Óheimil miðlun myndefnis úr eftirlitsmyndavélum

Mál nr. 2013/331

30.9.2013

Úrskurður

 

Á fundi stjórnar Persónuverndar hinn 18. september 2013 var kveðinn upp svohljóðandi úrskurður í máli nr. 2013/331:

 

I.

Grundvöllur máls

Málavextir og bréfaskipti

 

Þann 1. mars 2013 barst Persónuvernd kvörtun frá A lögreglumanni (hér eftir nefndur kvartandi), vegna miðlunar á upptöku úr eftirlitsmyndavél á veitingastaðnum Portinu í Reykjavík. Í kvörtuninni er kvartað yfir því að upptökur úr eftirlitsmyndavél veitingastaðarins, þar sem m.a. mun sjást hvar kvartandi handtekur viðskiptavin staðarins, B, hafi verið afhentar B án samráðs við aðra sem sjást á myndbandinu. B mun hafa kært kvartanda fyrir meint harðræði við umræddda handtöku. Kvartandi kveðst jafnframt hafa fengið fregnir af því að B hafi sýnt öðrum einstaklingum upptökuna. Þá kemur fram í kvörtuninni að síðar þegar lögregla óskaði eftir aðgangi að umræddri upptöku, í tilefni af kæru á hendur kvartanda, hafi henni verið tjáð að slík upptaka væri ekki til.

 

Með bréfi, 22. mars 2013, var Portinu ehf. boðið að koma á framfæri skýringum vegna kvörtunarinnar en í bréfinu var m.a. tekið upp efni kvörtunarinnar og krafa hins skráða um eyðingu upptökunnar. Í svarbréfi Portsins, í tölvubréfi 4. júlí 2013, sagði m.a. að því væri ranglega haldið fram af kvartanda að lögregla hefði ekki fengið aðgang að upptöku úr eftirlitsmyndavélakerfi Portsins ehf. Hafi framkvæmdastjóri veitingastaðarins afhent lögreglu umræddar upptökur úr eftirlitsmyndavélum veitingastaðarins jafn skjótt og þeirra var óskað. Hann hafi jafnframt gefið skýrslu og rætt við lögreglu um málið. Loks sagði í svarbréfinu að B hefði ekki verið sent eða afhent afrit af upptöku úr eftirlitsmyndavélakerfinu en hins vegar hefði verjandi hans fengið afhent afrit af myndbandinu samtímis afhendingu til lögreglu. Í niðurlagi svars veitingastaðarins segir loks: „Ósk [P]ersónuverndar um að eyða umræddum upptökum er tekin til greina og verður eytt fyrir 15. [j]úlí nk.“.

 

Með bréfi, dags. 17. júlí 2013, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Portsins ehf. Svarbréf kvartanda barst Persónuvernd með tölvupósti þann 21. ágúst s.á. Þar kom fram að kvartandi hefði rætt við rannsóknarlögreglumanninn X, sem hafði umsjón með rannsókn málsins vegna kærunnar á hendur B (mál nr. xxx-xxxx-xxxxx). Samkvæmt henni hafi forráðamenn Portsins ehf. veitt þau svör að engar upptökur væru til af því atviki sem um ræðir. Jafnframt sagði í tölvubréfinu að Y, lögfræðingur embættis Lögreglustjórans á höfuðborgarsvæðinu, hafi staðfest að engin upptaka hefði tilheyrt málinu þegar kæran gegn B var send til ríkissaksóknara. Þá sagðist kvartandi hafa fengið fregnir af því að B væri persónulega kominn með afrit af upptökunum úr eftirlitsmyndavélakerfinu. Loks sagði í tölvubréfi kvartanda:

 

„Ítreka ég því það sem áður hefur komið fram og bendi jafnframt á að samkvæmt 7. gr. í reglum 837/2006 um varðveislu og miðlun persónuupplýsinga kemur fram að þær má ekki afhenda öðrum nema lögreglu til upplýsingar um slys eða meintan refsiverðan verknað. Ekki get ég túlkað reglurnar öðruvísi en að óheimilt hafi verið að afhenda verjanda B upptökurnar.“

 

Með tölvupósti, dags. 28. ágúst 2013, óskaði Persónuvernd eftir nánari skýringum frá kvartanda um hvort að hann teldi ágreining um lögmæti afhendingarinnar og eyðingu upptökunnar enn vera til staðar. Kvartandi kom skýringum sínum á framfæri í símtali þann 6. september 2013 og staðfesti að hann óskaði eftir efnislegri úrlausn stofnunarinnar um kvörtunarefni sitt.

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

 

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.

 

Af framangreindu er ljóst að afhending upptöku úr eftirlitsmyndavél frá ábyrgðaraðila til þriðja aðila fellur undir gildissvið laga nr. 77/2000.

 

2.

Lögmæti vinnslu

Um rafræna vöktun, s.s. með eftirlitsmyndavélum, er m.a. fjallað í 1. mgr. 4. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, en þar segir: „Rafræn vöktun er ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis þar sem takmarkaður hópur fólks fer um að jafnaði er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.“

 

Í reglum Persónuverndar nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, með síðari breytingum, sem settar eru með stoð í 5. mgr. 37. gr. laga nr. 77/2000, er útfært nánar hvenær rafræn vöktun er heimil. Í 4. gr. reglnanna segir að rafræn vöktun verði að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, s.s. í þágu öryggis og eignavörslu. Þá segir í 5. gr. reglnanna:

 

„Við alla rafræna vöktun skal þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Skal gæta þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skal því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.“

 

Í 2. mgr. 9. gr. laga nr. 77/2000 er fjallað um varðveislu vöktunarefnis með viðkvæmum persónuupplýsingum, s.s. um refsiverða háttsemi, sbr. b-lið 8. tölul. 2. gr. laganna. Þar kemur fram að söfnun slíks efnis er háð þeim skilyrðum:

 

a.    að vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni;

b.   að það efni, sem til verður við vöktunina, verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða samkvæmt ákvörðun Persónuverndar; heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað, en þá skal þess gætt að eyða öllum öðrum eintökum af efninu;

c.    að því efni, sem safnast við vöktunina, verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það.

 

Ákvæði 2. mgr. 9. gr. er nánar útfært í 7. gr. reglna nr. 837/2006. Í 3. mgr. þeirrar greinar segir að persónuupplýsingar sem verða til við rafræna vöktun megi aðeins nota í þágu tilgangs með söfnun þeirra og aðeins að því marki sem gerist þörf í þágu tilgangsins. Þá eru áréttuð framangreind ákvæði 2. mgr. 9. gr. um að ekki megi vinna með upplýsingarnar eða afhenda öðrum nema samþykki hins skráða eða samkvæmt ákvörðun Persónuverndar en þó sé heimilt að afhenda lögreglu upplýsingar um slys eða refsiverðan verknað.

 

Beiðni lögreglu um afhendingu á umræddri upptöku var lögð fram í tengslum við rannsókn á meintu refsiverðu broti og styðst því við framangreind ákvæði um afhendingu til lögreglu. Veitingastaðurinn Portið ehf. hefur hins vegar ekki sýnt fram á heimild fyrir afhendingu upptökunnar til lögmanns B.

 

Með vísan til framangreinds er ljóst að ábyrgðaraðili vinnslunnar, Portið ehf., fór ekki að framangreindum ákvæðum laga nr. 77/2000, og reglum settum á grundvelli þeirra, þegar hann afhenti lögmanni B umræddar upptökur. Hins vegar er honum heimilt að afhenda lögreglunni umræddar upptökur. Þá hefur ábyrgðaraðili fallist á að eyða þeim upptökum sem til eru. Er því lagt fyrir hann að leggja fram staðfestingu til Persónuverndar fyrir 1. október næstkomandi þess efnis að þær upptökur sem hér um ræðir hafi verið eytt.

 

Ú r s k u r ð a r o r ð:

Portinu ehf. var óheimilt að afhenda lögmanni B afrit af upptöku úr eftirlitsmyndavél staðarins. Skal ábyrgðaraðili ganga úr skugga um að öllum eintökum af upptökunni hafi verið eytt og senda Persónuvernd staðfestingu þess efnis fyrir 1. október næstkomandi.