Birting kennitölu á spjallvef

31.5.2006

Hinn 15. desember 2004 kvað Persónuvernd upp svofelldan úrskurð í máli nr. 2004/158:

Hinn 15. mars 2004 barst Persónuvernd tölvupóstur frá G þar sem segir að nafni hans, kennitölu og heimilisfangi hafi verið dreift á Netinu án hans samþykkis. Er óskað eftir því að Persónuvernd skerist í málið fyrir hann og úrskurði um hvort heimilt hafi verið að nota upplýsingar úr þjóðskrá með þessum hætti.

Nánari atvik, eins og þeim er lýst í tölvupóstinum, eru eftirfarandi: Alnafni G hafi birt lesendabréf í DV þar sem m.a. hafi verið fjallað um spjallvefinn X. Eftir útkomu blaðsins hafi mikil umræða hafist á vefnum um málið og t.d. verið safnað saman, úr þjóðskrá, upplýsingum um alla þá sem hétu G, þ.e. nafni, kennitölu og heimilisfangi. Erfitt sé að vita hver hafi birt upplýsingarnar þar sem flestir þeir sem tjái sig á vefnum noti dulnefni, þ. á m. ábyrgðarmaður vefsins.

Nokkru nánari lýsingu á atvikum málsins er að finna í grein eftir G sem birtist í Fréttablaðinu hinn 18. mars 2004. Kemur þar fram að tilgangur birtingar umræddra upplýsinga sé sá að sýna fram á að haft hafi verið samband við alla með framangreindu nafni og að þeir hafi allir staðfest að hafa ekki skrifað umrædda grein.

Til að komast að því hver ábyrgðarmaður X væri kannaði Persónuvernd skráningu um vefinn á heimasíðu "Network Solutions" (www.networksolutions.com) þar sem finna má upplýsingar um ábyrgðarmenn vefsíða með slóðir sem enda á ".com". Kemur þar fram að S er skráður fyrir umræddri vefsíðu. Í ljósi þess bauð Persónuvernd honum, með bréfi, dags. 4. maí 2004, að tjá sig um erindi G.

S svaraði með bréfi, dags. 14. júlí 2004. Þar kemur fram að hann telur sig ekki ábyrgan fyrir ummælum sem koma fram á heimasíðunni X, m.a. þar sem hún sé vistuð í Bandaríkjunum. Þá segir að þegar umræddar upplýsingar um G hafi verið birtar á heimasíðunni hafi Þjóðskráin verið opin öllum á Netinu og því auðvelt að nálgast upplýsingar um kennitölur fólks. Nú sé hún lokuð og því ætti svona mál ekki að koma aftur upp. Málsmeðferð hjá Persónuvernd ætti að taka tilliti til þeirra breyttu aðstæðna sem nú séu uppi.

Með bréfi, dags. 8. október 2004, var G boðið að tjá sig um þetta svar S. G svaraði með tölvupósti hinn 12. október 2004. Þar er m.a. mótmælt þeirri afstöðu S að hann sé ekki ábyrgur fyrir því efni sem birtist á X þar sem sá vefur sé hýstur í útlöndum. Hverjum manni sé ljóst að þessi spjallvefur sé ætlaður Íslendingum, enda sé hann á íslensku. Þá þurfi ekki að skoða vefinn lengi til að sjá að hann fjalli fyrst og fremst um það sem efst sé á baugi í íslensku þjóðlífi.

Auk framangreinds segir m.a. að því sé vísað á bug að ekki hafi þurft að fara eftir þeim reglum sem gildi um meðferð upplýsinga úr þjóðskrá vegna þess að hún hafi verið opin almenningi á Netinu. Aðgangur að þjóðskrá sé eitt og dreifing efnis úr henni annað. Í ljósi þess eigi ekki að taka tillit til þess að skráin sé ekki jafnaðgengileg og áður var.

Með bréfi, dags. 19. október 2004, var S boðið að tjá sig um sjónarmið G. Frestur til þess var veittur til 3. nóvember 2004. Svar hefur ekki borist.

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að í því að birta umræddar þjóðskrárupplýsingar um G á heimasíðunni X fólst vinnsla persónuupplýsinga í framangreindum skilningi. Samkvæmt því fellur mál þetta undir efnislegt gildissvið laga nr. 77/2000.

Auk þess sem mál þarf að falla undir efnislegt gildissvið þeirra laga, svo að það eigi undir valdsvið Persónuverndar, verður það einnig að falla undir landfræðilegt gildisvið laganna. Í 6. gr. þeirra er hið landfræðlega gildissvið skilgreint. Samkvæmt 1. mgr. þeirrar greinar gilda lögin m.a. um vinnslu persónuupplýsinga á vegum þess sem hefur staðfestu hér á landi, enda fari vinnsla persónuupplýsinganna fram á Evrópska efnahagssvæðinu, í aðildarríki stofnsamnings Fríverslunarsamtaka Evrópu eða í landi eða á stöðum sem Persónuvernd auglýsir í Stjórnartíðindum. Sú vinnsla, sem hér um ræðir, fer fram innan Evrópska efnahagssvæðisins að því marki að heimasíðunni X, þar sem upplýsingarnar eru birtar, er stýrt af hérlendum einstaklingi, þ.e. S. Er ljóst að atbeini hans er nauðsynlegur til viðhalds síðunnar og að ef ekki væri fyrir athafnir hans, s.s. uppsetningu heimasíðunnar, væri ekki unnt að færa inn á hana persónuupplýsingar. Þar sem S hefur staðfestu hér á landi, þ.e. hann hefur hér lögheimili, sbr. 1. mgr. 2. gr. laga nr. 21/1990 um það efni, fellur mál þetta því undir landfræðilegt gildissvið laga nr. 77/2000.

Þær skyldur, sem lög nr. 77/2000 fela í sér, hvíla á ábyrgðaraðila að vinnslu slíkra upplýsinga, þ.e. þeim "sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna", sbr. 4. tölul. 2. gr. laganna . Það hvort S geti talist bera ábyrgð á birtingu nafns, kennitölu og heimilisfangs G á vefsíðunni X fer því eftir því hver sé ábyrgðaraðili að þeirra vinnslu í framangreindum skilningi.

Ljóst er að S getur ekki borið ábyrgð á þeirri ákvörðun annars manns, sem ekki kaus að nafngreina sig, að færa umræddar upplýsingar inn og er þar af leiðandi ekki ábyrgðaraðili að þeirri vinnslu. Persónuvernd telur hins vegar öðru máli gegna um þá ákvörðun að láta þessar upplýsingar standa á vefsíðunni. S getur sem vefstjóri tekið þær út. Kjósi hann að gera það ekki tekur hann um leið ákvörðun þess efnis sem getið er í 4. tölul. 2. gr. laga nr. 77/2000. Af því leiðir að hann er ábyrgðaraðili að þeirri vinnslu að hafa umræddar upplýsingar aðgengilegar á vefsíðunni X.

Hvað varðar birtingu á nafni G á þessari vefsíðu verður að líta til þess að upplýsingar um nöfn manna verður að telja mjög almenns eðlis. Þá verður, hvað varðar birtingu heimilisfangs hans á vefsíðunni, að líta til þess að það er einnig birt í símaskránni og að ekki hefur komið fram að hann sé andvígur þeirri birtingu. Í ljósi grundvallarreglu 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu, sem hefur lagagildi hér á landi, sbr. 1. gr. laga nr. 62/1994, er því ekki unnt að fullyrða að birting nafns G og heimilisfangs samrýmist ekki kröfum laga nr. 77/2000.

Við mat á því hvort birting kennitölu G samrýmist þessu ákvæði verður hins vegar að líta til 10. gr. laga nr. 77/2000 þar sem kveðið er á um að notkun kennitölu sé heimil eigi hún sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu. Í því tilviki, sem hér um ræðir, verður að ætla að heimilisfang hafi dugað til öruggrar persónugreiningar, enda aðeins um þrjá einstaklinga að ræða sem búa hver á sínum stað.

Samkvæmt þessu er niðurstaða Persónuverndar sú að birting kennitölu G á vefsíðunni X samrýmist ekki kröfum 10. gr. laga nr. 77/2000. Í seinni hluta þeirrar greinar er Persónuvernd heimilað að banna notkun kennitölu. Með vísan til þess er hér með lagt fyrir vefstjóra X, S, að taka kennitölu G út af vefnum.

S, vefstjóri vefsvæðisins X, skal taka kennitölu G, þ.e. málshefjanda í máli þessu, út af vefsvæðinu