Eftirlit af hálfu Fiskistofu

Mál nr. 2021030579

28.3.2023

Úrskurður

Hinn 28. mars 2023 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2021030579:

I.
Málsmeðferð
1.
Tildrög máls

Hinn 2. mars 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir myndbandsupptökum Fiskistofu með dróna af fiskiskipinu [...].

Með bréfi, dags. 2. júlí 2021, var Fiskistofu boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 17. ágúst 2021. Með bréfi, dags. 1. október 2021, var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið Fiskistofu. Bárust athugasemdir kvartanda með tölvupósti þann 4. nóvember 2021.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartanda

Af hálfu kvartanda hefur komið fram að Fiskistofa hafi sent honum bréf þar sem fram kom að eftirlitsmenn á vegum stofnunarinnar hefðu við veiðieftirlit fylgst með veiðum fiskiskipsins [...] og notað við það dróna með myndavél. Kvartandi telur að Fiskistofa hafi enga heimild til að vinna með persónuupplýsingar með þessum hætti. Ekki sé ljóst á hvaða heimild persónuverndarlaga Fiskistofa byggi vinnslu sína. Þá telur kvartandi að eftirlit Fiskistofu með dróna sé rafræn vöktun í skilningi persónuverndarlaganna. Fiskistofa hafi ekki tilkynnt að til stæði að viðhafa slíka vöktun. Meint brot útgerðar fiskiskipsins teljist til refsiverðrar háttsemi samkvæmt lögum nr. 57/1996, um umgengni um nytjastofna sjávar, og því hafi Fiskistofu borið að fara að ákvæðum persónuverndarlaganna er lúta að vinnslu upplýsinga um refsiverða háttsemi.

3.
Sjónarmið Fiskistofu

Af hálfu Fiskistofu hefur komið fram að um sé að ræða fjórar myndbandsupptökur sem eftirlitsmaður stofnunarinnar tók með notkun dróna með myndavél. Á myndböndunum sjáist skip kvartanda og einn maður um borð. Þá sjáist einnig nafn skipsins og skipaskrárnúmer þess. Hins vegar sé maðurinn um borð ekki persónugreinanlegur sem slíkur. Fiskistofa telji þar af leiðandi að umræddar myndbandsupptökur hafi ekki að geyma persónugreinanlegar upplýsingar. Þá telur stofnunin það vafa undirorpið að umrædd vinnsla teljist rafræn vöktun í skilningi laga nr. 90/2018, enda sé ekki um að ræða vöktun sem sé viðvarandi eða endurtekin reglulega.

Fiskistofa annist framkvæmd laga nr. 57/1996, um umgengni um nytjastofna sjávar. Stofnunin hafi frá upphafi fyrst og fremst byggt veiðieftirlit sitt á mönnuðu eftirliti þar sem veiðieftirlitsmenn fari um landið eða til sjós með fiskiskipum. Með aukinni tækniþróun hafi aðferðir við veiðieftirlit þróast. Meðal annars hafi færst í vöxt að veiðieftirlitsmenn noti rafknúinn vélbúnað til að varðveita upplýsingar til að tryggja að ákvarðanir stofnunarinnar byggist á réttum upplýsingum um málsatvik. Í janúar 2021 hafi Fiskistofa hafið notkun á dróna við eftirlit með fiskveiðum á grunnslóð. Eftirlitið fari þannig fram að veiðieftirlitsmenn stýri drónum nálægt veiðislóðum skipa sem stundi veiðar skammt frá landi. Tækjunum sé ávallt stjórnað af veiðieftirlitsmanni sem sé viðstaddur og sjái myndefnið úr myndavél drónans í beinu streymi. Í þeim tilfellum þar sem upp komi grunur um frávik frá lögum og reglum kveiki eftirlitsmaður á upptöku og taki aðeins upp það myndefni sem nauðsynlegt sé til að færa sönnur á að brot hafi átt sér stað. Í þeim tilfellum þar sem mál fari í formlega málsmeðferð sé upptaka myndefnisins vistuð í skjalavinnslukerfi Fiskistofu, en öðrum eintökum sé eytt. Gögnin séu geymd í skjalakerfi Fiskistofu sem sé aðgangsstýrt og þeir einir hafi aðgang að gögnunum sem þess þurfi vegna vinnu þeirra við rannsókn málsins. Fiskistofa sé opinber stofnun sem sé bundin af stjórnsýslulögum og verði þess vegna að rannsaka og afla nauðsynlegra sönnunargagna áður en ákvörðun er tekin í máli. Eðli málsins samkvæmt sé eftirlit Fiskistofu að hluta framkvæmt án þess að tilkynnt sé um það fyrir fram. Vinnslan sé nauðsynleg svo að stofnunin geti sinnt lögbundnu hlutverki sínu og haft eftirlit með því sem fram fer á stöðum þar sem erfitt er að beita hefðbundnu eftirliti með sem hagkvæmustum hætti. Þá hafi Fiskistofa framkvæmt mat á áhrifum vinnslu á persónuvernd vegna fyrirhugaðrar notkunar dróna við eftirlit.

II.
Forsendur og niðurstaða
1.
Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Eins og rakið er í skýringum við 3. gr. laganna í greinargerð með lagafrumvarpinu lýtur kjarni persónuupplýsingahugtaksins að því að upplýsingar megi rekja til einstaklings, beint eða óbeint. Til þess að upplýsingar séu persónugreinanlegar (rekjanlegar) skal tekið mið af öllum aðferðum sem eðlilegt er að hugsa sér að ábyrgðaraðili eða annar aðili beiti til að bera kennsl á viðkomandi einstakling. Af þessu leiðir að ef unnt er að tengja kvartanda við umrætt myndefni, svo sem með hliðsjón af lögskráningu skips sem hann er skráður eigandi að eða skipverji á, eða eftir atvikum með hliðsjón af öðrum atvikum, getur myndefni af honum talist til persónuupplýsinga, sbr. 2. tölul 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Mál þetta varðar myndabandsupptöku úr dróna af fiskiskipinu [...] er það var við veiðar skammt frá landi. Ljóst er að Fiskistofu var kunnugt um hvaða skip var um að ræða. Þá hafi Fiskistofu mátt vera ljóst að kvartandi var eini starfsmaður útgerðarinnar og eini eigandi hennar. Að þessu virtu og með hliðsjón af framangreindum ákvæðum telst það myndefni sem um ræðir í málinu vera persónugreinanlegt. Varðar mál þetta því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Eins og hér háttar til telst Fiskistofa vera ábyrgðaraðili að umræddri vinnslu.

2. Lögmæti vinnslu og niðurstaða

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Ljóst er að umræddir drónar sem Fiskistofa notar við eftirlit hafa takmarkaðan flugtíma, eða að hámarki um klukkustund. Vöktunin er því hvorki viðvarandi gagnvart kvartanda né endurtekin reglulega. Að mati Persónuverndar er því ekki um að ræða rafræna vöktun í skilningi lagaákvæðisins.

Þrátt fyrir að ekki sé um rafræna vöktun að ræða í skilningi 14. gr. laga nr. 90/2018 verður öll vinnsla persónuupplýsinga að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Má þar nefna að vinnsla er heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. þeirrar greinar, eða vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. sömu greinar. Við mat á því hvort vinnsla persónuupplýsinga getur stuðst við 3. eða 5. tölul er mikilvægt að hafa í huga að 3. tölul. 9. gr. gerir ráð fyrir að löggjafinn hafi ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram. Þegar byggt er á 5. tölul er gert ráð fyrir að stjórnvöld hafi ákveðið svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum viðkomandi stjórnvalds með vísan til almannahagsmuna og beitingar opinbers valds.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Í tengslum við mat á gagnsæi við vinnslu, sbr. 1. tölul. lagaákvæðisins, getur jafnframt þurft að líta til ákvæða um fræðsluskyldu ábyrgðaraðila gagnvart hinum skráða, sbr. 17. gr. laga nr. 90/2018 og 12.-14. gr. reglugerðar (ESB) 2016/679.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 2. gr. laga um Fiskistofu, nr. 36/1992, segir að Fiskistofa skuli annast framkvæmd laga um stjórn fiskveiða og eftirlit með fiskveiðum, svo sem nánar sé kveðið á um í lögum um það efni. Þá segir í 1. mgr. 13. gr. laga nr. 57/1996, um umgengni um nytjastofna sjávar, að Fiskistofa og eftirlitsmenn í hennar þjónustu annist eftirlit með framkvæmd laganna. Jafnframt kemur fram í 1. mgr. 8. gr. laganna að eftirlitsmönnum Fiskistofu sé heimill aðgangur að fiskiskipum, flutningstækjum, fiskverkunum og birgðageymslum sem nauðsynlegur sé til að vigta sjávarafla eða hafa eftirlit með vigtun hans. Í 1. mgr. 10. gr. laga nr. 79/1997, um veiðar í fiskveiðilandhelgi Íslands, segir að veiðieftirlitsmönnum Fiskistofu sé heimilt að fara í veiðiferðir með fiskiskipum og sé skipstjórum þeirra skylt að veita þeim alla aðstoð og aðstöðu um borð í skipum sínum til þess að þeir geti sinnt eftirliti með veiðum. Þá er Fiskistofu jafnframt falið eftirlit með framkvæmd laga nr. 116/2006, um stjórn fiskveiða, sbr. 1. mgr. 18 .gr. laganna.

Af ofangreindu er ljóst að löggjafinn hefur veitt Fiskistofu nokkuð rúmar heimildir til eftirlits. Af þeim heimildum má þó ráða að gert er ráð fyrir að slíku eftirliti sé sinnt af eftirlitsmönnum í eigin persónu sem þannig er veittur aðgangur að nauðsynlegum stöðum, svo sem skipum, flutningstækjum, geymslum eða öðru húsnæði. Þá er ekkert í ákvæðum þeirra laga sem Fiskistofa hefur eftirlit með sem veitir stofnuninni heimild til þess að viðhafa rafrænt eftirlit með leynd.

Umrætt eftirlit Fiskistofu var framkvæmt með því að taka upp myndbönd af kvartanda, þar sem hann var við veiðar skammt undan ströndum, með dróna. Þá var kvartanda ekki sérstaklega gert viðvart um að Fiskistofa fylgdist með honum. Eina tilkynningin sem hafði komið frá stofnuninni var almenn yfirlýsing sem birtist á vefsíðu hennar þann 7. janúar 2021 um að Fiskistofa hefði tekið í notkun dróna við eftirlit. Samkvæmt framansögðu verður því að telja að eftirlit Fiskistofu hafi í raun farið fram með leynd og þannig ekki samrýmst gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Þá verður ekki talið að vinnslan hafi samrýmst ákvæðum löggjafarinnar um fræðsluskyldu, sbr. 1.-2. mgr. 17. gr. laganna og 12.-13. gr. reglugerðarinnar.

Við framkvæmd þess eftirlits sem Fiskistofu er falið samkvæmt lögum ber stofnuninni að halda sig innan þess ramma sem grunnregla 71. gr. stjórnarskrárinnar um friðhelgi einkalífs setur. Þá verður jafnframt að horfa til þess að samkvæmt hinni almennu lögmætisreglu stjórnsýsluréttarins ber stjórnvöldum að starfa innan þess ramma sem lög setja þeim. Til hliðsjónar má geta þess að í skýringum við 4. mgr. 14. gr. laga nr. 90/2018 segir m.a. að vöktun með leynd sé óheimil nema hún styðjist við lagaheimild eða úrskurð dómara og að sérreglur um þess háttar vöktun komi m.a. fram í ákvæðum um rannsóknarheimildir lögreglu í XI. kafla laga um meðferð sakamála nr. 88/2008. Þá hafa eftirlitsmenn Fiskistofu ekki lögregluvald, sbr. 9. gr. lögreglulaga nr. 90/1996. Þótt hér sé ekki um rafræna vöktun að ræða í skilningi 14. gr. laga nr. 90/2018, sbr. umfjöllun framar í þessum kafla, telur Persónuvernd ljóst að löggjafinn hafi ekki ætlað að veita eftirlitsmönnum Fiskistofu samskonar eða rýmri heimildir til eftirlits en handhöfum lögregluvalds eru veittar samkvæmt framangreindum lagaákvæðum.

Með vísan til alls framangreinds er það niðurstaða Persónuverndar að engin heimild hafi staðið til þeirrar vinnslu Fiskistofu á persónuupplýsingum kvartanda, sem fólst í umræddum myndbandsupptökum, sbr. 9. gr. laga nr. 90/2018 og 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þá hafi vinnslan ekki samrýmst 1. tölul. 1. mgr. 8. gr. laganna um gagnsæi, sbr. a-lið 1. mgr. 5. gr. reglugerðarinnar, né heldur 1.-2. gr. 17. gr. laganna og 12.-13. gr. reglugerðarinnar um fræðsluskyldu.

3.
Fyrirmæli

Með vísan til alls framangreinds og með heimild í 4. tölul. 42. gr. laga nr. 90/2018, sbr. d-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er hér með lagt fyrir Fiskistofu að færa vinnslu persónuupplýsinga sem á sér stað við eftirlit með upptökum með dróna til samræmis við a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679 um gagnsæi, 12.-13. gr. reglugerðarinnar um fræðsluskyldu og 1. mgr. 6. gr. reglugerðarinnar um vinnsluheimildir.

Skal staðfesting á því að farið hafi verið að þessum fyrirmælum, ásamt lýsingu á því hvernig það er gert, berast Persónuvernd eigi síðar en 28. apríl 2023.

Ú r s k u r ð a r o r ð:

Vinnsla Fiskistofu á persónuupplýsingum um [A] samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, um gagnsæi við vinnslu persónuupplýsinga, fræðsluskyldu og vinnsluheimildir.

Með vísan til 4. tölul. 42. gr. laga nr. 90/2018, sbr. d-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er lagt fyrir Fiskistofu að færa vinnslu persónuupplýsinga sem á sér stað við eftirlit með upptökum með dróna til samræmis við a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679 um gagnsæi, 12.-13. gr. reglugerðarinnar um fræðsluskyldu og 1. mgr. 6. gr. reglugerðarinnar um vinnsluheimildir.

Skal staðfesting á því að farið hafi verið að þessum fyrirmælum, ásamt lýsingu á því hvernig það er gert, berast Persónuvernd eigi síðar en 28. apríl 2023.

Persónuvernd, 28. mars 2023

Ólafur Garðarsson

formaður

Árnína Steinunn Kristjánsdóttir                 Björn Geirsson

Vilhelmína Haraldsdóttir              Þorvarður Kári Ólafsson