Notkun Reykjavíkurborgar og rannsakenda við Háskóla Íslands á persónuupplýsingum frá Þjóðskrá Íslands fyrir sveitarstjórnarkosningarnar í maí 2018

Mál nr. 2018/831

7.2.2019

Ákvörðun

Á fundi stjórnar Persónuverndar 31. janúar 2019 var tekin eftirfarandi ákvörðun í máli nr. 2018/831:

I.

Málsmeðferð

Ákvörðun þessi er niðurstaða Persónuverndar í frumkvæðisathugunarmáli stofnunarinnar gagnvart Reykjavíkurborg, Hagstofu Íslands, [A], lektor við Háskóla Íslands, [B], lektor við Háskóla Íslands, og Þjóðskrá Íslands vegna vinnslu persónuupplýsinga úr kjörskrá fyrir sveitarstjórnarkosningarnar 26. maí 2018.

1.

Tildrög málsins

Persónuvernd barst erindi frá Reykjavíkurborg, dagsett 3. maí 2018, þar sem óskað var eftir heimild Persónuverndar til að senda smáskilaboð á þá kjósendur sem kusu í fyrsta sinn í sveitarstjórnarkosningum þá um vorið, til að upplýsa þá um staðsetningu kjörstaðar og fyrirkomulag kosninga. [C], mannréttindastjóri Reykjavíkurborgar, [A], lektor við Háskóla Íslands, og [B], lektor við Háskóla Íslands, voru skrifuð fyrir bréfinu. Í erindinu kom fram að þetta væri liður í aðgerðum til að auka kosningaþátttöku tiltekinna hópa sem hefðu í undanförnum kosningum átt undir högg að sækja með tilliti til kjörsóknar. Reykjavíkurborg og rannsakendur við Háskóla Íslands myndu samhliða átakinu framkvæma rannsókn til að meta áhrifaþætti sem skipta máli fyrir kjörsókn. Í samstarfinu yrði lögð sérstök áhersla á kosningaþátttöku þeirra sem þá hefðu kosningarrétt í fyrsta sinn þar sem þátttaka yngstu kjósenda hefði farið lækkandi. Í erindinu var tekið fram að Reykjavíkurborg og rannsakendur teldu sérstaklega mikilvægt að aðstoða nýja kjósendur við að nálgast upplýsingar um fyrirkomulag kosninga. Því yrðu send út bréf með upplýsingum um hvar ætti að kjósa. Til að einfalda hverjum kjósanda að finna upplýsingar um sinn kjörstað og kjördeild væri þó mikilvægt að senda upplýsingarnar einnig rafrænt á kjósendur. Með smáskilaboðum yrði sendur hlekkur á upplýsingasíðu þar sem hver kjósandi gæti séð sinn kjörstað og kjördeild. Texti smáskilaboðanna yrði ákveðinn af Reykjavíkurborg og rannsakendum sameiginlega og þess gætt að ekki mætti túlka innihaldið sem hvatningu til að kjósa á tiltekinn hátt.

Persónuvernd svaraði framangreindu erindi með bréfi, dagsettu 14. maí 2018. Benti stofnunin á að sú vinnsla persónuupplýsinga sem um ræddi væri ekki leyfisskyld samkvæmt ákvæðum þágildandi persónuverndarlaga nr. 77/2000. Í bréfi Persónuverndar voru einnig leiðbeiningar um að öll vinnsla persónuupplýsinga, samkvæmt lögunum, þyrfti að styðjast við einhverja þá heimild sem greindi í 1. mgr. 8. gr. þeirra og væri um viðkvæmar persónuupplýsingar að ræða þyrfti vinnslan einnig að uppfylla eitthvert þeirra skilyrða sem greindi í 1. mgr. 9. gr. laganna. Hvað umrædda vinnslu varðaði væri helst að líta til 5. töluliðar 1. mgr. 8. gr. laga nr. 77/2000, sem heimilaði vinnslu persónuupplýsinga væri hún nauðsynleg vegna verks sem unnið væri í þágu almannahagsmuna. Þá var það áréttað að það væri hlutverk ábyrgðaraðila, þ.e. Reykjavíkurborgar í þessu tilviki, að gæta að því að vinnslan fullnægði grunnkröfum 7. gr. laganna um gæði gagna og vinnslu. Í bréfi Persónuverndar var jafnframt farið yfir ákvæði þágildandi persónuverndarlaga um fræðslu- og viðvörunarskyldu ábyrgðaraðila, sem áttu að tryggja einstaklingum rétt til upplýsinga um þá vinnslu sem fram fór um persónuupplýsingar þeirra. Var sérstaklega vísað til 21. gr. laganna sem kvað á um fræðsluskyldu þegar upplýsinga væri aflað hjá öðrum en skráðum einstaklingum sjálfum og tekið fram að það ákvæði gæti átt við væri það ætlun Reykjavíkurborgar að afla upplýsinga frá Þjóðskrá Íslands. Loks var í bréfinu umfjöllun um ákvæði þágildandi persónuverndarlaga um markaðssetningar­starfsemi.

Síðar sama dag, 14. maí 2018, var áréttað í símtali milli starfsmanns Persónuverndar og [C], mannréttindastjóra Reykjavíkurborgar, að framangreint svar Persónuverndar ætti aðeins við um þá vinnslu persónuupplýsinga sem í erindi Reykjavíkurborgar greindi, þ.e. um beiðni Reykjavíkurborgar um heimild til þess að senda nýjum kjósendum smáskilaboð með upplýsingum um staðsetningu kjörstaðar og fyrirkomulag kosninga, með hlekk á tilgreinda upplýsingasíðu. Í símtalinu kom fram að Persónuvernd hefðu verið veittar takmarkaðar upplýsingar með framangreindu erindi Reykjavíkurborgar. Nánar tiltekið greindi mannréttindastjóri Reykjavíkurborgar frá því í símtalinu að auk smáskilaboðanna stæði til að senda ungum kjósendum fjögur mismunandi bréf, þ.e. með mismunandi skilaboðum um nýfenginn kosningarrétt. Upplýsingar um hvaða bréf yrðu send á hvaða hverfi borgarinnar yrðu sendar frá Reykjavíkurborg og notaðar með upplýsingum frá Hagstofu Íslands, eftir kosningar, um kosningaþátttöku ungra kjósenda milli mismunandi hverfa. Þessar upplýsingar yrðu keyrðar saman og unnar sem hluti af rannsókn á vegum Háskóla Íslands. Með vísan til þeirra upplýsinga sem fram komu í símtalinu sendi Persónuvernd annað bréf til Reykjavíkurborgar þann sama dag og óskaði eftir því að stofnuninni yrðu send öll þau mismunandi bréf sem fyrirhugað væri að senda á unga kjósendur í Reykjavík fyrir komandi kosningar og öll önnur gögn sem málið vörðuðu. Þá óskaði Persónuvernd eftir upplýsingum um hvert fyrirhugað væri að senda hvert af framangreindum fjórum bréfum.

Í frétt á vef Ríkisútvarpsins 15. maí 2018 kom fram að auk smáskilaboða og bréfsendinga til ungra kjósenda ráðgerði Reykjavíkurborg aðgerðir til að auka kosningaþátttöku innflytjenda og kvenna yfir áttrætt. Þeim hópum yrðu þó ekki send smáskilaboð.

Reykjavíkurborg sendi Persónuvernd bréf, dagsett 17. maí 2018, ásamt þeim fjórum bréfum sem til stóð að senda ungum kjósendum og Persónuvernd hafði óskað eftir. Bréfið var undirritað af [C], mannréttindastjóra Reykjavíkurborgar. Í bréfi Reykjavíkurborgar kom fram að bréfin væru hluti af rannsókn sem Háskóli Íslands ynni að og lyti að „áhrifamætti bréfasendinga til að hvetja fólk á kjörstað“. Rannsóknin hefði verið lögð fyrir vísindasiðanefnd Háskóla Íslands og fengið þar jákvæða umsögn. Ólíkar áherslur í hinum fjórum mismunandi bréfum væru byggðar á niðurstöðum fyrri rannsókna Háskóla Íslands á því hvers konar efni væri líklegast til þess að hvetja fólk á kjörstað. Til að meta áhrifamátt og kostnaðarskilvirkni bréfsendinga fengi fimmti hópurinn engin bréf. Í bréfinu var fyrirkomulag bréfsendinganna svo nánar rakið. Fram kom að á grundvelli kjördeilda yrði ungum kjósendum skipt tilviljanakennt í fimm hópa. Ólík skilaboð dreifðust því tilviljanakennt til hverfa borgarinnar. Skiptingin hefði verið með rafrænum hætti og hefði Háskóli Íslands séð um þann þátt bréfsendinganna. Í bréfinu var svo listi yfir skiptingu kjörstaða í kjördeildir þar sem fram kom hvaða kjósendur, þ.e. hverra kjördeilda, fengju hvaða tegund af bréfi og kjósendur hverra kjördeilda fengju ekki bréf. Loks var tekið fram að eftir kosningar tæki Hagstofa Íslands saman heildarkjörsókn þessa aldurshóps, innan hverrar kjördeildar. Á engu stigi rannsóknar myndu rannsakendur eða Reykjavíkurborg hafa persónugreinanlegar upplýsingar undir höndum. Markmiðið með rannsókninni væri að auka þekkingu til framtíðar um hvernig virkja ætti þá hópa sem kysu síðar.

Bréfin fjögur sem send skyldu á nýja kjósendur í Reykjavík voru öll merkt Reykjavíkurborg. Bréfin voru öll tvískipt, höfðu öll að geyma ávarpið „Kæri nýi kjósandi“, auk þess sem síðari hluti þeirra allra var eins. Hafði hann nánar tiltekið að geyma leiðbeiningar um kjörstaði og opnunartíma þeirra, um að taka þyrfti með persónuskilríki, um hvernig unnt væri að kjósa utan kjörfundar og um að á vefsíðunni egkys.is væri unnt að finna upplýsingar um framboð og helstu viðfangsefni Reykjavíkurborgar. Í niðurlagi bréfanna stóð: „Taktu þitt pláss. Nýttu þitt X!“

Fyrri hluti bréfanna var hins vegar mismunandi milli bréfa. Hófst eitt þeirra með orðunum: „Það er borgaraleg skylda að kjósa!“ Þá sagði:

„Til hamingju með að tilheyra nú í fyrsta sinn hópi kjósenda í borgarstjórnarkosningum!

Kosningaréttinum fylgir mikil ábyrgð, og með því að kjósa sinnir þú lýðræðislegri skyldu þinni, eins og mikill meirihluti Íslendinga gerir í hverjum kosningum. Ef fólk eins og þú mætir ekki á kjörstað þá er lýðræðinu ekki bara ógnað heldur hefur þú ekki áhrif. Þess vegna er mikilvægt að taka þátt í þeim kosningum sem haldnar eru.

Gerðu skyldu þína sem íbúi Reykjavíkur, notaðu þitt X og kjóstu þann 26. maí!“

Annað bréfanna hófst með orðunum: „Kjóstu því þín skoðun skiptir máli!“ Þá sagði:

„Til hamingju með að tilheyra nú í fyrsta sinn hópi kjósenda í borgarstjórnarkosningum!

Þín kynslóð hefur skoðanir og hagsmuni og í kjörklefanum gefst þér tækifæri til að nota þitt X til þess að hafa áhrif. Þó að nýir kjósendur hafi ekki langa reynslu af kosningum eru þeir nákvæmlega jafnhæfir og þeir sem eldri eru til þess að leggja mat á hvað skiptir þá mestu máli. Með því að nota þitt X lætur þú rödd ungs fólks heyrast betur.“

Þriðja bréfið hófst á orðunum „Takk fyrir að kjósa!“ Þá sagði:

„Til hamingju með að tilheyra nú í fyrsta sinn hópi kjósenda í borgarstjórnarkosningum!

Kærar þakkir fyrir að nota þitt X! Lýðræðið er ekki sjálfsagt og veltur á því að fólk eins og þú fylgist með og leggir þitt af mörkum. Við vitum að það tekur smá tíma að setja sig inn í málin og kjósa en við kunnum svo sannarlega að meta þitt framlag því það er gott fyrir samfélagið – og okkur öll. TAKK!“

Fjórða bréfið hófst á orðunum: „Kjóstu gegn minnkandi kjörsókn!“ Þá sagði:

„Til hamingju með þitt X! Nú ert þú í fyrsta sinn í hópi kjósenda í borgarstjórnar­kosningum og með þínu X-i hefur þú áhrif á hvernig borginni verður stjórnað næstu fjögur árin.

Því miður hefur kjörsókn meðal ungs fólks minnkað mikið á undanförnum árum. Til dæmis kaus minna en helmingur af þessum hópi í síðustu borgarstjórnarkosningum, eða aðeins um 45%.

Við vonum að kjörsókn í þínum hópi verði meiri í kosningunum núna á laugardaginn 26. maí. Þú getur notað þitt X til að hjálpa til við að snúa þessari þróun við.“

Í framangreindu bréfi Reykjavíkurborgar, dagsettu 17. maí 2018, var ekki vikið að bréfum sem til stóð að senda innflytjendum og konum yfir áttrætt samkvæmt fyrrgreindri frétt á vef Ríkisútvarpsins frá 15. sama mánaðar.

Persónuvernd sendi Reykjavíkurborg enn á ný bréf, dagsett 18. maí 2018. Fyrri samskipti voru þar rakin og vakti Persónuvernd, í ljósi þeirra upplýsinga sem henni höfðu þá borist, athygli á afmörkun gildissviðs þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. 3. gr. og 1. og. 2. tölulið 2. gr. laganna, og að vinnsla persónuupplýsinga upp úr kjörskrám, eins og hér um ræddi, teldist til vinnslu persónuupplýsinga samkvæmt þeim. Fyrir þeirri vinnslu þyrfti að vera heimild samkvæmt 8. gr. laganna, auk þess sem fullnægja þyrfti öllum grunnkröfum laganna um gæði gagna og vinnslu. Var sérstaklega áréttað að gæta skyldi að gagnsæi við vinnslu persónuupplýsinga gagnvart hinum skráða. Sú vinnsla sem hér um ræddi fæli meðal annars í sér að einstaklingar væru þátttakendur í rannsókn sem færi fram samhliða framkvæmd kosninga og gæti verið til þess fallin að hafa áhrif á kosningahegðun án þess þó að hlutaðeigandi einstaklingum væri kunnugt um þátttöku sína. Einnig vísaði Persónuvernd til þess að skilja hefði mátt upphaflegt erindi mannréttindaskrifstofu Reykjavíkurborgar frá 3. maí 2018 á þann veg að ungum kjósendum sem nýttu kosningaréttinn í fyrsta sinn yrðu send smáskilaboð sem eingöngu hefðu að geyma hlutlausan upplýsingatexta um kosningarétt, kjörstaði og fyrirkomulag kosninga. Hvað varðaði sendingu bréfa til innflytjenda og kvenna yfir áttrætt hefðu engin gögn þar að lútandi borist Persónuvernd þrátt fyrir að óskað hefði verið eftir öllum gögnum um málið. Var bent á að sem endranær þyrfti vinnsla persónuupplýsinga í því sambandi að byggjast á heimild samkvæmt 8. gr. laga nr. 77/2000 og fullnægja kröfum 7. gr. sömu laga, auk þess sem komið gæti til skoðunar hvort vinnslan væri tilkynningarskyld samkvæmt 17., 31. og 32. gr. laganna. Þá áréttaði Persónuvernd framkomna ósk um að stofnuninni yrðu send öll gögn sem málið vörðuðu.

Mannréttindastjóri Reykjavíkurborgar sendi Persónuvernd þau bréf sem til stóð að senda innflytjendum og konum 80 ára og eldri, með tölvupósti 19. maí 2018. Í tölvupóstinum sagði að vegna mistaka hefðu Persónuvernd aðeins borist þau bréf sem lutu að rannsókn Háskóla Íslands, þ.e. bréf til ungra kjósenda. Bréfin, sem höfðu að geyma ávarpið „Kæri kjósandi“, ásamt fornafni viðtakanda, voru tvískipt líkt og bréfin sem til stóð að senda ungum kjósendum. Þá var síðari hluti bréfanna sama efnis og síðari hluti bréfanna til þess hóps. Fyrri hluti bréfa sem til stóð að senda konum 80 ára og eldri var eftirfarandi:

„Í borgarstjórnarkosningum laugardaginn 26. maí nk. gefst þér tækifæri til að hafa áhrif á borgina þína. Skoðun þín skiptir máli.

Þetta bréf er sent vegna þess að kosningaþátttaka kvenna hefur farið minnkandi eftir aldri, miðað við karla. Aðeins rúmur helmingur kvenna 80 ára og eldri nýttu kosningarétt sinn í síðustu borgarstjórnarkosningum 2014.

Þeir sem eldri eru, hafa skoðanir og hagsmuni sem er mikilvægt að koma á framfæri í kjörklefanum.“

Það bréf sem til stóð að senda innflytjendum hófst með orðunum „Til hamingju með kosningaréttinn!“ Þá sagði í fyrri hluta bréfsins:

„Komandi borgarstjórnarkosningar eru tækifæri til að hafa áhrif á hverfið þitt og borgina.

Reykjavíkurborg sinnir starfsemi grunnskóla, leikskóla, bókasafna, félagsþjónustu og þjónustu við fatlað fólk. Reykjavíkurborg sér líka um sundlaugar, rekstur strætó, sorphirðu, snjómokstur og götulýsingu svo fátt eitt sé nefnt.

Það er því mikið hagsmunamál fyrir alla íbúa Reykjavíkur að nýta kosningarétt sinn og kjósa þá fulltrúa í borgarstjórn sem þeir treysta til að taka ákvarðanir sem snerta íbúana.

Lýðræðið veltur á því að sem flestir nýti kosningarétt sinn.“

Síðara bréfinu fylgdi ensk og pólsk þýðing.

Þá sendi Reykjavíkurborg Persónuvernd bréf, dagsett 22. maí 2018. [C], mannréttindastjóri Reykjavíkurborgar, [A], lektor við Háskóla Íslands, og [B], lektor við Háskóla Íslands, voru skrifuð fyrir bréfinu. Í bréfinu kom fram að skipulag umræddrar rannsóknar væri með þeim hætti að unnt væri að meta áhrif bréfanna án þess að rannsakendur eða Reykjavíkurborg hefðu á nokkru stigi persónugreinanlegar upplýsingar um kjörsókn undir höndum. Vegna framkvæmdar rannsóknarinnar kæmu hagsmunir hins skráða af trúnaði um kjörsókn ekki til álita. Öll vinnsla persónugreinanlegra upplýsinga væri í höndum Hagstofu Íslands sem hefði lögboðnar skyldur til að vinna með þær upplýsingar óháð aðgerðum Reykjavíkurborgar og rannsókninni. Í bréfinu sagði að bréfsendingar til innflytjenda og kvenna 80 ára og eldri yrðu ekki hluti af rannsókninni og að allir innan þeirra hópa fengju eins bréf. Þá var í bréfinu rakið hvernig fyrirhugað væri að haga sendingu smáskilaboða til ungra kjósenda á kjördag. Smáskilaboðin yrðu með eftirfarandi texta:

„Í dag eru sveitarstjórnarkosningar. Þú hefur kosningarétt og þinn kjörstaður er <<Kjörstaður>> (sjá kort <<Hlekkur á kort af kjörstað>>). Það er auðvelt að kjósa, en mundu eftir skilríkjum!

[sent af Reykjavíkurborg]“

Smáskilaboðin væru hluti af rannsókninni. Ungum kjósendum yrði skipt í slembna hópa eftir kjördeildum með sama hætti og varðandi bréfsendingarnar en þó ekki í sömu hópa. Um helmingur þeirra fengi smáskilaboð en hinn helmingurinn ekki.

Um hagsmuni af vinnslu persónuupplýsinga vegna aðgerða Reykjavíkurborgar og umræddrar rannsóknar sagði að almannahagsmunir væru af því að skilja lága og minnkandi kjörsókn ungra kjósenda og annarra hópa og bregðast við henni. Mat aðstandenda rannsóknarinnar væri að þessir hagsmunir væru verulegir og mætti um það vísa til erlendra rannsókna. Í bréfinu segir að hinn skráði hafi hagsmuni af því að fá ekki óumbeðnar bréfa- eða skilaboðasendingar en mat rannsakenda sé að þeir hagsmunir séu óverulegir. Hinn skráði hefði jafnframt hagsmuni af því að fá sem gleggstar upplýsingar um kosningar og fyrirkomulag þeirra og teldu rannsakendur þá hagsmuni talsverða. Það væri þó ekki óumdeilt og því teldu rannsakendur mjög mikilvægt að gera eins nákvæma rannsókn á umræddum aðgerðum og mögulegt væri. Eingöngu þannig væri tryggt að umfjöllun og ákvarðanir um slíkar aðgerðir til framtíðar yrðu teknar á grundvelli bestu mögulegu upplýsinga.

Um gagnsæi við vinnslu persónuupplýsinga var tekið fram að um ræddi mjög takmarkað inngrip sem sneri að afmörkuðum samskiptum við kjósendur. Torvelt væri að upplýsa þá alla um vinnsluna nema með frekari samskiptum sem yrðu mjög kostnaðarsöm og myndu rýra mjög upplýsingagildi niðurstaðna rannsóknarinnar. Að mati rannsakenda yrðu gagnsæishagsmunir að skoðast í samhengi við aðra hagsmuni sem að framan greinir. Vísindasiðanefnd Háskóla Íslands hefði fjallað um þetta atriði, talið það samrýmast vísindasiðareglum og gefið rannsókninni jákvæða umsögn.

Þar sem til stóð að framangreind vinnsla persónuupplýsinga yrði samhliða kosningum taldi Persónuvernd rétt að vekja athygli dómsmálaráðuneytisins og umboðsmanns Alþingis á málinu og gerði það með bréfi, dagsettu 18. maí 2018. Dómsmálaráðuneytið sendi Reykjavíkurborg bréf, dagsett 23. maí 2018, og afrit þess til Persónuverndar. Með bréfinu benti ráðuneytið Reykjavíkurborg á að ekki yrði séð af gögnum málsins að ungir kjósendur yrðu fræddir um það að þeir yrðu andlag rannsóknar á kosningaþátttöku, hvorki í bréfunum né smáskilaboðunum. Þá væri í einu bréfanna að finna villandi upplýsingar um að það væri borgaraleg skylda að kjósa.

Í kjölfarið sendi Reykjavíkurborg Persónuvernd annað bréf, dagsett 24. maí. [C], mannréttindastjóri Reykjavíkurborgar, [A], lektor við Háskóla Íslands, og [B], lektor við Háskóla Íslands, voru skrifuð fyrir bréfinu. Vísað var til bréfs dómsmálaráðuneytisins og tekið fram að hin eiginlega rannsókn og greining á gögnum, sem vísað hefði verið til, færi fram í kjölfar kosninga og byggði á samtölugögnum frá Hagstofu Íslands. Þátttaka viðtakenda bréfa og smáskilaboða í rannsókninni byggði á þeirri greiningu. Þeir sem ekki fengju bréf eða smáskilaboð væru einnig þátttakendur. Af þeim sökum væri ekki unnt að upplýsa alla þátttakendur rannsóknarinnar með því að hafa upplýsingar þess efnis í bréfunum og smáskilaboðunum heldur yrði einnig að hafa samband við þá sem ekki fengju bréf eða smáskilaboð. Vísindasiðareglur Háskóla Íslands gerðu almennt ráð fyrir upplýstu samþykki en frá því væru þó undanþágur. Því hafi rannsakendur sérstaklega óskað eftir umsögn vísindasiðanefndar Háskóla Íslands. Nefndin hefði komist að þeirri niðurstöðu, með vísan til b-liðar greinar 2.4.4 í vísindasiðareglum Háskóla Íslands, að fyrirkomulag rannsóknarinnar samrýmdist skilyrðum reglnanna.

2.

Meðferð málsins

2.1

Upphaf frumkvæðisathugunar

Með bréfum, dagsettum 12. júní 2018, tilkynnti Persónuvernd Reykjavíkurborg, Hagstofu Íslands og rannsakendum við Háskóla Íslands, [A] lektor og [B] lektor, að stofnunin hefði hafið frumkvæðisathugun á vinnslu persónuupplýsinga úr kjörskrám og rannsókn á kosningaþátttöku, samhliða framkvæmd borgarstjórnarkosninga í Reykjavík í maí 2018. Í bréfunum voru rakin fyrri samskipti vegna málsins og vísað til meginreglna þágildandi persónuverndarlaga um tilefni frumkvæðisathugunar. Óskaði Persónuvernd jafnframt eftir upplýsingum og skýringum um nánar tiltekin atriði sem hér á eftir greinir. Svör bárust frá öllum framangreindum aðilum og verður efni þeirra einnig rakið hér á eftir.

2.2

Hagstofa Íslands

2.2.1

Bréf Persónuverndar til Hagstofu Íslands

Í bréfi Persónuverndar til Hagstofu Íslands, dagsettu 12. júní 2018, var óskað eftir upplýsingum og skýringum um þátt hennar í sendingu umræddra bréfa og smáskilaboða, hvernig upplýsingar um kosningaþátttöku ungs fólks yrðu eða hefðu verið unnar, hvernig farið hefði verið að 7.-9. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, hvort fræðsla hefði verið veitt hinum skráðu samkvæmt 20. og 21. gr. sömu laga, hvaða upplýsingum yrði miðlað frá Hagstofunni til Reykjavíkurborgar og tilgreindra rannsakenda við Háskóla Íslands og hvernig tryggt yrði að þær upplýsingar sem miðlað yrði væru ópersónugreinanlegar.

2.2.2

Svarbréf Hagstofu Íslands

Hagstofa Íslands svaraði með bréfi, dagsettu 26. júní 2018. Í bréfinu er rakið að stofnunin safni upplýsingum um framboð, kjörsókn, niðurstöður og framkvæmd kosninga á grundvelli laga nr. 163/2007, um Hagstofu Íslands og opinbera hagskýrslugerð, 88. gr. laga nr. 5/1998, um kosningar til sveitarstjórna, og 116. gr. laga nr. 24/2000, um kosningar til Alþingis, sem einnig gildi um kjör til forseta Íslands, samkvæmt 14. gr. laga nr. 36/1945, um framboð og kjör forseta Íslands. Í hagskýrslugerð sé ekki unnið með persónuupplýsingar nema hvað varði upplýsingar um einstaklinga sem séu í framboði og þá sem nái kjöri.

Í bréfinu er vísað til þess að Alþingi hafi samþykkt þingsályktunartillögu 16. maí 2014, nr. 33/143. Samkvæmt henni skyldi forsætisráðherra beina þeim tilmælum til Hagstofu Íslands að safna upplýsingum um kjörsókn eftir fæðingarári í almennum kosningum. Í samræmi við tilmæli forsætisráðherra hafi stofnunin staðið að hagskýrslugerð um kjörsókn í almennum kosningum frá árinu 2014, eftir aldri kjósenda. Hagskýrslugerðin feli í sér vinnslu persónuupplýsinga og miðlun á hagtölum. Þrátt fyrir orðalag þingsályktunarinnar hafi verið ljóst að fanga yrði kjörsókn eftir aldri kjósenda á kjördag frekar en fæðingarári. Til að draga úr villuhættu við skráningu hafi verið lögð áhersla á að fanga fæðingardag kjósenda. Jafnframt hafi komið fram þau sjónarmið að ekki væri hættulaust að auka álag á kjörfundi með því að skrá kjörsókn eftir aldri jafnóðum innan kjördeildar. Því hafi skráning verið eftir að kjörfundi hafi lokið en áður en kjörskrár hafi verið innsiglaðar. Þar sem um vinnslu persónuupplýsinga hafi verið að ræða hafi verið leitast eftir að lágmarka áhættu og tryggja öryggi. Við skoðun kjörgagna og kjörskráa hafi komið í ljós að við prentun kjörskráa verði til línunúmer sem myndi einkvæm raðnúmer innan sveitarfélags. Með því að tengja upplýsingasöfnun við þessi númer hafi verið hægt að tryggja að ekki yrði til afrit af kjörskrám.

Um tildrög þessa máls segir í bréfi Hagstofunnar að Reykjavíkurborg hafi í byrjun maímánaðar á þessu ári kynnt fyrir stofnuninni að til stæði að rannsaka aðferðir til að auka kosningaþátttöku ungs fólks í samstarfi við rannsakendur við Háskóla Íslands. Hagstofan hafi boðað framangreinda aðila til fundar og gert grein fyrir hagskýrslugerð um kjörsókn eftir aldri. Á fundinum hafi komið fram að það væri kostur fyrir umrædda rannsókn ef Hagstofan yki framboð hagtalna þannig að kjörsókn yrði einnig greind eftir því hvort um væri að ræða fyrstu sveitarstjórnarkosningar sem kjósendur hefðu kosningarrétt í vegna aldurs. Hagstofan hafi talið áhugavert að auka framboð hagtalna með þessari greiningu en þó þannig að sú birting yrði fyrir landið í heild sinni. Einnig hafi verið rætt hvort stofnunin teldi mögulegt að birta kjörsókn með frekara niðurbroti og hafi sérstaklega verið rætt um niðurbrot eftir kjördeildum í Reykjavík þar sem stærð kjördeilda gerði það kleift. Þá hafi verið tekin ákvörðun um að stefna að þessum greiningum til að auka notagildi hagtalna. Birting þeirra yrði hluti af hefðbundinni birtingu Hagstofunnar á kosningahagtölum í hagtíðindahefti og veftöflum á vef stofnunarinnar. Hagstofan taki ekki þátt í aðgerðum sem stuðli að breyttri hegðun einstaklinga eða lögaðila heldur lýsi samfélaginu eins og það sé. Fram kemur í því sambandi að Hagstofan hafi enga aðkomu haft að sendingu umræddra bréfa og smáskilaboða og rannsókn tilgreindra rannsakenda við Háskóla Íslands.

Um gagnasöfnun fyrir hagtölur um kjörsókn eftir aldri segir í svarbréfinu að byggt sé á rafrænu eyðublaði, sem Hagstofan útbúi á grundvelli rafræns kjörskrárstofns frá Þjóðskrá Íslands, og sé þetta eyðublað eitt og sér ópersónugreinanlegt. Yfirkjörstjórn fái sendan lykil að öruggu vefskilasvæði Hagstofunnar þar sem eyðublaðið sé sótt. Á eyðublaðinu séu forskráðar upplýsingar um sveitarfélag, kjörstað, kjördeild, kyn og raðnúmer (línunúmer í prentaðri kjörskrá). Eftir að kjörfundi ljúki fari skýrslugjöf yfirkjörstjórna þannig fram að starfsmenn þeirra beri raðnúmer í útfylltri kjörskrá yfirkjörstjórnar saman við raðnúmer í eyðublaði Hagstofunnar og merki á eyðublaði við raðnúmer allra þeirra sem ekki hafi mætt á kjörstað, samkvæmt merkingum í kjörskrá. Þá sé svæði á eyðublaðinu þar sem hægt sé að skrá fæðingardag og kyn einstaklinga sem bætist við kjörskrá á kjörfundi. Eyðublaðinu sé því næst skilað rafrænt á sama vefskilasvæði og það hafi verið sótt af. Svarbyrði sé lágmörkuð með því að beðið sé um að merkt sé við þá sem ekki hafi kosið þar sem þeir séu jafnan færri en þeir sem hafi kosið. Auk þess sé kyn tilgreint fyrir hvert raðnúmer til að auðvelda innslátt. Ekki séu persónuupplýsingar á rafræna eyðublaðinu einu og sér heldur séu upplýsingar einungis persónugreinanlegar þegar eyðublað skýrslugjafa sé skoðað samhliða kjörskrá við innslátt. Þá sé innbyggt í eyðublaðið að raðnúmer hverfi úr því að skilgreindum tíma liðnum.

Í svarbréfi Hagstofunnar kemur einnig fram að eftir að gögn hafi borist frá yfirkjörstjórnum sé útbúin grunnskrá með nýju auðkenni sem sé ótengt kennitölu, nafni eða raðnúmeri í kjörskrá en að því næst sé skráningarskjölum og rafrænum kjörskrárstofni eytt. Með tímanlegri eyðingu á eyðublöðum sé tryggt að þau séu ekki aðgengileg lengur en þurfi vegna vinnslunnar. Þá verði upplýsingar í grunnskrá aðeins raktar óbeint þar sem rekja megi aldur til einstaklinga í fámennum sveitarfélögum. Hagstofan leggi áherslu á vandaða meðferð trúnaðargagna og styðji gæða- og öryggiskerfi við það.

Í bréfi Hagstofunnar segir enn fremur að upplýsingar um kjörsókn eftir aldri, sem birtar hafi verið til viðbótar við kosningaskýrslur, hafi verið ópersónugreinanlegar með öllu eins og aðrar hagtölur sem Hagstofan miðli að undanskildum nöfnum einstaklinga í framboði og þeirra sem nái kjöri. Þá er tekið fram að auk upplýsinga um aldur taki hagtölur um kjörsókn í sveitarstjórnarkosningum til annarra bakgrunnsþátta, svo sem ríkisfangs, enda sýni hagtölur frá fyrri kosningum að kjörsókn sé önnur hjá kjósendum með erlent ríkisfang. Hagtölurnar nýtist Reykjavíkurborg og tilgreindum rannsakendum við Háskóla Íslands eins og öðrum notendum og verði birtar á vef Hagstofunnar. Hagtölur verði greindar eftir sveitarfélögum, kjörstöðum og kjördeildum eftir því sem fjöldi leyfi án þess að upplýsingar verði persónugreinanlegar.

Þá er áréttað í svarbréfi Hagstofunnar að engum upplýsingum yrði miðlað til Reykjavíkurborgar og Háskóla Íslands heldur yrðu þessir aðilar að nálgast hagtölur um kosningar á vef Hagstofunnar þegar þær yrðu birtar.

Um heimild til framangreindrar vinnslu persónuupplýsinga í tengslum við sveitarstjórnarkosningarnar í maí síðastliðnum vísar Hagstofan til 3. og 5. töluliðs 8. gr. þágildandi laga nr. 77/2000, 2. gr. og 5. gr. laga nr. 163/2007 og 88. gr. laga nr. 5/1998. Um öryggi við meðferð persónuupplýsinga og aðrar meginreglur 7. gr. laganna vísar Hagstofan til þess að stofnunin hafi vottað stjórnkerfi upplýsingaöryggis samkvæmt ISO 27001-staðlinum og falli efnisþættir 7. gr. alfarið að því.

2.2.3

Málið fellt niður gagnvart Hagstofu Íslands

Með bréfi Persónuverndar til Hagstofu Íslands, dagsettu 30. júlí 2018, var mál þetta fellt niður gagnvart stofnuninni. Var vísað til þess að í framangreindu svarbréfi Hagstofunnar hafi komið fram að fyrirkomulag við hagskýrslugerð um kjörsókn eftir aldri, í sveitarstjórnarkosningunum 2018, hafi verið í samræmi við lög nr. 163/2007, um Hagstofu Íslands og opinbera hagskýrslugerð, og lög nr. 5/1998, um kosningar til sveitarstjórna. Birting framangreindra hagtalna hafi verið hluti af hefðbundinni birtingu Hagstofunnar á kosningahagtölum og aðkoma Hagstofunnar að umræddri rannsókn hafi því ekki verið nein umfram það að tekið hafi verið vel í tillögur Reykjavíkurborgar og rannsakenda við Háskóla Íslands um að þróa frekar hagtölur og miðlun þeirra. Enn fremur var vísað til þess að í svarbréfi Hagstofunnar hafi komið fram að stofnunin tæki ekki þátt í aðgerðum sem stuðli að breyttri hegðun einstaklinga eða lögaðila en lýsi samfélaginu eins og það sé. Loks hafi, við gagnasöfnun fyrir hagtölur um kjörsókn eftir aldri, verið gætt að öryggi persónuupplýsinga, í samræmi við þágildandi lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

2.3

Reykjavíkurborg

2.3.1

Bréf Persónuverndar til Reykjavíkurborgar

Í bréfi Persónuverndar til Reykjavíkurborgar, dagsettu 12. júní 2018, var óskað eftir upplýsingum og skýringum um eftirfarandi:

1. Hver hefði verið þáttur Reykjavíkurborgar í sendingu bréfa og smáskilaboða til einstaklinga á kjörskrá fyrir borgarstjórnarkosningarnar í maí 2018 og í umræddri rannsókn á kosningaþátttöku ungs fólks í kosningunum.

2. Hvernig upplýsingar um kjósendur hefðu verið unnar upp úr kjörskrám.

3. Við hvaða heimild vinnsla samkvæmt 2. tölulið hefði stuðst, sbr. 8. og 9. gr. laga nr. 77/2000.

4. Hvernig sú vinnsla hefði samrýmst ákvæðum 7. gr. laga nr. 77/2000.

5. Hvort fræðsla hefði verið veitt hinum skráðu og hvers efnis sú fræðsla hefði verið, samkvæmt 20. og 21. gr. laga nr. 77/2000.

6. Hvers vegna Persónuvernd hefði einungis verið upplýst um afmarkaðan þátt málsins í upphaflegu erindi Reykjavíkurborgar frá 3. maí 2018 og hvers vegna ósamræmis gætti ítrekað í svörum Reykjavíkurborgar við fyrirspurnum Persónuverndar vegna málsins, sbr. umfjöllun í 1. kafla hér að framan um efni bréfs stofnunarinnar til borgarinnar, dagsetts 18. sama mánaðar, sem og hvers vegna borgin upplýsti stofnunina ekki um að smáskilaboð yrðu aðeins send á helming ungra kjósenda fyrr en með bréfi, dagsettu 22. sama mánaðar.

2.3.2

Svarbréf Reykjavíkurborgar

Reykjavíkurborg svaraði með bréfi, dagsettu 13. júlí 2018. Bréfinu fylgdu tvö skjöl, annars vegar skýrsla starfshóps um leiðir til að auka kosningaþátttöku í borgarstjórnarkosningum 2018, dagsett 18. janúar 2018, og hins vegar erindi Reykjavíkurborgar og rannsakenda við Háskóla Íslands til Póst- og fjarskiptastofnunar, dagsett 27. apríl 2018. Í bréfinu eru gefin eftirfarandi svör við erindi Persónuverndar:

1. Mannréttindaskrifstofu Reykjavíkurborgar hafi verið falin ákveðin verkefni á grundvelli tillagna starfshóps sem samþykktar hafi verið af borgarráði í febrúar 2018 til að auka kosningaþátttöku í borgarstjórnum. Ein framangreindra tillagna hafi falið í sér að sendur yrði persónulegur bréfpóstur á þá Reykvíkinga sem hefðu kosningarrétt í borgarstjórnarkosningunum í fyrsta sinn, ungt fólk og innflytjendur, þar sem þeim yrði óskað til hamingju með kosningarréttinn og þeim bent á hvar ætti að kjósa, t.d. með ljósmynd af kjörstað. Með annarri tillögu hafi verið lagt til samstarf við Háskóla Íslands um gerð kynningarefnis og rannsókn á virkni þess.

Fyrsti fundur vegna undirbúnings verkefnisins hafi verið 3. mars 2018. Fundað hafi verið með fulltrúum Háskóla Íslands um verkefnið og rannsóknina sem beinast átti að ungum kjósendum. Í framhaldi af fundinum hafi verið ákveðið að Reykjavíkurborg skyldi sjá um (i) að úrtak eftir kjördeildum yrði aðgengilegt svo hægt yrði að senda smáskilaboð og bréf á rannsóknarhópa, (ii) að við vinnslu á kjörskrám eftir kosningar yrðu unnar nauðsynlegar upplýsingar um kosningaþátttöku úrtakshópanna, til að greina innan hverrar kjördeildar hversu hátt hlutfall nýrra kjósenda mætti á kjörstað, (iii) að kynningarefni sem ákveðið hefði verið að senda á þann hóp yrði unnið með hliðsjón af rannsókninni, og (iv) að viðeigandi aðilar innan borgarinnar fengju vitneskju um verkefnið og að tryggður yrði samstarfsvilji þeirra sem rannsakendur þyrftu að reiða sig á.

Í samræmi við framangreint hafi (i) aðgengi verið tryggt með því að listar hafi verið fengnir frá Þjóðskrá Íslands sem sendir hafi verið til Háskóla Íslands, (ii) verið fundað með Hagstofu Íslands og óskað eftir því að tilteknar upplýsingar yrðu aðgengilegar eftir kosningar, (iii) efni bréfa til ungra kjósenda verið unnið af Háskóla Íslands, og (iv) verkefnið verið kynnt í borgarráði, mannréttindaráði og stjórnkerfis- og lýðræðisráði.

Bréfin sem send hafi verið til ungra kjósenda hafi verið samin af fulltrúum Háskóla Íslands en upplýsingadeild ráðhússins hafi lesið yfir efni þeirra með hliðsjón af málfræði. Bréf til kvenna 80 ára og eldri hafi verið samin á mannréttindaskrifstofu Reykjavíkurborgar í samvinnu við formann öldungaráðs borgarinnar. Bréf til innflytjenda hafi verið samin af sérfræðingum á mannréttindaskrifstofu um málefni þeirra.

Yfirkjörstjórn Reykjavíkur hafi í apríl síðastliðnum leiðbeint Reykjavíkurborg um að leita til Póst- og fjarskiptastofnunar um leyfi til að senda tilteknum hópi kjósenda farsímaskilaboð. Póst- og fjarskiptastofnun hafi svo leiðbeint Reykjavíkurborg um að til þess þyrfti leyfi Persónuverndar. Eru fyrrgreind samskipti Reykjavíkurborgar og Persónuverndar rakin í framhaldi af þessu.

Þá segir að fundur hafi verið haldinn með fulltrúum Hagstofu Íslands og Háskóla Íslands 8. maí síðastliðinn og óskað eftir úrvinnslu úr kjörskrá í tengslum við umrædda rannsókn. Eftir framlagningu kjörskrár hafi Reykjavíkurborg óskað eftir þrenns konar listum frá Þjóðskrá Íslands, lista yfir þá kjósendur sem kosið hefðu í fyrsta skipti í sveitarstjórnarkosningum, lista yfir konur 80 ára og eldri og lista yfir innflytjendur og erlenda ríkisborgara sem hlotið hefðu kosningarrétt frá síðustu sveitarstjórnarkosningum. Þessir listar hefðu borist frá Þjóðskrá Íslands 9. og 11. maí 2018. Háskóli Íslands og Umslag ehf., sem sé með ISO 27001-öryggisvottun, hefðu séð um sendingu bréfanna.

Reykjavíkurborg hafi ekki komið frekar að rannsókninni. Háskóli Íslands hafi þó upplýst að vonir stæðu til að hægt yrði að kynna fyrstu niðurstöður á ráðstefnunni Þjóðarspeglinum, sem haldin yrði í október 2018.

2. Um hvernig upplýsingar um kjósendur hafi verið unnar upp úr kjörskrám, hvað varðar smáskilaboð og bréf til ungra kjósenda og bréf til kvenna 80 ára og eldri og innflytjenda, segir í svarbréfi Reykjavíkurborgar að öll vinnsla upplýsinga úr kjörskrám um unga kjósendur hafi verið á vegum Háskóla Íslands, þar með talin sending smáskilaboðanna. Listar frá Þjóðskrá Íslands yfir konur 80 ára og eldri og innflytjendur hafi verið sendir til Umslags ehf. sem hafi séð um að senda bréf til þeirra án frekari úrvinnslu af hálfu Reykjavíkurborgar.

3. Um heimild til framangreindrar vinnslu er í svarbréfi Reykjavíkurborgar vísað til þess sem fram kom í fyrrgreindu bréfi Persónuverndar, dagsettu 14. maí 2018, um að vinnslan gæti byggt á heimild 5. töluliðar 1. mgr. 8. gr. þágildandi laga nr. 77/2000, um persónuvernd og vinnslu persónuupplýsinga, sem kvað á um að vinnsla persónuupplýsinga væri heimil, væri hún nauðsynleg vegna verks sem unnið væri í þágu almannahagsmuna. Mannréttindaskrifstofa Reykjavíkurborgar hafi ekki talið að bréf Persónuverndar, dagsett 17. maí 2018, hafi með skýrum hætti gefið til kynna að vinnslan þætti ekki lengur geta stuðst við þá heimild, enda hafi það verið mat skrifstofunnar, í samráði við fulltrúa félagsvísindasviðs Háskóla Íslands, að meginreglur 7. gr. laganna hafi verið virtar í hvívetna.

Hvað varði bréf til kvenna 80 ára og eldri og innflytjenda hafi upplýsingar um þá hópa verið fengnar frá Þjóðskrá Íslands. Hafi mannréttindaskrifstofan verið í góðri trú um að þessi vinnsla væri heimil en hafi hins vegar síðar orðið ljóst að vinnsla persónuupplýsinga, eins og að framan greinir, skyldi ávallt uppfylla áskilnað persónuverndarlaga um lögmætar heimildir fyrir vinnslu, sér í lagi þegar um ræddi viðkvæmar persónuupplýsingar sem lytu að uppruna fólks, sbr. a-lið 8. töluliðar 1. mgr. 2. gr. laga nr. 77/2000. Ljóst sé að fjöldapóstur til fólks, sem mannréttindaskrifstofan hafi viljað ná til á grundvelli uppruna þess, hafi verið vinnsla viðkvæmra persónuupplýsinga og að ekki hafi verið heimild fyrir þeirri vinnslu í 1. mgr. 9. gr. laganna. Hefði því með réttu átt að óska eftir heimild Persónuverndar.

Að mati mannréttindaskrifstofu Reykjavíkurborgar hafi bréfsendingar til kvenna eldri en 80 ára verið þess eðlis að vinnslan hafi verið nauðsynleg vegna verks sem unnið hafi verið í þágu almannahagsmuna samkvæmt 5. tölulið 1. mgr. 8. gr. laga nr. 77/2000. Bréfsendingarnar hafi falið í sér almenna vitundarvakningu og að upplýst væri um kosningarrétt, framkvæmd kosninga og kjörstaði.

4. Um það hvernig framangreind vinnsla persónuupplýsinga hafi samrýmst ákvæðum 7. gr. þágildandi persónuverndarlaga nr. 77/2000 er í svarbréfi Reykjavíkurborgar vísað í fyrrgreint bréf Persónuverndar, dagsett 14. maí 2018. Að mati mannréttindaskrifstofu Reykjavíkurborgar hafi persónuupplýsingar úr kjörskrám verið unnar með sanngjörnum, málefnalegum og lögmætum hætti og öll meðferð upplýsinganna verið í samræmi við vandaða vinnsluhætti persónuupplýsinga. Upplýsinganna hafi verið aflað í yfirlýstum, skýrum og málefnalegum tilgangi og þær hafi ekki verið unnar frekar í öðrum og ósamrýmanlegum tilgangi. Umrætt verkefni hafi verið til komið vegna lakrar kosningaþátttöku tiltekinna hópa. Kosningaþátttaka erlendra íbúa hafi verið um 40% árið 2006 en aðeins 21% árið 2014. Kosningaþátttaka kvenna, 80 ára og eldri, á kjörskrá í Reykjavík hafi verið aðeins 57% í sveitarstjórnarkosningum árið 2014. Þær upplýsingar sem unnið hafi verið með hafi verið nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt hafi verið miðað við tilgang vinnslunnar. Auk þess hafi verið gætt að áreiðanleika upplýsinganna.

Vinnsla persónuupplýsinga um innflytjendur hafi verið í því skyni að hvetja þá til að nýta sér kosningarrétt sinn. Að mati mannréttindaskrifstofu Reykjavíkurborgar hafi skilyrði 1. mgr. 7. gr. laga nr. 77/2000 átt við um þá vinnslu, með sama hætti og að framan greinir, að undanskildu skilyrði 1. töluliðar um lögmæti vinnslunnar.

5. Um það hvort fræðsla hafi verið veitt hinum skráðu samkvæmt 20. og 21. gr. þágildandi persónuverndarlaga nr. 77/2000 segir í svarbréfi Reykjavíkurborgar að í bréfum til kvenna eldri en 80 ára hafi viðtakendum verið greint frá tilgangi vinnslu persónuupplýsinga í samræmi við 2. tölulið 3. mgr. 21. gr. laganna. Í bréfinu hafi komið fram að bréfin væru send vegna minnkandi kosningaþátttöku kvenna eftir aldri, miðað við karla. Sést hafi á bréfunum að þau hafi verið send af Reykjavíkurborg þar sem merki borgarinnar hafi verið í haus bréfsins, þótt ekki hafi verið greint frá heimilisfangi, sbr. 1. tölulið 3. mgr. 21. gr. laga nr. 77/2000. Að mati mannréttindaskrifstofu Reykjavíkurborgar hafi bréfin einnig upplýst um þau atriði sem kveðið hafi verið á um í 3. tölulið 3. mgr. 21. gr. laganna, að undanskildum upplýsingum um hvar persónuupplýsinganna hefði verið aflað, þ.e. frá Þjóðskrá Íslands.

Í bréfum til innflytjenda hafi viðtakendum hins vegar ekki verið gerð grein fyrir eðli bréfsendinganna með sama hætti og að framan greini þótt bréfin hafi skýrt borið með sér að Reykjavíkurborg hafi sent þau. Í þeim bréfum hafi fræðsluskylda ábyrgðaraðila samkvæmt 21. gr. laga nr. 77/2000 því ekki verið uppfyllt.

Hvað varði smáskilaboðin sem send hafi verið hluta ungra kjósenda og fræðsluskyldu ábyrgðaraðila þar að lútandi hafi það verið mat Reykjavíkurborgar að of þungt hefði reynst í vöfum að sinna fræðsluskyldu, sbr. 1. tölulið 4. mgr. 21. gr. laga nr. 77/2000. Í bréfum til ungra kjósenda hafi mátt greina tilgang þeirra af almennri hvatningu til viðtakanda um að nýta kosningarréttinn. Ljóst hafi verið af bréfunum að þau hafi verið send af Reykjavíkurborg þar sem merki borgarinnar hafi verið í haus þeirra, þótt heimilisfang hafi ekki verið tilgreint. Þá hafi bréfin borið með sér þær upplýsingar sem kveðið hafi verið á um í 3. tölulið 3. mgr. 21. gr. laganna, að undanskildum upplýsingum um hvar persónuupplýsinganna hefði verið aflað, þ.e. frá Þjóðskrá Íslands.

Þá hafi ekki verið nauðsynlegt að upplýsa sérstaklega um upplýsingarétt hinna skráðu o.fl. samkvæmt d-lið 3. töluliðar 3. mgr. 21. gr. laga nr. 77/2000 þar sem vinnsla persónuupplýsinganna hafi einskorðast við útsendingu bréfa og smáskilaboða í kjölfar afhendingar lista frá Þjóðskrá Íslands.

6. Í svarbréfi Reykjavíkurborgar er farið yfir skýringar á því hvers vegna Persónuvernd hafi einungis verið upplýst um afmarkaðan þátt málsins í upphaflegu erindi borgarinnar frá 3. maí 2018 og hvers vegna ósamræmis hafi ítrekað gætt í svörum borgarinnar við fyrirspurnum stofnunarinnar vegna málsins. Mannréttindaskrifstofa Reykjavíkurborgar hafi í aðgerðum sínum til að auka kosningaþátttöku reynt að upplýsa og leita til allra þeirra aðila sem komið hafi að verkefninu. Ekki hafi verið ætlunin að leyna neinu um hvernig verkefnið yrði unnið og muni það vera haft í huga í framtíðinni við önnur verkefni skrifstofunnar sem varði vinnslu persónuupplýsinga. Fulltrúi Persónuverndar hafi verið upplýstur um alla þætti við framkvæmd verkefnisins í símtali 14. maí 2018. Í framhaldi af því hafi verið reynt að bregðast hratt við öllum þeim erindum sem borist hefðu frá Persónuvernd og þær upplýsingar sendar sem óskað hefði verið eftir. Loks er í svarbréfinu beðist velvirðingar á því að ósamræmis hafi gætt í svörum til Persónuverndar.

2.4

Rannsakendur við Háskóla Íslands

2.4.1

Bréf Persónuverndar til rannsakenda við Háskóla Íslands

Í bréfi Persónuverndar til [A] lektors og [B] lektors, rannsakenda við Háskóla Íslands, dagsettu 12. júní 2018, var óskað eftir upplýsingum og skýringum um eftirfarandi:

1. Hver hefði verið þáttur þeirra í sendingu bréfa og smáskilaboða til einstaklinga á kjörskrá fyrir borgarstjórnarkosningarnar í maí 2018 og í umræddri rannsókn þeirra í samvinnu við Hagstofu Íslands.

2. Hvort þau ynnu eða hefðu unnið með persónuupplýsingar vegna rannsóknarinnar.

3. Við hvaða heimild vinnsla samkvæmt 2. tölulið hefði stuðst, sbr. 8. og 9. gr. laga nr. 77/2000.

4. Hvernig sú vinnsla hefði samrýmst ákvæðum 7. gr. laga nr. 77/2000.

5. Hvort fræðsla hefði verið veitt hinum skráðu og hvers efnis sú fræðsla hefði verið, samkvæmt 20. og 21. gr. laga nr. 77/2000.

6. Hvort fyrirhugað væri að afhenda Reykjavíkurborg niðurstöður rannsóknarinnar, t.d. um hvaða skilaboð hefðu skilað mestri kjörsókn í hverju hverfi fyrir sig.

7. Hvers vegna Persónuvernd hefði einungis verið upplýst um afmarkaðan þátt málsins í upphaflegu erindi frá 3. maí 2018 og hvers vegna ósamræmis gætti ítrekað í svörum þeirra við fyrirspurnum Persónuverndar vegna málsins, sbr. umfjöllun í 1. kafla hér að framan um efni bréfs stofnunarinnar, dagsett 18. sama mánaðar, sem og hvers vegna stofnunin hefði ekki verið upplýst um að smáskilaboð yrðu aðeins send á helming ungra kjósenda fyrr en með bréfi, dagsettu 22. sama mánaðar.

2.4.2

Svarbréf rannsakenda við Háskóla Íslands

[A] lektor og [B] lektor svöruðu með bréfi, dagsettu 12. júlí 2018. Skýringar þeirra eru eftirfarandi:

1. Í desember 2017 hafi starfshópur á vegum Reykjavíkurborgar óskað eftir fundi með rannsakendum. Verkefni starfshópsins hafi verið að leita leiða til að auka kjörsókn í komandi borgarstjórnarkosningum. Reykjavíkurborg hafi haft hug á að fá ráðgjöf um hvernig heppilegast væri að skipuleggja inngrip til að auka kjörsókn og hvernig unnt væri að meta árangurinn. Rannsakendur hafi velt upp nokkrum kostum sem þeir hafi talið koma til greina í ljósi rannsókna en engar aðgerðir hafi verið ákveðnar eða skipulagðar á þeim fundi. Um mánaðamót mars og apríl 2018 hafi Reykjavíkurborg aftur haft samband við rannsakendur og óskað eftir fundi. Rannsakendur hafi þá lýst yfir áhuga á samstarfi um inngrip og rannsókn til að auka kjörsókn ungs fólks. Á nokkrum fundum hafi rannsakendur og Reykjavíkurborg skipulagt aðgerðir með það að markmiði að auka kjörsókn þess hóps og meta árangur aðgerðanna með rannsókn. Hins vegar hafi rannsakendur ekki átt að skipuleggja aðgerðir varðandi eldri konur og innflytjendur.

Á grundvelli kjördeildanna 86 í Reykjavík hafi kjósendum verið skipt með slembivali í fimm hópa með tilliti til bréfasendinga. Fjórir hópar hafi fengið mismunandi bréf og einn hópur hafi ekki fengið bréf. Kjördeildum hafi einnig verið skipt með slembivali í tvo hópa og hafi annar hópurinn fengið smáskilaboð en hinn ekki. Því hafi verið um alls tíu hópa að ræða. Inngrip hafi dreifst yfir allar 86 kjördeildir Reykjavíkur og byggt á slembivali til að koma í veg fyrir kerfisbundna skekkju inngripa.

Skipulag rannsóknarinnar hafi miðað að því að hvorki Reykjavíkurborg né rannsakendur fengju á nokkrum tíma upplýsingar um kjörsókn einstaklinga. Listar yfir móttakendur bréfa og smáskilaboða hafi byggst á upplýsingum úr kjörskrárgrunni sem Þjóðskrá Íslands hafi afhent Reykjavíkurborg. Lagt hafi verið upp með að Reykjavíkurborg skipti kjósendum í hópa eftir slembiröðuðum kjördeildum þannig að hægt væri að meta árangur aðgerðanna með samanburði við samtölugögn frá Hagstofu Íslands um kjörsókn ungra kjósenda eftir kjördeildum.

Gert hafi verið ráð fyrir því að þegar Hagstofa Íslands hefði lokið úrvinnslu kjörskrárgagna fyrir kosningarnar yrðu birtar upplýsingar um kjörsókn þess aldurshóps, sem í vor hafi í fyrsta sinn haft kosningarrétt í sveitarstjórnarkosningum, eftir kjördeildum í Reykjavík, alls 86 tölur. Rannsakendur gætu þá, með því að nýta einungis samtölugögn, reiknað hvort kjörsókn innan þeirra kjördeilda sem fengið hefðu inngrip, bréf og/eða smáskilaboð, hefðu verið frábrugðin kjörsókn í þeim kjördeildum sem ekki hefðu fengið inngrip.

Upphaflega hafi staðið til að Reykjavíkurborg sæi um vinnslu allra lista, sendingu bréfa og smáskilaboða. Þegar til þess hafi komið hafi ákveðin verkefni reynst umfangsmeiri en gert hefði verið ráð fyrir og því hafi þau verið unnin utan Reykjavíkurborgar. Litið hafi verið svo á að þeir aðilar sem unnið hafi verkefnin hafi verið vinnsluaðilar í því samhengi. Það hafi verið mat rannsakenda að áhætta af sjálfri vinnslunni með nafna- og heimilisfangalista væri hverfandi. Þau verkefni sem unnin hafi verið utan Reykjavíkurborgar hafi verið þau að fyrirtækinu Umslag ehf. hafi verið falið að sjá um sendingu bréfanna til ungmenna, Félagsvísindastofnun hafi verið falið að sjá um að senda smáskilaboðin og öðrum rannsakenda hafi verið falið að sjá um slembiröðun kjósenda í úrtakshópa eftir kjördeildum. Öll framangreind verkefni hafi falið í sér að unnið hafi verið með nafna- og heimilisfangalista.

2. Í svarbréfi rannsakenda segir, um hvort þau hafi unnið með persónuupplýsingar í tengslum við framangreind verkefni, að líkt og fram hafi komið hafi annar rannsakenda séð um skiptingu nafna- og heimilisfangalista í úrtakshópa. Þeim persónuupplýsingum hafi verið eytt eftir kosningarnar. Rannsakendur hafi ekki unnið frekar með persónuupplýsingar né sé það fyrirhugað.

3. Í svarbréfi rannsakenda segir að þau telji að vinnsla persónuupplýsinga í tengslum við framangreind verkefni hafi byggst á heimild 5. töluliðar 1. mgr. 8. gr. þágildandi laga nr. 77/2000, þar sem vinnslan hafi verið nauðsynleg vegna verks sem unnið hafi verið í þágu almannahagsmuna. Vísa þau jafnframt í athugasemdir við framangreint ákvæði í frumvarpi að lögum nr. 77/2000 um að verkefni í almannaþágu séu verkefni sem hafi þýðingu fyrir breiðan hóp manna og að heimild samkvæmt ákvæðinu hafi átt við um vinnslu í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi.

Yfirlýstur tilgangur aðgerðanna hafi verið að auka kosningaþátttöku tiltekinna hópa sem hafi í undanförnum kosningum átt undir högg að sækja með tilliti til kjörsóknar. Félagssálfræðileg rannsókn samhliða aðgerðum Reykjavíkurborgar, sem rannsakendur hafi unnið að, hafi miðað að því að bæta þekkingu á því hvort og hvers konar hvatningarskilaboð til ungra kjósenda næðu árangri. Stefnt sé að birtingu rannsóknarinnar á fræðilegum vettvangi.

4. Hvað varðar meginreglur 7. gr. þágildandi persónuverndarlaga nr. 77/2000 segir í svarbréfi rannsakenda að Reykjavíkurborg hafi aflað upplýsinga hjá Þjóðskrá Íslands en ekki hjá hinum skráðu. Því hafi ekki gefist færi á að upplýsa hina skráðu um öflun upplýsinganna.

Til hafi staðið að vinna félagsfræðilega rannsókn til að sannreyna hvort og að hvaða leyti það næði tilætluðum árangri að senda smáskilaboð og bréf til ungra kjósenda. Þar af leiðandi hafi verið ákveðið að upplýsa ekki hina skráðu sérstaklega um vinnsluna né að tilgangur hennar væri að auka kosningaþátttöku. Vitneskja þátttakenda um rannsóknina hefði verið líkleg til þess að hafa sambærileg áhrif og tilraunainngripið sjálft og hefði þar með getað hindrað að unnt væri að draga ályktun af niðurstöðum rannsóknarinnar um áhrifamátt tiltekinna bréfa og/eða smáskilaboða til þess að hvetja fólk á kjörstað. Þetta nefnist tilraunaáhrif og þau séu alþekkt vandamál í rannsóknum sem afar mikilvægt sé að reyna að koma í veg fyrir. Hins vegar hafi ekki verið ætlunin að leynd ríkti yfir vinnslunni.

Rannsakendur hafi upplýst Persónuvernd um sinn þátt í vinnslunni fyrir milligöngu Reykjavíkurborgar sem hafi komið fram sem forsvarsaðili aðgerðanna gagnvart hlutaðeigandi aðilum.

Rannsakendur telji að þær persónuupplýsingar sem Reykjavíkurborg hafi fengið frá Þjóðskrá Íslands hafi verið fengnar í yfirlýstum, skýrum og málefnalegum tilgangi, samkvæmt 2. tölulið 1. mgr. 7. gr. laga nr. 77/2000. Mannréttindaskrifstofa Reykjavíkurborgar, sem hafi verið í forsvari fyrir verkefnið, hafi upplýst Persónuvernd um að til stæði að senda smáskilaboð og mismunandi bréf á unga kjósendur í þeim yfirlýsta tilgangi að auka kosningaþátttöku tiltekinna hópa.

Fallist Persónuvernd á það að vinnslan hafi samrýmst 2. tölulið 1. mgr. 7. gr. laga nr. 77/2000 vilji rannsakendur benda á að í niðurlagi ákvæðisins sé gert ráð fyrir því að frekari vinnsla persónuupplýsinga í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi teljist ekki ósamrýmanleg upprunalegum tilgangi. Rannsakendur hafi unnið frekar með upplýsingarnar og sannreynt með rannsóknaraðferð sinni hvort og að hve miklu leyti yfirlýstum tilgangi hafi verið náð.

Með vísan til 3. töluliðar 1. mgr. 7. gr. laga nr. 77/2000 telji rannsakendur að upplýsingarnar sem unnið hafi verið með hafi verið nægjanlegar, viðeigandi, og ekki umfram það sem nauðsynlegt hafi verið miðað við tilgang vinnslunnar. Nauðsynlegt hafi verið að afla upplýsinga um nöfn og heimilisföng allra hinna skráðu. Þá hafi símanúmera einnig verið aflað samhliða því að smáskilaboð hafi verið send.

Með vísan til 4. töluliðar 1. mgr. 7. gr. laga nr. 77/2000 benda rannsakendur á að upplýsingar þær sem Þjóðskrá Íslands hafi látið Reykjavíkurborg í té hafi verið fengnar úr kjörskrárgrunni stofnunarinnar skömmu fyrir kosningarnar. Því megi ætla að upplýsingarnar séu eins nákvæmar og verða megi. Með vísan til 5. töluliðar sömu málsgreinar árétta rannsakendur að upplýsingunum hafi verið eytt að loknum kosningum og því hafi ekki verið unnt að bera kennsl á hina skráðu lengur en þörf hafi krafið miðað við tilgang vinnslu.

5. Um fræðslu til hinna skráðu segir í bréfi rannsakenda að umrædd bréf og smáskilaboð hafi falið í sér hvatningu til kosningaþátttöku. Móttakendur skilaboðanna hljóti þar af leiðandi að hafa verið meðvitaðir um að verið væri að hvetja þá til þess að kjósa í borgarstjórnarkosningunum. Hluti hinna skráðu hafi hins vegar hvorki fengið smáskilaboð né bréf. Fram hafi komið að rannsakendur hafi sent beiðni um umsögn um rannsóknina til vísindasiðanefndar Háskóla Íslands. Í beiðninni hafi verið vikið að upplýstu samþykki þátttakenda með hliðsjón af rannsóknaráhrifum, það er, að vitneskja þátttakenda um að þeir væru að taka þátt í félagssálfræðilegri rannsókn myndi líklega yfirgnæfa tilraunaáhrif rannsóknarinnar, sem viðbúið hefði verið að yrðu lítil. Algeng áhrif af sambærilegum rannsóknum erlendis væru að kjörsókn ykist um 1-3%. Þar af leiðandi hafi verið ákveðið, á grundvelli rannsóknarhagsmuna, að senda ekki tilkynningu á þann hóp hinna skráðu sem hvorki hefði fengið bréf né smáskilaboð. Það hafi verið mat rannsakenda, sem vísindasiðanefndin hafi tekið undir, að almannahagsmunir, sem fælust í þekkingu á áhrifamætti slíkra inngripa fyrir framtíðarkjósendur og þá sem vilji auka kjörsókn ungra kjósenda, vægju þyngra en mikilvægi þess að allir fengju bréf eða smáskilaboð eða að allir yrðu upplýstir um rannsóknina, sem hefði gert samanburð ógerlegan.

6. Í svarbréfi rannsakenda segir að alltaf hafi staðið til að niðurstöður rannsóknarinnar yrðu afhentar Reykjavíkurborg. Eins hafi það verið gagnkvæmur skilningur rannsakenda og Reykjavíkurborgar að niðurstöðurnar yrðu kynntar á fræðilegum vettvangi ef þær gæfu tilefni til þess. Það hafi hins vegar ekki verið hluti af tilgangi eða hönnun rannsóknarinnar að greina mismunandi áhrif skilaboða eftir hverfum.

7. Loks er í bréfi rannsakenda farið yfir skýringar á því hvers vegna Persónuvernd hafi einungis verið upplýst um afmarkaðan þátt málsins í upphaflegu erindi Reykjavíkurborgar frá 3. maí 2018, sem rannsakendur voru einnig skrifuð fyrir, og hvers vegna ósamræmis hafi ítrekað gætt í svörum við fyrirspurnum stofnunarinnar vegna málsins. Í bréfinu segir að lögð hafi verið áhersla á að aðgerðirnar yrðu skipulagðar þannig að hægt væri að meta árangur þeirra án þess að rannsakendur eða Reykjavíkurborg ynnu með persónuupplýsingar um kjörsókn. Slíkt kallaði á samstarf mismunandi aðila og hafi Reykjavíkurborg, sem forsvarsaðili, komið fram gagnvart Persónuvernd, Póst- og fjarskiptastofnun, Þjóðskrá Íslands, kjörstjórn og öðrum. Á öllum stigum máls hafi það verið markmið rannsakenda að allir hlutaðeigandi aðilar hefðu allar upplýsingar sem skiptu máli og hafi rannsakendur unnið með Reykjavíkurborg að því að svara fyrirspurnum um málið.

Rannsakendur hafi fyrst áttað sig á því að Persónuvernd væri ekki ljóst að til stæði að beita sama tilraunarsniði við sendingu smáskilaboða og við sendingu bréfa eftir að hafa móttekið bréf stofnunarinnar, dagsett 18. maí 2018. Skýringa sé að einhverju leyti að leita í flækjustigi samskipta og ófullnægjandi yfirsýn yfir heildarsamskipti milli þeirra aðila sem að málinu hafi komið. Strax og rannsakendum hafi orðið þetta ljóst hafi þau unnið með Reykjavíkurborg að svarbréfi, dagsettu 23. maí 2018, sem hafi verið fyrsti virki dagur eftir móttöku framangreinds bréfs Persónuverndar.

2.5

Þjóðskrá Íslands

Í svarbréfi Reykjavíkurborgar, dagsettu 13. júlí 2018, kemur fram að í kjölfar framlagningar kjörskrár hafi Reykjavíkurborg óskað eftir og fengið þrenns konar lista frá Þjóðskrá Íslands. Þetta voru listar yfir þá kjósendur sem vegna aldurs höfðu í fyrsta sinn kosningarrétt í sveitarstjórnarkosningum, yfir konur 80 ára og eldri og yfir innflytjendur og erlenda ríkisborgara sem hlotið höfðu kosningarrétt frá síðustu sveitarstjórnarkosningum.

Að framangreindu virtu taldi Persónuvernd að beina yrði frumkvæðisathugun þessari einnig að Þjóðskrá Íslands.

2.5.1

Bréf Persónuverndar til Þjóðskrár Íslands

Var Þjóðskrá Íslands tilkynnt um framangreint með bréfi Persónuverndar, dagsettu 19. september 2018. Í bréfinu voru fyrri samskipti vegna málsins rakin í grófum dráttum og óskaði Persónuvernd eftir skýringum um eftirfarandi:

1. Hvaða lista Þjóðskrá Íslands hefði afhent Reykjavíkurborg samkvæmt beiðni borgarinnar fyrir sveitarstjórnarkosningarnar í maí 2018?

2. Á hvaða heimild byggt hefði verið við miðlun stofnunarinnar til Reykjavíkurborgar á annars vegar lista yfir kjósendur sem höfðu í fyrsta sinn kosningarrétt í maí 2018 og hins vegar á lista yfir konur 80 ára og eldri, sbr. 8. gr. laga nr. 77/2000?

3. Á hvaða heimild byggt hefði verið við miðlun stofnunarinnar til Reykjavíkurborgar á lista yfir innflytjendur og erlenda ríkisborgara sem hlotið höfðu kosningarrétt frá síðustu sveitarstjórnarkosningum, sbr. 8 og 9. gr. laga nr. 77/2000?

4. Hvernig sú vinnsla sem fólst í þessari miðlun persónuupplýsinga hefði samrýmst ákvæðum 7. gr. laga nr. 77/2000?

2.5.2

Svarbréf Þjóðskrár Íslands

Þjóðskrá Íslands svaraði með bréfi, dagsettu 12. október 2018. Í bréfinu segir að samkvæmt 18. gr. laga nr. 54/1962, um þjóðskrá og almannaskráningu, láti Þjóðskrá Íslands embættum og sveitarstjórnum í té hvers konar upplýsingar um einstaklinga sem skrár hennar og önnur gögn hafa að geyma enda þurfi þau upplýsingarnar vegna embættisrekstrar eða hliðstæðra verka. Samkvæmt 1. mgr. 19. gr. sömu laga veiti Þjóðskrá Íslands upplýsingar um aðsetur manna og önnur atriði samkvæmt skrám sínum og gögnum eftir reglum sem ráðherra setji, sbr. reglur nr. 112/1958, um útgáfu vottorða og veitingu upplýsinga úr Þjóðskránni. Þjóðskrá Íslands hafi hingað til litið svo á að ákvæði 19. gr. laga nr. 54/1962 veiti stofnuninni heimild til að veita aðgang að þjóðskrá og krefjast gjalds fyrir. Úr þjóðskrá séu unnin úrtök, annars vegar af hálfu Þjóðskrár Íslands og hins vegar af fyrirtækjum sem hafi heimild til úrtaksvinnslu samkvæmt samningi við stofnunina. Úrtök sem stofnunin vinni séu meðal annars íbúaskrár, kjörskrárstofnar, vottorð og sértækar vinnslur.

Í bréfinu kemur fram að það sé hlutverk Þjóðskrár Íslands að láta sveitarstjórnum í té stofn að kjörskrá þegar forsetakosningar, alþingiskosningar eða sveitarstjórnarkosningar eigi að fara fram, sbr. 2. tölulið 1. mgr. 3. gr. laga nr. 54/1962. Samkvæmt 1. mgr. 2. gr. laga nr. 5/1998, um kosningar til sveitarstjórna, eigi hver íslenskur ríkisborgari kosningarrétt við kosningar til sveitarstjórnar sem náð hafi 18 ára aldri þegar kosning fari fram og eigi lögheimili í sveitarfélaginu. Jafnframt eigi kosningarrétt danskir, finnskir, norskir og sænskir ríkisborgarar sem hafi átt lögheimili hér á landi í þrjú ár samfellt fyrir kjördag og aðrir erlendir ríkisborgarar sem hafi átt lögheimili hér á landi í fimm ár samfellt fyrir kjördag.

Í bréfinu tekur Þjóðskrá Íslands saman svör sín við framangreindum spurningum Persónuverndar með eftirfarandi hætti:

1. Þjóðskrá hafi unnið þrjá lista fyrir Reykjavíkurborg fyrir sveitarstjórnarkosningarnar í maí 2018, þ.e. yfir konur, áttræðar og eldri, búsettar í Reykjavík; lista yfir ungmenni sem höfðu kosningarétt í fyrsta sinn við þessar kosningar; og lista yfir erlenda ríkisborgara sem þá gátu kosið í fyrsta sinn. Listar yfir tvo fyrrnefndu hópana, með kennitölum og nöfnum, hafi verið unnir upp úr þjóðskrá. Hins vegar hafi listar yfir erlenda ríkisborgara verið unnir upp úr kjörskrárstofni og haft að geyma upplýsingar um kennitölur, nöfn, kyn og ríkisfang. Í öllum tilvikum hafi upplýsingar um bannmerka einstaklinga verið teknar af listunum sem afhentir hafi verið 9. og 11. maí 2018.

2. Hvað varði heimild til miðlunar lista yfir fyrrgreind ungmenni og konur 80 ára og eldri hafi verið litið til þeirra skýringa Reykjavíkurborgar að ákveðið hefði verið að grípa til aðgerða til að auka kosningaþátttöku tiltekinna hópa sem hefðu átt undir högg að sækja með tilliti til kjörsóknar. Á grundvelli rökstuðnings borgarinnar í því sambandi hefði verið fallist á að miðla umræddum listum með vísan til 5. töluliðar 1. mgr. 8. gr. laga nr. 77/2000, sbr. einnig 3. mgr. 19. gr. laga nr. 54/1962.

3. Hvað varði heimild til miðlunar lista yfir erlenda ríkisborgara hafi verið litið til sömu skýringa Reykjavíkurborgar og að framan greinir. Hins vegar hefðu það verið mistök að afhenda upplýsingar um kyn og ríkisfang einstaklinganna auk þess sem láðst hefði að keyra listana saman við bannskrá. Sé þar um að ræða mannleg mistök sem Þjóðskrá harmi og hafi verið hafin endurskoðun ferla við sérvinnslur og gerð úrtaka til að koma í veg fyrir að slík mistök endurtaki sig.

4. Þá hafi það verið mat Þjóðskrár að gætt hefði verið að þeim meginreglum sem fram komi í 7. gr. laga nr. 77/2000. Umrædd vinnsla hafi byggst á gögnum frá einstaklingum og opinberum aðilum sem Þjóðskrá varðveiti og byggi skrár sínar á í samræmi við gildandi lög.

2.5.3

Beiðnir Reykjavíkurborgar til Þjóðskrár Íslands

Með símtali til Þjóðskrár Íslands 19. október 2018 var þess óskað af hálfu Persónuverndar að stofnuninni yrðu sendar beiðnir Reykjavíkurborgar til Þjóðskrár um umrædda lista. Af hálfu Þjóðskrár voru beiðnirnar sendar Persónuvernd með tölvupósti samdægurs, ásamt svörum Þjóðskrár við þeim.

Beiðnirnar eru tvær, annars vegar um þá kjósendur sem höfðu vegna aldurs kosningarrétt í fyrsta sinn og hins vegar um konur eldri en 80 ára og innflytjendur og erlenda ríkisborgara sem hlotið höfðu kosningarrétt frá síðustu sveitarstjórnarkosningum.

Í beiðnunum segir að Reykjavíkurborg hafi ákveðið að grípa til aðgerða til að auka kosningaþátttöku tiltekinna hópa sem hafi átt undir högg að sækja í undanförnum kosningum með tilliti til kjörsóknar og að upplýsingar um þá verði nýttar til að upplýsa hlutaðeigandi einstaklinga um kosningarétt sinn. Í beiðninni um upplýsingar um þá kjósendur sem fyrst máttu kjósa vegna aldurs kemur auk þess fram að fyrirhugað sé að framkvæma rannsókn samhliða átakinu til að meta hversu áhrifaríkar mismunandi leiðir séu við að hvetja til þátttöku. Rannsóknin verði unnin af Reykjavíkurborg og rannsakendum við Háskóla Íslands. Einnig kemur fram að í undirbúningi séu nokkrar mismunandi gerðir kynningarefnis, sem sent verði ungmennum, og sé markmiðið að leggja mat á hvaða kynningarefni nái best til þeirra. Þá segir að áherslur kynningarefnisins byggi á niðurstöðum alþjóðlegra rannsókna í félagssálfræði og á niðurstöðum rannsókna sem rannsakendur hafi gert á kosningaþátttöku ungmenna í tveimur síðustu alþingiskosningum.

Í svörum Þjóðskrár Íslands segir að samþykkt sé að gera umbeðna sérvinnslu en að listarnir verði keyrðir við bannskrá þjóðskrár áður en þeir verði afhentir.

II.

Forsendur og niðurstaða

1.

Lagaskil, gildissvið persónuverndarlaga og afmörkun máls

Öll atvik þessa máls gerðust í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, þótt umrædd rannsókn kunni að hafa verið fram haldið eftir gildistöku laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, 15. júlí síðastliðinn. Um atvik þessa máls gilda því lög nr. 77/2000 og verður leyst úr þeim álitamálum sem uppi eru á grundvelli þeirra laga.

Um valdheimildir Persónuverndar þegar þessi ákvörðun er tekin fer hins vegar eftir núgildandi lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Lög nr. 77/2000 giltu um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem voru eða áttu að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar voru skilgreindar í 1. tölulið 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi, og vinnsla sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur vinnslan var handvirk eða rafræn, sbr. 2. tölulið sömu greinar.

Að virtum þeim svörum sem Persónuvernd bárust í málinu varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið stofnunarinnar. Lýtur athugun Persónuverndar í meginatriðum að eftirfarandi:

1. Vinnslu Reykjavíkurborgar og rannsakenda við Háskóla Íslands á persónuupplýsingum frá Þjóðskrá Íslands í þeim tilgangi að senda ungum kjósendum bréf og smáskilaboð fyrir sveitarstjórnarkosningarnar í maí 2018 og að rannsaka árangur þess við að auka kosningaþátttöku.

2. Vinnslu Reykjavíkurborgar á persónuupplýsingum frá Þjóðskrá Íslands í þeim tilgangi að senda konum 80 ára og eldri og innflytjendum og erlendum ríkisborgurum bréf fyrir sveitarstjórnarkosningarnar í maí 2018.

3. Vinnslu Þjóðskrár Íslands á persónuupplýsingum sem fól í sér að gerðir voru og afhentir Reykjavíkurborg, samkvæmt beiðni borgarinnar, listar yfir framangreinda hópa einstaklinga fyrir sveitarstjórnarkosningarnar í maí 2018.

4. Upplýsingagjöf Reykjavíkurborgar og rannsakenda við Háskóla Íslands til Persónuverndar vegna málsins.

Í samræmi við gildissvið persónuverndarlaga og hlutverk Persónuverndar verður hér ekki tekin afstaða til almennra aðgerða sem miða að því að virkja fólk í landinu til kosningaþátttöku, m.a. með því að upplýsa fólk um kosningarrétt þess, um kjörstaði og fyrirkomulag kosninga. Verður hér aðeins litið til þeirra aðgerða sem lutu að því að nota persónuupplýsingar sem fengnar voru frá Þjóðskrá Íslands til þess að beina ákveðnum skilaboðum til tiltekinna hópa borgarbúa í því skyni að hafa áhrif á hegðun þeirra í sveitarstjórnarkosningunum í maí 2018.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölulið 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna.

Hvað varðar vinnslu persónuupplýsinga frá Þjóðskrá Íslands í þeim tilgangi að senda bréf og smáskilaboð til ungra kjósenda og að rannsaka árangur þess við að auka kosningaþátttöku teljast Reykjavíkurborg og rannsakendur við Háskóla Íslands, [A] lektor og [B] lektor, öll vera ábyrgðaraðilar að umræddri vinnslu, eins og ábyrgð og verkefnaskiptingu er lýst í svarbréfum þeirra.

Hvað varðar vinnslu persónuupplýsinga frá Þjóðskrá Íslands í þeim tilgangi að senda bréf til kvenna 80 ára og eldri og innflytjenda og erlendra ríkisborgara má ljóst vera af svarbréfum Reykjavíkurborgar og rannsakenda við Háskóla Íslands að sú vinnsla var að öllu leyti ákveðin af og í höndum Reykjavíkurborgar sem telst því vera ábyrgðaraðili að þeirri vinnslu.

Þjóðskrá Íslands telst vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem fólst í því að gera umbeðna lista yfir þá kjósendur sem vegna aldurs höfðu í fyrsta sinn kosningarrétt í sveitarstjórnarkosningum, yfir konur 80 ára og eldri og erlenda ríkisborgara sem hlotið höfðu kosningarrétt frá síðustu sveitarstjórnarkosningum, og að afhenda þá Reykjavíkurborg.

Að lokum er rétt að nefna til skýringar að í erindum Reykjavíkurborgar til Persónuverndar var í upphafi aðeins fjallað um innflytjendur. Í síðari erindum var hins vegar jafnan vísað til innflytjenda og erlendra ríkisborgara. Samkvæmt fyrrgreindum beiðnum Reykjavíkurborgar til Þjóðskrár Íslands var óskað eftir lista yfir innflytjendur og erlenda ríkisborgara sem hlotið hefðu kosningarétt frá síðustu sveitarstjórnarkosningum en samkvæmt svarbréfi Þjóðskrár var Reykjavíkurborg afhentur listi yfir erlenda ríkisborgara búsetta í Reykjavík sem voru að kjósa í fyrsta skipti í sveitarstjórnarkosningum. Verður í eftirfarandi umfjöllun miðað við að Reykjavíkurborg hafi, í samræmi við framangreint, fengið lista yfir erlenda ríkisborgara en ekki innflytjendur sem eru með íslenskan ríkisborgararétt.

2.

Nánar um aðgerðir til þess að auka kosningaþátttöku í borgarstjórnarkosningum í maí 2018

Í skýrslu starfshóps um leiðir til að auka kosningaþátttöku í borgarstjórnarkosningunum 2018, dagsettri 18. janúar 2018, sem samþykkt var af borgarráði og fylgdi með svarbréfi Reykjavíkurborgar, dagsettu 13. júlí 2018, kemur fram tillaga um að farið verði í samstarf við Háskóla Íslands um hönnun á inngripum eða aðgerðum til að auka kosningaþátttöku ákveðinna hópa og rannsókn á virkni þeirra í kjölfarið til að byggja upp þekkingu til framtíðar á því hvernig best sé að ná til umræddra hópa.

Í skýrslunni er umfjöllun um þá hópa sem kjósa síður en aðrir, sem samkvæmt skýrslunni er ungt fólk, innflytjendur, konur 80 ára og eldri og fatlað fólk. Þá er umfjöllun um kjörsókn eftir félagslegri stöðu. Í þeirri umfjöllun segir að fyrir utan þættina og hópana sem að framan eru nefndir hafi félagsleg staða mikil áhrif á kjörsókn og sé hún lægri á sömu stöðum og hlutfall innflytjenda sé hátt, húsnæðisverð lágt og atvinnuleysi meira en annars staðar. Hjá Reykjavíkurborg séu til gögn um kjörsókn í borgarstjórnarkosningum 2014 greind niður á kjördeildir. Í 18 kjördeildum af 84 hafi kjörsókn verið undir 60%. Af þessum 18 hafi tíu verið í Breiðholti, ein á Kjalarnesi, ein í Árbæ, ein í miðbæ og fjórar í Laugardalshöll. Skrifstofa borgarstjórnar búi einnig yfir gögnum um nákvæmlega hvaða götur og húsnúmer séu skráð á þessar kjördeildir og því sé hægðarleikur að nálgast þessa íbúa með bréfpósti og hvetja þá til að nýta kosningaréttinn.

Fleiri tillögur koma fram í skýrslunni og segir meðal annars að lagt sé til að sendur verði persónulegur bréfpóstur á þá Reykvíkinga sem hafi kosningarrétt í borgarstjórnarkosningunum í fyrsta sinn, ungt fólk og innflytjendur, þar sem þeim er óskað til hamingju með kosningarréttinn og þeim bent á hvar þau eigi að kjósa. Einnig er lagt til að slík bréf verði send á konur 80 ára og eldri. Hvert bréf yrði sniðið sérstaklega að þörfum viðkomandi hóps. Þá segir í skýrslunni að starfshópurinn hafi hitt sérfræðinga frá Háskóla Íslands sem hafi rannsakað kosningaþátttöku og lýst áhuga á samstarfi við borgina sem fæli í sér að kannað yrði hvers vegna tilteknir hópar kjósi síður en aðrir og mismunandi inngrip hönnuð til að hvetja til kosningaþátttöku. Í kjölfarið færi fram samanburðarrannsókn á virkni mismunandi skilaboða. Þannig megi auka þekkingu borgarinnar til framtíðar á hvernig virkja megi þá hópa sem kjósi síður.

Fyrir liggur að í kjölfar samþykktar skýrslunnar unnu Reykjavíkurborg og rannsakendur við Háskóla Íslands saman að því að ákveða vinnslu persónuupplýsinga af lista frá Þjóðskrá Íslands yfir þá kjósendur sem vegna aldurs höfðu í fyrsta sinn kosningarrétt í sveitarstjórnarkosningum í vor. Tilgangur þeirrar vinnslu var að senda hluta þessa hóps smáskilaboð og mismunandi bréf sem ætlað var auka kosningaþátttöku þeirra. Tilgangurinn var jafnframt að rannsaka hvers konar bréf og/eða skilaboð hefðu mest áhrif þar að lútandi og auka þar með þekkingu til framtíðar um hvernig megi virkja unga kjósendur til þess að kjósa.

Samkvæmt þeim upplýsingum sem nú liggja fyrir, samkvæmt svarbréfum aðila og fylgiskjölum með þeim, voru samin fjögur mismunandi bréf sem áttu að vera til þess fallin að hafa áhrif á hegðun viðtakenda í tengslum við kosningarnar, t.d. um að það væri borgaraleg skylda að kjósa, að með því að kjósa væri viðkomandi að sinna lýðræðislegri skyldu sinni, ef fólk eins og viðtakandi mætti ekki á kjörstað væri lýðræðinu ógnað, að viðtakandi ætti að gera skyldu sína sem íbúi Reykjavíkur og kjósa, þótt viðtakandi hefði ekki langa reynslu af kosningum væri hann jafnhæfur og þeir sem eldri væru til þess að leggja mat á hvað skipti þá mestu máli, að lýðræðið ylti á því að fólk eins og viðtakandi fylgdist með og legði sitt af mörkum, að sendandi kynni að meta framlag viðtakanda því það væri gott fyrir samfélagið og að viðtakandi gæti hjálpað til við að snúa við þeirri þróun sem fæli í sér minnkandi kjörsókn.

Þá voru samin smáskilaboð um að viðtakandi hefði kosningarrétt og hvar kjörstaður hans væri, auk áminningar um að það væri auðvelt að kjósa en muna þyrfti eftir skilríkjum.

Fyrirkomulagið við sendingu framangreindra bréfa og smáskilaboða var með þeim hætti að ungum kjósendum var skipt í fimm hópa eftir kjördeildum í Reykjavík, 86 að tölu. Fjórir hópar fengu hver eina tegund af hinum fjórum mismunandi bréfum og einn hópur fékk ekki bréf. Í svarbréfum Reykjavíkurborgar og rannsakenda er vísað til þess að ungum kjósendum hafi verið skipt með slembivali í fimm hópa og kjördeildum hafi einnig verið skipt með slembivali í tvo hópa með tilliti til smáskilaboðanna. Samkvæmt lista sem Persónuvernd fékk sendan frá Reykjavíkurborg 17. maí síðastliðinn var skiptingin þó þannig að á hverjum kjörstað fékk að minnsta kosti ein kjördeild, þ.e. ungir kjósendur innan að minnsta kosti einnar kjördeildar, hverja tegund af bréfi og að minnsta kosti ein kjördeild fékk ekki bréf. Þá fékk um helmingur kjördeilda á hverjum kjörstað smáskilaboð og um helmingur ekki. Þannig var um tíu hópa að ræða á hverjum kjörstað í Reykjavík.

Þá hefur komið fram í málinu að með hagtölum sem birtar eru á vegum Hagstofu Íslands er hægt að skoða kjörsókn þessa hóps, ungra kjósenda, eftir kjördeildunum 86, og var ætlunin hjá rannsakendum að meta, með því að nota eingöngu samtölugögn, hvort kjörsókn innan þeirra kjördeilda, þar sem ungir kjósendur fengu bréf og/eða smáskilaboð, hafi verið frábrugðin kjörsókn í þeim kjördeildum, þar sem ungir kjósendur fengu hvorki bréf né smáskilaboð. Að því virtu og eins og framkvæmd rannsóknarinnar hefur verið lýst er unnt að sjá hvaða bréf og/eða smáskilaboð höfðu mest áhrif, ef einhver, á hverjum kjörstað fyrir sig.

Bréf til kvenna 80 ára og eldri (eða eldri en 80 ára, samkvæmt svarbréfi Þjóðskrá Íslands) og til erlendra ríkisborgara voru ekki hluti af framangreindri rannsókn og alfarið á vegum Reykjavíkurborgar. Hins vegar var tilgangur þeirra einnig að auka kosningaþátttöku þeirra hópa. Voru persónuupplýsingar frá Þjóðskrá Íslands notaðar í því skyni og samin bréf sem voru með gildishlöðnum texta sem var ætlað að hafa áhrif á hegðun viðtakenda í tengslum við kosningarnar, t.d. að skoðun viðtakanda skipti máli, að þeir sem væru eldri hefðu skoðanir og hagsmuni sem mikilvægt væri að koma á framfæri í kjörklefanum, að það væri mikið hagsmunamál fyrir alla íbúa Reykjavíkur að nýta kosningarréttinn og kjósa þá fulltrúa sem þeir treystu til að taka ákvarðanir sem snertu íbúana og að lýðræðið ylti á því að sem flestir nýttu kosningarrétt sinn.

3.

Lögmæti vinnslu persónuupplýsinga

Öll vinnsla persónuupplýsinga verður að byggja á einhverri þeirra heimilda sem greinir í persónuverndarlögum. Í 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, var kveðið á um heimildir til vinnslu persónuupplýsinga. Hvað varðar þá vinnslu persónuupplýsinga sem hér um ræðir er helst að líta til 3. töluliðar ákvæðisins, sem kvað á um að vinnsla persónuupplýsinga væri heimil væri hún nauðsynleg til að fullnægja lagaskyldu sem hvíldi á ábyrgðaraðila, og 5. töluliðar sömu greinar um að vinnsla persónuupplýsinga væri heimil væri hún nauðsynleg vegna verks sem unnið var í þágu almannahagsmuna.

Væri um viðkvæmar persónuupplýsingar að ræða varð einnig að vera fullnægt einhverju viðbótarskilyrðanna í 9. gr. sömu laga. Af hálfu Reykjavíkurborgar hefur komið fram að hún telji upplýsingar um ríkisfang hafa lotið að uppruna fólks, sem teljast viðkvæmar persónuupplýsingar, samkvæmt a-lið 8. töluliðar 2. gr. laganna. Af því tilefni skal tekið fram að ríkisfangsupplýsingar verða ekki taldar fela í sér upplýsingar um uppruna í skilningi ákvæðisins. Þar sem ekki hefur að öðru leyti komið fram að unnið hafi verið með viðkvæmar persónuupplýsingar reynir ekki á 9. gr. laga nr. 77/2000 í málinu.

Þá varð öll vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 7. gr. laga nr. 77/2000, þ. á m. um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skuli vera í samræmi við vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tölulið ákvæðisins.

Við mat á lögmæti vinnslu persónuupplýsinga verður jafnframt að líta til ákvæða í sérlögum sem við kunna að eiga hverju sinni. Eins og hér háttar til reynir einkum á lög nr. 5/1998, um kosningar til sveitarstjórna.

3.1

Bréf og smáskilaboð til ungra kjósenda

Í svarbréfi Reykjavíkurborgar, dagsettu 13. júlí 2018, er vísað til þess að umrædd vinnsla persónuupplýsinga hafi verið heimil vegna þess að hún hafi verið nauðsynleg vegna verks sem unnið hafi verið í þágu almannahagsmuna, sbr. 5. tölulið 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og er um þá röksemd meðal annars vísað í bréf Persónuverndar, dagsett 14. maí 2018. Þá segir að um vitundarvakningu hafi verið að ræða og að upplýst hafi verið um kosningarrétt, framkvæmd kosninga og kjörstaði. Þá hefur komið fram að tilgangur vinnslunnar var að auka kosningaþátttöku ungs fólks.

Fyrir liggur að í framangreindu bréfi Persónuverndar var vísað til þess að 5. töluliður 8. gr. laga nr. 77/2000 gæti átt við um vinnslu persónuupplýsinga sem fælist í því að senda ungum kjósendum, og þá öllum ungum kjósendum samkvæmt skilningi Persónuverndar, smáskilaboð með upplýsingum um staðsetningu kjörstaðar og fyrirkomulag kosninga, með hlekk á tilgreinda upplýsingasíðu. Hins vegar liggur einnig fyrir að sú vinnsla persónuupplýsinga sem hér um ræðir fól annað í sér en hlutlaus skilaboð með upplýsingum um kosningarrétt og framkvæmd kosninga til allra ungra kjósenda sem höfðu í fyrsta sinn kosningarrétt í sveitarstjórnarkosningum 2018. Þá er einnig ljóst að tilgangur bréfanna og smáskilaboðanna var ekki einungis að upplýsa og fræða heldur að þau voru einnig þáttur í rannsókn á kosningahegðun þar sem þeir sem höfðu kosningarrétt í fyrsta sinn fyrir aldurs sakir fengu mismunandi skilaboð í því skyni að kanna áhrif þeirra á kjörsókn þessa hóps.

Í svarbréfi rannsakenda, dagsettu 12. júlí 2018, er um heimild til vinnslunnar einnig vísað til 5. töluliðar 8. gr. laga nr. 77/2000 og athugasemda við ákvæðið í frumvarpi að lögunum. Í athugasemdunum segir að verkefni í almannaþágu séu verkefni sem hafi þýðingu fyrir breiðan hóp manna og geti til dæmis átt við um vinnslu í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi.

Um hagsmuni af umræddri vinnslu persónuupplýsinga sagði enn fremur í bréfi Reykjavíkurborgar og rannsakenda frá 22. maí síðastliðnum að almannahagsmunir væru af því að skilja lága og minnkandi kjörsókn ungra kjósenda og annarra hópa og bregðast við henni. Hagsmunir hinna skráðu af því að fá ekki óumbeðnar bréfa- eða smáskilaboðasendingar væru hins vegar óverulegir. Þá væru hagsmunir hinna skráðu af því að fá sem gleggstar upplýsingar um kosningar og fyrirkomulag þeirra talsverðir. Mikilvægt sé að framkvæma eins nákvæma rannsókn og mögulegt sé á þessum aðgerðum til þess að tryggja að umfjöllun og ákvarðanir um fyrirkomulag slíkrar upplýsingagjafar til framtíðar verði tekin á grundvelli bestu mögulegu upplýsinga.

Ljóst er af því sem fram hefur komið um umrædda rannsókn að hún miðaði ekki að því að skilja lága og minnkandi kjörsókn ungra kjósenda og annarra hópa og því er ekki hægt að vísa til hagsmuna þar að lútandi um heimild fyrir vinnslunni. Þá liggur einnig fyrir að umrædd bréf og smáskilaboð voru ekki send í þeim tilgangi einum að hinir skráðu fengju sem gleggstar upplýsingar um kosningar og fyrirkomulag þeirra.

Við mat á framangreindum hagsmunum er til þess að líta að um kosningar gildir strangur lagarammi með nákvæmum fyrirmælum um alla framkvæmd þeirra, þ.m.t. um meðferð kjörskrárstofna og kjörskráa. Hvað sveitarstjórnarkosningar varðar koma þau fyrirmæli fram í lögum nr. 5/1998, um kosningar til sveitarstjórna. Þá er til þess að líta að talið hefur verið brýnt að kosningar byggi á trausti þeirra sem hafa kosningarrétt. Til þess að standa vörð um heilindi kosninga er meðal annars mikilvægt að öll samtök sem taka þátt í kosningabaráttum noti persónuupplýsingar á gagnsæjan hátt og á þann hátt sem fólk skilur. Það er hvað helst ábyrgð stjórnvalda að tryggja þetta gagnsæi varðandi hvernig persónuupplýsingar eru unnar samhliða kosningum og geta kröfur til þeirra þar að lútandi því ekki verið minni en til annarra.

Í þessu sambandi telur Persónuvernd að líta verði til kröfunnar um sanngirni í 1. tölulið 1. mgr. 7. gr. laga nr. 77/2000. Til að vinnsla teljist sanngjörn þarf hún meðal annars að fullnægja ákveðnum kröfum um gagnsæi og fyrirsjáanleika. Eftir atvikum kann þeim kröfum að vera talið fullnægt þegar upplýsingar úr kjörskrám eða kjörskrárstofnum eru notaðar til sendingar hlutlausra upplýsinga til kjósenda, t.d. allra kjósenda eða allra kjósenda sem njóta kosningarréttar í fyrsta sinn. Ekki verður hins vegar séð að sending hvatningarskilaboða til síðarnefnda hópsins sem þáttur í rannsókn, sem felur í sér að viðtakendur fá mismunandi skilaboð, samrýmist umræddum kröfum. Þegar af þeirri ástæðu getur hvorki 5. töluliður 8. gr. laga nr. 77/2000 né aðrar heimildir samkvæmt því ákvæði rennt stoðum undir umrædda sendingu bréfa til þeirra kjósenda í Reykjavík sem höfðu fyrst kosningarrétt í sveitarstjórnarkosningum 2018. Í ljósi hinna nánu tengsla sendingar smáskilaboða til sama hóps við bréfasendingarnar verður hið sama talið eiga við um þær. Var vinnslan samkvæmt því ekki í samræmi við lög nr. 77/2000.

Í svörum Reykjavíkurborgar kemur fram að vísindasiðanefnd Háskóla Íslands hafi gefið umræddri rannsókn jákvæða umsögn. Þá segir í svari rannsakenda við Háskóla Íslands að vísindasiðanefnd Háskólans hafi fjallað um þann þátt rannsóknarinnar sem laut að því að torvelt væri að upplýsa alla þátttakendur rannsóknarinnar um vinnslu persónuupplýsinga um þá nema með frekari samskiptum sem yrðu mjög kostnaðarsöm og myndu rýra mjög upplýsingagildi niðurstaðna rannsóknarinnar. Vísindasiðanefndin hafi talið þessa framkvæmd samrýmast vísindasiðareglum og gefið rannsókninni jákvæða umsögn. Með hliðsjón af valdsviði Persónuverndar skal tekið fram að það heyrir ekki undir stofnunina að meta siðferðisleg álitamál tengd vísindarannsóknum. Hins vegar er það hlutverk Persónuverndar að meta hvort persónuupplýsingar séu unnar í samræmi við framangreindar meginreglur persónuverndarlaga. Í því máli sem hér er til umfjöllunar voru persónuupplýsingar um kjósendur fengnar frá Þjóðskrá Íslands og þær notaðar til þess að framkvæma rannsókn með þátttöku þeirra, án þeirra vitundar. Fól rannsóknin í sér að þessum einstaklingum voru send bréf og smáskilaboð með texta sem var gildishlaðinn og í þeim bréfum þar sem rætt var um skyldu til að kjósa var hann auk þess rangur. Ekki er mælt fyrir um slíka kosningaskyldu í íslenskum lögum. Þá voru bréfin og smáskilaboðin til þess fallin að hafa áhrif á hegðun viðtakenda þeirra í kosningunum, auk þess sem þau voru öll merkt Reykjavíkurborg og gáfu þannig ekki til kynna að aðrir aðilar stæðu á bak við sendingu þeirra. Uppruni skilaboðanna og tilgangur þeirra var því ekki skýr. Rannsakendum þarf að vera ljóst að við framkvæmd rannsókna hér á landi, hvers eðlis sem þær eru, þarf að fara að persónuverndarlögum.

3.2

Bréf til kvenna 80 ára og eldri og erlendra ríkisborgara

Í málinu liggur fyrir að tilgangur Reykjavíkurborgar, með vinnslu persónuupplýsinga frá Þjóðskrá Íslands um konur 80 ára og eldri og erlenda ríkisborgara, var að senda þeim bréf í því skyni að auka kosningaþátttöku þeirra. Að mati Persónuverndar voru bréf Reykjavíkurborgar til kvenna 80 ára og eldri og erlendra ríkisborgara ekki einungis til upplýsinga og fræðslu heldur höfðu þau einnig að geyma hvatningu til að kjósa. Hins vegar er ljóst að allir í umræddum hópum fengu sams konar bréf. Þá voru bréfin ekki send sem þáttur í rannsókn með sama hætti og bréf til kjósenda sem höfðu kosningarétt í fyrsta sinn fyrir aldurs sakir.

Eins og fyrr greinir var í 5. tölulið 1. mgr. 8. gr. laga nr. 77/2000 mælt fyrir um heimild til vinnslu persónuupplýsinga væri hún nauðsynleg vegna verks sem unnið var í þágu almannahagsmuna. Tekið skal fram í því sambandi að Persónuvernd telur engin rök standa til þess að upplýsa þurfi konur 80 ára og eldri um kosningarrétt þeirra. Þá er áréttað það sem greinir í kafla 3.1 um þær kröfur sem gera verður um gagnsæi og fyrirsjáanleika við vinnslu persónuupplýsinga. Eins og þar kemur fram telur Persónuvernd að gera verði ríkar kröfur í því sambandi við notkun kjörskráa. Telur Persónuvernd það ekki samrýmast þeim kröfum að opinberir aðilar sendi tilteknum hópum kjósenda hvatningu um að nýta kosningarétt sinn í aðdraganda kosninga. Þegar af þeirri ástæðu telur Persónuvernd umrædda sendingu bréfa til kvenna 80 ára og eldri og erlendra ríkisborgara ekki geta fallið undir 5. tölulið 8. gr. laga nr. 77/2000 eða aðrar heimildir sama ákvæðis. Var vinnsla persónuupplýsinga vegna sendingar bréfanna því ekki í samræmi við lög nr. 77/2000.

3.3

Listar frá Þjóðskrá Íslands

Um heimild Þjóðskrár Íslands til þess að afhenda Reykjavíkurborg umbeðna lista yfir tiltekna hópa einstaklinga er helst að líta til 3. töluliðar 1. mgr. 8. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sem kvað á um að heimilt væri að vinna persónuupplýsingar væri vinnslan nauðsynleg til að fullnægja lagaskyldu sem hvíldi á ábyrgðaraðila.

Samkvæmt 1. gr. laga nr. 54/1962, um þjóðskrá og almannaskráningu, annast Þjóðskrá Íslands almannaskráningu. Samkvæmt 2. tölulið 1. mgr. 3. gr. laganna skal Þjóðskrá Íslands láta sveitarstjórnum í té stofn að kjörskrá þegar sveitarstjórnarkosningar eiga að fara fram. Sveitarstjórnir skulu gera kjörskrár á grundvelli þeirra þegar boðað hefur verið til sveitastjórnarkosninga, sbr. 4. gr. laga nr. 5/1998, um kosningar til sveitarstjórna. Að þessum ákvæðum virtum telur Persónuvernd ljóst að Þjóðskrá Íslands hafði heimild á grundvelli 3. töluliðar 1. mgr. 8. gr. laga nr. 77/2000 til að vinna með persónuupplýsingar í því skyni að sinna því lögbundna hlutverki sínu sem lýtur að því að afhenda sveitarstjórnum kjörskrárstofna. Hins vegar fela þau lagaákvæði sem að framan greinir ekki í sér heimild til handa Þjóðskrá Íslands til þess að afhenda sveitarstjórnum lista yfir tiltekna hópa kjósenda eftir tilteknum breytum.

Samkvæmt 18. gr. laga nr. 54/1962 skal Þjóðskrá Íslands jafnframt láta embættum og sveitarstjórnum í té hvers konar upplýsingar um einstaklinga sem skrár hennar og önnur gögn hafa að geyma enda þurfi þau upplýsingarnar vegna embættisrekstrar eða hliðstæðra verka. Í því máli sem hér um ræðir verður að líta til þess að vinnsla persónuupplýsinga hjá Þjóðskrá Íslands fól ekki eingöngu í sér að Reykjavíkurborg voru látnar í té upplýsingar um tiltekna einstaklinga úr skrám stofnunarinnar heldur fól vinnslan í sér að útbúnir voru og afhentir umbeðnir listar eftir gefnum breytum. Þá liggur fyrir að Reykjavíkurborg óskaði ekki eftir upplýsingunum með vísan til þess að þær væru nauðsynlegar vegna embættisrekstrar borgarinnar eða hliðstæðra verka. Er það því mat Persónuverndar að Þjóðskrá Íslands hafi ekki haft heimild til vinnslunnar á grundvelli 3. töluliðar 1. mgr. 8. gr. laga nr. 77/2000 vegna lagaskyldu sem hvíldi á stofnuninni samkvæmt 18. gr. laga nr. 54/1962. Þá verður ekki séð að Þjóðskrá Íslands hafi borið lagaskylda til vinnslunnar samkvæmt öðrum ákvæðum laga. Í því sambandi er rétt að taka fram að 3. mgr. 19. gr. laga nr. 54/1962, sem vísað er til í bréfi Þjóðskrár Íslands, felur aðeins í sér reglugerðarheimild til handa ráðherra.

Þjóðskrá Íslands vísar í svarbréfi sínu til þess að í beiðni Reykjavíkurborgar um listana hafi komið fram að ákveðið hafi verið að grípa til aðgerða til að auka kosningaþátttöku tiltekinna hópa sem hafi í undanförnum kosningum átt undir högg að sækja með tilliti til kjörsóknar. Umræddar upplýsingar yrðu nýttar til þess að upplýsa þessa hópa einstaklinga um kosningarétt þeirra. Á grundvelli þess rökstuðnings hafi Þjóðskrá Íslands samþykkt að gera umbeðna vinnslu með vísan til 5. töluliðar 1. mgr. 8. gr. laga nr. 77/2000, sem kvað á um að heimilt væri að vinna persónuupplýsingar væri vinnslan nauðsynleg vegna verks sem væri unnið í þágu almannahagsmuna. Með hliðsjón af hlutverki Þjóðskrár og þeim upplýsingum sem Þjóðskrá voru veittar í framangreindum beiðnum verður ekki talið að stofnuninni hafi borið að endurskoða mat Reykjavíkurborgar um þá almannahagsmuni sem vísað var til sem grundvöll fyrir vinnslu umræddra persónuupplýsinga. Þjóðskrá Íslands hafi þar af leiðandi verið heimilt að afhenda Reykjavíkurborg umrædda lista á grundvelli heimildar í 5. tölulið 1. mgr. laga nr. 77/2000.

Hvað varðar lista yfir erlenda ríkisborgara, sem hlotið höfðu kosningarrétt frá síðustu sveitarstjórnarkosningum, hefur komið fram að hann var með upplýsingum um kyn og ríkisfang viðkomandi einstaklinga. Upplýsingar um ríkisfang teljast ekki vera upplýsingar um uppruna fólks, sbr. skilgreiningu a-liðar 8. töluliðar 2. gr. laga nr. 77/2000, og þar af leiðandi ekki viðkvæmar persónuupplýsingar. Hins vegar var kveðið á um það í 3. tölulið 1. mgr. 7. gr. sömu laga að við vinnslu persónuupplýsinga skyldi gæta að því að þær væru nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt væri miðað við tilgang vinnslunnar. Að mati Persónuverndar voru upplýsingar um kyn og ríkisfang viðkomandi einstaklinga umfram það sem nauðsynlegt var miðað við tilgang umræddrar vinnslu, eins og honum var lýst af hálfu Reykjavíkurborgar.

4.

Svör Reykjavíkurborgar og rannsakenda við erindum Persónuverndar

Með bréfum Persónuverndar til Reykjavíkurborgar og rannsakenda við Háskóla Íslands, dagsettum 12. júní 2018, var innt eftir svörum við því hvers vegna Persónuvernd var aðeins upplýst um afmarkaðan þátt málsins af hálfu þessara aðila í upphaflegu erindi þeirra frá 3. maí síðastliðnum. Fyrir liggur að eftir símtal við mannréttindastjóra Reykjavíkurborgar óskaði Persónuvernd eftir því í síðara bréfi sínu, dagsettu 14. maí 2018, að stofnuninni yrðu afhent öll þau gögn sem málið varðar. Bréfið var eingöngu sent Reykjavíkurborg en ekki rannsakendum við Háskóla Íslands. Í kjölfarið fékk Persónuvernd bréf frá mannréttindastjóra Reykjavíkurborgar, dagsett 17. maí 2018, og meðfylgjandi þau bréf sem til stóð að senda ungum kjósendum og listi yfir kjördeildir sem sýndi hvert fyrirhugað var að senda hverja tegund af bréfi. Í því bréfi var ekki greint frá því að smáskilaboð yrðu aðeins send á helming ungra kjósenda eða að til stæði að senda konum 80 ára og eldri og innflytjendum og erlendum ríkisborgurum bréf, þrátt fyrir fyrrgreinda ósk Persónuverndar um að vera send öll gögn sem málið varðaði. Upplýsingar um bréf til kvenna 80 ára og eldri og innflytjenda og erlendra ríkisborgara bárust Persónuvernd fyrst 19. maí síðastliðinn, eftir að fjallað var um þau bréf í frétt Ríkisútvarpsins og Persónuvernd óskaði eftir þeim. Loks var ekki upplýst um fyrirkomulag smáskilaboðanna fyrr en með bréfi Reykjavíkurborgar og rannsakenda við Háskóla Íslands, dagsettu 22. maí 2018.

Framangreind samskipti Persónuverndar og Reykjavíkurborgar og rannsakenda við Háskóla Íslands voru öll í gildistíð þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Samkvæmt 1. mgr. 38. gr. þeirra laga gat Persónuvernd krafið ábyrgðaraðila, vinnsluaðila og þá sem störfuðu á þeirra vegum um allar þær upplýsingar og skriflegar skýringar sem henni voru nauðsynlegar til þess að rækja hlutverk sitt, þar á meðal þær upplýsingar sem hún þurfti til að geta metið hvort tiltekin starfsemi eða vinnsla félli undir ákvæði laganna.

Bréf Persónuverndar við upphaf þessa máls voru eingöngu send Reykjavíkurborg en ekki rannsakendum við Háskóla Íslands. Að því virtu er ekki hægt að átelja rannsakendur fyrir að hafa ekki orðið við óskum Persónuverndar um upplýsingar og gögn sem málið vörðuðu.

Í svörum Reykjavíkurborgar hafa hins vegar ekki komið fram fullnægjandi skýringar á því hvers vegna Persónuvernd voru ekki veittar upplýsingar um alla þætti málsins eftir að stofnunin óskaði sérstaklega eftir því með bréfi, dagsettu 14. maí 2018. Að mati Persónuverndar verður að telja það alvarlegt að ábyrgðaraðili að vinnslu persónuupplýsinga, sem í þessu tilviki er stærsta sveitarfélag landsins, skuli láta undir höfuð leggjast að svara fyrirspurnum eftirlitsvalds með skýrum og fullnægjandi hætti. Verður það að teljast ámælisvert í ljósi eftirlitshlutverks stofnunarinnar samkvæmt 1. mgr. og 2. og 6. tölulið 3. mgr. 37. gr. laga nr. 77/2000.

Á k v ö r ð u n a r o r ð :

Vinnsla Reykjavíkurborgar og rannsakenda við Háskóla Íslands á persónuupplýsingum frá Þjóðskrá Íslands, sem fólst í að senda mismunandi skilaboð til ungra kjósenda fyrir sveitarstjórnarkosningarnar í maí 2018, samrýmdist ekki lögum nr. 77/2000.

Vinnsla Reykjavíkurborgar á persónuupplýsingum frá Þjóðskrá Íslands, sem fólst í að senda skilaboð til kvenna 80 ára og eldri og erlendra ríkisborgara fyrir sveitarstjórnarkosningarnar í maí 2018, samrýmdist ekki lögum nr. 77/2000.

Vinnsla Þjóðskrár Íslands á persónuupplýsingum sem fól í sér afhendingu upplýsinga til Reykjavíkurborgar um kyn og ríkisfang erlendra ríkisborgara samrýmdist ekki lögum nr. 77/2000.

Ámælisvert er að Reykjavíkurborg hafi ekki veitt Persónuvernd upplýsingar um alla þætti málsins eftir að stofnunin óskaði sérstaklega eftir því með bréfi, dagsettu 14. maí 2018.