Álit um meðferð beiðna um eyðingu upplýsinga úr Íslendingabók

Mál nr. 2021020473

25.1.2022

Álit

Hinn 25. janúar 2022 samþykkti Persónuvernd svohljóðandi álit í máli nr. 2021020473:

I.
Álitsbeiðni

Hinn 19. febrúar 2021 barst Persónuvernd bréf Íslenskrar erfðagreiningar (ÍE) vegna vefsíðunnar www.islendingabok.is. Fram kemur í bréfinu að ÍE og fyrirtækið Friðrik Skúlason ehf. séu sameiginlegir ábyrgðaraðilar vefsíðunnar og ÍE komi fram fyrir hönd þeirra beggja. Er óskað álits Persónuverndar á lögmæti synjunar ÍE á beiðnum skráðra einstaklinga um að öllum upplýsingum um þá verði eytt úr gagnagrunni vefsíðunnar www.islendingabok.is (Íslendingabók) með vísan til 1. mgr. 20. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. ÍE hafi synjað slíkum beiðnum á grundvelli þess að vinnsla persónuupplýsinga á vefsíðunni falli undir 5. og 6. tölul. 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og að skilyrði 1. mgr. 20. gr. laganna, sbr. d-lið 3. mgr. og c-lið 1. mgr. 17. gr. reglugerðar (ESB) 2016/679 séu því ekki uppfyllt. Þá megi leiða af dómi Hæstaréttar í máli nr. 159/1968 og úrskurðum Persónuverndar í málum nr. 2003/103 og nr. 2018/406 að skráning og birting almennra lýð- og ættfræðiupplýsinga eins og hún hafi verið stunduð hér á landi um árabil sé lögmæt. 

Í erindi ÍE segir að vinnsla persónuupplýsinga á vefsíðunni fari fram í þágu ættfræðirannsókna sem sé ein tegund vísinda- og sagnfræðirannsókna. Aðgangur að Íslendingabók sé notendum að kostnaðarlausu og sé að því leyti í þágu almannahagsmuna enda sé vefsíðunni haldið úti af ábyrgðaraðila sem beri allan kostnað af starfrækslu hennar. Þá stríði eyðing upplýsinga um einstaklinga úr Íslendingabók gegn sjónarmiðum um ættfræðirannsóknir. Það sé eðli sagnfræði, þ.m.t. ættfræði sem sé undirgrein hennar, að skrásetja atburði, staðhætti og ættir með nákvæmum hætti. Verði ÍE gert að samþykkja beiðnir einstaklinga um eyðingu upplýsinga verði komin gloppa í skráningu og þar með vegið að vefsíðunni sem sé mikilvægt stafrænt rit í þágu ættfræði. Höfuðmarkmið ættfræðirannsókna sé að tengja saman einstaklinga eftir skyldleika. Væri það því andstætt megintilgangi þeirra lögmætu hagsmuna sem ÍE gætir að rjúfa tengingar milli t.d. foreldris og barns, ekki síst ef ágreiningur ríkir milli foreldra. Slíkt væri einnig andstætt sjónarmiðum að baki meginreglu 1. gr. a barnalaga, nr. 76/2003, um rétt barna til að þekkja báða foreldra sína og skyldu mæðra til að feðra börn sín. 

Þá er í erindinu rakið hvernig vinnsla persónuupplýsinga í þágu Íslendingabókar er álitin samrýmast meginreglum laga nr. 90/2018. Eingöngu sé um að ræða almennar persónuupplýsingar, þ.e. nafn, fæðingardag, fæðingarstað, nafn maka og hjúskaparstöðu sé hún þekkt, auk nafna barna og foreldra. Aðgangur sé takmarkaður við upplýsingar um forfeður og skyldmenni einstaklings í 4. ættlið auk þess sem notendur geti rakið ættir sínar saman við alla lifandi og látna Íslendinga. Jafnframt sé öryggis persónuupplýsinga gætt með margvíslegum hætti, þ.m.t. með hefðbundnum tæknilegum ráðstöfunum á sviði gagnaöryggis. Þess sé gætt að leiðrétta strax rangar upplýsingar sem notendur kunni að vekja athygli á og þegar upplýsingar eru ekki nægilegar. Upplýsingar um kynforeldra séu að jafnaði ekki birtar þegar um er að ræða ættleiðingar eða þær fjarlægðar berist ósk um það frá kynforeldri, kjörforeldrum ólögráða barns eða barninu sjálfu.

II.
Álit Persónuverndar

1.
Gildissvið – Ábyrgðaraðilar

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.
Mál þetta lýtur að söfnun og varðveislu ættfræðiupplýsinga um alla Íslendinga og birtingu þeirra á vefsíðunni Íslendingabók. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga í skilningi laganna og reglugerðarinnar.

Í 1. mgr. 6. gr. laganna er að finna sérreglu þess efnis að víkja megi frá ákvæðum þeirra í þágu fjölmiðlunar, lista og bókmennta að því marki sem það sé nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar. Þá mælir 2. mgr. sömu greinar fyrir um þá sérreglu að þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gildi aðeins tiltekin ákvæði laganna og reglugerðarinnar. Persónuvernd lítur svo á að vinnsla persónuupplýsinga í þágu ættfræði geti talist bókmenntalegs eðlis en að túlka verði 6. gr. laganna þannig að henni sé einkum ætlað að gilda um þá vinnslu persónuupplýsinga sem fram fer við listræna tjáningu og tjáningu skoðana og viðhorfa. Því falli hin tilgreinda vinnsla persónuupplýsinga í þágu ættfræði ekki undir sérreglur 6. gr. laganna heldur gildi öll ákvæði þeirra, svo og reglugerðarinnar, um þá vinnslu.

Samkvæmt þessu er ljóst að sú vinnsla persónuupplýsinga sem um ræðir í máli þessu fellur undir gildissvið laga nr. 90/2018 og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og áður greinir líta ÍE og fyrirtækið Friðrik Skúlason ehf. svo á að þau teljist sameiginlegir ábyrgðaraðilar vegna þeirrar vinnslu persónuupplýsinga sem fram fer í tengslum við Íslendingabók. Að mati Persónuverndar er ekki tilefni til annars en að leggja til grundvallar þann skilning og teljast fyrirtækin því sameiginlegir ábyrgðaraðilar vinnslunnar í skilningi 23. gr. laga nr. 90/2018, sbr. einnig 26. gr. reglugerðarinnar.

2.
Lagaumhverfi

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má persónuupplýsingar ef vinnslan er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins, eða ef vinnslan er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar vegi þyngra, sbr. 6. tölul. laga ákvæðisins og f-lið reglugerðarákvæðisins. 

Í athugasemdum með 9. gr. frumvarpsins er varð að lögum nr. 90/2018 segir meðal annars að vinnsla geti talist vera í almannaþágu ef hún á sér stað í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi. Ættfræðirannsóknir geta talist fara fram í sagnfræðilegum tilgangi auk þess sem ljóst er að sú vinnsla sem fram fer í tengslum við vefsíðuna Íslendingabók hefur þýðingu fyrir breiðan hóp manna. Að öðrum skilyrðum uppfylltum gæti vinnslan þannig byggst á því að hún fari fram í þágu almannahagsmuna. Til þess er hins vegar að líta að til að vinnsla persónuupplýsinga geti stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 6. gr. reglugerðarinnar, þarf að vera mælt fyrir um grundvöll vinnslunnar í lögum, sbr. 3. mgr. 6. gr. reglugerðarinnar. Ekki er þó nauðsynlegt að sérstök lög eða lagaákvæði gildi um hverja einstaka vinnslu heldur kann að vera nægilegt að hafa lög sem grundvöll fyrir ýmsum vinnsluaðgerðum þegar vinnsla er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna. Engin lög hafa verið sett um ættfræðirannsóknir eða framkvæmd þeirra hér á landi. Af þeim sökum er það mat Persónuverndar að í núverandi lagaumhverfi geti sú vinnsla, sem fram fer í tengslum við vefsíðuna Íslendingabók, ekki stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 9. gr. reglugerðarinnar. 

Að mati Persónuverndar getur vinnsla í þágu ættfræði hins vegar stuðst við 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 6. gr. reglugerðar (ESB) 2016/679, þar sem segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar vegi þyngra, að því gefnu að hún samrýmist að öðru leyti ákvæðum laganna og reglugerðarinnar. Við túlkun ákvæðanna þarf að hafa hliðsjón af athugasemdum með 71. gr. stjórnarskrárinnar um friðhelgi einkalífs, eins og henni var breytt með 9. gr. stjórnarskipunarlaga nr. 97/1995. Þar segir að í friðhelgi einkalífsins felist meðal annars réttur manns til að njóta friðar um lífshætti sína og einkahagi. Fram kemur að mjög raunhæft dæmi um svið, þar sem álitaefni vakni um hvort brotið sé gegn friðhelgi einkalífs, sé skráning persónuupplýsinga um einstaklinga, en þó segir að ýmsar almennar skrár af opinberum toga falli utan verndar ákvæðisins. 

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins og a-liður reglugerðarákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. lagaákvæðisins og b-liður reglugerðarákvæðisins); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul. lagaákvæðisins og c-liður reglugerðarákvæðisins); og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingum, sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli eytt eða þær leiðréttar án tafar (4. tölul. lagaákvæðisins og d-liður reglugerðarákvæðisins).

Í 1. mgr. 20. gr. laga nr. 90/2018 er meðal annars mælt fyrir um rétt einstaklinga til að ábyrgðaraðili eyði persónuupplýsingum án ótilhlýðilegrar tafar samkvæmt nánari skilyrðum 17. gr. reglugerðarinnar. Þar segir meðal annars í 1. mgr. að ábyrgðaraðila sé skylt að eyða persónuupplýsingum um skráðan einstakling ef hinn skráði dregur til baka samþykki sem vinnslan byggir á (b-liður) og ef hinn skráði andmælir vinnslunni samkvæmt 1. mgr. 21. gr. reglugerðarinnar og ekki eru fyrir hendi lögmætar ástæður fyrir vinnslunni sem gangi framar, eða hann andmælir vinnslunni samkvæmt 2. mgr. 21. gr. reglugerðarinnar (c-liður). Réttur til andmæla samkvæmt 1. mgr. 21. gr. reglugerðarinnar er til staðar þegar vinnsla persónuupplýsinga byggist á e- eða f-lið 1. mgr. 6. gr. hennar, sbr. 5. og 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018, nema ábyrgðaraðili geti sýnt fram á mikilvægar lögmætar ástæður fyrir vinnslunni sem ganga framar hagsmunum, réttindum og frelsi hins skráða eða því að stofna, hafa uppi eða verja réttarkröfur. Ákvæði 2. mgr. 21. gr. reglugerðarinnar kemur ekki til skoðunar eins og hér háttar til, en það varðar vinnslu persónuupplýsinga í þágu beinnar markaðssetningar. 

Í 3. mgr. 17. gr. reglugerðarinnar er að finna undanþágu frá 1. og 2. mgr. ákvæðisins. Þannig gilda síðarnefndu málsgreinarnar ekki ef vinnsla er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi í samræmi við verndarráðstafanir samkvæmt 1. mgr. 89. gr., að því marki sem líklegt er að réttur til eyðingar persónuupplýsinga geri það ómögulegt eða hamli því verulega að markmið vinnslu náist, sbr. d-lið 3. mgr. 17 gr. reglugerðarinnar. 

Persónuvernd hefur áður fjallað um þá vinnslu persónuupplýsinga sem fram fer í tengslum við vefsíðuna Íslendingabók, sbr. úrskurð stofnunarinnar, dags. 18. apríl 2005, í máli nr. 2004/568. Úrskurðurinn var kveðinn upp í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þau ákvæði sem á reyndi í málinu tóku hins vegar ekki efnislegum breytingum með gildistöku núgildandi laga nr. 90/2018 og verða þau sjónarmið sem þar var byggt á því höfð til hliðsjónar í máli þessu. Í úrskurðinum segir meðal annars að Persónuvernd hafi litið svo á að menn geti vart varist því að í ættfræði- og æviskrárritum birtist um þá almennar lýðskrárupplýsingar og eru nefnd nokkur dæmi um slíkar upplýsingar, þ. á m. nafn einstaklings, nöfn niðja, foreldra og núverandi maka og tilgreining á menntun og opinberum stöðum sem menn hafa gegnt. Hins vegar sé eðlilegt að sýna eðlilega tillitssemi og byggja á samþykki hlutaðeigandi fyrir birtingu annarra upplýsinga, t.a.m. um nöfn fyrri maka eða barnsfeðra/mæðra. Sú afstaða byggist meðal annars á dómi Hæstaréttar í máli 1968:1007 (Læknatal). Taldi Persónuvernd ekki heimilt að birta upplýsingar um fyrri maka kvartanda í Íslendingabók. Byggðist niðurstaðan meðal annars á þeim yfirlýsta tilgangi sem býr að baki rekstri Íslendingabókar, þ.e. að hún nýtist í þágu ættfræðirannsókna, en kvartandi og fyrrverandi maki kvartanda áttu engin börn saman.

3.
Niðurstaða

Af framangreindum lagaákvæðum er ljóst að réttur til eyðingar persónuupplýsinga er ekki fortakslaus. Ábyrgðaraðili hlutaðeigandi vinnslu tekur ákvörðun um hvort verða skuli við beiðni um eyðingu en slík ákvörðun getur sætt endurskoðun Persónuverndar ef kvörtun berst frá skráðum einstaklingi. Þá er það ábyrgðaraðila að sýna fram á að til staðar séu mikilvægar lögmætar ástæður fyrir vinnslunni sem gangi framar hagsmunum skráðs einstaklings sem andmælir henni og óskar eftir eyðingu persónuupplýsinga, sbr. c-lið 1. mgr. 17. gr. og 1. mgr. 21. gr. reglugerðarinnar. Hyggist ábyrgðaraðili synja beiðni um eyðingu persónuupplýsinga með vísan til d-liðar 3. mgr. 17. gr. reglugerðarinnar hvílir sömuleiðis sú skylda á ábyrgðaraðilanum að sýna fram á að eyðing persónuupplýsinganna myndi gera það ómögulegt eða hamla því verulega að markmið vinnslunnar náist. Ábyrgðaraðili þarf því ávallt að framkvæma ákveðið hagsmunamat áður en tekin er afstaða til beiðni einstaklings um eyðingu persónuupplýsinga á grundvelli framangreindra ákvæða. 

Fram kemur í erindi ÍE að höfuðmarkmið ættfræðirannsókna er að tengja einstaklinga saman eftir skyldleika. Þá má ætla að það að rjúfa tengingar milli einstaklinga í Íslendingabók, eða eyða öllum upplýsingum um tiltekinn einstakling, hafi áhrif á mun fleiri einstaklinga en einungis þann sem óskar eftir eyðingu upplýsinga um sig. Í ljósi þess, sem og fyrrnefnds úrskurðar stofnunarinnar, er það mat Persónuverndar að d-liður 3. mgr. 17 gr. reglugerðarinnar, geti átt við þegar ósk berst frá einstaklingi um eyðingu upplýsinga um skyldleika við t.d. foreldra eða niðja viðkomandi. Samkvæmt ákvæðinu gilda 1. og 2. mgr. greinarinnar ekki ef vinnsla er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi, að því marki sem líklegt er að réttur til eyðingar persónuupplýsinga geri það ómögulegt eða hamli því verulega að markmið vinnslu náist. Hins vegar á umrætt ákvæði ekki við með sama hætti þegar um er að ræða upplýsingar um fyrrverandi maka eða önnur sambærileg atriði, sem ekki hafa bein áhrif á notagildi Íslendingabókar við ættfræðirannsóknir. 

Í ljósi alls framangreinds er það álit Persónuverndar að ábyrgðaraðilar, ÍE og Friðrik Skúlason ehf., geti synjað beiðni einstaklings um að öllum upplýsingum um hann verði eytt úr gagnagrunni Íslendingabókar með vísan til d-liðar 3. mgr. 17 gr. reglugerðarinnar, sé niðurstaða mats ábyrgðaraðilanna á heildarhagsmunum hverju sinni sú að það myndi draga úr áreiðanleika og nytsemi Íslendingabókar við ættfræðirannsóknir ef orðið yrði við beiðninni. Við slíkt mat er nauðsynlegt að leggja mat á hvort þær upplýsingar, sem óskað er eftir að verði eytt, hafa raunverulega þýðingu fyrir ættfræðirannsóknir, sbr. til hliðsjónar úrskurð Persónuverndar, dags. 18. apríl 2005, í máli nr. 2004/568.

Persónuvernd, 25, janúar 2022

 

Ólafur Garðarsson

stjórnarformaður

 

Björn Geirsson                           Sindri M. Stephensen

 

Vilhelmína Haraldsdóttir                       Þorvarður Kári Ólafsson