Úrskurður um vinnslu persónuupplýsinga hjá Heilbrigðiseftirliti Reykjavíkur

Mál nr. 2020010710

6.4.2021

Úrskurður

Hinn 19. mars 2020 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010710:

I.

Málsmeðferð

1.

Tildrög máls

Þann 19. desember 2019 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur „kvartandi“) yfir vinnslu persónuupplýsinga á vegum Heilbrigðiseftirlits Reykjavíkur (HER). Með kvörtuninni fylgdi tilkynning HER vegna kvörtunar sem stofnuninni barst yfir úrgangi á landi kvartanda sem heilbrigðiseftirlitinu hafði borist ásamt afriti af eftirlitsskýrslu þess.

Nánar tiltekið er kvartað yfir því að fulltrúar HER hafi farið inn á einkalóð kvartanda án þess að gera vart við sig og tekið þar ljósmyndir af fasteign og lausamunum hans og gestkomandi án heimildar. Með kvörtuninni fylgdu tvö skjöl í þessu sambandi. Annars vegar var þar um að ræða tilkynningu HER til kvartanda, dags. 3. desember 2019, um fyrrnefnda kvörtun sem HER hafði borist vegna hans. Hins vegar var um að ræða skýrslu HER frá 14. október 2019 um eftirlitsferð vegna kvörtunarinnar, en HER hafði sent kvartanda skýrsluna hinn 11. desember s.á.

2.

Bréfaskipti

Með bréfi til kvartanda, dags. 6. maí 2020, fór Persónuvernd yfir heimildir HER samkvæmt lögum nr. 7/1998 um hollustuhætti og mengunarvarnir í tengslum við vinnslu persónuupplýsinga, m.a. ákvæði um rannsóknarvald og eftirlitsskyldu. Þá var í bréfi Persónuverndar einnig fjallað um heimildir HER til aðgangs, skoðunar og eftirlits, þ. á m. töku sýna og myndatöku, að öllum þeim stöðum sem lög nr. 7/1998, reglugerðir og samþykktir ná yfir, svo og heimild HER til að leita aðstoðar lögreglu ef með þarf. Var í umræddu bréfi óskað eftir afstöðu kvartanda til þess hvort hann óskaði enn eftir efnislegri úrlausn á kvörtun sinni.

Persónuvernd barst svarbréf kvartanda, dags. 26. maí 2020, þar sem hann óskaði eftir efnislegri úrlausn stofnunarinnar á kvörtun sinni.

Með bréfi, dags. 4. nóvember 2020, var HER boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 25. s.m.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Mál þetta hefur dregist vegna anna hjá Persónuvernd.

3.

Sjónarmið kvartanda

Kvartandi byggir kvörtun sína á því að starfsmenn HER hafi farið inn á einkalóð hans, og tekið þar ljósmyndir af fasteignum og lausafjármunum án heimildar. Þeir hafi ekki gert vart við sig, þrátt fyrir að kvartandi hafi þá verið heima, né hafi þeir óskað eftir fylgd um svæðið. Ljósmyndir hafi meðal annars verið teknar af bifreiðum gestkomandi þar sem númer bifreiðanna hafi verið sýnileg. Þá hafi einnig sést inn um glugga íbúðarhúss kvartanda. Byggir kvartandi einnig á að með umræddri heimsókn og gagnaöflun hafi starfsmenn HER ekki gætt meðalhófs og að heimsóknin hafi falið í sér innrás í friðhelgi einkalífs hans.

4.

Sjónarmið Heilbrigðiseftirlits Reykjavíkur

HER vísar til þess að á sér hvíli meðal annars það hlutverk að fara með hollustuhátta-, matvæla- og mengunarvarnaeftirlit í Reykjavík og stuðla að öflugri umhverfisvöktun og fræðslu til almennings í borginni. HER sé faglega sjálfstæð stjórnsýslustofnun með rekstrarlega tengingu við Reykjavíkurborg og fylgi ákvæðum stjórnsýslulaga nr. 37/1993. Samkvæmt lögum og reglugerð um hollustuhætti og mengunarvarnir sé umráðamönnum lóða skylt að halda lóðum hreinum og snyrtilegum og að haga meðferð úrgangs svo að óþrifnaður og óþægindi stafi ekki af. Þá sé bannað að skilja eftir, flytja, dreifa eða geyma úrgang á þann hátt að valdið geti skaða, mengun eða lýtum á umhverfinu. Þetta gildi jafnt um smærri sem stærri hluti. Það sé hlutverk heilbrigðisnefnda að hafa eftirlit með almennum þrifnaði og hreinlæti utanhúss og hlutast til um að hreinsun fari fram ef þörf krefur.

Í svörum HER kemur fram að öllum kvörtunum sem berist stofnuninni beri að sinna og rannsaka, sbr. 10. gr. stjórnsýslulaga. HER hafi borist kvörtun vegna bílhræja og úrgangs að […]. Forkönnun í borgarvefsjá hafi staðfest að um væri að ræða uppsöfnun bílhræja og annars úrgangs og að full ástæða hafi þótt fyrir fulltrúa HER að skoða aðstæður nánar vegna kvörtunarinnar. Í vettvangskönnun hafi verið staðfest að fjöldi bíla, bílhræja og brúsa sem innihaldið gætu spilliefni ásamt öðrum úrgangi hafi verið við og nærri íbúðarhúsinu og öðrum byggingum að [...]. Það hafi þótt nauðsynlegt að taka 23 ljósmyndir af vettvangi til sönnunar þar sem ákveðin hætta hafi verið á að mengunaróhapp gæti orðið. Þegar heilbrigðisfulltrúi HER fari á vettvang og taki myndir vegna kvörtunar sem berist eftirlitinu, séu myndirnar meðal þeirra gagna sem notuð séu til að greina hvort brotið sé gegn lögum og reglum sem HER vinnur eftir sem eftirlitsaðili. Tilgangur HER með umræddri vettvangskönnun og ljósmyndatöku hafi því verið sá að framfylgja lagaskyldu sem hvílir á stofnuninni. Upplýsingarnar sem aflað hafi verið séu einvörðungu nýttar í þeim tilgangi.

Einnig segir í svörum HER að heilbrigðisfulltrúar sem fara í vettvangskönnun séu bundnir trúnaði vegna starfa sinna og séu gögnin varðveitt í aðgangsstýrðum möppum. Þegar óskað sé eftir gögnum máls á grundvelli upplýsingalaga sé strikað yfir auðkenni, m.a. bílnúmer og aðrar persónugreinanlegar upplýsingar. Þá segir að vinnslan fari fram í samræmi við 8. gr. laga nr. 90/2018, en meðal annars sé þeim er kvörtun beinist að send tilkynning um kvörtunina að eftirliti loknu ásamt eftirlitsskýrslu sem rituð sé í kjölfar vettvangskönnunar, málefnalegur tilgangur vinnslunnar sé að framfylgja lögbundinni eftirlitsskyldu sem hvíli á HER og ekki sé safnað meiri gögnum en nauðsynlegt sé. Mikilvægt sé að stjórnvald sem fari með slíkar rannsóknarheimildir og hér um ræðir tryggi sér sönnur bæði gagnvart kvartanda og þeim sem kvartað er yfir, og geti sýnt fram á að aðhafst hafi verið vegna innkominna mála, sérstaklega þar sem hætta geti skapast t.d. mengunarhætta líkt og talið hafi verið í umræddu máli. Þá sé verklagið mikilvægt til að tryggja að ákvarðanir eftirlits HER séu í þeim búningi að skýrlega liggi fyrir á hverju niðurstaða máls grundvallist.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðar (ESB) 2016/679.

Sé unnt að tengja lausafé einstaklingi, t.d. á grundvelli skráningarnúmers bifreiðar sem hann er skráður eigandi að, geta upplýsingar um það talist til persónuupplýsinga, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar. Hið sama á við um upplýsingar um fasteignir.

Myndataka af fasteignum og lausafé, þ. á m. bifreiðum, getur því falið í sér vinnslu persónuupplýsinga sem fellur undir gildissvið persónuverndarlaga. Mál þetta varðar ljósmyndatöku á lóð kvartanda af fasteignum og lausafé, m.a. af bifreiðum kvartanda og gesta hans þannig að skráningarnúmer sjást, auk skráningar upplýsinga í þessu sambandi vegna vettvangsheimsóknar heilbrigðisfulltrúa.

Að þessu virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

HER starfar í umboði heilbrigðisnefndar Reykjavíkurborgar og sér um að framfylgja lögum um hollustuhætti og mengunarvarnir nr. 7/1998, lögum um matvæli nr. 93/1995 og öðrum þeim lögum og reglugerðum er um starfsemina gilda. Öllum sveitarfélögum í landinu er skylt að reka heilbrigðiseftirlit sem eru faglega sjálfstæðar stjórnsýslustofnanir með rekstrarlega tengingu við sveitarfélögin. Eins og hér háttar til telst Heilbrigðiseftirlit Reykjavíkur því ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. 9. gr. laganna og c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þá er vinnsla heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. 9. gr. laganna og e-lið 1. mgr. 6. gr. reglugerðarinnar.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Við mat á hvort fullnægt sé kröfum 8. og 9. gr. laga nr. 90/2018, sbr. samsvarandi ákvæði reglugerðar (ESB) 2016/679, verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni, þ. á m. þeirra ákvæða sem HER starfar eftir. Reynir þar á lög nr. 7/1998 um hollustuhætti og mengunarvarnir, en í 1. mgr. 62. gr. þeirra laga er mælt fyrir um heimild heilbrigðisnefnda og heilbrigðisfulltrúa sem hjá þeim starfa til aðgangs að öllum þeim stöðum sem lögin, reglugerðir og samþykktir ná yfir í þágu skoðunar og eftirlits, þ. á m. töku sýna og myndatöku. Þá segir að heimilt sé að leita aðstoðar lögreglu ef með þarf.

Samkvæmt þeim skýringum, sem borist hafa frá HER var sú vinnsla sem um ræðir í máli þessu til komin vegna athugunar á hvort farið væri að reglugerð nr. 737/2003 um meðhöndlun úrgangs, en sú reglugerð sækir stoð í meðal annars 4. og 5. gr. laga nr. 7/1998. Í því sambandi fjallar HER um athugasemdir sem borist höfðu við tilteknar aðstæður á lóð kvartanda sem álitnar voru kalla á athugun í ljósi þeirra reglna sem fram koma í 3. og 4. mgr. 11. gr. og 1. mgr. 16. gr. reglugerðarinnar. Þá er því lýst að vegna rannsóknar málsins hafi verið beitt úrræðum sem tilgreind eru í fyrrnefndu ákvæði 2. mgr. 62. gr. laga nr. 7/1998, þ.e. skoðun á vettvangi og myndatöku. Þar reynir sérstaklega á hvort veita hafi þurft kvartanda fræðslu, sbr. fyrrnefnda kröfu um gagnsæi samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. einnig ákvæði um upplýsingar sem veita ber hinum skráða um vinnslu samkvæmt 13. og 14. gr. reglugerðar (ESB) 2016/679, sbr. 2. mgr. 17. gr. laga nr. 90/2018. Þessi ákvæði eiga við um það annars vegar þegar persónuupplýsinga er aflað hjá hinum skráða sjálfum og hins vegar þegar þeirra er aflað hjá öðrum en hinum skráða. Eins og fyrr greinir voru við umrætt eftirlit HER teknar ljósmyndir á lóð kvartanda af fasteignum og lausafé, þ. á m. bifreiðum þannig að skráningarnúmer sáust, og upplýsingar í þessu sambandi skráðar.

Í III. kafla reglugerðar (ESB) 2016/679 er meðal annars fjallað um réttindi skráðs einstaklings og mælt fyrir um reglur svo að hann geti neytt réttar síns. Samkvæmt 14. gr. reglugerðarinnar virkjast tiltekin fræðsluskylda þegar persónuupplýsingar hafa ekki fengist hjá hinum skráða sjálfum. Persónuvernd telur að framangreindar aðstæður sem virkjað gætu fræðsluskyldu samkvæmt ákvæðinu eigi ekki við í málinu.

Við öflun persónuupplýsinga hjá skráðum einstaklingi getur á hinn bóginn fræðsluskylda ábyrgðaraðila, skv. 13. gr. reglugerðarinnar, virkjast. Við mat á því hvort framangreind fræðsluskylda eigi við verður að gera ráð fyrir einhvers konar aðkomu hins skráða við slíka upplýsingagjöf. Ljósmyndataka af hlutum í eigu einstaklinga sem sjáanlegir eru úti við og skráning á upplýsingum um þá af þriðja aðila felur ekki í sér aðkomu hins skráða. Að því virtu telur Persónuvernd ljóst að í umræddri myndatöku og skráningu felist ekki öflun persónuupplýsinga frá hinum skráða sjálfum þannig að fræðsluskylda í því sambandi virkist.

Af hinni almennu gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 getur leitt að veita þurfi fræðslu þegar þeim tilvikum sem falla undir 13. og 14. gr. reglugerðar (ESB) 2016/679 sleppir. Við mat á því hvort sérstök fræðsluskylda eigi við samkvæmt almennu gagnsæiskröfunni getur meðal annars skipt máli hvort brýnar ástæður leiði til þess að stjórnvald viðhafi frumkvæðiseftirlit án þess að upplýst sé um það fyrirfram. Um mat í þeim efnum fer eftir almennum reglum stjórnsýsluréttarins, sbr. m.a. rannsóknarreglu 10. gr. stjórnsýslulaga nr. 37/1993 og meðalhófsreglu 13. gr. sömu laga. Telur Persónuvernd sig ekki, eins og á stendur, geta endurskoðað það mat HER að viðhafa hafi þurft eftirlit í umræddu tilviki án fyrirfram tilkynningar til kvartanda í ljósi sjónarmiða samkvæmt persónuverndarlöggjöf.

Í ljósi framangreinds telur Persónuvernd þá vinnslu persónuupplýsinga um kvartanda hjá Heilbrigðiseftirliti Reykjavíkur, sem kvörtun þessi tekur til, hafa stuðst við heimild samkvæmt 3. og 5. tölul. 9. gr. laga nr. 90/2018. Þá verður ekki séð að brotið hafi verið gegn grunnkröfum 1. mgr. 8. gr. sömu laga, né heldur öðrum ákvæðum laganna, og telst vinnslan því hafa samrýmst þeim.

Ú r s k u r ð a r o r ð:

Vinnsla Heilbrigðiseftirlits Reykjavíkur á persónuupplýsingum um [A] vegna eftirlits með hollustuháttum og mengunarvörnum í borginni samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 19. mars 2020

Helga Þórisdóttir                     Þórður Sveinsson