En anställd på en isländsk subway-butik har anmält sin arbetsgivare till den isländska dataskyddsmyndigheten. Anledningen till detta är att den anställde har blivit kameraövervakad under sitt arbete utan sin vetskap. Den klagande hävdar att butikschefen övervakat den anställdes arbete hemifrån och ringt till arbetsplatsen med kommentarer kring hur arbetet har utförts. Allt detta utan den anställdes kännedom att den övervakas.
Butiken menar att kamerorna installerades av säkerhetsskäl för att skydda butiken. Butiken håller med om att butikschefen har gått utanför syftet med kamerabevakningen genom sitt agerande och har vidtagit direkta åtgärder för att säkerställa att detta inte sker igen. Butiken hävdar dock att eftersom ingen systematisk lagring på information genomfördes fanns det inget krav från de att informera de anställda att de övervakas utöver att sätta upp en skylt.
Dataskyddsmyndigheten anser att eftersom syftet med kamerövervakningen inte hade angetts vara att kvalitetskontrollera arbetet saknades det laglig grund för behandlingen enligt GDPR. Myndigheten motsätter sig även butikens argument om att information inte behöver delges. De konstaterar att, i enlighet med GDPR, ska de registrerade vara medvetna om när och hur deras personuppgifter behandlas. Det innebär att butiken behöver lämna information till de anställda om kameraövervakningen, dess syfte, hur det går till, hur tillgång till övervakningen regleras samt hur länge uppgifterna sparas. Myndigheten menar att en skylt kring att kameraövervakning genomförs inte är tillräckligt för att uppfylla kraven i GDPR. Utifrån detta utfärdar den isländska dataskyddsmyndigheten en straffsanktion på €10,059.
