Vägledning från EU-domstolen rörande informationskrav vid kamerabevakning

EU-domstolen har nyligen prövat vilka informationskrav som gäller enligt GDPR vid kamerabevakning, särskilt när kroppsburna kameror används. Domen grundar sig på att Högsta förvaltningsdomstolen (HFD) begärt ett förhandsavgörande för att få klarhet i om sådan kamerabevakning innebär att personuppgifter samlas in direkt från den som filmas eller anses hämtas från en annan källa.

I denna artikel redogör vi kort för avgörandet och vad det betyder för verksamheter som använder kamerabevakning.

Kort bakgrund till målet och bedömningen i svensk domstol

Bakgrunden till EU‑domstolens avgörande är ett tillsynsärende mot Stockholms Lokaltrafik (SL). År 2021 beslutade Integritetsskyddsmyndigheten (IMY) om sanktionsavgift för SL:s användning av kroppskameror vid biljettkontroller. IMY ansåg bland annat att den automatiska förinspelningen av ljud och bild under cirka en minut var oproportionerlig och att resenärerna inte hade fått tillräcklig information enligt artikel 13 GDPR om behandlingen av deras personuppgifter genom kamerabevakningen.

Beslutet överklagades först till förvaltningsrätten (läs mer om bedömningen här: Förtydliganden gällande kamerabevakning – Cederquist) och därefter till kammarrätten. Kammarrätten undanröjde sanktionsavgiften i delen rörande överträdelse av artikel 13 GDPR eftersom kammarrätten ansåg att det i stället var artikel 14 GDPR som var tillämplig i ärendet. IMY överklagade till HFD som gav prövningstillstånd i frågan om vilken av GDPR:s informationskrav som ska användas vid kamerabevakning via kroppsburen kamera, antingen artikel 13 som gäller när uppgifter samlas in direkt från den registrerade, eller artikel 14, som gäller när uppgifter hämtas från någon annan källa. HFD beslutade då också att inhämta ett förhandsavgörande från EU-domstolen gällande vilken bestämmelse som är tillämplig.

EU-domstolens bedömning

I sin dom slår EU-domstolen fast att när en person filmas med kroppsburen kamera anses personuppgifter samlas in direkt från den som filmas, även utan att personen aktivt lämnar några uppgifter (d.v.s. observationen räcker). Därför ansåg EU-domstolen, likt IMY, att artikel 13 GDPR, och inte artikel 14, ska tillämpas vid kamerabevakning med kroppsburna kameror. Det innebär att den personuppgiftsansvarige behöver lämna viss information redan när bevakningen sker.

När artikel 13 är tillämplig ska den registrerade bland annat få information om vem som är personuppgiftsansvarig, att kamerabevakning sker och för vilket syfte, den rättsliga grunden för behandlingen, samt vilka grundläggande rättigheter personen har enligt GDPR (till exempel rätten att få information och rätten att begära tillgång till sina uppgifter). I domen bekräftar EU-domstolen också att information får lämnas i flera steg. Det innebär att den viktigaste informationen kan framgå av en tydlig skylt eller motsvarande, medan mer detaljerad information kan göras tillgänglig till exempel via en webbsida, QR-kod, app eller skriftligt informationsmaterial.

Avslutande kommentar

Även om avgörandet rör just kamerabevakning i kollektivtrafiken kan EU-domstolens resonemang och slutsatser avseende informationskraven tillämpas även i andra situationer där kamerabevakning och annan insamling av personuppgifter sker genom observation av människor via kamera.

Sedan den 1 april 2025 gäller dessutom nya regler om kamerabevakning i Sverige, där tillståndskravet för offentliga aktörer togs bort och brottsbekämpande myndigheter fick större möjligheter att kamerabevaka. Mer om lagändringarna går att läsa i vår artikel länkad nedan.

Om ni har några frågor om regler i samband med kamerabevakning eller andra dataskyddsfrågor är ni varmt välkomna att höra av er till oss på Cederquist.