St Croix AS Østre vei 76 1397 NESØYA Deres referanse Vår referanse Dato 14/01190-8/MLS 22.06.2015 Vedtak om pålegg og overtredelsesgebyr Kameraovervåking hos Mona Lisa huset Den 16. oktober 2014 gjennomførte Datatilsynet en kontroll hos Mona Lisa Huset i Grensen 10 i Oslo. Restauranthuset drives av St. Croix AS. Kontrollen skjedde med hjemmel i lov om behandling av personopplysninger av 14. april 2000 nr. 31 (personopplysningsloven) 42 tredje ledd nr. 3. Etter kontrollen utarbeidet Datatilsynet en kontrollrapport basert på de avvik som ble avdekket under kontrollen, og sendte den 12. desember 2014 ut varsel om pålegg og overtredelsesgebyr til virksomheten. Mona Lisa Huset fikk tre ukers frist til å besvare varselet. Datatilsynet mottok aldri svar fra virksomheten, og forsøkte derfor ved gjentatte anledninger å nå virksomheten både per brev og telefon. Tilslutt ble varselet om pålegg og overtredelsesgebyr forkynt til Mona Lisa Huset gjennom Namsmannen i Oslo. Mona Lisa Huset, ved Harun Demirci, tok da kontakt med Datatilsynet per telefon, og ba om en utvidet svarfrist. Datatilsynet satt derfor ny frist til 21. mai 2015, men vi har fremdeles ikke mottatt svar fra virksomheten. Datatilsynets foreløpige kontrollrapport blir derfor stående som endelig, og vedtak om pålegg og overtredelsesgebyr blir i all hovedsak fattet i samsvar med varselet. Vi har imidlertid vurdert gebyrets størrelse på nytt, og kommet til at det må settes høyere enn varslet. Vedtak om pålegg Datatilsynet fatter med hjemmel i personopplysningsloven 46 fjerde ledd, vedtak om følgende pålegg: Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 www.datatilsynet.no 0034 OSLO
1. St. Croix pålegges å avslutte deler av sin kameraovervåking fordi den mangler behandlingsgrunnlag, jf. personopplysningsloven 8 og 37 første og andre ledd. Vi viser til tilsynsrapportens punkt 6.1. 2. St. Croix pålegges å ha riktig skilt for den delen av virksomhetens overvåking som har et gyldig behandlingsgrunnlag, jf. personopplysningsloven 40. Vi viser til tilsynsrapportens punkt 6.2. 3. St. Croix pålegges å utarbeide skriftlig dokumentasjon for hvilke formål kameraovervåkningen er ment å oppfylle, og å utarbeide informasjon til ansatte om kameraovervåkningen i lokalet, jf. personopplysningsloven 14. Vi viser til tilsynsrapportens punkt 6.3. 4. St. Croix pålegges å endre sin sletterutine slik at opptak rutinemessig slettes senest 7 dager etter opptaket fant sted, jf. personopplysningsforskriften 8-4 andre ledd. Vi viser til tilsynsrapportens punkt 6.4. 5. St. Croix pålegges å melde fra til Datatilsynet om kameraovervåkningen ved bruk av egnet skjema, jf. personopplysningsloven 31. Vi viser til tilsynsrapporten punkt 6.5. Utfyllende begrunnelse for pålegget følger av den endelige tilsynsrapporten som følger vedlagt. Vedtak om overtredelsesgebyr Datatilsynet fatter med hjemmel i personopplysningsloven 46 første ledd følgende vedtak: St. Croix AS pålegges i medhold av personopplysningsloven 46 første ledd å betale et overtredelsesgebyr til statskassen, pålydende kr 150.000 hundreogfemtitusen kroner for brudd på personopplysningsloven ved at de hadde kameraovervåkning av ansatte og gjester inne, gaten utenfor og delvis skjult overvåkning av ansatte og gjester uten at det var rettslig grunnlag for det, jfr. personopplysningsloven 37, første og annet ledd jfr. 8, mangelfull skilting av kameraovervåkning, jfr. 40, unnlot å slette opptak innen lovens frist, jf. personopplysningsforskriften 8-4 og hadde unnlatt å melde overvåkningstiltaket til Datatilsynet, jfr. 31. Overtredelsesgebyret forfaller til betaling fire uker etter at vedtaket er endelig. Vedtaket anses som endelig ved utløpet av klagefristen. Vedtaket er tvangsgrunnlag for utlegg, jf. personopplysningsloven 47 a. Inndrivelse av kravet vil bli overlatt til Statens Innkrevingssentral. 2
Begrunnelse for ileggelse av overtredelsesgebyr og gebyrets størrelse I medhold av personopplysningsloven 46 kan Datatilsynet ilegge overtredelsesgebyr for brudd på lovens krav. Bestemmelsen gir i utgangspunktet anvisning på at ileggelse av overtredelsesgebyr beror på en skjønnsmessig helhetsvurdering, men annet ledd legger føringer på skjønnsutøvelsen ved å trekke frem momenter som skal tillegges særlig vekt. Skjult kameraovervåking er et klart og alvorlig brudd på personopplysningsloven 40. Skiltingen i virksomhetens lokaler er svært mangelfull og mange av kameraene er ikke synlige. Manglende informasjon om overvåkingen medfører brudd på en grunnleggende personvernrettighet. Uten informasjon vil den registrerte ikke få mulighet til å ivareta egne interesser, herunder å tilpasse egen oppførsel til det faktum at man blir registrert. Overvåkingen har rammet et stort antall personer, både ansatte og gjester ved restauranthuset. Datatilsynet legger til grunn at verken ansatte eller gjester har vært klar over i hvilken grad lokalene er overvåket, og at de fleste områder er dekket av et kamera. Et moment som har vært tillagt betydelig vekt i Datatilsynets praksis, og som vi mener at gjør seg gjeldende også i denne saken, er at områdene som overvåkes er av en slik karakter at både kunder og ansatte har en klar og berettiget forventning om ikke å bli overvåket. De tydeligste eksemplene er dansegulvet i nattklubben samt områder hvor gjestene oppholder seg mens de inntar mat og drikke. Dette er områder man normalt må forvente diskresjon og privatliv. Datatilsynet er derfor kommet til at det er skjedd en betydelig krenkelse av de interesser som personopplysningsloven er satt til å verne om, jf. 46 andre ledd bokstav a. I tillegg til manglende skilting, og i tillegg til at mange av kameraene i det ytre ser ut som alarmsensorer, er noen av kameraene bevisst gjort usynlige. For eksempel gjelder dette for kameraet som er montert i en koblingsboks i baktrappen. Det samme gjelder for kameraene i fjerde etasje. Kameraenes utforming og plassering fremstår som et bevisst valg fra virksomhetens side, og vi legger til grunn at hensikten også var at gjester og ansatte ikke skulle vite om kameraene. Vi mener dette viser kvalitativt klanderverdig opptreden og må bedømmes som grovt uaktsomt i henhold til personopplysningslovens regler. Det må kunne forventes at en profesjonell aktør setter seg inn i hvilke regler som gjelder for kameraovervåkning før et slikt tiltak etableres i virksomheten. Datatilsynet har ikke holdepunkter for at virksomheten har oppnådd noen spesiell fordel ved overtredelsen, men legger likevel til grunn at overvåkningen er iverksatt for å fremme virksomhetens interesser jf. 46 andre ledd bokstav d og e. Dette begrunner vi med at virksomhetens uttalte formål er å verne om egne verdigjenstander samt å forebygge og oppklare uønskede hendelser som for eksempel tyveri av gjesters eiendeler eller ordensforstyrrelser. 3
Virksomhetens økonomiske stilling tilsier heller ikke at et overtredelsesgebyr vil være urimelig belastning. Vurderingen av gebyrets størrelse Ved utmålingen har Datatilsynet svært få sammenlignbare saker, da skjult kameraovervåking må sies å være uvanlig og ekstraordinært. Vi har derfor kun en sak som er direkte sammenlignbar, en sak som gjaldt skjult overvåking ved et bakeriutsalg (saksnr.10/01213). I saken ila Datatilsynet overtredelsesgebyr på kr. 40 000,-. Dette gebyret ble ilagt grunnet bevisst skjult kameraovervåking, manglende merking med skilt og manglende informasjon til de ansatte. I bakeri-saken gjaldt det ett kamera i et rom hvor bare de ansatte hadde tilgang, og rommet ble brukt til kontorarbeid og private gjøremål. De ansatte måtte derfor sies å ha en berettiget forventning om ikke å bli overvåket. Til sammenligning er det ved Mona Lisa Huset snakk om en rekke skjulte kameraer. Det er overvåking både i områder hvor kun ansatte har tilgang, og områder hvor det må kunne forventes at det ikke finnes kameraovervåking slik som ved bordene i restaurantene og på dansegulvet i nattklubben. Etter Datatilsynets vurdering er den skjulte overvåkingen i denne saken derfor av svært alvorlig karakter, og innebærer et brudd på en grunnleggende personvernrettighet. Overvåkingen har i tillegg gått ut over en stor krets av personer. Overtredelsesgebyret må derfor være av en viss størrelsesorden. Vi legger også betydelig vekt på at virksomheten måtte forstå at skjult kameraovervåking var i strid med loven, og at den skjulte overvåkingen var et bevisst valg fra virksomheten sin side. Virksomhetens opptreden etter varselet om overtredelsesgebyr og pålegg er også en indikasjon på at virksomheten ikke har tatt alvoret i situasjonen innover seg. Til tross for utvidelse av tilsvarsfristen etter forkynning av varsel, har de ikke tatt kontakt med tilsynet eller på annen måte tilkjennegitt at de ønsker å innrette seg. Størrelsen på overtredelsesgebyret bør etter Datatilsynets vurdering derfor settes høyere enn varslet for å ha effekt, og settes så høyt at det ikke lønner seg økonomisk å begå lovbruddet. Etter en fornyet vurdering av størrelsen på overtredelsesgebyret, mener vi at et overtredelsesgebyr på 150.000 kroner er passende. 4
Klageadgang Dette vedtaket kan påklages. Eventuell klage sendes til Datatilsynet. Frist for å klage er tre uker fra mottaket av vedtaket, jf. forvaltningsloven 29 første ledd. Dersom vedtaket ikke påklages ber vi om en bekreftelse på at vedtaket er mottatt, og at pålegget vil bli gjennomført innen 7. august 2015. Med vennlig hilsen Bjørn Erik Thon direktør Marte Lindblad Skaslien rådgiver Vedlegg: Endelig kontrollrapport 8 stk. bilder fra kontrollen 5