Götusýn ja.is - mál nr. 2013/563

7.8.2013

Reykjavík, 6. ágúst 2013

Ákvörðun

Hinn 6. ágúst 2013 tók stjórn Persónuverndar eftirfarandi ákvörðun í máli nr. 2013/563:

I.
Málsatvik

Með símtali og tölvupósti þann 22. apríl 2013 óskaði X, hdl., f.h. Já upplýsingaveitna hf. (hér Já hf.), eftir fundi með Persónuvernd til að ræða áform fyrirtækisins til að reka og markaðssetja vef sem m.a. geymir myndir teknar úr götuhæð (e. street view) að erlendri fyrirmynd og helstu persónuverndarsjónarmið tengd því.

Var umræddur fundur haldinn með fulltrúum Já hf., þ. á m. lögmanni þess, þann 3. maí 2013. Þar greindu fulltrúar fyrirtækisins frá því að fyrirhugað væri að gefa kost á 360° sýn af götum á heimasíðu þess. Nánar tiltekið yrðu eknar valdar götur í Reykjavík, á Akureyri og Ísafirði og teknar þar myndir, einkum á ferðamannastöðum. Þá yrði bíll merktur Já.is notaður við myndatökurnar. Myndirnar yrði unnt að nálgast bæði á ja.is, sem og á iceland.ja.is. Það yrði tilfallandi ef einstaklingar yrðu á myndum og ef til þess kæmi yrði að hafa í huga að þeir væru á almannafæri. Myndir yrðu teknar að næturlagi yfir sumartímann þegar lítið sem ekkert af fólki væri á ferli. Þá yrðu ekki eknar íbúagötur heldur aðeins fjölfarnar götur.

Á fundinum benti Persónuvernd á að ef um væri að ræða persónuupplýsingar bæri fyrirtækinu að senda tilkynningu til stofnunarinnar, og einnig þyrfti að huga að fræðslu. Þá var rætt um hversu lengi myndir yrðu aðgengilegar og bent á að huga þyrfti að skráningarmerki ökutækja og öðru því sem persónugreint gæti einstaklinga. Af hálfu Já hf. kom fram að andlit yrðu gerð óþekkjanleg væri þess óskað.

Með bréfi, dags. 7. maí 2013, sendi Já hf. nánari upplýsingar um fyrirhugað verkefni til Persónuverndar. Í bréfinu segir m.a. að fyrirtækið hafi samið við fyrirtækið RP Media, um að afla myndefnis í götusýn sem verður miðlað á kortavefjum Já, t.d. á ja.is og planiceland.is. Þá segir að myndataka sé áætluð frá 15. maí 2013 og yrði myndefnið tekið upp frameftir sumri 2013. Þá væri ekki stefnt að því að taka myndir af vegfarendum, en augljóslega gæti það gerst væru menn staddir á þeim almenningsstöðum sem myndaðir verða.  Um fræðslu til almennings segir:

„Fræðsla og kynning á verkefninu verður tvíþætt, fyrst þegar myndataka hefst og svo aftur þegar myndagögnunum verður miðlað.
Fyrri fasi - þegar myndataka stendur yfir:
- Já og samstarfsaðilar verkefnisins munu senda frá sér fréttatilkynningu þar sem verkefninu verður lýst.
- Já mun auglýsa á vef sínum að verkefnið standi yfir.[...]

Seinni fasi - þegar myndefni verður miðlað:
- Já mun setja upp sérstaka síðu á vefnum Já.is þar sem hægt verður að nálgast allar upplýsingar um verkefnið.
- Um leið og tæknilegar upplýsingar um myndgögnin liggja fyrir, verða þær aðgengilegar fyrir almenning á vefsíðum Já.
- Almenningi verður boðið upp á að gera andlit sitt eða hús óþekkjanlegt af myndgögnum sé þess óskað.“

Með bréfi, dags. 10. júlí 2013, minnti Persónuvernd á að á framangreindum fundi hefði verið lýst ætlun fyrirtækisins að vinnsla þess yrði ópersónugreinanleg og að tilkynnt yrði til Persónuvernd ef vinnslan yrði persónugreinanleg. Þrátt fyrir það hefðu Persónuvernd borist ábendingar um að umræddar myndir hafi þegar verið birtar á vefsvæði Já.is, og að þar sé unnt að andlitsgreina einstaklinga, t.d. við veitingastaði. Af framangreindu virtist því liggja fyrir að Já hf. hafi tekið myndir af einstaklingum og birt þær á vefsvæði sínu, og því hafi farið fram vinnsla persónuupplýsinga í skilningi 1. mgr. 3. gr. laga nr. 77/2000. Í ljósi þessa áréttaði Persónuvernd að henni yrði að berast tilkynning frá Já hf. um umrædda vinnslu, sbr. ákvæði 31. gr. laga nr . 77/2000 og 6. gr. reglna nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Jafnframt var þess óskað að Já hf. upplýsti Persónuvernd um afstöðu fyrirtækisins til eyðingar persónuupplýsinga sem birtast í götusýn Já.is.

Þann 22. júlí 2013 barst Persónuvernd tilkynning frá Já hf. varðandi öflun og birtingu myndefnis í götusýn, þ.e. tilkynning nr. S6349/2013.

Í svarbréfi X, hdl., f.h. Já hf., dags. sama dag, segir að fyrirtækið hafi byrjað að afla myndefnis í götusýn, sem miðlað verður á kortavefjum Já á komandi vikum og mánuðum. Ákveðið hafi verið að fjölga götum sem boðið verður upp á í götusýn, sem sé breyting frá því sem kynnt var Persónuvernd á fundi þann 3. maí sl. Þá muni Já hf. taka myndir af öllum aðalvegum landsins ásamt götum á höfuðborgarsvæðinu og bæjum úti á landi, sem og helstu náttúruperlur og ferðamannastöðum landsins. Þó hafi vegna tíðarfars ekki reynst unnt að mynda að næturlagi, eins og upphaflega stóð til og greint var frá á áðurnefndum fundi með Persónuvernd. Engin ósk hafi enn borist fyrirtækinu um t.d. að skyggja andlit, enda þótt það myndi strax verða við slíkri beiðni.

Um afstöðu Já hf., til eyðingar upplýsinga sem birtast í götusýn Já.is, segir eftirfarandi:

„Markmiðið með götusýn Já er ekki að taka myndir af fólki heldur að fanga umhverfið. Í einhverjum tilfellum má þó gera ráð fyrir að hægt sé að greina fólk, hús eða bílnúmer. Til að bregðast við þessu munu notendur geta sent inn ósk um að fá andlit, hús eða bílnúmer skyggð sé þess óskað og mun þá fyrirtækið bregðast hratt og örugglega við.
Ef ábyrgðaraðili þyrfti að skyggja andlit og bílnúmer fyrirfram þyrfti að fara út í verulega aukna fjárfestingu til að þróa eða kaupa búnað því tengdu. Nú þegar hafa um eða yfir milljón myndir verið teknar í kjölfar þess að ákveðið var að víkka út verkefnið og taka myndir af öllum helstu götum á höfuðborgarsvæðinu.
Já er lítið fyrirtæki í alþjóðlegri samkeppni og býr ekki yfir þekkingu eða búnaði til að afmá bílnúmer eða andlit fyrirfram. Það yrði því verulega íþyngjandi að leggja út í slíkt umstang og kostnað á þessu stigi. Stór alþjóðleg fyrirtæki á borð við Google búa hins vegar sjálfsagt nú þegar yfir þekkingu og búnaði til að afmá slíkar upplýsingar fyrirfram.
Er Já þeirrar skoðunar að það fyrirkomulag að afmá eingöngu upplýsingar í kjölfar ábendinga eða beiðna samræmist vel sjónarmiðum um meðalhóf. Að því gefnu að myndir teknar á almannafæri teljist yfirhöfuð til persónuupplýsinga í skilningi laga nr. 77/2000 telur Já fyrirhugað fyrirkomulag vera í samræmi við vandaða vinnsluhætti persónuupplýsinga og það markmið sem að er stefnt með umræddri löggjöf. Möguleg fyrirmæli frá Persónuvernd um að gengið verði lengra í þessum efnum væru hins vegar afar íþyngjandi og þyrftu að byggja á mjög skýrum lagagrundvelli. Þegar íþyngja á borgurunum ber jafnframt að skýra hlutaðeigandi lagaákvæði þröngri lögskýringu og velja ávallt þá leið sem er minnst íþyngjandi miðað við það markmið sem að er stefnt.“

Þá telur Já hf. að vafi leiki á því að umrædd vinnsla sé tilkynningarskyld til Persónuverndar. Um þetta segir í bréfinu:

„Svo sem fram kemur í [tilkynningu til Persónuverndar nr. S6349/2013] hefur danska Persónuverndarstofnunin gefið út leiðbeinandi álit [um það] hvenær heimilt sé að birta myndir af einstaklingum á Internetinu, þ.e. án þeirra samþykkis. Þar er gerður greinarmunur á því hvort um er að ræða mynd af viðburði (d. situationsbilleder), s.s. mynd tekin af hópi áhorfenda á íþróttleik, eða mynd af tilteknum jafnvel nafngreindum einstaklingi (d. portrætbillede). Telur [Datatilsynet] að þær fyrrnefndu megi alla jafna birta án samþykkis viðkomandi einstaklinga. Ábyrgðaraðili telur að öflun og birting myndefnis í götusýn falli undir myndir af viðburðum, enda eru þær teknar á almannafæri. Af þeim sökum sé alls ekki um að ræða vinnslu persónuupplýsinga. Auk þess byggir ábyrgðaraðili m.a. á 5. gr. persónuverndarlaganna en þar segir að víkja megi frá ákvæðum laganna þegar menn vinna m.a. í þágu fjölmiðlunar, en miðlun myndefnisins á kortavefjum Já er ein tegund fjölmiðlunar. Getur birting mynda úr mannlífinu fallið hér undir og þá á 8. gr. ekki við. Tilkynning þessi er því send með þeim fyrirvara að ábyrgðaraðili telur verulegan vafa leika á hvort vinnslan sé tilkynningarskyld.“

II.
Ákvörðun Persónuverndar

1.
Gildissvið o.fl.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sem Persónuvernd framfylgir og starfar eftir, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Af samskiptum við Já hf. liggur ljóst fyrir að fyrirtækið hafi tekið myndir á almannafæri, þar sem m.a. er unnt að greina andlit einstaklinga og skráningarmerki ökutækja, sem og birt umræddar myndir á kortavefjum sínum www.ja.is og www.planiceland.is. Af því leiðir að öflun myndefnis þar sem greina má einstaklinga og birting þess myndefnis á vefsíðum fyrirtækisins felur hvort tveggja í sér vinnslu persónuupplýsinga sem fellur undir lög nr. 77/2000.

2.
Um tengsl við tjáningarfrelsi
Já hf. hefur m.a. vísað til þess að sú vinnsla sem fari fram á vegum þess vegna götusýnar Já.is og felst í birtingu myndanna á kortavefjum fyrirtækisins, sé ein tegund fjölmiðlunar og því megi víkja frá tilteknum ákvæðum laga nr. 77/2000, sbr. ákvæði 5. gr. laganna.

Samkvæmt 5. gr. laga nr. 77/2000 má víkja frá ákvæðum laganna í þágu fjölmiðlunar, lista eða bókmennta. Er framangreint eingöngu heimilt að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs manna annars vegar og tjáningarfrelsis hins vegar. Þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gilda aðeins ákvæði 4. gr., 1. og 4. tölul. 7. gr., 11.-13. gr. og 24., 28., 42. og 43. gr. laganna. Í ljósi framangreinds ákvæðis getur birting mynda úr mannlífinu, í vissum tilvikum, fallið hér undir og þá á m.a. ákvæði 8. gr. laga nr. 77/2000 ekki við.

Ákvæði 5. gr. er ætlað að koma í veg fyrir að lögum nr. 77/2000 verði beitt á þann veg að rétturinn til tjáningarfrelsis, sbr. 73. gr. stjórnarskrárinnar, víki fyrir einkalífsákvæði 71. gr. stjórnarskrárinnar þegar mál eru þannig vaxin að tjáningarfrelsið ætti að ganga framar. Það hvernig þeim ber að beita fer eftir atvikum hverju sinni. Ber m.a. við slíkt mat að huga að þeim tilgangi sem býr að baki birtingunni. Í því tilviki sem hér um ræðir getur Persónuvernd ekki fallist á þau rök Já hf. að birting myndanna sé í þágu fjölmiðlunar. Kallar því birting myndanna á kortavefjum Já hf. ekki á að vikið verði frá ákvæðum laga nr. 77/2000 á grundvelli heimildar í 5. gr. þeirra.

3.
Sjónarmið um birtingu mynda af viðburðum
Já hf. telur heimilt að birta myndir af einstaklingum, sem það hefur myndað á almannafæri, án samþykkis viðkomandi enda sé um að ræða mynd af viðburði en ekki mynd af nafngreindum einstaklingi. Um þetta vísar fyrirtækið sérstaklega til leiðbeininga dönsku Persónuverndarstofnunarinnar um það hvenær heimilt sé þar í landi að birta myndir af einstaklingum á Netinu án samþykkis þeirra.

Í umræddum leiðbeiningum er greinarmunur gerður á myndum af viðburðum og mynda af einstaklingum. Hefur framkvæmdin þar í landi miðast við að heimilt sé að birta hinar fyrrnefndu myndir án samþykkis viðkomandi. Hér á landi hefur hins vegar hvorki í lögum né í framkvæmd Persónuverndar verið gerður slíkur greinarmunur m.t.t. birtingu myndefnis.

4.
Lögmæti vinnslu og sjónarmið um meðalhóf
4.1.
Öll vinnsla persónuupplýsinga verður að uppfylla eitthvert skilyrða 8. gr. laga nr. 77/2000.

Í framangreindri tilkynningu frá Já hf., nr. S6349/2013, er byggt á 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 sem heimild fyrir vinnslu persónuupplýsinga, þ.e. að vinnslan sé nauðsynleg til að gæta lögmætra hagsmuna Já hf., en í því ákvæði er vinnsla persónuupplýsinga lýst heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Í tilkynningunni er vísað til þess að ábyrgðaraðili telji sig eiga lögvarða hagsmuni á grundvelli stjórnarskrárbundins atvinnu- og tjáningarfrelsis, en fjölmörg dæmi séu erlendis frá um hliðstæða starfsemi í atvinnuskyni.

Persónuvernd gerir ekki athugasemdir við að vinnsla Já hf. á persónuupplýsingum styðjist við umrædda heimild í 8. gr. laganna.

4.2.
Auk skilyrða sem fram koma í 8. gr. þarf öll vinnsla persónuupplýsinga ávallt að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

Enda þótt umrædd vinnsla sé heimil á grundvelli 8. gr. laga nr. 77/2000 telur Persónuvernd í ljósi meðalhófskrafna 7. gr. að Já hf. verði að gera umræddar myndir ópersónugreinanlegar fyrir birtingu þeirra á vefsíðum Já hf. enda nái tilgangur sá sem lögmætir hagsmunir Já hf. helgast af, ekki til þess að birta slíkar upplýsingar.

Þá má einnig benda á að svonefndur 29. gr. vinnuhópur, sem hefur það hlutverk að stuðla að samræmdri túlkun persónuverndarlaga í Evrópu í ljósi tilskipunar nr. 95/46/EB, hefur byggt á því í samskiptum sínum við fyrirtæki sem býður upp á sambærilega þjónustu og Já hf. gerir nú, að ljósmyndir eigi ekki að birta nema andlit og/eða skráningarmerki ökutækja hafi verið afmáð fyrir birtingu, sbr. t.d. bréf hópsins til Google Inc., dags. 10. febrúar 2010, vegna Google Street View.

5.
Niðurstaða Persónuverndar
Með vísun til alls framangreinds telur Persónuvernd að vinnsla persónuupplýsinga á vegum Já hf. vegna götusýnar á kortavefjum sé heimil á grundvelli ákvæðis 7. tölul. 1. mgr. 8. gr. Hins vegar nái sú heimild ekki til birtingar persónuupplýsinga. Því skuli afmá persónugreinanlegar upplýsingar af myndunum fyrir birtingu þeirra, nánar tiltekið andlit þeirra einstaklinga og skráningarmerki þeirra ökuækja sem þar koma fyrir, svo að uppfyllt séu skilyrði 1. mgr. 7. gr. laga nr. 77/2000. Skulu Já upplýsingaveitur hf. sjá til þess að allar myndir sem birtar eru á vefsíðum þess séu ópersónugreinanlegar, svo að uppfyllt séu skilyrði 1. mgr. 7. gr. laga nr. 77/2000. Skal einkum í því tilliti huga að því að afmá andlit og skráningarmerki ökutækja.

Beinir Persónuvernd því þeim fyrirmælum, sbr. 1. mgr. 25. gr. og 1. mgr. 40. gr. laga nr. 77/2000, til Já hf. að birta einungis ópersónugreinanlegar myndir á vefsíðum fyrirtækisins sem og að afmá persónuupplýsingar í því myndefni sem þegar hefur verið birt. Ber fyrirtækinu að senda Persónuvernd staðfestingu á því að fyrirmælum hafi verið framfylgt eigi síðar en 1. október næstkomandi.

Á k v ö r ð u n a r o r ð:
Já upplýsingaveitur hf. skulu sjá til þess að efni sem birtist á myndum, á vefsíðum þess vegna götusýnar, verði ópersónugreinanlegt. Skal einkum í því tilliti huga að því að afmá andlit og skráningarmerki ökutækja.