Úrskurður Persónuverndar varðandi meðferð myndefnis úr eftirlitsmyndavél í sundlaug

31.5.2006

Hinn 19. febrúar 2004 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2003/422:

Með bréfum a, dags. 26. ágúst 2003, og b, dags. 27. ágúst 2003, hér eftir nefndir málshefjendur, barst Persónuvernd kvörtun þess efnis að aðfaranótt 10. ágúst 2003 hafi öryggismyndavél við Sundlaug Bolungarvíkur, án þeirra vitundar, náð á myndband "ástarleik" þeirra í heitum potti með stúlku úr bænum. Hafi myndbandið síðan borið fyrir augu ótilgreinds fjölda fólks í bænum. Var kvartað yfir þessari meðferð á umræddum persónuupplýsingum og þess krafist að myndbandinu yrði eytt og að viðkomandi starfsfólk Sundlaugar Bolungarvíkur yrði látið sæta ábyrgð fyrir brot á trúnaðar- og þagnarskyldum sínum.

Eftir viðræður og bréfaskipti við málsaðila var ljóst að þeir óskuðu úrlausnar Persónuverndar um það hvort miðlun persónuupplýsinga, sem til urðu við notkun eftirlitsmyndavélar í Sundlaug Bolungavíkur, aðfararnótt 10. ágúst 2003, hafi verið lögmæt með tilliti til 7. - 9. gr. laga, og er það úrlausnarefni máls þessa.

Samkvæmt lýsingum í bréfum málshefjenda, dags. 26. ágúst og 27. ágúst sl., eru málavextir þeir að aðfaranótt 10. ágúst 2003 hafi þeir, ásamt stúlku úr bænum, átt ástarleik í heitum pottum við Sundlaug Bolungarvíkur. Sundlaugin er innisundlaug en pottarnir eru staðsettir úti við. Auðvelt sé að komast í pottana þar sem gat sé á girðingunni og talsverð brögð séu að því að ungmenni í bænum noti pottana með þessum hætti yfir sumartímann. Strax eftir helgina hafi orðrómur farið af stað um ástarleikinn. Samkvæmt honum hafi eftirlitsmyndavél, sem beint er að pottunum, náð myndum af því sem fram fór. Hafi málshefjendur og foreldrar þeirra orðið miður sín yfir þessum fregnum. Móðir annars málshefjandans hafi í framhaldi af þessu talað við forstöðumann sundlaugarinnar þann 25. ágúst og m.a. spurt hann hvort að hugsast gæti að upplýsingarnar um umrætt atvik væru komnar þaðan. Hann hafi þá viðurkennt að atvikið hafi náðst á myndband og það því miður borist þaðan út.

Með bréfi Persónuverndar, dags. 29. ágúst 2003, var c, forstöðumanni Sundlaugar Bolungarvíkur, hér eftir nefndur forstöðumaður, boðið að tjá sig um efni kvörtunarinnar og að koma á framfæri öðrum athugasemdum í tilefni hennar.

Í svarbréfi hans, dags. 1. september 2003, segir að umrædda helgi, þ.e. frá 8. ágúst til 12. ágúst, hafi hann verið í leyfi og ekki verið staddur í bænum. Þá helgi hafi d, starfsmaður við sundlaugina, og e, sumarafleysingamaður, verið á vakt. Þegar hann hafi komið heim þann 12. ágúst hafi e sagt sér frá atvikinu. Með tilliti til þess að málið gæti kallað á frekari meðferð, s.s. hjá lögreglu, hafi hann ákveðið að bíða með að eyða myndbandinu, komið því fyrir á öruggum stað og beðið starfsfólk sundlaugarinnar um að láta ekkert frá sér fara um það. Fljótlega hafi hann hins vegar orðið þess áskynja að vitað var um myndina víðar en meðal starfsfólks þótt engin starfsmaður hafi, við eftirgrennslan hans, játað að hafa greint frá henni. Þegar móðir annars málshefjandans hafi síðan komið á fund hans þann 25. ágúst hafi hún tjáð sér að f, starfsmaður sundlaugarinnar, hefði verið að tala um myndina við óviðkomandi aðila. Umræddur starfsmaður hafi síðan, í samtali við sig, viðurkennt að hafa talað um umrætt atvik, enda væri það á vitorði allra bæjarbúa. Hann hafi við þetta tækifæri brýnt fyrir henni að virða þá þagnarskyldu sem hún bæri. Við frekari eftirgrennslan hans hafi engin starfsmaður kannast við að hafa veitt upplýsingar um umrætt atvik. Það hafi svo verið hinn 29. ágúst 2003 að e hafi í samtali við sig viðurkennt að hann hafi "af barnaskap og hugsunarleysi" sýnt vinum sínum hluta myndbandsins en ekki haft kjark til að láta sig vita af því fyrr né gert sér grein fyrir alvarleika málsins. Í framhaldi af þessari játningu hafi hann sett sig í samband við annan málshefjandann, b, og óskað eftir fundi með honum. Á þeim fundi hafi hann beðist afsökunar á þeim mistökum sem orðið hafi og beðið hann um að koma afsökunarbeiðninni á framfæri við aðra aðila málsins. Hann hafi og boðist til að ræða við þá sjálfur, yrði þess óskað.

Til að upplýsa málið betur, og með vísan til 1. mgr. 38. gr. laga nr. 77/2000, óskaði Persónuvernd svara við spurningum varðandi málið og almennt um fyrirkomulag vöktunarinnar. Í fyrrnefndu bréfi forstöðumannsins er þessum spurningum svarað og segir m.a. fram að umræddu myndbandi hafi verið eytt þann 27. ágúst 2003 og að ekkert afrit hafi verið tekið. Þá er þar upplýst að 9 manns hafi séð myndina, eða a.m.k. hluta hennar, en þeir þó ekki nafngreindir. Varðandi tilgang vöktunarinnar var því til svarað að megintilgangur hennar væri að stuðla að auknu öryggi sundlaugargesta. Utan opnunartíma sundlaugarinnar færi vöktunin hins vegar fram eignarvörsluskyni.

Í bréfi sínu vísar forstöðumaðurinn til þess að málshefjendum hafi verið óheimill aðgangur að afgirtu svæði sundlaugarinnar eftir lokun hennar. Þá hafi þetta ekki verið í fyrsta skipti sem þeir hafi farið í leyfisleysi inn á svæði sundlaugarinnar og að þeim hafi verið fullkunnugt um tilvist og staðsetningu eftirlitsmyndavélanna.

Með bréfi Persónuverndar, dags. 5. september 2003, var málshefjendum gefið tækifæri til að gera athugasemdir við efni bréfs forstöðumannsins. Í framhaldi af því barst Persónuvernd, þann 18. september 2003, bréf frá málshefjendum þar sem þeir gera ýmsar athugasemdir við lýsingu forstöðumannsins á málsatvikum. Segja málshefjendur þar m.a. að þeim hafi verið kunnugt um tilvist eftirlitsvélanna en ekki að með þeim væri tekið upp myndefni. Þá segir að forstöðumaðurinn hafi tjáð b á fundi þeirra þann 30. ágúst að hann hefði upptökuna enn undir höndum og því geti sú fullyrðing hans um að upptökunni hafi verið eytt þann 27. ágúst ekki staðist. Hafi móðir umrædds málshefjanda talað við forstöðumanninn síðar þann sama dag. Þá hafi komið fram í máli hans að búið væri að eyða upptökunni. Þá er spurningu varpað fram um hvort það hugsast geti að afrit af umræddri upptöku séu enn í umferð, en sífellt fleiri bætist við sem segist hafa séð upptökuna, s.s. nágranni og vinur forstöðumannsins. Var einnig farið fram á að nafngreindir yrðu þeir starfsmenn og óviðkomandi aðilar sem séð hefðu umrætt myndband. Enn fremur að upplýst yrði hver hefði gengt stöðu forstöðumanns sundlaugarinnar í fjarveru hans.

Voru þessar spurningar teknar upp í bréf Persónuverndar til forstöðumannsins, dags. 25. september 2003, auk þess sem honum var boðið að tjá sig um efni bréfs málshefjenda.

Erindi Persónuverndar var svarað með bréfi forstöðumannsins, dags. 3. október 2003. Var það sent málshefjendum með bréfi Persónuverndar, dags. 3. nóvember s. á. Í svarbréfi forstöðumanns eru nafngreindir allir þeir, starfsmenn og aðrir, sem forstöðumanninum er kunnugt um að hafi séð umrædda upptöku, eða a.m.k. hluta hennar. Þá er upplýst að í vaktfríum forstöðumanns tíðkist ekki að skipa annan mann til að gegna þeirri stöðu, hafi hann því verið forstöðumaður á þeim tíma sem atvikið átti sér stað.

Markmið laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, með áorðnum breytingum, er m.a. að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs.

Lögin gilda um vinnslu persónuupplýsinga. Hugtakið persónuupplýsingar er skilgreint í 1. tl. 1. mgr. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Af skilgreiningunni leiðir að myndefni, óháð því hvort það sé á myndbandi eða öðru formi, getur fallið undir hugtakið ef hægt er að bera kennsl á þann eða þá sem þar birtast og segja má að það beri með sér upplýsingar um viðkomandi, enda falli vinnsla þeirra undir 3. og 4. gr. laganna. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tl. 1. mgr. sömu greinar. Af athugasemdum við þetta ákvæði, í því frumvarpi sem varð að lögum nr. 77/2000, má ráða að með vinnslu sé m.a. átt við miðlun upplýsinga (Alþt. 1999-2000, A-deild, bls. 2714). Samkvæmt þessu getur sýning myndbands falið í sér miðlun persónuupplýsinga í skilningi laganna. Tekið skal fram að því hefur hvorki verið haldið fram í málinu að örðugt hafi verið að bera kennsl á þá einstaklinga sem myndefnið er af né að torvelt hafi verið að finna upplýsingarnar á bandinu.

Mál þetta varðar miðlun persónuupplýsinga sem urðu til aðfaranótt 10. ágúst 2003 í tengslum við "rafræna vöktun" á lóð Sundlaugar Bolungarvíkur, eins og það hugtak er skilgreint í 6. tl 2. gr. laga nr. 77/2000. Fjallað er um slíka vöktun í 4. gr. laganna, eins og henni var breytt með lögum nr. 46/2003. Í 2. mgr. ákvæðisins segir að öll vinnsla persónuupplýsinga, sem eigi sér stað í tengslum við slíka vöktun, skuli uppfylla ákvæði laganna. Samkvæmt því fellur ágreiningur um lögmæti umræddrar vinnslu undir gildissvið og ákvæði laga nr. 77/2000 og þar af leiðandi undir úrskurðarvald Persónuverndar.

Við athugun á lögmæti þeirrar miðlunar persónuupplýsinga sem um er deilt í máli þessu verður að hafa í huga að öll vinnsla persónuupplýsinga, þ. á m. miðlun þeirra, þarf að eiga sér stoð í einhverju af ákvæðum 8. gr., sbr. og einhverju af ákvæðum 9. gr. ef um er að ræða viðkvæmar persónuupplýsingar. Vinnsla persónuupplýsinga þarf ennfremur að vera í samræmi við ákvæði 7. gr. laganna. Meginreglur 1. – 3. tölul. 1. mgr. 7. gr., eru þessar: Persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti (1. tölul.), þær skulu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi (2. tölul.) og þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Í þessum reglum er m.a. talið felast að ekki skuli unnið með persónuupplýsingar nema á því sé þörf og vinnslan sé málefnaleg.

Við mat á því hvort umrædd miðlun hafi verið í samræmi við þessar meginreglur 7. gr. verður m.a. að líta til þess að samkvæmt 1. mgr. 4. laga nr. 77/2000 er rafræn vöktun ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Þá ber að hafa í huga að samkvæmt 1. tl. 2. mgr. 9. gr. laganna er söfnun viðkvæmra persónuupplýsinga í tengslum við rafræna vöktun háð því skilyrði að hún sé nauðsynleg í öryggis- og eignarvörsluskyni. Hefur slíkur tilgangur rafrænnar vöktunar verið talinn málefnalegur, sbr. athugasemdir við þetta ákvæði í frumvarpi því sem varð að lögum nr. 81/2002, um breytingar á lögum nr. 77/2000 (Alþt. 2001-2002, A-deild, bls. 4527). Ekki er um það deilt í máli þessu að sú rafræna vöktun sem fram fer hjá Sundlaug Bolungarvíkur fari fram í öryggis- og eignarvörsluskyni og eigi sér þannig málefnalegan tilgang. Hins vegar verður eftirfarandi vinnsla þeirra persónuupplýsinga sem verða til við vöktunina einnig að vera málefnaleg og í samræmi við tilgang vöktunarinnar, sbr. framangreindar meginreglur 1. mgr. 7. gr. laganna.

Samkvæmt gögnum þessa máls liggur fyrir að auk forstöðumannsins hafa óviðkomandi aðilar séð umrætt myndband, eða a.m.k. hluta þess. Tekið skal fram að líta verður svo á að til óviðkomandi aðila teljist m.a. þeir starfsmenn Sundlaugar Bolungarvíkur sem samkvæmt störfum sínum hafa enga málefnalega ástæðu til aðgangs að umræddum upplýsingunum. Ekki verður séð að miðlun þeirra persónuupplýsinga sem hér um ræðir til framangreindra aðila geti talist samrýmanleg almennum viðhorfum um það hvað teljist vera sanngjörn notkun persónuupplýsinga né verður komið auga á að hún hafi þjónað málefnalegum tilgangi, sbr. 1. tl. 7.gr., eða verið samrýmanleg tilgangi vöktunarinnar, sbr. 2. tl. 7. gr. Af hálfu ábyrgðaraðila hefur heldur ekki verið haldið fram að svo sé. Umrædd miðlun persónuupplýsinga fór því í bága við 1. og. 2. tl. 1. mgr. 7. gr. laga nr. 77/2000.

Eins og áður segir verður öll vinnsla persónuupplýsinga, þ. á m. miðlun þeirra, að eiga sér stoð í einhverju af skilyrðum 1. mgr. 8. gr. laga nr.77/2000, sbr. og einhverju af skilyrðum 1. mgr. 9. gr. ef um er að ræða viðkvæmar persónuupplýsingar, en til slíkra upplýsinga teljast m.a. upplýsingar um kynlíf manna og kynhegðan, d.-lið 8. tl. 2. gr. laga nr. 77/2000. Óumdeilt er að það myndefni sem um er rætt í máli þessu ber með sér slíkar upplýsingar.

Um lögmæti miðlunar slíkra persónuupplýsinga (myndefnis) gildir sérregla 2. tl. 2. mgr. 9. gr. Samkvæmt henni má hvorki miðla til annarra né vinna frekar myndefni sem ber með sér viðkvæmar persónuupplýsingar nema með samþykki þess sem myndirnar eru af eða samkvæmt ákvörðun Persónuverndar. Heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað, en þá skal þess gætt að eyða öllum öðrum eintökum af efninu. Þá er skilyrði að slíku myndefni verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það, nema sérstök heimild Persónuverndar standi til frekari varðveislu.

Ljóst er að Persónuvernd getur hvorki, með þeim úrræðum sem henni eru búin að lögum, fært sönnur á og skorið úr um það hverjir hafi séð umrætt myndband, né hvort eða þá hvenær því hafi verið eytt. Engu að síður hefur því ekki verið mótmælt að allnokkrir óviðkomandi aðilar sáu myndbandið, eða a.m.k. hluta þess. Hefur þar átt sér stað miðlun persónuupplýsinga sem ekki verður séð að fái samrýmst nokkru af skilyrðum 1. mgr. 8. gr. eða 1. mgr. 9. gr. laga nr. 77/2000. Þá er ljóst að sú miðlun persónuupplýsinga til óviðkomandi aðila, sem fólst í sýningu umrædds myndbands, fór beinlínis gegn 2. tl. 2. mgr. 9. gr. laga nr. 77/2000.

Vegna kröfu málshefjenda um að starfsmenn Sundlaugar Bolungarvíkur sæti ábyrgð sem opinberir starfsmenn skal tekið fram að slíkt fellur utan verkefna Persónuverndar.

Miðlun mynda af kynlífsathöfnum, sem teknar voru á myndband með eftirlitsmyndavélum Sundlaugar Bolungarvíkur aðfaranótt 10. ágúst 2003, til óviðkomandi aðila, var ólögleg.