Birting persónuupplýsinga á erlendum vefsíðum hýstum á Íslandi

Mál nr. 2017/203

28.11.2018

Ákvörðun

Hinn 15. október 2018 tók Persónuvernd svohljóðandi ákvörðun í máli nr. 2017/203:

I.

Málsmeðferð

Persónuvernd vísar til fyrri samskipta af tilefni kvörtunar [A] (hér eftir nefndur „kvartandi“), sem barst stofnuninni í tölvupósti hinn 31. janúar 2017, vegna birtingar persónuupplýsinga um hann og aðra á þremur ísraelskum vefsíðum, hýstum á Íslandi hjá vefþjónustufyrirtækinu 1984 ehf. Segir meðal annars í kvörtuninni að vefsíðurnar, sem séu á hebresku, ógni öryggi ísraelskra ríkisborgara, þ. á m. dómara, lögfræðinga, lögreglumanna, lögmanna og starfsmanna í félagsþjónustu. Birtar séu persónuupplýsingar, m.a. heimilisföng, skilríki, númer lögfræðinga, persónulegar ljósmyndir, falsaðar ljósmyndir og klámfengnar ljósmyndir, auk þess sem höfundarvarin réttindi yfir ljósmyndum og skjölum séu brotin. Undanfarna fjóra mánuði hafi kvartandi átt samskipti í tölvupósti við 1984 ehf. en hafi hvorki fengið fagleg né nákvæm svör. Þá hafi hann, að höfðu samráði við umboðsmann Alþingis, leitað til sýslumannsins á höfuðborgarsvæðinu sem hafi bent honum á þann möguleika að fara fram á að upplýsingar verði fjarlægðar á grundvelli lögbanns.

Að fenginni framangreindri kvörtun veitti Persónuvernd kvartanda leiðbeiningar í tölvupósti hinn 27. apríl 2017. Þar vísaði stofnunin til þess að tvær af umræddum vefsíðum, þ.e. [vefsíða B] og [vefsíða C], væru ekki lengur aðgengilegar á Netinu og afmarkaði stofnunin því svar sitt við þá vefsíðu sem enn mátti nálgast, þ.e. [vefsíðu D]. Einnig fór Persónuvernd yfir ákvæðið um landfræðilegt gildissvið í 6. gr. þágildandi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Nánar tiltekið var vísað til þess að lögin giltu um vinnslu persónuupplýsinga á vegum ábyrgðaraðila sem höfðu staðfestu hér á landi eins og nánar var mælt fyrir um í 1. mgr. ákvæðisins, en það ætti ekki við um þann aðila sem hér um ræddi. Hins vegar giltu lögin einnig þegar ábyrgðaraðili, sem hvorki hefði staðfestu á Íslandi né í einhverju af aðildarríkjum Evrópska efnahagssvæðisins (EES) og Fríverslunarsamtaka Evrópu, notaði tæki og búnað hér á landi. Þetta ákvæði, sem ætti sér fyrirmynd í Evrópusambandslöggjöf, þ.e. c-lið 1. mgr. 4. gr. tilskipunar 95/46/EB, yrði hins vegar að túlka með hliðsjón af áliti nr. 8/2010 frá vinnuhópi á grundvelli 29. gr. tilskipunarinnar, skipuðum forstjórum evrópskra persónuverndarstofnana. Nánar tiltekið væri þar bent á nauðsyn þess að meta í hverju einstöku tilviki hvernig tækin og búnaðurinn væru í raun notuð til þess að safna og vinna persónuupplýsingar. Rúm túlkun á orðalagi ákvæðisins gæti leitt til þess að landfræðilegt gildissvið tilskipunarinnar yrði of vítt og næði til tilvika með takmarkaða tengingu við Evrópusambandið (ESB). Engu að síður væri þörf á að koma í veg fyrir að lagalegt tómarúm myndaðist þar sem ESB, og þá einnig Ísland í þessu tilviki, yrði að einhvers konar skjóli fyrir þá sem vilja hýsa eða varðveita persónuupplýsingar, til dæmis þegar vinnsla þeirra stríðir gegn almennu siðferði. Tók Persónuvernd fram að þegar litið væri til þessa gæti þurft að reyna á grundvallaratriði svo að persónuverndarstofnun innan ESB eða EES tæki til meðferðar slíkt mál og hér um ræddi. Þá yrði að líta til 5. gr. laga nr. 77/2000 (sbr. 9. gr. tilskipunarinnar), þess efnis að víkja mætti frá ákvæðum laganna í þágu fjölmiðlunar, lista eða bókmennta að því marki sem það væri nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars og vegar og tjáningarfrelsis hins vegar. Þá giltu aðeins tiltekin ákvæði laganna þegar persónuupplýsingar væru eingöngu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi.

Í lok svars Persónuverndar var tekið fram að ef óskað væri frekari viðbragða stofnunarinnar þyrfti kvartandi að afmarka hvaða færslur á umræddri vefsíðu hann teldi fela í sér brot gegn persónuverndarlöggjöf, auk þess sem senda þyrfti þýðingu á þeim.

Í samskiptum Persónuverndar við kvartanda hefur hann tilgreint fleiri vefsíður og tengla þar sem nálgast má persónuupplýsingar um hann af sama toga og lýst er að framan. Af því tilefni óskaði Persónuvernd eftir því með tölvupósti hinn 23. febrúar 2018 að kvartandi afmarkaði kvörtun sína og setti fram skýrt yfirlit yfir það efni sem hún tæki til ásamt viðeigandi skýringum, og eftir atvikum þýðingum, hverju sinni. Svar kvartanda barst Persónuvernd 17. apríl 2018 en þar var að finna yfirlit yfir sex tengla á [vefsíðu D] auk tveggja tengla á vefsíðuna [vefsíðu B]. Þá bárust Persónuvernd þann 21. mars 2018 þýðingar kvartanda á efni, sem birt var á [vefsíðu D]og kvörtunin tók til, auk annars efnis sem tengdist málaferlum vegna vefsíðunnar.

Af hálfu kvartanda hefur því meðal annars verið lýst, þ. á m. í tölvupósti hinn 7. júní 2017, að á umræddri vefsíðu séu birt ýmis illa fengin skjöl úr lokuðum þinghöldum í barnaverndarmálum, málum vegna deilna á heimilum og kynferðisbrotamálum, sem og að höfðað hafi verið sakamál á hendur aðstandanda vefsíðunnar. Þá hefur kvartandi meðal annars vísað til þess í tölvupósti hinn 29. apríl 2018 að hluti efnisins á einni þeirra vefsíðna, sem tekin hefur verið niður, er engu að síður aðgengilegt, en nánar tiltekið er þar átt við [vefsíðu B]. Eins og kvartandi bendir á er þar meðal annars um að ræða samsetta mynd sem sýnir höfuð hans á svínsbúk.

Auk samskipta við kvartanda hefur Persónuvernd leitað til ísraelskra persónuverndaryfirvalda. Nánar tiltekið óskaði stofnunin þess hinn 2. október 2017 í tölvupósti að þau yfirvöld, sem þá báru á ensku heitið „Israeli Law, Information and Technology Authority“ (ILITA) en nú „Privacy Protection Authority“, upplýstu um eftirfarandi atriði: (a) hvort ILITA hefði borist kvörtun vegna umræddrar vefsíðu frá kvartanda og hvort tekin hefði verið ákvörðun af tilefni hennar; (b) hvort ILITA hefði tekið vinnslu persónuupplýsinga á [vefsíðu D] til almennrar athugunar og hver niðurstaðan hefði þá orðið; og (c) hvort vefsíðan teldist falla undir blaða- eða fréttamennsku að áliti ILITA. Svarað var í tölvupósti hinn 5. nóvember 2017, en þar segir meðal annars að ákæruvaldið í Ísrael hafi höfðað sakamál á hendur aðstandanda umræddrar vefsíðu og sé það mál til meðferðar fyrir þarlendum héraðsdómstóli (e. district court). Þess hafi ekki verið krafist í málinu að vefsíðunni yrði lokað þar sem hluti af því efni sem þar sé birt sé þáttur í fréttamennsku og feli birting þess ekki í sér refsivert brot.

Einnig hefur Persónuvernd átt samskipti við lögmenn kvartanda, [E] hdl. og [F] hdl., en fundað var með [E] hinn 23. febrúar 2018 að beiðni kvartanda. Lagði lögmaðurinn þar meðal annars fram afrit af þágildandi þjónustuskilmálum 1984 ehf., en í þeim var tekið fram að fyrirtækið bannaði ólöglegt, skaðlegt eða siðferðislega ámælisvert efni eða upplýsingar og áskildi sér fullan rétt til að meta hvort lokað yrði á þjónustu til áskrifanda ef hýst efni bryti gegn því banni. Velti lögmaðurinn því upp hvort hægt væri að líta svo á að 1984 ehf. væri að einhverju leyti ábyrgðaraðili, í ljósi skilmálanna, þar sem fyrirtækið áskildi sér þar rétt til þess að hafa áhrif á vinnsluna. Sagði lögmaðurinn fyrirtækið hafa neitað að bregðast við athugasemdum kvartanda vegna umræddrar vefsíðu. Þá greindi lögmaðurinn meðal annars frá samskiptum sem hann hefur átt við ríkissaksóknara vegna málsins, en af hálfu lögmannsins hefur komið fram í þeim samskiptum að um ræði meðal annars efni sem talist gæti til hatursáróðurs, þ. á m. fyrrnefnd mynd sem sýnir höfuð kvartanda á svínsbúk.

Að auki hefur Persónuvernd átt samskipti við 1984 ehf. vegna málsins, en boðað var til fundar með fyrirtækinu með bréfi stofnunarinnar, dags. 1. júní 2018. Fundurinn var haldinn hinn 8. s.m. og sat hann einnig [F] hdl. sem kom þar fram fyrir hönd kvartanda. Var þess einkum óskað á fundinum að upplýst yrði um samskipti 1984 ehf. og kvartanda og hvort beiðnir til fyrirtækisins á borð við hans væru skoðaðar í ljósi skilmála þess, sbr. það sem fyrr greinir um skilmála um ólöglegt, skaðlegt eða siðferðislega ámælisvert efni eða upplýsingar. Sendi Persónuvernd í kjölfar fundarins 1984 ehf. bréf, dags. 14. júní 2017, með ósk um skýringar þar að lútandi og var svarað með bréfi fyrirtækisins, dags. 22. s.m. Í ljósi þess að þar komu ekki fram efnisleg svör ítrekaði Persónuvernd ósk sína um skýringar með bréfi, dags. s.d. Barst í kjölfar þess bréf frá 1984 ehf., dags. 26. júní 2018, en þar segir meðal annars að í tilviki kvartanda telji fyrirtækið ekki augljóst að um refsivert brot sé að ræða og vísar í því sambandi til þess að löggild þýðing á efni umræddrar vefsíðu sé ekki til staðar. Einnig segir að fyrirtækið bregðist við erindum frá íslenskum dómstólum og þar til bærum yfirvöldum þar sem staðfest hafi verið að ólögmæt birting persónuupplýsinga hafi átt sér stað. Þá segir meðal annars að fyrirtækið reyni eftir fremsta megni að bregðast við með skjótum og öruggum hætti þegar kvartanir eða beiðnir lúti að augljósum lögbrotum.

Með bréfi til 1984 ehf., dags. 15. ágúst 2018, greindi Persónuvernd frá því að enn væri að einhverju leyti unnt að nálgast efni á [vefsíðu B], þrátt fyrir að á forsíðu vefsíðunnar birtist tilkynning um að henni hefði verið lokað í ljósi kvartana yfir efni hennar. Þegar slegnar væru inn tilteknar undirslóðir birtist enn efni af síðunni, en þar væri meðal annars um að ræða tvær undirslóðir þar sem vistaðar væru ljósmyndir af kvartanda. Hefði komið fram af hans hálfu að önnur þeirra hefði verið tekin án samþykkis hans, en hin væri áðurnefnd mynd þar sem andliti hans hefur verið skeytt við svínsbúk. Óskaði Persónuvernd meðal annars eftir að 1984 ehf. lýsti afstöðu sinni til þess að loka aðgengi að þessum ljósmyndum af kvartanda á [vefsíðu B]. Í svari 1984 ehf., dags. 11. september 2018, var áréttuð sú afstaða fyrirtækisins að það teldi sér hvorki skylt né heimilt að loka aðgangi að vefsíðum sem hjá því væru hýstar nema á grundvelli lagaheimildar, aðfarargerðar, dómsúrskurðar eða úrskurða stjórnvalda. Þá bæri 1984 ehf. ekki ábyrgð á því efni sem birt væri á vefsíðum hýstum hjá fyrirtækinu og var vísað til 14. gr. laga nr. 30/2002 um rafræn viðskipti og aðra rafræna þjónustu því til stuðnings. Fyrirtækið myndi eftir sem áður bregðast við erindum frá íslenskum dómstólum og þar til bærum yfirvöldum þar sem staðfest hefði verið að ólögmæt birting persónuupplýsinga hefði átt sér stað. 

Samhliða samskiptum við 1984 ehf. óskaði Persónuvernd frekari svara frá ILITA. Nánar tiltekið vísaði stofnunin til þess í tölvupósti hinn 14. júní 2018 að til skoðunar væri hvort líta bæri á umrædda vefsíðu sem vettvang til birtingar á illa fengnum gögnum eða hvort birting persónuupplýsinga þar kallaði á mat á hvort vægi þyngra, rétturinn til friðhelgi einkalífs eða tjáningarfrelsið, en þegar svo bæri undir teldi Persónuvernd mál fremur falla undir valdsvið dómstóla heldur en sitt og vísaði þá máli frá. Einnig væri vefsíðan rituð á tungumáli sem ekki væri til staðar þekking á innan Persónuverndar og hún hefði eingöngu fengið þýðingar á efni hennar frá kvartandanum sjálfum. Að auki hefði komið fram í fréttaumfjöllun að nýlega hefði fallið dómur í dómsmáli á hendur aðstandanda vefsíðunnar sem varðaði tjáningarfrelsi, fjölmiðlafrelsi og réttinn til friðhelgi einkalífs. Vitneskja Persónuverndar um þessa dómsúrlausn væri takmörkuð, þ. á m. hvert ákæruefnið, dómkröfurnar og niðurstöðurnar hefðu verið. Þá virtist sem önnur dómsmál varðandi sömu vefsíðu væru til meðferðar, en stofnunin byggi ekki yfir vitneskju um þau mál. Með vísan til þessa óskaði Persónuvernd þess að ILITA upplýsti stofnunina um (a) umrædd dómsmál, þ. á. m. ákæruefni, kröfur og niðurstöður eftir því sem við ætti; (b) hvort ILITA teldi birtingu persónuupplýsinga á umræddri vefsíðu kalla á slíkt mat á vægi grundvallarréttinda og fyrr greinir eða hvort vefsíðan teldist fela í sér vettvang til birtingar illa fenginna gagna; og (c) önnur þau atriði sem að gagni gætu komið vegna málsins. Svarað var í tölvupósti hinn 26. júlí 2018. Segir þar að dómsmál vegna vefsíðunnar sé enn til meðferðar og að ekki sé gert ráð fyrir að því ljúki í náinni framtíð enda séu ákæruatriðin, sem snúi meðal annars að því að brotið hafi verið gegn friðhelgi einkalífs, yfir 100 talsins, auk þess sem yfir 260 vitni þurfi að gefa skýrslu. Þá segir að jafnan sé það dómskerfið sem taki afstöðu til þess hvort um ræði brot gegn friðhelgi einkalífs eða lögmæta blaðamennsku.

II.

Forsendur og niðurstaða

1.

Ákvæði eldri löggjafar

Við upphaf máls þessa var litið til þess að samkvæmt þágildandi persónuverndarlöggjöf, þ.e. lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og persónuverndartilskipuninni, 95/46/EB, tók hún að meginstefnu til vinnslu persónuupplýsinga á vegum ábyrgðaraðila með staðfestu hér á landi, sbr. 1. mgr. 6. gr. laganna og a-lið 1. mgr. 4. gr. tilskipunarinnar. Í löggjöfinni var með ábyrgðaraðila nánar tiltekið átt við þann sem ákvað markmið og aðferðir við vinnslu persónuupplýsinga, sbr. 4. tölul. 2. gr. laganna og d-lið 2. gr. tilskipunarinnar. Taldi Persónuvernd aðstandanda umræddrar vefsíðu, þar sem birtar eru persónuupplýsingar um kvartanda, vera ábyrgðaraðila að þeirri vinnslu, en um ræðir einstakling með staðfestu í Ísrael. Stofnunin taldi hins vegar fyrirtækið 1984 ehf., sem hýsti síðuna, vera vinnsluaðila, þ.e. aðila sem vinnur með persónuupplýsingar á vegum ábyrgðaraðila, sbr. 5. tölul. 2. gr. laganna og e-lið 3. gr. tilskipunarinnar, en samkvæmt því áleit stofnunin fyrirtækið ekki falla undir framangreind ákvæði um landfræðilegt gildissvið persónuverndarlöggjafar.

Þrátt fyrir framangreint gat persónuverndarlöggjöfin hins vegar náð til umræddrar vinnslu á grundvelli c-liðar 1. mgr. 4. gr. tilskipunarinnar, sbr. samsvarandi ákvæði 1. mgr. 6. gr. laga nr. 77/2000, þess efnis að slík löggjöf tæki til vinnslu á vegum ábyrgðaraðila með staðfestu utan ESB (og þar með EES, þ. á m. Íslands, á grundvelli EES-samningsins) þegar notuð væru tæki eða búnaður á yfirráðasvæði aðildarríkis. Í ljósi þess var kvartanda, við upphaf meðferðar máls þessa í tölvupósti hinn 27. apríl 2017, greint frá tilteknum skilningi samráðsvettvangs persónuverndarstofnana, þ.e. vinnuhóps samkvæmt 29. gr. tilskipunarinnar, um hvernig túlka bæri þennan þátt hins landfræðilega gildissviðs, sbr. álit vinnuhópsins nr. 8/2010. Nánar tiltekið var það afstaða vinnuhópsins, eins og fyrr er lýst, að forðast ætti svo rúma skýringu að tilskipunin, og þar með löggjöf í einstökum ríkjum á grundvelli hennar, næði til tilvika með takmarkaða tengingu við ESB en að jafnframt þyrfti þó að koma í veg fyrir að lagalegt tómarúm myndaðist þar sem ESB yrði að eins konar skjóli fyrir til dæmis vinnslu sem stríðir gegn almennu siðferði.

Að auki greindi Persónuvernd frá því að líta yrði til 5. gr. laga nr. 77/2000, sbr. og 9. gr. tilskipunarinnar, um heimild til að víkja frá ákvæðum laganna vegna vinnslu í ákveðnu skyni að því marki sem það væri nauðsynlegt til samræmingar réttinum til einkalífs annars vegar og tjáningarfrelsis hins vegar, en einnig mælti ákvæðið svo fyrir að einungis tiltekin ákvæði laganna ættu við þegar vinnsla færi eingöngu fram í þágu meðal annars fréttamennsku.

2.

Forsendur samkvæmt nýrri löggjöf

Bæði tilskipun 95/46/EB og lög nr. 77/2000 eru nú úr gildi fallin og hafa í stað þeirra komið persónuverndarreglugerðin, (ESB) 2016/679, og lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Skilgreiningar hinnar nýju löggjafar á hugtökunum „ábyrgðaraðili“ og „vinnsluaðili“ eru efnislega hinar sömu og í eldri löggjöf, sbr. 6. og 7. tölul. 3. gr. nýju laganna og 7. og 8. tölul. 4. gr. reglugerðarinnar. Telur því Persónuvernd enn sem fyrr að aðstandandi umræddrar vefsíðu sé ábyrgðaraðili að vinnslu persónuupplýsinga, sem fram fer í tengslum við hana, en að 1984 ehf. sé vinnsluaðili. 

Í ákvæðum hinnar nýju löggjafar um landfræðilegt gildissvið er ekki lengur fjallað um vinnslu ábyrgðaraðila utan ESB og EES þegar notuð eru tæki eða búnaður á yfirráðasvæði aðildarríkis. Ólíkt því sem var í eldri löggjöf er hið landfræðilega gildissvið hins vegar afmarkað svo í 1. mgr. 3. gr. reglugerðarinnar og 1. mgr. 7. gr. nýju laganna að það taki til vinnslu sem fram fer í tengslum við starfsemi bæði ábyrgðaraðila og vinnsluaðila, í þessu tilviki 1984 ehf., með staðfestu hér á landi, en í samsvarandi ákvæðum eldri löggjafar, þ.e. fyrrgreindum ákvæðum a-liðar 1. mgr. 4. gr. tilskipunar 95/46/EB og 1. mgr. 6. gr. laga nr. 77/2000, var eingöngu fjallað um ábyrgðaraðila í þessu sambandi.

Jafnframt telur Persónuvernd hins vegar verða að líta til 6. gr. laga nr. 90/2018, sbr. 85. gr. reglugerðarinnar. Nánar tiltekið kemur fram í umræddu ákvæði laganna, sem er sama efnis og fyrrnefnt ákvæði 5. gr. laga nr. 77/2000, að víkja má frá ákvæðum þeirra í þágu fjölmiðlunar, lista eða bókmennta að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar. Þá kemur fram að vinnsla persónuupplýsinga, sem eingöngu er í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi, fellur utan ramma flestra ákvæða laganna, þ. á m. 2. mgr. 39. gr., þar sem mælt er fyrir um það hlutverk Persónuverndar að úrskurða um hvort brotið hafi verið gegn þeim, sem og 42. gr., sem veitir Persónuvernd heimild til að gefa fyrirmæli um vinnslu persónuupplýsinga.

Þegar litið er til þess sem fram hefur komið um [vefsíðu D] undir rekstri málsins telur Persónuvernd verða að byggja á því að í tengslum við hana reyni á skilin milli einkalífsréttarins og tjáningarfrelsisins. Samkvæmt því reynir á fyrrgreint ákvæði 6. gr. laga nr. 90/2018 í málinu. Í ljósi meðal annars þess hver valdmörk Persónuverndar eru samkvæmt því ákvæði telur stofnunin það ekki falla í sinn hlut heldur dómstóla að taka til þess afstöðu hvor þessara stjórnarskrárvörðu grunnréttinda vegi þyngra. Er þeim hluta kvörtunarinnar, sem varðar [vefsíðu D], því vísað frá.

Hvað varðar ljósmyndirnar tvær af kvartanda, sem birtar eru á [vefsíðu B], ber hins vegar að líta til þess að samkvæmt tilkynningu sem birtist á forsíðu vefsíðunnar hafa stjórnendur hennar ákveðið að loka fyrir allan almennan aðgang að vefsíðunni í kjölfar kvartana yfir því efni sem þar birtist. Er sérstaklega tiltekið að lokunin taki til vefsíðunnar í heild sinni. Í því ljósi, og með hliðsjón af því að sterkar líkur eru á því að önnur ljósmyndin, sem sýnir höfuð kvartanda á svínsbúk, feli í sér hatursáróður og sé sett fram í meiðandi tilgangi, þykir ljóst að birtingin fari í bága við kröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um sanngjarna vinnslu persónuupplýsinga.

3.

Niðurstaða

Persónuvernd beinir þeim fyrirmælum til 1984 ehf. að loka fyrir allan aðgang að ljósmyndunum tveimur af kvartanda, sem birtar eru á [vefsíðu B], en tengla á myndirnar má finna í fylgiskjali með ákvörðun þessari. Þeim hluta kvörtunarinnar sem snýr að [vefsíðu D] er vísað frá Persónuvernd.