Notkun fasteignasölu á ljósmyndum af íbúð
Úrskurður
Hinn 4. október 2016 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2016/734:
I.
Málavextir og bréfaskipti
1.
Persónuvernd hefur borist kvörtun, dags. 24. apríl 2016, frá [A] yfir Heimili – fasteignasölu. Nánar tiltekið er kvartað yfir myndum sem fasteignasalan birti í söluauglýsingum á vefsíðunni visir.is af íbúð sem hún átti. Um það segir í kvörtun:
„Fyrir ári síðan fór eignin [...], sem undirrituð átti á uppboð og var [...] fasteignasali beðinn um að fara á heimilið og taka það út fyrir [X] lífeyrissjóð. Þegar fasteignasalinn kom til að skoða íbúðina tók hann upp myndavél og fór að taka myndir. Hann sagðist ekki myndu nota þær til annars en sem gagns í skjölum sínum þegar íbúðin yrði skoðuð aftur þegar undirrituð flytti út. Nú er eignin komin á sölu og hann notar þessar myndir við auglýsingu á eigninni og er undirrituð meðal annars á einni myndinni. Undirrituð hafði samband við fasteignasöluna 20. apríl sl. og óskaði eftir því að þessar myndir yrðu teknar út og þau myndu notast við svipaðar myndir og aðrar fasteignasölur gera, það er af íbúðinni tómri. Ekki hefur verið orðið við þessari beiðni.“
Með bréfi, dags. 7. júní 2016, var Heimili – fasteignasölu veitt færi á að tjá sig um framangreinda kvörtun. Svarað var í tölvupósti hinn 9. s.m. Í svarinu segir:
„Heimili fasteignasala harmar þau mistök sem gerð voru þegar rangur myndafile var tengdur við eignina í sölukerfi okkar. Heimili fasteignasala vill biðja [A] innilegrar afsökunar og óskar að rangar myndir hafi ekki valdið miklum óþægindum á meðan þær voru á netinu. Rangar myndir voru teknar út úr sölukerfi um leið og Heimili fasteignasala áttaði sig á mistökum sínum.“
Með bréfi, dags. 28. júní 2016, ítrekuðu með bréfi hinn 28. júlí s.á., var kvartanda veitt færi á að tjá sig um framangreint bréf Heimilis – fasteignasölu. Ekki hefur borist svar.
II.
Forsendur og niðurstaða
1.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Þær ljósmyndir, sem um ræðir í máli þessu, eru af þáverandi heimili kvartanda og bera með sér persónuupplýsingar um þá sem þar bjuggu þegar þær voru teknar. Er því ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Heimili – fasteignasala vera ábyrgðaraðili að umræddri vinnslu.
2.
Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þá verður að fara að öllum grunnreglum 1. mgr. 7. gr. sömu laga, þ. á m. um að þess skuli gætt að persónuupplýsingar séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra samrýmist vönduðum vinnsluháttum persónuupplýsinga (1. tölul.); og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).
Að auki ber meðal annars að tryggja öryggi persónuupplýsinga, þ.e. með því að gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda slíkar upplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi, sbr. 1. mgr. 11. gr. laga nr. 77/2000.
Ekki verður séð að umrædd
netbirting Heimilis – fasteignasölu á ljósmyndum af þáverandi heimili
kvartanda hafi fallið undir heimild í áðurgreindu ákvæði 1. mgr. 8. gr.
laga nr. 77/2000, og hefur fasteignasalan raunar viðurkennt að mistök
hafi átt sér stað. Í ljósi þess, sem og fyrrnefndra ákvæða 1. mgr. 7.
gr. og 1. mgr. 11. gr. sömu laga, telur Persónuvernd birtinguna hafa
farið í bága við lögin.
Ú r sk u r ð a r o r ð:
Birting Heimilis – fasteignasölu á ljósmyndum af íbúð [A], teknum þegar hún bjó þar, fór í bága við lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.