Vinnsla persónuupplýsinga af hálfu lögreglu með notkun hljóð- og myndupptökubúnaðs í lögreglubifreiðum

Mál nr. 2020010724

17.3.2021

Úrskurður

Hinn 1. mars 2021 kvað Persónuvernd upp svohljóðandi ákvörðun í máli nr. 2020010724 (áður mál nr. 2018010540).

I.

Málsmeðferð

1.

Tildrög máls

Hinn 15. september 2018 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir vinnslu persónuupplýsinga hjá lögreglunni á höfuðborgarsvæðinu með notkun hljóð- og myndupptökubúnaðar í lögreglubifreið í þremur tilvikum er hann var færður inn í lögreglubifreið.

Með bréfi, dags. 2. janúar 2019, ítrekuðu 14. febrúar og 19. mars s.á., var lögreglunni á höfuðborgarsvæðinu boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 8. maí 2019. Með bréfi, dags. 13. maí , ítrekuðu 13. júní s.á., var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið lögreglunnar á höfuðborgarsvæðinu. Bárust athugasemdir kvartanda með tölvupósti þann 26. júní 2019. Á tímabilinu 28. ágúst 2019 til 9. desember 2019 áttu sér stað þó nokkur tölvupóstssamskipti við kvartanda, m.a. vegna viðbótar hans við upphaflegu kvörtunina. Með bréfi, dags. 19. desember 2019, ítrekuðu 23. janúar 2020, 17. mars s.á. og með símtali 20. apríl s.á., var lögreglunni á höfuðborgarsvæðinu boðið að koma á framfæri skýringum vegna viðbótarkvörtunar kvartanda. Svarað var með bréfi, dags. 12. maí 2020. Með tölvupóstum 11. og 12. júní 2020 óskaði Persónuvernd eftir frekari upplýsingum frá lögreglunni á höfuðborgarsvæðinu. Svarað var með tölvupóstum 12. og 15. júní s.á. Með bréfi, dags. 12. janúar 2021, óskaði Persónuvernd enn eftir frekari upplýsingum frá lögreglunni á höfuðborgarsvæðinu og barst svar með tölvupósti þann 19. febrúar.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur dregist vegna verulegra anna hjá Persónuvernd auk þess sem aukið var við kvörtun meðan á málsmeðferð stóð.

2.

Sjónarmið kvartanda

Kvartandi kvartar yfir þremur aðskildum atvikum dagana [...] 2017, [...] 2018 og [...] 2018, sem öll varða meinta hljóð- og myndupptöku í lögreglubifreiðum eftir að kvartanda var gert að setjast inn í bifreiðarnar. Í öllum tilfellum byggir kvartandi á því að hljóð- og myndupptökur sem fram hafi farið í lögreglubifreiðunum hafi verið ólöglegar og að honum hafi ekki verið gerð grein fyrir því að upptaka færi fram fyrr en langt var liðið á samtal hans við lögreglumennina hverju sinni. Kvörtunin lýtur jafnframt að því að starfshættir lögreglumanna við kvartanda hafi brotið gegn almennum hegningarlögum nr. 19/1940 og lögreglulögum nr. 90/1996.

3.

Sjónarmið lögreglunnar á höfuðborgarsvæðinu

Lögreglan á höfuðborgarsvæðinu vísar til þess að upptökubúnaður í lögreglubifreiðum, svokallaður vitnabúnaður (e. eyewitness), og búkmyndavélar, falli undir það að vera rafræn vöktun í skilningi persónuverndarlaga. Fyrrgreindur búnaður safni rafrænum myndupptökum á miðlægan grunn á víðneti ríkislögreglustjóra. Heimildir lögreglu til rafræns eftirlits byggi á almennum reglum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi og reglum settum samkvæmt þeim. Þá er jafnframt vísað til 2. mgr. 82. gr. laga nr. 88/2008 um meðferð sakamála sem kveður á um að heimilt sé að taka upp hljóð, taka myndir af fólki og fylgjast með því í þágu rannsóknar á almannafæri eða á stöðum sem almenningur eigi aðgang að án þess að skilyrðum 83. gr. og 1. mgr. 84. gr. sömu laga sé fullnægt. Byggt er á því að vinnsla lögreglu á persónuupplýsingum taki mið af skyldum og hlutverki lögregluyfirvalda eins og það er skilgreint í 2. mgr. 1. gr. lögreglulaga nr. 90/1996. Lögreglan á höfuðborgarsvæðinu beri ríkar skyldur samkvæmt lögreglulögum eins og að gæta almannaöryggis, halda uppi lögum og reglu ásamt því að tryggja réttaröryggi borgaranna. Þá sé lögreglu einnig ætlað að vinna að uppljóstran afbrota, stöðva ólögmæta háttsemi og fylgja málum eftir í samræmi við það sem mælt sé fyrir um í lögum um meðferð sakamála eða öðrum lögum.

Tilgangurinn með notkun vitnabúnaðarins og búkmyndavéla og þar af leiðandi vinnslu upplýsinganna sé m.a. til að uppfylla þessar lagaskyldur, sbr. 3. tölul. 1. mgr. 9. gr. persónuverndarlaga nr. 90/2018. Þá sé tilgangurinn að afla betri sönnunargagna og auka þannig gæði rannsókna, auka líkur á að bera megi kennsl á brotamenn og varpa ljósi á málsatvik þegar ágreiningur er um atvikalýsingu af vettvangi. Í verklagsreglum embættisins um vitnabúnaðinn, [...], er kveðið á um að þegar tækjabúnaðurinn sé notaður skuli tilkynna það þeim sem afskipti séu höfð af að búnaðurinn sé í gangi.

Fram kemur í svörum lögreglunnar að í fyrsta atvikinu sem kvartað sé undan, sem átti sér stað [...] 2017, sé upptakan aðeins bundin við það sem var fyrir framan lögreglubifreiðina, en ekki þegar kvartandi hafi verið kominn inn í lögreglubifreiðina. Þá sé upptakan hljóðlaus en skýrt komi fram í lögregluskýrslu, dags. [...] 2017, að kvartanda hafi verið gerð grein fyrir því að upptaka á hljóði og mynd væri í gangi. Í öðru atvikinu, sem átti sér stað [...] 2018, sé myndupptaka en hljóð vanti á upptökuna og því ekki hægt að staðreyna hvað hafi farið fram milli lögreglumannanna og kvartanda. Ekkert komi hins vegar fram í gögnum þess máls hjá lögreglunni um að kvartanda hafi ekki verið kynnt að upptaka á hljóði og mynd væri í gangi. Í þriðja atvikinu, sem átti sér stað [...] 2018, hafi verið um [lögreglubifreið að ræða sem] sé ekki útbúin vitnabúnaði. Því hafi engin upptaka farið fram og kvartanda því ekki verið tilkynnt um upptöku.

II.

Forsendur og niðurstaða

1.

Afmörkun máls

Sú kvörtun sem til umfjöllunar er í þessu máli lýtur annars vegar að vinnslu persónuupplýsinga um kvartanda hjá lögreglunni á höfuðborgarsvæðinu og hins vegar að því að starfshættir lögreglumanna við kvartanda hafi brotið gegn almennum hegningarlögum nr. 19/1940 og lögreglulögum nr. 90/1996. Með hliðsjón af valdsviði Persónuverndar takmarkast úrskurður þessi við vinnslu persónuupplýsinga af hálfu lögreglunnar á höfuðborgarsvæðinu. Úrskurðurinn tekur því ekki til þess hvort lögreglumennirnir hafi í störfum sínum brotið gegn almennum hegningarlögum eða lögreglulögum við þau atvik sem kvörtun lýtur að, enda fellur úrlausn þess utan valdsviðs Persónuverndar.

Þá tekur úrskurður þessi ekki til þess atviks sem kvartað er yfir og átti sér stað [...] 2018. Í því tilviki var um að ræða lögreglubifreið sem ekki er útbúin hljóð- og myndupptökubúnaði. Var því ekki um að ræða vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar til úrlausnar og er þeim hluta kvörtunar því vísað frá.

Kvörtunin tekur eingöngu til hljóð- og myndupptaka í lögreglubifreiðum en svör lögreglunnar á höfuðborgarsvæðinu lúta einnig að tilhögun og reglum varðandi búkmyndavélar. Í ljósi þess að kvörtun er eingöngu bundin við hljóð- og myndupptökur í lögreglubifreiðum takmarkast úrskurður þessi við það umkvörtunarefni.

2.

Gildissvið – lagaskil – ábyrgðaraðili

Fyrra atvikið sem úrskurður þessi tekur til gerðist fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018. Umfjöllun og efni þessa úrskurðar hvað það atvik varðar byggist því á ákvæðum eldri laga, nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Gildissvið eldri persónuverndarlaga, nr. 77/2000, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, náði til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga, sem voru eða áttu að verða hluti af skrá.

Samkvæmt 2. mgr. 3. gr. laga nr. 77/2000 giltu tiltekin ákvæði laganna ekki um vinnslu persónuupplýsinga sem vörðuðu starfsemi ríkisins á sviði refsivörslu, m.a. ákvæði 18. gr. um upplýsingarétt kvartanda. Hins vegar er til þess að líta að samkvæmt 1. gr. þágildandi reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu, settri með stoð í 3. mgr. 45. gr. laga nr. 77/2000, gilti hún um rafræna vinnslu persónuupplýsinga hjá lögreglu í þágu lögreglustarfa. Í 8. gr. reglugerðarinnar er kveðið á um upplýsingarétt einstaklinga. Hinn skráði átti samkvæmt ákvæðinu rétt á að fá vitneskju um hvaða upplýsingar um hann er eða hafi verið unnið með, tilgang vinnslunnar og hver fái, hafi fengið eða muni fá upplýsingar um hann.

Síðara atvikið gerðist eftir gildistöku núgildandi laga, nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi hinn 15. júlí 2018. Með lögunum var jafnframt lögfest reglugerð (ESB) 2016/679 (almenna persónuverndarreglugerðin), eins og hún var aðlöguð og tekin upp í EES-samninginn.

Samkvæmt 6. mgr. 4. gr. laga nr. 90/2018 gilda lögin og reglugerð (ESB) 2016/679 ekki um vinnslu persónuupplýsinga af hálfu ríkisins við það að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum. Til þess er hins vegar að líta að þegar atvikið átti sér stað þann [...] 2018, giltu þó tiltekin ákvæði laganna um vinnslu persónuupplýsinga sem vörðuðu starfsemi ríkisins á sviði refsivörslu, sbr. ákvæði til bráðabirgða III, þ.m.t. 3. og 39. gr. og 42. gr. þeirra. Ákvæði 17. gr. laganna, sem kveður á um aðgangs- og upplýsingarétt einstaklinga, var á hinn bóginn ekki á meðal þeirra ákvæða sem giltu um slíka vinnslu.

Samkvæmt ákvæði til bráðabirgða II í lögum nr. 90/2018 halda reglugerðir, sem ráðherra hefur gefið út á grundvelli eldri laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gildi sínu fari þær ekki í bága við lög nr. 90/2018 eða reglugerð (ESB) 2016/679. Í athugasemdum við ákvæðið í frumvarpi því sem varð að lögum nr. 90/2018 segir að um sé að ræða nokkurt safn reglna sem sumar hverjar hafi mikla þýðingu og þar megi nefna sem dæmi reglugerð nr. 322/2001.

Af framangreindu leiðir að hvað varðar seinna atvikið fór því um upplýsingarétt kvartanda samkvæmt reglugerð nr. 322/2001.

Samkvæmt 1. mgr. 39. gr. laga nr. 90/2018 annast Persónuvernd eftirlit með framkvæmd þeirra laga, reglugerðar (ESB) 2016/679, sérákvæða í lögum sem fjalla um vinnslu persónuupplýsinga og annarra reglna um efnið, sbr. sambærilegt ákvæði í 1. mgr. 37. gr. laga nr. 77/2000. Af þessu ákvæði leiðir að þegar bæði atvikin sem kvartað er yfir áttu sér stað gilti um upplýsingarétt kvartanda reglugerð nr. 322/2001 og annaðist Persónuvernd eftirlit með framkvæmd hennar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölulið 4. gr. reglugerðarinnar, sbr. og sambærilegt ákvæði í 4. tölulið 2. gr. eldri laga nr. 77/2000. Eins og hér háttar til telst lögreglan á höfuðborgarsvæðinu vera ábyrgðaraðili að umræddri vinnslu.

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að byggja á einhverri þeirra heimilda sem greinir í 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. 1. mgr. 8. gr. laga nr. 77/2000. Í því máli sem hér er til umfjöllunar kemur helst til skoðunar 3. töluliður 9. gr. laga nr. 90/2018, sbr. áður 3. tölulið 1. mgr. 8. gr. laga nr. 77/2000. Samkvæmt því ákvæði er heimilt að vinna persónuupplýsingar til þess að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila.

Auk þess að styðjast við fullnægjandi heimildir samkvæmt persónuverndarlögum þarf öll vinnsla persónuupplýsinga jafnframt að samrýmast öllum meginreglum laganna, þar á meðal að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. og 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

Sem fyrr segir fór um upplýsingarétt kvartanda og þ.a.l. fræðsluskyldu lögreglu eftir reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu. Samkvæmt 8. gr. hennar á hinn skráði rétt á að fá vitneskju um hvaða upplýsingar um hann er eða hafi verið unnið með, tilgang vinnslunnar og hver fái, hafi fengið eða muni fá upplýsingar um hann.

Þá liggja fyrir verklagsreglur lögreglunnar á höfuðborgarsvæðinu um meðferð svokallaðs vitnabúnaðar. Samkvæmt 1. gr. þeirra reglna skal lögregla gera þeim sem afskipti eru höfð af, og upptakan varðar, skýra grein fyrir því svo fljótt sem aðstæður leyfa að tækjabúnaður sé notaður til hljóð- og/eða myndupptöku. Verklagsreglurnar gera þannig ráð fyrir að þeim einstaklingi sem höfð eru afskipti af sé veitt fræðsla og upplýsingar um að tiltekin vinnsla persónuupplýsinga fari fram með tilteknum búnaði.

Með lögum nr. 90/2018 er lögð aukin og sjálfstæð skylda á ábyrgðaraðila sem felur í sér að ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt meginreglur persónuverndarlöggjafarinnar og hann skal geta sýnt fram á það, sbr. 2. mgr. 8. gr. laga nr. 90/2018. Persónuupplýsingar skulu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Forsenda þess að vinnsla teljist sanngjörn samkvæmt framangreindu er að hún sé gagnsæ gagnvart hinum skráða en í því felast m.a. kröfur til þess að hinn skráði viti um vinnsluna og fái um hana fræðslu. Sem fyrr er rakið átti kvartandi rétt á vitneskju um vinnslu persónuupplýsinga um hann í samræmi við 8. gr. reglugerðar nr. 322/2001, sbr. ákvæði II til bráðabirgða í lögum nr. 90/2018.

Hvað varðar fyrra atvikið sem úrskurður þessi tekur til, dags. [...] 2017, hefur komið fram í svörum ábyrgðaraðila að upptakan hafi verið bundin við það sem var framan við lögreglubifreiðina en ekki sé til upptaka af því þegar kvartandi hafi verið kominn inn í bifreiðina. Þá hafi upptakan verið hljóðlaus. Í lögregluskýrslu sem er meðal gagna málsins, og lögregluembættið byggir á, kemur fram að kvartanda hafi verið gerð grein fyrir því að upptaka á hljóði og mynd færi fram. Verður því að mati Persónuverndar talið að kvartanda hafi verið veitt sú vitneskja sem hann átti rétt á skv. 8. gr. reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.

Hvað síðara atvikið varðar, dags. [...] 2018, hefur komið fram að myndupptaka fór fram í lögreglubifreiðinni þegar kvartandi var í henni, en hljóðupptöku vantar. Af hálfu lögreglunnar liggja ekki fyrir gögn sem sýna fram á að kvartanda hafi verið veitt vitneskja um að upptaka færi fram á hljóði og mynd. Því er ekki hægt að staðreyna hvað fór fram milli lögreglumannanna og kvartanda. Verður lögreglan á höfuðborgarsvæðinu talin þurfa að bera hallann af því að geta ekki sýnt fram á að vitneskjan hafi verið veitt. Af þeirri ástæðu telur Persónuvernd að ábyrgðarskylda lögreglunnar á höfuðborgarsvæðinu, sbr. 2. mgr. 8. gr. laga nr. 90/2018 hafi ekki verið uppfyllt.

Verður því að mati Persónuverndar talið að kvartanda hafi ekki verið veitt sú vitneskja sem hann átti rétt á skv. 8. gr. reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu þegar atvikið [...] 2018 átti sér stað. Þá er það mat Persónuverndar að ábyrgðaraðili hafi ekki sýnt fram á að umrædd vinnsla persónuupplýsinga hafi uppfyllt meginreglur 1. mgr. 8. gr. laga nr. 90/2018, sbr. 2. mgr. sama ákvæðis.

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla lögreglunnar á höfuðborgarsvæðinu á persónuupplýsingum um kvartanda hjá lögreglunni á höfuðborgarsvæðinu þann [...] 2017 samrýmdist lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.

Hins vegar samrýmdist vinnsla lögreglunnar á höfuðborgarsvæðinu á persónuupplýsingum um kvartanda þann [...] 2018 ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga og reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.

Ú r s k u r ð a r o r ð:

Þeim þætti kvörtunar [A] sem lýtur að atviki þann [...] 2018 er vísað frá.

Vinnsla lögreglunnar á höfuðborgarsvæðinu á persónuupplýsingum um [A] hjá lögreglunni á höfuðborgarsvæðinu þann [...] 2017 samrýmdist lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.

Vinnsla lögreglunnar á höfuðborgarsvæðinu á persónuupplýsingum um [A] þann [...] 2018 samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.

Í Persónuvernd, 1. mars 2021

Helga Þórisdóttir                       Vigdís Eva Líndal