Vinnsla persónuupplýsinga af hálfu Fiskistofu
Mál nr. 2021020374
Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum persónuverndarlaga ásamt því að samrýmast öllum meginreglum persónuverndarreglugerðarinnar um að persónuupplýsingar séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða. Í þessu tilviki var kvartanda ekki gert viðvart um eftirlitið og litið svo á að eftirlit Fiskistofu hafi farið fram með leynd og því ekki samrýmst gagnsæiskröfu persónuverndarreglugerðarinnar.
----
Persónuvernd úrskurðaði í máli þar sem kvartað var yfir rafrænu eftirliti af hálfu Fiskistofu. Nánar tiltekið var kvartað yfir myndatöku starfsmanns Fiskistofu sem beindi myndavél með sjónauka að kvartanda og starfsmönnum hans er þeir voru staddir um borð í fiskiskipi við veiðar utan almannafæris.
Niðurstaða Persónuverndar var sú að að ekki hefði verið um rafrænt eftirlit að ræða af hálfu Fiskistofu þar sem hvorki var um að ræða viðvarandi eða endurtekið eftirlit. Öll vinnsla persónuupplýsinga þarf engu að síðu að fara eftir heimild í lögum en samkvæmt þeim lagaákvæðum sem í gildi voru þegar umrædd vinnsla persónuupplýsinga fór fram skyldi eftirlit Fiskistofu vera sinnt af eftirlitsmönnum í eigin persónu. Vinnsla Fiskistofu á persónuupplýsingum var því ekki talin samrýmast lögum um persónuvernd og vinnslu persónuupplýsinga.
Með hliðsjón af þeim breytingum sem orðið hafa á gildandi rétti og heimildum Fiskistofu til vinnslu persónuupplýsinga þótti ekki tilefni til að beina fyrirmælum til Fiskistofu í úrskurðinum.
Úrskurður
Hinn 4. september 2023 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2021020374:
I.
Málsmeðferð
1.
Tildrög máls
Hinn 9. febrúar 2021 barst Persónuvernd kvörtun frá [B] lögmanni, fyrir hönd [A] (hér eftir kvartandi), yfir myndbandsupptökum Fiskistofu af fiskiskipinu [...].
Með bréfi, dags. 28. júní 2021, var Fiskistofu boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarbréf Fiskistofu barst Persónuvernd 9. júlí 2021 ásamt fylgiskjali. Með bréfi, dags. 4. október 2021, var kvartanda gefinn kostur á að koma að athugasemdum við framkomnar skýringar Fiskistofu. Bárust athugasemdir kvartanda með bréfi, dags. 29. október 2021.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
2.
Sjónarmið kvartanda
Kvartandi byggir kvörtun sína á því að með myndatöku starfsmanns Fiskistofu, sem beindi myndavél með sjónauka að honum og starfsmönnum hans þar sem þeir voru staddir um borð í fiskiskipi við veiðar utan almannafæris, hafi verið brotið gegn friðhelgi einkalífs hans. Fiskistofa hafi vísað til umræddra myndbandsupptaka í bréfi stofnunarinnar þar sem útgerð skipsins var áminnt fyrir brot á lögum nr. 57/1996, um umgengni um nytjastofna sjávar. Samkvæmt lögskráningu liggi fyrir hvaða einstaklingar hafi verið skipverjar á umræddu skipi þegar upptökurnar voru í gangi en meðal lögskráða hafi verið kvartandi, sem var skráður skipstjóri skipsins. Byggir kvartandi á því að starfsmenn eftirlitsstofnana ríkisins hafi eingöngu þær heimildir til eftirlits sem sérstaklega séu tilgreindar í lögum. Rannsóknarheimildir Fiskistofu nái ekki til þess að taka með leynd myndskeið af fólki utan almannfæris með það að markmiði að upplýsa um refsiverða háttsemi.
3.
Sjónarmið Fiskistofu
Í svarbréfi Fiskistofu er vísað til þess að umræddar myndbandsupptökur séu frekar óskýrar, ekki sjáist í skipaskrárnúmer skipsins eða nafn þess og mennirnir um borð séu auk þess ekki persónugreinanlegir. Fiskistofa telji þar af leiðandi að umræddar myndbandsupptökur hafi ekki að geyma persónugreinanlegar upplýsingar. Þá telur Fiskistofa umrædda vinnslu persónuupplýsinga ekki heyra undir rafræna vöktun eins og hún er skilgreind í 3. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, enda ekki um að ræða vöktun sem er viðvarandi eða endurtekin reglulega.
Í svörum Fiskistofu kemur einnig fram að stofnunin annist framkvæmd laga nr. 57/1996, um umgengni um nytjastofna sjávar. Stofnunin hafi frá upphafi fyrst og fremst byggt veiðieftirlit sitt á mönnuðu eftirliti þar sem veiðieftirlitsmenn fari um landið eða til sjós með fiskiskipum. Með aukinni tækniþróun hafi aðferðir við veiðieftirlit þróast. Meðal annars hafi við eftirlit veiðieftirlitsmanna verið notast við öfluga sjónauka, sem séu með búnað til að festa við þá farsíma til myndatöku. Eftirlitið fari þannig fram að veiðieftirlitsmenn komi sér fyrir við strönd nálægt veiðislóðum skipa sem stunda veiðar skammt undan landi. Sjái þeir brot framið við veiðarnar kveiki þeir á upptökubúnaði sem festur er við annan sjónauka. Byggir Fiskistofa á því að stofnuninni sé með lögum gert að hafa eftirlit með fiskveiðum og að vinnsla ofangreindra upplýsinga, þ. á m. vinnsla upplýsinga um refsiverðan verknað, falli því undir lögbundið hlutverk hennar. Fiskistofa sé opinber stofnun sem sé bundin af stjórnsýslulögum og verði þess vegna að rannsaka og afla nauðsynlegra sönnunargagna áður en ákvörðun er tekin í máli. Eðli málsins samkvæmt sé eftirlit Fiskistofu að hluta framkvæmt án þess að tilkynnt sé um það fyrir fram. Í þeim tilfellum þar sem mál fari í formlega málsmeðferð sé aðilum máls hins vegar ávallt tilkynnt um meðferð málsins og gefinn kostur á að kynna sér gögn málsins og koma á framfæri athugasemdum. Aðeins þegar mál fari í formlega málsmeðferð sé upptaka myndefnisins vistuð í skjalavinnslukerfi Fiskistofu en öðrum eintökum sé eytt. Gögnin séu geymd í skjalakerfi Fiskistofu sem sé aðgangsstýrt og þeir einir hafi aðgang að gögnunum sem þess þurfa vegna vinnu þeirra við rannsókn málsins.
II.
Forsendur og niðurstaða
1.
Gildissvið – Ábyrgðaraðili
Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.
Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.
Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.
Eins og rakið er í skýringum við 3. gr. frumvarps að lögum nr. 90/2018 og í 26. lið formálsorða reglugerðar (ESB) 2016/679 lýtur kjarni persónuupplýsingahugtaksins að því að upplýsingar megi rekja til einstaklings, beint eða óbeint. Til þess að upplýsingar séu persónugreinanlegar (rekjanlegar) skal tekið mið af öllum aðferðum sem eðlilegt er að hugsa sér að ábyrgðaraðili eða annar aðili beiti til að bera kennsl á viðkomandi einstakling. Af þessu leiðir að ef unnt er að tengja kvartanda við umrætt myndefni, svo sem með hliðsjón af lögskráningu skips, sem hann er skráður eigandi að eða skipverji á, eða, eftir atvikum, með hliðsjón af öðrum atvikum, getur myndefni af honum talist til persónuupplýsinga, sbr. 2. tölul 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.
Mál þetta varðar myndabandsupptöku af fiskiskipinu [...], er það var við veiðar skammt frá landi. Ljóst er að Fiskistofu var kunnugt um hvaða skip var um að ræða. Þá mátti Fiskistofu vera ljóst hver eigandi skipsins var, og þar með eigandi útgerðarinnar, með einfaldri leit í skipaskrá Samgöngustofu. Varðar mál þetta því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Eins og hér háttar til telst Fiskistofa vera ábyrgðaraðili að umræddri vinnslu.
2. Lögmæti vinnslu og niðurstaða
Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði, sbr. 9. tölul. 3. gr. laga nr. 90/2018. Ljóst er að notkun á þeim upptökubúnaði, sem er fastur við sjónauka og Fiskistofa notar við eftirlit, er hvorki viðvarandi né endurtekin reglulega. Að mati Persónuverndar er því ekki um að ræða rafræna vöktun samkvæmt tilvísuðu lagaákvæði.
Öll vinnsla persónuupplýsinga verður engu að síður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þegar stjórnvöld vinna með persónuupplýsingar er helst að líta til 3. tölul. lagagreinarinnar, sbr. c-lið reglugerðarákvæðisins, sem kveður á um að vinnsla geti verið heimil ef hún er nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, og 5. tölul. lagagreinarinnar, sbr. e-lið reglugerðarákvæðisins, sem mælir fyrir um að vinnsla geti verið heimil ef hún er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Við mat á því hvort vinnsla persónuupplýsinga byggist á 3. eða 5. tölul. 9. gr. laganna er mikilvægt að hafa í huga að samkvæmt 3. tölul. er gert ráð fyrir að löggjafinn hafi ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram. Þegar byggt er á 5. tölul. er á hinn bóginn gert ráð fyrir að stjórnvöld hafi ákveðið svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum viðkomandi stjórnvalds með vísan til almannahagsmuna og beitingu opinbers valds.
Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins. Í tengslum við mat á gagnsæi við vinnslu, samkvæmt framangreindri meginreglu, getur jafnframt þurft að líta til ákvæða um fræðsluskyldu ábyrgðaraðila gagnvart hinum skráða, sbr. 17. gr. laga nr. 90/2018 og 12.-14. gr. reglugerðar (ESB) 2016/679.
Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 2. gr. laga nr. 36/1992, um Fiskistofu, segir að Fiskistofa skuli annast framkvæmd laga um stjórn fiskveiða og eftirlit með fiskveiðum, svo sem nánar er kveðið á um í lögum um það efni. Þá segir í 1. mgr. 13. gr. laga nr. 57/1996, um umgengni um nytjastofna sjávar, að Fiskistofa og eftirlitsmenn í hennar þjónustu annist eftirlit með framkvæmd laganna. Þá er í 1. mgr. 8. gr. laganna mælt fyrir um að eftirlitsmönnum Fiskistofu sé heimill aðgangur að fiskiskipum, flutningstækjum, fiskverkunum og birgðageymslum sem nauðsynlegur er til að vigta sjávarafla eða hafa eftirlit með vigtun hans. Í 1. mgr. 10. gr. laga nr. 79/1997, um veiðar í fiskveiðilandhelgi Íslands, segir að veiðieftirlitsmönnum Fiskistofu sé heimilt að fara í veiðiferðir með fiskiskipum og sé skipstjórum þeirra skylt að veita þeim alla aðstoð og aðstöðu um borð í skipum sínum til þess að þeir geti sinnt eftirliti með veiðum. Fiskistofu er enn fremur falið eftirlit með framkvæmd laga nr. 116/2006, um stjórn fiskveiða, sbr. 1. mgr. 18. gr. laganna.
Sú vinnsla persónuupplýsinga, sem kvörtun lýtur að, fór fram 25. mars 2020. Með 8. gr. laga nr. 85/2022, um breytingar á lögum um Fiskistofu, nr. 36/1992, veitti löggjafinn Fiskistofu heimild til að nota fjarstýrð loftför í eftirlitsstörfum sínum sem búin eru myndavélum til upptöku eða annan fjarstýrðan búnað sem getur safnað upplýsingum. Slík heimild var hins vegar ekki veitt fyrr en 15. júní 2022 þegar framangreind breytingarlög voru samþykkt á Alþingi og getur Persónuvernd því ekki byggt á henni við úrslausn kvörtunar þessarar. Samkvæmt þeim lagaákvæðum, sem voru í gildi þegar umrædd vinnsla persónuupplýsinga fór fram, skyldi eftirliti Fiskistofu vera sinnt af eftirlitsmönnum í eigin persónu sem veittur yrði aðgangur að nauðsynlegum stöðum, s.s. skipum, flutningstækjum, geymslum eða öðru húsnæði.
Að framangreindu virtu er það niðurstaða Persónuverndar að á þeim tíma sem umrædd vinnsla persónuupplýsinga fór fram hafi ekki staðið heimild til vinnslunnar samkvæmt 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.
Samkvæmt ákvæðum framangreindra laga, sem Fiskistofa hefur eftirlit með, er stofnuninni ekki heimilt að stunda eftirlit með leynd. Umrætt eftirlit Fiskistofu var framkvæmt með því að tekin voru upp myndbönd af kvartanda, þar sem hann var við veiðar skammt undan ströndum, með öflugum sjónauka. Kvartanda var ekki sérstaklega gert viðvart um að Fiskistofa fylgdist með honum. Verður því litið svo á að eftirlit Fiskistofu hafi í raun farið fram með leynd og þannig ekki samrýmst gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Þá verður ekki talið að vinnslan hafi samrýmst ákvæðum löggjafarinnar um fræðsluskyldu, sbr. 1.-2. mgr. 17. gr. laganna og 12.-13. gr. reglugerðarinnar.
Með vísan til alls framangreinds er það niðurstaða Persónuverndar að á þeim tíma sem vinnsla Fiskistofu á persónuupplýsingum um kvartanda fór fram hafi engin heimild staðið til vinnslunnar samkvæmt 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þá hafi vinnslan ekki samrýmst 1. tölul. 1. mgr. 8. gr. laganna um gagnsæi, sbr. a-lið 1. mgr. 5. gr. reglugerðarinnar, eða 1.-2. mgr. 17. gr. laganna og 12.-13. gr. reglugerðarinnar um fræðsluskyldu. Er þessi niðurstaða í samræmi við úrskurð Persónuverndar í máli nr. 2021030579, þar sem kvartað var yfir myndbandsupptökum Fiskistofu með dróna við eftirlitsstörf.
Líkt og að framan greinir voru með lögum nr. 85/2022 gerðar breytingar á lögum um Fiskistofu, nr. 36/1992. Á grundvelli nýrra lagaákvæða, sem nú má finna í 2. gr. síðarnefndu laganna, verður að mati Persónuverndar talið að notkun Fiskistofu á upptökubúnaði, sem er fastur við sjónauka, við eftirlitsstörf geti nú byggst á heimildarákvæði 3. tölul. 9. gr. laga nr. 90/2018. Jafnframt verður talið að einstaklingum megi nú vera ljóst að eftirlit með fjarstýrðum loftförum eða öðrum fjarstýrðum búnaði geti farið fram af hálfu Fiskistofu við eftirlitsstörf og að unnið getið verið með persónuupplýsingar þeirra af því tilefni.
Með hliðsjón af þeim breytingum sem orðið hafa á gildandi rétti og heimildum Fiskistofu til vinnslu persónuupplýsinga þykir ekki tilefni til að beina fyrirmælum til Fiskistofu í úrskurði þessum.
Ú r s k u r ð a r o r ð:
Vinnsla Fiskistofu á persónuupplýsingum um [A] samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.
Persónuvernd, 4. september 2023
Valborg Steingrímsdóttir Edda Þuríður Hauksdóttir