Rafræn vöktun hjá nágrönnum talin óheimil

Mál nr. 2020010691

19.5.2021

Úrskurður

Hinn 29. apríl 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010691 (áður 2019112115):

I.
Málsmeðferð

1.

Tildrög máls

Hinn 5. nóvember 2019 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir rafrænni vöktun nágranna sinna, [B] og [C], íbúa að [...] en kvartandi býr að [...].

Með bréfi, dags. 6. janúar 2020, var óskað eftir frekari skýringum frá kvartanda sem bárust með bréfi, dags. 22. s.m. Með bréfi, dags. 17. mars 2020, var [B] og [C] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með tölvupósti þann 7. apríl 2020. Með tölvupósti þann 24. apríl 2020 sendu [B] og [C] skýringar frá fyrirtækinu Securitas hf. sem er þjónustuaðili eftirlitsmyndavélakerfis þeirra. Með bréfi, dags. 7. maí 2020, var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið [B] og [C]. Bárust athugasemdir kvartanda með tölvupósti þann 10. júní 2020. Með tölvupósti þann 11. janúar 2021, ítrekuðum þann 18. s.m., óskaði Persónuvernd eftir frekari upplýsingum frá ábyrgðaraðilum. Svar barst í tölvupósti þann 27. janúar 2021. Með tölvupósti þann 2. mars 2021 óskaði Persónuvernd frekari upplýsinga frá [B] og [C] og var svarað með tölvupósti þann 11. s.m.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð máls þessa hefur dregist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Kvartandi býr í raðhúsalengju á tveimur hæðum. Kvartað er yfir því að nágrannar hans í næsta húsi við hann séu með eftirlitsmyndavélar annars vegar á húsinu að framanverðu og hins vegar í bakgarði sem vísi annars vegar að svæði sem er á almannafæri og hins vegar á lóð kvartanda. Um sé að ræða svokallaðar hálfkúlumyndavélar sem útilokað sé að vita hvert sé beint og þar af leiðandi hvert sjónsviðið sé.

Þá eru gerðar athugasemdir af hálfu kvartanda við það sem fram kemur í svörum Securitas hf., sem ábyrgðaraðili sendi Persónuvernd, um aðgang og stýringu að eftirlitsmyndavélunum. Í svari Securitas hf. komi fram að viðskiptavinir fyrirtækisins geti breytt sjónarhorni myndavélanna, sett upp reglur um vistun myndbrota og hlaðið niður myndbroti hvenær sem er. Kvartandi telji það því rangt sem fram komi í svari ábyrgðaraðila um að þau hafi ekki aðgang að myndefni vélanna sem safnast og geti ekki breytt sjónarhorni þeirra. Því geti ábyrgðaraðilar vöktunarinnar endurskilgreint vöktunarsvæði eftirlitsmyndavélanna hvenær sem er með því að draga til viðmiðunarlínu. Bendir kvartandi á að staðsetja megi eftirlitsmyndavél sunnan megin við húsið með öðrum hætti en gert sé nú til að ná fram sama markmiði.

3. 

Sjónarmið [B] og [C]

Af hálfu þeirra sem kvörtun beinist að er byggt á því að eftirlitsmyndavélarnar tvær séu settar upp í öryggisskyni til að varna skemmdarverkum og þjófnaði. Þremur hjólum í eigu ábyrgðaraðila hafi verið stolið við inngang hússins og skemmdir unnar á eignum í bakgarði. Þá er einnig vísað til þess að innbrot og þjófnaður hafi aukist í hverfinu undanfarin ár. Hvað sjónarhorn vélanna varði segir að vöktun að framanverðu húsinu nái eingöngu til þeirra sem komi inn í port hússins og taki ekki myndir af þeim sem gangi fram hjá húsinu. Vöktun í bakgarði nái yfir garð þeirra og lítillega yfir syðsta hluta garðsins í átt að göngustíg þar fyrir aftan en sjónsviðið nái ekki yfir á lóð kvartanda. Segir að sjónarhorn myndavélanna hafi verið stillt af starfsmanni Securitas hf. og hafi þau ekki aðgang að myndefninu sjálf, eingöngu séu send skjáskot ef einhver birtist á afmörkuðu svæði innan sjónsviðsins. Í því tilliti sé vísað til meðfylgjandi skjáskota úr öryggiskerfinu sem sýni hvar línur séu dregnar innan sjónsviðsins en upptökuregla sé þannig stillt að eingöngu verði til stutt upptaka ef einhver fari inn fyrir þá línu.

Ábyrgðaraðilar lögðu jafnframt fram svör við spurningum frá Securitas hf. sem þau höfðu óskað eftir frá fyrirtækinu. Í svörum Securitas hf. kemur fram að fyrirtækið sé ekki með aðgang að myndefni viðskiptavina. Myndavélarnar hafi verið settar upp af tæknimanni Securitas hf. í samræmi við óskir viðskiptavinar. Þá segir að ekki sé hægt að breyta sjónarhorni myndavéla í vefviðmóti, eingöngu sé hægt að gera það með því að eiga við vélarnar sjálfar. Hvað varði vistun á myndefninu segir að ef myndefni vistist þá sé það hjá þjónustuaðila myndavélanna en hver viðskiptavinur hafi tiltekið geymslupláss hjá þjónustuaðilanum. Almennt gildi um söfnun myndefnis að viðskiptavinur setji sjálfur upp upptökureglur og þannig vistist myndbrot með atburðum á skýi. Viðskiptavinur geti hvenær sem er merkt myndband sérstaklega og vistað það lengur en regla segi til um og eins geti viðskiptavinur hvenær sem er hlaðið niður myndbroti í síma eða tölvu. Þá sé húsnæðið merkt með límmiðum frá Securitas hf.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.
Mál þetta lýtur að rafrænni vöktun með eftirlitsmyndavélum. Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Samkvæmt 2. mgr. 4. gr. laga nr. 90/2018, sbr. c-lið 2. mgr. 2. gr. reglugerðarinnar, gilda lögin og reglugerðin ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Í máli þessu liggur fyrir að sjónsvið eftirlitsmyndavélanna tveggja nær út fyrir yfirráðasvæði ábyrgðaraðila og á svæði á almannafæri. Myndbandsupptaka í eftirlitsskyni sem nær út fyrir yfirráðasvæði ábyrgðaraðila telst ekki til einkanota, sbr. úrskurð Persónuverndar í máli nr. 2020010548. Í ljósi framangreinds getur meðferð [B] og [C] á umræddum persónuupplýsingum því hvorki talist varða eingöngu einkahagi þeirra eða fjölskyldu þeirra eða vera ætlaðar til persónulegra nota.

Að framangreindu virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til teljast [B] og [C] vera ábyrgðaraðilar að umræddri vinnslu.

2.

Lögmæti vinnslu

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 14. gr. laga nr. 90/2018. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að vinnsla slíkra upplýsinga sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 9. gr. laga nr. 90/2018 og 6. gr. reglugerðar (ESB) 2016/679, að vera fullnægt. Eins og hér háttar til kemur þá einkum til skoðunar 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna ábyrgðaraðila nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Við mat á því hvort umrædd heimild geti átt við þarf þremur skilyrðum að vera fullnægt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna ábyrgðaraðila eða þriðja aðila sem fá persónuupplýsingarnar í hendur. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem vísað er til. Ábyrgðaraðili kann að hafa lögmæta hagsmuni af því að vernda eignir sínar með uppsetningu eftirlitsmyndavéla gegn innbroti, þjófnaði eða skemmdum. Í þeim tilvikum nægir ekki að hættan sé uppspuni eða vangaveltur ábyrgðaraðila. Raunveruleg hætta þarf að steðja að áður en vöktun hefst, svo sem að skemmdir hafi orðið á eignum eða alvarleg atvik hafi átt sér stað. Það er ábyrgðaraðila að sýna fram á að svo sé og skilyrðin þannig uppfyllt, sbr. úrskurð Persónuverndar í máli nr. 2020010548.

Þá ber að líta til reglna nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, sem settar voru samkvæmt heimild í eldri persónuverndarlögum, nr. 77/2000, og sækja nú stoð í 5. mgr. 14. gr. núgildandi laga nr. 90/2018. Samkvæmt 4. gr. reglnanna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, svo sem í þágu öryggis eða eignavörslu. Samkvæmt 5. gr. reglnanna skal þess gætt, við alla rafræna vöktun, að ekki sé gengið lengra en brýna nauðsyn beri til miðað við tilgang vöktunarinnar. Gæta skuli að einkalífsrétti þeirra sem sæti vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiði með vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

Almennt verður að líta svo á að ábyrgðaraðila sé heimil vöktun á yfirráðasvæði sínu, til dæmis innan lóðar við fasteign sína, en að vöktun á almannafæri sé almennt eingöngu á hendi lögreglunnar nema að sérstök sjónarmið eigi við sem réttlæti slíka vöktun á hendi einkaaðila. Fasteignir kvartanda og ábyrgðaraðila eru á sameiginlegri og óskiptri lóð sem tvær raðhúsalengjur eru á, þ.e. [...] og [...]. Að mati Persónuverndar verður hins vegar litið svo á eins og hér háttar til að bakgarður hverrar raðhúsaíbúðar sé sérstakt yfirráðasvæði þeirrar íbúðar. Þá verður talið að sá hluti þess opna anddyris sem er við húsið framanvert og er undir þakskyggni sé jafnframt yfirráðasvæði þeirrar raðhúsaíbúðar.

Í því máli sem hér er til umfjöllunar er kvartað yfir að vöktun sé beint bæði að svæðum sem eru á almannafæri og á lóð kvartanda. Skjáskot úr eftirlitsmyndavélunum sýna fram á að hvorug þeirra beinist að yfirráðasvæði kvartanda. Hins vegar sýna skjáskotin að sjónsvið eftirlitsmyndavélar á framanverðu húsinu nær að hluta til út fyrir hið opna anddyri og út á gangstétt og götu. Sjónsvið eftirlitsmyndavélarinnar í bakgarði ábyrgðaraðila nær, auk bakgarðsins, yfir töluvert svæði sem er á almannafæri og eins lítinn hluta af garði nágranna ábyrgðaraðila, en þó ekki garði kvartanda. Engu breytir þar um að upptökuregla sé stillt þannig að upptaka hefjist ekki fyrr en komið er inn á yfirráðasvæði ábyrgðaraðila, enda tekur hugtakið rafræn vöktun til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Eins og fram er komið settu ábyrgðaraðilar upp eftirlitsmyndavélar í öryggis- og eignavörsluskyni. Meðal málsgagna í máli þessu eru þrjár tilkynningar ábyrgðaraðila til lögreglu um stolin reiðhjól við fasteign þeirra frá árunum 2010, 2016 og 2018. Nánar tiltekið kemur fram í tveimur tilkynningum að hjólum hafi verið stolið fyrir utan útidyrahurð eða í opnu anddyri en í einni þeirra kemur aðeins fram að hjólið hafi verið utandyra. Þá vísa ábyrgðaraðilar jafnframt til skemmdarverka á heitapottsloki í bakgarði en ekki hafi verið tilkynnt um það tjón.

Sem fyrr segir kunna ábyrgðaraðilar að hafa lögmæta hagsmuni af því að vakta svæði utan síns yfirráðasvæðis séu skilyrði þar um fyrir hendi, meðal annars með tilliti til yfirvofandi hættu sem að þeim eða eignum þeirra steðjar. Hins vegar þarf ávallt að leggja mat á það hvort hagsmunir séu til staðar sem réttlæta vöktun út fyrir yfirráðasvæði ábyrgðaraðila, eða hvort vöktun innan yfirráðasvæðis ábyrgðaraðila telst nægileg til þess að tilganginum sé náð. Það er mat Persónuverndar að þrátt fyrir að hægt sé að fallast á að ábyrgðaraðilum sé heimilt að vakta sitt yfirráðasvæði, þá hafi ábyrgðaraðilar eins og hér háttar til, ekki sýnt fram á nauðsyn þess að vakta svæði utan yfirráðasvæðis þeirra sjálfra til að ná tilgangi vöktunarinnar, m.a. í ljósi þess að sá þjófnaður og skemmdarverk sem orðið hafa á eigum ábyrgðaraðila virðast að mestu hafa átt sér stað á yfirráðasvæði þeirra. Verður því ekki talið að umrædd vöktun, með því sjónsviði sem vöktunin tekur nú til, geti byggst á 6. tölul. 9. gr. laga 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar. Á það bæði við um eftirlitsmyndavél í bakgarði ábyrgðaraðila og í opnu anddyri hússins að framanverðu. Þegar af þeirri ástæðu telst vöktunin ekki samrýmast lögum nr. 90/2018 og reglugerð (ESB) 2016/679.

3.

Niðurstaða

Að öllu framangreindu virtu er niðurstaða Persónuverndar sú að rafræn vöktun [B] og [C] að [heimili sínu] í Reykjavík samrýmist ekki lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerð (ESB) 2016/679, og reglum nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Með vísan til 6. og 7. tölul. 42. gr. laga nr. 90/2018, sbr. f- og g- lið 2. mgr. 58. gr. reglugerðarinnar, er hér með lagt fyrir ábyrgðaraðila að láta af allri rafrænni vöktun, sem beinist að svæðum á almannafæri og yfirráðasvæðum annarra. Persónuvernd bendir á að eftir atvikum er unnt að verða við fyrrgreindum fyrirmælum með því að nota skyggingu á þann hluta sjónsviðsins sem nær til svæða utan yfirráðasvæðis ábyrgðaraðila, eða með því að breyta sjónarhorni eftirlitsmyndavélanna þannig að sjónsviðið nái ekki út fyrir það svæði, sbr. jafnframt til hliðsjónar umfjöllun í kafla II.1 hér að framan um gildissvið laga nr. 90/2018.

Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 31. maí 2021.

Ú r s k u r ð a r o r ð:

Rafræn vöktun [B] og [C] að [heimili sínu] í Reykjavík samrýmist ekki ákvæðum laga nr. 90/2018, reglugerðar (ESB) 2016/679 og reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Skulu [B] og [C] láta af rafrænni vöktun, sem beinist að svæði á almannafæri og yfirráðasvæði annarra.

Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 31. maí 2021.

Persónuvernd, 29. apríl 2021

Ólafur Garðarsson
varaformaður

Björn Geirsson                                       Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson