Veiting aðgangs að efni úr rafrænni vöktun

Mál nr. 2018/806

19.11.2019

Ákvörðun

Hinn 31. október 2019 tók stjórn Persónuverndar svohljóðandi ákvörðun í máli nr. 2018/806:

I.

Málsmeðferð

1.

Upphaf máls

Þann 11. apríl 2018 barst Persónuvernd ábending um að tilteknum aðila hefði verið veittur aðgangur að efni sem varð til við rafræna vöktun á vegum Alþingis. Nánar tiltekið segir í ábendingunni að kennarar [skólans X] hafi gripið þrjá nemendur skólans við að neyta vímuefna á lóð Alþingis. Haft hafi verið samband við foreldra barnanna, en foreldrar eins þeirra hafi hafnað því að barnið hefði tekið þátt í neyslunni. Í kjölfarið hafi skólastjóri [X] haft samband við Alþingi og óskað eftir aðgangi að efni úr eftirlitsmyndavél í því skyni að geta sýnt fram á þátttöku hvers og eins þeirra. Hafi skólastjóranum verið veittur aðgangur að þessu efni og hafi börnin á upptökunni sést neyta vímuefnanna.

2.

Bréfaskipti

Með bréfi, dags. 18. júní 2018, tilkynnti Persónuvernd skrifstofu Alþingis um ábendinguna og óskaði eftir upplýsingum um meðferð efnis sem verður til við rafræna vöktun á vegum Alþingis og hvort skólastjóra [X], eða öðrum aðilum, hefði nýlega verið veittur aðgangur að vöktunarefni. Auk þess var óskað svara um hvernig Alþingi teldi það hafa samrýmst 2. mgr. 9. gr. þágildandi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, auk 3. mgr. 7. gr. reglna nr. 837/2006 um rafræna vöktun og meðferð upplýsinga sem verða til við rafræna vöktun, að veita viðkomandi aðgang að umræddu efni.

Svar skrifstofu Alþingis barst með bréfi, dags. 29. júní 2018. Í bréfinu segir m.a.:

„Tildrög málsins eru eftirfarandi:

Skólastjóri [X] kom að máli við mig og spurði hvort Alþingi væri með eftirlitsmyndavélar í bakrými við Templarasund 5 þar sem Umboðsmaður Alþingis er til húsa. Vil bara minna á að þingverðir sjá um vörslu á þessu svæði. Ég sagði svo vera. [Skólastjórinn] spurði þá hvort hægt væri að [fá] upptökur af þessu svæði vegna þess að kennarar við skólann hefðu komið að nemendum úr skólanum við neyslu á kannabis á þessu svæði. Ég sagði að ekki væri hægt að fá neitt afhent út kerfinu nema það kæmi frá lögreglu en bætti við að ég gæti leyft [skólastjóranum] að sjá mynd af svæðinu. Það gerði ég og sýndi ég skólastjóranum efni úr einni vél og fór þetta fram á skrifstofunni hjá mér.“

Þá segir í bréfinu að engin afrit hafi verið gerð af myndefni með umræddu atviki og að ekki séu lengur til upptökur af því. Einnig segir að skrifstofa Alþingis hafi yfirfarið atvik málsins og farið yfir meðferð og eyðingu efnis úr öryggismyndavélum. Niðurstaða skrifstofunnar sé að um hafi verið að ræða undantekningu frá fastri framkvæmd. Í bréfinu segir jafnframt að þó að ljóst sé að leitast hafi verið við að verða við málefnalegum óskum stjórnenda [X] hafi ekki verið gætt ákvæða 3. mgr. 7. gr. reglna nr. 837/2006. Að lokum segir að skrifstofan hafi endurskoðað verklag sitt við meðferð persónuupplýsinga sem verða til við rafræna vöktun svo að atvik af þeim toga sem um ræðir í þessu máli gerist ekki aftur.

Með bréfi, dags. 5. október 2018, óskaði Persónuvernd eftir upplýsingum frá skrifstofu Alþingis um hvort skrifstofan hefði upplýst forsjáraðila nemendanna, samhliða skoðun myndefnisins, um að skrifstofan hefði haft undir höndum myndefni sem sýndi neyslu kannabisefna. Svar barst með bréfi, dags. 26 s.m., þar sem segir m.a. að starfsmenn skrifstofu þingsins hafi ekki lagt mat á eða tekið afstöðu til þess sem fram kom á upptökunni og hafi ekki verið í þeirri aðstöðu að geta fullyrt að um væri að ræða myndefni sem sýndi viðkomandi einstaklinga neyta kannabisefna. Auk þess segir í bréfinu að skrifstofa Alþingis hafi ekki haft upplýsingar um nöfn þeirra einstaklinga eða forsjáraðila þeirra sem umrætt myndefni var af. Að lokum er áréttað í bréfinu að Alþingi hafi þegar endurskoðað verklag sitt við meðferð persónuupplýsinga sem aflað er með rafrænni vöktun.

II.

Ákvörðun Persónuverndar

1.

Lagaskil

Mál þetta er til komið vegna ábendingar sem barst Persónuvernd þann 11. apríl 2018 og lýtur að atvikum sem gerðust fyrir gildistöku núgildandi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Umfjöllun og efni þessarar ákvörðunar verða því byggð á ákvæðum eldri laga, nr. 77/2000.

2.

Gildissvið – Ábyrgðaraðili

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 6. tölul. 2. gr. laga nr. 77/2000. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og sjónvarpsvöktunar sem fram fer með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Af framangreindu er ljóst að umrædd skoðun á myndefni, sem varð til í tengslum við rafræna vöktun á vegum Alþingis, í kjölfar beiðni skólastjóra [X] telst fela í sér vinnslu samkvæmt framangreindu. Hér er því um að ræða vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 1. mgr. 8. gr. laga nr. 77/2000. Má þar m.a. nefna að vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. ákvæðisins, eða að hún sé nauðsynleg til að gæta lögmætra hagsmuna, enda vegi grundvallarréttindi og frelsi hins skráða ekki þyngra, sbr. 7. tölul. sömu málsgreinar. Þá verður vinnsla viðkvæmra persónuupplýsinga, sbr. 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna, en á meðal þeirra er að vinnsla sé nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Til viðkvæmra persónuupplýsinga teljast meðal annars upplýsingar um heilsuhagi, þar á meðal um lyfja-, áfengis- og vímuefnanotkun, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000.

Við mat á því hvort heimilt var að veita aðgang að myndefninu sem um ræðir er jafnframt nauðsynlegt að líta til þeirra heimilda sem vöktunin sjálf studdist við. Almennt verður að líta svo á að ábyrgðaraðila sé heimil vöktun á yfirráðasvæði sínu í öryggis- og eignavörslutilgangi en slík vöktun getur stuðst við heimild í áðurnefndum 7. tölul. 8. gr. laga nr. 77/2000. Þá ber að líta til þess að samkvæmt 2. mgr. 9. gr. laganna er heimilt, í tengslum við framkvæmd rafrænnar vöktunar, að safna efni sem verður til við vöktunina, svo sem hljóð- og myndefni, með viðkvæmum persónuupplýsingum ef uppfyllt eru þrjú nánar tiltekin skilyrði, þ.e. að vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni; það efni sem til verður við vöktunina verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða samkvæmt ákvörðun Persónuverndar, en þó er heimilt að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað; og að því efni sem safnast við vöktunina verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það, nema sérstök heimild Persónuverndar standi til frekari varðveislu.

Af framangreindu er ljóst að heimild til söfnunar umrædds myndefnis, sem varð til við rafræna vöktun á vegum Alþingis og innihélt viðkvæmar persónuupplýsingar, var háð því skilyrði að ekki yrði unnið frekar með efnið nema samkvæmt ákvörðun Persónuverndar eða með samþykki þeirra sem upptakan var af eða forsjáraðila þeirra. Var skrifstofu Alþingis því óheimilt, samkvæmt 2. tölul. 2. mgr. 9. gr. laga nr. 77/2000, að veita utanaðkomandi aðilum aðgang að myndefninu, að undanskilinni lögreglu.

Tekið skal fram að í ljósi þess að samkvæmt upplýsingum Alþingis hefur það þegar endurskoðað verklag sitt við meðferð persónuupplýsinga, sem aflað er með rafrænni vöktun, til að koma í veg fyrir að atvik af þessum toga endurtaki sig, telur Persónuvernd ekki tilefni til þess að gefa fyrirmæli um úrbætur.

Meðferð þessa máls hefur tafist vegna mikilla anna hjá Persónuvernd.

Á k v ö r ð u n a r o r ð:

Aðgangur sem skrifstofa Alþingis veitti að myndefni af ólögráða nemendum [X] úr eftirlitsmyndavélum samrýmdist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

Í Persónuvernd, 31. október 2019

Björg Thorarensen
formaður

Aðalsteinn Jónasson                Ólafur Garðarsson

Þorvarður Kári Ólafsson