Eftirlitsmyndavélar hjá kjötvinnslufyrirtæki - mál nr. 2013/119

3.9.2013

Úrskurður

 

Á fundi stjórnar Persónuverndar hinn 6. ágúst 2013 var kveðinn upp svohljóðandi úrskurður í máli nr. 2013/119:

 

I.

Grundvöllur máls

Málavextir og bréfaskipti

 

Þann 22. janúar 2013 barst Persónuvernd kvörtun frá X, hdl., hjá Matvæla- og veitingafélagi Íslands (MATVÍS) (hér eftir nefndur kvartandi), vegna rafræns eftirlits með starfsmönnum Esju-Gæðafæðis hf. í húsnæði fyrirtækisins að Bitruhálsi 2. Í kvörtuninni segir m.a.:

 

„Til undirritaðrar hafa leitað starfsmenn Esju-Gæðafæði og félagsmenn í MATVÍS með kvörtun sem snýr að rafrænu eftirliti á vinnustað. Esja-Gæðafæði er kjötvinnsla og þar fer fram vinnsla á öðrum matvælum í einhverju magni.

 

Starfsmenn hafa tekið eftir að forsvarsmenn fyrirtækisins vinna nú að uppsetningu öryggismyndavéla. Starfsmönnum hefur ekki verið tilkynnt um umrædda vöktun eða tilgang hennar. Starfsmenn hafa lent í því að vera kallaðir til yfirmanns og spurðir um tíðni og lengd salernisferða svo dæmi sé tekið auk þess að vera þaulspurðir út í verklag við vinnu. Eins og gefur að skilja eru starfsmenn órólegir yfir þessu og leituðu til síns stéttarfélags vegna þessa.“

 

Með bréfi, dags. 15. febrúar 2013, var Esju-Gæðafæði hf. boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var frestur veittur til 4. mars 2013. Ekkert svar barst og var erindið ítrekað með bréfi þann 25. mars 2013. Var frestur þá veittur til 12. apríl 2013. Svarbréf Esju-Gæðafæðis hf. barst Persónuvernd með tölvupósti þann 9. s.m.

 

Í svarbréfi Esju-Gæðafæðis hf. kemur fram að eigendur fyrirtækisins hafi fest kaup á fyrirtækinu þann 1. febrúar 2007. Þá hafi fyrirtækið verið með aðsetur í Dugguvogi 8 og þar hafi verið til staðar fullkomið og virkt myndavélakerfi sem hafði verið í gangi í mörg ár. Ekki hafi verið farið yfir það sérstaklega með þáverandi eigendum að við innleiðingu á því hefði allt verið gert eftir settum reglum. Í mars 2012 hafi fyrirtækið flutt að Bitruhálsi 2 í Reykjavík. Þá hafi myndavélakerfið verið tekið niður og sett upp á Bitruhálsi. Þar voru þegar vélar sem tengdust inn á sama kerfi. Þá segir í bréfi Esju-Gæðafæðis hf. að við ráðningu starfsfólks sé ávallt tekið fram að í húsinu sé myndavélakerfi og að það sé að stórum hluta í gangi vegna öryggis starfsfólks. Á nokkrum stöðum í fyrirtækinu sé einungis einn starfsmaður í deild að vinna við vélar sem geta verið slysavaldar. Við uppsetningu á myndavélakerfinu hafi sérstaklega verið tekið tillit til þessara staða í húsinu. Enn fremur kemur fram að verið sé að prenta sérstaka starfsmannahandbók þar sem farið sé yfir ýmislegt sem starfsmenn þurfa að vita og kunna skil á. Þar muni koma fram sú athugasemd að eftirlitsmyndavélar frá Securitas séu staðsettar í öllum deildum fyrirtækisins.

 

Þá segir í bréfinu:

 

„Samstarfsmaður minn kannast við að hafa spurt starfsmann hvort það væri ekki allt í lagi því hann hafi farið á salerni oftar en eðlilegt þykir en í því tilfelli var ekki verið að vitna í neinar myndavélar þar sem sá sem spurði var að starfa við hlið hins og vildi bara vita hvort það væri ekki allt í lagi með hann.“

 

Með bréfi, dags. 26. apríl 2013, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Esju-Gæðafæðis hf. til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var frestur veittur til 10. maí 2013. Ekkert svar barst og var erindið ítrekað með bréfi þann 23. maí 2013. Var svarfrestur veittur til 10. júní s.á. Þann 12. júní 2013 barst Persónuvernd tölvupóstur X þar sem óskað var eftir fresti til að svara bréfi stofnunarinnar. Var sá frestur veittur í tölvupósti þann 20. júní 2013 til 5. júlí s.á. Svarbréf MATVÍS, f.h. starfsmanna Esju-Gæðafæðis hf., dags. 21. júní 2013, barst Persónuvernd þann 24. s.m.

 

Þar segir m.a.:

 

„Rétt er að myndavélakerfi var til staðar á eldri starfsstöð fyrirtækisins í Dugguvogi. Skv. upplýsingum frá starfsmönnum er þó um mun fullkomnara kerfi að ræða á nýja staðnum á Bitruhálsi. Fleiri myndavélar, hægt er að „súmma“ inn o.fl. Annar yfirmanna er með skjá með öllum myndavélum fyrir ofan tölvuskjáinn sinn og því er kerfið vaktað allan daginn. Starfsmenn hafa lýst áhyggjum af því að fylgst sé með verklagi þeirra og vinnu, t.d. hafa þeir fengið athugasemdir við að vera lengi að koma sér að verki á morgnana. Kjötiðnaðarmenn mæta til vinnu kl. 6 en yfirmenn mun seinna. Því er augljóslega verið að spóla til baka í myndavélakerfi, eða vakta það úr fjarlægð, til þess að fylgjast með vinnu starfsmanna. Auðvelt væri að koma við verkstjórn með öðrum hætti og erfitt er að sjá hvernig vöktun afkasta tengist hollustu- eða mengunarvörnum, sbr. 6. gr. reglna nr. 837/2006.“

 

II.

Forsendur og niðurstaða

1.

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

 

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði, og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. tölul. 2. gr. laga nr. 77/2000. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

 

Af framangreindu er ljóst að myndavélaeftirlit það sem fram fer hjá Esju-Gæðafæði hf. að Bitruhálsi 2 er rafræn vöktun og rafræn vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Jafnframt er ljóst að það heyrir undir valdsvið Persónuverndar að úrskurða um ágreining um umrædda vöktun, sbr. 37. gr. laganna.

 

2.

Lögmæti vöktunar

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 4. gr. laga nr. 77/2000. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fari um að jafnaði, sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.

 

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að slík vinnsla sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 8. gr. laga nr. 77/2000, að vera fullnægt. Þegar um ræðir vöktun á vinnustað reynir einkum á 7. tölul. 1. mgr. 8. gr., þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

 

Meðferð persónuupplýsinga sem til verða í tengslum við vöktun verður, auk framangreinds, m.a. að samrýmast meginreglum 7. gr. laga nr. 77/2000, þ. á m. þeim reglum að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skal samrýmast vönduðum vinnsluháttum persónuupplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Draga má efni þessara reglna saman í eina grunnreglu þess efnis að vinnsla persónuupplýsinga skuli vera sanngjörn og ekki umfram það sem nauðsynlegt er í þágu lögmæts og málefnalegs tilgangs.

 

Með stoð í 5. mgr. 37. gr. laga nr. 77/2000 hefur Persónuvernd sett reglur nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 4. gr. þeirra reglna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, s.s. í þágu öryggis eða eignavörslu. Þá segir í 5. gr. reglnanna að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Skuli gæta þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

 

Í 6. gr. reglnanna er ákvæði um vöktun með vinnuskilum. Segir þar að vöktun til að mæla vinnu og afköst starfsmanna sé háð því að hennar sé sérstök þörf, s.s. vegna þess:

 

a.   að ekki sé unnt að koma við verkstjórn með öðrum hætti; eða

b.   að án vöktunarinnar sé ekki unnt að tryggja öryggi á viðkomandi svæði, s.s. í ljósi laga og sjónarmiða um hollustuhætti og mengunarvarnir; eða

c.   að hún sé nauðsynleg vegna ákvæða kjarasamnings eða annars konar samkomulags um launakjör, s.s. þegar laun eru byggð á afkastatengdu, tímamældu launakerfi.

 

Við mat á því hvort farið sé að framangreindum ákvæðum laga nr. 77/2000 og reglna nr. 837/2006 verður einnig að líta til ákvæða í öðrum lögum eftir því sem við á, t.a.m. laga nr. 7/1998 um hollustuhætti og mengunarvarnir. Í því sambandi hefur Esja-Gæðafæði hf. bent á að margir starfsmenn séu einir að störfum við hættulegar vélar sem geti valdið slysum.

 

Þá hefur komið fram að starfsemi Esju-Gæðafæðis hf. felst einkum í kjötvinnslu en slík framleiðsla matvæla er háð ströngum skilyrðum, sbr. ákvæði laga nr. 93/1995 um matvæli. Í þeim lögum er m.a. gerð krafa um rekjanleika afurða og vara ásamt því að matvælafyrirtæki bera ábyrgð á hreinlæti þeirra.

 

Persónuvernd gerir ekki athugasemdir við framangreindan tilgang vöktunarinnar, þ.e. að tryggja öryggi starfsmanna á svæðinu í þeim tilgangi að uppfylla skilyrði laga nr. 7/1998 um hollustuhætti og mengunarvarnir. Þá gerir Persónuvernd ekki athugasemdir við að ábyrgðaraðili viðhafi vöktun sem fer fram í því skyni að tryggja rekjanleika og hreinlæti þeirra vara sem eru í framleiðslu hjá honum, sbr. ákvæði laga nr. 93/1995.

 

Um það hvort umræddar eftirlitsmyndavélar séu notaðar í þeim tilgangi að fylgjast með vinnuskilum starfsmanna stendur orð gegn orði. Þegar svo háttar til eru úrræði Persónuverndar takmörkuð. Stofnunin hefur rannsakað mál þetta með þeim úrræðum sem henni eru búin að lögum. Það er ekki á hennar valdi að rannsaka það frekar til að staðreyna hvort áhyggjur starfsmanna eru á rökum reistar að þessu leyti. Eins og málið liggur nú fyrir er ekki hægt að slá því föstu að vöktun fari fram með vinnuskilum starfsmanna.

 

3.

Fræðsla

Í kvörtuninni er einnig vikið að því að ábyrgðaraðili hafi ekki rækt fræðsluskyldu sína samkvæmt 20. gr. laga nr. 77/2000. Þar segir m.a. að þegar ábyrgðaraðili afli persónuupplýsinga hjá hinum skráða sjálfum skuli hann fræða hinn skráða um þau atriði sem hann þarf að vita, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna. Í 10. gr. reglna nr. 837/2006 um rafræna vöktun er sömuleiðis að finna ákvæði um fræðslu sem veita ber þeim sem sæta rafrænni vöktun. Segir þar m.a. að þeim skuli veitt fræðsla um tilgang vöktunar, hverjir hafi eða kunni að fá aðgang að þeim upplýsingum sem safnast og hversu lengi þær verði varðveittar. Í máli þessu hefur komið fram af hálfu kvartanda að fræðsla hafi ekki verið veitt. Sönnunarbyrði um það hvort fræðsla hafi verið veitt með fullægjandi hætti hvílir á ábyrgðaraðila. Af hans hálfu hefur komið fram að við kaup á fyrirtækinu þann 1. febrúar 2007 hafi ekki verið rætt sérstaklega um hvort að þessu ákvæði laga nr. 77/2000 hafi verið fullnægt. Þá sé nú í undirbúningi gerð starfsmannahandbókar þar sem fram komi að rafræn vöktun fari fram á vinnustaðnum og verði í höndum Securitas hf.

 

Liggur því ekki fyrir að hinum skráðu hafi verið veitt fræðsla svo sem skylt er samkvæmt 20. gr. laga nr. 77/2000. Þá fullnægir umrædd setning sem ætlunin er að setja í starfsmannahandbókina ekki þeim skilyrðum sem gerðar eru til fræðslu samkvæmt framangreindum ákvæðum laga nr. 77/2000 og reglna nr. 837/2006.

 

Leggur Persónuvernd því fyrir ábyrgðaraðila að veita starfsmönnum sínum fræðslu, t.a.m. með útgáfu starfsmannahandbókar sem kynnt verði starfsmönnum sérstaklega, þar sem fram komi þau atriði sem talin eru upp í 10. gr. reglna nr. 837/2006, sbr. 20. gr. laga nr. 77/2000. Skal Persónuvernd berast staðfesting þess efnis fyrir 1. október 2013.

 

 

Ú r s k u r ð a r o r ð:

 

Esju-Gæðafæði hf. er heimilt að viðhafa rafræna vöktun í húsnæði sínu að Bitruhálsi 2 í þeim tilgangi að fara að lögum nr. 7/1998 um hollustuhætti og mengunarvarnir ásamt lögum nr. 93/1995 um matvæli.

 

Lagt er fyrir Esju-Gæðafæði hf. að fræða starfsmenn sína um vöktunina í samræmi við 10. gr. reglna nr. 837/2006, sbr. 20. gr. laga nr. 77/2000. Skal Persónuvernd berast staðfesting þess efnis fyrir 1. október 2013.