Bréf

  

I

Ég vísa til erindis yðar til umboðsmanns Alþingis frá 10. febrúar sl. þar sem þér kvartið yfir úrskurði stjórnar Persónuverndar frá 17. desember 2020 í máli nr. 2020010548 (áður mál nr. 2018101634). Í úr­skurðinum komst Persónuvernd að þeirri niðurstöðu að rafræn vöktun á yðar vegum að [...] samrýmdist ekki ákvæðum laga nr. 90/2018, reglugerðar (ESB) 2016/679 og reglna nr. 837/2006 um raf­ræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Var yður gert að láta af vöktuninni tafarlaust og eyða vöktunar­efni sem safnast hefði til þessa. Þér skylduð jafnframt eyða uppteknu efni sem þér hefðuð deilt á myndbandaveitunni Youtube.

Af kvörtuninni verður ráðið að þér séuð ósáttir við niðurstöðu Persónu­verndar í málinu og byggið jafnframt á því að ekki hafi verið gætt að andmælarétti yðar með fullnægjandi hætti við meðferð málsins þar sem lögð hafi verið fram ný gögn og myndir sem þér hafið ekki fengið að gera athugasemdir við.

Umbeðin gögn málsins bárust 1. mars sl. frá Persónuvernd.

  

II

Um persónuvernd og vinnslu persónuupplýsinga gilda lög nr. 90/2018. Samkvæmt 1. mgr. 4. gr. laganna gilda þau um vinnslu persónu­upp­lýsinga sem er sjálfvirk að hluta eða í heild og um vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Í 2. mgr. 4. gr. kemur þó fram að lögin og reglugerðin gildi ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Í 8. gr. laga nr. 90/2018 er að finna meginreglur um vinnslu persónuupplýsinga og í 9. og 11. gr. er að finna heimildir fyrir vinnslu persónuupplýsinga. Samkvæmt 6. tölul. 9. gr. laga nr. 90/2018 er vinnsla persónuupplýsinga heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hags­munir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn.

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálf­virkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Hugtakið tekur til vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga og  sjónvarpsvöktunar sem fer fram með notkun sjónvarpsmyndavéla, vefmyndavéla eða annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir sem jafngilda vinnslu persónuupplýsinga.

Í 1. mgr. 14. gr. laga nr. 90/2018 kemur fram að rafræn vöktun sé  ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis þar sem takmarkaður hópur fólks fer um að jafnaði er jafnf­ramt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starf­semi sem þar fer fram. Í 4. mgr. sama ákvæðis segir að þegar rafræn vöktun fer fram á vinnustað eða á almannafæri skuli með merki eða á annan áberandi hátt gera glögglega viðvart um þá vöktun og hver sé ábyrgðaraðili. Jafnframt eru í gildi reglur Persónuverndar nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, með stoð í lögum nr. 90/2018.    

Samkvæmt 2. mgr. 39. gr. laga nr. 90/2018 hefur sérhver skráður einstaklingur eða fulltrúi hans rétt til að leggja fram kvörtun hjá Persónuvernd ef hann telur að vinnsla persónuupplýsinga um hann hér á landi eða samkvæmt sérreglum 7. gr. laganna brjóti í bága við reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679 eða ákvæði laganna. Persónu­vernd úrskurðar um hvort brot hafi átt sér stað. Þá segir að Persónuvernd geti fjallað um einstök mál og tekið í þeim ákvörðun að eigin frumkvæði eða samkvæmt erindi þess sem telur að ekki hafi verið unnið með per­sónu­upplýsingar um sig í samræmi við lög þessi og reglur sem settar eru samkvæmt þeim eða einstökum fyrirmælum, sbr. 3. mgr. 39. gr.

Af framangreindu leiðir að þegar Persónuvernd berst kvörtun frá einstaklingi sem telur vinnslu persónuupplýsinga um sig, s.s. skráningu þeirra eða varðveislu, brjóta gegn réttindum sínum ber stofnuninni almennt að taka til athugunar hvort vinnslan hefur samrýmst ákvæðum laga nr. 90/2018, reglum settum samkvæmt þeim og eftir atvikum sérlagaákvæðum sem stofnuninni hefur verið falið að hafa eftirlit með.

Athugun mín á kvörtun yðar hefur beinst að því hvort niðurstaða Persónuverndar hafi verið í samræmi við lög og hvort málsmeðferð stofnunarinnar hafi verið í samræmi við skráðar og óskráðar reglur  stjórnsýsluréttar.  

  

III

1

Af úrskurði Persónuverndar í máli nr. 2020010548 fæ ég ráðið að lagt hafi verið til grundvallar að rafræn vöktun á yðar vegum við heimili yðar í fjölbýli að [...] gæti ekki fallið undir undan­þágu­ákvæði 2. mgr. 4. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. c-lið 2. mgr. 2. gr. reglugerðar (ESB) 2016/679, sem mælir, eins og áður er rakið, fyrir um að lögin og reglugerðin gildi ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Er í því sambandi vísað til sjónarmiða úr framkvæmd Evrópudómstólsins, þ.e. forúrskurðar í máli nr. C-212/13 (František Reyneš) frá 11. desember 2014. Telur dómurinn að slíka undanþágu skuli túlka þröngt og því gæti myndupptaka í eftirlitsskyni sem tæki, jafnvel eingöngu að hluta, til svæða utan yfirráðsvæðis ábyrgðaraðila, ekki fallið undir undanþáguákvæðið. Tók Persónuvernd mið af þeim upplýsingum og gögnum sem lágu fyrir um að þér notuðust við myndavélar til að fylgjast með svæðum í sameign og séreign annarra íbúa fasteignarinnar.

Persónuvernd lagði sérstaklega mat á hvort umrædd vöktun gæti byggst á 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglu­gerðarinnar, sem einkum þótti koma til greina sem viðhlítandi heimild fyrir vöktuninni. Samkvæmt ákvæðinu er vinnsla persónuupplýsinga heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn. Við mat á því hvort vöktunin sem þér stóðuð fyrir gæti fallið undir undir ákvæðið leit Persónuvernd til sjónarmiða úr fyrr­greindum forúrskurði Evrópudómstólsins, um að ábyrgðaraðili kynni að hafa lögmæta hagsmuni af því að vernda eignir sínar, líf sitt og fjölskyldu sinnar. Einnig er þar vísað til leiðbeininga Evrópska persónuverndarráðsins nr. 3/2019 um vinnslu persónuupplýsinga með myndupptökubúnaði. Í þeim er því meðal annars lýst að við raunverulega hættulegar aðstæður kunni ábyrðaraðili að hafa lögmæta hagsmuni af því að verja eigur sínar með uppsetningu eftirlitsmyndavéla gegn innbroti, þjófnaði eða skemmdum. Í þeim tilvikum nægi ekki að hættan sé uppspuni eða vangaveltur ábyrgðaraðila. Raunveruleg hætta þurfi að steðja að, áður en vöktun hefjist, svo sem að skemmdir hafi orðið á eignum eða alvarleg atvik hafi átt sér stað.

Fyrir liggur samkvæmt gögnum málsins að þér settuð upp eftirlits­mynda­vélar vegna þess að fyrri íbúar hússins voru með heimagistingu en síðar þótti yður fyrirkomulagið þægilegt þar sem þér væruð seinn til dyra af heilsufarsástæðum. Þér nefnduð að auki að gestir einstaklingsins sem kvartaði reyktu fyrir framan húsið og yllu yður óöryggi sem og út­leigu af hans hálfu á geymslu og bílskúr sem þér teljið ólöglega.

Í úrskurðinum kemur fram það mat Persónuverndar að þér, sem eruð í þessu tilviki ábyrgðaraðili vöktunarinnar, hafið hvorki sýnt fram á yfirvofandi hættu sem að yður eða eignum yðar setji né nauðsyn þess að vakta svæði utan séreignar yðar, þ.e. svæði sem tilheyra sameign eða teljast til séreignar annarra íbúa hússins. Taldi Persónuvernd því ekki að umrædd vöktun gæti byggst á 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar. Við mat á því hvort unnt væri að fella vöktunina undir þessa lagaheimild var auk þess litið til réttinda einstaklingsins sem kvartaði til friðhelgi einkalífs sbr. 71. gr. stjórnarskrárinnar nr. 33/1944, sbr. lög nr. 97/1995, og þess að hún teldi sig hafa af vöktuninni ama og hefði lýst sig andvíga henni. Per­sónu­vernd komst jafnframt að þeirri niðurstöðu að vöktunin fullnægði ekki grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerð (ESB) 2016/679 eða reglum nr. 837/2006, meðal annars með hliðsjón af því að við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

Að virtum lagagrundvelli málsins og gögnum þess tel ég með vísan til rökstuðnings Persónuverndar ekki forsendur af minni hálfu til að gera athugasemdir við það mat og niðurstöðu Persónuverndar að rafræn vöktun á yðar vegum að [...] samrýmdist ekki ákvæðum laga nr. 90/2018, reglugerðar (ESB) 2016/679 og reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

  

2

Þér gerið athugasemdir við að hafa ekki fengið að tjá yður um ný gögn og myndir sem lögð voru fram af hálfu einstaklingsins sem kvartaði við meðferðar málsins hjá Persónuvernd. Verður ráðið að um sé að ræða teikningar af fasteigninni að [...] og ljósmyndir af myndavélum í gluggum íbúðar yðar og aðstæðum á vettvangi. Þér takið meðal annars fram að þér efist um að dagsetningar á myndunum séu réttar.

Samkvæmt andmælareglu 13. gr. stjórnsýslulaga nr. 37/1993 skal aðili máls eiga þess kost að tjá sig um efni máls áður en stjórnvald tekur ákvörðun í því, enda liggi ekki fyrir í gögnum málsins afstaða hans og rök fyrir henni eða slíkt sé augljóslega óþarft.

Í athugasemdum við IV. kafla stjórnsýslulaga segir að í andmæla­reglunni felist að aðili máls skuli eiga þess kost að tryggja réttindi sín og hagsmuni með því að kynna sér gögn máls og málsástæður er ákvörðun mun byggjast á, leiðrétta framkomnar upplýsingar og koma að frekari upplýsingum um málsatvik áður en stjórnvald tekur ákvörðun í máli hans. Kemur þar enn fremur fram að andmælareglan eigi ekki aðeins að tryggja hagsmuni aðila máls heldur sé tilgangur hennar einnig að stuðla að því að mál verði betur upplýst. (Alþt. 1992—1993, A-deild, bls. 3295.) And­mæla­reglan tengist þannig rannsóknarreglu 10. gr. stjórnsýslulaga en samkvæmt henni skal stjórnvald sjá til þess að mál sé nægjanlega upplýst áður en ákvörðun er tekin í því. 

Samkvæmt gögnum málsins kvartaði viðkomandi einstaklingur yfir rafrænni vöktun á yðar vegum með tölvupósti 29. október 2018. Yður var með bréfi, dags. 6. febrúar 2019, veittur kostur á að tjá yður um kvörtunina auk þess sem stofnunin beindi tilteknum spurningum til yðar vegna málsins, meðal annars um tilgang vöktunarinnar, til hvaða svæðis vöktunin næði og hvert væri sjónarhorn myndavélarinnar. Þér komuð athuga­semdum á framfæri við stofnunina með tölvupósti 12. febrúar 2019. Persónuvernd sendi yður bréf á ný 18. mars sama ár til að afla frekari skýringar.

Ljóst er að afstaða yðar til þeirrar vöktunar á yðar vegum, þ.e. að þér tölduð yður heimilt að vakta með eftirlitsmyndavélum út um glugga yðar á nokkrum stöðum, lá fyrir þegar málið var tekið til úrskurðar og að nokkur bréfaskipti höfðu átt sér stað á milli yðar og Persónuverndar. Því verður ekki ráðið að yður hafi skort fullnægjandi tækifæri til að koma afstöðu yðar á framfæri áður en ákvörðun var tekin í málinu.

Þér takið fram að þér hafið ekki fengið að tjá yður um mynd af bifreið sem þér hefðuð selt en á fyrri stigum málsins beindist kvörtun einstaklingsins meðal annars að rafrænni vöktun sem hann taldi fara fram með myndavél í bifreiðinni. Ljóst er af úrskurðinum að málið þróaðist þannig að Persónuvernd fjallaði á endanum ekki um myndatöku úr umræddum bíl í úrskurðinum þar sem einstaklingurinn sem kvartaði hafði vakið athygli stofnunarinnar á að bifreiðin væri ekki lengur til staðar og þannig fallið frá þeim þætti kvörtunarinnar. Verður því ekki fjallað frekar um það atriði af minni hálfu.

Ekki verður annað ráðið en að lýsingar yðar á aðstæðum á vettvangi,  skýringar á vöktuninni og afstaða yðar til málsins, hafi þegar komið fram í helstu meginatriðum í fyrri bréfaskiptum Persónuverndar við yður. Persónuvernd hafi metið málið nægilega upplýst til að leysa úr ágreiningnum og úrskurða í því. Í ljósi umfjöllunar Persónuverndar í málinu, þar sem færð voru rök fyrir því að vöktunin sem fram færi á yðar vegum væri ekki í samræmi við lög nr. 90/2018, reglugerð (ESB) 2016/679 og reglur nr. 837/2006 fæ ég ekki séð að í umræddum teikningum eða myndum af vettvangi hafi falist nýjar upplýsingar sem hefðu verulega þýðingu við úrlausn málsins. Með hliðsjón af framangreindu tel ég ekki nægilegt tilefni til að taka þetta atriði í kvörtun yðar til frekari athugunar.   

       

IV

Með vísan til framangreinds tel ég ekki tilefni til að aðhafast frekar vegna kvörtunar yðar og lýk því hér með umfjöllun minni um hana, sbr. 1. mgr. 10. gr. laga nr. 85/1997, um umboðsmann Alþingis.

Undirritaður fór með mál þetta sem settur umboðsmaður Alþingis á grundvelli 3. mgr. 14. gr. laga nr. 85/1997.

   

   

Kjartan Bjarni Björgvinsson