Kammarrätten sätter ned SL:s sanktionsavgift för användning av kroppskameror ytterligare, från 12 till 8 miljoner kronor.
Att använda kamerorna för att säkerställa ”plankares” identitet har inte varit motiverat.
SL ska dock inte betala avgift för att ha brustit i informationsskyldighet, eftersom den aktuella GDPR-artikeln inte är tillämplig.
Integritetsskyddsmyndigheten, IMY, konstaterade i ett beslut i juni 2021 att Aktiebolaget Storstockholms Lokaltrafik, SL, mellan december 2018 och juni 2021 genom att använda kroppsburna kameror behandlat personuppgifter i strid med dataskyddsförordningen.
Bild- och ljudinspelningen hade skett i strid med principen om laglighet eftersom den skett utan laglig grund, och mot principen om öppenhet eftersom man inte tillhandahållit tillräcklig information till de registrerade. Man hade också, bland annat, behandlat fler personuppgifter än nödvändigt.
16 miljoner
SL ålades därför att betala en administrativ sanktionsavgift på 16 miljoner kronor – där 4 miljoner avsåg användningen av kroppsburna kameror för att förebygga och dokumentera hot och våld genom användning av så kallad förinspelningsteknik under en minut, och där 8 miljoner avsåg användningen av kamerorna för att säkerställa identiteten på resenärer som ska betala tilläggsavgift. Återstående 4 miljoner avsåg bristande information till registrerade.
Ursprungligen var användningen av kroppskameror tänkt att pågå under en två månader lång testperiod, mellan december 2018 och februari 2019, men denna kom att förlängas. Under tillsynens gång beslutade SL att införa de kroppsburna kamerorna permanent. På vardagar är det som mest 55 biljettkontrollanter som använder kroppskameror, medan det på helgerna är cirka 20.
Den behandling som skett för att förebygga och dokumentera hot och våld hade enligt IMY till stor del varit laglig. Överträdelsen bestod i stället i SL:s alltför omfattande användning av förinspelningsteknik, som innebär att kameran och mikrofonen spelar in film och ljud kontinuerligt – och att information som finns lagrad på kameran läggs till när biljettkontrollanten aktiverar inspelningen. Inspelningen har omfattat alla andra resenärer som råkat förekomma i kamerans upptagningsområde. Behandlingen har dessutom innefattat upptagning av ljud som är en särskilt integritetskänslig behandling och som har medfört ett omfattande integritetsintrång för enskilda.
Även den behandling som skett för att säkerställa identiteten på den som tillställs tilläggsavgift har skett med förinspelningsteknik och omfattat personuppgifter i såväl bild som ljud. IMY ansåg att den registrerade befinner sig i en trängd situation när tilläggsavgift ställs ut, vilket gör överträdelsen allvarlig. Att kontinuerligt använda inspelning med ljud och bild med kroppsburna kameror är särskilt allvarligt när identitetshandling har visats upp av den kontrollerade. IMY konstaterade att inspelningen av bild och ljud i samband med utställande av tilläggsavgift varit olaglig och gått långt utöver vad som bedömts vara nödvändigt för ändamålet.
SL:s brister vid tillhandahållandet av information hade i huvudsak inneburit att de registrerade inte fått någon information om att kamerabevakning med kroppsburna kameror kan komma att ske innan de har blivit filmade. De hade därför saknat möjlighet att välja om de ändå önskar genomföra resandet i SL:s trafiknät eller avstå. Registrerade som blivit kontrollerade eller som uppträtt hotfullt har kunnat uppfatta informationen i första lagret, kontrollanternas så kallade badge, först i samband med att de blivit filmade. Information som riktar sig mot övriga registrerade som fångats av bild- och ljudupptagningen saknas helt. SL har inte heller, konstaterade IMY, tillhandahållit en särskild upplysning om att ljud spelats in trots att det är en särskilt integritetskänslig behandling.
Max 15 sekunder
Tekniken kan användas för att förebygga och dokumentera hotfulla situationer, men då får förinspelningen vara max 15 sekunder. För att säkerställa identiteten på den som rest utan giltigt färdbevis hade det räckt med en stillbild, konstaterade IMY.
Förvaltningsrätten i Stockholm anslöt sig senare huvudsakligen till IMY:s bedömning och bekräftade dels att SL saknat rätt att använda tekniken för att säkerställa identiteten på de som ska betala tilläggsavgift, dels att man inte har lämnat tillräcklig information till de som träffats av kamerabevakningen.
Domstolen ansåg dock att användningen av kroppsburna kameror med förinspelningsteknik under en minut för att förebygga och dokumentera hot och våld hade varit förenlig med dataskyddsförordningen.
Den sanktionsavgift på 4 miljoner kronor som IMY beslutat om i denna del upphävdes därför och SL behövde i och med det bara betala 12 miljoner kronor, med hänvisning till missbruket vad gäller identifiering av resenärer och den bristfälliga informationen till de registrerade.
Kammarrätten gör nu en delvis annan bedömning och sätter ned sanktionsavgiften ytterligare, till 8 miljoner kronor.
I likhet med förvaltningsrätten anser kammarrätten inte att det finns skäl för sanktionsavgift för en användning av kroppskamerorna med en förinspelning på en minut, i syfte att förebygga och dokumentera hot och våld.
Ger inte stöd
Domstolarna är även överens om att underlaget i målet inte ger stöd för att det är nödvändigt att rutinmässigt filma med bild- och ljudupptagning för att säkerställa resenärens identitet varje gång en tilläggsavgift skrivs ut till resenärer utan biljett. I denna del finns det alltså förutsättningar för att påföra en administrativ sanktionsavgift.
IMY och förvaltningsrätten har även bedömt att SL brustit i sin skyldighet att i enlighet med artikel 13 i dataskyddsförordningen delge de registrerade information som de ska tillhandahållas om personuppgifterna samlas in från den registrerade. Frågan är dock om inhämtning av personuppgifter med hjälp av kroppsburen kamera kvalificerar som att ”uppgifterna samlas in från den registrerade”.
Enligt kammarrätten ger skälen i dataskyddsförordningen inte stöd för att artikel 13 skulle vara tillämplig vid den typ av behandling som är aktuell i målet. EU-domstolen har i en dom om kamerabevakning som utförts av en privatperson också angett artikel 14 som ”tillämplig rätt”. Ordalydelsen ”samlas in från den registrerade” tyder enligt kammarrätten också på någon sorts medvetet handlande från den registrerade – och detta kan inte anses vara fallet när personuppgifter inhämtas med hjälp av kroppsburna kameror.
Slutsatsen blir att artikel 13 inte över huvud taget är tillämplig i den aktuella situationen. IMY har därför saknat grund för att påföra SL sanktionsavgift för att ha brustit i sin informationsskyldighet enligt denna artikel, slår kammarrätten fast. (Blendow Lexnova)
Gratis nyhetsbrev om rättsfall , juridik och näringsliv från Dagens Juridik – klicka här
