Innledning

Kameraovervåking er svært utbredt. Videokameraer fanger opp mye informasjon og kan ofte avsløre svært private detaljer om oss. Er vi syke eller friske? Hvilken religion eller politisk tilhørighet har vi, eller hvilken seksuell orientering eller kjønnsuttrykk har man?

For behandlingsansvarlige kan det være vanskelig å forutse akkurat hva kameraet vil fange opp. Hvor man filmer vil selvfølgelig ha betydning, men det er vanskelig å utelukke at opptaket implisitt eller eksplisitt kan gi kunnskap om særlige kategorier av personopplysninger knyttet til den som filmes.

Det Europeiske Personvernrådet (EDPB) har laget retningslinjer som gjelder kameraovervåkning. I fjor sommer kom det en dom fra EU-domstolen som kan få betydning for vurderingen av når man fanger opp artikkel 9-opplysninger og som gjør at man kan stille spørsmål om EDPBs retningslinjer fremdeles gir uttrykk for gjeldende rett.

I denne artikkelen vil vi se nærmere på EU-domstolens sak C-184/20 og hvilken betydning domstolens uttalelser kan ha for kameraovervåking.

Kameraovervåking i personvernforordningen

Kameraovervåking er i dag svært lett tilgjengelig. Man kan enkelt kjøpe og installere et kamera med tilhørende programvare. Kameraovervåkning har mange lovlige bruksområder for eksempel som et sikkerhetstiltak, men ansees samtidig som er inngripende tiltak som krever gode vurderinger og begrunnelse. Derfor finnes svært mange eksempler på tilfelle der tilsynsmyndigheter og domstoler har ansett videoovervåkning som ulovlig.

Kameraovervåking innebærer ofte behandling av personopplysninger, med den konsekvens at personvernregelverket gjelder. Det betyr at den som kameraovervåker må oppfylle kravene i personvernforordningen, hvor kravet til rettslig grunnlag er helt sentralt. Forordningens artikkel 6 nr. 1 inneholder alternative rettslige grunnlag, hvor interesseavveiningen i bokstav f ofte er det meste aktuelle grunnlaget i denne sammenheng.

I denne artikkelen vil vi se nærmere på EU-domstolens sak C-184/20 og hvilken betydning domstolens uttalelser kan ha for kameraovervåking.

Særlige kategorier

Når man filmer med et kamera, fanger man i utgangspunktet opp alt som skjer der det filmes. Man ser hvilke personer som går forbi, hvordan de ser ut, hvordan de oppfører seg og hvor lenge de er der. Man kan utlede mye informasjon fra hvordan man ser ut og hvordan man oppfører seg. Man kan også utlede mye informasjon basert på hvor man oppholder seg. Dersom en person besøker et trossamfunn for bønn, en politisk organisasjon for et møte eller oppsøker helsehjelp kan man for eksempel utlede hvilken religion eller politisk parti de tilhører, hvordan helsen deres er, eller hvilken seksuell orientering man har.

Kameraovervåkning kan dermed fange opp karakteristikker eller adferd som kan avsløre særlige kategorier av opplysninger. Personvernforordningen artikkel 9 gir et særlig vern for særlige kategorier personopplysninger. Dette vernet innebærer at det er forbudt å behandle slike personopplysninger med mindre et av unntakene i bestemmelsen er oppfylt. Et sentralt spørsmål blir om den behandlingsansvarlige må oppfylle et av unntakene i artikkel 9, i tillegg til å ha et rettslig grunnlag for kameraovervåkingen etter artikkel 6 nr. 1.

Det Europeiske Personvernrådet har publisert retningslinjer for behandling av personopplysninger gjennom videoteknologi («Guidelines 3/2019 on processing of personal data through video devices»). I disse retningslinjene uttaler Personvernrådet seg om grensene for når man behandler særlige kategorier av personopplysninger gjennom kameraovervåking og ikke:

Som et eksempel på dette, skriver rådet at opptak som viser en person som har på seg briller eller sitter i rullestol ikke i seg selv utgjør særlige kategorier av personopplysninger.

Rådet skriver videre at selv om man filmer mennesker som går til gudstjeneste i en kirke, innebærer ikke dette at man behandler opplysninger om religiøs tilhørighet. Ifølge retningslinjene er formålet med kameraovervåkingen avgjørende for om man behandler særlige kategorier eller ikke. Dersom formålet for eksempel er å forhindre hærverk, behandler man altså ikke opplysninger om religiøs tilhørighet selv om man filmer personer på vei til gudstjeneste.

C-184/20 (Vyriausioji tarnybinės etikos komisija)

I saken C-184/20 (Vyriausioji tarnybinės etikos komisija) fra 2022 kommer imidlertid EU-domstolen med uttalelser om rekkevidden av artikkel 9 som kan ha betydning for når man behandler særlige kategorier av personopplysninger gjennom kameraovervåking.

Saken handlet om nasjonal lovgivning i Litauen. Som følge av FNs konvensjon mot korrupsjon fra 2003 og at EU tiltrådte denne i 2008, vedtok Litauen lovgivning for å dokumentere interessekonflikter for «those working in the public sector or in the public interest». Lovgivningen påla ansatte å oppgi en rekke opplysninger om dem selv og ektefellen, samboeren eller partneren deres til«Chief Official Ethics Committee», blant annet navn, medlemskap eller virksomhet med fagforeninger eller politiske partier og finansielle opplysninger dersom de hadde overført mer enn 3000 euro de siste 12 månedene. Den etiske komiteen skulle deretter publisere en erklæring om hver enkelt ansatt, hvor de fjernet de særlige kategoriene fagforeningsmedlemskap og politisk tilhørighet. Selv om disse opplysningene ble fjernet ville likevel navnet på ektefelle, partner eller samboer bli publisert fordi de i seg selv ikke ble ansett som særlige kategorier av personopplysninger.

En offentlig ansatt utfordret denne lovgivningen og argumenterte for at det å publisere navnet på ektefellen ville avsløre vedkommendes seksuelle orientering. Saken endte i EU-domstolen, som tok stilling til hvorvidt å publisere navnet på ektefellen innebar behandling av særlige kategorier av personopplysninger.

Domstolen tok utgangspunkt i ordlyden til den engelske versjonen av personvernforordningen:

Ifølge ordlyden i artikkel 9 er det altså avgjørende om personopplysningene avslører særlige kategorier av opplysninger. Det er interessant å merke seg at i den norske oversettelsen av artikkel 9 er verbet «revealing» utelatt:

Spørsmålet for domstolen var dermed hva det innebærer at noe «revealing» eller «avslører» seksuell orientering. Kort oppsummert kom domstolen til at formålet med bestemmelsen, å gi et ekstra vern til særlig beskyttelsesverdige typer personopplysninger, må føre til at opplysningene om ektefelle eller samboer i dette tilfellet omfattes av artikkel 9. Domstolen minner samtidig om at det følger av EU-rettspraksis at man ved tvil skal velge det tolkningsalternativet som best ivaretar hensynet bak en lovbestemmelse. Å publisere navnet på ektefellen vil gjøre at man indirekte kan utlede den seksuelle orienteringen til den offentlige ansatte, og dermed er opplysningene vernet av artikkel 9.

Når innebærer videoovervåkning behandling av særskilte kategorier?

EU-domstolens uttalelser i C-184/20 (Vyriausioji tarnybinės etikos komisija) kan tolkes dithen at tilnærmet enhver kobling som gjør at man kan utlede særlig kategorier av personopplysninger, må vurderes etter kravene i personvernforordningen artikkel 9. Generaladvokatens beskrivelse av terskelen for når en personopplysning ansees som «særlige kategorier» som gjentas av EU-domstolen i C-184/20 illustrerer dette:

EU-domstolen går inn videre inn på hvordan vurderingen skal gjøres. Beskrivelsen kan minne om terskelen for hva som regnes som anonymiserte personopplysninger etter fortalen til personvernforordningen punkt 26: «opplysninger som ikke kan knyttes til en identifisert eller identifiserbar fysisk person, eller personopplysninger som er blitt anonymisert på en slik måte at den registrerte ikke lenger kan identifiseres». Terskelen for anonymisering er ansett å være høy, blant annet fordi en behandlingsansvarlig i vurderingen skal ta hensyn til «alle midler som det med rimelighet kan tenkes at den behandlingsansvarlige eller en annen person kan ta i bruk for å identifisere vedkommende direkte eller indirekte». I vurderingen skal det tas hensyn til eksisterende teknologi. I tillegg må den behandlingsansvarlige ta med i betraktning den teknologiske utviklingen og gjøre revurderinger av anonymiseringsprosessen i lys av denne. Dersom en slik tolkning legges til grunn, vil resultatet være at langt flere behandlingsansvarlige må oppfylle kravene i artikkel 9, også ved kameraovervåkning, enn det som er tilfellet i dag.

Den formålsbaserte tilnærmingen i personvernrådets veileder står dermed i kontrast til EU-domstolens kontekst-baserte tilnærming i denne saken.^{(1)Malgieri & Quinn (2021) side 1590} Er formålet avgjørende, eller vil mye av det man fanger opp med et kamera kunne omfattes av artikkel 9? Skal fremdeles EDPBs retningslinjer legges til grunn, eller må behandlingsansvarlige ta utgangpunkt i EU-domstolens uttalelser ved kameraovervåkning?

Personvernrådets retningslinjer

Personvernrådets retningslinjer går langt i å antyde at det er formålet med kameraovervåkingen som er avgjørende for om man behandler særlige kategorier av opplysninger eller ikke.^{(2)Guidelines 3/2019 on processing of personal data through video devices, avsnitt 66.} Dette reiser spørsmålet om hvilken rettskildemessig vekt disse retningslinjene har.

Retningslinjene er ikke rettslig bindende, men er en viktig rettskilde for pliktsubjektene etter personvernregelverket, ettersom man ofte kun har ordlyden i personvernforordningen og muligens noen uttalelser i fortalen å forholde seg til.

En av Personvernrådets nøkkeloppgaver etter personvernforordningen er å lage retningslinjer for hvordan man skal tolke og anvende regelverket. Retningslinjene er autoritativ «soft law» som det er forventet at de europeiske datatilsynsmyndighetene følger når de håndhever personvernforordningen. Det norske Datatilsynet bruker for eksempel retningslinjer fra Personvernrådet konsekvent i sin praksis.^{(3)Se for eksempel 20/02136-18 (overtredelsesgebyr til Grindr).} Den europeiske menneskerettighetsdomstolen har også brukt Personvernrådets retningslinjer i saker knyttet til retten til privatliv i den europeiske menneskerettighetskonvensjonen artikkel 8.^{(4)Se EMDs sak M.L. and W.W. v. Germany, App. Nos. 60798/10 and 65599/10, fra 28. juni 2018, avsn. 63; Partly Dissenting Opinion of Judge Pinto de Albuquerque i Bărbulescu v. Romania, App. No. 61496/08, av 12. januar 2016, avsn. 7, 11, 12, 13, 19 og 22; Concurring Opinion of Judge Pinto de Albuquerque i Szabó and Vissy v. Hungary, App. No. 37138/14, av 12. januar 2016, avsn. 16.} I norsk rett brukte lagmannsretten retningslinjer fra artikkel 29-gruppen til å tolke innholdet i personvernforordningen artikkel 6 nr. 1 bokstav f.^{(5)LB-2020-18230, pkt. 3.4.} Lagmannsretten uttalte samtidig at uttalelser fra EUs personvernråd er relevante ved fortolkningen, med henvisning til Prop.56 LS (2017–2018), pkt. 30.2.

EU-domstolen har ikke uttalt seg om den rettskildevekten til retningslinjene. Generaladvokatene i EU har imidlertid flere ganger systematisk brukt retningslinjene til Personvernrådet og rådets forløper, Artikkel 29-gruppen, som kilder for å tolke regelverket.^{(6) Se Opinion of Advocate General Cruz Villalón I sak C‑70/10, Scarlet Extended, fra 14. april 2011, avsn. 76; Opinion of Advocate General Jääskinen i sak C‑131/12, Google Spain, fra 25. juni 2013, avsn. 31; Opinion of Advocate General Jääskinen i sak C‑212/13, Ryneš, av 10. juli 2014, avsn. 30 and 57; Opinion of Advocate General Cruz Villalón in Case C‑230/14, Weltimmo, av 25. juni 2015, paras. 30, 33, 35, 40 and 62; Opinion of Advocate General Sánchez-Bordona in Case C‑582/14, Breyer, delivered on 12. mai 2016, avn. 57 and 66; Opinion of Advocate General Bot i sak C‑210/16, Wirtschaftsakademie Schleswig-Holstein, av 24. oktober 2017, avsn. 7, 46, 61, 76 and 81; Opinion of Advocate General Mengozzi I sak C‑25/17, Jehovan todistajat, av 1. februar 2018, avsn. 64, 69 and 71; Opinion of Advocate General Szpunar i sak C‑136/17, GC and Others (De-referencing of sensitive data), av 10. januar 2019, avsn. 70; Opinion of Advocate General Szpunar I sak C‑507/17, Google (Territorial scope of de-referencing), delivered on 10. januar 2019, avsn. 34; Opinion of Advocate General Szpunar in Case C‑673/17, Planet49, av 21. mars 2019, avsn. 81.}

I sak C-210/16 Wirtschaftsakademie Schleswig-Holstein, refererte domstolen for eksempel til Generaladvokatens uttalelse i saken, som inneholdt et langt sitat fra Artikkel 29-gruppens retningslinjer. Retningslinjene fra Personvernrådet og Artikkel 29-gruppen har slik indirekte påvirket domstolens tolkning av europeisk personvernlovgivning. EU-domstolen har ellers uttalt at man ikke kan si at ikke-bindende instrumenter som retningslinjer ikke er en rettskilde kun på grunn av deres ikke-bindende karakter. Domstolen uttalte i sak C-322/88 Grimaldi:

Domstolen uttalte også i C-188/91 Deutsche Shell:

Uttalelser fra Generaladvokat Kokott i sak C-226/11 Expedia antyder også at man må begrunne – «give reasons» - dersom offentlige myndigheter eller domstoler avviker fra slike retningslinjer:

Personvernrådets retningslinjer er altså relevante og viktige kilder for tolkning av personvernforordningen.

Det bemerkes også at selv om domstolene i Norge har lagt til grunn Personvernrådets veiledning i Legeliste-saken^{(10)LB-2020-18230, pkt. 3.4.}, har Personvernnemnda i flere saker underspilt vekten retningslinjer fra Personvernrådet har. Nemnda har også avveket fra retningslinjene uten å begrunne dette.^{(11)Se blant annet PVN-2021-13 og PVN-2021-09.} Vi fremhever her særlig PVN-2021-13, som nettopp gjaldt kameraovervåking. ^{(12)«Selv om det etter ordlyden i artikkel 5 og 6 kan se ut som det skal foretas tre selvstendige vurderinger, er det nemndas syn at disse tre kriteriene henger tett sammen i en samlet vurdering». Dette til tross for praksis fra både EU-domstolen og Høyesterett gjør det klart at «berettiget interesse», «nødvendighet» og den konkrete interesseavveiningen er tre selvstendig og kumulative vilkår, se HR-2021-2403-A, avsn. 48 flg, og C-13/16.}

C-184/20-s betydning for kameraovervåking

EU-domstolen tok ikke direkte stilling til kameraovervåkning eller EDPBs veileder for kameraovervåkning i C-184/20, og det er flere forskjeller på behandlingsaktivitetene som er dekket av veilederen og faktum i avgjørelsen. Man kan derfor stille spørsmål om den rettskildemessige vekten dommen har ved tolkning av personvernregelverket utover den konkrete saken, og særlig når det gjelder videoovervåkning.

EU-domstolen har kompetanse til å tolke EU-retten jf. TEU art. 19, og hensynet til ensartethet tilsier at EØS-avtalen tolkes samsvar med EU-retten. EU-domstolens uttalelser i C-184/20 er imidlertid først og fremst bindende for den nasjonale domstolen i Litauen som har sendt spørsmål til EU-domstolen for en «preliminary ruling»^{(13)https://curia.europa.eu/jcms/jcms/Jo2_7024/en/ (sist besøkt 22. Februar 2023).}, og dermed bindende for partene i saken. C-184/20 gjelder publisering av tekst på internett og en helt annen type behandling av personopplysninger enn kameraovervåking. Det kan derfor stilles spørsmål ved betydningen dommen har for kameraovervåkning. I kontrast til etterspillet av Schrems II-dommen^{(14)Sak C-311/18}, har ikke EDPB eller de nasjonale tilsynsmyndighetene endret sine veiledere om kameraovervåkning etter C-184/20. Dette kan tilsi at de ikke anser behovet for å oppdatere veiledningen som viktig, selv i lys av hvor utbredt kameraovervåkning er i samfunnet. En årsak til dette kan være at man ikke anser at rettstilstanden er endret i vesentlig grad.

Det skal også nevnes at selv om den kontekst-baserte tilnærmingen EU-domstolen legger til grunn i C-184/20 gir uttrykk for hovedregelen for vurdering av knytning mellom en opplysning og en enkeltperson i personvernforordningen, gjør ordlyden i artikkel 9 et unntak for biometrisk og genetisk data der formålet er avgjørende for å vurdere om kravene artikkel 9 kommer til anvendelse: «purpose of uniquely identifying a natural person» brukes om genetiske eller biometriske personopplysninger, mens «revealing» eller «concerning» brukes for å vurdere behandling av alle andre særlige kategorier. Det har vært hevdet at unntaket for biometriske personopplysninger er inntatt nettopp for å unngå at alle visuelle representasjoner av en enkeltperson skal omfattes av kravene i artikkel 9.^{(15)Malgieri & Quinn (2021) side 1594} Dersom en streng kontekst-basert tilnærmingen legges til grunn for de andre andre kategoriene i artikkel 9 når behandlingen gjelder bilder eller opptak, vil dette lett bli resultatet. Det foreligger imidlertid ingen eksplisitte unntak for opptak eller bilder i artikkel 9, og en slik tolkning har derfor mindre støtte i ordlyden.

Selv om saken gjelder publisering av tekst på internett, kommer domstolen med generelle uttalelser om tolkning av EU-retten, personvernforordningen og artikkel 9 konkret. Domstolen henviser også til egen praksis når den uttaler at særlige kategorier skal forstås vidt og at formålet med å gi et ekstra vern til opplysningene som er nevnt i personvernforordningen artikkel 9.^{(16)Se C-184/20, avsnitt 125 og 126, og C-101/01 og C-136/17.} Dette tilsier at det skal mye til for at domstolen avviker fra disse generelle uttalelsene i senere praksis knyttet til artikkel 9. Det er en viktig presisering av EU-domstolen å fremheve at hensynet bak artikkel 9 er tungtveiende når man skal tolke bestemmelsen. Man må ikke tolke bestemmelsen innskrenkende, slik at man svekker det ekstra vernet bestemmelsen er ment å gi for bestemte typer personopplysninger, bare fordi den sensitive informasjonen er implisitt. Dette vil også kunne være i tråd EU-domstolens tradisjon for å tolke EU-regelverket i lys av formålet, som i personvernforordningen er å sikre «vern av fysiske personers grunnleggende rettigheter og friheter, særlig deres rett til vern av personopplysninger».

Selv om dommen fra EU-domstolen gjelder publisering av navn på ektefelle, vil de samme hensynene som ligger til grunn for at personvernforordningen gir en særlig beskyttelse for opplysningskategoriene i artikkel 9 gjøre seg gjeldende ved kameraovervåking. Det er nettopp disse hensynene som fremheves av EU-domstolen i vurderingen av om opplysningene omfattes av artikkel 9 eller ikke. Såfremt det som vises på kameraovervåking direkte eller indirekte avslører den religiøse eller politiske tilhørigheten din, helseopplysningene dine, opplysninger om den seksuelle orienteringen din eller de andre kategoriene av opplysninger som er beskyttet av artikkel 9, er det mye som taler for at man er innenfor artikkel 9.

Grensene for artikkel 9 har imidlertid ikke kommet helt på spissen i C-184/20, og vi vil sannsynligvis få ytterligere presiseringer fra domstolen i fremtidig praksis.

Utfordringer dersom kameraovervåking omfattes av artikkel 9

Det reiser noen særskilte utfordringer for den behandlingsansvarlige når kameraovervåking omfattes av artikkel 9.

Personvernforordningen artikkel 6 nr. 1 bokstav f vil ofte være det mest aktuelle grunnlaget for kameraovervåking.^{(17)Guidelines 3/2019 on processing of personal data through video devices, avsnitt 16.} Bestemmelsen er godt egnet som rettslig grunnlag når man ikke vet hvem de registrerte vil være, og man vurderer rettslig grunnlag for en større gruppe registrerte. Den behandlingsansvarlige vil som regel ikke vite hvem som kan fanges opp av kameraovervåkingen, med mindre man overvåker et område hvor kun en bestemt krets personer ferdes. I så fall kan også spesialreglene i forskrift om kameraovervåking i virksomhet (kameraforskriften) § 3 sette grenser for lovligheten.

Hvis kameraovervåkingen omfattes av artikkel 9, må imidlertid den behandlingsansvarlige i tillegg oppfylle et av unntakene i artikkel 9 nr. 2. Bestemmelsen inneholder flere alternative unntak, men felles for mange av disse er at det kreves et supplerende grunnlag i nasjonal lovgivning.

Bokstav a sier likevel at samtykke fra den registrerte kan utgjøre et slikt unntak, og krever ikke supplerende rettsgrunnlag. For kameraovervåking er imidlertid dette lite praktisk, ettersom man ikke alltid vet hvem som blir filmet. Det er dermed tilnærmet umulig å innhente et samtykke som oppfyller kravene i personvernforordningen. Det er også fremhevet at Personvernrådet at samtykke er lite praktisk for kameraovervåking: kun i «rather exceptional cases».^{(18)Guidelines 3/2019 on processing of personal data through video devices, avsnitt 16 og 43 flg.}

Såfremt det som vises på kameraovervåking direkte eller indirekte avslører den religiøse eller politiske tilhørigheten din, helseopplysningene dine, opplysninger om den seksuelle orienteringen din eller de andre kategoriene av opplysninger som er beskyttet av artikkel 9, er det mye som taler for at man er innenfor artikkel 9.

Personvernrådet har også uttalt veldig klart at den behandlingsansvarlige ikke kan benytte seg av artikkel 9 nr. 2 bokstav e: at den registrerte har offentliggjort opplysningene om seg selv:

Selv om dette ikke er rettslig bindende, er det en viktig rettskilde innenfor et rettsområde med få kilder. Som nevnt ovenfor er det også svært retningsgivende for hvordan tilsynsmyndighetene vil vurdere regelverket ved tilsyn.

Spørsmålet om rettslig grunnlag for særlige kategorier som utledes indirekte, vil settes på spissen etter hvert som ny teknologi bidrar til å øke datamengden som kan knyttes til hvert enkelt av oss, og ikke bare i forbindelse med kameraovervåking. Forskning på data i metaverset viser hvor enkelt det er å identifisere en enkeltperson ved hjelp av enkelte datapunkter knyttet noen få til fysiske parameter, og videre hvordan man særlig med kunstig intelligens og målinger over kort tid kan utlede særlige kategorier av personopplysninger.^{(19)Nair, Garrido og Song (2022)} Uten dataminimerende tiltak, kan man stille spørsmålet om vi kommer i en situasjon der behandlingsansvarlige som hovedregel må oppfylle de strengere kravene for behandling i artikkel 9.

Konklusjon

Formålet med denne artikkelen har vært å fremheve noen av utfordringene som oppstår dersom kameraovervåking omfattes av artikkel 9 i personvernforordningen.

Selv om EU-domstolen ikke har vurdert når kameraovervåking omfattes av bestemmelsen, bør behandlingsansvarlige ha denne dommen med seg når man vurderer om overvåking er lovlig eller ikke. Domstolen kommer med generelle uttalelser knyttet til artikkel 9, som er relevante utover saken som ble prøvd.

Dersom det er mulig, bør man som behandlingsansvarlig vurdere å innføre tiltak som gjør at man ikke fanger opp særlige kategorier av personopplysninger der det er mulig. Avhengig av formålet med overvåkingen kan man vurdere sladding av opptak eller bruk av smarte kameraer som filtrerer informasjonen som man samler inn. Datatilsynet har for tiden et prosjekt i den regulatoriske sandkassen for kunstig intelligens som gjelder nettopp sladding av videostrømmer^{(20)https://www.datatilsynet.no/regelverk-og-verktoy/sandkasse-for-kunstig-intelligens/pagaende-prosjekter2/doorkeeper/ (sist besøkt 22.02.23)}, og det finnes teknologi på markedet som gjør dette mulig.

Dersom man legger en streng tolkning av C-184/20 til grunn, vil alle kameraer kunne fange opp særlige kategorier av personopplysninger. Vi kan bære religiøse symboler, bruke hjelpemidler eller utvise adferd som avslører helseopplysningene våre. Vi kan også være med på aktiviteter som avslører for eksempel politisk tilhørighet eller fagforeningsmedlemskap. Og vi kan også oppholde oss på steder som avslører politisk eller religiøs tilhørighet, fagforeningsmedlemskap, helseopplysninger, seksuell orientering og mer. Etter vårt syn tilsier EU-domstolens uttalelser at man bør gjøre en særlig grundig vurdering av lovlighet dersom man kameraovervåker på steder som kan avsløre særlige kategorier, som for eksempel trossamfunn, interesseorganisasjoner, helsehjelp, og samlingssteder for minoriteter i samfunnet.

Etter vårt syn tilsier EU-domstolens uttalelser at man bør gjøre en særlig grundig vurdering av lovlighet dersom man kameraovervåker på steder som kan avsløre særlige kategorier, som for eksempel trossamfunn, interesseorganisasjoner, helsehjelp, og samlingssteder for minoriteter i samfunnet.

Hvordan kameraovervåking er satt opp, hvilke steder det filmes, og om det gjøres opptak eller ikke er alle faktorer som påvirker hvor inngripende overvåkingen er i personvernet.

Som all etterlevelse av personvernregelverket er det viktigste imidlertid å gjøre grundige vurderinger av hvorvidt en planlagt behandling er innenfor regelverket eller ikke, og å dokumentere vurderingene i tråd med ansvarlighetsprinsippet i personvernforordningen artikkel 5 nr. 2.