Skilt ved kameraovervåking: dette må stå på dem etter GDPR

Et generisk kameraskilt med et lite piktogram holder ikke lenger. EDPB krever en lagdelt tilnærming: varselskiltet må identifisere behandlingsansvarlig, formål, rettslig grunnlag og hvor mer informasjon finnes. Her er kravene — og en praktisk sjekkliste.

Hvorfor skilting er så viktig

Informasjonsplikten er en av personvernregelverkets bærebjelker. Den som blir filmet av et kamera har rett til å vite om det — før det skjer. GDPR artikkel 13 krever at den behandlingsansvarlige gir informasjon når personopplysninger samles inn direkte fra den registrerte. Ved kameraovervåking er den mest praktiske måten å oppfylle denne plikten på, gjennom skilt plassert før man går inn i det overvåkede området.

Mangelfull eller manglende skilting er en gjenganger i tilsynssaker — både i Norge og resten av Europa. I Basaren Drift-saken (PVN-2021-13) var manglende informasjon til de registrerte ett av de selvstendige bruddene som utløste gebyr. I en rekke italienske saker har Garante ilagt gebyrer alene fordi informasjonsskilt manglet — fra 1 000 euro for en liten butikk til 45 000 euro for en kommune.

EDPBs lagdelte tilnærming

Det europeiske personvernrådet (EDPB) anbefaler i Retningslinjer 3/2019 kapittel 7 en lagdelt («multi-layered») tilnærming. Bakgrunnen er praktisk: GDPR artikkel 13 krever en betydelig mengde informasjon, og det er urealistisk å få alt inn på et lite skilt ved døren. Løsningen er å dele informasjonen i to lag.

Første lag: varselskiltet

Varselskiltet er det første — og ofte eneste — berøringspunktet den registrerte har med informasjonen før vedkommende trer inn i det overvåkede området. EDPB stiller følgende krav til første lag:

• Plassering: Skiltet skal være plassert i rimelig avstand fra det overvåkede området, slik at personen oppdager det før vedkommende går inn. Det skal fortrinnsvis settes ved alle innganger til området
• Synlighet: I øyehøyde, lett lesbart også på avstand. Dersom overvåkingen pågår om natten, må skiltet være synlig også i mørket
• Kamerapiktogram: Et tydelig, standardisert kamerasymbol (gjerne basert på DIN 33450). Piktogrammet alene er ikke nok — det må suppleres med tekst
• Behandlingsansvarlig: Navn på organisasjonen og kontaktopplysninger. Personvernombudets kontaktopplysninger dersom utpekt
• Formål: Kort angivelse av formålet med overvåkingen. «Sikkerhet» alene er for vagt — bruk f.eks. «forebygging av innbrudd og tyveri»
• Rettslig grunnlag: Angi at behandlingen bygger på berettiget interesse, jf. GDPR artikkel 6 nr. 1 bokstav f
• Rettigheter: Kort henvisning til at den registrerte har rettigheter (innsyn, sletting, protest, klage til Datatilsynet)
• Henvisning til andre lag: Tydelig lenke til hvor fullstendig informasjon finnes — gjerne som QR-kode og/eller URL til virksomhetens personvernerklæring
• Lydopptak: Dersom overvåkingen inkluderer lyd, må dette opplyses eksplisitt. Men husk: lydopptak er normalt ikke tillatt

Andre lag: utfyllende informasjon

Det andre laget skal være lett tilgjengelig — typisk på virksomhetens nettside, som fysisk informasjonsark i resepsjonen, eller begge deler. Her skal all informasjonen etter artikkel 13 finnes:

• Identitet og kontaktopplysninger til behandlingsansvarlig
• Kontaktopplysninger til personvernombud (om utpekt)
• Formålene med behandlingen og rettslig grunnlag
• De berettigede interessene som forfølges
• Mottakere eller kategorier av mottakere
• Eventuell overføring til tredjeland
• Lagringstid eller kriterier for fastsettelse
• De registrertes rettigheter etter artiklene 15–22
• Rett til å klage til Datatilsynet
• Om automatisert beslutningstaking forekommer

Kameraforskriftens egne skiltingskrav

I tillegg til GDPR artikkel 13 har kameraforskriften § 4 et eget skiltingskrav: det skal ved skilting eller på annen måte gjøres tydelig at stedet blir overvåket, om overvåkingen eventuelt inkluderer lydopptak, og hvem som er behandlingsansvarlig. Forskriftens krav er enklere enn GDPR-kravene, men i praksis vil en virksomhet som oppfyller EDPBs første lag-krav også oppfylle forskriftens krav.

Vanlige feil ved skilting

Tilsynspraksis viser et stabilt mønster av feil som går igjen:

• Bare piktogram: Et kamerasymbol uten noen tekst er ikke tilstrekkelig. EDPB krever at behandlingsansvarlig, formål og rettsgrunnlag oppgis på skiltet
• Manglende identitet: Skiltet sier «Dette området er kameraovervåket» uten å oppgi hvem som overvåker
• Feil plassering: Skiltet er plassert inne i butikken i stedet for ved inngangen. Personen er allerede filmet før vedkommende ser skiltet
• For smått: Skiltet er lite og plassert lavt. EDPB krever øyehøyde og lesbarhet på avstand
• Ingen henvisning til andre lag: Skiltet mangler URL, QR-kode eller annen henvisning til fullstendig informasjon
• Utdatert informasjon: Skiltet viser et firma som ikke lenger er behandlingsansvarlig, eller et formål som er endret
• Manglende opplysning om lyd: Kameraet tar opp lyd, men skiltet informerer ikke om det

Praktisk sjekkliste for skilting

Denne sjekklisten kan brukes som internkontroll ved oppsett og gjennomgang av kameraovervåking:

• Skilt er plassert ved alle inngangspunkter til overvåket område
• Skilt er synlig før personen entrer det overvåkede området
• Skilt er i øyehøyde og lett lesbart
• Skilt er synlig også om natten (om overvåking pågår om natten)
• Skilt inneholder tydelig kamerasymbol
• Skilt identifiserer behandlingsansvarlig (organisasjonsnavn og kontakt)
• Skilt angir personvernombuds kontaktopplysninger (om utpekt)
• Skilt angir formålet med overvåkingen (konkret, ikke bare «sikkerhet»)
• Skilt angir rettslig grunnlag (berettiget interesse)
• Skilt henviser til utfyllende informasjon (URL og/eller QR-kode)
• Skilt informerer om de viktigste rettighetene
• Skilt informerer dersom lyd tas opp
• Utfyllende informasjon er tilgjengelig på nettside og/eller fysisk
• Informasjonen er oppdatert og korrekt

Skilting gjør ikke overvåkingen lovlig

Et viktig poeng som EDPB presiserer: skilting oppfyller informasjonsplikten, men endrer ikke interesseavveiingen. En butikkeier kan ikke basere seg på at kundene har «rimelige forventninger» om å bli overvåket bare fordi det står et skilt ved døren. Lovligheten av overvåkingen avhenger av tre-trinns-testen og de andre vilkårene — skiltet er en nødvendig, men ikke tilstrekkelig, del av lovligheten.

Omvendt: manglende skilting er alltid en overtredelse, uavhengig av om selve overvåkingen ellers ville vært lovlig. Virksomheten får altså to brudd — både på informasjonsplikten og på det underliggende behandlingsgrunnlaget — dersom begge mangler.

Trenger du bistand med kameraovervåking?

Nordia Law bistår virksomheter med å vurdere lovligheten av kameraovervåking, gjennomføre DPIA, drøftingsprosess, skilting og dokumentasjon. Vi gir gjerne en innledende vurdering uten forpliktelser.

Kontakt advokat Kjell Steffner: kjs@nordialaw.com / +47 905 11 901

Les mer om Personvern og Kameraovervåking i virksomhet