Notkun eftirlitsmyndavéla - mál nr. 2012/993

3.7.2013

Ákvörðun

 

Hinn 28. maí 2013 tók stjórn Persónuverndar svohljóðandi ákvörðun í máli nr. 2012/993:

I.

Grundvöllur máls

Málavextir og bréfaskipti 

1.

Tildrög máls

Þann 3. september 2012 barst Persónuvernd ábending frá Flugfreyjufélagi Íslands, dags. 31. ágúst 2012, þar sem óskað var eftir því að Persónuvernd kanni uppsetningu á öryggismyndavélum í húsnæði Borgartúns 22. Í ábendingunni segir:

„Í húsinu starfa nokkrir þjónustuaðilar (Flugfreyjufélag Íslands, Flugvirkjafélag Íslands, Geðvernd og endurskoðun) auk þess sem veislusalur er leigður út til almennings.

Málsatvik eru þau að eigendur Borgarefnalaugarinnar á neðstu hæð hússins settu upp þrjár myndavélar sem mynda bílastæði við húsið sem og sameiginlegan inngang í húsið. Tilgangur uppsetningarinnar er að vakta notkun bílastæða við húsið en ekki til að mynda öryggisvöktun til að vernda eigur og húsnæði gagnvart innbrotum eða skemmdarverkum. Ástæða þess að eigendur efnalaugarinnar vilja vakta stæðin er sú að þeir vilja að stæðin séu notuð í skamman tíma í senn eða að hámarki 20 mínútur. Eigendur hafa auk þess gengið svo langt að spyrja aðila sem erindi eiga í húsið hvert erindið sé og hversu langan tíma standi til að leggja við húsið.

Aldrei var uppsetning vélanna í sameign kynnt öðrum eigendum húsnæðisins né tekin ákvörðun um uppsetningu þeirra með hreinum meirihluta á húsfundi.

Telur Flugfreyjufélag Íslands að með uppsetningu vélanna sé vegið að rétti þeirra sem sækja þjónustu í húsið eða skjólstæðinga starfsemi hússins, til að mynda Geðverndar sem starfar á annarri hæð. Ljóst er að önnur starfsemi hússins getur ekki tekið mið af 20 mínútna reglu um skammtímastæði né getur boðið skjólstæðingum sínum upp á að vera „í beinni“ þegar leitað er til þjónustuaðila hússins.“

2.

Bréfaskipti

Með bréfi, dags. 19. september 2013, var Borgarefnalauginni boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf lögmanns Borgarefnalaugarinnar, dags. 1. nóvember 2012, barst Persónuvernd 2. s.m. en þar segir m.a.:

„Þegar litið er til þeirra skilyrð[a] sem sett eru fyrir rafrænni vöktun í lögum um persónuvernd og meðferð persónuupplýsinga nr. 77/2000 og reglum 8[37]/2006 um rafræna vöktun og meðferð persónupplýsinga sem verða til við rafræna vöktun teljur umbj. minn sig uppfylla þau með öllu. Rafræn vöktun umbj. míns fer fram í málefnalegum tilgangi til að hafa gætur á eigum hans og stuðla að öryggi starfsmanna hans.

Tilefni þess að umbj. minn hóf rafræna vöktun á húsnæði sínu var það að á undanförnum árum hefur þrisvar sinnum verið brotist inn í húsnæði hans ásamt því að merkingar á rúðum hafa ítrekað verið skemmdar ásamt því að veggir og gluggar hafa verið ataðir málningu, svokölluðu grafíti með tilheyrandi tjóni, kostnaði og óþægindum. Einnig hefur það komið fyrir að veist hefur verið að starfsmönnum umbj. míns við afgreiðslu.

Staðsetning eftirlitsmyndavéla umbj. míns er á þá leið að þær vísa á bakdyr, framhlið og ein myndavél innandyra sem beinist að inngangi og afgreiðslu starfsemi umbj. míns, meðal annars til að gæta öryggis starfsmanna sem þar sinna afgreiðslu. Eftir að rafræn vöktun umbj. míns hófst og mjög skýrar tilkynningar þar um settar upp bæði innandyra sem utan, hefur umbj. mínum tekist að verja eignir sínar og starfsmenn með góðum árangri. Það hafa til að mynda engin eiginleg eignaspjöll orðið né innbrot og starfsmenn öruggari í starfi sínu. Rafræn vöktun umbj. míns upplýsti til að mynda ákveðið eignatjón á eigum húsnæðisins á sínum tíma.

Forsvarsmenn umbj. míns telja sig ekki hafa gengið lengra með rafrænni vöktun en brýna nauðsyn bar til og telja sig hafa gætt meðalhófs. Jafnframt að þessu markmiði hafi ekki verið hægt að ná með öðrum úrræðum. Með vísan til 4. gr. og 24. gr. laga nr. 77/2000 og 4. og 5. gr. reglna 8[37]/2006 ber að telja að rafræn vöktun umbj. míns uppfylli þær kröfur sem þar koma fram.

Að sögn forsvarsmanna umbj. míns uppfyllir eftirlitsbúnaður einnig kröfur laga nr. 77/2000 og reglur 8[37]/2006 að því leyti sem lýtur að geymslu upptekins efnis og varðveislu. Eftirlits- og upptökubúnaður umbj. míns er þannig útbúinn að hann getur einungis geymt myndefni að hámarki 90 daga, sbr. 7. gr. reglna nr. 8[37]/2006. Rafræn vöktun umbj. míns er ekki tilkynningarskyld til Persónuverndar þar sem hún fer fram í öryggis- og eignarvörsluskyni. Umfangsmiklar og skýrar merkingar á rafrænni vöktun umbj. míns og staðsetning þeirra gefa með greinilegum hætti hver sé ábyrgur fyrir henni. “

Þá gerir lögmaður Borgarefnalaugarinnar þær athugasemdir að umræddar eftirlitsmyndavélar séu staðsettar í eða á séreign Borgarefnalaugarinnar þ.e.a.s. inn á starfstöð þess, á auglýsingaskiltum og skorsteinshlíf í hans eigu. Af þeim sökum telji forsvarsmenn Borgarefnalaugarinnar sér ekki skylt að hafa samráð eða leita samþykkis annarra eigenda í húsinu til rafrænnar vöktunar. Þá hafni Borgarefnalaugin þeim athugasemdum Flugfreyjufélagsins um að vegið sé að rétti þeirra sem sæki þjónustu í húsinu. Þessu hafni Borgarefnalaugin á þeim grundvelli að farið sé í einu og öllu eftir lögum nr. 77/2000 og reglum settum á grundvelli þeirra. Þá telur lögmaðurinn að markmiðum vöktunarinnar, þ.e. vegna öryggis og eignarvörslu, yrði ekki náð væri vöktunin eingöngu á opnunartíma efnalaugarinnar.

Þann 20. nóvember 2012 fóru tveir fulltrúar Persónuverndar í vettvangsferð í Borgarefnalaugina í þeim tilgangi að skoða staðsetningu á umræddum eftirlitsmyndavélum og hvernig sjónarhorn þeirra væri. Í vettvangsskýrslu segir m.a.:

„Fulltrúar Persónuverndar fengu að sjá skjái sem sýndu það efni sem eftirlitsmyndavélar Borgarefnarlaugarinnar, sem staðsettar eru í séreign Borgarefnalaugarinnar, tóku upp og það sjónarhorn sem myndavélarnar snúa að í sameign, þ.e. að gangstétt og bílastæðum fyrir framan húsnæðið að Borgartúni 22. Á þremur skjáum sem staðsettir eru inni í vinnurými Borgarefnalaugarinnar má sjá upptöku fimm myndavéla sem snúa að framhlið og bílastæðum fyrir framan húsnæðið ásamt sérinngangi Borgarefnalaugarinnar á hlið húsnæðisins og móttöku í anddyri Borgarefnalaugarinnar. Eigendur Borgarefnalaugarinnar útskýrðu fyrir fulltrúum Persónuverndar að myndavélunum væri fyrst og fremst ætlað að vernda húsnæðið gegn skemmdarverkum og innbrotum, sem hafi verið viðvarandi vandamál á þessu svæði með tilheyrandi eignatjóni og kostnaði. Einnig hefðu eigendurnir í einstökum tilfellum fylgst með því að bílastæði sem merkt væru sem skammtímastæði fyrir framan húsnæðið væru aðeins notuð af viðskiptavinum Borgartúns 22. Umrædd bílastæði fyrir framan húsnæðið væru í sameign og væru hugsuð fyrir viðskiptavini alls hússins og væri reynt að gæta þess t.d. að bankastarfsmenn Arion banka legðu ekki í stæðin heilu dagana. Starfsmenn Borgartúns 22 hefðu sérstök bílastæði bakvið húsnæðið sem einnig væru í sameign en séu ætluð sem langtímastæði. [...]

[...] Fulltrúar Persónuverndar tóku sérstaklega eftir því að merkingar utan á húsnæði gefa skýrt til kynna að vöktun fari þar fram bæði á framhlið og við sérinngang á hlið húsnæðisins. Þá gefa merkingar einnig til kynna að þau bílastæði sem eru á framhlið hússins séu eingöngu hugsuð sem skammtímastæði fyrir viðskiptavini Borgartúns 22.“

Með bréfi, dags. 19. desember 2012, sendi Persónuvernd Borgarefnalauginni afrit af framangreindri vettvangsskýrslu. Þá óskaði Persónuvernd einnig eftir afstöðu fyrirtækisins til þess að sjónarhorni myndavéla yrði breytt þannig að þær snúi eingöngu að gluggum og útgöngum Borgarefnalaugarinnar en ekki að öðru fólki sem vant er að fara um svæðið í kringum húsið.

Svarbréf lögmanns Borgarefnalaugarinnar barst með tölvupósti þann 7. janúar 2013. Þar kemur fram að Borgarefnalaugin telji sér fært að verða við tilmælum Persónuverndar en fyrirtækið áskilji sér engu að síður rétt til að gera slíkt með þeim hætti að ekki dragi úr virkni og tilgangi rafrænna vöktunar. Ef slík tilfærsla dregur úr eða kemur í veg fyrir virkni rafrænnar vöktunar áskilji fyrritækið sér rétt til að hafa sjónarhorn myndavélanna með óbreyttum hætti.

II.

Forsendur og niðurstaða 

1.

Almennt

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

Samkvæmt 1. tölul. 2. gr. laga nr. 77/2000 er með „persónuupplýsingum“ í lögunum átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem rekja má beint eða óbeint til tiltekins einstaklings, látins eða lifandi. Samkvæmt 2. tölul. 2. gr. laga nr. 77/2000 er og með „vinnslu“ persónuupplýsinga átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með slíkar upplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn. Þar undir falla m.a. söfnun, geymsla, notkun, miðlun, dreifing og birting, sbr. það sem fram kemur í athugasemdum við 2. tölul. 2. gr. í frumvarpi því er varð að lögum nr. 77/2000, sem og b-lið 2. gr. tilskipunar nr. 95/46/EB.

Samkvæmt 6. tölul. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er með „rafrænni vöktun“ í lögunum átt við vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði. Í ákvæðinu kemur einnig fram að um vöktun er að ræða, sem fellur undir lögin, hvort sem hún fer fram á almannafæri eða á svæði, sem takmarkaður hópur fólks fer um að jafnaði, og óháð því hvort um sé að ræða:

- vöktun sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga; eða

- sjónvarpsvöktun sem fer fram með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

 

Í ljósi ofangreinds telst vöktun með eftirlitsmyndavélum til rafrænnar vöktunar í skilningi laga nr. 77/2000.

2.

Lögmæti vinnslu

Samkvæmt 1. mgr. 4. gr. laga nr. 77/2000 er rafræn vöktun ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram. Um slíka vöktun hefur Persónuvernd sett reglur nr. 837/2006 um rafræna vöktun, sbr. 5. mgr. 37. gr. laga nr. 77/2000. Í 1. mgr. 3. gr. þeirra reglna er kveðið á um að rafræn vöktun verði að fara fram í málefnalegum tilgangi, s.s. í öryggis- eða eignavörsluskyni.

Sú vinnsla, sem fram fer í tengslum við þessa vöktun, verður, eins og önnur vinnsla persónuupplýsinga, að styðjast við eitthvert af skilyrðum 8. gr. laga nr. 77/2000. Af ákvæðum þeirrar greinar kemur einkum til álita 7. tölul. 1. mgr. um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

Samkvæmt c- og e-lið 8. tölul. 2. gr. laga nr. 77/2000 eru upplýsingar um heilsuhagi og stéttarfélagsaðild viðkvæmar persónuupplýsingar en í ábendingu Flugfreyjufélagsins kom fram að í húsinu væri staðsett starfsemi stéttarfélaga og Geðverndar en sjónarhorn þeirrar myndavélar sem staðsett er í móttöku efnalaugarinnar vísi í átt að inngöngum þeirra félaga. Þegar um er að ræða vinnslu viðkvæmra persónuupplýsinga verður, auk einhvers af skilyrðum 8. gr., að fullnægja einhverju af skilyrðum 9. gr. laganna. Sé um að ræða rafræna vöktun reynir þá á hvort kröfum 2. mgr. 9. gr. sé fullnægt. Þar er kveðið á um að heimilt sé, í tengslum við framkvæmd rafrænnar vöktunar, að safna efni með viðkvæmum persónuupplýsingum, sem verður til við vöktunina, að því gefnu að:

1. vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni;

2. það efni, sem til verður við vöktunina, verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða samkvæmt ákvörðun Persónuverndar; heimilt sé þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað, en þá skuli þess gætt að eyða öllum öðrum eintökum af efninu; og

3. því efni, sem safnast við vöktunina, verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það, nema sérstök heimild Persónuverndar standi til frekari varðveislu, sbr. og 2. mgr. 4. gr. reglna nr. 837/2006.

Auk þess sem heimild þarf að vera til vinnslu í 8. og 9. gr. laga nr. 77/2000 ber að gæta ákvæða 7. gr. laganna í hvívetna. Þar er m.a. kveðið á um að persónuupplýsingar skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum og að óáreiðanlegar eða ófullkomnar persónuupplýsingar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.).

Eins og fyrr greinir skal þess ávallt gætt við vinnslu persónuupplýsinga að ekki sé unnið með meira af slíkum upplýsingum en nauðsyn krefur, sbr. 3. tölul. 1. mgr. 7. gr. laga nr. 77/2000, sbr. og 5. gr. reglna nr. 837/2006 sem hefur að geyma sams konar reglu um meðalhóf. Í ljósi þessa verður ábyrgðaraðili m.a. að gæta þess að sjónarhorn myndavéla taki ekki til svæða sem eru honum óviðkomandi. Í framkvæmd Persónuverndar hefur verið staðfest að til að vöktun samrýmist 7. gr. laga nr. 77/2000 þurfi að takmarka sjónarhorn eftirlitsmyndavéla þannig að það beinist að húsinu sjálfu en ekki verði um að ræða vöktun fólks á almannafæri, sbr. umsögn Persónuverndar í máli nr. 2011/1033.

 

3.

Niðurstaða

Af hálfu ábyrgðaraðila hefur komið fram að umrædd vöktun fari fram í öryggis- og eignarvörslutilgangi. Þá hefur einnig komið fram að það efni sem verður til við vöktunina er eingöngu varðveitt að hámarki 90 daga. Við rannsókn málsins hefur hins vegar komið fram að sjónarhorn myndavéla nær að útgöngum annarra fyrirtækja og félaga ásamt því að myndavélar vísa út á götu. Nær það sjónarhorn því út fyrir það svæði sem eðlilegt getur talist að fyrirtækið vakti, með tilliti til yfirlýsts tilgangs með vöktuninni.

Af þeirri ástæðu mælir Persónuvernd fyrir um að sjónarhorni eftirlitsmyndavéla, sem settar hafa verið upp við Borgartún 22, og eru í eigu Borgarefnalaugarinnar, skuli breytt þannig að það snúi eingöngu að gluggum og útgöngum fyrirtækisins. Að öðru leyti gerir Persónuvernd ekki athugasemdir við fyrrgreinda vöktun.

 k v ö r ð u n a r o r ð:Á

Borgarefnalaugin skal breyta sjónarhorni eftirlitsmyndavéla sinna þannig að þær snúi eingöngu að gluggum og útgöngum fyrirtækisins. Skal Persónuvernd upplýst um hvernig það hafi verið gert eigi síðar en 1. júlí 2013.