Datatilsynets referanse: 15/01365-1/HTE

PVN-2016-01 Bank i butikk II

Klage på Datatilsynets vedtak om utvidet lagringstid for kameraopptak av Bank i Butikk (BIB)

Personvernnemndas avgjørelse av 27. juni 2016 (Eva I E Jarbekk, Arve Føyen, Ørnulf Rasmussen, Nina Melsom, Marta Ebbing, Ann R Sætnan, Torgeir Waterhouse)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på vedtak om utvidet lagringstid for kameraopptak av Bank i Butikk (BIB).

2 Saksgang og faktum

NorgesGruppen ASA (NG) har tidligere søkt Datatilsynet om å få utvidet lagringstid på inntil 90 dager for kameraopptak av BIB-tjenester, jf brev av 11. september 2013. I den saken fattet Datatilsynet den 21. juni 2013 vedtak om at NG måtte slette billedopptak som var lagret utover det som fulgte av personopplysningsforskriften § 8-4 første og annet ledd (punkt 5 i vedtaket). Datatilsynet var av den oppfatning at NG ikke kunne være behandlingsansvarlig for kameraovervåkingen av BIB-tjenestene, siden behandlingsformålet ikke var saklig begrunnet i virksomheten. Datatilsynet tok av den grunn ikke konkret stilling til om NG oppfylte kravet til et «særlig behov», personopplysningsforskriften § 8-4 sjette ledd.
     Datatilsynets vedtak ble påklaget og Personvernnemnda (avgjørelse PVN-2013-21) konkluderte med at kameraovervåking av BIB-tjenester var saklig begrunnet i profilhusenes virksomhet, men kom til den konklusjon at virksomheten ikke oppfylte kravet til «særlig behov», jf. personopplysningsforskriften § 8-4 sjette ledd.
     NG søkte Datatilsynet på ny om utvidet lagringstid for kameraopptak av BIB-tjenester i brev av 26. februar 2015, jf. personopplysningsforskriften § 8-4 sjette ledd.
     I brev av 2. juni 2015 konkluderte Datatilsynet med følgende:

  1. Kameraopptak som fanger opp BIB-transaksjoner i kassepunktet kan lagres i inntil 90 dager, jf personopplysningsforskriften § 8-4 sjette ledd.
  2. Kameraopptak som fanger opp inn- og utgangsparti oppfyller ikke kravet til et «særlig behov» og må slettes senest innen 7 dager.
  3. Kameraopptak som fanger opp kontantsafen oppfyller ikke kravet til et «særlig behov» og må slettes senest innen 7 dager.

 NG påklaget vedtakspunktene b) og c) i brev av 25. juni 2015 med supplerende opplysninger i brev av 18. august 2015.
     Saken ble oversendt Personvernnemnda 16.12.2015, som mottok saken 7.1.2016. Klager ble orientert om dette i brev fra nemnda datert 15.1.2016, med frist til uttalelse innen 5.2.2016. Klager kommenterte i brev av 5.2.2016 og 17.3.2016.

3 Klagers anførsler

3.1 Generelle kommentarer fra klager

Sentralt for klagen er den reelle kriminalitetssituasjon. Kameraovervåkning utgjør et sentralt sikkerhetstiltak for å motvirke og oppklare kriminalitet fra eksterne samt kriminalitet begått av ansatte, og da gjerne i form av underslag i tillegg til annen kriminalitet knyttet til BIB-tjenesten.
     Det er gledelig og prinsipielt viktig at Datatilsynet i den del av vedtaket som ikke er påklaget, fant at hensynet til å forhindre og oppklare kriminalitet kombinert med den økte kontantmengden i butikker som følge av innføring av BIB-tjenesten, utgjorde tilstrekkelig vektig grunn til at lagringstiden for kameraopptak i kassepunktet ble tillatt i 3 måneder.  Imidlertid er dette alene ikke tilstrekkelig til at den økte risikoen for kriminalitet kontantmengdene fører med seg, kan motvirkes. Det vises igjen til det helt sentrale i saken; tradisjonelle banklokaler og tradisjonelle postlokaler har, og har alltid hatt, tillatelse til 3 måneders lagringstid for samtlige kameraer. De tjenestene som begrunnet denne lagringstiden (kontanthåndtering) er for DNBs vedkommende fullt ut flyttet ut i butikk. Det vil fremstå som et paradoks dersom endringer i leveringssted for disse tjenestene skulle medføre en vesentlig svekkelse av sikkerheten og kriminalitetsbekjempelsen. En slik svekkelse av sikkerheten vil dessuten være i strid med Stortingets vedtak i St.meld. nr. 37 (1999-2000).
     DNB legger nå ned ytterligere 59 filialer, men de vil fortsatt vil være til stede i 2 400 steder i landet fysisk, gjennom post i butikk og bank i butikk. Gjenstående bankfilialer vil etter dette være 57. Dette vil medføre ytterligere belastning på NGs BIB-tjenester og øke antallet kunder som vil ha behov for å ta utført DNBs kontanttjenester i NGs butikker. Mange av DNBs filialer har automater hvor kundene kan få utført både innskudd og uttak, og mange av disse automatene forsvinner nå med nedleggelsene. I tillegg forsvinner også minibanker som tidligere var plassert i de nå nedlagte filialer.
     Det synes dessverre som om antall underslagssaker samt sakenes størrelse i kroner, har økt de siste månedene. Dette kan ha sammenheng med at ansatte er kjent med at kameraopptak som ellers ville vært sentrale bevis i underslagssakene, nå slettes allerede etter 7 dager.  Utvikling i faktum utgjør ytterligere argument for at Personvernnemnda tar NGs klage til følge.
     Det bemerkes allerede innledningsvis at det ikke er riktig at sakens opplysninger i dag ikke «skal kunne endre på de vurderinger som er foretatt» i PVN-2013-21, slik Datatilsynet nå uttaler. Generelt opplyses at PVN-2013-21 viste at faktum som lå til grunn for denne avgjørelse, var for sparsomt opplyst.
     Faktum er i dag vesentlig bedre opplyst, jf. NGs søknad til Datatilsynet av 26.02.15, NGs klage og NGs brev av 18.08.15 til Datatilsynet. I tillegg kommer at kriminaliteten har utviklet seg i negativ retning etter at klagen ble sendt inn.
     For ordens skyld opplyses at klagen er fremsatt på vegne av NorgesGruppen ASA. NG er eier av profilhusene KIWI, Kjøpmannshuset og Meny, hvilket omfatter kjedene KIWI, Joker, Spar, Eurospar, Nærbutikken, Meny og Jacob’s. Klagen er ment å omfatte samtlige av disse kjedenes BIB-tjenester.

3.2 Anførsler til vedtakspunkt c

NG presiserer at klagen kun omfatter kameraopptak av bakrommet, tellerom eller kontor der safe er plassert, og der rommet ikke brukes til pauserom eller spiserom for ansatte.
     Klager opplyser at underslag ofte begås i forbindelse med leveranse av kontanter til og fra safen, og at kameraopptak av safen har i praksis vært avgjørende bevis for hvem som har begått underslag. Det vises i den sammenheng til to underslagssaker fra KIWI, som dokumenteres ved fremleggelse av tre rettsavgjørelser (Saksnr. 13-038111ASD-BORG/03,
13-038111ASD-BORG/03 og 12-039293ASD-GULA/AVD2).
     Klager anfører at i underslagssaker er kameraopptak svært ofte utslagsgivende bevis ved den samlede bevisvurdering, og viser til at kameraopptak svært ofte er en nødvendig del av bevisførsel for at retten skal kunne konstatere underslag og identifisere gjerningsperson med tilstrekkelig grad av sannsynlighet.
     Klager mener at personopplysningsforskriften § 8-4 sjette ledd ikke skal forstås slik at det kan oppstilles et vilkår om at kameraopptak alene må være det bevis som godtgjør at det har skjedd et underslag og hvem det er som har utført underslaget.
     Det opplyses at ved rullerende underslag, dvs. når den ansatte dekker det underslåtte beløpet med kontanter fra morgendagens omsetning, vil det med 7 dagers lagring aldri foreligge kameraopptak fra underslagets start. Som hovedregel har kjedene kontanttransport en gang per uke med påfølgende behandlingstid, så selv uten rullerende underslag vil det som minimum ta 14 dager fra underslag skjer til det blir avdekket at underslag har skjedd.
     Klager opplyser at det ved innføring av BIB ble innført en kassaløsning som innbar at det ble benyttet færre oppgjørsposer enn tidligere, men at oppgjørsposene nå inneholdt et betydelig høyere beløp. En mellom stor KIWI-butikk vil kunne ha rundt 50 millioner kroner årlig i kontantmengde i deponeringssafen.
     NG anfører at kameraopptak av bakrommet, tellerom eller kontor der safe er passert vil kunne tjene som bevis og fjerne mistanke fra ansatte. I den sammenheng vil det kunne være i de ansattes interesse at det opereres med en lengre lagringstid.
     Klager rapporterer at omfanget av underslag for KIWI-kjeden har vært på mellom 75-140 underslag per år og for 2013 var det samlede underslåtte beløpet kr 1 158 075. Klager antar at det foreligger store mørketall.
     Klager opplyser at butikksjefer tilbringer i snitt en time på kontoret der safe befinner seg, og viser til en undersøkelse som ble gjennomført blant 26 butikksjefer i KIWI-kjeden. I følge undersøkelsen opplever de fleste personene som blir fanget opp av kameraopptakene, at en utvidet lagringstid ikke vil være en personvernulempe.
     NG er helt uenig i Datatilsynets vurdering av faktum og ber Personvernnemnda overprøve denne vurderingen. Det forhold at post og banklokaler tillates 3 måneders lagringstid er med stor grad av sannsynlighet begrunnet på samme måte og i det samme faktum som NG begrunner nærværende klage.
     Butikkene har i dag i meget stor grad overtatt bankfunksjonene og dermed også mange av bankenes utfordringer og behov. Samtidig stiller samfunnet krav til økt lønnsomhet og dette innebærer helt andre åpningstider og leveringstider enn tidligere. Enkelte butikker er åpne   fra kl. 06:00-24:00, mens hovedtyngden av butikkmassen har en åpningstid fra om lag kl. 07:00-23:00. Verditransport finner sted innenfor åpningstiden, og dette innebærer at mottak av verdiforsendelser ikke er begrenset til et fåtall personer, som i bank eller postfilialer, men så mange som fem - åtte personer for en normalbutikk. Kjedene tilstreber at butikksjef skal håndtere slike verdiforsendelser, men dette lar seg ikke gjøre i praksis.
     Når det gjelder den «interne transporten» av kontanter, så oppbevares i det vesentligste penger enten i tradisjonell kassaskuff eller i et lukket kassasystem som eksempelvis CashGuard. I den tradisjonelle kassaløsningen kan man av sikkerhetshensyn ikke oppbevare like mye kontanter som i et lukket kontanthåndteringssystem. Dette fører i praksis til at det blir mer transport av penger mellom safen og kassa, herunder økt behov for å legge kontanter inn i safe, og ta kontanter ut av safe.
     Dagligvarebransjen har mange deltidsansatte som studenter og lignende og som arbeider eksempelvis et par dager i uka, og turn-over er større enn i tradisjonelle bank- og postlokaler. Allikevel innrømmes de tradisjonelle filialene et høyere vern og sikkerhetspreg og en lagringstid på 3 måneder, til tross for at behovet for sikkerhet i realiteten er større i BIB i dagligvarebutikker enn i tradisjonelle banklokaler, jf. lange åpningstider, behov for å ta kontanter ut og inn av safe i butikken samt deltidsansatte.
     Datatilsynets oversendelsesbrev etterlater inntrykk av at kameraovervåkning er en ulempe og at kriminalitet kan forhindres og bekjempes med andre midler alene. Ansatte i kjedene oppfatter ikke kameraovervåkning slik, se punkt 2.1.2 under. Hva gjelder øvrige sikkerhetstiltak, jobber kjedene kontinuerlig også med dette, og det eksisterer en rekke andre rutiner og tiltak for å motvirke og oppklare kriminalitet. Samtidig utgjør kameraovervåkning   et svært viktig tiltak. Erfaringsmessig er kameraovervåkning den type bevis både politiet og domstolene legger vekt på, også i situasjoner der det foreligger andre bevis. Videre viser erfaring at kameraovervåkning også fungerer preventivt.
     Datatilsynet mener at det forhold at en ansatt identifiseres av kameraet i kassen, er et argument mot å tillate utvidet lagringstid for kamera som fanger opp safe. Dette argumentet kan nemnda trygt se bort ifra. Underslagene foregår ofte fra safe, og kamera i kassen vil ikke bevise hvem som foretok underslaget i disse tilfellene.
     Når det begrunnelse for hvorfor opptakene må lagres i inntil 3 måneder for at kameraovervåkningen skal nå sitt formål, vises det til brev fra NG til Datatilsynet av 26.02.15 punkt 8.2.3 (Søknad) og til klagens punkt 2.2. NG har tidligere i saken vist både til kriminalitet og til rutinebrudd som har ledet til at kontanter har blitt borte uten at det er påvist at den ansvarlige for rutinebruddet har gjort noe straffbart. Den ansatte som håndterer kontantene er i det enkelte tilfellet identifisert ved at denne logger seg på et system. Det tar mer enn 7 dager før regnskapsavdelingen oppdager at oppgjørsposer som ved rutinebrudd ikke har blitt lagt i deponeringssafe/nattsafe, er borte, hvilket leder til at opptak er slettet. Dette leder til at den ansvarlige for rutinebruddet føler seg mistenkt for at kontanter er borte samtidig som manglende kameraopptak gjør at kjeden ikke klarer avdekke hva som faktisk har skjedd. Manglende kameraopptak oppleves her som en stor ulempe for den ansatte.

3.3 Forholdet til de ansatte

Datatilsynet hevder at kameraovervåkning av rom med safe er et «Kontrolltiltak..[som] er et uttrykk for virksomhetens manglende tillit til sine ansatte og kan virke både stressende og belastende». Dette fremstår som en spekulasjon. NGs erfaringer med underslagsproblematikk tilsier det motsatte av hva Datatilsynet uttaler. NG kan avkrefte at kameraovervåkning skyldes NGs manglende tillit til sine ansatte. Det er ikke utslag av «manglende tillit» å sikre et godt arbeidsmiljø. I etterkant av underslagssaker er NGs erfaringer med tilbakemeldinger fra ansatte at de ansatte er lettet over at saken er oppklart, og at de ansatte opplevde det som en belastning mens saken pågikk. I de sakene som ikke oppklares, gir de ansatte uttrykk for at situasjonen er belastende fordi man går rundt og mistenker hverandre.
     Ansatte i kjedene gir også uttrykk for at de opplever kameraovervåkning som et trygghetsskapende virkemiddel. NG er ukjent med at ansatte opplever det stressende eller belastende at opptakene lagres i 3 måneder istedenfor 7 dager, og det er vanskelig å se at dette skulle kunne være tilfellet. Basert på NGs erfaringer med ansattes opplevelse av underslagssaker er virkeligheten trolig motsatt, det vil si at ansatte opplever det mindre stressende og belastende at bevisene lovlig kan lagres i lengre tid.
     NG har ingen forståelse for at utvidet lagring av opptak fra rom med safe skulle kunne frata de ansatte ansvaret for deres egne handlinger. Kjedene har lang erfaring med kriminalitetsbekjempelse og oppklaring. Erfaring viser at ansatte som blir tatt for underslag i arbeidslivet sjeldent har et kriminelt rulleblad fra før. De forklarer ofte at «det bare ble slik» og at de er «lettet over å bli tatt» på grunn av dårlig samvittighet. Ofte har det oppstått en privat situasjon som gjør at man begynner å stjele etter å ha jobbet i bedriften i flere år, uten tidligere å ha brutt en regel. Situasjonen til de ansatte kan plutselig endre seg, noe man må ta høyde for når man vurderer behovet for overvåkning. Det er også en grunn til at kjedene ofte finner tomemballasje i områder det ikke er tillatt å kameraovervåke (spiserom, garderobe etc), eller at kontanter blir tatt under transport mellom kassene og kontoret. Dette viser at kameraovervåkning er preventivt.
     Tilsynets konklusjon er at 3 måneders lagring av kameraopptak fra rom med safe (til forskjell fra lagring i 7 dager) vil være et inngrep i den enkeltes personlige integritet som er uforholdsmessig. Det er det vanskelig å se at forskjellen mellom lagring i 7 dager og lagring i 3 måneder utgjør inngrep i personlig integritet av betydning. Enda klarere er det at et eventuelt inngrep i hvert fall ikke er uforholdsmessig.
     Det vises i denne sammenheng også til Datatilsynets Personvernundersøkelse 2013/2014 s 66-67 om respondentenes syn på kriminalitetsbekjempelse og personvernhensyn. Denne del av undersøkelsen er oppsummert slik:
«De tre neste utsagnene tar opp forholdet mellom kriminalitetsbekjempelse og personvern. Svarene viser respondentenes holdninger til avveiningen mellom kriminalitetsbekjempelse og etterforskning, og den enkeltes personvern. ...
Ut fra svarene er det overordnede inntrykket at mange mener politi- og sikkerhetsmyndigheter bør kunne ta i bruk relativt inngripende midler for å bekjempe kriminalitet, også når det går utover den enkeltes personvern. Selv om respondentenes meninger om dette er delt, forstår vi svarene slik at flertallet prioriterer at hensynet til kriminalitetsbekjempelse skal gå foran hensynet til den enkeltes personlige integritet.»
     En gjennomgang av Datatilsynets totale vurdering av lagringstid for kamera i rom med safe, leder også til at det er nødvendig å minne om at kameraovervåkningens formål er begrenset til å motvirke og oppklare kriminalitet. Opptakene blir ikke brukt til, og kan heller ikke lovlig brukes til, noen andre formål.
     Det presiseres avslutningsvis at vurderingen av kameraovervåkning og lagringstid for rom med safe ikke bare er en vurdering av underslagsrisiko og ansattes forhold. I formålet ligger også å forhindre og oppklare avvik ved kontantleveranser til safe forestått av eksterne som vektere eller sikkerhetsforetak.

3.4 Anførsler til vedtakspunkt b

NG anfører to hovedgrunner på hvorfor opptak fra inn- og utgangsparti i butikker må lagres i inntil 90 dager. For det første så vil kameraene fange opp personer som passerer inn og ut av butikkene uten å passere kassepunktet, og som er i butikken for å rekognosere før fremtidig kriminelle handlinger. For det andre er det et behov for å lagre opptakene for å øke graden av identifikasjon av personer som fanges opp av kamera i kassen. Det skyldes at kameraene i kassen er plassert slik at opptakene i en del situasjoner ikke er nok til å foreta en sikker identifikasjon.
     Klager viser i den forbindelse til Datatilsynet bankkonsesjon, der tilsynet begrunner den utvidede lagringen med blant annet muligheten til å fange opp rekognosering av ekspedisjonssteder som ledd i forberedelse av ran.
     Klager anfører at det er nødvendig at Personvernnemnda fatter vedtak basert det det faktum som i dag er lagt frem. Datatilsynet har vist til sitt tidligere vedtak, herunder at utvidet lagringstid for kamera i inn- og utgangsparti ikke er nødvendig fordi den samme personen ved korrekt etterfølgelse av kjedenes rutiner, i alle tilfeller vil kunne identifiseres av kamera i kassen. Virkeligheten er ikke som beskrevet av Datatilsynet. NG viser her til at det sentrale er at kassekameraene må vinkles slik at de fanger opp transaksjoner, men ikke selve bankterminalen med tanke på pin-koder som brukes. Dette leder til at vinkelen kan blir for «skarp» til å kunne identifisere kunden i kassen.

4 Datatilsynets vurdering

4.1 Vedtakspunkt c

Datatilsynet forstår at hensikten med utvidet lagring av kameraopptak der kontantsafen befinner seg er å forhindre og oppklare underslag begått av ansatte. Opptak fra kameraovervåking skal som hovedregel slettes senest 7 dager etter at opptakene er gjort, jf. personopplysningsforskriften § 8-4 andre ledd. Datatilsynet kan gjøre unntak fra slettefristen etter andre ledd når tilsynet finner at det foreligger et «særlig behov», jf. personopplysningsforskriften § 8-4 sjette ledd.
     I vurderingen av om klager oppfyller kravet til et «særlig behov», må det foretas en totalvurdering av de ulike hensynene som begrunner eller taler imot en utvidet lagring. De relevante hensynene i denne saken er etter Datatilsynets vurdering; de verdier som potensielt kan og faktisk blir underslått, den behandlingsansvarliges muligheter til å bruke andre lempeligere tiltak og de ansattes personverninteresser.
     Klager understreker at butikker som tilbyr BIB-tjenester bruker færre oppgjørsposer, men at oppgjørsposene inneholder større beløp enn tidligere. Datatilsynet forstår klagers argumentasjon dit hen at økt kontantbeholdning vil øke sjansene for at det underslås for større beløp.
     Datatilsynet er innforstått med at butikker med BIB kan ha noe mer kontanter i omløp, enn butikker som ikke tilbyr slike tjenester. Datatilsynet finner det imidlertid ikke godtgjort at det er en korrelasjon mellom den økte kontantbeholdningen og størrelsen på de beløpene som blir underslått eller at antall underslag øker ved en økt kontantbeholdning. Ut i fra den totale kontantomsetningen utgjør beløpene som faktisk blir underslått, etter Datatilsynets vurdering, et mindre beløp. Datatilsynet er av den oppfatning at den økte kontantbeholdning ikke innebærer en slik risikoøkning for underslag som gir grunnlag for en utvidet lagring av kameraopptak der kontantsafen befinner seg.
     I rettsavgjørelsene klager viser til konstateres det at beviskravet for å gi en ansatt avskjed på bakgrunn av et underslag er en «klar og sterk grad av sannsynligovervekt». Datatilsynet merker seg at kameraopptakenes verdi ligger i å identifisere hvem som faktisk tømmer kassen på et aktuelt tidspunkt. I de avgjørelsene klager har vedlagt har de sentrale kameraopptakene som retten uttaler seg om vært av ansatte som tømmer kassen for kontanter.
     I vedtak av 2. juni 2015 fikk NG tillatelse til å lagre kameraopptak som fanget opp BIB­ transaksjoner i kassepunktet i inntil 90 dager. Datatilsynet legger til grunn at når en medarbeider henter eller leverer kontanter til kassen, vil vedkommende identifiseres på opptaket som lagres i inntil 90 dager. Datatilsynet legger derfor til grunn at klagers behov for utvidet lagring av kameraopptak fra kontantsafen vil derfor være noe redusert.
     Det er et grunnleggende prinsipp at alle har krav på en viss grad av personvern og privatliv, også på arbeidsplassen. En utvidet lagring av kameraopptak der kontantsafen befinner seg, med den hensikt å avdekke underslag fra de ansatte, vil etter tilsynets vurdering kunne oppfattes som en integritetskrenkelse av de ansatte. Kontrolltiltaket er et uttrykk for virksomhetens manglende tillit til sine ansatte og kan virke både stressene og belastende. Datatilsynet registrerer dog at klager er av den oppfatning at de ansatte ønsker så lang lagringstid som mulig. Et slikt standpunkt kan skyldes at en utvidet lagring av kameraopptak vil i praksis fungere som et vern mot urettmessige beskyldninger som kan komme fra virksomheten. De ansatte føler således et behov for å bevise sin uskyld.
     Den teknologiske utviklingen har gjort det mulig for virksomheter til å overvåke sine ansatte, og som en konsekvens av dette registreres og lagres en økende mengede av ansattes personopplysninger. Datatilsynet ser på denne utviklingen med bekymring, da den kan være integritetskrenkende, men også fordi den fratar ansatte ansvar for egne handlinger. (Hvorfor stjeler man ikke fra arbeidsgiver? Skyldes det overvåkingen og risiko for å bli oppdaget, eller fordi man er et lovlydig menneske som ikke stjeler – uavhengig av overvåking.)
     Datatilsynet har forståelse for at de ansatte ønsker å beskytte seg mot arbeidsgivers beskyldninger om underslag/rutinebrudd, og at kameraopptakene vil kunne fungere som bevis i så hensende. Tilsynet er imidlertid av den oppfatning at inngrepet som behandlingen medfører i den enkeltes personlige integritet vil være uforholdsmessig i forhold til det formål man ønsker å oppnå med behandlingen.
     Etter totalvurdering av de relevante hensynene finner Datatilsynet at kravet til et «særlig behov» ikke er oppfylt for kameraopptak der kontantsafen befinner seg, jf personopplysningsforskriften § 8-4 sjette ledd.

4.2 Vedtakspunkt b

Klager fremmer ingen nye innsigelser under dette punkt. Etter Datatilsynets vurdering tok Personvernnemnda stilling til dette spørsmålet i vedtak av 12. juni 2014 (PVN-2013-21), og tilsynet kan ikke se at sakens opplysninger skal kunne endre på de vurderinger som er foretatt.
     Datatilsynet finner det tilstrekkelig å vise til premissene til Datatilsynets vedtak av 2. juni
2015, der det blant annet vises til Personvernnemndas avgjørelse:

Personvernnemnda tok stilling til spørsmålet i vedtak av 12. juni 2014 og la betydelig vekt på personvernhensyn. De uttrykte følgende:

«Filming av alle personer som oppsøker en butikk med langvarig oppbevaring av opptak vil være i strid med grunnleggende personverninteresser. Nemnda viser til forholdsmessighetsprinsippet, slik delte blant annet er kommet til uttrykk i EU-domstolens nylige underkjennelse av Datalagringsdirektivet, hvor en del av begrunnelsen var det store omfanget og den lange oppbevaringstiden. Nemnda er på denne bakgrunn kommet til at det ikke foreligger tilstrekkelige grunner til å anvende § 8-4 sjette ledd.»

Datatilsynet har i standardkonsesjonen for behandling av personopplysninger i banksektoren, gitt en generell dispensasjon til å utvide lagringen av kameraopptak fra BIB, jf personopplysningsforskriften § 8-4 sjette ledd. I merknaden til punkt 8 heter det at «Lagring i tre måneder vil kun være tillatt av det området av butikklokalet hvor kunder ekspederes for "bank i butikk''-tjenester». Datatilsynet var av den oppfatning at det særlige behovet ikke strakk seg lengre enn til de dedikerte kassene som yter BIB-tjenester.

Datatilsynet legger til grunn at en utvidet lagringstid for kameraopptak fra butikkens inn- og utgangspartiet vil anses som en personvernulempe for de som passerer. Vi legger videre til grunn at butikkene har tilfredsstillende rutiner hva gjelder identitetskontroll av kunder som benytter seg av BIB-tjenestene. Når rutinene følges, vil ansiktet til den som legitimerer seg bli fanget opp av kameraene ved kassene som tilbyr BIE-tjenester, slik at potensielle svindlere blir fanget opp av kameraet som har utvidet lagring. Praktisering av slike rutiner vil bidra til at behovet for langtidslagring av kameraopptak blir begrenset til det området hvor det faktisk utføres BIB-tjenester.

Etter en konkret helhetsvurdering finner Datatilsynet at kravet til et «særlig behov» ikke er oppfylt får kamera som fanger opp inn- og utgangspartiet til butikkene.

5 Personvernnemndas syn

Gisle Hannemyr var inhabil i saken. Nemnda kalte inn vara Torgeir Waterhouse.

Nemnda tok stilling til Bank i butikk (BIB) første gang i PVN-2013-21, som ble avgjort med nemndas vedtak av 12. juni 2014. Saken gjaldt plassering av behandlingsansvar for kameraovervåking i BIB og lagringstid for kameraopptak. I PVN-2013-21 kom Personvernnemnda til at butikken er behandlingsansvarlig for behandling av personopplysninger når det formidles banktjenester i en butikk, på samme måte som for butikkens øvrige virksomhet. Nemnda foretok en presiserende tolkning av personopplysningsforskriften § 8-4 tredje ledd og konkluderte med at butikklokalet ikke blir et banklokale i personopplysningsforskriftens forstand. Videre kom nemnda etter en forholdsmessighetsvurdering til at det ikke forelå tilstrekkelige grunner som tilsa at butikkens opptak skulle få forlenget lagringstid på grunn av BIB-funksjonen i butikken, jf forskriftens § 8-4 sjette ledd.
     Denne saken gjelder lagringstid for kameraopptak av BIB ved inn- og utgangspartiet og ved kontantsafen. Hovedregelen er at opptak slettes senest 7 dager etter at opptakene er gjort, jf. personopplysningsforskriften § 8-4 andre ledd. Det kan gjøres unntak fra slettefristen etter andre ledd dersom det foreligger et «særlig behov», jf. personopplysningsforskriften § 8-4 sjette ledd.
     Lagringstiden for kameraopptak ved kassepunktet ble utvidet til 90 dager av Datatilsynet og er ikke påklaget. Lagringstid for kameraopptak ved inn- og utgangspartiet og ved kontantsafen er fortsatt satt til 7 dager av Datatilsynet og er påklaget.
     I PVN-2013-21 resonnerte nemnda på følgende måte vedrørende spørsmålet om utvidet lagringstid:

Etter nemndas syn foreligger det vesentlige forskjeller mellom bankens og butikkens virksomhet. Den type virksomhet som har legitimert oppbevaring av opptak i 90 dager, nemlig oppbevaring av store mengder kontanter, foregår ikke i butikkene. Det som utføres av banktjenester i butikkene er såpass risikofritt at butikkene har akseptert risikoen – uten å implementere de tradisjonelle banklokalenes spesielle sikkerhetsforanstaltninger. Det antall svindelforsøk som klager har opplyst om, ca. 450 forsøk per år, må anses å være en promille av alle transaksjoner. Etter nemndas syn er dette helt marginale antall, det er dessuten tale om forsøk på svindel – ikke gjennomførte svindler, og det opplyses ikke om beløp. Etter nemndas syn er dette ubetydelig og kan ikke legitimere at alle personer filmes med lagringstid på 90 dager. Svindel kan dessuten skje helt uavhengig av BIB.

Nemnda legger betydelig vekt på de personvernhensyn som gjør seg gjeldende. Filming av alle personer som oppsøker en butikk med langvarig oppbevaring av opptak vil være i strid med grunnleggende personverninteresser. Nemnda viser til forholdsmessighetsprinsippet, slik dette blant annet er kommet til uttrykk i EU-domstolens nylige underkjennelse av Datalagringsdirektivet, hvor en del av begrunnelsen var det store omfanget og den lange oppbevaringstiden. Nemnda er på denne bakgrunn kommet til at det ikke foreligger tilstrekkelige grunner til å anvende § 8-4 sjette ledd.

Nemnda er fortsatt av den oppfatning at å «flytte» banken ut i butikkene innebærer en kostnad i form av et annet risikobilde. Det er ikke holdbart at man ved å innføre banktjenester i matvarebutikkene skal kunne oppbevare opptak i 90 dager i form av kameraopptak av butikkenes inngangsparti. Personverntrusselen blir større dersom lagringstiden økes fra 7 dager, idet det dermed kan dokumenteres mønster og vaner. Utvidet lagringstid gir et misbrukspotensiale med fare for formålsutglidning. Aggregering av data er noe som i seg selv innebærer en latent risiko for annen bruk senere. Dette er alminnelig anerkjent i personvernteorien. Nemnda legger vekt på minimumsprinsippet og forholdsmessighetsprinsippet og finner etter en skjønnsmessig avveining at det ikke foreligger «særlig behov» som tilsier at lagringstiden for kameraopptak ved inngangspartiene skal utvides.
     Når det gjelder overvåking av kontantsafen, legger nemnda til grunn at tiltaket er drøftet med de tillitsvalgte i samsvar med arbeidsmiljøloven kapittel 9. Nemnda finner at overvåking av kontantsafen, såfremt kameravinkelen bare fanger opp den som åpner/lukker safen, ikke er spesielt personvernkrenkende. Dette er et lukket rom hvor allmennheten ikke ferdes. Nemnda finner etter en skjønnsmessig avveining at det foreligger «særlig behov» som tilsier at lagringstiden for kameraopptak av kontantsafen kan utvides til 90 dager.

6 Vedtak

Klagen tas delvis til følge. Lagringstiden for kameraopptak ved kontantsafen utvides til 90 dager.

 

 

Oslo, 27. juni 2016

Eva I E Jarbekk
Leder