Vedtak om pålegg
Ankerskogen svømmehall KF Postboks 4276 2307 HAMAR Deres referanse Vår referanse Dato 15/00209-10/RBT 09.06.2015 Kontroll hos Ankerskogen svømmehall Hamar KF 16032015 – vedtak Datatilsynet viser til tilsvar fra Ankerskogen svømmehall Hamar KF (Ankerskogen svømmehall) datert 28. mai 2015 på Datatilsynets varsel om vedtak og foreløpig kontrollrapport. 1 Vurdering av tilsvar Punkt 1, 2 og 4 – internkontroll, tilgangsstyring og varsling: Ankerskogen svømmehall har angitt en frist til 1. september 2015 for å innføre skriftlige rutiner for formål og bruk av anlegget, tilgangsstyring med passord og skilting til publikum. Datatilsynet tar dette til etterretning. Vi vil fatte vedtak om pålegg i henhold til de varslede vedtakene med frist for gjennomføring til 1. september 2015. Punkt 3 – meldeplikt: Ankerskogen svømmehall har den 23. april 2015 sendt inn melding til Datatilsynet om kameraovervåkingen, meldingsnummer 72920. Virksomheten har dermed lukket avviket. Det varslede vedtaket punkt 3 bortfaller dermed. Punkt 5 – kameraovervåking ved varemottak: Ankerskogen svømmehall opplyser at det ikke er korrekt at kameraovervåkingen utenfor varemottaket brukes til å sjekke om varer har blitt levert. Kameraovervåkingen brukes kun til skallsikring mot innbrudd, hærverk og ødeleggelser. Datatilsynet tar merknaden til etterretning og vil innarbeide dette i kontrollrapporten. Det varslede vedtaket punkt 5 bortfaller dermed. Punkt 6 – kameraovervåking i velværeavdelingen: Datatilsynet legger til grunn at virksomheten aksepterer å fjerne kameraene i velværeavdelingen, med unntak av ett kamera som er montert i en grotte uten inspeksjonsmulighet fra gulvet. Som begrunnelse for å opprettholde kameraovervåking i Postadresse: Kontoradresse: Postboks 8177 Dep Tollbugt 3 0034 OSLO Telefon: 22 39 69 00 Telefaks: 22 42 23 50 Org.nr: 974 761 467 Hjemmeside: www.datatilsynet.no denne grotten viser Ankerskogen svømmehall til at det er en særlig risiko for at brukere skal få et illebefinnende i denne grotten. Mange av svømmehallens brukere er eldre, med nedsatt førlighet. Grotten er i tillegg et sted hvor det er naturlig for brukerne å oppholde seg alene eller bare sammen med dem man kjenner. Mangel på inspeksjonsmulighet fra gulv gjør risikoen for at illebefinnende ikke skal bli oppdaget, stor. Virksomheten fremhever for øvrig at de, i forbindelse med presseoppslag om saken i NRK og HA, har fått reaksjoner fra publikum som går på at de ønsker overvåking av hensyn til sikkerheten. Reglene om kameraovervåking er skjønnsmessige og legger opp til brede vurderinger hvor mange momenter spiller inn i om overvåking er tillatt. Overvåkingens omfang, konkret risikobilde, ulemper med overvåkingen og nytteverdi av den, er sentrale momenter. Ankerskogen svømmehall viser til konkrete grunner som tilsier at det er en forhøyet risiko for ulykker på et klart avgrenset område i velværeavdelingen. Datatilsynet vil ikke gå for langt i å overprøve denne risikovurderingen, så lenge kameraovervåkingen overordnet sett fremstår som legitim og egnet som virkemiddel. Etter en fornyet vurdering legger Datatilsynet til grunn at kameraovervåking i grotten som ikke har inspeksjonsmulighet fra gulv er egnet og nødvendig for å vareta sikkerheten til eldre brukere av svømmeanlegget, jf. personopplysningsloven § 37, jf. § 8 f. Kameraovervåking i denne grotten er dermed tillatt. Vi legger også noe vekt på at Ankerskogen svømmehall har fått reaksjoner fra publikum om at de ønsker kameraovervåking av hensyn til egen sikkerhet. Publikums opplevelse og reaksjoner på kameraovervåking, er et moment i vurderingen av om kameraovervåkingen er lovlig. Det varslede vedtaket punkt 6 blir i tråd med dette endret slik at vi ikke vil pålegge at kameraet i grotten uten inspeksjonsmulighet fjernes. Vi vil imidlertid presisere vedtaket, slik at virksomheten må skilte tydelig utenfor grotten at den er kameraovervåket. Skiltingen må sette publikum i stand til å forstå hvilke områder i velværeavdelingen som er overvåket, og hvilke som ikke er det. For øvrig blir punkt 6 stående uendret. Punkt 7 – lagringstid av opptak gjort med kameraovervåking: Ankerskogen svømmehall viser til at de har behov for lengre lagringstid enn 24 timer fordi det ikke alltid er dedikerte ansatte som har adgang til opptak fra overvåkingsanlegget som er på vakt. Ankerskogen viser også til at Datatilsynet i to kontroller hos andre badeanlegg har akseptert en lagringstid på inntil 4 dager for opptak gjort i våtsoneområde. Kontrollene har saksnummer 12/00058 – Sørlandsbadet AS og saksnummer 12/01141 – Grottebadet AS. Disse sakene er av nyere dato enn kontrollen Datatilsynet gjennomførte i Pirbadet i Trondheim, som vi også har vist til i den foreløpige kontrollrapporten. I Pirbadet ble maksimal lagringstid på rutinemessig basis satt til 24 timer. Datatilsynet legger til grunn at Ankerskogens argumenter for å få lengre lagringstid enn 24 timer er relevante. Vi ser det som en fordel at streng tilgangsstyring til opptak nødvendiggjør lengre lagringstid i og med at dedikerte personer med tilgang ikke nødvendigvis vil være til stede for å sikre opptak dersom det skjer en alvorlig hendelse. Etter Datatilsynets skjønn vil 2 dette gjøre en utvidet lagringstid saklig. Hvis for eksempel en hendelse skjer på lørdag morgen, kan det gå over to døgn før en ansatt med tilgang til overvåkingsanlegget kommer på jobb på mandag. Dette begrunner en lagringstid på inntil 48 timer. Datatilsynet vil imidlertid – av hensyn til likebehandling – sette en maksimal lagringstid for Ankerskogen svømmehall til inntil fire døgn. Formålet skal være å få tid nok til å vurdere om opptak fra alvorlige hendelser skal utleveres til politiet i forbindelse med straffbare handlinger eller en ulykke. Det varslede vedtaket blir endret i tråd med dette. For ordens skyld minner vi om at personopplysningsforskriften § 8-4 annet ledd tillater at den behandlingsansvarlige lagrer opptak i inntil 30 dager dersom det er sannsynlig at opptaket vil bli utlevert til politiet i forbindelse med etterforskning eller ulykker. 2 Vedtak om pålegg Med hjemmel i personopplysningsloven § 46 gir Datatilsynet følgende pålegg: 1. Ankerskogen svømmehall må utarbeide dokumentasjon for hvilke formål kameraovervåkingen er ment å oppfylle, samt rutiner knyttet til bruk, innsyn, utlevering av opptak og sletterutiner jf. personopplysningsloven § 14 og personopplysningsforskriften § 3-1. Vi viser til kontrollrapporten punkt 7.2. Frist for gjennomføring settes til 1. september 2015. 2. Ankerskogen svømmehall må innføre tilgangsstyring på kameraovervåkingsanlegget for å kunne oppdage eventuell uautorisert bruk av overvåkingsutstyret, jf. personopplysningsforskriftens § 2-14. Vi viser til kontrollrapporten punkt 7.3. Frist for gjennomføring settes til 1. september 2015. 3. Ankerskogen svømmehall må utbedre varsling av kameraovervåkingen, jf. personopplysningslovens § 40, slik at det fremgår av varslingen hvem som er behandlingsansvarlig og at kameraovervåking også skjer under vann. Vi viser til rapporten punkt 7.4. Frist for gjennomføring settes til 1. september 2015. 4. Kameraovervåking i velværeavdelingen, med unntak av kameraet som er montert i grotte uten inspeksjonsmulighet fra gulv, mangler rettslig grunnlag i personopplysingsloven § 8 f, jf. § 37, fordi sikkerhetshensyn ikke veier tyngre enn hensynet til de besøkende sitt personvern. Kameraovervåkingen må opphøre og kameraene fjernes. Kameraovervåking i grotten som mangler inspeksjonsmulighet fra gulv må skiltes tydelig. Vi viser til rapporten punkt 7.8. Frist for gjennomføring settes til 1. september 2015. 5. Opptak fra kameraer inne i selve badeanlegget kan oppbevares i inntil 4 døgn, jf. personopplysningsloven § 37 tredje ledd, jf. § 8 f, og personopplysningsforskriften § 8-4. Opptak kan lagres i lengre tid hvis det skjer en ulykkeshendelse som gjør forlenget lagring nødvendig av hensyn til etterforskning av hendelsen. Vi viser til rapporten punkt 7.6. Frist for gjennomføring settes til 1. september 2015. 3 Datatilsynet ber om at Ankerskogen innen fristen 1 september 2015 bekrefter skriftlig overfor Datatilsynet at påleggene er gjennomført. I tillegg må en summarisk beskrivelse av internkontrollen vedlegges som dokumentasjon. Vi gjør oppmerksom på at Datatilsynet også på et senere tidspunkt vil kunne foreta en etterkontroll av om påleggene er gjennomført. Klageadgang Dette vedtaket kan påklages i henhold til forvaltningslovens bestemmelser. Eventuell klage må fremsettes overfor Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at virksomheten har rett til innsyn i sakens dokumenter, jf. forvaltningsloven § 18. Personvernnemnda er klageorgan, og skal behandle saken dersom Datatilsynet ikke finner grunn til å gjøre om sitt eget vedtak. Med vennlig hilsen Marte Lindblad Skaslien rådgiver Rannveig Bakke Tvedten rådgiver Vedlegg: Endelig kontrollrapport 4
© Copyright 2024