Miðlun mynda úr hraðamyndavélum lögreglu til eigenda eða umráðamanna viðkomandi ökutækja.
Persónuvernd hefur svarað Ríkislögreglustjóra um lögmæti þess að miðla myndum úr hraðamyndavélum.
Efni: Meðferð mynda úr hraðamyndavélum – Sending slíkra mynda til eigenda ökutækja
I.
Erindi Ríkislögreglustjórans
Persónuvernd vísar til bréfs embættis Ríkislögreglustjórans, dags. 11. september 2008. Þar segir:
„Ríkislögreglustjórinn vinnur að því að settar verði verklagsreglur um meðferð mála þegar löggæslumyndavélar (hraðamyndavélar) skrá ætluð hraðakstursbrot á vegum landsins. Vélum þessum fer fjölgandi og er reiknað með að þær verði 16 til 18 talsins í lok þessa árs. Fjöldi brota sem skráð hafa verið með löggæslumyndavélum hlaupa nú á þúsundum. Úrvinnsla gagna í þessum efnum er stórt viðfangsefni sem mæðir á lögreglunni í vaxandi mæli.
Af þessu tilefni er leitað viðhorfa Persónuverndar til þess að ljósmynd af ökumanni fylgi tilkynningu til skráðs eiganda/umráðamanns ökutækis þar sem málavöxtum er lýst og honum gefinn kostur á að ljúka máli með greiðslu sektar sem þar er tilgreind, eða upplýsa hver ók bifreiðinni umrætt sinn hafi hann ekki ekið sjálfur, sbr. 1. mgr. 58. gr. umferðarlaga, nr. 50/1987. Við þessar aðstæður mundi það einfalda verkferla ef ljósmynd af ökumanni, sem tekin var við ætlað brot hans, fylgdi fyrstu tilkynningu til skráðs eiganda/umráðamanns og/eða hvort senda mætti slíka mynd með tölvupósti þegar skráður eigandi ökutækis óskar þess.
Vinna við drög að fyrrnefndum verklagsreglum er á lokastigi og því kæmi sér vel ef Persónuvernd gæti vinsamlegast svarað þessum álitaefnum við fyrsta tækifæri."
II.
Álit Persónuverndar
1.
Gildissvið laga nr. 77/2000
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.
Ef greina má tiltekinn einstakling á mynd telst hún hafa að geyma persónuupplýsingar í framangreindum skilningi. Sé myndin á stafrænu formi fellur hún ávallt undir gildissvið laga nr. 77/2000. Sé hún á hliðrænu formi fellur hún og undir gildissviðið ef hún tilheyrir eða er ætlað að tilheyra skrá, þ.e. skipulagsbundnu safni persónuupplýsinga þar sem finna má upplýsingar um einstaka menn, sbr. 3. tölul. 2. gr. laganna.
Ekki kemur fram í erindi embættis Ríkislögreglustjórans hvort myndir úr hraðamyndavélum séu á stafrænu eða hliðrænu formi. Í ljósi þess sem almennt tíðkast má þó ætla að myndirnar séu stafrænar og falli því undir gildissvið laga nr. 77/2000. Séu þær hins vegar hliðrænar má ætla að þær falli einnig undir gildissviðið þar sem þær tilheyri tilteknu máli sem skráð er í málaskrárkerfi þar sem finna má upplýsingar um tiltekna einstaklinga.
2.
Forsendur
Upplýsingar um það hvort maður hafi verið grunaður um refsiverðan verknað eru viðkvæmar persónuupplýsingar, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000. Svo að vinna megi með slíkar upplýsingar verður að vera fullnægt einhverju skilyrðanna fyrir vinnslu slíkra upplýsinga í 9. gr. sömu laga. Þá verður, eins og endranær við vinnslu persónuupplýsinga, að vera fullnægt einhverju skilyrðanna í 8. gr. laganna.
Í 7. tölul. 1. mgr. 9. gr. er mælt fyrir um að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Samkvæmt 6. tölul. 1. mgr. 8. gr. er og vinnsla persónuupplýsinga heimil sé hún nauðsynleg við beitingu opinbers valds sem sá sem vinnur með upplýsingarnar fer með.
Persónuvernd telur framangreind ákvæði heimila lögreglu að vinna með persónuupplýsingar að því marki sem nauðsynlegt er til að hún geti sinnt hlutverki sínu. Í 1. mgr. 7. gr. laga nr. 77/2000 er að finna ákvæði sem líta ber til í því sambandi. Þar er mælt fyrir um tilteknar grundvallarreglur sem lúta m.a. að sanngirni og meðalhófi við vinnslu persónuupplýsinga. Meðal annars er kveðið á um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og á þann veg að öll meðferð þeirra samrýmist vönduðum vinnsluháttum persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).
Að auki ber að líta til ákvæða í öðrum lögum sem gildi hafa í tengslum við meðferð umræddra mynda. Einkum má ætla að 1. mgr. 58. gr. umferðarlaga nr. 50/1987 skipti máli á því sambandi. Þar segir að eiganda eða umráðamanni ökutækis sé skylt, þegar lögreglan krefjist þess, að gera grein fyrir hver hafi stjórnað ökutækinu á tilteknum tíma.
Persónuvernd telur notkun hraðamyndavéla geta stuðst við framangreindar heimildir 8. og 9. gr. laga nr. 77/2000, sem og samrýmst grundvallarreglum 7. gr. sömu laga. Í áðurnefndu ákvæði 1. tölul. 1. mgr. þeirrar greinar er mælt fyrir um að gæta skuli sanngirni við vinnslu persónuupplýsinga. Í því felst krafa um gagnsæi, þ.e. um að hinn skráði fái vitneskju, eða eigi kost á vitneskju, um vinnslu persónuupplýsinga um sig. Þessi gagnsæiskrafa er útfærð nánar í m.a. 20., 21. og 24. gr. laga nr. 77/2000 þar sem mælt er fyrir um fræðslu og viðvaranir um vinnslu persónuupplýsinga. Samkvæmt 2. mgr. 3. gr. laga nr. 77/2000 gilda þessi ákvæði ekki um starfsemi ríkisins á sviði refsivörslu.
Í ljósi þessa má ætla að þó svo að hraðamyndavélar séu að líkindum oft þannig upp settar að ökumenn eigi erfitt með að átta sig á staðsetningu þeirra geti notkun þeirra samrýmst lögum nr. 77/2000. Það merkir þó ekki að með öllu sé óþarft að veita fræðslu um þá vinnslu persónuupplýsinga sem hraðamyndavélar hafa í för með sér. Hin almenna gagnsæiskrafa 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 gildir um vinnslu á vegum lögreglu. Hér verður ekki tekin afstaða til þess hvað gera þarf til að fara að henni í umræddu sambandi, enda lýtur framangreint erindi Ríkislögreglustjórans ekki að því. Þó skal tekið fram að almenn fræðsla til almennings verður að teljast æskileg, s.s. í formi fréttatilkynninga eða umfjöllunar á heimasíðu lögreglu um hvernig vinnslan fari fram.
Við mat á því hvort það fái samrýmst umræddum grundvallarreglum 7. gr. laga nr. 77/2000 að senda myndir úr hraðamyndavélum til eigenda eða umráðamanna ökutækja ber að líta til áðurnefnds ákvæðis 1. mgr. 58. gr. umferðarlaga. Þar sem eiganda eða umráðamanni ökutækis er skylt samkvæmt því ákvæði að greina lögreglu frá því hver hafi ekið ökutækinu á tilteknum tíma telur Persónuvernd umrædda sendingu myndanna samrýmast þessum grundvallarreglum.
Við sendingu myndanna ber hins vegar að fara að ákvæðum 11. gr. laga nr. 77/2000 um upplýsingaöryggi. Þar er mælt fyrir um að gera skuli viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. Þá segir m.a. að beita skuli ráðstöfunum sem tryggja nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra.
Þegar litið er til eðlis umræddra upplýsinga, þ.e. að þær lúta að grun um refsiverða háttsemi, telur Persónuvernd það ekki fá samrýmst framangreindum ákvæðum að senda þær til eigenda eða umráðamanna ökutækja með tölvupósti eða að öðru leyti þannig að þeir fái þær í hendur á rafrænu formi. Til þess ber að líta að með því móti verður öll meðferð myndanna auðveldari en ella, en slíkt getur verið óæskilegt. Þar skiptir einkum máli möguleikinn á miðlun myndanna frá viðtakanda þeirra – hugsanlega einstaklingi, sem fengið hefur þær í hendur fyrir mistök – til óviðkomandi.
3.
Álit Persónuverndar
Í ljósi framangreinds er niðurstaða Persónuverndar sú miðla megi myndum af ökumönnum úr hraðamyndavélum til eigenda eða umráðamanna viðkomandi ökutækja, enda fái þeir myndirnar á hliðrænu en ekki stafrænu formi.