Rafræn vöktun í fjöleignarhúsi

Mál nr. 2016/1317

21.8.2017

Úrskurður

Á fundi stjórnar Persónuverndar þann 16. júní 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1317:

 

I.
Málsmeðferð

1.
Tildrög máls

Þann 16. september 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) vegna vöktunar með eftirlitsmyndavélum í sameign fjöleignarhússins við [...]. Í kvörtuninni segir m.a.:

„Í bílakjallara voru áður 4 eftirlitsmyndavélar. Nú þegar eru komnar 9 eftirlitsmyndavélar um alla sameign. Hinar myndavélarnar voru settar upp í bílageymslu og [áttu] að koma í veg fyrir innbrot þar. Húseignin er vel [varin] fyrir innbrotum enda þyrfti þjófur að brjóta niður 3-5 hurðir til að komast inn. Eins og ég segi eru myndavélar nú við garð og alla innganga. [...] Eftirlitsmyndavélar þessar eru settar upp án þess að það hafi verið tekið fyrir á aðalfundi eða á sérstökum fundi. Ekki var leitað [samþykkis] íbúa. Innbrot hefur ekki verið framið í íbúð þarna í áratugi. Ekki þarf myndavélar í bílageymslu, þar fer enginn inn ef bílstjórar bíða eftir að hurð lokist.“

Þá kemur fram í kvörtuninni að auðvelt sé að beita vægari úrræðum, auk þess sem engin kynning hafi farið fram á vöktuninni.

 

2.

Bréfaskipti

Með bréfi, dags. 11. nóvember 2016, var Húsfélaginu [...] boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi húsfélagsins, dags. 14. desember 2016, kemur meðal annars fram að öryggismyndavélum hafi fyrst og fremst verið fjölgað vegna innbrota og skemmdarverka í sameigninni sem ekki hafi verið upplýst. Í húsinu séu 67 eignarhlutar og hægt sé að komast inn í húsin um fimm innganga, þar á meðal bílskúrshurð. Í sameigninni hafi áður verið fjórar myndavélar sem settar voru upp í öryggis- og eignavörsluskyni árið 2003 í kjölfar aðalfundar, en fundargerð aðalfundarins 2003 hafi þó ekki fundist. Þessar myndavélar hafi frá upphafi verið tengdar við sjónvarp í íbúð húsvarðar auk þess sem tvær þeirra hafi verið tengdar beint við sjónvarpskerfi hússins þannig að allir íbúar hafi getað fylgst með inngöngum frá [...] og [...] í beinni útsendingu allan sólarhringinn.

 Ákvörðun um endurnýjun og fjölgun vélanna hafi verið tekin á árinu 2016 á grundvelli mats öryggisfyrirtækis. Niðurstaða matsins hafi verið að þörf væri fyrir myndavélar við alla fimm inngangana í húsið. Þá þyrfti tvær vélar til að vakta reiðhjól sem geymd væru í bílageymslu, eina myndavél við dekkjageymslu og eina myndavél við uppgang úr bílageymslu. Engin sjónvarpsvöktun eigi sér stað nú og upptökur séu ekki skoðaðar nema innbrot eða skemmdarverk eigi sér stað, en þær séu þá sendar lögreglu. Upptökum sé eytt eftir rúmlega mánuð. Fullyrðing kvartanda um að ekki hafi verið framið innbrot í íbúð í húsinu kunni að vera rétt en tilgangur vöktunarinnar sé þó ekki beinlínis að vakta íbúðir enda hafi þau atvik sem upp hafi komið átt sér stað í sameign hússins. Einungis þurfi að komast inn um einar dyr til þess að komast inn í sameign, bílageymslu, dekkjageymslu og reiðhjólageymslu.

Um kynningu á vöktuninni segir að allir inngangar og hurðir séu rækilega merkt með tilkynningum um að í eigninni séu eftirlitsmyndavélar. Auk þess hafi almenn kynning á endurnýjun myndavélakerfisins farið fram á Facebook-síðu húsfélagsins. Þá segir að til þess að taka af allan vafa um samþykki húsfundar fyrir fjölgun myndavéla muni stjórn húsfélagsins leita eftir nýju samþykki húsfundar.

Með tölvupósti frá formanni húsfélagsins 29. mars 2017 var Persónuvernd tilkynnt að uppsetning öryggismyndavéla hefði verið samþykkt á aðalfundi húsfélagsins 22. mars 2017. Póstinum fylgdu afrit af fundarboði og fundargerð fundarins.

Með bréfi, dags. 20. mars 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Húsfélagsins [...] til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Þá var kvartanda sent afrit af fyrrgreindum tölvupósti formanns húsfélagsins frá 29. mars 2017, ásamt fylgiskjölum, með bréfi dags. þann sama dag. Í svarbréfum kvartanda, dags. 31. mars og 12. maí 2017, kemur meðal annars fram að kynning á vöktuninni hafi ekki farið fram á heimasíðu húsfélagsins heldur hafi þar verið tilkynnt, eftir að kvörtunin var lögð fram, að myndavélar væru komnar og að íbúi hefði kvartað yfir því til Persónuverndar. Aðeins um helmingur íbúa hafi aðgang að síðunni. Vöktunin hafi ekki verið borin undir íbúa, hún hafi ekki verið auglýst og enginn fræðslufundur hafi verið haldinn. Kvartandi andmælir því jafnframt að fjölgun myndavéla í níu í stað fjögurra geti talist eðlileg endurnýjun. Húsfélagið hefði getað beitt vægari úrræðum.

Þá tekur kvartandi fram að það sé ekki rétt að fjölgun myndavélanna hafi verið boðuð í fundarboði aðalfundar húsfélagsins 2017. Í fundarboði segi orðrétt: „10. Kvörtun eiganda til persónuverndar vegna myndavélar í sameign“. Þar hafi átt að fara yfir kvörtunarefnið í máli þessu. Það hafi hins vegar ekki verið gert heldur þessum dagskrárlið breytt fyrirvaralaust í atkvæðagreiðslu um fjölgun myndavéla.

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Gildissvið laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna, og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði, og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. tölul. 2. gr. laga nr. 77/2000. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Af framangreindu er ljóst að myndavélaeftirlit það sem Húsfélagið [...] viðhefur er í eðli sínu rafræn vöktun og rafræn vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Jafnframt er ljóst að það heyrir undir valdsvið Persónuverndar að úrskurða um ágreining um umrædda vöktun og vinnslu, sbr. 37. gr. laganna.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Húsfélagið [...] vera ábyrgðaraðili að umræddri vinnslu.

 

2.

Lögmæti vöktunar

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 4. gr. laga nr. 77/2000. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram. Einnig verður meðal annars að gæta að því við rafræna vöktun að með merki eða á annan áberandi hátt sé gert glögglega viðvart um vöktunina og hver sé ábyrgðaraðili, sbr. 24. gr. laganna.

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að vinnsla slíkra upplýsinga sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 8. gr. laga nr. 77/2000, að vera fullnægt. Að því marki sem hér kann að vera um viðkvæmar persónuupplýsingar að ræða verður einnig að líta til 9. gr. laganna, en þar er mælt fyrir um viðbótarskilyrði fyrir vinnslu slíkra upplýsinga. Þarf vinnslan þá að fullnægja einhverju þeirra skilyrða, auk einhvers skilyrðanna í 8. gr. laganna. Ætla verður að umrædd vöktun geti haft í för með sér söfnun myndefnis með viðkvæmum persónuupplýsingum, s.s. ef tekin eru upp atvik þar sem grunur er uppi um refsiverða háttsemi, en upplýsingar þar að lútandi eru viðkvæmar, sbr. a-lið 8. tölul. 2. gr. laga nr. 77/2000.

Það ákvæði 8. gr. laganna, sem hér kemur einkum til álita, er 7. tölul. 1. mgr., þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Af ákvæðum 9. gr. laganna kemur einkum til álita 7. tölul. 1. mgr. sem heimilar vinnslu viðkvæmra persónuupplýsinga sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Þá ber einnig að nefna 2. mgr. 9. gr. sem heimilar söfnun efnis sem verður til við rafræna vöktun, svo sem hljóð- og myndefni, með viðkvæmum persónuupplýsingum að uppfylltum nánar tilgreindum skilyrðum.

Að auki þarf, sem ávallt við vinnslu persónuupplýsinga og rafræna vöktun, að vera fullnægt öllum grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000, sbr. 1. mgr. 4. gr. sömu laga. Í því felst meðal annars að vinnsla skal vera sanngjörn, málefnaleg og lögmæt og samrýmast vönduðum vinnsluháttum (1. tölul. 1. mgr. 7. gr.); upplýsingar skulu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. sömu málsgreinar); þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu ( 3. tölul.); og þær skulu varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

Við mat á lögmæti vinnslu og vöktunar getur eftir atvikum þurft að líta til ákvæða í öðrum lögum. Eins og hér háttar til reynir einkum á lög nr. 26/1994 um fjöleignarhús. Samkvæmt 1. mgr. 56. gr. þeirra eru húsfélög til í öllum fjöleignarhúsum í krafti ákvæða laganna. Samkvæmt 1. mgr. 39. gr. eiga allir hlutaðeigandi eigendur í fjöleignarhúsi óskoraðan rétt á að eiga og taka þátt í öllum ákvörðunum er varða sameignina, bæði innan húss og utan, og sameiginleg málefni sem snerta hana beint og óbeint. Þá segir í 4. mgr. sama ákvæðis að sameiginlegar ákvarðanir skuli teknar á sameiginlegum fundi eigenda, húsfundi, en þó geti stjórn húsfélags tekið vissar ákvarðanir í umboði eigenda sem bindandi eru fyrir þá, sbr. 69. og 70. gr. laganna. Misjafnt er hvort einfaldan eða aukinn meirihluta þarf til töku slíkrar ákvörðunar eða hvort hún verður að vera samhljóða, en líta verður svo á að það falli í hlut kærunefndar húsamála að skera úr álitaefnum þar að lútandi, sbr. 80. gr. laganna. Óháð því telur Persónuvernd hins vegar að leggja verði til grundvallar að ákvörðun um uppsetningu eftirlitsmyndavéla í sameign fjöleignarhúss, þar á meðal ákvörðun um fjölgun þeirra, sé á forræði húsfélags og verði því að vera tekin á vettvangi þess. Jafnframt ber að líta til þess sem segir um aðalfund og boðun hans í 59. gr. laga nr. 26/1994, en í 2. mgr. ákvæðisins segir að í fundarboði skuli geta þeirra mála sem ræða eigi og meginefnis tillagna þeirra sem leggja eigi fyrir fundinn.

Með stoð í 5. mgr. 37. gr. laga nr. 77/2000 hefur Persónuvernd sett reglur nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 4. gr. þeirra reglna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, s.s. í þágu öryggis eða eignavörslu. Þá segir í 5. gr. reglnanna að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Skuli gæta þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

Í 20. gr. laga nr. 77/2000 segir meðal annars að þegar ábyrgðaraðili afli persónuupplýsinga hjá hinum skráða sjálfum skuli hann fræða hinn skráða um þau atriði sem hann þarf að vita, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna. Í 10. gr. reglna nr. 837/2006 um rafræna vöktun er sömuleiðis að finna ákvæði um fræðslu sem veita ber þeim sem sæta rafrænni vöktun. Segir þar m.a. að þeim skuli veitt fræðsla um tilgang vöktunar, hverjir hafi eða kunni að fá aðgang að þeim upplýsingum sem safnast og hversu lengi þær verði varðveittar. Þá kemur fram í 3. mgr. ákvæðisins að meðal annars skuli tilgreina í reglum eða fræðslu hvaða búnaður er notaður, t.d. stafrænar eftirlitsmyndavélar, og rétt viðkomandi til að fá að vita hvaða upplýsingar verða til um hann og til að fá upplýsingar leiðréttar eða þeim eytt. Um rétt þess sem sætt hefur rafrænni vöktun til að skoða gögn sem verða til um hann við vöktunina er fjallað í 12. gr. reglnanna.

 

3.

Niðurstaða

Ágreiningur kvartanda og húsfélagsins snýst um fjölgun eftirlitsmyndavéla í sameign [...], sem átti sér stað árið 2016, en vöktun fer nú fram á fleiri stöðum í sameigninni en áður. Kvartandi gerir hins vegar ekki athugasemd við þá vöktun sem áður var viðhöfð með fjórum eftirlitsmyndavélum, sem settar voru upp árið 2003. Af hálfu húsfélagsins hefur verið upplýst að vöktunin fari fram í þágu öryggis og eignavörslu og telst sá tilgangur málefnalegur.

Eins og áður var rakið er vinnsla almennra persónuupplýsinga heimil á grundvelli 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Ákvæði þetta ber að túlka í samræmi við ákvæði annarra laga eftir því sem tilefni er til. Í þessu tilviki er nauðsynlegt að líta til ákvæða laga nr. 26/1994 um fjöleignarhús.

Engin gögn hafa verið lögð fram í málinu sem sýna fram á að lögmæt ákvörðun um fjölgun eftirlitsmyndavélanna hafi verið tekin innan húsfélagsins fyrir uppsetningu nýju vélanna á árinu 2016. Með vísan til þess telur Persónuvernd ljóst að sú vöktun, sem átti sér stað vegna fjölgunar eftirlitsmyndavéla í sameign [...], hafi ekki getað stuðst við fyrrgreindan 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 á þeim tíma.

Kemur þá til skoðunar hvort vöktunin telst heimil í kjölfar ákvörðunar aðalfundar húsfélagsins frá 22. mars 2017, sem áður var greint frá. Af framlögðum gögnum að dæma var tillögu um fjölgun eftirlitsmyndavéla í sameign ekki getið í fundarboði aðalfundar húsfélagsins 2017, sbr. 2. mgr. 59. gr. laga nr. 26/1994. Með vísan til framangreinds telur Persónuvernd ekki fært að byggja á því að lögmæt ákvörðun um fjölgun eftirlitsmyndavéla í sameign hafi verið tekin í húsfélagi [...]. Verður sú vöktun, sem á sér stað í dag vegna fjölgunar eftirlitsmyndavéla í sameign [...], því ekki talin samrýmast 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Þá verður ekki séð að vöktunin geti stuðst við aðra heimild í 1. mgr. 8. gr. laganna.

Í máli þessu hefur komið fram af hálfu kvartanda að engin kynning hafi farið fram á uppsetningu hinna nýju eftirlitsmyndavéla, sbr. 20. gr. laga nr. 77/2000 og 10. gr. reglna nr. 837/2006 um rafræna vöktun, sem áður voru nefndar. Sönnunarbyrði um það hvort fræðsla hafi verið veitt með fullnægjandi hætti hvílir á ábyrgðaraðila. Ábyrgðaraðili hefur borið því við að almenn kynning á endurnýjun myndavélakerfisins hafi farið fram á Facebook-síðu húsfélagsins. Þá séu allir inngangar og hurðir rækilega merkt með tilkynningum um að í eigninni séu eftirlitsmyndavélar.

Með vísan til fyrrgreindra ákvæða er það mat Persónuverndar að ekki liggi fyrir að kvartanda hafi verið veitt fræðsla svo sem skylt er samkvæmt 20. gr. laga nr. 77/2000, sbr. einnig 10. gr. reglna nr. 837/2006. 

 

Ú r s k u r ð a r o r ð:

Rafræn vöktun á vegum Húsfélagsins [...] í sameign fjöleignarhússins, í kjölfar fjölgunar eftirlitsmyndavéla á árinu 2016, samrýmist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.