Birting textafærslu ásamt myndum úr skrám lögreglu á Facebook-síðu einstaklings

Mál nr. 2021091877

21.12.2023

Úrskurður

Hinn 14. desember 2023 tók stjórn Persónuverndar svohljóðandi ákvörðun í máli nr. 2021091877:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 24. september 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi), yfir birtingu [B], á færslu á Facebook-síðu hans þann 5. s.m., ásamt fimm myndum. Þrjár myndanna eru af skrám lögreglu og sýna upplýsingar úr lögregluskýrslum, sem tilheyra rannsóknargögnum sakamáls þar sem kvartandi hafði ýmist stöðu brotaþola eða vitnis; bréf kvartanda og annars brotaþola til lögreglu um afturköllun kæru, og ósk þeirra um niðurfellingu rannsóknar. Í lögregluskýrslunum eru meðal annars viðkvæmar persónuupplýsingar um kvartanda.

Með bréfi, dags. 8. ágúst 2022, var [B] boðið að tjá sig um kvörtunina og bárust svör hans 31. s.m. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör [B] með bréfi, dags. 22. september s.á., og bárust þær með tölvupósti 3. október s.á. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að með birtingu [B] á færslunni, ásamt umræddum myndum úr skrám lögreglu, á Facebook-síðu sinni hafi hann brotið gegn persónuverndarlögum. Málið lúti að tjáningu hans samhliða birtingu skráa úr gagnagrunni lögreglu sem hafi að geyma mjög viðkvæmar persónuupplýsingar um kvartanda. Um sé að ræða ólögmæta meingerð gegn æru og persónu kvartanda. Birting færslunnar hafi haft þann eina tilgang að vera tilraun til að niðurlægja hana og villa um fyrir almenningi með því að draga úr trúverðugleika hennar og gefa í skyn að hún hafi logið til um málavexti í sakamáli sem var til rannsóknar. Kvartandi viti ekki hvernig [B], sem sé málinu óviðkomandi, hafi komist yfir umrædd gögn en hann hafi ekki átt að hafa þau undir höndum, rýna eða birta opinberlega.

3.

Sjónarmið [B]

[B] byggir á því að hann hafi með færslu sinni og birtingu myndanna ekki unnið með persónuupplýsingar kvartanda heldur hafi hann aðeins nýtt sér stjórnarskrárvarinn rétt sinn til þess að tjá sig um málefni sem kvartandi hafi sjálf sett kastljósið á opinberlega og varðaði [...]. Með því að taka þátt í opinberri umræðu, leiðrétta rangfærslur kvartanda og segja sannleikann gögnum studdan sé hann ekki að vinna með persónuupplýsingar í skilningi þeirra laga sem Persónuvernd starfi eftir. Þá hafi hann ekki tjáð sig sem [...] í téðu tilviki heldur sem borgari. Afstaða [B] er sú að ekki hafi verið um vinnslu persónuupplýsinga kvartanda að ræða og að umrædd birting falli undir stjórnarskrárvarinn rétt hans til tjáningar sem borgara og því utan gildissviðs laga um persónuvernd og vinnslu persónuupplýsinga.

II.

Forsendur og niðurstaða

1.

Gildissvið

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Samkvæmt 2. mgr. 4. gr. laga nr. 90/2018 gilda þau og reglugerð (ESB) 2016/679 ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Í 18. gr. formálsorða reglugerðarinnar segir meðal annars að vinnsla sem sé einungis í þágu einstaklings eða fjölskyldu hans geti t.d. tekið til notkunar samfélagsmiðla og Netnotkunar sem fram fer í tengslum við slíka vinnslu. Í þeim tilvikum þegar persónuupplýsingar, þ.m.t. ljósmyndir, eru birtar á lokuðum reikningum notenda samfélagsmiðla getur slík birting talist falla utan gildissviðs laganna og reglugerðarinnar. Er þar almennt átt við reikninga sem lokaðir eru almenningi og eru einungis sýnilegir þeim sem tengjast viðkomandi einstaklingi. Af gögnum málsins, sem og af athugun Persónuverndar, er ljóst að sú færsla og gögn sem kvartað er yfir voru aðgengileg öllum innskráðum notendum Facebook. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst [B] vera ábyrgðaraðili að umræddri vinnslu.

2.

Tengsl persónuverndar við tjáningarfrelsi

Eins og hér háttar til kemur til álita þýðing þess að sú vinnsla persónuupplýsinga, sem kvartað er yfir, felur í sér tjáningu er nýtur verndar 73. gr. Stjórnarskrár lýðveldisins Íslands, nr. 33/1944, sbr. einnig 10. gr. mannréttindasáttmála Evrópu.

Í 1. mgr. 73. gr. stjórnarskrárinnar segir að allir séu frjálsir skoðana sinna og sannfæringar, og í 2. mgr. sömu greinar segir að hver maður eigi rétt á að láta í ljós hugsanir sínar, en að ábyrgjast verði hann þær fyrir dómi. Þá segir í 1. mgr. 10. gr. mannréttindasáttmála Evrópu að sérhver maður eigi rétt til tjáningarfrelsis. Sá réttur skuli einnig ná yfir frelsi til að hafa skoðanir, taka við og skila áfram upplýsingum og hugmyndum heima og erlendis án afskipta stjórnvalda.

Þegar aðili nýtir sér frelsi sitt til að lýsa skoðunum sínum og sannfæringu samkvæmt framangreindu, svo og gildisdómum um einstaklinga sem leiddir eru af staðreyndum, hefur Persónuvernd litið svo á að stofnunin sé ekki bær til þess að leggja mat á hvort aðili hafi farið út fyrir stjórnarskrárvarið tjáningarfrelsi sitt gagnvart friðhelgi einkalífs einstaklings sem verndar nýtur samkvæmt 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmálans og þannig bakað sér ábyrgð að lögum. Þar sem skoðanir eða hugmyndir manna um einstaklinga teljast ekki persónuupplýsingar um þá síðargreindu í skilningi 2. tölul. 3. gr. laga nr. 90/2018 fellur ágreiningur þar um ekki undir gildissvið laganna, heldur heyrir undir dómstóla að skera úr um hvar mörkin liggja milli hinna stjórnarskrárvernduðu réttinda í hverju tilviki.

Sú kvörtun sem hér er til úrlausnar lýtur sem fyrr segir annars vegar að birtingu textafærslu sem lýsir skoðunum, hugsunum eða viðhorfum ábyrgðaraðila til kvartanda en jafnframt miðlun mynda af skrám lögreglu, þ.e. skýrslum lögreglu og bréfum sem hafa meðal annars að geyma viðkvæmar persónuupplýsingar um kvartanda. Umrædd gögn birti ábyrgðaraðili samhliða textafærslu á Facebook-síðu sinni, þar sem hann tjáði sig um skoðanir sínar á kvartanda, staðhæfingar hennar í fjölmiðlum um kæruefni sakamálsins sem og textafærslur hennar á samfélagsmiðlum. Ljóst er að texti færslunnar sjálfrar felur í sér tjáningu ábyrgðaraðila á skoðunum hans og sannfæringu. Þá ber textinn með sér að ábyrgðaraðili hafi birt fyrrgreindar myndir til að renna stoðum undir þær fullyrðingar sem þar voru settar fram. Á hinn bóginn verður ekki litið fram hjá því að umræddar myndir úr skrám lögreglu, þ.e. af lögregluskýrslu og bréfum til embættisins, hafa að geyma upplýsingar um sakamál sem var til rannsóknar hjá lögreglu og eðlilegt var að leynt færi með tilliti til almanna- og einkahagsmuna. Fyrir liggur að nokkur umræða hafði skapast í samfélaginu vegna kæru kvartanda sem leiddi til rannsóknarinnar og höfðu fjölmiðlar fjallað um málið. Óljóst er með hvaða hætti ábyrgðaraðili, sem var óviðkomandi umræddu sakamáli, komst yfir skýrslur og bréf lögreglu.

Persónuvernd hefur litið svo á að þegar um er að ræða birtingu eða aðra vinnslu upplýsinga sem sannreyna má með hlutlægum hætti, svo sem með uppflettingu í skrám eða öðrum sambærilegum leiðum, sé um vinnslu persónuupplýsinga að ræða sem stofnunin er bær til að úrskurða um. Í slíkum tilvikum falli það undir valdsvið Persónuverndar að úrskurða um hvort vinnslan samrýmist lögum nr. 90/2018 og reglugerð (ESB) 2016/679, sbr. úrskurði stofnunarinnar, dags. 27. ágúst 2020, í málum nr. 2020010550 og 2020010610. Í umræddum skrám lögreglu, sem ábyrgðaraðili birti mynd af á Facebook-síðu sinni, koma fram persónuupplýsingar um kvartanda sem Persónuvernd er bær til að fjalla um á grundvelli laga nr. 90/2018.

Persónuvernd hefur gefið út álit, dags. 26. janúar 2022, í máli nr. 2021091863 um persónuvernd og tjáningu einstaklinga á Netinu. Þar kemur meðal annars fram að þegar ljósmyndir af gögnum eru birtar samhliða textafærslu þarf að meta samhengi færslunnar og gagnanna en jafnframt getur skipt máli hver tengsl einstaklingsins, sem birtir gögn eða upplýsingar úr þeim, eru við það mál sem upplýsingarnar varða. Þannig er til að mynda líklegra að birting einstaklings á gögnum sem varða hann sjálfan yrði talin fela í sér tjáningu en ef hann hefur engin bein tengsl við efni gagnanna, enda verður að játa fólki ákveðið svigrúm til umfjöllunar um eigið líf án afskipta stjórnvalda. Stafi fylgiskjal með færslu frá þeim einstaklingi sjálfum sem hana ritaði, kann það að vera álitið fela í sér tjáningu hans með sama hætti og færslan, a.m.k. að hluta til sbr. úrskurð, dags. 27. ágúst 2020 í máli nr. 2001010610.

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé vinnslan nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins, og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.

Eins og hér háttar til gæti umrædd birting persónuupplýsinga ekki stuðst við aðrar heimildir en 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Af orðalagi ákvæðisins er ljóst að áður en til vinnslu kemur á grundvelli þess þarf að framkvæma ákveðið hagsmunamat. Fyrir liggur í gögnum málsins að ábyrgðaraðili vinnslunnar átti ekki aðild að umræddu sakamáli eða rannsókn þess. Í svörum ábyrgðaraðila kemur fram að hann hafi, sem borgari landsins, verið að nýta sér stjórnarskrárvarinn rétt sinn til að segja sannleikann í opinni umræðu um sakamálið. Þá er til þess að líta að umrædd gögn lögreglu eru ekki opinberar upplýsingar eða hluti gagna sem almenningur á almennt rétt á aðgangi að, auk þess sem kvartandi var mótfallinn birtingunni. Það er mat Persónuverndar að eins og hér háttar til sé ekki unnt að líta svo á að þeir hagsmunir, sem kunna að hafa kallað á birtingu gagna og upplýsinga um kvartanda, að mati ábyrgðaraðila, hafi vegið þyngra en hagsmunir kvartanda af því að upplýsingarnar yrðu ekki birtar.

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla [B] á persónuupplýsingum um kvartanda, sem fólst í birtingu mynda af skrám lögreglu, þar á meðal skýrslum og bréfum lögreglu, hafi ekki samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í samræmi við þessa niðurstöðu, og með vísan til 6. tölul. 42. gr. laga nr. 90/2018, sbr. f-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er hér með lagt fyrir [B] að fjarlægja af Facebook-síðu sinni myndir af gögnum lögreglu og bréfum er vörðuðu rannsókn sakamáls sem kvartandi var aðili að, nánar tiltekið í færslum sem birtar voru 5. september 2021. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 15. janúar 2024.

Ú r s k u r ð a r o r ð:

Vísað er frá þeim þætti kvörtunar [A] er lýtur að textafærslu [B] um hana á Facebook-síðu hans.

Birting [B], á Facebook-síðu hans, á ljósmyndum af skýrslum og bréfum lögreglu, er innihéldu persónuupplýsingar [A], samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Í samræmi við þessa niðurstöðu, og með vísan til 6. tölul. 42. gr. laga nr. 90/2018, sbr. f-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er hér með lagt fyrir ábyrgðaraðila vinnslunnar að fjarlægja af Facebook-síðu sinni myndir af gögnum lögreglu og bréfum er vörðuðu rannsókn sakamáls sem kvartandi var aðili að, nánar tiltekið í færslum sem birtar voru 5. september 2021. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 15. janúar 2024.

Persónuvernd, 14. desember 2023

Ólafur Garðarsson
formaður

Árnína Steinunn Kristjánsdóttir           Björn Geirsson

Vilhelmína Haraldsdóttir