Afhending Felix-skráar á Taekwondo-móti

Ákvörðun

Þann 22. júní 2011 tók stjórn Persónuverndar eftirfarandi ákvörðun í máli nr. 2011/408:


Þann 31. maí 2010 barst Persónuvernd kvörtun S, hér eftir nefnd kvartandi, dags. 23. mars 2011. Hún kvartar yfir því að A hafi afhent um sig persónuupplýsingar, þ.e. upplýsingar úr sk. Felix-skrá, til mótsstjóra á Íslandsmótinu í Taekwondo. Í kvörtuninni segir m.a.:

„Hún sást, á íslandsmótinu í Taekwondo laugardaginn 19. mars 2011, afhenda mótsstjóra Felix skrána mína (Félagaskrá ÍSÍ og UMFÍ). Ef þess þarf þá eru þessi vitni tilbúin að staðfesta þetta. Ég fékk það staðfest frá  [R] hjá ÍSÍ að aðeins ég og minn yfir þjálfari eigum að hafa aðgang að þessum gögnum frá Felix. Í fyrsta lagi þá vissi ég ekki af þessari síðu og hvorki ég né minn þjálfari höfum stofnað aðgang. En til þess að stofna aðgang þarf eingöngu kennitölu og þessi kona og aðrir aðilar innan TKÍ hafa hana. [R] frá ÍSÍ sagðist getað fundið IP töluna hjá þeim sem fóru inn á þessa síðu þannig að þið hafið samband við hana til að sjá hverjir það voru sem skráðu mig inn. Netfangið sem er skráð hjá Felix er rangt og ég kannast ekki við það. Ég læt það fylgja með.“

Með bréfi, dags. 29. mars 2011, veitti Persónuvernd A færi á að koma á framfæri athugasemdum vegna framkominnar kvörtunar, áður en stofnunin tæki afstöðu til þess hvort málið heyrði undir valdssvið stofnunarinnar. Var þá sérstaklega spurt hvort rétt væri að hún hefði afhent mótsstjóra framangreind gögn og ef svo væri, hver hefði verið tilgangur þess og hvernig hún hefði fengið aðgang að umræddum gögnum.

Svarbréf A, dags. 6. apríl 2011, barst Persónuvernd þann 8. apríl s.á. Þar segir:

„Ég, [A], afhenti mótsstjóra Íslandsmótsins í Taekwondo ekki umrædda skrá og meðfylgjandi er undirrituð staðfesting [K] , mótsstjóra Íslandsmótsins í Taekwondo þess efnis.“

Með bréfi hennar fylgdi einnig staðfesting mótsstjóra, K, þar sem fram kom að framangreind afhending hefði ekki átt sér stað.

Með bréfi, dags. 11. apríl 2011, var kvartanda tilkynnt um að Persónuvernd teldi ekki tilefni til að aðhafast frekar vegna málsins nema að stofnuninni bærust ný gögn í málinu af hálfu kvartanda. Þann 16. apríl 2011 barst stofnuninni svarbréf kvartanda en þar segir:

„Ég hélt ég hafði sent það áður með kvörtuninni en, ég er með tvo menn sem voru vitni að því að hún hafi afhent mótstjóranum þessi umrædd gögn. Ég tek það fram að enginn annar en ég og minn þjálfari eiga að hafa aðgang að þessum gögnum. Ég er búin að fá staðfestingu frá ÍSÍ varðandi það. [...] Umrædd vitni eru tilbúin að skrifa undir yfirlýsingu sem staðfestir það að þeir hafi verið vitni að afhendingu þessa gagna milli [A] og [K]. Ég vildi bara koma þessu sem fyrst til ykkar þannig að þið gætuð skoðað afhverju hún neitar þessu og afhverju mótsstjórinn staðfestir það. Einnig vil ég taka fram að [A] og [K] æfa saman í Ármann.“

Þann 28. apríl 2011 bárust Persónuvernd yfirlýsing D, dags. 25. apríl 2011, en þar segir:

„Ég hér með staðfesti að ég, [D], kt. [...] sá [A], kt. [...], afhenda [K], mótsstjóra Íslandsmótsins í Taekwondo, Felix skrá [S] , kt. [...], á Íslandsmótinu sem átti sér stað 19. mars 2011.“

Þann 10. maí 2011 hafði starfsmaður Persónuverndar einnig samband við starfsmann Íþróttasambands Íslands. Í símtalinu kom m.a. fram að engar viðkvæmar upplýsingar væru skráðar í Felix-skrána heldur eingöngu félagaupplýsingar, t.d. í hvaða félögum viðkomandi hefði verið og virkni, þ.e. hvenær gengið hefði verið í félag og úr því. Þá væru einnig skráðar almennar lýðskrárupplýsingar með beintengingu við Þjóðskrá auk tölvupóstfangs. Enn fremur kom fram að nú væri stefnt að því að auka öryggi við vinnsluna þannig að ekki nægði lengur að vita kennitölu viðkomandi. Ef breytingin yrði gerð á framkvæmd við skráningu í Felix yrði lykilorð sent í heimabanka viðkomandi félagsmanns.  
 
Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Af athugasemdum við 2. tölul. 2. gr. er fylgdu frumvarpi því er varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Samkvæmt framansögðu telst skráning í Felix-skrá ÍSÍ og UMFÍ, og afhending persónuupplýsinga um S, í tengslum við Íslandsmótið í Taekwondo, vera vinnsla persónuupplýsinga. Fellur mál þetta þannig undir ákvæði laga nr. 77/2000 og verkefnasvið Persónuverndar.

Persónuvernd hefur rannsakað mál þetta með þeim úrræðum sem henni eru búin að lögum. Það er ekki á hennar  valdi að rannsaka það frekar s.s. með því að fá upplýsingar um hvaða ip-tala stóð að baki umræddri færslu og upplýsa hvaða einstaklingur sé skráður fyrir henni. Slíkt er aðeins á valdi lögreglu að undangengnum dómsúrskurði. Eins og mál þetta liggur fyrir er ekki hægt að slá því föstu hver hafi skráð persónuupplýsingar um kvartanda í hina svokölluðu Felix-skrá, án samþykkis kvartanda. Með vísan til þess, og þeirra aðgerða sem Íþróttasamband Íslands hyggst grípa til til að auka öryggi vinnslunnar, er málinu lokið af hálfu Persónuverndar.