Niðurstaða frumkvæðisathugunar Persónuverndar á rafrænni vöktun við skóla og leikskóla í Kópavogi – Fyrirmæli um úrbætur
Mál nr. 2020010401
Efni: Niðurstaða frumkvæðisathugunar Persónuverndar á rafrænni vöktun við skóla og leikskóla í Kópavogi – Fyrirmæli um úrbætur
Persónuvernd vísar til fyrri bréfaskipta vegna frumkvæðisathugunar í tilefni af rafrænni vöktun við skóla og leikskóla í Kópavogi, en tilkynnt var um athugunina með bréfi stofnunarinnar til bæjarins, dags. 4. desember 2019, þar sem óskað var tiltekinna skýringa.
1.
Skýringar Kópavogsbæjar
Hér að neðan má sjá einstaka liði beiðni Persónuverndar um skýringar ásamt svörum Kópavogsbæjar sem fram koma í bréfi sveitarfélagsins, dags. 18. desember 2019:
1. Þess var óskað að upplýst yrði hvort mat á áhrifum á persónuvernd hefði verið framkvæmt vegna vöktunarinnar, sbr. 29. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 35. gr. reglugerðar (ESB) 2016/679. Að því gefnu að svo væri var óskað afrits af matinu.
Því er svarað til af hálfu Kópavogsbæjar að mat hafi farið fram og var afrit af því hjálagt með bréfi sveitarfélagsins. Bera skjöl um matið með sér að því hafi verið lokið 4. desember 2019.
2. Þess var óskað að fram kæmi hvar eftirlitsmyndavélar væru eða yrðu staðsettar, þ.e. utandyra og/eða innandyra, ásamt upplýsingum um það hvers konar rými yrðu vöktuð og hvort vöktun utandyra næði að einhverju leyti til svæða utan lóðamarka.
Því er svarað til af hálfu Kópavogsbæjar að eftirlitsmyndavélar séu einungis staðsettar utandyra og í anddyrum grunnskóla. Settar hafi verið reglur hjá sveitarfélaginu um notkun eftirlitsmyndavéla hinn 5. desember 2019, og sé þar gerð krafa um að við uppsetningu sé sérstaklega gætt að því eftirlitsmyndavélar vísi ekki að svæðum á almannafæri eða eignum nágranna.
Umræddar reglur voru hjálagðar með bréfi Kópavogs og kemur áðurnefnd krafa fram í 4. gr. reglnanna. Þá voru hjálagðar teikningar sem sýna staðsetningu véla.
3. Þess var óskað að fram kæmi hvernig vöktun væri talin samrýmast 14. gr. laga nr. 90 2018 og voru 1. og 4. mgr. ákvæðisins sérstaklega tilgreindar.
Af hálfu Kópavogsbæjar er svarað með því að fara í gegnum einstakar málsgreinar umrædds ákvæðis, að undanskildum 5. tölul. sem lýtur að valdheimildum Persónuverndar, og útskýra hvernig reynt hafi verið að fara að þeim. Verða málsgreinarnar raktar hér á eftir, ásamt svörum Kópavogs um hverja þeirra og eina:
· Samkvæmt 1. mgr. 14. gr. laga nr. 90/2018 er rafræn vöktun ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis þar sem takmarkaður hópur fólks fer um að jafnaði er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.
Hvað þetta ákvæði varðar er í svari Kópavogsbæjar vísað til þess að öryggismyndavélar við grunnskóla þjóni öryggis- og eignavörslusjónarmiðum. Tilgangurinn sé sá að varna því að eigur sveitarfélagsins séu skemmdar, að koma fyrir í veg að farið sé um byggingar eða aðrar eigur í leyfisleyfi, að stuðla að öryggi á umræddum svæðum eins og fram komi í 1. mgr. 2. fyrrnefndra reglna sveitarfélagsins. Helstu ástæður fyrir uppsetningu eftirlitsmyndavéla séu tíð innbrot, þjófnaður og skemmdarverk á eigum sveitarfélagsins, tíð skemmdarverk og þjófnaður á eignum nemenda og erindi frá foreldrum vegna áreitis utanaðkomandi á skólalóð. Þá sé um að ræða svæði sem stór hópur barna fari um og dveljist á og sé vöktun réttlætanleg til að tryggja öryggi þeirra.
· Samkvæmt 2. mgr. 14. gr. laga nr. 90/2018 skal vinnsla persónuupplýsinga sem á sér stað í tengslum við rafræna vöktun uppfylla ákvæði laganna.
Hvað þetta ákvæði varðar vísar Kópavogsbær til þess að settar hafi verið fyrrnefndar reglur hjá Kópavogsbæ til að tryggja að vöktunin fullnægi kröfum persónuverndarlöggjafar.
· Samkvæmt 3. mgr. 14. gr. laga nr. 90/2018 er heimilt í tengslum við framkvæmd rafrænnar vöktunar að safna efni sem verður til við vöktunina, með viðkvæmum persónuupplýsingum og upplýsingum um refsiverða háttsemi, enda séu eftirfarandi skilyrði uppfyllt:
o vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni;
o það efni sem til verður við vöktunina verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða á grundvelli heimilda í reglum samkvæmt 5. mgr. 14. gr. laganna; heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað, en þá skal þess gætt að eyða öllum öðrum eintökum af efninu;
o því efni sem safnast við vöktunina verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það.
Hvað þetta ákvæði varðar segir í svari Kópavogsbæjar að við vöktunina kunni að verða til myndefni með viðkvæmum persónuupplýsingum eða upplýsingum um mögulega refsiverða háttsemi. Áréttað er að vöktunin sé nauðsynleg að mati sveitarfélagsins og fari fram á grundvelli öryggis- og eignavörslu. Upptökur séu ekki afhentar öðrum en lögreglu, sbr. 1. mgr. 9. gr. fyrrnefndra reglna um notkun eftirlitsmyndavéla hjá sveitarfélaginu, og sé þeim eytt um leið og ekki sé málefnaleg ástæða til að varðveita þær, í síðasta lagi eftir 90 daga, nema lög heimili annað eða dómsúrskurður liggi fyrir. Myndefni sé eingöngu skoðað ef upp komi atvik er varði eignavörslu eða öryggi einstaklinga. Einungis forstöðumenn stofnana og þeir sem hafi til þess leyfi hjá bænum hafi heimild til að skoða upptökur.
· Samkvæmt 4. mgr. 14. gr. laga nr. 90/2018 skal, þegar rafræn vöktun fer fram á vinnustað eða almannafæri, með merki eða á annan áberandi hátt gera glögglega viðvart um vöktunina og hver sé ábyrgðaraðili.
Hvað þetta ákvæði varðar er tekið fram að þeir staðir þar sem vöktun fer fram séu merktir með skýrum hætti.
4. Þess var óskað að fram kæmi við hvaða heimild vöktunin væri studd, sbr. 9. gr. laga nr. 90/2018.
Því er svarað til af hálfu Kópavogsbæjar að byggt sé á 6. tölul. 1. mgr. 9. gr. persónuverndarlaga, en þar segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn.
5. Þess var óskað að fram kæmi hvernig vöktunin væri talin samrýmdast þeim meginreglum um vinnslu persónuupplýsinga sem tilgreindar eru í 1. mgr. 8. gr. laga nr. 90/2018, sbr. einkum 1.–3. og 6. tölul. ákvæðisins.
Af hálfu Kópavogsbæjar er svarað með því að fara í gegnum umrædda töluliði. Verða þeir raktir hér á eftir, ásamt svörum sveitarfélagsins um hvern þeirra og einn:
· Samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 skal þess gætt að persónuupplýsingar séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða.
Hvað þetta ákvæði varðar er í svari Kópavogsbæjar vísað til fyrrnefndra reglna hjá sveitarfélaginu þar sem notkun eftirlitsmyndavéla sé mótuð að reglum persónuverndarlöggjafar og leiðbeiningum Persónuverndar um rafræna vöktun. Gripið sé til ýmissa aðgerða til að tryggja sanngjarna vinnslu, t.a.m. með því að setja ákvörðun um vöktun í tiltekinn farveg. Þá séu settar reglur um hverjir megi skoða myndefni og hvenær, hvar skuli að meginstefnu staðsetja myndavélar, hversu lengi megi varðveita myndefni og hverjir geti fengið það afhent. Stefnt sé að gagnsærri vinnslu með ákvæðum í reglum um að merkt skuli með skýrum hætti hvar myndavélar séu og að þeir séu fræddir sem kunni að sæta vöktun.
· Samkvæmt 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018 skal þess gætt að persónuupplýsingar séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi.
Hvað þetta ákvæði varðar er í svari Kópavogsbæjar tekið fram að tilgangur vöktunar sé skýrt tilgreindur í 1. og 2. fyrrnefndra reglna sveitarfélagsins. Áréttað er að um ræði öryggis- og eignavörslu og eru í því sambandi rakin atriði sem þegar hefur verið lýst í umfjöllun í kafla 3.2 hér að framan um svör varðandi 1. mgr. 14. gr. laga nr. 90/2018. Þá segir að eftirlitsmyndavélar hafi fælingarmátt og geti auk þess nýst til að upplýsa alvarleg mál, svo sem slys og mögulega refsiverða háttsemi. Óheimilt sé að skoða myndefni nema í þágu öryggis- og eignavörslu eða afhenda öðrum en lögreglu efnið.
· Samkvæmt 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 skal þess gætt að persónuupplýsingar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu.
Hvað þetta ákvæði varðar er í svari Kópavogsbæjar tekið fram að myndavélum sé ekki beint að svæðum á almannafæri eða eignum nágranna. Á fundi sínum hinn 9. maí 2019 hafi bæjarráð ákveðið að eftirlitsmyndavélar í grunnskólum skuli einungis staðsettar utandyra og í anddyrum. Þessi stefnumarkandi ákvörðun endurspeglist í fyrrnefndum reglum sveitarfélagsins. Með henni sé leitast við að tryggja að ekki sé vaktað umfram það sem nauðsynlegt sé til að tryggja öryggis- og eignavörslu. Samkvæmt erindi sviðsstjóra umhverfissviðs til bæjarráðs, dags. 5. mars 2019, vegna uppsetningar vélanna, séu vélar settar þannig upp að engin svæði á ytra byrði skóla séu óvarin. Jafnframt séu myndavélar við alla aðalinnganga og sýni þær hverjir fari í skólana. Ekki sé gert ráð fyrir að skólalóðir séu vaktaðar í heild sinni.
· Samkvæmt 6. tölul. 1. mgr. 8. gr. laga nr. 90/2018 skulu persónuupplýsingar unnar með þeim hætti að viðeigandi öryggi þeirra sé tryggt.
Hvað þetta ákvæði varðar er í svari Kópavogsbæjar tekið fram að tölvubúnaður sem geymi vöktunarefni sé staðsettur í aðgangsstýrðu rými sem aðeins forstöðumaður og fáir tilgreindir aðilar hafi aðgang að. Búnaður geymi lista yfir skoðanir á upptökum. Einungis forstöðumenn og þeir sem bæjarstjóri veiti leyfi til hafi heimild til að skoða myndefni. Þeir skuli hafa undirritað trúnaðar- og þagnarskylduyfirlýsingu. Þá skuli ávallt tveir vera saman við skoðun efnis og halda skrá um skoðun. Einungs lögreglu sé afhent myndefni og þá skuli því að sama skapi eytt úr tölvubúnaðinum. Að lokum sé öllum upptökum eytt í síðasta lagi eftir 90 daga.
6. Þess var óskað að fram kæmi hvernig Kópavogsbær hygðist uppfylla fræðsluskyldu sína vegna vöktunarinnar, einkum gagnvart nemendum og forráðamönnum þeirra, sem og starfsfólki viðkomandi skóla og leikskóla, sbr. 13. gr. reglugerðar (ESB) 2016/679 og 2. mgr. 17. gr. laga nr. 90/2018.
Því er svarað til af hálfu Kópavogsbæjar að vöktunin og fyrrgreindar reglur séu kynntar þeim sem vöktun hafi áhrif á, hvort sem um ræði nemendur, foreldra og/eða starfsmenn. Þeir staðir þar sem vöktun fari fram séu merktir með skýrum hætti.
7. Þess var óskað að fram kæmi hvort samráð hefði verið haft við persónuverndarfulltrúa Kópavogsbæjar vegna vöktunarinnar, sbr. 2. mgr. 35. gr. reglugerðar (ESB) 2016/679.
Því er svarað að haft hafi verið samráð við persónuverndarfulltrúa sem hafi gert athugasemdir og komið með ábendingar, sem og aðstoðað við gerð mats á áhrifum á persónuvernd og lesið yfir reglur.
8. Þess var óskað að fram kæmi hvort leitað hefði verið álits skráðra einstaklinga eða fulltrúa þeirra á vinnslunni, sbr. 9. mgr. 35. gr. reglugerðar (ESB) 2016/679.
Því er svarað til af hálfu Kópavogsbæjar að ekki hafi verið talin ástæða til þess að leita álits hinna skráðu eða fulltrúa þeirra. Hins vegar hafi í september 2018 verið teknar saman ábendingar foreldra vegna eftirlitsmyndavéla, öryggis nemenda og skemmda á skólum, og hafi þær að einhverju leyti verið grunnur að næstu skrefum í málinu.
2.
Niðurstaða Persónuverndar – Fyrirmæli
Hér að framan eru rakin þau atriði sem Persónuvernd óskaði skýringa á, sem og þau ákvæði sem á reynir í tengslum við umrædda vöktun eins og þörf er á samhengisins vegna. Þá eru svör Kópavogsbæjar um einstök atriði rakin. Persónuvernd telur þau bera með sér að gætt hafi verið að ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sem og reglugerðar (ESB) 2016/679, að því undanskildu þó að í ljósi grunnreglu 1. tölul. 1. mgr. 8. gr. laganna, sbr. a-lið 1. mgr. 5. gr. reglugerðarinnar, hefði átt að að greina forráðamönnum barna og starfsfólki frá ráðgerðri vöktun í skólum áður en hún hófst, auk þess sem leita hefði átt álits hinna skráðu eða fulltrúa þeirra á vöktuninni eftir því sem við átti, sbr. 9. mgr. 35. gr. reglugerðar (ESB) 2016/679. Skal tekið fram í því sambandi að þar sem börn teljast viðkvæmur hópur hefði í ljósi þessa ákvæðis verið þörf á að veita forráðamönnum færi á athugasemdum eða hafa samráð við þá með öðrum hætti, svo með því að kynna vöktunina fyrir foreldrafélögum.
Með vísan til framangreinds og með heimild í 4. tölul. 42. gr. laga nr. 90/2018 er hér með lagt fyrir Kópavogsbæ að senda forráðamönnum barna og starfsfólki tilkynningu um vöktun með eftirlitsmyndavélum í skólum sveitarfélagsins, svo og að útbúa fyrirkomulag sem veitir forráðamönnum eða fulltrúum þeirra, svo sem foreldrafélögum, færi á að koma á framfæri athugasemdum við vöktunina. Staðfesting á að farið hafi verið að þessum fyrirmælum og gögn til staðfestingar því, þ. á m. afrit af tilkynningu til forráðamanna og starfsfólks, skulu hafa borist Persónuvernd eigi síðar en 29. desember 2020.
Tekið skal fram að lokum að þó svo að ekki séu að sinni gerðar frekari athugasemdir og veitt frekari fyrirmæli vegna umræddrar vöktunar kann hún að verða tekin til frekari skoðunar síðar ef kvörtun berst yfir henni eða ef að öðru leyti gefst tilefni til.
F.h. Persónuverndar
Þórður Sveinsson Gyða Ragnheiður Bergsdóttir