Birting upplýsinga um hlutafjáreign einstaklinga á vef RSK ekki talin samrýmast persónuverndarlögum

Mál nr. 2021030547

18.6.2021

Ákvörðun

Hinn 15. júní 2021 kvað Persónuvernd upp svohljóðandi ákvörðun í máli nr. 2021030547:

I.

Álitsbeiðni

Hinn 26. febrúar 2021 barst erindi frá ríkisskattstjóra þar sem óskað var álits Persónuverndar á framkvæmd 4. mgr. 109. gr. laga nr. 3/2006, um ársreikninga að því er varðar birtingu hluthafalista, sbr. 65. gr. sömu laga, með tilliti til þess hvort birtingin styðjist við fullnægjandi vinnsluheimild í skilningi laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Í erindinu segir að í kjölfar ítarlegrar skoðunar á tilurð og þróun viðkomandi ákvæða ársreikningalaga, og með hliðsjón af hingað til óumdeildri túlkun ríkisskattstjóra á þeim, sé það mat embættisins að kröfum laga nr. 90/2018 um vinnsluheimild sé fullnægt. Ákvæði 4. mgr. 109. gr. laga nr. 3/2006 leggi skyldur á ríkisskattstjóra og birting hluthafalista sé nauðsynleg til að fullnægja þeirri skyldu, sbr. 3. tölul. 9. gr. laga nr. 90/2018.

 
Fram kemur í erindinu að núgildandi ákvæði 6. málsl. 3. mgr. 65. gr. laga nr. 3/2006 hafi að stofni til bæst við lögin sem nýmæli í meðförum frumvarps er varð að lögum nr. 14/2013, um breytingar á lögum um ársreikninga. Frá gildistöku þeirra þann 9. mars 2013 hafi þannig verið kveðið á um að með skýrslu stjórnar skuli fylgja skrá yfir nöfn og kennitölur allra hluthafa í stafrófsröð ásamt upplýsingum um hlutafjáreign hvers þeirra og hundraðshluta hlutafjár í árslok. Þá segir að þrátt fyrir að orðalag ákvæðisins kunni við fyrstu sýn að benda til þess að umræddur listi sé ekki hluti af skýrslu stjórnar, þá virðist löggjafinn ekki hafa gert slíkan greinarmun á milli hluthafalista og annarra skilaskyldra upplýsinga sem samkvæmt orðanna hljóðan sé fullljóst að teljist hluti af skýrslu stjórnar. Vert sé að horfa til þess að ákvæðum um hluthafalista hafi verið komið fyrir í 65. gr. laga nr. 3/2006 þar sem lýst sé inntaki skýrslu stjórnar. Að mati ríkisskattstjóra sé enginn tilgangur í að gera gögn skilaskyld til ársreikningaskrár annar en að gera þau almenningi aðgengileg.

Þá er í erindinu fjallað nánar um aðdraganda þeirrar breytingar sem gerð var með lögum nr. 102/2020, um breytingu á lögum um ársreikninga og lögum um endurskoðendur og endurskoðun, sem lagði þá skyldu á ársreikningaskrá sem nú hvílir á henni samkvæmt 4. mgr. 109. gr. laga nr. 3/2006 til að birta gögn sem skilaskyld eru samkvæmt 1. mgr. sömu greinar á opinberu vefsvæði. Meðal annars segir að í athugasemd við hlutaðeigandi grein frumvarpsins er varð að lögum nr. 102/2020 komi fram að gjaldfrjálsum aðgangi almennings að ársreikningum allra félaga sé ætlað að auka gagnsæi. Þá er í erindinu rakið hvaða gögn teljist skilaskyld samkvæmt 109. gr. laga nr. 3/2006, sbr. 4. mgr. ákvæðisins.

Loks segir í erindinu að ríkisskattstjóri hafi frá gildistöku áðurnefndra breytingalaga, nr. 14/2013, talið ljóst hvernig fara skyldi með hluthafalista sem skilað sé á grundvelli 6. málsl. 3. mgr. 65. gr. laga nr. 3/2006, um ársreikninga, að því er varðar aðgang almennings. Það sé mat ríkisskattstjóra að vilji löggjafans í þessum efnum hafi verið skýr frá því að ákvæði um hluthafalista komu fyrst til sögunnar.

 
Í erindi ríkisskattstjóra var einnig fjallað um tæknilega útfærslu birtingar hluthafalista en ekki þykir ástæða til að rekja þá umfjöllun frekar hér að svo stöddu.

II.

Ákvörðun Persónuverndar

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Mál þetta lýtur að birtingu hluthafalista félaga sem heyra undir gildissvið laga nr. 3/2006, um ársreikninga á opinberu vefsvæði. Að því marki sem slíkir hluthafalistar hafa að geyma upplýsingar um hlutafjáreign einstaklinga fellur birting þeirra undir gildissvið laga nr. 90/2018 og valdsvið Persónuverndar. Ríkisskattstjóri starfrækir ársreikningaskrá samkvæmt 5. mgr. 109. gr. laga nr. 3/2006 og telst því ábyrgðaraðili umræddrar vinnslu í skilningi 6. tölul. 1. mgr. 3. gr. laga nr. 90/2018.

2.

Lagaumhverfi

2.1.

Ákvæði laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, eða ef vinnslan er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins. 

Samkvæmt 3. mgr. 6. gr. reglugerðar (ESB) 2016/679 skal mæla fyrir um grundvöll vinnslu, sem um getur í c- og e-lið 1. mgr. ákvæðisins, í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir. Af því leiðir að skýra lagaheimild þarf til vinnslu persónuupplýsinga sem byggir á því að hún sé nauðsynleg vegna lagaskyldu sem hvílir á ábyrgðaraðila eða vegna verks sem nauðsynlegt er í þágu almannahagsmuna. 

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

2.2.

Ákvæði laga nr. 3/2006, um ársreikninga

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Hér hafa einkum þýðingu lög nr. 3/2006, um ársreikninga. Í 109. gr. þeirra er kveðið á um skyldu félaga samkvæmt 1. gr. laganna til að skila tilteknum gögnum til ársreikningaskrár. Þá segir í 4. mgr. 109. gr., sem tók gildi 1. janúar 2021, að ársreikningaskrá skuli birta gögn sem skilaskyld eru samkvæmt greininni á opinberu vefsvæði. Er þar um að ræða ársreikning félags, sbr. 3. gr. laga nr. 3/2006, áritun endurskoðenda eða skoðunarmanna og upplýsingar um hvenær ársreikningur var samþykktur, sbr. 1. mgr. 109. gr. laganna.

Í almennum athugasemdum með frumvarpi því er varð að lögum nr. 102/2020, sem bættu því ákvæði við lög nr. 3/2006 sem nú er að finna í 4. mgr. 109. gr. þeirra, segir að með breytingunni sé meðal annars ætlunin að auka aðgengi almennings að upplýsingum sem félögum er skylt að útlista í ársreikningi. Eðlilegt þyki að almenningur hafi greiðan aðgang að slíkum upplýsingum. Greiður aðgangur að ársreikningum sé til þess fallinn að auka aðhald með rekstri félaga, stuðla að upplýstri umræðu og efla þannig traust almennings. Þá segir í athugasemdum með 6. gr. frumvarpsins að ákvæði um gjaldfrjálsan aðgang almennings að ársreikningum allra félaga á opinberu vefsvæði sé ætlað að auka gagnsæi. Hvergi er í athugasemdunum að finna nánari umfjöllun um hvaða gögn skuli gerð aðgengileg með þessum hætti. 

Kveðið er á um samningu ársreiknings í 3. gr. laga nr. 3/2006, en samkvæmt 2. mgr. hennar skal í ársreikningi koma fram nafn félags, félagsform, kennitala félagsins og aðsetur. Ársreikningur skal að lágmarki hafa að geyma rekstrarreikning, efnahagsreikning og skýringar. Þá skal ársreikningur lítilla, meðalstórra og stórra félaga einnig hafa að geyma skýrslu stjórnar og ársreikningur stórra félaga skal hafa að geyma sjóðsstreymisyfirlit. Í 4. mgr. sömu lagagreinar segir að hafi ársreikningur verið endurskoðaður skuli ársreikningurinn og áritun endurskoðanda mynda eina heild. Þá segir í 5. mgr. að hafi skoðunarmaður yfirfarið ársreikninginn skuli undirritun hans og dagsetning vera fylgiskjal með ársreikningi. Ekki er vikið að upplýsingum um hluthafa í 3. gr. laga nr. 3/2006. 

Í 65. gr. laga nr. 3/2006 er kveðið á um efni skýrslu stjórnar, sem samkvæmt 3. gr. sömu laga telst hluti af ársreikningi félags. Samkvæmt 1. mgr. 65. gr. skal í skýrslu stjórnar upplýsa um aðalstarfsemi félags, atriði sem mikilvæg eru við mat á fjárhagslegri stöðu félagsins og afkomu þess á reikningsárinu og ekki koma fram í efnahagsreikningi eða rekstrarreikningi eða skýringum með þeim, mögulega óvissu við mat eða óvenjulegar aðstæður sem kunna að hafa áhrif á það, þróunina í starfsemi félagsins og fjárhagslegri stöðu þess, markverða atburði sem hafa gerst eftir að reikningsárinu lauk og fjölda ársverka á reikningsári. Þá skal í skýrslunni gera grein fyrir tillögu stjórnar um ráðstöfun hagnaðar eða jöfnun taps á síðasta reikningsári, sbr. 2. mgr. 65. gr. laganna.

Umfjöllun um upplýsingar um hluthafa er að finna í 3. mgr. 65. gr. laga nr. 3/2006. Samkvæmt ákvæðinu skal í skýrslu stjórnar hlutafélaga og einkahlutafélaga upplýsa um fjölda hluthafa í upphafi og lok reikningsárs. Þá skal upplýsa um að lágmarki tíu stærstu hluthafa eða alla ef hluthafar eru færri en tíu, og hundraðshluta hlutafjár hvers þeirra í lok ársins. Ef atkvæðahlutdeild er mismunandi miðað við fjárhæð hluta skal að lágmarki gerð grein fyrir atkvæðahlutdeild þeirra tíu hluthafa sem fara með stærstu atkvæðahlutdeild í félaginu í lok ársins. Þá skal „fylgja með skilum á ársreikningi skrá yfir nöfn og kennitölur allra hluthafa í stafrófsröð ásamt upplýsingum um hlutafjáreign hvers þeirra og hundraðshluta hlutafjár í árslok.“

3.

Niðurstaða

Mat á því hvort heimild standi til þeirrar vinnslu persónuupplýsinga sem felst í birtingu hluthafalista félaga á opinberum vef ræðst af því hvort ákvæði 4. mgr. 109. gr. laga nr. 3/2006 teljist nægilega skýrt til að fela í sér fullnægjandi lagastoð fyrir vinnslunni. Ljóst er að ársreikningur félags, sbr. 3. gr., telst til skilaskyldra gagna í skilningi 109. gr. laganna. Jafnframt er ljóst að skýrsla stjórnar telst hluti ársreiknings lítilla, meðalstórra og stórra félaga samkvæmt 2. mgr. 3. gr. sömu laga. Kemur þá til skoðunar hvort hluthafalisti félags getur talist hluti af skýrslu stjórnar samkvæmt 65. gr. laga nr. 3/2006 og um leið til skilaskyldra gagna samkvæmt 109. gr. þeirra. 

Eins og áður segir mælir 3. mgr. 65. gr. laga nr. 3/2006 fyrir um að skrá yfir hluthafa skuli „fylgja með skilum á ársreikningi“. Orðalag ákvæðisins ber fremur með sér að slík skrá skuli skoðast sem fylgiskjal ársreiknings en ekki hluti hans eða hluti skýrslu stjórnar, en í flestum tilfellum er í 65. gr. laganna kveðið á um að í skýrslu stjórnar skuli upplýsa um tiltekin atriði. Þá verður ekki ráðið með óyggjandi hætti af lögskýringargögnum hvort listi yfir hluthafa skuli teljast hluti ársreiknings félags eða til skilaskyldra gagna með öðrum hætti þannig að skylt sé að veita aðgang að honum á opinberum vef. Í því samhengi bendir Persónuvernd á að í 1. mgr. 109. gr. laga nr. 3/2006 er sérstaklega tekið fram að félög samkvæmt 1. gr. laganna skuli senda ársreikningaskrá áritun endurskoðenda eða skoðunarmanna, en þar er í báðum tilvikum um að ræða gögn sem samkvæmt orðanna hljóðan teljast ekki hluti ársreiknings, sbr. umfjöllun hér að framan. Er ljóst að slíkar áritanir teljast til skilaskyldra gagna sem falla undir skyldu til birtingar samkvæmt 4. mr. 109. gr. Hins vegar er hvergi vikið að lista yfir hluthafa félaga í 1. mgr. lagagreinarinnar.

Líkt og að framan greinir er 4. mgr. 109. gr. laga nr. 3/2006 ætlað að auka gagnsæi, stuðla að upplýstri umræðu og auka aðhald með rekstri félaga. Ekki er fyrir frekari rökstuðningi að fara fyrir því hvaða gögn skuli birt opinberlega í því augnamiði. Verður því ekki ráðið af lögskýringargögnum hvort ætlunin var að ákvæðið næði til upplýsinga um alla hluthafa félaga og ef svo var, hvers vegna birting slíkra upplýsinga væri talin nauðsynleg til að ná framangreindum tilgangi. 

Persónuvernd hefur áður veitt álit sitt á birtingu Kauphallar Íslands á upplýsingum um stærstu hluthafa félaga sem hafa skráð hlutabréf sín þar á markaði, sbr. álit stofnunarinnar, dags. 11. september 2018 í máli nr. 2018071238. Taldi Persónuvernd að stöðugleiki á fjármálamarkaði, sem meðal annars gagnsæi um eignarhald hlutafélaga gæti stuðlað að, hefði þýðingu fyrir breiðan hóp manna. Gæti birting umræddra upplýsinga því byggst á því að hún væri nauðsynleg vegna verks sem unnið væri í þágu almannahagsmuna og þannig stuðst við 5. tölul. 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. 

Sú vinnsla persónuupplýsinga sem hér er til umfjöllunar er langtum umfangsmeiri en birting upplýsinga um stærstu hluthafa félaga sem skráð eru á markað Kauphallar Íslands eða annarra sambærilegra aðila. Þó að tilgangur ákvæðisins, þ.e. að auka gagnsæi og eftirlit með rekstri félaga, geti talist málefnalegur, svo sem áskilið er í 2. tölul. 8. gr. laga nr. 90/2018, má vinnsla persónuupplýsinga ekki fara umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. sömu greinar. Að mati Persónuverndar bera hvorki hlutaðeigandi ákvæði laga nr. 3/2006 né lögskýringargögn með sér með skýrum hætti að svo umfangsmikil vinnsla persónuupplýsinga sem felst í opinberri birtingu lista allra hluthafa þeirra félaga sem undir lögin falla sé nauðsynleg til að ná framangreindum tilgangi. 

Hafi ætlunin verið að aðgengi yrði veitt að upplýsingum um alla hluthafa félaga á grundvelli 4. mgr. 109. gr. laga nr. 3/2006 hefði löggjafanum verið í lófa lagið að orða ákvæðið með þeim hætti að engum vafa væri undirorpið að slík upplýsingamiðlun rúmaðist innan orðalags ákvæðisins. 

Í því samhengi áréttar Persónuvernd að skýra lagaheimild þarf til vinnslu persónuupplýsinga sem byggir á því að hún sé nauðsynleg vegna lagaskyldu sem hvílir á ábyrgðaraðila eða vegna verks sem nauðsynlegt er í þágu almannahagsmuna. Gera verður ríkar kröfur til skýrleika lagaákvæða þegar um er að ræða jafn umfangsmikla vinnslu og hér um ræðir. Í því felst meðal annars að ekki ætti að vera nauðsynlegt að rekja og túlka forsögu hlutaðeigandi ákvæða til að afmarka hvers konar vinnslu persónuupplýsinga þau heimila heldur verður að gera þá kröfu til löggjafans að lagatextinn sjálfur sé nægilega skýr. Á það ekki síst við um breytingar á gildandi lögum sem fela í sér nýjar eða breyttar heimildir til vinnslu persónuupplýsinga. 

Að öllu framangreindu virtu er það mat Persónuverndar að 4. mgr. 109. gr. laga nr. 3/2006, um ársreikninga feli að óbreyttu ekki í sér nægilega skýra heimild til birtingar lista yfir alla hluthafa félaga sem undir lögin falla með ársreikningum þeirra á opinberum vef ríkisskattstjóra. Að því marki sem um birtingu persónuupplýsinga er að ræða samrýmist vinnslan því ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Á k v ö r ð u n a r o r ð:

Birting ríkisskattstjóra á listum yfir alla hluthafa félaga sem falla undir lög nr. 3/2006, um ársreikninga, á opinberum vef embættisins, samrýmist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, að því er varðar upplýsingar um hlutafjáreign einstaklinga. 

Í samræmi við þessa niðurstöðu, og með vísan til 4. tölul. 42. gr. laga nr. 90/2018, er hér með lagt fyrir ríkisskattstjóra að láta af birtingu upplýsinga um hlutafjáreign einstaklinga samkvæmt framangreindu á opinberum vef embættisins. Skal staðfesting á því að farið hafi verið að fyrirmælum þessum berast Persónuvernd innan mánaðar frá dagsetningu ákvörðunar þessarar.

 Persónuvernd, 15. júní 2021

Ólafur Garðarsson

starfandi formaður

Björn Geirsson                               Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson