Ljósmyndir á vefsíðu verði fjarlægðar - mál nr. 2014/1078
Úrskurður
Á fundi stjórnar Persónuverndar þann 17. desember 2014 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/1078:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 30. júlí 2014 barst Persónuvernd kvörtun frá [A] (hér eftir [...] kvartandi), vegna birtingar á ljósmyndum af [A] á vefsíðunni [X] en ábyrgðarmaður síðunnar er [B]. Í kvörtuninni segir að á tilteknu tímabili hafi [A] reynt fyrir sér sem fyrirsæta og því haft samband við áhugaljósmyndara, [B], sem óskað hafði eftir því að mynda stúlkur sem hefðu áhuga á fyrirsætustörfum. [B] tók myndir af [kvartanda] og birti síðan á netinu án [...] leyfis [kvartanda] og hefði ekki fjarlægt þær þrátt fyrir ítrekaðar beiðnir. Einnig kemur fram í kvörtuninni að þetta sé fyrsta niðurstaða sem komi upp þegar nafni [kvartanda]sé slegið upp í leitarvél Google og telur [A] þá birtingu skaða ímynd sína.
2.
Bréfaskipti
Með bréfi, dags. 12. ágúst 2014, var [B] boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var frestur veittur til 2. september 2014.
Ekkert svar barst og var erindið ítrekað með bréfi, dags. 29. september 2014, þar sem frestur til að svara var framlengdur til 16. október 2014. Ekkert svar barst og var erindið ítrekað á ný, með bréfi, dags. 24. nóvember 2014, þar sem frestur var veittur til 4. desember 2014. Í því bréfikom fram að bærust engin svör fyrir þann tíma yrði málið tekið til úrskurðar á grundvelli fyrirliggjandi gagna. Þá var hann enn fremur upplýstur um heimild Persónuverndar til beitingar dagsekta, verði ekki farið að fyrirmælum stofnunarinnar, sbr. 41. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Engin svör bárust.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.
Af framangreindu er ljóst að birting mynda á vefsíðunni [X] fellur undir gildissvið laga nr. 77/2000.
2.
Lögmæti vinnslu
Samkvæmt lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga verður vinnsla, þ.á m. birting persónuupplýsinga, ávallt að falla undir einhverja af heimildum 8. gr. laganna. Þannig getur vinnsla persónuupplýsinga t.a.m. verið heimil byggist hún á samþykki hins skráða, sbr. 1. tölul. 1. mgr. 8. gr., vegna þess að vinnsla sé nauðsynleg til að efna samning sem hinn skráði er aðili að, sbr. 2. tölul. sömu greinar, eða til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna sinna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra, sbr. 7. tölul. sömu greinar.
Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).
3.
Niðurstaða
Af málsatvikum, eins og þau hafa verið sett fram af hálfu kvartanda, verður ráðið að hún hafi ekki samþykkt umrædda birtingu ljósmynda af sér á vefsíðunni [X], sbr. 1. tölul. 8. gr. laga nr. 77/2000. Þá verður ekki séð að aðrar heimildir í 8. gr. eigi við. Einnig hafi [A] ítrekað beðið ábyrgðaraðila síðunnar um að fjarlægja umræddar ljósmyndir af [kvartanda] [af] vefsíðunni. Hann hafi hins vegar ekki orðið við þeirri beiðni. Engar skýringar hafa borist frá ábyrgðaraðila hvað þetta varðar.
Af þeirri ástæðu telur Persónuvernd að ekki sé til staðar fullnægjandi heimild fyrir vinnslu [B] á persónuupplýsingum um kvartanda samkvæmt 1. mgr. 8. gr. laga nr. 77/2000.
Þá segir í 1. mgr. 26. gr. laga nr. 77/2000 að þegar ekki sé lengur málefnaleg ástæða til að varðveita persónuupplýsingar skuli ábyrgðaraðili eyða þeim. Einnig segir í 3. mgr. sömu greinar að Persónuvernd geti mælt fyrir um eyðingu upplýsinga sem hvorki séu rangar og villandi. Þar sem engin svör hafa borist frá ábyrgðaraðila um afstöðu hans til eyðingar upplýsinganna leggur Persónuvernd fyrir hann að eyða öllum upplýsingum um kvartanda, þ.m.t. myndefni, af vefsíðunni [X] fyrir 1. janúar 2015.
Ú r s k u r ð a r o r ð:
Birting mynda af [A] á vefsíðunni [X] er ekki í samræmi við lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Lagt er fyrir [B], ábyrgðaraðila vefsíðunnar [X], að eyða öllum persónuupplýsingum um kvartanda af síðunni fyrir 1. janúar 2015.