Eftirlitsmyndavélar

Hvaða reglur gilda um notkun eftirlitsmyndavéla?

Persónuverndarlögin, og þær reglur sem settar hafa verið með stoð í þeim, gilda um rafræna vöktun og vinnslu persónuupplýsinga sem verða til við rafræna vöktun.

Við notkun eftirlitsmyndavéla þarf að fara að reglum nr. 50/2023 um rafræna vöktun . 

Hvað þarf að hafa í huga þegar setja á upp eftirlitsmyndavélar á vinnustað?

Tilgangurinn þarf að vera skýr

Rafræn vöktun, þ. á m. vöktun með eftirlitsmyndavélum, verður að fara fram í skýrum og málefnalegum tilgangi, svo sem í þágu öryggis- og eignavörslu. Þá ber ávallt að gæta þess að ganga ekki lengra við vöktunina heldur en þörf krefur miðað við þann tilgang sem stefnt er að.

Gæta skal þess að virða einkalífsrétt þeirra sem sæta vöktuninni og forðast óþarfa íhlutun í einkalíf þeirra. Auk þess skal ávallt gengið úr skugga um hvort markmiðinu með vöktuninni sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

Óheimilt er að nýta myndefnið í öðrum og ósamrýmanlegum tilgangi en þeim sem vöktunin fór fram í. Sem dæmi má nefna að ef upphaflegur tilgangur var að tryggja öryggi á vinnustaðnum þá er óheimilt að nota efnið í öðrum tilgangi, t.d. til að fylgjast með því hvenær starfsmenn mæta til vinnu eða hvernig þeir haga sér á vinnustað, án þess að starfsmenn hafi verið fræddir um breyttan tilgang áður en upptakan varð til. Þá þarf að gæta þess að vöktun í öðrum tilgangi en þeim upprunalega uppfylli öll önnur skilyrði persónuverndarlaga og reglna sem settar hafa verið samkvæmt þeim.

Vöktun með vinnuskilum starfsmanna - sérstök þörf

Vöktun með vinnuskilum (svo sem vöktun til að fylgjast með vinnuframlagi starfsmanna) er eingöngu heimil í ákveðnum tilvikum. Sérstök þörf þarf að vera fyrir slíka vöktun, s.s. vegna þess að:

1. ekki sé unnt að koma við verkstjórn með öðrum hætti;

2. hún sé nauðsynleg vegna ákvæða kjarasamnings eða annars konar samkomulags um launakjör, einkum þegar laun eru byggð á afkastatengdu, tímamældu launakerfi.

3. án vöktunarinnar sé ekki unnt að tryggja öryggi á viðkomandi svæði, svo sem í ljósi laga og sjónarmiða um hollustuhætti og mengunarvarnir.

Óheimilt er að hefja vöktun með vinnuskilum nema að undangengnu mati á áhrifum á persónuvernd, sbr. 7. tölul. 3. gr. auglýsingar nr. 828/2019 um skrá yfir vinnsluaðgerðir sem krefjast ávallt mats á áhrifum á persónuvernd.

Almennt má ekki varðveita efni lengur en 30 daga

Óheimilt er að varðveita persónuupplýsingar sem verða til við rafræna vöktun nema það sé nauðsynlegt í ljósi tilgangs vöktunarinnar.

Persónuupplýsingum sem safnast við rafræna vöktun skal eytt þegar ekki er lengur málefnaleg ástæða til að varðveita þær. Málefnaleg ástæða til varðveislu upplýsinga getur meðal annars byggst á fyrirmælum í lögum eða því að ábyrgðaraðili vinni enn með þær í samræmi við upphaflegan tilgang með öflun þeirra. Upplýsingar sem verða til við rafræna vöktun má þó ekki varðveita lengur en í 30 daga nema lög heimili eða eitthvað af eftirtöldu eigi við:

1. upplýsingarnar geta skipt máli fyrir öryggi ríkisins og bandamanna þess, samskipti við erlend ríki eða aðra mikilvæga þjóðaröryggishagsmuni;

2. hinir skráðu samþykkja lengri varðveislutíma og samþykkið uppfyllir kröfur 10. gr. laga nr. 90/2018, sbr. 7. gr. reglugerðar (ESB) 2016/679;

3. upplýsingarnar verða til við aðgerðaskráningu eða eru geymdar á öryggisafritum;

4. upplýsingarnar eru nauðsynlegar til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja;

5. Persónuvernd heimilar sérstaklega eða mælir fyrir um lengri varðveislutíma.

Fræðsla til starfsmanna sem sæta rafrænni vöktun

Ábyrgðaraðila vöktunar (svo sem viðkomandi fyrirtæki eða stjórnvaldi) ber að veita fræðslu til þeirra sem að jafnaði eru á vöktuðum svæðum, svo sem nemenda (og eftir atvikum forsjáraðila þeirra) eða starfsmanna.

Fræðslan skal taka til tilgangs vöktunarinnar, hverjir hafa eða kunna að fá aðgang að upplýsingum sem safnast og hversu lengi þær verða varðveittar. Einnig getur, eftir því sem við á, þurft að fræða viðkomandi um hvaða búnaður er notaður (svo sem hvort um er að ræða myndupptöku, hljóðupptöku eða annað); rétt þeirra til að andmæla vöktuninni og hverjar geti verið afleiðingar þess; rétt viðkomandi til að fá að vita hvaða upplýsingar verða til um hann og til að fá upplýsingar leiðréttar eða þeim eytt; og önnur atriði, að því marki sem þörf krefur með hliðsjón af aðstæðum hverju sinni, svo að viðkomandi geti gætt hagsmuna sinna.

Þá verður jafnframt að gera glögglega viðvart um vöktunina, og hver sé ábyrgðaraðili, með merki eða á annan áberandi hátt.

Persónuvernd hefur útbúið sniðmát fyrir merkingar og frekari fræðslu fyrir ábyrgðaraðila.

Fræðsla og merkingar til þeirra sem sæta rafrænni vöktun

Viðvörun um rafræna sjónvarpsvöktun skal einnig hafa að geyma upplýsingar um hvar megi fá nánari fræðslu um vöktunina eða rafrænan tengil á slíka fræðslu. Skal hún að lágmarki innihalda eftirtaldar upplýsingar:

1. heiti og samskiptaupplýsingar ábyrgðaraðilans og, eftir atvikum, fulltrúa hans,
2. samskiptaupplýsingar persónuverndarfulltrúa, ef við á,
3. upplýsingar um tilgang vöktunarinnar,
4. upplýsingar um að vöktunarefni sé ekki varðveitt,
5. hverjir eða hvaða hópar hafa aðgang að því vöktunarefni sem streymt er,
6. upplýsingar um réttinn til að leggja fram kvörtun hjá Persónuvernd vegna vöktunarinnar.

Persónuvernd hefur útbúið sniðmát fyrir merkingar og frekari fræðslu fyrir ábyrgðaraðila.

Réttur til að skoða gögn

Sá sem sætt hefur rafrænni vöktun á almennt rétt á að skoða gögn, svo sem fá að sjá myndbandsupptökur og hlusta á hljóðupptökur sem verða til um hann við vöktunina, en slíka beiðni má hvort heldur sem er setja fram munnlega eða skriflega. Þetta á þó ekki við ef réttur þess sem sætt hefur vöktuninni til að fá að skoða gögnin þykir eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra eða hans eigin. Þá getur sá sem sætt hefur rafrænni vöktun einnig átt rétt til aðgangs og afrits af því efni sem verður til um hann að uppfylltum vissum skilyrðum.

Sjá nánari umfjöllun um atriði sem huga þarf að við rafræna vöktun hér fyrir neðan undir fyrirsögninni „Gátlisti fyrir notkun eftirlitsmyndavéla“.

Gátlisti fyrir notkun eftirlitsmyndavéla

10 atriði sem huga þarf að þegar kemur að rafrænni vöktun með eftirlitsmyndavélum:

1. Tilgangur vöktunar verður að vera skýr, málefnalegur og lögmætur, t.d. að koma í veg fyrir þjófnað eða að tryggja öryggi manna og eigna.
2. Gæta þarf meðalhófs og ekki má ganga lengra heldur en þörf krefur til að forðast óþarfa íhlutun í einkalíf þeirra sem sæta vöktuninni.
3. Nauðsynlegt er að fræða þá sem eru á vöktuðum svæðum, t.d. starfsmenn eða nemendur, um vöktunina. Einnig þarf að gera viðvart um vöktunina með merki eða á annan áberandi hátt áður en einstaklingar koma inn á vaktað svæði.
   
4. Vöktun sem fer fram til að mæla vinnu og afköst starfsmanna er háð ströngum skilyrðum.
5. Myndefni skal aðeins skoða ef sérstakt tilefni er til þess og bara af þeim sem hafa heimild til þess.
6. Ekki má geyma myndefni lengur en í 30 daga nema í sérstökum tilvikum, t.d. með heimild í lögum.
7. Þegar eftirlitsmyndavélar eru nettengdar þarf að tryggja að óviðkomandi hafi ekki aðgang að myndefni þeirra.
8. Opinber birting á myndefni, t.d. á Netinu, er óheimil nema með samþykki þeirra sem eru á upptökunni. Það má alltaf afhenda lögreglu myndefni.
9. Sá sem er vaktaður á rétt á að skoða gögnin, t.d. upptökur sem verða til um hann, nema hagsmunir annarra vegi þyngra.
10. Rafræn vöktun með leynd er bönnuð, nema hún styðjist við lög eða úrskurð dómara.

Hver má skoða efni sem verður til við vöktunina og hverjum má afhenda það?

Einungis þeir sem starfa sinna vegna þurfa aðgang að myndefni, eða öðru efni sem verður til við rafræna vöktun, skulu hafa hann. Slíkt efni skal aðeins skoða ef sérstakt tilefni er til þess og bara af þeim sem hafa heimild til þess.

Athygli er vakin á því að ef um er að ræða viðkvæmar persónuupplýsingar þarf að gæta sérstaklega að því að myndefni berist ekki óviðkomandi aðilum. Sem dæmi má nefna að ef myndavélar eru settar upp í öryggis- og eignavörsluskyni er óheimilt að vinna með efnið frekar nema með samþykki þess sem upptakan er af eða samkvæmt ákvörðun Persónuverndar. Heimilt er að miðla upplýsingum séu þær nauðsynlegar einum eða fleiri hinna skráðu til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja, t.d. þegar tryggingafélag tekur afstöðu til bótaskyldu. Þó er ávallt heimilt að afhenda lögreglu efnið en þá skal þess gætt að eyða öllum öðrum eintökum af efninu.

Má setja upp eftirlitsmyndavélar við íbúðarhúsnæði?

Einstaklingum er almennt heimilt að vakta sínar lóðir og húseignir. Gæta þarf þess sérstaklega að sjónsvið eftirlitsmyndavélar fari ekki út fyrir yfirráðasvæði viðkomandi einstaklings, eins og t.d. inn á lóðir annarra, sameign eða svæði á almannafæri. Almennt er vöktun með leynd óheimil af hálfu einstaklinga.

Rétt er að geta þess að persónuverndarlögin gilda almennt ekki um vinnslu persónuupplýsinga sem eingöngu eru til persónulegra nota. Hins vegar er til þess að líta að fari vöktunin fram á almannafæri (svo sem fyrir utan lóðamörk einkalóðar) getur sú undanþága almennt ekki átt við. Þarf sá sem ber ábyrgð á vöktuninni því að gæta að því að hún samrýmist ákvæðum laganna, sem og reglum sem settar hafa verið samkvæmt þeim, að öllu leyti.

Þá skal tekið fram að sérstakar reglur gilda um vöktun af hálfu lögreglu og annarra löggæslustofnana.

Sjá nánari umfjöllun um atriði sem huga þarf að við rafræna vöktun hér fyrir neðan, undir fyrirsögninni „Gátlisti fyrir notkun eftirlitsmyndavéla“.

Má setja upp eftirlitsmyndavélar í fjöleignarhúsi?

Þegar setja á upp eftirlitsmyndavélar í sameign fjöleignarhúsa, eða á lóðum sem eru í sameign, þarf auk persónuverndarlaga að gæta að ákvæðum fjöleignarhúsalaga. Samkvæmt þeim þarf löglega boðaður húsfundur að taka ákvörðun um rafræna vöktun á sameign hússins, hvort sem um ræðir vöktun innandyra eða utandyra. Þá þarf að gæta þess sérstaklega að sjónsvið eftirlitsmyndavélar fari ekki út fyrir svæði sameignarinnar, eins og t.d. inn á séreignarsvæði íbúa, nágrannalóðir eða svæði á almannafæri.

Mismunandi getur verið hversu margir eigendur þurfa að samþykkja uppsetningu eftirlitsmyndavéla, t.d. eftir því hvort þær eru á vegum húsfélagsins eða einstakra eigenda, en um samþykkishlutfallið fer eftir lögum um fjöleignarhús.

Sjá nánari umfjöllun um atriði sem huga þarf að við rafræna vöktun hér fyrir ofan undir fyrirsögninni „Gátlisti fyrir notkun eftirlitsmyndavéla“.

Má birta myndir úr eftirlitsmyndavél á samfélagsmiðlum eða á Netinu?

Heimild til að safna efni úr eftirlitsmyndavélum, svo sem hljóð- og myndefni, með viðkvæmum persónuupplýsingum og upplýsingum um refsiverða háttsemi er háð þeim skilyrðum að vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni, og efnið verði ekki afhent öðrum eða birt, t.d. á samfélagsmiðlum eða á Netinu, nema með samþykki þeirra sem eru á upptökunni eða á grundvelli annara heimilda. Þó má alltaf afhenda lögreglu myndefni úr eftirlitsmyndavélum sem og annað efni sem verður til við rafræna vöktun.

Hvaða reglur gilda um mælaborðsmyndavélar í bílum?

Notkun mælaborðsmyndavéla felur almennt í sér vinnslu persónuupplýsinga sem fellur undir gildissvið persónuverndarlaga. Í þessu sambandi má geta þess að bílnúmer teljast til dæmis til persónuupplýsinga, þar sem þau er hægt að rekja til einstaklinga. Þá má gera ráð fyrir að upptökur úr mælaborðsmyndavélum sýni einnig gangandi vegfarendur. Af þessu leiðir að sá sem setur upp slíka myndavél í bíl sínum þarf að tryggja að notkun hennar, og vinnsla persónuupplýsinga sem verða til við þá notkun, samrýmist persónuverndarlögum.

Í þessu samhengi má benda á að persónuverndarlögin gera til að mynda kröfu um að nærstöddum sé gert viðvart um vöktunina með áberandi merkingum, þar sem fram kemur hver er ábyrgðaraðili vöktunarinnar. Þá getur þurft að veita þeim sem vöktuninni sæta upplýsingar um tilgang hennar, varðveislutíma upptöku og fleira. Gæta þarf öryggis upplýsinga á upptökum en í því samhengi getur t.d. skipt máli í hvaða landi þær eru vistaðar, þar sem uppfylla þarf sérstök skilyrði ef persónuupplýsingar eru fluttar út fyrir EES-svæðið.

Þá má nefna að einstaklingar sem sjást á upptöku (þeir sjálfir eða t.d. bíll þeirra/bílnúmer) eiga almennt rétt til aðgangs að persónuupplýsingum um þá sjálfa og þar með rétt til að skoða upptökur sem til verða og fá af þeim afrit innan mánaðar, óski þeir eftir slíku. Eftir atvikum getur þurft að afmá upplýsingar um aðra einstaklinga af upptökunni áður en orðið er við slíkri beiðni.

Síðast en ekki síst má benda á að óheimilt er að birta opinberlega upptökur úr myndavélinni sem innihalda persónuupplýsingar, svo sem á samfélagsmiðlum, nema skilyrði persónuverndarlaganna fyrir slíkri birtingu séu uppfyllt.

Hvaða reglur gilda um myndavéladróna?

Notkun myndavéladróna felur almennt í sér vinnslu persónuupplýsinga sem fellur undir gildissvið persónuverndarlaga. Í þessu sambandi má geta þess að bílnúmer teljast til dæmis til persónuupplýsinga, þar sem þau er hægt að rekja til einstaklinga. Þá má gera ráð fyrir að upptökur úr myndavéladrónum sýni gangandi vegfarendur. Af þessu leiðir að sá sem notar myndavéladróna þarf að tryggja að notkun hans, og vinnsla persónuupplýsinga sem verða til við þá notkun, samrýmist persónuverndarlögum.

Í þessu samhengi má benda á að persónuverndarlögin gera til að mynda kröfu um að nærstöddum sé gert viðvart um vöktunina með áberandi merkingum, þar sem fram kemur hver er ábyrgðaraðili vöktunarinnar. Þá getur þurft að veita þeim sem vöktuninni sæta upplýsingar um tilgang hennar, varðveislutíma upptöku og fleira. Gæta þarf öryggis upplýsinga á upptökum en í því samhengi getur t.d. skipt máli í hvaða landi þær eru vistaðar, þar sem uppfylla þarf sérstök skilyrði ef persónuupplýsingar eru fluttar út fyrir EES-svæðið.

Þá má nefna að einstaklingar sem sjást á upptöku (þeir sjálfir eða t.d. bíll þeirra/bílnúmer) eiga almennt rétt til aðgangs að persónuupplýsingum um þá sjálfa og þar með rétt til að skoða upptökur sem til verða og fá af þeim afrit innan mánaðar, óski þeir eftir slíku. Eftir atvikum getur þurft að afmá upplýsingar um aðra einstaklinga af upptökunni áður en orðið er við slíkri beiðni. Síðast en ekki síst má benda á að óheimilt er að birta opinberlega upptökur úr myndavélinni sem innihalda persónuupplýsingar, svo sem á samfélagsmiðlum, nema skilyrði persónuverndarlaganna fyrir slíkri birtingu séu uppfyllt.

Hvaða reglur gilda um búkmyndavélar (e. body cameras)?

Notkun búkmyndavéla felur almennt í sér vinnslu persónuupplýsinga sem fellur undir gildissvið persónuverndarlaga. Gera má ráð fyrir að upptökur úr búkmyndavélum geti sýnt almenna borgara séu vélarnar notaðar á almannafæri.

Sá sem setur upp búkmyndavél, þ.e. ábyrgðaraðilinn, þarf að tryggja að notkun hennar, og vinnsla persónuupplýsinga sem verða til við þá notkun, samrýmist persónuverndarlögum.

Til þess að vinna megi með persónuupplýsingar þarf að standa til þess heimild samkvæmt persónuverndarlögum. Þá þarf tilgangur vöktunarinnar að vera skýr, málefnalegur og lögmætur, t.d. að tryggja öryggi manna. Gæta þarf meðalhófs og ekki má ganga lengra heldur en þörf krefur til að forðast óþarfa íhlutun í einkalíf þeirra sem sæta vöktuninni. Þá þarf að gæta að varðveislutíma myndefnisins sem safnast en ekki má geyma það lengur en í 30 daga nema í sérstökum tilvikum, t.d. með heimild í lögum. Sama á við um upplýsingar sem nauðsynlegar eru til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.

Einnig má benda á að persónuverndarlögin gera kröfu um að nærstöddum sé gert viðvart um vöktunina með áberandi merkingum, þar sem fram kemur hver er ábyrgðaraðili vöktunarinnar. Þá getur þurft að veita þeim sem vöktuninni sæta upplýsingar um tilgang hennar, varðveislutíma upptöku og fleira. Gæta þarf öryggis upplýsinga á upptökum en í því samhengi getur t.d. skipt máli í hvaða landi þær eru vistaðar, þar sem uppfylla þarf sérstök skilyrði ef persónuupplýsingar eru fluttar út fyrir EES-svæðið.

Þá má nefna að einstaklingar sem sjást á upptöku (þeir sjálfir eða t.d. bíll þeirra/bílnúmer) eiga almennt rétt til aðgangs að persónuupplýsingum um þá sjálfa og þar með rétt til að skoða upptökur sem til verða og fá af þeim afrit innan mánaðar, óski þeir eftir slíku. Eftir atvikum getur þurft að afmá upplýsingar um aðra einstaklinga af upptökunni áður en orðið er við slíkri beiðni.

Síðast en ekki síst má benda á að óheimilt er að birta opinberlega upptökur úr myndavélinni sem innihalda persónuupplýsingar, svo sem á samfélagsmiðlum, nema skilyrði persónuverndarlaganna fyrir slíkri birtingu séu uppfyllt.

Ábyrgðaraðili getur þurft að framkvæma mat á áhrifum á persónuvernd (MÁP) áður en vinnsla persónuupplýsinga með þessum hætti er hafin.

Streymi frá viðburðum/fundum

Í mörgum tilfellum er hægt að bera kennsl á þá einstaklinga sem sjást í streymi og þá fellur það undir reglur um persónuvernd.

Því er gott að hafa nokkra hluti í huga:

• Streymdu aðeins því sem nauðsynlegt er.

• Mikilvægt er að upplýsa alla þá sem koma að viðburðinum um að honum sé streymt.

• Fræða skal einstaklinga um streymi m.a. með því að setja upp skýr skilti/merkingar þar sem fram kemur að viðburðinum verði streymt og hvert myndavélunum sé beint.

• Sé fundur aðeins í gegnum streymi er mikilvægt að það komi fram í upplýsingum um fundinn.

• Tilgreindu svæði þar sem engin myndataka fer fram.

• Ef tilgangurinn með streyminu er eingöngu til að sýna viðburðinn, skaltu ekki taka hann upp og geyma.

• Athugaðu að börn njóta sérstakrar verndar samkvæmt persónuverndarlögunum.

• Vertu meðvitaður um hvort unnið er með sérstakar persónuupplýsingar sem gætu flokkast sem viðkvæmar persónuupplýsingar, t.d. heilsufarsupplýsingar eða upplýsingar um trúarbrögð og lífsskoðanir.

• Gangið úr skugga um að tæknilausnirnar sem notast er við séu nægilega öruggar.

• Hafið í huga að viðstaddir geta mótmælt því að birtast í streyminu. Gott er að útbúa fyrirfram leiðbeiningar um hvernig skrá skuli andmælin og bregðast við þeim.

Bæklingar Persónuverndar um eftirlitsmyndavélar

Persónuvernd gaf út bækling um rafræna vöktun í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Einnig má nálgast prentvæna pdf-útgáfu af gátlistanum fyrir notkun eftirlitsmyndavéla hér.