Úrskurður vegna miðlunar Umhverfisstofnunar á veiðileyfahafaskrá

28.12.2010

 

Úrskurður

Á fundi stjórnar Persónuverndar hinn 7. desember 2010 var kveðinn upp svohljóðandi úrskurður í máli nr. 2010/520:

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 8. júní 2010 barst Persónuvernd kvörtun frá E (hér eftir nefndur kvartandi) yfir miðlun persónuupplýsinga um sig frá Umhverfisstofnun til Ó sem fékk þær í þágu beinnar markaðssetningar. Nánar til tekið var um að ræða miðlun lista með nöfnum, heimilisföngum og póstnúmerum 1265 einstaklinga sem fengu úthlutað hreindýraveiðileyfi á árinu 2010. Í kjölfarið fékk kvartandi bréf frá Ó sem seldi ýmsa þjónustu fyrir hreindýraveiðimenn.

2.

Bréfaskipti

Með bréfi, dags. 9. júní 2010, var Umhverfisstofnun tilkynnt um kvörtunina, henni boðið að koma á framfæri andmælum sínum og óskað skýringa varðandi umrædda miðlun til þriðja aðila og þá hvernig að henni hefði verið staðið.

Svarbréf Umhverfisstofnunar, dags. 29. júní 2010, barst stofnuninni þann 2. júlí sl. Í því sagði m.a.:

„[...]

Umhverfisstofnun barst beiðni, dags. 3. maí 2010, um aðgang að gögnum tiltekins máls á grundvelli upplýsingalaga nr. 50/1996, sbr. fylgiskjal 1.

Umhverfisstofnun annast sölu veiðileyfa og eftirlit með hreindýraveiðum, sbr. 4. mgr. 14. gr. laga nr. 64/1994, um vernd, friðun og veiðar á villtum fuglum og spendýrum. Í skjalakerfi Umhverfisstofnunar er að finna sérstakt mál um úthlutun hvers árs á hreindýraveiðileyfum sem hefur að geyma upplýsingar um þá sem hafa fengið úthlutað veiðileyfi og jafnframt þá sem eru á biðlista eftir veiðileyfi.

Umhverfisstofnun tók ákvörðun, dags. 1. júní 2010, að verða við beiðninni á grundvelli 3. gr. upplýsingalaga nr. 50/1996, sbr. fylgiskjal 2. Umbeðin gögn voru send beiðanda með tölvupósti. Meðfylgjandi er útprentun af gögnunum, sbr. fylgiskjal 3.

Umhverfisstofnun telur að í þessu tilviki sé ekki um að ræða miðlun viðskiptamannaskrár til þriðja aðila í tengslum við markaðssetningarstarfsemi heldur hafi stofnunin veitt beiðandi aðgang að gögnum máls á grundvelli upplýsingalaga.“

Með bréfi, dags. 16. júlí 2010, var Ó tilkynnt um kvörtunina og honum boðið að koma sínum skýringum á framfæri. Hann hafði samband við Persónuvernd þann 23. júlí og greindi frá því að umræddur listi hefði einnig verið aðgengilegur á heimasíðu Umhverfisstofnunar. Hann hefði hins vegar fengið hann sendan frá Umhverfisstofnun. Bréf eða frekari svör bárust ekki.

Með bréfi, dags. 15. september 2010, óskaði Persónuvernd nánari skýringa Umhverfisstofnunar um það með hvaða hætti gætt hafi verið ákvæða 5. mgr. 28. gr. laga nr. 77/2000 þegar umræddum persónuupplýsingum var miðlað í þágu markaðssetningar.

Þann 11. október 2010 barst tölvubréf frá kvartanda þar sem m.a. sagði:

„Ég hef ekki beðið Þjóðskrá um að setja mig á svonefnda bannskrá. Það breytir því ekki að ég fékk ekki tækifæri til að hafna því að fá þennan póst eftir öðrum leiðum. Ég tel að það að senda einhverjum upplýsingar um það hverjir séu veiðimenn og skotvopnaeigendur megi túlka sem viðkvæmar persónuupplýsingar. Ég kæri mig ekki um að óviðkomandi sé kunnugt um að ég hafi skotvopnaleyfi og eigi skotvopn á mínu heimili. Mín skoðun er að upplýsingar um skotvopnaeign séu viðkvæmar upplýsingar. Hreindýraveiðimenn eiga eða eru handhafar riffla sem eru stærri en .243 (6 mm), annars fengju þeir ekki úthlutað leyfi. Fyrir óprúttna aðila gætu þetta verið gagnlegar upplýsingar.
Þessar upplýsingar ætti að mínu mati að meðhöndla á sambærilegan hátt og skotvopnaskrá lögreglunnar. Hún er tæplega aðgengileg almenningi eða markaðsfyrirtækjum. Ef fyrirtækjum er heimilt að fá upplýsingar um úthlutuð veiðileyfi án athugasemda eiga þau væntanlega sömuleiðis að geta fengið lista yfir alla veiðikorthafa sem eru um 20.000 talsins“.

Með bréfi, dags. 27. október 2010, ítrekaði Persónuvernd ósk sína um svör frá Umhverfisstofnun og veitti viðbótarfrest til 10. nóvember 2010. Engin svör bárust og þann 25. nóvember sl. hafði starfsmaður Persónuverndar samband við Umhverfisstofnun símleiðis. Var greint frá því að málið yrði á dagskrá stjórnar 7. desember 2010 og var stofnuninni gefinn kostur á að koma á framfæri frekar svörum fyrir þann tíma. Engin svör bárust.

II.

Forsendur og niðurstaða

1.

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga,

Í 1. mgr. 3. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er gildisvið laganna, og um leið valdsvið Persónuverndar, afmarkað svo: „Lögin gilda um sérhverja rafræna vinnslu persónuupplýsinga. Lögin gilda einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá.“ „Persónuupplýsingar“ eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. „Vinnsla“ er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af framangreindu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga í skilningi laga nr. 77/2000 og fellur því undir úrskurðarvald Persónuverndar að leysa úr því hvort vinnslan hafi samrýmst ákvæðum laga nr. 77/2000.

2.

Lög um persónuvernd gera ráð fyrir sérstökum og ríkum andmælarétti hins skráða gegn notkun persónuupplýsinga um hann í tengslum við markaðssetningarstarfsemi. Þessi réttur kemur fram í 28. gr. laganna og er ekki háður því að hinn skráði tilgreini sérstakar ástæður. Ákvæði 28. gr. er sett með hliðsjón af 14. gr. tilskipunar 95/46/EB og ber að skýra í því ljósi. Samkvæmt því ákvæði tilskipunarinnar á hinn skráði rétt til að vita af því ef persónuupplýsingar um hann eru fengnar þriðju aðilum, eða notaðar fyrir þeirra hönd, vegna beinnar markaðssetningar. Á hann rétt á að fá skýrt tilboð um að andmæla slíkri miðlun.

Um þá sem t.d. vinna markhópa og annast úrtaksgerð og límmiðaprentun samkvæmt samningi við Þjóðskrá fer að 2. mgr. 28. gr. um samkeyrslu við Bannskrá Þjóðskrár Íslands. Um þá sem miðla félaga-, starfsmanna- eða viðskiptamannaskrám til nota í slíkum tilgangi gildir hins vegar ákvæði 5. mgr. 28. gr. Sú skrá sem mál þetta varðar, og Umhverfisstofnun afhenti í þágu markaðssetningar, hefur að geyma nöfn manna sem höfðu leitað til stofnunarinnar, óskað veiðileyfis og fengið slíkt leyfi frá henni. Við mat á því hvort um viðskiptamannaskrá hafi verið að ræða í skilningi 5. mgr. þarf m.a. líta til 1. gr. laganna um markmið þeirra. Telja verður í ljósi þess ákvæðis að túlka verði ákvæði 5. mgr. rúmt til að verndarmarkmið þess náist. Að framangreindu virtu telur Persónuvernd að um hafi verið að ræða skrá er jafna megi til viðskiptamannaskrár í skilningi 5. mgr. 28. gr.

Samkvæmt 5. mgr. 28. gr. er ábyrgðaraðila heimilt að afhenda félaga-, starfsmanna- eða viðskiptamannaskrár til nota í tengslum við markaðssetningarstarfsemi ef skilyrði ákvæðisins eru uppfyllt. Þar á meðal eru þau skilyrði að hinum skráðu hafi, áður en afhending fór fram, verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um viðkomandi birtist á hinni afhentu skrá. Einnig að kannað hafi verið hvort einhver hinna skráðu hafi komið andmælum á framfæri við Þjóðskrá Íslands og þá eytt upplýsingum um viðkomandi áður en hann lét skrána af hendi. Skyldan hvílir á ábyrgðaraðila. Það hugtak er skilgreint í 4. tölul. 2. gr. laganna sem sá aðili sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Í ljósi þessa telst Umhverfisstofnun hafa verið sá aðili.

Þegar hinum skráðu er gefinn kostur á að andmæla því að upplýsingar um þá verði á afhentri skrá skal gera það með skýrum hætti. Er þá m.a litið til þess að framangreindum tölulið var ætlað að lögtaka ákvæði b-liðar 1. mgr. 14. gr. framangreindrar tilskipunar um rétt hins skráða til að fá skýrt tilboð um að nýta rétt sinn til andmæla áður en persónuupplýsingar eru fengnar þriðja aðila vegna beinnar markaðssetningar. Ekki liggur fyrir að það hafi verið gert en bent er á að slíkt mætti t.d. gera þannig að þegar menn fylli út umsókn um veiðileyfi verði þeim um leið veitt færi á að koma slíkum andmælum á framfæri.

Með vísun til alls framangreinds er það niðurstaða Persónuverndar að Umhverfisstofnun hafi borið að gefa kvartanda kost á því að andmæla því að upplýsingum um hann yrði miðlað í þágu markaðssetningarstarfsemi. Þar sem það var ekki gert var umrædd miðlun stofnunarinnar óheimil.

Ú r s k u r ð a r o r ð:

Umhverfisstofnun bar að gefa E kost á að andmæla því að hún miðlaði upplýsingum um hann til Ó í þágu markaðssetningar.