Úrskurður um birtingu ljósmyndar af einstaklingi og bifreið hans í auglýsingu N1

Mál nr. 2016/1187

4.10.2017

Úrskurður

 Á fundi stjórnar Persónuverndar þann 22. ágúst 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1187:

 

I.
Málsmeðferð

1.
Tildrög máls

Þann 19. ágúst 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd kvartandi), vegna notkunar á mynd af henni og bifreið hennar í auglýsingu frá N1 hf. sem birtist á auglýsingaskilti í Flugstöð Leifs Eiríkssonar og í auglýsingabæklingum Icelandair. Í kvörtuninni segir meðal annars að ekki sé eðlilegt að hægt sé að taka mynd af henni í þeim tilgangi að nota í auglýsingu, án þess að hún hafi gefið leyfi fyrir myndatökunni. Þá var kvörtuninni einnig beint að Íslensku auglýsingastofunni þar sem hin umþrætta myndataka var á hennar vegum.

 

2.
Bréfaskipti

Kvartandi sendi Persónuvernd viðbótargögn með kvörtun sinni með tölvupósti þann 1. september 2016, ásamt frekari myndum af umræddum myndum í Leifsstöð, þar sem meðal annars kemur fram að greina megi númer bifreiðar kvartanda á myndunum.

Með bréfi, dags. 6. september 2016, var N1 hf. boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf N1 hf., dags. 26. september 2016, barst Persónuvernd þann 27. september s.á. Segir þar að kvörtuninni sé ranglega beint að félaginu þar sem Íslenska auglýsingastofan teljist bæði ábyrgðaraðili og vinnsluaðili í skilningi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þá hafi N1 hf. ennfremur ekki getað persónugreint þann einstakling sem birtist á myndinni. Því sé ekki hægt að að gera þá kröfu til félagsins, sem kaupir auglýsingu, að kanna hvort samþykki eða önnur heimild til vinnslu myndarinnar hafi legið fyrir, þar sem N1 hf. gat ekki með nokkru móti greint eða rakið upplýsingarnar til tiltekins einstaklings.

Frekari skýringar N1 hf. bárust með bréfi, dags. 21. desember 2016. Þar segir meðal annars að eftir síðustu samskipti N1 hf. og Persónuverndar hafi komið í ljós að ákveðinn misskilningur átti sér stað á milli Íslensku auglýsingastofunnar og N1 hf. Fólst hann meðal annars í því að nota átti myndina í minni upplausn en birtist í auglýsingunni í Leifsstöð, þannig að ekki væri hægt að greina einstaka persónur á myndinni. Ekki var gert ráð fyrir því að myndin yrði notuð í auglýsingar eða með þeim hætti að hægt væri að persónugreina einstaklinga á myndinni.. Þá segir að N1 hf. harmi að þessi misskilningur hafi átt sér stað og taki ábyrgð á birtingu myndarinnar. Einnig kemur fram að myndin var strax tekin úr notkun eftir að kvartandi hafði samband við N1 hf. auk þess sem myndinni hafi verið eytt úr gagnagrunnum N1 hf. Þá segir að farið hafi verið yfir ferla, skráningu mynda og allar viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að koma í veg fyrir að mistök sem þessi geti átt sér stað.

Með bréfi, dags. 20. febrúar 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar N1 hf. til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Ekki barst svar frá kvartanda. 

Frekari skýringar bárust símleiðis frá lögmanni N1 hf. þann 15. júní 2017. Kom þar fram að N1 hf. átti í reynd umrædda mynd í sínum myndabanka og lét auglýsingastofunni hana í té, til að útbúa auglýsinguna.

  

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Þótt áhöld séu uppi um hvort unnt sé að persónugreina kvartanda á hinni umþrættu mynd, leiðir  af framangreindu að ljósmyndir af bifreiðum, þar sem skráningarmerki eða önnur auðkenni sjást, sem gera þær rekjanlegar til eiganda og eftir atvikum ökumanns, teljast til persónuupplýsinga í skilningi laga nr. 77/2000. Þá telur Persónuvernd ekki tilefni til að víkja frá ákvæðum laganna á grundvelli 5. gr., þar sem um er að ræða mynd sem notuð var í þágu markaðssetningar.

Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Líkt og að framan greinir átti N1 hf. umrædda mynd og telst þar af leiðandi vera ábyrgðaraðili að umræddri vinnslu.

 

2.
Lögmæti vinnslu 

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Hér kemur einkum til skoðunar 1. tölul. 1. mgr. 8. gr. laganna er heimilar vinnslu persónuupplýsinga á grundvelli samþykkis hins skráða. Staðfest er að ekki lá fyrir samþykki kvartanda fyrir birtingu myndarinnar. Þá hefur N1 hf. viðurkennt að mistök hafi átt sér stað og hefur fyrirtækið tekið fulla ábyrgð á birtingu myndarinnar. Eins og málið liggur fyrir, verður ekki séð að vinnsla persónuupplýsinganna geti grundvallast á öðrum heimildarákvæðum 1. mgr. 8. gr. laganna. Með vísan til alls framangreinds, samrýmdist birting N1 hf. á ljósmynd af kvartanda og bifreið hennar ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

Afgreiðsla máls þessa hjá Persónuvernd hefur dregist vegna anna hjá stofnuninni.

 

Ú r s k u r ð a r o r ð:

 

Birting N1 hf. á ljósmynd af kvartanda og bifreið hennar, samrýmdist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.