Lög um upptökur á Íslandi: Samþykki eins aðila, myndbirtingarbrot og viðurlög (2026)

Stutt svar: Er Ísland land með samþykki eins aðila?

Ísland er lögsagnarumdæmi þar sem samþykki eins aðila nægir fyrir upptökur þátttakanda. Sá sem er þátttakandi í samtali má taka það upp án þess að láta hinn aðilann vita. Þessi niðurstaða byggir á tveimur réttarheimildum sem lesa verður saman. 228. gr. almennra hegningarlaga (nr. 19/1940) gerir ólögmæta ágengni í einkamálefni annars manns refsiverða, en bannar ekki þátttakanda í samtali að taka upp eigin samskipti. Undanþága GDPR-reglugerðarinnar fyrir heimilis- og einkanotkun samkvæmt b-lið 2. mgr. 2. gr. verndar síðan hreinar einkaupptökur alfarið frá persónuverndarskyldum. Persónuvernd staðfesti þetta fyrirkomulag í ákvörðun 2021101915, þar sem komist var að þeirri niðurstöðu að kona sem tók leynilega upp hótandi símtöl frá ofbeldisfullum fyrrverandi maka, í eigin öryggisskyni, hafi verið utan gildissviðs GDPR-reglugerðarinnar. Lykilatriðið er að "samþykki eins aðila" á við um sjálfa upptökuathöfnina. Um leið og upptakan fer út fyrir einkasvið viðkomandi, hvort sem henni er deilt með lögmanni, birt á netinu eða afhent lögreglu, virkjast GDPR-reglugerðin og lagagrundvöll þarf samkvæmt 6. gr. laga nr. 90/2018.

Gildissvið: Þessi grein fjallar um upptökulög á Íslandi samkvæmt almennum hegningarlögum nr. 19/1940 (228., 229. og 199. gr. a), fjarskiptalögum nr. 70/2022 og lögum nr. 90/2018 (innleiðingu Íslands á GDPR-reglugerðinni í gegnum EES-samninginn). Hún fjallar ekki um upptökulög einstakra Bandaríkjanna; um þau má fræðast á upptökulagasíðu okkar fyrir Bandaríkin. Um reglur aðildarríkja ESB, sjá upptökulagasíðu okkar fyrir heiminn.

Refsirammi 228. og 229. gr.

228. gr. almennra hegningarlaga er grunnákvæði refsiréttar um óheimilan aðgang að einkaupplýsingum og upptökum á Íslandi. Hún bannar manni að leita ólöglega eftir, afla, afrita, sýna, birta eða dreifa skjölum, gögnum, myndum eða öðru sambærilegu efni sem varðar einkamálefni annars manns. Brotið varðar sekt eða allt að eins árs fangelsi samkvæmt almennum hegningarlögum.

Orðið "ólöglega" er lykilskilyrðið. Þátttakandi sem tekur upp eigið samtal fremur ekki ólögmæta háttsemi samkvæmt 228. gr. þar sem hann er aðili að samskiptunum. Þriðji aðili sem tekur leynilega upp samtal milli tveggja annarra manna, eða sem hlerar símtal sem hann á enga aðild að, fremur hins vegar þá ólögmætu háttsemi sem 228. gr. beinist gegn.

229. gr. útvíkkar þessa vernd til gagna sem geymd eru á stafrænu formi. Hún bannar óheimilan aðgang að gögnum eða tölvuforritum, með sömu refsingu, sekt eða allt að eins árs fangelsi. Þetta ákvæði á við um hvern þann sem fær óheimilan aðgang að tæki annars manns til að nálgast upptökur eða hlerar samskipti á netkerfisstigi.

Vörn vegna almannahagsmuna

228. og 229. gr. eiga ekki við þar sem háttsemi er réttlætanleg vegna almanna- eða einkahagsmuna. Þessi undantekning skiptir mestu í samhengi fjölmiðlunar og ábyrgðarskyldu: að taka upp opinberan embættismann sem misnotar vald sitt getur til dæmis verið varið jafnvel þótt upptakan sé gerð án vitundar viðkomandi, að því tilskildu að háttsemin þjóni raunverulega almannahagsmunum og sé í samræmi við meðalhóf. Dómstólar vega þetta á móti stjórnarskrárvörðum rétti til friðhelgi einkalífs samkvæmt 71. gr. stjórnarskrár Íslands og vernd tjáningarfrelsis samkvæmt 73. gr.

Tengsl við fjarskiptalögin

228. gr. tekur til refsiréttarlegrar hliðar óheimils aðgangs að einkaefni. Fjarskiptalög nr. 70/2022 gilda sérstaklega um trúnað rafrænna fjarskipta í flutningi. Bæði lögin geta átt við um sömu athöfnina samtímis: að hlera símtal sem stendur yfir virkjar bæði fjarskiptalögin (öryggi fjarskipta) og, ef hleruðu efni er síðan miðlað áfram, 228. gr. (brot á friðhelgi einkalífs).

199. gr. a: Myndbirtingarbrot og gervimyndefni

199. gr. a var bætt við almenn hegningarlög með lögum nr. 8/2021, sem Alþingi samþykkti samhljóða (49 atkvæði) þann 22. febrúar 2021. Hún kom á fót sjálfstæðu refsiverðu broti sem tekur á stafrænu kynferðisofbeldi sem sérstöku formi brots gegn friðhelgi einkalífs, aðgreindu frá og alvarlegra en 228. gr.

Hvað bannar 199. gr. a

199. gr. a gerir það refsivert að útbúa, afla, deila eða birta myndir, myndbönd, texta eða sambærilegt efni sem sýnir nekt eða kynferðislega hegðun annars manns án samþykkis viðkomandi. Ákvæðið tekur berum orðum til falsaðs efnis ("falsað efni"), sem þýðir að gervigreindargert myndefni og tilbúið nándarefni fellur ótvírætt undir gildissvið þess. Lögin eru einnig hlutlaus gagnvart formi: þau taka til mynda, myndbanda, hljóðupptaka, texta og annars sambærilegs miðils.

Viðurlög samkvæmt 199. gr. a

Almenn refsing fyrir að útbúa eða dreifa ósamþykktu nándarefni er sekt eða allt að fjögurra ára fangelsi. Þrengra brot á við um hótanir: að hóta að útbúa eða dreifa slíku efni, á þann hátt að líklegt sé að valda ótta, varðar allt að eins árs fangelsi. Fjögurra ára hámarksrefsingin gerir þetta brot mun alvarlegra en almennt brot gegn 228. gr., sem endurspeglar afstöðu löggjafans um að myndbirtingarbrot valdi sérstökum og alvarlegum skaða.

Lagalegt samhengi

Í greinargerð frumvarpsins frá 2021 kom fram að eldri hegningarlöggjöf "gerði ekki ráð fyrir þeim möguleika að brot gegn kynferðislegri friðhelgi einkalífs gætu átt sér stað án líkamlegrar snertingar." Lögin voru sett í kjölfar staðfestra tilvika þar sem nándarmyndum var dreift eftir sambandsslit, auk vaxandi vitundar um að gervigreindartækni gæti búið til slíkt efni án nokkurrar fyrri líkamlegrar snertingar. Ragna Björg Guðbrandsdóttir, teymisstjóri hjá viðkomandi stjórnvaldi, benti á að slíkt ofbeldi fylgi oft í kjölfar sambandsslita og valdi alvarlegri röskun á daglegu lífi þolenda.

Athugið: 199. gr. a tekur bæði til framleiðslu og dreifingar ósamþykkts nándarefnis. Sá sem útbýr raunverulegt gervimyndefni (deepfake) sem sýnir einhvern í kynferðislegu samhengi án samþykkis viðkomandi fremur brot jafnvel þótt efninu sé aldrei deilt. Sjálf framleiðslan er brotið.

Fjarskiptalög nr. 70/2022

Fjarskiptalögin leystu af hólmi eldri fjarskiptalöggjöf Íslands og tóku gildi 1. september 2022. Þau innleiða tilskipun (ESB) 2018/1972, evrópsku fjarskiptareglurnar, í íslenskan rétt.

Trúnaður fjarskipta

XIII. kafli laganna fjallar um friðhelgi í rafrænum fjarskiptum. Lögin banna vinnslu rafrænna fjarskiptagagna, þar með talið geymslu, hlustun, upptöku og hlerun, nema annað af tveimur skilyrðum sé uppfyllt: notandinn hefur veitt upplýst samþykki, eða háttsemin er heimiluð með lögum.

Þetta bann er víðtækt. Það nær til fjarskiptafyrirtækja, netþjónustuveitenda og hvers annars sem kann að hlera eða taka upp rafræn fjarskipti sem fara um net á Íslandi.

Lögmæt hlerun stjórnvalda

D-liður 8. gr. laganna krefst þess að fjarskiptafyrirtæki geri þar til bærum yfirvöldum kleift að hlera símtöl og afla tengdra gagna í samræmi við íslensk lög. Lögregla þarf dómsúrskurð samkvæmt lögum um meðferð sakamála nr. 88/2008 áður en hún getur hlerað símalínu eða stafræn fjarskipti.

Á árunum 2008 til 2015 óskaði íslenska lögreglan eftir 720 símahlerunarheimildum. Dómstólar samþykktu 715 þeirra, sem er 99,3% samþykktarhlutfall og sætti gagnrýni Pírata á Alþingi. Um 65% þessara hlerana tengdust fíkniefnarannsóknum. Árið 2020 lagði lögreglan fram 388 beiðnir um eftirlit alls, þar af 92 sem sneru sérstaklega að símanotkunargögnum.

Varðveisla gagna

Fjarskiptafyrirtækjum ber að varðveita notendagögn, þar með talin vafraferil, í sex mánuði. Þessi varðveittu gögn má aðeins afhenda lögreglu eða ákæruvaldi í sakamálum eða vegna almannaöryggis.

Upptaka símtala á Íslandi

Tilkynningarskylda

Opinberar leiðbeiningar íslenskra stjórnvalda á island.is kveða á um að tilkynna verði hinum aðila símtalsins í upphafi þess að upptaka fari fram. Ein þröng undantekning er til staðar: tilkynningar er ekki þörf þegar hinn aðilinn er "vafalaust meðvitaður" um upptökuna. Sú undantekning á við þjónustuver þar sem sjálfvirk kerfi spila tilskilda tilkynningu í upphafi hvers símtals, en hún á ekki við um venjuleg samtöl milli einstaklinga.

Leiðbeiningarnar vara jafnframt við því að setningin "símtalið kann að vera tekið upp" nægi ekki samkvæmt sanngirniskröfum persónuverndarlöggjafarinnar. Orðalagið verður að vera ótvírætt: að símtalið sé tekið upp, ekki að það kunni að vera tekið upp.

Undanþágan fyrir einkanotkun

Undanþága GDPR-reglugerðarinnar fyrir heimilis- og einkanotkun samkvæmt b-lið 2. mgr. 2. gr. og ákvörðun Persónuverndar 2021101915 marka skýra meginreglu: að taka upp símtal til eigin einkanota virkjar ekki persónuverndarskyldur. En ef upptökunni er deilt með einhverjum utan heimilis viðkomandi þarf lagagrundvöll samkvæmt 6. gr. GDPR-reglugerðarinnar, eins og hún er innleidd með lögum nr. 90/2018.

Í ákvörðun Persónuverndar 2021101915 komst stofnunin að þeirri niðurstöðu að það hafi verið réttlætanlegt á grundvelli lögmætra hagsmuna að deila upptökum af hótandi símtölum með lögreglu og lögmönnum, í ljósi skjalfestra öryggisáhyggja. Jafnvægið milli friðhelgisréttinda þess sem tekinn var upp og persónuöryggis þess sem tók upp vó í átt að því að heimila birtinguna.

Upptaka samtala augliti til auglitis

Persónuverndarlöggjöf Íslands gildir um hljóðupptökur af samtölum augliti til auglitis alltaf þegar hægt er að bera kennsl á einstakling út frá upptökunni, hvort sem það er af rödd, nafni eða efni samtalsins.

Þegar upptaka verður að rafrænni vöktun

Persónuvernd hefur lýst því yfir að þegar upptaka er "viðvarandi eða endurtekin reglulega og felur í sér einhvers konar vöktun einstaklinga," teljist hún rafræn vöktun. Rafræn vöktun virkjar viðbótarskyldur samkvæmt reglum nr. 50/2023 um rafræna vöktun, þar með talið kröfur um merkingar, aðgangstakmarkanir og skjalfestingu.

Einstök upptaka af samtali til eigin minnis er metin á annan hátt en búnaður sem er stilltur á að taka stöðugt upp starfsemi á tilteknu svæði. Hið fyrra fellur hugsanlega undir undanþágu vegna einkanotkunar. Hið síðara krefst nánast örugglega lagagrundvallar, tilkynningar og fullrar fylgni við GDPR-reglugerðina.

Leynileg upptaka

Leynileg upptaka er ekki með öllu bönnuð þegar einstaklingar eiga í hlut í einkalegum tilgangi til eigin nota. Úrskurður Persónuverndar 2021101915 staðfesti að einstaklingur geti tekið eigin samtöl leynilega upp án þess að brjóta gegn persónuverndarlöggjöf, svo lengi sem upptökurnar haldast einkamál.

Leynileg rafræn vöktun er berum orðum bönnuð í hvers kyns stofnana-, viðskipta- eða opinberu samhengi. Opinberar leiðbeiningar á island.is segja: "Vöktun í leyni er stranglega bönnuð, nema hún byggist á lagaheimild eða úrskurði dómara."

Upptaka af lögreglu og opinberum embættismönnum

Lögreglan á höfuðborgarsvæðinu staðfesti í maí 2015 að ekkert lagalegt bann sé við því að almenningur taki upp störf lögreglu á opinberum stað. Staðfestingin kom fram í opinberri yfirlýsingu á Facebook í kjölfar atviks þar sem lögreglumaður sagði ranglega við almenning að upptaka væri ólögleg. Lögregluembættið baðst afsökunar og skýrði málið: "Ekkert í lögum bannar almenningi að taka upp störf lögreglu á opinberum stað."

Stjórnarskrárramminn styður þessa afstöðu. 73. gr. stjórnarskrár Íslands verndar tjáningarfrelsi og bannar ritskoðun. 71. gr. verndar friðhelgi einkalífs einstaklinga, en friðhelgishagsmunir vega minna þegar um er að ræða opinbera embættismenn í opinberum embættisstörfum á opinberum stöðum.

Í reynd má borgari taka upp lögreglumann sem sinnir störfum sínum á opinberum stað. Það sem viðkomandi má ekki gera er að hindra störf lögreglumannsins, fara inn á lokað svæði til að ná upptökunni, eða birta upptökuna á þann hátt að hún opinberi persónuupplýsingar um vegfarendur sem tengjast ekki atvikinu (til dæmis með því að taka upp og birta myndir af vegfarendum sem koma málinu ekki við). Meðalhófskrafa GDPR-reglugerðarinnar á við um birtingu jafnvel þótt sjálf upptakan sé lögmæt.

Upptökur og vöktun á vinnustöðum

Samþykki starfsmanns er ekki gilt

Ísland tekur þá afstöðu að starfsfólk geti almennt ekki veitt gilt samþykki fyrir vöktun á vinnustað. Valdaójafnvægið milli atvinnurekanda og starfsmanns veldur því að samþykki telst ekki veitt af fúsum og frjálsum vilja í þeim skilningi sem 7. gr. GDPR-reglugerðarinnar krefst. Atvinnurekendur verða að finna annan lagagrundvöll, oftast lögmæta hagsmuni samkvæmt f-lið 1. mgr. 6. gr., en slíkir hagsmunir verða ávallt að vera í samræmi við meðalhóf og nauðsynlegir.

Skyldur atvinnurekanda samkvæmt reglum nr. 50/2023

Atvinnurekendur sem stunda vöktun verða að uppfylla strangar kröfur:

• Starfsfólki ber að upplýsa um vöktunina, tilgang hennar, hverjir hafa aðgang að söfnuðum gögnum og hversu lengi þeim er haldið.
• Setja verður skýr viðvörunarmerki áður en nokkur fer inn á vaktað svæði.
• Aðeins þar til bært starfsfólk með sérstaka rekstrarlega þörf má fá aðgang að upptökum.
• Starfsfólk á rétt á að skoða upptökur sem innihalda persónuupplýsingar þeirra með munnlegri eða skriflegri beiðni.
• Leynileg vöktun á vinnustað er bönnuð nema dómari úrskurði um hana.

Framkvæmdardæmi

Ísbúðarmál (2021): Ungur starfsmaður kvartaði yfir því að fataskiptirými þar sem starfsfólk klæddist vinnufatnaði væri undir stöðugu eftirliti myndavéla. Persónuvernd staðfesti að starfsfólk hefði engan stað án myndavéla til að skipta um föt. Fyrirtækið var sektað um 5 milljónir króna (um 34.000 evrur), fyrirskipað að hætta vöktuninni, eyða öllum upptökum úr myndavél fataskiptirýmisins og koma á fullnægjandi tilkynningarferli fyrir starfsfólk.

Subway-mál (2021): Stjörnuna ehf., rekstraraðili Subway-veitingastaða á Íslandi, var sektað um 1,5 milljónir króna (um 10.900 evrur) eftir að í ljós kom að stjórnandi fylgdist með starfsfólki að heiman í gegnum fjarvöktunarbúnað. Fyrirtækið réttlætti vöktunina með vísan til "ótta við að brauð myndi klárast." Persónuvernd taldi þessa réttlætingu ófullnægjandi og úrskurðaði að vöktunin bryti gegn 5., 6., 12. og 13. gr. GDPR-reglugerðarinnar.

Íþrótta- og sýningahöllin hf. (2023): Í kjölfar fjölmiðlaumfjöllunar skoðaði Persónuvernd stóra íþrótta- og sýningahöll í Reykjavík og fann um 50 virkar eftirlitsmyndavélar, þar á meðal í rýmum þar sem unglingar sváfu og skiptu um föt á meðan íþróttamóti stóð, sem og í fjöldabólusetningarrými vegna COVID-19. Stofnunin sektaði fyrirtækið um 3.500.000 krónur (um 23.820 evrur) þann 17. október 2023 fyrir brot gegn a-lið, b-lið 1. mgr. 5. gr. og 6. gr. GDPR-reglugerðarinnar.

Háskóli Íslands (2023): Háskóli Íslands var sektaður um 1.500.000 krónur (um 10.289 evrur) fyrir að reka eftirlitsmyndavélakerfi án þess að veita hinum skráðu fullnægjandi tilkynningu, sem braut gegn a-lið 1. mgr. 5. gr., 12. gr. og 13. gr. GDPR-reglugerðarinnar.

GDPR-reglugerðin og EES-ramminn á Íslandi

Ísland er ekki aðildarríki að ESB, en það er hluti af Evrópska efnahagssvæðinu (EES). GDPR-reglugerðin gildir á Íslandi í gegnum ákvörðun sameiginlegu EES-nefndarinnar nr. 154/2018, innleidda í landsrétt með lögum nr. 90/2018. Persónuvernd starfar sem eftirlitsstjórnvald Íslands með sömu valdheimildir og persónuverndarstofnanir í aðildarríkjum ESB.

Hvernig GDPR gildir um upptökur

GDPR-reglugerðin gildir um alla vinnslu persónuupplýsinga, sem tekur til hljóðupptaka þar sem hægt er að bera kennsl á einstaklinga. Öll sex lögmætu grundvallarskilyrðin fyrir vinnslu samkvæmt 6. gr. gilda að fullu: samþykki, samningur, lagaskylda, brýnir hagsmunir, opinbert verkefni og lögmætir hagsmunir. Fyrir upptökur sérstaklega eru algengustu grundvellirnir samþykki (fyrir yfirlýsta upptöku viðskiptasímtala) og lögmætir hagsmunir (fyrir öryggistengdar einkaupptökur, eins og staðfest var í ákvörðun Persónuverndar 2021101915).

Undanþágan fyrir heimilis- og einkanotkun

B-liður 2. mgr. 2. gr. GDPR-reglugerðarinnar undanþiggur vinnslu sem einstaklingur framkvæmir í hreinum einkalegum eða heimilislegum tilgangi. Þetta tekur til persónulegra hljóðupptaka sem gerðar eru til einkanota. Það tekur ekki til upptaka sem gerðar eru í starfslegu, viðskiptalegu eða skipulagslegu samhengi.

Evrópudómstóllinn setti landfræðileg mörk þessarar undanþágu í máli Ryneš (C-212/13, 2014): eftirlitsmyndavél sem nær yfir svæði utan eigin fasteignar viðkomandi fellur ekki undir undanþáguna, jafnvel þótt hún sé sett upp í öryggisskyni. Þessi meginregla gildir á Íslandi eins og annars staðar á EES-svæðinu.

Samþykkisaldur við vinnslu gagna

Ísland ákvað að stafrænn samþykkisaldur skyldi vera 13 ár, lægri en sjálfgefið viðmið GDPR-reglugerðarinnar sem er 16 ár. Þetta skiptir máli fyrir vettvanga eða forrit sem taka upp samskipti við börn, þar sem kröfur um samþykki foreldra eru mismunandi eftir aldri notandans.

Kíkjuhneigð og ósamþykkt nándarefni

Viðbrögð íslenskra laga við kíkjuhneigð og myndbirtingarbrotum starfa í gegnum tvö ákvæði sem virka samhliða. 228. gr. almennra hegningarlaga tekur til óheimillar ágengni í einkamálefni almennt, þar með talið leynilegrar upptöku á einkasvæðum. 199. gr. a (lög nr. 8/2021) tekur á sérhæfðara broti, útbúningi og dreifingu nándarefnis án samþykkis, með verulega hærri refsingum.

Aðgreiningin skiptir máli við ákæru: sá sem tekur leynilega upp mynd af einhverjum í fataskiptiherbergi brýtur gegn 228. gr. (allt að 1 árs fangelsi). Ef hann deilir þeirri upptöku síðar á 199. gr. a við (allt að 4 ára fangelsi). Ef hann hótar að deila henni telst sú hótun sjálf brot gegn 199. gr. a (allt að 1 árs fangelsi).

199. gr. a á Íslandi verndar einnig gegn efni þar sem áherslan er á skort á samþykki þolandans, fremur en að krefjast sönnunar á ásetningi geranda um að valda skaða, sem gerir ákvæðið þolendamiðað í samræmi við meginreglur 8. gr. Mannréttindasáttmála Evrópu.

Gervimyndefni og gervigreindargert efni

199. gr. a tekur nú þegar til gervigreinds ósamþykkts nándarefnis

Lög Íslands frá 2021 taka berum orðum til "falsaðs efnis" ("falsað efni"), sem þýðir að gervigreindargert myndefni (deepfakes) sem sýnir einhvern í nándar- eða kynferðislegu samhengi er þegar refsivert samkvæmt 199. gr. a án frekari lagasetningar. Þetta er meðal víðtækustu myndbirtingarákvæða í Evrópu hvað þetta tiltekna atriði varðar.

Gervigreindarreglugerð ESB: hefur ekki enn tekið gildi á Íslandi

Gervigreindarreglugerð Evrópusambandsins (reglugerð (ESB) 2024/1689) tók gildi 1. ágúst 2024, en fyrstu bannákvæðin urðu framfylgjanleg frá febrúar 2025 í aðildarríkjum ESB. Hins vegar hafði, frá og með maí 2026, engin ákvörðun sameiginlegu EES-nefndarinnar formlega tekið gervigreindarreglugerðina upp í EES-samninginn. Ísland, Noregur og Liechtenstein taka þátt sem áheyrnaraðilar í fundum gervigreindarráðs ESB en eru ekki beint bundin af reglugerðinni.

Hefðbundin upptaka sameiginlegu EES-nefndarinnar getur tekið nokkra mánuði upp í meira en ár þar sem innlend lagasetningarskref eru nauðsynleg. Þar til formleg upptaka á sér stað falla íslensk fyrirtæki og einstaklingar ekki undir skyldur eða viðurlög gervigreindarreglugerðar ESB með beinum hætti, þótt þau kunni að falla undir hana með útvíkkuðu gildissviði bjóði þau vörur eða þjónustu til íbúa ESB.

Rammasamningur Evrópuráðsins

Ísland undirritaði rammasamning Evrópuráðsins um gervigreind þann 5. september 2024. Þessi sáttmáli, fyrsta bindandi alþjóðaskjalið um gervigreind, kveður á um kröfur um samræmi við mannréttindi, lýðræði og réttarríkið í gervigreindarkerfum. Hann bætir við gildandi stjórnhætti Íslands um gervigreind fremur en að koma í hans stað.

Fyrirhuguð breyting á höfundalögum

Á Íslandi er í vinnslu frumvarp sem myndi breyta höfundalögum nr. 73/1972 þannig að bannað yrði að endurgera mann á hvaða sniði sem er sem gæti talist raunverulegt, þar með talið myndir, myndbönd, hljóðupptökur og gervigreindargert efni, án samþykkis viðkomandi. Frumvarpið beinist sérstaklega gegn gervimyndefni (deepfakes). Frá og með maí 2026 bíður þessi breyting enn samþykktar; hún myndi bæta einkaréttarlegu lagi ofan á þá refsiréttarlegu vernd sem 199. gr. a veitir nú þegar.

Opinber rými og upptökur

Að taka myndir eða myndbönd af mannfjölda á opinberum viðburðum krefst að jafnaði ekki samþykkis einstaklinga. Ef tiltekinn einstaklingur verður miðpunktur upptökunnar telst samþykki "að jafnaði skilyrði" samkvæmt opinberum leiðbeiningum island.is um persónuvernd og birtingu efnis á netinu.

Að birta hljóð- eða myndupptökur á netinu virkjar persónuverndarskyldur alltaf þegar hægt er að bera kennsl á einstaklinga. Persónuverndarlöggjöfin krefst lagagrundvallar fyrir slíka vinnslu. Börn njóta aukinnar verndar: Persónuvernd mælir með því að afla samþykkis áður en myndir eða upptökur af börnum eru birtar á samfélagsmiðlum, með hliðsjón af aldri og þroska barnsins. Upptökur sem sýna börn í viðkvæmum aðstæðum ættu aldrei að vera birtar.

Opinberar leiðbeiningar vara við því að ljósmyndir og upptökur innihaldi oft GPS-hnit og önnur lýsigögn. Þeir sem birta upptökur ættu að fjarlægja slík gögn fyrir birtingu, þar sem staðsetningarlýsigögn tengd auðkennanlegum einstaklingum teljast frekari vinnsla persónuupplýsinga.

Upptökur yfir landamæri

Hvenær GDPR-reglugerð Íslands gildir

3. gr. GDPR-reglugerðarinnar veitir henni útvíkkað gildissvið í tvær áttir. Í fyrsta lagi verður hver sá ábyrgðaraðili eða vinnsluaðili sem er staðsettur á Íslandi og tekur upp símtal við aðila utan EES að fylgja GDPR-skyldum Íslands vegna þeirrar upptöku. Í öðru lagi fellur ábyrgðaraðili sem ekki er staðsettur á Íslandi, en beinir þjónustu að íslenskum íbúum eða vaktar hegðun þeirra, einnig undir reglugerðina.

Upptaka símtala utan Íslands

Einstaklingur í Bandaríkjunum sem tekur upp símtal við íslenskan íbúa virkjar GDPR-skyldur ef viðkomandi beinir þjónustu að íslenskum íbúum eða vaktar hegðun þeirra. Fyrir hversdagsleg persónuleg símtöl fer greiningin eftir því hvort um raunverulega einkaathöfn (undanþága vegna heimilisnota) eða viðskiptalega athöfn er að ræða. Bandarískt fyrirtæki sem tekur upp þjónustusímtöl við íslenska viðskiptavini verður að uppfylla GDPR-skyldur Íslands.

Flutningur upptaka út fyrir EES

Sérhver flutningur upptaka frá Íslandi til lands utan EES krefst þess að farið sé eftir flutningsúrræðum V. kafla GDPR-reglugerðarinnar: ákvörðunum um fullnægjandi vernd, stöðluðum samningsákvæðum eða öðrum viðurkenndum verndarráðstöfunum. Ísland innleiddi sérstök flutningsferli með auglýsingu nr. 1155/2022.

Samþykki eins aðila á móti samþykki beggja aðila í símtölum yfir landamæri

Ef íslenskur íbúi hringir í einhvern í Kaliforníu leyfir samþykkisregla Íslands um einn aðila íslenska hringjandanum að taka símtalið upp. Lög Kaliforníu um samþykki beggja aðila (Cal. Penal Code s. 632) krefjast samþykkis allra aðila. Öruggasta framkvæmdin fyrir hvern þann sem hringir í viðskiptalegum tilgangi er að tilkynna öllum aðilum í upphafi símtalsins, sem uppfyllir bæði tilkynningarskyldu Íslands og kröfu Kaliforníu um samþykki beggja aðila.

Viðurlög við ólöglegri upptöku á Íslandi

Refsiviðurlög samkvæmt almennum hegningarlögum

Stjórnvaldssektir Persónuverndar

Persónuvernd getur lagt á stjórnvaldssektir samkvæmt þrepaskiptu kerfi GDPR-reglugerðarinnar, eins og það er innleitt með lögum nr. 90/2018:

Lægra þrep (brot samkvæmt 4. mgr. 83. gr.): Allt að 1,2 milljörðum króna (um 7,9 milljónum evra) eða 2% af árlegri heildarveltu á heimsvísu, hvort sem hærra reynist.

Hærra þrep (brot samkvæmt 5. og 6. mgr. 83. gr.): Allt að 2,4 milljörðum króna (um 15,85 milljónum evra) eða 4% af árlegri heildarveltu á heimsvísu.

Dagsektir allt að 200.000 krónum (um 1.320 evrum) má leggja á fyrir hvern dag sem áframhaldandi brot á fyrirmælum Persónuverndar varir.

Framkvæmd eftirlits í reynd

Persónuvernd hefur sýnt samræmda beitingu eftirlits þvert á atvinnugreinar:

• Eftirlit með starfsfólki í ísbúð (2021): 5.000.000 kr. (34.000 evrur)
• Fjarvöktun Subway á starfsfólki (2021): 1.500.000 kr. (10.900 evrur)
• Eftirlitsmyndavélar Háskóla Íslands án tilkynningar (2023): 1.500.000 kr. (10.289 evrur)
• Myndavélar íþróttahallar í svefn-/fataskiptirýmum (2023): 3.500.000 kr. (23.820 evrur)
• Ófullnægjandi lagagrundvöllur hjá lánshæfisfyrirtækinu Creditinfo Lánstrausti (2021): 253.400 evrur
• Fjöldi sveitarfélaga sektaður árið 2024 vegna misnotkunar gagna nemenda í gegnum Google Workspace

Regluvörslukröfur fyrirtækja

Fyrirtæki sem taka upp símtöl verða að veita skýra og ótvíræða tilkynningu í upphafi hvers símtals. Tilkynningin verður að segja að símtalið sé tekið upp, ekki að það "kunni" að vera tekið upp. Fyrirtæki verða að skjalfesta lagagrundvöll upptökunnar, að jafnaði samþykki eða lögmæta hagsmuni, og verða að vera í stakk búin til að bregðast við beiðnum hins skráða um aðgang og eyðingu innan tímamarka GDPR-reglugerðarinnar.

Mat á áhrifum á persónuvernd er áskilið fyrir upptökustarfsemi sem felur í sér kerfisbundna vöktun á opinberum svæðum, umfangsmikla vinnslu eða nýja tækni, samkvæmt auglýsingu nr. 828/2019 áður en upptaka hefst.

Sérhver flutningur upptaka út fyrir EES krefst þess að farið sé eftir flutningsúrræðum V. kafla GDPR-reglugerðarinnar samkvæmt auglýsingu nr. 1155/2022.

Samanburður Íslands við önnur Norðurlönd

Öll Norðurlöndin innleiða GDPR-reglugerðina, þannig að grunnramminn er svipaður. Undanþága Íslands fyrir einkanotkun, eins og Persónuvernd túlkaði hana í ákvörðun 2021101915, er athyglisvert víðtæk: að heimila leynilega upptöku á hótandi símtölum í öryggisskyni gengur lengra en sumar aðrar norrænar persónuverndarstofnanir hafa lýst yfir berum orðum. Afstaða Íslands um að samþykki starfsmanns sé í eðli sínu ógilt fyrir vöktun á vinnustað er einnig verndandi umfram það sem tíðkast í sumum aðildarríkjum ESB.

Hvað varðar eftirlit stjórnvalda hefur Ísland enga skyldu um skráningu SIM-korta, enga skyldu um afkóðun samskipta og krefst dómsúrskurðar fyrir allar símahleranir. Þessir þættir setja Ísland meðal þeirra Evrópuríkja sem eru hvað verndandi gagnvart friðhelgi einkalífs.

Síðast uppfært: 2026-05-15. Vísað er til laga eins og þau voru í gildi 15. maí 2026.

Frequently Asked Questions

Er Ísland land með samþykki eins aðila eða beggja aðila fyrir upptökur?

Ísland byggir á samþykki eins aðila fyrir upptökur þátttakanda. Sá sem er þátttakandi í samtali má taka það upp án þess að tilkynna hinum aðilanum um það. Þetta er staðfest af Persónuvernd með vísan til 228. gr. almennra hegningarlaga og undanþágu GDPR-reglugerðarinnar fyrir heimilisnotkun. Fyrir upptöku viðskiptasímtala er þó krafist tilkynningar í upphafi símtalsins samkvæmt opinberum leiðbeiningum Persónuverndar.

Má ég löglega taka upp símtal á Íslandi án þess að segja hinum aðilanum frá því?

Þú mátt taka upp símtal í eingöngu einkalegum eða fjölskyldutengdum tilgangi án þess að tilkynna hinum aðilanum um það. Þetta fellur undir undanþágu GDPR-reglugerðarinnar fyrir heimilisnotkun, sem staðfest var í ákvörðun Persónuverndar 2021101915. Hins vegar, ef þú deilir þeirri upptöku með einhverjum utan heimilis þíns, þar með talið að birta hana á netinu eða afhenda lögmanni, þarftu lagagrundvöll samkvæmt 6. gr. GDPR-reglugerðarinnar. Fyrir viðskiptasímtöl er tilkynning í upphafi símtalsins áskilin.

Hvað tekur 199. gr. a í hegningarlögum Íslands til?

199. gr. a, sem sett var 22. febrúar 2021, gerir það refsivert að útbúa, afla, deila eða birta myndir, myndbönd, texta eða sambærilegt efni sem sýnir nekt eða kynferðislega hegðun einhvers án samþykkis. Hún tekur berum orðum til gervigreindargerðs myndefnis (deepfakes; "falsaðs efnis"). Almenn refsing er sekt eða allt að fjögurra ára fangelsi. Að hóta að útbúa eða deila slíku efni varðar allt að eins árs fangelsi.

Hver eru viðurlögin við ólöglegri upptöku á Íslandi?

228. gr. almennra hegningarlaga tekur til almennra brota gegn friðhelgi einkalífs með viðurlögum sem eru sekt eða allt að eins árs fangelsi. 199. gr. a tekur til ósamþykkts nándarefnis með viðurlögum allt að fjórum árum. Stjórnvaldssektir frá Persónuvernd geta numið allt að 2,4 milljörðum króna (15,85 milljónum evra) eða 4% af árlegri heildarveltu á heimsvísu. Dagsektir allt að 200.000 krónum má leggja á fyrir áframhaldandi brot.

Má atvinnurekandi minn taka mig upp í vinnunni á Íslandi?

Atvinnurekendur mega aðeins stunda vöktun á vinnustað með gildum lagagrundvelli öðrum en samþykki starfsmanns. Persónuvernd hefur úrskurðað að starfsfólk geti ekki veitt gilt samþykki fyrir vöktun vegna eðlislægs valdaójafnvægis gagnvart atvinnurekanda sínum. Öll vöktun á vinnustað verður að vera tilkynnt starfsfólki fyrirfram, viðvörunarmerki verða að vera sett upp, og leynileg vöktun er bönnuð nema dómari úrskurði um hana. Nokkur íslensk fyrirtæki hafa verið sektuð fyrir brot á þessum reglum.

Gildir GDPR-reglugerðin um upptökulög á Íslandi þótt Ísland sé ekki í ESB?

Já. Ísland er hluti af Evrópska efnahagssvæðinu (EES), og GDPR-reglugerðin var innleidd í íslenskan rétt með lögum nr. 90/2018 í gegnum ákvörðun sameiginlegu EES-nefndarinnar nr. 154/2018. Persónuvernd framfylgir GDPR-reglugerðinni með sömu valdheimildum og eftirlitsstjórnvöld í aðildarríkjum ESB. Allar meginreglur GDPR-reglugerðarinnar, þar með taldar kröfur um samþykki, réttindi hins skráða og viðurlagaákvæði, gilda að fullu á Íslandi.

Er löglegt að taka upp lögregluna á Íslandi?

Já. Lögreglan á höfuðborgarsvæðinu staðfesti í opinberri yfirlýsingu árið 2015 að ekkert lagalegt bann sé við því að almenningur taki upp störf lögreglu á opinberum stað. Stjórnarskrárvarinn réttur til tjáningarfrelsis samkvæmt 73. gr. stjórnarskrár Íslands styður þessa afstöðu. Þú mátt ekki hindra störf lögreglumannsins eða fara inn á lokað svæði til að ná upptökunni. Að birta upptöku af auðkennanlegum vegfarendum sem tengjast ekki atvikinu krefst sérstaks lagagrundvallar samkvæmt GDPR-reglugerðinni.

Gildir gervigreindarreglugerð ESB á Íslandi?

Ekki enn. Gervigreindarreglugerð ESB (reglugerð (ESB) 2024/1689) tók gildi 1. ágúst 2024, en frá og með maí 2026 hafði hún ekki verið formlega tekin upp í EES-samninginn með ákvörðun sameiginlegu EES-nefndarinnar. Ísland tekur þátt sem áheyrnaraðili í störfum gervigreindarráðs ESB en er ekki beint bundið af reglugerðinni. Íslensk fyrirtæki sem bjóða þjónustu til íbúa ESB kunna að falla undir hana með útvíkkuðu gildissviði samkvæmt viðmiðum reglugerðarinnar.

Er löglegt að taka upp einhvern á opinberum stað á Íslandi?

Upptaka á opinberum stöðum er almennt heimil, en birting eða dreifing upptöku af auðkennanlegum einstaklingum krefst lagagrundvallar samkvæmt lögum nr. 90/2018. Mannfjöldamyndir á opinberum viðburðum krefjast að jafnaði ekki samþykkis einstaklinga, en upptökur þar sem tiltekinn einstaklingur er í brennidepli krefjast að jafnaði samþykkis fyrir birtingu. Börn njóta aukinnar verndar, og upptökur sem innihalda GPS-lýsigögn ættu að vera hreinsaðar af þeim gögnum fyrir deilingu.

Hverjar eru reglurnar um upptökur yfir landamæri sem varða Ísland?

Ábyrgðaraðili með staðfestu á Íslandi sem tekur upp símtal við aðila utan EES verður að fylgja GDPR-skyldum Íslands, þar með talið kröfunni um lagagrundvöll. Flutningur upptaka út fyrir EES krefst verndarráðstafana samkvæmt V. kafla GDPR-reglugerðarinnar á borð við stöðluð samningsákvæði. Ef hringt er í einhvern í lögsagnarumdæmi þar sem krafist er samþykkis beggja aðila, eins og Kaliforníu, uppfyllir tilkynning til allra aðila í upphafi símtalsins bæði tilkynningarskyldu Íslands og samþykkiskröfu hins lögsagnarumdæmisins.