Úrskurður um að birting mynda af einstaklingi í auglýsingum hafi samrýmst lögum nr. 77/2000

Mál nr. 2016/1863

5.10.2017

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 22. ágúst 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1863:

 

I.
Málsmeðferð 

1.
Tildrög máls

Þann 28. desember 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd kvartandi) yfir birtingu mynda af henni í auglýsingum fyrir Húðfegrun ehf., en kvartandi er fyrrverandi starfsmaður fyrirtækisins. Í kvörtuninni kemur meðal annars fram að myndir af kvartanda hafi verið notaðar í auglýsingum Húðfegrunar ehf. með hennar leyfi gegn því að hún fengi meðferð á stofunni. Eftir starfslok í júní 2016 hafi hún aftur á móti ítrekað óskað eftir því að birtingu myndanna í auglýsingum fyrirtækisins yrði hætt, og að þær yrðu fjarlægðar, sem ekki var gert. Tekið er fram í kvörtun að enginn samningur hafi verið til staðar á milli kvartanda og Húðfegrunar ehf. varðandi myndbirtingarnar.

 

2.Bréfaskipti

Með bréfi, dags. 2. febrúar 2017, var Húðfegrun ehf. boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf Húðfegrunar ehf., dags. 14. febrúar 2017, barst Persónuvernd þann 27. febrúar 2017. Segir þar að Húðfegrun ehf. hafi gert samning við kvartanda um samstarf, dags. 25. nóvember 2015, þar sem fram kom að kvartandi fengi meðferðir að kostnaðarlausu gegn því að teknar væru myndir af henni fyrir meðferð og í meðferð. Kvartandi hafi einnig samþykkt að skrifa umfjöllun um meðferðirnar, en í erindinu segir að ekki hafi verið staðið við það. Þá segir að skýrt komi fram í samningnum að Húðfegrun ehf. hafi fullt leyfi til að nota allar myndir sem stofan tók af kvartanda í auglýsingaskyni. Þá er kvartandi sögð hafa verið vel upplýst um að myndirnar yrðu notaðar í auglýsingar. Segir ennfremur í svarinu að enginn tímarammi hafi verið á því hve lengi Húðfegrun ehf. hefði leyfi til að nota myndirnar, og séu þær myndir sem teknar hafi verið á meðan samstarf átti sér stað því í eigu fyrirtækisins. Fyrirtækið hafi fullt leyfi til að nota myndirnar, þar sem kvartandi skrifaði undir samning þess efnis og gaf þar með leyfi fyrir notkun þeirra. Fari kvartandi því með rangt mál þegar því sé haldið fram að enginn samningur hafi verið gerður um notkun á umræddum myndum.

Samningur kvartanda við Húðfegrun ehf., dags. 25. nóvember 2015, sem undirritaður er af kvartanda, fylgdi fyrrgreindu svarbréfi, en hann ber heitið „Samþykktarblað vegna meðferðar og umfjöllunar um meðferð.“ Þar segir meðal annars:

„Þetta samþykktarblað er vegna samstarfs Húðfegrunar ehf. og undirritaðs viðskiptavinar. Viðskiptavinur mun fá meðferðir að kostnaðarlausu gegn því að teknar séu myndir af honum fyrir meðferð og í meðferð. Viðskiptavinur mun skrifa persónulega umfjöllun um meðferðir sem hann hefur fengið hjá Húðfegrun. Einnig hefur Húðfegrun fullt leyfi til að nota allar myndir sem stofan tekur af einstaklingnum og ákveða hvenær meðferð lýkur.“

Með bréfi, dags. 10. apríl 2017, sem ítrekað var  með bréfi, dags. 22. maí 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Húðfegrunar ehf., en engin svör bárust.

 

II.
Forsendur og niðurstaða

 1.
Gildissvið laga nr. 77/2000 – Ábyrgðaraðili

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá.

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu laga.

Af framangreindu er ljóst að birting mynda af kvartanda í auglýsingum fyrir Húðfegrun ehf. fellur undir gildissvið laga nr. 77/2000.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Húðfegrun ehf. vera ábyrgðaraðili að umræddri vinnslu.

 

2.
Niðurstaða

Svo að heimilt sé að vinna með persónuupplýsingar þarf ávallt að vera fullnægt einhverri af kröfum 8. gr. laga nr. 77/2000. Þannig getur vinnsla persónuupplýsinga t.a.m. verið heimil byggist hún á samþykki hins skráða, sbr. 1. tölul. 1. mgr. 8. gr., eða vegna þess að vinnsla sé nauðsynleg til að efna samning sem hinn skráði er aðili að, sbr. 2. tölul. sömu greinar.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.)

Í málinu liggur fyrir samningur undirritaður af kvartanda um að ábyrgðaraðili hafi fullt leyfi til að nota allar myndir sem teknar voru af kvartanda samkvæmt skilmálum samningsins. Með hliðsjón af því telur Persónuvernd þá vinnslu, sem hér um ræðir, grundvallast á  2. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Persónuvernd leggur aftur á móti ekki mat á hvort skilmálar samningsins teljist ósanngjarnir eða íþyngjandi, heldur er það háð mati dómstóla. Ennfremur hefur ekkert komið fram sem gefur til kynna að vinnslan sem um ræðir fullnægi ekki kröfum 1. mgr. 7. gr. laganna. Verður því að telja að í ljósi alls framangreinds samrýmist sú vinnsla persónuupplýsinga, sem hér um ræðir, lögum nr. 77/2000.  

Meðferð þessa máls hefur dregist vegna mikilla anna hjá stofnuninni.

 

Ú r s k u r ð a r o r ð:

 

Vinnsla Húðfegrunar ehf. á myndum af [A] samrýmist lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.