må jeg gemme kameraoptagelser af kunder i min butik

Gemme kamerabillederne, men ikke uden grænser

Kamerabillederne af kunder må gemmes, så længe der er et klart formål bag det, og billederne ikke opbevares længere end nødvendigt for det formål. Det almindelige formål i en butik er sikkerhed: at forhindre tyveri, indbrud eller vold mod personalet og senere at kunne undersøge hændelser. For det formål gælder i praksis en opbevaringsperiode, der er kort — videoovervågning, der efter et par uger ikke har givet anledning til at lagre billeder separat, bør som regel slettes. Kamerabillederne er personoplysninger, så snart en kunde er genkendelig på dem, og derfor falder optagelse, opbevaring og visning af dem under GDPR, ligesom en kundeliste eller en ansøgningsmappe.

Det, som kameraet optager, skal også være i forhold til formålet. Et kamera, der filmer kassen og indgangen med henblik på sikkerhed, står på anden grund end et kamera, der kontinuerligt er rettet mod personalet for at kontrollere præstationer — det sidste er et andet formål og kræver en anden afvejning. Det gælder også, at kunder og personale skal kunne vide, at der er kameraer, normalt via et tydeligt synligt skilt ved indgangen, og at billederne ikke simpelthen bruges til et andet formål end det, de blev ophængt til. Hvis nogen ud over sikkerhedsbilleder også registrerer andre kundeoplysninger, for eksempel til et nyhedsbrev eller en kundeliste, gør vedkommende klogt i at vurdere disse behandlinger separat — det juridiske grundlag og opbevaringsperioden kan variere for hver type oplysninger.

Juridisk grundlag og opbevaringsgrænse fra GDPR

At der skal være et gyldigt juridisk grundlag for at filme kunder, følger af artikel 6 i GDPR, som beskriver betingelserne for lovlig behandling; ved butikssikkerhed ser man normalt på erhvervsudøverens berettigede interesser. At billeder ikke må opbevares længere end nødvendigt for det formål, følger af opbevaringsbegrænsningsprincippet i artikel 5 i GDPR. Disse regler gælder overalt i EU direkte, fordi GDPR er en forordning; hvad der varierer, er den tilsynsmyndighed, der fører tilsyn i en medlemsstat, og eventuelle yderligere retningslinjer, som denne tilsynsmyndighed giver — i Danmark er det Datatilsynet, som også offentliggør praktiske retningslinjer om kameraovervågning. For det bredere spørgsmål, hvilke virksomheder der falder ind under disse regler, se GDPR gælder også for selvstændige og små virksomheder; og for den, der spørger, hvilket juridisk grundlag der præcis gælder for en specifik behandling, finder vedkommende mulighederne forklaret under hvornår må jeg behandle personoplysninger.