Afgreiðsla Lögreglunnar á höfuðborgarsvæðinu á beiðni um eyðingu persónuupplýsinga

Mál nr. 2021091751

2.1.2024

Ákvörðun

Hinn 14. desember 2023 tók stjórn Persónuverndar svohljóðandi ákvörðun í máli nr. 2021091751, vegna kvörtunar yfir varðveislu Lögreglunnar á höfuðborgarsvæðinu á persónuupplýsingum og töfum á svörum vegna beiðni um eyðingu upplýsinga:

I.

Málsmeðferð

Hinn 10. september 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir því að Lögreglan á höfuðborgarsvæðinu (hér eftir LRH) hefði varðveitt persónuupplýsingar hans eftir að rannsókn á hendur honum hjá embættinu var felld niður. Einnig laut kvörtunin að því að beiðni hans um eyðingu gagna hefði ekki verið svarað af hálfu LRH innan tilhlýðilegs tíma.

Í kvörtuninni kemur fram að við rannsókn LRH á hendur kvartanda hafi verið afrituð gögn af raftækjum í hans eigu, þ.e. af síma og tölvu. Ýmsum trúnaðargögnum hafi verið safnað af tækjunum sem hafi ekki haft þýðingu við rannsóknina. Kvartandi vísar til þess að eftir að rannsókn á hendur honum var hætt hafi hann sent LRH beiðni, dags. 28. júlí 2021, þar sem hann óskaði eftir því að þeim persónuupplýsingum sem varðveittar væru um hann yrði eytt og honum sendur listi yfir þá sem hefðu haft aðgang að þeim. Í kvörtuninni kemur jafnframt fram að kvartandi hefði fengið svör frá LRH um að erindi hans yrði svarað en hann hefði hins vegar ekki enn fengið efnislegt svar.

Persónuvernd bauð LRH að tjá sig um kvörtunina með bréfi, dags. 4. október 2021. Í svari LRH, dags. 26. s.m., segir að persónuupplýsingum um kvartanda sem aflað var í þágu rannsóknarinnar hafi þegar verið eytt að undanskildum 80 upptökum sem fundist hefðu í síma hans og hefðu sérstaklega verið merktar sem sönnunargögn. Einnig segir að kvartanda hafi verið tilkynnt um framangreint með bréfi, dags. 16. september s.á.

Í ljósi þess að LRH hafði þegar fallist á beiðni kvartanda um eyðingu upplýsinganna var með bréfi, dags. 12. nóvember 2021, óskað eftir afstöðu kvartanda til þess hvort enn væri fyrir hendi ágreiningur, sem óskað væri úrlausnar Persónuverndar á, og þá í hverju sá ágreiningur fælist. Í svari kvartanda, dags. 3. desember s.á., lýsti hann því sjónarmiði sínu að enn væri til staðar ágreiningur sem fælist í því að hann hefði þurft að óska eftir því að persónuupplýsingum um hann, sem hefðu verið rannsókninni óviðkomandi, yrði eytt í stað þess að þeim hefði verið eytt að frumkvæði LRH. Auk þess hefði beiðnum hans um eyðingu upplýsinganna ekki verið svarað innan tilhlýðilegs tíma.

Með bréfi, dags. 24. ágúst 2022, ítrekuðu með bréfi, dags. 3. október s.á., óskaði Persónuvernd upplýsinga frá LRH varðandi ástæður tafa sem urðu á afgreiðslu erindis kvartanda og afstöðu LRH til þess hvort þær tafir hefðu verið óþarfar, í skilningi 2. mgr. 14. gr. laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi. Svar barst með bréfi LRH, dags. 19. október s.á. Í svarbréfinu kemur fram að kvartandi hafi óskað eftir eyðingu upplýsinganna með tölvupósti, dags. 28. júlí 2021, og hafi erindi hans verið afgreitt með bréfi, dags. 16. september s.á. Fram kemur að LRH hafi fallist á beiðni hans um eyðingu upplýsinganna að undanskildum tilteknum upptökum sem taldar hefðu verið sönnunargögn í málinu og lögreglu þar af leiðandi skylt að varðveita þær.

Þá vísar LRH til þess að við rannsókn sakamálsins hafi ekki verið vitað hvort öll rafræn gögn hefðu vægi. Þegar málinu hefði verið lokið og kærufrestur runninn út hefði verið tekin afstaða til vægis gagnanna. Það sé mat embættisins að sá tími sem leið frá beiðni kvartanda og þar til gögnunum var eytt hafi ekki verið óþarfur, en gögnunum hafi verið eytt eins fljótt og verða mátti. Þá hafi sumarleyfi og veikindi starfsfólks haft áhrif á afgreiðslu erindisins.

Með bréfi, dags. 19. desember 2022, var kvartanda veittur kostur á að tjá sig um framkomin svör LRH og barst svar kvartanda með tölvupósti 3. janúar 2023. Í svari kvartanda eru ítrekaðar fyrri athugasemdir þess efnis að LRH hefði borið að eyða persónuupplýsingum hans að eigin frumkvæði þegar rannsókninni hefði verið hætt, auk þess sem gerðar eru athugasemdir við tafir á afgreiðslu beiðni hans.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi ákvörðun.

II.

Niðurstaða

1.
Lagaumhverfi

Mál þetta lýtur að því hvort LRH hafi borið að eyða, að eigin frumkvæði, persónuupplýsingum um kvartanda, sem var aflað í tengslum við rannsókn sakamáls hjá embættinu, og hvort tafir á afgreiðslu erindis kvartanda hafi brotið gegn réttindum hans.

Um vinnslu persónuupplýsinga hjá lögbærum yfirvöldum sem fram fer í löggæslutilgangi gilda lög nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, sbr. 1. mgr. 3. gr. laganna. Lögbært yfirvald er skilgreint í 11. tölul. 2. gr. laganna sem opinbert yfirvald sem ber ábyrgð á eða er falið það hlutverk að lögum að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi. Lögregluembættin eru sérstaklega skilgreind sem lögbær yfirvöld samkvæmt ákvæðinu. Varðar mál þetta því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 75/2019 og þar með valdsvið Persónuverndar, sbr. 1. mgr. 30. gr. sömu laga.

LRH telst vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem kvörtun lýtur að, samkvæmt lögum nr. 75/2019.

Í 4. gr. laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, segir að við vinnslu persónuupplýsinga skuli gæta að öllum meginreglum ákvæðisins, sem kveða meðal annars á um að persónuupplýsingar séu unnar með lögmætum og sanngjörnum hætti og að vinnsla sé lögbæru yfirvaldi nauðsynleg vegna verkefna í löggæslutilgangi, sbr. a-lið 1. mgr. ákvæðisins, og að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á skráða einstaklinga lengur en þörf krefur miðað við tilgang vinnslunnar, sbr. e-lið 1. mgr. ákvæðisins. Þá segir í 1. mgr. 14. gr. laganna að um varðveislu persónuupplýsinga fari eftir lögum um persónuvernd og vinnslu persónuupplýsinga og lögum um opinber skjalasöfn. Í 2. mgr. sama ákvæðis segir að hinn skráði eigi rétt til að fá persónuupplýsingum, er hann varða, eytt án óþarfa tafar ef í ljós kemur að vinnsla þeirra hafi brotið gegn 4. eða 6. gr. sömu laga, þar sem fjallað er um meginreglur um vinnslu persónuupplýsinga og vinnslu viðkvæmra persónuupplýsinga og notkun persónusniða, eða ef ábyrgðaraðila er skylt að lögum að eyða upplýsingunum. Í athugasemdum við 2. mgr. ákvæðisins í greinagerð með frumvarpinu segir að í ljósi meginreglu íslensks réttar um varðveislu skjala, samkvæmt lögum um persónuvernd og lögum um opinber skjalasöfn nr. 77/2014, verði að telja að skýra beri þessa undantekningu um eyðingu upplýsinga nokkuð þröngt þannig að hún leiði ekki til eyðingar skjala sem eru afhendingarskyld til opinbers skjalasafns.

LRH telst afhendingarskyldur aðili í skilningi 3. tölul. 1. mgr. 14. gr. laga nr. 77/2014 og ber að afhenda Þjóðskjalasafni Íslands skjöl sín, sbr. 4. mgr. sömu greinar. Hins vegar teljast þau gögn sem haldlögð hafa verið en síðar kemur í ljós að tengjast ekki viðkomandi máli ekki hluti af skjalasafni afhendingarskylds aðila. Þau gögn falla því ekki undir lög um opinber skjalasöfn.

Samkvæmt 1. mgr. 20. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, á hinn skráði rétt á að ábyrgðaraðili eyði persónuupplýsingum um hann án ótilhlýðilegrar tafar samkvæmt nánari skilyrðum 16.-19. gr. reglugerðar (ESB) 2016/679. Í a-lið 1. mgr. 17. gr. reglugerðarinnar er kveðið á um að skráður einstaklingur skuli eiga rétt á að ábyrgðaraðilinn eyði persónuupplýsingum er hann varða án ótilhlýðilegrar tafar og er ábyrgðaraðilanum skylt að eyða persónuupplýsingunum án ótilhlýðilegrar tafar ef upplýsingarnar eru ekki lengur nauðsynlegar í þeim tilgangi sem lá að baki söfnun þeirra eða annarri vinnslu þeirra.

Í 17. gr. laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi er svo að finna tilkynningarskyldu ábyrgðaraðila gagnvart hinum skráða en þar segir að í þeim tilvikum þegar beiðni hins skráða um leiðréttingu, eyðingu eða takmörkun á vinnslu persónuupplýsinga er synjað, að hluta eða öllu leyti, beri ábyrgðaraðila að tilkynna hinum skráða um synjunina auk ástæðna fyrir henni.

Samkvæmt 18. gr. sömu laga skal ábyrgðaraðili enn fremur gera viðeigandi ráðstafanir sem taka mið af eðli, umfangi, samhengi og tilgangi vinnslunnar sem og réttindum hins skráða til að tryggja og sýna fram á að vinnsla persónuupplýsinga uppfylli kröfur laganna.

2.

Lögmæti vinnslu

Í málinu liggur fyrir að þeim persónuupplýsingum um kvartanda, sem aflað var í þágu rannsóknar sakamáls en síðar kom í ljós að hefðu ekki þýðingu fyrir málið, hefur þegar verið eytt. Ágreiningur er hins vegar um hvort LRH hafi borið að eyða persónuupplýsingum um kvartanda að eigin frumkvæði og hvort tafir á afgreiðslu erindis kvartanda hafi brotið gegn réttindum hans.

Líkt og að framan greinir á hinn skráði rétt á að fá persónuupplýsingum er hann varðar eytt án óþarfa tafar ef í ljós kemur að vinnsla þeirra hefur brotið gegn 4. eða 6. gr. laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, eða ef ábyrgðaraðila er skylt að lögum að eyða upplýsingunum, sbr. 2. mgr. 14. gr. laganna.

Í málinu liggur fyrir að rannsókn LRH á hendur kvartanda lauk 26. maí 2021. Ákvörðun LRH um að hætta rannsókn málsins var ekki kærð til ríkissaksóknara á grundvelli 6. mgr. 52. gr. laga nr. 88/2008 um meðferð sakamála og taldist málinu því lokið mánuði síðar, eða 26. júní s.á. Í svörum LRH hefur komið fram að þeim persónuupplýsingum kvartanda sem ekki voru hluti af rannsókn málsins hafi verið eytt að beiðni saksóknara 14. september s.á., eða um tveimur og hálfum mánuði eftir að málinu lauk. Þá liggur fyrir í gögnum málsins að kvartandi var upplýstur um það með tölvupósti 3. og 10. ágúst 2021 að erindi hans væri til afgreiðslu hjá ákærusviði. Kvartandi var einnig upplýstur um það með tölvupósti, dags. 27. s.m. og 10. september s.á., að vegna ófyrirséðra atvika myndi dragast að afgreiða erindi hans þar sem beðið væri eftir ákveðnum upplýsingum. Þá hefur komið fram af hálfu LRH að þeim gögnum sem ekki voru talin til sönnunargagna og urðu þar með ekki hluti af viðkomandi máli hafi verið eytt eins fljótt og verða mátti en jafnframt hafi sumarleyfi og veikindi starfsfólks haft áhrif á afgreiðslutímann. Loks var kvartanda tilkynnt, með bréfi LRH dags. 16. september 2021, að beiðni hans um eyðingu gagna hefði verið synjað að hluta sem og um ástæðu þess, í samræmi við 17. gr. laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi.

Eins og hér háttar til og með vísan til alls framangreinds er það niðurstaða Persónuverndar að persónuupplýsingum kvartanda hafi verið eytt án ótilhlýðilegrar tafar. Það er enn fremur niðurstaða Persónuverndar að ekki hafi orðið tafir á afgreiðslu erindis kvartanda samkvæmt þeim ákvæðum laganna sem hér hafa verið rakin. Vinnsla LRH á persónuupplýsingum kvartanda var því í samræmi við lög nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi.

Á k v ö r ð u n a r o r ð:

Varðveisla Lögreglunnar á höfuðborgarsvæðinu á persónuupplýsingum [A] og afgreiðsla á beiðni hans um eyðingu persónuupplýsinga samrýmdist lögum nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi.

Persónuvernd, 14. desember 2023

Ólafur Garðarsson
formaður

Árnína Steinunn Kristjánsdóttir                Björn Geirsson

Vilhelmína Haraldsdóttir