Úrskurður um lögmæti birtingar á upptöku úr öryggismyndavél Bæjarbakarís Hafnarfjarðar
Persónuvernd hefur úrskurðað í máli manns fyrir hönd tveggja sona sinna sem eru undir 10 ára aldri, er varðaði birtingu á myndbandi úr öryggismyndavél Bæjarbakarís Hafnarfjarðar á heimasíðunni www.youtube.com. Á umræddu myndbandi virtist annar drengjanna taka farsíma af borði ófrjálsri hendi. Ekki varð séð að ákvæðum persónuverndarlaganna hafi verið farið af hálfu Bæjarbakarísins þar sem umrætt efni var ekki afhent lögreglu til að koma málinu í réttan farveg. Þá er áréttað að þegar ekki er farið að framangreindum ákvæðum getur það leitt til þess að brotið sé á friðhelgi og rétti einstaklinga. Í því tilviki sem hér um ræðir gerðist það að mynd var lögð á Netið er sýndi ósakhæf börn þar sem þau voru undir 15 ára aldri. Við vinnslu viðkvæmra persónuupplýsinga um svo unga einstaklinga beri að sýna sérstaka varúð og hafa í huga að börn eru hópur sem þarfnast sérstakrar verndar umfram hina fullorðnu.
Úrskurður
Á fundi stjórnar Persónuverndar hinn 3. mars 2011 var kveðinn upp svohljóðandi úrskurður í máli nr. 2011/31:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 11. janúar 2011 barst Persónuvernd kvörtun frá S(hér eftir nefndur kvartandi), fyrir hönd tveggja sona sinna sem eru undir 10 ára aldri, vegna birtingar á myndbandi úr öryggismyndavél Bæjarbakarís Hafnarfjarðar á heimasíðunni www.youtube.com. Á umræddu myndbandi virtist annar drengjanna taka farsíma af borði ófrjálsri hendi. Í kvörtuninni segir m.a.:
„Kvörtunin snýst um að upptökumyndband sem var í gangi í umræddu bakarí (bæjarbakarí í Hafnarfirði) þar sem stuldur á gsm síma var tekinn upp, var birtur á youtube í stað þess að afhenda lögreglunni upptökuna. Samkvæmt lögum er óheimilt (ólöglegt) að birta öryggis-upptökuefni á veraldarvefnum ef glæpur hefur verið framin. Eingöngu lögreglan hefur slíkt leyfi til að birta og nota efni sem tekið hefur verið upp í rannsóknarskyni.
Hér er um að ræða tvo drengi undir 10 ára aldri og föður þeirra.“
2.
Bréfaskipti
Með bréfi, dags. 12. janúar 2011, var Bæjarbakaríi Hafnarfjarðar boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Óskaði stofnunin sérstaklega upplýsinga um hvaða heimild Bæjarbakarí Hafnarfjarðar taldi sig hafa haft til að miðla upplýsingum um drengina og gera þær opinberar á internetinu með umræddum hætti. Svarbréf lögmanns Bæjarbakarís Hafnarfjarðar, dags. 24. janúar 2011, barst stofnuninni þann 25. janúar 2011. Þar sagði m.a.:
„Forsaga málsins er sú að farsíma starfsstúlku bæjarins var stolið og tilkynnti starfstúlkan um þjófnaðinn til rekstrarstjóra staðarins þann 10.1.2011, sem tók þá ákvörðun að fara yfir myndbandsupptökur úr öryggismyndavél staðarins. Þegar upptökurnar voru skoðaðar kom í ljós að atvikið þar sem síminn var tekinn náðist á myndband. Rekstrarstjórinn setti myndbandið á slóð á vefnum youtube í þeirri von að málið myndi upplýsast án frekari eftirmála og án þess að gera sér grein fyrir að slíkt væri með lögum bannað. Kveðst hann hafa staðið í þeirri trú að slíkt væri leyfilegt. Um það bil tveimur klukkustundum eftir að myndbandið fór á vefinn, setti umboðsmaður barna sig í samband við umræddan aðila og benti honum á að slík myndbirting væri ekki æskileg. Rekstrarstjórinn brást við þeirri athugasemd með því að fjarlægja myndbandið tafarlaust af vefnum. Ekki var um að ræða ásetning af hálfu rekstrarstjóra bakarísins einungis vanþekkingu á gildandi lögum, jafnframt var myndbandið fjarlægt um leið og haft var samband við rekstrarstjórann og honum bent á að mynbirtingin gæti brotið gegn reglum um persónuvernd.“
Svarbréf Bæjarbakarís Hafnarfjarðar var borið undir kvartanda með bréfi, dags. 26. janúar 2011. Ekkert svar barst.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.
Af framangreindu er ljóst að miðlun myndbandsupptöku af einstaklingum, þ.e. upptöku sem hefur orðið til við rafræna vöktun, og talin er bera með sér að viðkomandi hafi tekið hlut ófrjálsri hendi, er rafræn vinnsla viðkvæmra persónuupplýsinga. Hún fellur undir gildissvið laga nr. 77/2000.
2.
Lögmæti vinnslu
Þótt hverjum og einum ábyrgðaraðila sé heimilt að verja hendur sínar með því að viðhafa almennt eftirlit í þágu öryggis og eignavörslu, s.s. með notkun eftirlitsmyndavéla, og geti eftir því sem þörf krefur miðlað til lögreglu upplýsingum um refsivert afhæfi, slys o.þ.h., ber ávallt að virða reglur laga um persónvernd nr. 77/2000. Meðal annars þarf að gæta þess að heimild standi til vinnslu samkvæmt þeim lögum.
Kveðið er á um heimildir til vinnslu í 8. gr. laga nr. 77/2000 og þurfa skilyrði þeirrar greinar ávallt að vera uppfyllt. Ef um viðkvæmar persónuupplýsingar er að ræða þurfa einnig að vera uppfyllt skilyrði 9. gr. laganna. Hugtakið viðkvæmar persónuupplýsingar er skilgreint í 8. tölul. 2. gr. laganna og meðal þess sem telst til viðkvæmra upplýsinga eru upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað. Það myndefni sem hér um ræðir, og virðist sýna ungan dreng taka farsíma ófrjálsri hendi, var til þess fallið að vekja grun um refsiverða háttsemi drengsins. Slík vinnsla þarf að samrýmast ákvæðum 9. gr. laganna.
Í 2. mgr. 9. gr. er sérákvæði um lögmæti slíkrar vinnslu. Af 2. tölulið þess ákvæðis leiðir að einvörðungu er heimilt að afhenda lögreglu myndbandsupptökur úr eftirlitsmyndavélum, enda liggi ekki fyrir upplýst samþykki þess sem upptakan er af eða leyfi Persónuverndar. Fyrir liggur að eftir þessum lagafyrirmælum var ekki farið af hálfu Bæjarbakarís Hafnarfjarðar þar sem umrætt myndefni var ekki afhent lögreglu til að koma málinu í réttan farveg, eftir atvikum hjá barnaverndaryfrvöldum, heldur var það lagt á Netið.
Ástæða er til að árétta að þegar ekki er farið að framangreindum ákvæðum getur það leitt til þess að brotið sé á friðhelgi og rétti einstaklinga. Í því tilviki sem hér um ræðir gerðist það að mynd var lögð á Netið er sýndi ósakhæf börn þar sem þau voru undir 15 ára aldri. Við vinnslu viðkvæmra persónuupplýsinga um svo unga einstaklinga ber að sýna sérstaka varúð og hafa í huga að börn eru hópur sem þarfnast sérstakrar verndar umfram hina fullorðnu.
Ú r s k u r ð a r o r ð:
Bæjarbakarí Hafnarfjarðar braut gegn lögum um persónuvernd þegar það birti á vefnum www.youtube.com myndskeið sem talið var sýna ungan dreng taka farsíma ófrjálsri hendi.