Rafræn vöktun og meðferð myndefnis í íþróttamiðstöðinni í Borgarnesi

Mál nr. 2018/1051

12.7.2019

Úrskurður

Hinn 27. júní 2019 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2018/1051:

I.

Málsmeðferð

1.

Upphaf máls

Þann 6. júní 2018 barst Persónuvernd kvörtun frá [A] og [B] (hér eftir nefnd kvartendur) vegna vinnslu íþróttamiðstöðvarinnar í Borgarnesi á myndbandsupptökum af ólögráða [barni] þeirra.

Í kvörtuninni kemur fram að upptökur úr öryggismyndavélum í íþróttamiðstöðinni hafi verið sýndar öðrum aðilum án heimildar [barns] kvartenda eða forráðamanna hans sem auk þess fái ekki að sjá umrætt myndband. Þá er kvartað yfir því að merkingar varðandi öryggismyndavélar séu ófullnægjandi og því til stuðnings vísað til ljósmyndar hjálagðri með kvörtun.

2.

Bréfaskipti

Með bréfi, dags. 12. júlí 2018, var Borgarbyggð boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í bréfinu var óskað eftir því að upplýst yrði hvort Borgarbyggð teldi sig vera ábyrgðaraðila að umræddri vinnslu eða hvort sveitarfélagið teldi íþróttamiðstöðina í Borgarnesi vera sjálfstæðan ábyrgðaraðila við vinnslu persónuupplýsinga. Þá var spurt hvort þriðja aðila hefði verið sýnd og/eða afhent myndbandsupptaka og ef svo væri, hverjum og í hvaða tilgangi. Einnig var spurt á hvaða heimild slík dreifing væri byggð og hvernig fræðslu um rafræna vöktun væri háttað í íþróttamiðstöðinni. Þá var spurt hvort kvartendum hefði verið synjað um að skoða umrædda myndbandsupptöku og ef svo væri á hvaða grundvelli það hefði verið byggt.

Svar barst með bréfi, dags. 20. júlí 2018. Í bréfinu segir að íþróttamiðstöðin Borgarnesi sé sjálfstæður ábyrgðaraðili við vinnslu persónuupplýsinga sem stofnun á vegum Borgarbyggðar. Þá segir jafnframt að kennsla nemenda grunnskólans í Borgarnesi í íþróttum og sundi fari fram í húsnæði íþróttamiðstöðvarinnar yfir skólaárið. Því hafi skólastjórnendur og umsjónakennarar aðgang að upptökum af nemendum í íþróttamiðstöðinni í kennslu á skólatíma en einungis þó með leyfi forstöðumanns íþróttamiðstöðvarinnar og að honum viðstöddum. Teljist þessir aðilar því ekki vera þriðju aðilar heldur hafi þeir starfa sinna vegna aðgang að myndbandsupptökum íþróttamiðstöðvarinnar. Þá segir í bréfinu að þessir aðilar hafi skoðað upptöku vegna gruns um agabrot nemenda skólans í íþróttamiðstöðinni á skólatíma. Tilgangur skoðunarinnar sem hér er deilt um hafi verið að skoða árekstur [barna] og athuga hvort hann tengdist einelti í skólanum. Upptakan hafi verið skoðuð með forstöðumanni íþróttamiðstöðvarinnar í tölvu á staðnum. Í bréfinu kemur einnig fram að heimild til skoðunar upptöku byggi á lögum nr. 77/2000 sem segi að þeir sem starfa sinna vegna þurfi að hafa aðgang að myndefni skuli hafa hann. Efni skuli eingöngu skoðað ef tilefni gefist til, svo sem vegna þjófnaðar eða slyss. Varðandi fræðslu um rafræna vöktun í íþróttamiðstöðinni segir í bréfinu að starfsfólk íþróttamiðstöðvarinnar og grunnskólans sé frætt um að tilgangur öryggismyndavéla sé að tryggja öryggi viðskiptavina í sundlaugunum og á göngum. Þá segir í bréfinu að starfsmönnum sé óheimilt að skoða eða sýna myndir úr öryggismyndavélum án leyfis forstöðumanns. Einungis einn starfsmaður íþróttamiðstöðvarinnar hafi þekkingu á því kerfi sem notað var við upptökuna og kunni að endursýna myndskeið. Lögreglan hafi fengið að skoða upptökur í þeim tilfellum sem einhver hafi farið að næturlagi í sundlaugar. Jafnframt segir að þetta sé í eina skiptið sem skólastjórnendur hafi fengið að sjá myndskeið. Að lokum segir í svari Borgarbyggðar að kvartendum hafi verið synjað um að skoða myndbandið nema lögreglumaður væri viðstaddur og hafi kvartendur hafnað því boði.

Með bréfi, dags. 6. september 2018, var kvartendum boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Borgarbyggðar fyrir hönd íþróttamiðstöðvarinnar Borgarnesi til samræmis við 10. og 13. gr. Stjórnsýslulaga nr. 37/1993. Svar barst með bréfi, dags. 28. september 2018. Í bréfinu segir að hvergi komi fram í íþróttahúsi, á skrifstofu Borgarbyggðar né í grunnskóla Borgarness hvernig vöktun sé háttað í starfsemi grunnskólans og íþróttamiðstöðvarinnar í Borgarnesi, en hinn skráði eigi rétt á upplýsingum frá ábyrgðaraðila um hvaða upplýsingar unnið hafi verið með og tilgang vinnslunnar. Hvergi komi fram að rafræn vöktun íþróttamiðstöðvarinnar sé einnig á vegum grunnskólans. Í bréfinu er vísað til svars ábyrgðaraðila þar sem fram komi hverjir hafi heimild til að skoða upptökur og um tilgang þess að umrædd upptaka hafi verið skoðuð. Segir í bréfi kvartenda að þetta brjóti í bága við persónuverndarlög og því séu veik rök að þetta hafi verið á skólatíma. Þá segir að engar upplýsingar hafi verið gefnar út á vegum grunnskólans um að starfsfólki sé heimilt að skoða upptökur eða að starfsfólk skólans teljist ekki til þriðja aðila. Foreldrum hafi ekki verið tilkynnt í upphafi að skoða ætti myndefni um hinn skráða, þ.e. [barn] þeirra, og þeim hafi síðan verið synjað um að sjá upptökuna. Í þessu tilfelli sé [barnið] undir 18 ára aldri og því enn frekari ástæða til að foreldrum sé tilkynnt áður en frekar sé aðhafst í málinu. Myndefnið hafi verið skoðað af starfsmanni íþróttamiðstöðvarinnar og tveimur starfsmönnum grunnskólans án þess að foreldrar hafi verið látnir vita. Kvartendur hafi því ekki haft tækifæri til að gæta hagsmuna barns síns og skoða rétt sinn áður en frekar var aðhafst í málinu. Jafnframt segir að kvartendur hafi ekki haft val um að samþykkja að þriðji aðili væri viðstaddur skoðun á upptökunni sem í þessu tilfelli hafi verið starfsfólk grunnskólans. Í svari Borgarbyggðar sé farið með rangt mál þar sem faðir [barnsins] hafi óskað eftir því að sjá upptökuna og hafi skólastjóri grunnskólans ætlað að verða við þeirri kröfu en eftir að hafa aflað sér frekari upplýsinga um heimildir til birtingar myndefnis samkvæmt persónuverndarlögum hafi kröfunni verið hafnað á þeim grundvelli að foreldrum væri ekki heimilt að sjá myndefnið. Jafnframt hafi komið fram hjá skólastjóra að hún hafi sjálf ekki haft heimild til að sjá myndefnið þrátt fyrir að hafa þá þegar verið búin að sjá myndefnið ásamt kennara [barnsins]. Þá segir í bréfinu að skólastjóri hafi viðurkennt á fundi með foreldrum og [barninu] ásamt aðstoðarskólastjóra að hvorki hún né kennari [barnsins] hafi haft heimild til að skoða myndefnið.

Með tölvupósti 6. mars 2019 var óskað eftir að kvartendur sendu ljósmynd sem í kvörtun var sögð fylgja með en var ekki hjálögð. Svar barst 3. apríl 2019 þar sem fram kom að um væri að ræða þrjár ljósmyndir af eftirlitsmyndavélum í íþróttahúsinu ásamt einni mynd af skilti sem kvartendur segja jafnframt eina skiltið sem þau hafi fundið í húsnæðinu.

Með bréfi, dags. 4. apríl 2019, var Borgarbyggð veittur frestur til að tjá sig um framkomnar ljósmyndir. Sérstaklega var óskað eftir að upplýst yrði hvar í íþróttamiðstöðinni í Borgarnesi skiltið væri, hvort það væri eina merkingin um rafræna vöktun í íþróttamiðstöðinni og ef ekki, hvar aðrar merkingar væru staðsettar. Svar barst með tölvupósti 15. apríl 2019 en í viðhengi með honum var að finna 5 ljósmyndir af merkingum um vöktun. Ein ljósmynd var af merkingu á hurð í anddyri íþróttamiðstöðvarinnar, ein af gangi hennar og þrjár á og við sundlaugasvæði.

II.

Forsendur og niðurstaða

1.

Lagaskil og afmörkun máls

Atvik máls þessa gerðust fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018. Umfjöllun og efni þessarar ákvörðunar, sbr. þó umfjöllun um merkingar um rafræna vöktun, byggjast því á ákvæðum eldri laga, nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, en með gildistöku laga nr. 90/2018 voru ekki gerðar efnislegar breytingar á þeim reglum sem hér reynir á.

2.

Gildissvið – Ábyrgðaraðili

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna.

Í 6. tölul. 1. mgr. 2. gr. laga nr. 77/2000 er rafræn vöktun skilgreind sem vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði, og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Af framangreindu er ljóst að myndavélaeftirlit það sem íþróttamiðstöðin í Borgarnesi viðhefur er í eðli sínu rafræn vöktun og rafræn vinnsla persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst íþróttamiðstöðin í Borgarnesi vera ábyrgðaraðili að umræddri vinnslu

3.

Lögmæti vöktunar og vinnslu

Fræðsla

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Má þar m.a. nefna að vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul., eða að hún sé nauðsynleg til að gæta lögmætra hagsmuna, enda vegi grundvallarréttindi og frelsi hins skráða ekki þyngra, sbr. 7. tölul. sömu málsgreinar. Þá verður vinnsla viðkvæmra persónuupplýsinga, sbr. 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tölul., að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul., og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. Þá er tekið fram í 1. mgr. 4. gr. laganna að rafræn vöktun verði að fara fram í málefnalegum tilgangi, sem og að rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram. Á grundvelli 5. mgr. 37. gr. laga nr. 77/2000 hefur Persónuvernd sett sérstakar reglur um rafræna vöktun, þ.e. reglur nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 5. gr. þeirra reglna skal þess meðal annars gætt við slíka vöktun að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt, sem og að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Í 7. gr. reglnanna segir að persónuupplýsingar sem verða til við rafræna vöktun megi aðeins nota í þágu tilgangsins með söfnun þeirra og aðeins að því marki sem þess gerist þörf í þágu tilgangsins. Um rétt þess sem sætt hefur rafrænni vöktun á að skoða gögn er fjallað í 12. gr. fyrrgreindra reglna en þar segir að sá sem sætt hafi rafrænni vöktun eigi rétt á því að skoða gögn, í samræmi við 18. gr. laga nr. 77/2000, enda standi ákvæði 2. mgr. 19. gr. laganna því ekki í vegi, þess efnis að réttur hins skráða til vitneskju um vinnslu persónuupplýsinga um sig eigi ekki við þyki hann eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra eða hans eigin.

Ljóst er að þegar grunur er uppi um agabrot nemenda sem mögulega tengist einelti í skóla, og þar af leiðandi öryggi nemenda, getur skoðun á myndefni úr eftirlitsmyndavélum, sem settar eru upp í öryggis- og eignavörsluskyni, talist lögmæt samkvæmt framangreindum ákvæðum. Í samræmi við grunnkröfur laga nr. 77/2000 um meðalhóf og sanngirni verður að teljast eðlilegt að þeir sem starfa sinna vegna þurfa að hafa aðgang að myndefni skuli hafa hann til að tryggja tilgang vöktunarinnar. Að mati Persónuverndar verður ekki talið að íþróttamiðstöðin í Borgarnesi hafi farið fram úr þessum grunnkröfum með því að sýna umrætt myndefni að skólastjóra grunnskólans í Borgarnesi og kennara [barnsins] viðstöddum.

Hvað varðar synjun um skoðun á myndefni liggur hins vegar ekki fyrir að til staðar hafi verið slíkar aðstæður að hagsmunir annarra í vöktunarefni en [barns] kvartenda hafi vegið þyngra en hagsmunir þeirra af skoðun myndefnisins. Þá eru engar kröfur gerðar í lögum nr. 77/2000 um að skoðun á myndefni sem verður til við rafræna vöktun skuli fara fram í viðurvist lögreglunnar þó að heimild standi til þess að ábyrgðaraðili vöktunar afhendi lögreglu upplýsingar um slys eða refsiverðan verknað. Í ljósi framangreinds verður ekki séð að íþróttamiðstöðinni í Borgarnesi hafi verið heimilt að neita kvartendum um að skoða myndbandsupptöku af [barni] þeirra nema að viðstöddum lögreglumanni. Telst íþróttamiðstöðin í Borgarnesi samkvæmt því ekki hafa unnið þar í samræmi við lög nr. 77/2000.

4.

Merkingar um rafræna vöktun

Í 24. gr. laga nr. 77/2000, sbr. nú 4. mgr. 14. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, kemur fram að þegar rafræn vöktun fer fram á vinnustað eða á almannafæri skal með merki eða á annan áberandi hátt gera glögglega viðvart um þá vöktun og hver sé ábyrgðaraðili. Af þeim ljósmyndum sem ábyrgðaraðili sendi með tölvupósti 15. apríl 2019 er ljóst að merkingar íþróttamiðstöðvarinnar um rafræna vöktun eru ein merking í anddyri, ein merking í glugga á gangi íþróttamiðstöðvarinnar og merkingar á þremur stöðum við sundlaugarsvæði. Af gögnum málsins er ekki að sjá að fullnægjandi merkingar séu í eða við íþróttahús íþróttamiðstöðvarinnar að öðru leyti. Verður með hliðsjón af framangreindu ekki talið að íþróttamiðstöðin í Borgarnesi hafi fullnægt skyldum sínum hvað varðar merkingar við íþróttasvæði í íþróttamiðstöðinni. Með vísan til 4. tölul. 42. gr. laga nr. 90/2018 er því lagt fyrir íþróttamiðstöðina í Borgarnesi að senda Persónuvernd staðfestingu á því eigi síðar en 1. september 2019 að bætt hafi verið úr merkingum um rafræna vöktun í miðstöðinni.

Meðferð þessa máls hefur dregist vegna mikilla anna hjá Persónuvernd.

Ú r s k u r ð a r o r ð:

Skoðun íþróttamiðstöðvarinnar í Borgarnesi, ásamt skólastjóra og einum kennara grunnskólans í Borgarnesi, á myndefni af [barni] [A] og [B], sem varð til við rafræna vöktun í íþróttamiðstöðinni, samrýmdist lögum nr. 77/2000.

Neitun Íþróttamiðstöðin í Borgarnesi um að sýna [A] og [B] myndefni nema í viðurvist lögreglu samrýmdist ekki lögum um persónuvernd og meðferð persónuupplýsinga nr. 77/2000.

Merkingar um rafræna vöktun íþróttamiðstöðvarinnar í Borgarnesi samrýmast ekki 4. mgr. 14. gr. laga nr. 90/2018. Skal íþróttamiðstöðin senda Persónuvernd staðfestingu á því eigi síðar en 1. september 2019 að bætt hafi verið úr því.

Í Persónuvernd, 27. júní 2019

                                     Þórður Sveinsson                           Vigdís Eva Líndal