Úrskurður Persónuverndar um rafræna vöktun í fjöleignarhúsi

Mál nr. 2018/273

28.6.2018

 

 

Úrskurður 

Á fundi stjórnar Persónuverndar þann 31. maí 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2018/273:

 

I.
Málsmeðferð

1.
Tildrög máls

Þann 25. janúar 2018 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi), vegna rafræns eftirlits með íbúum að […]. Í kvörtuninni segir m.a. að einn íbúi […] hafi sett upp eftirlitsmyndavél yfir stigapalli í sameiginlegum stigagangi þriggja íbúða. Þá segir að ekki liggi fyrir samþykki annarra íbúa.

 

Jafnframt kemur fram af hálfu kvartanda að af stigapallinum, sem sé mjög lítill, sé gengið inn í tvær íbúðir, annars vegar íbúð kvartanda (eign […]) og hins vegar íbúð sem sé í eigu Perla Properties ehf. (eign […]) en sá sem þar búi [X], hafi sett upp myndavélina. Eftirlitsmyndavélinni sé beint á stigapallinn sjálfan og niður eftir uppganginum sem liggi að stigapallinum.

 

2.
Bréfaskipti

Með bréfi, dags. 22. febrúar 2018, var [X] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Persónuvernd óskaði sérstaklega upplýsinga um hver væri tilgangur vöktunarinnar, til hvaða svæðis vöktunin næði og hvert væri sjónarhorn myndavélarinnar. Einnig var spurt hvort fræðsla hefði verið veitt hinum skráðu og að lokum hvort ákvörðun um uppsetningu myndavélarinnar hefði verið tekin á formlegum fundi húsfélags. Ekkert svarbréf barst.

 

Með bréfi, dags. 28. febrúar 2018, var Perlu Properties ehf. einnig boðið að koma á framfæri skýringum vegna kvörtunarinnar. Persónuvernd óskaði sérstaklega upplýsinga um hvort Perla Properties ehf. liti á sig sem ábyrgðaraðila, sbr. 4. tölul. 1. mgr. 2. gr. laga nr. 77/2000, auk þess sem óskað var upplýsinga um sömu atriði og í fyrrnefndu bréfi til [X]. Ekkert svarbréf barst.

 

Með bréfum til [X] og Perlu Properties ehf., dags. 24. apríl 2018, var ósk Persónuverndar um skýringar ítrekuð. Engin svarbréf bárust.

 

Með bréfum til sömu viðtakenda, dags. 15. maí 2018, var ósk Persónuverndar um skýringar ítrekuð öðru sinni. Í bréfunum var vakin athygli á að ef stofnuninni myndu ekki berast svör innan veitts frests yrði málið tekið til efnislegrar meðferðar á grundvelli fyrirliggjandi gagna. Jafnframt var vakin athygli á að ábyrgðaraðili kynni að bera hallann af því að engin gögn lægju fyrir af hans hálfu við meðferð málsins þrátt fyrir að ítrekað hefði verið óskað skýringa hans. Engin svarbréf bárust stofnuninni.

 

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000

Gildissvið laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna, og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

 

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði, og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. tölul. 2. gr. laga nr. 77/2000. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

 

Af framangreindu er ljóst að myndavélaeftirlit það sem viðhaft er í sameiginlegum stigangi fjöleignarhússins að […] er í eðli sínu rafræn vöktun og rafræn vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Jafnframt er ljóst að það heyrir undir valdsvið Persónuverndar að fjalla um þá vöktun og vinnslu, sbr. 37. gr. laganna.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til teljast Perla Properties ehf. og [X], íbúi í þeirri íbúð fyrirtækisins sem hér um ræðir, sameiginlega vera ábyrgðaraðilar að umræddri vinnslu, en litið er til þess í því sambandi að fyrirtækið og umræddur íbúi verða að bera hallann af því að hafa ekki orðið við ítrekaðri beiðni Persónuverndar um skýringar.

 

2.
Lagaumhverfi

Til að rafræn vöktun sé heimil verður að vera fullnægt skilyrðum 1. mgr. 4. gr. laga nr. 77/2000. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, sé jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram. Einnig verður meðal annars að gæta að því við rafræna vöktun að með merki eða á annan áberandi hátt sé gert glögglega viðvart um vöktunina og hver sé ábyrgðaraðili, sbr. 24. gr. laganna.

 

Eins og fram hefur komið er hér um að ræða rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Svo að vinnsla slíkra upplýsinga sé heimil verður einhverju þeirra skilyrða, sem kveðið er á um í 8. gr. laga nr. 77/2000, að vera fullnægt. Að því marki sem hér kann að vera um viðkvæmar persónuupplýsingar að ræða verður einnig að líta til 9. gr. laganna, en þar er mælt fyrir um viðbótarskilyrði fyrir vinnslu slíkra upplýsinga. Þarf vinnslan þá að fullnægja einhverju þeirra skilyrða, auk einhvers skilyrðanna í 8. gr. laganna. Ætla verður að umrædd vöktun geti haft í för með sér söfnun efnis með viðkvæmum persónuupplýsingum, s.s. ef í myndefni koma fram þættir varðandi heilsuhagi, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000.

 

Það ákvæði 8. gr. laganna, sem hér kemur einkum til álita, er 7. tölul. 1. mgr., þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Af ákvæðum 9. gr. laganna kemur einkum til álita 7. tölul. 1. mgr. sem heimilar vinnslu viðkvæmra persónuupplýsinga sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Þá ber einnig að nefna 2. mgr. 9. gr. sem heimilar söfnun efnis sem verður til við rafræna vöktun, svo sem hljóð- og myndefnis, með viðkvæmum persónuupplýsingum að uppfylltum nánar tilgreindum skilyrðum, s.s. að vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni.

 

Að auki þarf, sem ávallt við vinnslu persónuupplýsinga og rafræna vöktun, að vera fullnægt öllum grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000, sbr. 1. mgr. 4. gr. sömu laga. Í því felst meðal annars að vinnsla skal vera sanngjörn, málefnaleg og lögmæt og samrýmast vönduðum vinnsluháttum (1. tölul. 1. mgr. 7. gr.); að upplýsingar skulu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. sömu málsgreinar); að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu ( 3. tölul.); og að þær skulu varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við sama tilgang (5. tölul.).

 

Við mat á lögmæti vinnslu og vöktunar getur eftir atvikum þurft að líta til ákvæða í öðrum lögum. Eins og hér háttar til reynir þá einkum á lög nr. 26/1994 um fjöleignarhús. Samkvæmt 1. mgr. 56. gr. þeirra laga skal í hverju fjöleignarhúsi starfa húsfélag. Af ákvæðum 36. og 41. gr. laganna leiðir að ákvarðanir varðandi sameign verða að hljóta samþykki þess. Misjafnt er hvort einfaldan eða aukinn meirihluta þarf til töku slíkrar ákvörðunar eða hvort hún verður að vera samhljóða, en líta verður svo á að það falli í hlut kærunefndar húsamála að skera úr álitaefnum þar að lútandi, sbr. 80. gr. laganna. Óháð því telur Persónuvernd hins vegar að leggja verði til grundvallar að ákvörðun um uppsetningu eftirlitsmyndavéla í sameign fjöleignarhúss sé á forræði húsfélags og verði því að vera tekin á vettvangi þess. Er sú túlkun Persónuverndar í samræmi við framkvæmd stofnunarinnar í málum þar sem reynt hefur á álitaefni um eftirlitsmyndavélar í fjöleignarhúsum, sbr. m.a. úrskurð Persónuverndar frá 16. júní 2017 í máli nr. 2016/1317 og úrskurð Persónuverndar frá  22. júní 2016 í máli nr. 2015/1211.

 

Með stoð í 5. mgr. 37. gr. laga nr. 77/2000 hefur Persónuvernd sett reglur nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 4. gr. þeirra reglna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, s.s. í þágu öryggis eða eignavörslu. Þá segir í 5. gr. reglnanna að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Skuli gæta þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

 

Um varðveislutíma vöktunarefnis er fjallað í 7. gr. reglnanna. Segir þar að persónuupplýsingum, sem safnast við rafræna vöktun, skuli eytt þegar ekki er lengur málefnaleg ástæða til að varðveita þær. Þá segir meðal annars að upplýsingar skuli ekki varðveittar lengur en 90 daga nema lög heimili. Frá því eru gerðar vissar undantekningar í ákvæðinu. Sú þeirra sem einkum getur átt við um myndavélavöktun er að varðveisla sé heimil séu upplýsingarnar nauðsynlegar til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Getur undanþágan þá aðeins orðið virk um tilteknar upptökur sem nauðsynlegar reynast við úrlausn afmarkaðra mála. Sé um að ræða viðkvæmar persónuupplýsingar má aðeins varðveita upptöku hjá lögreglu nema hinn skráði samþykki annað eða Persónuvernd veiti sérstakt leyfi, sbr. 2. tölul. 3. mgr. 9. gr. laga nr. 77/2000.

 

Í 10. gr. reglnanna er mælt fyrir um skyldu ábyrgðaraðila að rafrænni vöktun til að setja reglur um vöktunina eða veita fræðslu til þeirra sem henni sæta. Samkvæmt 2. mgr. ákvæðisins skulu slíkar reglur eða fræðsla taka til tilgangs vöktunarinnar, hverjir hafi eða kunni að fá aðgang að upplýsingum sem safnast og hversu lengi þær verði varðveittar. Þá kemur fram í 3. mgr. að meðal annars skal tilgreina í reglum eða fræðslu hvaða búnaður er notaður, t.d. stafrænar eftirlitsmyndavélar, og rétt viðkomandi til að fá að vita hvaða upplýsingar verða til um hann og til að fá upplýsingar leiðréttar eða þeim eytt, sbr. og 12. gr. reglnanna.

 

3.
Niðurstaða

Það fellur í hlut ábyrgðaraðila að sýna fram á að fyrrnefndum kröfum til rafrænnar vöktunar og vinnslu persónuupplýsinga sé fullnægt. Eins og rakið hefur verið hafa ábyrgðaraðilar að þeirri vöktun og vinnslu slíkra, sem hér um ræðir, hins vegar ekki lagt fram nein gögn og ekki veitt neinar skýringar. Verða þeir að bera hallann af því.

 

Með vísan til framangreinds er niðurstaða Persónuverndar sú að uppsetning eftirlitsmyndavélar á 3. hæð í sameiginlegum stigagangi fjöleignarhússins […] og vöktun og vinnsla henni tengd samrýmist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og reglum nr. 837/2006 um rafræna vöktun. Með vísan til 1. mgr. 40. gr. laga nr. 77/2000 er því lagt fyrir Perlu Properties ehf. og [X] að láta af vöktuninni og eyða öllu því vöktunarefni sem safnað hefur verið með eftirlitsmyndavélinni.

 

Eigi síðar en 14. júní nk. skal Persónuvernd hafa borist staðfesting á að farið hafi verið að framangreindum fyrirmælum.

 

 

Ú r s k u r ð a r o r ð:

Rafræn vöktun á vegum Perlu Properties ehf. og [X] í sameign fjöleignarhússins að […] er ekki í samræmi við lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og reglum nr. 837/2006 um rafræna vöktun.

 

Skulu Perla Properties ehf. og [X] láta af þeirri vöktun og eyða öllu því vöktunarefni sem safnað hefur verið og staðfesta eigi síðar en 14. júní 2018 að það hafi verið gert.