Álit Persónuverndar á afhendingu myndefnis til vátryggingafélags

Mál nr. 2019/979

11.10.2019

Álit

Hinn 26. september veitti Persónuvernd álit í máli nr. 2019/979:

I.

Tildrög máls

Hinn 30. apríl 2019 barst beiðni [A hf.] um álit Persónuverndar á því hvort [A hf.] sé heimilt að afhenda vátryggingafélagi útprentað myndefni úr öryggismyndavélakerfi félagsins með bótakröfu þess til greiðslu tjónskostnaðar þegar [A hf.] verður fyrir tjóni.

Í framangreindu erindi [A hf.] kemur fram að félagið meti það svo að þegar um óhappatilvik sé að ræða eigi tjónskostnaður að greiðast úr ábyrgðartryggingu ökutækis án þess að fyrir liggi lögregluskýrsla, þegar upplýsingar um tjónsatburð og skráningarnúmer ökutækis liggi fyrir. Einnig kemur fram að afstaða vátryggingafélaga sé hins vegar sú að þau greiði ekki út úr tryggingum nema að fyrir liggi skriflegt samþykki tjónvalds fyrir tjóni eða óyggjandi sannanir því til stuðnings. Þá kemur fram að öflun samþykkis og undirritun ökumanns í gegnum skráðan eiganda ökutækis sé afar erfið og oftar en ekki árangurslaus leið, þrátt fyrir mikla vinnu og fyrirhöfn. Eigi það einkum við um bílaleigur sem hafni í flestum tilvikum að staðfesta tjón sem leigutakar þeirra valdi.

Í erindi [A hf.] er tilgreint atvik, sem sagt er dæmigert, þar sem ökumaður skráðs ökutækis, sem er vátryggt með lögboðinni ábyrgðartryggingu veldur tjóni og upplýsingar um það ökutæki liggja fyrir. Atvikinu er lýst þannig að ökumaður dæli bensíni á bíl af sjálfsala en aki af stað án þess að aftengja afgreiðslubyssuna sem orsaki slönguslit á dælunni. Upplýsingarnar um atvikið byggi á upptöku úr öryggismyndavél [A hf.] sem sýni skráningarnúmer ökutækis tjónvalds.

Þá vísar [A hf.] til bréfaskipta félagsins við vátryggingafélagið [B hf.] þar sem fram kemur að þar sem ekki liggi fyrir undirrituð tjónstilkynning óski vátryggingafélagið eftir myndum sem sýni skráningarnúmer ökutækis tjónvalds þegar óhappið varð.

Í bréfi sínu vísar [A hf.] til þess að umrætt atvik hafi verið skráð í innanhússkýrslu félagsins sem grundvöllur tjónakröfu félagsins vegna tjónsins sem hlaust af fyrrgreindu atviki þegar slönguslitin áttu sér stað. Í umræddri skýrslu sé tjónsatvikinu lýst í smáatriðum en myndir úr öryggismyndavél hafi ekki fylgt með skýrslunni þar sem [A hf.] telji sér ekki heimilt að afhenda öðrum en lögreglu myndefnið. Í bréfi [A hf.] til vátryggingafélagsins kemur jafnframt fram að [A hf.] telji vandasamt að fá tjónvald í atvikum sem þessum til þess að undirrita tjónstilkynningu þar sem félagið reki mannlausar stöðvar og sé verslunarrekstur rekinn samhliða sé það á vegum annars aðila. Þá kemur fram í bréfi vátryggingafélagsins að félagið geti ekki tekið góða og gilda skriflega lýsingu [A hf.] á tjónsatburði þar sem um einhliða tjónstilkynningu sé að ræða sem þurfi að sanna með frekari gögnum, til dæmis myndum af vettvangi. Tjónþoli þurfi að sýna fram á tjón sitt með óyggjandi hætti. Því fáist umrætt tjón aðeins bætt ef [A hf.] afhendir umrætt myndefni úr öryggiskerfi félagsins.

II.

Álit Persónuverndar

1.

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Mál þetta lýtur að miðlun myndefnis úr eftirlitsmyndavélum þar sem greina má skráningarnúmer ökutækis. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst [A hf.] vera ábyrgðaraðili að umræddri vinnslu.

Afhending á myndefni úr eftirlitsmyndavél telst vera vinnsla persónuupplýsinga í skilningi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Þegar unnið er með slíkar upplýsingar þarf vinnslan ávallt að falla undir einhverja af heimildum 9. gr. þeirra laga. Samkvæmt 6. tölul. 9. gr. er vinnsla persónuupplýsinga heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. Þá þarf vinnsla viðkvæmra persónuupplýsinga að auki að samrýmast einhverju af viðbótarskilyrðum 11. gr. sömu laga. Sé um vinnslu persónuupplýsinga er varða refsiverða háttsemi að ræða, þarf miðlunin að samrýmast ákvæðum 12. gr. laganna.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.).

Í 14. gr. laga nr. 90/2018 er fjallað um rafræna vöktun. Í 2. tölul. 3. mgr. sama ákvæðis kemur fram að efni með viðkvæmum persónuupplýsingum og upplýsingum um refsiverða háttsemi, sem til verður við rafræna vöktun, verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða á grundvelli heimilda í reglum sem Persónuvernd setur.

2.

Þegar metið er hvort [A hf.] sé heimilt að afhenda myndbandsupptökur til vátryggingarfélags síns í því skyni að fá tjón greitt þarf að meta hvort hér sé um að ræða almennar persónuupplýsingar, upplýsingar um refsiverðan verknað eða viðkvæmar persónuupplýsingar. Af lýsingu [A hf.] má ráða að í flestum tilvikum komi ekki fram á myndbandsupptökum upplýsingar sem feli í sér grun um refsiverðan verknað eða viðkvæmar persónuupplýsingar. Má því ætla að nægilegt sé að afhending myndefnisins styðjist við heimild í 9. gr. laga nr. 90/2018. Kemur þá til skoðunar á hvaða heimild í 9. gr. slík vinnsla getur byggst en í erindi [A hf.] kemur fram að vátryggingarfélag þess geri kröfu um að með bótakröfu fylgi annað hvort skriflegt samþykki tjónvalds fyrir tjóni eða óyggjandi sannanir því til stuðnings og að myndefni úr öryggismyndavélum geti þjónað slíkum tilgangi. Við slíkar aðstæður kann afhending myndefnis sem sannar með óyggjandi hætti hver tjónvaldur sé að vera nauðsynleg til að verja lögmæta hagsmuni tjónþola, þ.e. [A hf.]. Þá er það mat Persónuverndar að í slíkum tilvikum, eins og þeim er lýst í erindi [A hf.], vegi hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki þyngra en lögmætir hagsmunir félagsins.

Að framangreindu virtu er það álit Persónuverndar að nefnd miðlun á persónuupplýsingum úr öryggismyndavélakerfi [A hf.], sem verða til við rafræna vöktun og ekki varða viðkvæmar persónuupplýsingar eða grun um refsiverða háttsemi, til vátryggingafélags síns, geti stuðst við 6. tölul. 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, séu upplýsingarnar nauðsynlegar til að sannreyna að tjón hafi átt sér stað.

Persónuvernd áréttar að það er ábyrgðaraðila að meta í hvert sinn hvers eðlis þær persónuupplýsingar eru, sem verða til við rafræna vöktun. Það mat getur sætt endurskoðun Persónuverndar, berist henni kvörtun frá einstaklingi þar að lútandi.

Í Persónuvernd, 27. september 2019

Helga Þórisdóttir                          Vigdís Eva Líndal