Personvernnemndas avgjørelse av 13. mai 2016 (Eva I E Jarbekk, Arve Føyen, Ørnulf Rasmussen, Nina Melsom, Marta Ebbing, Ann R Sætnan, Gisle Hannemyr)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på vedtak om overtredelsesgebyr som følge av publisering av overvåkningsfilm på Facebook.
2 Saksgang og faktum
Saken startet ved at Datatilsynet mottok 5. september 2014 et tips om at klager hadde publisert to opptak fra egen kameraovervåkning på sin Facebook-side. Vedlagt tipset var de to opptakene samt ett skjermbilde fra siden. Tipser orienterte også om at klager hadde uttalt seg i Adresseavisen om publiseringen.
I brev til klager av 13. oktober 2014 vurderte Datatilsynet saken og kom til at opptakene inneholdt personopplysninger og at publiseringen var en urettmessig utlevering etter personopplysningsloven § 39. På denne bakgrunn varslet tilsynet vedtak om at opptakene skulle slettes og vedtak om overtredelsesgebyr på kr 25 000.
Klager kom med tilsvar den 22. oktober 2014 hvor det fremheves at opptakene ble lagt ut for å vise hvor frekk noen kunne være og at komprimeringen på Facebook var så kraftig at man ikke kunne gjenkjenne personene i opptaket.
Datatilsynet vurderte klagers innsigelser, men opprettholdt konklusjonen om at det var mulig å gjenkjenne personene på opptakene og fattet vedtak om overtredelsesgebyr på kr 25 000. Tilsynet fant ikke grunn til å pålegge sletting av opptakene da opptakene allerede var fjernet fra Facebook-siden. Vedtaket, datert 23. april 2015, lød:
I medhold av personopplysningsloven § 46 første og annet ledd ilegges Walhalla et overtredelsesgebyr på kr. 25.000 – tjuefemtusen – for brudd på personopplysningsloven § 39, § 11, jf 8 og § 9 og § 13 ved at de uten rettslig grunnlag publiserte bilder fra overvåkningskameraene sine som var egnet til å identifisere enkeltpersoner.
Klager påklaget vedtaket den 18. mai 2015.
Saken ble oversendt Personvernnemnda 16. oktober 2015, som mottok saken 26. november 2015. Klager ble orientert om saken i brev fra nemnda samme dag, med frist til uttalelse innen 21. desember 2015. Klager har ikke kommentert saken innen fristen.
3 Klagers anførsler
Klager mener at publiseringen ikke var i strid med personopplysningsloven da det ikke var en personopplysning, og at det uansett ikke var anledning til å ilegge overtredelsesgebyr for publiseringen.
Klager anfører videre at opptakene ikke ble lagt ut for å henge ut noen, men at han la ut opptakene for å vise hvor frekk noen kunne være. Klager hevder også at komprimeringen Facebook foretok når opptakene ble lastet opp til Facebook-siden var så kraftig at kvaliteten ble så dårlig at man ikke kunne gjenkjenne personene i opptaket. Klager anfører at klippet som er lagt ut er så komprimert at kvaliteten er så lav at man ikke ser hvem det er, kun at det er en person. I den sammenheng viser klager til at rå-filen er 640x480 68.6mb i AVI formatet, mens opptaket på Facebook er 426x320 3.6mb i MP4 formatet. Klager mener på denne bakgrunn at opptaket ikke inneholder personopplysninger, og at det derfor ikke er anledning til å ilegge overtredelsesgebyr.
Endelig anfører klager at det ikke var grunnlag for overtredelsesgebyr da han hadde slettet opptakene av egen fri vilje før varselet ble mottatt.
4 Datatilsynets vurdering
Saken omhandler publisering av opptak fra kameraovervåking på internett. En slik publisering er, etter Datatilsynets syn, en ulovlig utlevering til en ubestemt gruppe mennesker. Tilsynet ser også at opptakene ofte brukes som en slags offentlig gapestokk. På grunn av en økning av denne typen overtredelser er det etter tilsynets vurdering nødvendig å reagere strengt.
4.1 Opptakenes kvalitet
Datatilsynet har foretatt en vurdering av opptakene som lå ute på Facebook. Opptakenes kvalitet er relevant ved vurderingen av om personopplysningsloven kommer til anvendelse og om overtredelsesgebyr kan ilegges. Etter tilsynets syn er kvaliteten på opptakene gode nok til at enkeltpersoner kan gjenkjennes.
Personopplysningsloven § 2 nr. 1) definerer en personopplysning som opplysninger eller vurderinger som kan knyttes til en enkeltperson. Tradisjonelt ligger listen lavt for å kategorisere noe som personopplysninger.
Direktivets definisjon av personopplysninger:
“personal data” shall mean any information relating to an identified or identifiable natural person (“data subject”); an identifiable person is one who can be identified, directly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity.
Det går frem av forarbeidene til personopplysningsloven at definisjonen i personopplysningsloven omfatter de samme vurderingskriteriene som følger av personregisterloven og direktivet.
Slik ordlyden er utformet vil begrepet personopplysning favne vidt. Det er imidlertid et minstevilkår at personen opplysningene gjelder må kunne identifiseres.
Working party art. 29 (WP 29) har i Opinion 4/2007 – 01248/07/EN gitt uttalelser om hva som ligger i direktivets definisjon. De uttaler at en person kan identifiseres indirekte gjennom en kombinasjon av signifikante kriterier:
which allows him to be recognized by narrowing down the group to which he belongs (age, occupation, place of residence, etc).
Videre uttaler WP 29:
The terms of this statement clearly indicates that the extent to which certain identifiers are sufficient to achieve identification is something dependent on the context of the particular situation.
Vurderingstemaet er i denne saken om kvaliteten er tilstrekkelig til å kunne identifisere personene i opptaket. Ved all bilde og video identifisering er det en forutsetning at man har forhåndskunnskaper om personen i bildet eller videoen.
Ut over informasjon om en persons ansiktstrekk gir også opptak annen informasjon. Fra opptak kan man også utlede opplysninger om personens alder, kjønn, etnisitet, hårfarge, høyde, gangart og klesstil. Dette er alle opplysninger som kan bidra til å identifisere personene i opptaket. I tillegg til den informasjonen man kan se direkte av opptaket, er det også mulig å forbedre kvaliteten på opptaket med og uten bruk av bildebehandlingsverktøy, f.eks. ved å blåse opp bildet eller manipulere kontraster og lys i bildet.
Den behandlingsansvarlige må ta høyde for at tredjepersoner kan benytte teknologiske virkemidler for å identifisere personene i opptaket. Dette går også frem av fortalen til personverndirektivet der det heter at:
Whereas to determine whether a person is identifiable account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person.
Sammenholdt tilsier dette at terskelen for om et opptak inneholder personopplysninger generelt ligger lavt. Datatilsynet finner ytterligere støtte i denne vurderingen i uttalelsen fra WP 29 i Opinion 4/2007 – 01248/07/EN der de uttaler:
As the purpose of video surveillance is, however, to identify the persons to be seen in the video images in all cases where such identification is deemed necessary by the controller, the whole application as such has to be considered as processing data about identifiable person, even if some persons recorded are not identifiable in practice.
Det er et viktig prinsipp at opptak fra kameraovervåking ikke skal utleveres, og det tillegges vekt at det ikke er gjort noe forsøk på å sladde opptakene. Dette er noe WP 29 også tillegger vekt i vurderingen.
Datatilsynet er av den oppfatning at det her er mulig å se ansiktene til personene på opptakene ganske tydelig. Dette alene, og sammenholdt med de øvrige opplysningene i opptaket innebærer etter tilsynets syn at det er mulig å gjenkjenne personer i opptaket og at det derfor er tale om personopplysninger.
4.2 Publiseringens formål
Klager anfører at formålet med publiseringen ikke var å henge ut noen, men for å vise en situasjon. I tilsvar til Datatilsynets varsel utdyper klager dette med at han så at en jurist i en liknende sak har uttalt «om man ikke er ute etter å henge ut noen personer, men heller vil vise en situasjon, er ikke dette å gjelde som brudd på personopplysningsloven». Datatilsynet viser i denne sammenheng til en kommentar under et av opptakene på Facebook der en representant for klager skriver «Tips om hvem de er mottaes med takk». I artikkelen i avisen adressa.no datert 4. september 2014 uttaler innehaveren «Dette er borgervern. Jeg må ta saken i egne hender når politiet ikke kan gjøre det». Fra Datatilsynets synspunkt fremstår det som om formålet med publiseringen var å identifisere de antatte tyvene, og ikke bare vise en situasjon.
Datatilsynet er uansett av den oppfatning at formålet med publiseringen ikke er relevant all den tid opptakene inneholder personopplysninger. Man har anledning til å vise situasjoner fra kameraovervåkning, forutsatt at man har foretatt adekvate tiltak for å skjerme identiteten til personene i opptakene.
4.3 Om overtredelsesgebyret
I vurderingen av om overtredelsesgebyr skal ilegges og om størrelsen, skal det særlig legges vekt på momentene som er listet opp i personopplysningsloven § 46 annet ledd bokstav a) til h).
Et av momentene det skal legges vekt på er hvor alvorlig overtredelsen har krenket de interessene loven verner om, jf § 46 annet ledd bokstav a). Det ligger en betydelig personverninteresse i at opptak fra kameraovervåking ikke fremvises for allmenheten. Dertil at utlevering kun skal foretas til politiet, dersom det ikke foreligger samtykke eller utleveringsadgangen følger av lov. Det er politiet som skal ta stilling til opptakenes relevans, og ikke allmennheten i det offentlige rom.
Opptakene i seg selv identifiserer ikke personene som tyver, men ut fra sammenhengen opptakene er publisert i og opptakenes innhold antydes det at det er tilfellet. Innehaveren har også stemplet personene som tyver i ovennevnte nyhetsartikkel. Opplysningene er derfor å regne som sensitive, jf personopplysningsloven § 2 nr. 8 bokstav b). Bestemmelsene om utlevering av opptak fra kameraovervåking er gitt for å skape en balanse mellom den utvidede muligheten en privatperson har til å sikre bevis, og den snevrere adgangen til å benytte seg av selve opptaket.
Internettpublisering av slike overvåkingsopptak er en type moderne gapestokk. Publisering av opptak fra kameraovervåking er en alvorlig overtredelse som krenker de sentrale interesser loven er satt til å verne.
I vurderingen skal det videre legges vekt på graden av skyld, jf § 46 annet ledd bokstav b). Av lovens forarbeider går det frem at det skal legges vekt på klanderverdigheten av handlingen, «for eksempel om den bærer preg av et uhell eller om den har et mer systematisk eller planmessig preg». Publiseringen fremstår som helt bevisst fra klagers side. Innehavers uttalelser i nyhetsartikkelen bærer også preg av at publiseringen er noe klager anser seg berettiget til å foreta.
Datatilsynet har inntrykk av at regelverket knyttet til behandlingen av personopplysninger ved kameraovervåking ikke er godt kjent. Det påhviler likevel den virksomhet som benytter kameraovervåking å sette seg inn i gjeldende regelverk på området. Klager kan derfor ikke høres med at de ikke kjente til at det eksisterer et forbud mot publisering av opptak fra kameraovervåking på internett. De preventive hensyn som reglene om overtredelsesgebyr er basert på gjør seg gjeldende med full styrke for denne typen overtredelser.
Det fremstår som åpenbart for Datatilsynet at virksomheten i denne saken kunne forhindret eller forebygget overtredelsen ved gode rutiner og opplæring av egne ansatte, jf § 46 bokstav c). Videre skal det etter bestemmelsens bokstav d), legges vekt på om overtredelsen er begått for å fremme overtrederens interesser. Etter Datatilsynets oppfatning henger publiseringen av opptaket sammen med vern av butikkens verdier. Det kan derfor ikke utelukkes at klager har hatt, eller kunne fått en fordel av overtredelsen, jf § 46 bokstav e).
Ved vurderingen av om det skal ilegges overtredelsesgebyret skal det videre legges vekt på overtreders økonomiske evne. Det følger av forarbeidene at dette momentet vil ha større betydning for utmålingen av størrelsen på overtredelsesgebyret. Momentet har også begrenset betydning når overtredelsen er å anse som grov. Klager har ikke fremlagt regnskap eller annen økonomisk dokumentasjon for Datatilsynet.
Etter en totalvurdering av de relevante momentene i personopplysningsloven § 46, mener Datatilsynet at overtredelsesgebyret skal opprettholdes overfor klager.
4.3.1 Utmålingen av overtredelsesgebyrets størrelse
Etter tilsynets oppfatning bør et overtredelsesgebyr settes så høyt at det ikke vil lønne seg økonomisk å begå overtredelsen. Det er imidlertid vanskelig å vurdere hvilken vinning virksomheten har av å publisere opptak fra overvåkningskamera på internett. Det fremgår av skjermbildet fra Facebook at klager oppfordret sine følgere til å identifisere personene i opptaket. At virksomheten her har en subjektiv oppfatning om at en slik publisering vil ha en preventiv effekt, og dette også var hensikten med publiseringen tillegges vekt.
De verdier som her er blitt krenket, både på det individuelle plan og på et samfunnsmessig plan lar seg vanskelig måle økonomisk. Datatilsynet har ingen kunnskap om publiseringen har medført noen konsekvenser for avbildede, det være seg sosialt, i forbindelse med arbeid eller annet. Det antas at det er en stor belastning for en person, som ikke er dømt for et kriminelt forhold, å bli stemplet som tyv. Særlig stor blir denne belastningen når stemplet ligger tilgjengelig for enhver med internettilgang.
På opptakene figurerer også personer hvis adferd man ikke uten videre kan slutte at begår en kriminell handling. Ingen av disse menneskenes ansikt er forsøkt sladdet og det kan tenkes belastende å bli avbildet på denne måten i offentligheten.
Digitale overvåkningskameraer er etter hvert blitt vanlig, og mye billigere enn de har vært tidligere. Økningen i bruk av kameraovervåking innebærer at risikoen for ulovlig bruk øker tilsvarende. Datatilsynet ser det derfor nødvendig å reagere strengt på overtredelsen av lovens vilkår om utlevering.
Ved utmålingen av gebyrets størrelse har tilsynet lagt særlig vekt på at virksomheten mister kontroll over opptaket i det det publiseres på internett. Virksomheten vil ikke ha kontroll over hvem som lagrer bildet, kopierer det eller gjenbruker det i en annen sammenheng. Tilsynet har også lagt vesentlig vekt på allmenn- og individualpreventive hensyn knyttet til temaet nevnt i avsnittet ovenfor.
Datatilsynet har i tidligere saker med tilsvarende faktum ilagt overtredelsesgebyr på kr. 25 000. Hensynet til likebehandling og forutberegnelighet tilsier at overtredelsesgebyret i nærværende sak legges på et tilsvarende nivå.
5 Personvernnemndas syn
Nemnda skal vurdere hvorvidt det foreligger en overtredelse av personopplysningsloven, samt ileggelse av overtredelsesgebyr.
Personopplysningsloven § 2 nr. 1) definerer en personopplysning som opplysninger eller vurderinger som kan knyttes til en enkeltperson. Nemnda har sett de usladdede videoene som ble lagt ut på Facebook. Etter nemndas oppfatning er dette opptak med god nok oppløsning til at de er egnet til å identifisere enkeltpersoner. Det er således personopplysninger i personopplysningslovens forstand. Nemnda er enig i Datatilsynets vurdering og tiltrer denne.
Opptakene viser personer som stjeler varer og dette er således sensitive personopplysninger, jf personopplysningsloven § 2 nr. 8 bokstav b).
Det fremgår av personopplysningsloven § 39 at «Personopplysninger som er innsamlet ved opptak gjort ved kameraovervåking, kan bare utleveres til andre enn den behandlingsansvarlige dersom den som er avbildet samtykker eller utleveringsadgangen følger av lov. Opptak kan likevel utleveres til politiet ved etterforskning av straffbare handlinger eller ulykker hvis ikke lovbestemt taushetsplikt er til hinder.» Det er således bare en snever adgang til å benytte seg av opptakene. Det foreligger ikke rettslig grunnlag etter personopplysningsloven til å publisere slike opptak.
Når det gjelder ileggelse av gebyr og gebyrets størrelse viser Personvernnemnda til Datatilsynets vurdering av personopplysningsloven § 46 a) til h) og tiltrer denne.
6 Vedtak
Klagen tas ikke til følge.
Oslo, 13. mai 2016
Eva I E Jarbekk
Leder