Ákvörðun um myndbirtingu hjá Já.is

Mál nr. 2016/1639

6.6.2017

Ákvörðun

Þann 18. maí 2017 tók stjórn Persónuverndar eftirfarandi ákvörðun í máli nr. 2016/1639:

 I.

Málsmeðferð

Persónuvernd barst ábending um vinnslu persónuupplýsinga á vefsíðunni Já.is, þess efnis að þegar leitað væri að upplýsingum um einstaklinga á vefsíðunni birtust þar sjálfkrafa myndir af heimilum þeirra. Með bréfi, dags. 21. nóvember 2016, var Já hf., rekstraraðila vefsíðunnar Já.is, tilkynnt um að Persónuvernd hefði ákveðið að hefja frumkvæðisathugun á framangreindri vinnslu, sbr. 2. mgr. 37. gr. laga nr. 77/2000. Var Já hf. gefinn kostur á að koma á framfæri andmælum, til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Þá var sérstaklega óskað eftir upplýsingum um þá heimild í 8. gr. laga nr. 77/2000, sem vinnslan væri studd við, fræðslu gagnvart hinum skráðu, og hvernig fyrirtækið brygðist við beiðnum einstaklinga um að myndir af heimilum þeirra yrðu fjarlægðar af vefsíðunni.

 

1.1.

Í svarbréfi lögmannsstofunnar Juris f.h. Já hf., dags. 5. desember 2016, kemur meðal annars fram að skráningarnúmer ökutækja, andlit og annað því um líkt sé sérstaklega afmáð af myndunum. Ekki sé því einhlítt að um sé að ræða persónuupplýsingar. Að því gefnu að um sé að ræða vinnslu persónuupplýsinga sé hins vegar unnt að styðja hana við heimild í 1. og 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Hvað varðar 1. tölul. ákvæðisins, sem heimilar vinnslu á grundvelli samþykkis hins skráða, er vísað til þess að samþykkið þurfi ekki að vera yfirlýst heldur geti það verið veitt í verki. Aðstaðan hér sé sú að starfsemin sé öllum ljós og auðskiljanleg. Þá sé hún almenningi kunn, eins og Persónuvernd hafi verið upplýst um í tengslum við mál nr. 2013/563 hjá stofnuninni, en þar komst hún að þeirri niðurstöðu að vinnsla persónuupplýsinga vegna götusýnar á kortavefjum Já hf. væri heimil með vísan til lögmætra hagsmuna fyrirtækisins, en sú heimild næði hins vegar ekki til birtingar persónuupplýsinga. Einnig kemur fram í svarbréfinu að Já hf. birti upplýsingar á vef sínum um það hvernig skráningar einstaklinga séu birtar á vefsíðunni Já.is, auk þess sem fyrirtækið hafi birt, og muni áfram birta reglulega auglýsingar á vefsíðunni þar sem einstaklingar séu hvattir til að yfirfara skráningar sínar.

Fyrrgreind vinnsla persónuupplýsinga fái jafnframt stoð í 7. tölul. 1. mgr. 8. gr., sem heimili vinnsluna sé hún nauðsynleg til að ábyrgðaraðili, hér Já hf., geti gætt lögmætra hagsmuna. Umrædd starfsemi Já hf. eigi sér málefnalegan tilgang, ekki síst sem vegvísir, og hún sé jafnframt í eðli sínu nátengd kjarnastarfsemi Já hf. sem upplýsingaveitu um símanúmer sem sé í þágu almannahagsmuna. Atvinnu- og samkeppnishagsmunir teljist ótvírætt til lögmætra hagsmuna, en Já hf. sé til dæmis í samkeppni við Google á þessu sviði. Ekki verði séð að grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra, sbr. 7. tölul. 1. mgr. 8. gr., meðal annars með tilliti til þess að gætt sé sérstaklega að því að andlit, skráningarnúmer ökutækja og þess háttar séu gerð ógreinanleg, eins og áður kom fram.

Um fræðslu gagnvart hinum skráðu segir meðal annars að Já hf. hafi látið Gallup framkvæma sérstaka notendakönnun í nóvember 2016 og af niðurstöðum hennar megi glöggt ráða að þeir sem skráðir eru hjá Já hf. séu upplýstir um fyrrgreinda vinnslu. Í könnuninni hafi verið spurt hvort þátttakendur væru skráðir hjá Já hf. og hvort þeir vissu að hægt væri að finna heimilisfang, sjá staðsetningu heimilisfanga á korti og sjá 360° götumynd af heimilisföngum á vefsíðunni Já.is. Niðurstöður hafi verið þær að 84-99% þeirra sem skráðir væru hjá Já hf. vissu um þessa möguleika. Þá er vísað til upplýsinga á vefsíðunni Já.is, sem áður var fjallað um.

Í svarbréfinu segir jafnframt að Já hf. hafi borist beiðnir um að myndir af heimilum einstaklinga, sem birtast þegar nafn þeirra er slegið inn í leitarvél á vefsíðunni, verði fjarlægðar. Slíkar beiðnir séu fáar, eða 1-5 á mánuði. Já hf. hafi í öllum tilvikum orðið við þeim. Fyrirtækið hafi ráðist í hönnun og forritun á sérstöku tölvukerfi fyrir starfsmenn sína til þess að auðvelda þeim að verða við óskum einstaklinga um slíkar beiðnir. Þjónustufulltrúar Já hf., sem sinni skráningum, hafi þannig aðgang að einföldu viðmóti þar sem þeir geti fjarlægt myndir og hulið hús sé þess óskað af hálfu einstaklinga. Þá hafi verið settar verklagsreglur um hvernig bregðast skuli við slíkum beiðnum, en afrit af þeim var afhent Persónuvernd.

1.2.

Í fyrrnefndu svarbréfi Já hf. var meðal annars vísað til ákvörðunar Persónuverndar í máli nr. 2013/563, því til stuðnings að sú vinnsla sem mál þetta tekur til væri heimil. Með bréfi til Já hf., dags. 19. janúar 2017, var áréttað að fyrrgreind ákvörðun Persónuverndar hefði eingöngu lotið að vinnslu persónuupplýsinga vegna götusýnar á kortavefjum Já hf., þ.e. birtingu mynda af einstaklingum og bílnúmerum. Mál þetta sneri hins vegar að birtingu mynda af heimilum einstaklinga, þegar þeim væri flett upp á vefsíðunni Já.is. Með vísan til þessa var Já hf. gefinn kostur á að koma á framfæri frekari upplýsingum og rökstuðningi með hliðsjón af áðurnefndu bréfi Persónuverndar, dags. 21. nóvember 2016, m.a. upplýsingum um hvort þeim sem skráðir væru á vefsíðuna Já.is hefði verið gert viðvart um að myndum af heimilum fólks hefði verið bætt við þær upplýsingar sem veittar væru þegar leitað væri eftir upplýsingum um einstaklinga á vefsíðunni, sbr. m.a. 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000, með hliðsjón af 20. og 21. gr. sömu laga. Þá var jafnframt bent á 2. mgr. 45. gr. laga nr. 81/2003 um fjarskipti, þar sem segir að persónuupplýsingar sem skráðar séu í prentuðum og rafrænum skrám og í upplýsingaþjónustu um símanúmer skuli takmarkast við þær upplýsingar sem þarf til að bera kennsl á áskrifanda nema áskrifandinn hafi veitt ótvíræða heimild til annars. Ákvæði þetta gæti m.a. verið til hliðsjónar við túlkun og beitingu laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Í svarbréfi Juris, f.h. Já hf., dags. 14. febrúar 2017, kemur meðal annars fram að ef sú starfsemi, sem til skoðunar væri í þessu máli, verði ekki talin rúmast innan gildissviðs ákvörðunar Persónuverndar í mál nr. 2013/563 verði að telja að Já hf. hafi í það minnsta haft réttmætar væntingar um annað, með vísan til þess að í „götusýn“ (e. street view) felist meðal annars að unnt sé að skoða nánar einstök hús og þar séu húsnúmer til dæmis vel greinanleg. Þá hafi starfsemin verið almenningi og Persónuvernd kunn.

Hvað varði tilvísun Persónuverndar til 2. mgr. 45. gr. fjarskiptalaga nr. 81/2003 sé þess að gæta að starfsemi Já hf. hér að lútandi sé einkum ætlað að vera vegvísir, en tengist ekki með beinum hætti símanúmerum. Verði því trauðla ráðið að umrætt ákvæði eigi við hér, teljist birting mynda af húsum á annað borð til persónuupplýsinga. Já hf. hafi, hvað sem öðru líður, litið svo á að með því að skrá sig á já.is, hvort heldur sem er hjá fjarskiptafyrirtæki eða Já hf., samþykki viðkomandi skýrlega umrædda myndbirtingu, meðal annars í ljósi þess að myndirnar birtast samhliða uppflettingu símanúmera í símaskrá. Jafnframt eru ítrekuð þau sjónarmið sem rakin voru í fyrra svarbréfi Já hf.

1.3.

Þann 1. mars 2017 var haldinn fundur í húsnæði Persónuverndar, þar sem forstjóri og lögmaður Já hf. ræddu við starfsmenn stofnunarinnar um málið. Fulltrúar Já hf. fóru þar meðal annars yfir ferli vegna skráningar á Já.is. Var upplýst að skráning í gagnagrunn Já hf. ætti sér ekki aðeins stað hjá Já hf. heldur einnig hjá fjarskiptafyrirtækjum, sem miðluðu upplýsingunum áfram til Hins íslenska númerafélags. Þaðan væri þeim miðlað áfram til Já hf. Á fundinum óskuðu fulltrúar Já hf. eftir fresti til þess að skila inn frekari gögnum og var hann veittur til 20. mars s.á. Með tölvupósti 20. mars sendi Já hf. Persónuvernd tillögur sínar um það hvernig hægt væri að uppfylla fræðsluskyldu vegna birtingar mynda af heimilum einstaklinga á vefsíðunni Já.is. Er þar annars vegar fjallað um fræðslu gagnvart þeim sem þegar eru skráðir á Já.is og hins vegar gagnvart þeim sem munu skrá sig í framtíðinni. Hvað fyrri hópinn varðar telur Já hf. eðlilegt, með tilliti til meðalhófssjónarmiða og fyrri málatilbúnaðar Já hf., að ekki verði gerð krafa um fræðsluskyldu afturvirkt, enda sé vandséð hvernig slíkt yrði framkvæmt auk þess sem ætla megi, með hliðsjón af eðli vinnslunnar, að hún sé langflestum kunn. Hins vegar væri mögulegt að hafa sérstaka upplýsingasíðu á vefsíðu Já hf., sem innihéldi helstu grunnupplýsingar um myndbirtingar og fyrirkomulag þeirra. Til þess að uppfylla fræðsluskyldu gagnvart þeim sem skrá sig síðar í gagnagrunn Já hf. væri unnt að hafa sérstakan texta á stöðluðum skráningareyðublöðum. Tillaga að slíkum texta er sett fram í erindi Já hf.

 

II.

Ákvörðun Persónuverndar 

1.

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar.

Af framangreindu er ljóst að sú aðgerð að birta myndir af heimilum einstaklinga á vefsíðunni Já.is felur í sér vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar og gildissvið laga nr. 77/2000 eins og það er afmarkað í framangreindum ákvæðum.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Já hf. telst vera ábyrgðaraðili vegna fyrrgreindrar vinnslu.

 

2.

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Í 7. tölul. 1. mgr. ákvæðisins kemur fram að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Ákvæði þetta ber að túlka í samræmi við ákvæði annarra laga eftir því sem tilefni er til. Í 2. mgr. 45. gr. laga nr. 81/2003 um fjarskipti, sem áður var getið, segir að persónuupplýsingar sem skráðar séu í prentuðum og rafrænum skrám og í upplýsingaþjónustu um símanúmer skuli takmarkast við þær upplýsingar sem þarf til að bera kennsl á áskrifanda nema áskrifandinn hafi veitt ótvíræða heimild til annars. Myndir af heimilum einstaklinga teljast, að mati Persónuverndar, ekki til slíkra upplýsinga. Með vísan til framangreinds telur Persónuvernd að birting mynda af heimilum einstaklinga, þegar leitað er að upplýsingum um þá á vefsíðunni Já.is, geti ekki stuðst við fyrrgreindan 7. tölul. 1. mgr. 8. gr. laganna.

Samkvæmt 1. tölul. sama ákvæðis er vinnsla persónuupplýsinga heimil hafi hinn skráði ótvírætt samþykkt vinnsluna eða veitt samþykki skv. 7. tölul. 2. gr. laganna. Já hf. hefur í máli þessu vísað til þess að samþykki megi veita í verki og að slíkt samþykki liggi fyrir í máli þessu. Til þess að fallast megi á að slíkt samþykki hafi verið veitt telur Persónuvernd hins vegar að til þurfi að koma einhvers konar athöfn af hálfu hins skráða. Athafna- eða aðgerðaleysi nægi ekki til þess að litið verði svo á að hinn skráði hafi samþykkt vinnsluna. Ekki verður því fallist á að samþykki hinna skráðu einstaklinga liggi fyrir í þessu tilviki.

Auk framangreinds verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu, en í 1. tölul. ákvæðisins er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga. Í athugasemdum við ákvæðið í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að vinnsla geti vart talist sanngjörn nema hinn skráði geti fengið vitneskju um hana og eigi kost á fullnægjandi upplýsingum um vinnubrögð, vinnuferli og annað er lýtur að vinnslunni. Persónuvernd telur að með vísan til þessa hafi Já.is borið að upplýsa hina skráðu og fræða þá um vinnsluna, þ.e. birtingu mynda af heimilum þeirra, áður en hún fór fram.

Með vísan til alls framangreinds telur Persónuvernd að birting mynda af heimilum einstaklinga á vefsíðunni Já.is, þegar leitað er að upplýsingum um þá á síðunni, samrýmist ekki kröfum 1. tölul. 1. mgr. 7. gr. og 1. mgr. 8. gr. laga nr. 77/2000. Á grundvelli 1. mgr. 40. gr. þeirra laga er hér með lagt fyrir Já hf. að senda Persónuvernd skriflega lýsingu á því hvernig framvegis verði tryggt að slík birting fari ekki í bága við lögin. Skal sú lýsing hafa borist stofnuninni eigi síðar en 19. júní 2017.

3.

Niðurstaða

Birting mynda af heimilum einstaklinga á vefsíðunni Já.is, þegar leitað er eftir upplýsingum um þá á síðunni, samrýmist ekki lögum nr. 77/2000. Já hf. skal, eigi síðar en 19. júní 2017, senda Persónuvernd skriflega lýsingu á því hvernig félagið hyggst tryggja framvegis að slík birting fari ekki í bága við þau lög.