Niðurstaða frumkvæðisathugunar Persónuverndar á rafrænni vöktun við skóla og leikskóla í Hafnarfirði – Fyrirmæli um úrbætur
Mál nr. 2020010402
Efni: Niðurstaða frumkvæðisathugunar Persónuverndar á rafrænni vöktun við skóla og leikskóla í Hafnarfirði – Fyrirmæli um úrbætur
Persónuvernd vísar til fyrri bréfaskipta vegna frumkvæðisathugunar í tilefni af rafrænni vöktun við skóla og leikskóla í Hafnarfirði, en tilkynnt var um athugunina með bréfi stofnunarinnar til sveitarfélagsins, dags. 4. desember 2019, þar sem óskað var tiltekinna skýringa.
1.
Skýringar Hafnarfjarðarkaupstaðar
Ósk Persónuverndar um skýringar var svarað með bréfi Hafnarfjarðarkaupstaðar, dags. 18. desember 2019. Þar segir að eftirlitsmyndavélar hafi þegar verið settar upp í grunnskólum bæjarins, en þeir séu átta talsins. Hins vegar hafi ekki verið tekin formleg ákvörðun um að hefja skipulega uppsetningu öryggismyndavéla við leikskóla á nýju ári. Það hafi verið til umræðu og snúi umræðurnar meðal annars að því hvort vöktun eigi að fara fram utanhúss utan vistunartíma leikskólabarna í eignavörsluskyni. Sé stefnt að því nú að setja upp slíkt eftirlit við einn leikskólann sökum skemmda og slæmrar umgengni þegar leikskólanum er lokað. Sé hér með óskað álits Persónuverndar á slíkri vöktun leikskólabygginga og þá sérstaklega með hliðsjón af reglum um mat á persónuvernd og fræðsluskyldu.
Tekið er fram í bréfi Hafnarfjarðarkaupstaðar að með hliðsjón af framangreindu sé einstökum liðum í ósk Persónuverndar um skýringar svarað með áherslu á vöktun í grunnskólum. Hér að neðan má sjá liði fyrirspurnarinnar ásamt svörum Hafnarfjarðarkaupstaðar, þ. á m. viðbótarskýringum sem bárust 4. desember 2020 frá sveitarfélaginu samkvæmt beiðni Persónuverndar 27. nóvember s.á., sbr. lið 2 hér á eftir:
1. Þess var óskað að upplýst yrði hvort mat á áhrifum á persónuvernd hefði verið framkvæmt vegna vöktunarinnar, sbr. 29. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 35. gr. reglugerðar (ESB) 2016/679. Að því gefnu að svo væri óskaði stofnunin jafnframt eftir afriti af matinu.
Því er svarað til af hálfu Hafnarfjarðarkaupstaðar að mat hafi verið framkvæmt vegna vöktunar við grunnskóla sveitarfélagsins og að sú vinna hafi farið fram í kjölfar útgáfu lista af hálfu Persónuverndar um vinnslu þar sem krafist er mats. Hjálagt með bréfi sveitarfélagsins var afrit af matinu. Eins og fram kemur í bréfinu tekur það ekki til vöktunar við leikskóla.
2. Þess var óskað að fram kæmi hvar eftirlitsmyndavélar væru eða yrðu staðsettar, þ.e. utandyra og/eða innandyra, ásamt upplýsingum um það hvers konar rými yrðu vöktuð og hvort vöktun næði að einhverju leyti til svæða utan lóðamarka.
Því er svarað til af hálfu Hafnarfjarðarkaupstaðar að myndavélar hafi verið og muni verða staðsettar utandyra í grunnskólum. Um sé að ræða vöktun á skólabyggingum og grunnskólalóðum, að lóðamörkum. Vísað er til þess að myndavélar innandyra séu einungis í fáum grunnskólum sveitarfélagsins. Ekki hafi enn verið tekin ákvörðun um að setja vélar innanhúss í aðra grunnskóla.
Hvað varðar vöktun innanhúss eins og staðið er að henni nú segir að eingöngu séu vöktuð svæði við útganga/innganga og þá eftir atvikum þau verðmæti sem þar er að finna, svo sem föt og skór, auk almannarýma ef sérstök ástæða sé talin til slíks með hliðsjón af öryggi og eignavörslu. Fram kemur að frekari vöktun innanhúss í grunnskólum sem kæmi til framkvæmda síðar myndi taka mið af framangreindu, þ.e. beinast að svæðum við útganga/innganga og þá eftir atvikum jafnframt að þeim verðmætum sem þar er að finna.
Í tölvupósti 27. nóvember 2020 óskaði Persónuvernd þess að Hafnarfjarðarkaupstaður upplýsti hver fjöldi þeirra grunnskóla væri þar sem eftirlitsmyndavélar væru innandyra, svo og hverjir þeir væru. Þá var þess óskað að upplýst yrði hvað átt væri við með almannarýmum innanhúss. Svar barst í tölvupósti 4. desember 2020. Segir í svarinu að í tveimur skólum, Skarðshlíðarskóla og Hraunvallaskóla, séu eftirlitsmyndavélar innandyra, auk þess sem unnið sé að því að koma á slíkri vöktun í Víðistaðaskóla vegna ítrekaðra skemmda og þjófnaðar, þ. á m. við munaskápa. Jafnframt segir að með almannarýmum innanhúss sé til dæmis átt við rými við afgreiðslu inni í skólum eða ganga sem séu öllum aðgengilegir og þar sem verðmæti séu jafnvel varðveitt, svo sem í munaskápum nemenda. Ekki sé um að ræða kennslustofur, önnur kennslurými eða einkarými.
3. Þess var óskað að fram kæmi hvernig vöktunin væri talin samrýmast 14. gr. laga nr. 90/2018 og voru 1. og 4. mgr. ákvæðisins sérstaklega tilgreindar. Segir í 1. mgr. ákvæðisins að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi, sem og að rafræn vöktun svæðis þar sem takmarkaður hópur fólks fer um að jafnaði sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram. Þá segir í 4. mgr. ákvæðisins að þegar rafræn vöktun fer fram á vinnustað eða á almannafæri skuli með merki eða á annan áberandi hátt gera glögglega viðvart um vöktunina og hver sé ábyrgðaraðili.
Af hálfu Hafnarfjarðarkaupstaðar er því lýst að vöktunin byggi á öryggis- og eignavörslutilgangi. Öryggistilgangurinn lúti einkum að nemendum en einnig starfsfólki og utanaðkomandi aðilum. Segir að grunnskólum beri samkvæmt lögum skylda til að gæta öryggis barna og að rafrænt öryggiseftirlit sé einn liður í að tryggja slíkt öryggi. Þá segir að eignavörslutilgangurinn lúti að verðmætum nemenda, sveitarfélagsins og starfsmanna. Með hliðsjón af framangreindu og eðli þeirrar starfsemi sem fram fari í skólum, sem börn sækja, sé talin sérstök þörf á vöktuninni.
Er þess einnig getið að merkingar um vöktunina séu almennt settar upp með áberandi og aðgengilegum hætti, hvort sem um sé að ræða límmiða eða skilti. Merkingarnar séu bæði myndrænar og í formi texta. Þannig megi þeir sem fara um skólalóðina gera sér grein fyrir því að þar fari fram rafræn vöktun.
4. Þess var óskað að fram kæmi við hvaða heimild vöktunin væri studd, sbr. 9. gr. laga nr. 90/2018.
Því er svarað til af hálfu Hafnarfjarðarkaupstaðar að stuðst sé við 3. og 6. tölul. 9. gr. laga nr. 90/2018 við vöktunina. Segir í fyrrnefnda ákvæðinu að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Þá segir í síðarnefnda ákvæðinu að vinna megi með persónuupplýsingar sé það nauðsynlegt vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn.
5. Þess var óskað að fram kæmi hvernig vöktunin væri talin samrýmast þeim meginreglum um vinnslu persónuupplýsinga sem tilgreindar eru í 1. mgr. 8. gr. laga nr. 90/2018, sbr. einkum 1.–3. og 6. tölul. ákvæðisins. Nánar tiltekið kemur fram í umræddum töluliðum að við vinnslu persónuupplýsinga skal þess gætt að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu (3. tölul.); og að þær séu unnar með þeim hætti að viðeigandi öryggi persónuupplýsinga sé tryggt (6. tölul.).
Hvað varðar 1–3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 er áréttað af hálfu Hafnarfjarðarkaupstaðar að tryggt sé að efni sé einungis safnað í öryggis- og eignavörslutilgangi eins og nánar er lýst í 3. kafla hér að framan. Auk þess segir að vélarnar séu settar upp á þann hátt að þær safni ekki efni eða vakti svæði umfram framangreindan tilgang og að efni sé ekki varðveitt lengur en 90 daga. Þá segir að vélarnar séu settar upp með áberandi hætti, að merkingar séu sýnilegar um rafræna vöktun og að sérstakri tilkynningu um vöktunina sé beint til hinna skráðu eins og nánar er fjallað um í 6. kafla hér á eftir. Hvað varðar 6. tölulið greinarinnar er vísað til þess að viðhafðar séu aðgangsstýringar, auk þess sem reglur hafi verið settar um meðferð og söfnun efnis.
6. Þess var óskað að fram kæmi hvernig Hafnarfjarðarkaupstaður hygðist uppfylla fræðsluskyldu sína vegna vöktunarinnar, einkum gagnvart nemendum og forráðamönnum þeirra, sem og starfsfólki viðkomandi skóla og leikskóla, sbr. 13. gr. reglugerðar (ESB) 2016/679 og 2. mgr. 17. gr. laga nr. 90/2018.
Því er svarað til af hálfu Hafnarfjarðarkaupstaðar að fræðsluskylda sé uppfyllt með viðeigandi merkingum á hinum vöktuðu svæðum. Merkingar séu þannig upp settar að einstaklingur sem fari um vaktað svæði sé upplýstur með áberandi hætti um að þar fari fram rafræn vöktun. Þá er vísað til áðurnefndra reglna hjá bænum, en þær séu aðgengilegar á vefsíðu sveitarfélagsins og verði þær einnig gerðar aðgengilegar á vefsíðum allra grunnskólanna. Eins er vísað til þess að fyrir liggi drög að tilkynningu um rafræna vöktun sem skólastjórnendur hyggist senda á forráðamenn og starfsfólk viðkomandi skóla og sem nemendur geti kynnt sér eftir aldri og þroska. Um sé að ræða tilkynningu sem vísi til fyrrnefndra reglna hjá sveitarfélaginu þannig að viðkomandi geti kynnt sér þær og fengið fræðslu um vöktunina og meðal annars réttindi sín, tilgang vöktunarinnar, samskiptaupplýsingar vegna andmæla, aðgangsheimildir og varðveislutíma.
7. Þess var óskað að fram kæmi hvort samráð hefði verið haft við persónuverndarfulltrúa Hafnarfjarðarkaupstaðar vegna vöktunarinnar, sbr. 2. mgr. 35. gr. reglugerðar (ESB) 2016/679.
Því er svarað til af hálfu Hafnarfjarðarkaupstaðar að samráð hafi verið haft við persónuverndarfulltrúa sveitarfélagsins við mat á áhrifum á persónuvernd, sbr. 2. mgr. 35. gr. reglugerðar (ESB) 2016/679.
8. Þess var óskað að fram kæmi hvort leitað hefði verið álits skráðra einstaklinga eða fulltrúa þeirra á vinnslunni, sbr. 9. mgr. 35. gr. reglugerðar (ESB) 2016/679.
Því er svarað til af hálfu Hafnarfjarðarkaupstaðar að skólastjórnendur grunnskóla hafi verið í samræðu við skólasamfélagið, þ.e. starfsfólk, nemendur og foreldra í hverjum skóla. Er í því samhengi vísað til skólaráða, starfsmannafunda og lýðræðisþinga nemenda. Eins hafi vöktunin verið til skoðunar á reglulegum samráðsfundum skólastjóra með skrifstofu mennta- og lýðheilsusviðs Hafnarfjarðarkaupstaðar.
2.
Leiðbeiningar um vöktun á leikskólum
Eins og fyrr greinir er þess farið á leit í bréfi Hafnarfjarðarkaupstaðar, dags. 18. desember 2019, að veitt sé álit Persónuverndar á vöktun leikskólabygginga. Ekki er hægt að veita slíkt álit sem nær yfir alla vöktun á öllum leikskólum. Skoða verður hvert tilfelli sérstaklega og meta það út frá þeim forsendum sem liggja fyrir í þeim aðstæðum sem þar kunna að vera fyrir hendi. Persónuvernd getur hins vegar veitt almennar leiðbeiningar og er þær að finna hér á eftir.
Við rafræna vöktun, þ. á m. notkun eftirlitsmyndavéla, þarf að fara að lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679. Í 14. gr. laganna er að finna sérstakt ákvæði um rafræna vöktun. Þá er að finna ákvæði um rafræna vöktun í reglum nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, sbr. nú 5. mgr. 14. gr. laganna. Taka þær reglur til rafrænnar vöktunar á vinnustöðum, í skólum og á öðrum svæðum þar sem takmarkaður hópur fólks fer um að jafnaði. Rafræn vöktun, þ. á m. vöktun með eftirlitsmyndavélum, verður að fara fram í skýrum og málefnalegum tilgangi, svo sem í þágu öryggis- og eignavörslu, sbr. 1. mgr. 14. gr. laga nr. 90/2018. Að auki verður vinnsla persónuupplýsinga, sem til verður við rafræna vöktun, að byggjast á fullnægjandi vinnsluheimild samkvæmt 9. gr. laganna. Kemur þar helst til greina 6. tölul. 1. mgr. ákvæðisins, þess efnis eins og fyrr segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji aðili gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða, sem krefjast verndar persónuupplýsinga, vegi þyngra, einkum þegar hinn skráði er barn, sbr. og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.
Af þessu er ljóst að vinnsla persónuupplýsinga vegna rafrænnar vöktunar á leikskólum þarf að byggjast á brýnum hagsmunum. Þegar vöktunin fer fram á vegum stjórnvalda reynir á niðurlag 1. mgr. 6. gr. reglugerðarinnar þar sem fram kemur að umrædd vinnsluheimild á ekki við um vinnslu stjórnvalda við störf sín. Telur Persónuvernd að þegar um ræðir rafræna vöktun á vegum stjórnvalda í öryggis- og eignavörsluskyni sé um að ræða aðstöðu hliðstæða þeirri og þegar rafræn vöktun fer fram á vegum einkaaðila. Eðlilegt sé að túlka orðið „störf sín“ í umræddu ákvæði reglugerðarinnar sem tilvísun til lögbundinna skyldna og sé rafræn vöktun, eins og hér háttar til, ekki eiginlegur þáttur í þeim. Því sé lagaumhverfið hér hið sama og þegar um ræðir einkaaðila og því unnt að byggja á 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.
Ljóst er að við rafræna vöktun geta safnast upplýsingar um refsiverða háttsemi. Þá geta safnast upplýsingar um heilsuhagi, einkum í tengslum við slys, en heilsufarsupplýsingar eru viðkvæmar, sbr. b-lið 3. tölul. 3. gr. laga nr. 90/2018. Svo að upplýsingum eins og hér um ræðir megi safna við rafræna vöktun verður að vera farið að eftirfarandi skilyrðum eins og fram kemur í 3. mgr. 14. gr. laga nr. 90/2018:
1. Vöktunin þarf að vera nauðsynleg og fara fram í öryggis- og eignavörsluskyni.
2. Það efni sem til verður við vöktunina má ekki afhenda öðrum eða vinna frekar nema með samþykki þess sem upptaka er af eða á grundvelli heimilda í reglum sem Persónuvernd setur; heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað, en þá skal þess gætt að eyða öllum öðrum eintökum af efninu.
3. Því efni sem safnast við vöktunina skal eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það.
Hvað viðkvæmar persónuupplýsingar varðar er einnig til þess að líta að auk heimildar samkvæmt 9. gr. laga nr. 90/2018 verður að vera fullnægt einhverju viðbótarskilyrðanna samkvæmt 11. gr. laganna. Kemur þar einkum til greina, eins og hér háttar til, 6. tölul. 1. mgr. ákvæðisins, þess efnis að heimilt sé að vinna með viðkvæmar persónuupplýsingar sé það nauðsynlegt til að unnt sé að stofna, hafa uppi eða verja réttarkröfur.
Auk vinnsluheimildar samkvæmt framangreindu verður ávallt að fara að grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018 við vinnslu persónuupplýsinga, þ. á m. um að þess skuli gætt að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær séu unnar með þeim hætti að viðeigandi öryggi persónuupplýsinganna sé tryggt (6. tölul.).
Framangreindar grunnkröfur 1.–3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 eru útfærðar nánar í tengslum við rafræna vöktun í 1. mgr. 14. gr. laga nr. 90/2018 og í áðurnefndum reglum nr. 837/2006. Eins og áður segir mælir umrætt ákvæði laganna fyrir um að rafræn vöktun skuli fara fram í málefnalegum tilgangi. Að auki segir að rafræn vöktun svæðis þar sem takmarkaður hópur fólks fer um að jafnaði sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram eins og lýst hefur verið. Þá segir í 5. gr. reglnanna að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Skuli gæta þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum. Þá segir meðal annars í 3. mgr. 7. gr. reglnanna að persónuupplýsingar sem til verða við rafræna vöktun megi aðeins nota í þágu tilgangsins með söfnun þeirra og aðeins að því marki sem þess gerist þörf í þágu tilgangsins, en í því felst meðal annars að vöktunarefni á ekki að skoða nema sérstakt tilefni gefist til og aðeins af þeim sem hafa heimild til þess.
Mælt er fyrir um það í 4. mgr. 14. gr. laga nr. 90/2018 að þegar rafræn vöktun fari fram á vinnustað eða á almannafæri skuli með merki eða á annan áberandi hátt gera glögglega viðvart um vöktunina og hver sé ábyrgðaraðili eins og fyrr greinir. Jafnframt ber að fræða þá sem sæta vöktun á meðal annars vinnustöðum og í skólum um vöktun í samræmi við þau fyrirmæli sem fram koma í 10. gr. reglna nr. 837/2006, en að auki gilda almennar kröfur 13. gr. reglugerðar (ESB) 2016/679, sbr. 2. mgr. 17. gr. laga nr. 90/2018. Er hér um að ræða fræðslu sem veita ber áður en hlutaðeigandi einstaklingur sætir vöktun og þarf hún að gefa skýra mynd af vöktuninni, þ. á m. tilgangi hennar, hvernig hún fari fram, hvernig aðgangi að vöktunarefni sé háttað og hversu lengi það sé varðveitt. Að auki á sá sem sætt hefur rafrænni vöktun rétt á að skoða gögn sem til verða um hann við vöktunina.
Hvað varðveislutíma varðar vísast til 2. mgr. 7. gr. reglna nr. 837/2006, en af því ákvæði leiðir að persónuupplýsingum sem safnast við rafræna vöktun skal eytt þegar ekki er lengur málefnaleg ástæða til að varðveita þær og að hámarki eftir 90 daga. Frá því eru þó ákveðnar undantekningar. Má þar nefna að gert er ráð fyrir að upplýsingar á öryggisafritum geti verið varðveittar lengur, en auk þess er lengri varðveisla heimil á upplýsingum sem nauðsynlegar eru til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíka laganauðsynja.
Þær kröfur sem nú hefur verið lýst verður að skoða sérstaklega í því ljósi að á meðal hinna skráðu eru börn, en þau teljast viðkvæmur hópur. Af því leiðir jafnframt að sérstök ástæða getur verið til gerðar mats á áhrifum á persónuvernd í ljósi eðlis vinnslunnar, sbr. 1. mgr. 27. gr. laga nr. 90/2018, sbr. nánari fyrirmæli í 35. gr. reglugerðar (ESB) 2016/679. Skal slíkt mat fara fram í samráði við persónuverndarfulltrúa eins og fram kemur í 2. mgr. ákvæðis reglugerðarinnar, en í ákvæðinu er jafnframt að finna fyrirmæli um hvað skal meta, sbr. einkum 7. mgr. ákvæðisins, sem og meðal annars um að þegar við á skuli leita álits hinna skráðu eða fulltrúa þeirra á fyrirhugaðri vinnslu. Getur slíkt talist sérlega brýnt þegar hinir skráðu eru börn. Eins og hér háttar til þyrfti þá að hafa samráð við forráðamenn barna, en einnig er eðlilegt að haft sé samráð við starfsmenn.
Þegar litið er til alls framangreinds er ljóst að ef rafræn vöktun fer fram á leikskólum verður að fræða forráðamenn barna og starfsmenn um vöktunina og að gæta verður fyllsta meðalhófs við hana. Í því felst meðal annars að eftirlitsmyndavélar ættu ekki að vera staðsettar nema þar sem slíkt er nauðsynlegt í ljósi tilgangsins með vöktun sem fyrst og fremst gæti farið fram í öryggis- og eignavörsluskyni. Má einkum telja að myndavélar mættu vera við innganga og þær ættu ekki að beinast að svæðum utan viðkomandi leikskóla. Þá ætti að forðast að vakta sjálf leikskólabörnin eftir því sem kostur er, auk þess sem sérstök ástæða getur verið til gerðar mats á áhrifum á persónuvernd að höfðu samráði við persónuverndarfulltrúa, forráðamenn barnanna og starfsmenn. Að öðru leyti vísast um rafræna vöktun á leikskólum til þeirra almennu krafna sem raktar eru hér að framan.
Þá skal tekið fram að um rafræna vöktun í grunnskólum gilda sömu sjónarmið og um vöktun á leikskólum, en í ljósi þess að þar ræðir um eldri börn reynir sérstaklega á hvort ekki beri að veita þeim fræðslu eins og forráðamönnum og starfsmönnum. Í því sambandi má meðal annars vísa til 12. gr. samnings Sameinuðu þjóðanna um réttindi barnsins, nr. 18. frá 2. nóvember 1992, en hann var lögfestur hér á landi með lögum nr.19/2013. Segir meðal annars í umræddu ákvæði samningsins að aðildarríki skuli tryggja barni sem myndað getur eigin skoðanir rétt til að láta þær frjálslega í ljós í öllum málum sem það varða og skuli tekið réttmætt tillit til skoðana þess í samræmi við aldur þess og þroska.
3.
Niðurstaða Persónuverndar – Fyrirmæli
Hér að framan eru rakin þau atriði sem Persónuvernd óskaði skýringa Hafnarfjarðarkaupstaðar á, svo og svör sveitarfélagsins, auk þess sem veittar eru leiðbeiningar í samræmi við ósk þess. Telur Persónuvernd svörin bera með sér að gætt hafi verið að ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sem og reglugerðar (ESB) 2016/679, að því undanskildu þó að í ljósi grunnreglu 1. tölul. 1. mgr. 8. gr. laganna, sbr. a-lið 1. mgr. 5. gr. reglugerðarinnar, hefði átt að greina forráðamönnum barna og starfsfólki frá ráðgerðri vöktun í skólum áður en hún hófst, auk þess sem leita hefði átt álits hinna skráðu eða fulltrúa þeirra á ráðgerðri vöktun eftir því sem við átti, sbr. 9. mgr. 35. gr. reglugerðar (ESB) 2016/679. Skal tekið fram í því sambandi að þar sem börn teljast viðkvæmur hópur hefði í ljósi þessa ákvæðis verið þörf á að veita forráðamönnum færi á athugasemdum eða hafa samráð við þá með öðrum hætti, svo sem með því að kynna vöktunina fyrir foreldrafélögum.
Hins vegar liggur fyrir að ráðgert var að bæta úr skorti á fræðslu með tilkynningu til forráðamanna barna í skólum þar sem umrædd vöktun fer fram, svo og með tilkynningu til starfsfólks skólanna. Að því gefnu að svo hafi verið gert eru ekki gerðar athugasemdir við vöktunina eins og á stendur að öðru leyti en því að í ljósi 9. mgr. 35. gr. reglugerðar (ESB) 2016/679 þarf að útbúa fyrirkomulag sem veitir forráðamönnum eða fulltrúum þeirra, svo sem foreldrafélögum, færi á að koma á framfæri athugasemdum við vöktunina.
Með vísan til framangreinds og með heimild í 4. tölul. 42. gr. laga nr. 90/2018 er hér með lagt fyrir Hafnarfjarðarkaupstað að senda forráðamönnum barna og starfsfólki tilkynningu um vöktun með eftirlitsmyndavélum í skólum sveitarfélagsins, enda hafi það ekki þegar verið gert, svo og að útbúa fyrirkomulag sem veitir forráðamönnum eða fulltrúum þeirra, svo sem foreldrafélögum, færi á að koma á framfæri athugasemdum við vöktunina. Staðfesting á að farið hafi verið að framangreindu og gögn til staðfestingar því, þ. á m. afrit af tilkynningu til forráðamanna og starfsfólks, skulu hafa borist Persónuvernd eigi síðar en 29. desember 2020.[1]
Persónuvernd minnir auk þess á að í ljósi grunnkröfu 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, þarf vöktun í almannarýmum innandyra að vera í ríkum tengslum við öryggi og eignavörslu og að huga þarf þar sérstaklega að staðsetningu eftirlitsmyndavéla með það í huga. Þá skal tekið fram að berist kvörtun yfir umræddri vöktun eða ef að öðru leyti gefst tilefni til, svo sem í ljósi efnis tilkynningar til hinna skráðu, kann vöktunin að verða tekin til frekari skoðunar.
F.h. Persónuverndar,
Þórður Sveinsson Gyða Ragnheiður Bergsdóttir
[1] Í staðfestingu frá Hafnarfjarðarbæ 29. desember 2020 á að farið hefði verið að fyrirmælum Persónuverndar var vísað til skýringa sem sendar voru stofnuninni í tölvupósti hinn 8. september s.á., þess efnis að foreldrar, nemendur og starfsfólk hefðu fengið senda fræðslu um vöktunina, en texti fræðslunnar var meðfylgjandi. Í ljósi þessarar tilvísunar yfirfór Persónuvernd gögn málsins nánar og greindi frá þeirri afstöðu sinni að fræðslan hefði haft að geyma þau atriði sem mælt var fyrir um.