Rafræn vöktun á veitingastað
20. júní 2006
Úrskurður
Hinn 20. júní 2006 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2005/579:
Bréfaskipti
Með bréfi, dags. 20. október 2005, fór stéttarfélagið A þess á leit við Persónuvernd, f.h. B, að hún léti til sín taka mál vegna rafrænnar vöktunar á vegum D, nánar tiltekið á veitingastaðnum E, . . ., Reykjavík. Það mál, sem hér um ræðir, er sprottið af því að B (hér eftir nefnd "kvartandi") var sagt upp störfum á framangreindum veitingastað. Var uppsögnin m.a. rökstudd með því að á upptöku úr eftirlitsmyndavél hefði hún sést kveikja sér í sígarettu, en reykingar eru bannaðar á staðnum, auk þess sem hún hefði látið áfengisneyslu annarra starfsmanna inni á veitingastaðnum, sem hún bar ábyrgð á, afskiptalausa. Kemur þetta fram í bréfi D til kvartanda, dags. 6. október 2005, en afrit af því var hjálagt með bréfi A. Í því bréfi segir m.a.:
"Að mati [A] virðist sem að ákvæði laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga hafi verið brotin, svo ekki sé kveðið fastar að orði. Samkvæmt frásögn starfsmannsins voru myndavélarnar settar upp fáeinum dögum áður en til uppsagnar kom án vitneskju starfsmanna. Starfsmönnum var ekki gerð grein fyrir því að um myndavélaeftirlit væri að ræða og engum merkingum fyrir að fara. Miðað við frágang myndavélanna (sem munu vera inni í kúplum) er ekki augljóst að um myndavélar sé að ræða. Starfsmenn munu hafa spurt hvaða kúplar þetta væru og fengið þau svör frá yfirmanni að þetta tengdist reykskynjarakerfi hússins."
Með bréfi, dags. 25. október 2005, bauð Persónuvernd D að tjá sig um erindi A. Svarað var með bréfi, dags. 9. nóvember 2005. Þar segir:
"Eftirlitsmyndavélakerfi hefur verið uppi á [E] frá því í ársbyrjun 2000. Allir starfsmenn staðarins hafa haft fulla vitneskju um kerfið enda er eftirlitsskjár staðsettur inni á kaffistofu starfsmanna. Kveikt er á þeim skjá allan sóla[r]hringinn og starfsmönnum því fullljóst að um eftirlitsmyndavélakerfi er að ræða. Fjöldamargir starfsmenn geta staðfest þetta.
Í september sl. voru gerðar endurbætur á upprunalegu kerfi vegna gruns um þjófnað starfsmanna. Reyndist sá grunur á rökum reistur og var starfsmanni vikið úr störfum í kjölfarið. Að þessu undangengnu höfðu fjölmargir starfsmenn upplýst eigendur fyrirtækisins um að [B] stundaði ítrekað gróft b[ro]t á starfsreglum fyrir[t]ækisins sem yfirmaður á staðnum. Fékkst það einnig staðfest með eftirlitsmyndavélum sem eru hluti af hinu uppfærða kerfi. Ljóst þykir að hér hafa ekki verið brotin lög um persónuvernd og meðferð persónuupplýsinga."
Með bréfi, dags. 30. nóvember 2005, bauð Persónuvernd A að tjá sig um framangreint bréf D. A svaraði með bréfi, dags. 15. febrúar 2006, en áður, eða hinn 12. desember 2005, hafði félagið farið fram á svarfrest fram yfir áramótin. Í bréfi félagsins segir:
"Samkvæmt frásögn starfsmannsins [kvartanda] þá staðfestir hún að sett hafi verið upp myndavélakerfi á árinu 2000. Hún lýsir því svo að myndavélar hafi verið staðsettar í afgreiðslu sem sýndu komu viðskiptamanna inn á staðinn og ein baka til sem vísaði á útidyrahurð sem þar var staðsett. Í upphafi hafi myndir verið teknar upp á myndbandsspólur sem hafi verið vikusettar, en síðar hafi upptökum verið hætt fljótlega og kerfið verið notað með þeim hætti að skjár var staðsettur inn á kaffistofu veitingastaðarins þar sem starfsmenn gátu séð viðskiptavini sem komu inn á staðinn. Hafi kerfið þannig eingöngu verið notað í þeim tilgangi að fylgjast með komu viðskiptavina.
Í september 2005 bar svo við að starfsmenn tóku eftir því að brúnir kúplar höfðu verið settir upp víða á veitingastað[num], þ.e. inni í afgreiðslu og inni á grilli sem vísaði á grillið sjálft. Starfsmenn hafi ekki vitað hvað þetta væri og engar tilkynningar hafi borist til starfsmanna. Sá tiltekni starfsmaður sem kemur að máli þessu kveðst hafa spurt yfirmann á staðnum hvaða kúplar þetta væru og fengið þau svör að þetta væri örugglega eitthvað í sambandi við reykskynjara. Síðar hafi svo komið í ljós[…], sbr. fyrirliggjandi bréf í málinu, að um nýtt myndavélakerfi var að ræða.
Af lýsingu starfsmannsins er ljóst að hér er um annað og meira en einhverja uppfærslu á kerfi að ræða. Engin kynning átti sér stað gagnvart starfsfólki, engar upplýsingar fyrirliggjandi um nauðsyn myndavélaeftirlitsins og ekki hefur verið upplýst um reglur í tengslum við hina rafrænu vöktun og meðferð þeirra viðkvæmu persónuupplýsinga sem safnað er saman og beinast gegn starfsfólki fyrirtækisins. Eins og mál þessa tiltekna starfsmanns gefur til kynna virðist sem að algjört frjálsræði ríki um meðferð þess myndefnis sem safnað er og það notað gegn starfsfólki með ólögmætum hætti."
Með bréfi, dags. 10. mars 2006, bauð Persónuvernd D að tjá sig um framangreint bréf. Svarað var með bréfi, dags. 29. mars 2006. Þar segir:
"[D] mótmælir því mati [A] að ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga hafi verið brotin.
Myndavélakerfi hefur til fjölda ára verið staðsett á veitingastað [E]. Öllum starfsmönnum [E] er fullljóst að mynd[a]vélakerfi er tengt enda hefur kerfið ávallt verið sýnilegt og m.a. tengt inn á skjá á kaffistofu staðarins. Kerfið var sett upp á sínum tíma til að tryggja öryggi starfsmanna, verja eignir og hagsmuni [D] svo og að hafa eðlilegt eftirlit með störfum starfsmanna. Var það tengt við upptökutæki, sem hefur í áranna rás þótt vera óþjálla í notkun en nýrri kerfi sem tengd eru við tölvu.
Eldra kerfið var ekki talið tryggja nægilega vel öryggi starfsmanna, og nokkuð ljóst að nýrra og betra kerfi hefði meiri möguleika á að sinna þeim eðlilegu öryggis- og eignavörslusjónarmiðum sem slík kerfi eiga að verja. Þó svo að það hefi ekki stöðugt verið tekið upp á eldra kerfið, þá var það samt sem áður virkt, og fyrirtækinu hefði klárlega verið heimilt að setja myndbandsspólur í tækið og taka upp athafnir starfsmanna og viðskiptamanna hvenær sem er. Starfsmenn hefðu ekki þurft að fá sérstaka tilkynningu þess í hvert sinn, þar sem kerfið var til staðar.
Uppfærsla myndavélakerfisins er eðlilega aðeins gerð utan venjulegs vinnu- og opnunartíma. Nýju myndavélunum er að flestu leyti beint að sömu stöðum og þær myndavélar sem áður voru notaðar, þ.e. á gang, afgreiðslu og sal. Þau brot sem leiddu til uppsagnar [B] voru öll framin í afgreiðslu þar sem gömul myndavél var staðsett og hefði tekið upp nákvæmlega sömu athafnir og nýja kerfið gerði.
Á síðast liðnum mánuðum höfðu grunsemdir um óeðlilega rýrnu[n] vaknað, án þess þó að hægt væri að staðfesta þann grun. Sú rýrnun hafði áhrif á að uppfærsla myndavélakerfisins var gerð á umræddum tímapunkti, enda tilgangur slíkra kerfa að verja eignir og hagsmuni fyrirtækja. Upp komst um þjófnað eins starfsmanns sem í kjölfarið hætti störfum hjá [D]. Samhliða því komst upp brot [B], þáverandi rekstrarstjóra staðarins.
Þó [B] sé ósátt við að upp komst um brot hennar, þá breytir það ekki þeirri staðreynd að hún braut mjög alvarlega gegn starfsreglum fyrirtækisins með því að horfa fram hjá þjófnaði og einnig gegn þeim tóbaksvarnarreglum sem matsölustaðir eru settir undir. Strangar reglur gilda um meðhöndlun matvæla og umgengni um þær. Forsvarsmenn [D] verða að hafa fullvissu um að þeim reglum sé hlýtt í hvívetna. Því miður var ekki hægt að líta framhjá því broti [B] sem upplýstist samhliða rýrnuninni. Slíkt brot á reglum verður aldrei tali[ð] vera minniháttar yfirsjón af hálfu rekstrarstjóra staðarins.
Skv. dómi Hæstaréttar nr. 374/2004 var það ekki talin ólögmæt brottvikning þegar starfsmanni var vikið úr starfi á grundvelli mynda sem teknar voru á falda myndavél. Myndskeið sem komu fram á myndbandi voru talin nægileg ástæða til að sanna sekt og víkja starfsmanninum fyrirvaralaust úr starfi fyrir alvarlegt brot á starfsreglum fyrirtækisins. Ekki var talið að myndbandsins h[efði] verið aflað með ólögmætum hætti, þó svo í því tilviki hafi gildra verið lögð fyrir starfsmanninn.
Í því tilviki var ekki gerð athugasemd við uppsetningu falins myndavélakerfis til að upplýsa um brot á starfsreglum. Brotið sem slíkt var talið alvarlegra. Í tilviki [B] voru þó aðstæður ekki með þeim hætti að lögð hafi verið fyrir hana gildra, og ennfremur vissi hún af því myndavélakerfi sem hafði verið uppsett í nokkur ár. Má því halda fram að mun skemur hafi verið gengið í máli [B] en í umræddum Hæstaréttardómi.
Í mótun eru reglur til uppsetninga[r] á starfsstöðum [D] varðandi rafræna vöktun á vinnustöðum og er verið að undirbúa merkingar við myndavélarnar. Meðfylgjandi eru drög að þeim reglum. Einnig er verið að setja upp límmiða við myndavélakerfin á öllum stöðum [E]."
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.
Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkjum búnaði, og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. tölul. 2. gr. laga nr. 77/2000. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.
Af framangreindu er ljóst að myndavélaeftirlit það sem fram fer á vegum D á veitingastaðnum E, . . ., Reykjavík, er í eðli sínu rafræn vöktun og rafræn vinnsla persónuupplýsinga í skilningi laga nr. 77/2000 og fellur þar með undir gildissvið þeirra laga, sem og valdsvið Persónuverndar, sbr. 37. gr. laganna.
Lögmæti
2.1.
Almenn lögmætisskilyrði
Svo að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 4. gr. laga nr. 77/2000. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fari um að jafnaði, sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.
Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að slík vinnsla sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 8. gr. laga nr. 77/2000, að vera fullnægt. Svo að vinnsla viðkvæmra persónuupplýsinga sé heimil verður að auki að vera fullnægt einhverju þeirra skilyrða sem kveðið er á um í 9. gr. sömu laga.
Fram hefur komið að umrætt eftirlitsmyndavélakerfi hefur verið sett upp í öryggis- og eignavörsluskyni, þ.e. til að tryggja öryggi starfsmanna og verja eignir og hagsmuni D. Í þessu felst að myndavélakerfinu er ætlað að safna upplýsingum um refsiverða háttsemi, s.s. þjófnað og skemmdarverk. Upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað teljast til viðkvæmra persónuupplýsinga, sbr. b-lið 8. tölul. 2. gr. laga nr. 77/2000. Er því hér um vinnslu viðkvæmra persónuupplýsinga að ræða.
Heimilt getur verið að viðhafa rafræna vöktun og vinna með persónuupplýsingar í tengslum við hana í öryggis- og eignavörsluskyni. Umrædd vöktun getur þannig samrýmst 1. mgr. 4. gr. laga nr. 77/2000. Þá getur sú vinnsla, sem fram fer í tengslum við vöktunina, helgast af 7. tölul. 1. mgr. 8. gr. og 2. mgr. 9. gr. laganna. Í fyrrnefnda ákvæðinu er kveðið á um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema frelsi og réttindi hins skráða vegi þyngra. Og í síðarnefnda ákvæðinu er mælt fyrir um að í tengslum við rafræna vöktun sé heimilt að safna efni með viðkvæmum persónuupplýsingum, sem til verður við vöktunina, sé þeim skilyrðum fullnægt að:
a. vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni;
b. það efni, sem til verður við vöktunina, verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða samkvæmt ákvörðun Persónuverndar – þó sé heimilt að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað, en þá skuli þess gætt að eyða öllum öðrum eintökum af efninu; og
c. því efni, sem safnist við vöktunina, verði eytt þegar ekki sé lengur málefnaleg ástæða til að varðveita það.
Auk þess sem umrædd vöktun og vinnsla persónuupplýsinga í tengslum við hana þjónar öryggis- og eignavörslu er henni ætlað að gera D kleift "að hafa eðlilegt eftirlit með störfum starfsmanna." Svo að vöktun í slíku skyni sé heimil þarf að vera fullnægt einhverju skilyrða a–c-liðar 1. mgr. 3. gr. reglna nr. 888/2004 um rafræna vöktun á vinnustöðum, í skólum og á öðrum svæðum þar sem takmarkaður hópur fólks fer um að jafnaði, sbr. 5. mgr. 37. gr. laga nr. 77/2000. Umrædd skilyrði eru sem hér greinir:
a. ekki sé unnt að koma við verkstjórn á hinu vaktaða svæði með öðrum hætti;
b. án vöktunarinnar sé ekki unnt að tryggja öryggi á viðkomandi vinnusvæði, s.s. í ljósi sjónarmiða um hollustuhætti og mengunarvarnir; eða
c. hún sé nauðsynleg vegna sérstaks samkomulags um launakjör í viðkomandi fyrirtæki, s.s. þegar laun eru byggð á afkastatengdu, tímamældu launakerfi.
Um þá vöktun, sem hér um ræðir, getur b-liðurinn átt við, enda fer hún fram á veitingastað þar sem fullnægt verður að vera margvíslegum kröfum um hollustuhætti. Tilheyrandi vinnsla persónuupplýsinga getur átt stoð í ákvæði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 og, að því marki sem unnið kann að vera með viðkvæmar persónuupplýsingar í umræddum tilgangi, ákvæði 2. mgr. 9. gr. sömu laga.
Í ljósi framangreinds verður ekki séð að heimildir samkvæmt 4., 8. og 9. gr. laga nr. 77/2000, sem og 4. gr. reglna nr. 888/2004, bresti til umræddrar vöktunar og vinnslu persónuupplýsinga í tengslum við hana. Hins vegar verður auk þessara ákvæða að vera fullnægt margvíslegum öðrum kröfum í tengslum við vöktunina, sbr. umfjöllun í kafla 2.2 hér á eftir.
Krafa um gagnsæi vinnslu
Sérreglur um rafræna vöktun
2.2.1.
Í máli þessu reynir á það hvort starfsmönnum hafi mátt ljóst vera að umrædd vöktun og vinnsla persónuupplýsinga samfara henni færi fram. Samkvæmt því reynir á sjónarmið um gagnsæi vinnslu persónuupplýsinga, þ.e. að slík vinnsla fari ekki fram með leynd gagnvart hinum skráða. Krafa um slíkt gagnsæi er fólgin í 1. mgr. 7. gr. laga nr. 77/2000 þar sem mælt er fyrir um að við vinnslu persónuupplýsinga skuli þess gætt að hún sé sanngjörn. Margvísleg ákvæði í bæði lögum nr. 77/2000 og framangreindum reglum nr. 888/2004 tengjast þessari gagnsæiskröfu. Hér á eftir verður vikið að þeim ákvæðum, sem á reynir í máli þessu, og afstaða tekin til þess hvort kröfur þeirra hafi verið uppfylltar.
2.2.2.
Samkvæmt 24. gr. laga nr. 77/2000 skal, þegar rafræn vöktun fer fram á vinnustað eða á almannafæri, með merki eða á annan áberandi hátt gera glögglega viðvart um þá vöktun og hver sé ábyrgðaraðili. Mælt er fyrir um sömu reglu í 8. gr. reglna nr. 888/2004 um rafræna vöktun á vinnustöðum, í skólum og á öðrum svæðum þar sem takmarkaður hópur fólks fer um að jafnaði. Í bréfi A, dags. 20. október 2005, segir að engar merkingar hafi verið um umrædda vöktun. Í bréfi D, dags. 9. nóvember 2005, er þessu andmælt með þeim rökum að frá því að myndavélaeftirlit hófst á umræddum veitingastað E hafi starfsmenn mátt vita af vöktuninni, enda hafi myndir birst á skjá inni á kaffistofu þeirra.
Af þessu tilefni skal vakin athygli á að slíkt getur ekki fullnægt kröfum framangreindra ákvæða, enda eiga merkingar einnig að vera sjáanlegar viðskiptamönnum, en vöktun á veitingastaðnum mun raunar lengst af aðeins hafa beinst að þeim. Einnig hefur komið fram að á árinu 2005 var sett upp nýtt eftirlitsmyndavélakerfi þar sem breyting var gerð frá því fyrirkomulagi, sem lengi hafði verið við lýði, að ekki væri tekið upp myndefni samfara vöktuninni. Þetta var veigamikil breyting og framangreindur skjár getur ekki talist hafa verið næg viðvörun um hið nýja vöktunarkerfi og þá upptöku sem fram fer við notkun þess. Samkvæmt þessu ber að líta svo á að við umrædda vöktun hafi verið brotið gegn 24. gr. laga nr. 77/2000 og 8. gr. reglna nr. 888/2004.
Auk framangreinds verður, áður en rafræn vöktun hefst á svæði þar sem takmarkaður hópur fólks fer um að jafnaði, að fræða þá sem sæta vöktuninni um öll helstu atriði sem henni tengjast, sbr. 7. gr. reglna nr. 888/2004. Meðal þeirra atriða, sem veita ber fræðslu um samkvæmt framangreindu ákvæði reglnanna, eru eftirfarandi: Hvaða búnaður notaður er við vöktunina (a-liður); tilgangur vöktunarinnar, hvaða persónuupplýsingar vinna eigi með og hve lengi þær verði varðveittar, hvort þeim verði miðlað til þriðja aðila og þá til hverra (b-liður); og önnur atriði en þau sem talin eru upp í ákvæðinu sem nauðsynleg eru til að starfsmenn geti gætt hagsmuna sinna (j-liður).
Af hálfu A er því haldið fram að starfsmenn hafi ekki haft vitneskju um hið nýja myndavélakerfi, enda hafi það ekki verið kynnt þeim. Þessu hefur ekki verið andmælt af hálfu D, en í bréfi félagsins, dags. 29. mars 2006, virðist birtast sá skilningur að ekki hafi þurft að kynna hið nýja myndavélakerfi þar sem ekki hafi verið hægt að setja það upp nema utan venjulegs vinnu- og opnunartíma. Í ljósi 7. gr. reglna nr. 888/2004 hefur þetta ekkert vægi. Umrædda fræðslu bar að veita starfsmönnum og það áður en vöktunin hófst samkvæmt skýru ákvæði reglnanna. Er því ljóst að brotið var gegn 7. gr.
Ákvæði þeirrar greinar fela í sér nánari útfærslu á ákvæðum 20. gr. laga nr. 77/2000 um þá fræðslu sem veita ber hinum skráða þegar persónuupplýsinga er aflað hjá honum sjálfum, þ.e. um nafn og heimilisfang þess sem ábyrgð ber á vinnslu, tilgang vinnslunnar og önnur þau atriði sem hinn skráði þarf að fá vitneskju um til að geta gætt hagsmuna sinna, s.s. um viðtakendur eða flokka viðtakenda upplýsinga, hvort skylt sé eða valfrjálst að veita upplýsingar og hvaða afleiðingar það kunni að hafa að veita þær ekki og ákvæði laga nr. 77/2000 um upplýsingarétt hins skráða (18. gr.) og rétt hans til leiðréttingar og eyðingar rangra og villandi upplýsinga (25. og 26. gr.). Þar sem engin fræðsla var veitt, hvorki um þau einstöku atriði, sem nefnd eru í 20. gr., né um að fram færi vinnsla persónuupplýsinga yfir höfuð, er ljóst að ekki aðeins var brotið gegn 7. gr. reglna nr. 888/2004 heldur einnig þessu ákvæði laga nr. 77/2000.
2.2.4.
Ekki ber aðeins að veita þeim sem sæta rafrænni vöktun á svæði, þar sem takmarkaður hópur fólks fer um að jafnaði, fræðslu um vöktunina heldur ber þeim sem ábyrgð ber á henni þar að auki að setja um hana reglur hafi hún í för með sér vinnslu persónuupplýsinga, sbr. 9. gr. reglna nr. 888/2004. Í slíkum reglum á að skilgreina þá stefnu sem fylgja á við vöktunina. Að beita reglunum, og þar með viðhafa þá rafrænu vöktun, sem hún lýtur að, er óheimilt nema þeim sem vöktun beinist að hafi áður sannanlega verið kunngjört efni þeirra og þeim gefinn a.m.k. 15 daga frestur til að koma að athugasemdum. Í reglunum á m.a. að vera kveðið á um tilgang vöktunarinnar, aðgang að upplýsingum og varðveislutíma þeirra.
Í bréfi A, dags. 15. febrúar 2006, er því haldið fram að engar reglur hafi verið settar um vöktunina. Þetta er staðfest í bréfi D, dags. 29. mars 2006, enda kemur þar fram að á ritunartíma bréfsins höfðu slíkar reglur enn ekki verið settar en að þó lágu þá fyrir drög. Samkvæmt framangreindu hefði D hins vegar borið að setja umræddar reglur að minnsta kosti 15 dögum áður en hið nýja vöktunarkerfi var tekið í notkun og kynna þær starfsmönnum. Samkvæmt þessu hefur D brotið gegn 9. gr. reglna nr. 888/2004.
Af því sem að framan greinir er ljóst að vöktun með hinu nýja myndavélakerfi og söfnun og önnur vinnsla persónuupplýsinga samfara henni fór fram með leynd gagnvart starfsmönnum umrædds veitingastaðar. Af hálfu A er því raunar haldið fram að starfsmenn, sem spurt hafi að því hver tilgangurinn væri með kúplunum, sem myndavélarnar eru inni í, hafi fengið þau röngu svör að þeir tengdust reykskynjarakerfi veitingastaðarins. Hefur þessu ekki verið andmælt.
Þessi atvik ber að skoða í ljósi 3. mgr. 3. gr. reglna nr. 888/2004, en þar er mælt fyrir um að vöktun með leynd megi aldrei fara fram nema með úrskurði dómara eða samkvæmt sérstakri lagaheimild. Þar sem slíkar heimildir eru ekki í lögum kemur í raun aðeins dómsúrskurður til greina, sbr. ákvæði 1. mgr. 87. gr. og d-liðar 86. gr. laga nr. 19/1991 um meðferð opinberra mála, þar sem mælt er fyrir um skilyrði þess að lögregla megi taka myndir án þess að þeir sem myndaðir eru viti af því. Rétt er að geta þess að þar sem þessi ákvæði fela í sér sérstakar heimildir fyrir lögreglu er það eðlileg lögskýring að frá þeim sé gagnályktað á þann veg að rafræn vöktun með leynd samhliða söfnun myndefnis sé ávallt óheimil nema þegar skilyrðum þeirra sé fullnægt. Þetta leiðir af því að umrædd lagaákvæði eru sett með það í huga að um sérlega viðurhlutamikið úrræði gagnvart borgurunum sé að ræða og að því beri ekki að beita þeim nema að undangengnu sjálfstæðu mati óhlutdrægs dómstóls á því hvort til þess sé nægilegt tilefni.
Þótt fram hafi farið rafræn vöktun áður en hið nýja myndavélakerfi var tekið í notkun hefur það ekki þýðingu fyrir úrlausn þessa máls. Þá skiptir ekki máli að til staðar hafi verið sá möguleiki að taka upp myndefni, enda var það orðið að föstu fyrirkomulagi að slíkt væri ekki gert. Svo að starfsmenn mættu eiga von á því að fram færi upptaka hefði því þurft að fræða þá um það sérstaklega og hefði fræðsla þar að lútandi orðið að fullnægja kröfum 7. gr. reglna nr. 888/2004.
Tekið skal fram að D telur hins vegar aðra en lögreglu hafa heimild til leynilegrar vöktunar í ljósi dóms Hæstaréttar frá 17. nóvember 2005 í máli nr. 374/2004. Heldur félagið því fram að þar hafi rétturinn fallist á að fyrirtæki hefði verið heimilt að viðhafa slíka vöktun í því skyni að koma upp um brot tiltekins starfsmanns gegn starfsskyldum sínum. Í þessu máli hafði viðkomandi starfsmaður höfðað mál gegn fyrirtækinu til heimtu skaðabóta vegna ólögmætrar uppsagnar. Það að ekki var fallist á þær kröfur telur D. fela í sér framangreindan skilning réttarins. Á það skal hins vegar bent að hvorki kröfugerð né málsástæður lutu að því að vöktunin hefði verið ólögmæt. Af 5. mgr. 101. gr. laga nr. 19/1991 um meðferð einkamála leiðir að dómstólar taka aðeins afstöðu til þeirra málsástæðna sem málsaðilar hafa uppi við rekstur máls. Samkvæmt þessu tók Hæstiréttur, og héraðsdómur þar áður, enga afstöðu til þess hvort vöktunin og vinnsla persónuupplýsinga í tengslum við hana hefði verið lögmæt. Umræddur dómur hefur því ekkert fordæmisgildi fyrir úrlausn þessa máls.
Af því og öðru því sem hér hefur verið rakið er þannig ljóst að með umræddri vöktun var brotið gegn 3. mgr. 3. gr. reglna nr. 888/2004 um að rafræn vöktun megi aldrei fara fram með leynd nema að fengnum úrskurði dómara eða samkvæmt sérstakri lagaheimild.
Af öllu framangreindu er ljóst að við framkvæmd þeirrar vöktunar, sem fjallað hefur verið um í máli þessu, og vinnslu persónuupplýsinga í tengslum við hana braut D gegn 1. mgr. 7. gr., 20. gr. og 24. gr. laga nr. 77/2000 og 3. mgr. 3. gr. og 7.–9. gr. reglna nr. 888/2004.
Rafræn vöktun, sem fram fór með leynd á vegum D á veitingastaðnum E, . . ., Reykjavík, braut gegn gildandi reglum þar sem hvorki var aðvarað um hana, settar reglur né veitt nauðsynleg fræðsla.