Kröfur persónuverndarlaga

Í mjög svo tæknivæddu samfélagi okkar í dag þykir það sjálfsagt mál að nýta tæknina til hins ýtrasta. Færa mætti rök fyrir því að hvert sem við förum, í hvaða erindagjörðum sem er, þá séum við undir rafrænu eftirliti eftirlitsmyndavéla.

En vitum við, sem eftirlitið beinist að, í hvaða tilgangi slíkt eftirlit er og vitum við eitthvað hverjir það eru sem fylgjast með okkur og hvað verður um myndefnið?

Rafræn vöktun er alltumlykjandi í þjóðfélagi okkar í dag, sama hvað okkur kann að finnast um það, eða hvað? Nei, okkur eru tryggð ákveðin grundvallarréttindi í lögum um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018, reglugerð Evrópuþingsins og ráðsins 2016/679 og reglum nr. 50/2023 um rafræna vöktun, sem settar eru með stoð í persónuverndarlögum.

En hvað höfum við að gera með grundvallarréttindi ef við hvorki þekkjum þau né virðum þau? Hvað með þá sem beina eftirlitinu að okkur? Virða þeir grundvallarréttindi þeirra sem eftirlitið beinist að? Í meistararitgerð minni, í lögfræði við Háskólann á Bifröst, sem ber heitið ,,Notkun ábyrgðaraðila á eftirlitsmyndavélum og kröfur persónuverndarlaga þar að lútandi” komst ég að þeirri niðurstöðu að ábyrgðaraðilar brjóta gegn lögum um persónuvernd og þar með grundvallarréttindum hinna skráðu til einkalífsverndar með því að fara ekki eftir þeim kröfum sem lögin gera til þeirra um fræðslu til handa þeim sem eftirlitið beinist að.

En hver skyldi ástæðan vera fyrir því að þeir sem taka ákvörðun um að nýta eftirlitsmyndavélar, eða eftir atvikum annan búnað til rafræns eftirlits, til eftirlits, sem oftast er vegna lögmætra hagsmuna þeirra, en fylgja ekki þeim reglum sem settar hafa verið um slíkt eftirlit?

Einn ábyrgðaraðili sem ég hafði samband við og bauð aðstoð við að setja upp löglegar merkingar og fræðslu sagði einfaldlega ,,Ég hef bara ekki áhuga á því”. Aðrir bera við þekkingarleysi og því að eftirlitsstjórnvaldið Persónuvernd hafi ekki leiðbeint og leiðbeini ekki nægilega vel þegar eftir því er leitað. En flestir átta sig fljótt á því að slíkt gengur ekki til lengdar. Ábyrgðin er nefnilega mikil.

Persónuvernd getur lagt stjórnvaldssektir á aðila sem brjóta gegn lögunum en slíkar sektir geta numið frá 100 þúsund kr. til 2,4 milljarða kr. eða ef um er að ræða fyrirtæki (lögaðila) allt að 4% af árlegri heildarveltu fyrirtækisins. Ef við skoðum ársveltu lögaðilans sem sagðist ekki hafa áhuga á því að fylgja lögunum, þá sjáum við að veltan er 302.374.244 kr. á árinu 2023. Sektin gæti því numið rúmum 12 milljónum kr. ef brotið væri alvarlegt og engar málsbætur væru. Hagnaður félagsins var um 10 milljónir kr.

Í úrskurði Persónuverndar í máli nr. 2021020431 frá 6.9.2023 sektaði Persónuvernd Háskóla Íslands um 1.500.000 kr. vegna ófullnægjandi merkinga og fræðslu um að rafrænt eftirlit væri viðhaft. Háskóli Íslands hefur síðan lagfært merkingar og sett upp viðunandi fræðslu.

Í úrskurði Persónuverndar í máli nr. 2021071520 frá 17.10.2023 sektaði Persónuvernd Íþrótta- og sýningahöllina hf. um 3.500.000 kr. vegna rafrænnar vöktunar í Laugardalshöll. Við ákvörðun fjárhæðar sektarinnar var sérstaklega litið til þess að brotið var gegn grundvallarréttindum barna og unnið með viðkvæmar persónuupplýsingar án viðeigandi heimildar auk þess hve vöktunin var umfangsmikil. Laugardalshöll hefur síðan lagfært merkingar og sett upp viðunandi fræðslu.

Í úrskurði Persónuverndar í máli nr. 2021051091 frá 20.3.2024 sektaði Persónuvernd Stjörnuna ehf., rekstraraðila Subway á Íslandi, um 1.500.000 kr. vegna rafrænnar vöktunar. Subway hefur ekki lagfært merkingar né sett upp viðunandi fræðslu, síðast þegar að var gáð.

Eins og framangreint leiðir í ljós, þá er það sérstakt rannsóknarefni af hverju ábyrgðaraðilar eru ekki duglegri að fylgja lögunum og af hverju eftirlitsstjórnvaldið er ekki duglegra að tryggja að þeir geri það. Hugsanlega fer höfundur í það verkefni síðar.