Miðlun á hljóðritun húsfélagsfundar og rafræn vöktun í fjöleignahúsi

Mál nr. 2020102684

15.9.2022

Úrskurður

Hinn 15. september 2022 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020102684:

I.
Málsmeðferð
1.
Tildrög máls

Hinn 20. október 2020 barst Persónuvernd kvörtun frá húsfélaginu [X] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga um aðila húsfélagsins.

Nánar tiltekið er kvartað yfir því að [A] og [B] hafi annars vegar hljóðritað húsfélagsfund, án samþykkis eða vitundar fundarmanna, unnið með hljóðupptökuna og miðlað henni til óskyldra aðila. Hins vegar hafi þau sett upp eftirlitsmyndavél í glugga íbúðar sinnar og viðhaft rafræna vöktun á sameign, án samþykkis annarra íbúa fjöleignarhússins.

Með bréfi, dags. 13. apríl 2021, var [X] tilkynnt um fyrirhugaða frávísun kvörtunarinnar þar sem skilyrði aðildar samkvæmt lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerð (ESB) 2016/679 og reglum stjórnsýsluréttar voru ekki uppfyllt. Var húsfélaginu jafnframt leiðbeint um að framvísaði það umboði frá íbúum, sem ættu hagsmuna að gæta í málinu, væri unnt að taka málið til meðferðar í þeirra nafni.

Hinn 3. maí 2021 bárust umrædd umboð. Samkvæmt þeim eru kvartendur í máli þessu níu talsins: [C], [D], [E], [F], [G], [H], [I], [J], og [K], hér eftir nefnd kvartendur.

Hinn 28. júní 2021 var [A] og [B] tilkynnt um kvörtunina og veittur kostur á að tjá sig um hana. Svar barst með bréfi, dags. 9. júlí s.á., ásamt fylgiskjölum. Persónuvernd sendi kvartendum bréf, dags. 3. september s.á., þar sem þeim var boðið að tjá sig um fram komnar skýringar [A] og [B]. Svar kvartenda barst með bréfi, dags. 30. s.m.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur dregist vegna tafa á svörum og mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartenda

Kvartendur byggja kvörtun sína á því að [A] og [B] hafi sett upp eftirlitsmyndavél í glugga íbúðar sinnar og viðhaft rafræna vöktun, án samþykkis annarra íbúa fjöleignarhússins, í þeim tilgangi að fylgjast með sameign, þ. á m. bílaplani og inngöngum hússins. Þau hafi ekki sýnt fram á að hafa fjarlægt myndavélina eða sannarlega eytt uppteknu efni. Kosið hafi verið í húsfélaginu þann [...] um það hvort heimila ætti upptökur í húsinu, og hafi því verið hafnað.

Einnig er kvartað yfir að sömu aðilar hafi á fundi húsfélagsins [X], þann [...], hljóðritað fundinn, unnið með og miðlað upptökunni til kærunefndar húsamála án vitundar eða samþykkis annarra fundarmanna og notað hana sem málsgagn í máli aðila hjá nefndinni.

2.
Sjónarmið [A] og [B]

Í skýringum [A] og [B] kemur m.a. fram að þau hafi sett upp öryggismyndavél um skamma hríð en tekið hana niður eftir húsfund 26. apríl 2018 og eytt öllu uppteknu efni.

Þá hafi [B] ekki verið viðstödd umræddan húsfund þann 18. júní 2020 og því vandséð að hún hafi getað átt einhvern þátt í því sem þar hafi farið fram.

Fram kemur í skýringum [A] og [B] að nágrannadeilur hafi staðið yfir í húsinu um langt skeið, vegna bílastæða og framkvæmda við fasteignina, og að deilumál þeirra hafi meðal annars ratað á borð kærunefndar húsamála. Borið hafi á skemmdum á bílum þeirra og af þeim sökum hafi þau, vorið 2018, sett upp eftirlitsmyndavél í glugga íbúðar sinnar. Hafi tilgangur hinnar rafrænu vöktunar verið að koma í veg fyrir tjón á bifreiðum í þeirra eigu og vélinni hafi eingöngu verið beint að bílastæði þeirra við húsið og bílastæði fyrir framan bílskúr í þeirra eigu. [A] hafi bent íbúum fjöleignarhússins á myndavélina og þeir hafi ekki mótmælt henni. Þá hafi, á húsfundi þann 26. apríl 2018, undir liðnum „önnur mál“ verið fjallað um eftirlitsmyndavélina án þess að þess hafi verið sérstaklega getið í fundarboði. Af þeim sökum hafi ekki verið hægt að álykta eða samþykkja neitt um hana samkvæmt fjöleignarhúsalögum [A] heldur því fram að á téðum húsfundi, 26. apríl 2018, hafi aldrei verið ákveðið að taka ætti vélina niður. Þau hafi hins vegar gert það samdægurs og eytt öllu uppteknu efni. Þá hafi þau aldrei verið beðin um staðfestingu á því að myndavélin hafi verið tekin niður eða gögnum eytt

Hvað hljóðritun á húsfundi 18. júní 2020 varðar greinir [A] frá ósætti og deilumálum er varði breytingar og kostnað vegna þeirra á ytra byrði fjöleignarhússins. Stuttu eftir fundinn hafi honum borist hljóðupptaka af hluta fundarins án þess að hann hafi vitað hver hafi staðið að baki upptökunni. Hljóðritunin ásamt endurriti hennar hafi síðan verið lögð fram með gögnum málsins hjá kærunefnd húsamála í þeim tilgangi að sýna fram á ósannsögli gagnaðila varðandi umræddan fund.

II.
Forsendur og niðurstaða
1.
Lagaskil og afmörkun máls

Mál þetta lýtur bæði að atvikum sem gerðust í tíð eldri laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sem og atviki sem gerðist í tíð núgildandi laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga er gildi tóku 15. júlí 2018 og lögfestu jafnframt persónuverndarreglugerðina, (ESB) 2016/679, eins og hún var aðlöguð og tekin upp í EES-samninginn.

Rafræn vöktun sem kvartað er yfir fór fram fyrir gildistöku núgildandi persónuverndarlaga, en samkvæmt skýringum [A] og [B] var myndavélin tekin niður og öllu uppteknu efni eytt þann 26. apríl 2018, þ.e. þegar lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, voru enn í gildi. Um framangreindan þátt kvörtunarinnar fer því samkvæmt þeim lögum.

Hljóðupptaka á húsfundi þann 18. júní 2020 og síðari miðlun hennar til kærunefndar húsamála í september 2020 fór hins vegar fram eftir gildistöku laga nr. 90/2018 og fer því um hana samkvæmt þeim lögum.

Eins og að framan var rakið ber aðilum ekki saman um það hver hafi staðið að hljóðupptöku á húsfélagsfundi þann [...]. Samkvæmt því stendur orð gegn orði varðandi þann þátt kvörtunarinnar. Persónuvernd hefur ekki forsendur til að taka afstöðu til þess, þ.e. hvort [A] og/eða [B] hafi hljóðritað umræddan fund, gegn neitun þeirra þar að lútandi, enda liggur ekkert fyrir í málinu sem fært hefur sönnur á það. Ekki er því unnt að fullyrða að [A] og/eða [B] séu ábyrgðaraðilar að hljóðrituninni sjálfri. Hins vegar liggur fyrir að [A] og [B] miðluðu umræddri upptöku til kærunefndar húsamála vegna máls sem þau voru aðilar að og var til meðferðar hjá nefndinni.

2.
Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Sambærileg ákvæði um gildissvið laga nr. 77/2000 og hugtökin persónuupplýsingar og vinnslu voru í 1. mgr. 3. gr. og 1. og 2. tölul. 2. gr. þeirra laga.

Sé unnt að persónugreina rödd einstaklings á hljóðupptöku teljast upplýsingar á henni til persónuupplýsinga. Miðlun persónugreinanlegrar hljóðupptöku telst því til vinnslu persónuupplýsinga, sbr. framangreint.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. tölul. 2. gr. laga nr. 77/2000, nú 9. tölul. 3. gr. laga nr. 90/2018. Hugtakið tekur m.a. til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga.

Samkvæmt 2. mgr. 3. gr. laga nr. 77/2000, nú 2. mgr. 4. gr. laga nr. 90/2018, sbr. c-lið 2. mgr. 2. gr. reglugerðar (ESB) 2016/679, gilda lögin og reglugerðin ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota.

Dómstóll Evrópusambandsins komst að þeirri niðurstöðu, í máli nr. C‑212/13 (František Ryneš) frá 11. desember 2014, að framangreind undanþága skyldi túlkuð þröngt. Því gæti myndupptaka í eftirlitsskyni sem tæki, jafnvel eingöngu að hluta, til svæða utan yfirráðasvæðis ábyrgðaraðila ekki fallið undir undanþáguákvæðið, sbr. einnig úrskurð Persónuverndar frá 17. desember 2020 í máli nr. 2020010548. Með skýringum [A] og [B] fylgdu ljósmyndir þar sem sést að eftirlitsmyndavél var komið fyrir í glugga sem vissi að gangstétt, bílastæðum, bílskúrum og svæði á almannafæri. Í ljósi þess gat umrædd meðferð ekki talist eingöngu varða einkahagi þeirra eða fjölskyldu þeirra er viðhöfðu vöktunina. Fellur umrædd vöktun því innan gildissviðs laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og valdsviðs Persónuverndar.

Þá varðar málið einnig miðlun á hljóðupptöku húsfélagsfundar til kærunefndar húsamála sem fellur undir gildissvið laga nr. 90/2018, sbr. reglugerð (ESB) 2016/679, og þar með valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist persónuverndarlögum er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laga nr. 77/2000, sbr. nú 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679, er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga. Eins og hér háttar til teljast [A] og [B] vera ábyrgðaraðilar að umræddri vinnslu.

2.
Lögmæti vinnslu og niðurstaða

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 8. gr. laga nr. 77/2000, sbr. nú 9. gr. laga nr. 90/2018 og 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn, sbr. 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðarákvæðisins, sbr. áður 7. tölul. 8. gr. laga nr. 77/2000, sem er efnislega sambærilegt fyrrgreindu ákvæði núgildandi laga.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Er þá helst að líta til laga um fjöleignarhús nr. 26/1994 og reglugerðar nr. 1355/2019 um kærunefnd húsamála.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum um vinnslu persónuupplýsinga, sbr. 1. mgr. 8. gr. laga nr. 90/2018 og 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, sbr. einnig 1. mgr. 7. gr. eldri laga nr. 77/2000. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. 1. mgr. 8. gr. laga nr. 90/2018); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

2.1.
Rafræn vöktun að [...]

Í málinu liggur fyrir að ábyrgðaraðilar settu upp eftirlitsmyndavél í miðglugga íbúðar sinnar á jarðhæð að [...]. Fram kemur í skýringum ábyrgðaraðila að myndavélin hafi verið tekin niður í kjölfar húsfélagsfundar þann [...]. Um vöktunina giltu því lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga og reglur Persónuverndar settar á grundvelli þeirra laga nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Rafræn vöktun sem felur í sér vinnslu persónuupplýsinga þarf ávallt að styðjast við einhverja þeirra vinnsluheimilda sem tilgreindar eru í persónuverndarlögum, sbr. hér 8. gr. laga nr. 77/2000. Að því marki sem hér kann að vera um viðkvæmar persónuupplýsingar að ræða verður einnig að líta til 9. gr. laganna, en þar er mælt fyrir um viðbótarskilyrði fyrir vinnslu slíkra upplýsinga. Þarf vinnslan þá að fullnægja einhverju þeirra skilyrða, auk einhvers skilyrðanna í 8. gr. laganna. Það ákvæði 8. gr. laganna, sem hér kemur einkum til álita, er 7. tölul. 1. mgr., þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Af ákvæðum 9. gr. laganna kemur einkum til álita 7. tölul. 1. mgr. sem heimilar vinnslu viðkvæmra persónuupplýsinga sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.

Almennt hefur verið talið að rafræn vöktun í öryggis- og eignavörsluskyni sé heimil að nánari skilyrðum uppfylltum og að hún hafi getað stuðst við heimildarákvæði 7. tölul. 8. gr. laga nr. 77/2000. Ef um er að ræða vöktun á sameign í fjöleignarhúsi þarf slík ákvörðun að vera tekin á löglega boðuðum húsfundi í samræmi við ákvæði laga nr. 26/1994 um fjöleignarhús, m.a. 36., 39. og 41. gr. laganna. Einstaklingum og húsfélögum er auk þess alla jafna óheimilt að vakta svæði sem eru utan lóðamarka.

Í málinu liggur fyrir að ekki hafi legið fyrir samþykki löglega boðaðs húsfundar fyrir rafrænni vöktun í fjöleignahúsinu [...]. Verður því ekki séð að vinnslan geti stuðst við framangreinda heimild. Þá verður ekki séð að aðrar heimildir til vinnslu persónuupplýsinga komi til greina eins og háttar til í máli þessu.

Þegar af þeirri ástæðu stóð engin heimild til vöktunar ábyrgðaraðila á sameign fjöleignarhússins eða almannasvæði. Auk þess höfðu aðrir íbúar fjöleignahússins ekki fengið um hana formlega fræðslu og engar merkingar eða viðvaranir voru til staðar um að rafræn vöktun færi fram, sbr. 24. gr. laga nr. 77/2000. Samrýmdist því umrædd vöktun ekki heldur meginreglum laganna um vinnslu persónuupplýsinga, sbr. 1. mgr. 7. gr. laga nr. 77/2000.

Með vísan til framangreinds er það niðurstaða Persónuverndar að rafræn vöktun ábyrgðaraðila að [...] í Reykjavík samrýmdist ekki þágildandi lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

2.2.
Miðlun hljóðritunar til kærunefndar húsamála

Í reglugerð nr. 1355/2019 um kærunefnd húsamála, sem sett er samkvæmt heimild í 9. mgr. 85. gr. húsaleigulaga nr. 36/1994 og 7. mgr. 80. gr. laga um fjöleignarhús nr. 26/1994, kemur fram að hlutverk kærunefndar húsamála er meðal annars að fjalla um hvers konar ágreining milli eigenda fjöleignarhúsa sem varða réttindi þeirra og skyldur samkvæmt lögum um fjöleignarhús, nr. 26/1994. Ljóst er því að kærunefnd húsamála hefur heimildir að lögum til að fjalla um ágreining íbúa fjöleignarhúss, svo sem um nýtingu sameignar.

Greini eigendur fjöleignarhúsa á um réttindi sín og skyldur samkvæmt lögum nr. 26/1994 um fjöleignahús geta þeir, einn eða fleiri, leitað til kærunefndar húsamála og óskað eftir álitsgerð um ágreiningsefnið, sbr. 1. mgr. 80. gr. laga nr. 26/1994. Erindi til kærunefndar skal vera skriflegt og í því skal skilmerkilega greina hvert sé ágreiningsefnið, hver sé krafa aðila og rökstuðningur fyrir henni, sbr. 2. mgr. 80. gr. sömu laga. Skal kærunefnd gefa gagnaðila kost á að tjá sig og koma sjónarmiðum sínum og kröfum á framfæri. Heimilt er kærunefnd að kalla eftir öllum nauðsynlegum upplýsingum og gögnum og óska umsagnar frá öðrum sem málið snertir eða við kemur, sbr. 3. mgr. ákvæðisins.

Aðilar að máli fyrir kærunefnd húsamála eiga lögmætra hagsmuna að gæta af niðurstöðu máls fyrir nefndinni. Þáttur í að gæta þeirra hagsmuna er að varpa ljósi á málavexti og koma að sjónarmiðum sínum, kröfum og rökstuðningi fyrir þeim undir rannsókn málsins, samkvæmt framangreindum ákvæðum laga nr. 26/1994 um fjöleignarhús. Sönnunargögn og persónuupplýsingar gagnaðila er fylgja greinargerð til nefndarinnar geta því talist nauðsynlegur þáttur rökstuðnings í slíku máli. Þá verður ekki séð að hagsmunir kvartenda af því að vinnsla persónuupplýsinga um þá fari ekki fram í slíku máli séu ríkari en hagsmunir ábyrgðaraðila af því að koma sjónarmiðum sínum að í sama máli. Það er því mat Persónuverndar að umrædd vinnsla kunni að geta stuðst við 6. tölul. 9. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

Fyrir liggur að ábyrgðaraðili kveðst ekki hafa aflað umræddrar upptöku og á þá fræðsluskylda 17. gr. laga nr. 90/2018, sbr. 12-14. gr. reglugerðar (ESB) 2016/679, ekki við eins og hér háttar til. Hins vegar skal þess gætt við vinnslu persónuupplýsinga að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Til að meta hvort skilyrði um gagnsæi hafi verið uppfyllt kemur því til skoðunar hvort kvartendum hefði mátt vera ljóst að ábyrgðaraðili myndi miðla umræddum upplýsingum til kærunefndar húsamála.

Fyrir liggur að málsaðila, sem eru eigendur íbúða í fjöleignahúsi, hafði um nokkurt skeið greint á um réttindi sín og skyldur samkvæmt fjöleignahúsalögum nr. 26/1994 sem bera má undir kærunefnd húsamála. Verður því að telja að kvartendum hafi mátt vera ljóst að ábyrgðaraðili kynni að leita réttar síns vegna ágreiningsins, þ. á m. til kærunefndar húsamála, og styddi málatilbúnað sinn gögnum.

Með vísan til framangreinds er það mat Persónuverndar að ekki hafi verið sýnt fram á að [A] og [B] hafi staðið að hljóðritun á húsfélagsfundi [...]. Einnig að með miðlun hljóðritunarinnar til kærunefndar húsamála hafi umræddar persónuupplýsingar verið unnar með lögmætum, sanngjörnum og gagnsæjum hætti, og að þær unnar í málefnalegum tilgangi. Þá liggur ekki annað fyrir en að persónuupplýsingar kvartenda sem unnar voru hafi verið nægilega viðeigandi og ekki umfram það sem nauðsynlegt hafi verið miðað við tilgang vinnslunnar.

Miðlun [A] og [B] á hljóðupptöku til kærunefndar húsamála samrýmdist því ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Ú r s k u r ð a r o r ð:

Rafræn vöktun [A] og [B] að [...] í Reykjavík samrýmdist ekki lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Miðlun [A] og [B] á hljóðupptöku af húsfélagsfundi til kærunefndar húsamála samrýmdist lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Persónuvernd, 15. september 2022

Helga Sigríður Þórhallsdóttir                                       Rebekka Rán Samper