Rafræn vöktun á athafnasvæði fyrirtækis

Mál nr. 2022040797

16.11.2022

Úrskurður

 

um kvörtun yfir rafrænni vöktun [X] í máli nr. 2022040797:

I.
Málsmeðferð

Hinn 25. apríl 2022 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir rafrænni vöktun [X] að […]. Einkum er kvartað yfir því að sjónsvið eftirlitsmyndavéla fyrirtækisins nái út fyrir yfirráðasvæði þess og taki meðal annars til athafnasvæðis kvartanda að […] sem og umferðar um veg sem kvartandi fari um og sé ekki á vegum fyrirtækisins.

Persónuvernd bauð [X] að tjá sig um kvörtunina með bréfi, dags. 23. júní 2022, og bárust svör fyrirtækisins með tölvupósti 1. júlí s.á. ásamt sex ljósmyndum. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör [X] með bréfi, dags. 12. s.m., og bárust þær með tölvupósti 20. s.m. Persónuvernd sendi [X] tölvupóst þann 11. október s.á. og óskaði eftir frekari skýringum. Svör [X] bárust sama dag ásamt einni ljósmynd. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Ágreiningur er um hvort [X] fari að persónuverndarlögum við rafræna vöktun að [...], þ.e. hvort vöktun fyrirtækisins taki til svæða utan yfirráðasvæðis þess sem það hafi ekki heimild til að vakta, þar á meðal athafnasvæðis kvartanda að […] og vegar sem kvartandi fer um.

Kvartandi, sem rekur athafnasvæði í samkeppni við [X], telur að sjónsvið eftirlitsmyndavéla fyrirtækisins taki til yfirráðasvæðis hans að […] og yfirráðasvæða annarra að […]. Auk þess telur hann vöktunina taka til vegar sem hann fari um daglega ásamt hundruðum annarra.

[X] byggir á að rafræn vöktun á yfirráðasvæði fyrirtækisins fari fram í öryggis- og eignavörsluskyni, þar sem menn hafi komið á svæðið og stolið varahlutum úr haug og gámum [X]. Um sex eftirlitsmyndavélar sé að ræða. Tvær þeirra séu gamlar og óvirkar myndavélar sem hafi ekki verið fjarlægðar vegna fælingarmáttar þeirra en fjórar eftirlitsmyndavélanna séu virkar og í notkun. Ein þeirra sé staðsett inni í skúr en þrjár á útisvæði á lóð fyrirtækisins. Eingöngu sé um myndupptöku að ræða og engin hljóðupptaka fari fram. Merkingar séu við innkeyrslu að svæðinu og á gluggum skúrsins. Á merkingum standi annars vegar „Myndavélavöktun CCTV, upptaka í gangi“ og hins vegar sé merking með mynd af eftirlitsmyndavél ásamt textanum „Viðvörun, upptaka í gangi“.

II.
Niðurstaða
1.
Lagaumhverfi – rafræn vöktun

Mál þetta lýtur að rafrænni vöktun fyrirtækis með eftirlitsmyndavélum. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. [X] telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 14. gr. laga nr. 90/2018. Í 1. mgr. ákvæðisins er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirra starfsemi sem þar fer fram. Einnig verður að gæta að því að með merki eða á annan áberandi hátt sé gert glögglega viðvart um vöktunina og hver sé ábyrgðaraðili hennar, sbr. 4. mgr. sömu greinar.

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að vinnsla slíkra upplýsinga sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 9. gr. laga nr. 90/2018 og 6. gr. reglugerðar (ESB) 2016/679, að vera fullnægt. Eins og hér háttar til kemur einkum til skoðunar 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra.

Til þess að umrædd heimild geti átt við þarf þremur skilyrðum að vera fullnægt. Í fyrsta lagi þarf vinnslan að fara fram í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna, en við mat á því þarf að kanna hvort hægt er að ná sama markmiði með öðrum og vægari úrræðum. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem vísað er til.

Ábyrgðaraðili kann að hafa lögmæta hagsmuni af því að vernda eignir sínar og öryggi. Í þeim tilvikum nægja ekki vangaveltur ábyrgðaraðila um mögulega hættu heldur þarf raunveruleg hætta að steðja að áður en vöktun hefst, en leiða má líkur að því að svo sé til að mynda þegar skemmdir hafa orðið á eignum eða alvarleg atvik hafa átt sér stað. Það er ábyrgðaraðila að sýna fram á að svo sé og að skilyrðin séu þannig uppfyllt, sbr. m.a. úrskurði Persónuverndar í málum nr. 2020010548 og 2020010691.

Þá ber að líta til reglna nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 4. gr. reglnanna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, svo sem í þágu öryggis eða eignavörslu. Samkvæmt 5. gr. reglnanna skal þess gætt við alla rafræna vöktun að ekki sé gengið lengra en brýna nauðsyn ber til miðað við tilgang vöktunarinnar. Gæta skal að einkalífsrétti þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skal því ávallt gengið úr skugga um hvort markmiði með vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

1.1
Rafræn vöktun [X]

Almennt verður að líta svo á að ábyrgðaraðila sé heimil vöktun á yfirráðasvæði sínu, til dæmis innan lóðar við fasteign sína. Vöktun svæða á almannafæri af hálfu einkaaðila telst hins vegar almennt óheimil nema sérstök sjónarmið eigi við sem réttlæti slíka vöktun. Líkt og að framan greinir setti [X] upp eftirlitsmyndavélar í öryggis- og eignavörsluskyni þar sem orðið hefði vart við þjófnað úr haug og gámum fyrirtækisins. Engin tilkynning til lögreglu um þjófnað eða lögregluskýrsla um atvikin fylgdu skýringum ábyrgðaraðila. Með bréfum hans fylgdu hins vegar sjö myndir, þar á meðal þrjú skjáskot úr eftirlitsmyndavélum fyrirtækisins („Myndavél 2, Svaedi“, „Myndavél 3, Innkeyrsla“ og „Myndavél 4, Efnislager“) sem staðsettar eru á útisvæði þess og sýna skjáskotin hvernig sjónsvið þeirra er. Á framangreindum skjáskotum úr myndavélum númer 2 og 4 má sjá, auk yfirráðasvæðis ábyrgðaraðila, fasteignir annarra, bæði byggingar og landsvæði. Á skjáskoti úr myndavél númer 3 sem merkt er „Myndavél 3, Innkeyrsla“ má sjá, auk yfirráðasvæðis ábyrgðaraðila, stóran hluta annars athafnasvæðis, […], en einnig gáma, bifreiðar og vinnutæki sem þar hefur verið lagt auk hluta vegar sem aðgreinir umrædd athafnasvæði.

Vöktun á almannafæri er almennt eingöngu á hendi lögreglunnar nema sérstök sjónarmið eigi við sem réttlæti slíka vöktun á hendi einkaaðila. Sem fyrr segir kunna ábyrgðaraðilar þannig að hafa lögmæta hagsmuni af því að vakta svæði utan síns yfirráðasvæðis séu skilyrði þar að lútandi fyrir hendi, meðal annars með tilliti til yfirvofandi hættu sem að þeim eða eignum þeirra steðjar. Hins vegar þarf ávallt að leggja mat á það hvort hagsmunir séu til staðar sem réttlæta vöktun út fyrir yfirráðasvæði ábyrgðaraðila, eða hvort vöktun innan yfirráðasvæðis ábyrgðaraðila telst nægileg til þess að tilganginum sé náð.

Athafnasvæði ábyrgðaraðila og kvartanda liggja nærri hvort öðru, þ.e. [X] hefur athafnasvæði að […], en kvartandi hefur athafnasvæði að […]. Í því máli sem hér er til umfjöllunar er kvartað yfir því að vöktun sé beint bæði að athafnasvæði kvartanda og svæði á almannafæri sem kvartandi fer um daglega. Skjáskot úr eftirlitsmyndavélum ábyrgðaraðila sýna að sjónsvið eftirlitsmyndavélar 3 nær að hluta til út fyrir yfirráðasvæði ábyrgðaraðila og tekur það þannig einnig til athafnasvæðis kvartanda að hluta og jafnframt til vegar á almannafæri. Þá sést á skjáskotum úr myndavélum 2 og 4 er fylgdu bréfi ábyrgðaraðila að vöktun þeirra eftirlitsmyndavéla nær jafnframt til fasteigna í annarra eigu.

Það er mat Persónuverndar að þrátt fyrir að hægt sé að fallast á að ábyrgðaraðila sé heimilt að vakta sitt yfirráðasvæði þá hafi ábyrgðaraðili, eins og hér háttar til, ekki sýnt fram á nauðsyn þess að vakta svæði utan yfirráðasvæðis hans sjálfs til að ná tilgangi vöktunarinnar. Er þá m.a. litið til þess að þjófnaður sem ábyrgðaraðili vísar til virðist hafa átt sér stað innan yfirráðasvæðis hans. Verður því ekki talið að umrædd vöktun, með því sjónsviði sem vöktunin tekur nú til, geti byggst á 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar ESB) 2016/679. Á það við um allar eftirlitsmyndavélar á útisvæði fyrirtækisins. Auk þess er það mat Persónuverndar að ekki hafi verið gengið úr skugga um hvort markmiðinu með vöktun ábyrgðaraðila hafi verið unnt að ná með öðrum og vægari raunhæfum úrræðum, sbr. 5. gr. reglna nr. 837/2006, svo sem með skyggingu eða skermun myndavélanna.

Samkvæmt framansögðu er það mat Persónuverndar að vöktunin samrýmist ekki lögum nr. 90/2018 og reglugerð (ESB) 2016/679.

1.2.
Merkingar og fræðsla um rafræna vöktun

Í 4. mgr. 14. gr. laga nr. 90/2018 er mælt fyrir um að þegar rafræn vöktun fari fram á vinnustað eða á almannafæri skuli með merki eða á annan áberandi hátt gera glögglega viðvart um vöktunina og hver sé ábyrgðaraðili hennar. Jafnframt ber að fræða þá sem sæta vöktun, þar á meðal starfsmenn á vinnustöðum, um hana í samræmi við þau fyrirmæli sem fram koma í 10. gr. reglna nr. 837/2006, en að auki gilda almennar kröfur 13. gr. reglugerðar (ESB) 2016/679, sbr. 2. mgr. 17. gr. laga nr. 90/2018. Er hér um að ræða fræðslu sem veita ber áður en hlutaðeigandi einstaklingur sætir vöktun og þarf hún að gefa skýra mynd af vöktuninni, þ. á m. tilgangi hennar, hvernig hún fari fram, hvernig aðgangi að vöktunarefni sé háttað og hversu lengi það sé varðveitt. Að auki á sá sem sætt hefur rafrænni vöktun rétt á að skoða gögn sem til verða um hann við vöktunina. Þá hefur Evrópska persónuverndarráðið gefið út leiðbeiningar nr. 3/2019 um rafræna vöktun og merkingar vegna hennar þar sem mælst er til að auk upplýsinga um ábyrgðaraðila vöktunarinnar komi fram á merkingunum hver tilgangurinn vöktunarinnar sé ásamt tilvísun á frekari upplýsingar um réttindi þeirra sem vöktuninni sæta.

Af gögnum málsins má ráða að ekki komi fram á merkingunum um rafræna vöktun fyrirtækisins hver ábyrgðaraðili vöktunarinnar er, líkt og kveðið er á um í 4. mgr. 14. gr. laga nr. 90/2018, og teljast merkingar [X] um rafræna vöktun því ekki fullnægjandi.

3.
Niðurstaða

Að öllu framangreindu virtu er niðurstaða Persónuverndar sú að rafræn vöktun [X] að [...] samrýmist ekki lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerð (ESB) 2016/679, og reglum nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Með vísan til 6. og 7. tölul. 42. gr. laga nr. 90/2018, sbr. f- og g- lið 2. mgr. 58. gr. reglugerðarinnar, er hér með lagt fyrir [X] að láta af allri rafrænni vöktun sem beinist að svæðum utan eigin yfirráðasvæðis fyrirtækisins. Persónuvernd bendir á að eftir atvikum er unnt að verða við fyrrgreindum fyrirmælum með því að nota skyggingu á þann hluta sjónsviðsins sem nær til svæða utan yfirráðasvæðis ábyrgðaraðila, eða með því að breyta sjónarhorni eftirlitsmyndavélanna þannig að sjónsviðið nái ekki út fyrir það svæði. Einnig er lagt fyrir [X] að uppfæra merkingar sínar um rafræna vöktun þannig að þær samrýmist 4. mgr. 14. gr. laga nr. 90/2018.

Ú r s k u r ð a r o r ð:

Rafræn vöktun [X] að [...] samrýmist ekki ákvæðum laga nr. 90/2018, reglugerðar (ESB) 2016/679 og reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Í samræmi við þessa niðurstöðu, og með vísan til 6. og 7. tölul. 42. gr. laga nr. 90/2018, sbr. f- og g-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, skal [X] láta af allri rafrænni vöktun, sem beinist að svæðum utan eigin yfirráðasvæðis fyrirtækisins. Einnig er lagt fyrir [X] að uppfæra merkingar sínar um rafræna vöktun þannig að þær samrýmist 4. mgr. 14. gr. laga nr. 90/2018. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 14. desember 2022.

Persónuvernd, 16. nóvember 2022

Helga Sigríður Þórhallsdóttir                    Rebekka Rán Samper