Rafræn vöktun í fjöleignarhúsi talin ólögmæt

Mal nr. 2020061849

13.7.2021

Úrskurður

Hinn 2. júní 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020061849.

I.

Málsmeðferð

1.

Kvörtun og málsmeðferð

Hinn 8. júní 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir uppsetningu eftirlitsmyndavéla og rafrænni vöktun í fjöleignarhúsinu að [...].

Með bréfi, dags. 23. október 2020, var [B] og [C] ) tilkynnt um kvörtunina og veittur kostur á að tjá sig um hana. Svarbréf barst með tölvupósti þann 9. nóvember 2020, þar sem meðal annars var vísað til samnings aðila um afnot sameignar. Með bréfi, dags. 1. desember 2020, var kvartanda veitt tækifæri á að tjá sig um fram komnar skýringar [B] og [C]. Svar kvartanda barst 14. s.m. Með bréfi kvartanda fylgdu níu fylgiskjöl, meðal annars afstöðumynd af [...], ljósmyndir af eftirlitsmyndavélum á ytra byrði fjöleignarhússins og skjáskot úr umræddum eftirlitsmyndavélum sem kvartanda höfðu borist frá [B] og [C]. Hinn 13. apríl 2021 sendi Persónuvernd [B] og [C] bréf þar sem meðal annars var óskað afrits af tilvísaðs samnings í tölvupósti þeirra frá 9. nóvember 2020 sem og ljósmynda sem staðfestu staðhæfingar þeirra um að þau hefðu tekið niður eftirlitsmyndavélarnar og látið af rafrænni vöktun. Í bréfi Persónuverndar kom fram að ef framangreind gögn bærust ekki fyrir uppgefinn frest yrði litið svo á að umræddur samningur lægi ekki fyrir, eftirlitsmyndavélarnar væru enn til staðar og að rafræn vöktun færi enn fram. Ákvörðun yrði þá tekin í málinu á grundvelli fyrirliggjandi gagna. Enn hafa engin svör borist.

Við úrlausn málsins hefur verið tekið tillit til framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að hann búi í fjöleignarhúsi þar sem fram fari rafræn vöktun á sameign og á séreign hans sem brjóti gegn friðhelgi einkalífs hans og fjölskyldu. Hann hafi hvorki veitt samþykki sitt fyrir uppsetningu eftirlitsmyndavélanna né rafrænni vöktun. Þá byggir kvartandi á að vöktunin taki einnig til almannarýmis og að engar merkingar hafi verið settar upp um vöktunina.

3.
Sjónarmið eigenda eftirlitsmyndavélanna

Í skýringum [B] og [C]kemur fram að tilgangur vöktunarinnar sé að sýna fram á að kvartandi fari ekki að reglum í samningi aðila og að hundur hans geri þarfir sínar á sameign (lóð) og séreign (útidyratröppur) þeirra. Umræddar upptökur hafi verið sendar lögfræðingi kvartanda til að staðfesta staðhæfingar þeirra um umgengni kvartanda. Einnig kemur fram að merking hafi verið sett á útidyrahurð hússins á meðan vöktunin hafi farið fram en síðar verið tekin niður þegar látið hafi verið af vöktuninni. Þá hafi vöktunin verið tengd netkerfi heimilisins (e. Home network), upptekið efni hafi eyðst sjálfkrafa út að tveimur dögum liðnum og að þau tvö hafi ein haft aðgang að hinu upptekna efni.

II.

Forsendur og niðurstaða

1.
Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.  

Samkvæmt 2. mgr. 4. gr. laga nr. 90/2018, sbr. c-lið 2. mgr. 2. gr. reglugerðarinnar, gilda lögin og reglugerðin ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Í máli þessu liggur fyrir að sjónsvið eftirlitsmyndavélanna nær út fyrir yfirráðasvæði ábyrgðaraðila og á svæði á almannafæri og á séreign kvartanda. Í ljósi framangreinds getur meðferð [B] og [C]á umræddum persónuupplýsingum því hvorki talist varða eingöngu einkahagi þeirra eða fjölskyldu þeirra eða vera ætlaðar til persónulegra nota. 

Hvað varðar ágreining málsaðila um notkun sameignar fjöleignarhúss svo sem vegna uppsetningar búnaðar á ytra byrði fjöleignarhúss er það mat Persónuverndar að sá hluti málsins falli undir valdsvið kærunefndar húsamála, sbr. nánari fyrirmæli í lögum nr. 26/1994 um fjöleignarhús, og fellur því utan gildissviðs laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Tekur mál þetta því einungis til hinnar rafrænu vöktunar sem kvartað er yfir sem og vinnslu persónuupplýsinga sem verða til við hina rafrænu vöktun.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til teljast [B] og [C] vera ábyrgðaraðili að umræddri vinnslu.

2.
Lögmæti vinnslu og niðurstaða

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 14. gr. laga nr. 90/2018. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram. Einnig verður meðal annars að gæta að því við rafræna vöktun að með merki eða á annan áberandi hátt sé gert glögglega viðvart um vöktunina og hver sé ábyrgðaraðili hennar, sbr. 4. mgr. sömu greinar.

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að vinnsla slíkra upplýsinga sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 9. gr. laga nr. 90/2018 og 6. gr. reglugerðar (ESB) 2016/679, að vera fullnægt. 

Eins og hér háttar til kemur þá einkum til skoðunar 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Við mat á því hvort umrædd heimild geti átt við þarf þremur skilyrðum að vera fullnægt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna ábyrgðaraðila eða þriðja aðila sem fá persónuupplýsingarnar í hendur. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Við það mat þarf að kanna hvort að hægt sé að ná sama markmiði með öðrum og vægari úrræðum. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem vísað er til. 

Fyrir liggur að ábyrgðaraðili setti upp eftirlitsmyndavélar til að sýna fram á að kvartandi færi ekki að reglum í samningi aðila og heimilaði hundi sínum að gera þarfir sínar á lóð og á útitröppur ábyrgðaraðila. Persónuvernd óskaði eftir með bréfi til ábyrgðaraðila, dags. 13. apríl 2021, að þeir legðu fram umræddan samning, en hann hefur enn ekki borist. 

Það er mat Persónuverndar að ábyrgðaraðilar kunni að hafa af því lögmæta hagsmuni að sýna fram á óviðunandi umgengni kvartanda um sameign eða séreign ábyrgðaraðila sér í lagi sé ætlunin að sækja rétt sinn vegna þess. Hins vegar hafa ábyrgðaraðilar ekki sýnt fram á nauðsyn þess að vakta svæði utan sameignar og séreignar þeirra sjálfra. 

Það er mat Persónuverndar að sé það tilgangur ábyrgðaraðila með vinnslunni að afla sönnunargagna um óviðunandi umgengni kvartanda eða hunds á hans vegum megi gera það með úrræðum sem ekki hafi í för með sér svo veigamikil inngrip í friðhelgi einkalífs annarra íbúa fjöleignarhússins. Dæmi um slíkt úrræði gæti verið tilfallandi ljósmyndataka af háttseminni. Þá verður ekki talið að ábyrgðaraðilar hafi af því ríkari hagsmuni að vakta sameign og séreign kvartanda sem ganga skuli framar rétti íbúa fjöleignarhússins að njóta friðhelgi einkalífs á heimili sínu, sem eru stjórnarskrárvarin réttindi einstaklinga, skv. 71. gr. Stjórnarskrár lýðveldisins Íslands nr. 33/1944. Verður því ekki talið að umrædd vöktun geti byggst á 6. tölul. 9. gr. laga 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar. Þá er á það bent að ef setja eigi upp eftirlitsmyndavélar í fjöleignarhúsi þarf slík ákvörðun að ver tekin á löglega boðuðum húsfundi, sbr. lög nr. 26/1994 um fjöleignarhús.

Í ljósi þess að framangreind vinnsla telst ekki heimil, verður þegar af þeirri ástæðu ekki talin þörf á að fjalla um það hvort vinnslan samræmist meginreglum um vinnslu persónuupplýsinga.

Að öllu framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla [B] og [C] á persónuupplýsingum um kvartanda samrýmist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679. 

Í samræmi við þessa niðurstöðu, og með vísan til 6. og 7. tölul. 42. gr. laga nr. 90/2018, sbr. f- og g-lið. 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er hér með lagt fyrir [B] og [C] að stöðva hina rafrænu vöktun og eyða öllu uppteknu efni sem safnast hefur við vöktunina. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 20. júní 2021.

Ef ekki er farið að fyrirmælum Persónuverndar skv. 6., 7. og 9. tölul. 42. gr. laganna getur stofnunin áður en hún ákveður stjórnvaldssekt skv. 46. gr. laganna, lagt dagsektir á þann sem fyrirmælin beinast að þar til úr hefur verið bætt að hennar mati. Sektir geta numið allt að 200.000 kr. fyrir hvern dag sem líður eða byrjar að líða án þess að fyrirmælunum sé fylgt.

Ú r s k u r ð a r o r ð:

Vinnsla [B] og [C] á persónuupplýsingum um [A] vegna rafrænnar vöktunar að [...] samrýmist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Lagt er fyrir [B] og [C] að stöðva hina rafrænu vöktun og eyða öllu uppteknu efni sem safnast hefur við vöktunina. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 20. júní 2021.

F.h. Persónuverndar,

Helga Þórisdóttir                   Vigdís Eva Líndal