får jag spara kamerabilder av kunder i min butik

Att lagra kamerabilder är tillåtet, men inte obegränsat

Kamerabilder av kunder får lagras så länge det finns ett tydligt syfte bakom det och bilderna inte hålls längre än vad som är nödvändigt för det syftet. Det vanliga syftet i en butik är säkerhet: att förebygga stöld, inbrott eller våld mot personal och kunna utreda det i efterhand. För det syftet gäller i praktiken en bevarandeperiod som är kort — övervakning som efter några veckor inte har gett anledning att spara bilder separat bör normalt raderas. Kamerabilder är personuppgifter så snart en kund är igenkännbar på dem, och därmed omfattas insamling, lagring och visning av dem av GDPR, precis som en kunddatabas eller en ansökningshandling.

Det som kameran fångar måste också stå i proportion till syftet. En kamera som filmar kassan och ingången för säkerhetssyften står på annan grund än en kamera som är kontinuerligt riktad mot personalen för att kontrollera prestationer — det senare är ett annat syfte och kräver en annan avvägning. Det gäller också att kunder och personal måste kunna veta att det finns kameror, vanligtvis genom en tydligt synlig skylt vid ingången, och att bilderna inte används för något annat syfte än det de hängdes upp för. Den som förutom övervakningsbilder också samlar in andra kunduppgifter, till exempel för ett nyhetsbrev eller en kunddatabas, gör klokt i att bedöma dessa behandlingar separat — den rättsliga grunden och bevarandeperioden kan skilja sig åt för olika slag av uppgifter.

Rättslig grund och lagringsbegränsning enligt GDPR

Att det måste finnas en giltig rättslig grund för filmatering av kunder följer av artikel 6 i GDPR, som beskriver förutsättningarna för laglig behandling; vid butikssäkerhet brukar man titta på företagarens berättigade intresse. Att bilder inte får lagras längre än vad som är nödvändigt för det syftet följer av principen om lagringsbegränsning i artikel 5 i GDPR. Dessa regler gäller överallt i EU direkt, eftersom GDPR är en förordning; vad som skiljer sig är den tillsynsmyndighet som övervakar det i en medlemsstat och eventuell vidare vägledning som den myndigheten ger — i Sverige är det Integritetsskyddsmyndigheten. För den bredare frågan vilka företag som omfattas av dessa regler, se GDPR gäller också för egenföretagare och små företag; och för den som undrar vilken rättslig grund som exakt gäller för en specifik behandling, finns möjligheterna förklarade i när får jag behandla personuppgifter.