Rafræn vöktun ekki í samræmi við lög

Mál nr. 2021020423

11.10.2021

Úrskurður

Hinn 27. september 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2021020423.

I.

Málsmeðferð

1.

Tildrög máls

Hinn 15. febrúar 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir notkun eftirlitsmyndavéla af hálfu nágranna hans að [heimili sínu]. Við meðferð málsins hefur komið fram að íbúar að […] eru [B] og [C].

Með bréfi, dags. 15. júní 2021, var íbúum að […] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svör þeirra bárust með tölvupósti 21. júní 2021, ásamt skjáskotum úr eftirlitsmyndavélum við hús þeirra. 

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

Sjónarmið kvartanda

Í kvörtun málsins segir að nágrannar kvartanda að […] séu með myndavél á bakhlið hússins, sem beint sé inn í garð, stofu og svefnherbergi kvartanda. Íbúar að […] hafi tjáð kvartanda að myndavélinni sé beint út að götu en kvartanda virðist sjónarhorn myndavélarinnar vera 180 gráður og ná inn í íbúð hans að […].

3.

Sjónarmið íbúa að […]

Í svörum íbúa að […] kemur fram að myndavélarnar séu tvær og að þær séu óhreyfanlegar. Þær séu fyrst og fremst til þess að vakta hús þeirra og séu hluti af öryggiskerfi, sem sé stillt þannig að þau fá skilaboð í síma ef einhver kemur inn á lóð þeirra á ákveðnum tíma. Myndavélarnar séu á upptöku allan sólarhringinn. Þær taki upp í um það bil sex vikur en byrji þá að taka yfir elsta efnið. Ef brotist er inn eða einhver kemur inn á þetta afmarkaða svæði á tilteknum tíma vistist efnið í skýi í 30 daga og „detti svo út“. Öryggiskerfið sé frá Securitas og vöktunarlímmiðar séu í flestum gluggum á jarðhæðinni þar sem fram komi að húsið sé vaktað af fyrirtækinu. Af meðfylgjandi skjáskotum má sjá að myndsvið annarrar myndavélarinnar nær yfir pall við húsið, nærliggjandi hús og bílastæði þar við og að myndsvið hinnar nær yfir hluta lóðar við húsið og að litlu leyti yfir glugga á nærliggjandi húsi.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4 gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul 4. gr. reglugerðarinnar.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Samkvæmt 2. mgr. 4. gr. laga nr. 90/2018, sbr. c-lið 2. mgr. 2. gr. reglugerðarinnar, gilda lögin og reglugerðin ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Í samræmi við úrskurð Persónuverndar frá 17. desember 2020 í máli nr. 2020010548 getur rafræn vöktun sem nær út fyrir lóðarmörk ábyrgðaraðila, jafnvel eingöngu að hluta, ekki fallið undir framangreint undanþáguákvæði.

Af framangreindum ákvæðum leiðir að mál þetta varðar rafræna vöktun sem fellur undir gildissvið laganna og þar með valdsvið Persónuverndar.

Eins og hér háttar til teljast [B] og [C] vera ábyrgðaraðilar að umræddri vinnslu, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðarinnar.

2.

Niðurstaða

Til að rafræn vöktun sé heimil verður hún að fara fram í málefnalegum tilgangi auk þess sem rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, er háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram, sbr. 1. mgr. 14. gr. laga nr. 90/2018. Samkvæmt 2. mgr. sömu lagagreinar skal vinnsla persónuupplýsinga í tengslum við rafræna vöktun uppfylla ákvæði laganna.

Öll vinnsla persónuupplýsinga verður að byggjast á heimild samkvæmt 9. gr. laga nr. 90/2018 og 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Eins og hér háttar til kemur þá einkum til skoðunar 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Við mat á því hvort umrædd heimild geti átt við þarf þremur skilyrðum að vera fullnægt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna ábyrgðaraðila eða þriðja aðila sem fá persónuupplýsingarnar í hendur. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Við það mat þarf að kanna hvort að hægt sé að ná sama markmiði með öðrum og vægari úrræðum. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem vísað er til. Ábyrgðaraðili rafrænnar vöktunar þarf að sýna fram á að framangreindum skilyrðum sé fullnægt, sbr. fyrrgreindan úrskurð Persónuverndar í máli nr. 2020010548.

Þá er að líta til reglna nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, sbr. 5. mgr. 14. gr. laga nr. 90/2018. Samkvæmt 4. gr. reglnanna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, svo sem í þágu öryggis eða eignavörslu. Samkvæmt 5. gr. reglnanna skal þess gætt, við alla rafræna vöktun, að ekki sé gengið lengra en brýna nauðsyn beri til miðað við tilgang vöktunarinnar. Gæta skal að einkalífsrétti þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skal því ávallt gengið úr skugga um hvort markmiði með vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

Með hliðsjón af framangreindum ákvæðum hefur almennt verið talið að einstaklingum sé heimilt að vakta yfirráðasvæði sitt, t.d. innan lóðar við fasteign sína, en að vöktun á almannafæru skuli eingöngu vera á hendi lögreglunnar nema sérstök sjónarmið eigi við sem réttlæti slíka vöktun á hendi einkaaðila.

Í því máli sem hér er til umfjöllunar liggur fyrir að rafræn vöktun ábyrgðaraðila er í öryggis- og eignavörslutilgangi. Þá liggja fyrir skjáskot úr tveimur eftirlitsmyndavélum að […] sem sýna að myndsvið þeirra nær að hluta til út fyrir lóð ábyrgðaraðila og yfir nærliggjandi hús og bílastæði þar við. Með vísan til alls þess sem að framan er rakið er það niðurstaða Persónuverndar að ábyrgðaraðilar geta talist hafa lögmæta hagsmuni af rafrænni vöktun í framangreindum tilgangi en að þau hafa ekki sýnt fram á nauðsyn þess að vakta svæði utan lóðar þeirra til að ná tilgangi vöktunarinnar. Getur vinnsla persónuupplýsinga sem felst í þeirri vöktun því ekki byggst á 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar. Þegar af þeirri ástæðu telst vöktunin ekki samrýmast lögum nr. 90/2018 og reglugerð (ESB) 2016/679 og þar af leiðandi reglum nr. 837/2006 um rafræna vöktun.

Með vísan til 6. og 7. tölul. 42. gr. laga nr. 90/2018, sbr. f- og g- liði 2. mgr. 58. gr. reglugerðarinnar, er hér með lagt fyrir ábyrgðaraðila að láta af allri rafrænni vöktun, sem beinist út fyrir lóð við hús þeirra að […]. Persónuvernd bendir á að það kann að vera unnt að verða við þessum fyrirmælum með því að nota skyggingu á þann hluta myndsviðsins sem nær til svæða utan lóðar ábyrgðaraðila, eða með því að breyta sjónarhorni eftirlitsmyndavélanna þannig að myndsviðið nái ekki út fyrir það svæði.

Ábyrgðaraðilar skulu senda Persónuvernd staðfestingu á því að farið hafi verið að þessum fyrirmælum eigi síðar en 18. október 2021.

Ú r s k u r ð a r o r ð:

Rafræn vöktun [B] og [C] við […] samrýmist ekki ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerðar (ESB) 2016/679 og reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.
Ábyrgðaraðilar skulu láta af rafrænni vöktun, sem beinist út fyrir lóð við hús þeirra að […].
Ábyrgðaraðilar skulu senda Persónuvernd staðfestingu á því að farið hafi verið að þessum fyrirmælum eigi síðar en 18. október 2021.

Í Persónuvernd, 27. september 2021,

Helga Þórisdóttir                                                   Valborg Steingrímsdóttir