Dansk Supermarked Administration A/S CVR-nr. 89-49-29-12 Bjødstrupvej 18, Holme 8270 Højbjerg 3. juni 2002 Vedrørende tv-overvågning Datatilsynet Borgergade 28, 5. 1300 København K CVR-nr. 11-88-37-29 Telefon 3319 3200 Fax 3319 3218 E-post dt@datatilsynet.dk www.datatilsynet.dk J.nr. 2001-211-0027 Sagsbehandler Jakob Lundsager Direkte 3319 3233 Datatilsynet har i forlængelse af en henvendelse fra HK/Handel taget initiativ til at undersøge, om tv-overvågning af ansatte og andre personer i Dansk Supermarkeds butikker er i overensstemmelse med persondataloven. Efter anmodning fra Datatilsynet er Dansk Supermarked Administration A/S i brev af 28. februar 2002 fremkommet med en udtalelse. Der er endvidere telefonisk indhentet supplerende oplysninger. Dansk Supermarked har oplyst, at der kun foretages tv-overvågning på steder, hvor der er skiltet med det. Tv-overvågningen sker på offentligt tilgængelige steder som kundeservice, flaskemodtagelse, varemodtagelser, vareudlevering og i det hele taget i butikkernes åbningstider, hvor både kunder og ansatte kan blive optaget. Tv-overvågningen sker også på andre lokaliteter, hvor personer ofte færdes eller arbejder, f.eks. på lagre og i butikken uden for arbejdstiden, hvor både ansatte i Dansk Supermarked samt ansatte i andre firmaer (f.eks. ansatte i rengøringsselskaber, pengetransportfirmaer, håndværkerfirmaer, vagtfirmaer og hos leverandører) kan blive optaget. Af Dansk Supermarkeds udtalelse fremgår det endvidere, at formålet med tvovervågningen og optagelserne bl.a. er at forebygge og opklare røverier, misbrug af dankort og andre uregelmæssigheder. Det er kun betroede medarbejdere fra butikkens ledelse og en medarbejder fra Intern Revision, der har adgang til optagelserne. Konstaterer en medarbejder fra Intern Revision uregelmæssigheder, bliver der afholdt et møde med tillidsrepræsentanten eller en betroet medarbejder og den ansatte. Optagelserne videregives sammen med en anmeldelse til politiet. Øvrige optagelser slettes løbende, idet der køres nye optagelser over de gamle. Dansk Supermarked har endvidere telefonisk oplyst, at cirka 30 procent af de nuværende kameraer er digitale, mens de øvrige kameraer er analoge. Dansk Supermarked vil fremover kun indkøbe digitale kameraer.
2 Datatilsynet, som har behandlet sagen på et møde i Datarådet, skal i den anledning udtale følgende: 1. Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger (persondataloven) gælder ifølge lovens 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling. Digital tv-overvågning er som udgangspunkt omfattet af persondataloven, da der sker elektronisk behandling af oplysningerne. Loven gælder tillige for anden ikke-elektronisk systematisk behandling, som udføres for private, jf. 1, stk. 2. Datatilsynet lægger til grund, at Dansk Supermarkeds tv-overvågning er forbundet med optagelse, og at optagelserne opbevares systematisk. Persondataloven finder således anvendelse, uanset om der er tale om digital eller analog behandling. For at en behandling kan være omfattet af persondataloven, er det også en betingelse, at behandlingen omfatter "personoplysninger". Ifølge persondatalovens 3, nr. 1, skal der ved "personoplysninger" forstås enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede). Omfattet af begrebet er herefter oplysninger, som f.eks. foreligger i form af billede. Det er uden betydning, hvorvidt identifikationsoplysningen er alment kendt eller umiddelbart tilgængelig. Også de tilfælde, hvor det kun for den indviede vil være muligt at forstå, hvem en oplysning vedrører, er omfattet af definitionen. Ved afgørelsen af, om en person er identificerbar, skal alle de hjælpemidler, der med rimelighed kan tænkes bragt i anvendelse for at identificere den pågældende enten af den dataansvarlige eller af enhver anden person, tages i betragtning. Billeder er i Datatilsynets praksis i de tilfælde, hvor der ikke foreligger andre oplysninger end selve billedet til at identificere personen, i hvert fald blevet betragtet som personhenførbare og dermed omfattet af loven, hvis billedet bliver forevist til personer, der vil kunne genkende den fotograferede. Det er herefter Datatilsynets opfattelse, at billeder af ansatte må betragtes som personoplysninger, idet de pågældende er ansat i butikken og dermed vil være umiddelbart genkendelige. Billeder af kunder og andre, uvedkommende personer vil efter Datatilsynets opfattelse også kunne indeholde personoplysninger. I lyset af den teknologiske udvikling, f.eks. elektronisk ansigtsgenkendelse, er der således efter tilsynets opfattelse meget, der taler for, at personbilleder efter omstændighederne i sig selv må betragtes som personoplysninger og dermed omfattet af loven. I de tilfælde hvor en kunde tillige anvender sit dankort eller andet betalingskort, og der samtidig sker en registrering af kundens kontonummer, betalingskortnummer eller lignende identifikation af kunden, vil denne registrering kunne sammenholdes med
3 optagelserne fra tv-overvågningen med den virkning, at optagelserne må siges at indeholde personoplysninger. Det er på dette grundlag Datatilsynets opfattelse, at tv-overvågningen omfatter personoplysninger om såvel ansatte som kunder. Datatilsynet har herved endvidere tillagt det betydning, at tv-overvågningen skal afdække personers (ansatte, kunder samt andre, uvedkommende) handlinger i forhold til uregelmæssigheder, at der vil ske forevisning af optagelser for betroede medarbejdere fra butikkens ledelse og en medarbejder fra Intern Revision, samt at der eventuelt vil ske videregivelse af optagelser til politiet. Endelig skal der være tale om en "behandling" af personoplysninger, før persondataloven finder anvendelse. Datatilsynet finder, at digital tv-overvågning selv uden optagelse udgør en behandling i persondatalovens forstand. Det skal endvidere understreges, at opbevaring af båndene ligeledes er en behandling i lovens forstand. 2. Ifølge persondatalovens 5, stk. 2, 1. pkt., skal indsamling af oplysninger ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål. Datatilsynet finder, at den indsamling af oplysninger via tv-overvågning, som Dansk Supermarked foretager med henblik på at forebygge og opklare røverier, misbrug af dankort og andre uregelmæssigheder, har et udtrykkeligt angivet og sagligt formål. Dette gælder overvågning af såvel kunder og andre, uvedkommende som de ansatte. Det følger endvidere af persondatalovens 5, stk. 5, at indsamlede oplysninger ikke må opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles. Efter Datatilsynets opfattelse skal der som følge af 5, stk. 5, ske løbende sletning af optagelserne, og disse må kun opbevares i en vis kortere periode, som ikke bør overstige 30 dage. Udover at tv-overvågningen skal opfylde de grundlæggende principper i persondatalovens 5, skal der også findes en hjemmel til behandlingen i lovens 6, 7 eller 8 afhængig af, hvilken type oplysninger der er tale om. Spørgsmålet er herefter, om de billeder, der optages, altid er at betragte som ikke-følsomme oplysninger omfattet af 6, eller om der efter omstændighederne vil være tale om følsomme oplysninger omfattet af 7-8. Da oplysninger omfattet af lovens 7 og 8 (følsomme oplysninger) kun vil indgå i ganske sjældne situationer, finder Datatilsynet, at aktiviteten skal vurderes efter lovens 6 om ikke-følsomme oplysninger. Datatilsynet har herved også tillagt det betydning, at det beror på tilfældigheder, om der optræder oplysninger, som kan karakteriseres som følsomme, og at det ikke er tilsigtet at behandle sådanne oplysninger.
4 I tilfælde, hvor tv-overvågningen afslører kriminelle aktiviteter, behandles der dog oplysninger omfattet af lovens 8 - se nedenfor. Efter persondatalovens 6, stk. 1, nr. 7, må registrering, videregivelse og anden behandling af personoplysninger ske, hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse. Efter Datatilsynets opfattelse er der hjemmel i lovens 6 stk. 1, nr. 7, til såvel den behandling, som er forbundet med selve tv-overvågningen, som den efterfølgende optagelse og opbevaring heraf. Datatilsynet har i den forbindelse lagt vægt på, at Dansk Supermarked har en berettiget interesse i at forsøge at forhindre kriminalitet (tv-overvågningens præventive effekt) samt i at kunne opklare kriminalitet ved hjælp af optagelser af sådanne hændelser. Afslører tv-overvågningen kriminelle aktiviteter, vil dette efter Datatilsynets opfattelse indebære, at der behandles oplysninger omfattet af persondatalovens 8. Det primære formål bag tv-overvågningen er endvidere at afsløre kriminelle handlinger. Efter 8, stk. 4, må private foretage behandling af bl.a. strafbare oplysninger, hvis det er nødvendigt til varetagelse af en berettiget interesse, og denne interesse klart overstiger hensynet til den registrerede. Ifølge bemærkningerne til 8, stk. 4, giver bestemmelsen - i overensstemmelse med Registertilsynets praksis - mulighed for, at en virksomhed kan registrere oplysninger om strafbare forhold med henblik på indgivelse af politianmeldelse, f.eks. om butikstyveri, og eventuel senere afgivelse af vidneforklaring i retten. Oplysningerne skal dog destrueres snarest muligt, jf. 5, stk. 5. Efter 8, stk. 6, jf. 7, stk. 2, nr. 4, må behandling desuden ske, hvis behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares. Efter Datatilsynets opfattelse kan behandlingen i de omhandlede tilfælde ske i henhold til persondatalovens 8, stk. 4, samt 8, stk. 6, jf. 7, stk. 2, nr. 4. Datatilsynet har i den forbindelse bl.a. lagt vægt på, at Dansk Supermarked i forbindelse med et tyveri eller røveri kan have et erstatningskrav mod den registrerede. 3. For så vidt angår den del af tv-overvågningen, der foregår digitalt, finder reglerne om oplysningspligt i persondatalovens 28-29 anvendelse. Persondataloven indeholder i persondatalovens 28-29 generelle regler om oplysningspligt over for de registrerede. Formålet med reglerne er dels at sikre, at de registreredes beslutning om at afgive oplysninger om sig selv træffes på et pålideligt faktuelt grundlag med hensyn til en række nærmere beskrevne forhold, dels at skabe større gennemsigtighed og overblik vedrørende personregistreringer.
5 Efter Datatilsynets opfattelse finder persondatalovens regler om oplysningspligt anvendelse parallelt med skiltningskravet i lov om forbud mod tv-overvågning, når det gælder tv-overvågning af butikslokaler m.v., i det omfang tv-overvågningen er digital. Når oplysningerne ikke indsamles hos den registrerede, påhviler det ifølge persondatalovens 29, stk. 1, den dataansvarlige at give den registrerede meddelelse om dennes og dennes repræsentants identitet, formålene med den behandling, hvortil oplysningerne er bestemt, samt alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser. Efter bestemmelsen i 29, stk. 2, gælder bestemmelsen i stk. 1 ikke, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger, eller hvis registreringen eller videregivelsen udtrykkeligt er fastsat ved lov eller bestemmelser fastsat i henhold til lov. Bestemmelsen i 29, stk. 1, gælder endvidere ifølge 29, stk. 3, ikke, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssig vanskelig. Med udtrykket uforholdsmæssigt vanskelig fastsættes det, at der gælder et proportionalitetsprincip ved vurderingen af, om meddelelse, som foreskrevet i lovens 29, stk. 1, skal gives. For så vidt angår Dansk Supermarkeds tv-overvågning af kunder og lignende personer er det tilsynets opfattelse, at kunderne allerede via skiltningen efter lov om forbud mod tv-overvågning er blevet informeret om, at der finder tv-overvågning sted. Det er Datatilsynets opfattelse, at yderligere underretning af de registrerede må kunne siges at være uforholdsmæssig vanskelig, jf. 29, stk. 3. Tilsynet har i den forbindelse lagt vægt på, at det vil være praktisk umuligt og i hvert fald yderst ressourcekrævende at give hver enkelt kunde selv en standardmeddelelse indeholdende de påkrævede oplysninger efter 29, stk. 1. Hertil kommer, at en uddybende tekst indeholdende disse oplysninger i sammenhæng med skiltningen ikke nødvendigvis vil blive bemærket og læst af kunderne. Modsat finder tilsynet, at underretning af de ansatte i butikken ikke kan siges at være uforholdsmæssig vanskelig efter 29, stk. 3. Sekretariatet lægger herved vægt på, at det vil være relativt enkelt at give hver enkelt ansat underretning om de i 29, stk. 1, nævnte oplysninger. Dette gælder efter Datatilsynets opfattelse alle de personer, der fast udfører arbejde i lokalerne, uanset om ansættelseskontrakten er indgået med Dansk Supermarked eller en anden virksomhed, f.eks. et rengøringsfirma. Dansk Supermarked vil eventuelt kunne lade den virksomhed, som de pågældende er ansat i, give informationen, men det er Dansk Supermarkeds ansvar, at den gives. De ansatte og andre personer, der udfører arbejde i lokalerne, skal have meddelelse om bl.a. formålene med den behandling, hvortil oplysningerne er bestemt, jf.
6 29, stk. 1, nr. 2. I kravet om formålsangivelse ligger, at der skal gives den registrerede tilstrækkelig information til, at den pågældende bliver klar over, hvad der er baggrunden for, at der indsamles oplysninger om den pågældende. Formålet med indsamlingen er af Dansk Supermarked anført bl.a. at være at forebygge og opklare røverier, misbrug af dankort og andre uregelmæssigheder. Hvis en del af formålet med tv-overvågning er at forebygge og opklare også de ansattes eventuelle kriminalitet mv., finder Datatilsynet, at dette i så fald skal fremgå af informationen. Der vil endvidere skulle gives meddelelse om alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, herunder f.eks. hvilken type oplysninger det drejer sig om, kategorierne af modtagere og reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede, jf. 29, stk. 1, nr. 3, litra a-c. Opregningen i litra a-c er ikke udtømmende. Der vil derfor efter omstændighederne kunne påhvile Dansk Supermarked en pligt til at give den registrerede anden information end de oplysninger, som følger af bestemmelserne i litra a-c. Det er Datatilsynets opfattelse, at det i forlængelse af angivelsen af overvågningens formål vil være naturligt, at meddelelsen indeholder oplysning om, at optagelserne vil kunne blive videregivet til politiet, samt om i hvilke tilfælde dette vil kunne ske. Det er desuden tilsynets opfattelse, at der bør gives information om, i hvilke tilfælde optagelserne vil blive gennemgået af ledelsen og Intern Revision, f.eks. om dette finder sted i form af stikprøvekontrol eller i forbindelse med mistanke om kriminelle aktiviteter eller lignende. Det er endvidere tilsynets opfattelse, at der bør gives de ansatte meddelelse om, hvor længe oplysningerne bliver opbevaret. Tilsynet finder endvidere, at oplysningspligten i 29 må medføre, at de ansatte informeres om, i hvilke lokaler overvågningen foregår, mens der efter Datatilsynets opfattelse næppe kan stilles krav om, at der gives information om, hvornår der sker tv-overvågning, hvis dette kun finder sted i tilfælde af problemer i de enkelte butikker. 4. Afslutningsvis skal det bemærkes, at Datatilsynets udtalelse alene er vejledende, og tilsynet forbeholder sig ret til at tage stilling til spørgsmålene igen i forbindelse med en eventuel klagesag. Kopi af dette brev sendes til HK/Handel. Med venlig hilsen Hugo Wendler Pedersen Formand for Datarådet Lena Andersen Kontorchef
7