Integritetsskyddsmyndigheten (IMY) har beslutat om en sanktionsavgift mot en kommun där ett LSS-boende har övervakat en boende på ett onödigt integritetskränkande sätt. Det handlar om kamerabevakning som inte varit förenligt med reglerna i dataskyddsförordningen (GDPR) och kamerabevakningslagen. Därför ska kommunen (socialutskottet) betala en sanktionsavgift på 200 000 kronor.
Integritetsskyddsmyndigheten får i egenskap av tillsynsmyndighet utfärda sanktioner när en verksamhet inte följt bestämmelserna i GDPR och övrig lagstiftning som rör hanteringen av personuppgifter. Kamerabevakning räknas som en form av personuppgiftsbehandling. I det här fallet inledde Integritetsskyddsmyndigheten en granskning efter att en anhörig hört av sig och framfört ett klagomål.
Så här skriver IMY bland annat i beslutet:
Överträdelsen avser övervakning av en person i dennes sovrum, vilket är en mycket integritetskränkande behandling. Därtill har behandlingen pågått under relativt lång tid, i mer än ett år.
Myndigheten har tagit hänsyn till att personen har ett allvarligt självskadebeteende, stundtals med fara för liv och hälsa både för sig själv och personalen. Socialutskottet har vidtagit åtgärden för att lösa en komplex situation där personal och boenden har riskerat att komma till skada. Även om situationen har varit svår att hantera har socialutskottet inte prövat alternativa, mindre ingripande åtgärder för att lösa problemet med att kunna ha den boende under uppsikt på ett smidigt sätt innan kamerabevakningen påbörjades.
Läs också: Många medborgare oroliga för hur personuppgifter hanteras
Motiveringen bakom sanktionsavgiften
Integritetsskyddsmyndigheten motiverar sitt beslut med att det saknas lagligt stöd för kamerabevakningen, och att den utförts på ett “mer ingripande sätt än vad som kan anses skäligt, rimligt och proportionellt”. De hänvisar till den grundläggande principen i artikel 5 i GDPR om laglighet, korrekthet och öppenhet.
I beslutet konstaterar man:
- att det saknas rättslig grund för kamerabevakningen (enligt artikel 6.1 och artikel 9.2 i GDPR)
- att det inte har genomförts en konsekvensbedömning innan bevakningen inleddes
- att boendet inte tydligt informerat om kamerabevakningen, vilket är ett krav i såväl GDPR som kamerabevakningslagen.
Beslutet innehåller flera utförliga resonemang som kan vara av intresse för den som vill veta hur IMY gjort sin avvägning.
