1. No category

Endelig kontrollrapport
Saksnummer: 14/01190
Kontrollobjekt: Mona Lisa
Dato for kontroll: 16.10.2014 Huset (St. Croix AS)
Rapportdato: 12.12.2014
Sted: Grensen 10, Oslo
1
Utarbeidet av:
Andreas Jensen Hofstad
Innledning
Datatilsynet gjennomførte en uanmeldt kontroll hos Mona Lisa Huset den 16.10.2014.
Kontrollen ble utført med hjemmel i personopplysningsloven § 44, jf. § 42, 3. ledd.
Temaet for kontrollen var virksomhetens kameraovervåkning. Kontrollen fant sted ved
virksomhetens faste forretningsadresse.
I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen.
Kontrollrapporten danner grunnlag for Datatilsynets vurderinger og vedtak.
2
Tilstede under kontrollen
2.1
Fra virksomheten:
- Harun Demirci, Food & Beverages Manager
2.2
Fra Datatilsynet:
- Andreas Jensen Hofstad, rådgiver
- Marte Lindblad Skaslien, rådgiver
- Ted Tøraasen, overingeniør
3
Generelt om virksomheten og gjennomføring av kontrollen
Mona Lisa Huset er et restauranthus med flere serveringssteder i samme bygning. Alle
serveringsstedene drives av virksomheten St. Croix AS (org.nr. 971 106 727).
I kjelleren ligger restauranten Kos Kos, i første etasje (på gateplan) ligger restauranten La
Brasserie og sportsbaren Da Vinci. I andre etasje ligger restauranten Mona Lisa og i tredje
etasje ligger nattklubben G10, samt kundetoaletter. I fjerde etasje er det kontorer, lagerrom
samt omkledningsrom for ansatte. Det finnes to trappeoppganger i bygningen, hvorav den ene
er tilgjengelig for kunder og fungerer som bindeledd mellom serveringsstedene. Baktrappen
er avstengt for kundeferdsel, men brukes av ansatte og folk som leverer varer osv. I tillegg er
det en trapp fra Kos Kos som går direkte opp til gateplanet.
Postadresse:
Kontoradresse:
Postboks 8177 Dep Tollbugt 3
0034 OSLO
Telefon:
22 39 69 00
Telefaks:
22 42 23 50
Org.nr:
974 761 467
Hjemmeside:
www.datatilsynet.no
Da Datatilsynet ankom ba vi om å få snakke med daglig leder eller lignende, og vi fikk
snakke med Harun Demirci som er ansvarlig for mat og drikke i restauranthuset. Vi
oppfordret ham til å kontakte virksomhetens øverste leder, men Demirci opplyste at dette ikke
var nødvendig. Han ga uttrykk for at han kunne svare på virksomhetens vegne, og kontrollen
ble gjennomført uten problemer.
4
Kameraovervåkningen
I virksomhetens lokaler ble det til sammen funnet 19 kameraer. Disse kan deles i tre
kategorier: Den første kategorien er tradisjonelle overvåkningskameraer som i det ytre er lett å
fastslå at er kameraer (se eksempel i vedlegg 1). Ca. halvparten av kameraene er i denne
kategorien. Den andre kategorien er kameraer som var skjulte, i den forstand at de lignet
alarmsensorer (se vedlegg 2). Ca en tredjedel av kameraene var i denne kategorien. Den siste
kategorien av kameraer var tilnærmet umulig å få øye på, disse vil bli beskrevet konkret i
teksten nedenfor.
4.1 Ansvarsplassering
Datatilsynet legger til grunn at St. Croix AS er behandlingsansvarlig i henhold til definisjonen
i personopplysningsloven § 2 nummer 4, for kameraovervåkningen i hele lokalet som har
navnet Mona Lisa Huset.
4.2
Gjennomgang av kameraovervåkningen i de ulike lokalene
4.2.1 Kos Kos – to kameraer
Kos kos er restauranten i kjelleren. Dette lokalet fremstår i det ytre som en bar/nattklubb, men
det serveres også mat. Det er to kameraer i lokalet. Det ene er et synlig kamera som er
montert ved inngangsdøren og dette fanger primært opp området bak disken hvor de ansatte
ferdes. Det andre kameraet er montert lengre inn i lokalet og er av typen som ligner en
alarmsensor. Dette fanger opp store deler av området hvor kundene oppholder seg.
4.2.2 Trapperom – tre kameraer
I hovedtrappen for ferdsel mellom etasjene er det montert ett kamera i første etasje, som er
ment å fange opp garderoben. Dette er et vanlig overvåkningskamera.
I baktrappen, rett innenfor døren ut mot gaten, er det montert et skjult kamera i en liten
firkantet koblingsboks (se vedlegg 3). Dette kameraet fanger opp inngangsdøren som brukes
av ansatte og til varelevering. Døren er vanligvis låst.
I den tredje trappen, som åpnes for ferdsel mellom Kos Kos og gaten, var det montert et
synlig kamera rett innenfor døren på gateplan. Dette kameraet fanger opp ferdsel inn gjennom
døren.
4.2.3 La Brasserie – fem kameraer
La Brasserie er en av restaurantene på gateplan. I denne restauranten er det matservering både
innendørs og utendørs, uteserveringen er på gateplan med fysisk skille mot gågaten. Det er to
overvåkningskameraer utvendig, og disse fanger opp både uteserveringen og deler av gågaten
2
utenfor. Innendørs er det tre kameraer. Ett er montert bak betjeningen i bardisken og er vendt
mot kundene i baren. De andre to er plassert i hver sin ende av lokalet og fanger opp bordene
hvor gjestene spiser.
4.2.4 Da Vinci – tre kameraer
I sportsbaren Da Vinci, som også ligger på gateplan, er det to kameraer innvendig og ett
utenfor inngangsdøren. Det utvendige fanger opp selve inngangspartiet. Av de innvendige
kameraene er ett plassert bak baren, rettet mot kundene og inngangsdøren. Det andre er
montert slik at det fanger opp området hvor kundene oppholder seg. Det sistnevnte er av
typen som ligner en alarmsensor.
4.2.5 Mona Lisa – to kameraer
Mona Lisa er restauranten som ligger i andre etasje. I denne restauranten er det to
overvåkningskameraer: Ett synlig kamera og ett av typen som ligner en alarmsensor. Disse
kameraene fanger hovedsakelig opp områdene hvor kundene sitter og spiser, og deler av
bardisken.
4.2.6 G10 – ett kamera
G10 er nattklubben i tredje etasje. I nattklubben er det montert ett kamera som er vendt mot
dansegulvet. Dette er et vanlig overvåkningskamera.
4.2.7 Kundetoaletter i tredje etasje – ett kamera
Toalettene ligger i tredje etasje. I gangen som leder inn mot toalettene er det montert et
kamera av typen som ligner alarmsensor. Dette kameraet er ment å fange opp en disk som
tidligere har blitt brukt som serveringssted (se til illustrasjon vedlegg 4). Toalettene i seg selv
blir ikke fanget opp av dette kameraet, men all ferdsel til og fra toalettene fanges opp.
4.2.8 Kontorer, lager og øvrige rom i fjerde etasje – to kameraer
I denne etasjen er det i den ene fløyen en låst dør som leder inn mot ledelsens kontorer. I den
andre fløyen er det omkledningsrom og lager. I området mellom disse to fløyene lagres
bruskasser og annet materiell, og her er det et knapt synlig overvåkningskamera under taket
(se vedlegg 5). Dette kameraet fanger opp ferdsel ut og inn av heisen i etasjen.
I den fløyen hvor ansattes omkledningsrom fant Datatilsynet ingen overvåkningskameraer.
I den fløyen hvor ledelsens kontorer er, bak den låste døren, finnes et skjult kamera i et hull i
veggen innerst i korridoren (se vedlegg 6). Dette kameraet fanger opp ferdsel til og fra
kontorene og området der det lagres bruskasser og annet materiell.
4.3 Overvåkningens formål
Det er meldeplikt overfor Datatilsynet for kameraovervåkning. På kontrolltidspunktet var det
ingen gyldig melding å ta utgangspunkt i for å kunne avklare formålet med
kameraovervåkingen. (Det er naturlig at dette er angitt i meldingens punkt 6 c - Nærmere
beskrivelse.)
3
Under kontrollen opplyste virksomheten at alle kameraene er begrunnet med behov for
verdisikring. De brukes som virkemiddel mot både tyverier fra gjester og tyveri og underslag
av virksomhetens verdier. Virksomhetens representant ga også uttrykk for at det var et
generelt behov for å fange opp eventuelle hendelser hvor politiet ville ha nytte av opptak. Det
ble nevnt et eksempel hvor det hadde vært en slåsskamp på gaten, og hvor politiet hadde bedt
om opptak.
4.4 Skilt om kameraovervåkning
Kameraovervåkningen er merket ved klistremerke på inngangsdørene. To dører var merket
med Securitas sine klistremerker som forteller at området er overvåket. På de andre to dørene
var det hvit tekst med ordlyden «Området kan være overvåket». Se vedlegg 7 og 8.
4.5 Sletterutiner
Opptak fra kameraovervåkningen ser ut til å slettes rutinemessig etter en måned. Noen av de
eldre opptakene kunne ikke vises, uten at Datatilsynet fikk noen forståelse av hvorfor.
Opptakene som ikke kunne vises ble ledsaget av feilmeldingen «Video loss». Når Datatilsynet
forsøkte å se på opptak som var 30 dager gamle kunne et fåtall av disse vises, og hoveddelen
av de eldste opptakene kunne ikke spilles av.
5
Kort om personopplysningsloven og reglene om kameraovervåkning
Lov om behandling av personopplysninger av 14. april 2000 nr. 31 (personopplysningsloven)
har egne bestemmelser om kameraovervåkning, definert i lovens § 36. Disse følger av
personopplysningslovens kapittel VII. Personopplysningsforskriftens kapittel 8 har utfyllende
bestemmelser for kameraovervåking.
I tillegg til bestemmelsene i lovens kapittel om kameraovervåking (§§ 36 – 41), gjelder lovens
§§ 8, 9, 11, 31 og 32 for all kameraovervåking.
5.1 Grunnkrav og vilkår for å behandle personopplysninger
Personopplysningslovens § 11 oppstiller grunnkrav til behandling av personopplysninger.
Disse gjelder også for kameraovervåkning.
Innsamling og bruk av personopplysninger skal skje til ”uttrykkelig angitte formål som er
saklig begrunnet i den behandlingsansvarliges virksomhet”, jf § 11 bokstav b. Det er med
andre ord en forutsetning at det er klargjort hvorfor personopplysningene samles inn og hva
de skal brukes til. (Det er vanskelig å se hvordan et formål kan være ”uttrykkelig angitt” uten
at det også å være skriftlig nedfelt.)
Etter personopplysningslovens § 11 første ledd bokstav a må behandling av
personopplysninger oppfylle ett av vilkårene i personopplysningslovens § 8 (og § 9 om det er
sensitive personopplysninger). Dette kalles ”behandlingsgrunnlag”. Behandlingsgrunnlaget
for kameraovervåkning vil normalt være lovens § 8 bokstav f.
4
Vilkåret etter dette alternativet er at behandlingen av personopplysningene er nødvendig for at
den behandlingsansvarlige kan vareta en berettiget interesse, og at ”hensynet til den
registrertes personvern ikke overstiger denne interessen”. Med den registrerte menes her
enhver som omfattes av opptakene og kan gjenkjennes, herunder ansatte, kunder, besøkende,
eller andre. Oppfyller ikke overvåkningen vilkåret i § 8, vil den mangle behandlingsgrunnlag,
og følgelig være i strid med loven.
Personopplysningsloven § 37 angir retningslinjer for hvordan avveiningen skal foretas når det
gjelder kameraovervåkning, og slår fast at det skal legges vesentlig vekt på om overvåkningen
bidrar til å verne om liv og helse eller forebygger alvorlige eller gjentatte straffbare
handlinger.
5.2 Skjerpet interesseavveining for områder hvor bare ansatte ferdes
For kameraovervåking på en arbeidsplass vil det svært ofte gjelde et strengere krav til behov.
Personopplysningsloven § 38 stiller et krav om ”særskilt behov for overvåkingen” om
overvåkingen skjer et sted der en ”begrenset krets av personer ferdes jevnlig”. Et typisk
eksempel kan være et lagerrom eller områder bak bardisk o.l. hvor kun ansatte har tilgang.
Det er med andre ord høye terskler for en lovlig overvåking av ansatte. Det gjelder særlig
strenge krav dersom overvåkingen i stor grad fanger opp områder hvor de ansatte utfører sine
alminnelige gjøremål i løpet av en arbeidsdag.
6
Funn og avvik fra lovbestemte krav til kameraovervåkning
Etter Datatilsynets vurdering, faller kameraovervåkingen hos Mona Lisa Huset inn under
personopplysningslovens definisjon av kameraovervåking, jf. personopplysningsloven § 36.
I rapportens påfølgende deler ser vi på den konkrete overvåkingen opp mot
personopplysningslovens krav til kameraovervåking, som varslingsplikt, krav til rettslig
grunnlag for behandlingen av personopplysningene, meldeplikt med videre.
Datatilsynet anser personopplysningsloven § 8 bokstav f som det aktuelle rettslige grunnlaget
som virksomhetens overvåkning må vurderes opp mot. Tilsynet mener at lovens § 38 kommer
til anvendelse for overvåking på de steder hvor kundene ikke har adgang.
6.1
Behandlingsgrunnlag – personopplysningsloven § 8
6.1.1 Overvåkning av gågaten utenfor lokalet
Kameraovervåkningen som fanger opp gågaten utenfor forretningslokalet er begrunnet i
samfunnets behov for å oppklare straffbare handlinger på offentlig sted. Dette er imidlertid en
oppgave for politiet, og kan ikke rettferdiggjøre privat initiert kameraovervåkning på offentlig
sted.
5
6.1.2 Områder hvor kunder og ansatte ferdes
Personverninteressen er særlig tungtveiende på utesteder, nattklubber og restauranter. Slike
steder skiller seg vesentlig fra vanlige butikker, kjøpesentre o.l.
Kundene har en berettiget interesse i å besøke disse stedene uten å bli kontinuerlig fanget opp
på video. Datatilsynet har en langvarig og entydig praksis hvor dette hensynet har blitt tillagt
stor vekt. Dette kommer også til uttrykk i vår veileder om kameraovervåkning, som er
tilgjengelig på Datatilsynets nettsider.
Når det gjelder kameraovervåkning på dansegulvet i nattklubben G10 så er det ikke fremlagt
noen begrunnelse for hvorfor dette skulle være nødvendig og dette vurderes som svært
inngripende overfor gjestene.
Når mesteparten av serveringsområdene er under overvåkning blir de ansattes daglige
arbeidsutførelse også i stor grad omfattet av overvåkningen. Også dette må tas hensyn til i
interesseavveiningen jf. personopplysningsloven § 8 bokstav f.
Behovet for å forebygge tyveri og underslag må veies opp mot de to ovennevnte hensynene.
Datatilsynet oppfatter det slik at kameraovervåkningen er ment å imøtegå en generell trussel
om tyveri og underslag, ikke som et tiltak i en spesielt utsatt situasjon eller en bekjempelse av
allerede påviste og konkrete problemer forårsaket av ansatte eller kunder.
Vår foreløpige vurdering er at det angitte behovet ikke rettferdiggjør overvåkning i den
utstrekning det skjer ved Mona Lisa Huset. Dette behovet kan i beste fall rettferdiggjøre
kameraovervåkning i inngangspartiene for å skaffe et signalement på eventuelle tyver.
6.1.3 Områder hvor bare ansatte har adgang
De skjerpede kravene i personopplysningsloven § 38 gjelder for områder hvor bare de ansatte
ferdes. Dette gjelder for området bak bardiskene samt områdene i fjerde etasje.
Datatilsynet kan ikke se at Mona Lisa Huset har et spesielt sikkerhetsbehov. Helt konkret:
Stedet fremstår ikke som spesielt utsatt i det tidsrommet de ansatte er på jobb. Det er flere på
jobb samtidig, og stedet fremstår ikke som ransutsatt (skjønt det ikke kan utelukkes at det kan
skje). Datatilsynet er ikke kjent med at det eksisterer noen pågående og spesiell situasjon av
typen internt svinn, verken av penger eller varer. Tilsynet har heller ikke inntrykk av at det
hersker utrygghet blant ansatte for ulike trusler som skulle kunne rettferdiggjøre en
omfattende overvåking.
En generell henvisning til at det i en bardisk oppbevares dyre drikkevarer er ikke tilstrekkelig
begrunnelse for kameraovervåkning i denne sammenhengen.
Når det gjelder kameraovervåkning i fjerde etasje hvor de ansatte ferdes kun sporadisk og
hvor det lagres varer, så oppfattes dette som lite problematisk for de ansatte. Området er åpent
tilgjengelig både via trappen og heisen og derfor forståelig at behovet for verdisikring kan
være reelt.
6
6.1.4 Konklusjon – behandlingsgrunnlag
Datatilsynets konklusjoner, i henhold til de vurderinger som fremkommer ovenfor, er
følgende:
Områder hvor både ansatte og gjester ferdes, jf. punkt 6.1.2 ovenfor, hvor Datatilsynet mener
at det ikke foreligger et gyldig behandlingsgrunnlag:
-
Overvåkning av områder hvor gjestene spiser og drikker, under en generell
henvisning til behovet for å sikre gjestene mot tyverier, har ikke
behandlingsgrunnlag i personopplysningsloven § 8 bokstav f.
-
Overvåkning av gågaten utenfor serveringsstedene har ikke behandlingsgrunnlag i
personopplysningsloven § 8 bokstav f.
-
Overvåkning av dansegulvet på G10 har ikke behandlingsgrunnlag i
personopplysningsloven § 8 bokstav f.
-
Overvåkning av gangen inn til toalettene har ikke behandlingsgrunnlag i
personopplysningsloven § 8 bokstav f.
Områder hvor både ansatte og gjester ferdes, jf. punkt 6.1.2 ovenfor, hvor Datatilsynet mener
at det foreligger et gyldig behandlingsgrunnlag:
-
Overvåkning av trapp i forbindelse med stedets garderobe har behandlingsgrunnlag i
personopplysningsloven § 8 bokstav f.
-
Overvåkning av inngangspartiene for å skaffe signalement på eventuelle tyver har
behandlingsgrunnlag i personopplysningsloven § 8 bokstav f.
Områder hvor en begrenset krets personer ferdes jenvlig, jf. punkt 6.1.3 ovenfor, hvor
Datatilsynet mener det foreligger et gyldig behandlingsgrunnlag:
6.2
-
Overvåkning i fjerde etasje hvor de ansatte ferdes kun sporadisk og hvor det lagres
varer har behandlingsgrunnlag i personopplysningsloven § 8 bokstav f.
-
Overvåkning av baktrappen innenfor døren på gateplan har behandlingsgrunnlag i
personopplysningsloven § 8 bokstav f.
Informasjon om kameraovervåkning
6.2.1 Lovens krav
Personopplysningsloven § 40 slår fast at ved kameraovervåkning skal det «ved skilting eller
på annen måte gjøres tydelig oppmerksom på at stedet blir overvåket». Når kameraene ikke er
synlige må kravet til skilting praktiseres strengere enn ellers. Overfor de ansatte vil det som
7
regel være hensiktsmessig og påkrevet å informere nærmere om hvilke områder som er
overvåket og hvilke som ikke er det, slik at de vet hva de har å forholde seg til.
6.2.2 Datatilsynets vurdering og konklusjon
Den informasjonen som finnes om at det er kameraovervåkning i lokalene er festet til dørene
inn fra gaten. Det er ingen spesifikasjon for hvilke deler av lokalet som er overvåket og hvilke
som ikke er det. Skiltingen er snarere egnet til å skape usikkerhet for kunder og ansatte, når
man har brukt formuleringen «kan være overvåket». Det foreligger ingen skriftlig informasjon
som er tilgjengelig for ansatte eller kunder om kameraovervåkningen. Dette er spesielt
uheldig når en stor andel av kameraene er skjulte.
For de ansatte er det vanskelig å ha oversikt over hvilke områder som faktisk overvåkes, da
det ikke er mulig å skille mellom hva som er et kamera og hva som er en alarmsensor. Vi
bemerker at det finnes mange alarmsensorer i lokalet som ikke fungerer som
overvåkningskameraer.
Det er illustrerende at virksomhetens representant selv hadde vansker med å angi hvor mange
kameraer som fantes i lokalene og hvor disse var plassert. Eksempelvis ble det under
kontrollen nødvendig å se på monitorene mens Datatilsynets medarbeidere sto i rommet for å
avgjøre hvor kameraene var plassert.
Når det hersker en slik usikkerhet for ledelsen om hvilke områder som er overvåket er det
naturlig å legge til grunn at heller ikke de ansatte har oversikt over dette. Kundene har ingen
forutsetninger for å vite om de skjulte kameraene.
Det samme gjelder for kameraene som er plassert i fjerde etasje, da disse knapt er synlige.
Datatilsynets konklusjon er at det ikke gis tilfredsstillende informasjon om
kameraovervåkningen i lokalene. Vi konstaterer at det her er et avvik fra lovens krav.
6.3
Internkontroll
6.3.1 Lovens krav
Personopplysningsloven § 14 stiller opp en plikt for den behandlingsansvarlige til å etablere
og vedlikeholde systematiske tiltak som er nødvendige for å oppfylle lovens og forskriftens
krav. Tiltakene skal dokumenteres skriftlig, jf. § 14 andre ledd.
Hvor strengt man skal tolke kravet til internkontrollsystemet avhenger blant annet av hvilke
personopplysninger som behandles. Tiltakene må stå i et rimelig forhold til hvor inngripende
overvåkningen er for de som er berørt av den.
6.3.2 Datatilsynets vurdering og konklusjon
Virksomheten hadde ingen skriftlige dokumenter som omhandlet kameraovervåkningen. Det
var, som nevnt nedenfor i punkt 6.5, innført informasjonssikkerhetstiltak for å forhindre at
uvedkommende får tilgang på opptak, og det var innført sletterutiner, som Datatilsynet mener
er mangelfulle.
8
Datatilsynet har ikke fått fremlagt noen skriftlig angivelse av formålet med
kameraovervåkningen med tilhørende rutine for når opptak skal benyttes. En skriftlig
formålsangivelse vil kunne bidra til å forebygge misbruk av opptak, for eksempel at
overvåkningskameraene ikke skal brukes til å kontrollere hvordan de ansatte utfører sitt
arbeid.
Datatilsynet har heller ikke fått fremlagt skriftlig informasjon som gis til de ansatte
vedrørende kameraovervåkningen. Det er den behandlingsansvarlige som må dokumentere at
det gis tilfredsstillende informasjon til de ansatte. En skriftlig redegjørelse om hvilke deler av
lokalet som er overvåket samt hvilke formål overvåkningen er ment å oppfylle vil medføre
mye større grad av sikkerhet for at hver enkelt ansatt faktisk mottar slik informasjon, i
motsetning til dagens angitte rutine som består i å gi informasjonen muntlig. Vi mener at
skriftlig informasjon til ansatte er nødvendig for at internkontrollplikten skal være oppfylt.
Datatilsynets konklusjon er altså at det foreligger avvik fra lovens krav, jf.
personopplysningsloven § 14.
6.4
Sletting av opptak
6.4.1 Lovens krav
Personopplysningsforskriften kapittel 8 har regler om sletting av opptak fra
kameraovervåkning. Den generelle regelen er at opptak skal slettes når det ikke lenger er
saklig behov for lagring. Opptak skal uansett slettes rutinemessig senest etter syv dager.
Unntaket er dersom det foreligger en hendelse hvor det kan være aktuelt å anmelde forholdet
til politiet. I slike tilfeller har man en utvidet slettefrist på 30 dager for de aktuelle opptakene.
Dette følger av personopplysningsforskriften § 8-4.
6.4.2 Datatilsynets vurdering og konkusjon
Selv om det var slik at noen av de eldste opptakene ikke kunne vises da Datatilsynet
gjennomførte sin kontroll, så var det slik at virksomheten har lagt opp til automatisk og
rutinemessig sletting av opptak etter en måned. Datatilsynet konstaterer at dette er avvik fra
forskriftens krav.
6.5
Meldeplikt
6.5.1 Lovens krav
Personopplysningsloven § 31 slår fast at behandling av personopplysninger generelt er
meldepliktig. Dette omfatter også kameraovervåkning.
6.5.2 Datatilsynets vurdering og konklusjon
Datatilsynet kan ikke se at kameraovervåkningen var meldt på kontrolltidspunktet. Dette er et
avvik fra lovens krav.
9
6.6
Informasjonssikkerhet
6.6.1 Lovens krav
Personopplysningsloven § 13 slår fast at den behandlingsansvarlige må sørge for
«tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og
tilgjengelighet».
I dette ligger at opptak fra kameraovervåkning ikke skal være tilgjengelige for
uvedkommende, de skal ikke kunne manipuleres av ansatte eller utenforstående, og de skal
være tilgjengelige for ledelsen når det oppstår situasjoner som kameraovervåkningen er ment
å skulle forebygge og oppklare.
6.6.2 Datatilsynets vurdering og konklusjon
Det er opplyst at opptak kun lagres lokalt og kun er tilgjengelig ved fysisk tilgang til
datamaskinen hvor systemet drives. Maskinen er på kontoret som ligger bak en låst dør, og er
ikke tilkoblet Internett. Det er lagt inn en firesifret pinkode for å få tilgang til opptakene, slik
at tilgangsstyring er mulig.
Datatilsynets vurdering er at virksomheten har foretatt tilfredsstillende grep for å ivareta
informasjonssikkerheten. Her foreligger det ikke et avvik fra lovens krav.
10