11 steg för att bedöma om kamerabevakning är tillåten

Steg 2: Bestäm ändamålet – varför vill du bevaka?

Vaga formuleringar som ”för säkerhetens skull” eller ”för att öka tryggheten” håller inte. Ditt ändamål måste vara så specifikt att vem som helst förstår exakt vad du vill uppnå.

Precisionen som gör skillnad

Skillnaden mellan ett otillåtet och tillåtet ändamål kan ligga i formuleringen. Jämför dessa två:

Vagt: ”För att förebygga brott i vår butik.”

Specifikt: ”För att förebygga och utreda stölder av högvärdesprodukter i vår elektronikbutik efter dokumenterade stöldförsök under kvällstid.”

Den specifika formuleringen visar att du har tänkt igenom exakt vad du vill uppnå, när problemet uppstår och varför just kamerabevakning behövs.

Ändamålsglidningens fälla

Här ligger en av de vanligaste fallgroparna. Du installerar kameror för att utreda inbrott. Några månader senare använder du samma material för att kontrollera om personalen kommer i tid. Det kallas ändamålsglidning och är ett av de vanligaste skälen till sanktionsavgifter från IMY.

Tänk dig en fastighetsförvaltare som använder material från entrébevakning för att utreda vem som slänger hushållssopor i återvinningen. Även om syftet må vara gott skulle sådan användning vara olaglig – materialet får bara användas för det ursprungliga ändamålet.

Steg 3: Identifiera rättslig grund och gör nödvändiga bedömningar

Nu kommer vi till juridikens kärna. För att få behandla personuppgifter genom kamerabevakning måste du ha en rättslig grund enligt GDPR.

Intresseavvägning – den vanligaste grunden för företag

För privata företag är intresseavvägning enligt artikel 6.1 f i GDPR nästan alltid den enda möjliga grunden. Men för att använda den måste tre villkor vara uppfyllda samtidigt:

Först måste du ha ett berättigat intresse. Det räcker inte att säga att du vill skydda din egendom. Du måste kunna visa på konkreta händelser – polisanmälningar, incidentrapporter, dokumenterade skador. En butik som aldrig haft problem kan inte börja kamerabevaka ”för säkerhets skull”.

Sedan måste bevakningen vara nödvändig. Här kommer den svåra frågan: Har du prövat andra alternativ? Bättre lås, förbättrad belysning, larm eller inhägnad? IMY förväntar sig att du kan förklara varför just kamerabevakning är lösningen.

Slutligen kommer själva avvägningen – ditt intresse måste väga tyngre än de filmades integritet. Det är här många fastnar. Mer om det nedan.

Offentlig verksamhet – andra regler

För myndigheter, kommuner och verksamheter som utför uppgifter av allmänt intresse (som friskolor och vårdgivare) gäller istället artikel 6.1 e. Här krävs att uppgiften är fastställd i lag eller förordning.

Ta exemplet med en kommunal skola som ville sätta upp kameror mot skadegörelse. De kunde stödja sig på skollagen som säger att elever ska tillförsäkras en trygg skolmiljö. Men en privat butik kan inte använda samma grund – de måste göra en intresseavvägning istället.

Steg 4: Gör en intresseavvägning

Här gör du den avgörande bedömningen. Det är som en balansvåg – på ena sidan ditt behov av säkerhet, på den andra människors rätt till privatliv.

Bevakningsintressets tyngd

Alla platser är inte lika. En bank har av tradition ett starkt bevakningsintresse. Men en innergård där barn leker? Där krävs betydligt starkare skäl.

Låt oss illustrera med ett typiskt scenario. Tänk dig en bostadsrättsförening som har problem med återkommande skadegörelse i sitt cykelrum. Med dokumentation över månader av incidenter – sönderskurna däck, stulna sadlar, ekonomisk skada – skulle bevakningsintresset väga tungt.

Men om samma förening vill sätta upp kameror på sin soliga innergård “för barnens säkerhet” blir bedömningen annorlunda. Utan konkreta incidenter och med tanke på att familjer vistas där dagligen för rekreation skulle integritetsintresset väga tyngre.

Integritetsintressets komplexitet

Här måste du tänka som de som blir filmade. En kund som går in i din butik förväntar sig kanske viss övervakning. Men dina anställda som tillbringar åtta timmar om dagen framför kameran? Deras integritetsintresse väger betydligt tyngre.

Tiden spelar också roll. Bevakning av ett låst och larmat kontor nattetid har närmast försumbart integritetsintresse – ingen ska ju vara där då. Men samma kontor dagtid när medarbetare arbetar? Helt annan sak.

Och så ljudfrågan. Att spela in ljud är extremt integritetskänsligt. IMY har varit tydlig: ljudupptagning kräver exceptionella omständigheter, som till exempel aktiverat överfallslarm i en bank.

Steg 5: Begränsa lagringstiden

Principen är enkel: spara inte längre än nödvändigt. Men vad betyder det i praktiken?

Tredje dygnet som riktmärke

Europeiska dataskyddsstyrelsen anger att 24–72 timmar ofta är proportionerligt. Men det finns ingen universell ”tredygnsregel”. Allt beror på ditt specifika ändamål.

En liten butik som öppnar måndag till fredag kan motivera tre dygn eftersom en incident på fredag kväll kanske inte upptäcks förrän på måndag morgon. Men en stormarknad som inventerar varannan vecka? De kan behöva motivera 14 dagar för att kunna spåra när dyra varor försvann.

Det viktiga är att du kan förklara varför du valt just din lagringstid. ”Alla andra har 14 dagar” är inte ett argument. ”Vi upptäcker först vid månadsinventeringen om något försvunnit” kan däremot vara det.

Automatisk radering – din säkerhetsventil

Ställ in systemet så att materialet raderas automatiskt. Mänskliga misstag händer, men tekniken glömmer inte. Och kom ihåg: om något hänt får du såklart spara just den sekvensen längre för utredning.

Steg 6: Dokumentera intresseavvägningen

Det räcker inte att göra bedömningen, du måste också dokumentera det. GDPR:s ansvarsskyldighet kräver att du kan visa att du följt reglerna.

Dokumentationen som räddar dig

Tänk dig att IMY knackar på om två år och vill se hur du resonerat. Kan du visa din bedömning? Dokumentationen behöver inte vara en juridisk avhandling, men den ska innehålla dina överväganden.

En effektiv dokumentation beskriver problemet du vill lösa, vilka incidenter som ligger till grund för bevakningen, hur du resonerat kring integritetsintrånget, vilka begränsningar du infört och varför ditt intresse väger tyngre. Datum och underskrift gör att du kan visa när bedömningen gjordes.

Steg 7: Bedöm behovet av konsekvensbedömning

I vissa fall räcker inte en vanlig intresseavvägning. När risken för integritetsintrång är särskilt hög krävs en fullständig konsekvensbedömning – eller Data Protection Impact Assessment (DPIA) som det heter på EU-språk.

När det blir allvar

De flesta företags bevakning av en entré eller ett lager kräver ingen DPIA. Men använder du ansiktsigenkänning? Bevakar du systematiskt stora ytor dit allmänheten har tillträde? Analyserar AI beteenden i realtid? Då är det dags för en djupare analys.

Tänk dig ett köpcentrum som installerar AI-baserad beteendeanalys för att identifiera snattare. Utan fullständig konsekvensbedömning riskerar de att skapa omfattande profilering av vanliga kunder. Systemet flaggar “avvikande beteenden” men samlar samtidigt in känsliga uppgifter om hundratusentals besökare. Missar man konsekvensbedömningen kan IMY:s sanktionsavgift bli kännbar.

Steg 8: Registrera kamerabevakningen i din förteckning

Ordning och reda är halva jobbet. Även om det inte alltid är ett formellt krav är en förteckning över dina kameror god praxis.

Översikten som ger kontroll

En välskött förteckning visar var varje kamera sitter, vad den bevakar, varför den finns där och när du senast utvärderade behovet. Det är inte bara bra för IMY – det hjälper dig själv hålla koll.

Från 1 april 2025 måste vissa verksamheter (myndigheter, skolor, vårdgivare) föra särskild förteckning. Men även om du driver en vanlig butik eller ett fastighetsbolag är det smart att ha samma kontroll.

Steg 9: Informera om kamerabevakningen

Människor har rätt att veta att de filmas – innan de kliver in i bild.

Informationens två lager

IMY rekommenderar en tvåstegsmodell. Först en tydlig skylt vid ingången med kamerasymbol, vem som bevakar, varför och var man hittar mer information. Sedan fullständig information på din hemsida eller i ett informationsblad med alla detaljer GDPR kräver.

Men tänk praktiskt också. En skylt som sitter så att den skyms när dörren är öppen hjälper ingen. Och glöm inte personalen – de behöver särskild information, gärna via intranät eller personalhandbok.

Steg 10: Skydda personuppgifterna

Att ha rätt att bevaka är bara början. Du måste också skydda det du samlar in.

Säkerheten många missar

Moderna kamerasystem är uppkopplade nätverk och därmed sårbara för cyberattacker. Använder du fortfarande standardlösenordet från tillverkaren? Då är du ett lätt byte.

Och kom ihåg – enligt GDPR är du ansvarig även om materialet läcker genom en cyberattack. Tänk dig att hackare kommer åt ett oskyddat kamerasystem och publicerar känsligt material online. Även om företaget är brottsoffer kan IMY konstatera att de brustit i sina säkerhetsåtgärder. Resultatet? Skadeståndsanspråk från de drabbade plus sanktionsavgifter som kan uppgå till flera hundra tusen kronor. Med starka lösenord, krypterad överföring och regelbundna säkerhetsuppdateringar hade läckan troligen kunnat undvikas.

Men det handlar inte bara om teknik. Vem har tillgång till materialet? Använder alla samma inloggning? Då kan du inte spåra vem som tittat på vad. Och kom ihåg tystnadsplikten – att lägga upp bilder på Facebook för att “hitta tjuven” kan ge böter eller fängelse enligt kamerabevakningslagen.

Den absoluta tystnadsplikten

Detta kan inte betonas nog: Material från kamerabevakning omfattas av sträng tystnadsplikt. Du får aldrig dela det på sociala medier, skicka till grannar eller använda som underhållning. Brott mot tystnadsplikten är inte bara en överträdelse – det är ett brott som kan ge fängelse.

Steg 11: Utvärdera kamerabevakningen regelbundet

En bedömning är en färskvara. Vad som var rimligt förra året kanske inte är det idag.

Den levande processen

Har problemen som motiverade kamerorna minskat? Fungerar tekniken som tänkt? Stämmer fortfarande informationen på skyltarna? En årlig genomgång är minimum, men utvärdera också vid förändringar i verksamheten eller hotbilden.

Dokumentera varje utvärdering kort: datum, vad du tittat på, slutsats och eventuella åtgärder. Det visar att du tar ditt ansvar på allvar.

Vägen till trygg och laglig bevakning

Att följa IMY:s 11 steg kan kännas överväldigande. Men se det som en investering – inte bara i lagenlighet utan i förtroende. Kunder och anställda märker när ett företag tar integritet på allvar.

Dessutom, genom att arbeta systematiskt enligt denna modell minimerar du risken för kostsamma misstag. En sanktionsavgift från IMY kan uppgå till miljontals kronor. Men värre än det ekonomiska är förtroendet som tar år att bygga upp och sekunder att rasera.

SafeTeam som din guide

Vi på SafeTeam har hjälpt svenska företag med säkerhetsteknik sedan 1968. Vi har sett reglerna förändras, tekniken utvecklas och behoven växa. Men en sak har varit konstant: vikten av att göra rätt från början.

För även om tillståndsplikten är borta är behovet av kunskap och ansvar större än någonsin. Låt oss hjälpa dig igenom komplexiteten. Kontakta oss så berättar vi mer om hur vi kan stötta just din verksamhet.

Denna guide baseras på Integritetsskyddsmyndighetens arbetsgång i 11 steg för bedömning av kamerabevakning. För myndighetens ursprungliga vägledning, besök IMY:s webbplats.