Eftirlitsmyndavélar í búningsklefa
Hinn 16. ágúst 2005 komst stjórn Persónuverndar að svohljóðandi niðurstöðu í máli nr. 2005/299:
Með bréfi, dags. 15. júní 2005, óskaði Persónuvernd skýringa vegna eftirlitsmyndavélar í búningsklefa í líkamsræktarstöðinni [A]. Tildrög þess voru þau að hinn 19. maí 2005 hafði lögfræðideild Lögreglunnar í Reykjavík samband við stofnunina vegna ítrekaðs þjófnaðar í umræddum búningsklefa. Kom fram að meðal gagna málsins væri upptaka úr framangreindri eftirlitsmyndavél sem komið hafði verið fyrir í búningsklefanum til þess að komast að því hver þjófurinn væri. Óskaði lögreglan álits Persónuverndar á því að upptakan yrði notuð í málinu. Með bréfi, dags. 19. maí 2005, óskaði Persónuvernd upplýsinga frá lögreglunni, m.a. um málsatvik að öðru leyti. Svar lögreglunnar barst hinn 7. júní 2005.
Með bréfi Persónuverndar til líkamsræktarstöðvarinnar, dags. 15. júní 2005, var bent á reglur um rafræna vöktun nr. 888/2004. Sérstaklega var bent á 3. gr. reglnanna þar sem m.a. er kveðið á um að rafræn vöktun skal fara fram í málefnalegum tilgangi; að ekki skal gengið lengra við slíka vöktun en nauðsyn krefur; að forðast skal alla óþarfa íhlutun í einkalíf þeirra sem sæta vöktun; að við ákvörðun um hvort viðhafa skuli rafræna vöktun skal ávallt gengið úr skugga um hvort markmiðinu með vöktuninni sé unnt að ná með öðrum og vægari, raunhæfum úrræðum; og að vöktun með leynd sé óheimil nema hún styðjist við lagaheimild eða úrskurð dómara.
Svar barst með bréfi, dags. 23. júní 2005. Þar segir:
Tekið skal fram að í þeim gögnum sem Lögreglan fékk í hendur voru engin myndskeið sem sýnd[u] nekt viðkomandi aðila.
Þetta var unnið mjög faglega og í alla staði var hugsað til þess að ekki væri verið [að] taka mynd af nekt viðskiptavina. Myndskeiðið var svart/hvítt og einungis myndaðir ákveðnir skápar."
1.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Með persónuupplýsingum er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem rekja má beint eða óbeint til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. Með vinnslu er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, sbr. 2. tölul. 2. gr. Þar undir falla m.a. söfnun, geymsla, notkun, miðlun, dreifing og birting, sbr. það sem fram kemur í athugasemdum við 2. tölul. 2. gr. í greinargerð með frumvarpi því er varð að lögum nr. 77/2000, sem og b-lið 2. gr. tilskipunar nr. 95/46/EB.
Eftirlit með myndavélum telst vera rafræn vöktun í skilningi 6. tölul. 2. gr. laga nr. 77/2000. Ef slíkt eftirlit hefur jafnframt í för með sér söfnun myndefnis og hægt er að bera kennsl á einstaklinga á myndefninu felur vöktunin í sér vinnslu persónuupplýsinga, sbr. 1. og 2. tölul. 2. gr. laganna.
Af framangreindu er ljóst að sú rafræna vöktun, sem fram fór á líkamsræktarstöð [A], fól í sér rafræna vinnslu persónuupplýsinga og fellur því undir gildissvið laga nr. 77/2000. Fyrir liggur að um viðkvæmar persónuupplýsingar var að ræða, sbr. b-lið 8. tölul. 2. gr. laga nr. 77/2000 þar sem fram kemur að upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað eru viðkvæmar.
Vinnsla persónuupplýsinga er því aðeins heimil að uppfyllt sé eitthvert af skilyrðum 1. mgr. 8. laga nr. 77/2000 og, sé unnið með viðkvæmar persónuupplýsingar, eitthvert af skilyrðum1. mgr. 9. gr. laganna. Samkvæmt 2. mgr. 9. gr. er heimilt, þrátt fyrir að eitthvert skilyrða 1. mgr. 9. gr. sé ekki uppfyllt, í tengslum við framkvæmd rafrænnar vöktunar, að safna efni með viðkvæmum persónuupplýsingum sem verður til við vöktunina, að því gefnu að:
2. það efni, sem til verður við vöktunina, verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða samkvæmt ákvörðun Persónuverndar; heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað en þá skal þess gætt að eyða öllum öðrum eintökum af efninu;
3. því efni, sem safnast við vöktunina, verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það, nema sérstök heimild Persónuverndar skv. 3. mgr. 9. gr. standi til frekari varðveislu.
Einnig ber að gæta ákvæða 7. gr. laganna í hvívetna. Þar er m.a. kveðið á um að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skal vera í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).
Fari vöktunin fram á svæði þar sem takmarkaður hópur fólks fer um að jafnaði er hún jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram, sbr. 1. mgr. 4. gr. laganna.
Þá er, í 1. mgr. 3. gr. reglna nr. 888/2004 um rafræna vöktun á vinnustöðum, í skólum og á öðrum svæðum þar sem takmarkaður hópur fólks fer um að jafnaði, sbr. 5. mgr. 37. gr. laga nr. 77/2000, kveðið á um að rafræn vöktun verði að fara fram í málefnalegum tilgangi, s.s. í öryggis- og eignavörsluskyni. Í 2. mgr. 3. gr. segir að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem stefnt er að. Skuli þess gætt að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum vægari, raunhæfum úrræðum. Og í 3. mgr. 3. gr. er kveðið á um að vöktun með leynd sé óheimil nema hún styðjist við lagaheimild eða úrskurð dómara. Það ákvæði tengist 24. gr. laga nr. 77/2000, sbr. 8. gr. reglnanna, þar sem kveðið er á um að með merki eða á annan áberandi hátt skuli gera glögglega viðvart um rafræna vöktun sem fram fer á vinnustað eða á almannafæri, sem og um hver sé ábyrgðaraðili. Úrskurður dómara um vöktun með leynd, þannig að ekki þurfi að virða þessa reglu, myndi styðjast við 1. mgr. 87. gr. laga nr. 19/1991 um meðferð opinberra mála, sbr. d-lið 86. gr. sama laga um það að taka myndir, hvort sem er ljósmyndir eða kvikmyndir, án þess að þeir sem myndaðir eru viti af því.
Ljóst er að í því tilviki, sem hér um ræðir, fór fram rafræn vöktun með eftirlitsmyndavél í búningsklefa án þess að þeir sem sæta urðu vöktuninni vissu af því. Samkvæmt 24. gr. laga nr. 77/2000, sbr. 8. gr. reglna nr. 888/2004, skal gert viðvart um rafræna vöktun á vinnustað eða á almannafæri með merki eða á annan áberandi hátt. Samkvæmt áðurnefndu ákvæði 3. mgr. 3. gr. reglna nr. 888/2004 má og vöktun með leynd aldrei fara fram nema með úrskurði dómara eða samkvæmt sérstakri lagaheimild. Þar sem slíkar heimildir eru ekki í lögum kemur í raun aðeins dómsúrskurður til greina, sbr. áðurnefnd ákvæði 1. mgr. 87. gr. og d-liðar 86. gr. laga nr. 19/1991. Rétt er að geta þess að þar sem þau ákvæði fela í sér sérstakar heimildir fyrir lögreglu er það eðlileg lögskýring að frá þeim sé gagnályktað á þann veg að rafræn vöktun með leynd sé ávallt óheimil nema þegar skilyrðum þeirra sé fullnægt. Þetta leiðir af því að umrædd lagaákvæði eru sett með það í huga að um sérlega viðurhlutamikið úrræði gagnvart borgurunum sé að ræða og að því beri ekki að beita þeim nema að undangengnu sjálfstæðu mati óhlutdrægs dómstóls á því hvort til þess sé nægilegt tilefni. Ekki er vafa undirorpið að lögreglu hefði verið heimilt að framkvæma þessa rafrænu vöktun með leynd á grundvelli dómsúrskurðar. Framkvæmd slíkrar rannsóknaraðgerðar er á hinn bóginn öðrum óheimil.
Þegar af þeirri ástæðu að brotið hefur verið gegn afdráttarlausu ákvæði 3. mgr. 3. gr. reglna nr. 888/2004, sbr. og 24. gr. laga nr. 77/2000, sbr. 8. gr. reglnanna, þarf ekki að meta umrædda vöktun í ljósi skilyrðanna fyrir vinnslu persónuupplýsinga í 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000; sérskilyrðanna fyrir rafrænni vöktun í 4. gr. og 2. mgr. 9. gr. sömu laga, sem og 1. og 2. mgr. 3. gr. reglna nr. 888/2004; eða grunnreglna 7. gr. laga nr. 77/2000 um hvernig vinna má með persónuupplýsingar. Hins vegar er rétt að taka fram að þar sem vöktunin fór fram í búningsklefa verður að telja brotið hafa verið alvarlegt, enda má fólk vænta þess að njóta einkalífsréttar á slíkum stöðum. Einnig er rétt að vekja athygli á þeim sjónarmiðum sem liggja til grundvallar því ákvæði 2. mgr. 3. gr. reglna nr. 888/2004 að við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum vægari, raunhæfum úrræðum. Þetta ákvæði felur í sér að ef til dæmis má ætla raunhæft að koma í veg fyrir þjófnað með læsingum á skápum getur rafræn vöktun á svæðinu, þar sem skáparnir eru, aldrei talist heimil.
Rafræn vöktun, sem framkvæmd var með leynd í búningsklefa í líkamsræktarstöð [A] af starfsmönnum hennar, var ólögmæt.