Úrskurður vegna mynda af meintum búðaþjófum hjá Högum hf.

„[...] Þegar viðskiptavinir eða starfsfólk í verslunum Haga verður uppvíst að þjófnaði í einhverjum af verslunum félagsins, eru upplýsingar um viðkomandi færðar á þar til gert upplýsingaeyðublað. Á upplýsingaeyðublaðið eru skráðar upplýsingar um viðkomandi, nafn, heimilisfang, kennitala og málsatvik. Eyðublað þetta er fyrst og fremst útfyllt til ákveðinnar hagræðingar fyrir lögreglu, sem fær afhent afrit þegar þeir óska eftir frekari upplýsingum. Eyðublaðið er síðan afhent öryggisdeild Haga sem heldur utan um öll þjófnaðarmál sem koma upp í verslunum félagsins, fylgir þeim eftir hjá lögreglu og eftir atvikum hjá dómstólum. Eyðublöðin eru geymd í þar til gerðum möppum þar sem unnt er að ganga að þeim vísum þegar frekari upplýsinga um málið er óskað af hálfu lögreglu, eða upplýsingar berast til Haga um að ákæra verði gefin út í málinu og félaginu veittur sá kostur að koma að bótakröfu í málinu. Fulltrúum Persónuverndar var á fundi með Högum, dags. 18. júlí 2005, sýnd framangreind eyðublöð og hvernig þau væru geymd.“

„Líkt og áður hefur komið fram þá sækir umbjóðandi minn heimild sína til vinnslu persónuupplýsinga m.a. í 7. tl. 8. gr. og 7. tl. 9. gr. pul. Það er mat umbjóðanda míns að hann geti hvorki rökstutt né afmarkað kröfu sína, eftir atvikum fyrir dómstólum, án þess að áðurlýst vinnsla og meðferð upplýsinga fari fram þegar upp kemst um þjófnaðarbrot. Af þessu leiðir að umbjóðandi minn telur ljóst að 2. mgr. 9. gr. pul eigi ekki við í máli þessu sem nú er til meðferðar hjá stofnuninni, líkt og haldið hefur verið fram af hennar hálfu.

Þá skal einnig bent á 2. mgr. 7. gr. reglna um rafræna vöktun, nr. 837/2006, sem kveður á um undanþágu frá 90 daga reglunni um varðveislu gagna vegna rafrænnar vöktunar. En telja verður að reglan feli í sér heimild til þess að varðveita upplýsingar lengur ef það er vegna fyrirliggjandi réttarágreinings, sbr. 7. tl. 9. gr. pul.

Þannig telur umbjóðandi minn að honum sé heimilt lögum samkvæmt að varðveita upplýsingar og gögn vegna meintra þjófnaðarbrota, a.m.k. þar til endanleg niðurstaða fyrir héraðsdómi liggur fyrir.“

„Við bréfaskipti og í vettvangsheimsókn kom í ljós að umrædd vinnsla fer að mestu fram hjá Högum hf. Þar og í verslunum sem tengjast Högum hf. fer fram umfangsmikil vinnsla viðkvæmra persónupplýsinga um fólk sem grunað er um að hafa tekið varning ófrjálsri hendi.

Undir hatti Haga hf. eru reknar margar verslanir. Á heimasíðu Haga eru m.a.  nefnd Hagkaup, Bónus, Bananar, Hýsing, Aðföng, Ferskar kjötvörur, Debenhams, Karen Millen, All Saints, Warehouse, Topshop, Zara, Oasis, Dorothy Perkins, Coast, Evans, Útilíf, Jane Norman og Day.

Afmarka þarf hver framangreindra fer með hlutverk ábyrgðaraðila að því er varðar framangreinda vinnslu, eins og það hugtak er skilgreint í 4. tölul. 2. gr. laga nr. 77/2000 (sem „sá aðili sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna“).

Af því tilefni er þess hér með óskað að Persónuvernd berist frá Högum hf. upplýsingar um framangreint þannig að ráða megi hver ber ábyrgð á vinnslu í skilningi 4. tölul. 2. gr. laganna. Er þess óskað að í svarinu komi fram hvort einhverjar framangreindar verslanir séu reknar af Högum hf. eða hvort sjálfstæð hlutafélög eða einkahlutafélög standi að rekstri þeirra – og þá hvaða félög reka hvaða verslanir. Er þess óskað að þá komi fram hvort og hvernig þau hafa komið að töku ákvarðana um framangreinda vinnslu. Sé eitthvert þeirra ekki ábyrgðaraðili er óskað afrits vinnslusamninga, sbr. 13. gr. laga nr. 77/2000, þar sem það á við. Ef einhver framangreindra aðila kemur ekkert að slíkri vinnslu sem mál þetta varðar er þess einnig óskað að það komi fram. Þá þarf að koma fram hvort miðlað hafi verið viðkvæmum persónuupplýsingum til annarra félaga en þeirra sem eru í eigu Haga hf.“

„Að beiðni Persónuverndar upplýsist um eftirfarandi:

Noron ehf. (100% dótturfélag): Rekur verslunina Zara, bæði í Kringlunni og í Smáralind

DBH Ísland ehf. (100% dótturfélag): Rekur verslunina Debenhams í Smáralindinni.

Sólhöfn ehf. (100% dótturfélag): Rekur allar aðrar tískuverslanir í eigu Haga hf.“

„Í ljósi framangreinds upplýsist að áðurnefnd fyrirtæki í eigu Haga hf. eru ekki ábyrg fyrir vinnslu persónuupplýsinga sem fjallað er um í bréfi þessu, sbr. nánar í kafla III, og teljast þau ekki vera ábyrgðaraðilar í skilningi laga um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000. Ábyrgðaraðili umræddrar vinnslu er félagið Hagar hf.“

„Í bréfi stofnunarinnar, dags. 15. október s.l., er óskað svara við því hvort Hagar hf. hafi miðlað viðkvæmum persónuupplýsingum til annarra félaga en þeirra sem eru í eigu þess. Í þessu sambandi skal tekið fram að umbjóðanda mínum er mikið í mun að starfsemi hans sé í samræmi við lög og reglur, ekki síst reglur er snerta persónuvernd og friðhelgi einkalífs. Umbjóðandi minn hefur þannig enga hagsmuni af því að dreifa persónuupplýsingum sem kunna að vera í fórum hans til annarra óviðkomandi aðila. Með bréfi þessu upplýsist að umbjóðandi minn hefur ekki og mun ekki dreifa persónuupplýsingum til annarra fyrirtækja sem eru honum óviðkomandi þannig að brjóti gegn lögum og reglum í þeim efnum.“

„Um lögmæti umræddrar vinnslu skal tekið fram að ofangreind vinnsla telst vera vinnsla viðkvæmra persónuupplýsinga, sbr. b-liður, 8. tl. 2. gr. pul. Vinnsla viðkvæmra persónuupplýsinga er óheimil nema uppfyllt sé eitthvert af skilyrðum 1. mgr. 8. gr. pul. og enn fremur eitthvert af skilyrðum 9. gr. pul. Í þessu sambandi skal vísað til 7. tl. 8. gr. og 7. tl. 9. gr. laganna. Í síðast nefnda ákvæðinu kemur fram að vinnslan sé heimil ef hún er nauðsynleg til þess að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.

Telja verður að framangreind vinnsla, eins og henni hefur verið lýst í kafla þessum, sé rafræn vöktun í skilningi laganna, sbr. 6. tl. 2. gr. pul. Samkvæmt 2. mgr. 9. gr. er heimilt að safna efni sem til verður við rafræna vöktun ef nánar tilgreind skilyrði eru uppfyllt og telur umbjóðandi minn að þau séu uppfyllt.

Í fyrsta lagi þarf vöktunin að vera nauðsynleg og fara fram í öryggis- og eignavörsluskyni. Í þessu sambandi skal tekið fram að umrædd vöktun er umbjóðanda mínum nauðsynleg til þess að verja eigur sínar og tryggja öryggi starfsmanna og viðskiptavina. Þjófnaður meðal starfsmanna og viðskipavina í verslunum Haga hf. er gríðarlegur og hefur færst mikið í aukana síðast liðin ár. Áður hefur Persónuvernd verið bent á að skipulagðir erlendir glæpahópar komi hingað til lands tímabundið í þeim eina tilgangi einum að stela úr verslunum hér á landi. Einnig er mikið um þjófnaði hjá fíkniefnaneytendum og hafa þeir haft í hótunum bæði við starfsfólk og viðskiptavini verslana og telur umbjóðandi minn nauðsynlegt að vara við slíkri hættu og reyna eftir fremsta megni að koma í veg fyrir hana, sé þess kostur.

Í öðru lagi er skilyrði að það efni sem til verður við vöktun verði ekki unnið frekar eða afhent öðrum án samþykkis þess sem upptaka lýtur að nema Persónuvernd kveði á um annað. Innihaldi upptaka hins vegar upplýsingar um slys eða refsiverðan verknað er heimilt að afhenda hana lögreglu án samþykkis þess eða þeirra sem upptakan er af. Í þeim tilfellum skal þess jafnframt gætt að öllum öðrum eintökum af efninu verði eytt.“

„Í bréfi Persónuverndar, dags. 15. október 2010, er því haldið fram að myndum af tilteknum einstaklingum, sem grunaðir eru um þjófnað sé dreift til allra hlutaðeigandi verslana í eigu Haga hf. Þessari fullyrðingu mótmælir umbjóðandi minn sem alrangri og skal bent á að umbjóðandi minn rekur samtals 80 verslanir víðs vegar um landið, m.a. tískuvöruverslanir og matvöruverslanir, og því fer fjarri lagi að myndefni sé dreift víðs vegar um landið líkt og Persónuvernd virðist halda fram. Hið rafræna eftirlit fer fram í þeim tilgangi einum að viðhafa fyrirfram ákveðið og afmarkað eftirlit í verslunum Haga hf. til þess að koma í veg fyrir þjófnaðarbrot og gæta almenns öryggis í verslunum. Ef eftirlitsmyndavélar væru ekki til staðar væri algjör ómöguleiki fyrir umbjóðanda minn að kæra þjófnaðarmál og fá útgefna ákæru þar sem sönnun teldist vart vera fyrir hendi. Að auki telur umbjóðandi minn mikil varnaðaráhrif fólgin í því að viðhafa eftirlit með eftirlitsmyndavélum.

Myndefni sem til verður vegna rafrænnar vöktunar umbjóðanda míns er eingöngu afhent lögreglu vegna gruns um refsiverðan verknað. Umbjóðandi minn telur þó rétt að upplýsa Persónuvernd um að í einhverjum tilvikum hefur öryggisdeild Haga hf. sent út viðvaranir vegna síbrotamanna/kvenna og tiltekinna glæpahópa. Nánar tiltekið er um að ræða myndir af síbrotamönnum sem eru sendar til verslana sem eru á „starfssvæði“ viðkomandi síbrotamanns samkvæmt fyrri reynslu í þeim efnum. Myndirnar eru þvert á móti ekki sendar til allra verslana í eigu Haga hf.“

„Það er staðreynd að þjófnaður er ört vaxandi vandamál, ekki síst í fyrirtækjum umbjóðanda míns. Áður hefur verið fjallað um það hversu mikill tími og vinna af hálfu starfsmanna umbjóðanda míns fer í það að upplýsa og reyna að koma í veg fyrir þjófnað í verslunum.

Samfara þessu hefur umbjóðandi minn þurft að bera mikinn kostnað sem er í beinum tengslum við þjófnaði í verslunum hans. Sá kostnaður er fyrst og fremst fólginn í mikilli vörurýrnun hjá verslununum auk mikils kostnaðar í tengslum við öryggismál. Þannig hefur umbjóðandi minn gríðarlega hagsmuni af því að koma í veg fyrir þjófnaðarbrot, ekki síst fjárhagslega. Í þessu sambandi skal tekið fram að afskriftir Haga hf. vegna vörurýrnunar sem rekja má beint til þjófnaðar veltur á hundruðum milljóna ár hvert. Þannig er ljóst að tjón umbjóðanda míns vegna þjófnaðarbrota er gríðarlegt og eru forvarnir í þeim efnum meðal annars til þess fallnar að halda vöruverði niðri.

Þá er ekki síður mikilvægt að viðhafa eftirlit í þágu öryggis. En það hafa komið upp tilvik þar sem beinlínis hefur skapast hættuástand í verslunum, bæði meðal starfsmanna og viðskiptavina, í formi hótana og líkamsmeiðinga. Umbjóðandi minn telur mikilvægt að sporna við slíku, eftir atvikum koma í veg fyrir það, sé þess kostur.

Með vísan til alls framangreinds er ljóst að umbjóðandi minn hefur lögmæta hagsmuni af því að viðhafa ákveðið eftirlit í verslunum Haga hf. m.a. til þess að gæta öryggis starfsmanna og viðskiptavina ásamt því að koma í veg fyrir tjón sem hlýst af þjófnaðarbrotum. Með bréfi þessu hefur umbjóðandi minn gert tilraun til þess að lýsa þeirri vinnslu sem á sér stað í tengslum við rafræna vöktun í þágu eftirlits. Segja má að vinnslan fari fram einkum með tvennum hætti, annars vegar eru haldnar skrár um þjófnaði, sem unnið er að koma í rafrænt form, og hins vegar er um að ræða rafræna vinnslu sem fer fram með myndavélaeftirlitskerfum, en þeim kerfum hefur verið gerð ítarleg skil í bréfi þessu.

Umbjóðandi minn telur ennfremur að áðurlýst vinnsla sé lögmæt og að eftirlit í verslunum Haga hf. sé í samræmi við lög og aðrar reglur um persónuvernd og friðhelgi einkalífs. Telji Persónuvernd hins vegar að eitthvað megi betur fara, s.s. með því að breyta verklagi í tengslum við eftirlitið sjálft, er umbjóðandi minn reiðubúinn til þess að starfa með stofnuninni og eftir atvikum koma á fund með starfsmönnum til þess að ræða þessi mál frekar og finna lausnir í því sambandi.

Af gefnu tilefni telur umbjóðandi minn rétt að árétta að efni þessa bréfs er trúnaðarmál og er þess óskað að það komist ekki í hendur annarra aðila en starfsmanna Persónuverndar.“

„Það er skilningur Persónuverndar á umræddu bréfi að :

- Hagar hf. telji sig vera ábyrgðaraðila umræddrar vinnslu og að

- Hagar hf. hafi miðlað umræddum upplýsingum til Noron ehf., DBH Íslands ehf. og Sólhafnar ehf.“