Uppsetning eftirlitsmyndavéla í fjölbýlishúsi
Úrskurður
Á fundi stjórnar Persónuverndar hinn 24. febrúar 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/644:
I.
Grundvöllur máls
Málavextir og bréfaskipti
Þann 13. apríl 2015 barst Persónuvernd kvörtun frá [A, (hér eftir nefnd kvartandi),] vegna rafræns eftirlits með íbúum að [...]. Í kvörtuninni segir m.a.:
„Nýlega var sett upp myndavélakerfi í blokkinni sem ég bý í, þetta var ekki ákveðið á húsfundi, heldur tóku 2 aðilar ákvörðun um að setja þetta upp á kostnað húsfélagsins og myndavélakerfi frá Pronet sett upp, án þess að hinir í blokkinni samþykktu, svo komst ég að því í dag að þessir 2 aðilar hafa fullan aðgang að upptökunum [...]. Mér finnst einnig of margar myndavélar þarna. Ég tala einnig fyrir hönd annarra í blokkinni sem eru mjög ósáttir við þetta kerfi en ég vil taka það fram að auðvitað er þetta líka af hinu góða en það sem ég er ósáttust við er að við vorum ekki látin vita [...].“
Með bréfi, dags. 21. apríl 2015, var húsfélaginu að [...] boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Einnig óskaði Persónuvernd eftir upplýsingum um það hver teldist ábyrgðaraðili vöktunarinnar, hver tilgangur hennar væri, hvort viðvaranir hefðu verið settar upp og íbúum fjöleignarhússins veitt fræðsla, hvernig varðveislu efnis sem safnaðist væri háttað og hvar eftirlitsmyndavélar væru staðsettar.
Í svarbréfi húsfélagsins að [...] sem barst Persónuvernd með tölvupósti þann 5. apríl 2015 kom m.a. fram að ábyrgðaraðili að vöktuninni séu eigendur íbúða að [...] en þeir hafi tekið ákvörðun um að setja upp eftirlitsmyndavélakerfið. Leigufélagið [B] er eigandi að 24 íbúðum í blokkinni af 30. Hugmyndin að uppsetningu eftirlitsmyndavélakerfisins kom frá stjórn húsfélagsins í þeim tilgangi að sanna ef refsiverð háttsemi á sér stað, s.s. skemmdarverk eða tilraun til innbrots. Fannst eigendum þetta vera öryggisatriði og var því tekin ákvörðun um að framkvæmdarsjóður eigenda myndi kaupa myndavélakerfi frá Pronet.
Þá sagði að fagaðilar hefðu veitt ráðgjöf um staðsetningu vélanna miðað við það svæði sem ákveðið var að vakta. Myndavélar væru sex og vöktuðu sameign hússins, þ.e. stigagang, ruslahús, hjólageymslu, geymslugang auk þess sem ein myndavél sé úti á bílaplani sem vakti ruslahús og hluta af bílastæðinu.
Um aðgang að myndefni sem safnast segir að það sé einungis skoðað ef ástæða er til en þess hefur ekki gerst þörf síðan kerfið var sett upp. Þá kemur fram að gjaldkeri húsfélagsins hafi aðgang að kerfinu en samkvæmt reglum félagsins þurfi annar aðili úr stjórn að skoða myndefni ef nauðsynlegt er. Settar hafa verið upp merkingar á þeim stöðum þar sem upptaka fer fram auk þess sem sett var upp tilkynning og íbúar upplýstir um uppsetningu og tilgang eftirlitsmyndavélanna og meðferð myndefnisins sem safnaðist.
Með bréfi, dags. 15. maí 2015, óskaði Persónuvernd eftir nánari skýringum frá ábyrgðaraðila um það hvort ákvörðun um uppsetningu myndavélanna hafi verið tekin á húsfundi og óskaði þá jafnframt eftir afriti af fundargerð þess fundar. Húsfélagið [...] svaraði með bréfi, dags. 26. maí 2015, þar sem fram kemur að haldinn hafi verið [húsfundur] þar sem allir eigendur íbúða í húsinu hafi samþykkt að setja upp myndavélakerfi. Ekki barst afrit af fundargerð eins og óskað hafði verið eftir.
Með bréfi, dags 12. júní 2015, ítrekuðu með bréfi, dags. 2. júlí 2015, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar húsfélagsins að [...]. Tekið var fram að ef svör bærust ekki innan svarfrests yrði málið tekið til meðferðar á grundvelli fyrirliggjandi gagna. Engin svör bárust.
Með bréfi, dags. 31. ágúst 2015, óskaði Persónuvernd eftir skriflegri staðfestingu frá húsfélaginu á því að allir eigendur í fjöleignarhúsinu hefðu samþykkt uppsetningu eftirlitsmyndavélakerfisins. Einnig var óskað eftir skriflegri staðfestingu á því að íbúar fjöleignarhússins hefðu fengið fengið fræðslu um hina rafrænu vöktun í samræmi við 10. gr. reglna nr. 837/2006, um rafræna vöktun. Erindi Persónuverndar var ítrekað með bréfum dags. 15. október, 29. september og 1. febrúar 2016. Jafnframt tók stofnunin fram að ef engin svör bærust myndi Persónuvernd taka málið til meðferðar á grundvelli fyrirliggjandi gagna.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.
Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. tölul. 2. gr. laga nr. 77/2000. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst húsfélagið að [...] vera ábyrgðaraðili að umræddri vinnslu.
Af framangreindu er ljóst að hér er um meðferð persónuupplýsinga að ræða sem fellur undir valdsvið Persónuverndar.
2.
Lögmæti vöktunar
Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 4. gr. laga nr. 77/2000. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fari um að jafnaði, sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.
Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að slík vinnsla sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 8. gr. laga nr. 77/2000, að vera fullnægt. Þegar um ræðir rafræna vöktun reynir einkum á 1. tölul. 8. gr., þess efnis að vinna megi með persónuupplýsingar á grundvelli samþykkis eða 7. tölul. sama ákvæðis, þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Meðferð persónuupplýsinga sem til verða í tengslum við vöktun verður, auk framangreinds, m.a. að samrýmast meginreglum 7. gr. laga nr. 77/2000, þ. á. m. þeim reglum að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skal samrýmast vönduðum vinnsluháttum persónuupplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Draga má efni þessara reglna saman í eina grunnreglu þess efnis að vinnsla persónuupplýsinga skuli vera sanngjörn og ekki umfram það sem nauðsynlegt er í þágu lögmæts og málefnalegs tilgangs.
Með stoð í 5. mgr. 37. gr. laga nr. 77/2000 hefur Persónuvernd sett reglur nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 4. gr. þeirra reglna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, s.s. í þágu öryggis eða eignavörslu. Þá segir í 5. gr. reglnanna að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Skuli gæta þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.
Samkvæmt almennum sönnunarreglum hvílir sönnunarbyrði um það hvort ótvíræðs samþykkis, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000, hafi verið aflað með fullnægjandi hætti á ábyrgðaraðila. Ábyrgðaraðili vöktunarinnar hefur haldið því fram að eigendur íbúða hafi samþykkt vöktunina á húsfundi en ekki lagt fram nein gögn sem staðfesta það með ótvíræðum hætti.
Kemur þá til skoðunar hvort vöktunin hafi verið heimil á grundvelli 7. tölul. 1. mgr. 8. gr., þess efnis að heimilt sé að vinna með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna ábyrgðaraðila nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Af hálfu ábyrgðaraðila hefur komið fram að vöktunin fari fram í öryggis- og eignarvörslutilgangi. Telst slíkur tilgangur til lögmætra hagsmuna ábyrgðaraðila.
Sé viðkomandi eignarlóð hins vegar í eigu fleiri aðila þarf einnig að gæta að ákvæðum III. kafla laga nr. 26/1994, um fjöleignarhús, m.a. um ráðstöfunarrétt eigenda yfir sameign, sbr. 36. gr. og töku ákvarðana á húsfundi, sbr. 41. gr. laganna. Líkt og áður hefur komið fram hefur ábyrgðaraðili ekki lagt fram nein gögn sem styðja þá fullyrðingu að ákvörðun um uppsetningu myndavélanna hafi farið fram á húsfundi. Verður því ekki talið að fullnægt sé því skilyrði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 að lögmætir hagsmunir ábyrgðaraðila skuli vega þyngra en grundvallarréttindi og frelsi hins skráða.
3.
Fræðsla til hins skráða
Í kvörtuninni er einnig vikið að því að ábyrgðaraðili hafi ekki rækt fræðsluskyldu sína samkvæmt 20. gr. laga nr. 77/2000. Þar segir m.a. að þegar ábyrgðaraðili afli persónuupplýsinga hjá hinum skráða sjálfum skuli hann fræða hinn skráða um þau atriði sem hann þarf að vita, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna. Í 10. gr. reglna nr. 837/2006 um rafræna vöktun er sömuleiðis að finna ákvæði um fræðslu sem veita ber þeim sem sæta rafrænni vöktun. Segir þar m.a. að þeim skuli veitt fræðsla um tilgang vöktunar, hverjir hafi eða kunni að fá aðgang að þeim upplýsingum sem safnast og hversu lengi þær verði varðveittar.
Í máli þessu hefur komið fram af hálfu kvartanda að fræðsla hafi ekki verið veitt. Sönnunarbyrði um það hvort fræðsla hafi verið veitt með fullægjandi hætti hvílir á ábyrgðaraðila. Ábyrgðaraðili hefur ekki lagt fram gögn þess efnis að kvartandi hafi verið nægjanlega upplýstur fyrirfram um fyrirhugaða uppsetningu á eftirlitsmyndavélakerfinu. Af hálfu ábyrgðaraðilans hefur því ekki komið fram sönnun um að þessu ákvæði laga nr. 77/2000 hafi verið fullnægt.
Í ljósi framangreinds er það mat stjórnar Persónuverndar að ekki liggi fyrir að kvartanda hafi verið veitt fræðsla svo sem skylt er samkvæmt 20. gr. laga nr. 77/2000, sbr. einnig 10. gr. reglna nr. 837/2006, um rafræna vöktun.
Persónuvernd beinir þeim fyrirmælum til ábyrgðaraðila að veita kvartanda, og öðrum íbúum fjöleignarhússins viðeigandi fræðslu í samræmi við þau atriði sem talin eru upp í 10. gr. reglna nr. 837/2006, sbr. 20. gr. laga nr. 77/2000. Skal Persónuvernd berast staðfesting þess efnis fyrir 1. júní 2016.
Ú r s k u r ð a r o r ð:
Ákvörðun stjórnar húsfélagsins [...] um að setja upp rafræna vöktun án þess að sinna fræðsluskyldu var ekki í samræmi við lög nr. 77/2000. Skal húsfélagið staðfesta fyrir 1. júní 2016 að farið hafi verið að fyrirmælum Persónuverndar.