Kameraovervåking i virksomhet

Stadig flere norske virksomheter benytter kameraovervåking for å verne eiendom, forebygge kriminalitet og ivareta ansattes sikkerhet. Regelverket er imidlertid strengt, og brudd kan gi overtredelsesgebyr fra noen titusener kroner til millionbeløp. Denne siden gir deg en oversikt over hva som kreves — fra de rettslige grunnvilkårene til de praktiske dokumentasjonskravene.

Innhold på siden:

• Når er kameraovervåking lov?
• Tre-trinns-testen etter GDPR
• Kameraforskriften og arbeidsmiljøloven
• Drøfting med tillitsvalgte
• Skilting og informasjon
• Lagring og sletting av opptak
• DPIA ved kameraovervåking
• Utlevering av opptak
• Hva risikerer virksomheten ved brudd?
• Bransjespesifikke spørsmål
• Hva kan vi gjøre for deg?

Når er kameraovervåking lov?

Kameraovervåking er ikke forbudt i Norge — men det er regulert. Reglene finnes i tre parallelle regelsett som alle må oppfylles samtidig:

• Personvernforordningen (GDPR) — krav om behandlingsgrunnlag, informasjon og dokumentasjon
• Arbeidsmiljøloven kapittel 9 — krav om saklig grunn, forholdsmessighet og drøfting med tillitsvalgte
• Kameraforskriften (forskrift 2018 nr. 1107) — tilleggsvilkår for overvåking av områder der en begrenset krets av personer ferdes, samt regler om lagring, sletting og utlevering

At kameraet er installert av et eksternt alarmselskap endrer ikke virksomhetens ansvar — det er arbeidsgiveren som er behandlingsansvarlig etter GDPR, og det er arbeidsgiveren som må dokumentere at regelverket er fulgt.

Tre-trinns-testen: berettiget interesse

I praksis er det berettiget interesse etter GDPR artikkel 6 nr. 1 bokstav f som er behandlingsgrunnlaget for kameraovervåking. Det krever at tre vilkår er oppfylt samtidig:

1. Berettiget interesse: Virksomheten må ha et konkret, dokumentert og lovlig formål — typisk vern av eiendom, forebygging av ran eller ulykker. Et generelt ønske om «sikkerhet» er ikke tilstrekkelig. Datatilsynet krever at behovet er reelt og aktuelt, gjerne dokumentert med tidligere hendelser eller bransjestatistikk.
2. Nødvendighet: Kameraovervåking må være et egnet tiltak for å oppnå formålet, og det må ikke finnes mindre inngripende alternativer som ville gitt tilsvarende effekt. Inngjerding, bedre belysning, alarm og vakthold er eksempler på alternativer som bør vurderes først.
3. Interesseavveiing: Virksomhetens interesse i å overvåke må veie tyngre enn personvernet til de som filmes. Momenter er hvor mange som berøres, hvor inngripende overvåkingen er, hva slags område som filmes, og hvilke risikoreduserende tiltak som er på plass.

Kameraforskriften: skjerpede krav for ansattes arbeidsområder

Kameraforskriften § 3 setter en høyere terskel for kameraovervåking av områder der en «begrenset krets av personer ferdes jevnlig» — typisk lagre, verksteder, kontorer, områder bak kassen og personalrom. Her er overvåking bare tillatt dersom:

• Det er behov for å forebygge farlige situasjoner og ivareta sikkerhet, eller
• Det for øvrig foreligger et «særskilt behov»

Å filme korridorer der bare ansatte ferdes, uten å kunne vise til konkrete sikkerhets- eller verdibehov, vil normalt ikke tilfredsstille kravet. Pauserom, garderober og toaletter skal ikke overvåkes.

Drøfting med tillitsvalgte

Arbeidsmiljøloven § 9-2 krever at arbeidsgiver drøfter behov, utforming, gjennomføring og vesentlige endringer av kontrolltiltak med tillitsvalgte «sa tidlig som mulig» — altså før beslutningen er tatt. Drøftingen skal være reell og dokumentert. I Personvernnemndas praksis (PVN-2021-13) er det fastslått at utfallet av interesseavveiingen etter GDPR kan bli annerledes avhengig av om drøftingsprosedyren er fulgt. Manglende drøfting kan altså bety at overvåkingen ikke har gyldig behandlingsgrunnlag.

Drøftingsprotokollen bør inneholde tid, deltakere, hva som ble diskutert, synspunkter fra begge parter, og den endelige konklusjonen.

→ Les mer: Drøfting med tillitsvalgte før kameraovervåking — slik gjør du det riktig (Innsikt)

Skilting og informasjon

Det europeiske personvernrådet (EDPB) anbefaler en lagdelt tilnærming til informasjon. Første lag er et varselskilt som plasseres godt synlig før inngang til det overvåkede området. Skiltet skal inneholde kamerasymbol, hvem som er ansvarlig, formålet, rettslig grunnlag, og en henvisning til hvor mer informasjon finnes — gjerne via QR-kode. Andre lag er en fullstendig personvernerklæring tilgjengelig på nett eller i papirform. Ansatte skal i tillegg få skriftlig informasjon ved oppstart av tiltaket og ved nyansettelse.

→ Les mer: Skilt ved kameraovervåking — dette må stå på dem etter GDPR (Innsikt)

Lagring og sletting av opptak

Kameraforskriften setter klare frister:

• Hovedregel: opptak skal slettes senest 7 dager etter at de er gjort
• 30 dager: dersom det er sannsynlig at opptaket vil bli utlevert til politiet
• 3 måneder: for utsalgssteder med betalingsinstrument/identitetsbevis, og lokaler med post-/banktjenester

Slettingen bør være automatisert i kameraanlegget. Manuelle sletterutiner er sårbare og bør unngås.

→ Les mer: Lagring av kameraopptak — hvor lenge har du egentlig lov? (Innsikt)

DPIA ved kameraovervåking

En vurdering av personvernkonsekvenser (DPIA) er påkrevd der behandlingen sannsynligvis medfører høy risiko for de registrertes rettigheter og friheter. For kameraovervåking vil DPIA typisk være obligatorisk ved:

• Systematisk overvåking i stor skala av offentlig tilgjengelig område
• Overvåking som berører sårbare registrerte (ansatte, barn)
• Bruk av ansiktsgjenkjenning, lydopptak eller fjerntilgang via app

DPIA skal gjennomføres før overvåkingen starter, og skal dokumentere behandlingens nødvendighet, proporsjonalitet, risiko og risikoreduserende tiltak. Manglende DPIA er et selvstendig grunnlag for overtredelsesgebyr.

→ Les mer: DPIA ved kameraovervåking — når er det påkrevd, og hvordan gjøres den? (Innsikt)

Utlevering av opptak

Opptak kan som hovedregel bare utleveres til politiet ved etterforskning av straffbare handlinger eller ulykker, eller med samtykke fra den som er avbildet. Å dele opptak med tredjeparter — for eksempel en antatt gjerningsmanns arbeidsgiver — er ulovlig uten selvstendig rettslig grunnlag. Publisering på internett eller sosiale medier uten samtykke er en grov personvernkrenkelse.

Hva risikerer virksomheten ved brudd?

Datatilsynet kan gi overtredelsesgebyr, pålegg om stans og irettesettelse. Gebyrnivået i norsk praksis varierer:

• 35 000 kr — deling av opptak med tredjeparter (hærverk-saken)
• 100 000 kr — skønnhetssalong med sanntidsovervåking via app, uten drøfting eller skilting
• 150 000 kr — direkteøverføring av kameraopptak til internett (Rognan-saken)
• 200 000 kr — restaurant uten rettslig grunnlag, informasjon eller rutiner (Basaren Drift)
• 400 000 kr — utlevering av opptak til privatperson (butikkjede-saken)
• 10 000 000 kr — SATS (personvernbrudd i treningssenterkjede)

I EU/EØS har gebyrene nådd 32 millioner euro (Amazon France Logistique, CNIL 2023) for overdrevent inngripende ansattovervåking.

Bransjespesifikke spørsmål

Vurderingen av kameraovervåking varierer betydelig etter bransje og lokaltype. Vi bistår blant annet:

• Varehandel og lagerdrift — bygg-/tømmerutsalg, dagligvare, kjøpesentre, grossister
• Hotell og overnatting — resepsjon, parkering, bassengområde, tursti, restaurant
• Industri og produksjon — varemottak, produksjonshaller, havneterminaler, avfallsanlegg
• Borettslag og sameier — fellesarealer, søppelrom, garasje
• Treningssentre — inngangsparti, garderober, treningsrom
• Bensinstasjoner og ladestasjoner — kasse, pumpeområde, parkering
• Kontorbygg med flere leietakere — felles inngangsparti, heis, korridor

Hva kan vi gjøre for deg?

Kjell Steffner har spesialkompetanse innen kameraovervåking og personvern i arbeidslivet, og bistår virksomheter og alarmselskaper med hele prosessen:

• Vurdering av om kameraovervåking er lovlig for din virksomhet
• Gjennomføring av DPIA
• Utarbeidelse av grunnlag for drøfting med tillitsvalgte og drøftingsprotokoll
• Utarbeidelse av skilt, personvernerklæring og ansattinformasjon
• Gjennomgang av lagrings-, slette- og tilgangsrutiner
• Kontakt med Datatilsynet ved tilsyn eller klagesaker