How long can a business keep CCTV footage in the EU?

There is no single EU-wide statutory limit, but the GDPR minimisation principle (Article 5(1)(c)) requires that retention be no longer than necessary for the stated purpose. In practice, EU DPAs converge on 30 days as the soft default for general security, with 7–14 days being the conservative best practice for low-risk environments. Specific sectors have higher caps backed by sector law: banks 90+ days for AML purposes, casinos 6–12 months in some jurisdictions, ports/airports up to 12 months under critical-infrastructure rules.

What is the maximum CCTV retention in Poland (RODO)?

Polish law sets a soft cap at 3 months under Article 22² §3 of the Labour Code for workplace CCTV. UODO has clarified that the same period is the practical default for general business CCTV unless a specific incident or sector regulation extends it. Beyond 3 months, the controller must document why a shorter period would not achieve the security purpose.

How long can residential CCTV recordings be kept?

If the household exemption applies (FOV strictly within own property), there is no statutory cap. Once the exemption is lost (any FOV reaching public space or a neighbor's land), DPAs converge on 7–30 days as the lawful range. Indefinite retention by a private homeowner has been fined repeatedly across the EU when challenged via DPA complaint.

What retention does the UK ICO recommend?

ICO's CCTV code of practice and Employment Practices Code recommend 30 days as the default upper end for routine general-security footage and shorter where the security need is met by a tighter window. For workplace CCTV the Employment Practices Code suggests 14 days unless a specific incident triggers extended retention. Indefinite retention of routine footage is treated as a Article 5(1)(e) breach.

Efterlevnadsreferens · Uppdaterad 2026-05-05

Lagringstid för kamerabevakning per land

Det finns ingen enhetlig EU-omfattande lagringsgräns — GDPR fastställer en princip (uppgiftsminimering enligt artikel 5.1 c) och varje medlemsstats dataskyddsmyndighet fyller i de operativa standardvärdena. Denna referens sammanfattar de praktiska värden som dataskyddsmyndigheterna faktiskt tillämpar 2026, plus konsekvenserna för lagringsplaneringen vid dimensionering av din NVR.

Standardvärden för EU:s medlemsstater

Land	Standardgräns	Arbetsplatsgräns	Myndighet
Polen	3 månader	3 månader (KP §22²)	UODO
Tyskland	72 timmar är vanligt, 30 dagar max	48 timmar (BfDI)	BfDI + Länder
Frankrike	30 dagar	30 dagar (CNIL)	CNIL
Italien	24 timmar std, 7 dagar max	7 dagar (Garante)	Garante
Spanien	30 dagar	30 dagar (AEPD)	AEPD
Nederländerna	28 dagar	28 dagar	AP
Belgien	30 dagar (1 månad)	30 dagar	APD/GBA
Storbritannien	30 dagar	14 dagar	ICO
Irland	30 dagar	30 dagar	DPC

"Standardgränsen" är det praktiska värde som dataskyddsmyndigheterna tillämpar på allmän kamerabevakning i säkerhetssyfte. "Arbetsplatsgränsen" speglar den strängare lagring som dataskyddsmyndigheterna tillämpar på övervakning av anställda. Båda är praktiska värden snarare än lagstadgade gränser i de flesta fall — att överskrida dem är möjligt endast med dokumenterad specifik motivering.

Branschspecifika utökningar

Banker och uttagsautomater — minst 90 dagar i hela EU enligt penningtvättsdirektiven; vissa medlemsstater tillåter upp till 12 månader för kontanthanteringsområden.
Kasinon och spelställen — 6 till 12 månader i de flesta jurisdiktioner enligt branschreglering.
Flygplatser och hamnar — upp till 12 månader enligt regler för kritisk infrastruktur; varierar mellan länder.
Kollektivtrafik — vanligtvis 14–60 dagar beroende på nationella transportmyndigheters regler.
Vårdinrättningar — strikt minimering enligt ytterligare regler för hälsodata; 7–14 dagar är vanligt, längre kräver specifik klinisk säkerhetsgrund.
Skolor — strängaste lagringsreglerna med tanke på att minderåriga är inblandade; 24–72 timmar är vanligt om ingen specifik incident föreligger.

USA — lapptäcke på delstatsnivå

USA har ingen federal lag om lagring av kamerabevakning. Regler på delstatsnivå tillämpas som ett lapptäcke:

Kalifornien (CCPA / CPRA) — minimeringsprincip liknande GDPR; ingen fast gräns men obegränsad lagring betraktas som orimlig.
Illinois (BIPA) — biometrisk behandling (ansiktsigenkänning) kräver specifikt samtycke och 3-årig lagringsgräns; standardkamerabevakning utan biometrisk behandling är obegränsad på delstatsnivå.
New York — branschspecifika regler (finansiella tjänster, utbildning) men ingen allmän lagringsgräns.
Texas, Florida och de flesta andra delstater — ingen specifik lagringsgräns; branschstandarder (PCI-DSS för detaljhandel, HIPAA för vård) driver de praktiska standardvärdena.

För USA-operatörer som verkar i flera jurisdiktioner är det säkra standardvärdet 30 dagar på federal nivå med delstatsspecifika utökningar dokumenterade per plats.

Konsekvenser för lagringsplaneringen

Lagringstiden driver lagringskostnaden linjärt. Ett system med 16 kameror i 4 MP H.265 25 fps och en scen av medelkomplexitet ger cirka 50 GB per kamera per 30 dagar, alltså 800 GB totalt vid 30 dagars lagring och 2,4 TB vid 90 dagars lagring. Lagringskalkylatorn beräknar exakta siffror utifrån din videokodek, bildhastighet, scenkomplexitet och lagringstid.

För distributioner i flera jurisdiktioner (t.ex. detaljhandelskedja i DE, FR, IT, ES) bör du dimensionera NVR:erna efter den längsta tillämpliga lagringstiden så att lagringsskiktet kan hantera alla platser. Polens 3-månaders arbetsplatsgräns och Italiens 7-dagars standardvärde skiljer sig med en faktor 12. Dimensionera inte efter den kortaste och tvingas sedan kämpa när en plats behöver mer.

Beräkna lagring för dina lagringsregler

Ange lagringstid i dagar, videokodek och bildhastighet — kalkylatorn ger exakt TB och HDD-dimensionering. Gratis.

Lagringskalkylator →

Omvandla lagringstid till TB-kapacitet för valfri videokodek och bildhastighet.

Kamerabevakning på arbetsplatsen enligt GDPR →

DPIA, lagring, skyltning och regler för fackliga råd.