Rafræn vöktun í fjöleignarhúsi

Mál nr. 2020010548

19.1.2021

Úrskurður

Á fundi stjórnar Persónuverndar hinn 17. desember 2020 var kveðinn upp svohljóðandi úrskurður í máli nr. 2020010548 (áður mál nr. 2018101634):

I.

Málsmeðferð

1.

Tildrög máls

Hinn 29. október 2018 barst Persónuvernd kvörtun frá [B] (hér eftir nefnd kvartandi) yfir rafrænni vöktun með eftirlitsmyndavélum í fjölbýli að [...] í Kópavogi. Í kvörtuninni segir m.a. að [A], einnig íbúi að [...], hafi komið fyrir fjölmörgum myndavélum í gluggum á íbúð sinni og í bifreið. Þeim sé m.a. beint að bílastæði kvartanda í séreign og svefnherbergisglugga íbúðar hennar. Kvartandi gerir þá kröfu að eftirlitsmyndavélarnar verði fjarlægðar umsvifalaust. Þá segir að [A] hafi birt upptekið myndefni eftirlitsmyndavélanna, án samþykkis, á samfélagsmiðlum.

2.

Bréfaskipti

Með bréfi, dags. 6. febrúar 2019, var [A] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svaraði hann með ódagsettu bréfi, sem Persónuvernd móttók 18. s.m. Persónuvernd taldi þörf á frekari svörum frá [A] og sendi honum aftur bréf, dags. 18. mars s.á. Því bréfi svaraði [A] með tveimur tölvupóstum þann 24. s.m., en með tölvupóstunum fylgdu 13 ljósmyndir og tvö skjáskot úr eftirlitsmyndavélum ásamt slóð á tvö upptekin myndbrot úr eftirlitsmyndavél mælaborðs bifreiðar á myndbandaveitunni Youtube. Persónuvernd ítrekaði beiðni um svör með bréfi, dags. 10. maí s.á. Hinn 16. s.m. barst tölvupóstur frá [A] en án svara við ítrekuðum spurningum Persónuverndar.

Með bréfi, dags. 21. ágúst 2019, var kvartanda gefinn kostur á að koma að athugasemdum við framkomnar skýringar [A]. Að beiðni kvartanda var henni veittur frekari frestur til að svara. Kvartandi svaraði með bréfi, dags. 14. október s.á., en með bréfinu fylgdu teikningar af húsinu ásamt fimm ljósmyndum.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð máls þessa hefur dregist vegna mikilla anna hjá Persónuvernd.

3.

Sjónarmið kvartanda

Kvartandi byggir á því að [A] hafi sett upp eftirlitsmyndavélar í fjöleignarhúsinu að [...] í Kópavogi, án samþykkis íbúa. Myndavélarnar séu staðsettar í gluggum íbúðar hans, bæði á húsinu framanverðu og aftanverðu, og sé m.a. beint að tröppum að inngangi íbúðar kvartanda. Einnig sé myndavélum beint að stæði fyrir framan bílskúr, og að íbúð á efri hæð í bakhúsi, en hvort tveggja sé séreign kvartanda.

Kvartandi kveðst hafa flutt í fjöleignarhúsið að [...] sumarið 2017. Henni hafi ekki verið kunnugt um eftirlitsmyndavélarnar þá, enda hafi þær verið faldar í skrauti í gluggum íbúðar [A]. Kvartandi hafi fyrst orðið myndavélanna vör snemma vetrar árið 2018 og sent Persónuvernd kvörtun í kjölfarið. Kvartandi hafi upplýst aðra íbúa fjöleignarhússins um myndavélarnar og fengið staðfest að enginn þeirra hefði verið upplýstur um þær. Þá hafi aðrir íbúar hússins staðfest að [A] hefði aldrei borið vöktunina undir þá á húsfundi. [A] hafi síðan, snemma árs 2019, sett upp límmiða um vöktunina, en það hafi hann einnig gert án samráðs við aðra íbúa hússins.

Þá kemur fram í bréfi kvartanda að bifreiðin sem getið hafi verið í upphaflegri kvörtun sé ekki lengur til staðar og því fjalli kvartandi ekki um hana í bréfi sínu.

Kvartandi vísar á bug fullyrðingum [A] um kannabisreykingar og ítrekar kröfu sína um að hann fjarlægi myndavélarnar úr gluggum hússins tafarlaust. Það sé óásættanlegt að [A] fylgist með íbúum hússins í óþökk þeirra. Ekki verði séð hvaða hag hann hafi, þrátt fyrir sjúkdóm sinn, af því að fylgjast með mannaferðum framan við húsið, þar sem inngangur að íbúð hans sé á húsinu aftanverðu. Að lokum krefst kvartandi þess að dagsektum verði beitt verði [A] ekki við beiðni um að fjarlægja myndavélarnar.

4.

Sjónarmið eiganda myndavélanna

Í tölvupósti [A] kemur fram að árið 2015 hafi hann komið fyrir myndavélum í gluggum íbúðar sinnar. Upphaflega hafi það komið til vegna meintrar ólöglegrar heimagistingar sem hann taldi rekna í húsinu af fyrri eigendum. Að nokkrum tíma liðnum hafi honum þótt fyrirkomulagið þægilegt til að sjá hverjir væru fyrir utan húsið. [A] kveðst vera með […] og eiga erfitt með gang og sé því seinn til dyra. Einnig segir í tölvupósti hans að kvartandi sé með ólöglega útleigu á geymslu og bílskúr. Þá segir að það sé „skríll“ á vegum hennar sem reyki kannabis fyrir framan húsið og það veki hjá honum óöryggi. Fram kemur að hið vaktaða svæði sé stéttin fyrir framan útihurð og eldhúsglugga íbúðar [A], sameiginlegur garður og innkeyrsla sem sé í sameign. Þá kemur fram að hann telji að kvartandi hafi vitað af eftirlitsmyndavélunum þar sem hún hafi flutt í húsið eftir uppsetningu þeirra árið 2015. Þá kveður [A] hið vaktaða svæði vel merkt. Loks staðfestir hann í tölvupósti sínum að ákvörðun um vöktun hafi ekki verið tekin á formlegum húsfundi enda hafi löglegur húsfundur ekki verið haldinn síðan 2014.

Varðandi eftirlitsmyndavél í bifreið kveðst [A] hafa sett upp myndavél í mælaborði bifreiðar sinnar eftir að hafa lent í tjóni. Eftirlitsmyndavélin fari í gang þegar bíllinn sé ræstur. Honum sé því fyrirmunað að skilja hvernig myndavélin eigi að geta tekið myndir inn um svefnherbergisglugga kvartanda sem sé á annarri hæð hússins.

[A] neitar því að hafa tekið upp efni og birt á Facebook, en staðfestir að hafa birt upptekið myndefni á myndbandaveitunni Youtube, m.a. af mönnum að reykja við húsið.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili – Afmörkun máls

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Samkvæmt 2. mgr. 4. gr. laga nr. 90/2018, sbr. c-lið 2. mgr. 2. gr. reglugerðarinnar, gilda lögin og reglugerðin ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Dómstóll Evrópusambandsins komst að þeirri niðurstöðu, í máli nr. C‑212/13 (František Ryneš) frá 11. desember 2014, að framangreind undanþága skyldi túlkuð þröngt. Því gæti myndupptaka í eftirlitsskyni sem tæki, jafnvel eingöngu að hluta, til svæða utan yfirráðasvæðis ábyrgðaraðila, ekki fallið undir undanþáguákvæðið. Í máli þessu liggur fyrir að [A] notast við myndavélar til að fylgjast með sameign og séreign annarra íbúa fasteignarinnar. Auk þess sem hann hefur jafnframt staðfest að hafa birt myndskeið, sem safnað var með umræddum myndavélum, af íbúum hússins og gestum þeirra, á myndbandaveitunni Youtube. Í ljósi framangreinds getur meðferð [A] á umræddum persónuupplýsingum því hvorki talist varða eingöngu einkahagi hans eða fjölskyldu hans eða vera ætlaðar til persónulegra nota. Undanþáguákvæði 2. mgr. 4. gr. laga nr. 90/2018, sbr. einnig c-lið 2. mgr. 2. gr. reglugerðar (ESB) 2016/679 á því ekki við og fellur vinnsla persónuupplýsinga með umræddri vöktun því innan gildissviðs laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling, en einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölulið 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga. Af lýsingum kvartanda og eiganda myndavélanna á tilgangi notkunar umræddra véla má ráða að hér fari fram rafræn vöktun sem fullnægja þarf skilyrðum laga nr. 90/2018.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við þann sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst [A] vera ábyrgðaraðili að umræddri vinnslu.

Í upphaflegri kvörtun til Persónuverndar hafði kvartandi jafnframt kvartað yfir myndavél í bifreið ábyrgðaraðila sem beint var að svefnherbergisglugga hennar. Í svarbréfi kvartanda við framkomnum skýringum ábyrgðaraðila kom meðal annars fram að umrædd bifreið væri ekki lengur til staðar og því myndi hún ekki fjalla frekar um hana í bréfi sínu. Persónuvernd lítur svo á að kvartandi hafi, með framangreindri athugasemd sinni, fallið frá þeim þætti kvörtunarinnar og verður því ekki fjallað frekar um hann í úrskurði þessum.

2.

Lögmæti vinnslu

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 14. gr. laga nr. 90/2018. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram. Einnig verður meðal annars að gæta að því við rafræna vöktun að með merki eða á annan áberandi hátt sé gert glögglega viðvart um vöktunina og hver sé ábyrgðaraðili hennar, sbr. 4. mgr. sömu greinar.

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að vinnsla slíkra upplýsinga sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 9. gr. laga nr. 90/2018 og 6. gr. reglugerðar (ESB) 2016/679, að vera fullnægt.

Eins og hér háttar til kemur þá einkum til skoðunar 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Við mat á því hvort umrædd heimild geti átt við þarf þremur skilyrðum að vera fullnægt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna ábyrgðaraðila eða þriðja aðila sem fá persónuupplýsingarnar í hendur. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem vísað er til.

Í forúrskurði Evrópudómstólsins í máli nr. C‑212/13 (František Ryneš) frá 11. desember 2014 kom fram að dómstóllinn teldi að ábyrgðaraðili kynni að hafa lögmæta hagsmuni af því að vernda eignir sínar, líf sitt og fjölskyldu sinnar. Í kafla 3.1.1 í leiðbeiningum Evrópska persónuverndarráðsins nr. 3/2019, um vinnslu persónuupplýsinga með myndupptökubúnaði, sem gefnar voru út á grundvelli e-liðar 1. mgr. 70. gr. reglugerðar (ESB) 2016/679, kemur meðal annars fram að við raunverulega hættulegar aðstæður kunni ábyrgðaraðili að hafa lögmæta hagsmuni af því að verja eigur sínar með uppsetningu eftirlitsmyndavéla gegn innbroti, þjófnaði eða skemmdum. Í þeim tilvikum nægi ekki að hættan sé uppspuni eða vangaveltur ábyrgðaraðila. Raunveruleg hætta þurfi að steðja að, áður en vöktun hefst, svo sem að skemmdir hafi orðið á eignum eða alvarleg atvik hafi átt sér stað. Það sé ábyrgðaraðila að sýna fram á slík atvik eða skemmdir. Auk þess þurfi að endurmeta heimild fyrir vöktuninni reglulega með tilliti til fyrirliggjandi hættu. Í kafla 3.1.2 í fyrrgreindum leiðbeiningum segir einnig að áður en ábyrgðaraðili ræðst í uppsetningu á eftirlitsmyndavél skuli hann ávallt meta hvort vinnslan sé viðeigandi og nauðsynleg í þágu tilgangsins. Einnig skuli hann kanna hvort mögulegt sé að ná sama markmiði með öðrum og vægari aðferðum. Vöktun með eftirlitsmyndavélum megi eingöngu viðhafa ef yfirlýstu markmiði verði ekki náð með öðrum og vægari leiðum sem hafi í för með sér minna inngrip og áhrif á grundvallaréttindi og frelsi hinna skráðu. Það er ábyrgðaraðili sem ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt ákvæði 1. mgr. 8. gr. laga nr. 90/2018 og að geta sýnt fram á það, sbr. 2. mgr. 8. gr. laganna.

Grundvallaréttindi og frelsi einstaklinga eru meðal annars varin í stjórnarskrá lýðveldisins Íslands. Í 71. gr. stjórnarskrárinnar nr. 33/1944, sbr. breytingalög nr. 97/1995, er fjallað um friðhelgi einkalífs. Þar segir í 1. mgr. að allir skuli njóta friðhelgi einkalífs, heimilis og fjölskyldu. Fyrir liggur í málinu að kvartandi telji sig hafa af vöktuninni mikinn ama og hefur lýst sig andvíga henni.

Eins og fram er komið setti ábyrgðaraðili upp eftirlitsmyndavélar með vísan til þess að fyrri íbúar hússins hefðu verið með heimagistingu. Síðar hafi honum þótt fyrirkomulagið þægilegt þar sem hann væri seinn til dyra vegna […]. Það er mat Persónuverndar að ábyrgðaraðili hafi hvorki sýnt fram á yfirvofandi hættu sem að honum eða eignum hans steðji né nauðsyn þess að vakta svæði utan séreignar hans sjálfs, þ.e. svæði sem tilheyra sameign eða teljast til séreignar annarra íbúa hússins. Verður því ekki talið að umrædd vöktun geti byggst á 6. tölul. 9. gr. laga 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga og rafræn vöktun að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að upplýsingar skulu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul., sbr. einnig 1. mgr. 14. gr. laganna); og að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu (3. tölul.).

Persónuvernd hefur sett reglur nr. 837/2006, sbr. 5. mgr. 14. gr., um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 4. gr. þeirra reglna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, svo sem í þágu öryggis eða eignavörslu. Þá segir í 5. gr. reglnanna að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Einnig segir þar að gæta skuli þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

Verður ekki séð að fyrrgreind vinnsla persónuupplýsinga samrýmist ofangreindum meginreglum eða framangreindum ákvæðum reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

3.

Niðurstaða

Að öllu framangreindu virtu er niðurstaða Persónuverndar sú að rafræn vöktun [A] að [...] í Kópavogi samrýmist ekki lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerð (ESB) 2016/679, og reglum nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Í samræmi við þessa niðurstöðu, og með vísan til 6. og 7. tölul. 42. gr. laga nr. 90/2018, sbr. f- og g- lið 2. mgr. 58. gr. reglugerðarinnar, er hér með lagt fyrir ábyrgðaraðila að láta af allri rafrænni vöktun, sem beinist að sameign og séreign annarra íbúa að [...] í Kópavogi. Einnig er lagt fyrir ábyrgðaraðila að eyða öllu myndefni sem safnast hefur með vöktuninni til þessa. Loks er lagt fyrir ábyrgðaraðila að eyða því efni sem hann hefur deilt á myndbandaveitunni Youtube.

Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 30. desember 2020.

Ú r s k u r ð a r o r ð:

Rafræn vöktun [A] að [...] í Kópavogi samrýmist ekki ákvæðum laga nr. 90/2018, reglugerðar (ESB) 2016/679 og reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Skal [A] láta af vöktuninni tafarlaust og eyða vöktunarefni sem safnast hefur til þessa. Hann skal jafnframt eyða uppteknu efni sem hann hefur deilt á myndbandaveitunni Youtube.

Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 30. desember 2020.

Hafi Persónuvernd ekki borist staðfesting [A] samkvæmt framangreindu innan gefins frests mun koma til skoðunar að beita því þvingunarúrræði sem stofnunin hefur skv. 1. mgr. 45. gr. laga nr. 90/2018. Þar segir:

Ef ekki er farið að fyrirmælum Persónuverndar, skv. 6., 7. og 9. tölul. 42. gr. laga þessara getur hún, áður en hún ákveður stjórnvaldssekt skv. 46. gr. laga þessara, lagt dagsektir á þann sem fyrirmælin beinast að þar til úr hefur verið bætt að mati hennar. Sektir geta numið allt að 200.000 kr. fyrir hvern dag sem líður eða byrjar að líða án þess að fyrirmælunum sé fylgt.

Í Persónuvernd, 17. desember 2020

Ólafur Garðarsson
varaformaður

Björn Geirsson                               Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson