Rafræn vöktun við atvinnuhúsnæði

19.11.2015

Úrskurður

 

Á fundi stjórnar Persónuverndar hinn 3. nóvember 2015 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/1117:

 

I.

Grundvöllur máls

Málavextir og málsmeðferð

1.

Tildrög máls

Hinn 15. ágúst 2014 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) vegna uppsetningar eftirlitsmyndavéla af hálfu [B] á sameiginlegri lóð bifreiðaverkstæðis í eigu kvartanda, [C] og [B].

Í kvörtuninni kom m.a. fram að [B] hafi sett upp eftirlitsmyndavélar án þess að haldinn hafi verið húsfundur eða leitað hafi verið eftir samþykki meðeigenda í sameiginlegu atvinnuhúsnæði framangreindra fyrirtækja. Þá segir í kvörtuninni að vélarnar veiti kvartanda óþægindatilfinningu og honum finnst sem vegið sé að einkalífi hans.

 

2.

Málsmeðferð

Með bréfi, dags. 29. september 2015, var [B] tilkynnt um kvörtunina og boðið að koma á framfæri andmælum sínum til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993.

Svarbréf [B] barst Persónuvernd með tölvupósti, dags. 17. október 2014. Þar segir m.a. að [B] séu eini aðilinn sem beri ábyrgð á þessari vöktun. Tilgangurinn sé að geta skoðað hvað hafi gerst ef bíll eða hlutur verði fyrir tjóni sem og að hafa fælingarmátt fyrir þjófa eða skemmdarvarga. Þá er því haldið fram að engin vinnsla eigi sér stað með efni það sem safnist með vöktuninni. Auk þess er greint frá því í bréfinu að [B] hafi yfir að ráða tveimur lóðum sem séu samliggjandi, þ.e. [D] að 100% hluta og [E] að 66% hluta. Kvartandi hafi yfir að ráða 26% hluta í kjallara að [D] og nái vöktunin yfir þessar lóðir. Um fræðsluna segir að vélarnar hafi verið settar upp fyrir nær 7 árum og hafi kvartanda verið kynnt í hvaða tilgangi þær yrðu notaðar.

Þá segir í svari félagsins að kvartandi hafi aldrei komið því á framfæri að ósamkomulag hafi verið um uppsetningu myndavélanna fyrr en að bréf hafi borist frá Persónuvernd.

Með bréfi, dags. 28. október 2014, var kvartanda boðið að tjá sig um svarbréf [B]. Svarbréf kvartanda barst með tölvupósti, dags. 30. s.m. Í bréfinu kemur fram að kvartandi sé ekki sammála þeirri fullyrðingu [B] um hvenær myndavélarnar hafi verið settar upp og að enginn húsfundur hafi verið haldinn um uppsetningu þeirra.

Með tölvupósti, dags. 1. desember 2014, óskaði forsvarsmaður [B] eftir upplýsingum um stöðu málsins. Með tölvupósti, dags. 4. desember 2014, var félagið upplýst um stöðu málsins auk þess sem Persónuvernd óskaði eftir staðfestingu á því hvort það væri réttur skilningur að myndavélar félagsins snéru að því svæði sem kvartandi hefði til umráða að [D]. Ef svo væri ekki, var þess óskað að lögð yrðu fram gögn því til staðfestingar, s.s. ljósmyndir og frestur veittur til 11. s.m. Engin svör bárust og var erindið ítrekað, með tölvupósti, þann 12. janúar 2015. Var svarfrestur þá veittur til 21. s.á.

Svarbréf [B] barst Persónuvernd með tölvupósti, dags. 21. janúar 2015. Þar segir m.a. að engin myndavél snúi að útgöngudyrum kvartanda eða svæði sem sé beint fyrir framan hans dyr, þar sem þær séu inn í sér porti. Ekki sé hægt að greina persónur á myndunum til að lögregla geti notað þær auk þess sem gögnin sem verði til séu eingöngu varðveitt í mjög skamman tíma. Þá ítrekaði ábyrgðaraðili fyrri afstöðu sína um að þegar myndavélarnar hafi verið settar upp fyrir sjö árum hafi kvartandi verið meðvitaður um það og lýst ánægju sinni með uppsetningu þeirra.

Með tölvupóstinum fylgdi einnig ljósmynd af útisvæði í porti þar sem sjá mátti inngang að bifreiðaverkstæði kvartanda. Á myndinni sést einnig staðsetning myndavélar á gafli hússins en ekki varð skýrlega séð af myndinni hvort sjónsvið umræddrar myndavélar náði yfir inngang að bifreiðaversktæði kvartanda.

Með símtali þann 11. mars 2015 upplýsti starfsmaður Persónuverndar forsvarsmann [B] að stofnunin hyggðist framkvæma vettvangsathugun þann 16. s.m. á því svæði sem um ræddi. Hefði stofnunin í hyggju að skoða einkum staðsetningu umræddra myndavéla og til hvaða svæðis upptökur öryggismyndavéla næðu til. Var forsvarsmanni félagsins einnig sendur tölvupóstur þann 12. s.m. þessu til staðfestingar.

Hinn 16. mars 2015 fór fram vettvangsathugun af hálfu Persónuverndar við [D]. Forsvarsmaður [B] tók á móti starfsmönnum Persónuverndar og sýndi þá myndavél sem um ræðir, en hún er staðsett á gafli sunnan megin hússins. Þá fengu starfsmenn einnig að sjá til hvaða svæðis myndbandsupptakan nær. Þar mátti sjá að myndsvæðið nær yfir brekku sem liggur síðar að inngangi að verkstæði kvartanda. Sjónsvið myndavélarinnar nær hins vegar ekki að inngangi verkstæðisins. Þá var starfsmönnum Persónuverndar afhent teikning sem sýnir hvernig eignarhald lóðarinnar skiptist á milli [B] og bifreiðaverkstæðis kvartanda. Við athugunina kom einnig fram að [B] hefðu nú keypt það húsnæði sem [C] hefði átt áður.

Með tölvupósti, dags. 1. apríl 2015, óskaði Persónuvernd eftir frekari upplýsingum frá [B]. Annars vegar var upplýsinga óskað frá sýslumanni um hvernig skiptingu lóðarinnar að [D] væri háttað, m.a. hvort að lóðin í kringum húsnæðið væri í óskiptri sameign. Hins vegar óskaði stofnunin eftir upplýsingum um hvort að uppsetning myndavélanna hafi verið rædd á húsfundi í samræmi við ákvæði laga nr. 26/1994, um fjöleignarhús, og eftir atvikum kosið um uppsetningu hennar. Ef svo hafi verið þá óskaði stofnunin eftir fundargerð húsfélagsins sem staðfesti það. Var svarfrestur veittur til 13. apríl 2015. Engin svör bárust og var erindið ítrekað með bréfi, dags. 11. maí 2015. Var svarfrestur þá veittur til 20. s.m.

Svarbréf [B] barst Persónuvernd með tölvupósti, dags. 20. maí 2015. Þar segir að [B] hafi keypt umrætt húsnæði af bifreiðaverkstæði kvartanda og því sé málinu lokið af þeirra hálfu. Með tölvupósti, dags. 28. maí 2015, ítrekaði Persónuvernd beiðni sína um upplýsingar. Var frestur veittur til 12. júní 2015. Í tölvupóstinum benti Persónuvernd á að kvartandi hefði forræði á málinu gagnvart stofnuninni og því væri það einungis hann persónulega sem gæti óskað eftir því að málinu yrði lokið eða það fellt niður. Slík ósk hefði hins vegar ekki borist frá kvartanda. Með tölvupósti sama dag óskaði forsvarsmaður [B] eftir því að aflað yrði afstöðu kvartanda til þess hvort hann óskaði úrskurðar um kvörtun sína.

Með bréfi, dags. 4. júní 2015, óskaði Persónuvernd eftir afstöðu kvartanda til þess hvort hann teldi enn vera ágreining til staðar vegna málsins, sem óskað væri úrskurðar um. Var svarfrestur veittur til 16. s.m. Ekkert svar barst og var erindið ítrekað með bréfi, dags. 24. júní 2015, og svarfrestur veittur á ný til 6. júlí s.á. Ekkert svar barst. Með tölvupósti, dags. 21. ágúst s.á., var erindið enn á ný ítrekað. Svarbréf kvartanda barst með tölvupósti, dags. 22. s.m., þar sem fram kom að hann óskaði eftir úrskurði stofnunarinnar vegna kvörtunar sinnar.

Með tölvupósti, dags. 28. ágúst 2015, ítrekaði Persónuvernd á ný beiðni sína um upplýsingar frá [B], sbr. fyrri pósta stofnunarinnar. Var svarfrestur veittur til 11. september s.á. Svarbréf [B] barst með tölvupósti, dags. 14. september 2015. Í bréfi því eru fyrri athugasemdir félagsins ítrekaðar, m.a. um staðsetningu myndavéla. Þá eru ítrekuð fyrri sjónarmið ábyrgðaraðila um vélarnar hafi verið settar upp fyrir sjö árum í kjölfar húsfundar og hafi kvartandi ekki mótmælt því. Engin gögn séu hins vegar til staðar sem staðfesti það.

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. tölul. 2. gr. laga nr. 77/2000. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til teljast [B] vera ábyrgðaraðili að umræddri vinnslu.

 

Af framangreindu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 

2.

Lögmæti vöktunar

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 4. gr. laga nr. 77/2000. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fari um að jafnaði, sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.

 

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að slík vinnsla sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 8. gr. laga nr. 77/2000, að vera fullnægt. Í því tilviki sem hér um ræðir reynir einkum á 1. tölul. 1. mgr. 8. gr., um samþykki, og 7. tölul. 1. mgr. 8. gr., þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

 

Meðferð persónuupplýsinga sem til verða í tengslum við vöktun verður, auk framangreinds, m.a. að samrýmast meginreglum 7. gr. laga nr. 77/2000, þ. á m. þeim reglum að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skal samrýmast vönduðum vinnsluháttum persónuupplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Draga má efni þessara reglna saman í eina grunnreglu þess efnis að vinnsla persónuupplýsinga skuli vera sanngjörn og ekki umfram það sem nauðsynlegt er í þágu lögmæts og málefnalegs tilgangs.

 

Með stoð í 5. mgr. 37. gr. laga nr. 77/2000 hefur Persónuvernd sett reglur nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 4. gr. þeirra reglna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, s.s. í þágu öryggis eða eignavörslu. Þá segir í 5. gr. reglnanna að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Skuli gæta þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

 

Samkvæmt almennum sönnunarreglum hvílir sönnunarbyrði um það hvort ótvíræðs samþykkis, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000, hafi verið aflað með fullnægjandi hætti á ábyrgðaraðila. Ábyrgðaraðili vöktunarinnar hefur ekki lagt fram nein gögn sem staðfesta að kvartandi hafi samþykkt fyrirhugaða vöktun með ótvíræðum hætti. Verður því ekki talið að vöktunin geti stuðst við 1. tölul. 1. mgr. 8. gr. laganna.

 

Kemur þá til skoðunar hvort vöktunin hafi verið heimil á grundvelli 7. tölul. 1. mgr. 8. gr., þess efnis að heimilt sé að vinna með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna ábyrgðaraðila nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Af hálfu ábyrgðaraðila hefur komið fram að vöktunin fari fram í öryggis- og eignarvörslutilgangi. Telst slíkur tilgangur til lögmætra hagsmuna ábyrgðaraðila. Kemur þá til skoðunar í því tilviki sem hér um ræðir hvort að grundvallarréttindi og frelsi hins skráða skuli vega þyngra en framangreindir hagsmunir ábyrgðaraðila. Í því sambandi er rétt að líta til þess að hér er um að ræða vöktun sem fór fram á sameiginlegri lóð kvartanda og ábyrgðaraðila vöktunarinnar. Þó svo að umrædd vöktun hafi ekki beinst að inngangi að bifreiðaverkstæði kvartanda beindist hún engu að síður að útgönguleið af verkstæði hans. Almennt verður að líta svo á að ábyrgðaraðila sé heimil vöktun á yfirráðasvæði sínu, þ.e. innan eignarlóðar. Sé viðkomandi eignarlóð hins vegar í eigu fleiri aðila, þurfi að gæta að ákvæðum í III. kafla laga nr. 26/1994, um fjöleignarhús, m.a. um ráðstöfunarrétt eigenda yfir sameign, sbr. 36. gr. og töku ákvarðana á húsfundi, sbr. 41. gr. laganna. Líkt og áður hefur komið fram hefur ábyrgðaraðili ekki lagt fram nein gögn sem styðja þá fullyrðingu að umræða um uppsetningu myndavélanna hafi farið fram á húsfundi og að kvartandi hafi  fallist á að umrædd vöktun yrði viðhöfð. Verður því ekki talið að fullnægt sé því skilyrði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 að lögmætir hagsmunir ábyrgðaraðila skuli vega þyngra en grundvallarréttindi og frelsi hins skráða.

 

Í ljósi þess að kvartandi hefur selt sinn hlut í húsnæðinu að [D] og að lóðin er að fullu í eigu ábyrgðaraðila vöktunarinnar telur Persónuvernd ekki tilefni til að beina sérstökum tilmælum til ábyrgðaraðila.

 

Ú r s k u r ð a r o r ð:

Rafræn vöktun hjá [B] án samþykkis sameiganda að fasteign var ekki í samræmi við lög nr. 77/2000.