Policy för hantering av data från kamerabevakning i bussar

Policy för hantering av data från kamerabevakning i bussar

1. Inledning

Axelssons Turisttrafik AB (härefter ”Företaget”) driver busslinje 500 mellan Örebro och Karlskoga på uppdrag av Svealandstrafiken. För att säkerställa en trygg och säker kollektivtrafik utrustas våra bussar med kamerabevakning. Denna policy beskriver hur Företaget hanterar personuppgifter som samlas in genom kamerabevakningen, i enlighet med dataskyddsförordningen (GDPR, EU 2016/679), kamerabevakningslagen (2018:1200) och de riktlinjer som anges i Svealandstrafikens integritetspolicy och säkerhetsarbete kring kamerabevakning.

Syftet med policyn är att:

Skydda den personliga integriteten för resenärer, medarbetare och andra berörda.
Säkerställa att databehandlingen är laglig, transparent och proportionerlig.
Uppfylla krav från uppdragsgivaren Svealandstrafiken och relevant lagstiftning.

Policyn gäller all personal som hanterar kameradata, inklusive förare, underhållspersonal och administrativ personal. Policyn uppdateras årligen eller vid behov, senast granskad: 5 december 2025.

2. Syfte med kamerabevakning

Kamerabevakningen installeras för att:

Öka tryggheten för resenärer och medarbetare.
Förebygga och utreda incidenter såsom skadegörelse, hot, våld eller andra brottsliga handlingar i bussarna.
Stödja intern utredning av säkerhetsincidenter och förbättra driften av kollektivtrafiken.

Ingen ljudupptagning sker, endast video.

3. Rättslig grund

Behandlingen av personuppgifter genom kamerabevakning grundas på:

Samhällsintresset enligt artikel 6.1 e) GDPR (offentligt intresse inom ramen för myndighetsutövning eller allmänintresse).
Rättslig förpliktelse enligt kamerabevakningslagen (2018:1200), som tillåter bevakning i kollektivtrafik för säkerhetssyften.
Avtal med Svealandstrafiken, som uppdragsgivare, för att uppfylla kontraktets säkerhetskrav.

Information om bevakningen skyltas tydligt i bussarna med hänvisning till denna policy och Svealandstrafikens integritetspolicy.

4. Datainsamling och registrerade

4.1 Vad samlas in?

Videoupptagningar från fasta kameror inuti bussarna (t.ex. passagerarutrymme, förarhytt).
Metadatader som tidpunkt, bussnummer och linje (500).
Inga biometriska data (t.ex. ansiktsigenkänning) eller andra känsliga uppgifter.

4.2 Vem registreras?

Resenärer och medarbetare som vistas i bussarna.
Eventuellt allmänhet i närheten av bussens dörrar eller fönster.

5. Databehandling

5.1 Ansvarig för behandlingen

Personuppgiftsansvarig: Axelssons Turisttrafik AB, organisationsnummer 556414-8467 (kontakt: Dataskyddsombud, e-post: buss@axbuss.se, telefon: 021-14 42 42).
Uppdragsgivare: Svealandstrafiken är medansvarig för den övergripande behandlingen inom ramen för kollektivtrafikens säkerhetsarbete.

5.2 Personuppgiftsbiträden

Företaget använder följande biträden för datalagring och hantering:

Krypterad molnlagring via [leverantör, t.ex. Azure eller liknande – specificera vid implementering], med databehandlingsavtal (DPA) enligt GDPR artikel 28.
Inga data delas med tredjeparter utan laglig grund.

5.3 Processer för hantering

Videodata överförs automatiskt från bussarna till säker server efter varje tur.
Automatisk radering efter lagringsperioden (se avsnitt 6).
Manuell åtkomst loggas med användar-ID, tid och syfte.

6. Lagring och radering

Lagringsperiod: Videomaterial lagras i upp till 10 dagar på krypterade lagringsmedia, i enlighet med Svealandstrafikens riktlinjer.
Radering: Efter 10 dagar raderas data automatiskt och oåterkalleligt, såvida inte materialet krävs för utredning (se avsnitt 7).
Säkerhet: Data lagras krypterat (AES-256 eller motsvarande) och åtkomst kräver multifaktorautentisering. Backup kopieras inte utanför EU/EES.

7. Åtkomst och utlämnande

7.1 Intern åtkomst

Endast behörig personal (t.ex. säkerhetsansvarig) får åtkomst vid misstanke om incident.
Åtkomst loggas och granskas regelbundet.

7.2 Utlämnande

Data lämnas ut enbart till brottsbekämpande myndigheter (t.ex. Polismyndigheten) om det krävs för brottsutredning.
Vid incident i kollektivtrafiken ska omedelbar polisanmälan göras, så att polisen kan begära materialet.
Inget utlämnande till privatpersoner eller medier utan domstolsbeslut.

8. Integritet och säkerhet

8.1 Skyddåtgärder

Tekniska: Kryptering, brandväggar, regelbundna säkerhetsuppdateringar.
Organisatoriska: Utbildning för personal, årlig riskanalys enligt GDPR artikel 32.
Fysiska: Kameror placeras diskret men synligt för att minimera integritetsintrång.

8.2 Riskhantering

Potentiella risker (t.ex. dataläckage) bedöms årligen.
Vid incident: Omedelbar rapportering till Integritetsskyddsmyndigheten (IMY) inom 72 timmar om det påverkar registrerades rättigheter.

9. Rättigheter för registrerade

Resenärer och medarbetare har följande rättigheter enligt GDPR kapitel III:

Rätt till information: Skyltar i bussarna och tillgänglig policy på Företagets hemsida.
Tillgång till data: Begär utdrag av personuppgifter (via e-post till buss@axbuss.se).
Rättelse och radering: Rätta felaktiga uppgifter eller begära tidigare radering (om inte lagring krävs).
Invändning: Invända mot behandlingen med hänvisning till privat intresse.
Dataportabilitet: Få data i strukturerat format.

Begäran hanteras inom en månad. Vid klagomål: Kontakta Företagets dataskyddsombud eller IMY (www.imy.se).

10. Uppföljning och utbildning

Utbildning: All personal utbildas vid anställning och årligen i GDPR och denna policy.
Granskning: Policyn granskas årligen eller vid lagändringar. Nästa granskning: december 2026.
Dokumentation: All hantering loggas för att demonstrera efterlevnad.

För frågor, kontakta säkerhetsansvarig: Kim Fredriksson telefon: 021-14 42 42, e-post: kim@axbuss.se .

Godkänd av: Johan Johansson VD, Västerås 2025-12-08