Ökusíritar hjá Landssímanum - mál nr. 2001/808

7.5.2002

Hinn 7. maí 2002 samþykkti stjórn Persónuverndar svohljóðandi álit í málinu nr. 2001/808.
I. Með bréfi, dags. 15. október 2001, tilkynnti Guðni Á Haraldsson, hrl., Persónuvernd að Rafiðnaðarsamband Íslands, hefði falið honum, vegna félagsmanna Félags ísl. símamanna, að afla álits stjórnar Persónuverndar á lögmæti notkunar ökusírita í bifreiðum Landssíma Íslands hf.

Með bréfi Persónuverndar, dags. 1. nóvember 2001, til Landssíma Íslands hf. var erindið kynnt og óskað upplýsinga um það á hvaða lagaheimild umrædd vinnsla persónuupplýsinga byggðist. Þá var óskað eftir því að Landssíminn skýrði á hvern hátt vinnslan uppfyllti skilyrði 7. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og hvernig fræðslu til starfsmanna um tilvist og tilgang vinnslunnar hefði verið háttað, sbr. 20. og 21. gr. sömu laga. Að lokum var þess óskað að gerð yrði grein fyrir því hvort umræddur búnaður hefði verið settur upp í því skyni að fylgjast með vinnutíma og vinnuskilum starfsmanna. Svarbréf Landssímans hf. er dags. 9. nóvember 2001. Því fylgdi "Samantekt vegna tilraunaverkefnis með ökusírita í bifreiðum Símans", ódagsett en undirrituð af Gunnari Þórólfssyni. Með bréfi, dags. 13. nóvember 2001, var Guðna Á Haraldssyni, hrl., kynnt svarbréf Landssímans hf. og honum gefinn kostur á að tjá sig um skýringar fyrirtækisins. Svarbréf hans er dags. 4. janúar 2002. Með bréfi, dags. 19. mars 2002, óskaði Persónuvernd eftir því að fá gögn er sýndu nákvæmlega hvernig staðið hafi verið að því að upplýsa viðkomandi starfsmenn eins og skylt er samkvæmt 20. gr. um persónuvernd og meðferð persónuupplýsinga. Svarbréf Landssímans er dags. 27. mars 2002. Því fylgdi afrit af þeim glærum sem notaðar voru á fræðslufundi fyrir starfsmenn og afrit af fréttatilkynningu frá 2. október 2001.
II. Samkvæmt gögnum málsins eru málavextir þeir að 1. október 2001 hófst tilraunaverkefni hjá Landssíma Íslands hf. um notkun ökusírita í bifreiðum fyrirtækisins. Tilraunaverkefnið stendur til 1. október 2002, eða í eitt ár. Í samantekt Landssímans um verkefnið, kemur fram að um samvinnuverkefni Símans, Íslandspósts og ND á Íslandi sé að ræða - en ND hanni og smíði umrædda ökusírita. Verkefnið sé styrkt af Rannsóknarráði í umferðaröryggismálum. Ökusíritar verði settir í tuttugu bifreiðar Símans en aðrar tuttugu bifreiðar sömu tegundar verði án ökusírita. Íslandspóstur verði með ökusírita í fjörutíu bifreiðum á móti jafnmörgum bifreiðum án ökusírita. Tilgangur verkefnisins sé að bera saman rekstrarkostnað bifreiðanna með og án framangreinds búnaðar. Markmiðið sé einnig að fækka umferðaróhöppum og auka öryggi starfsmanna, lækka rekstrarkostnað bifreiða og bæta ímynd fyrirtækisins með betra aksturslagi í umferðinni. Fram kemur að ökusíriti sé tæki sem sett sé á mælaborð bifreiðar. Tækið sé með staðsetningarbúnaði sem sýni akstursleiðir ásamt búnaði sem sýni ökuhraða, hröðun, hemlun, hraðan akstur í beygjum og tíma sem bifreiðar séu í akstri. Upplýsingar úr tækjunum séu reglulega lesnar inn á tölvu.

Samkvæmt fyrirliggjandi gögnum var haldinn kynningarfundur fyrir starfsmenn þeirra deilda Landssímans sem hafa umræddar bifreiðar til umráða. Á þeim fundi var kynnt í hverju verkefnið fælist, markmið þess, hvers konar búnað um væri að ræða, hvað skráð væri og hvernig úrvinnslu gagna yrði háttað. Þá liggur fyrir að bifreiðarnar eru merktar sérstaklega á hliðarrúðu ökumannsmegin, að verkefnið var kynnt á "Upplýsingatorgi Símans" sem er upplýsingavefur fyrir starfsfólk og að fréttatilkynning var send fjölmiðlum. Landssíminn tilkynnti Persónuvernd um framangreinda vinnslu persónuupplýsinga 13. ágúst 2001, tilkynning nr. 328.
III.
1. Guðni Á. Haraldsson, hrl., vísar í bréfum sínum, dags. 15. október 2001 og 4. janúar 2002, til þess að um rafræna vöktun sé að ræða í skilningi 6. tl. 1. mgr. 2. gr. um persónuvernd og meðferð persónuupplýsinga, sem feli í sér skerðingu á persónufrelsi starfsmanna. Ekki séu uppfyllt skilyrði fyrir slíkri vöktun samkv. 8. gr. laganna þar sem engin þeirra skilyrða sem kveðið sé á um í 1. mgr. 8. gr. eigi við. Vöktunin hafi ekki verið samþykkt af starfsmönnum, hún sé ekki nauðsynleg til þess að fyrirtækið geti efnt samninga þar um, hún sé ekki nauðsynleg til að efna lagaskyldu, ekki nauðsynleg til að vinna verk í þágu almannahagsmuna, hún sé ekki nauðsynleg til að beita opinberu valdi né sé hún nauðsynleg skv. 7. tl. sömu greinar. Þá segir í bréfi lögmannsins, dags. 4. janúar 2002:
"Skv. 3. mgr. 8. gr. er heimilt að veita leyfi fyrir rafrænni vöktun umfram það sem segir í 1. mgr. sömu greinar: "svo fremi sem brýnir almannahagsmunir eða hagsmunir einstaklinga, þar með taldir hagsmunir þess skráða krefjist þess. Skal þá ótvírætt að þörfin fyrir vinnsluna vegi þyngra en tillitið til þess að hún fari ekki fram."
Hér er ekki um brýna almannahagsmuni að ræða enda væri þá öllum bifreiðaeigendum á landinu heimilt að setja upp slíka rafræna vöktun. Hagsmunirnir verða auk þess að vera brýnir. Þeir hagsmunir sem Landssími Íslands h.f. hefur talið fram teljast ekki brýnir heldur einungis rekstrarlegir hagsmunir fyrirtækisins og í engu óskyldir hagsmunum annarra fyrirtækja á landinu. Starfsmenn Landssíma Íslands h.f. teljast hinir skráðu. Þeir hafa engra hagsmuna að gæta af slíkri vöktun. Auk þess hefur Landssími Íslands hf. á engan hátt sýnt fram á að þörfin fyrir vöktun sé brýnni en þeir persónuhagsmunir sem starfsmenn hafa af því að hún fari ekki fram."
Þá hafnar lögmaðurinn alfarið skýringu Landssímans um umhverfissjónarmið sem órökstuddri. Hann telur heimildarákvæði um rafræna vöktun vera undantekningarreglu sem túlka beri þröngt. Ljóst sé, að hans mati, að eini tilgangur vöktunarinnar sé að kanna vinnuskil starfsmanna en slík vöktun eigi ekki rétt á sér.
2. Landssíminn vísar í bréfi sínu, dags. 9. nóvember 2001, til þess að fyrirtækinu sé nauðsynlegt að halda úti allstórum og virkum bílaflota. Það sé stefna fyrirtækisins að stuðla að öryggi í umferðinni, gæta umhverfissjónarmiða og auka rekstrarhagkvæmni t.d. með því að minnka eldsneytis-, hjólbarða- og tryggingakostnað.

Eins og fram komi í tilkynningu Landssímans til Persónuverndar, dags. 13. ágúst 2001, þá eigi tilraunin/vöktunin sér málefnalegan tilgang, þ.e. öryggis- og eignavörslusjónarmið og uppfylli skilyrði laga um lögmæti rafrænnar vöktunar, sbr. 7. gr. og 8. gr. um persónuvernd og meðferð persónuupplýsinga. Starfsmenn hafi verið upplýstir um tilvist ökusíritanna en auk þess séu bifreiðarnar merktar sérstaklega til að minna á þá. Þær niðurstöður, sem dregnar verði af þeim upplýsingum sem fáist, verði bundnar ökutæki en ekki ökumanni. Upplýsingarnar verði hvorki notaðar til að fylgjast með vinnutíma né vinnuskilum starfsmanna. Þegar tilraunaverkefninu ljúki og lokaskýrsla liggi fyrir, verði öllum gögnum eytt. Þá verði árangur metinn og ákvörðun tekin um framhaldið. Í framangreindri tilkynningu Landssímans frá 13. ágúst 2001 um lögmæti þessa er vísað til 2. mgr. 8. gr. laga 77/2000.

Að lokum vísar Landssíminn til samantektarinnar um tilraunaverkefnið en þar komi fram í hverju það felist og hver séu meginmarkmið þess. Í samantektinni komi jafnframt fram að tjón vegna óhappa og slysa í umferðinni hjá bifreiðum Símans hafi verið umtalsvert á árinu 2000. Samkvæmt upplýsingum frá tryggingarfélagi fyrirtækisins hafi fjöldi tjóna þá verið alls 71, skemmdar bifreiðar alls 123, slasaðir verið 4 talsins, meðaltjón á hverja bifreið kr. 207.450 en greiddar heildarbætur á árinu kr. 14.728.995. Kveður Landssíminn kostnað þetta ár hafa numið kr. 4.213.618 vegna tjóns sem tryggingar greiða ekki, s.s. vegna umferðaróhappa þar sem ökumenn bifreiða Landssímans voru í órétti. Heildarkostnaður Landssímans og tryggingarfélags þess hafi því verið kr. 18.942.613 á árinu 2000.
IV.
Álit stjórnar Persónuverndar
1. Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum búnaði, sbr. 6. tölul. 1. mgr. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Ferilvöktun ökutækja er ein tegund rafrænnar vöktunar. Í slíkri vöktun felst að jafnaði vinnsla persónuupplýsinga. "Vinnsla" er skilgreind sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 1. mgr. 2. gr. laganna. Samkvæmt gögnum málsins safnar ökusíriti upplýsingum um aksturslag og þann tíma sem bifreið er ekki í akstri. Eru upplýsingarnar lesnar reglulega inn á tölvu.

Af hálfu Landssímans er áhersla lögð á að þær niðurstöður sem dregnar verði af tilraunaverkefninu miðist við bifreiðar en ekki ökumenn. Engu að síður verður ekki litið framhjá því að þau gögn sem unnið er með innihalda einnig upplýsingar um ökulag ökumanna. Verður því við það að miða að jafnan sé um vinnslu persónuupplýsinga að ræða, sbr. 1. og 2. tölul. 1. mgr. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Samkvæmt 4. tl. 2. gr. laganna er ábyrgðaraðili sá aðili sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Telst Landssíminn vera ábyrgðaraðili þeirrar vinnslu sem hér um ræðir. Í 7. gr. laganna eru tilgreindar þær meginreglur sem ábyrgðaraðila ber að hlíta um gæði gagna og vinnslu. Er m.a. kveðið á um að við meðferð persónuupplýsinga skuli þess gætt að þær séu unnar með lögmætum hætti og að þær séu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi.

Tilgangur þeirrar vinnslu sem hér um ræðir er, samkvæmt upplýsingum Landssímans, að bera rekstrarkostnað þeirra bifreiða sem eru með ökusírita saman við kostnað við bifreiðar sem eru án ökusírita. Auk þess er markmiðið að fækka umferðaróhöppum, auka öryggi starfsmanna, lækka rekstrarkostnað bifreiða og bæta ímynd fyrirtækisins með betra aksturslagi í umferðinni.

Umferðarlög nr. 50/1987 byggja á þeirri meginreglu að skráður eða skráningaskyldur eigandi bifreiðar beri á henni hlutlæga fébótaábyrgð, sbr. 90. gr. laganna. Hlutlæg ábyrgð skráðs eða skráningarskylds eiganda felur í sér að ábyrgðin er óháð því hvort eigandi sé jafnframt ökumaður bifreiðarinnar og óháð því hvort það tjón sem hlýst af notkun bifreiðarinnar megi rekja til bilunar, galla eða ógætni ökumanns, sbr. 88. gr. Er síðan í 2. og 3. mgr. 88. gr. kveðið á um heimildir til lækkunar eða niðurfellingar bóta í þeim tilvikum er sá sem verður fyrir tjóni, eða sá sem lést, var meðvaldur að tjóninu af ásetningi eða stórkostlegu gáleysi. Ljóst er því að ábyrgð skráðra eða skráningarskyldra eigenda bifreiða er mikil. Fyrir liggur að Landssíminn er eigandi fjölda bifreiða sem nýttar eru í þágu starfsemi fyrirtækisins og að kostnaður Landssímans og tryggingarfélags þess vegna umferðaróhappa getur orðið umtalsverður.

Engin gögn liggja fyrir um að tilgangur vöktunarinnar sé að fylgjast með vinnutíma og vinnuskilum starfsmanna. Hefur Landssíminn ítrekað áréttað að þær niðurstöður sem dregnar verða af þeim upplýsingum er fást við verkefnið, séu bundnar við ökutæki en ekki ökumann. Meðan annað hefur ekki komið í ljós verður miðað við að sú vöktun og vinnsla persónuupplýsinga sem um er deilt í máli þessu, eigi sér tilgang þann sem Landssíminn hf. hefur tilgreint.

Að öllu þessu virtu, er það álit Persónuverndar að umrædd vöktun bifreiða Landssíma Íslands hf. eigi sér lögmætan og málefnalegan tilgang, sbr. 2. tl. 7. gr. um persónuvernd og meðferð persónuupplýsinga.
2. Ágreiningur er jafnframt um það að hvaða marki úrvinnsla þeirra upplýsinga sem ökusíritinn safnar og færast inn á tölvu, sé heimil samkvæmt lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Lög nr. 77/2000 byggja á því almenna sjónarmiði að í einkalífsrétti felist m.a. réttur einstaklings til að hafa forræði á þeim upplýsingum sem varða hann sjálfan. Samþykki hans fyrir vinnslu persónuupplýsinga er því ein meginheimildin fyrir vinnslu samkvæmt lögunum.

Forsenda þess að einstaklingur geti veitt samþykki sitt er að hann hafi fengið vitneskju um þá vinnslu sem að fram fer. Í 1. mgr. 20. gr. laganna er því kveðið á um þá lágmarksfræðslu sem ábyrgðaraðila er skylt að veita þegar upplýsinga er aflað frá hinum skráða. Skal ábyrðaraðili fræða hann m.a. um hvert sé markmið söfnunar upplýsinganna, hvernig hagað verði auðkenningu þeirra, hverjum upplýsingarnar verði afhentar, hvort hinum skráða sé skylt eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa í för með sér sé það ekki gert. Þá er í 2. mgr. 20. gr. kveðið á um nánari fræðslu sem hinum skráða skal veitt ef slíkt er nauðsynlegt til að tryggja að hann geti gætt hagsmuna sinna. Eru tiltekin tvo dæmi um upplýsingar sem skylt getur verið að veita hinum skráða. Í fyrsta lagi getur verið skylt að gera hinum skráða grein fyrir upplýsingarétti hans samkvæmt 18. gr. laganna og í öðru lagi að gera honum grein fyrir rétti sínum til að krefjast leiðréttinga eða eyðingu upplýsinga, skv. 25. gr. laganna.

Með bréfi dags. 19. mars sl. óskaði Persónuvernd eftir því að fá gögn er sýndu nákvæmlega hvernig staðið hafi verið að því að upplýsa starfsmenn Landsímans. Var í bréfinu sérstök athygli vakin á ákvæði 20. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Í svarbréfi Landssímans, dags. 27. mars 2002, kemur fram að kynningarfundur hafi verið haldinn fyrir starfsmenn þeirra deilda sem höfðu þær bifreiðar til umráða sem tilraunin tekur til. Bréfi Landssímans fylgdi afrit af þeim glærum sem sýndar voru við kynninguna. Þá var verkefnið kynnt á "Upplýsingatorgi" Símans sem er upplýsingarvefur fyrir starfsmenn og fréttatilkynning send fjölmiðlum.

Af þeim glærum sem notaðar voru við kynninguna og sendar hafa verið Persónuvernd, má ráða að starfsmenn hafi verið upplýstir um í hverju verkefnið fælist, markmið þess, hverjir stæðu að því, hvers konar búnað notaður væri, hvað yrði skráð og hvernig úrvinnslu gagna yrði háttað. Þá liggur fyrir að framrúður bifreiðanna ökumannsmegin eru merktar til að minna á tilvist ökusíritanna. Starfsmönnum var hins vegar ekki gerð grein fyrir réttarstöðu sinni, þ.e. hvort þeim væri skylt eða valfrjálst að taka þátt í verkefninu og hvaða afleiðingar það gæti haft tækju þeir ekki þátt. Liggur ekki fyrir að starfsmönnum hafi verið veitt fræðsla um þau atriði er greinir í 2. mgr. 20. gr. Af framangreindu er ekki ljóst að sú kynning sem fram fór á vegum Landssímans hafi ótvírætt uppfyllt þau lágmarksskilyrði sem kveðið er á um í 1. og 2. mgr. 20. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Eins og rakið er hér að framan þá skráir ökusíriti akstursleiðir bifreiðar, ökuhraða, hröðun, hemlun, hraðan akstur í beygjum og þann tíma sem bifreiðar eru í akstri. Skráning þessara upplýsinga felur í sér skráningu á hvert starfsmaður, sem bifreið stýrir, fer á vinnutíma og á gæði vinnu hans. Skráningin varðar því vinnuumhverfi hans og það vinnuréttarsamband sem er á milli hans og atvinnurekanda. Þá má ætla að fyrir flesta starfsmenn hafi verið um að ræða nýja og áður óþekkta tækni. Þegar svo stendur á er ítarleg fræðsla til þess fallin að auka traust og eyða mögulegri tortryggni um að vinnsla upplýsinganna sé ekki byggð á sanngirni gagnvart hinum skráðu.

Ákvæði 2. mgr. 20. gr. er byggt á 10. gr. tilskipunar Evrópusambandsins nr. 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga. Er þar sérstaklega tilgreint að við mat á því hvort og að hvaða marki skuli veita hinum skráða frekari fræðslu, skuli taka mið "af þeim sérstöku aðstæðum sem ríkja við söfnunina, til að tryggja hinum skráða að vinnslan fari fram á sanngjarnan hátt gagnvart honum." Með vísun til þess lítur Persónuvernd svo á, að þrátt fyrir þá annmarka sem mögulega kunna að hafa verið á veittri fræðslu, skv. því sem að framan greinir, hafi hinum skráðu, eins og hér stendur á, verið veitt sanngjörn og nauðsynleg fræðsla til að þeir gætu gert upp hug sinn til vinnslunnar.

Þegar lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, tóku að fullu gildi 1. janúar 2001, var með "samþykki hins skráða" samkvæmt 1. tölul. 1. mgr. 8. gr. laganna, áskilið samþykki í skilningi 7. tölul. 2. gr. laganna. Samþykki er þar skilgreint sem: "Sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv." Með lögum nr. 90/2001, er breyttu lögum nr. 77/2000, var ákvæðið rýmkað. Vinnsla persónuupplýsinga skv. 1. tölul. 1. mgr. 8. gr. er nú heimil hafi hinn skráði ótvírætt samþykkt vinnsluna eða veitt samþykki sitt skv. 7. tölul. 2. gr. Með ótvíræðu samþykki er m.a. átt við þau tilvik þegar af athöfn einstaklings, eða eftir atvikum athafnaleysi, má ráða að hann hafi samþykkt tiltekna vinnslu upplýsinga um sig. Af gögnum málsins verður ekki annað séð en að þeir starfsmenn, sem málið varðar, hafi án athugasemda ekið umræddum bifreiðum. Verður því við það að miða að þeir hafi í verki sýnt ótvírætt samþykki sitt í skilningi 1. tl. 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.
3. Með vísan til þess sem að framan er rakið, er það álit stjórnar Persónuverndar að tilraunaverkefni Landssímans hf. um notkun ökusírita í tilteknum, merktum bifreiðum í því skyni að fækka umferðaróhöppum og auka öryggi starfsmanna, lækka rekstarkostnað bifreiða og bæta ímynd fyrirtækisins með betra aksturslagi í umferðinni, sé heimil samkvæmt 7. gr. og 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.