Miðlun HK á nafni ólögráða barns til þriðja aðila

Mál nr. 2017/993

22.8.2018

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 26. júní 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/993:

 

I.
Málsmeðferð

 

1.
Tildrög máls

Þann 4. júlí 2017 barst Persónuvernd kvörtun frá [A] vegna afhendingar á upplýsingum um ólögráða dóttur hennar til þriðja aðila frá Handknattleiksfélagi Kópavogs (hér eftir einnig nefnt HK).

Í kvörtuninni kemur fram að grunur hafi vaknað um að ólögráða dóttir kvartanda hafi valdið skemmdum á farsíma. Í kjölfarið hafi HK veitt upplýsingar um dótturina, sem meintan geranda, í símtali við föður eiganda símans, en upplýsingarnar byggðust á skoðun á myndefni úr eftirlitsmyndavélum. Þá segir að HK hafi ekki haft samband við kvartanda sem hafi því ekki frétt af málinu fyrr en faðir eigandans hringdi í hana þremur dögum síðar.

 

2.
Bréfaskipti

Með bréfi, dags. 31. júlí 2017, var HK boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svar barst með bréfi, dags. 15. ágúst 2017.

Í svari HK segir að þann 6. júní 2017 hafi dóttir kvartanda farið úr dægradvöl Hörðuvallaskóla, fyrr en ráð var gert fyrir eða um kl. 14, en dægradvölin sé í sama húsnæði og íþróttaaðstaða HK. Dóttir kvartanda hafi svo verið á ferð um ganga hússins að bíða eftir því að knattspyrnuæfing sem hún var á leið á hæfist kl. 15 sama dag. Fram kemur í svarinu sú afstaða HK að stúlkan hafi verið á ábyrgð skólans á umræddum tíma, enda hafi æfingatími hennar hjá HK ekki verið byrjaður. Fram kemur að starfsmenn HK hafi orðið varir við stúlkuna þar sem hún gaf sig fram við þá og greindi frá því að salerni sem er skammt frá aðstöðu starfsmanna við inngang hússins væri læst. Því næst hafi starfsmaður HK farið með stúlkunni að salerninu og tekið úr lás en við það fundið í vaski farsíma sem var blautur og tekið hann í sínar vörslur. Af tölvupóstsamskiptum kvartanda og HK, sem hjálögð voru með svari félagsins, verður ráðið að salernið hafi verið ólæst skömmu áður þar sem því er lýst að samkvæmt myndbandsupptökum hafi dóttir kvartanda endurtekið átt þar leið um, sbr. erindi kvartanda til félagsins í tölvupósti hinn 11. júní 2017.

Einnig kemur fram í svari HK að þennan sama dag hafi önnur stúlka saknað farsíma sem hún að sögn hafði skilið eftir í íþróttatösku. Sú stúlka hafi komið með föður sínum eftir æfingu í því skyni að kanna hvort umræddur sími hefði fundist en mun síminn hafa verið sá sem fannst blautur inni á salerninu fyrr um daginn. Fram kemur í svarinu að af þessu tilefni hafi yfirþjálfari knattspyrnudeildar HK kannað mannaferðir í eftirlitsmyndavélakerfi hússins og þá séð dóttur kvartanda koma út af salerninu. Í kjölfarið hafi þjálfarinn upplýst föður stúlkunnar sem átti símann um nafn dóttur kvartanda og bent honum á að hafa samband við Hörðuvallaskóla þar sem hann mun hafa fengið uppgefið nafn kvartanda og símanúmer.

Er vísað til þess í svari HK að afgreiðsla málsins hafi fyrst og fremst miðað að því að tryggja að réttilega væri staðið að því að gæta hagsmuna ungra barna, að tryggt væri að hvor aðilinn um sig, skólinn og íþróttafélagið, axlaði ábyrgð á þeirri hagsmunagæslu og að hvorugur gripi fram fyrir hendur hins. Í þessu ljósi hafi engum trúnaðarupplýsingum verið deilt með föður eiganda símans. Fram kemur í svari HK að af þessu tilefni hafi verið farið yfir verkferla milli Hörðuvallaskóla og HK með það fyrir augum að freista þess að svona tilvik kæmu ekki upp á ný.

Að lokum áréttar HK í svari sínu þá afstöðu félagsins að félagið hafi ekki brotið trúnað gagnvart dóttur kvartanda. Engum trúnaðarupplýsingum, sem kvartandi hafi látið félaginu í té og leynt ættu að fara, hafi verið miðlað til óviðkomandi aðila og enginn rannsókn farið fram á því hvort dóttir kvartanda hafi skemmt umræddan farsíma. Fram kemur í svarinu að faðir eiganda símans hafi verið upplýstur um að dóttir kvartanda hafi verið þarna á ferð, en jafnframt að föðurnum hafi verið vísað til skólans með vísan til þess að hún hafi verið þarna á vegum skólans á umræddum tíma. Aldrei hafi verið staðhæft að dóttir kvartanda hafi skemmt símann og því síður hafin rannsókn á því, enda sé það ekki á verksviði íþróttafélagsins að hlutast til um rannsókn á framgöngu barna á skólatíma. Með því að málið hafi farið til úrvinnslu skólans hafi verið litið svo á að það væri í réttum farvegi en engin ástæða, eða forsendur, hafi verið taldar til þess að mati félagsins að blanda öðrum yfirvöldum, eða lögreglu, í málið.

Með bréfi, dags. 27. september 2017, og aftur með bréfi, dags. 6. mars 2018, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar HK til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Ekkert svar barst frá kvartanda.

 

II.
Forsendur og niðurstaða

 

1.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Í 6. tölul. 1. mgr. 2. gr. laga nr. 77/2000 er rafræn vöktun skilgreind sem vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði, og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Af framangreindu er ljóst að myndavélaeftirlit það sem Handknattleiksfélag Kópavogs (HK) viðhefur er í eðli sínu rafræn vöktun og rafræn vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Munnleg miðlun upplýsinga, eins og sú sem kvartað er yfir í málinu, telst hins vegar ekki falla undir lögin nema hún fari fram í beinu samhengi við vinnslu í skilningi þeirra og teljist því vera þáttur í henni. Eins og atvikum er hér háttað telst svo hafa verið, enda voru umrædd skoðun á myndefni og í kjölfar þess munnleg miðlun upplýsinga um niðurstöður skoðunarinnar órjúfanlegir þættir samfelldra viðbragða á vegum sama aðila til að bregðast við atviki sem myndefnið var talið varpa ljósi á. Þegar litið er til þessa telur Persónuvernd það heyra undir valdsvið sitt að úrskurða um þann ágreining sem á reynir í máli þessu, sbr. 37. gr. laganna.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst HK vera ábyrgðaraðili að umræddri vinnslu

2.
Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Má þar m.a. nefna að  vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul., eða að hún sé nauðsynleg til að gæta lögmætra hagsmuna, enda vegi grundvallarréttindi og frelsi hins skráða ekki þyngra, sbr. 7. tölul. sömu málsgreinar. Þá verður vinnsla viðkvæmra persónuupplýsinga, sbr. 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna, en á meðal þeirra er að vinnsla sé nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Til viðkvæmra persónuupplýsinga teljast meðal annars upplýsingar um grun um refsiverða háttsemi, sbr. b-lið 8. tölul. 2. gr. laga nr. 77/2000. Í máli þessu ræðir um upplýsingar um barn undir sakhæfisaldri og því ljóst að þær geta ekki lotið að háttsemi, í þessu tilviki meintum eignaspjöllum, sem refsiverð er í eiginlegum skilningi. Í ljósi markmiðsákvæðis 1. gr. laga nr. 77/2000, og eins hér háttar til, ber hins vegar að leggja upplýsingarnar að jöfnu við það og ef sakhæfisaldri væri náð.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tölul., að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul., og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. Þá er tekið fram í 1. mgr. 4. gr. laganna að rafræn vöktun verði fara fram í málefnalegum tilgangi, sem og að rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegnar eðlis þeirrar starfsemi sem þarf fer fram. Á grundvelli 5. mgr. 37. gr. laga nr. 77/2000 hefur Persónuvernd sett sérstakar reglur um rafræna vöktun, þ.e. reglur nr. 837/2006, en samkvæmt 5. gr. þeirra reglna skal þess meðal annars gætt við slíka vöktun að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt, sem og að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra.

Ljóst er að þegar grunur er uppi um eignaspjöll getur skoðun á myndefni úr eftirlitsmyndavélum, sem settar eru upp í öryggis- og eignavörsluskyni, talist lögmæt samkvæmt framangreindum ákvæðum og er ekki um það deilt í málinu. Þegar um ræðir barn verður það einnig talið eðlilegt að gera forráðamönnum þess viðvart um það þegar myndefni varpar ljósi á atvik sem því tengjast, en í því getur falist að samkvæmt myndefninu sé tiltekið annað barn talið hafa gert á hlut barnsins. Í ljósi fyrrgreindrar grunnreglu um sanngirni og vandaða vinnsluhætti verður hins vegar að gera þá kröfu að samhliða því séu forráðamenn barnsins, sem liggur undir grun um háttsemina, einnig upplýstir. Þess var ekki gætt í því tilviki sem hér er til umfjöllunar og telst HK samkvæmt því ekki hafa þar unnið í samræmi við lög nr. 77/2000.

Meðferð þessa máls hefur dregist vegna mikilla anna hjá stofnuninni.

 

Ú r s k u r ð a r o r ð:

Ekki var farið að lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga þegar Handknattleiksfélag Kópavogs miðlaði upplýsingum um ólögráða dóttur [A] úr myndefni úr eftirlitsmyndavélum án þess að [A] væri upplýst um það mál sem um ræddi.