Hvor længe må jeg gemme kameraoptagelser fra mit firma?
GDPR selv nævner ingen fast tidsramme for kamerabilleder. Forordningen bestemmer, at personoplysninger ikke må opbevares længere end nødvendigt for det formål, de blev indsamlet til, og lader det være op til organisationen selv at bestemme denne tidsramme og kunne forklare den.
Ved kameratilsyn på arbejdspladsen eller i en butik eller erhvervslokale anvender Datatilsynet i sine vejledninger som udgangspunkt en opbevaringstid på cirka fire uger, medmindre der er konkret grund til at opbevare billederne længere. Dette udgangspunkt står ikke ordret i loven, men er den måde, som tilsynsmyndigheden udfylder princippet om databegrænsning for denne specifikke situation. Den, der standardmæssigt opbevarer i tre måneder eller længere uden grund til det, afviger fra dette udgangspunkt.
Hvorfor fire uger og ikke længere
Formålet med kameratilsyn er normalt sikkerhed: at forhindre tyveri, opklare indbrud, kunne rekonstruere hændelser med personalet eller besøgende. Så snart formålet ikke længere gælder, bortfalder også grundlaget for at opbevare billederne. Fire uger anses som den periode, inden for hvilken en hændelse normalt opdages og rapporteres: en kassemanko, en klage, et skadestilfælde. Opbevarer du standardmæssigt længere, skal du kunne forklare, hvorfor det er nødvendigt for din situation, for eksempel fordi kontroller først finder sted efter en længere cyklus.
Hvornår kan en længere tidsramme være forsvarlig
Der er situationer, hvor en længere opbevaringstid kan begrundes. Tænk på billeder, der er en del af en igangværende undersøgelse af tyveri, en tvist med en leverandør, hvor kamerabilleder tjener som bevis, eller en anmodning fra politiet i forbindelse med en straffesag. I disse tilfælde opbevarer du ikke hele billedsættet længere, men isolerer du det relevante fragment og sletter du resten efter den almindelige tidsramme. Du dokumenterer denne udvælgelse og dens begrundelse bedst på det tidspunkt, det sker, ikke bagefter.
Kameraer hører også hjemme i behandlingsregisteret
Kameratilsyn er en behandling af personoplysninger som enhver anden, og skal derfor indgå som en separat post i behandlingsregisteret: med formål, opbevaringstid, hvem der har adgang til billederne, og om der ses udad (med risiko for billeder af offentlig vej, som kræver særlig opmærksomhed). Mange iværksættere glemmer denne post, fordi det ikke vedrører et SaaS-værktøj eller leverandør, men et eget system. I vidensbasen, hvor opbevaringstider pr. situation er undersøgt står kameratilsyn som et separat emne ved siden af andre hyppigt stillede spørgsmål om opbevaringstider.
Hvad hvis en medarbejder eller kunde anmoder om billederne
En person, der optræder på billederne, kan anmode om indsigt. Det er ikke en usædvanlig anmodning: det falder ind under de sædvanlige rettigheder for personer. Praktisk betyder dette, at du skal kunne vise eller udlevere de billeder, som anmoderen optræder på, med andre personer på billederne gjort ukendetegneligt. Jo kortere din opbevaringstid, jo mindre er chancen for, at du skal organisere dette med tilbagevirkende kraft over en stor mængde materiale.
Kamerabilleder og et brud på datasikkerheden
Et separat punkt, men dog relevant: hvis en harddisk med kamerabilleder stjæles, et system hackes, eller billeder ved et uheld bliver bredt tilgængelige, er det i princippet et brud på datasikkerheden som ethvert andet. Spørgsmålet om, hvorvidt det skal anmeldes til Datatilsynet, afhænger af risikoen for de mennesker på billederne. Hvis du er i tvivl herom, kan du ses hvor du står i fem spørgsmål tjekke det.
Sikkerhed omkring billederne selv
Ud for bevaringsperioden spiller det også en rolle, hvem der kan få adgang til optagelserne. Et system, der kan tilgås af alle på gulvet med ét kodeord, passer ikke godt til udgangspunktet om, at adgangen skal være begrænset til dem, der virkelig har brug for det. Læs mere om, hvad der er sædvanligt i den sammenhæng, under hvordan data såsom kameraoptagelser skal beskyttes.
Om din nuværende bevaringsperiode og adgangsregler passer til din specifikke situation, er noget, du bedst diskuterer med en jurist eller, hvis du er i tvivl om anmeldelsespligten, direkte med Datatilsynet. Ønsker du først selv at få et overblik over, hvor kameraovervågning hører hjemme i dit behandlingsregister og dokumentation, kan du foretage den gratis quick-scan eller læse emnerne omkring personeledatas og kameraer.