Úrskurður um ökuskrármál

18.11.2003

Hinn 18. nóvember 2003 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2003/421:

Þann 17. september 2003 barst Persónuvernd bréfleg tilkynning frá Skýrr hf., dags. 11. september 2003, um breytingu á tilkynningu nr. 185 um vinnslu persónuupplýsinga. Tilkynningin var síðan send á rafrænu formi í gegnum heimasíðu stofnunarinnar þann 19. september. Í fyrrnefndu bréfi var breyting á tilkynningu nr. 185 sögð gerð til samræmis við breytingar á samskonar þjónustu sem Umferðarstofa var sögð veita í samkeppni við Skýrr hf.

Samkvæmt tilkynningunni er ráðgert að vinna persónuupplýsingar úr tilteknum opinberum skrám, þ. á m. úr ökutækjaskrá. Tilgangi vinnslunnar er lýst með svofelldum hætti:

"Upplýsingaþjónusta[n] felst í því að Skýrr hf. veitir einstaklingum og fyrirtækjum aðgang að fjölbreyttum gagnasöfnum á grundvelli samnings og gegn áskriftargjaldi."

Þar sem Umferðarstofa annast skráningu ökutækja og aðra umsýslu varðandi skráningu ökutækja, gerð þeirra og búnað, sbr. a.-lið 1. mgr. 112. gr. umferðarlaga nr. 50/1987, þótti Persónuvernd rétt, sbr. bréf 18. september, að leita eftir formlegu áliti Umferðarstofu á fyrirhugaðri vinnslu Skýrr hf. eins og henni er lýst í nefndri tilkynningu fyrirtækisins frá 17. september.

Með bréfi, dags. 19. september, var Skýrr hf. tilkynnt um þessa málsmeðferð og fyrirtækinu látið í té ljósrit af bréfi Umferðarstofu til Persónuverndar, dags. 27. ágúst sl., er varðar ágreiningsefni málsins. Þá var Skýrr hf. tilkynnt um að fyrirtækinu væri óheimilt að hefja tilkynnta vinnslu fyrr en afstaða Persónuverndar til málsins lægi fyrir.

Álit Umferðarstofu á fyrirhugaðri vinnslu Skýrr hf. á upplýsingum úr afriti ökutækjaskrár, sbr. fyrrgreinda tilkynningu þess efnis, barst Persónuvernd með bréfi dags. 29. september. Í álitinu kemur fram sú afstaða, með skírskotun til ákvæða laga og reglna, að Umferðarstofa er ósamþykk því að Skýrr hf. hefji tilkynnta vinnslu á persónuupplýsingum úr ökutækjaskrá.

Umrætt álit Umferðarstofu var sent Skýrr hf. þann 1. október og fyrirtækinu gefinn kostur á að koma á framfæri andmælum við efni þess. Með bréfi Skýrr hf. til Persónuverndar, dags 6. október sl., er sjónarmiðum Umferðarstofu mótmælt. Færð eru rök fyrir því, og vísað til ákvæða laga og reglna því til stuðnings, að gagnvart sínum viðskiptavinum hafi fyrirtækið stöðu ábyrgðaraðila varðandi vinnslu persónuupplýsinga úr ökutækjaskrá og að Umferðarstofu sé skylt að veita fyrirtækinu aðgang að skránni á jafnræðisgrundvelli.

Með bréfi Umferðarstofu til Persónuverndar, dags 14. október, voru gerðar athugasemdir við sjónarmið Skýrr hf., sbr. fyrrgreint bréf frá 6. október, auk þess sem fyrri afstaða stofnunarinnar til málsins var áréttuð. Með bréfi, dags. 15. október, var Skýrr hf. sent ljósrit af umræddu bréfi og öllum fyrri bréfaskiptum Umferðarstofu og Persónuverndar í tengslum við málið.

Í bréfi Skýrr hf., dags. 6. október, voru gerðar athugasemdir varðandi formhlið málsins. Í erindinu kom í fyrsta lagi fram sú afstaða fyrirtækisins að Persónuvernd gæti ekki aðhafst í málinu fyrr en fyrir lægi úrlausn samkeppnisyfirvalda um það hvort samningur Skýrr hf. og Umferðarstofu, dags. 12. febrúar 2003, fæli í sér brot á samkeppnislögum nr. 8/1993. Í öðru lagi var gerð svohljóðandi krafa: "Þá krefst Skýrr hf. þess, að á meðan ekki liggur fyrir úrlausn samkeppnisyfirvalda um brot Umferðarstofu á ákvæðum samkeppnislaga, verði Skýrr hf. heimilt að veita aðgang að ökutækjaskrá á jafnræðisgrundvelli við Umferðarstofu."

Á fundi stjórnar Persónuverndar, sem haldinn var þriðjudaginn 7. október 2003, voru lögð fram gögn varðandi ágreining Umferðarstofu og Skýrr hf. um miðlun upplýsinga úr ökutækjaskrá. Varðandi framangreint segir svo í fundargerð stjórnar Persónuverndar:
"Framangreint erindi Skýrr var rætt. Þar kom fram að eðli málsins samkvæmt væri það fyrst og fremst hlutverk Persónuverndar að fjalla um málið út frá lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þar af leiðandi væri ekki ástæða til að bíða með að taka málið til efnislegrar úrlausnar þótt Skýrr hefði vísað því til Samkeppnisyfirvalda vegna meints brots á samkeppnislögum. Þá þóttu ekki vera forsendur til útgáfu sérstakrar vinnsluheimildar til handa Skýrr. Hins vegar var ákveðið að hraða því, eftir föngum, að komast að efnislegri niðurstöðu í málinu."

Á grundvelli þessa var ákveðið að taka málið til úrskurðar, sbr. 2. mgr. 37. gr. laga nr. 77/2000, og var málsaðilum tilkynnt um það bréflega, Skýrr hf. með bréfi, dags. 7. október, og Umferðarstofu með bréfi, dags 8. október, þar sem stofnuninni var jafnframt gefið tækifæri til að gera athugasemdir við bréf Skýrr hf. frá 6. október.

Umferðarstofa, sem annast skráningu ökutækja og aðra umsýslu varðandi skráningu ökutækja, gerð þeirra og búnað, sbr. a.-lið 1. mgr. 112. gr. umferðarlaga nr. 50/1987, selur upplýsingar úr skránni samkvæmt gjaldskrá nr. 681/2002 frá 26. september 2002, sem sett er af dómsmálaráðherra, og starfsreglum um upplýsingaveitu úr ökutækjaskrá frá 1. apríl 2003, sem Persónuvernd tók til umsagnar, sbr. bréf dags. sama dag. Samkvæmt starfsreglunum veitir Umferðarstofa áskrifendum rétt til að fletta upp eftir fastnúmeri, skráningarnúmeri eða verksmiðjunúmeri ökutækja annars vegar og eftir kennitölum eigenda og umráðamanna hins vegar. Áskrift til að fletta upp eftir kennitölum er eingöngu heimiluð skattayfirvöldum, lögreglu, innheimtumönnum ríkissjóðs, s.s. tollstjóra, og lögmönnum, sem lagt hafa fram beiðni um aðför til fullnustu á fjárkröfum. Tekið er 14 króna gjald fyrir hverja uppflettingu eftir fastnúmeri, skráningarnúmeri eða verksmiðjunúmeri ökutækis, en 700 krónur fyrir hverja uppflettingu eftir kennitölu.

Með skriflegum samningi milli Umferðarstofu og Skýrr hf., dags. 11. júní 2002, var ákveðið að Skýrr hf. tæki að sér, sem verktaki, að keyra og þjónusta skeytamiðlara og vista afrit af ökutækjaskrá þannig að tryggt yrði að Landskerfi fjármálaráðuneytisins og ökutækjaskrá gætu sótt og sent upplýsingar sín á milli, sbr. 1. gr. samningsins. Þetta afrit er eingöngu ætlað fyrir keyrslu og til að fletta upp í skránni fyrir Landskerfin en ekki til annarra þarfa eða til endursölu. Með samningi milli sömu aðila, dags. 12. febrúar 2003, var þó samið um aðgang Skýrr hf. að upplýsingum úr ökutækjaskrá til endursölu, enda mætti, skv. 3. tl. samningsins eingöngu fletta upp í frumriti ökutækjaskrár samkvæmt verksmiðjunúmeri, skráningarnúmeri eða fastnúmeri ökutækis.

Í bréfi til Persónuverndar, dags. 27. ágúst sl., er því haldið fram af hálfu Umferðarstofu að Skýrr hf. hafi orðið uppvíst að því að brjóta umræddan samning með því að veita upplýsingar úr ökutækjaskrá eftir kennitöluuppflettingu. Í bréfinu er m.a. vísað í tölvupóst frá Skýrr hf., dags. 20. ágúst, þar sem segir eftirfarandi:
"Eftir samtal okkar þá fór ég einnig yfir þessi mál hér innanhús með Hreini Jakobssyni, forstjóra Skýrr, og það sem gerir málið erfitt fyrir er að við höfum nýlega fengið viðskipti á grundvelli þess að geta boðið upp á þessa þjónustu með notkun á kennitölum og því þurfum við að sannreyna þessa hluti við Persónuvernd eins hratt og kostur er."

Eftir nokkur bréfaskipti Persónuverndar og Umferðarstofu varðandi bréf Umferðarstofu, dags. 27. ágúst, þar sem farið var fram á gerð úttektar á vörslu og miðlun upplýsinga í ökutækjaskrá með tilliti til ofangreindra samninga við Skýrr hf., barst Persónuvernd áðurgreind tilkynning Skýrr hf., dags. 11. september sl., um fyrirhugaða vinnslu persónuupplýsinga úr tilteknum opinberum skrám, þ. á m. ökutækjaskrá. Í bréfi Skýrr hf., dags. 6. október, segir að Umferðastofa hafi, með vísan í ofangreindan samning aðila frá 12. febrúar 2003, neitað fyrirtækinu um heimild til að veita upplýsingar úr ökutækjaskrá eftir kennitöluuppflettingu. Fór málið þá í þann farveg sem áður hefur verið lýst.

Í minnisblaði lögfræðings Umferðarstofu, dags. 13. september sl., eru reifuð ákvæði umferðarlaga nr. 50/1987, og reglugerðar nr. 78/1997, er varða skráningu ökutækja og um hlutverk Umferðastofu í því sambandi. Þar segir að samkvæmt 63. gr. umferðarlaga skuli skrá bifreiðar, bifhjól, torfærutæki eða dráttarvélar og fleiri tiltekin ökutæki áður en þau eru tekin í notkun. Samkvæmt 112. gr. sömu laga sé það hlutverk Umferðarstofu að annast skráningu ökutækja og aðra umsýslu varðandi skráningu ökutækja, gerð þeirra og búnað. Þá segir að Umferðarstofa haldi ökutækjaskrá, sem sé opinber ská yfir ökutæki sem skráð hafa verið hér á landi, sbr. 1. gr. fyrrnefndrar reglugerðar. Samkvæmt 5. gr. hennar skuli færa upplýsingar um ökutækið sjálft, þ.e. upplýsingar um fastnúmer, skráningarnúmer og verksmiðjunúmer ökutækis, og um eiganda og umráðamann ökutækis, þ.e. upplýsingar um nafn, heimili og kennitölu.

Varðandi vörslu og meðferð ofangreindra upplýsinga er byggt á því að um sé að ræða persónuupplýsingar í skilningi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Samkvæmt 4. tl. 2. gr. laganna, og með hliðsjón af 5. tl. sömu greinar, sé Umferðarstofa ábyrgðaraðili ökutækjaskrár. Með vísan til þess hvernig hugtakið ábyrgðaraðili er skýrt í greinargerð, sem fylgdi frumvarpi því sem varð að lögum nr. 77/2000, verði að álykta sem svo að það sé á valdi Umferðarstofu að mæla fyrir um eða samþykkja með hvaða hætti Skýrr hf. fer með upplýsingar sem fyrirtækið sækir í frumrit ökutækjaskrár og selur viðskiptavinum sínum. Þá er og skírskotað til markmiðs laganna, sem sé að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og að tryggja áreiðanleika og gæði slíkra upplýsinga. Þetta markmið móti efni laganna að því er varðar skráningu og meðferð persónuupplýsinga, þ.m.t. miðlun þeirra til þriðja manns.

Í bréfi Umferðarstofu, dags. 29. september 2003, segir að í tilkynningu Skýrr hf. um vinnslu persónuupplýsinga, m.a. úr ökutækjaskrá, sé boðað að Skýrr hf. muni fletta upp í ökutækjaskrá kennitölum eigenda ökutækja og tengja þær upplýsingar ýmsum öðrum upplýsingum sem þar er að finna, m.a. um ökutækjaeign einstaklinga og fyrirtækja. Gert sé ráð fyrir því samkvæmt tilkynningunni að sérhver notandi á kennitöluuppflettingum muni sjálfur bera ábyrgð á sínum uppflettingum en engar takmarkanir séu hins vegar á því hverjir megi verða slíkir notendur.

Vísað er til þess að um miðlun upplýsinga úr ökutækjaskrá gilda sérstakar reglur, sbr. 4. mgr. 3. gr. reglugerðar nr. 79/1997 um starfshætti skráningarstofu ökutækja. Samkvæmt ákvæðinu ber Umferðarstofu að setja sér starfsreglur um miðlun upplýsinga úr ökutækjaskrá. Með stoð í þessu reglugerðarákvæði hafi Umferðastofa sett sér starfsreglur, dags. 1. apríl 2003. Samkvæmt reglunum sé aðgangur að upplýsingum eftir kennitöluuppflettingu óheimill öðrum en þeim sem hafi rétt til slíks aðgangs samkvæmt sérstakri heimild í lögum, sbr. skatta- og tollayfirvöld og lögregla, auk þess sem lögmenn hafa slíkan aðgang við innheimtu á fjárnámshæfum kröfum og til að geta sinnt störfum sínum sem skiptastjórar dánar- og þrotabúa. Í fyrrnefndu minnisblaði, dags. 13. september sl., er vitnað í umsögn Persónuverndar um starfsreglurnar, sbr. bréf, dags. 1. apríl 2003, þar sem fram kemur að stofnunin telji "að persónuverndarsjónarmiða sé nægilega vel gætt, enda [sé] kveðið á um að aðgangur lögmanna skuli vera samkvæmt samningi þar sem lögmenn lýsa því yfir að þeir muni aðeins nota aðganginn í tengslum við innheimtu fjárnámshæfrar kröfu, auk þess sem kveðið er á um að allar uppflettingar eftir kennitölum skuli skráðar og að misnotkun aðgangs varði niðurfellingu hans."

Þá er vísað til ákvæða í samningum sem Umferðarstofa og Skýrr hf. hafa gert sín á milli um vinnslu upplýsinga úr ökutækjaskrá. Samkvæmt 1. gr. rekstrarsamnings, dags. 11. júní 2002, sé afrit ökutækjaskrár eingöngu ætlað fyrir keyrslur og uppflettingar í Landskerfum fjármálaráðuneytisins, en ekki til endursölu. Gerður hafi verið sérstakur samningur um aðgang Skýrr hf. að upplýsingum til endursölu, dags. 12. febrúar 2003. Samkvæmt 3. gr. hans sé uppfletting eingöngu heimil eftir verksmiðjunúmeri, skráningarnúmeri eða fastnúmeri ökutækis.

Með vísan til umræddra reglna um miðlun upplýsinga úr ökutækjaskrá, og ákvæða samninga aðila þar að lútandi, hafi Umferðarstofa bannað Skýrr hf. að hefja tilkynnta vinnslu persónuupplýsinga úr ökutækjaskrá, sbr. tilkynningu þess, dags. 11. september 2003. Þá vísar Umferðarstofa til þess að á grundvelli 3. mgr. 13. gr. laga nr. 77/2000 beri Skýrr hf. skylda til þess, sem vinnsluaðila persónuupplýsinga úr ökutækjaskrá, að fara að fyrirmælum ábyrgðaraðila, þ.e. Umferðarstofu samkvæmt 112. gr. umferðarlaga nr. 50/1987, varðandi vinnslu persónuupplýsinga úr skránni. Á grundvelli alls framangreinds telur Umferðarstofa að Persónuvernd eigi að hafna tilkynningu Skýrr hf., sbr. niðurlagsorð í bréfi stofnunarinnar, dags. 29. september 2003.

Í bréfi Skýrr hf., dags. 6. október 2003, er fjallað um hlutverk Umferðarstofu samkvæmt 112. gr. umferðarlaga nr. 50/1987. Þar segir að Umferðarstofa hafi tekið við hlutverki Skráningarstofunnar hf., samkvæmt lögum nr. 83/2002 um breytingu á umferðarlögum. Vísað er í umsögn fjárlagaskrifstofu fjármálaráðuneytisins um frumvarpið sem varð að umræddum lögum nr. 83/2002, þar sem fram komi að eftir lögfestingu frumvarpsins eigi að skipa verkefnisstjórn til að taka ákvarðanir um vistun verkefna sem hafa verið unnin hjá forverum Umferðarstofu. Í umsögninni sé tekið sem dæmi að Skráningarstofan hf. hafi haft umsjón með rekstri margra helstu tölvukerfa löggæslustofnana og sýslumannsembætta. Til álita komi að færa slíkan rekstur til hýsingarfyrirtækis að undangengnu útboði að uppfylltum ströngum kröfum um öryggi og eftirlit. Af þessum ummælum megi draga þá ályktun að þó svo Umferðarstofu hafi í frumvarpinu verið falið að annast ökutækjaskrá, hafi löggjafinn gert ráð fyrir því frá upphafi að hýsing og rekstur tölvu- og upplýsingakerfa mætti fela öðrum aðilum en Umferðarstofu sjálfri. Hvergi sé að finna ákvæði í umferðarlögum þess efnis, eða þess getið í frumvarpinu, að Umferðarstofu sé veitt einkaleyfi að lögum til að miðla upplýsingum úr ökutækjaskrá. Þvert á móti sé gert ráð fyrir því að öðrum aðilum verði falin tiltekin verkefni, t.d. rekstur einstakra tölvu- og upplýsingakerfa eða veitt heimild til að veita þjónustu tengda ökutækjaskrá, svo sem miðlun upplýsinga úr henni. Heimild til þessa sé að finna í 2. mgr. 112. gr. umferðarlaga, þar sem segir að Umferðarstofu sé heimilt að fela öðrum framkvæmd verkefna sem henni tilheyra, samkvæmt reglum sem dómsmálaráðherra setur. Þá er enn fremur vísað til 3. gr. reglugerðar um starfshætti skráningarstofu ökutækja nr. 79/1997, þar sem segir m.a. að einstaklingum, fyrirtækjum og stofnunum sé heimill aðgangur að upplýsingum um einstök ökutæki úr ökutækjaskrá eins og nánar sé kveðið á um í starfsreglum skráningarstofu, sem staðfestar skulu af Tölvunefnd, nú Persónuvernd.

Í fyrrnefndu bréfi er vikið að efni samnings Umferðarstofu og Skýrr hf., dags. 12. febrúar 2003, um aðgang Skýrr hf. að upplýsingum úr ökutækjaskrá, og starfsreglna Umferðarstofu sem samningurinn byggir á, sbr. 5. tl. hans. Þar kemur fram sú afstaða Skýrr hf. að 3. gr. samningsins brjóti gegn 11. gr. samkeppnislaga nr. 8/1993, þar sem samningsákvæðið feli í sér misnotkun Umferðarstofu á markaðsráðandi stöðu. Umferðarstofa geti ekki selt fyrirtækjum á borð við Skýrr hf. og Lánstraust hf. aðgang að ökutækjaskrá á samkeppnismarkaði, í þeim tilgangi að þau geti endurselt viðskiptavinum sínum aðgang að skránni, en um leið neitað þessum fyrirtækjum um að veita viðskiptavinum sínum sams konar aðgang að ökutækjaskrá og Umferðarstofa býður viðskiptavinum sínum. Þar sem Umferðarstofa hafi ekki einkaleyfi eða einkarétt til að miðla upplýsingum úr ökutækjaskrá, samkvæmt sérstöku lagaákvæði þess efnis, gildi um markaðinn, þ.e. upplýsingamiðlunina, almenn ákvæði samkeppnislaga.

Skýrr hf. telur að leiða megi líkur að því að sá markaður sem hér um ræðir, í skilningi samkeppnislaga, sé markaður fyrir aðgang að upplýsingum úr ökutækjaskrá, hvort sem flett er upp persónuupplýsingum eða ekki. Skýrr hf. telur jafnframt að umræddur samningur aðila frá 12. febrúar 2003 beri þess vitni að það sé jafnframt skilningur Umferðarstofu sjálfrar að ökutækjaskrá sé á samkeppnismarkaði, þar sem með samningnum sé fyrirtækinu veitt heimild til þess að selja viðskiptavinum sínum aðgang að skránni. Á þessum markaði hafi Umferðarstofa markaðsráðandi stöðu, þar sem stofnunin sé lögboðin skráarhaldari ökutækjaskrár og ráði yfir ómissandi aðstöðu. Þeir aðilar sem bjóða vilja þjónustu á þessum markaði verði þannig að semja um aðgang að skránni við Umferðarstofu. Stofnunin sé þannig í þeirri stöðu að geta takmarkað aðgang að ökutækjaskránni, heft eða sett skilmála fyrir aðgangi án þess að samkeppnisaðilar hennar fái rönd við reist. Í samkeppnisrétti sé það viðurkennt sjónarmið að á fyrirtækjum eða opinberum aðilum, sem eru í yfirburðarstöðu á markaði vegna stærðar, markaðshlutdeildar eða í krafti aðstöðu, hvíli ríkari skyldur um að hegðun þeirra og athæfi á markaði skekki ekki samkeppnisstöðu eða mismuni öðrum samkeppnisaðilum á sama markaði. Ráði slíkur aðili yfir ómissandi aðstöðu beri honum að veita samkeppnisaðilum aðgang að slíkri aðstöðu á grundvelli jafnræðis og gagnsærra samningsskilmála án mismununar. Slíkur aðili geti ekki meinað aðilum aðgang að markaði með vísan til laga um hæfisskilyrði, réttindi eða aðstöðu til að inna tiltekna þjónustu af hendi, sé það gert með það að markmiði að mismuna aðilum á samkeppnismarkaði eða tryggja tiltekna stöðu á markaði

Skýrr hf. bendir á að Umferðarstofu hafi ekki með lögum verið veittur einkaréttur til að miðla upplýsingum úr ökutækjaskrá eða bjóða uppflettingu eftir kennitölu. Það sé einnig viðurkennt sjónarmið í samkeppnisrétti að ákvæði samkeppnislaga gildi almennt um alla atvinnustarfsemi á vegum hins opinbera, nema tiltekið verkefni eða þjónusta sé beinlínis undanskilin ákvæðum samkeppnislaga með sérlagaákvæði. Um þá aðstöðu þegar sérlög rekast á við ákvæði samkeppnislaga hafi Áfrýjunarnefnd samkeppnismála úrskurðað á þann hátt að sérlagaákvæði verði að kveða skýrt og afdráttarlaust á um að starfsemi falli utan ákvæða samkeppnislaga. Almenn ákvæði í þessa átt, svipuð þeim sem er að finna í 112. gr. umferðarlaga eða reglugerð nr. 79/1997, geti þannig ekki orðið stoð fyrir einkarétti.

Skýrr hf. telur að Umferðarstofa réttlæti mismunun á aðgangi samkeppnisaðila hennar að ökutækjaskrá á þeirri forsendu að með því sé verið að tryggja öryggi persónuupplýsinga. Í þessu sambandi vísar Skýrr hf. til þess að árið 1998 hafi verið til skoðunar hjá þáverandi Tölvunefnd tiltekin beiðni um svonefndan kennitöluaðgang að ökutækjaskrá. Vegna þessa erindis hafi Tölvunefnd leitað álits Skráningarstofunnar, þar sem þessa sjónarmiðs var getið með eftirfarandi orðum: "Í þessu samhengi er rétt að taka fram að Skráningarstofan telur að öryggi persónuupplýsinga í ökutækjaskrá sé best tryggt með því að upplýsingamiðlun úr skránni sé á hendi eins aðila sem starfar í nánu samráði við Tölvunefnd." Samkvæmt þessu telji Umferðarstofa sig geta réttlætt brot á 11. gr. samkeppnislaga nr. 8/1993 með því að vísa til laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Skýrr hf. telji aftur á móti að Umferðarstofa geti ekki beitt fyrir sig ákvæðum laga nr. 77/2000 og með þeim réttlætt þau brot á ákvæðum samkeppnislaga sem felast í samningi stofnunarinnar og Skýrr hf. frá 12. febrúar 2003. Jafnframt er tekið fram að Skýrr hf. uppfylli allar kröfur laga nr. 77/2000 til þess að geta miðlað upplýsingum úr ökutækjaskrá til viðskiptavina sinna.

Þá er vikið að samningi Umferðarstofu og Skýrr hf. frá 12. febrúar 2003 um aðgang Skýrr hf. að upplýsingum úr ökutækjaskrá. Telur Skýrr hf. að Umferðarstofa hafi, með því að veita Skýrr hf. heimild til að selja viðskiptavinum sínum aðgang að ökutækjaskrá og setja fram upplýsingarnar eftir eigin höfði, veitt fyrirtækinu stöðu ábyrgðaraðila gagnvart viðskiptavinum sínum. Umferðarstofa fái engar upplýsingar um það hvaða viðskiptavinir Skýrr hf. gera fyrirspurnir í ökutækjaskrá eða hvert efni þeirra fyrirspurna er. Þannig geti Umferðarstofa ekki talist vera ábyrgðaraðili ökutækjaskrár gagnvart viðskiptavinum Skýrr hf. eða rækt það lögbundna ábyrgðar- eða eftirlitshlutverk sem ábyrgðaraðila er falið með lögum nr. 77/2000 gagnvart hinum skráða. Samkvæmt ákvæði 1. gr. fyrrnefnds samnings sé Skýrr hf. í hlutverki ábyrgðaraðila gagnvart sínum viðskiptavinum og ákveði tilgang vinnslu ökutækjaskrár, þann búnað sem notaður er við miðlun á upplýsingum úr skránni, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, sbr. 4. tl. 2. gr. nefndra laga. Þá bendir Skýrr hf. á að samkvæmt tilkynningu nr. 185 frá 4. maí 2001, um vinnslu persónuupplýsinga úr ökutækjaskrá, sé fyrirtækinu skýrlega lýst sem ábyrgðaraðila varðandi þær ráðstafanir sem ábyrgðaraðila ber að gera til að tryggja öryggi upplýsinganna, sbr. 11. gr. laga nr. 77/2000. Þetta komi einnig fram í tilkynningu frá 19. september 2003 um breytingu á fyrrnefndri tilkynningu.

Þá telur Skýrr hf. sig einnig hafa stöðu ábyrgðaraðila á grundvelli samkeppnislaga nr. 8/1993. Samkvæmt þeim beri Umferðarstofu skylda til að veita samkeppnisaðilum aðgang að ökutækjaskrá á jafnræðisgrundvelli og án mismununar. Slíkt verði ekki gert nema samkeppnisaðilar hafi báðir stöðu ábyrgðaraðila, þar sem ella kynni samkeppnisstaða að skekkjast mjög vegna þeirrar samningsstöðu sem ábyrgðaraðili hefði gagnvart vinnsluaðila, m.a. til einhliða uppsagnar á slíkum samningi og allra ákvarðana um starfsemi vinnsluaðila.

Að lokum telur Skýrr hf. miklar líkur vera til þess að rekstur Umferðarstofu á ökutækjaskrá brjóti jafnframt gegn ákvæði 14. gr. samkeppnislaga nr. 8/1993 sé horft til skipurits og uppbyggingar Umferðarstofu.

Í bréfi sínu, dags. 14. október 2003, hafnar Umferðarstofa sjónarmiðum Skýrr hf. um að stofnunin eigi í samkeppni við Skýrr hf. um miðlun upplýsinga úr ökutækjaskrá. Stofnunin veiti öllum upplýsingar úr ökutækjaskrá sem þess óska á grundvelli 1. tl. 3. gr. starfsreglna sinna, þ.á.m. Skýrr hf. Að lokum áréttar Umferðarstofa sjónarmið sitt um að öryggi persónuupplýsinga sé best tryggt með því að upplýsingamiðlun úr ökutækjaskrá eftir kennitölu fari milliliðalaust frá Umferðarstofu, sem ábyrgðaraðila, til þeirra sem fá slíkan aðgang eða áskrift, allt í nánu samráði við Persónuvernd. Ekki verði séð að sú málsmeðferð varði við samkeppnislög nr. 8/1993.

Ágreiningur þessa máls snýst um það hvort Skýrr hf. megi, án samþykkis Umferðarstofu, taka ákvarðanir um tilhögun miðlunar upplýsinga úr ökutækjaskrá til viðskiptavina sinna. Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, með síðari breytingum, gilda lögin um sérhverja rafræna vinnslu persónuupplýsinga. Til að vinnsla teljist rafræn er nóg að einhver þáttur vinnslunnar sé rafrænn. Hugtakið vinnsla er í lögunum skilgreint svo: "Sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn", sbr. 2. tl. 2. gr. laganna. Þannig telst beinlínutenging við ökutækjaskrá, eða aðgangur að upplýsingum úr henni á lokuðum svæðum á Internetinu, vera vinnsla í skilningi laganna. Eins og áður hefur komið fram er ökutækjaskrá skrá yfir nöfn, heimilisföng og kennitölur eigenda og umráðamanna ökutækja, auk þess sem ýmsar upplýsingar um ökutækið sjálft eru þar skráðar, s.s. fastnúmer, skráningarnúmer og verksmiðjunúmer. Þessar upplýsingar teljast vera persónuupplýsingar í skilningi laga nr. 77/2000, en í 1. tl. 2. gr. þeirra er hugtakið persónuupplýsingar skilgreint svo: "Sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi." Með vísan til framangreinds er ljóst að um er að ræða vinnslu persónuupplýsinga í skilningi laga nr. 77/2000 og þar með fellur ágreiningurinn undir úrlausnarvald Persónuverndar.

Samkvæmt 63. gr. umferðarlaga nr. 50/1987 er skylt að skrá ökutæki, sem eru nánar tiltekin í ákvæðinu, áður en þau eru tekin til notkunar. Í a.- lið 64. gr. sömu laga segir að dómsmálaráðherra setji reglur um skráningu ökutækja og eigendur þeirra. Með stoð í þessu ákvæði, auk 60. og 67. gr. laganna, setti dómsmálaráðherra, þann 6. október sl., reglugerð nr. 751/2003 um skráningu ökutækja, sem leysti af hólmi reglugerð nr. 78/1997 sama efnis. Fjallað er um skráningarskyld ökutæki í 1. gr. reglugerðarinnar og er ákvæðið efnislega samhljóða 63. gr. laganna.

Með lögum nr. 83/2002, um breytingu á umferðarlögum nr. 50/1987, var sérstakri ríkisstofnun komið á fót, þ.e. Umferðarstofu, til að annast stjórnsýslu á sviði umferðarmála, sbr. 6. gr. laganna. Í greinargerð sem fylgdi frumvarpi því sem varð að lögum nr. 83/2002 er ákvæðið skýrt svo: "Lagt er til að stofnuð verði sérstök ríkisstofnun er beri heitið Umferðarstofnun. Stofnunin verði undir yfirstjórn dómsmálaráðherra og annist stjórnsýslu eins og nánar er tilgreint í 7. gr. frumvarpsins. Í samræmi við almennar reglur stjórnsýslulaga munu ákvarðanir Umferðarstofnunar sæta kæru til dómsmálaráðuneytisins. [...]"

Í 112. gr. umferðarlaga er hlutverki Umferðarstofu lýst og helstu verkefni hennar tilgreind. Samkvæmt a.-lið ákvæðisins "annast [Umferðarstofa] skráningu ökutækja og aðra umsýslu varðandi skráningu ökutækja, gerð þeirra og búnað." Fjallað er um ökutækjaskrá í 4. gr. fyrrnefndrar reglugerðar nr. 751/2003 og er 1. mgr. ákvæðisins orðuð svo: "Umferðarstofa heldur ökutækjaskrá og annast aðra umsýslu varðandi skráningu ökutækja, gerð þeirra og búnað."

Dómsmálaráðherra hefur sett reglugerð nr. 79/1997 um starfshætti skráningarstofu ökutækja, nú Umferðarstofu, sem m.a. tekur til miðlunar upplýsinga úr ökutækjaskrá. Í 4. mgr. 3. gr. segir eftirfarandi: "Einstaklingum, fyrirtækjum og stofnunum er heimill aðgangur að upplýsingum um einstök ökutæki úr ökutækjaskrá eins og nánar er kveðið á um í starfsreglum skráningarstofu, sem staðfestar skulu af tölvunefnd. Skráningarstofa hefur umsjón með aðgengi að skránni. Miðlun upplýsinga um eigendur og umráðamenn ökutækja er háð leyfi tölvunefndar [nú Persónuverndar]. Opinber birting upplýsinga úr ökutækjaskrá eða miðlun þeirra er óheimil. Þó getur skráningarstofa, að fengnu samþykki tölvunefndar, heimilað slíkt, enda komi þá jafnan fram hvaðan upplýsingarnar eru fengnar." Eins og ráða má af þessu reglugerðarákvæði er Umferðarstofu falið að móta nánar í starfsreglum sínum hvernig hátta eigi miðlun upplýsinga til einstaklinga, fyrirtækja eða stofnana. Þó er tekið fram að opinber birting upplýsinga úr ökutækjaskrá sé óheimil, nema fyrir liggi samþykki tölvunefndar, nú Persónuverndar, og þá sé jafnan getið hvaðan upplýsingarnar eru fengnar.

Í samræmi við nefnt reglugerðarákvæði hefur Umferðarstofa sett sér starfsreglur, dags. 1. apríl 2003, um upplýsingaveitu úr ökutækjaskrá. Samkvæmt 1. tl. 1. gr. þeirra er gert ráð fyrir að Umferðarstofa geti selt uppflettiaðgang að ökutækjaskrá eftir beinlínutengingu. Síðan segir: "Með slíkum uppflettiaðgangi má fletta upp einstöku ökutæki út frá fastnúmeri þess, áletrun á skráningarmerki eða verksmiðjunúmeri og kalla fram á skjá þær upplýsingar um ökutækið sem tilgreindar eru í 4. gr." Samkvæmt því ákvæði eru upplýsingar um nafn, heimilisfang og kennitölu eiganda eða umráðamanns ökutækis háðar takmörkunum. Fjallað er um miðlun upplýsinga um einstaka aðila í 3. gr. starfsreglnanna, en 1. mgr. greinarinnar er svohljóðandi: "Almennt er óheimilt að miðla upplýsingum um eignastöðu einstakra aðila í ökutækjaskrá. Áskrifendum að ökutækjaskrá skal vera ókleift að fletta upp einstökum aðilum eftir nöfnum þeirra eða kennitölum og fá upplýsingar um ökutækjaeign þeirra." Í 3. mgr. er hins vegar heimild til að semja við skattayfirvöld, lögreglu, innheimtumenn ríkissjóðs, og lögmenn, sem lagt hafa fram beiðni um aðför til fullnustu á fjárkröfum, að fletta upp eftir kennitölum í skránni.

Í 4. tl. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er hugtakið ábyrgðaraðili skilgreint sem: "Sá aðili sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna." Í greinargerð sem fylgdi frumvarpinu segir m.a. eftirfarandi til skýringar á ákvæðinu: "Hugtakið er nýtt en er skylt hugtakinu skrárhaldari í gildandi lögum. Hugtakið ábyrgðaraðili á sér fyrirmynd í d-lið 2. gr. tilskipunar ESB og er átt við þann aðila sem hefur ákvörðunarvald um vinnslu persónuupplýsinga, tilganginn með vinnslu þeirra og hvað sá hugbúnaður sem notaður er á að gera. Jafnvel þótt slíkur aðili feli öðrum meðferð upplýsinganna ber hann ábyrgðina, svo fremi sem hann hafi áfram ákvörðunarvaldið. Sá sem vinnur með upplýsingarnar á vegum ábyrgðaraðila er hins vegar nefndur vinnsluaðili. Skilyrði þess að geta talist ábyrgðaraðili er að hafa aðildarhæfi og að geta svarað til saka fyrir tiltekna vinnslu persónuupplýsinga fyrir dómstólum, ef svo ber undir."

Með vísan til ofangreindra ákvæða laga og reglna er Umferðarstofa stjórnvald sem að lögum hefur verið fengið vald til að ákveða hvort, og þá með hvaða hætti, upplýsingum úr ökutækjaskrá sé miðlað til annarra, hvort heldur er til allsherjar- eða einkaréttarlegra aðila, nema ákvæði laga eða reglna setji því skorður. Með vísan til þessa, og að virtum þeim ákvæðum sem um starfssemi Umferðarstofu gilda, telst hún vera ábyrgðaraðili ökutækjaskrár.

Í bréfi Skýrr hf. frá 6. október sl. segir að draga megi þá ályktun af frumvarpi því sem varð að lögum nr. 83/2002 um breytingu á umferðarlögum, að löggjafinn hafi frá upphafi gert ráð fyrir því að hýsing og rekstur tölvu- og upplýsingakerfa mætti fela öðrum aðilum en Umferðarstofu sjálfri. Þessu til stuðnings er m.a. vísað til 2. mgr. 112. gr. umferðarlaga og til 4. mgr. 3. gr. reglugerðar nr. 79/1997 um starfshætti skráningarstofu ökutækja. Umferðarstofu hafi þannig verið heimilt að gera samning við Skýrr hf. um vinnslu persónuupplýsinga úr ökutækjaskrá. Skilja verði samning aðila frá 12. febrúar 2003 á þann veg að með honum hafi Umferðarstofa veitt Skýrr hf. stöðu ábyrgðaraðila, þar sem fyrirtækinu hafi verið veitt heimild til að selja viðskiptavinum sínum aðgang að ökutækjaskrá og setja fram upplýsingarnar eftir eigin höfði, sbr. 1. gr. samningsins. Samkvæmt ákvæði 1. gr. samningsins sé Skýrr hf. í hlutverki ábyrgðaraðila gagnvart sínum viðskiptavinum og geti þannig ákveðið tilgang vinnslunnar, þann búnað sem notaður er við miðlun á upplýsingum úr ökutækjaskrá, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, sbr. 4. tl. 2. gr. nefndra laga.

Eins og bent er á í fyrrgreindu bréfi Skýrr hf. er að finna í 2. mgr. 112. gr. umferðarlaga nr. 50/1987 heimildarákvæði til handa Umferðarstofu til að fela öðrum aðilum framkvæmd þeirra verkefna sem henni eru falin lögum samkvæmt. Það skal þó gert samkvæmt reglum sem dómsmálaráðherra setur eins og áskilið er í ákvæðinu. Reglur um það að hvaða marki Umferðarstofu sé heimilt að fela öðrum aðilum framkvæmd þeirra verkefna, sem tilgreind eru í 1. mgr. 112. gr., hafa ekki enn verið settar af hálfu dómsmálaráðherra. Persónuvernd tekur þó ekki afstöðu til þess hvort skortur á slíkum reglum leiði til þess að Umferðarstofu sé óheimilt að veita öðrum aðila stöðu ábyrgðaraðila varðandi vinnslu persónuupplýsinga úr ökutækjaskrá.

Ætla má að undir vissum kringumstæðum geti ábyrgðaraðili persónuupplýsinga, með samningi, falið öðrum aðila umráð og ábyrgð yfir persónuupplýsingum, að hluta eða öllu leyti. Þetta getur þó, eftir atvikum, verið háð ýmsum skilyrðum, s.s. eðli þeirra persónuupplýsinga sem um er að ræða, að í samningnum sé nákvæmlega tilgreint til hvaða persónuupplýsinga og vinnslu hann nái, að þar sé skýrlega kveðið á um réttarstöðu aðila, þ.e. að ákvörðunarvald yfir vinnslu persónuupplýsinga færist yfir til viðsemjanda, og að efni samningsins geti ekki orðið hinum skráða til tjóns. Þá verður að túlka slíkan samning í ljósi raunverulegrar framkvæmdar hans. Þegar skoðað er efni samnings aðila máls þessa, dags. 12. febrúar 2003, verður ekki fullyrt að hann fullnægi þessum kröfum. Í samningnum er þess hvergi getið berum orðum að Skýrr hf. hafi stöðu ábyrgðaraðila varðandi vinnslu persónuupplýsinga úr ökutækjaskrá. Þá bera ákvæði samningsins ekki með sér að Umferðarstofa hafi fengið Skýrr hf. ákvörðunarvald yfir upplýsingum úr ökutækjaskrá, að öðru leyti en því að fyrirtækinu er heimilað að haga framsetningu upplýsinganna, sem því er heimilt að vinna með, eftir eigin höfði, sbr. 1. gr. samningsins. Þá segir hvergi að Skýrr hf. sé í "hlutverki ábyrgðaraðila gagnvart sínum viðskiptavinum". Sú ábyrgð sem hvílir á ábyrgðaraðila ökutækjaskrár, samkvæmt lögum nr. 77/2000, verður ekki lögð að jöfnu við ábyrgð fyrirtækis gagnvart viðskiptavinum sínum. Hinn skráði nýtur sjálfstæðs réttar samkvæmt lögum nr. 77/2000, og getur ábyrgðaraðili ekki vikið sér undan ábyrgð eða takmarkað skyldur sínar gagnvart hinum skráða með samningi eða yfirlýsingu þar að lútandi.

Þá ber að skoða samninginn í ljósi reglna sem gilda um miðlun upplýsinga úr ökutækjaskrá, sbr. 4. mgr. 3. gr. reglugerðar nr. 79/1997 um starfshætti skráningarstofu ökutækja, sem eru bindandi gagnvart Umferðarstofu og viðsemjendum hennar. Þar segir að einstaklingum, fyrirtækjum og stofnunum sé heimill aðgangur að upplýsingum um einstök ökutæki úr ökutækjaskrá eins og nánar sé kveðið á um í starfsreglum, sem staðfestar skulu af Tölvunefnd, nú Persónuvernd. Þá segir enn fremur að Skráningarstofa, forveri Umferðarstofu, hafi umsjón með aðgangi að skránni. Samkvæmt þessu ber að gera samninga um miðlun upplýsinga úr ökutækjaskrá á grundvelli starfsreglna sem Umferðarstofa setur sér og samþykktar skulu af Persónuvernd. Þessar starfsreglur mynda ramma utan um efni slíkra samninga þar sem í þeim er tiltekið hvaða upplýsingum úr ökutækjaskrá heimilt er að miðla og til hvaða aðila. Þessar starfsreglur, sem samningur aðila frá 12. febrúar 2003 hvílir á, sbr. 5. tl. hans, veita enga leiðsögn um að túlka megi umræddan samning aðila á þá leið, að með honum hafi Skýrr hf. verið veitt staða ábyrgðaraðila ökutækjaskrár.

Í bréfi Skýrr hf., dags. 6. október sl., er því haldið fram að umræddur samningur frá 12. febrúar 2003 brjóti gegn 11. gr. samkeppnislaga nr. 8/1993, þar sem ekki sé skýrlega kveðið á um það í umferðarlögum nr. 50/1987 að Umferðarstofa hafi einkarétt til að miðla upplýsingum úr ökutækjaskrá. Þá er talið að rekstur Umferðarstofu, sé horft til skipurits og uppbyggingar stofnunarinnar, brjóti gegn 14. gr. sömu laga. Persónuvernd er hins vegar ekki bært stjórnvald að lögum til þess að taka afstöðu til þess hvort umræddur samningur brjóti í bága við samkeppnislög nr. 8/1993.

Umferðarstofa hefur vísað til þess, sbr. bréf stofnunarinnar, dags. 29. september sl., að samningur aðila frá 12. febrúar 2003 sé vinnslusamningur í skilningi laga nr. 77/2000 og að samkvæmt 3. mgr. 13. gr. laganna beri vinnsluaðila, þ.e. Skýrr hf., að fara að fyrirmælum Umferðarstofu, ábyrgðaraðila ökutækjaskrár, varðandi vinnslu persónuupplýsinga úr ökutækjaskrá.

Ljóst er að á grundvelli samnings aðila máls þessa, dags. 12. febrúar 2003, er Skýrr hf. heimilt að miðla tilteknum upplýsingum úr ökutækjaskrá innan þess ramma sem ákvarðaður er í 3. tl. samningsins og í 3. gr. starfsreglna Umferðarstofu. Eins og áður er getið fellur miðlun persónuupplýsinga undir hugtakið vinnsla, sbr. 2. tl. 2. gr. laga nr. 77/2000. Því hefur þegar verið slegið föstu að Umferðarstofa hefur ein stöðu ábyrgðaraðila ökutækjaskrár, í skilningi 4. tl. 2. gr. laga nr. 77/2000. Má því fallast á það sjónarmið Umferðarstofu, að með samningi hennar við Skýrr hf., þann 12. febrúar 2003, hafi Skýrr hf. verið veitt staða vinnsluaðila skrárinnar í skilningi 5. tl. 2. gr. laganna. Þar er hugtakið vinnsluaðili skilgreint svo: "Sá sem vinnur persónuupplýsingar á vegum ábyrgðaraðila." Í athugasemdum við þetta ákvæði í greinargerð frumvarpsins kemur fram sá skilningur á hugtakinu að nauðsynlegt sé að vinnslan fari fram fyrir hönd ábyrgðaraðila og sé byggð á vilja hans.

Fjallað er um trúnaðarskyldu vinnsluaðila við meðferð persónuupplýsinga í 13. gr. laga nr. 77/2000. Í 1. mgr. ákvæðisins segir að ábyrgðaraðila sé heimilt að semja við tiltekinn aðila um að annast, í heild eða að hluta, þá vinnslu persónuupplýsinga sem hann ber ábyrgð á samkvæmt ákvæðum laganna. Slíkur samningur skal vera skriflegur og skal þar m.a. koma fram að vinnsluaðila sé einungis heimilt að starfa í samræmi við fyrirmæli ábyrgðaraðila og að ákvæði laganna um skyldur ábyrgðaraðila gildi einnig um þá vinnslu sem vinnsluaðili annast, sbr. 2. mgr. 13. gr. Í 3. mgr. ákvæðisins er nánar vikið að stöðu vinnsluaðila í samningssambandi hans við ábyrgðaraðila, en þar segir eftirfarandi: "Hverjum þeim er starfar í umboði ábyrgðaraðila eða vinnsluaðila, að vinnsluaðila sjálfum meðtöldum, og hefur aðgang að persónuupplýsingum, er aðeins heimilt að vinna með persónuupplýsingar í samræmi við fyrirmæli ábyrgðaraðila nema lög mæli fyrir á annan veg." Tilgangur þessarar reglu er að tryggja að vinnsla persónuupplýsinga af hálfu vinnsluaðila fari ávallt fram í samræmi við vilja ábyrgðaraðila, sbr. það sem áður sagði til skýringar á hugtakinu vinnsluaðili, óháð því hvort vinnslusamningur milli aðila kunni að vera ófullkominn eða óljós um þetta atriði.

Í bréfi Skýrr hf., dags. 6. október sl., er vikið að samstarfi aðila á grundvelli samningsins. Þar segir að Umferðarstofa fái engar upplýsingar um það hvaða viðskiptavinir Skýrr hf. gera fyrirspurnir í ökutækjaskrá eða hvert efni þeirra fyrirspurna er. Þannig geti Umferðarstofa ekki talist ábyrgðaraðili ökutækjaskrár gagnvart viðskiptavinum Skýrr hf. eða rækt það lögbundna ábyrgðar- og eftirlitshlutverk sem ábyrgðaraðila er falið samkvæmt lögum nr. 77/2000.

Um þetta atriði er því til að svara að á vinnsluaðila hvílir sú skylda að vinna eingöngu innan þess ramma sem vinnslusamningurinn setur og í samræmi við ákvæði laga nr. 77/2000, sbr. 2. mgr. 13. gr. Þá ber honum jafnframt skylda til að hlíta einstökum fyrirmælum ábyrgðaraðila varðandi vinnsluna, nema lög mæli fyrir á annan veg, sbr. 3. mgr. 13. gr. Í þessu felst að vinnsluaðili ber sjálfstæða ábyrgð á því að sú vinnsla persónuupplýsinga sem fram fer á hans vegum sé hvort tveggja málefnaleg og lögmæt og í samræmi við þær kröfur sem gerðar eru til öryggis persónuupplýsinganna, sbr. lög nr. 77/2000 og reglur nr. 299/2001 sem settar hafa verið með stoð í þeim.

Með vísan til framangreinds, og að því gættu að ábyrgð vinnsluaðila er í eðli sínu ekki sambærileg við stöðu ábyrgðaraðila í skilningi 4. tl. 2. gr. laga nr. 77/2000, jafnvel þótt sá síðarnefndi vanræki skyldur sínar samkvæmt lögunum, verður ekki fallist á framangreint sjónarmið Skýrr hf.

Í samræmi við framangreint ber Skýrr hf. á grundvelli 3. mgr. 13. gr. laga nr. 77/2000 að fara að lögmætum fyrirmælum Umferðarstofu varðandi vinnslu persónuupplýsinga úr ökutækjaskrá. Skýrr hf. er því óheimilt að veita viðskiptavinum sínum aðgang að upplýsingum úr ökutækjaskrá eftir kennitöluuppflettingu í samræmi við fyrirmæli Umferðarstofu þess efnis.

Umferðarstofa er ábyrgðaraðili ökutækjaskrár og ber Skýrr hf., sem vinnsluaðila ökutækjaskrár, að hlíta lögmætum fyrirmælum Umferðarstofu varðandi vinnslu persónuupplýsinga úr skránni.