Hur länge får jag behålla kamerabilder från mitt företag?
GDPR själv anger ingen fast tidsfrist för kamerabilder. Förordningen föreskriver att personuppgifter inte får lagras längre än nödvändigt för det ändamål för vilket de samlades in, och det är upp till organisationen själv att fastställa denna tidsfrist och kunna förklara den.
För kameraövervakning på arbetsplatsen eller i en butik eller företagslokal tillämpas en lagringstid på cirka fyra veckor enligt Datainspektionens riktlinjer, såvida det inte finns en konkret anledning att lagra bilderna längre. Denna utgångspunkt finns inte ordagrant i lagen, utan är sättet på vilket tillsynsmyndigheten tillämpar principen om dataminimering för denna specifika situation. Om du regelmässigt lagrar tre månader eller längre utan någon anledning, avviker du från denna utgångspunkt.
Varför fyra veckor och inte längre
Syftet med kameraövervakning är vanligtvis säkerhet: förebygga stöld, reda ut inbrott, kunna rekonstruera incidenter med personal eller besökare. Så snart detta syfte inte längre är relevant, försvinner även grunden för att lagra bilderna. Fyra veckor anses vara den period under vilken en incident normalt upptäcks och rapporteras: en kassaskillnad, en reklamation, en skadehändelse. Om du regelmässigt lagrar längre måste du kunna förklara varför det är nödvändigt för din situation, till exempel för att kontroller endast utförs efter längre cykler.
När en längre lagringstid kan motiveras
Det finns situationer då en längre lagringstid kan motiveras. Tänk på bilder som är en del av en pågående utredning om stöld, en tvist med en leverantör där kamerabilder utgör bevis, eller en begäran från polisen i en brottmål. I dessa fall lagrar du inte hela bildmängden längre, utan isolerar du det relevanta fragmentet och raderar resten enligt den ordinarie tidsfristen. Du dokumenterar denna urval och skälet till det bäst på själva tidpunkten, inte i efterhand.
Kameror måste också finnas i behandlingsregistret
Kameraövervakning är en behandling av personuppgifter som alla andra och bör därför finnas som en separat del i behandlingsregistret: med ändamålet, lagringstiden, vem som har tillgång till bilderna och om det finns risk för att fånga upp bilder utanför företaget (med möjlighet att filma den offentliga vägen, vilket kräver extra uppmärksamhet). Många företagare glömmer denna del eftersom det inte rör sig om ett SaaS-verktyg eller leverantör, utan ett eget system. I kunskapsbanken där lagringstider är utredda för varje situation finns kameraövervakning som ett eget ämne vid sidan av andra vanligt förekommande lagringstider.
Vad om en anställd eller kund begär bilderna
En registrerad vars bild förekommer i materialet kan begära tillgång. Det är ingen ovanlig begäran: det faller under registrerades normala rättigheter. I praktiken betyder detta att du måste kunna visa eller överlämna de bilder där den registrerade syns, med övriga personer på bilderna görkanda. Ju kortare din lagringstid, desto mindre risk finns det att du i efterhand måste organisera detta över ett stort material.
Kamerabilder och ett dataintrång
En separat punkt, men relevant: om en hårddisk med kamerabilder blir stulen, ett system hackas eller bilder av misstag blir allmänt tillgängliga, är det i princip ett dataintrång som vilket annat. Frågan om det måste anmälas till Datainspektionen beror på risken för personerna på bilderna. Om du är osäker på detta kan du i fem frågor se var du står kontrollera det.
Skydd av bilderna själva
Förutom lagringstiden spelar det också roll vem som kan få tillgång till bilderna. Ett system som kan nås av alla på golvet med ett lösenord passar inte bra med utgångspunkten att åtkomsten måste begränsas till de som verkligen behöver det. Läs mer om vad som är brukligt i detta sammanhang under hur data som kamerabilder måste skyddas.
Huruvida er nuvarande lagringstid och åtkomstregler passar er specifika situation är något som ni bäst diskuterar med en jurist eller, om ni är osäker på anmälningsplikten, med Myndigheten för skydd av personuppgifter själv. Vill ni först själva få en överblick över var kameraövervakning hör hemma i er register och dokumentation, kan ni göra den kostnadsfria snabbkontrollen eller läsa igenom avsnitten om personaluppgifter och kameror.