I den här artikeln
Det hänger en kamera vid din kassa. Kanske en till vid bakdörren, en över golvet, en som råkar fånga korridoren till toaletten också. Ingen på din krog har någonsin kollat om det faktiskt är okej — och svaret sitter inte hos den som drog kablarna, utan i GDPR och lagen om kameraövervakning på jobbet, som redan prövats i en dom från Europadomstolen.
En kamera vid kassan är typ den vanligaste säkerhetsåtgärden inom restaurangbranschen, och samtidigt en av de minst genomtänkta. Du köper den av samma anledning som en brandsläckare: alla har en, så du också. Skillnaden är att en brandsläckare inte behandlar personuppgifter om varje anställd som står framför den åtta timmar om dagen.
Den här sajten har redan grundliga artiklar om vad stölder och kassadifferenser kostar dig, om inbrottsskydd, och om GDPR ur gästdata-vinkeln — bokningar, mejladresser, marknadsföringssamtycke. Ingen av de artiklarna handlar om själva kameran. Och det är en helt annan sak än gästdata: du kan be en gäst om samtycke till ett nyhetsbrev, men du kan aldrig få en anställd att "frivilligt" samtycka till att bli filmad på sin egen arbetsplats — maktobalansen mellan arbetsgivare och anställd gör per definition det samtycket ogiltigt enligt GDPR. Kameraövervakning på arbetsplatsen vilar alltså på en helt annan rättslig grund, med egna regler.
Det är ingen teoretisk poäng. Det är precis den situation som Europas högsta domstol för mänskliga rättigheter redan prövat — en stormarknad med dolda kameror ovanför kassorna, efter misstänkt stöld. Den domen drar en gräns som är mer relevant för en restaurang med en kassakamera än något generellt GDPR-råd.
Den här artikeln räknar ihop sju siffror: hur länge en riktad kameraåtgärd höll för den domstolen, hur många lagliga syften en kamera på jobbet får ha i Belgien, hur länge du får spara filmen, varför just den siffran också kan vändas mot dig, var en kamera aldrig får peka, vad böter för överdrivet filmande faktiskt kostar, och vad ett korrekt uppsatt system i slutänden kostar — inklusive delarna ingen budgeterar för.
Varför "vi har ju inget att dölja" inte är en rättslig grund
Resonemanget som de flesta ägare kör med låter logiskt: kameran finns för att stoppa stölder, personalen vet att den finns, så det är okej. Problemet är att "veta att den finns" inte är samma sak som en giltig rättslig grund, ett dokumenterat syfte, en lagringstid och korrekt information — fyra separata krav som var för sig måste stämma.
Kameraövervakning av anställda faller inte under samma lösa regler som filmning av en tom parkering eller ett lager utan personal. Så fort en kamera fångar en person som jobbar gäller extra regler utöver GDPR: i Belgien är det kollektivavtal nr 68 (CAO 68), med en egen lista över tillåtna syften och en skyldighet att informera fackklubben — eller, om den saknas, skyddskommittén, eller helt enkelt personalen direkt — i förväg, innan kameran slås på.
De sju siffrorna nedan går alla att kolla upp var för sig — en dom från Europeiska domstolen för mänskliga rättigheter, texten i CAO 68 själv, rekommendationer från dataskyddsmyndigheter, och ett verkligt, dokumenterat bötesfall. Ingen av siffrorna är en gissning, och ordningen följer logiken i en riktig kamerainstallation: först prejudikatet som visar var gränsen går, sedan de lagliga syftena, sedan lagringen, sedan den blinda fläcken nästan ingen ser, sedan de absoluta förbudszonerna, sedan böterna, och till sist vad det kostar att helt enkelt göra rätt från början.
Den ultimata guiden Alla artiklar om digitalt & data på ett ställe GDPR, cybersäkerhet, kassasystem och mer — hela översikten. Se guidenDe 7 siffrorna bakom kameran vid din kassa
Varje siffra nedan markerar en gräns som lagen drar — vissa ger dig mer utrymme än du trodde, andra mindre. Kolla din egen uppsättning med verktyget längre ner istället för att gissa.
1. 10 dagar — hur länge en riktad kameraåtgärd höll för Europas högsta domstol
Det viktigaste europeiska rättsfallet om kameror på arbetsplatsen utspelade sig inte på en restaurang, utan i en spansk stormarknad — och fakta ligger obehagligt nära en kassakamera i restaurangbranschen. En butikschef märkte lagerförluster och installerade både synliga och dolda kameror, riktade mot kassorna, i tio dagar. Filmerna visade kassörskor som inte slog in varor eller lät kollegor gå förbi utan att betala; flera anställda blev uppsagda på grund av det.
Fallet López Ribalda och andra mot Spanien nådde till slut Europadomstolens stora avdelning, som 2019 slog fast att de anställdas integritet inte hade kränkts — men av mycket specifika skäl: kamerorna var precist riktade mot exakt den plats där misstanken fanns (kassorna, inte hela butiken), åtgärden pågick kort tid (tio dagar, inte månader), och det låg en konkret, dokumenterad förlust bakom, inte allmän kontrollsjuka.
Det är gränsen din egen kassakamera måste hålla sig inom för att vara försvarbar: riktad, kort när det gäller en specifik misstanke, och backad av ett skäl du kan skriva ner på papper. En kamera som går dygnet runt, filmar allt och aldrig haft ett dokumenterat syfte, hamnar på fel sida av exakt det testet som domstolen själv satte upp.
2. 4 lagliga syften, varav bara 3 får filma kontinuerligt
I Belgien reglerar kollektivavtal nr 68 (CAO 68) kameraövervakning på arbetsplatsen specifikt, utöver GDPR. Avtalet listar exakt fyra tillåtna syften: anställdas säkerhet och hälsa, skydd av företagets egendom, kontroll av produktionsprocessen (maskiner), och kontroll av en enskild anställds arbete.
Det avgörande som lätt missas är vad som INTE gäller för alla fyra: kontinuerlig, permanent kameraövervakning är bara tillåten för de tre första syftena. Övervakning vars syfte är att kontrollera en enskild anställds arbete får bara vara tillfällig — aldrig permanent. De flesta kassakameror i restaurangbranschen körs i praktiken för exakt det fjärde, mest begränsade syftet ("kolla om personalen slår in rätt") och står bara på år ut och år in. Utöver det måste du informera fackklubben — eller, om den saknas, skyddskommittén, eller personalen direkt — om varje aspekt av övervakningen i förväg, inte rapportera i efterhand att den redan fanns.
Samma utrustning, samma anledning att sätta upp den — med helt olika riskprofil.
Skillnaden mellan de här två staplarna sitter inte i kameran, utan i fyra val som inte kostar något: vad den är riktad mot, om syftet finns nedskrivet, om personalen informerades i förväg, och hur länge du sparar filmen.
3. 30 dagar — den rekommenderade maxtiden för hur länge du får spara filmen
GDPR i sig sätter inget bestämt antal dagar, men dataskyddsmyndigheter runt om i Europa skickar en samstämmig signal: spara inte filmen längre än vad som är strikt nödvändigt, och den tiden landar i praktiken kring 30 dagar. Franska tillsynsmyndigheten CNIL är mest tydlig med det: några dagar räcker oftast för att utreda en incident, och lagringstiden bör inte överstiga ungefär en månad — förutom när filmen behövs för en pågående disciplinär- eller brottsutredning, då kan den plockas ut ur det vanliga systemet och sparas separat under den utredningens gång.
Den siffran krockar med hur de flesta system faktiskt är inställda. En NVR eller molnlagring kommer som standard inställd på "spela in tills disken är full", vilket i praktiken ofta betyder 60 till 180 dagar eller mer. Ingen ändrar aktivt den inställningen — vilket betyder att ditt system, utan att någon någonsin kollat, troligen redan sparat filmen flera månader för länge.
4. 30 dagar — även deadlinen för att svara på en begäran om registerutdrag
Det här är siffran som inte finns på någon checklista, för den blir bara ett problem i det ögonblick någon faktiskt utnyttjar den. Enligt GDPR har vem som helst — en anställd, en gäst — rätt att fråga vilken film som finns på dem, och du har generellt en månad på dig att svara, räknat från dagen du tar emot begäran.
Krocken är uppenbar så fort du ser den: om du raderar filmen efter 30 dagar (den rekommenderade maxtiden från förra siffran) och du samtidigt har en hel månad på dig att svara på en begäran om utdrag, då kan en begäran som kommer in på dag 29 av din lagringstid lämnas in gott och väl inom den lagliga svarsfristen, medan filmen själv redan kan vara borta när du ska svara. Det är inget fel i regelverket — det är helt enkelt två regler som inte skrivits med varandra i åtanke — men det betyder att "vi sparar snyggt bara 30 dagar" inte automatiskt skyddar dig om någon frågar tillräckligt snabbt.
5. 0 — antalet toaletter, omklädningsrum eller pausrum en kamera någonsin får täcka
Det här är den enda siffran på listan utan undantag. Toaletter, omklädningsrum, duschrum och pausrum för personal är platser med en förhöjd förväntan på integritet, och ingen intresseavvägning — hur verklig stöldrisken än är — gör en kamera där laglig. Det gäller även om personalen själva ber om det, eller om en kamera "råkar" fånga det för att den sitter nära korridoren till toaletten.
I praktiken är det här sällan ett medvetet val och nästan alltid en fråga om inramning: en kamera avsedd för köksingången som är vinklad lite för brett och fångar personaltoalettens dörr är precis lika mycket en överträdelse som en kamera som medvetet riktas dit. Kolla inramningen på varje kamera på din krog, inte bara syftet du en gång installerade den för.
6. 2 % av omsättningen — verkliga böter för överdrivet filmande av personal, vid sidan av GDPR:s tak på 4 %
Siffran som dyker upp överallt i GDPR-förklaringar är taket: upp till 20 miljoner euro eller 4 % av den globala årsomsättningen, det som är högst. Den siffran är skrämmande men säger inte mycket om en fristående krog — det är ett tak för de allvarligaste, mest organiserade överträdelserna, inte vad en genomsnittlig restaurangägare faktiskt riskerar.
Siffran som faktiskt är relevant är mindre och konkretare: ett franskt företag fick böter på 2 % av sin omsättning — cirka 20 000 euro i det fallet — för att ha filmat anställda överdrivet utan giltig rättslig grund. Det är inget teoretiskt tak utan ett verkligt, utdömt belopp, av en storlek som en liten eller medelstor krog verkligen känner av. Det sätter GDPR-taket i perspektiv: den realistiska risken för en restaurang med en dåligt uppsatt kamera ligger mycket närmare det franska fallet än rubrikerna om miljonböter.
7. ±2 300 € — vad ett korrekt uppsatt kamerasystem kostar en liten krog, med regelefterlevnad inräknat
Hårdvaran i sig är oftast posten ägare faktiskt budgeterar för: ett system med fyra till sex kameror (kassa, entré, serveringslucka i köket, bakdörr), installerat, kostar vanligtvis mellan 1 500 och 2 500 euro för en liten krog. Det nästan ingen budgeterar för är allt runt omkring: korrekta skyltar vid varje entré och vid kamerorna själva, tiden det tar att skriva en skriftlig kamerapolicy och formellt informera personalen (istället för att bara anta att alla redan vet), att ställa in automatisk radering när lagringstiden löpt ut, och eventuellt en kort juridisk genomgång av hela uppsättningen.
Räkneexemplet nedan summerar fem poster till en realistisk totalbudget — fyll i dina egna offerter i verktyget längre ner så fort du har dem.
Fem poster från ett realistiskt räkneexempel — fyll i dina egna offerter i verktyget nedan.
Totalt: 29 110 kr. Hårdvaran ligger medvetet överst: det är den största posten, men de fyra under är tillsammans det som avgör om kameran skyddar dig eller ger dig böter.
Kolla din egen kamerauppsättning
Fyll i de fem posterna nedan med dina egna offerter så fort du har dem — startvärdena är räkneexemplet från texten ovan.
Justera lagringstiden och de två kryssrutorna efter hur din kamera faktiskt är uppsatt idag — inte efter hur du tycker den borde vara — och se direkt var risken ligger.
Kamera-efterlevnadskoll
Fem kostnadsposter, plus de två valen som avgör din riskprofil.
—
Det här är ett kollverktyg, inte juridisk rådgivning — startvärdena är ett realistiskt räkneexempel, ingen garanti för din specifika situation.
Vad det här kollverktyget inte gör — medvetet: det räknar inte ut sannolikheten för böter i kronor, eftersom det inte finns någon tillförlitlig siffra för det som gäller per krog. Vad det däremot gör är att summera varje verklig kostnadspost till en budget, och visa de tre faktorerna som avgör din riskprofil — oberoende av hur mycket du lägger på hårdvara.
Lägg riskprofilen från det här verktyget bredvid de sju siffrorna ovan, så har du den fullständiga, realistiska bilden av vad en kamera vid din kassa kräver — inte bara det som står på installatörens faktura.
En kamera, fyra val som inte kostar något
En kamera vid kassan är ett giltigt, ofta förnuftigt beslut — stölder och kassadifferenser är verkliga, och en riktad, kortvarig åtgärd kopplad till en konkret misstanke står, som rättspraxisen visar, juridiskt stadigt. Problemet ligger aldrig i att kameran finns, utan i de tysta antagandena runt den: att "alla vet ju ändå" räknas som information, att fabriksinställningen för lagringstiden nog är okej, och att en kamera som en gång sattes upp av en anledning för alltid fortsätter köra för samma anledning.
Ordningen du tar itu med det här i är inte slumpmässig: kolla först inramningen (inget nära en toalett eller ett pausrum ska synas i bild), skriv sedan ner syftet på papper och informera personalen skriftligt, ställ sedan faktiskt in lagringstiden i själva systemet istället för att lita på fabriksinställningen, och fråga först därefter — om allt det ovanstående stämmer — om en juridisk genomgång är värd besväret för just din uppsättning.
Använd kollverktyget ovan för att gå igenom din egen uppsättning innan en klagomål eller inspektion någonsin dyker upp, och behandla de fyra sakerna som inte kostar något (inramning, dokumenterat syfte, information, lagringstid) som prioritet nummer ett — det är precis de fyra sakerna som skiljer det spanska prejudikatet som höll från det franska fallet som gav böter.