Birting úrskurða á heimasíðu

Mál nr. 2011/1186

5.11.2012

Efni: Leiðsögn veitt Hundaræktarfélagi Íslands

I.
Efni máls og bréfaskipti

1.
Tildrög máls
Þann 1. nóvember 2011 barst Persónuvernd kvörtun A, vegna fyrirhugaðrar birtingar á úrskurði siðanefndar Hundaræktarfélags Íslands (HRFÍ) um [sig]. Það sem [kvartandi] óskar úrskurðar um er:

„Að fá ekki 100% nafnleynd hjá siðanefnd félagsins þegar úrskurðir eru settir á heimasíðu félagsins, og afrit sent á viðkomandi félagsmann og ræktunardeild.“

2.
Bréfaskipti
Með bréfi, 29. nóvember 2011, var afstaða HRFÍ könnuð. Í svari félagsins, dags. 27. mars 2012, segir m.a.:

„Áður en erindi A verður svarað óskast upplýst á hvern hátt upplýsingar um tegund hunda teljast persónuupplýsingar í skilningi 2. gr. laga nr. 77/2000. Í 27. gr. laga félagsins sem fylgja hjálagt bréfi þessu er fjallað um starfshætti siðanefndar og eins að hún birtir úrskurði sína á vef HRFÍ. Það er því mat félagsins að félagsmenn hafi samþykkt í verki að úrskurðir um þá verði birtir á vef félagsins og það er umfram skyldu að félagið birtir ekki nöfn þeirra aðila sem úrskurðir fjalla um. Þess skal getið að úrskurðir siðanefndar hafa fordæmisgildi. Reglur í reglugerð um skráningu í ættbók  HRFÍ eru mismunandi eftir tegundum. Það er því mat Hundaræktarfélags Íslands að nauðsynlegt sé í forvarnarskyni að birta upplýsingar um tegundina. “

Í svari Persónuverndar, dags. 13. apríl 2012, segir m.a.:

„Samkvæmt 1. tölul. 2. gr. laga nr. 77/2000 eru persónuupplýsingar sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Með persónugreindum upplýsingum er átt við upplýsingar sem eru merktar með persónuauðkennum hins skráða og má rekja beint til hans. Með persónugreinanlegum upplýsingum er hins vegar átt við upplýsingar sem unnt er að rekja óbeint til tiltekins einstaklings þótt þær séu ekki merktar þannig Því er ljóst að ef t.d. er aðeins einn aðili sem ræktar umrædda hundategund, þá eru upplýsingar í úrskurðinum persónuupplýsingar í skilningi laganna.

Það sem að máli skiptir, að því er varðar birtingu persónuupplýsinga, er hvort um er að ræða almennar eða viðkvæmar persónuupplýsingar. Af þeirri ástæðu óskar stofnunin upplýsinga um hvers eðlis upplýsingar í úrskurðinum eru.“

Í svarbréfi HRFÍ, dags. 26. apríl 2012, segir m.a.:

„Til að upplýsa stofnunina um hvers eðlis upplýsingarnar í úrskurðinum eru fylgir hjálagt bréfi þessu úrskurður A, mál nr. [...], nafnahreinsaður, eins og hann yrði birtur á vefsíðu félagsins. Birtingu úrskurða siðanefndar HRFÍ er hægt að skoða á vefsíðu félagsins [...].“

Með bréfinu fylgdi afrit af málsmeðferðarreglum siðanefndar HRFÍ. Í 18. gr. þeirra reglna, sem samþykktar voru á fundi nefndarinnar 1. mars 2010, segir að við birtingu úrskurða skuli nafnleyndar að jafnaði gætt. Ef sérstök rök mæli gegn nafnleynd skuli þó birta nöfn aðila. Þá er aðilum heimilt að krefjast nafnbirtingar, en slíkar kröfur skulu vera rökstuddar.

Með bréfi, dags. 14. apríl 2012, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar HRFÍ. Í svarbréf kvartanda, dags. 20. maí 2012, segir m.a.:

„Mér finnst það algjörlega óásættanlegt að HRFÍ birti  nöfn félagsmanna og / eða tegundarnöfn  hundakynja þeirra félagsmanna sem í hlut eiga, með því að hafa tegundarheiti hunda þá er lítið mál fyrir þann sem hefur áhuga á að finna út hver sá er sem í hlut á eins og ég sýndi fram á í kærunni og  lít ég á að þetta séu ekkert annað en persónugreinandi upplýsingar.
Með því að sjá í úrskurðum tegundarheiti ásamt pörunardegi eða gotdegi eða hvort sami eigandi sé á báðum foreldrum eða hún/hann sé eigandi hunds gerir það mjög einfalt að finna út hver á í hlut með því að fletta upp í gagnagrunni viðkomandi tegundar sem flestar hundategundir hafa í dag, hvað þá þegar gotsaga tíkar í dögum og árum  er rakin, þess vegna á HRFÍ að sjá sóma sinn í að láta duga að nota “tákn” í stað eigenda, tegundarheitis og  dagsetninga / mánuði / ár  á gotdegi og pörunardegi, eða orð sem kyngera persónu sjá meðfylgjandi blöð
Þó svo að tegundarheiti og nafni eigenda sé sleppt alfarið úr úrskurðum síðanefndar sem birtir eru get ég ekki séð að það rýri á neinn hátt upplýsingagildi eða forvarnargildi til félagsmanna HRFI, en það hamlar að fundið sé út  hvaða félagsmaður á í hlut
Forvarnarskyn úrskurða siðanefndar  breytir engu þegar um slysagot er að ræða og skilar sínu jafnt  í öðrum tilfellum þó þessu öllu ofangreindu sé sleppt.“

Varðandi það hvort að félagsmenn hafi samþykkt í verki að úrskurðir yrðu birtir á vef HRFÍ segir kvartandi:

„Ég get ekki séð að félagsmenn á aðalfundi hafi samþykkt í verki að úrskurðir um þá yrðu birtir á vef HRFÍ né að það sé umfram skyldu að birta ekki nöfn þeirra sem úrskurðir fjalla um, en fram kemur á síðu HRFÍ http://hrfi.is/Default.asp?page=480 að eingöngu stjórn síðanefndar og stjórn HRFÍ hafi fjallað um og samþykkt nýju málsmeðferðareglurnar sem þarna koma fram. Þegar ég gekk í HRFÍ  árið 1994 eða 1995 þá man minni mitt ekki til að ég hafi undirgengið skilyrði um ofangreint en ef svo er þá hlýtur HRFÍ að geta lagt fram undirskrift mína um það frá þeim tíma.“

Þá telur kvartandi að HRFÍ uppfylli ekki skilyrði 7. tölul. 2. gr., 1. tölul. 1. mgr. 8. gr. og 5. tölul. 1. mgr. 9. gr. laga nr. 77/2000.

II.
Svar Persónuverndar

Fyrir liggur ósk um að Persónuvernd úrskurði um lögmæti birtingar á niðurstöðu siðanefndar Hundaræktarfélags Íslands (HRFÍ) í tilteknu máli á heimasíðu félagsins. Af gögnum málsins verður ekki ráðið að sú vinnsla hafi farið fram, þ.e. að niðurstaðan hafi verið birt. Meðan svo er ótímabært að Persónuvernd kveði upp úrskurð, sbr. 2. mgr. 37. gr. laga nr. 77/2000, enda verður ekki skorið úr um lögmæti aðgerðar sem ekki hefur átt sér stað.

Hins vegar hvílir sú skylda einnig á Persónuvernd, sbr. 5. tölul. 3. mgr. 37. gr. laga nr. 77/2000, að leiðbeina þeim sem ráðgera vinnslu persónuupplýsinga. Af því tilefni hefur hún ákveðið að leiðbeina Hundaræktarfélagi Íslands um eftirfarandi.

1.
Um hugtök og gildissvið laga nr. 77/2000
Þau lög sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna.

Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. Í þessu felst að ef rekja má upplýsingar óbeint til tiltekins einstaklings þótt þær séu ekki merktar honum teljast þær til persónuupplýsinga. Því er ljóst að ef aðeins einn einstaklingur ræktar tiltekna hundategund á Íslandi, og niðurstaða um þá ræktun er birt á vefsíðu, þá yrði það talin vera vinnsla persónuupplýsinga í skilningi laganna.

2.
Heimildarákvæði 8. og 9. gr. laga nr. 77/2000
Öll vinnsla persónuupplýsinga verður að eiga sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þar er greint á milli almennra persónuupplýsinga og viðkvæmra. Þær upplýsingar teljast vera viðkvæmar sem taldar eru upp í 8. tölul. 2. gr. laganna. Það eru m.a. upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað.

2.1.
Að því marki sem um er að ræða vinnslu almennra persónuupplýsinga nægir að uppfylla eitt af skilyrðum 8. gr. laga nr. 77/2000. Birting úrskurða á vefsíðu félags gæti stuðst við 7. tölul. 8. gr. laganna ef það verður niðurstaða þess að hún sé nauðsynleg til að það, eða þeir sem fá upplýsingarnar, geti gætt lögmætra hagsmuna - nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra.

2.2.
Telji félagið að um sé að ræða viðkvæmar persónuupplýsingar þarf það að ganga úr skugga um að einnig sé uppfyllt eitthvert af skilyrðum 1. mgr. 9. gr. sömu laga. Bent er á að um samtök sem hafa stéttarfélagsleg markmið, og önnur samtök sem ekki starfa í hagnaðarskyni, gildir sú regla að heimil sé sú vinnsla sem sé liður í lögmætri starfsemi samtakanna, taki hún aðeins til félagsmanna þeirra eða einstaklinga sem samkvæmt markmiðum samtakanna eru, eða hafa verið, í reglubundnum tengslum við þau. Þeim upplýsingum má þó ekki miðla áfram án samþykkis hins skráða.

3.
Meginreglur 7. gr. laga nr. 77/2000
Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

Það að hvaða marki afmá ber nöfn o.þ.h. úr einstökum niðurstöðum siðanefndar, til að uppfylla framangreindar reglur, þarf félagið sjálft sem ábyrgðaraðili að meta hverju sinni. Þar þarf að  meta hvort tilgangi birtingar verði ekki náð nema með því að birta nöfn tegunda o.þ.h. Í ljósi meðalhófsreglunnar þarf einnig að ákveða að hvaða marki beita ber almennum öryggisráðstöfunum til að hindra óþarfa vinnslu persónuupplýsinga, s.s. til að hindra að nöfn verði aðgengileg með leitarvélum á netinu.

N i ð u r s t a ð a :

Birting tegundarheitis hundar í þeim úrskurðum sem siðanefnd HRFÍ birtir á vefsíðu sinni getur uppfyllt skilyrði 7. tölul. 8. gr. laga nr. 77/2000. Að því marki sem um er að ræða viðkvæmar upplýsingar þarf birtingin einnig að samrýmast 5. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Við mat á því hvort þessi skilyrði séu uppfyllt má m.a. að líta til þeirra reglna sem félagsmenn hafa ótvírætt samþykkt.

Til áréttingar er að lokum tekið fram að hér hefur aðeins verið veitt leiðbeinandi álit samkvæmt 5. tölul. 3. mgr. 37. gr. laga nr. 77/2000 - en ekki efnisleg úrlausn. Það verður birt á heimasíðu Persónuverndar, www.personuvernd.is, en persónuauðkenni verða afmáð.