Ákvörðun

í frumkvæðisathugun á vinnslu persónuupplýsinga í tengslum við rafræna vöktun á bílastæðum flugvalla Isavia innanlandsflugvalla ehf. í máli nr. 2025061555:

Málsmeðferð

Tildrög máls

1. Með bréfi dags. 20. mars 2025 var Isavia innanlandsflugvöllum ehf. (hér eftir Isavia INN eða félagið) tilkynnt að hafin væri frumathugun á vinnslu persónuupplýsinga hjá félaginu í tengslum við rafræna vöktun á bílastæðum flugvalla sem undir félagið heyrðu. Við ákvörðun um að hefja framangreinda frumathugun hafði Persónuvernd hliðsjón af kvörtun sem stofnuninni barst þann 16. september 2024, sem laut meðal annars að því að fram færi rafræn vöktun á bílnúmerum til grundvallar gjaldtöku á opnu bílastæði Reykjavíkurflugvallar og Akureyrarflugvallar, án viðhlítandi merkinga sem gæfu vöktunina til kynna.

2. Að lokinni yfirferð á svarbréfi Isavia INN og fylgigögnum þess í fyrrnefndu frumathugunarmáli ákvað Persónuvernd að hefja frumkvæðisathugun á þeirri vinnslu persónuupplýsinga sem áðurnefnd frumathugun laut að, sbr. 2. mgr. 32. gr. reglna nr. 1150/2023 um málsmeðferð Persónuverndar, og hefja stjórnsýslumál af því tilefni. Var Isavia INN tilkynnt um þá ákvörðun með bréfi dags. 30. júní 2025.

3. Ákvörðun um að hefja ofangreinda frumkvæðisathugun byggðist á 1. og 3. mgr. 39. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 30. gr., sbr. 2. mgr. 32. gr. reglna nr. 1150/2023 um málsmeðferð Persónuverndar.

4. Markmið athugunarinnar var að rannsaka hvort Isavia INN hefði við áðurnefnda vinnslu persónuupplýsinga farið að lögum nr. 90/2018 og reglugerð (ESB) 2016/679, einkum er lýtur að gagnsæi vinnslunnar, sbr. 1. tölul. 1. mgr. 8. gr. laganna og a-lið 1. mgr. 5. gr. reglugerðarinnar, og fræðslu til hinna skráðu, sbr. 4. mgr. 14. gr. og 1. mgr. 17. gr. laganna og 1. mgr. 12. gr. og 13. gr. reglugerðarinnar, sbr. einnig reglur Persónuverndar nr. 50/2023 um rafræna vöktun.

5. Svör Isavia INN ásamt fylgigögnum bárust með bréfum, dags. 20. ágúst og 22. desember 2025.

Rannsókn máls

6. Með fyrrnefndu bréfi, dags. 30. júní 2025, óskaði Persónuvernd nánari upplýsinga frá Isavia INN um hvernig vinnsla félagsins væri talin samrýmast meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Í sama bréfi óskaði stofnunin eftir upplýsingum um hvernig merkingum um rafræna vöktun væri háttað á bílastæðum flugvalla félagsins, hvort sem um væri að ræða almenna myndavélavöktun eða númeraplötuvöktun, þ.e. hvort hinum skráðu væri gert viðvart um vöktunina áður en þeir færu inn á vaktað svæði, ækju að númeraplötumyndavél eða lentu inni í sjónsviði myndavéla að öðru leyti, til samræmis við 13. gr. reglugerðar (ESB) 2016/679. Jafnframt var óskað eftir skjáskotum úr öllum eftirlitsmyndavélum sem til staðar væru á flugvöllum félagsins sem sýndu sjónsvið hverrar myndavélar, auk yfirlitskorts yfir bílastæði hvers flugvallar þar sem merkt væri inn á staðsetning allra myndavéla og merkinga sem til staðar væru um rafræna vöktun. Svör Isavia INN, ásamt fylgigögnum, bárust Persónuvernd líkt og fyrr greinir með bréfum dags. 20. ágúst og 22. desember 2025.

Álitamál

7. Frumkvæðisathugun Persónuverndar laut að rafrænni vöktun af hálfu Isavia INN á bílastæðum flugvalla félagsins, hvort sem um væri að ræða almenna myndavélavöktun eða númeraplötuvöktun. Beindist athugunin að því hvort merkingar um rafræna vöktun væru á öllum þeim svæðum sem vöktunin næði til; hvort hinum skráðu væri gert viðvart um vöktunina áður en þeir færu inn á vaktað svæði og hvort fræðsla til hinna skráðu uppfyllti kröfur laga.

Fyrirliggjandi gögn

8. Með svarbréfi Isavia INN, dags. 20. ágúst 2025, fylgdu eftirfarandi gögn:

i. Merkingar, yfirlitsmynd og skjáskot úr öryggismyndavélum á bílastæðum við Reykjavíkurflugvöll. Á yfirlitsmynd má sjá staðsetningu allra merkinga um rafræna vöktun sem og staðsetningu númeraplötumyndavéla. Myndir sýna fjórar útfærslur á útliti merkinga. Á þremur þeirra kemur fram að Isavia INN sé ábyrgðaraðili vöktunarinnar, tilgangur hennar sé gjaldtaka og öryggis- og eignavarsla. Á merkingunum er jafnframt QR-kóði sem leiðir inn á persónuverndarstefnu félagsins þar sem finna má frekari upplýsingar. Fram kemur að á einu þessara skilta, sem vísi til þess að gjaldskyld svæði séu framundan, hafi fræðslunni verið bætt við. Á annarri tegund skilta er ekki vakin athygli á rafrænni vöktun heldur minnt á gjaldskyldu og birtur annar QR-kóði sem vísar á vefslóð með frekari upplýsingum um bílastæði flugvallarins, þ.m.t. um rafræna vöktun. Í skjalinu kemur fram að aðeins séu notaðar númeraplötumyndavélar á vegum Isavia INN. Skjáskot úr númeraplötumyndavélum sýna að sjónsvið þeirra nær yfir fremsta hluta bifreiðar (framgrill) og númeraplötu.

ii. Merkingar, yfirlitsmyndir og skjáskot úr öryggismyndavélum á bílastæðum við Akureyrarflugvöll. Á yfirlitsmynd má sjá staðsetningu allra myndavéla og merkinga um rafræna vöktun sem og fyrirhugaða staðsetningu merkinga sem til stóð að uppfæra eða bæta við. Myndir sýna þrjár útfærslur á útliti merkinga. Fyrsta myndin sýnir skilti þar sem fram kemur m.a. að Isavia INN sé ábyrgðaraðili vöktunarinnar og tilgangur hennar sagður gjaldtaka og öryggis- og eignavarsla. Önnur myndin sýnir mynd af skilti sem ekki var til staðar en fyrirhugað var að setja upp á þremur stöðum, áður en ekið er inn á hið vaktaða svæði, en þar kemur fram að Isavia INN sé ábyrgðaraðili vöktunarinnar og tilgangur hennar sagður öryggis- og eignavarsla. Báðar framangreindar tegundir merkinga eru með QR-kóða sem leiðir inn á persónuverndarstefnu félagsins þar sem finna má frekari upplýsingar. Á þriðju tegund skiltanna er ekki vakin athygli á rafrænni vöktun heldur minnt á gjaldskyldu og birtur annar QR-kóði sem vísar á vefslóð með frekari upplýsingum um bílastæði flugvallarins, þ.m.t. um rafræna vöktun. Ljósmynd sýnir dæmi um merkingu sem til stóð að uppfæra, sem varar almennt við rafrænni vöktun á svæðinu, þ.e. án nánari fræðslu um vöktunina eða vísun til þess hvar hana megi finna. Skjáskot úr öryggismyndavélum og yfirlitsmynd sýna að sjónsvið þeirra nær til meirihluta bílastæðisins. Skjáskot úr númeraplötumyndavélum sýna að sjónsvið þeirra nær yfir fremsta hluta bifreiðar (framgrill) og númeraplötu.

iii. Merkingar, yfirlitsmynd og skjáskot úr öryggismyndavélum á bílastæðum við Egilsstaðaflugvöll. Á fyrri yfirlitsmyndinni má sjá staðsetningu númeraplötumyndavéla og merkinga um rafræna vöktun sem og fyrirhugaða staðsetningu merkinga sem til stóð að uppfæra eða bæta við. Á seinni yfirlitsmyndinni má sjá staðsetningu annarra öryggismyndavéla og sjónsvið þeirra. Myndir sýna þrjár útfærslur á útliti merkinga. Fyrsta myndin sýnir skilti þar sem fram kemur m.a. að Isavia INN sé ábyrgðaraðili vöktunarinnar og tilgangur hennar sagður gjaldtaka og öryggis- og eignavarsla. Önnur myndin sýnir mynd af skilti sem fyrirhugað var að setja upp á fjórum stöðum, m.a. við innkeyrslur, áður en ekið er inn á hið vaktaða svæði, en þar kemur fram að Isavia INN sé ábyrgðaraðili vöktunarinnar og tilgangur hennar sagður öryggis- og eignavarsla. Báðar framangreindar tegundir merkinga eru með QR-kóða sem leiðir inn á persónuverndarstefnu félagsins þar sem finna má frekari upplýsingar. Tekið er fram að á þeim fjórum stöðum sem fyrirhugað hafi verið að setja upp nýjar merkingar, væru nú þegar til staðar merkingar en ljósmyndir af þeim sýna skilti þar sem stendur að svæðið sé vaktað. Á þriðju tegund skiltanna er ekki vakin athygli á rafrænni vöktun heldur minnt á gjaldskyldu og birtur annar QR-kóði sem vísar á vefslóð með frekari upplýsingum um bílastæði flugvallarins, þ.m.t. um rafræna vöktun. Skjáskot úr öryggismyndavélum og yfirlitsmynd sýna að sjónsvið þeirra nær yfir allt bílastæðið. Skjáskot úr númeraplötumyndavélum sýna að sjónsvið þeirra nær yfir fremsta hluta bifreiðar (framgrill) og númeraplötu.

iv. Merkingar, yfirlitsmynd og skjáskot úr öryggismyndavél á bílastæði við Ísafjarðarflugvöll. Á yfirlitsmyndinni má sjá staðsetningu tveggja merkinga um rafræna vöktun, önnur á flugstöðvarbyggingunni og hin á milli hennar og byggingarinnar við hliðina, sem og staðsetningu m.a. þeirrar öryggismyndavélar sem vísar að bílastæði flugvallarins. Einnig fylgdu með myndir af útliti merkinga sem fyrirhugað var að koma upp og lýsing á þeim merkingum sem fyrir voru, sem munu hafa varað almennt við rafrænni vöktun. Fram kemur að á uppfærðum merkingum muni m.a. koma fram að Isavia INN sé ábyrgðaraðili vöktunarinnar og tilgangur hennar sé öryggis- og eignavarsla. QR-kóði á merkingunni muni leiða inn á persónuverndarstefnu félagsins þar sem finna megi frekari upplýsingar. Skjáskot úr öryggismyndavél og yfirlitsmynd sýna að sjónsvið hennar nær yfir innsta hluta innkeyrslu og hluta bílastæðisins.

v. Merkingar, yfirlitsmynd og skjáskot úr öryggismyndavélum á bílastæði við Sauðárkróksflugvöll. Ljósmyndir sýna staðsetningu tveggja merkinga sem vekja athygli á rafrænni vöktun, annars vegar á ljósastaur á miðju bílastæðinu og hins vegar í glugga flugstöðvarbyggingarinnar. Fram kemur að uppfærsla á þessum skiltum sé fyrirhuguð og sýnd er mynd af nýrri útfærslu þeirra. Þar kemur m.a. fram að Isavia INN sé ábyrgðaraðili vöktunarinnar. Tilgangur vöktunar sé öryggis- og eignavarsla. QR-kóði á merkingunni leiðir inn á persónuverndarstefnu félagsins þar sem finna má frekari upplýsingar. Skjáskot úr öryggismyndavélum og yfirlitsmynd sýna að sjónsvið þeirra nær yfir bílastæði við flugvöllinn.

9. Með viðbótarupplýsingum Isavia INN, dags. 22. desember 2025, fylgdu eftirfarandi gögn:

i. Yfirlit yfir nýjar merkingar á Akureyrarflugvelli og staðsetningu þeirra og uppfærðra eldri merkinga. Mynd sýnir m.a. þrjár nýjar merkingar áður en ekið er að númeraplötumyndavélum.

ii. Yfirlit yfir nýjar merkingar á Egilsstaðaflugvelli og staðsetningu þeirra og uppfærðra eldri merkinga. Mynd sýnir m.a. eina nýja merkingu áður en ekið er að númeraplötumyndavélum og sex nýjar eða uppfærðar merkingar inni á hinu vaktaða svæði.

iii. Mynd sem sýnir staðsetningu og útlit þriggja nýrra merkinga á Ísafjarðarflugvelli, þar af eru tvær merkingar staðsettar áður en ekið er inn á hið vaktaða svæði.

Sjónarmið Isavia innanlandsflugvalla ehf.

10. Í fyrra svarbréfi Isavia INN, dags. 11. apríl 2025, segir að félagið geri hinum skráðu viðvart um rafræna vöktun með ólíkum merkingum á öllum flugvöllum félagsins, auk þess sem upplýst sé um vöktunina, tilgang hennar, vinnsluheimild og önnur atriði, samkvæmt 1. mgr. 17. gr. laga nr. 90/2018, í persónuverndarstefnu félagsins sem aðgengileg sé á vefsvæði þess og vísað sé til á fjölmörgum merkingum við flugvelli félagsins, sbr. umfjöllun í efnisgrein 8 (i–v). Merkingarnar séu á öllum svæðum sem vöktunin nái til. Að mati Isavia INN teljist vinnsla persónuupplýsinga, í tengslum við rafræna vöktun á bílastæðum við þá innanlandsflugvelli félagsins sem frumkvæðisathugunin tók til, lögmæt, sanngjörn og gagnsæ gagnvart hinum skráðu, sbr. 1. tölul. 1. mgr. 8. gr. framangreindra laga.

11. Isavia INN vísar til þess í svarbréfi sínu að áður en ekið sé inn á innkeyrslu bílastæða hjá Reykjavíkur-, Akureyrar- og Egilsstaðaflugvelli megi sjá merkingar þar sem komi m.a. fram að sjálfvirkar myndavélar skrái ökutæki inn og út; á svæðinu fari fram rafræn vöktun í þágu eignavörslu og gjaldtöku og Isavia INN sé ábyrgðaraðili vöktunarinnar, sbr. umfjöllun í efnisgrein 8 (i–iii). Á merkingunum sé QR-kóði sem leiði inn á fræðslu í persónuverndarstefnu félagsins. Þá sé á sumum skiltum annar QR-kóði sem vísi á upplýsingar um bílastæði á vegum Isavia INN sem jafnframt innihaldi upplýsingar um rafræna vöktun. Viðvaranir og merkingar um rafræna vöktun á framangreindum flugvöllum séu staðsettar þannig að hinir skráðu geti kynnt sér efni fræðslunnar áður en farið sé inn á hið vaktaða svæði.

12. Fram kemur í svarbréfi Isavia INN að á Ísafjarðarflugvelli og Sauðárkróksflugvelli séu viðvaranir og merkingar veittar við söfnun upplýsinganna, þ.e. með merkjum á bílastæðum flugvallanna, en þær upplýsi þó hvorki um ábyrgðaraðila né vísi á hvar nánari upplýsingar megi finna. Unnið sé að uppsetningu viðbótarmerkinga á síðastnefndu tveimur flugvöllunum svo hinum skráðu verði gert viðvart um vöktun áður en farið sé inn á hið vaktaða svæði. Jafnframt verði aukið við merkingar á Akureyrarflugvelli og Egilsstaðaflugvelli.

13. Hvað Akureyrarflugvöll varðar segir í fyrra svarbréfi Isavia INN að þar megi finna númerplötumyndavélar áður en komið sé að merkingum um vöktunina, en unnið sé að fjölgun merkinga á flugvellinum líkt og fyrr greinir, sbr. umfjöllun í efnisgrein 8 (ii). Þá segir jafnframt að unnið hafi verið að aukinni og skýrari upplýsingagjöf um rafræna vöktun hjá félaginu, þ.m.t. uppfærslu á persónuverndarstefnu þess, þar sem tilgangur rafrænnar vöktunar verði skýrður nánar. Staðið hafi til að samræma allar viðvaranir á flugvöllum félagsins í samræmi við nýjustu leiðbeiningar Persónuverndar og reglur stofnunarinnar nr. 50/2023, en hluti merkinga hafi verið settar upp fyrir gildistöku reglnanna.

14. Í erindi Isavia INN til Persónuverndar, dags. 22. desember 2025, segir að félagið hafi lokið við að framkvæma allar þær umbætur sem greint hafi verið frá í fyrra svarbréfi þess, með þeirri breytingu að eftirlitsmyndavélar á Sauðárkróksflugvelli hafi verið fjarlægðar og fari því engin rafræn vöktun þar fram í dag. Á Akureyrarflugvelli hafi þremur nýjum merkingum um rafræna vöktun verið komið fyrir og þær staðsettar þannig að hinum skráðu sé gert viðvart um vöktunina með fullnægjandi hætti áður en komið sé inn á hið vaktaða svæði. Einni merkingu hafi verið komið fyrir á Drottningarbraut, annarri á Eyjafjarðarbraut vestri og þeirri þriðju á Flugvallarvegi sem liggi að flugvellinum, sbr. umfjöllun í efnisgrein 9 (i). Á Egilsstaðaflugvelli hafi fimm eldri merkingar verið uppfærðar og þremur bætt við, sbr. umfjöllun í efnisgrein 9 (ii). Á Ísafjarðarflugvelli hafi eldri merkingar verið fjarlægðar og nýjum komið fyrir og þær staðsettar þannig að hinum skráðu sé gert viðvart um rafræna vöktun með fullnægjandi hætti áður en komið sé inn á hið vaktaða svæði, sbr. umfjöllun í efnisgrein 9 (iii). Einnig hafi merkingu verið bætt við í glugga flugstöðvarbyggingarinnar, við annan innganginn, sem vísi út að bílastæðunum. Persónuverndaryfirlýsing Isavia INN, sem áður hafi verið upplýst um að væri í endurskoðun, hafi nú verið uppfærð.

Forsendur og niðurstaða

Lagaumhverfi

15. Mál þetta varðar vinnslu persónuupplýsinga í tengslum við rafræna vöktun á vegum Isavia INN með eftirlitsmyndavélum og númeraplötumyndavélum á bílastæðum flugvalla sem undir félagið heyra, þ.e. á Reykjavíkurflugvelli, Akureyrarflugvelli, Egilsstaðaflugvelli, Ísafjarðarflugvelli og Sauðárkróksflugvelli. Varðar það því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

16. Isavia INN telst vera ábyrgðaraðili vinnslunnar, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

17. Vinnsla persónuupplýsinga þarf að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar m.a. kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. 1. mgr. 8. gr. laganna og a-lið 1. mgr. 5. gr. reglugerðarinnar.

18. Framangreind meginregla um gagnsæi við vinnslu persónuupplýsinga felur meðal annars í sér að einstaklingum á að vera það ljóst þegar persónuupplýsingum um þá er safnað eða þær notaðar, skoðaðar eða unnar á annan hátt, að hvaða marki þær eru eða munu verða unnar og í hvaða tilgangi. Til þess að vinnsla persónuupplýsinga fullnægi þessari kröfu þurfa ábyrgðaraðilar að gera sérstakar ráðstafanir sem lúta að fræðslu til hins skráða. Hvað snertir rafræna vöktun er að finna reglu um slíka fræðslu í 4. mgr. 14. gr. laga nr. 90/2018, þess efnis að glögglega skuli gera viðvart um rafræna vöktun sem fram fer á vinnustað eða á almannafæri með merki eða á annan áberandi hátt og hver ábyrgðaraðili vöktunar er. Einnig er að líta til 1. mgr. 12. gr. reglugerðar (ESB) 2016/679, sbr. 1. mgr. 17. gr. laga nr. 90/2018, sem kveður á um að ábyrgðaraðili skuli gera viðeigandi ráðstafanir til að láta skráðum einstaklingi í té þær upplýsingar sem í 13. og 14. gr. reglugerðarinnar greinir og skulu upplýsingar veittar skriflega eða á annan hátt, t.d. á rafrænu formi. Í leiðbeiningum Evrópska persónuverndarráðsins (EDPB) nr. 3/2019 (útgáfu 2), frá 29. janúar 2020, um vinnslu persónuupplýsinga við rafræna vöktun, er áréttað mikilvægi þess að hinum skráða sé með skýrum viðvörunarmerkjum gerð grein fyrir því að rafræn vöktun fari fram, svo og til hvaða svæða hún nái. Jafnframt er tekið fram að frekari fræðslu megi veita með öðrum hætti en slíkum viðvörunarmerkjum, en að hún þurfi eftir sem áður að vera fyrir hendi og aðgengileg.

19. Um efni fræðslu og tímamark veitingu hennar, í tengslum við rafræna vöktun, fer eftir ákvæðum 13. gr. reglugerðar (ESB) 2016/679, sbr. fyrrgreindar leiðbeiningar EDPB nr. 3/2019. Samkvæmt henni skal ábyrgðaraðili skýra hinum skráða frá því, við söfnun persónuupplýsinga, hver ábyrgðaraðili vinnslu er, samskiptaupplýsingum persónuverndarfulltrúa ef við á, tilgangi vinnslunnar og lagagrundvelli, viðtakendum eða flokkum viðtakenda persónuupplýsinganna og ef heimild til vinnslu byggist á því að hún sé nauðsynleg vegna lögmætra hagsmuna, hvaða lögmætu hagsmunir það eru, sbr. 1. og 2. mgr. ákvæðisins.

20. Þá gilda reglur Persónuverndar nr. 50/2023 um rafræna vöktun, um vöktun á almannafæri, á vinnustöðum, í skólum og á öðrum svæðum þar sem takmarkaður hópur fólks fer um að jafnaði, þar á meðal í sameign fjöleignarhúsa eða á sameiginlegri lóð. Í 8. gr. reglnanna er mælt fyrir um viðvaranir og fræðslu um rafræna vöktun. Segir þar m.a. í 3. mgr. að ábyrgðaraðili rafrænnar vöktunar skuli kynna sérstaklega þeim hópum fólks sem að jafnaði fara um hið vaktaða svæði með sannanlegum hætti þær upplýsingar sem honum ber að veita vegna vöktunarinnar samkvæmt 12.–13. gr. reglugerðar (ESB) 2016/679.

Niðurstaða

21. Með hliðsjón af fyrirliggjandi gögnum, sbr. umfjöllun í efnisgrein 8 (i og iii), er það niðurstaða Persónuverndar að merkingar og fræðsla um rafræna vöktun á Reykjavíkurflugvelli og Egilsstaðaflugvelli hafi, er frumkvæðisathugun stofnunarinnar hófst, að meginstefnu verið í samræmi við skyldur félagsins samkvæmt 4. mgr. 14. gr. laga nr. 90/2018 og 13. gr. reglugerðar (ESB) 2016/679, sbr. 1. mgr. 17. gr. laga nr. 90/2018, sbr. og 1. tölul. 1. mgr. 8. gr. laganna og a-lið 1. mgr. 5. gr. reglugerðarinnar, sbr. umfjöllun í efnisgreinum 17–20.

22. Að mati Persónuverndar þykir hins vegar jafnframt ljóst að þegar frumkvæðisathugun stofnunarinnar hófst, skorti á að einstaklingum sem sæta áttu rafrænni vöktun á bílastæðum við flugvelli félagsins á Akureyri, Ísafirði og Sauðárkróki, væri gert viðvart um, áður en þeir komu inn á hið vaktaða svæði eða vöktun hófst, að rafræn vöktun færi fram á bílastæðum flugvallanna, sbr. umfjöllun í efnisgreinum 8 (ii, iv og v), 9 (i og iii) og 12–13. Á Akureyrarflugvelli skorti viðvörun um númeraplötuvöktun áður en ekið var inn í sjónsvið myndavélarinnar og á Ísafjarðarflugvelli og Sauðárkróksflugvelli skorti á að viðvaranir um almenna myndavélavöktun væru staðsettar áður en komið var inn í sjónsvið myndavélanna. Þá skorti jafnframt á að hinum skráðu væru veittar upplýsingar um hver væri ábyrgðaraðili vöktunar á Ísafjarðarflugvelli og Sauðárkróksflugvelli og hvar mætti fá nánari fræðslu um hana, til samræmis við 13. gr. reglugerðar (ESB) 2016/679, eða rafrænan tengil á slíka fræðslu, sbr. umfjöllun í efnisgreinum 8 (iv og v) og 12. Á Akureyrarflugvelli voru slíkar upplýsingar veittar, en ekki fyrr en eftir að komið var inn á hið vaktaða svæði.

23. Með vísan til framangreinds og að virtum fyrirliggjandi gögnum verður ekki talið að Isavia INN hafi, fram að upphafi frumkvæðisathugunar Persónuverndar, sinnt fræðsluskyldu sinni til hinna skráðu, samkvæmt 4. mgr. 14. gr. og 1. mgr. 17. gr. laga nr. 90/2018, sbr. einnig 12. gr. og 13. gr. reglugerðar (ESB) 2016/679 og 8. gr. reglna nr. 50/2023 um rafræna vöktun, á Akureyrarflugvelli, Ísafjarðarflugvelli og Sauðárkróksflugvelli. Er í því sambandi litið til þess að fræðslan var á þeim tíma efnislega ófullnægjandi á Ísafjarðarflugvelli og Sauðárkróksflugvelli. Þá var slík fræðsla ekki veitt tímanlega á Akureyrarflugvelli. Loks voru merkingar á Akureyrarflugvelli, Ísafjarðarflugvelli og Sauðárkróksflugvelli ekki staðsettar á þann hátt að hinum skráðu væri gert viðvart um vöktunina áður en þeir fóru inn á vaktað svæði. Að þessu gættu hefur Isavia INN því ekki sýnt fram á að hafa á þeim tíma tryggt gagnsæi við þá vinnslu persónuupplýsinga sem hér er til umfjöllunar, sbr. 1. tölul. 1. mgr. 8. gr. laganna og a-lið 1. mgr. 5. gr. reglugerðarinnar.

24. Með hliðsjón af þeim gögnum sem bárust frá Isavia INN, sbr. umfjöllun efnisgreinum 8 (i og iii) og 9 (i–iii), er það hins vegar einnig niðurstaða Persónuverndar að merkingar og fræðsla um rafræna vöktun á bílastæðum flugvalla félagsins, sem frumkvæðisathugun þessi tók til, sé nú með þeim hætti að samrýmist skyldum félagsins samkvæmt 4. mgr. 14. gr. laga nr. 90/2018 og 1. mgr. 12. gr. og 13. gr. reglugerðar (ESB) 2016/679, sbr. 1. mgr. 17. gr. laga nr. 90/2018 og 8. gr. reglna nr. 50/2023 um rafræna vöktun, sbr. og 1. tölul. 1. mgr. 8. gr. laganna og a-lið 1. mgr. 5. gr. reglugerðarinnar. Þá hefur félagið eftir að frumkvæðisathugun hófst ákveðið að láta af rafrænni vöktun á bílastæði Sauðárkróksflugvallar. Í ljósi þeirra úrbóta sem Isavia INN hefur gert, sem að framan er getið, kemur ekki til álita að gefa félaginu fyrirmæli um úrbætur á grundvelli 4. tölul. 42. gr. laganna.

Ákvörðun um beitingu valdheimilda

25. Persónuvernd getur lagt stjórnvaldssektir á þá sem brjóta, af ásetningi eða gáleysi, gegn einhverju þeirra ákvæða reglugerðar (ESB) 2016/679 sem talin eru upp í 2. og 3. mgr. 46. gr. laga nr. 90/2018, sbr. 1. og 5. mgr. þeirrar lagagreinar. Samkvæmt 1. og 2. tölul. 3. mgr. 46. gr. eru þar á meðal ákvæði um grundvallarreglur vinnslu, meðal annars samkvæmt a-lið 1. mgr. 5. gr. reglugerðarinnar, og um réttindi skráðra einstaklinga, meðal annars samkvæmt 12. og 13. gr. reglugerðarinnar.

26. Við ákvörðun um hvort framangreindum ákvæðum um sektarheimild skal beitt, sem og um fjárhæð sektar, ber að líta til 1. mgr. 47. gr. laga nr. 90/2018 þar sem kveðið er á um þau atriði sem ýmist geta verið metin hlutaðeigandi til málsbóta eða honum í óhag. Eins og háttar til í fyrirliggjandi máli telur Persónuvernd verða að líta til þess að umfang rafrænnar vöktunar er fremur takmarkað á bílastæðum félagsins, svo og þess að félagið hefur nú gert nauðsynlegar úrbætur. Að virtum þeim sjónarmiðum sem tilgreind eru í tilvísuðu ákvæði, og að gættum öðrum lögmæltum sjónarmiðum og málsatvikum í heild, svo og að teknu tilliti til reglna um meðalhóf, sbr. 1. mgr. 83. gr. reglugerðar (ESB) 2016/679 og 12. gr. stjórnsýslulaga nr. 37/1993, þykja ekki næg efni til að leggja stjórnvaldssekt á Isavia innanlandsflugvelli ehf. vegna þeirra brota félagsins gegn persónuverndarlöggjöfinni sem rakin voru í efnisgrein 23 hér að framan. Rétt þykir þó að veita Isavia innanlandsflugvöllum ehf. áminningu, sbr. 2. tölul. 42. gr. laganna, vegna fyrrgreindra brota.

Á k v ö r ð u n a r o r ð:

Merkingar og fræðsla Isavia innanlandsflugvalla ehf. um rafræna vöktun á bílastæðum flugvalla félagsins á Akureyri, Ísafirði og Sauðárkróki voru ekki í samræmi við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerð (ESB) 2016/679 og reglur nr. 50/2023 um rafræna vöktun. Isavia innanlandsflugvöllum ehf. er veitt áminning, sbr. 2. tölul. 42. gr. laga nr. 90/2018, vegna framangreinds brots.

Merkingar og fræðsla Isavia innanlandsflugvalla ehf. um rafræna vöktun á bílastæðum félagsins samrýmast nú lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerð (ESB) 2016/679 og reglum nr. 50/2023 um rafræna vöktun.

Persónuvernd, 22. september 2026

Edda Þuríður Hauksdóttir Ósk Óskarsdóttir