Birting ríkisstofnunar á persónuupplýsingum á vef hennar
Mál nr. 2017/604
Kvartað var yfir birtingu frétta og annarra skjala á vefsíðu opinberrar stofnunar, en þar var m.a. vísað til slyss sem kvartandi hafði orðið fyrir auk þess sem birt var nafn kvartanda og heimilisfang. Komist var að þeirri niðurstöðu að umrædda stofnun hefði brostið heimild skv. 8. og 9. gr. laga nr. 77/2000 til að birta persónuupplýsingar um heilsuhagi kvartanda í tengslum við slys sem kvartandi varð fyrir. Lagt var fyrir stofnunina að afmá upplýsingarnar úr birtum gögnum
Í ljósi þess að úrskurðurinn sem um ræðir inniheldur mjög nákvæmar upplýsingar um kvartanda, jafnvel þótt persónuauðkenni væru afmáð, hefur Persónuvernd ákveðið að birta ekki úrskurðinn í heild sinni. Hins vegar hefur Persónuvernd tekið saman útdrátt úr úrskurðinum.
Kvartað var vegna birtingar ríkisstofnunar [B] á
persónuupplýsingum í gögnum og fréttum á vefsíðu stofnunarinnar. Í kvörtuninni
kom fram að komið hafi upp ágreiningur um heimild [B] til birtingar skýrslu,
frétta og annarra skjala, þar sem meðal annars var vísað til slyss sem
kvartandi varð fyrir og afleiðinga þess en í skýrslu sem fylgdi frétt á vefsíðu
[B] var vísað til þess að slys sem kvartandi varð fyrir hafi orðið þess
valdandi að dregið hafi úr starfsemi fyrirtækis á hennar vegum. Vísaði
kvartandi einnig til þess að birt hefði verið nafn hennar, landshluti og heimilisfang.
Enn fremur að birtar hefðu verið upplýsingar um atvinnustarfsemi hennar. Var það
mat kvartanda að með þessu hafi [B] gert opinberar upplýsingar um persónuleg
málefni hennar án þess að hafa til þess heimild.
Persónuvernd vísaði til þess að öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Meðal annars að aflað sé samþykkis, sbr. 1. tölul. 1. mgr. þeirrar greinar, vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul., eða að hún sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna, sbr. 5. tölul. sömu málsgreinar. Þá verður vinnsla viðkvæmra persónuupplýsinga, sbr. 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna. Þar á meðal eru upplýsingar um heilsuhagi, sbr. c-lið 8. tölul. 2. gr. laganna, en upplýsingar sem [B] birti í fylgigögnum með frétt á vefsíðu stofnunarinnar, um slys sem kvartandi varð fyrir, voru taldar falla undir þá skilgreiningu.
Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti sem og í samræmi við vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tölul., að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul., að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul., að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta, sbr. 4. tölul., og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu, sbr. 5. tölul.
Á meðal skyldna [B] samkvæmt löggjöf er að annast skipulagningu, gagnaöflun og skýrslugerð, ásamt því að sinna almennri fræðslu og forvarnarstörfum. Með vísan til þessa var það mat Persónuverndar að ætla yrði [B] nokkurt svigrúm til vinnslu og miðlunar á upplýsingum er varða lagaskyldur stofnunarinnar, sbr. 1. mgr. 8. gr. laga nr. 77/2000, og þegar litið væri til réttar almennings til aðgangs að gögnum hjá stjórnvöldum, sbr. einkum 5. gr. upplýsingalaga nr. 140/2012, yrði m.a. að líta svo á að birting á gögnum gæti verið heimil. Með hliðsjón af þessu og því að kvartandi hafði, undir eigin nafni, haft frumkvæði að opinberri umræðu um málið, var það mat Persónuverndar að heimilt hafi verið, m.a. með vísan til 6. tölul. 1. mgr. 9. gr. laga nr. 77/2000, að birta nafn kvartanda og heimilisfang í tengslum við málið.
Þrátt fyrir framangreint var það niðurstaða Persónuverndar að líta yrði til banns 9. gr. upplýsingalaga við veitingu aðgangs án samþykkis að upplýsingum um einkamálefni einstaklinga sem sanngjarnt er og eðlilegt að leynt fari, en í athugasemdum við 9. gr. í greinargerð með því frumvarpi sem varð að upplýsingalögum kemur fram að viðkvæmar persónuupplýsingar falli ávallt undir bann ákvæðisins. [B] hefði því brostið heimild samkvæmt 8. og 9. gr. laga nr. 77/2000 til að birta upplýsingar um slys sem kvartandi varð fyrir, tengdar nafni hennar og heimilisfangi, sem ekki yrði túlkað á annan hátt en að þar væri vísað til óvinnufærni kvartanda og féllu þar með undir heilsuhagi í skilningi c. liðar 8. tölul. 1. mgr. 2. gr. laga nr. 77/2000. Þá yrði ekki séð að slík umfjöllun um heilsuhagi kvartanda hafi haft þýðingu fyrir efni fréttarinnar sem birt var á vef stofnunarinnar. Auk þessa taldist birtingin ekki hafa samrýmst grunnreglum 1. og 3. tölul. 1. mgr. 7. gr. laganna um sanngirni við vinnslu persónuupplýsinga, vandaða vinnsluhætti og meðalhóf.