Ákvörðun um gagnagrunn með skattskrárupplýsingum

Mál nr. 2018/1507

29.11.2018

Ákvörðun

 

Á fundi stjórnar Persónuverndar hinn 28. nóvember 2018 var tekin svohljóðandi ákvörðun í máli nr. 2018/1507:

I.

Málsmeðferð

1.

Upphaf máls – Ósk um skýringar og gögn

Í tilefni af fréttaflutningi um að fyrirtækið Viskubrunnur ehf. hefði komið á fót gagnagrunni með skattskrám fyrir árið 2016 í heild sinni og gert aðgengilegan á vefsíðunni tekjur.is ákvað Persónuvernd að hefja athugun á því hvort slík vinnsla samrýmdist lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Með bréfi til [A] hrl. og lögmanns Viskubrunns, dags. 17. október 2018, var tilkynnt um að ákveðið hefði verið að hefja slíka athugun en jafnframt vakin athygli á að í tengslum við hana kynni eftir atvikum að vera tilefni til að Persónuvernd beitti valdheimildum sínum, þ. á m. til takmörkunar eða banns við vinnslu tímabundið eða til frambúðar, sbr. 6. tölul. 42. gr. laganna. Var félaginu veittur kostur á að koma á framfæri sjónarmiðum sínum varðandi vinnsluna, auk þess sem sérstaklega var óskað svara um eftirfarandi:

1. Á hvaða heimild framangreind vinnsla persónuupplýsinga hjá Viskubrunni ehf. væri byggð, sbr. 9. gr. laga nr. 90/2018.
   
2. Hvernig umrædd vinnsla samrýmdist meginreglum 8. gr. laga nr. 90/2018, einkum 1. og 4. tölul. 1. mgr. þeirrar greinar.
   
3. Hvaðan umræddar upplýsingar væru fengnar og hvernig þær hefðu verið unnar úr upprunalegum gögnum, eftir atvikum með yfirfærslu þeirra af pappír á rafrænt form, sem og hvort afhending þeirra til Viskubrunns ehf. hefði verið bundin einhverjum skilyrðum og þá hverjum, s.s. á grundvelli 5. gr. laga nr. 45/2018 um endurnot opinberra upplýsinga.
   
4. Hvaða viðeigandi tæknilegar og skipulagslegar ráðstafanir hefðu verið gerðar til að tryggja og sýna fram á að vinnsla persónuupplýsinga uppfyllti kröfur laga nr. 90/2018, sbr. 24. gr. þeirra laga.
   
5. Hvort gerður hefði verið vinnslusamningur við hýsingaraðila fyrrgreindrar vefsíðu, sbr. 25. gr. laga nr. 90/2018.
   
6. Hvort Viskubrunnur ehf. hefði útbúið vinnsluskrá, sbr. 26. gr. laga nr. 90/2018.
   
7. Hvort Viskubrunnur ehf. hefði látið fara fram mat á áhrifum á persónuvernd og hver hefði verið niðurstaða þess, sbr. 29. gr. laga nr. 90/2018. Hefði framangreint mat ekki farið fram var óskað upplýsinga um hvaða sjónarmið hefðu ráðið því að slíkt mat fór ekki fram áður en vinnslan hófst.
   

Þá óskaði Persónuvernd eftir afriti af öllum þeim gögnum sem fyrir kynnu að liggja um vinnsluna.

 

2.

Svör fyrir hönd Viskubrunns ehf.

Hinn 23. október 2018 barst Persónuvernd frá fyrrnefndum lögmanni vinnsluskrá Viskubrunns ehf., sem og vinnslusamningur félagsins við Jökulá ehf., dags. 1. október 2018, vegna notkunar hugbúnaðar frá fyrirtækinu við rekstur vefsíðunnar tekjur.is. Þá hefur Persónuvernd borist svar frá lögmanninum, dags. 30. október 2018, við framangreindu erindi stofnunarinnar. Þar er vísað til þess að samkvæmt 1. mgr. 5. gr. laga nr. 90/2018, sem sett voru til innleiðingar á reglugerð (ESB) 2016/679, ganga sérákvæði annarra laga um vinnslu persónuupplýsinga, sem sett eru innan ramma reglugerðar (ESB) 679/2018, framar ákvæðum laganna. Einnig segir að sérstaklega sé mælt fyrir um það í lokamálslið 2. mgr. 98. gr. laga nr. 90/2003 um tekjuskatt að heimil sé opinber birting á upplýsingum í skattskrám um álagða skatta, svo og opinber birting þeirra upplýsinga í heild eða að hluta. Því sé ljóst að mati Viskubrunns ehf. að hér ræði um slíkt sérákvæði og að framan greinir. Þá er vísað til athugasemda við 1. mgr. 5. gr. í greinargerð með því frumvarpi sem varð að lögum nr. 90/2018, m.a. þess sem þar greinir um að sérákvæði annarra laga geti gengið framar persónuverndarlöggjöf á grundvelli almennra sjónarmiða um „lex specialis“.

Einnig er í bréfi lögmannsins rakin forsaga ákvæðis lokamálsliðar 2. mgr. 98. gr. laga nr. 90/2003. Bent er á að samhljóða ákvæði var fyrst sett í skattalöggjöf með lögum nr. 7/1984 um breytingu á þágildandi lögum nr. 75/1981 um tekjuskatt og eignarskatt. Í nefndaráliti (þskj. 238 á 106. löggjafarþingi), útgefnu við meðferð þess frumvarps sem varð að lögunum, hafi verið vikið að niðurstöðu Tölvunefndar, forvera Persónuverndar, þess efnis að óheimilt væri að gefa út skattskrár, en fram hafi komið að sú niðurstaða hefði orkað mjög tvímælis að mati fjármálaráðuneytisins. Samkvæmt nefndarálitinu hafi verið talið ótvírætt að birting upplýsinga úr skattskrám og útgáfa þeirra í heild væri til þess fallin að skapa gjaldendum og skattyfirvöldum virkt aðhald. Auk þess hafi verið lýst yfir mikilvægi þess að sá aðgangur, sem almenningur hafði haft að skattskrárupplýsingum áratugina á undan, yrði ekki þrengdur og þar með tekið fyrir þá umræðu um skattamál sem gjarnan hefði fylgt birtingu upplýsinganna. Þá er í bréfi lögmannsins vitnað til þeirra ummæla í framsöguræðu fyrir tillögunni að umræddu ákvæði, fluttri af meirihluta fjárhags- og viðskiptanefndar, að fyrrnefnd úrlausn Tölvunefndar hefði að sjálfsögðu orkað mjög tvímælis. Hafi því einnig verið lýst yfir í ræðunni að til þess að koma í veg fyrir misskilning og taka ákveðna afstöðu væri tillagan flutt, enda væri nauðsynlegt að áliti meirihluta nefndarinnar að skattskrár gætu legið fyrir og að allir hefðu aðgang að þeim þegar álagningu væri endanlega lokið og kærufrestur liðinn (Alþt. 1983–1984, B3, d. 2731).

Með vísan til framangreinds segir í bréfi lögmannsins að enginn vafi leiki á um að umrætt sérákvæði í lögum nr. 90/2003 hafi beinlínis verið sett í því skyni að koma í veg fyrir hindrun á útgáfu skattskráa og þar með aðgang allra að þeim upplýsingum sem þar er að finna um álagða skatta. Sé umrædd birting skattskrárupplýsinga á vegum Viskubrunns ehf. því heimil á grundvelli ákvæðisins og falli hún utan gildissviðs laga nr. 90/2018 og þar með valdheimilda Persónuverndar.

Að auki er í bréfi lögmannsins vísað til 86. gr. reglugerðar (ESB) 2016/679, þess efnis að meðal annars stjórnvöldum sé heimilt að afhenda persónuupplýsingar úr opinberum skjölum, sem varðveitt eru vegna lögbundins verkefnis í þágu almannahagsmuna, til að samræma réttinn til aðgangs almennings að opinberum skjölum og réttinn til verndar persónuupplýsinga, sbr. einnig 154. lið formálsorða reglugerðarinnar þar sem þetta er áréttað og meðal annars tekið fram að almannahagsmunir séu af aðgangi almennings að opinberum skjölum. Er þeirri afstöðu lýst að 2. mgr. 5. gr. laga nr. 90/2018, þar sem tekið er fram að þau lög takmarki ekki þann rétt til aðgangs að gögnum sem mælt er fyrir um í stjórnsýslulögum og upplýsingalögum, sé of þröngt orðuð þegar litið sé til fyrrnefnds ákvæðis 86. gr. reglugerðarinnar. Kemur nánar tiltekið fram sú afstaða í bréfi lögmannsins að auk stjórnsýslulaga og upplýsingalaga ætti lokamálsliður 2. mgr. 98. gr. laga nr. 90/2003 að vera á meðal þeirrar löggjafar um aðgang að upplýsingum hjá stjórnvöldum sem lög nr. 90/2018 ættu að víkja fyrir. Þá er tekið fram í bréfi lögmannsins að samkvæmt 3. mgr. 5. gr. laga nr. 90/2018 gangi reglugerð (ESB) 2016/679 framar ákvæðum laga nr. 90/2018. Kemur nánar tiltekið fram sú afstaða lögmannsins að þau lög takmarki ekki heimildir samkvæmt umræddu ákvæði laga nr. 90/2003 fremur en þegar um ræði upplýsingalög og stjórnsýslulög.

Í tengslum við framangreint er í bréfi lögmannsins vísað til þess að í 2. mgr. 98. gr. laga nr. 90/2018 er, auk umræddrar birtingar- og útgáfuheimildar, mælt fyrir um skyldu ríkisskattstjóra til að leggja skattskrár fram til sýnis í tvær vikur að lokinni álagningu skatta og kærumeðferð. Í því sambandi segir í bréfinu að þegar til staðar sé lagaákvæði um rétt almennings til aðgangs að upplýsingum sé jafnframt talið heimilt að lögum að birta slíkar upplýsingar opinberlega eins og fram komi í áliti umboðsmanns Alþingis frá 9. febrúar 2009 í máli 5142/2007. Að auki segir að almennt sé ekki hægt að líta svo á að upplýsingar, sem gerðar hafi verið opinberar með lögmætum hætti, séu upplýsingar um einkamálefni sem óheimilt sé að greina frá, en þetta komi fram í úrskurði úrskurðarnefndar um upplýsingamál frá 11. september 2017 í máli nr. 704/2017 þar sem fjallað hafi verið um skyldu stjórnvalds til að birta upplýsingar sem að öllu jöfnu teljist til viðkvæmra persónuupplýsinga. Þá er tekið fram í bréfi lögmannsins að Alþingi hafi tekið til þess pólitíska afstöðu að hvaða marki upplýsingar um tekjur og skatta einstaklinga teljist til upplýsinga um einkamálefni, þ. á m. með 2. mgr. 98. gr. laga nr. 90/2003 sem feli í sér mikilvæga undantekningu frá hinni almennu þagnarskyldu ríkisskattstjóra. Í ljósi 2. gr. stjórnarskrárinnar um þrískiptingu ríkisvaldsins sé það ekki í verkahring stjórnvalds að breyta þeirri afstöðu sem þar birtist.

Einnig er í bréfi lögmannsins lýst þeirri afstöðu að umrædd birting persónuupplýsinga feli í sér fjölmiðlun sem falli undir 1. mgr. 6. gr. laga nr. 90/2018, þess efnis að víkja megi frá ákvæðum laganna og reglugerðar (ESB) 2016/679 til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar, sem og að einungis tiltekin ákvæði reglugerðarinnar og laganna gildi þegar persónuupplýsingar eru eingöngu unnar í þágu meðal annars fréttamennsku. Að auki er vísað til 85. gr. reglugerðarinnar þar sem gert er ráð fyrir undantekningum frá ákvæðum hennar í þágu tjáningarfrelsis, svo og þess að samkvæmt formálsorðum reglugerðarinnar ber nauðsyn til rúmrar túlkunar á hugtökum tengdum tjáningarfrelsi, þ. á m. fréttamennsku, sbr. 153. lið formálsorðanna. Segir að þar sé um að ræða skýringarsjónarmið sem byggt hafi verið á í framkvæmd Evrópudómstólsins, sbr. dóm hans frá 16. desember 2008 í máli nr. C-73/07 (56. lið). Afstaða Viskubrunns ehf. sé sú að umrædd birting skattskrárupplýsinga þjóni eingöngu þeim tilgangi að miðla almenningi með skilvirkum hætti staðfestum upplýsingum sem skattyfirvöld hafi þegar birt í skattskrám og allir borgarar landsins hafi aðgang að. Birtingu upplýsinganna sé ætlað að stuðla að umræðu um tekjuskiptingu í samfélaginu og framlagi einstaklinga til uppbyggingar þess, en slíkt hljóti að teljast grundvallaratriði í lýðræðislegri umræðu. Sé birtingin því í meginatriðum ekkert frábrugðin miðlun upplýsinga sem gengist hafi verið fyrir í svonefndum tekjublöðum Frjálsrar verslunar og DV og sem Persónuvernd hafi ekki talið sig hafa heimildir að lögum til að hafa afskipti af, sbr. ákvarðanir stofnunarinnar, dags. 18. september 2018, í málum nr. 2017/1001 og 2017/1068. Telji Viskubrunnur ehf. að öll þau rök sem byggt var á í þessum ákvörðunum eigi við um þá birtingu sem hér um ræðir að breyttu breytanda, en jafnframt sé þó bent á þann grundvallarmun á þeirri birtingu og birtingunni sem fjallað var um í ákvörðunum að sú fyrrnefnda byggi á sterkari lagagrundvelli. Nánar tiltekið hafi ákvarðanirnar lotið að birtingu upplýsinga úr álagningarskrám samkvæmt 1. mgr. 98. gr. laga nr. 90/2003, en ekkert sé þar fjallað um heimild til birtingar þeirra upplýsinga. Í lokamálslið 2. mgr. sömu greinar sé hins vegar tekið af skarið um heimild til birtingar upplýsinga úr skattskrám.

Í þessu sambandi er tekið fram í bréfi lögmannsins að sá grundvallarmunur sé á miðlun upplýsinga úr álagningarskrám annars vegar og skattskrám hins vegar að fyrrnefndu skrárnar hafi ekki að geyma endanlegar upplýsingar um álagða skatta heldur einungis upplýsingar skattyfirvalda á grundvelli framtals eða áætlaðra tekna hafi framtali ekki verið skilað. Þessu sé ólíkt farið með skattskrár, enda byggi þær á endanlegum upplýsingum um álagða skatta eftir að kærufrestur sé liðinn og ríkisskattstjóri hafi úrskurðað um kærur. Því samrýmist það mun betur hinni almennu meginreglu um áreiðanleika persónuupplýsinga, sbr. 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018, að birta upplýsingar úr skattskrám fremur en úr álagningarskrám. Þá gefi hinar endanlegu, staðfestu og áreiðanlegu upplýsingar úr skattskrám heildræna mynd af tekjuskiptingunni í samfélaginu og ólíkri skattbyrði launa- og fjármagnstekna sem jafnt fjölmiðlar sem þátttakendur í hinni samfélagslegu umræðu geti nýtt sér og vísað til. Hafi þetta meðal annars komið fram af hálfu forystufólks úr stjórnmálum og verkalýðshreyfingunni. Þá hafi verið bent á hversu mikilvæga þýðingu umrædd birting kunni að hafa til að draga úr fjárhagslegu misrétti kynjanna sem birtist í kynbundnum launamun, en hann sé alvarlegt mein í íslensku samfélagi. Umræðan, sem birtingin hafi í för með sér, sé því mun almennari og ígrundaðri en sú persónubundna og brotakennda umræða sem skapist þegar tekjublöðin og fleiri fjölmiðlar velji þúsundir einstaklinga af handahófi og birti þar óstaðfestar tekjur þeirra.

Þeirri afstöðu er lýst í bréfi lögmannsins að í ljósi framangreinds sé hætta á því að íhlutun Persónuverndar sem opinberrar stofnunar í starfsemi umræddrar vefsíðu muni hafa veruleg áhrif í átt til takmörkunar á umræðu um mikilvæg grundvallaratriði í lýðræðislegu samfélagi. Yfirgnæfandi rök mæli með því að hér sé vikið frá ákvæðum laga nr. 90/2018 í þágu fjölmiðlunar og að dómstólar séu í betri aðstöðu til að skera hér úr um mörk tjáningarfrelsis og friðhelgi einkalífs, sbr. þau sjónarmið sem Persónuvernd hafi vísað til í fyrrgreindum málum nr. 2017/1068 og 2017/1001. Leiki enginn vafi á því að umrædd birting sé í þágu fjölmiðlunar og hafi það ekki þýðingu í því sambandi hvort Viskubrunnur ehf. teljist fjölmiðill í skilningi laga nr. 38/2011 um fjölmiðla, enda hafi formleg staða þess sem vinni með upplýsingar ekki áhrif á beitingu 1. mgr. 6. gr. laga nr. 90/2018 heldur í hvaða tilgangi upplýsingarnar séu unnar. Þá hafi það ekki þýðingu að um sé að ræða umtalsvert magn upplýsinga. Alkunna sé að birting stórra gagnagrunna hafi undanfarin ár öðlast traustan sess í vinnu fjölmiðla, en til dæmis megi þar minnast gagnagrunna um Panamaskjölin og Bahamaskjölin, sem og vefsíðu Wikileaks. Engum detti í hug að bera brigður á að í þessum tilvikum hafi verið um að ræða birtingu í þágu fjölmiðlunar. Enn fremur sé birting gagnagrunna af þessu tagi nauðsynlegur þáttur í nútímafjölmiðlun þar sem samdráttur og tilsvarandi mannekla séu vandamál. Fjölmiðlar þurfi því í auknum mæli að treysta á ábendingar frá lesendum sem sumir hverjir hafi meiri þekkingu á þeim viðfangsefnum sem til umfjöllunar séu, sem og áhugaverðum atriðum í gagnagrunnum sem erindi eigi til almennings. Þá sé minnt á fyrrnefnda lögskýringarreglu í 153. lið formálsorða reglugerðar (ESB) 2016/679.

Að auki er tekið fram í bréfi lögmannsins að beiting valdheimilda Persónuverndar vegna umræddrar birtingar myndi ekki aðeins fela í sér takmörkun á tjáningarfrelsi, sbr. 73. gr. stjórnarskrárinnar, heldur einnig á atvinnufrelsi, sbr. 75. gr. stjórnarskrárinnar. Matskennd atriði sem lúti að beitingu valdheimilda samkvæmt lagaákvæðum, þar sem nýttar séu heimildir umræddra stjórnarskrárákvæða til takmörkunar á réttindum samkvæmt þeim, verði ekki túlkuð með rýmri hætti en leiði af orðanna hljóðan og skýrum vísbendingum í lögskýringargögnum, en þetta komi fram í áliti umboðsmanns Alþingis frá 2. desember 2005 í máli nr. 4388/2005. Í ljósi þessara sjónarmiða um túlkun stjórnarskrárvarinna réttinda og heimilda stjórnvalda í því sambandi telji Viskubrunnur ehf. að það verði að vera í verkahring dómstóla að leysa úr því hvort umrædd birting falli að sjónarmiðum um mörk tjáningarfrelsis og friðhelgi einkalífs með vísan til ákvæða stjórnarskrár.

Í framhaldi af þessu eru í bréfi lögmannsins veitt svör um þau einstöku atriði sem talin eru upp í fyrrgreindu bréfi Persónuverndar, dags. 17. október 2018. Þau svör eru sem hér greinir:

1. Hvað varðar heimild til vinnslu persónuupplýsinga á grundvelli 9. gr. laga nr. 90/2018 er áréttuð sú afstaða að umrædd birting falli utan gildissviðs þeirra laga. Jafnframt segir að taki Persónuvernd hins vegar ekki röksemdir fyrir því gildar telji Viskubrunnur ehf. birtinguna falla undir 5. tölul. 9. gr. laganna um heimild til vinnslu persónuupplýsinga vegna verks sem unnið sé í þágu almannahagsmuna. Vísað er til þess að samkvæmt athugasemdum við það ákvæði í greinargerð með því frumvarpi sem varð að lögunum telst vinnsla fara fram í þágu almannahagsmuna hafi hún þýðingu fyrir breiðan hóp manna. Þá segi meðal annars að vinnsla geti talist fara fram í þágu almannahagsmuna þótt hún fari ekki fram á vegum hins opinbera svo fremi hún þjóni hagsmunum breiðs hóps manna, sem og að fjárhagslegur tilgangur með vinnslu útiloki ekki slíka hagsmuni. Telji Viskubrunnur ehf. algerlega ljóst að þess háttar hagsmunir séu af umræddri birtingu sem fram fari í skjóli sérstakrar lagaheimildar lokamálsliðar 2. mgr. 98. gr. laga nr. 90/2003. Í því sambandi er vísað til þess sem fyrr greinir um efni nefndarálits sem lagt var fram í aðdraganda setningar laga nr. 7/1984 um breytingu á þágildandi lögum nr. 7/1981 um tekjuskatt og eignarskatt (þskj. 238 á 106. löggjafarþingi) og áréttað að umrædd birting fari fram í þeim tilgangi sem nefndarálitið gerði ráð fyrir. Þá er tekið fram að hún þjóni ekki markaðssetningartilgangi eins og til umfjöllunar var í ákvörðun Persónuverndar, dags. 18. september 2013 (mál nr. 2012/1203), sem og að söfnun upplýsinga af vefsíðunni tekjur.is feli í sér brot á skilmálum hennar og varði lokun aðgangs.
   
2. Hvað það varðar hvernig umrædd vinnsla samrýmist meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. einkum 1. og 4. tölul. þeirrar málsgreinar, er tekið fram að kröfu fyrrnefnda töluliðarins um gagnsæi við vinnslu persónuupplýsinga sé fullnægt. Nánar tiltekið segir að í ljósi þess að umrædd birting byggist eingöngu á þeirri heimild sem fram kemur í lokamálslið 2. mgr. 98. gr. laga nr. 90/2018 liggi afar skýrt fyrir hvaða upplýsingum um hina skráðu sé safnað, hvernig þær séu notaðar, skoðaðar eða unnar, en einnig sé greint frá því á vefsíðunni tekjur.is hvaða upplýsingar séu þar birtar, í hvaða tilgangi og hvernig unnt sé að fá þær leiðréttar sé tilefni til. Hverjum sem er megi auk þess vera ljóst að um ræði opinberar upplýsingar og að Alþingi hafi tekið þá afstöðu að þær séu ekki undiropnar friðhelgi einkalífs samkvæmt 71. gr. stjórnarskrárinnar, en samkvæmt framkvæmd Mannréttindadómstóls Evrópu og Evrópudómstólsins hafi þau ríki sem bundin eru af dómaframkvæmd þessara dómstóla verulegt svigrúm við að draga mörkin milli friðhelgi einkalífs, upplýsingaréttar almennings og tjáningarfrelsis þegar um ræði upplýsingar um fjármál einstaklinga, einkum um framlag þeirra í og úr opinberum sjóðum. Þá segir í tengslum við kröfuna um áreiðanleika persónuupplýsinga samkvæmt 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 að miðað sé við að upplýsingar úr skattskrám séu almennt staðfestar og réttar, enda sé einungis um að ræða upplýsingar birtar að liðnum kærufresti og eftir að ríkisskattstjóri hafi úrskurðað um kærur. Berist ósk um leiðréttingu á grundvelli laganna sé skoðað hvort uppgefin tala á umræddri vefsíðu samrýmist endanlegri útgáfu prentaðrar skattskrár frá ríkisskattstjóra, en Viskubrunnur ehf. hafi afrit af slíkum skrám fyrir árið 2016. Reynist talan samrýmast hinni prentuðu skrá sé eftir atvikum kallað eftir frekari upplýsingum frá þeim sem óski leiðréttingarinnar, m.a. um hvort hlutaðeigandi hafi kært ákvörðun um álagningu til yfirskattanefndar eða leitað úrlausnar dómstóla. Hafi hlutaðeigandi ekki gert það og upplýsingar um tekjur hans samrýmist hinni prentuðu skrá sé litið svo á að krafan um leiðréttingu eigi ekki við rök að styðjast.
   
3. Hvað það varðar hvernig umræddar upplýsingar voru fengnar, hvernig þær voru unnar úr upprunalegum gögnum og hvort afhending þeirra hafi verið bundin einhverjum skilyrðum segir að Viskubrunnur ehf. hafi fengið að þeim aðgang hjá ríkisskattsjóra á prentuðu formi. Hafi verið gengið úr skugga um að skrárnar hafi verið afhentar á lögmætum grundvelli og að þær væru því fullkomlega áreiðanlegar, en því næst hafi þær verið skannaðar og breytt í texta á rafrænu formi með þar til gerðum hugbúnaði, auk þess sem í kjölfarið hafi verið gerðar ítarlegar villuprófanir. Að auki er tekið fram að í þeirri útgáfu skattskráa sem Viskubrunnur ehf. hafi fengið í hendur hafi meðal annars verið birtar upplýsingar um greiddar vaxta- og barnabætur, sem og upplýsingar um álagða skatta einstaklinga undir 18 ára aldri. Þar sem ákvæði lokamálsliðar 2. mgr. 98. gr. laga nr. 90/2003 taki samkvæmt orðalagi sínu einungis til upplýsinga um álagða skatta hafi ekki verið unnið með upplýsingar um bætur, en ekki hafi verið talið fullvíst að þær féllu undir umrætt ákvæði. Þá segir að höfð hafi verið hliðsjón af meðalhófskröfu 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018.
   
4. Hvað varðar öryggi persónuupplýsinga er vísað til 24. gr. laga nr. 90/2018 og 25. gr. reglugerðar (ESB) 2016/679. Ekki er hins vegar fjallað sérstaklega um það hvort kröfum þessara ákvæða hafi verið álitið fullnægt og þá hvernig.
   
5. Hvað það varðar hvort gerður hafi verið vinnslusamningur við hýsingaraðila vefsíðunnar tekjur.is, sbr. 25. gr. laga nr. 90/2018, segir að slíkur vinnslusamningur liggi fyrir og að hann hafi þegar verið sendur Persónuvernd.
   
6. Hvað það varðar hvort útbúin hafi verið vinnsluskrá, sbr. 26. gr. laga nr. 90/2018, segir að slík skrá liggi fyrir og að hún hafi þegar verið send Persónuvernd.
   
7. Hvað það varðar hvort fram hafi farið mat á áhrifum á persónuvernd, sbr. 29. gr. laga nr. 90/2018, segir að í aðdraganda umræddrar birtingar hafi verið tekið til skoðunar hvort um ræddi vinnslu sem félli undir það ákvæði, þ.e. hvort um ræddi vinnslu sem haft gæti í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga. Hafi þá meðal annars verið litið til þess að löggjafinn hefði þegar tekið afgerandi afstöðu þess efnis að birting upplýsinga um álagða skatta væri heimil og að hið sama gilti um útgáfu upplýsinganna í heild eða að hluta. Einnig hafi verið litið til 10. mgr. 35. gr. reglugerðar (ESB) 2016/679 þar sem fram komi að þegar vinnsla eigi sér lagagrundvöll með nánar tilgreindum hætti og mat á áhrifum á persónuvernd hafi þegar farið fram við setningu löggjafarinnar þurfi slíkt mat ekki að fara fram að nýju nema aðildarríki telji slíkt nauðsynlegt áður en vinnsla hefjist. Hafi jafnframt verið komist að þeirri niðurstöðu að umrædd vinnslu hefði ekki í för með sér mikla áhættu fyrir réttindi og frelsi hinna skráðu, s.s. á þeim grundvelli að um ræddi kerfisbundið og umfangsmikið mat á persónulegum, einstaklingsbundnum þáttum sem byggðist á sjálfvirkri vinnslu og leiddi til töku ákvarðana sem hefðu veruleg áhrif á hagsmuni hlutaðeigandi, sbr. a-lið 3. mgr. 35. gr. reglugerðar (ESB) 2016/679. Hafi þá fyrst og síðast verið litið til þess að um ræddi opinberar upplýsingar sem hver og einn gæti nálgast hjá skattyfirvöldum sem bæri sig eftir því. Vinnsla upplýsinganna hafi enn fremur verið takmörkuð við þau markmið sem liggi að baki lokamálslið 2. mgr. 98. gr. laga nr. 90/2013 og hefði hún engin eða hverfandi réttaráhrif á hlutaðeigandi einstaklinga umfram það sem þegar leiddi af því ákvæði. 

3.

Aflað skýringa og gagna frá ríkisskattstjóra

Með bréfi, dags. 23. október 2018, óskaði Persónuvernd þess að ríkisskattstjóri upplýsti hvort embætti hans hefði afhent skattskrár fyrir árið 2016 í aðdraganda þess að umræddur gagnagrunnur var gerður aðgengilegur, hverjum skrárnar hefðu verið afhentar og hvort afhendingin hefði verið bundin einhverjum skilyrðum og þá hverjum. Svarað var með bréfi, dags. 25. október 2018. Þar segir að á grundvelli lokamálsliðar 2. mgr. 98. gr. laga nr. 90/2003 hafi ríkisskattstjóri afhent tveimur aðilum umræddar skrár og hafi þeim verið veitt heimild til útgáfu skránna. Annars vegar hafi þar verið um að ræða [B], sem hafi fengið skrárnar afhentar með bréfi ríkisskattstjóra, dags. 31. maí 2018, og hins vegar [C] f.h. G 47 ehf., en hann hafi fengið skrárnar afhentar tvisvar, þ.e. með bréfum, dags. 29. maí og 2. ágúst 2018. Ástæða þessa hafi verið sú að hann hafi upplýst ríkisskattstjóra um að það eintak skránna sem hann fékk afhent í fyrra skipið og sem hann síðar skilaði hefði verið gatað og því ekki hentað til afritunar.

Framangreind bréf til [B] og [C] f.h. G 47 ehf. voru hjálögð með bréfi ríkisskattstjóra. Í bréfunum, sem öll eru samhljóða, segir að veitt sé umbeðin heimild til útgáfu skattskráa á grundvelli fyrrgreinds ákvæðis. Einnig segir að útgáfan, sem og val á samstarfsaðilum varðandi dreifingu, sé á ábyrgð og kostnað viðtakanda. Sé gert að skilyrði að afhentu eintaki skattskráa verði skilað jafnskjótt og afritun vegna útgáfunnar ljúki, eða í síðasta lagi innan sex vikna frá móttöku skránna. Þá er áréttað að afhent eintak skattskráa megi eingöngu nota til hefðbundinnar útgáfu og sé því með öllu óheimilt að afhenda öðrum aðilum eintakið til afritunar með einum eða öðrum hætti.

 

4.

Frekari skýringar og gögn frá lögmanni Viskubrunns ehf.

Með bréfi til lögmanns Viskubrunns ehf., dags. 9. nóvember 2018, áréttaði Persónuvernd ósk sína um skýringar um hvort afhending ríkisskattstjóra á umræddum upplýsingum hefði verið bundin einhverjum skilyrðum og þá hverjum, þ. á m. á grundvelli 5. gr. laga nr. 45/2018. Þá áréttaði Persónuvernd ósk um gögn um þetta atriði. Svarað var með bréfi, dags. 12. nóvember 2018, þar sem segir að af hálfu ríkisskatttjóra hafi ekki verið vísað til fyrrgreindra laga. Þá eru rakin helstu efnisatriði fyrrnefndra bréfa ríkisskattstjóra til G 47 ehf., dags. 29. maí og 2. ágúst 2018, en þau voru hjálögð með bréfi lögmannsins, auk fleiri gagna, þ. á m. bréfs G 47 ehf. til ríkisskattstjóra, dags. 9. apríl 2018, þar sem farið er fram á afhendingu skattskráa í hverju sveitarfélagi í rafrænni mynd um leið og þær verði lagðar fram á grundvelli 2. mgr. 98. gr. laga nr. 90/2003 en til vara á útprentuðu formi. Jafnframt segir meðal annars að telja verði ljóst að með orðalagi 2. mgr. 98. gr. laga nr. 90/2018, sem og með orðalagi í fyrrgreindu nefndaráliti (þskj. 238 á 106. löggjafarþingi), hafi Alþingi tekið af öll tvímæli um að heimilt sé að birta upplýsingar um álagða skatta sem fram koma í skattskrám, svo og að gefa þær út í heild eða hluta. Þá er tekið fram að til G 47 ehf. hafi leitað nokkrir aðilar sem hafi til skoðunar með hvaða hætti megi stuðla að vandaðri og upplýstari umræðu um skattamál í íslensku samfélagi. Ein af grundvallarforsendum slíkrar umræðu sé sú að fyrir liggi traustar upplýsingar um skattamál sem jafnframt séu aðgengilegar.

Með bréfi lögmannsins var hjálagt afrit af svari ríkisskattstjóra, dags. 9. apríl 2018, við framangreindri beiðni G 47 ehf. um skattskrár á rafrænu formi. Samkvæmt svarinu er á því byggt af hálfu ríkisskattstjóra að ekki verði horfið frá þeirri áratuga framkvæmd við útgáfu skattskrár sem tíðkast hafi nema með lagabreytingu. Er í því sambandi meðal annars vísað til bréfs frá fjármálaráðuneytinu í tengslum við beiðni um afhendingu skattskráa á rafrænu formi, dags. 4. september 1998, en þar tók ráðuneytið fram að skattstjórar hefðu enn sem komið væri ekki tekið ákvörðun um að heimila afhendingu skattskráa á rafrænu formi til rafrænnar birtingar og væri því ekki til staðar lögvarinn réttur til slíkrar afhendingar. Þá segir að ríkisskattstjóri telji sér hvorki rétt né skylt að verða við ósk um afhendingu rafrænna skattskrárupplýsinga að virtum heildaráhrifum birtingar á því formi gagnvart því að viðhaldið sé því trausti að skattgagna sé almennt gætt að baki þagnarmúrs skattyfirvalda, sbr. 117. gr. laga nr. 90/2003.

Að auki var með bréfi lögmannsins hjálagt afrit af bréfi G 47 ehf., dags. 26. apríl 2018, þar sem ósk um afhendingu skattskrár á rafrænu formi er ítrekuð með vísan til meðal annars 1. mgr. 18. gr. upplýsingalaga nr. 140/2012, þess efnis meðal annars að stjórnvöld skuli, við veitingu aðgangs að gögnum til almennings á grundvelli laganna, eftir því sem við verði komið veita aðganginn á því formi eða sniði sem þau séu varðveitt á. Afrit af svari ríkisskattstjóra, dags. 22. maí 2018, var einnig á meðal fylgigagna með bréfi lögmannsins. Vísað er til þess í svarinu að ákvæði lokamálsliðar 2. mgr. 98. gr. laga nr. 90/2018 hafi upphaflega verið fært í íslenska löggjöf með lögum nr. 7/1984 til að festa í sessi að heimil væri opinber birting á skattskrám svo sem verið hefði þannig að ekki yrði þrengdur sá aðgangur sem almenningur hefði haft að upplýsingum, þ.e. kaup á riti frá þeim sem hefði útgáfu skattskráa með höndum. Í samræmi við það hafi þeim sem hyggist gefa út skattskrár verið afhent eintök til afritunar og útgáfu, en sú afhending standi G 47 ehf. til boða með þeim hefðbundna hætti og á þeim forsendum svo sem verið hefði.

Einnig er tekið fram í umræddu svari ríkisskattstjóra að hvarvetna, þar sem rafræn samskipti við skattaðila eða birting upplýsinga með rafrænum hætti hafi verið færð í rafrænt horf, hafi verið talin þörf á að skjóta lagastoð undir breytingar frá hefðbundnum bréflegum samskiptum eða birtingu upplýsinga, en í því sambandi er meðal annars vísað til fyrrnefnds bréfs fjármálaráðuneytisins, dags. 4. september 1998, auk ákvæða um rafræn samskipti og birtingu í 1. mgr. 90. gr., 5. mgr. 96. gr. og 99. gr. laga nr. 90/2003, sem og 14. gr. laga nr. 30/1992 um yfirskattanefnd, sbr. lög nr. 136/2009. Þá er tekið fram að samkvæmt 9. gr. upplýsingalaga nr. 140/2012 sé óheimilt að veita almenningi aðgang að gögnum um einka- eða fjárhagsmálefni einstaklinga sem sanngjarnt sé og eðlilegt að leynt fari nema sá samþykki sem í hlut eigi, en sömu takmarkanir gildi um aðgang að gögnum sem varði mikilvæga fjárhags- eða viðskiptahagsmuni fyrirtækja og annarra lögaðila. Samkvæmt 98. gr. laga nr. 90/2003 verði skattaðilar að þola með þar til greindum hætti að birtar séu upplýsingar um einka- og fjárhagsmálefni þeirra, en sú birting sé með ákveðnum, lögmæltum hætti. Eigi skattaðilar að geta treyst því að birting sé og verði ekki með víðtækari hætti nema lögum verði breytt í þá átt, auk þess sem ákvæði upplýsingalaga nr. 140/2012 verði ekki talin ganga framar ákvæðum 98. gr. laga nr. 90/2003 hvað þetta varði. Þá sé afhending gagna í því magni og af þeim toga sem hér um ræði á rafrænu formi til ótilgreindra nota og framsetningar ótæk að óbreyttum lögum um hvernig með slík gögn skuli fara eða aðgengi að þeim. Sé því beiðni G 47 ehf. um afhendingu á skattskrám í rafrænni mynd, sem og útprentuðum, synjað.

 

5.

Frekari gögn frá ríkisskattstjóra

Í tölvupósti hinn 15. nóvember 2018 vísaði Persónuvernd til þess að ríkisskattstjóri hefði ekki aðeins synjað Viskubrunni ehf. um aðgang að gögnum á rafrænu formi heldur einnig að útprentuðum gögnum í áðurnefndu bréfi, dags. 22. maí s.á. Hins vegar hefðu gögnin verið afhent útprentuð með bréfi, dags. 29. s.m. Var óskað eftir gögnum um samskipti Viskubrunns ehf. og ríkisskattstjóra á því tímabili sem leið á milli þessara bréfa.

Svar barst samdægurs frá ríkisskattstjóra í tölvupósti. Þar kemur fram að niðurstaðan um synjun í bréfinu hinn 29. maí 2018 hafi einungis lotið að aðgangi samkvæmt upplýsingalögum nr. 140/2012. Að auki er áréttað það sem fyrr greinir um að G 47 ehf. hafi eftir sem áður staðið til boða að fá gögn afhent með þeim hefðbundna hætti og á þeim forsendum sem verið hefðu. Þá fylgdu tölvupóstsamskipti milli ríkisskattstjóra og G 24 ehf. í viðhengi. Hafa þau meðal annars að geyma fyrirspurn G 47 ehf. hinn 22. maí 2018 um hvort það sé réttur skilningur að félagið geti fengið eintök af skattskrám lánuð til afritunar. Í svari ríkisskattstjóra hinn 24. s.m. segir að svo sé, að skrárnar séu í prentun og að þær verði tilbúnar til afhendingar hinn 29. s.m.

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 90/2018

Ábyrgðaraðili

Gildissvið laga nr. 90/2018 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 4. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling, en einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laganna. Þá er með vinnslu átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráningu, flokkun, kerfisbindingu, varðveislu, aðlögun eða breytingu, heimt, skoðun, notkun, miðlun með framsendingu, dreifingu eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtengingu eða samkeyrslu, aðgangstakmörkun, eyðingu eða eyðileggingu, sbr. 4. tölulið sömu greinar.

Mál þetta lýtur að gagnagrunni með upplýsingum úr skattskrám sem Viskubrunnur ehf. hefur gert aðgengilegan á vefsíðunni tekjur.is. Að því virtu er ljóst að mál þetta varðar vinnslu persónuupplýsinga í skilningi laga nr. 90/2018. Þá telur Persónuvernd ljóst að um ræði vinnslu sem falli undir valdsvið Persónuverndar, en eins og fjallað er um í 2. kafla hér á eftir telur stofnunin undanþágu frá valdsviði stofnunarinnar og gildissviði laganna samkvæmt 6. gr. þeirra ekki eiga við í málinu.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga. Eins og hér háttar til telst Viskubrunnur ehf. vera ábyrgðaraðili að umræddri vinnslu.

 

2.

Lögmæti vinnslu

Niðurstaða og fyrirmæli

Öll vinnsla persónuupplýsinga verður að falla undir einhverja af heimildum 9. gr. laga nr. 90/2018. Af hálfu Viskubrunns ehf. hefur verið vísað til 5. tölul. þeirrar greinar, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg í þágu meðal annars almannahagsmuna. Þá getur reynt á hvort 6. tölul. greinarinnar geti átt við, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. 

Auk heimildar til vinnslu persónuupplýsinga samkvæmt 9. gr. laga nr. 90/2018 þarf ávallt að vera fullnægt öllum grunnkröfum 1. mgr. 8. gr. laganna, þ. á m. um að persónuupplýsingar skuli unnar með lögmætum hætti gagnvart hinum skráða, sbr. 1. tölul. þeirrar málsgreinar.

Við mat á því hvort heimild til vinnslu persónuupplýsinga sé til staðar, sem og hvort farið sé að meðal annars fyrrgreindri grunnkröfu samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, getur eftir atvikum þurft að líta til ákvæða í öðrum lögum. Eins og hér háttar til reynir þá einkum á 2. mgr. 98. gr. laga nr. 90/2003 um tekjuskatt, en þar er mælt fyrir um skyldu ríkisskattstjóra til að semja og leggja fram skattskrá fyrir hvert sveitarfélag sem liggja skuli frammi til sýnis í tvær vikur á hentugum stað, auglýstum af ríkisskattstjóra í tæka tíð. Þá segir í lokamálslið ákvæðisins að heimil sé opinber birting á þeim upplýsingum um álagða skatta sem fram komi í skattskrám, svo og útgáfa þeirra upplýsinga í heild eða að hluta. Samhljóða heimild til birtingar og útgáfu skattskráa var fyrst sett í skattalöggjöf með lögum nr. 7/1984 um breytingu á þágildandi lögum nr. 75/1981 um tekjuskatt og eignarskatt. Var þar um að ræða endurflutning á frumvarpi sem lagt hafði verið fram á fyrra löggjafarþingi en ekki hlotið afgreiðslu. Í greinargerð með því frumvarpi (þskj. 408 á 105. löggjafarþingi 1982–1983) var vikið að niðurstöðu Tölvunefndar, forvera Persónuverndar, þess efnis að óheimilt væri að gefa út skattskrár, en tekið var fram að sú niðurstaða hefði orkað mjög tvímælis að mati fjármálaráðuneytisins. Samkvæmt nefndarálitinu var talið ótvírætt að birting upplýsinga úr skattskrám og útgáfa þeirra í heild væri til þess fallin að skapa gjaldendum og skattyfirvöldum virkt aðhald. Auk þess var lýst yfir mikilvægi þess að sá aðgangur, sem almenningur hefði haft að skattskrárupplýsingum áratugina á undan, yrði ekki þrengdur og þar með tekið fyrir þá umræðu um skattamál sem gjarnan hefði fylgt birtingu upplýsinganna. Þessar athugasemdir voru áréttaðar í nefndaráliti (þskj. 238 á 106. löggjafarþingi), útgefnu við meðferð þess frumvarps sem varð að lögum nr. 7/1984.

Í umræddri heimild til birtingar og útgáfu skattskráa felst undantekning frá þeirri grunnreglu 117. gr. laga nr. 90/2018 að á skattyfirvöldum hvíli þagnarskylda um tekjur og efnahag skattaðila. Þá felst í heimildinni takmörkun á réttinum til friðhelgi einkalífs samkvæmt 71. gr. stjórnarskrárinnar nr. 33/1944. Ber að leggja til grundvallar að slíkt takmörkunarákvæði beri að túlka þröngt. Í því sambandi er til þess að líta að samkvæmt lokamálslið 2. mgr. 98. gr. laga nr. 90/2003 er birting og útgáfa skattskráa heimil. Í setningu laga nr. 90/2003 fólst endurútgáfa eldri laga nr. 75/1981, en við þá endurútgáfu héldust mörg ákvæði með öllu óbreytt, þ. á m. þessi heimild til birtingar og útgáfu. Ekki liggur fyrir að löggjafinn hafi tekið þá heimild til sérstakrar skoðunar við endurútgáfuna, þ. á m. með tilliti til þess hvað fælist í hugtökunum birting og útgáfa. Ber samkvæmt því að leggja til grundvallar að þau hugtök beri að skýra með sama hætti og löggjafinn gerði ráð fyrir við setningu fyrrgreindra laga nr. 7/1984. Eins og fyrr greinir kom þá fram í lögskýringargögnum að aðgangur að skattskrárupplýsingum yrði ekki þrengdur frá því sem verið hefði áratugina á undan. Verður ekki séð, miðað við þessar skýringar við umrædda birtingar- og útgáfuheimild, að löggjafinn hafi þar gert ráð fyrir að skattskrár yrðu gerðar almenningi aðgengilegar í rafrænum gagnagrunni. Verður því ekki talið að uppsetning og rekstur rafræns gagnagrunns af umræddum toga geti talist fela í sér „opinbera birtingu“ eða „útgáfu“ í skilningi lokamálsliðar 2. mgr. 98. gr. laga nr. 90/2003.

Ákvæði 2. mgr. 98. gr. laga nr. 90/2003 lýtur að skyldum ríkisskattstjóra í tengslum við álagningar- og skattskrár. Af ákvæðinu má ráða að það er embætti ríkisskattstjóra sem fer með heimildina til opinberrar birtingar og útgáfu skattskrár, í heild eða að hluta, eða eftir atvikum aðili sem hann veitir umboð til slíkrar birtingar og útgáfu. Af hálfu Viskubrunns ehf. hefur meðal annars verið vísað til bréfs frá ríkisskattstjóra, dags. 2. ágúst 2018, af tilefni afhendingar skattskráa til útgáfu þeirra. Í því bréfi er meðal annars tekið fram að afhent eintak skattskráa megi eingöngu nota til hefðbundinnar útgáfu. Af því sem fram kom í fyrrnefndum bréfum frá ríkisskattstjóra, dags. 9. apríl og 22. maí 2018, verður að telja ljóst að þar undir hafi ekki fallið að á vefsíðu yrði unnt að fá aðgang að rafrænum gagnagrunni með skattskrárupplýsingum. Nánar tiltekið er vísað til þess að samkvæmt fyrrnefnda bréfinu taldi ríkisskattstjóri sér hvorki heimilt né skylt að verða við ósk um afhendingu rafrænna skattskrárupplýsinga að virtum heildaráhrifum birtingar á því formi, sem og þess að í því síðarnefnda var tekið fram að ávallt þegar birting upplýsinga samkvæmt skattalöggjöf hefði verið færð í rafrænt horf hefði verið talin þörf á að skjóta lagastoð undir breytingar frá hefðbundinni birtingu. Samkvæmt þessu verður að leggja til grundvallar að eingöngu hafi legið fyrir heimild frá ríkisskattstjóra til útgáfu skattskráa á prentuðu formi, en jafnframt er vakin athygli á að heimildin var veitt lögaðilanum G 47 ehf. en ekki Viskubrunni ehf. sem hins vegar hefur komið fram sem ábyrgðaraðili umrædds gagnagrunns.

Að auki skal tekið fram, í tengslum við fyrrnefnda kröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um að persónuupplýsingar skuli unnar með lögmætum hætti, að í því felst meðal annars að í aðdraganda vinnslu sé lagaumhverfi hennar kannað og leitast við að skýra þau atriði sem ágreiningur kann að standa um, í þessu tilviki milli G 47 ehf. og ríkisskattstjóra. Skal í því sambandi bent á að unnt var að leita álits Persónuverndar um hvernig umræddur gagnagrunnur horfði við ákvæðum persónuverndarlöggjafar, sbr. nú 1., 8. og 17. tölul. 4. mgr. 39. gr. laga nr. 90/2018, sbr. áður 5. tölul. 3. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Jafnframt er vakin athygli á að þegar ríkisskattstjóri féllst á að veita aðgang að skattskrám til hefðbundinnar útgáfu, í hið fyrra sinn með bréfi, dags. 29. maí 2018, og hið síðara með bréfi, dags. 2. ágúst s.á., höfðu tekið gildi lög nr. 45/2018 um endurnot opinberra upplýsinga. Samkvæmt 3. gr. þeirra laga er opinberum aðila skylt að verða við beiðni um heimild til endurnota fyrirliggjandi upplýsinga í vörslum hans sem almenningur hefur rétt til aðgangs að á grundvelli upplýsingalaga eða annarra laga, enda samrýmist endurnotin tilteknum skilyrðum, þ. á m. því að ekki sé brotið í bága við lög um persónuvernd og vinnslu persónuupplýsinga, sbr. 1. tölul. 1. mgr. 4. gr. laganna. Tekið er fram í 5. gr. laganna að opinberum aðilum sé heimilt að áskilja að endurnot upplýsinga uppfylli sérstök skilyrði, enda þjóni þau málefnalegum tilgangi, auk þess sem gætt sé samræmis og jafnræðis við útfærslu þeirra og þau takmarki ekki möguleika á endurnotum upplýsinganna eða samkeppni óhóflega. Þá er í 12. gr. laga nr. 45/2018 mælt fyrir um að úrskurðarnefnd um upplýsingamál skeri úr um ágreining samkvæmt lögunum. Ekki liggur fyrir að framangreind löggjöf og réttarúrræði samkvæmt henni hafi verið könnuð í aðdraganda gerðar umrædds gagnagrunns.

Fram hefur komið af hálfu lögmanns Viskubrunns ehf. að umræddur gagnagrunnur njóti verndar tjáningarfrelsisákvæðis 73. gr. stjórnarskrárinnar. Hann falli því undir 6. gr. laga nr. 90/2018 sem hefur í för með sér að vinnsla persónuupplýsinga, sem einvörðungu eru unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi, er að mestu leyti undanþegin ákvæðum persónuverndarlöggjafar, þ.e. bæði laganna og reglugerðar (ESB) 2016/679 sem innleidd er með þeim, en þar á meðal eru öll þau ákvæði sem veita Persónuvernd valdheimildir. Í þessu sambandi skal bent á dóm Mannréttindadómstóls Evrópu frá 27. júní 2017 í máli nr. 931/13. Var þar fjallað um birtingu fyrirtækisins Markkinapörssi á tekjum u.þ.b. 1,2 milljóna finnskra skattgreiðenda, sem svaraði til um þriðjungs allra skattgreiðenda landsins, í 17 landshlutaútgáfum dagblaðsins Veropörssi, en upplýsingarnar voru fengnar frá finnskum skattyfirvöldum. Að auki bauð fyrirtækið Satamedia upp á þá þjónustu að fá umræddar upplýsingar úr Veropörssi sendar á formi smáskilaboða. Sú vinnsla persónuupplýsinga sem í framangreindu fólst kom til umfjöllunar finnskra stjórnvalda á sviði persónuverndar og dómstóla og varð niðurstaðan sú að hún væri ólögmæt. Málið var þá borið undir Mannréttindadómstól Evrópu sem benti meðal annars á að í ljósi umfangs vinnslunnar hefði umræddum fyrirtækjum mátt vera ljóst að hún teldist ekki þjóna fréttamennsku eingöngu og að hún félli því ekki undir undanþágu frá finnskum persónuverndarlögum á grundvelli tjáningarfrelsis. Að auki taldi dómstólinn að þær takmarkanir, sem reistar höfðu verið við vinnslunni, hefðu haft þann lögmæta tilgang að vernda einkalíf skattgreiðenda, en tekið var fram í því sambandi að almannahagsmunir, sem gætu verið af aðgangi almennings að skattaupplýsingum, fælu ekki í sér um leið að til staðar væru slíkir hagsmunir af stórtækri dreifingu þess háttar upplýsinga án nokkurs efnislegs framlags. Væri samkvæmt þessu um að ræða lögmætar og nauðsynlegar takmarkanir á tjáningarfrelsi hlutaðeigandi fyrirtækja í þágu réttinda annarra og hefði því ekki verið brotið gegn 10. gr. mannréttindasáttmála Evrópu. Telur Persónuvernd ljóst að um þann gagnagrunn, sem gerður hefur verið aðgengilegur á vefsíðunni tekjur.is, eigi við sömu sjónarmið og byggt er á í þessum dómi Mannréttindadómstóls Evrópu. Samkvæmt því reynir hér ekki á fyrrnefnt ákvæði 6. gr. laga nr. 90/2018 né á sjónarmið um tjáningarfrelsi að öðru leyti. Þá skal tekið fram, í tengslum við tilvísun lögmanns Viskubrunns ehf. til atvinnufrelsisákvæðis 75. gr. stjórnarskrárinnar, að ekki verður séð að hagsmunir tengdir því ákvæði vegi hér þyngra en hagsmunir af friðhelgi einkalífs.

Þegar litið er til alls framangreinds er niðurstaða Persónuverndar sú að Viskubrunn ehf. bresti heimild til umræddrar vinnslu persónuupplýsinga á grundvelli 9. gr. laga nr. 90/2018. Þegar af þeirri ástæðu telst vinnslan vera óheimil og getur hún því varðað sektum, sbr. 1. tölul. 3. mgr. 46. gr. laga nr. 90/2018, sbr. 5. og 6. gr. reglugerðar (ESB) 2016/679. Þá áréttar Persónuvernd það sem fyrr greinir um að í grunnkröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um að vinnsla skuli vera lögmæt felist meðal annars að í aðdraganda hennar skuli lagaumhverfi hennar kannað og leitast við að skýra þau atriði sem ágreiningur kann að standa um. Verður ekki séð að viðhaft hafi verið slíkt verklag þegar opnað var fyrir aðgang að umræddum gagnagrunni, en rík ástæða var til þess þar sem eingöngu lá fyrir heimild ríkisskattstjóra til prentaðrar útgáfu skattskráa eins og fyrr greinir.

Í samræmi við þessa niðurstöðu, og með vísan til 6. og 7. tölul. 42. gr. laga nr. 90/2018, er hér með lagt fyrir Viskubrunn ehf. að eyða þeim gagnagrunni með upplýsingum úr skattskrám fyrir árið 2016 sem vistaður er á vefsíðunni tekjur.is, sem og þeim upplýsingum úr skattskrám sem félagið kann að hafa undir höndum að öðru leyti. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 5. desember 2018.

 

Á k v ö r ð u n a r o r ð:

 

Viskubrunni ehf. er óheimilt að halda gagnagrunn með upplýsingum úr skattskrám fyrir árið 2016, og gera aðgengilegan á vefsíðunni tekjur.is. Skal Viskubrunnur ehf. eyða gagnagrunninum, sem og þeim upplýsingum úr skattskrám sem félagið kann að hafa undir höndum að öðru leyti. Eigi síðar en 5. desember 2018 skal Persónuvernd hafa borist staðfesting á því að farið hafi verið að þessum fyrirmælum.