Rafræn vöktun hjá Gluggasmiðjunni

Mál nr. 2017/43

18.3.2019

Úrskurður

Þann 15. febrúar 2019 komst Persónuvernd að svohljóðandi niðurstöðu í máli nr. 2017/43:

I.

Málsmeðferð

1.

Tildrög máls

Þann 5. janúar 2017 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) vegna rafrænnar vöktunar Gluggasmiðjunnar ehf. með vinnuskilum starfsmanna og ófullnægjandi merkinga í tengslum við vöktunina. Í kvörtuninni segir m.a. að myndavélar hafi verið settar upp í fyrirtækinu snemma á árinu 2015 og að haldinn hafi verið fundur þar sem starfsmönnum hafi verið lofað að myndavélarnar yrðu ekki notaðar gegn þeim. Kvartandi telji hins vegar að myndefnið hafi verið notað gegn sér og öðrum starfsmönnum í vinnusal og að framkvæmdastjóri hafi staðfest það í samtali við sig. Þá segir í kvörtun að engar merkingar séu um vélarnar, hvorki utan- né innanhúss.

2.

Bréfaskipti

Með bréfi, dags. 23. mars 2017, var Gluggasmiðjunni boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var sérstaklega óskað upplýsinga um staðsetningu vélanna, tilgang vöktunarinnar og hvernig merkingum væri háttað. Í svarbréfi Gluggasmiðjunnar, dags. 6. apríl 2017, kemur meðal annars fram að Gluggasmiðjan hafni ásökunum kvartanda um að myndavélarnar séu notaðar gegn starfsmönnum fyrirtækisins eða í nokkrum öðrum tilgangi en að vakta þjófnað, slys og óhöpp. Þá segir að Gluggasmiðjan hafi 11 myndavélar víðs vegar á starfsstöð sinni. Upptökur séu aðeins skoðaðar ef sterkur grunur leiki á um að þjófnaður, slys eða óhapp hafi átt sér stað. Myndavélarnar séu staðsettar í eftirfarandi rýmum:

1. timburdeild, og sé ætlað að vakta þá smávöru sem sé í rýminu auk þess sem þar sé ein helsta hættan á slysum innan fyrirtækisins;

2. innri lager, og sé ætlað að vakta aðgangsdyr inn á smávörulager;

3. norðurhluta áldeildar; og sé ætlað að vakta állager;

4. við starfsmannainngang; og sé ætlað að vakta þann inngang þar sem stjórnstöð öryggiskerfis sé staðsett;

5. vélasal, og sé ætlað að vakta inngang inn í þann sal að norðan, þar sem sé ein helsta hættan á slysum;

6. suðurhluta áldeildar, og sé ætlað að vakta smávöru og umgang viðskiptavina;

7. á suðurgafli hússins, og sé ætlað að vakta vöruafhendingar;

8. á vesturgafli hússins, og sé ætlað að vakta innkeyrslu;

9. á norðurgafli hússins, og sé ætlað að vakta inngangshurð inn á lager.

Einnig segir í bréfinu að Gluggasmiðjan fallist á að viðvörunum um rafræna vöktun sé illa komið fyrir og að þær samrýmist ekki 24. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga sem í gildi voru þegar svarbréfið barst Persónuvernd, sbr. samhljóða ákvæði í núgildandi 4. mgr. 14. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Fram kemur að Gluggasmiðjan áskilji sér frest til tveggja vikna frá dagsetningu bréfsins til að bæta úr því. Að auki segir að upptökur séu geymdar á hörðum diski í læstu rými sem aðeins framkvæmdastjóri og eigendur hafi aðgang að og sé hann læstur með lykilorði sem einungis framkvæmdastjóri og verksmiðjustjóri hafi vitneskju um. Þá segir að stór hluti starfsmanna hafi verið látinn óformlega vita að til stæði að setja upp myndavélakerfi á vinnusvæði Gluggasmiðjunnar, en þegar uppsetningu var lokið hafi starfsmönnum verið tilkynnt um það á fundi.

Með bréfi, dags. 22. maí 2017, ítrekuðu með bréfi, dags. 11. júlí s.á., var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Gluggasmiðjunnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf kvartanda barst með tölvupósti, dags. 13. júlí 2017. Þar segir að staðan sé óbreytt og að engar merkingar séu til staðar um staðsetningu myndavéla.

3.

Vettvangsathugun Persónuverndar

Með bréfi, dags. 21. janúar 2019, var Gluggasmiðjunni tilkynnt um fyrirhugaða vettvangsathugun Persónuverndar. Vettvangsathugunin fór fram í húsakynnum Gluggasmiðjunnar 22. s.m. að viðstöddum fjármálastjóra fyrirtækisins og verkstjóra. Í vettvangsathuguninni voru allar eftirlitsmyndavélarnar skoðaðar, sem og myndefni úr þeim, en sem fyrr greinir voru vélarnar 11 talsins, þar af fjórar utandyra. Allar myndavélarnar voru með fast sjónsvið að einni undanskilinni, en eftirlitsmyndavél sem staðsett var á vesturgafli hússins var með breytilegt sjónsvið sem hægt var að stýra. Með henni var mögulegt að fylgjast með bílastæði við húsið auk umferðar um Viðarhöfða og aðrein frá Viðarhöfða að Vesturlandsvegi. Þá náði sjónsvið annarra eftirlitsmyndavéla, sem staðsettar voru utanhúss, að nokkru leyti einnig yfir lóðamörk.

Í vettvangsskoðuninni voru merkingar um rafræna vöktun sérstaklega skoðaðar. Engar merkingar reyndust vera við innkeyrslu á lóð fyrirtækisins eða við innganga í húsið. Þá var lítið um merkingar innandyra, en nokkur dæmi voru um litla límmiða á spænsku þar sem kom fram að um væri að ræða vaktað svæði. Ekki kom fram á þeim hver væri ábyrgðaraðili vöktunarinnar. Fram kom að þegar myndavélarnar voru settar upp seint á árinu 2016 hefði verið haldinn fundur með öllum starfsmönnum félagsins þar sem meðal annars hefði komið fram að tilgangur vöktunarinnar væri öryggis- og eignavarsla. Engin gögn voru til um fundinn og ekki var skrásett hverjir sátu hann. Auk þess var upplýst að engar reglur eða skrifleg fræðsla um vöktunina væri til hjá fyrirtækinu, svo sem í starfsmannahandbók, og að ekki hefði verið hugað sérstaklega að slíkri fræðslu síðan fyrrgreindur fundur var haldinn. Að lokum kom fram að myndavélarnar væru með hreyfiskynjara og tækju þær upp þegar þær næmu hreyfingu. Efnið sem yrði til við vöktunina væri varðveitt í 20 til 30 daga, en það færi eftir því hversu mikil hreyfing væri á svæðinu og hversu mikið myndefni væri tekið upp.

II.

Forsendur og niðurstaða

1.

Lagaskil

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga sem giltu þegar kvörtun þessi barst voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi 15. júlí 2018. Þau lögfestu jafnframt reglugerð (ESB) 2016/679 um persónuvernd, eins og hún var aðlöguð og tekin upp í EES-samninginn. Þar sem kvörtun í máli þessu beinist að vöktun og vinnslu sem enn er viðhöfð, auk þess sem þær reglur laga um persónuvernd sem á reynir hafa ekki breyst efnislega, verður leyst úr málinu á grundvelli laga nr. 90/2018 nema um sé að ræða atvik sem urðu að öllu leyti í tíð eldri laga.

2.

Gildissvið laga nr. 90/2018

Gildissvið laga nr. 90/2018, um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling, en einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laganna. Þá er með vinnslu átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráningu, flokkun, kerfisbindingu, varðveislu, aðlögun eða breytingu, heimt, skoðun, notkun, miðlun með framsendingu, dreifingu eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtengingu eða samkeyrslu, aðgangstakmörkun, eyðingu eða eyðileggingu, sbr. 4. tölulið sömu greinar.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Af framangreindu er ljóst að myndavélaeftirlit það sem Gluggasmiðjan viðhefur er í eðli sínu rafræn vöktun og rafræn vinnsla persónuupplýsinga í skilningi laga nr. 90/2018. Jafnframt er ljóst að það heyrir undir valdsvið Persónuverndar að úrskurða um ágreining um umrædda vöktun og vinnslu, sbr. 2. mgr. 39. gr. laganna.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við þann sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga. Eins og hér háttar til telst Gluggasmiðjan vera ábyrgðaraðili að umræddri vinnslu.

3.

Lagaumhverfi

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 14. gr. laga nr. 90/2018. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram. Einnig verður meðal annars að gæta að því við rafræna vöktun að með merki eða á annan áberandi hátt sé gert glögglega viðvart um vöktunina og hver sé ábyrgðaraðili, sbr. 4. mgr. sömu greinar, sbr. áður 24. gr. laga nr. 77/2000.

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að vinnsla slíkra upplýsinga sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 9. gr. laga nr. 90/2018, að vera fullnægt. Að því marki sem hér kann að vera um viðkvæmar persónuupplýsingar að ræða verður einnig að líta til 11. gr. laganna, en þar er mælt fyrir um viðbótarskilyrði fyrir vinnslu slíkra upplýsinga. Þarf vinnslan þá að fullnægja einhverju þeirra skilyrða, auk einhvers skilyrðanna í 9. gr. laganna. Ætla verður að umrædd vöktun geti haft í för með sér söfnun myndefnis með viðkvæmum persónuupplýsingum, s.s. ef tekin eru upp atvik þar sem einstaklingur verður fyrir líkamstjóni vegna slyss, en upplýsingar þar að lútandi eru viðkvæmar, sbr. b-lið 3. tölul. 3. gr. laga nr. 90/2018.

Það ákvæði 9. gr. laganna, sem hér kemur einkum til álita, er 6. tölul. 1. mgr., þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Af ákvæðum 11. gr. laganna kemur einkum til álita 6. tölul. 1. mgr. um heimild til vinnslu viðkvæmra persónuupplýsinga sem nauðsynleg er til að unnt sé að stofna, hafi uppi eða verja réttarkröfur. Þá er á grundvelli 3. mgr. 14. gr. laganna heimilt í tengslum við framkvæmd rafrænnar vöktunar að safna efni sem verður til við vöktunina, svo sem hljóð- og myndefni, með viðkvæmum persónuupplýsingum og upplýsingum um refsiverða háttsemi ef vöktunin er nauðsynleg og fer fram í öryggis- og eignarvörsluskyni; það efni sem til verður við vöktunina er ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða á grundvelli heimildar í reglum nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun; og því efni sem safnast við vöktunina er eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það.

Að auki þarf, sem ávallt við vinnslu persónuupplýsinga og rafræna vöktun, að vera fullnægt öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018. Í því felst meðal annars að vinnsla persónuupplýsinga skal vera lögmæt, sanngjörn og gagnsæ gagnvart hinum skráða (1. tölul.); að upplýsingar skulu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul., sbr. einnig 1. mgr. 14. gr. laganna); að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu ( 3. tölul.); og að þær skulu varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við þann tilgang (5. tölul.).

Með stoð í 5. mgr. 37. gr. eldri persónuverndarlaga, nr. 77/2000, setti Persónuvernd reglur nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, en reglurnar sækja nú stoð í 5. mgr. 14. gr. laga nr. 90/2018. Samkvæmt 4. gr. reglnanna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, s.s. í þágu öryggis eða eignavörslu. Að auki segir í 5. gr. reglnanna að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Skuli gæta þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum. Þá er í 6. gr. reglnanna mælt fyrir um það skilyrði fyrir vöktun til að mæla vinnu og afköst starfsmanna að hennar sé sérstök þörf, s.s. vegna þess að ekki sé unnt að koma við verkstjórn með öðrum hætti; að án vöktunarinnar sé ekki unnt að tryggja öryggi á viðkomandi svæði, s.s. í ljósi laga og sjónarmiða um hollustuhætti og mengunarvarnir; eða að hún sé nauðsynleg vegna ákvæða kjarasamnings eða annars konar samkomulags um launakjör, s.s. þegar laun eru byggð á afkastatengdu, tímamældu launakerfi. Ljóst er, þegar litið er til meðal annars framangreindra ákvæða, að reynist rafræn vöktun vera nauðsynleg á ekki að skoða vöktunarefni nema að því marki sem málefnalegar ástæður gefa tilefni til. Jafnframt liggur fyrir að ríkar ástæður þyrfti til ef slíkt ætti að gera til að hafa eftirlit með vinnuskilum starfsmanna. Þá er ljóst að ekki eiga fleiri að hafa aðgang að vöktunarefni en þess þurfa.

Í 10. gr. reglnanna er mælt fyrir um skyldu ábyrgðaraðila að rafrænni vöktun til að setja reglur um vöktunina eða veita fræðslu til þeirra sem henni sæta. Samkvæmt 2. mgr. ákvæðisins skulu slíkar reglur eða fræðsla taka til tilgangs vöktunarinnar, hverjir hafi eða kunni að fá aðgang að upplýsingum sem safnast og hversu lengi þær verði varðveittar. Þá kemur fram í 3. mgr. að meðal annars skuli tilgreina í reglum eða fræðslu hvaða búnaður er notaður, t.d. stafrænar eftirlitsmyndavélar, og rétt viðkomandi til að fá að vita hvaða upplýsingar verða til um hann og til að fá upplýsingar leiðréttar eða þeim eytt, sbr. og 12. gr. reglnanna.

4.

Notkun myndefnis sem verður til við rafræna vöktun

Í framkominni kvörtun er því haldið fram að myndefni úr eftirlitsmyndavélum Gluggasmiðjunnar, þar sem kvartandi í málinu kemur fyrir, hafi verið notað til að fylgjast með vinnuskilum hans þrátt fyrir að starfsmenn hafi sérstaklega verið fræddir um að ekki ætti að nota vöktunarefni í þeim tilgangi. Ljóst er að slík notkun vöktunarefnis teldist fela í sér brot gegn lögum nr. 90/2018 og reglum nr. 837/2006, sbr. einkum 1. tölul. 1. mgr. 8. gr. laganna. Til þess er hins vegar jafnframt að líta að uppi er ágreiningur um málsatvik í því sambandi. Getur Persónuvernd ekki, með þeim úrræðum sem henni eru búin, leyst úr þeim ágreiningi. Þeim hluta kvörtunarinnar er því vísað frá.

4.1

Rafræn vöktun með eftirlitsmyndavélum utanhúss

Í vettvangsathugun Persónuverndar mátti sjá að sjónsvið eftirlitsmyndavélar á vesturgafli hússins, sem vaktar svæði utandyra og hægt er að stýra, nær meðal annars yfir svæði utan lóðar Gluggasmiðjunnar, þ.e. svæði á almannafæri og á lóð og bílastæði annarra fyrirtækja í nágrenninu. Þá nær sjónsvið myndavélar sem staðsett er utandyra á suðurhlið húsnæðis Gluggasmiðjunnar, austanmegin, að nokkru leyti út fyrir lóðamörk.

Persónuvernd telur að almennt megi líta svo á að ábyrgðaraðila sé heimil vöktun á yfirráðasvæði sínu, þ.e. innan lóðar sinnar, að því gefnu að vöktunin samrýmist ákvæðum persónuverndarlaga og reglum settum með stoð í þeim. Rafræn vöktun á almannafæri skuli hins vegar einungis vera á hendi lögreglu.

Það er mat Persónuverndar að rafræn vöktun innan yfirráðasvæðis Gluggasmiðjunnar, þ.e. innan lóðamarka, nægi til þess að tryggja öryggi og eignavörslu á svæðinu. Rafræn vöktun utan lóðamarka samrýmist hins vegar ekki fyrrnefndri 5. gr. reglna nr. 837/2006, sbr. einnig 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Breyting á sjónarhorni, staðsetningu og stillingum eftirlitsmyndavélanna tveggja, þannig að þær sýni ekki svæði utan lóðamarka Gluggasmiðjunnar, myndi koma í veg fyrir óþarfa íhlutun í einkalíf þeirra sem eiga leið um það svæði, án þess að standa í vegi fyrir því að tilgangi vöktunarinnar verði náð.

Í ljósi framangreinds telur Persónuvernd að rafræn vöktun Gluggasmiðjunnar á svæðum utan yfirráðasvæðis hennar samrýmist ekki ákvæðum laga nr. 90/2018 og reglum nr. 837/2006, um rafræna vöktun. Með vísan til 4. tölul. 1. mgr. 42. gr. laga nr. 90/2018 er því lagt fyrir Gluggasmiðjuna að breyta sjónarhorni, staðsetningu og stillingum fyrrnefndra tveggja eftirlitsmyndavéla, sem staðsettar eru á suðurhlið, austanmegin, og á vesturgafli húsnæðis fyrirtækisins, þannig að ekki verði hægt að nota þær til að vakta svæði á almannafæri eða lóðir annarra fyrirtækja í nágrenninu. Skal Gluggasmiðjan ehf., eigi síðar en 15. mars 2019, senda Persónuvernd skriflega lýsingu á því hvernig farið hafi verið að þessum fyrirmælum.

4.2

Fræðsla og viðvaranir um rafræna vöktun

Í 4. mgr. 14. gr. laga nr. 90/2018 kemur fram að þegar rafræn vöktun fer fram á vinnustað eða á almannafæri skuli með merki eða á annan áberandi hátt gera glögglega viðvart um þá vöktun og hver sé ábyrgðaraðili. Samhljóða ákvæði var í 24. gr. eldri persónuverndarlaga nr. 77/2000. Vettvangsathugun Persónuverndar leiddi í ljós að engar merkingar um rafræna vöktun var að finna utandyra hjá Gluggasmiðjunni. Þá voru merkingar innandyra ófullnægjandi, en á flestum þeim svæðum sem vöktuð voru var ekki gert viðvart um vöktunina á nokkurn hátt. Þær merkingar sem voru til staðar uppfylltu ekki fyrrgreindar kröfur persónuverndarlaga um að gera skuli glögglega viðvart um vöktunina, og hver sé ábyrgðaraðili hennar, á áberandi hátt, auk þess sem límmiðar um vöktunina voru á spænsku. Í þessu sambandi skal tekið fram að þótt ekki sé gerð krafa um að staðsetning hverrar og einnar eftirlitsmyndavélar sé auðkennd þarf ávallt að liggja fyrir hvort um ræðir vaktað svæði og hver er ábyrgðaraðili vöktunar. Samkvæmt þessu samrýmdist vöktunin ekki 4. mgr. 14. gr. laga nr. 90/2018, sbr. áður 24. gr. laga nr. 77/2000. Með vísan til 4. tölul. 1. mgr. 42. gr. laga nr. 90/2018 er því lagt fyrir Gluggasmiðjuna að senda Persónuvernd staðfestingu þess efnis að farið hafi verið að fyrirmælum 4. mgr. 14. gr. sömu laga fyrir 15. mars 2019.

Þá verður ráðið af skýringum Gluggasmiðjunnar að starfsmenn sem störfuðu hjá fyrirtækinu þegar myndavélarnar voru settar upp hafi fengið fræðslu um vöktunina á fundi sem haldinn var í fyrirtækinu. Engin gögn eru þó til um fundinn og fyrir liggur að starfsmenn sem hófu störf eftir að myndavélarnar voru settar upp fengu ekki sérstaka fræðslu um vöktunina. Verður með hliðsjón af framangreindu ekki talið að Gluggasmiðjan hafi fullnægt skyldum sínum skv. 10. gr. reglna nr. 837/2006. Með vísan til 4. tölul. 1. mgr. 42. gr. laga nr. 90/2018 er því lagt fyrir Gluggasmiðjuna að senda Persónuvernd staðfestingu á því eigi síðar en 15. mars 2019 að allir starfsmenn fyrirtækisins hafi fengið fullnægjandi fræðslu samkvæmt þessu ákvæði reglnanna, sbr. einnig 1. tölul. 1. mgr. 8. gr. laganna. Þá skal jafnframt senda Persónuvernd lýsingu á því, innan sömu tímamarka, hvernig tryggt verður framvegis að fræðsluskyldunni verði sinnt með fullnægjandi hætti.

Meðferð máls þessa hefur tafist vegna mikilla anna hjá Persónuvernd.

Ú r s k u r ð a r o r ð:

Rafræn vöktun Gluggasmiðjunnar ehf. samrýmist ekki ákvæðum laga nr. 90/2018 og reglna nr. 837/2006 um rafræna vöktun.

Skal Gluggasmiðjan, eigi síðar en 15. mars 2019, senda Persónuvernd skriflega lýsingu á því hvernig tryggt verður að rafræn vöktun utandyra nái ekki til annarra svæða en yfirráðasvæðis Gluggasmiðjunnar. Þá skal Gluggasmiðjan, innan sama frests, senda Persónuvernd staðfestingu þess efnis að hafi verið að fyrirmælum 4. mgr. 14. gr. laga nr. 90/2018, að allir starfsmenn fyrirtækisins hafi fengið fullnægjandi fræðslu samkvæmt 10. gr. reglna nr. 837/2006, sbr. einnig 1. tölul. 1. mgr. 8. gr. laganna, sem og lýsingu á því hvernig tryggt verður framvegis að fræðsluskyldunni verði sinnt með fullnægjandi hætti.