Úrskurður um rafræna vöktun á vegum húsfélags fjöleignarhúss

Mál nr. 2017/1689

26.6.2018

 

 

Úrskurður

 

Á fundi stjórnar Persónuverndar 31. maí 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/1689:

 

I.
Málsmeðferð 

1.
Tildrög máls

Hinn 10. nóvember 2017 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi), vegna vöktunar með eftirlitsmyndavélum við fjöleignarhúsið að XXXX í Reykjavík. Kvartandi er ekki íbúi í húsinu. Í kvörtuninni segir meðal annars að fjöldi eftirlitsmyndavéla sé í kringum allt húsið sem taki upp alla umferð gangandi vegfarenda um þá göngustíga borgarinnar sem liggi upp að lóð hússins. Þá séu vegfarendur ekki upplýstir um að verið sé að taka þá upp, hversu lengi myndefnið sé geymt eða hverjir hafi aðgang að því.

 

2.
Bréfaskipti

Með bréfi, dagsettu 28. nóvember 2017, var húsfélaginu XXXX í Reykjavík, boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarbréf húsfélagsins, dagsett 4. desember 2017 og undirritað af formanni þess [B], barst Persónuvernd 5. sama mánaðar. Í svarbréfinu kemur m.a. fram að myndavélakerfið hafi verið sett upp fyrir 15-20 árum. Getið sé um myndavélakerfið í fundargerð stjórnar 5. nóvember 2006. Þá hafi verið rætt um að endurnýja myndavél og að athuga ætti hjá Persónuvernd hvort vöktunin samrýmdist lögum. Hins vegar hafi ekki fundist fundargerð þar sem bókað sé um þá ákvörðun að setja upp vöktun með myndavélakerfi. Formanni húsfélagsins hafi verið tjáð að um aldamótin 2000 hafi þáverandi húsvörður fengið Securitas til að setja upp öryggismyndavélakerfi. Myndavélakerfið hafi verið endurnýjað árið 2017.

Í svarbréfi húsfélagsins kemur einnig fram að tilgangur vöktunarinnar sé að húsvörður geti haft sem best eftirlit með eigum húsfélagsins og íbúa hússins. Nauðsynlegt sé að vita ef einhverjir reyni að brjótast inn í húsið. Þá hafi menn stolið bensíni af bílum á bílaplani. Myndavélakerfið tryggi að húsvörður geti skoðað upptökur af slíkum atvikum. Þá geti húsvörður notað kerfið til að rekja fyrri atvik ef þörf krefji.

Fram kemur í svarbréfinu að vöktunin nái til svæða inni og úti við húsið. Girðing utan um lóð hússins sjáist í myndavélunum. Tekið er fram að girðingin hafi margsinnis verið skemmd. Bílaplan vestan við húsið, sem fylgi íbúðum í húsinu, sé einnig vaktað. Inni í húsinu sé vaktað hverjir fari inn og upp í lyftu. Því fari víðs fjarri að fylgst sé með almennum vegfarendum með nýja kerfinu.

Um það hvort húsfélagið hafi gert viðvart um vöktunina með einhvers konar merkingum segir í svarbréfinu að fjallað hafi verið um myndavélakerfið á húsfundum og víst sé að hver einasti íbúi hússins viti um tilvist og tilgang þess. Ekki hafi hins vegar verið sett upp skilti sem tilkynni vöktunina. Þá kemur fram í svarbréfinu að enginn hafi kvartað við húsvörð eða formann húsfélagsins vegna myndavélakerfisins.

Með bréfum, dagsettum 15. desember 2017 og 30. janúar 2018, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar húsfélagsins XXXX. Engin svör bárust frá kvartanda.

Með bréfi, dagsettu 4. apríl 2018, óskaði Persónuvernd eftir frekari skýringum frá húsfélaginu varðandi þær myndavélar sem liggja utan á húsinu að XXXX eða eru utandyra á lóð hússins sem og þær myndavélar sem eru innanhúss en vísa út úr húsinu. Óskaði Persónuvernd nánar tiltekið eftir skjáskoti af upptöku úr öllum þeim myndavélum sem að framan greinir, sem sýndu myndsvið viðkomandi vélar.

Hinn 7. maí síðastliðinn bárust Persónuvernd myndir með skjáskotum af upptökum úr myndavélum við fjöleignarhúsið að XXXX. Á mynd úr myndavél sem vísar að bílaplani sést göngustígur sem liggur milli fjöleignarhússins og bílaplansins sem og göngustígar hvoru megin við bílaplanið, sem ekki liggja að fjöleignarhúsinu. Á mynd úr myndavél sem virðist vísa yfir lóð fjöleignarhússins og yfir á aðliggjandi lóð hefur aðeins verið skyggt yfir þann hluta myndarinnar sem nær yfir hús á aðliggjandi lóð. Á mynd úr myndavél sem vísar yfir lóð og er merkt „Gardur1“ sést vel út fyrir girðingu lóðarinnar við fjöleignarhúsið og yfir á aðliggjandi göngustíga og nærliggjandi lóðir og útivistarsvæði, meðal annars leikvöll og fótboltavöll. Á mynd úr myndvél sem vísar yfir lóð og er merkt „Gardur2“ sést garður við fjöleignarhúsið, girðing og aðliggjandi göngustígur. Á mynd úr myndavél sem vísar yfir lóð og er merkt „Gardur3“ sést garður við fjöleignarhúsið, girðing, aðliggjandi göngustígar, hús og lóðir í nágrenninu. Aðeins hefur verið skyggt yfir húsið sem stendur næst myndavélinni. Á mynd úr myndavél sem vísar yfir innkeyrslu að fjöleignarhúsinu hefur verið skyggt yfir þann hluta myndarinnar sem nær út fyrir lóð hússins. Þá bárust einnig myndir úr myndavélum innan hússins.

Með bréfi, dagsettu 17. maí 2018, var kvartanda boðið að koma á framfæri athugasemdum sínum við framangreindar myndir. Svarbréf kvartanda barst Persónuvernd 25. maí síðastliðinn. Í því bréfi kemur meðal annars fram að myndfletir myndavélanna nái yfir stærra svæði en aðeins það sem tilheyri fjöleignarhúsinu að XXXX. Myndefnið sé í góðum gæðum og þar af leiðandi auðvelt að greina þá einstaklinga sem teknir séu upp með myndavélunum, án þeirrar vitundar og samþykkis.

 

II.

Forsendur og niðurstaða

 

1.
Gildissvið laga nr. 77/2000

Gildissvið laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga, sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölulið 2. gr. laganna, og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölulið sömu greinar. Í athugasemdum við það ákvæði í frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. töluliður 2. gr. laga nr. 77/2000. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafnvilda vinnslu persónuupplýsinga.

Að framangreindu virtu er ljóst að mál þetta varðar meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölulið 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst húsfélagið XXXX í Reykjavík vera ábyrgðaraðili að umræddri vinnslu.

 

2.
Lögmæti vinnslu

Öll rafræn vöktun skal fullnægja skilyrðum 1. mgr. 4. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þar er kveðið á um að rafræn vöktun sé ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Feli vöktunin í sér vinnslu persónuupplýsinga, sem fellur undir gildissvið laga nr. 77/2000, skal vinnslan einnig uppfylla önnur ákvæði laganna.

Eins og fram hefur komið varðar mál þetta rafræna vöktun sem leiðir til vinnslu persónuupplýsinga. Til þess að slík vinnsla sé heimil verður hún að byggja á einhverri þeirri heimild sem greinir í 8. gr. laga nr. 77/2000. Í því tilviki sem hér um ræðir er helst að líta til 1. töluliðar 1. mgr. 8. gr., sem kveður á um að vinnsla persónuupplýsinga geti verið heimil hafi hinn skráði ótvírætt samþykkt vinnsluna, og 7. töluliðar sömu málsgreinar, sem kveður á um að vinnsla persónuupplýsinga geti verið heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna, nema grundvallarréttindi og frelsi hins skráða sem vernda beri, samkvæmt lögum, vegi þyngra.

Meðferð persónuupplýsinga, sem verða til við rafræna vöktun, verður auk framangreinds að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

Þá ber að líta til reglna nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Samkvæmt 4. gr. reglnanna verður rafræn vöktun að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, svo sem í þágu öryggis eða eignavörslu. Samkvæmt 5. gr. reglnanna skal þess gætt, við alla rafræna vöktun, að ekki sé gengið lengra en brýna nauðsyn beri til miðað við tilgang vöktunarinnar. Gæta skuli að einkalífsrétti þeirra sem sæti vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiði með vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

Almennt verður að líta svo á að ábyrgðaraðila sé heimil vöktun á yfirráðasvæði sínu, til dæmis innan lóðar við fasteign sína. Hins vegar hefur Persónuvernd talið að rafræn vöktun á almannafæri skuli almennt aðeins vera á hendi lögreglunnar nema að sérstök sjónarmið eigi við sem réttlæti slíka vöktun á hendi einkaaðila. Í því máli sem hér er til umfjöllunar er kvartað yfir því að rafræn vöktun á vegum húsfélags nái yfir á svæði sem telst vera á almannafæri.

Fram hefur komið í svörum húsfélagsins XXXX að vöktunin sé í öryggis- og eignavörsluskyni. Að mati Persónuverndar getur slík vöktun verið heimil á grundvelli 4. gr. reglna nr. 837/2006 og 7. töluliðar 1. mgr. 8. gr. laga nr. 77/2000, hvað varðar vöktun innan lóðar fjöleignarhússins. Hins vegar liggur ekki fyrir í máli þessu hvort ákvörðun þar um hafi verið tekin með þeim hætti sem áskilið er í lögum nr. 26/1994, um fjöleignarhús. Hefur Persónuvernd, t.d. í úrskurði uppkveðnum 16. júní 2017 í máli nr. 2016/1317, kveðið á um að leggja verði til grundvallar að við ákvörðun um uppsetningu eftirlitsmyndavéla í sameign fjöleignarhúsa sé á forræði húsfélaga og verði því að vera tekin í samræmi við skilyrði laga þar um.

Af svörum húsfélagsins XXXX og gögnum málsins verður ráðið að sjónarhorn öryggismyndavélanna á og við fjöleignarhúsið nær yfir göngustíga í kringum lóð hússins, nærliggjandi hús, garða og útivistarsvæði. Af framlögðum skjáskotum úr myndavélunum má jafnframt sjá að aðeins lítill hluti sjónarhorns þeirra er skyggður, nánar tiltekið aðeins sá hluti sem birtir þau hús sem næst liggja. Að því virtu nær rafræn vöktun á vegum húsfélagsins út fyrir lóð fjöleignarhússins.

Af svörum húsfélagsins verður ekki ráðið að sérstök sjónarmið séu fyrir hendi sem heimilað geti rafræna vöktun húsfélagsins á almannafæri með vísan til 4. gr. reglna nr. 837/2006 og 8. gr. laga nr. 77/2000. Er þá sérstaklega að líta til þeirrar kröfu um meðalhóf sem mælt er fyrir um í 5. gr. reglna nr. 837/2006, sbr. einnig 3. tölulið 7. gr. laga nr. 77/2000. Vægara úrræði, sem væri til þess fallið að ná sama markmiði og tryggja öryggi og eignavörslu, væri að breyta sjónarhorni myndavélanna þannig að þær tækju ekki upp efni utan lóðarinnar við fjöleignarhúsið. Væri þá sama markmiði náð með óþarfa íhlutun í einkalíf þeirra sem leið eiga um svæðið í kringum XXXX eða eiga heimili á nærliggjandi lóðum.

Í svarbréfi húsfélagsins er sérstaklega vikið að skemmdum á girðingu í kringum lóð fjöleignarhússins. Persónuvernd getur fallist á að í því skyni að gæta að girðingunni getur verið réttmætt að eftirlitsmyndavélar nái yfir girðinguna að því marki sem þörf er á til að ná í mynd þeim sem eiga þar leið hjá og verður þá ekki komist hjá því að vöktunin nái yfir svæði sem telst vera á almannafæri. Að því virtu telur Persónuvernd brýnt að skýrar merkingar séu við fjöleignarhúsið sem upplýsi vegfarendur um að rafræn vöktun fari fram og til hvaða svæða hún nái, eins og vikið er að í 3. kafla hér á eftir.

Í svarbréfi húsfélagsins er ekki vikið að eyðingu myndefnis sem safnast við rafræna vöktun en fram kemur að húsvörður noti kerfið til að rekja fyrri atvik ef þörf krefur. Í því ljósi áréttar Persónuvernd að samkvæmt 7. gr. reglna nr. 837/2006 skal eyða persónuupplýsingum sem safnast við rafræna vöktun þegar ekki er lengur málefnaleg ástæða til að varðveita þær. Upplýsingar sem verða til við rafræna vöktun má þó ekki varðveita lengur en í 90 daga nema lög heimili. Frá því eru gerðar vissar undantekningar í ákvæðinu, meðal annars ef upplýsingarnar eru nauðsynlegar til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Getur slík undanþága þá aðeins átt við um tilteknar upptökur sem reynast nauðsynlegar við úrlausn afmarkaðra mála. Sé um að ræða viðkvæmar persónuupplýsingar má aðeins varðveita slíka upptöku hjá lögreglu nema hinn skráði samþykki annað eða Persónuvernd veiti sérstakt leyfi, sbr. 2. tölulið 3. mgr. 9. gr. laga nr. 77/2000.

Að öllu framangreindu virtu telur Persónuvernd að rafræn vöktun við XXXX í Reykjavík sem nær út fyrir lóð fjöleignarhússins samrýmist ekki ákvæðum laga nr. 77/2000 og reglum nr. 837/2006. Beinir stofnunin þeim tilmælum til ábyrgðaraðila, húsfélagsins XXXX, að sjónarhorni eftirlitsmyndavélanna verði breytt þannig að þær vísi ekki að svæðum á almannafæri eða að nærliggjandi lóðum og þeim eignum sem þar eru nema að því marki sem nauðsynlegt er til að gæta að eignum húsfélagsins. Ábyrgðaraðili skal einnig eyða vöktunarefni sem myndavélarnar hafa safnað fram að því og gæta framvegis að þeim ákvæðum 7. gr. reglna nr. 837/2006 sem að framan greinir.

 

3.
Fræðslu- og upplýsingaskylda

Samkvæmt 10. gr. reglna nr. 837/2006 skal ábyrgðaraðili setja reglur og/eða veita fræðslu til þeirra sem sæta rafrænni vöktun. Samkvæmt 1. mgr. skal ábyrgðaraðili rafrænnar vöktunar setja reglur og/eða veita fræðslu til þeirra sem henni sæta. Samkvæmt 2. mgr. skulu slíkar reglur eða fræðsla taka til tilgangs vöktunarinnar, hverjir hafi eða kunni að fá aðgang að upplýsingum sem safnast og hversu lengi þær verði varðveittar. Þá er kveðið á um það í 3. mgr. að í reglum eða fræðslu skuli meðal annars tilgreina rétt viðkomandi til að fá að vita hvaða upplýsingar verði til um hann og rétt hans til að fá upplýsingar leiðréttar eða þeim eytt. Í svarbréfi húsfélagsins kemur fram að íbúar fjöleignarhússins að XXXX viti um tilvist og tilgang myndavélakerfisins. Hins vegar séu engar merkingar við húsið sem upplýsi um að svæðið sé vaktað. Af því leiðir að þegar einstaklingar eiga leið um eða í kringum lóð fjöleignarhússins getur þeim ekki verið ljóst að rafræn vöktun fari þar fram eða til hvaða svæða hún nái.

Persónuvernd beinir þeim fyrirmælum til húsfélagsins XXXX að setja upp merkingar við fjöleignarhúsið sem gefa til kynna að rafræn vöktun fari fram, á hvers vegum hún er og til hvaða svæða hún nái.

 

Ú r s k u r ð a r o r ð:

Rafræn vöktun við XXXX í Reykjavík sem nær út fyrir lóð fjöleignarhússins samrýmist ekki lögum nr. 77/2000 og reglum 837/2006.

Persónuvernd beinir þeim tilmælum til ábyrgðaraðila vöktunarinnar að breyta sjónarhorni eftirlitsmyndavélanna þannig að þær vísi ekki að svæðum á almannafæri eða að nærliggjandi lóðum og þeim eignum sem þar eru nema að því marki sem nauðsynlegt er til að gæta að eignum húsfélagsins.

Ábyrgðaraðili skal eyða vöktunarefni sem myndavélarnar hafa safnað fram að því að sjónarhorni þeirra er breytt.

Persónuvernd beinir þeim tilmælum til ábyrgðaraðila að setja upp merkingar við fjöleignarhúsið sem gefa til kynna að rafræn vöktun fari fram, á hvers vegum hún er og til hvaða svæða hún nái.

Staðfesting á að farið hafi verið að framangreindum tilmælum skal berast Persónuvernd eigi síðar en 1. júlí 2018.