Personvernnemndas vedtak 9. mars 2021 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A på Datatilsynets vedtak 12. mai 2020 der tilsynet konkluderte med at den påklagede kameraovervåkingen ikke var ulovlig etter personopplysningsloven fordi overvåkingen skjedde som ledd i rent personlig eller familiemessig aktivitet, jf. personopplysningsloven § 2 andre ledd bokstav a.
Sakens bakgrunn
Datatilsynet mottok i juni 2016 en klage på kameraovervåking i veien X i byen Y. Eieren av eiendommen, B, hadde montert et kamera under takmønet på boligens fasade og satt opp et skilt på husveggen om at området var kameraovervåket. Klageren, A, som bor i det samme område, mente kameraovervåkingen også dekket offentlig vei og ba om Datatilsynets hjelp til å få avsluttet det han oppfattet som ulovlig overvåking.
Boligen hvor kameraovervåking er montert ligger rett ut mot offentlig vei, uten noen hage foran. Det er opplyst at veien er enveiskjørt og at det i enden av veien begynner en merket tursti som brukes mye både av fastboende og turister.
I brev til A 9. juni 2016 skriver Datatilsynet at kameraovervåkingen, slik den er beskrevet fra klager, mest sannsynlig er i strid med personopplysningsloven fordi privatpersoner ikke har adgang til å overvåke offentlig område eller områder med allmenn ferdsel. Tilsynet orienterte om at de av ressurshensyn ikke har anledning til å følge opp alle henvendelser fra privatpersoner om kameraovervåking og anbefalte A og ta kontakt med den aktuelle huseieren, eventuelt Konfliktrådet i kommunen eller politiet, dersom overvåkingen vedvarte.
A tok igjen kontakt med Datatilsynet 27. mai 2019 etter å ha forsøkt de tiltakene Datatilsynet hadde foreslått uten at dette medførte noen endring. A hadde forsøkt å kontakte huseieren og hadde deretter anmeldt saken til politiet. Politiet henla saken som avgjort utenfor straffesak og videresendte den til Konfliktrådet. Mekling i Konfliktrådet førte ikke fram. B hadde på dette tidspunktet montert enda et kamera på boligens fasade, slik at det nå var to kameraer som pekte ut mot veien X.
Datatilsynet skrev til B i august 2019 og informerte om reglene for kameraovervåking i personopplysningsloven og personvernforordningen. Brevet har overskriften «Påpekning av plikt – Kameraovervåking av offentlig vei». Kopi av brevet ble også sendt klager. Tilsynet mottok deretter en redegjørelse fra B hvor han bestrider at kameraene fanger opp noe annet enn privat område.
A kontaktet Datatilsynet på nytt 20. desember 2019 og orienterte om at B ikke hadde fjernet kameraene, men kun tatt ned varselskiltet fra husveggen.
Datatilsynet avsluttet saken 12. mai 2020 med brev til A. Tilsynet konkluderte med at det ikke var grunnlag for å si at kameraovervåkingen også fanget opp offentlig vei eller naboeiendom og at kameraovervåkingen dermed falt utenfor personopplysningslovens saklige virkeområde, jf. personopplysningsloven § 2 andre ledd bokstav a.
A framsatte rettidig klage på Datatilsynets vedtak 25. mai 2020. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 31. oktober 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A innga kommentarer i brev 24. november 2020.
Saken ble behandlet i nemndas møte 9. mars 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også tilstede.
Datatilsynets vurdering i hovedtrekk
Personvernforordningen får ikke anvendelse på behandling av personopplysninger som utføres av «en fysisk person» som ledd i «rent personlige eller familiemessige aktiviteter», jf. artikkel 2 nr. 2 bokstav c.
Det er klart at kameraovervåkingen i veien X utføres av en «fysisk person». Spørsmålet er om overvåkingen skjer som ledd i «rent personlige eller familiemessige aktiviteter».
Ifølge retningslinjene til Det europeiske personvernrådet (Personvernrådet) skal unntaket for rent personlige aktiviteter tolkes snevert. Retningslinjene viser til EU-domstolens sak 11. desember 2014, C-212/13, hvor domstolen uttalte seg om begrepet «purely personal or household activity», jf. EUs personverndirektiv artikkel 3. Bestemmelsen tilsvarer personvernforordningen artikkel 2 nr. 2 bokstav c. Ifølge domstolen vil kameraovervåking som innebærer konstant opptak og lagring og som selv bare delvis dekker et offentlig område og er rettet utover fra den private sfære ikke falle inn under unntaket. Personvernnemnda har også uttalt at kameraovervåking som fanger opp områder utenfor den private sfære normalt ikke kan anses «privat», jf. PVN-2020-01.
Bildene B har framlagt viser at han har etablert sladding på kameraovervåkingen. Etter tilsynets vurdering ser kameraene ut til å bare fange opp en liten del av eiendommen som går langs husveggen. På Kartverkets nettsider ser eiendomsgrensen ut til å gå nært, men ikke helt inntil husveggen. Det kreves stedlig tilsyn for å slå fast nøyaktig hvor eiendomsgrensen går i forhold til området som fanges opp av kameraovervåkingen. Datatilsynet har ikke ressurser til å prioritere dette og foreta stedlig tilsyn nå.
Ifølge retningslinjene til Personvernrådet skal det gjøres en bred vurdering hvor det er relevant å se hen til forholdet mellom eieren av kameraovervåkingen og de registrerte, om omfanget eller hyppigheten antyder at overvåkingen er en profesjonell aktivitet, og overvåkingens potensielle skadevirkninger for de registrerte, jf. avsnitt 13, pkt. 2.3 i retningslinjene 3/2019.
Basert på sakens dokumenter mener tilsynet at kameraene mest sannsynlig kun fanger opp beboere av veien X eller andre som på annen måte har et forhold til eiendommen. Dette, og at bildene er sladdet for å begrense omfanget, samt at kameraene kun gjør opptak ved bevegelse innenfor området som de sladdede bildene viser, taler for at kameraovervåkingen er en rent personlig aktivitet, jf. personvernforordningen artikkel 2 nr. 2 bokstav c.
Datatilsynet finner ikke grunn til å undersøke saken nærmere eller ilegge innklagede korrigerende sanksjoner.
As syn på saken i korte trekk
B, som bor i veien X, har montert opp to overvåkningskameraer på husveggen sin som overvåker veien X og alle som går eller kjører forbi nr. […]. Dette er til stor ulempe for naboer, besøkende, turgåere og turister.
Han går forbi veien X hver dag til og fra jobb og opplever den ulovlige kameraovervåkningen som ubehagelig. Han ønsker kameraene fjernet.
Det er fem boenheter fra veien X [nr.] til [nr.], og han vet at andre naboer opplever samme ubehag. Veien er enveiskjørt og i enden av veien begynner en merket tursti som er flittig brukt av fastboende i byen Y og turister.
Han har framlagt flere bilder som viser at B overvåker offentlig område.
Han har fulgt alle rådene fra Datatilsynet, blant annet kontaktet B og saken er forsøkt løst i Konfliktrådet, men saken har ikke kommet videre.
B opplyser at det første kameraet ble montert på grunn av at en navngitt nabo, som flyttet for over fire år siden, gjorde hærverk på bilen hans. Nå beskylder B klager for hærverket. Dersom B ønsker å overvåke de to bilene sine bør han parkere dem på sin private eiendom eller i sin garasje. Bs nærmeste naboer, som har hatt tilknytning til veien X i over 40 år, har aldri hørt om noen form for hærverk på biler eller privat eiendom. De opplever seg konstant overvåket.
Bs syn på saken i korte trekk
Han har montert to kameraer som kun dekker hans private eiendom i veien X. Kameraene, som er lovlig satt opp, er rettet parallelt med husveggen, og fanger ikke opp noe fra offentlig område. Kameraene har bevegelsessensor og tar kun opptak ved bevegelse innenfor områder som vist på framlagte bilder. Harddisken, som krever passord for å kunne se opptak, er ikke tilkoblet noen monitor.
Kameraovervåkningen ble montert på grunn av hyppige hærverk og påkjørsel på biler parkert ved huset hans. Det har ikke vært hærverk eller påkjørsler etter at kameraene ble montert.
Han har ikke hørt fra noen andre enn A at kameraene er til stor ulempe.
Personvernnemndas vurdering
Begrepet personopplysninger omfatter etter personvernforordningen artikkel 4 nr. 1 enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»). Et bilde av en identifiserbar fysisk person utgjør en personopplysning i forordningens forstand, og innsamling og lagring av bilder fra kameraovervåkingen anses som behandling av personopplysninger, jf. personvernforordningen artikkel 4 nr. 1 og 2.
Det følger av personopplysningsloven § 2 andre ledd bokstav a at loven og personvernforordningen ikke gjelder «ved behandling av personopplysninger som utføres av en fysisk person som ledd i rent personlige eller familiemessige aktiviteter», jf. personvernforordningen artikkel 2 nr. 2 bokstav c. Det første spørsmålet i denne saken er derfor om den kameraovervåkingen huseieren har satt opp på sin bolig i veien X faller inn under unntaket for rent personlig eller familiemessig aktivitet.
Unntaket for «rent personlige eller familiemessige aktiviteter» skal tolkes snevert, jf. EU-domstolens sak C-212/13 (Ryneš) 11. desember 2014, avsnitt 28 og 29. Nevnte sak har likhetsrett med foreliggende sak. I dommens avsnitt 13 er faktum beskrevet slik:
«I perioden mellem den 5. oktober 2007 og den 11. april 2008 benyttede František Ryneš et kamera anbragt under tagskægget på hans familiebolig. Kameraet var anbragt i en fastlåst position, og det kunne ikke dreje. Det filmede indgangen til huset, den offentlige vej og indgangen til genboens hus. Systemet foretog udelukkende visuelle optagelser, som kontinuerligt blev opbevaret på en optagerenhed, dvs. en harddisk. Harddisken blev overspillet hver gang, der ikke var mere plads tilbage på optagerenheden. Optagerenheden var ikke udstyret med en skærm, og billedet kunne således ikke ses i realtid. Det var kun František Ryneš, som havde direkte adgang til systemet og dets oplysninger»
Det framkommer av dommen at bakgrunnen for kameraovervåkingen var å beskytte familiens «eiendom, sunhed og liv». Familien hadde gjentatte ganger vært utsatt for angrep fra en ukjent person, blant annet ved at vinduer på eiendommen var blitt knust gjentatte ganger. Om anvendelsen av unntaket for «rent personlige eller familiemessige aktiviteter» sier EU-domstolen i avsnitt 33:
«Hvis en videoovervågning som den i hovedsagen omhandlede dækker et offentligt område – om end kun delvist – og derfor optager uden for det private rum, som den, der gennem overvågningen foretager behandlingen af disse oplysninger, befinder sig i, kan den ikke anses for en rent »personlig eller familiemæssig« aktivitet som omhandlet i artikel 3, stk. 2, andet led, i direktiv 95/46».
Selv om dommen fra EU-domstolen direkte avklarer forståelsen av EUs personverndirektiv artikkel 3 nr. 2 (direktiv 95/46) er dommen også relevant for tolkningen av personvernforordningen. Dette skyldes at personvernforordningen artikkel 2 nr. 2 bokstav c om unntaket for rent personlige eller familiemessige aktiviteter er en videreføring av bestemmelsene i direktivet artikkel 3 nr. 2. Personvernrådet har i sine «Retningslinjer 3/2019 om brug af videoudstyr til behandling af personoplysninger, Version 2.0, Vedtaget den 29. januar 2020», lagt tilvarende forståelse til grunn.
Selv om kameraet i den aktuelle EU-dommen filmet også inngangspartiet til et annet hus i nabolaget, noe som ikke er tilfellet i vår sak, legger nemnda til grunn som rettslig utgangspunkt at kameraovervåking montert på private hus, ikke omfattes av unntaket for «rent personlige eller familiemessige aktiviteter», dersom overvåkingen også dekker deler av et offentlig område.
Det er ingen tvil om at veien X er en offentlig vei og at muligheten til parkering langs veien er allmenn og tilgjengelig for alle. Det er ikke slik at parkeringsplassene foran Bs hus er forbeholdt huseier og ikke kan brukes av andre. Nemnda legger videre til grunn at personer som er ute og går langs veien X, og passerer Bs bolig, kan fanges opp av kameraene. Etter nemndas vurdering er en eksakt fastlegging av hvor eiendomsgrensen går, uten betydning for den vurdering som her skal gjøres, og derfor er det heller ikke nødvendig å gjennomføre en befaring på stedet for å avgjøre saken.
I og med at det også gjøres opptak av et område som er tilgjengelig for allmenn ferdsel, representerer overvåkingen ikke en rent personlig eller familiemessig aktivitet. Behandlingen er dermed etter nemndas vurdering omfattet av personopplysningsloven og personvernforordningens bestemmelser.
All behandling av personopplysninger som faller inn under personopplysningsloven og personvernforordningens bestemmelser må ha et rettslig grunnlag for å være lovlig, jf. personvernforordningen artikkel 6 nr. 1. I personvernforordningen artikkel 6 nr. 1 bokstav a til f er det oppstilt alternative rettslige grunnlag for behandling av personopplysninger. Det aktuelle behandlingsgrunnlaget for huseierens behandling av personopplysninger er artikkel 6 nr. 1 bokstav f.
Behandlingsgrunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav f krever at tre kumulative vilkår er oppfylt. For det første må det foreligge en berettiget interesse, normalt hos den behandlingsansvarlige, eventuelt hos en tredjepart. Ved vurderingen av om det foreligger en berettiget interesse, skal det tas hensyn til om den registrerte med rimelighet kan forvente at personopplysningene blir anvendt til det aktuelle formålet mv, jf. punkt 47 i fortalen.
Etter artikkel 6 nr. 1 bokstav f er det for det annet et krav om at behandlingen av personopplysningene er nødvendig «for formål knyttet til de berettigede interessene». Uttrykket «nødvendig» innebærer et strengt krav, jf. f. eks. EU-domstolens dom 11. desember 2014 i sak C-212/13 (Ryneš) avsnitt 28 angående det tidligere personverndirektivet.
For det tredje skal det foretas en interesseavveining. I dette tilfellet handler det om allmennhetens interesse i privatliv når de ferdes i veien X og på den annen side den eventuelle berettigede interessen huseieren har i å overvåke området utenfor eget inngangsparti for å forebygge hærverk på egen bil dersom han parkerer der. Dersom en etter avveiningen kommer til at den registrertes grunnleggende personverninteresser veier tyngre enn den behandlingsansvarliges interesse i å behandle opplysningene, kan behandlingsgrunnlaget ikke benyttes.
Lovens krav om at behandlingen (kameraovervåkingen) må være nødvendig for formål knyttet til den behandlingsansvarliges berettigede interesse, innebærer at interessen som ivaretas av den behandlingsansvarlige må være lovlig og reelt begrunnet. Både rettslige, økonomiske og ikke-materielle interesser kan være berettigede, jf. Personvernrådets «Retningslinjer 3/2019 om brug af videoudstyr til behandling af personoplysninger, avsnitt 19 og 20 (dansk versjon), der det uttales:
«19. I en virkelig og farlig situation kan formålet om at beskytte ejendom mod indbrud, tyveri eller hærværk udgøre en legitim interesse hvad angår videoovervågning.
20. Den legitime interesse skal være reelt, og behovet skal være aktuelt (dvs. det må ikke være fiktivt eller spekulativt. Der skal foreligge en reel nødsituation – som f.eks. skader eller tidligere alvorlige hændelser – før overvågningen iværksættes. På baggrund af princippet om ansvarlighed tilrådes dataansvarlige at dokumentere relevante hændelser (dato, karakter, økonomisk tab) og tilknyttede strafferetlige tiltaler. Sådanne dokumenterede hændelser kan være overbevisende vidnesbyrd om, at der foreligger en legitim interesse. Om der foreligger en legitim interesse, og om overvågning er nødvendig, bør tages op til fornyet overvejelse med regelmæssige mellemrum (f.eks. en gang om året, afhængigt af omstændighederne).»
I dette tilfellet finner nemnda det klart at det ikke er sannsynliggjort noen slik aktuell farlig situasjon knyttet til hærverk eller tyveri at det gir huseier en berettiget interesse i å foreta en vedvarende overvåking av et område åpent for alminnelig ferdsel. B opplyser at bakgrunnen for at kameraene ble montert i 2016, var at han opplevde hærverk og påkjørsler da han parkerte bilen utenfor huset sitt. Ifølge retningslinjene fra Personvernrådet må behovet for kameraovervåkning regelmessig tas opp til ny vurdering, og slik nemnda forstår det, vil ikke hendelser som ligger flere år tilbake i tid alene kunne begrunne fortsatt kameraovervåkning.
Nemnda har etter dette kommet til at huseiers behandling av personopplysninger ikke forfølger en berettiget interesse. Huseieren har dermed ikke lovlig behandlingsgrunnlag i artikkel 6 nr. 1 bokstav f, og kameraovervåkingen er ulovlig. Når huseier ikke har en berettiget interesse i behandlingen, er det ikke nødvendig for nemnda å vurdere de øvrige vilkårene i artikkel 6 nr. 1 bokstav f, da alle vilkårene må være oppfylt for å tilfredsstille lovens krav til behandlingsgrunnlag.
Det er opp til Datatilsynet å vurdere korrigerende tiltak, jf. personvernforordningen artikkel 58 nr. 2. Fortsatt ulovlig behandling av personopplysninger kan medføre sanksjoner.
A får medhold i sin klage.
Konklusjon
Den etablerte kameraovervåkingen fra veien X i byen Y har ikke nødvendig behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav f.
Vedtaket er enstemmig.
Oslo, 9. mars 2021
Mari Bø Haugstad
Leder