Álit um búkmyndavélar hjá Aðstoð og öryggi ehf.
Mál nr. 2021091750
Persónuvernd hefur svarað álitsbeiðni frá fyrirtækinu Aðstoð og öryggi ehf. um heimild til varðveislu upptakna úr búkmyndavélum sem notaðar eru þegar starfsmenn fyrirtækisins koma á vettvang umferðaróhappa vegna gerðar tjónaskýrslna. Litið var til skýringa sem bárust fyrir hönd fyrirtækisins frá lögmanni þess þar sem fram kom að upptökurnar hefðu mikla þýðingu við úrlausn mála vegna umferðaróhappa. Var í ljósi þess fallist á varðveislu upptakna í 365 daga að því gefnu meðal annars að öryggi þeirra væri tryggt. Þá var farið yfir hvernig varðveislan horfði við heimildarákvæðum persónuverndarlöggjafarinnar, svo og grunnreglum hennar um málefnalegan tilgang, meðalhóf o.fl., auk þess sem gerð var athugasemd við að ekki hefði farið fram mat á persónuvernd.
Álit
Hinn 5. maí 2021 samþykkti Persónuvernd svohljóðandi álit í máli nr. 2021091750:
1.
Álitsbeiðni
Persónuvernd vísar til fyrri bréfaskipta í kjölfar erindis Forum lögmanna fyrir hönd Aðstoðar og öryggis ehf., dags. 5. september 2021, þar sem óskað er álits stofnunarinnar á heimild til varðveislu upptakna úr búkmyndavélum.
Í bréfinu segir að umrætt fyrirtæki veiti aðstoð við frágang tjónaskýrslna vegna umferðaróhappa, þ. á m. með töku ljósmynda á vettvangi, og sendi síðan skýrslu um tjón ásamt ljósmyndum til viðkomandi tryggingafélags. Fyrirtækið hafi nú tekið upp notkun búkmyndavéla sem starfsmenn noti á vettvangi árekstra með afar góðum árangri, en aðilum máls sé ávallt tilkynnt um upptöku sé hún í gangi. Notast sé við sams konar búkmyndavélar og hjá lögregluembættum landsins og stuðst við sömu öryggisstaðla og hjá þeim við vörslu efnis, en það sé varðveitt í ónettengdri tölvu.
Einnig segir að upptökur úr búkmyndavélum geti oft veitt mikilvægar upplýsingar um aðstæður og atvik máls, auk þess sem þær tryggi öryggi aðila. Hafi aðilar máls gefið tryggingafélögum, tjónanefndum þeirra og úrskurðarnefnd vátryggingamála heimild til að notast við upptökurnar til að leysa úr ágreiningi og vafaatriðum. Í því sambandi er vísað til þeirrar reglu að myndefni sem verður til við rafræna vöktun skuli ekki varðveita lengur en lög heimila, enda sé ekki um að ræða persónuupplýsingar sem verða til við atburðaskráningu, eru geymdar á öryggisafritum eða eru nauðsynlegar til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja, sbr. 2. mgr. 7. gr. reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, sbr. nú 2. mgr. 15. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.
Tekið er fram í bréfinu að mál séu oft til meðferðar fyrir tjónanefnd eða úrskurðarnefnd vátryggingamála eftir að 90 dagar séu liðnir frá tjóni. Aðstoð og öryggi ehf. telji nauðsynlegt að geta varðveitt upptökur í að minnsta kosti 365 daga, m.a. í ljósi þess að tjónþolar hafa árs frest til að skjóta ágreiningi um bótaskyldu til úrskurðarnefndar í vátryggingamálum, sbr. 124. gr. laga nr. 151/2004 um vátryggingarsamninga. Því sé óskað afstöðu Persónuverndar til þess hvort reglur stofnunarinnar veiti fyrirtækinu svigrúm til að varðveita upptökur í einstökum, óloknum málum í 365 daga
2.
Ósk um skýringar
Með bréfi til Forum lögmanna, dags. 8. nóvember 2021, óskaði Persónuvernd þess að upplýst yrði hvers vegna talið væri nauðsynlegt að nota búkmyndavélar í starfsemi Aðstoðar og öryggis ehf. Óskað var eftir raunhæfum dæmum um notin, þ. á m. um hvernig myndavélarnar væru taldar skipta máli vegna öryggis aðila. Þá var þess óskað að fram kæmi hvernig fyrirtækið teldi vinnslu persónuupplýsinga, sem fengjust með myndavélunum, horfa við heimildarákvæðum 9. og 11. laga nr. 90/2018, svo og grunnkröfum 8. gr. laganna.
Svarað var með bréfi, dags. 15. desember 2021. Þar segir að fyrirtækið Aðstoð og öryggi ehf. hafi verið stofnað árið 2007 eftir að lögregla hafi hætt að sinna umferðaróhöppum þar sem ekki væri um að ræða slys á fólki. Starfsmenn fyrirtækisins starfi því við sömu eða sambærilegar aðstæður og lögregla myndi ella gera. Séu þeir oft fyrstir á vettvang umferðaróhappa og sé spennustig þá oft á tíðum hátt. Mörg dæmi séu um ógnandi framkomu gagnvart þeim og hafi þeir jafnvel þurft að ganga á milli manna. Eftir að búkmyndavélar hafi verið teknar í notkun heyri slíkt til undantekninga, enda séu aðilar þegar upplýsir um upptökuna. Þó séu þess enn dæmi að ráðist sé á starfsmenn.
Að auki segir að vettvangur sé iðulega erfiður þar sem slys verði jafnan á háannatíma á stofnæðum þar sem umferð sé þung. Dæmi séu um að ekið hafi verið á bifreið frá Aðstoð og öryggi ehf. á vettvangi. Þá séu þess dæmi að árekstur hafi náðst á búkmyndavél. Við slíkar aðstæður geti ágreiningur verið uppi um hver beri sök og hvort vettvangur hafi verið nægilega tryggður. Upptaka geti haft þýðingu í því sambandi.
Tekið er fram að aðkoma starfsmanna Aðstoðar og öryggis ehf. byggist á samkomulagi aðila, en þeir sem lendi í umferðaróhappi hafi val um að útfylla sjálfir tjónstilkynningu eða leita eftir aðstoð fyrirtækisins. Sé síðarnefndi kosturinn valinn séu aðilar upplýstir um upptöku um leið og starfsmaður þess mæti á vettvang.
Einnig er tekið fram að upplýsingar úr búkmyndavélum hjálpi starfsmönnum við skráningu. Þá segir að upptaka nýtist við töku ákvörðunar um sakarskiptingu þegar þörf sé á nánari upplýsingum um mál en þær sem fram koma í tjónaskýrslu. Sá starfsmaður fyrirtækisins sem riti skýrsluna eigi þá kost á að fara yfir upptöku í búkmyndavél til að vinna frekari skýrslu. Eigi hið sama við ef starfsmaður er kallaður til sem vitni. Almennt séu upptökur ekki afhentar og þá aldrei nema með samþykki aðila, auk þess sem persónugreinanlegt efni, sem ekki hafi þýðingu vegna máls, sé afmáð.
Í þessu sambandi sé til þess að líta að mjög oft sé skýrslum Aðstoðar og öryggis ehf. mótmælt og því haldið fram að rangt hafi verið haft eftir viðkomandi eða að aðstæður hafi verið með öðrum hætti en lýst er í tjónaskýrslu fyrirtækisins. Jafnvel hafi verið gengið svo langt að saka starfsmenn um fölsun. Hér beri að hafa í huga að í tjónaskýrslu sé að finna lýsinga aðila á atvikum á vettvangi og lýsingu starfsmanns á aðstæðum. Sú lýsing hafi mikilvæga þýðingu við ákvörðun um sakarskiptingu. Ávirðingum í garð starfsmanna hafi fækkað verulega eftir að búkmyndavélar hafi verið teknar í notkun. Þá hafi verið unnt að hrekja ávirðingar með upplýsingum úr myndavélum. Þess beri jafnframt að geta að ágreiningsmálum gagnvart tryggingafélögunum hafi fækkað þar sem öruggari og áreiðanlegri upplýsingar liggi fyrir.
Rakið er, í tengslum við ágreining um sakarskiptingu, að honum megi skjóta til Tjónanefndar vátryggingafélaganna sem starfi á vegum Samtaka fjármálafyrirtækja og fjalli eingöngu um slíkan ágreining. Niðurstöðum nefndarinnar sé unnt að skjóta til úrskurðarnefndar í vátryggingamálum, auk þess sem úrskurði hennar megi bera undir dómstóla. Gögn og upplýsingar frá Aðstoð og öryggi ehf. geti haft þýðingu við úrlausn mála á öllum þessum stigum, þ.m.t. upplýsingar úr búkmyndavél, og hafi sú þýðing aukist þar sem vegna sóttvarnaaðgerða verði að taka skýrslur utandyra en ekki inni í bifreiðum fyrirtækisins.
Tekið er fram með vísan til ofangreinds að upptökur hafi verulega þýðingu í starfsemi Aðstoðar og öryggis ehf., bæði gagnvart starfsmönnum og aðilum, og þá annars vegar til að tryggja öryggi og hins vegar til að varpa ljósi á málavexti. Þá sé ljóst að búkmyndavélarnar hafi varnaðaráhrif á vettvangi.
Í framhaldi af þessu er lýst þeirri afstöðu Aðstoðar og öryggis ehf. að vinnsla þeirra persónuupplýsinga sem fást með búkmyndavélum fyrirtækisins samrýmist heimildarákvæðum og grunnkröfum laga nr. 90/2018. Beri hér að árétta að aðilar umferðaróhapps óski sjálfir eftir aðstoð fyrirtækisins og séu strax upplýstir um upptöku. Jafnframt sé nauðsynlegt á grundvelli vátryggingaskilmála að skera úr um ábyrgð á tjóni, auk þess sem aðilar hafi brýna hagsmuni af vinnslu upplýsinganna. Þær geti enda haft mikla þýðingu við úrlausn máls þar sem miklir fjárhagslegir hagsmunir geti verið í húfi, en sá sem metinn sé í órétti geti þurfi að bera tjón sitt að fullu sjálfur. Þá hafi fyrirtækið sjálft brýna hagsmuni af vinnslu upplýsinganna til staðfestingar á því að rétt sé haft eftir aðilum í skýrslu og að aðstæðum sé rétt lýst. Reyni þar einnig á almannahagsmuni í ljósi alls þess fjölda sem lendi í umferðaróhöppum, svo og hagsmuni farþega ef í ljós kemur að óhapp hafi leitt til líkamstjóns. Vátryggingartakar, sem geti verið aðrir en ökumenn, hafi hér jafnframt þá hagsmuni að tjón sé bætt úr réttri vátryggingu. Í þessu sambandi megi nefna að fyrirtækið komi að skráningu þúsunda umferðaróhappa á ári. Sé notkun búkmyndavélanna því nauðsynleg vegna þeirra hagsmuna sem það taki að sér að gæta að beiðni aðila með skráningu umferðaróhappa.
3.
Ósk um frekari skýringar
Að fengnum framangreindum svörum taldi Persónuvernd þörf frekari skýringa, þ.e. um hvort mat á persónuvernd hefði verið gert í aðdraganda þess að búkmyndavélar voru teknar í notkun hjá Aðstoð og öryggi ehf. og hvenær notkun þeirra hefði hafist. Var svara um þetta óskað með bréfi Persónuverndar til Forum lögmanna ehf., dags. 4. apríl 2022. Svarað var í tölvupósti 28. s.m. Segir í svarinu að notkun búkmyndavéla hafi hafist um mánaðamótin júní/júlí 2020. Hafi strax verið settar verklagsreglur fyrir starfsmenn, dags. 1. júlí 2020, þar sem áhættuþættir hafi verið metnir og mælt fyrir um meðal annars fræðslu, vörslu, kynningu á upptöku og eyðingu. Í kjölfar bréfs Persónuverndar hafi reglurnar verið uppfærðar með nýrri 4. gr. sem beri titilinn „Áhættumat“ og þar sem fyrri ákvæði séu áréttuð, en þau standi óbreytt frá því sem verið hafi við setningu reglnanna.
Í 1. gr. reglnanna, sem fylgdu svari svari Forum lögmanna ehf., segir að aðilum á vettvangi skuli þegar í stað kynnt að upptaka eigi sér stað með búkmyndavél. Samkvæmt 2. gr. reglnanna skal búkmyndavél beint eins og kostur er frá öðru en því sem raunverulega hefur þýðingu við skráningu upplýsinga, auk þess sem tekið er fram að gögn skuli aðeins varðveitt rafrænt á aðgangsstýrðu drifi. Jafnframt segir að ef upptaka skrái upplýsingar sem gætu talist viðkvæms eðlis og hafi ekki sérstaka þýðingu varðandi umferðaróhapp skuli þeim þegar eytt, svo og að upptaka skuli ekki afhent nema með samþykki aðila og aðeins til úrvinnslu mála. Samkvæmt 3. gr. reglnanna skal varðveislu þannig háttað að gögn komist ekki í hendur þriðja aðila og er tekið fram að upptaka skuli varðveitt á ónettengdri tölvu og ekki lengur en heimilt er hverju sinni. Jafnframt segir í 4. gr. reglnanna að gert hafi verið áhættumat vegna vinnslu upplýsinga og að lítil áhætta sé metin af notkun búkmyndavéla, en einnig eru atriði úr 2. og 3. gr. reglnanna áréttuð. Að auki er tekið fram að gögn skuli aðeins send í gegnum öruggar afhendingarleiðir, svo sem afgreiðslukerfið Signet Transfer þar sem krafist sé rafrænna skilríkja móttakanda, og að einungis skuli afhent gögn sem þýðingu kunni að hafa, en annað skuli afmáð eða því eytt. Þá segir að mistök skuli skráð í gagnagrunn um öryggisbresti og tilkynnt til Persónuverndar í samræmi við lög.
4.
Álit Persónuverndar
Svo að vinna megi með persónuupplýsingar þarf að vera til staðar heimild samkvæmt 9. gr. laga 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 6. gr. reglugerðar (ESB) 2016/679, en hér kæmi einkum til greina 6. tölul. ákvæðis laganna og f-liður ákvæðis reglugerðarinnar, þess efnis að vinna megi með persónuupplýsingar í þágu lögmætra hagsmuna sem vega þyngra en hagsmunir eða grundvallarréttindi hins skráða. Séu upplýsingar viðkvæmar þarf að auki að vera fullnægt einhverju viðbótarskilyrða 1. mgr. 11. gr. laganna og 1. mgr. 9. gr. reglugerðarinnar fyrir vinnslu slíkra upplýsinga, en upplýsingar sem safnast með búkmyndavélum Aðstoðar og öryggis ehf. geta talist viðkvæmar og meðal annars lotið að heilsufari, þ. á m. lyfja-, áfengis- og vímuefnanotkun, sbr. b-lið 3. tölul. 3. gr. laganna og 1. mgr. 9. gr. reglugerðarinnar. Telur Persónuvernd þar einkum 6. tölul. 1. mgr. 11. gr. laganna og f-lið 2. mgr. 9. gr. reglugerðarinnar geta átt við, þ.e. um heimild til vinnslu persónuupplýsinga sem nauðsynleg er til að unnt sé að stofna, hafa uppi eða verja réttarkröfur.
Auk heimildar samkvæmt framangreindu þarf ávallt að fara að öllum grunnkröfum 8. gr. laganna og 5. gr. reglugerðarinnar, þ. á m. um að þess skuli gætt við vinnslu persónuupplýsinga að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. ákvæðis laganna og a-liður ákvæðis reglugerðarinnar); að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. ákvæðis laganna og b-liður ákvæðis reglugerðarinnar); að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul. ákvæðis laganna og c-liður ákvæðis reglugerðarinnar); og að þær séu unnar með þeim hætti að viðeigandi öryggi þeirra sé tryggt (6. tölul. og f-liður ákvæðis reglugerðarinnar).
Síðastnefnda krafan er útfærð nánar í 32. gr. reglugerðarinnar, sbr. 1. mgr. 27. gr. laganna, og er ljóst að á hana reynir í tengslum við notkun umræddra upptakna. Eins og fram kemur í 1. mgr. ákvæðis reglugerðarinnar skal við vinnslu persónuupplýsinga gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja viðunandi öryggi upplýsinganna með hliðsjón af nýjustu tækni, kostnaði við framkvæmd þeirra, eðli, umfangi, samhengi og tilgangi vinnslunnar, svo og áhættu sem henni fylgir. Þá skal, ef líklegt er að vinnsla geti haft í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga, gera mat á áhrifum á persónuvernd áður en vinnslan hefst, sbr. 1. mgr. 29. gr. laga nr. 90/2018 og 1. mgr. 35. gr. reglugerðar (ESB) 2016/679. Slíku mati er ætlað að stuðla að viðeigandi öryggi við vinnslu, sbr. d-lið 7. mgr. 35. gr. reglugerðarinnar, en einnig að því að farið sé að kröfum persónuverndarlöggjafar að öðru leyti þannig að réttindi og lögmætir hagsmunir skráðra einstaklinga séu tryggðir eins og fram kemur í sama lið. Svo sem greinir í 2. mgr. 29. gr. laga nr. 90/2018 birtir Persónuvernd skrá yfir þær tegundir vinnsluaðgerða þar sem krafist er mats á áhrifum á persónuvernd. Hefur það verið gert með auglýsingu nr. 828/2019 um skrá yfir vinnsluaðgerðir sem krefjast ávallt mats á áhrifum á persónuvernd, en á meðal þeirrar vinnslu sem þar fellur undir er umfangsmikið kerfisbundið eftirlit, að meðtalinni myndavélavöktun, á svæðum opnum almenningi, sbr. 2. tölul. 3. gr. auglýsingarinnar.
Eins og hér háttar til getur jafnframt reynt á þau ákvæði í lögum nr. 90/2018 sem lúta að rafrænni vöktun. Nánar tiltekið er þar átt við vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laganna. Þegar um ræðir stuttar upptökur verður ekki talið að um ræði vöktun í þessum skilningi, en eftir því sem upptaka á tiltekinni aðstöðu stendur lengur yfir, í þessu tilviki atvikum á vettvangi umferðaróhapps, aukast líkurnar á því að hún falli undir það að teljast viðvarandi í skilningi umrædds töluliðar. Teljist upptaka samkvæmt þessu hafa falið í sér rafræna vöktun verður hún meðal annars að þjóna málefnalegum tilgangi, sbr. 1. mgr. 14. gr. laganna, auk þess sem gera skal glögglega viðvart um hana með merki eða á annan áberandi hátt fari hún fram á vinnustað eða almannafæri, sbr. 4. sömu greinar. Þá eru því sett skilyrði í 3. mgr. sömu greinar fyrir því að við vöktun sé safnað efni með viðkvæmum persónuupplýsingum og upplýsingum um refsiverða háttsemi. Þau skilyrði eru nánar tiltekið að vöktunin sé nauðsynleg og fari fram í öryggis- eða eignavörsluskyni (1. tölul.); að vöktunarefni verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða á grundvelli heimilda í reglum samkvæmt 5. mgr. greinarinnar, með nánar tilteknum fyrirvara um afhendingu á efni til lögreglu (2. tölul.); svo og að efni verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það (3. tölul.).
Á grundvelli áðurnefndrar heimildar 5. mgr. 14. gr. laga nr. 90/2018 til setningar reglna um rafræna vöktun eru nú í gildi reglur Persónuverndar nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, sbr. áður heimild til setningar reglna í 5. mgr. 37. gr. eldri laga nr. 77/2000 um persónuvernd og vinnslu persónuupplýsinga. Samkvæmt 1. mgr. 1. gr. reglnanna gilda þær um rafræna vöktun á vinnustöðum, í skólum og á öðrum svæðum þar sem takmarkaður hópur fólks fer um að jafnaði. Vöktun með búkmyndavélum Aðstoðar og öryggis ehf. getur talist falla hér undir að því marki sem hún tekur til starfsmanna fyrirtækisins. Þá getur hið sama gilt um vöktunina hvað snertir aðila að umferðaróhöppum á þeim grundvelli að hún taki til svæðis eins og fyrr greinir. Ber þá meðal annars að fara að 2. mgr. 7. gr. reglnanna, þess efnis að persónuupplýsingum sem safnast við rafræna vöktun skuli eytt þegar ekki er lengur málefnaleg ástæða til að varðveita þær. Þá kemur meðal annars fram að vöktunarefni má ekki varðveita lengur en í 90 daga en með undantekningum þó, þ. á m. að um ræði upplýsingar sem nauðsynlegar eru til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.
Í ljósi þeirra skýringa sem borist hafa frá Aðstoð og öryggi ehf. telur Persónuvernd að gera verði ráð fyrir að upptökur úr búkmyndavélum fyrirtækisins geti haft verulega þýðingu vegna mála sem upptökurnar tengjast. Þá verður ráðið af skýringunum að með áberandi hætti sé gert kunnugt um vöktunina og gagnsæis þannig gætt. Með hliðsjón af því sem að framan greinir um varðveislu vöktunarefnis vegna dómsmála og sambærilegra þarfa gerir Persónuvernd ekki athugasemdir við að upptökurnar verði varðveittar í 365 daga, enda verði í einu og öllu farið að kröfum persónuverndarlöggjafarinnar, þ. á m. um öryggi persónuupplýsinga.
Persónuvernd minnir hins vegar á að áður en vinnslan hófst hefði þurft að gera mat á áhrifum á persónuvernd, sbr. fyrrnefnt ákvæði 2. tölul. 3. gr. auglýsingar nr. 828/2019. Það getur varðað stjórnvaldssekt að verða ekki við kröfu persónuverndarlöggjafarinnar þar að lútandi, sbr. 1. tölul. 2. mgr. 46. gr. laga nr. 90/2018. Í því sambandi skal tekið fram að í ljósi skýringa Aðstoðar og öryggis ehf. gefur skortur á mati á áhrifum á persónuvernd einn og sér ekki tilefni til beitingar sektarheimilda. Þá hafa að öðru leyti ekki komið í ljós annars konar ágallar í tengslum við vinnsluna sem haft gætu slíkt í för með sér.
Með vísan til 4. tölul. 42. gr. laga nr. 90/2018 er aftur á móti lagt fyrir Aðstoð og öryggi ehf. að gera mat á áhrifum á Persónuvernd í samræmi við 35. gr. reglugerðarinnar, sbr. 29. gr. laganna, og skal staðfesting á að það hafi verið gert hafa borist Persónuvernd eigi síðar en 5. júlí nk.
Að öðru leyti eru ekki gerðar athugasemdir við upptökurnar og vinnslu persónuupplýsinga í tengslum við þær, en tekið skal fram að nánari afstaða í þeim efnum kann að verða tekin síðar, svo sem ef kvörtun berst frá skráðum einstaklingi.
F.h. Persónuverndar.
Þórður Sveinsson Páll Heiðar Halldórsson