EU-domstolen avsa 18. desember 2025 dom i saken Integritetsskyddsmyndigheten v AB Storstockholms Lokaltrafik («SL») (C-422/24). Spørsmålet var på hvilket tidspunkt transportselskapet SL var pliktig til å gi informasjon til reisende om hvordan SL behandlet de registrertes personopplysninger når billettkontrollørene hos SL brukte kroppskamera under kontrollen. Ettersom kameraer tar opp bilde og/eller lyd, anses opptaket som personopplysninger og personvernforordningen (GDPR) kommer til anvendelse.
Et spørsmål om når informasjon må gis
GDPR artikkel 13 og 14 stiller krav til at de registrerte skal få informasjon om hvordan deres personopplysninger benyttes av en virksomhet (den behandlingsansvarlige). Slik informasjon inkluderer opplysninger om formålet med databehandlingen, rettsgrunnlaget og den registrertes rettigheter, herunder rett til innsyn, retting eller sletting. Det som bestemmer om artikkel 13 eller 14 får anvendelse, er hvor opplysningene hentes fra. Artikkel 13 gjelder når personopplysninger samles inn fra den registrerte selv. Artikkel 14 anvendes når personopplysningene er samlet inn fra andre kilder enn den registrerte.
Når det gjelder kravet til hvilken informasjon som skal gis, er det noen, men mindre, forskjeller mellom kravene i artikkel 13 og 14. Bestemmelsene stiller imidlertid ulike krav til når den behandlingsansvarlige skal gi informasjonen til den registrerte.
Mens artikkel 13 krever at informasjonen gis på innsamlingstidspunktet, krever artikkel 14 at den behandlingsansvarlige gir informasjonen innen rimelig tid, og senest innen én måned etter at opplysningene ble hentet inn.
Kroppskamera regnes som innsamling direkte fra den registrerte
Svenske SL hadde utstyrt billettkontrollører med kroppskameraer som filmet kontinuerlig. Videoen kun ble lagret som et opptak dersom kontrolløren trykket på en knapp, noe kontrolløren gjorde dersom kontrolløren mottok trusler eller kontrolløren ila gebyrer til passasjerene. Den svenske tilsynsmyndigheten ila et gebyr på 16 millioner SEK for brudd på GDPR, hvorav 4 millioner for brudd på informasjonsplikten i GDPR artikkel 13. Selskapet mente artikkel 14 kom til anvendelse og brakte saken inn for EU-domstolen.
EU-domstolen fant i denne saken at opptak fra kroppskameraer anses som personopplysninger som samles direkte fra den det gjelder. GDPR artikkel 13 kommer derfor til anvendelse. Det innebærer at informasjonsplikten inntrer umiddelbart. Kontrollørene må gi nødvendig informasjon til passasjerene på stedet.
Hvorfor er dette viktig for din virksomhet?
Dommen er en viktig påminner om å sørge for å gi de registrerte personverninformasjon innen GDPRs frister.
Informasjonsplikten utløses uavhengig av om opplysningene oppgis uttrykkelig av den registrerte eller ikke. Også opplysninger som fanges opp automatisk av teknisk utstyr eller den registrere blir observert av virksomheten på en annen måte innebærer innsamling dirkete fra den registrerte.
Dersom dere bruker kameraovervåkning eller gjør annen innsamling av opplysninger direkte fra den registrerte, må dere sørge for å gi opplysninger om behandlingen av personopplysninger umiddelbart.
Ved innsamling av personopplysninger direkte fra den registrerte, kan informasjonsplikten oppfylles gjennom flere steg. Den aller viktigste informasjonen kan gis først, mens fullstendig informasjon kan tilgjengeliggjøres for den registrerte på et lett tilgjengelig sted. Eksempler på slik stegvis informasjon kan være opplysninger om at det samles inn personopplysninger for et bestemt formål sammen med en lenke til virksomhetens personvernerklæring i tilknytning til et nettskjema. Det kan også være en plakat eller et skilt med informasjon om at området er kameraovervåket med en QR-kode som leder til virksomhetens personvernerklæring.
Artikkelen er skrevet av trainee Felix Håkonsen Nessøe og advokatene Frøydis Rikardsen og Vebjørn Søndersrød
