GDPR och drönare: personuppgifter, kamerabevakning och lagring av bilder

Fyra regelverk för bilderna

Transportstyrelsens regler styr flygningen. För bilderna kan dessutom fyra andra regelverk gälla, var för sig eller samtidigt.

När bilderna är personuppgifter

En personuppgift är all information som direkt eller indirekt kan knytas till en levande person. Bilder där personer går att identifiera är personuppgifter, och det är även registreringsskyltar. Det gäller också om man behöver zooma in för att se vem det är.

Det finns ingen höjd där GDPR slutar gälla, och IMY lämnar ingen rekommendation om höjd. Du får själv bedöma om personer går att känna igen. Syns inga personuppgifter behöver du varken följa GDPR eller kamerabevakningslagen.

Så undviker du personuppgifter i bild

• Slå på kameran först när drönaren är så högt att människor inte går att identifiera. Tillåten maxhöjd är normalt 120 meter.

• Flyg inte över tätbebyggda områden, och stäng av kameran där människor vistas.

• Filma bara det område som behövs, och när få är ute. Undvik bostäder, lekplatser och platser där människor är på sin fritid.

• Sudda ansikten och registreringsskyltar innan du publicerar.

Privatundantaget

GDPR gäller inte när en privatperson behandlar personuppgifter för rent privat bruk. IMY tolkar undantaget snävt. Filmar du i ditt företag, din förening eller på uppdrag gäller det aldrig.

Rättslig grund i företag, kommun och förening

Filmar ni identifierbara personer i en verksamhet behöver ni en rättslig grund enligt artikel 6 i GDPR. Bestäm ändamålet innan ni flyger, eftersom det avgör vad ni får filma och hur länge det sparas.

• Intresseavvägning (berättigat intresse) är vanligast för företag som filmar en fastighet, en byggarbetsplats eller en inspektion där förbipasserande kan hamna i bild. Filmningen ska vara nödvändig, och ert intresse ska väga tyngre än de filmades. Går samma resultat att nå på ett mindre integritetskänsligt sätt räcker grunden inte. Dokumentera bedömningen.

• Uppgift av allmänt intresse eller myndighetsutövning är grunden för myndigheter och kommuner, med stöd i lag eller annan författning. Myndigheter får inte använda intresseavvägning som rättslig grund i sina uppgifter.

• Samtycke passar när personerna frivilligt medverkar, till exempel i en reklamfilm. Det ska vara aktivt och kunna tas tillbaka lika lätt som det gavs. Anställdas samtycke räcker sällan, eftersom maktförhållandet är ojämlikt.

Barns personuppgifter är särskilt skyddsvärda, och syns barn i bild talar det oftast emot att publicera. För journalistiska ändamål och konstnärligt skapande gäller de flesta bestämmelserna i GDPR inte, och inte heller kamerabevakningslagen. Var gränsen går beror på fallet, så fråga IMY eller en jurist med inriktning på dataskydd om ni är osäkra.

Informera dem som filmas

De som filmas har rätt att få veta det. IMY rekommenderar två lager: en skylt på platsen med det viktigaste, och all information på till exempel en webbplats. Med drönare kan du sätta skyltar, markeringar eller avspärrningar i kanten av området, eller informera dem som berörs direkt.

Skylten bör enligt IMY innehålla:

• ändamålet, alltså varför ni filmar

• namn och kontaktuppgifter till den personuppgiftsansvariga, och till dataskyddsombudet om ni har ett

• de filmades rättigheter, till exempel att begära ut sina uppgifter eller invända

• hur länge materialet sparas, och om det lagras utanför EU

• var man hittar resten av informationen.

I det andra lagret står också bland annat den rättsliga grunden, vilka som får ta del av materialet och att man kan klaga hos IMY. Våra varningsskyltar om pågående drönarflygning visar att flygning pågår, men uppgifterna ovan lägger du till själv. Avspärrningar och Polisens tillstånd beskrivs i Drönarkartering i stadsmiljö.

Lagring, gallring och radering

Materialet får inte sparas längre än ändamålet kräver, och så få som möjligt ska kunna komma åt det. Vid kamerabevakning är tre dygn en tumregel enligt IMY och Europeiska dataskyddsstyrelsen (EDPB). Vid uppdrag där filmen är leveransen, till exempel en inspektion, styrs tiden av ändamålet. Spara då inte mer råmaterial med förbipasserande än ni behöver.

• Bestäm i förväg hur länge råmaterialet sparas och när det raderas.

• Den som filmats har rätt att få veta om hen finns med och i vissa fall få se utdrag.

• Bygger filmningen på intresseavvägning och personen invänder, ska ni sluta använda materialet om ni inte kan visa tungt vägande skäl. Tas ett samtycke tillbaka, eller saknas rättslig grund, ska ni radera eller sudda personen.

• Svara utan onödigt dröjsmål och senast inom en månad.

Säkerhet: minneskort, molntjänster och DJI-appen

Ett minneskort som kommer bort med identifierbara personer är en personuppgiftsincident. I en verksamhet ska den dokumenteras och anmälas till IMY inom 72 timmar, om det inte är osannolikt att den medför risk för dem som syns.

Enligt DJI synkas inga flygloggar?, bilder eller filmer till DJI:s servrar om du inte själv väljer det. Data du delar lagras enligt DJI på servrar i USA. Vill du flyga utan att appen har kontakt med internet finns Local Data Mode.

Överföring utanför EU

Lagrar ni bilder med personuppgifter i en molntjänst utanför EU/EES, eller ger någon där tillgång till dem, är det en överföring till tredjeland. Den är tillåten om EU-kommissionen har beslutat att landet har adekvat skyddsnivå, om ni har lämpliga skyddsåtgärder som EU:s standardavtalsklausuler, eller i vissa särskilda fall. För USA gäller adekvansbeslutet bara om mottagaren omfattas av EU–U.S. Data Privacy Framework. Kontrollera var molntjänsten lagrar materialet innan ni laddar upp.

När ett företag köper en drönartjänst

Den som bestämmer varför och hur bilderna tas är personuppgiftsansvarig. Beställer ett företag eller en kommun filmning, och drönaroperatören följer beställarens instruktioner, är operatören oftast personuppgiftsbiträde. Då ska ni skriva ett personuppgiftsbiträdesavtal (PUB-avtal) enligt artikel 28 i GDPR.

Avtalet ska bland annat reglera:

• vad som behandlas, hur länge och varför

• att operatören bara följer beställarens dokumenterade instruktioner

• tystnadsplikt, säkerhet och underbiträden, till exempel molntjänster

• vad som händer med materialet när uppdraget är klart.

Använder operatören materialet i egen marknadsföring blir operatören personuppgiftsansvarig för den delen.

Kamerabevakningslagen

Kamerabevakningslagen gäller vid varaktig eller regelbundet upprepad bevakning där personer kan identifieras, till exempel om människor ofta passerar i bild. Enligt IMY gäller den troligen inte över svårtillgängliga platser där få vistas, eller när personer bara råkar komma med vid enstaka tillfällen. Den gäller inte rent privat bevakning, och inte för journalistik och konstnärligt skapande.

Gäller lagen ska bevakningen skyltas eller meddelas på något annat verksamt sätt, oavsett vem som bevakar. Undantag finns för polis och räddningstjänst i vissa brådskande fall. Bevakar ni allmän plats regelbundet eller i stor omfattning kan ni också behöva göra en konsekvensbedömning enligt artikel 35 i GDPR.

Tillstånd från IMY behövs inte sedan tillståndsplikten upphörde den 31 mars 2025. Tidigare krävdes det bara för myndigheter och andra som utför en uppgift av allmänt intresse, på platser dit allmänheten har tillträde. De ska nu själva bedöma att bevakningen är nödvändig för uppgiften och att bevakningsintresset väger tyngre än integritetsintresset, dokumentera bedömningen och föra en förteckning. Bedömningen görs enligt kamerabevakningslagen och är inte samma sak som intresseavvägning som rättslig grund i GDPR. Bedömningen och förteckningen sparas i minst fem år efter att bevakningen har upphört. För företag som inte utför en uppgift av allmänt intresse innebar ändringen ingen skillnad.

Saknas skylt, bedömning eller förteckning kan IMY ta ut en sanktionsavgift. Stöd finns i IMY:s arbetsgång i elva steg och vägledning om drönare.

Spridningstillstånd för flygbilder

Bilder, film, kartor och 3D-modeller tagna från luften över Sverige får inte spridas utan tillstånd från Lantmäteriet, om inget undantag gäller, varken privat eller i jobbet. Att sprida är till exempel att mejla, publicera eller lagra i en molntjänst som du inte själv har full kontroll över. Straffet är böter eller fängelse i högst ett år.

Lantmäteriet granskar bara om materialet kan skada totalförsvaret, så ett tillstånd betyder inte att du får publicera personer som går att identifiera. Undantagen och ansökan: När behöver man söka spridningstillstånd för drönarbilder?

Straffbestämmelser i brottsbalken

• Kränkande fotografering (4 kap. 6 a §): att olovligen och i hemlighet, till exempel med en drönarkamera, ta bild av någon som är inomhus i en bostad, på en toalett, i ett omklädningsrum eller liknande. Böter eller fängelse i högst två år.

• Olaga integritetsintrång (4 kap. 6 c §): att sprida bilder på till exempel någons hälsotillstånd, någon som utsatts för ett brott mot person, frihet eller frid, någon i en mycket utsatt situation eller någons nakna kropp, om det kan medföra allvarlig skada. Böter eller fängelse i högst två år, för grovt brott upp till sex år.

Vanliga frågor

Om det inte fungerar

Den här guiden är ingen juridisk rådgivning. Allmänna frågor om GDPR och kamerabevakning besvarar IMY:s telefonvägledning, se IMY:s kontaktsida. I ett enskilt uppdrag, till exempel ett avtal, en intresseavvägning eller en klagan, bör ni anlita en jurist med inriktning på dataskydd.

Frågor om spridningstillstånd? ställer du till Lantmäteriet på spridningstillstand@lm.se. Hittar du inte inställningarna i DJI Fly eller DJI Pilot 2, kontakta vår kundservice. Flygreglerna finns på Lagar och regler för drönare.