Persónuvernd hefur lokið frumkvæðisathugun á vinnslu persónuupplýsinga í tengslum við rafræna vöktun í sundlaugum sem sveitarfélögin Akraneskaupstaður, Akureyrarbær, Árborg og Mosfellsbær reka. Ákvörðun um að hefja slíka frumkvæðisathugun var tekin með hliðsjón af því að Persónuvernd bárust á árinu 2024 ábendingar um vinnslu persónuupplýsinga í tengslum við rafræna vöktun af hálfu sveitarfélaga sem fram fer í sundlaugum.

Markmið frumkvæðisathugunarinnar var annars vegar að kanna hvernig merkingum um rafræna vöktun er háttað við sundlaugar sem framangreind sveitarfélög reka og hvernig hinum skráðu er veitt fræðsla um rafræna vöktun sem þar fer fram. Hins vegar var markmið frumkvæðisathugunarinnar að kanna hvort aðgangur að myndefni og öðrum persónuupplýsingum sem safnast við vöktunina uppfyllir kröfur persónuverndarlöggjafarinnar um öryggi persónuupplýsinga, hvað varðar varðveislutíma persónuupplýsinga og hvort aðgangsstýring og aðgerðarskráning er viðhöfð.

Við rannsókn málsins lögðu sveitarfélögin fram skjáskot úr öllum eftirlitsmyndavélum í sundlaugum, myndir af merkingum um rafræna vöktun og upplýsingar um staðsetningu merkinga. Í framhaldinu fór Persónuvernd í vettvangsathugun í ákveðnar sundlaugar sveitarfélaganna í þeim tilgangi að skoða hvort merkingar væru á öllum þeim svæðum sem vöktunin nær til og skoða hvernig aðgerðarskráningu í eftirlitsmyndavélakerfi sundlauganna væri háttað. Með hliðsjón af öllum fyrirliggjandi gögnum og niðurstöðu vettvangsathugana var það niðurstaða Persónuverndar að merkingar og fræðsla um rafræna vöktun í sundlaugum Akureyrarbæjar og Mosfellsbæjar væri með þeim hætti að samrýmist skyldum sveitarfélaganna samkvæmt persónuverndarlöggjöfinni. Hinum skráðu er gert viðvart um að rafræn vöktun sé viðhöfð áður en þeir koma inn á vaktað svæði og er veitt fræðsla um ábyrgðaraðila vöktunarinnar, tilgang vinnslunnar og upplýsingar um hvar megi fá nánari fræðslu um vöktunina, í samræmi kröfur laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerðar (ESB) 2016/679 og reglna nr. 50/2023 um rafræna vöktun.

Hjá Akraneskaupstað voru merkingar og fræðsla um rafræna vöktun í sundlaugum sveitarfélagsins ekki að öllu leyti í samræmi við kröfur laga nr. 90/2018, reglugerðar (ESB) 2016/679 og reglna nr. 50/2023. Lagði Persónuvernd því fyrir Akraneskaupstað að uppfæra merkingar um rafræna vöktun í sundlaugum sveitafélagsins, þannig að merkingar vísi með virkum hætti hvar nálgast megi nánari fræðslu um vöktunina, og sveitarfélaginu jafnframt gert að uppfæra fræðslu um rafræna vöktun og gæta þess að hún innihaldi umfjöllun um réttindi skráðra einstaklinga.

Hvað sveitarfélagið Árborg varðar þótti að mati Persónuverndar ljóst að fram að þeim tíma er frumkvæðisathugunin hófst, 16. september 2024, hafi merkingar og fræðsla um rafræna vöktun í sundlaugum Árborgar ekki verið í samræmi við lög nr. 90/2018, reglugerð (ESB) 2016/679 og reglur nr. 50/2023. Í vettvangsathugun Persónuverndar kom í ljós að sveitarfélagið hafði þegar uppfært merkingar og fræðslu um rafræna vöktun á þann hátt að nú að samrýmist skyldum sveitarfélagsins samkvæmt kröfum persónuverndarlöggjafarinnar. Kom því ekki til álita að gefa sveitarfélaginu fyrirmæli um úrbætur en talið rétt að veita sveitarfélaginu Árborg áminningu vegna brots á gagnsæis- og fræðsluskyldu laga nr. 90/2018 og reglugerðar (ESB) 2016/679.

Þá var það einnig niðurstaða Persónuverndar að þær ráðstafanir sem framangreind sveitarfélög viðhafa til að tryggja öryggi persónuupplýsinga sem verða til við rafræna vöktun í þeim sundlaugum sem þau reka væru í samræmi við ákvæði laga nr. 90/2018 og reglugerðar (ESB) 2016/679. Líkt og að framan greinir var rannsókn Persónuverndar er laut að öryggi persónuupplýsinga þó afmörkuð við það hver varðveislutími upplýsinganna væri og hvort aðgangsstýring og aðgerðarskráning væri viðhöfð.

Ákvörðun Akraneskaupstaður

Ákvörðun Akureyrarbær

Ákvörðun Árborg

Ákvörðun Mosfellsbær