Álit um veitingu netaðgangs að upplýsingum um eigendur ökutækja

Mál nr. 2020010416

5.1.2022

Álit

Hinn 30. desember 2021 veitti Persónuvernd svohljóðandi álit í máli nr. 2020010416:

I.
Málsmeðferð

1.
Almennt

Persónuvernd vísar til fyrri samskipta vegna erindis Samgöngustofu, dags. 19. september 2019, með ósk um leiðbeiningar vegna fyrirhugaðrar vinnslu persónuupplýsinga, þ.e. að almenningi verði veittur kostur á að fletta upp upplýsingum um eigendur og umráðamenn ökutækja í ökutækjaskrá í sérstakri vefgátt.

Tafir urðu á meðferð erindisins, m.a. vegna mikilla anna Persónuverndar, og er beðist velvirðingar á þeim. Með bréfi til Samgöngustofu, dags. 5. júlí 2021, var þess óskað að fram kæmi hvort umrædd vinnsla persónuupplýsinga væri enn fyrirhuguð. Því var svarað til í tölvupósti 16. s.m. að svo væri.

2.
Um erindi Samgöngustofu

Í erindi Samgöngustofu er vísað til þess að stofnunin starfi samkvæmt lögum nr. 119/2012 um Samgöngustofu, stjórnsýslustofnun samgöngumála. Jafnframt er tekið fram að henni sé heimil vinnsla persónuupplýsinga í þeim tilgangi að sinna lögbundnu hlutverki sínu, þ. á m. skráningu ökutækja í ökutækjaskrá. Undanfarin ár hafi hún leiðbeint og miðlað upplýsingum til almennings með samskiptum við eigendur og umráðamenn ökutækja símleiðis í gegnum þjónustuver sitt. Til þess að gera þjónustu sína við almenning skilvirkari, hagkvæmari og öruggari hafi hún ákveðið að færa miðlun upplýsinga um eigendur og umráðamenn ökutækja undir flipann „Mínar síður“ á vefsíðu sinni, háð nokkrum nánar skilgreindum skilyrðum.

Það fyrirkomulag að miðla umræddum upplýsingum símleiðis hafi valdið töluverðu álagi á þjónustuver Samgöngustofu. Með því að færa miðlunina yfir á heimasíðu stofnunarinnar myndist svigrúm til að þjónusta almenning betur á öðrum sviðum. Þá megi benda á að gera megi ráð fyrir að álag hjá lögreglu muni minnka til muna þar sem hún sjái um mál er varði uppflettingu vegna ökutækja utan hefðbundins vinnutíma.

Telja verði miðlun upplýsinga um eigendur og umráðamenn ökutækja á heimasíðu Samgöngustofu mun öruggari en miðlun í gegnum síma. Þá verði uppfletting háð nánar tilgreindum skilyrðum sem miði að því að uppfylla kröfur um persónuvernd. Upplýsingarnar verði einungis aðgengilegar í gegnum fyrrnefndar „Mínar síður“ sem séu öruggt einkasvæði, aðgangsstýrt með rafrænum skilríkjum. Uppflettingar verði háðar fjöldatakmörkunum og skráðar í aðgerðaskrá. Nöfn, kennitölur, netföng og IP-tölur þeirra er fletti upp verði skráðar og vistaðar í þeim tilgangi að tryggja rekjanleika en verði ekki miðlað til þriðja aðila.

Fólki verði gert að haka við að það hafi lesið og skilið þau skilyrði sem verði að uppfylla við vinnslu upplýsinga áður en því verði veittur aðgangur að þeim. Í því felist að við uppflettingu og vinnslu upplýsinga skuli farið að lögum um persónuvernd og vinnslu persónuupplýsinga, að uppflettingar séu færðar í aðgerðaskrár, að þeim sem fletti upp upplýsingum sé heimilt að skrá upplýsingar úr ökutækjaskrá í eigið kerfi en sé óheimilt að safna þeim í sérstakan gagnagrunn yfir ökutæki, að óheimilt sé að breyta upplýsingum úr ökutækjaskrá og að þeim sem fletti upp upplýsingum sé einungis heimilt að nota þær í eigin þágu. Óheimilt sé að miðla upplýsingum úr ökutækjaskrá til þriðja aðila eða birta þær opinberlega nema að því leyti sem það geti talist eðlilegur þáttur í starfsemi viðtakanda og persónuupplýsingar megi aldrei birta opinberlega.

Í framhaldi af þessu er tekið fram í bréfi Samgöngustofu að hún telji umrædda vinnslu uppfylla kröfur um lögmæta hagsmuni og málefnalegan tilgang. Upplýsingar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt sé miðað við tilgangi vinnslunnar og unnar með sanngjörnum, málefnalegum og lögmætum hætti. Jafnframt telji stofnunin meðferð upplýsinganna samrýmast vönduðum vinnsluháttum persónuupplýsinga. Segir í því sambandi að aflað hafi verið upplýsinga um sambærilega þjónustu hjá systurstofnunum Samgöngustofu á hinum Norðurlöndunum. Fram hafi komið í svörum að í Noregi sé umræddum upplýsingum miðlað símleiðis og í Finnlandi og Svíþjóð bæði símleiðis og á Netinu og sé eftir atvikum innheimt vægt gjald.

Að auki segir í bréfi Samgöngustofu að einstaklingar eigi rétt á vitneskju um hvort vinnsla hafi átt sér stað á upplýsingum þeirra og rétt til aðgangs að þeim. Sá réttur geti verið háður takmörkunum, en Samgöngustofa verði almennt við aðgangsbeiðnum hlutaðeigandi að kostnaðarlausu. Hún áskilji sér þó rétt til innheimtu á kostnaði við afhendingu fleiri en eins afrits af persónuupplýsingum. Þá áskilji hún sér rétt til að synja beiðnum sem séu augljóslega tilefnislausar, óhóflegar eða andstæðar gildandi lögum og reglum.

Í niðurlagi bréfs Samgöngustofu er óskað leiðbeininga Persónuverndar sjái hún annmarka á umræddri vinnslu. Þá segir að lögð sé áhersla á að öll vinnsla persónuupplýsinga samrýmist lögum.

3.
Ósk um nánari skýringar og svör við henni

Með bréfi, dags. 12. nóvember 2019, óskaði Persónuvernd nánari skýringa frá Samgöngustofu, þ.e. á því hver tilgangur fyrirhugaðrar vinnslu væri. Svarað var með bréfi, dags. 22. s.m. Þar er tekið fram að Samgöngustofa annist skráningu í ökutækjaskrá og rekstur hennar og hafi umsjón með aðgangi að henni í samræmi við 7. gr. laga nr. 119/2012, 4. gr. reglugerðar nr. 751/2003 um skráningu ökutækja og 3. gr. reglugerðar nr. 79/1997 um starfshætti skráningarstofu. Tilgangur vinnslunnar sé ekki tiltekinn í lögunum en ráða megi af lagaframkvæmd að hann sé meðal annars sá að stjórnvöld hafi yfirsýn yfir bílaflota í landinu og að upplýsingum um hann verði unnt að miðla til þeirra sem nauðsynlega þurfi á þeim að halda. Sem dæmi megi nefna að upplýsingum hafi verið flett upp til að svara einstaklingum til um hver eigi ökutæki sem færa þurfi úr stað. Þá geti tilgangurinn verið sá að fletta því upp hvort eigendaskipti hafi gengið í gegn, hvenær ökutæki hafi verið skráð eða afskráð og fá um það tæknilegar upplýsingar.

Líkt og fram hafi komið í upprunalegu erindi til Persónuverndar sé ráðgert að færa vinnslu yfir á Netið til að auka öryggi og þjónustu við almenning við miðlun upplýsinga sem farið hafi fram símleiðis. Þá verði hægt að rekja uppflettingar ef þörf krefji. Í 5. tölul. 1. mgr. 9. gr. laga nr. 90/2018 sé tiltekið að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna verks sem unnið sé í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fari með. Samgöngustofa bendi á að miðlun umræddra upplýsinga úr ökutækjaskrá sé háð tilteknum skilyrðum, þ. á m. því að viðkomandi fletti upplýsingum upp í takmörkuðu umfangi hverju sinni. Þá sé viðkomandi gert að haka við framangreind skilyrði og sé upplýstur um að uppfletting verði skráð. Samgöngustofa telji að umrædd vinnsla falli undir fyrrnefnda vinnsluheimild samkvæmt lögum nr. 90/2018, en um sé að ræða vinnslu í þágu almannahagsmuna og sé hún nægileg, viðeigandi og ekki umfram það sem nauðsynlegt sé miðað við tilgang vinnslunnar.

II.
Álit Persónuverndar
1.
Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölulið 3. gr. laganna og 1. tölulið 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölulið 3. gr. laganna og 2. tölulið 4. gr. reglugerðarinnar.

Mál þetta lýtur að því að almenningi verði veittur kostur á að fletta upp upplýsingum um eigendur og umráðamenn ökutækja í ökutækjaskrá í sérstakri vefgátt. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Samgöngustofa vera ábyrgðaraðili að umræddri vinnslu.

2.
Afstaða Persónuverndar

Svo að vinna megi með persónuupplýsingar þarf ávallt að vera til staðar heimild til vinnslunnar samkvæmt 9. gr. laga nr. 90/2018. Þegar um er að ræða stjórnvöld geta einkum 3. og 5. tölul. þeirrar greinar átt við, annars vegar um heimild til vinnslu sem nauðsynleg er til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila og hins vegar um heimild til vinnslu sem nauðsynleg er vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með.

Auk heimildar samkvæmt 9. gr. laga nr. 90/2018 þarf ávallt að vera fullnægt öllum grunnkröfum 1. mgr. 8. gr. laganna, m.a. um að persónuupplýsingar skulu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skulu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skulu vera nægilegar, viðegandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Við mat á því hvort heimild standi til vinnslu samkvæmt 9. gr. laga nr. 90/2018 og hvort farið sé að grunnkröfum 8. gr. sömu laga ber að líta til annarrar löggjafar sem við á hverju sinni. Hvað snertir ökutækjaskrá sérstaklega vísast í því sambandi til 1. tölul. 7. gr. laga nr. 119/2012 um Samgöngustofu, stjórnsýslustofnun samgöngumála, þess efnis að hún annist skráningu ökutækja í ökutækjaskrá; 72. gr. umferðarlaga nr. 77/2019 sem hefur að geyma nánari reglur um skrána; 4. gr. reglugerðar nr. 751/2003 um skráningu ökutækja, sbr. nú 2. mgr. framangreinds ákvæðis umferðarlaga, sbr. áður 60., 64. og 67. gr. a í eldri umferðarlögum nr. 50/1987; svo og reglugerðar nr. 79/1997 um starfshætti skráningarstofu ökutækja, sbr. reglugerðarheimild í sömu lagaákvæðum. 

Í 4. mgr. 3. gr. síðastnefndu reglugerðarinnar er mælt fyrir um að einstaklingum, fyrirtækjum og stofnunum sé heimill aðgangur að upplýsingum um einstök ökutæki úr ökutækjaskrá eins og nánar sé kveðið á um í starfsreglum skráningarstofu, þ.e. Samgöngustofu miðað við núgildandi lagaumhverfi. Tekið er fram að reglurnar skuli staðfestar af tölvunefnd, þ.e. nú Persónuvernd. Þá segir meðal annars að miðlun upplýsinga um eigendur og umráðamenn ökutækja sé háð leyfi þeirrar nefndar, auk þess sem samþykki hennar þurfi til birtingar upplýsinga úr skránni.

Fyrir liggur að í ljósi framangreinds ákvæðis hafa verið í gildi sérstakar starfsreglur um aðgang að ökutækjaskrá. Var þar fyrst um að ræða reglur sem tölvunefnd setti Skráningarstofunni hf. hinn 26. nóvember 1997, sbr. uppfærslu á reglunum 17. apríl 1998 (mál nr. 97/319 hjá nefndinni), en Skráningarstofan hf. sá þá um rekstur ökutækjaskrár. Heimilað var í a-lið 1.mgr. 1. gr. reglnanna að einstaklingar, fyrirtæki og stofnanir fengju upplýsingar um ökutæki úr ökutækjaskrá með beinlínutengingu, svo og að nafn eiganda birtist á skjámynd þó svo að hann nyti nafnleyndar til að hindra notkun nafns síns í markaðssetningarstarfsemi og við upplýsingagjöf í síma. Hér var um að ræða aðgang samkvæmt leit eftir fastanúmeri ökutækis, áletrun á skráningarmerki eða verksmiðjunúmeri, en eins og fram kom í 4. gr. reglnanna var aðgangur eftir persónuauðkennum ekki heimill nema um ræddi opinbera aðila, lögmenn í innheimtustarfsemi og skiptastjóra þrotabúa að nánari skilyrðum fullnægðum. Þá var gert að skilyrði að aðgangur væri þáttur í reglubundinni starfsemi viðkomandi.

Við uppfærslur á starfsreglum samkvæmt 4. mgr. 3. gr. reglugerðar nr. 79/1997 hefur verið byggt á sambærilegu fyrirkomulagi og að framan greinir. Jafnframt hafa orðið miklar breytingar á því hvernig unnt er að veita aðgang að upplýsingum með rafrænum hætti, en þar má nefna hvernig nú er unnt að stýra aðgangi með rafrænum skilríkjum. Þá er ljóst að áhersla hefur aukist á að gagnsæi ríki um starfsemi stjórnvalda eins og birtist í upplýsingalögum nr. 140/2012 sem tóku við af eldri lögum um sama efni nr. 50/1996. Birtist þetta meðal annars í 13. gr. laganna þar sem fjallað er um birtingu að eigin frumkvæði stjórnvalda, en tekið er fram í 2. mgr. þeirrar greinar að stjórnvöld skuli vinna markvisst að því að að gera skrár yfir mál, lista yfir málsgögn og gögnin sjálf aðgengileg með rafrænum hætti og eigi hið sama við um gagnagrunna og skrár. Jafnframt er hins vegar tekið fram að þess skuli gætt að birting gangi ekki gegn einka- eða almannahagsmunum.

Persónuvernd telur ljóst að veiting á aðgangi að ökutækjaskrá til almennings geti talist þáttur í framangreindri skyldu. Í ljósi þess og skyldna samkvæmt fyrrnefndri löggjöf, sem Samgöngustofu ber að fara eftir, þ. á m. reglugerð nr. 79/1997, verður 3. tölul. 9. gr. laga nr. 90/2018 álitinn geta rennt stoðum undir umrædda vinnslu. Þá verður fyrrgreint ákvæði 5. tölul. sömu greinar einnig talið geta átt þar við. Í því felst að það getur talist þjóna almannahagsmunum að einstaklingar geti fengið vitneskju um hver sé eigandi að tilteknu ökutæki, einkum ef viðkomandi þarf að geta haft samband við eiganda þess vegna málefna sem því tengjast. Má jafnframt telja ljóst að um slíkt geti verið að ræða þó svo að aðgangurinn þjóni ekki reglubundinni starfsemi á vegum þess sem flettir upp upplýsingum. Skilyrði um slíka starfsemi, sem fyrst um sinn var mælt fyrir um í eldri reglum, þarf því ekki að teljast nauðsynlegt, einkum í ljósi aukinnar áherslu í löggjöf á upplýsingarétt almennings hjá stjórnvöldum en einnig þeirrar ríku ábyrgðar sem hvílir á eigendum ökutækja í ljósi hættueiginleika þeirra. Gerði Persónuvernd samkvæmt þessu ekki athugasemdir þegar þetta skilyrði var fellt brott – að vísu samfara þrengingu á aðgangi að persónauðkennum eigenda ökutækja – þegar henni barst til umfjöllunar uppfærð útgáfa af reglum samkvæmt 4. mgr. 3. gr. reglugerðar nr. 79/1997 með bréfi Umferðarstofu, eins af forverum Samgöngustofu, dags. 25. febrúar 2004, sbr. svar stofnunarinnar, dags. 19. mars s.á. (mál nr. 2004/143 hjá henni).

Jafnframt skal hins vegar tekið fram að ekki verða sömu sjónarmið talin eiga við um aðgang að ökutækjaskrá og hinn almenna aðgangsrétt almennings að fyrirliggjandi gögnum hjá stjórnvöldum samkvæmt 5. gr. upplýsingalaga nr. 90/2018. Sá aðgangur er ekki háður neinum skilyrðum um að sýnt sé fram á sérstaka háttsemi eða málefnalegan tilgang og er meðal annars til þess ætlaður að unnt sé að veita stjórnvöldum aðhald við framkvæmd starfa sinna. Ekki verður séð að slík sjónarmið eigi við í tengslum við veitingu á aðgangi að ökutækjaskrá til almennings. Í því felst jafnframt að eðlilegt er að gerðar séu sérstakar ráðstafanir til að tryggja það að slíkur aðgangur og notkun hans samrýmist grunnreglum 8. gr. laga nr. 90/2018, svo og kröfum um upplýsingaöryggi samkvæmt 1. mgr. 27. gr. laganna, sbr. nánari ákvæði í 32. gr. reglugerðar (ESB) 2016/679. Þá er eðlilegt að gerðar séu ráðstafanir til að standa vörð um réttindi hins skráða, m.a. til að geta fengið vitneskju um hverjir hafi fengið upplýsingar um sig, sbr. 15. gr. reglugerðarinnar, sbr. 1. mgr. 17. gr. laganna. Felur framangreint nánar tiltekið í sér ráðstafanir á borð við tilgreiningu á tilgangi einstakra uppflettinga, að lagt sé bann við opinberri birtingu upplýsinga og að allar uppflettingar séu rekjanlegar.

Fyrir liggur lýsing af hálfu Samgöngustofu af ráðstöfunum eins og hér um ræðir, þó ekki kröfu um tilgreiningu á tilgangi uppflettingar. Þá er ljóst að lýsingu sem þessa vegna umræddra uppflettinga ætti að vera að finna í starfsreglum samkvæmt 3. mgr. 4. gr. reglugerðar nr. 79/1997, en Persónuvernd hefur nú aðeins borist hún í formi umfjöllunar í áðurnefndum bréfum Samgöngustofu til stofnunarinnar, dags. 19. september og 22. nóvember 2019. Með vísan til þess er Samgöngustofu leiðbeint um að senda Persónuvernd drög að uppfærðum starfsreglum þar sem umræddum ráðstöfunum er lýst, þ. á m. hvað snertir tilgreiningu á tilgangi uppflettinga.

Að fengnum drögum samkvæmt framangreindu verða þau tekin til umfjöllunar í ljósi fyrrnefnds ákvæðis reglugerðar nr. 79/1997. Tekið skal fram í því sambandi að staðfesting á reglunum samkvæmt ákvæðinu verður jafnframt talin fela í sér leyfi á grundvelli þess til miðlunar upplýsinga um eigendur og umráðamenn ökutækja innan ramma reglnanna.

Tekið skal fram að endingu að ekki ber að líta á álit þetta sem endanlega, bindandi afstöðu Persónuverndar til þeirra álitaefna sem reynt getur á í tengslum við umræddan aðgang. Kann því nánari afstaða að verða tekin til þeirra síðar, eftir atvikum í tilefni af kvörtunum sem stofnuninni kunna að berast í tengslum við hann.

F.h. Persónuverndar,

Helga Þórisdóttir                               Þórður Sveinsson