Landhelgisgæslan

12.2.2003

I.

Með bréfi, dags. 18. september 2002, óskaði trúnaðarmaður flugvirkja hjá Landhelgisgæslunni, eftir því að Persónuvernd athugaði lögmæti notkunar eftirlitsmyndavéla og aðgangskorta hjá Landhelgisgæslunni.

1.

Segir í erindinu að fyrir um 10 árum hafi verið sett upp eftirlitsmyndavél í flugskýli Landhelgisgæslunnar sem tengd hafi verið sjónvarpsskjá í stjórnstöð. Fyrstu árin hafi vöktunin einungis farið fram utan vinnutíma en allan sólarhringinn frá árinu 2001, þrátt fyrir mótmæli flugvirkja. Fyrir nokkrum mánuðum hafi starfsmenn uppgötvað að eftirlitsmyndavélin er tengd tölvuskjá en ekki sjónvarpsskjá og að fyrirhugað sé að taka í notkun fleiri vélar. Jafnframt hafi þeir uppgötvað að hægt er að fara í hvaða tölvu sem væri og kalla fram á innraneti fyrirtækisins myndir af hinum vöktuðu svæðum. Starfsmönnum hafi hins vegar hvorki verið gerð grein fyrir tilgangi þessa, hverjir hafi aðgang að tölvuskjánum né hvaða tölvuskjáir séu tengdir við eftrlitsmyndavélina.

Hefur Persónuvernd verið spurð um:
1. Hvort skylt sé að tilkynna starfsfólki um að fram fari sjónvarpsvöktun, hver sé tilgangur vöktunarinnar og hvernig staðið sé að henni.
2. Hvort krafist sé rökstuðnings fyrir því að vöktun fari fram á vinnutíma.
3. Hvort merkja þurfi með greinanlegum hætti að sjónvarpsvöktun sé í gangi.
4. Hvort heimilt sé að hafa aðgengi að mynd úr vélunum með þeim hætti að opið sé nánast hverjum sem er.
5. Hvort heimilt sé að nota vitneskju úr þessum vélum gegn starfsmanni, komi upp deilur um hvar ákveðinn starfsmaður var og hvað hann var að gera á tilteknum tíma.
6. Hvort Persónuvernd telji, miðað við framangreinar upplýsingar, þörf á að aðhafast eitthvað vegna sjónvarpsvöktunarinnar.

2.

Að því er varðar notkun aðgangskorta, segir í erindinu að hún felist í því að sérhver starfsmaður hafi kort til að komast inn í flugskýli, stjórnstöð eða aðra staði. Kortið skrái niður tímasetningu og hver viðkomandi sé. Þegar kerfið hafi verið sett upp hafi forsvarsmenn Landhelgisgæslunnar tjáð starfsfólki að tilgangur þess væri að auðvelda símaþjónustu þar sem með kerfinu væri hægt að sjá hvar í fyrirtækinu starfsmenn séu og beina símtölum á rétta staði. Tilgangur kerfisins væri ekki að fylgjast með mætingu starfsmanna. Annað hafi hins komið í ljós.

Hefur Persónuvernd verið spurð um:
1. Hvort hægt sé að nota upplýsingar úr aðgangskerfinu til að véfengja samþykktar vinnuskýrslur.
2. Hvort hægt sé að nota aðgangskerfið eftir hentugleika þegar starfsfólki hafi verið tjáð annað í byrjun.
3. Hvort búnaðurinn þurfi ekki að vera með þeim hætti að starfsmenn geti séð á hvaða tíma þeir stimpli sig inn, ef upplýsingar úr aðgangskerfinu eru lagðar til grundvallar við launaútreikninga eða til að staðreyna vinnu.
4. Hvort starfsmenn þurfi að samþykkja útprentun úr kerfinu ef bera á hana saman við vinnuskýrslur þeirra.

II.
1.

Erindið var kynnt Landhelgisgæslunni með bréfi, dags. 31. október 2002, og forsvarmönnum hennar gefinn kostur á að tjá sig um efni þess. Var þess sérstaklega óskað að upplýst yrði hvernig staðið hefði verið að því að kynna fyrir starfsmönnum framangreint myndavélaeftirlit sem og aðgangskerfi, þ.á m. hvaða tilgangi það þjóni, hvernig notkun þess sé háttað, hverjir hafi aðgang að upplýsingum úr kerfinu og hversu lengi þær séu varðveittar.

Svarbréf lögfræðings Landhelgisgæslunnar er dags. 11. nóvember 2002. Segir þar að fyrir um 10 árum hafi staðið til að setja upp fjórar eftirlitsmyndavélar í flugskýlinu en vegna móttmæla flugvirkja hafi einungis verið sett upp ein vél. Með notkuninni sé gert kleift að fylgjast með mannaferðum í flugskýlinu í öryggisskyni svo sem vegna hættu á skemmdarverkum eða þjófnaði. Inni í flugskýlinu sé hluti af helstu björgunartækjum þjóðarinnar. Þá sé í flugskýlinu einnig verðmætur varahlutalager. Sú myndavél, sem þarna sé, sýni aðeins hluta flugskýlisins, hún sé ekki tengd upptökuvél og myndin mjög óskýr. Ekki sé t.d. hægt að greina á mynd hvaða starfsmenn séu þarna á ferli. Þegar myndavélin hafi verið sett upp, hafi starfandi flugvirkjum og aðstoðarmönnum þeirra verið tilkynnt um myndavélina og gerð grein fyrir tilgangi hennar. Sú tilkynning hafi ekki verið með formlegum hætti enda þá ekki í gildi lög um persónuvernd. Þar sem ekki felist nein breyting í því að sýna mynd á tölvuskjá í stað sjónvarpsskjás, hafi ekki verið talin þörf á að tilkynna þá breytingu sérstaklega. Um það tilvik að starfsmenn hafi getað farið inn á nánast hvaða tölvu sem væri og kallað fram hin vöktuðu svæði, segir að þegar umrætt tilvik hafi átt sér stað hafi verið nýhafin prófun á kerfinu og að eftir hafi verið að setja inn notandanafn og leyniorð á slóðina.

Segir að eftir að myndavélin hafi verið sett upp, hafi aðstæður í heiminum breyst verulega. Hryðjuverkaógn og aukin glæpatíðni auki þörfina á slíkri vöktun. Vegna þessa sé verið að breyta myndavélaeftirlitinu. Verið sé að setja upp fullkomnari myndavél til þess að þjóna betur öryggishagsmunum Landhelgisgæslunnar og landsmanna allra sem treysti á þessi björgunartæki. Fyrirhugað sé að hafa myndirnar það greinilegar að þær nýtist betur í öryggisskyni og einnig sé fyrirhugað að tengja vélarnar við upptökutæki. Sú breyting verði tilkynnt Persónuvernd. Þá segir:

"Auk framangreindra röksemda fyrir myndavélaeftirliti er rétt að geta þess að nauðsynlegt er fyrir starfsmenn í stjórnstöð Landhelgisgæslunnar að geta fylgst með framgangi útkalla. Stjórnstöðin er að Seljavegi 32, en flugskýlið á Reykjavíkurflugvelli. Erfitt er fyrir starfsmenn stjórnstöðvar að þurfa að hringja í áhafnir vélanna til að fá upplýsingar þegar útkall stendur yfir enda getur hver mínúta skipt sköpum þegar neyðarástand varir. Starfsmönnum stjórnstöðvar ber að skrifa skýrslur um framgang útkalla og oft á tíðum eru fleiri en Landhelgisgæslan að sinna sama útkallinu. Þá er nauðsynlegt að upplýsingar liggi fyrir í stjórnstöðinni, þ.á m. um hvenær þyrla eða flugvél fór í loftið o.s.frv. svo hægt sé að upplýsa hlutaðeigandi aðila, t.d. lækna og björgunarsveitarmenn svo eitthvað sé nefnt. Myndavélaeftirlit í flugskýlinu auðveldar starfsmönnum stjórnstöðvar að fá nauðsynlegar upplýsingar."

Í bréfi Landhelgisgæslunnar segir að sérhver starfsmaður hafi kort eða hring með skynjara til að komast inn á vinnustað sinn. Tilgangur kerfisins sé að fá upplýsingar um hvar starfsmenn séu staddir hverju sinni en Landhelgisgæslan hafi þrjár starfsstöðvar, við Reykjavíkurhöfn, á Reykjavíkurflugvelli og aðalskrifstofur að Seljavegi 32, Reykjavík. Þá sé aðgangskerfinu ætlað að koma í veg fyrir að óviðkomandi aðilar komist inn á starfsstöðvar Landhelgisgæslunnar. Þá segir:

"Aðgangskerfið skráir þann tíma er starfsmaður kemur í hús og þegar hann yfirgefur það. Það hefur ekki verið notað sem stimpilklukka enda þurfa skráningar úr kerfinu ekki að liggja fyrir þegar yfirvinnuskýrslur eru samþykktar eða laun afgreidd. Hins vegar hafa komið upp einstaka tilvik, þegar skráning yfirvinnutíma er augljóslega röng, að upplýsingar úr kerfinu eru notaðar til að sannreyna hvort starfsmaður var í raun þar sem hann segist hafa verið. Hefur þetta verð gert af gefnu tilefni ..... Starfsmenn sem senda inn rangar vinnuskýrslur hljóta að búast við því að stofnunin leiti allra leiða til að upplýsa hið rétt í þeim efnum."

Þá segir að aðgang að upplýsingunum hafi einungis deildarstjóri tæknideildar Landhelgisgæslunnar og að hans sögn séu útskriftir varðveittar frá þeim tíma er kerfið var tekið í notkun.

2.

Flugvirkjafélagi Íslands tjáði sig um svarbréf Landhelgisgæslunnar með bréfi, dags. 29. nóvember 2002. Þar segir:
"Undirritaður sér vel öryggissjónarmiðin í því að hafa myndavélar í gangi utan vinnutíma í flugskýlinu þar sem það væri gott fyrir starfsmann stjórnstöðvar að geta litið á þær ef öryggiskerfið færi í gang og gefið upplýsingar til lögreglu ...... Hvað varðar að hafa myndavélar í gangi á vinnutíma getur undirritaður ekki séð að það séu nógu sterk rök fyrir því, það er mikill fjöldi starfsmanna á staðnum sem veita bestu vöktun sem völ er á og ef ætti að hafa myndavélarinar í gangi yfir daginn væri erfitt fyrir þann aðila sem vaktaði þær að gera greinarmun á hverjir væru óviðkomandi og hverjir ekki. "

Um þá röksemd Landhelgisgæslunnar að starfsmenn í stjórnstöð þurfi að geta fylgst með framvindu útkalla segir að yfirmönnum hafi ítrekað verið bent á að mun markvissara sé að hafa myndavélar fyrir utan þar sem vélarnar eru gangsettar. Starfsmaður í stjórnstöð fái mun gleggri mynd af stöðu útkalls með því að sjá þegar vél sé sett í gang. Sá tími sem vélarnar séu inni í flugskýli á meðan verið sé að undirbúa útkall sé hins vegar mjög misjafn, allt frá 5 mínútum til 45 mínútna.

Landhelgisgæslan hafi ekki tilkynnt starfsmönnum sínum um þær breytingar sem unnið hafi verið að á undanförnum mánuðum. Það hafi verið fyrst með svarbréfi Landhelgisgæslunnar til Persónuverndar sem fengist hafi vitneskja um þær. Bent er á að trúnaðarmaður starfsmanna flugvirkja hafi komist inn á myndavélarnar í fjórum mismunandi tölvum í rúman mánuð. Mótmælt er því þeirri fullyrðingu að engin breyting felist í því að færa vöktunina frá sjónvarpskjá yfir í tölvuskjá. Slík breyting hljóti að kalla á auknar öryggiskröfur.

Að því er varði það markmið aðgangskerfisins að koma í veg fyrir að óviðkomandi aðilar komist inn á starfsstöðvar Landhelgisgæslunnar segir að á flugskýlinu séu fimm hurðir sem ekki séu tengdar þessu kerfi og séu oft ólæstar á dagvinnutíma. Þá er bent á að með því að varðveita útskriftir úr kerfinu frá þeim tíma sem það var tekið í notkun sé um að ræða varðveislu persónuupplýsinga sem engin augljós gagnsemi sé af.

III.

Samkvæmt fyrirliggjandi gögnum fer fram hjá Landhelgisgæslunni vöktun með þeim hætti að myndavélar eru tengdar skjám í stjórnstöð fyrirtækisins. Þar sem þessi búnaður er hvorki tengdur upptökuvélum, né liggur fyrir að hann sé með annarri aðferð nýttur til söfnunar eða annars konar vinnslu persónuupplýsinga, telst ekki vera um að ræða vinnslu persónuupplýsinga í skilningi 2. tl. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, með áorðnum breytingum (pul). Hins vegar er um að ræða rafræna vöktun í skilningi 6. tl. 2. gr. sömu laga, en með því er átt við vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði. Um sjónvarpsvöktun, þ.e. rafræna vöktun sem fer fram með notkun sjónvarpsvéla, myndbandsbúnaðar, vefmyndavéla eða annars samsvarandi búnaðar og ekki telst vera rafræn vinnsla, er fjallað í 4. gr. laganna. Segir þar að um slíka vöktun fari samkvæmt tilteknum ákvæðum laganna, þ.m.t. 7. gr. um meðferð persónuupplýsinga og 24. gr. um viðvaranir um rafræna vöktun.

Í 7. gr. er kveðið á um meginreglur um gæði gagna og vinnslu og þar m.a. áskilið að persónuupplýsingar séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga, þær séu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunar, sbr. 1., 2. og 3. tl. 1. mgr.

Samkvæmt 24. gr. er skylt að merkja eða gera á annan áberandi hátt glögglega viðvart um þá vöktun sem fram fer á vinnustað eða á almannafæri og hver sé ábyrgðaraðili hennar.

1.

Flugvirkjafélag Íslands hefur beint til Persónuverndar ýmsum spurningum er lúta að lögmæti viðhafðrar vöktunar. Er þær þessar:

a) Flugvirkjafélagið hefur í fyrsta lagi óskað afstöðu Persónuverndar til þess hvort Landhelgisgæslunni sé skylt að tilkynna starfsfólki um tilgang vöktunarinnar og hvernig að henni sé staðið.

Eins og vikið er að hér að framan er, samkv. 24. gr. pul., skylt að merkja eða gera á annan áberandi hátt glögglega viðvart um þá vöktun sem fram fer og hver sé ábyrgðaraðili hennar. Í ljósi 2. tl. 1. mgr. 7. gr. ber að túlka framangreindan áskilnað 24. gr. svo að vöktunin skuli eiga sér yfirlýstan, skýran og málefnalegan tilgang og að Landhelgisgæslunni beri skýra frá tilgangi vöktunarinnar og hvernig að henni sé staðið, komi fram beiðni þar um.

b) Flugvirkjafélagið hefur í öðru lagi óskað afstöðu Persónuverndar til þess hvort krafist sé rökstuðnings fyrir því að vöktun fari fram á vinnutíma. Skilja verður fyrirspurnina svo að óskað sé afstöðu til þess hvort áskilin sé sérstök nauðsyn þegar vöktun beinist að starfsmönnum á vinnutíma, en Flugvirkjafélag telur ekki vera þörf á slíkri vöktun.

Af ákvæði 7. gr. pul leiðir að vöktun sem beinist að starfsmönnum á vinnutíma verður eins og önnur vöktun að vera málefnaleg og lögmæt og eiga sér yfirlýstan, skýran og málefnalegan tilgang. Við mat á því hvenær vöktun telst málefnaleg ber atvinnurekanda að taka mið af því markmiði laga nr. 77/2000 að virða skuli grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs, sbr. 1. gr. Að því virtu, og að gættu ákvæði 3. tl. 7. gr., ber að gæta meðalhófs við vöktun á vinnustað, ekki síst þegar vöktun fer fram á vinnutíma og beinist að starfsmönnum. Af því leiðir að þrátt fyrir rétt atvinnurekanda til eðlilegs eftirlits með því að starfsmenn vinni sitt starf, og til að tryggja öryggi eigna sinna, ber honum að virða eðlilegan einkalífs starfsmanna á vinnustöðum. Í því felst m.a. að vöktun sem beinist að starfsmönnum í starfi verður að eiga sér sérstakt málefnalegt markmið og að forðast ber vöktun manna við störf sín nema atvinnurekandi geti ekki náð þessu markmiði með aðferð sem síður er til þess fallin að skerða einkalífsrétt þeirra.

c) Flugvirkjavélag Íslands óskar í þriðja lagi eftir afstöðu Persónuverndar til þess hvort ekki þurfi að merkja með greinanlegum hætti að sjónvarpsvöktun sé í gangi.

Um svar við þessu vísast til svar í a-lið.

d) Flugvirkjafélagið óskar í fjórða lagi eftir afstöðu Persónuverndar til þess hvort heimilt sé að veita hverjum sem er aðgang að myndum úr vöktunarvélum.

Hér ber sem fyrr að virða áskilnað 2. og 3. tl. 1. mgr. 7. gr. pul. Af þeim ákvæðum leiðir að vinnsla skal eiga sér yfirlýstan, skýran og málefnalegan tilgang og vera nægileg, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang hennar. Í þessu felst m.a. að einungis þeir sem starfa sinna vegna þurfa að hafa aðgang að vélunum skuli hafa hann en aðrir ekki. Ber Landhelgisgæslunni að viðhafa nauðsynlegar ráðstafanir til að tryggja þetta.

e) Flugvirkjafélagið óskar í fimmta lagi eftir afstöðu Persónuverndar til þess hvort heimilt sé að nota vitneskju sem til verður með vöktuninni gegn starfsmanni, komi upp deilur um hvar ákveðinn starfsmaður var og hvað hann var að gera á tilteknum tíma.

Þar sem þessi fyrirspurn lýtur að efni sem lögfræðilega séð er einkum vinnuréttarlegs eðlis, og fellur að því leyti utan þess sviðs sem fellur undir svið laga nr. 77/2000, getur Persónuvernd ekki tjáð sig um það að öðru leyti en því að vísa til þeirra meginreglna sem kveðið er á um 7. gr. laga nr. 77/2000 um meðferð persónuupplýsinga.

f) Að lokum hefur Flugvirkjafélagið spurt hvort Persónuvernd telji vera þörf á að aðhafast eitthvað vegna sjónvarpsvöktunarinnar.

Eins og vikið er að hér að framan áskilja lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga að atvinnurekandi meti nauðsyn vöktunar sinnar andspænis hagsmunum og rétti starfsmanna til friðhelgi einkalífs á vinnustað. Fyrir liggur að myndgæði í því kerfi sem nú er notað eru slíkt að erfitt getur verið að bera kennsl á þá einstaklinga sem birtast á skjám. Nú mun hins vegar vera í undirbúningi að taka upp nýtt eftirlitskerfi hjá Landhelgisgæslunni. Af gögnum málsins virðist mega vænta þess að í framtíðinni verði viðhöfð vöktun sem jafngildi vinnslu persónuupplýsinga, í skilningi laganna. Bent skal á að þegar og ef til þess kemur verður vinnslan að eiga sér stoð í 8. gr. og eftir atvikum 9. gr. laganna, ef um er að ræða vinnslu viðkvæmra persónuupplýsinga. Um þá vinnslu gilda jafnframt ýmis ákvæði laganna sem tryggja réttarstöðu hinna skráðu, þ.e. þeirra sem myndaðir verða. Að öðru leyti verður ekki hér tekin frekar afstaða til þessa, en berist síðar ósk þess efnis verður hún skoðuð sérstaklega.

2

Flugvirkjafélag Íslands hefur beint til Persónuverndar ýmsum spurningum er lúta að lögmæti notkunar aðgangskorta hjá Landhelgisgæslunni. Er þær þessar:

a) Flugvirkjafélagið spyr hvort nota megi upplýsingar sem til verða með notkun aðgangskorta í öðrum tilgangi en þeim sem tilkynntur hefur verið starfsmönnum og hver sé réttarstaða starfsmanna ef þær eru notaðar t.d. við að staðreyna vinnu starfsmanns.

Ljóst er að með notkun aðgangskorta verða til persónuupplýsingar, þ.e. upplýsingar um hvenær starfsmaður er í vinnunni og hvar hann er hverju sinnir innan fyrirtækisins. Þarf slík vinnsla að eiga sér stoð í einhverju þeirra skilyrða sem kveðið er á um í 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, með áorðnum breytingum. Af hálfu Landhelgisgæslunnar hefur verið vísað til þess að notkun kerfisins hafi ekki getað farið fram hjá neinum starfsmanni, þar sem hver og einn fékk sitt kort eða hring með skynjara. Verður því við það að miða að starfsmenn hafi fallist á vinnsluna í skilningi 1. tl. 1. mgr. 8. gr. pul. Þá felst í stjórnunarrétti atvinnurekanda réttur hans til að fylgjast með því hvort starfsmaður er í vinnunni. Má því líta svo á að vinnslan eigi sér jafnframt stoð í 7. tl. 1. mgr. 8. gr., þar sem hún sé atvinnurekanda nauðsynleg og hagsmunir hans af henni ríkari en hagsmunir starfsmanna af því að hún fari ekki fram.

Varðandi fyrirspurn um réttarstöðu starfsmanna skal tekið fram að í III kafla laga nr. 77/2000 er m.a. fjallað um upplýsingarétt hins skráða og upplýsingaskyldu ábyrgðaraðila, svo og um fræðslu- og viðvörunarskyldu hans. Skal ábyrgðaraðili persónuupplýsinga upplýsa hinn skráða um þau atriði sem þar eru tilgreind, m.a. um tilgang vinnslunnar og rétt hins skráða til leiðréttingar eða eyðingar rangra eða villandi upplýsinga um hann. Fyrir liggur að upplýsingar úr aðgangskerfinu eru í einstaka tilvikum notaðar til að "leiðrétta rangar" vinnuskýrslur. Slík vinnsla getur verið í fullu samræmi við þær meginreglur um gæði gagna og vinnslu sem kveðið er á um í 7. gr. og átt sér stoð í 7. tl. 1. mgr. 8. gr. pul.

b) Flugvirkjafélagið spyr hvort starfsmenn þurfi að samþykkja útprentun úr aðgangskortakerfinu ef bera á hana saman við vinnuskýrslur þeirra.

Þar sem þessi fyrirspurn lýtur að efni sem lögfræðilega séð er einkum vinnuréttarlegs eðlis, og fellur að því leyti utan sviðs laga nr. 77/2000, getur Persónuvernd ekki tjáð sig um það að öðru leyti en því að vísa til þess sem þegar er fram komið um að umrædd vinnsla persónuupplýsinga eigi sér stoð í 7. tl. 1. mgr. 8. gr. pul., og því sé útprentun úr kerfinu heimil að uppfylltum öðrum ákvæðum þeirra laga. Þá má, vegna athugasemdar í bréfi Landhelgisgæslunnar, dags. 11. nóvember 2002, um að deildarstjóri tæknideildar hafi einn aðgang að upplýsingum úr aðgagngskerfinu og geymi útskriftir úr því frá þeim tíma að kerfið var tekið í notkun, minna á að samkvæmt 5.tl. 1. mgr. 7. gr. pul skulu persónuupplýsingar ekki varðveittar á persónugreinanlegu formi lengur en þörf krefur miðað við tilgang vinnslu. Þá segir í 1. mgr. 26. gr. laganna að þegar ekki sé lengur málefnaleg ástæða til að varðveita persónuupplýsingar skuli ábyrgðaraðili eyða þeim. Málefnaleg ástæða til varðveislu getur m.a. byggst á fyrirmælum í lögum eða á því að ábyrgðaraðili vinni enn með upplýsingarnar í samræmi við upphaflegan tilgang með söfnun þeirra.