Som Securityworldmarket.com tidigare har rapporterat så har Integritetsmyndigheten (IMY) inlett en granskning av Verisure. Åtgärden är en följd av medieuppgifter om att anställda på Verisure otillbörligt delat videoklipp och bilder mellan sig i samband med larmhändelser samt att bilder sparats ner på anställdas egna hårddiskar. Till detta ska adderas att IMY även har fått in klagomål från kunder som rör Verisures behandling av personuppgifter.

Granskningen ska reda ut vad som har hänt och även klargöra vilka tekniska säkerhetsåtgärder bolaget har i form av behörighetsstyrning och loggar samt vilka instruktioner som ges till de anställda om hur bildmaterial får hanteras, enligt Jenny Bård som leder IMY:s granskning.

– Kamerabevakning som görs av larmbolag i hemmiljö är ytterst integritetskänslig. För larmbolag som erbjuder hemlarm som använder kamerabevakning är det viktigt att det finns tydliga rutiner och regler för hur anställda får hantera bildmaterialet, kommenterade hon i samband med att IMY meddelade att Verisure skulle granskas.

Frågorna som IMY kräver svar på berör bolagets rutiner då larm inkommer, i vilka lägen kundernas kameror aktiveras, vilka regler och rutiner som finns för att ta del av bilder och spara bilder på den anställdas hårddisk samt om uppgifterna som framkommit i massmedia stämmer.

Uppgifterna som IMY begär in från Verisure

Så här skriver IMY när till Verisure när de begär uppgifter inklusive svar på frågor:

• Är Verisure Sverige AB personuppgiftsansvarig för den personuppgiftsbehandling som sker av bildmaterial inhämtat från en larmsituation?

• Redogör för händelseförloppet i samband med att larm inkommer. Redogör även för era interna rutiner i samband med ett inkommet larm.

• Vid vilka tillfällen kan kamerabevakningen aktiveras av någon annan än kunden?

• På er webbplats anges att varje enskild larmkomponent funktionstestas automatiskt vid flera tillfällen dagligen. Kan kamerabevakning aktiveras vid dessa tester? Redogör i så fall för era rutiner i samband med funktionstester av bevakningskamerorna.

• Kommentera uppgifterna i den bifogade artikeln ”Ingen ska behöva bli filmad så i sitt eget hem – Tipsade varandra om larmbilder – av nakna kunder” och särskilt vad som har uppgetts om hur bilder har hanterats och omfattningen av denna behandling, exempelvis hur många fall rör det sig om enligt er bedömning. Under vilken tidsperiod har bilder behandlats som beskrivet i artikeln? Kommentera eventuella övriga uppgifter.

• Vilka ändamål/syften har Verisure med sin behandling av bildmaterial?

• I artikel 5 i dataskyddsförordningen finns grundläggande principer för behandling av personuppgifter. Beskriv hur Verisures hantering av bildmaterial uppfyller kraven i artikel 5, i synnerhet 5.1 a, b och f, d.v.s. principerna om laglighet, korrekthet och öppenhet (a), principen om ändamålsbegränsning (b) samt principen om integritet och konfidentialitet (f).

• Om era anställda har tagit del av bilder så som uppges i den bifogade artikeln, vad anser ni att ni har för lagligt stöd för behandlingen enligt artikel 6 i dataskyddsförordningen?

• Enligt artikel 25 i dataskyddsförordningen ska en personuppgiftsansvarig vidta ämpliga tekniska och organisatoriska åtgärder för att fastställa ett inbyggt dataskydd och dataskydd som standard, så att kraven i denna förordning ppfylls och den registrerades rättigheter skyddas. Vilka åtgärder enligt artikel 25 vidtar ni för att säkerställa principerna i artikel 5 i dataskyddsförordningen? Beskriv hur processen för att exportera bildmaterial från systemet ser ut och vilka kontroller och mekanismer som finns för att säkerställa den processen. Finns något tekniskt skydd, rutiner eller instruktioner mot att olovligen exportera bilder från systemet? Om ja, beskriv vilka skydd som finns mot att exempelvis ta skärmavbildningar eller spela in från skärmen med annan utrustning?

• Enligt artikel 32 i dataskyddsförordningen ska en personuppgiftsansvarig vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Vilka lämpliga tekniska och organisatoriska åtgärder vidtar ni enligt artikel 32 för att säkerställa att ingen olovlig åtkomst till eller obehörigt röjande av bildmaterial sker, till exempel behörighetsstyrning, tekniska begränsningar av åtkomstmöjligheter, instruktioner med mera? Vilka tekniska och organisatoriska förutsättningar har ni för att utreda otillåten åtkomst till bildmaterial, till exempel i form av behandlingshistorik (loggar) och upprättade rutiner för logguppföljning? Hur länge finns dessa förutsättningar, det vill säga för hur långt tillbaka i tiden kan ni utreda detta? Vilka instruktioner ger ni till de som har till uppgift att ta del av bildmaterial om när och under vilka förutsättningar sådan åtkomst ska eller får ske, det vill säga när åtkomsten är tillåten? Vilken information ger ni kring vad som utgör en otillåten åtkomst eller ett obehörigt röjande, det vill säga om vad som inte är tillåtet?

• Finns det ytterligare information som ni anser att IMY bör känna till angående den aktuella behandlingen av bildmaterial?

Verisure är ålagda att skriftligen tillhandahålla svar på frågorna till IMY senast den 11 maj 2022.