TL;DR
Med vedtak nr. 636 av 23. september 2026, kunngjort 8. oktober, ila det italienske Garante kommunen Arvier (Aostadalen, rundt 800 innbyggere) et gebyr på 4000 euro. Anlegget, i drift siden 2011–2012 og senere utvidet, tjente flere formål uten klart rettslig grunnlag; ett kamera filmet fasade, vinduer og balkonger på et privat hus; maskeringen kom først etter at saken ble åpnet; skilt og DPIA var mangelfulle. Kommunen må nå rydde opp i hele anlegget.
Faktum
Saken startet med en klage fra en innbygger: et kommunalt kamera hadde et bildefelt som også dekket boligen hennes. Undersøkelsene viste et anlegg brukt til trafikk- og parkeringskontroll, skiltlesing, miljøvern og beredskap, uten at kommunen hadde fastsatt et klart og egnet rettslig grunnlag for hvert formål.
Bruddene
- RETTSLIG GRUNNLAG. Flere overlappende formål, uten presist fastsatt rettslig grunnlag for hvert.
- FORHOLDSMESSIGHET. Filming av fasade, vinduer og balkonger var ikke nødvendig for de oppgitte formålene: et uforholdsmessig inngrep i privatlivet.
- INNEBYGD PERSONVERN. Maskeringen som ble innført etter at saken startet, er ikke nok: den skulle vært planlagt fra utforming og første konfigurasjon.
- ÅPENHET. Skiltene viste generelt til «sikkerhet», uten informasjonen GDPR krever.
- DPIA. Konsekvensvurderingen kommunen hadde laget, ble ansett som mangelfull.
Maskering planlegges, den lappes ikke
Det nyttigste poenget i vedtaket: å sverte et privat område etter klagen retter ikke bruddet, fordi plikten i artikkel 25 gjelder tidspunktet anlegget utformes og konfigureres. Et kamera som har filmet et hus i årevis, er fortsatt et brudd selv om den delen av bildet er svart i dag.
Hva kommunen må gjøre
- En kartlegging av alle kameraer i kommunen.
- Fastsette presist formål og rettslig grunnlag for hvert kamera.
- Kontrollere og rette bildefelt, utelukke private boliger og maskere eller sladde der det trengs.
- En fullstendig konsekvensvurdering og ny informasjon til innbyggerne.
Hva det betyr for personvernombudet
Én: før en oversikt over anleggene med plassering, formål, rettslig grunnlag og et bilde av bildefeltet for hvert kamera. To: kontroller bildeutsnittet ved hver installasjon og hver flytting, og dokumenter maskerte soner. Tre: informasjon på første nivå (skiltet) med behandlingsansvarlig, formål og henvisning til full tekst, i tråd med EDPBs retningslinjer 3/2019. Fire: en DPIA som dekker hvert formål, også skiltlesing. Fem: gå gjennom alt ved hver utvidelse — det er da slike feil oppstår.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
