Lagring av kameraopptak: hvor lenge har du egentlig lov?

Én uke — 30 dager — eller tre måneder? Kameraforskriften har tre ulike lagringsregler, og feil lagringstid er blant de vanligste bruddene Datatilsynet reagerer på. Her er reglene og når unntakene gjelder.

Hovedregelen: syv dager

Kameraforskriften § 4 er klar: opptak skal slettes senest én uke etter at opptakene er gjort. Begrunnelsen er enkel — de fleste hendelser (innbrudd, hærverk, tyveri, ulykker) oppdages innen kort tid. Etter syv dager mister opptaket den dokumentasjonsverdien som begrunnet innsamlingen, og må derfor slettes. Hovedregelen gjelder for de aller fleste norske virksomheter som kameraovervåker.

Slettingen bør skje automatisk. Datatilsynet og EDPB anbefaler at kameraanlegget konfigureres til å overskrive eller slette opptak automatisk etter den fastsatte perioden. Manuell sletting er sårbar for menneskelig feil — og ved tilsyn vil Datatilsynet typisk spørre hvordan sletting er konfigurert. Et automatisert system med dokumentert innstilling er den tryggeste løsningen.

Unntak 1: 30 dager ved sannsynlig politiutlevering

Dersom det er sannsynlig at opptaket vil bli utlevert til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker, kan opptakene oppbevares i inntil 30 dager. Vilkåret er viktig å forstå riktig: det er ikke tilstrekkelig at det generelt sett kan tenkes at politiet kan være interessert. Det kreves en konkret vurdering knyttet til en spesifikk hendelse — typisk at virksomheten har oppdaget eller mistenker en hendelse, og vurderer at de aktuelle opptakene kan bli relevante for etterforskning.

Unntaket kan altså ikke brukes som en generell forlengelse av lagringstiden. En virksomhet kan ikke konfigurere alle kameraer til å lagre i 30 dager «for sikkerhets skyld». Det er en individuell vurdering knyttet til bestemte opptak ved bestemte hendelser. Virksomheten bør ha en intern rutine som beskriver hvem som kan beslutte forlenget lagring, hvordan beslutningen dokumenteres, og når opptakene slettes etter at hendelsen er avklart.

Unntak 2: tre måneder for betalings- og banktjenestelokaler

Opptak gjort på utsalgssteder som benytter betalingsinstrument eller identitetsbevis, eller i lokaler hvor post- eller banktjenester leveres, kan lagres i inntil tre måneder. Bakgrunnen er at misbruk av betalingskort, ID-tyveri og svindel med post- eller banktjenester ofte oppdages først når den krenkede mottar kontoutskrift eller på annen måte blir oppmerksom på misbruket — noe som kan ta uker eller måneder.

Bestemmelsen favner bredt. Den gjelder for dagligvarebutikker, bensinstasjoner, kiosker, postkontorer, bankavdelinger, og lignende lokaler — også der slike tjenester er integrert i andre handelslokaler (for eksempel en posttjeneste inne i en dagligvarebutikk). Vurderingen er om lokalet faktisk benytter betalingsinstrument (f.eks. kortterminal) eller identitetsbevis.

Det er viktig å bemerke at tre-månedersregelen bare gjelder for opptak fra det aktuelle lokalet — ikke for alle kameraer virksomheten har. Et kamera i kasse­området i en dagligvarebutikk kan falle inn under tre-månedersregelen, men kameraet ved varemottaket bak butikken gjør det normalt ikke.

Unntak 3: dispensasjon og sikkerhetsmessige hensyn

Dersom det foreligger et særlig behov for oppbevaring i lengre tid enn hovedregelen og de øvrige unntakene tillater, kan Datatilsynet gjøre unntak fra slettereglene. Dispensasjon krever en konkret, skriftlig søknad med begrunnelse. Det er sjelden aktuelt for ordinær virksomhetsovervåking, men kan forekomme i spesielle sikkerhetssituasjoner — for eksempel kritisk infrastruktur eller særlig utsatte anlegg.

Et eget unntak gjelder for opptak som kan være av betydning for rikets eller dets alliertes sikkerhet. Dette har begrenset praktisk betydning for de aller fleste private virksomheter.

Vanlige feil med lagringstid

• «30 dager som standard»: Den vanligste feilen. Mange virksomheter konfigurerer alle kameraer til å lagre i 30 dager uten å oppfylle vilkåret om sannsynlig politiutlevering. Dette er en klar overtredelse
• Manuell sletting som ikke følges opp: Virksomheten har skrevet «7 dager» i personvernerklæringen, men har ikke konfigurert automatisk sletting. Opptakene blir liggende til harddisken er full
• Arkivering uten grunnlag: Opptak kopieres til ekstern harddisk eller USB-pinne og oppbevares «i tilfelle». Dette er en klar overtredelse med mindre det foreligger et konkret rettslig grunnlag for oppbevaringen
• Skylagring uten kontroll: Kameraanlegget er koblet til en skyleverandør som lagrer opptak i lenger tid enn forskriften tillater. Virksomheten er ansvarlig for å sikre at leverandøren sletter i henhold til avtalt tid — og dette bør reguleres i databehandleravtalen
• Manglende logging av forlenget lagring: Virksomheten forlenger lagringstiden etter en hendelse, men dokumenterer ikke hvem som besluttet det, når, og for hvilke opptak

Sletterutiner i praksis

Den behandlingsansvarlige har ansvar for at sletting skjer i samsvar med forskriften. Følgende bør være dokumentert og etterlevd:

• Automatisert sletting er konfigurert i kameraanlegget for hvert kamera / sone
• Lagringstiden for hvert kamera er angitt i DPIA og internkontroll
• Ansvarlig person (typisk driftsleder eller IT-ansvarlig) verifiserer periodisk at automatisert sletting fungerer
• Rutine for hendelser: hvem som kan beslutte forlenget lagring, krav til skriftlig begrunnelse, og maksimal forlenget lagringstid
• Rutine for sikker sletting fra eksterne medier (USB, harddisk, skylagring)
• Logging av all forlenget lagring og utlevering

En virksomhet som kan vise frem dokumenterte, automatiserte sletterutiner ved tilsyn, står vesentlig sterkere enn en som må forklare at «vi pleier å slette manuelt når vi husker det».

Forholdet til GDPR artikkel 17: rett til sletting

I tillegg til kameraforskriftens sletteregler har den registrerte en generell rett til sletting etter GDPR artikkel 17. Den registrerte kan be om at personopplysninger slettes dersom de ikke lenger er nødvendige for formålet, dersom samtykke trekkes tilbake, eller dersom behandlingen er ulovlig. For kameraovervåking innebærer dette at en registrert som kan dokumentere at han eller hun er på et opptak, i prinsippet kan kreve sletting dersom opptaket ikke lenger har et gyldig lagringsformål.

I praksis er denne retten sjelden brukt for kameraovervåking — blant annet fordi lagringstiden uansett er kort. Men den understreker prinsippet: opptak skal ikke oppbevares lenger enn nødvendig, og enhver forlengelse krever en positiv, dokumentert begrunnelse.

Trenger du bistand med kameraovervåking?

Nordia Law bistår virksomheter med å vurdere lovligheten av kameraovervåking, gjennomføre DPIA, drøftingsprosess, skilting og dokumentasjon. Vi gir gjerne en innledende vurdering uten forpliktelser.

Kontakt advokat Kjell Steffner: kjs@nordialaw.com / +47 905 11 901

Les mer om Personvern og Kameraovervåking i virksomhet