskelig lar seg påvise. Avslutningsvis gjøre det noen betraktninger om kameraovervåkingens berettigelse om den hadde vært varslet slik at de som ble omfattet, var informert: Etter Datatilsynets vurdering, ville dagens kameraovervåking ikke vært tillatt etter personopplysningslovens 11, jf 8 f og 38. Dagens situasjon er at overvåkingen først og fremst innsamler opplysninger om ansattes utførelse av administrative oppgaver inne på et kontor. En slik overvåking har for store personvernulempe, og interesseavveining anses å klart gå i den registrertes favør. Etter Datatilsynets forvaltningspraksis, godtas normalt ikke overvåking av kontorer eller ansattes utførelse av administrative oppgaver. Denne type situasjoner kvalifiserer ikke til et krav til et særskilt behov i lovens 38. Dette betyr også at tilsynet ikke vil godta at den øvrige bruken av rommet blir overvåket som en akseptabel bivirkning av at selve pengeopptellingen ønskes overvåket. I tillegg til brudd på varslingsplikten, anser Datatilsynet den konkrete fjernsynsovervåkingen som å være i strid med personopplysningslovens 11, jf 8 f og 38. Et gjenstående spørsmål er om overvåking av pengeopptellingen isolert sett er tillatt. Det vil i så fall bety at selve overvåkingen må endres drastisk eller at bruken av rommet må endres. Lovligheten på dette feltet er mer av et åpent spørsmål, slik Datatilsynet ser det. Det vil avhenge av hvilket behov og konkrete problemer som eksisterer og en vurdering av risiko. En overvåking av pengeopptelling isolert til dette og med de berørtes kjennskap til overvåkingen er en helt annen situasjon en den aktuelle. Datatilsynet tar her ikke endelig stilling til om vilkår, rent prinsipielt/ hypotetisk, er oppfylt for denne eventualiteten. 8.1.1 Datatilsynets vurdering skjult overvåking av kontor Etter Datatilsynets vurdering, er kameraovervåkingen av minikontoret et tydelig og svært grovt brudd på pliktene i personopplysningslovens 40. Løsrevet fra dette, anser Datatilsynet også at fjernsynsovervåkingen skjer i strid med personopplysningslovens 11, jf 8 f og 38. Endring er nødvendig og presserende. Med hensyn til personvernkonsekvenser må endring skjer så raskt som mulig. Om nødvendig bør det etableres skadereduserende tiltak i en mellomperiode inntil problemet er endelig løst. 11 av 15
8.2 Drøfting av rettslig grunnlag for den øvrige delen av kameraovervåkingen Det vises til beskrivelsen av kameraovervåkingen i rapportens 5.1. Det vises også til redegjørelsen for formålet med kameraovervåkingen og stedets behov for tiltaket i rapportens 5.1 og 5.1.1. På et overordnet nivå, og sett i forhold til formålet og behov, mener tilsynet at omfanget av overvåkingen ved United Bakeries Majorstua er for stort. Datatilsynet mener også at deler av hva som fanges opp av kameraene, ikke faller inn under det oppgitte formålet. Dette gjelder særlig overvåking av kunder ved kaféborder. Ved kameraovervåking vil utfordringen ofte være å finne en løsning som er rettet mot formålet, men som samtidig unngår unødige eller utilbørlige personvernulemper. I mange tilfeller vil dette være mulig. I andre tilfeller kan ikke begge hensyn imøtekommes samtidig. Å imøtekomme et behov gjennom kameraovervåking er ikke en rettighet, og uavhengig av hva som måtte være av konsekvenser for personvernet. For at en overvåking skal være lovlig, må avveining av interesser falle i den behandlingsansvarliges favør, jf personopplysningslovens 8 bokstav f. I den aktuelle situasjonen settes det også opp et tilleggskrav i lovens 38 for deler av overvåkingen. Mer konkret om de enkelte del av overvåkingen: Gang og dører to kameraer. Datatilsynet har ingen vesentlige innvendinger mot det ene kameraet som fanger opp en dør ut mot bakgården og hvor det også skjer varelevering fra. Tilsynet anser at det foreligger et saklig behov for overvåkingen og antar at overvåkingen her heller ikke utgjør noen betydelig inngripen i de ansattes personvern. Når det gjelder det andre kameraet som fanger opp en gang like innenfor kaféen, er vurderingen kun delvis lik. Dette er et område ansatte trolig beveger seg ofte i. Samtidig er det heller ikke et sted man oppholder seg over tid, hvilket betyr at personvernproblematikken normalt blir mer beskjeden. Tilsynet anser at det foreligger et saklig behov for overvåkingen, men kanskje primært i forbindelse med innbrudd og når stedet er stengt. På dette feltet vil Datatilsynet ikke kreve noen endring. Tilsynet vil heller anbefale en gjennomgang for å vurdere om overvåkingen møter formålet på en god nok måte med en tidsbegrensning som holder den alminnelige arbeidsdagen utenfor. Område i tilknyttet til disken - fire kameraer. Etter Datatilsynets vurdering, må overvåking i noen grad kan tillates, men at den totale løsningen må være mer begrenset enn i dag. Fire kameraer med overlappende bilder synes å være i overkant av hva som er rimelig i en så pass udramatisk situasjon som det later til å være på stedet. Resultatet er kontinuerlig filming av ansatte der hvor de har sine primære arbeidsoppgaver. Det må forstås som en betydelig personvernulempe. 12 av 15
Bildet viser de fire dome-kameraene bak disken. I den konkrete situasjonen beveger de ansatte seg bak en flere meter lang disk og hele området bak disken er fanget opp av det ene eller det andre kameraet. Overvåkingsbildene er ikke innsnevret til kassapunkter og er i realiteten ikke egnet til å overvåke pengeutveksling. Resultatet er en totalovervåking av de ansattes gjøren og laden bak disken. Dette er en for stor inngripen med mindre dette er nødvendig av hensyn til de ansattes sikkerhet. Datatilsynet kan ikke se at en slik sikkerhetssituasjon er reell her. Og under alle omstendigheter, vil det i så fall være området på utsiden av disken som primært bør overvåkes ved en slik trussel. Skal overvåking bak disken i det hele tatt fortsette, må den snevres inn slik at de ansatte ikke blir filmet hele tiden, og at det som blir filmet, mer eksklusivt avgrenses til formålet; pengehåndtering. Uten denne begrensningen anser Datatilsynet at interesseavveining går i den 13 av 15
registertes favør. Datatilsynet mener at behandlingsansvarlig ikke kan legge frem et særskilt behov for en så omfattende overvåking bak disken. Endringer må gjøres. Når det gjelder kundene, kan det settes spørsmål ved om overvåkingen er nødvendig i den grad som det skjer her. Samtidig er dette en butikkdel av lokalet og kan ikke sammenliknes med kaféborder og liknende. Diskresjonskrav gjør seg ikke gjeldene i noe særlig grad og det er heller ikke et sted kundene befinner seg over til. Tilsynet krever ingen innskjerping på dette området. Kafébord og kundeområdet ett kamera. Det overvåkes en betydelig del av området med kaféborder. Dette finner Datatilsynet ikke berettiget i en interesseavveining etter personopplysningslovens 8 f. Kafébordene må være et sted hvor kunden kan sitte i å hygge seg uten at oppholdet som sådan gjøres til gjenstand for en løpende overvåking med opptak. Det vises for øvrig til personvernhensyn beskrevet i rapportens punkt 6. En overvåking må i så fall bero på rene sikkerhetshensyn, men tilsynet kan ikke se en trusselsituasjon som skulle forsvare dette. Etter det tilsynet forstår, har et mål med kameraet vært å forhindre stjeling fra utstillingen på sideveggen. Dette hensynet er forståelig nok. Gjenstandene har til dels en betydelig verdi. Om dette skal løses med kameraovervåking, må det utføres en mer rettet overvåking som unngår den personvernproblematikk som eksisterer ved dagens løsning. Datatilsynet ser det også som sannsynlig at hensynet kan ivaretas på en tilfredsstillende måte gjennom andre midler som ikke er så inngripende som kameraovervåking. For at personopplysningslovens krav skal være oppfylt, må det gjøre endringer på dette punktet. 8.2.1 Datatilsynets vurdering rettslig grunnlag for kameraovervåkingen Etter Datatilsynet vurdering, går deler av kameraovervåkingen ut over hva som kan forsvares med henvisning til personopplysningslovens 11, 8 f og 38. For at overvåkingen skal være lovlig, må personvernulemper reduseres. Det gjelder for både ansatte og kunder. For deler av overvåkingen krever tilsynet ingen endring. De konkrete endringene som kreves fremgår av oversendelsesbrevet. 8.3 Varslingsplikt og informasjon Personopplysningslovens 40 stiller krav om at fjernsynsovervåkning tydelig skal varsles. Det skal i varslet også opplyses om hvem som er behandlingsansvarlig. Klistremerket på inngangsdøren er ikke nok til å det gjøres tydelig oppmerksom på at stedet blir overvåket, som er formuleringen i lovens 40. Klistremerket mangler også informasjon om hvem som er behandlingsansvarlig. Dette er et krav. Datatilsynets vurdering er at varslingen må gjennomgås og utbedres om kravene i personopplysningslovens 40 skal være overholdt. Ny varsling skal vesentlig utbedres med 14 av 15
tanke på å etablere en varsling som er iøyenfallende slik at kundene og andre besøkende (f.eks varelevering) får informasjonen med seg. Sentrale elementer for varsling ved skilter er plassering, størrelse og antall. Behandlingsansvarlig står fritt i hvordan dette utføres så lenge resultatet fungerer etter sin hensikt. Det er naturlig at ansatte er informert ut over hva som kan leses av skilter. Dette kan gjøres på flere måter. 8.4 Meldeplikt For fjernsynsovervåking eksisterer det normalt kun alminnelig meldeplikt, jf personopplysningslovens 37, jf 31. På tidspunktet for kontrollen har Datatilsynet søkt i sin meldingsdatabase. Datatilsynet kan ikke finne en gyldig melding for kameraovervåkingen ved United Bakeries Majorstua. Det finnes to derimot meldinger fra andre filialer, Slemdalsveien 63 og Lilleakerveien 16, som passer med filialene på Vinderen og CC Vest. Datatilsynet anser meldingsplikten som ikke overholdt på tidspunktet for kontrollen. Manglende melding er et brudd på personopplysningslovens 31. Fortsetter kameraovervåkingen må melding sendes. 9 Generelle kommentarer og tilrådninger I denne saken trekkes det en del konklusjoner om lovlighet og det gjøres rede for en del hensyn og resonnementer om ivaretakelse av personvernet. Unitet Bakeries Consept AS har flere bakerier/ kaféer med kameraovervåking. Datatilsynet ber om at konklusjoner og resonnementer i denne saken blir bruk av virksomheten i en selvstendig vurdering av om endringer bør finne sted også ved andre utsalgssteder. 15 av 15