Rafræn vöktun af hálfu Votta Jehóva

Mál nr. 2021020413

29.11.2022

Úrskurður

um kvörtun yfir eftirlitsmyndavélum við húsnæði í Hraunbæ í Reykjavík og meðferð myndefnis úr þeim í máli nr. 2021020413:

I.
Málsmeðferð

Hinn 11. febrúar 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir rafrænni vöktun við húsnæði Votta Jehóva við Hraunbæ í Reykjavík.

Persónuvernd bauð Vottum Jehóva að tjá sig um kvörtunina með bréfi, dags 23. júní 2021, og bárust svör þann 4. ágúst 2021. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Votta Jehóva með bréfi, dags. 23. nóvember 2021, og bárust þær með bréfi, dags. 6. desember 2021. Með bréfi, dags. 12. janúar 2022, bauð Persónuvernd Vottum Jehóva að tjá sig um bréf kvartanda og bárust svör með bréfi, dags. 3. febrúar 2022.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

___________________

Ágreiningur er annars vegar um sjónsvið eftirlitsmyndavéla á vegum Votta Jehóva við Hraunbæ í Reykjavík, og hins vegar um það að starfsmaður á vegum Votta Jehóva hafi sýnt óviðkomandi aðilum myndskeið úr eftirlitsmyndavélakerfinu.

Kvartandi telur að fram fari ólögmæt rafræn vöktun af hálfu Votta Jehóva við húsnæði þeirra í Hraunbæ í Reykjavík. Búið sé að setja upp fjölda eftirlitsmyndavéla við húsnæðið sem beint sé að bílastæðum, göngustígum, lóðum og umferðargötum við Hraunbæ. Engar merkingar eða viðvaranir séu til staðar um að vöktun fari fram. Þá hafi einstaklingur af hálfu Votta Jehóva sýnt fólki í nágrenninu myndskeið úr eftirlitsmyndavélakerfinu í þeim tilgangi að hafa uppi á ónafngreindum einstaklingi.

Vottar Jehóva telja að vöktunin sé nauðsynleg til að gæta að öryggi byggingar sinnar þar sem skemmdarverk hafi verið unnin á henni. Um sé að ræða átta eftirlitsmyndavélar og sjónsvið þeirra nái fyrst og fremst til lóðar sem tilheyri húsnæðinu. Í kjölfar kvörtunarinnar hafi verið hafist handa við að skyggja þann hluta sjónsviðs vélanna sem náði út fyrir lóðarmörkin. Þá séu límmiðar með merkingum um vöktunina á ljósastaurum sem staðsettir séu á lóðinni og á útihurðum á byggingunni. Myndefni sem verði til við vöktunina sé varðveitt í tölvu á staðnum og eyðist eftir sjö daga. Myndefnið sé aðeins skoðað ef atvik komi upp sem tengist tilgangi vöktunarinnar og aðgangur að myndefninu sé varinn með lykilorði sem aðeins þeir sem hafi heimild til hafi aðgang að. Einstaklingur á vegum Votta Jehóva hafi einungis sýnt myndskeiðið, sem vísað sé til í kvörtuninni, tveimur einstaklingum sem á því komu fram. Myndskeiðið hafi síðan verið afhent lögreglu.

II.
Niðurstaða
1.
Lögmæti vinnslu

Mál þetta lýtur annars vegar að rafrænni vöktun Votta Jehóva við húsnæði í Hraunbæ í Reykjavík og hins vegar að því að óviðkomandi einstaklingum hafi verið sýnt myndskeið úr eftirlitsmyndavélakerfi safnaðarins. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Vottar Jehóva teljast vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Til að rafræn vöktun sé heimil verður hún að fara fram í málefnalegum tilgangi, sbr. 1. mgr. 14. gr. laga nr. 90/2018. Samkvæmt 2. mgr. sömu lagagreinar skal vinnsla persónuupplýsinga í tengslum við rafræna vöktun uppfylla ákvæði laganna. Þá ber að líta til reglna nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, sbr. 5. mgr. 14. gr. laga nr. 90/2018. Samkvæmt 4. gr. reglnanna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, svo sem í þágu öryggis eða eignavörslu. Samkvæmt 5. gr. reglnanna skal þess gætt, við alla rafræna vöktun, að ekki sé gengið lengra en brýna nauðsyn beri til miðað við tilgang vöktunarinnar.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallaréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. lagaákvæðisins og f-lið 1. mgr. reglugerðarákvæðisins. Við mat á því hvort umrædd heimild geti átt við þarf þremur skilyrðum að vera fullnægt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem vísað er til. Ábyrgðaraðili kann að hafa lögmæta hagsmuni af því að vernda eignir sínar með uppsetningu eftirlitsmyndavéla gegn innbroti, þjófnaði eða skemmdum. Í þeim tilvikum nægja ekki vangaveltur ábyrgðaraðila um mögulega hættu. Raunveruleg hætta þarf að steðja að áður en vöktun hefst, svo sem að skemmdir hafi orðið á eignum eða alvarleg atvik hafi átt sér stað. Það er ábyrgðaraðila að sýna fram á að svo sé og skilyrðin þannig uppfyllt.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins), að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.), og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Persónuvernd telur að almennt megi líta svo á að ábyrgðaraðila sé heimilt, með stoð í 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, að vakta yfirráðasvæði sitt, þ.e. innan lóðar sinnar, í öryggis- og eignavörslutilgangi að því gefnu að vöktunin samrýmist að öðru leyti ákvæðum reglugerðarinnar, laganna og reglum settum með stoð í þeim. Vöktun ábyrgðaraðila á svæði innan lóðamarka gat því stuðst við áðurnefnda vinnsluheimild. Þá verður ekki séð að sú vöktun hafi farið í bága við önnur ákvæði laganna.

Vöktun á almannafæri er hins vegar almennt eingöngu á færi lögreglunnar nema sérstök sjónarmið eigi við sem réttlæta slíka vöktun af hálfu einkaaðila. Ábyrgðaraðilar kunna þannig að hafa lögmæta hagsmuni af því að vakta svæði utan síns yfirráðasvæðis séu skilyrði þar um fyrir hendi, meðal annars með tilliti til yfirvofandi hættu sem að þeim eða eignum þeirra steðjar og að því gefnu að vöktun utan yfirráðasvæðis ábyrgðaraðila teljist nauðsynleg til þess að mæta þeirri hættu. Þannig þarf ávallt að leggja mat á það hvort hagsmunir séu til staðar sem réttlæta vöktun út fyrir yfirráðasvæði ábyrgðaraðila, eða hvort vöktun innan yfirráðasvæðis ábyrgðaraðila telst nægileg til þess að tilganginum sé náð. Það er mat Persónuverndar að þrátt fyrir að hægt sé að fallast á að ábyrgðaraðilum sé heimilt að vakta sitt yfirráðasvæði, þá hafi ábyrgðaraðilar eins og hér háttar til ekki sýnt fram á nauðsyn þess að vakta svæði utan yfirráðasvæðis þeirra sjálfra til að ná tilgangi vöktunarinnar. Verður því ekki talið að umrædd vöktun, að því leyti sem hún náði til svæða utan yfirráðasvæðis ábyrgðaraðila, hafi getað byggst á 6. tölul. 9. gr. laga 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar. Þegar af þeirri ástæðu telst vöktunin ekki samrýmast lögum nr. 90/2018 og reglugerð (ESB) 2016/679.

Við meðferð málsins hjá Persónuvernd hafa Vottar Jehóva lagt fram skjáskot af sjónsviði eftirlitsmyndavélanna við Hraunbæ í Reykjavík. Af þeim skjáskotum má ráða að búið sé að skyggja þann hluta sjónsviðsins sem náði út fyrir yfirráðasvæði Votta Jehóva, þ.e. út fyrir lóðamörk. Að mati Persónuverndar hafa Vottar Jehóva því gert fullnægjandi úrbætur á sjónsviði eftirlitsmyndavéla við Hraunbæ í Reykjavík. Er því ekki tilefni til að beina fyrirmælum að ábyrgðaraðila um úrbætur, eins og hér háttar til.

Af hálfu kvartanda er því jafnframt haldið fram að einstaklingur á vegum Votta Jehóva hafi sýnt óviðkomandi einstaklingum í nágrenninu myndskeið úr eftirlitsmyndavélakerfi safnaðarins. Í svörum Votta Jehóva kemur hins vegar fram að myndskeiðið hafi eingöngu verið sýnt einstaklingum sem komi fram á myndskeiðinu. Ekki hefur komið fram að kvartandi hafi verið á umræddu myndskeiði og liggur því ekki fyrir að hann uppfylli skilyrði aðildar, samkvæmt almennum reglum stjórnsýsluréttarins og 2. mgr. 39. gr. laga nr. 90/2018, hvað þetta umkvörtunarefni varðar. Jafnframt er til þess að líta að eins og mál þetta er vaxið telur Persónuvernd ekki tilefni til þess að stofnunin beiti valdheimildum sínum til þess að rannsaka nánar hvort myndefni úr eftirlitsmyndavélum, af kvartanda eða öðrum, hafi verið sýnt óviðkomandi aðilum, en orð stendur á móti orði um það. Er það því niðurstaða Persónuverndar að ósannað sé að brotið hafi verið gegn rétti kvartanda samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hvað varðar notkun myndefnis úr eftirlitsmyndavélum ábyrgðaraðila.

Ú r s k u r ð a r o r ð:

Rafræn vöktun Votta Jehóva við Hraunbæ í Reykjavík samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679.

Ósannað er að Vottar Jehóva hafi unnið með upptökur úr eftirlitsmyndavélakerfi safnaðarins á þann hátt að brotið hafi verið gegn lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Persónuvernd, 29. nóvember 2022

Helga Sigríður Þórhallsdóttir                           Rebekka Rán Samper