Speltempoanalysering på golfbanan: det här gäller för klubben

En golfklubb som sätter upp kamerasensorer på banan behandlar personuppgifter, även när bilderna blurras. Då gäller dataskyddsförordningen (GDPR) och kamerabevakningslagen. Här sammanfattar vi vad klubben behöver göra och hur TeeGuard är byggt för att göra det enklare. Texten ersätter inte juridisk rådgivning.

Behövs tillstånd?

Normalt inte. En privat verksamhet som en golfklubb behöver inget tillstånd från Integritetsskyddsmyndigheten (IMY) för att kamerabevaka. Klubben måste däremot kunna visa att bevakningen är tillåten enligt GDPR, och det är där arbetet ligger.

Intresseavvägningen

Klubben är personuppgiftsansvarig och grundar i regel bevakningen på berättigat intresse. Då ska klubben väga sitt intresse, till exempel att hålla speltempot och upptäcka köer, mot spelarnas intresse av att inte bli bevakade. IMY skriver att integritetsintresset väger tungt där människor ägnar sig åt fritid, som på idrottsanläggningar. IMY pekar samtidigt på sådant som minskar intrånget, bland annat att bara titta i realtid och att använda bilder med låg upplösning.

Frågorna som avgör avvägningen är ungefär desamma för alla klubbar:

• Vad sensorn ser: bara spelytor, eller också platser där människor vistas privat.
• Vad som sparas: video, stillbilder eller bara siffror.
• Hur länge det sparas.
• Om personer går att känna igen på bilderna.
• Vem som har tillgång till det som sparas.

Konsekvensbedömning

En konsekvensbedömning (DPIA) krävs i regel när minst två av IMY:s kriterier är uppfyllda. Systematisk övervakning är ett av dem, och användning av ny teknik som AI-analys är ett annat. Räkna därför med att göra en. Den beskriver behandlingen, riskerna och skyddsåtgärderna, och den ska vara klar innan sensorerna tas i drift.

Skyltar

Den som kommer ut på banan ska kunna se att den är kamerabevakad innan hen kommer in i bild. Skylten ska ange ändamålet, vem som är personuppgiftsansvarig och hur man når den ansvarige, dataskyddsombudet om klubben har ett, de registrerades rättigheter och var den fullständiga informationen finns, till exempel via en länk eller QR-kod. Den fullständiga informationen kan ligga i ett andra lager, till exempel på klubbens webbplats. Sätt skyltarna i ögonhöjd vid entréerna och vid första tee.

Avtal med leverantören

När en leverantör behandlar uppgifterna åt klubben ska det finnas ett skriftligt personuppgiftsbiträdesavtal enligt artikel 28 i GDPR. Avtalet anger vad leverantören får göra med uppgifterna, var de lagras, hur länge och vilka underbiträden som används.

Så är TeeGuard byggt

• Systemet letar efter personer, aldrig efter ansikten, och har ingen ansiktsigenkänning.
• En krypterad videoström skickas till TeeGuards tjänst i regionen, där huvudet på varje person som hittas blurras i minnet innan något sparas i molnet.
• Ingen video spelas in. Videoströmmen analyseras i minnet och sparas aldrig, och vid nätavbrott sparas ingen bild.
• Det som sparas är antal, tidpunkt, klädfärg, en grov längdklass och en blurrad bild per händelse.
• Den blurrade bilden raderas inom 24 timmar och metadata efter 30 dagar, om inget annat avtalats.
• Databasen och bilderna lagras inom EU, och varje klubb ser bara sin egen data.

Vi delar vår egen bedömning av berättigat intresse och vår beskrivning av skyddsåtgärderna, så att klubben har ett underlag att utgå från i sin egen bedömning.