Álit um heimild Þjóðskrár Íslands til afhendingar persónuupplýsinga um meðlimi trú- og lífsskoðunarfélaga

Mál nr. 2019/25

2.1.2020

Álit

Hinn 20. desember 2019 samþykkti stjórn Persónuverndar svohljóðandi álit í máli nr. 2019/25:

I.

Málsmeðferð

1.

Tildrög máls

Þann 10. janúar 2019 barst Persónuvernd bréf frá lífsskoðunarfélaginu Siðmennt þar sem óskað er eftir áliti stofnunarinnar á synjun Þjóðskrár Íslands um afhendingu upplýsinga um þá sem skráðir eru í félagið.

Í bréfi Siðmenntar segir að félagið hafi verið skráð lífsskoðunarfélag skömmu eftir samþykkt frumvarps til laga nr. 6/2013, sem breyttu lögum nr. 108/1999, um skráð trúfélög og lífsskoðunarfélög. Skráning sé m.a. rafræn og geti einstaklingar skráð félagsaðild með því að skrá sig á vefsíðu Þjóðskrár með rafrænum skilríkjum. Trú- og lífsskoðunarfélög hafi reglulega fengið upplýsingar frá Þjóðskrá Íslands um nöfn og kennitölur nýrra félaga.

Í bréfinu segir að Þjóðskrá hafi tilkynnt Siðmennt, sem og öðrum trú- og lífsskoðunarfélögum, að hætt verði að miðla upplýsingum um nöfn og kennitölur þeirra einstaklinga sem skrá sig í félögin. Eingöngu verði upplýst um fjölda nýrra skráninga. Einnig segir að þessi ákvörðun geri Siðmennt, sem og öðrum trú- og lífsskoðunarfélögum, mjög erfitt fyrir því nær ómögulegt sé að hafa samband við skráða meðlimi þar sem þjóðskrá sé eina skráin sem haldi utan um trú- og lífsskoðunaraðild íslenskra borgara. Þá segir að þessi ákvörðun sé alvarleg hömlun á eðlilega starfsemi Siðmenntar því bróðurpartur af allri innri vinnu félagsins sé unninn út frá upplýsingum um félagsaðild þeirra sem sæki þjónustu til félagsins.

Með bréfi Siðmenntar fylgdi bréf Þjóðskrár Íslands til félagsins, dags. 5. október 2018, þar sem stofnunin tilkynnir um að afhendingu félagalista sé hætt. Í bréfinu segir að í tengslum við gildistöku nýrra laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hafi verið lagt mat á lögmæti þess að skráð trú- og lífsskoðunarfélög fái afhenta lista yfir einstaklinga sem skráðir séu í viðkomandi félög í þjóðskrá. Í bréfinu segir að engin skýr lagaheimild sé til afhendingar fyrrgreindra lista en upplýsingarnar sem um ræðir séu viðkvæmar í skilningi laga nr. 90/2018. Þá er það áréttað að í skráningu einstaklinga í trú- eða lífsskoðunarfélag í þjóðskrá felist ekki að Þjóðskrá Íslands hafi sérstakt félagatal trú- eða lífsskoðunarfélaga. Einungis sé um að ræða skráningu á því hvert sóknargjöld skuli renna samkvæmt ákvæðum laga nr. 91/1987, um sóknargjöld o.fl., og lögum nr. 108/1999, um skráð trúfélög og lífsskoðunarfélög. Að lokum segir í bréfinu að það sé mat stofnunarinnar að henni sé ekki heimilt að afhenda umrædda lista og muni hún framvegis einungis afhenda skráðum trú- og lífsskoðunarfélögum ópersónugreinanlegar upplýsingar um skráningu í félögin.

Með bréfi, dags. 5. apríl 2019, var Þjóðskrá Íslands boðið að tjá sig um framkomna álitsbeiðni. Svar barst með bréfi, dags. 17. s.m. Í bréfi Þjóðskrár segir að um árabil hafi tíðkast að afhenda skráðum trú- og lífsskoðunarfélögum lista yfir einstaklinga sem skráðir eru í viðkomandi félag í þjóðskrá. Í bréfinu segir að fyrirkomulagið hafi verið þannig að félögin hafi sent inn sérvinnslubeiðni til Þjóðskrár þar sem óskað hafi verið eftir listum yfir þá einstaklinga sem um ræði. Umræddir listar hafi innihaldið upplýsingar um kennitölu, nafn, fjölskyldunúmer, lögheimili og það trú- eða lífsskoðunarfélag sem viðkomandi hafi verið skráður í samkvæmt þjóðskrá. Þá eru ítrekuð þau sjónarmið sem komu fram í fyrrgreindu bréfi Þjóðskrár Íslands til Siðmenntar, dags. 5. október 2018, og áréttað að það sé mat stofnunarinnar að engin skýr lagaheimild sé til staðar til afhendingar umræddra lista með þeim viðkvæmu persónuupplýsingum sem í þeim felast.

II.

Álit Persónuverndar

1.

Gildissvið laga nr. 90/2018 – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. 1. mgr. 4. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, sbr. 2. tölul. 3. gr. laganna, og vinnsla er sérhver aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. sömu greinar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Þjóðskrá Íslands vera ábyrgðaraðili að umræddri vinnslu.

2.

Lagaumhverfi

Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju skilyrðanna í 9. gr. laga nr. 90/2018. Þegar um ræðir vinnslu persónuupplýsinga á vegum stjórnvalda koma helst til greina 3. tölul., þess efnis að vinna megi með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, og 5. tölul., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, fer með.

Séu upplýsingar viðkvæmar þarf einnig að vera fullnægt einhverju viðbótarskilyrðanna fyrir vinnslu slíkra upplýsinga samkvæmt 1. mgr. 11. gr. laga nr. 90/2018, en upplýsingar um trúarbrögð og lífsskoðanir eru viðkvæmar, sbr. 3. tölul. 1. mgr. 3. gr. laganna. Þegar um ræðir stjórnvöld getur þá 7. tölul. komið til greina, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg af ástæðum sem varða verulega almannahagsmuni og fari fram á grundvelli laga sem kveði á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða. Í þessu samhengi er bent á að samkvæmt 55. lið formálsorða reglugerðar (ESB) 2016/679 fer vinnsla persónuupplýsinga af hálfu opinberra yfirvalda í þeim tilgangi að vinna að markmiðum opinberlega viðurkenndra trúarsamtaka fram með vísan til almannahagsmuna. Þá getur 2. tölul. 11. gr. átt við, þess efnis að vinnsla slíkra upplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili geti staðið við skuldbindingar sínar samkvæmt löggjöf um almannatryggingar og félagslega vernd. Þegar vinnsla persónuupplýsinga fer fram á grundvelli heimildar í lögum gildir það viðmið að eftir því sem vinnslan hefur í för með sér meiri íhlutun í einkalíf hinna skráðu, þeim mun ótvíræðara verður slíkt lagaákvæði að vera, sbr. t.d. athugasemdir við 2. tölul. 11. gr. laganna í frumvarpi því sem varð að lögum nr. 90/2018. Þá segir í 165. lið formálsorða reglugerðar (ESB) 2016/679 að reglugerðin virði þá stöðu sem kirkjudeildir og trúarsamtök eða trúfélög hafi í aðildarríkjum samkvæmt fyrirliggjandi stjórnskipunarlögum og dragi hana ekki í efa. Að lokum telst heimil vinnsla viðkvæmra persónuupplýsinga sem fer fram sem liður í lögmætri starfsemi stofnunar, samtaka eða annars aðila sem starfar ekki í hagnaðarskyni og hefur stjórnmálaleg, heimspekileg, trúarleg eða stéttarfélagsleg markmið, enda nái vinnslan einungis til meðlima eða fyrrum meðlima viðkomandi aðila eða einstaklinga sem eru í reglulegu sambandi við hann í tengslum við tilgang hans, persónuupplýsingar séu ekki fengnar þriðja aðila í hendur án samþykkis hins skráða og gerðar séu viðeigandi verndarráðstafanir, sbr. 4. tölul. 1. mgr. 11. gr. laga nr. 90/2018.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga ávallt að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, þ. á m. um að þess skuli gætt við vinnslu persónuupplýsinga að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær séu áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingum sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli eytt eða þær leiðréttar án tafar (4. tölul.); (5. tölul.); og að viðeigandi öryggi þeirra sé tryggt (6. tölul.).

Við beitingu laga nr. 90/2018 verður einnig að líta til ákvæða í annarri löggjöf sem við eiga hverju sinni. Samkvæmt a. lið 2. mgr. 3. gr. laga nr. 70/2018, um Þjóðskrá Íslands, hefur stofnunin það hlutverk að sjá um þjóðskrá og tengdar skrár samkvæmt lögum sem gilda um þjóðskrá hverju sinni. Eins og hér háttar til reynir þá m.a. á lög nr. 54/1962, um þjóðskrá og almannaskráningu. Samkvæmt 3. mgr. 1. gr. þeirra laga er Þjóðskrá Íslands heimil vinnsla persónuupplýsinga, þ. á m. um trúarbrögð, í þeim tilgangi að sinna lögbundnu hlutverki sínu samkvæmt þeim lögum að uppfylltum skilyrðum laga nr. 90/2018. Í 4. gr. laga nr. 54/1962 segir að almannaskráning skuli byggjast á m.a. skýrslum forstöðumanna skráðra trú- eða lífsskoðunarfélaga eða einstaklinga sem starfi í nafni þeirra og hafi fengið löggildingu sýslumanns til Þjóðskrár Íslands um nafngjafir við skírnir eða nafngjafir án skírna, hjónavígslur og mannslát auk sérstakra upplýsinga frá sömu aðilum, sbr. 2. og 6. tölul. ákvæðisins. Í 9. gr. laganna segir jafnframt að Þjóðskrá Íslands skuli árlega gera íbúaskrá fyrir hvert sveitarfélag með nöfnum allra einstaklinga sem aðsetur hafi í því 1. desember, ásamt upplýsingum um fæðingardag og þau atriði önnur um hvern einstakling, sem máli skipti fyrir opinber not skránna. Þá segir í 10. gr. laganna að í janúarmánuði ár hvert skuli Þjóðskrá senda sveitarstjórnum og skattyfirvöldum eintak af íbúaskrá viðkomandi umdæmis og í 17. gr. laganna að sóknargjöld skuli lögð á menn á sömu stöðum og tekjuskattur sé lagður á eftir íbúaskrá.

Í 1. gr. laga nr. 91/1987, um sóknargjöld o.fl., segir að skráð trú- og lífsskoðunarfélög eigi hlutdeild í tekjuskatti eftir því sem sömu lög ákveði. Í 2. gr. sömu laga segir að fjárhæðin skuli vera tiltekin upphæð fyrir hvern einstaklings, sem sé 16 ára og eldri í lok næstliðins árs á undan gjaldári.

Í 8. gr. laga nr. 108/1999, um skráð trúfélög og lífsskoðunarfélög, segir að þeir sem séu orðnir 16 ára geti tekið ákvörðun um inngöngu eða úrsögn í skráð trú- eða lífskoðunarfélag. Í 1. mgr. 9. gr. sömu laga segir að um inngöngu í og aðild að trú- eða lífsskoðunarfélagi gildi þau ákvæði sem lög og samþykki þeirra mæli fyrir um og að forstöðumaður þess sem í hlut eigi skuli gæta þess að skilyrðum laga sé fullnægt og að sá sem leiti inngöngu tilheyri ekki samtímis öðru skráðu trú- eða lífsskoðunarfélagi. Í 2. mgr. segir að úrsögn úr slíku félagi skuli beint skriflega eða með persónulegri tilkynningu til þess forstöðumanns sem í hlut eigi og að hann skuli gæta þess að skilyrðum laganna sé fullnægt. Í 3. mgr. segir að forstöðumaður skuli skrá inngöngu eða úrsögn og láta í té vottorð því til staðfestu. Þá segir í 4. mgr. sama ákvæðis að gildistími skráningar vegna sérstakra atriða í sambandi við aðild að félagi, svo sem álagningar opinberra gjalda, ráðist af lögmætri tilkynningu til þjóðskrár, að því leyti sem tilkynningin ráði skráningunni.

Að auki má hér líta til þess að samkvæmt 14. gr. upplýsingalaga nr. 140/2012 er stjórnvöldum skylt, sé þess óskað, að veita aðila sjálfum aðgang að fyrirliggjandi gögnum hafi þau að geyma upplýsingar um hann sjálfan. Liggur fyrir úrskurður úrskurðarnefndar um upplýsingamál, dags. 3. júlí 2019 (mál nr. 804/2019), þar sem fram kemur að undir þetta ákvæði getur fallið aðgangur félags að upplýsingum um eigin félagsmenn hjá stjórnvöldum sem tengjast félagsaðildinni.

3.

Álit Persónuverndar

Af fyrrgreindum ákvæðum laga nr. 54/1962, um þjóðskrá og almannaskráningu, er ljóst að Þjóðskrá Íslands ber að halda úti skrá um aðild einstaklinga að skráðum trúfélögum sem byggjast á gögnum sem berast henni, meðal annars frá forstöðumönnum þeirra félaga. Eins og framan greinir þá gildir það viðmið að eftir því sem vinnslan hefur í för með sér meiri íhlutun í einkalíf hinna skráðu, þeim mun ótvíræðari verður slíkt lagaákvæði að vera.

Einstaklingum er frjálst að skrá sig í trú- eða lífsskoðunarfélag að eigin vali og senda Þjóðskrá tilkynningu um skráninguna. Verður ekki talin hætta á að persónuvernd hinna skráðu skaðist ef slíku félagi, sem hinir skráðu kjósa sjálfir að skrá sig í, er veittur aðgangur að upplýsingum um aðild þeirra að félaginu. Er það því mat Persónuverndar að Þjóðskrá Íslands sé heimilt á grundvelli 3. tölul. 9. gr. og 7. tölul. 1. mgr. 11. gr. laga nr. 90/2018 að upplýsa trú- og lífsskoðunarfélög um hverjir hafa skráð sig í þau, enda er félögunum heimil vinnsla persónuupplýsinga um meðlimi sína á grundvelli 4. tölul. 11. gr. 90/2018.

Persónuvernd vekur þó athygli á að ávallt þarf að gæta að þeirri meginreglu að ekki sé unnið með persónuupplýsingar umfram það sem nauðsynlegt er með hliðsjón af tilgangi vinnslunnar. Í því samhengi er Þjóðskrá Íslands bent á að þegar trú- og lífsskoðunarfélög eru upplýst um hverjir eru aðilar að þeim skal stofnunin ekki miðla frekari upplýsingum en þörf er á í því skyni.

Á l i t s o r ð

Þjóðskrá Íslands er heimilt að veita skráðum trú- og lífsskoðunarfélögum aðgang að upplýsingum um hverjir eru skráðir meðlimir í þeim samkvæmt tilkynningu þeirra til stofnunarinnar.

Í Persónuvernd, 20. desember 2019

Björg Thorarensen
formaður

Aðalsteinn Jónasson               Ólafur Garðarsson

Vilhelmína Haraldsdóttir