Nej, inte helt och hållet. GDPR är en europeisk förordning och gäller direkt i varje medlemsstat, så grundprinciperna är desamma överallt: ett syfte för behandlingen, en rättslig grund, information till registrerade och en lagringsperiod som inte är längre än nödvändig. Men förordningen lämnar medvetet utrymme för nationell lagstiftning på ett antal punkter, och kameraövervakning av personal är ett av de tydligaste exemplen.
Det betyder i praktiken att en kamerainstallation som i Sverige är avstämd med medarbetarrepresentationen inte automatiskt är tillåten på samma sätt i Tyskland eller Belgien. GDPR själv föreskriver inte exakt hur kameraövervakning på arbetsplatsen ska utformas; det är upp till medlemsstaterna och deras egen arbetslagstiftning. Den som har personal eller en arbetsplats i flera EU-länder gör därför klokt i att kontrollera per land vilka ytterligare regler som gäller.
Vad GDPR likställer
Kärnorna i GDPR är identiska i varje EU-land: rättsliga grunder för behandling, rättigheter för registrerade såsom åtkomst och radering, anmälningsplikten vid ett datalopp och kravet på att en behandling är proportionell. En svensk företagare som redan har detta i ordning för sitt huvudkontor börjar alltså inte från noll så snart han också är verksam i ett annat EU-land. Skyldigheten att föra ett register över behandlingsaktiviteter gäller till exempel på samma sätt överallt. undersökt per område hur reglerna fungerar exakt ger en bra utgångspunkt även för en specifik situation utomlands.
Varför kameraövervakning varierar från land till land
GDPR ger i artikel 88 medlemsstaterna uttrycklig möjlighet att fastställa egna, mer specifika regler för behandling av personuppgifter om anställda, förutsatt att dessa regler innehåller lämpliga skyddsåtgärder. Länderna har använt detta utrymme på olika sätt. I Tyskland finns ytterligare nationell lagstiftning som binder kameraövervakning på arbetsplatsen vid strängare villkor, med en stark roll för medbestämmelse. I Belgien är rollen för arbetstagares representation och arbetskollektivavtalet vid införandet av kameraövervakning också uttryckligen reglerad. Sverige har sin egen ram, bland annat genom medbestämmningslagen.
Följden är att samma kamera, med samma syfte, i ett land är tillåten utan vidare medan den i ett annat land inte är det på det sätt du är van vid. Detta handlar inte om ett enda misstag i kamerainställningen utan om en annan nationell ram omkring den: vem som måste rådfrågats, vilken information anställda måste få i förväg och hur länge upptagningar får sparas.
Personalpersondata: inte bara kameror
Detsamma gäller mer allmänt för personalpersondata. Frånvaroregistrering, utvecklingssamtal, löneadministration: GDPR fastställer ramarna, men medlemsstaterna fyller på vissa områden själva, ofta i kombination med egen arbetsrätt. En lagringsperiod som är vanlig i Sverige för ansökningsuppgifter behöver inte automatiskt vara densamma i ett annat land, eftersom även nationella skatte- och arbetsrättsliga regler spelar in. Detta är en anledning till varför ett register över behandlingsaktiviteter som upprättats för Sverige förtjänar komplettering snarare än en enkel kopia när det gäller verksamhet i utlandet.
Vad det här betyder för din registrering
För de flesta små och medelstora företag med endast en verksamhetsort i Sverige ändras ingenting: de egna reglerna gäller då helt enkelt som ni redan är vana vid. Så snart ni har personal, en filial eller kunder i ett annat EU-land är det lämpligt att kontrollera vilka ytterligare nationella regler som gäller där för kameraövervakning och personuppgifter om anställda, till exempel via den lokala tillsynsmyndigheten eller en jurist som är väl förtrogen med den rättsordningen. Ett svenskt register över behandlingsverksamheter förblir utgångspunkten, men den landsspecifika delen kräver egen uppmärksamhet.
Om ni är osäker på om en befintlig behandling, som kameraövervakning, också passar in i ett dataintrångscenario, hjälper det att först kontrollera om det rör sig om en situation som ska anmälas. Det kan ni kontrollera på några få frågor med en direkt indikation, oberoende av vilket land det gäller i. Och den som vill veta exakt var informationen på gdpria.eu kommer ifrån och hur den ansluter till de officiella texterna läser det förklarat på sidan om vår arbetssätt.
Vill ni få en bild av var ert eget företag står, i Sverige eller utanför? Gör den kostnadsfria snabbkontroll eller bläddra igenom kunskapsbanken; båda kan ses utan konto och ger ett kort svar per ämne tillsammans med källhänvisningen.