Ákvörðun um hvort lögð skuli á sekt vegna gagnagrunns með skattskrárupplýsingum

Mál nr. 2018/1507

28.3.2019

Ákvörðun

Á fundi stjórnar Persónuverndar hinn 27. mars 2019 var tekin svohljóðandi ákvörðun í máli nr. 2018/1507:

I.

Málsmeðferð

1.

Almennt

Hinn 28. nóvember 2018 tók stjórn Persónuverndar ákvörðun þess efnis að Viskubrunni ehf. hefði verið óheimilt að halda gagnagrunn með upplýsingum úr skattskrám fyrir árið 2016 og gera aðgengilegan á vefsíðunni tekjur.is. Skyldi Viskubrunnur ehf. eyða gagnagrunninum, sem og þeim upplýsingum úr skattskrám sem félagið kynni að hafa undir höndum að öðru leyti. Eigi síðar en 5. desember 2018 skyldi Persónuvernd hafa borist staðfesting á því að farið hefði verið að þessum fyrirmælum.

Með bréfi, sem dagsett var 28. nóvember 2018 eins og ákvörðunin, var hún send lögmanni Viskubrunns ehf., […], og honum jafnframt tilkynnt að til skoðunar væri hvort leggja ætti sekt á félagið með heimild í 46. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. 47. gr. sömu laga. Var honum veittur kostur á athugasemdum við beitingu þessarar heimildar.

Frá lögmanninum barst staðfesting hinn 5. desember 2018 á að farið hefði verið að áðurnefndum fyrirmælum. Þá mótmælti lögmaðurinn beitingu sektarheimildar í bréfi, dags. 8. janúar 2019. Hér á eftir fer lýsing á meginefni þess.

2.

Bréf lögmanns Viskubrunns ehf.

Í bréfi lögmanns Viskubrunns ehf., dags. 8. janúar 2018, segir meðal annars að í beitingu sektarheimildar 46. gr. laga nr. 90/2018 myndi felast ákvörðun um refsikennd viðurlög. Leiði af lögmætisreglu stjórnsýsluréttarins, sem og meginreglu 69. gr. stjórnarskrárinnar og 1. gr. almennra hegningarlaga nr. 19/1940 um lögbundnar refsiheimildir, að ákvörðun um beitingu refsikenndra viðurlaga þurfi að eiga sér enn skýrari grundvöll í lögum en ákvörðun Persónuverndar frá 28. nóvember 2018 um bann við vinnslu og fyrirmæli um að henni skuli hætt. Segir í því sambandi að í ljósi orðalags 2. mgr. 98. gr. laga nr. 90/2018, sem og forsögu ákvæðisins, hafi Viskubrunnur ehf. talið sig alfarið í góðri trú um að miðlun upplýsinga úr skattskrám, í því formi sem hún hafi farið fram á vefsíðu félagsins, hafi verið heimil. Hafi þar verið litið til þess að ákvæðið hafi upphaflega verið gagngert sett í því skyni að tölvunefnd, forveri Persónuverndar, gæti ekki hlutast til um birtingu og útgáfu upplýsinga úr skattskrá, en ákvæðið hafi staðið óbreytt allar götur síðan.

Með vísan til þessa tekur lögmaðurinn fram að fyrri stjórnsýsluframkvæmd Persónuverndar hafi ekki gefið Viskubrunni ehf. nokkurt tilefni til að álykta að miðlun skattskrárupplýsinga, sem þjónaði alfarið því markmiði að stuðla að umræðu um skattamál, svo og að veita gjaldendum og skattyfirvöldum aðhald, færi í bága við 9. gr. laga nr. 90/2018. Hafi sérstaklega verið vikið að því í ákvörðun Persónuverndar frá 18. september 2013 í máli nr. 2013/1203, um bann við miðlun skattskrárupplýsinga til nota við lánshæfismat og markaðssetningu, að miðlunin hefði ekki þjónað aðhaldi með gjaldendum og skattyfirvöldum eða því að stuðla að umræðu um skattamál. Þá segir í bréfi lögmannsins að leggja verði á það áherslu að Viskubrunnur ehf. hafi ekki með nokkru móti dregið þá ályktun út frá þessum úrskurði að miðlun upplýsinga í þeim tilgangi eingöngu væri óheimil á grundvelli 2. mgr. 98. gr. laga nr. 90/2003, sbr. einnig 9. gr. laga nr. 90/2018. Hefði Persónuvernd talið slíka miðlun óheimila hefði verið fullt tilefni til að taka þegar í stað af skarið um það í ákvörðun stofnunarinnar. Mæli því sjónarmið um réttmætar væntingar gegn því að Viskubrunni ehf. verði gerð sekt.

Í þessu sambandi verði að líta til þess að ákvörðunin frá 28. nóvember 2018 var tekin af stjórn Persónuverndar. Segir að það sé til marks um að hún hafi verið talin stefnumótandi um túlkun laga og reglna um persónuvernd, sbr. a-lið 3. mgr. 2. gr. reglna nr. 876/2018 um störf stjórnar Persónuverndar og skiptingu starfa gagnvart skrifstofu. Þá hafi Viskubrunnur ehf. litið til þess, við upphaf vinnslu félagsins á skattskrárupplýsingum, að umboðsmaður Alþingis hefði komist að afdráttarlausri niðurstöðu um að opinber birting upplýsinga úr skattskrám væri heimil ólíkt því sem gilti um upplýsingar úr álagningarskrám. Hafi umfjöllunin, sem fram kom í bréfi umboðsmanns, dags. 22. júní 1995 (mál nr. 1299/1994), lotið að sama ákvæði og nú er í 2. mgr. 98. gr. laga nr. 90/2003.

Tekið er fram í bréfi lögmannsins að í ljósi framangreinds verði að telja ófært að Persónuvernd beiti sektarheimildum sínum gagnvart Viskubrunni ehf. Slík valdbeiting væri með öllu ófyrirsjáanleg gagnvart félaginu og ekki í samræmi við þær grundvallarreglur um beitingu refsikenndra viðurlaga sem leiddar verði af stjórnarskrá, sem og 7. gr. mannréttindasáttmála Evrópu.

Vikið er að því í bréfi lögmannsins að fallist Persónuvernd ekki á þetta verði að líta til 47. gr. laga nr. 90/2018, þess efnis meðal annars að við ákvörðun Persónuverndar um hvort beita skuli stjórnvaldssekt og fjárhæð hennar skuli taka tilhlýðilegt tillit til þess hvers eðlis, hversu alvarlegt og hversu langvarandi brotið sé, með tilliti til eðlis, umfangs og tilgangs vinnslunnar sem um ræði, fjölda skráðra einstaklinga sem urðu fyrir því og hversu alvarlegu tjóni þeir urðu fyrir, sbr. 47. gr. laga nr. 90/2018. Auk þess komi fram í 7. tölul. ákvæðisins að líta skuli til þess hvaða flokka persónuupplýsinga brotið hafi haft áhrif á. Segir í þessu sambandi að um ræði upplýsingar sem hafi verið opinberar samkvæmt sérstakri ákvörðun löggjafans og að almennt geti birting Viskubrunns ehf. á upplýsingunum ekki talist hafa valdið neinu tjóni, enda sé ógerningur að sýna fram á að þeir sem spöruðu sér sporin með því að fletta einstaklingum upp á vefsíðu félagsins hefðu ekki allt að einu kynnt sér sömu upplýsingar um þá hjá ríkisskattstjóra eða, eftir atvikum, í fjölmiðlum. Upplýsingar á vefsíðu Viskubrunns ehf. hafi auk þess einungis verið aðgengilegar mjög takmörkuðum hópi, en áskrifendur hafi ekki verið komnir í meira en 3000 þegar vinnslan var stöðvuð. Hafi verið tekið fram í skilmálum vefsíðunnar að hverjum áskrifanda væri óheimilt að leyfa öðrum að nýta aðgang sinn og hafi verið lokað tafarlaust fyrir aðgengi áskrifenda sem gert hafi tilraunir til að leyfa fleirum að nýta aðganginn.

Að auki verði að leggja áherslu á að Viskubrunnur ehf. hafi frá upphafi verið fús til fullrar samvinnu við Persónuvernd og hlítt fyrirmælum hennar greiðlega þótt þau hafi valdið félaginu umtalsverðu fjártjóni. Þá beri að fara að meðalhófsreglu 12. gr. stjórnsýslulaga nr. 37/1993, en hún feli í sér að stjórnvald skuli því aðeins taka íþyngjandi ákvörðun þegar lögmætu markmiði, sem að sé stefnt, verði ekki náð með öðru eða vægara móti, auk þess sem ekki skuli farið strangar í sakirnar en nauðsyn beri til. Í þessu sambandi er meðal annars tekið fram að ákvörðun Persónuverndar frá 28. nóvember 2018 hafi valdið Viskubrunni ehf. tilfinnanlegu fjártjóni, enda hafi félagið lagt í mikinn kostnað við að koma upplýsingum úr skattskrám í aðgengilegt form, m.a. með smíði gagnagrunns og gerð vefsíðu og kerfis til miðlunar. Komi ákvörðunin niður á félagi sem hafi verið að hefja rekstur, girði fyrir að það hafi af rekstrinum tekjur og láti það sitja uppi með verulegt fjárhagslegt tjón. Hafi ákvörðunin að þessu leyti veruleg fælingaráhrif og þar með full varnaðaráhrif gagnvart hverjum þeim sem hefði í hyggju að ráðast í sambærilegt verkefni.

Með vísan til þessa segir meðal annars að eftir ákvörðunina muni enginn einkaaðili taka þá fjárhagslegu áhættu sem fylgi smíði vefsíðu og gagnagrunns af umræddu tagi. Nú liggi enda fyrir að Persónuvernd muni stöðva slíka vinnslu, jafnvel þótt upplýsingarnar séu sem slíkar opinberar og heimild sé fyrir hendi að lögum til að gefa þær út. Með vísan til þeirra afleiðinga sem þegar séu komnar fram fyrir Viskubrunn ehf. og áhrifa ákvörðunar Persónuverndar að öðru leyti telji félagið því einsýnt að álagning stjórnvaldssektar gengi mun lengra en nauðsynlegt sé til að Persónuvernd nái þeim markmiðum sem hún vinni að samkvæmt lögum nr. 90/2018.

II.

Forsendur og niðurstaða

1.

Sektarheimild og beiting hennar

Samkvæmt 1. mgr. 46. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga getur Persónuvernd lagt stjórnvaldssektir á þá sem brjóta gegn einhverju þeirra ákvæða reglugerðarinnar og laganna sem talin eru upp í 2. og 3. mgr. ákvæðisins. Nánar tiltekið getur sekt verið lögð á einstaklinga og lögaðila eins og nánar greinir í 4. mgr. ákvæðisins, en ljóst er að Viskubrunnur ehf. fellur þar undir. Þá kemur meðal annars fram í 1. tölul. 3. mgr. ákvæðisins að skortur á heimild til vinnslu persónuupplýsinga samkvæmt 9. gr. laganna er á meðal þeirra brota sem varðað geta sektum. Þar sem ákvörðun stjórnar Persónuverndar frá 28. nóvember 2018 fól í sér að slíka heimild hefði skort reynir hér á umrædda sektarheimild. Við ákvörðun um hvort henni skuli beitt, sem og um fjárhæð sektar, ber að líta til 1. mgr. 47. gr. laga nr. 90/2018, en í því ákvæði eru talin upp atriði sem ýmist geta verið hlutaðeigandi til málsbóta eða honum í óhag. Auk þess getur, eftir atvikum, reynt á grunnregluna um skýrleika refsiheimilda og ber þá að taka afstöðu til álitaefna í því sambandi áður en til mats samkvæmt 1. mgr. 47. gr. laganna kemur. Telur Persónuvernd ljóst að hér reyni á umrædda grunnreglu eins og nánar er fjallað um í 2. kafla hér á eftir.

2.

Niðurstaða um beitingu sektarheimildar

Samkvæmt 1. mgr. 69. gr. stjórnarskrárinnar, sbr. stjórnarskipunarlög nr. 97/1995, verður engum gert að sæta refsingu nema hann hafi gerst sekur um háttsemi sem var refsiverð samkvæmt lögum á þeim tíma þegar hún átti sér stað eða má fullkomlega jafna til slíkrar háttsemi. Þá segir í 1. mgr. 7. gr. mannréttindasáttmála Evrópu, sbr. lög nr. 62/1994, að engan skuli telja sekan um afbrot hafi verknaður sá eða aðgerðaleysi, sem hann er borinn, eigi varðað refsingu að landslögum eða þjóðarétti þá framin voru. Á grundvelli þessara ákvæða hefur verið litið svo á að í gildi sé grunnregla um skýrleika refsiheimilda og krafa um að fyrirsjáanlegt sé til hvaða tilvika þeim er ætlað að ná. Þá kemur fram í dómaframkvæmd Mannréttindadómstóls Evrópu að ekki eingöngu refsingar samkvæmt ákvörðunum refsivörslukerfisins verða taldar falla hér undir. Nánar tiltekið verður ráðið af framkvæmd dómstólsins að um stjórnvaldssektir geti gilt sambærileg sjónarmið og líta verður til í tengslum við slíkar refsingar, sbr. m.a. dóm dómstólsins frá 15. nóvember 2016 í málum nr. 24130/11 og 29759/11 (136.–139. liður). Af þessu verður dregin sú ályktun að stjórnvaldssektir séu viðurlög sem feli í sér refsingu sem byggjast verði á lögum samkvæmt 1. mgr. 7. gr. mannréttindasáttmála Evrópu og um leið 1. mgr. 69. gr. stjórnarskrárinnar eins og hana ber að túlka með hliðsjón af sáttmálanum. Í því felst jafnframt að heimildin til að ákveða viðurlög verður að vera skýr og fyrirsjáanlegt til hvaða háttsemi hún nær.

Samkvæmt 2. mgr. 98. gr. laga nr. 90/2003 má gefa út upplýsingar úr skattskrám í heild eða að hluta eins og fyrr er rakið og hefur Persónuvernd áður skorið úr um að birting fjölmiðla á sambærilegum upplýsingum úr álagningarskrám sé heimil, sbr. ákvarðanir stofnunarinnar, dags. 18. september 2018, í málum nr. 2017/1001 og nr. 2017/1068. Eins og einnig hefur komið fram, þ.e. í ákvörðun Persónuverndar hinn 28. nóvember 2018, telur stofnunin þessa heimild vera veitta til handa ríkisskattstjóra og að Viskubrunni ehf. hafi því verið óheimilt að gera skattskrárupplýsingar aðgengilegar með aðferð sem ekki samrýmdist afstöðu hans. Í þessu fólst að Persónuvernd taldi skilyrðum vera fullnægt til að gefa fyrirmæli til Viskubrunns ehf. á grundvelli 6. og 7. tölul. 42. gr. laga nr. 90/2018 um að eyða gagnagrunni með skattskrárupplýsingum, sem og þeim upplýsingum úr skattskrám sem félagið kynni að hafa undir höndum að öðru leyti. Af grunnreglunni um skýrleika og fyrirsjáanleika varðandi beitingu refsiheimilda er ljóst að þær kröfur sem gera verður til álagningar sekta með stoð í 46. gr. laganna eru strangari en þær sem gilda um útgáfu slíkra fyrirmæla. Í því sambandi ber sérstaklega að líta til 2. mgr. 98. gr. laga nr. 90/2003 og þess réttmæta vafa um inntak þeirrar reglu sem ríkti í þessu tilliti áður en skorið var úr um álitaefnið með ákvörðun Persónuverndar hinn 28. nóvember 2018. Eins og mál þetta er vaxið, og þegar litið er til þessa vafa, er niðurstaða Persónuverndar sú að ekki séu forsendur til beitingar umræddrar sektarheimildar. Gerist því ekki þörf á að tekin séu til umfjöllunar sjónarmið samkvæmt 1. mgr. 47. gr. laganna.

Á k v ö r ð u n a r o r ð:

Ekki er lögð á sekt vegna gagnagrunns Viskubrunns ehf. með upplýsingum úr skattskrám fyrir árið 2016 sem gerður var aðgengilegur á vefsíðunni tekjur.is.