Birting Reykjavíkurborgar á innsendri athugasemd kvartanda á vefsíðu borgarinnar

Mál nr. 2020010584

25.9.2020

Úrskurður

Hinn 27. ágúst 2020 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2020010584 (áður 2018111586):

I.

Málsmeðferð

1.

Kvörtun og bréfaskipti

Persónuvernd barst kvörtun frá [A] (hér eftir nefndur kvartandi), dags. 25. september 2018, yfir birtingu persónuupplýsinga um hann á vefsíðu Reykjavíkurborgar. Nánar tiltekið var um að ræða birtingu á innsendri athugasemd kvartanda vegna tillögu umhverfis- og skipulagsráðs að tilteknu deiliskipulagi en athugasemdin innihélt nafn kvartanda og kennitölu. Er kvörtuninni beint að Reykjavíkurborg og telur kvartandi birtinguna brjóta í bága við persónuverndarlög og ákvæði stjórnarskrár um friðhelgi einkalífs.

Með bréfi, dags. 9. maí 2019, var Reykjavíkurborg boðið að koma á framfæri skýringum vegna kvörtunarinnar. Með tölvupósti, dags. 16. maí 2019, vísaði persónuverndarfulltrúi Reykjavíkurborgar til svarbréfs Reykjavíkurborgar og persónuverndarfulltrúa frá 13. og 14. maí 2019 í máli vegna annarrar kvörtunar kvartanda, dags. 17. september 2018. Með bréfi, dags. 22. maí 2019, var kvartanda boðið að tjá sig um framkomin svör Reykjavíkurborgar. Með tölvupósti, dags. 1. júní 2019, barst svarbréf kvartanda.

Við úrlausn málsins hefur verið tekið tilliti til allra framangreindra gagna, þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur dregist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að birtingin hafi farið í bága við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og einnig að hún fari í bága við 71. gr. stjórnarskrárinnar um friðhelgi einkalífs.

Kvartandi telur Reykjavíkurborg hafa brugðist fræðsluskyldu sinni enda hafi hún hvorki upplýst kvartanda um að athugasemd hans myndi birtast orðrétt á vefsíðu Reykjavíkurborgar áður en hann hafi sent hana inn né eftir það. Þá hafi Reykjavíkurborg ekki enn tekið skjalið úr birtingu. Kvartandi vísar til ummæla í bréfi Reykjavíkurborgar um að borgin telji rétt, að athuguðu máli, að skoða nánar hvort birting innsendra athugasemda sem innihalda persónuupplýsingar, svo sem nafn, heimilisfang og kennitölu, á Netinu sé nauðsynleg til að ná fram þeim lögmæta tilgangi sem samráðsferli við almenning feli í sér. Í því sambandi leitar hann svara við því hvers vegna Reykjavíkurborg, sem sjálf efist um þennan verknað, hafi skjölin enn opinber á Netinu. Kvartandi telur óþarft að birta kennitölu fólks í tilviki sem þessu á Netinu, þrátt fyrir sjónarmið Reykjavíkurborgar um gagnsæi.

3.

Sjónarmið Reykjavíkurborgar

Í svarbréfi Reykjavíkurborgar er á því byggt að birting athugasemdanna hafi verið hluti af vinnslu persónuupplýsinga vegna lögbundins samráðs við gerð deiliskipulags, sbr. 40. gr. skipulagslaga nr. 123/2010, en framkvæmdin hafi verið sú að birta innsendar athugasemdir óbreyttar með öðrum fylgiskjölum í fundargerðum skipulags og samgönguráðs. Birting athugasemdanna sem fylgigagna með fundargerðum hafi verið liður í gagnsærri stjórnsýslu og upplýsingagjöf til þeirra er málið varði, bæði kjörinna fulltrúa, almennings og hagsmunaaðila. Vinnslan hafi því byggst á lagaheimild, sbr. 3. tölul. 9. gr. laga nr. 90/2018, auk þess sem færa megi rök fyrir því að hún geti einnig stuðst við 5. tölul. sömu greinar þar sem gagnsætt samráðsferli við gerð skipulagsáætlana sé í þágu almannahagsmuna.

Í bréfinu segir síðan, í tengslum við 8. gr. laga nr. 90/2018, að Reykjavíkurborg telji, að athuguðu máli, að rétt sé að skoða nánar hvort birting innsendra athugasemda sem innihaldi persónuupplýsingar, svo sem nafn, heimilisfang og kennitölu, á Netinu sé nauðsynleg til að ná fram þeim lögmæta tilgangi sem samráðsferli við almenning feli í sér. Í bréfinu segir að Reykjavíkurborg vinni að innleiðingu persónuverndarlaganna og hluti af þeirri vinnu felist í að kortleggja alla vinnslu persónuupplýsinga (með gerð vinnsluskráa), fara yfir hvort hún uppfylli skilyrði laga og gera breytingar á verklagi þar sem þess þurfi. Skoðun birtingar umræddra gagna á Netinu sé hluti af þeirri vinnu. Í ljósi framkominnar kvörtunar hafi verið ákveðið að láta af birtingu innkominna athugasemda með fundargerðum á Netinu þar til annað verði ákveðið.

Í bréfinu segir að lokum að Reykjavíkurborg hafi hingað til ekki gert þeim sem kunni að senda inn athugasemdir grein fyrir því að þær verði birtar óbreyttar á Netinu. Framangreind vinna við innleiðingu persónuverndarlaganna hjá borginni taki einnig til þess að skoða hvernig upplýsingaskylda gagnvart hinum skráðu verði uppfyllt og að breyta framkvæmd og verklagi til samræmis við það.

Ekki þykir tilefni til að rekja bréf persónuverndarfulltrúa Reykjavíkurborgar nánar en tekið hefur verið tillit til þess er þar kemur fram í úrskurði þessum, líkt og áður kom fram.

II.

Forsendur og niðurstaða

1.

Lagaskil

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sem í gildi voru þegar umræddar persónuupplýsingar voru fyrst birtar, voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi hinn 15. júlí 2018. Þau lögfestu jafnframt persónuverndarreglugerðina, (ESB) 2016/679, eins og hún var aðlöguð og tekin upp í EES-samninginn.

Þar sem kvörtun þessi beinist að ástandi sem enn er til staðar, þar sem persónuupplýsingar kvartanda eru enn aðgengilegar á vefsíðu Reykjavíkurborgar, auk þess sem þær reglur laga um persónuvernd sem á reynir hafa ekki breyst efnislega með gildistöku nýrra laga, verður leyst úr málinu á grundvelli laga nr. 90/2018.

2.

Gildissvið – Ábyrgðaraðili – Afmörkun máls

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda á vefsíðu Reykjavíkurborgar. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Með hliðsjón af gögnum málsins telst Reykjavíkurborg vera ábyrgðaraðili að þeirri vinnslu sem snýr að birtingu á persónuupplýsingum kvartanda á vefsíðu borgarinnar.

3.

Lögmæti vinnslu

3.1.

Heimild til vinnslu persónuupplýsinga

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Hvað varðar birtingu persónuupplýsinga kvartanda á vefsíðu Reykjavíkurborgar koma einkum til skoðunar 3. tölul. 9. gr. laganna, sbr. c-lið 1. mgr. 6. gr. reglugerðarinnar, sem heimilar vinnslu persónuupplýsinga sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, og 5. tölul. 9. gr. laganna, sbr. e-lið 1. mgr. 6. gr. reglugerðarinnar, sem heimilar vinnslu sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Mæla skal fyrir um grundvöll vinnslu, sem fram fer á grundvelli síðarnefndu heimildarinnar, í lögum, sbr. 3. mgr. 6. gr. reglugerðarinnar.

Við mat á því hvort birting upplýsinga um kvartanda á vefsíðu Reykjavíkurborgar teljist heimil samkvæmt framangreindu getur þannig þurft að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 102. gr. sveitarstjórnarlaga nr. 138/2011 kemur fram að sveitarstjórn skuli leitast við að tryggja íbúum sveitarfélagsins möguleika til að taka þátt í og hafa áhrif á stjórn sveitarfélagsins og undirbúning stefnumótunar. Áhrif íbúa megi meðal annars tryggja með virkri upplýsingagjöf til íbúa, sbr. 1. tölul. 2. mgr. sama ákvæðis.

Í 40. gr. skipulagslaga nr. 123/2010 er meðal annars fjallað um lögbundið samráð sveitarstjórnar við íbúa og aðra hagsmunaaðila um deiliskipulagstillögur. Af 40. og 41. gr. laganna, sbr. einnig 31. gr. þeirra, leiðir að framangreindum aðilum er veitt færi á að skila inn athugasemdum innan ákveðins frests og að taka skuli afstöðu til athugasemdanna af hálfu viðkomandi stjórnvalds. Hvorki í lögum nr. 123/2010 né í skipulagsreglugerð nr. 90/2013, sem sett er á grundvelli laganna og felur í sér nánari útfærslu á framkvæmd þeirra, er fjallað um birtingu innsendra athugasemda á Netinu af hálfu viðkomandi stjórnvalds.

Hins vegar ber að líta til upplýsingalaga nr. 140/2012 og markmiðs þeirra, sem er að tryggja gegnsæi í stjórnsýslu og við meðferð opinberra hagsmuna, meðal annars í þeim tilgangi að styrkja upplýsingarétt og tjáningarfrelsi sem og traust almennings á stjórnsýslunni, sbr. 1. gr. þeirra laga. Í 1. mgr. 13. gr. þeirra segir að stjórnvöld skuli veita almenningi með reglubundnum hætti upplýsingar um starfsemi sína, svo sem með rafrænni útgáfu skýrslna, samantektum um mikilvæg verkefni eða útgáfu annarra gagna. Þá segir í 2. mgr. sama ákvæðis að stjórnvöld skuli vinna markvisst að því að gera skrár yfir mál, lista yfir málsgögn, og gögnin sjálf jafnóðum aðgengileg með rafrænum hætti. Hins vegar segir í sama ákvæði að þess skuli gætt að birting gangi ekki gegn einka- eða almannahagsmunum. Þá segir í 11. gr. laganna að heimilt sé að veita aðgang að gögnum í ríkari mæli en skylt er samkvæmt lögunum enda standi aðrar lagareglur því ekki í vegi, þar á meðal ákvæði laga um þagnarskyldu og persónuvernd. Eins og vísað er til í athugasemdum við 13. gr. frumvarps til laganna leiðir af þessari reglu, og þeirri ólögfestu reglu sem býr að baki ákvæðinu, að stjórnvöld geti að eigin frumkvæði ákveðið að birta opinberlega umtalsvert af þeim upplýsingum sem þau búa yfir, að fyrrgreindum takmörkunum virtum.

Með vísan til framangreinds telur Persónuvernd umrædda vinnslu, sem fólst í birtingu athugasemdar kvartanda við deiliskipulagstillögu á vefsíðu Reykjavíkurborgar, geta talist heimila á þeim grundvelli að hún sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna, sbr. 5. tölul. 9. gr. laga nr. 90/2018, sbr. einnig e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

Hvað varðar birtingu á kennitölu kvartanda sérstaklega er til þess að líta að upplýsingar um kennitölu teljast til almennra persónuupplýsinga og lýtur birting þeirra því almennt sömu sjónarmiðum og rakin eru hér að framan. Birting upplýsinganna þarf því að styðjast við eina þeirra heimilda sem taldar eru upp í 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679.

Með hliðsjón af atvikum máls þessa þykir ekki unnt að fallast á að birting upplýsinga um kennitölu kvartanda hafi talist nauðsynleg í þágu tilgangs vinnslunnar. Er þá einkum litið til þess að tilgangur vinnslunnar sé að auka gagnsæi í stjórnsýslunni, í þessu tilviki hvað varðar málsmeðferð og afgreiðslu skipulagstillagna Reykjavíkurborgar, en ekki verður séð að kennitala kvartanda hafi þýðingu í því sambandi. Þær vinnsluheimildir sem taldar eru upp í 9. gr. laganna áskilja hins vegar allar að vinnslan sé nauðsynleg, að undanskildum 1. tölul. ákvæðisins sem heimilar vinnslu á grundvelli samþykkis hins skráða, en slíkt samþykki liggur ekki fyrir. Þá verður að telja að sú skylda hvíli á ábyrgðaraðila að yfirfara efni innsendra athugasemda fyrir birtingu þeirra og ganga úr skugga um að birtingin samrýmist lögum, sbr. 2. mgr. 8. gr. laganna, sbr. 2. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Með vísan til framangreinds telur Persónuvernd að jafnvel þó kvartandi hafi sjálfur sett kennitölu sína í erindi sitt til Reykjavíkurborgar hafi sveitarfélagið skort heimild til að birta upplýsingar um kennitölu kvartanda í athugasemd hans á vefsíðu borgarinnar.

3.2.

Meginreglur um vinnslu persónuupplýsinga

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Við mat á því hvort skilyrðið um gagnsæi sé uppfyllt er nauðsynlegt að líta til 2. mgr. 17. gr. laga nr. 90/2018 og 13. gr. reglugerðar (ESB) 2016/679, en samkvæmt síðarnefnda ákvæðinu ber ábyrgðaraðila að skýra hinum skráða frá tilteknum atriðum þegar persónuupplýsinga er aflað hjá honum sjálfum. Meðal annars ber að veita hinum skráða upplýsingar um viðtakendur eða flokka viðtakenda upplýsinganna, ef einhverjir eru. Fræðsluskyldan er þó ekki til staðar ef og að því marki sem hinn skráði hefur þegar fengið vitneskju um þau atriði sem upplýsa ber um á grundvelli ákvæðisins, sbr. 4. mgr. 13. gr. reglugerðarinnar. Er því nauðsynlegt að meta hvort, og þá að hvaða marki, kvartandi hafi fengið vitneskju um það að innsend athugasemd hans yrði birt óbreytt á vefsíðu Reykjavíkurborgar.

Svo sem áður er rakið er kveðið á um það í 2. mgr. 13. gr. upplýsingalaga nr. 140/2012 að stjórnvöld skuli vinna markvisst að því að gera skrár yfir mál, lista yfir málsgögn og gögnin sjálf jafnóðum aðgengileg með rafrænum hætti. Í athugasemdum við ákvæðið í frumvarpi til laganna er tiltekið að ekki hafi verið lagt til með frumvarpinu að lögfest yrði almenn regla um skyldu stjórnvalda til að birta opinberlega lista yfir mál eða málsskjöl sem þau hafi undir höndum, heldur sé í ákvæðinu kveðið á um að stjórnvöld skuli vinna markvisst að þessari birtingu. Samkvæmt þessu verður að telja að umrætt ákvæði upplýsingalaga feli ekki í sér beina skyldu til birtingar málsgagna heldur einungis heimild til slíkrar birtingar, að teknu tilliti til undantekningarreglna í sömu lögum. Þá er til þess að líta að þær upplýsingar, sem ábyrgðaraðila ber að skýra hinum skráða frá samkvæmt 1.-3. mgr. 13. gr. reglugerðar (ESB) 2016/679 verða ekki ráðnar af tilvitnuðu ákvæði upplýsingalaga nema að takmörkuðu leyti. Fræðsluskylda ábyrgðaraðila samkvæmt 13. gr. reglugerðarinnar, þegar upplýsinga er aflað hjá hinum skráða sjálfum, verður því almennt ekki uppfyllt með vísan til laga. Til samanburðar er sérstaklega tiltekið í 14. gr. reglugerðar (ESB) 2016/679, þar sem fjallað er um þær upplýsingar sem ber að veita þegar persónuupplýsingar hafa ekki fengist hjá skráðum einstaklingi, að fræðsluskylda samkvæmt ákvæðinu sé ekki til staðar ef og að því marki sem skýrt er mælt fyrir um öflun eða miðlun upplýsinganna í lögum aðildarríkis sem ábyrgðaraðili heyrir undir og sem kveða á um viðeigandi ráðstafanir til að vernda lögmæta hagsmuni hins skráða.

Samkvæmt 2. mgr. 8. gr. laga nr. 90/2018, sbr. 2. mgr. 5. gr. reglugerðar (ESB) 2016/679, er ábyrgðaraðili ábyrgur fyrir því að farið sé að meginreglum laganna við vinnslu persónuupplýsinga og skal geta sýnt fram á það. Í því felst skylda til að geta sýnt fram á hvaða vitneskju hinn skráði hefur þegar fengið, hvernig og hvenær hún var veitt og að engar breytingar hafi verið gerðar sem hafi haft það í för með sér að vitneskjan úreltist.

Með vísan til alls framangreinds þykir ekki fært að líta svo á að kvartandi hafi fengið vitneskju um birtinguna á þeim grundvelli að hún hafi átt sér stoð í gildandi lögum. Þá liggur jafnframt fyrir að Reykjavíkurborg upplýsti ekki kvartanda um að athugasemd hans yrði birt óbreytt á Netinu, en í svörum borgarinnar kom meðal annars fram að slíkar upplýsingar hefðu fram að því ekki verið veittar. Niðurstaða Persónuverndar er því að Reykjavíkurborg hafi ekki farið að ákvæði 13. gr. reglugerðar (ESB) 2016/679, sbr. 2. mgr. 17. gr. laga nr. 90/2018, sbr. einnig áskilnað í 1. tölul. 1. mgr. 8. gr. laganna um gagnsæi við vinnslu persónuupplýsinga.

Í 42. gr. laga nr. 90/2018, sbr. einnig 2. mgr. 58. gr. reglugerðarinnar er fjallað um fyrirmæli Persónuverndar um ráðstafanir til úrbóta. Í 42. gr. laganna segir að Persónuvernd geti mælt fyrir um ráðstafanir til úrbóta, þar á meðal gefið fyrirmæli um að ábyrgðaraðili færi vinnsluaðgerðir til samræmis við ákvæði reglugerðarinnar, eftir því sem við á, með tilteknum hætti og innan tiltekins tíma, sbr. 4. tölul. ákvæðisins og d-lið 2. mgr. 58. gr. reglugerðarinnar, og takmarkað eða bannað vinnslu tímabundið eða til frambúðar, sbr. 6. tölul. ákvæðisins og f-lið 2. mgr. 58. gr. reglugerðarinnar.

Með vísan til framangreinds er lagt fyrir Reykjavíkurborg að afmá kennitölu kvartanda úr athugasemd hans við deiliskipulagstillögu sem birt er á vefsíðu borgarinnar. Þá er lagt fyrir Reykjavíkurborg að veita framvegis fræðslu í samræmi við 13. gr. reglugerðar (ESB) 2016/679, sbr. 1. tölul. 1. mgr. 8. gr. og 2. mgr. 17. gr. laga nr. 90/2018, vegna fyrirhugaðrar birtingar athugasemda við skipulagstillögur. Skal Reykjavíkurborg senda Persónuvernd staðfestingu á því að farið hafi verið að fyrirmælunum, ásamt lýsingu á því hvernig staðið verður að fræðslunni, eigi síðar en 24. september 2020.

Ú r s k u r ð a r o r ð:

Vinnsla Reykjavíkurborgar á persónuupplýsingum [A] samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.

Lagt er fyrir Reykjavíkurborg að afmá kennitölu [A] úr athugasemd hans við deiliskipulagstillögu sem birt er á vefsíðu borgarinnar. Þá er lagt fyrir Reykjavíkurborg að veita framvegis fræðslu í samræmi við 13. gr. reglugerðar (ESB) 2016/679, sbr. 1. tölul. 1. mgr. 8. gr. og 2. mgr. 17. gr. laga nr. 90/2018, vegna fyrirhugaðrar birtingar athugasemda við skipulagstillögur. Skal Reykjavíkurborg senda Persónuvernd staðfestingu á því að farið hafi verið að fyrirmælunum, ásamt lýsingu á því hvernig staðið verður að fræðslunni, eigi síðar en 24. september 2020.

Í Persónuvernd, 27. ágúst 2020

Björg Thorarensen
formaður

Ólafur Garðarsson                     Björn Geirsson

Vilhelmína Haraldsdóttir                          Þorvarður Kári Ólafsson