Miðlun persónuupplýsinga í tengslum við umgengnismál

Mál nr. 2021010079

10.6.2022

Úrskurður

um kvörtun yfir miðlun persónuupplýsinga í tengslum við umgengnismál hjá sýslumanni í máli nr. 2021010079:

I.
Málsmeðferð

Hinn 12. janúar 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir miðlun [B] á persónuupplýsingum hennar í tengslum við umgengnismál hjá sýslumanni.

Persónuvernd bauð [B] að tjá sig um kvörtunina með bréfi, dags. 15. september 2021, ítrekuðu 28. október 2021. Svör hans bárust með tölvupósti þann 4. nóvember 2021. Við úrlausn málsins hefur verið tekið tillit til framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

___________________

Ágreiningur er um hvort [B] hafi verið heimilt að miðla persónuupplýsingum kvartanda, þar á meðal viðkvæmum heilsufarsupplýsingum hennar, til annars barnsföður kvartanda.

Kvartandi telur að [B] hafi miðlað persónuupplýsingum hennar, sem hann komst yfir eftir gagnasöfnun sýslumanns í máli vegna umgengni hans við barn þeirra, til annars barnsföður kvartanda sem svo hafi lagt þau fram í dómsmáli gegn henni.

[B] viðurkennir að hafa afhent lögmanni annars barnsföður kvartanda gögn, sem innihéldu persónuupplýsingar um kvartanda, sem hann komst yfir vegna umgengnismálsins hjá sýslumanni. Honum hafi aldrei verið gerð grein fyrir að um trúnaðargögn væri að ræða. Gögnin hafi að hans sögn aðallega varðað falskar ásakanir kvartanda gegn honum og hann hafi talið rétt að afhenda þau öðrum barnsföður kvartanda, sem þá stóð í dómsmáli sem varðaði barn þeirra, svo að dómurinn gæti séð að kvartandi hefði haft uppi samskonar ásakanir gagnvart honum.

II.
Niðurstaða
1.
Lögmæti vinnslu

Mál þetta lýtur að miðlun [B] á persónuupplýsingum kvartanda til lögmanns annars barnsföður hennar í tengslum við dómsmál þeirra. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.^[1][B] telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins.

Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna teljast heilsufarsupplýsingar, þ.e. persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, þ.m.t. heilbrigðisþjónustu sem hann hefur fengið, vera viðkvæmar, en af kvörtun verður ráðið að unnið hafi verið með upplýsingar um andlegt heilbrigði kvartanda. Eins og hér háttar til kemur þá einkum til skoðunar 6. tölul. 1. mgr. 11. gr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, sbr. f-lið 2. mgr. 9. gr. reglugerðarinnar.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Við mat á því hvort ofangreindar heimildir geti átt við þarf þremur skilyrðum að vera fullnægt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Við það mat þarf að kanna hvort að hægt sé að ná sama markmiði með öðrum og vægari úrræðum. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem vísað er til.

Af hálfu [B] hefur komið fram að hann hafi talið rétt að afhenda öðrum barnsföður kvartanda umræddar persónuupplýsingar svo að hann gæti nýtt þær í dómsmáli vegna barns sem hinn síðarnefndi á með kvartanda. Það er mat Persónuverndar að þriðji aðili kunni því að hafa haft af því lögmæta hagsmuni að fá afhentar upplýsingar um ofangreindar ásakanir kvartanda. Hins vegar hefur ábyrgðaraðili ekki sýnt fram á nauðsyn þess að afhenda þriðja aðila upplýsingar um heilsufar og heilbrigðiþjónustu kvartanda. Þegar litið er til viðkvæms eðlis persónuupplýsinganna og atvika að öðru leyti verður jafnframt ekki talið að hagsmunir þriðja aðila, þ.e. viðtakandans, af miðluninni hafi vegið þyngra en hagsmunir kvartanda af því að miðlun á heilsufarsupplýsingum hennar færi ekki fram. Verður því ekki talið að umrædd miðlun geti byggst á 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar. Þá verður ekki séð að aðrar heimildir 9. gr. laga nr. 90/2018 geti hér átt við.

Þegar af þeirri ástæðu er það niðurstaða Persónuverndar að miðlun [B] á persónuupplýsingum kvartanda til þriðja aðila hafi ekki samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Miðlun [B] á persónuupplýsingum [A] til þriðja aðila samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 10. júní 2022

Helga Sigríður Þórhallsdóttir                     Þórður Sveinsson

---

_{[1] Persónuvernd annast eftirlit með framkvæmd laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, reglugerðar (ESB) 2016/679 (almennu persónuverndarreglugerðarinnar) og laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi.}