Rafræn vöktun hjá Tollstjóra

9.2.2012

Umsögn

Á fundi sínum, dags. 17. janúar 2012, fjallaði stjórn Persónuverndar um mál nr. 2011/1033 og samþykkti að veita svofellda umsögn:


I.
Upphaf máls

Þann 23. september 2011 barst Persónuvernd tölvubréf vegna uppsetningar eftirlitsmyndavélakerfis við húsnæði Tollstjórans í Reykjavík að Tryggvagötu 19 í Reykjavík. Þar var óskað eftir formlegu áliti stjórnar Persónuverndar á kerfinu. Með fylgdu ennfremur teikningar að því.  
 
Persónuvernd sendi bréf til Tollstjóra, dags. 27. september 20011, og óskaði frekari upplýsinga um vöktunina. Svarbréf hans er, dags. 5. október 2011. Þar segir m.a.:  

„1. Í hvaða tilgangi og með hvaða heimild fer umrædd vinnsla fram?
Vinnsla persónuupplýsinga með rafrænni vöktun mun einungis fara fram í öryggis- og eignavörsluskyni. Nánar tiltekið er tilgangur vöktunarinnar eftirfarand:
a) Stuðla að öryggi starfsmanna og viðskiptavina
b) Stuðla að verndun fasteigna og lausafjár
c) Stuðla að verndun tölvukerfa og upplýsinga er varða einstaklinga og fyrirtæki sem embætti Tollstjóra býr yfir starfsemi sinnar vegna.
Fyrirhuguð vinnsla upplýsinga mun fara fram með heimild í 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 7. gr. reglugerðar nr. 712/2008 um tilkynningarskyldu og leyfisskylda vinnslu persónuupplýsinga, með síðari breytingum.
2. Verður þeim persónuupplýsingum, sem til verða miðlað til annarra, eða aðeins notaðar á vegum Tollstjóra?
Þær persónuupplýsingar sem til verða við rafræna vöktun verða aðeins notaðar af Tollstjóra nema því aðeins að uppkomi grunur um refsivert brot sem lögreglu verði falið að rannsaka og rannsóknarhagsmunir réttlæti miðlun upplýsinganna. Ef slíkur grunur kemur upp kann persónuupplýsingum að verða miðlað til lögreglu. Í þessu sambandi mun þó eingöngu verða miðlað upplýsingum sem nauðsynlegar kunna að vera til rannsóknar málsins.
3. Hve lengi verður myndefni varðveitt?
Myndefni mun verða varðveitt í 3 mánuði en eytt að þeim tíma liðnum. Upplýsingum sem miðlað hefur verið til lögreglu vegna rannsóknar máls kunna þó, eðli málsins samkvæmt að verða varðveittar lengur en í þrjá mánuði vegna rannsóknarhagsmuna.“

Með bréfi, dags. 19. október 2011, óskaði Persónuvernd eftir frekari skýringum frá Tollstjóra, sérstaklega um heimildir hans til að vakta ferðir fólks á almannafæri, þar á meðal við inngang að Kolaportinu. Í svarbréfi, dags. 8. nóvember 2011, segir m.a.:

„Fyrst er þess að geta, að tollstjóri ber ábyrgð á Tollhúsinu fyrir hönd eiganda, sem er ríkið, og er honum rétt og skylt að tryggja viðunandi öryggisvörslu vegna hússins, eigna Tollstjóraembættisins sem þar eru og vegna tollstarfseminnar almennt.
Tilgangur vörslunnar er einkum að bregðast við áhættuþáttum eins og innbrotum og skemmdarverkum. Minnt er á staðfestingu hússins við miðbæ borgarinnar, þar sem er oft veruleg umferð utan skrifstofutíma embættisins. Markmið öryggisvörslunnar eru tvíþætt: annars vegar fælingarmáttur og hins vegar að afla sönnunargagna ef áhættutilvik verða að veruleika.
Embættið telur mikilvægt að geta fylst með mannaferðum á jarðhæð og hugsanlegum ferðum manna upp á þriðju hæð á plan sem þar er og þar sem unnt er að komast inn í húsið. Bæði á jarðhæð og á þriðju hæð eru dyr og gluggar sem þarf að fylgjast með.
Inngangar Kolaportsins eru á þremur hliðum hússins; að austan-, norða- og vestanverðu. Þau svæði verða ekki með góðu móti undanþegin eftirlinu, ekki síst ef tryggja á að menn geti ekki komist eftirlitslaust upp á þriðju hæðina.
Innangengt er á tveimur stöðum úr Kolaportinu í húsrýmið sem Tollstjóraembættið nýtir í húsinu. Dyrnar þar eru jafnan læstar.
Embættið telur að 7. töluliður 1. mgr. 7. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sé lagastoð fyrir notkun eftirlitsmyndavéla við það eftirlit sem hér um ræðir, að öðrum skilyrðum laganna uppfylltum.
Tilgangur vöktunarinnar er að verja lögmæta hagsmuni, sem er eitt af skilyrðum ákvæðisins, og það skilyrði er uppfyllt.
Annað skilyrði ákvæðisins er að um sé að ræða nauðsynlega öryggisráðstöfun. Ábyrgðaraðili, þ.e. tollstjóri í þessu tilviki, mun hafa nokkurt svigrúm við mat í þesim efnum. sbr. athugasemdir í greinargerð með frumvarpi til laganna. Matið ræðst m.a. af eðli vinnslunnar og eðli þeirra upplýsinga sem vinna á með. Í greinargerðinni segir m.a. í athugasemdum með 8. gr.: „Meðal annars skiptir máli hvort um sé að ræða upplýsingar um hrein einkamálefni einstaklinga, svo sem um félagsleg vandamál, hjónaskilnaði og samvistarslit, ættleiðingar og annað sem sanngjarnt er og eðlilegt að fari leynt, en þá ber að gera ríkar kröfur að því er varðar nauðsyn vinnslunnar.“ Ljóst má vera að hin fyrirhugaða vinnsla persónuupplýsinga er þess eðlis að ekki er gengið ýkja nærri lögvörðum grundvallarrétindum og friðhelgi einkalífs manna. Eftir að hfa gaumgæft lögvarða hagsmuni almennings og þeirra sem starfa í Tollhúsinu og kynnu að vilja vera lausir við að sæta uimræddri vöktun, telur tollstjóri að þeir lögmætu hagsmunir sem verja á með eftirlitsvélum vegi þyngra.
Samkvæmt þessu telur embættið að öll skilyrði ákvæðisins séu uppfyllt og embættið telur að sama eigi við um önnur skilyrði persónuverndarlaganna, en tekið skal fram að embættið telur aðrar vægari eftirlitsaðgerðir myndu ekki skila viðunandi árangri á nægilega hagfelldan máta.“  

Í bréfi Tollstjóra, dags. 8. desember 2011, segir m.a.:  

„Sýnt þykir að ef áætlun Tollstjóra um uppsetningu eftirlitsmyndavéla ætti að ganga eftir, myndi embættið þurfa að gera betur grein fyrir því að það telur sig gæta meðalhófs í áætlun sinni. Þá myndi embættið fjalla enn betur um mikilvægi þess að að fylgst sé með mannaferðum við Tollhúsið og ferðum manna í og úr húsinu og hversu viðtækt það eftirlit þurfi að vera, bæði að því er varðar það húsrými sem Tollstjóri notar fyrir stafsemi sína og húsrýmið sem Kolaportið notar. Frekari áhersla yrði lögð á það er innangengt á tveimur stöðum úr Kolaportinu í húsrými Tollstjóra og að með viðeigandi útbúnaði er hægur vandi að komast upp á plan þriðju hæðar hússins, jafnt við innganga Kolaportsins sem á nokkrum stöðum öðrum við húsið. Þá myndi og fjallað um að ef myndavélar yrðu eingungis staðsettar á þriðju hæð, mydi tapast fælingarmátturinn sem fólginn væri í sýnilegum eftirlitsmyndavélum.

Tollstjóri telur að svo stöddu ekki rétt að fara þessa leið. Að öllu athuguðu elur embættið viðunandi niðurstöðu ef Persónuvernd gæti fallist á að það væri í samræmi við meðalhóf ef embættið breytti áætlun sinni í þá veru að nota eftirlitsmyndavélarnar við innganga Kolaportsins eingöngu utan opnunartíma Kolaportsins; m.ö.o. að vélarnar yrðu stilltar þannig að þær myndu eingöngu vera virkar þegar Kolaportið er lokað.“

Með bréfi, dags. 12. desember 2011, óskaði Persónuvernd eftir fundi með Tollstjóranum í Reykjavík til að skoða fyrirhugaða staðsetningu eftirlitsmyndavéla. Hann fór fram 21. desember 2011. Í minnisblaði um fundinn segir m.a.:

„Miðvikudaginn 21. desember fóru fulltrúar Persónuverndar á fund til Tollstjórans í húsnæði hans að Tryggvagötu 19. Eftir bréfaskipti við Tollstjóra var talin þörf á að fá frekari skýringar á fyrirhugaðri vöktun Tollstjóra á húsakynnum sínum og nánasti umhverfi, m.a. svæðum sem flokkast sem almannafæri, svo af mætti ráða hvort skilyrði laga nr. 77/2000 væru uppfyllt. Fyrir Tollstjóra mættu á fundinn A lögfræðingur, B, aðstoðartollstjóri, og C, viðskiptastjóri Securitas. [...]

Á fundinum var farið yfir tilgang vöktunarinnar, þau sjónarmið sem liggja að baki framkvæmd hennar og hvernig uppsetningu eftirlitsmyndavéla skyldi háttað. C, viðskiptastjóri Securitas, var viðstaddur fundinn og útskýrði að um væri að ræða notendastýrt aðgangskerfi, þar sem Tollstjórinn úthlutar 2-3 aðilum aðgang að myndavélakerfinu. Ef skoða þarf upptökur er hægt að leita í kerfinu en myndefnið væri bara geymt í 90 daga. Ekki væri um að ræða live myndir heldur einungis upptökur og þær væru aðeins skoðaðar ef um brot eða grun um brot væri að ræða.

Þær myndavélar sem fyrirhugað er að setja upp horfa yfir ákveðin svæði en hugbúnaður getur skilgreint hvaða svæði á ekki að taka upp, t.d. bílastæði fyrir utan húsnæði Tollstjóra. Bent var á að húsnæði Tollstjóra væri stórt og ekki væri hægt að hafa fáar vélar til að vakta allt þetta svæði. Taldi embætti Tollstjóra sig vera að gæta meðalhófs miðað við stærð húsakynna embættisins en benti jafnframt á að hægt væri að koma til móts við kröfu um meðalhóf m.a. með því að beina eftirlitsmyndavélum ekki að almannafæri og/eða með því að tímastilla upptökur myndavélanna.

Fulltrúar Persónuverndar spurðu fulltrúa Tollstjóra hvaða tilgangur væri með umræddri vöktun. Tollstjóri vísaði í svör sín frá 5. október 2011, þar sem fram kom að tilgangur vöktunarinnar væri að stuðla að öryggi starfsmanna, vernda fasteignir og lausafé og vernda tölvukerfi sem hefði að geyma viðkvæmar upplýsingar. Þá bættu fulltrúar Tollstjóra við að mikill fælingarmáttur fælist í uppsetningu slíkra myndavéla.

Fulltrúar Persónuverndar spurðu fulltrúa Tollstjóra hvernig slíkur fjöldi myndavéla á almannafæri uppfyllti skilyrði laga nr. 77/2000 um meðalhóf. Viðskiptastjóri Securitas benti á að tvær myndavélar væru settar upp á báða gafla hússins við inngang Kolaportsins til þess að þær gætu vaktað hvor aðra en hann taldi slíkt mikilvægt t.d. ef reynt yrði að skemma aðra myndavélina. Þá benti hann á að húsnæði Tollstjóra væri stórt og ekki möguleiki á að hafa fáar myndavélar til að vakta þetta svæði. Starfsmenn PV bentu á löggæslumyndavélar sem staðsettar eru við og í kringum Tollhúsið en embætti Tollstjóra tók fram að þær löggæslumyndavélar væru ekki með sama sjónarhorn og þær myndavélar sem fyrirhugað var að setja upp hjá Tollstjóranum, auk þess sem þar væri um að ræða annað kerfi og það væru allt myndavélar sem snérust og því væri ómögulegt að vita hvað þær vöktuðu á hverjum tíma.

Fulltrúar Persónuverndar spurðu hvaða verðmæti ætti að verja með vöktuninni, þ. á m. hvort í húsnæðinu væru geymd verðmæti sem gerð hefðu verið upptæk. Því var svarað til að slík verðmæti væru geymd annars staðar. Hins vegar væru í húsnæðinu varðveittar viðkvæmar upplýsingar. Þá var vísað til listaverksins sem er á einum af útveggjum hússins.

Fulltrúar Persónuverndar gengu hring í kringum húsnæði Tollstjórans í fylgd með C og fulltrúum Tollstjórans. Þá var farið yfir þær myndavélar sem fyrirhugað var að setja upp utanhúss sem snúa að Kolaportinu, gangstétt á Tryggvagötu og meðfram hafnarbakkanum. Þar kom í ljós að eftirlitsmyndavélar snúa að öllum inngöngum að Kolaportinu enda eru inngangar sem Tollstjórinn notar, m.a. fyrir starfsmenn sína, staðsettir nálægt inngöngum í Kolaportið en Tollstjórinn taldi nauðsynlegt að vakta þá innganga. C benti á að möguleiki væri á að slökkva á myndavélunum þegar Kolaportið væri opið og takmarka það svæði sem tekið væri upp.“

II.
Svar stjórnar Persónuverndar

1.
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að vera hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er að finna skilyrði laga um heimildir sem þarf að uppfylla þegar vinnsla með persónuupplýsingar fer fram, sbr. 8. og 9. gr.

Auk þess sem öll vinnsla þarf að eiga sér stoð í heimildarákvæðum 8. gr., og eftir atvikum 9. gr., laga nr. 77/2000 þarf hún hún að samrýmast ákvæðum 7. gr. laganna. Haga skal meðferð persónuupplýsinga með sanngjörnum, málefnalegum og lögmætum hætti, afla þeirra í yfirlýstum, skýrum og málefnalegum tilgangi og ekki skal ganga lengra í vinnslu persónuupplýsinga en nauðsyn krefur.

Í reglum nr. 837/2006 um rafræna vöktun eru nánar tilgreind þau skilyrði sem þarf að uppfylla þegar persónuupplýsinga er safnað með eftirlitsmyndavélum. Í 5. gr. reglnanna er fjallað um meðalhóf, en þar segir að við alla rafræna vöktun skuli þess gætt að ganga ekki lengra en brýna nauðsyn ber til miðað við þann tilgang sem að er stefnt. Gæta skuli þess að virða einkalífsrétt þeirra sem sæta vöktun og forðast alla óþarfa íhlutun í einkalíf þeirra. Við ákvörðun um hvort viðhafa skuli rafræna vöktun skuli því ávallt gengið úr skugga um hvort markmiðinu með slíkri vöktun sé unnt að ná með öðrum og vægari raunhæfum úrræðum.

2.
Persónuvernd hefur fjallað um fyrirhugaða vöktun Tollstjórans í Reykjavík, þ.e. með notkun eftirlitsmyndavéla utan á húsi embættisins við Tryggvagötu í Reykjavík. Tekið er fram að umsögn hennar er veitt í ljósi hlutverks Persónuverndar samkvæmt 6. tölul. 3. mgr. 37. gr. Svarið er almennt og felur ekki í sér efnislega afstöðu Persónuverndar til lögmætis vinnslu og er að því leyti ekki bindandi berist henni kvörtun manns sem vaktaður hefur verið af Tollstjóra.

Hvergi er í lögum gert ráð fyrir því að Tollstjóri vakti með rafrænum hætti ferðir fólks sem fer um almannafæri. Á honum hvílir ekkert það lögboðið hlutverk er geri honum slíka vöktun heimila eða nauðsynlega. Hins vegar getur honum verið heimilt að hafa myndavélar utan á húsnæði embættis að því marki sem það samrýmist 7. tölulið 1. mgr. 8. gr.  og 1. tölul. 2. mgr. 9. gr. laga nr. 77/2000. Sú vöktun þarf, eins og önnur, að samrýmast 7. gr. laganna.

Til þess þarf m.a. að takmarka sjónarhorn eftirlitsmyndavélanna þannig að það beinist að húsinu sjálfu en ekki verði um að ræða vöktun fólks á almannafæri. Í þeim tilfellum þar sem ekki verður hjá því komist að svæði, sem liggja í almannafæri, komi í mynd, svo sem við innganginn að Kolaportinu, þarf að viðhafa sérstakar ráðstafanir til að tryggja sjónarmið um meðalhóf. Til að gæta þess hyggst Tollstjóri slökkva á eftirlitsmyndavélunum á þeim tíma sem Kolaportið er opið.

Virða skal ákvæði 2. og 3. tölul. 2. mgr. 9. gr. laga nr. 77/2000. Þar segir m.a. að efni sem til verði við vöktun megi ekki afhenda öðrum eða vinna frekar nema með samþykki þess sem upptaka er af eða samkvæmt ákvörðun Persónuverndar. Heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað en þá skal þess gætt að eyða öllum öðrum eintökum af efninu.

Því efni sem safnast við vöktun, sem fram fer með eftirlitsmyndavélum, skal eyða þegar ekki er lengur málefnaleg ástæða til að varðveita það, nema sérstök heimild Persónuverndar skv. 3. mgr. standi til frekari varðveislu. Varðandi varðveislutíma má hafa hliðsjón af leiðbeiningum sem Evrópski persónuverndarfulltrúinn (EDPS) hefur gefið út, en þær ná til stjórnsýslu og stofnana Evrópusambandsins. Leiðbeiningarnar eru frá 17. mars 2010 og eru á vefsíðu hans.

Loks er minnt á skyldu Tollstjóra samkvæmt 24. gr. laga nr. 77/2000 til að gera aðvart um eftirlitsmyndavélar. Samkvæmt henni skal, þegar rafræn vöktun fer fram á vinnustað eða á almannafæri, gera glögglega viðvart um vöktunina og hver sé ábyrgðaraðili. Það má gera með því að setja upp merki eða setja vel sýnileg skilti utan á hús embættisins.