Bakgrunnsathugun Siglingastofnunar

23.6.2011

Álit

Hinn 10. maí 2011 veitti Persónuvernd svohljóðandi álit í máli nr. 2010/1051:

I.
Bréfaskipti
1.
Almennt
Vísað er til fyrri bréfaskipta af tilefni erindis J hrl., dags. 12. nóvember 2010, sendu f.h. umbjóðanda hans, Félags skipstjórnarmanna. Í bréfinu er óskað álits Persónuverndar á því hvort framkvæmd og beiting Siglingastofnunar á 7. mgr. 4. gr. laga nr. 50/2004 um siglingavernd samrýmist ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Í ákvæðinu er mælt fyrir um heimild stofnunarinnar, að fengnu skriflegu samþykki viðkomandi einstaklings, til að afla upplýsinga úr skrám lögreglu og um sakaferil vegna mats á hæfi til að vinna með trúnaðarupplýsingar um öryggismál í starfi í þágu siglingaverndar.

Í bréfi lögmannsins segir m.a.:

„Í lagaákvæðinu er ekki að finna neina vísireglu í hvaða tilvikum heimildarákvæði þessu, til skoðunar viðkvæmra persónuupplýsinga, skuli og megi beita. Það er mat félagsins, að í ljósi meðalhófsreglu stjórnsýsluréttarins og hinna viðkvæmu persónuupplýsinga sem verið er að skoða, verði að liggja fyrir mjög skýrar og afmarkaðar reglur um það, í hvaða tilvikum heimilt sé að beita þessari heimild og í hvaða tilvikum umsækjandi telst vera hæfur til að vinna með „trúnaðarupplýsingar um öryggismál í starfi í þágu siglingaverndar“. Meðfylgjandi viðmiðunarreglur SÍ uppfylla ekki þessi skilyrði að mati FS. Eru reglurnar ekki þannig úr garði gerðar, að þær tryggi að áðurnefnd bakgrunnsskoðun sé hverju sinni þörf, málefnaleg og sanngjörn, þannig að hagsmunir viðkomandi einstaklinga séu ekki fyrir borð bornir.

SÍ hefur krafið félagsmenn FS um bakgrunnsupplýsingar, með vísan til 7. mgr. 4. gr. laga nr. 50/2004, vegna svokallað SO námskeiðs, sem margar útgerðir krefjast að skipstjórnarmenn á þeirra vegum sæki. Upplýsingar um þetta SO námskeið eru meðfylgjandi bréfi þessu, í formi útprentunar af heimasíðu SÍ. Að mati FS ber ekki ekki að beita umræddu heimildarákvæði, sem er í eðli sínu íþyngjandi fyrir þann sem í hlut á, nema sérstök ástæða sé til. Að því er FS fær best vitað er þessu heimildarákvæði beitt undantekningarlaust, þegar sótt er um leyfi til að vera verndarfulltrúi, í kjölfar SSO námskeiðsins.“

Einnig er í bréfinu vikið að tveimur tilvikum þar sem félagsmenn í Félagi skipstjórnarmanna hafa þurft að undirgangast umrædda bakgrunnsathugun án þess að þeir eða félagið hafi talið á henni þörf. Hjálögð með bréfinu eru afrit af bréfaskiptum varðandi annað þessara tilvika. Þar kemur fram að Siglingastofnun hafi borist þær upplýsingar frá Ríkislögreglustjóra að hlutaðeigandi einstaklingur hefði sæst á að greiða 177.000 kr. sekt í mars 2007 á grundvelli 1. mgr. 169. gr. og 1. mgr. 170. gr. tollalaga nr. 88/2005. Þá kemur fram í bréfi frá Siglingastofnun að þetta brot sé ekki þess eðlis að ekki sé unnt að gefa út verndarfulltrúaskírteini fyrir viðkomandi.

Með bréfi lögmannsins eru einnig hjálagðar ódagsettar viðmiðunarreglur Siglingastofnunar Íslands varðandi bakgrunnsathugun einstaklinga, en nánar verður vikið að efni þeirra hér á eftir.

Í niðurlagi bréfs lögmannsins segir:

„Með vísan til framangreinds er þess hér með óskað fyrir hönd FS, að Persónuvernd taki til skoðunar hvort framkvæmd og beiting SÍ á heimildarákvæði 7. mgr. 4. gr. laga nr. 50/2004, sbr. viðmiðunarreglur SÍ varðandi bakgrunnsathugun einstaklinga, og meðferð og vinnslu þeirra upplýsinga sem aflað er í því skyni, samræmist ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.“

Með bréfi, dags. 27. janúar 2011, ítrekuðu með bréfi, dags. 24. febrúar s.á., var Siglingastofnun Íslands veittur kostur á að tjá sig um framangreint erindi. Hún svaraði með bréfi, dags. 19. febrúar 2011. Þar segir:

„Þann 1. júlí 2004 tóku gildi alþjóðareglur um siglingavernd. Í þeim alþjóðareglum skyldi fela einstaklingum sem hefðu öðlast þekkingu á sviði öryggismála ábyrgð á hafnaraðstöðum, farþegaskipum og flutningaskipum sem væru yfir ákveðinni stærð. Þessir einstaklingar voru kallaðir verndarfulltrúar skipa (Ship Security Officer) og verndarfulltrúar fyrirtækis (Company Security Officer) annars vegar og hins vegar verndarfulltrúar hafnaraðstöðu (Port Facility Security Officer). Farið var fram á að þeir sem gegndu slíkri stöðu væri treyst til að fara með öryggismál. Þessir aðilar geta m.a. þurft að hafa víðtækt samstarf við lögreglu, tollgæslu og aðra opinbera aðila. Því var lögð áhersla á að þeim væri treystandi fyrir meðferð trúnaðarupplýsinga í þágu siglingaverndar.

Í 7. mgr. 4. gr. laga nr. 50/2004 er Siglingastofnun Íslands veitt heimild til að óska eftir því að ríkislögreglustjóri geri svonefnda bakgrunnsathugun á þeim sem koma til með að vinna með trúnaðarupplýsingar um öryggismál í starfi í þágu siglingaverndar, að fengnu skriflegu samþykki viðkomandi einstaklings. Sambærileg ákvæði er að finna í reglugerð um flugvernd nr. 361/2005. Frá því að þessi lög tóku gildi hefur Siglingastofnun haldið fjölda námskeiða fyrir verndarfulltrúa skipa, fyrirtækja og hafna og hefur ávallt verið gerð krafa um bakgrunnsathugun viðkomandi einstaklinga.

Talið er nauðsynlegt að þeir sem gegna starfi verndarfulltrúa og hafa þar með víðtækari upplýsingar um öryggismál skips eða hafnaraðstöðu þurfi að geta notið trausts opinberra aðila. Siglingastofnun hefur í samvinnu við ríkislögreglustjóra mótað ákveðnar viðmiðunarreglur sem greiningardeild ríkislögreglustjóra fer eftir þegar hún leggur mat á hvort einstaklingur sé hæfur til að gegna trúnaðarstörfum í þágu siglingaverndar.

Það er hlutverk Ríkislögreglustjóra að meta hæfi þeirra einstaklinga sem vilja starfa sem verndarfulltrúi skips eða hafnar og hvort þeir uppfylla þær kröfur sem til þeirra eru gerðar. Siglingastofnun fær síðan staðfestingu um hvort viðkomandi uppfylli kröfur til að fá slíkt skírteini áður en námskeið eru haldin en þau eru forsenda þess að geta fengið skírteini verndarfulltrúa skips.“

Með bréfi, dags. 8. mars 2011, var fyrrnefndum lögmanni veittur kostur á að tjá sig um framangreint bréf Siglingastofnunar Íslands. Hann svaraði með bréfi, dags. 8. mars 2011. Þar segir:

„Svarbréf Siglingastofnunar gefur ekki tilefni til sérstakra andsvara. Að mati Félags skipstjórnarmanna er ekki mikið um svör í bréfi Siglingastofnunar, einkum söguleg yfirferð varðandi þessa svokölluðu bakgrunnsskoðun.
 
Félagið áréttar hér þá afstöðu þess, að í ljósi þeirra hagsmuna sem í húfi eru, eigi einvörðungu sérstakar skilgreindar ástæður/aðstæður að geta leitt til þess að umræddu heimildarákvæði sé beitt. Þurfi að vera skilmerkilega skilgreint í lögunum í hvaða tilvikum heimilt sé að láta slíka bakgrunnsskoðun fara fram og í hvaða tilvikum heimilt sé að synja skipstjórnarmönnum um leyfi til að vera verndarfulltrúi skipa, enda leiðir slík synjun, að mati félagsins, án undantekninga til þess að viðkomandi skipstjórnarmanni er ekki gert kleift að vinna við það starf sem hann gegnir eða honum býðst, og hann er menntaður til að gegna. Þessar skilgreindu og skýrt afmörkuðu heimildir og takmarkanir er ekki að finna í lögum nr. 50/2004.“

2.
Viðmiðunarreglur Siglingastofnunar
Í framangreindum viðmiðunarreglum Siglingastofnunar Íslands varðandi bakgrunnsathugun einstaklinga, sem hjálagðar voru með bréfi umrædds lögmanns, dags. 12. nóvember 2010, segir:

„Vinnuregla greiningardeildar ríkislögreglustjóra er að skoða hvort viðkomandi sé talinn hafa eða hafi brotið af sér s.l. 5 ár.

Ef viðkomandi hefur komist á skrá lögreglu fyrir brot s.l. 5 ár þá getur hann átt von á því að vera ekki talinn hæfur, að vísu fer það eftir eðli og umfangi brota og hvort hann eigi sér málsbætur. Ef viðkomandi hefur komist á skrá lögreglu fyrir meiriháttar brot þó liðin séu meira en 5 ár frá broti þá getur hann á sama hátt átt von á því að vera ekki talinn hæfur.

Hafi viðkomandi fengið fangelsisrefsingu eða brotið ítrekað af sér s.l. 5 ár þá getur hann átt von á því að vera talinn óhæfur.

Ef viðkomandi hefur verið dæmdur til greiðslu sektar sem nemur 50.000 kr. eða meira getur hann einnig átt von á því að vera talinn óhæfur.

Eigi einstaklingur ófrágengin máli í réttarvörslukerfinu, sem geta leitt til ákæru, getur viðkomandi á sama hátt átt von á því að vera ekki talinn hæfur, a.m.k. þangað til búið er að afgreiða málið.“

II.
Álit Persónuverndar
1.
Gildissvið
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

2.
Heimild til vinnslu
Upplýsingar um það hvort maður hafi verið grunaður um refsiverðan verknað eru viðkvæmar persónuupplýsingar, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000. Svo að vinna megi með slíkar upplýsingar verður að vera fullnægt einhverju skilyrðanna fyrir vinnslu slíkra upplýsinga í 9. gr. sömu laga. Þá verður, eins og endranær við vinnslu persónuupplýsinga, að vera fullnægt einhverju skilyrðanna í 8. gr. laganna.

Í 2. tölul. 1. mgr. 9. gr. er mælt fyrir um að vinnsla viðkvæmra persónuupplýsinga sé heimil ef til hennar standi sérstök lagaheimild. Þá segir í 6. tölul. 1. mgr. 8. gr. að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg við beitingu opinbers valds sem sá sem vinnur með upplýsingarnar fer með.

Í 7. mgr. 4. gr. laga nr. 50/2004 um siglingavernd segir:

„Siglingastofnun Íslands er heimilt, að fengnu skriflegu samþykki viðkomandi einstaklings, að leita til ríkislögreglustjóra um athugun á viðkomandi í skrám lögreglu og öflun upplýsinga um sakaferil til þess að grundvalla mat um hæfi til þess að vinna með trúnaðarupplýsingar um öryggismál í starfi í þágu siglingaverndar.“

Þegar litið er til framangreinds ákvæðis laga nr. 50/2004, sem og fyrrnefndra ákvæða laga nr. 77/2000, telur Persónuvernd heimild standa til þess að gerðar séu bakgrunnsathuganir þegar um ræðir störf þar sem slík athugun reynist nauðsynleg. Þau störf, sem það getur átt við um, eru störf verndarfulltrúa íslenskra skipa, útgerða og hafnaraðstöðu, sbr. c-lið 2. mgr. 4. gr. laga nr. 50/2004.

3.
Grunnkröfur 7. gr. – Ábyrgð á vinnslu
Við framkvæmd slíkra athugana, sem hér um ræðir, verður að fara að öllum grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 eins og ávallt við vinnslu persónuupplýsinga. Þar er m.a. mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og á þann veg að öll meðferð þeirra samrýmist vönduðum vinnsluháttum persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum (4. tölul.).

Í framangreindum grunnkröfum felst í stuttu máli að við vinnslu persónuupplýsinga skal gæta meðalhófs og að slíkar upplýsingar skulu vera sem réttastar. Í skrám lögreglu eru skráðar ýmsar upplýsingar sem geta verið matskenndar og óáreiðanlegar, s.s. um meinta hlutdeild manna í tilteknum brotum. Skráning slíkra upplýsinga kann að vera nauðsynleg í tengslum við rannsókn mála og má þá líta á þær sem vinnugögn lögreglu. Ríkir hagsmunir eru af því að slíkar upplýsingar séu ekki nýttar í öðrum og ósamrýmanlegum tilgangi, enda getur það leitt til þess að einstaklingar verði fyrir tjóni að ósekju.

Að þessu verður að gæta við framkvæmd umræddra athugana. Þá verður að líta til þess að staðfestar upplýsingar í skrám lögreglu um að menn hafi gerst sekir um tiltekin brot, t.d. gengist undir sektargreiðslu, kunna að vera þess eðlis að þær hafi ekki vægi við mat á hæfi til starfa í þágu siglingaverndar.

Í bréfi Siglingastofnunar Íslands til Persónuverndar, dags. 19. febrúar 2011, segir að það sé hlutverk Ríkislögreglustjóra að meta hæfi þeirra einstaklinga sem vilja starfa sem verndarfulltrúi skips eða hafnar og hvort þeir uppfylla þær kröfur sem til þeirra eru gerðar. Þess má hins vegar geta að frá Jónasi Þór Jónassyni hrl. hafa borist gögn sem virðast benda til þess að Siglingastofnun viðhafi sjálf þetta hæfismat, a.m.k. að hluta til. Má þar nefna afrit af bréfi stofnunarinnar, dags. 1. febrúar 2010, til umsækjanda um verndarfulltrúaskírteini þar sem greint er frá öflun upplýsinga frá Ríkislögreglustjóra um að viðkomandi hafi gengist undir tiltekna sektargreiðslu. Með vísan til þess segir í bréfinu að bakgrunnsathugun Ríkislögreglustjórembættisins kunni að leiða til þess að ekki verði hægt að gefa út umrætt skírteini. Þá segir að áður en Siglingastofnun taki ákvörðun í málinu sé veittur kostur á andmælum.

Lög nr. 50/2004 eru ekki skýr um það hver viðhafi umrætt hæfismat. Samkvæmt 1. mgr. 4. gr. laganna fer Siglingastofnun Íslands með framkvæmd siglingaverndar, ásamt ýmsum öðrum aðilum, þ. á m. Ríkislöglreglustjóra. Þá verður ráðið af 4. gr. að Siglingastofnun fari með meginhluta eftirlitsins en önnur stjórnvöld að því marki sem sérstaklega er tilgreint í lögunum eða þegar Siglingastofnun felur þeim það sérstaklega, sbr. 2. mgr. 4. gr.

Af þessu verður ráðið að Siglingastofnun sé til þess bær að ákveða viðmið um hvenær einstaklingur telst hæfur til að fá útgefið skírteini verndarfulltrúa. Í því felst jafnframt að Siglingastofnun gegnir stöðu ábyrgðaraðila að vinnslu persónuupplýsinga í því sambandi, sbr. 4. tölul. 2. gr. laga nr. 77/2000. Þar segir að ábyrgðaraðili sé sá sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Tekið er fram í 2. mgr. 7. gr. laganna að ábyrgðaraðili beri ábyrgð á því að ávallt sé farið að áðurnefndum grunnkröfum 1. mgr. sömu greinar.

Fyrir liggur að Siglingastofnun hefur sett viðmiðunarreglur varðandi bakgrunnsathugun einstaklinga. Þar kemur fram að sektargreiðslur, sem nema meira en 50.000 kr., geta leitt til þess að viðkomandi teljist ekki hæfur til að skipa stöðu verndarfulltrúa. Þá verður ráðið af viðmiðunarreglunum að fangelsisrefingar og ítrekuð brot á síðustu fimm árum geti haft slíkt í för með sér. Að auki geti sama niðurstaða almennt hlotist af upplýsingum sem færðar hafa verið á skrár lögreglu á sama tímabili. Tekið er fram að ófrágengin mál, sem geti leitt til ákæru, geti fallið þar undir, en heimild til athugunar upplýsinga afmarkast þó ekki við slík mál.

4.
Niðurstaða
Ákvæði 7. mgr. 4. gr. laga nr. 40/2004 felur í sér heimild til að láta fara fram bakgrunnsathugun á þeim sem sækja um að vera vera verndarfulltrúar íslenskra skipa, útgerða og hafnaraðstöðu. Þar sem um heimildarákvæði er að ræða hefur Siglingastofnun svigrúm til mats um það hvort slík athugun fer fram, en auk þess getur Siglingastofnun metið hversu víðtæk athugunin þarf að vera. Við slíkt mat verður Siglingastofnun að fara að grunnkröfum 7. gr. laga nr. 77/2000 um sanngirni, meðalhóf og áreiðanleika við vinnslu persónuupplýsinga.

Umræddar viðmiðunarreglur eru mjög almennar. Til að fara að þessum grunnkröfum telur Persónuvernd nauðsynlegt að sett séu skýrari viðmið um hvaða brot séu þess eðlis að haft geti áhrif á ákvörðun um skipun verndarfulltrúa, sem og í hvaða tilvikum upplýsingar úr málaskrá lögreglu geti skipt máli í því sambandi. Í því felist jafnframt að upplýsinga sé ekki aflað nema þær lúti að þeim atriðum sem talið er að hafi vægi við umrætt mat. Með vísan til 1. mgr. 40. gr. laga nr. 77/2000 leggur Persónuvernd því fyrir Siglingastofnun Íslands að endurskoða umræddar viðmiðunarreglur í ljósi framangreindra sjónarmiða.


Á l i t s o r ð:

Viðmiðunarreglur Siglingastofnunar Íslands varðandi bakgrunnsathugun einstaklinga samkvæmt 7. mgr. 4. gr. laga nr. 40/2004 um siglingavernd hafa ekki að geyma nægilega skýra afmörkun á heimild til upplýsingaöflunar, sbr. grunnkröfur 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Lagt er fyrir Siglingastofnun að endurskoða viðmiðunarreglurnar þannig að afmörkun á framangreindu verði skýrari.