Eyðing upplýsinga úr Eurodac-gagnagrunni

20.1.2012

Ákvörðun

um eyðingu upplýsinga um fingraför úr Eurodac-gagnagrunninum

og mótun verklags þar að lútandi

Hinn 17. janúar 2012 tók stjórn Persónuverndar eftirfarandi ákvörðun í máli nr. 2011/1346:

I.
Bréfaskipti
1.
Persónuvernd vísar til fyrri samskipta við ríkislögreglustjóra og Útlendingastofnun varðandi eyðingu upplýsinga úr Eurodac-gagnagrunninum sem hefur að geyma upplýsingar um fingraför hælisleitenda, ólöglegra innflytjenda og þeirra sem handteknir eru í tengslum við ólöglega för yfir landamæri Schengen-svæðisins, þ.e. svonefnd ytri landamæri, og er ekki vísað frá. Nánar tiltekið lúta samskiptin að eyðingu upplýsinga þegar umsækjandi um hæli öðlast ríkisborgararétt í einhverju af þeim ríkjum sem aðgang hafa að Eurodac, sem og þegar sá sem handtekinn er í tengslum við ólögmæta för yfir ytri landamæri er farinn af yfirráðasvæði umræddra ríkja eða hefur hlotið ríkisborgararétt í einhverju þeirra.

Umrædd samskipti áttu sér stað vegna könnunar sem lögð var fyrir af persónuverndaryfirvöldum í öllum þeim ríkjum sem notast við gagnagrunninn. Yfirumsjón með framkvæmd könnunarinnar var í höndum Evrópska persónuverndarfulltrúans (European Data Protection Supervisor (EDPS)). Upplýsinga var aflað hér á landi með símtölum við starfsmenn Ríkislögreglustjóra og Útlendingastofnunar hinn 30. nóvember 2011 sem sama dag fengu einnig sendan spurningalista með tölvubréfi. Aftur var haft samband símleiðis við framangreindar stofnanir hinn 6. desember s.á., auk þess sem þá var aflað upplýsinga um tiltekið atriði frá innanríkisráðuneytinu. Útlendingastofnun sendi auk þess skrifleg svör við spurningalistanum þennan dag. Persónuvernd sendi niðurstöður úr könnuninni til EDPS hinn 7. desember 2011.

Niðurstöður könnunarinnar hér á landi voru þær að upplýsingum hefði ekki verið eytt þrátt fyrir fyrirmæli þar að lútandi sem rakin eru í II. kafla hér á eftir. Eins og þar kemur fram er ástæða þess m.a. sú að skort hefur á miðlun upplýsinga frá Útlendingastofnun til Ríkislögreglustjóra um þau atvik sem leiða eiga til eyðingar.

Með bréfi til Útlendingastofnunar og Ríkislögreglustjóra, dags. 5. janúar 2011, vísaði Persónuvernd til framangreindra niðurstaðna og veitti kost á athugasemdum fyrir 13. s.m. Svör hafa ekki borist.

2.
Vakin er athygli á því að eyðingu upplýsinga, sem skráðar eru í Eurodac-gagnagrunninn, hefur áður borið á góma, þ.e. vegna úttektar á tilteknum þáttum í vinnslu upplýsinga í gagnagrunninum sem fram fór árið 2007 (mál nr. 2007/140). Í 3. tölul. í niðurlagskafla í niðurstöðu úttektarinnar segir:

„Æskilegt er að ríkislögreglustjóraembættið og Útlendingastofnun komi sér upp skýru verklagi um samskipti sín á milli sem tryggja að þegar upplýsingar liggja fyrir um að hælisleitandi hafi hlotið ríkisborgararétt eða að útlendingur sem handtekinn hefur verið í tengslum við ólöglega för yfir ytri landamæri hafi fengið dvalarleyfi, farið af yfirráðasvæði aðildarríkjanna eða fengið ríkisborgararétt í einhverju aðildarríkjanna, verði óskað eftir eyðingu upplýsinga um þá úr Eurodac.“

Í kjölfar úttektarinnar kannaði Persónuvernd hvernig brugðist hefði verið við niðurstöðum hennar. Í tengslum við þá athugun (mál nr. 2007/848 og nr. 2008/466) barst Persónuvernd tölvubréf frá Ríkislögreglustjóra, þ.e. hinn 5. mars 2008, en þar segir m.a.:

„Eins og fram kemur í umsögn persónuverndar berast RLS ekki upplýsingar um hverjir fá ríkisborgararétt í aðildarlöndum Evrópusambandsins eða Noregi. Auðvelt ætti að vera að verða við tilmælunum varðandi þá sem fá ríkisborgararétt eða tilskilin leyfi hér á landi. Lagt er til að útlendingastofnun tilkynni alþjóðadeild RLS um slík leyfi og óski jafnframt eftir að gögnum um viðkomandi sé eytt úr Eurodac. Farið verður yfir þetta á mánaðarlegum samráðsfundum.“

Með bréfi, dags. 24. september 2008, greindi Persónuvernd frá því að með þessu verklagi yrði farið að tilmælum stofnunarinnar um að séð yrði til þess að upplýsingum yrði eytt úr Eurodac-gagnagrunninum í samræmi framangreind ákvæði reglugerðar nr. 53/2003.

II.
Niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Reglugerð nr. 53/2003 um útlendinga, sem hefur að geyma ákvæði um eyðingu upplýsinga úr Eurodac-gagnagrunninum, er sett með stoð í lögum nr. 96/2002 um útlendinga. Í 55. gr. þeirra laga er að finna ákvæði um vinnslu persónuupplýsinga við framkvæmd laganna. Segir þar m.a. að um slíka vinnslu fari eftir lögum nr. 77/2000.

Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

2.
Um Eurodac-gagnagrunninn er fjallið í 68. gr. reglugerðar nr. 53/2003, sbr. 4. og 5. mgr. 29. gr. og 58. gr. laga nr. 96/2002. Ákvæði reglugerðarinnar um gagnagrunninn byggjast á reglugerð Ráðs Evrópubandalagsins nr. 2000/2725/EB um stofnun Eurodac til að bera saman fingraför í því skyni að stuðla að skilvirkri beitingu Dyflinnarsamningsins frá 15. júní 1990, sbr. samning frá 19. janúar 2001 milli Evrópubandalagsins, Íslands og Noregs um viðmiðanir og fyrirkomulag við að ákvarða hvaða ríki skuli fara með beiðni um hæli sem lögð er fram í samningsríki.

Samkvæmt 6. gr. reglugerðar nr. 2000/2725/EB skulu upplýsingar í Eurodac fingrafaragagnagrunninum eyðast út sjálfkrafa þegar tíu ár eru liðin frá töku fingrafara. Í ákveðnum tilvikum skal þó upplýsingum eytt fyrr, sbr. 7. og 10. gr. sbr. einnig 6.–8. mgr. 68. gr. reglugerðar nr. 53/2003, en þar segir:

„Ríkislögreglustjóra ber að senda miðeiningu Eurodac tilmæli um að læsa upplýsingum um umsækjanda um hæli sem hefur verið skráður samkvæmt upplýsingum frá ríkislögreglustjóra ef sá maður er viðurkenndur flóttamaður og hefur fengið að koma sem flóttamaður inn í aðildarríki. Ríkislögreglustjóra ber að senda Eurodac upplýsingar, sem honum kunna að berast áður en tíu ár eru liðin frá skráningu, um að hælisumsækjandi, sem skráður er samkvæmt upplýsingum frá Íslandi, hafi fengið ríkisborgararétt í einhverju aðildarríkjanna.

Ríkislögreglustjóri skal, ef hann hefur sent Eurodac upplýsingar til skráningar um þann sem handtekinn hefur verið í tengslum við ólöglega för yfir ytri landamæri, tilkynna Eurodac ef hann verður þess var áður en tvö ár eru liðin frá skráningu að útlendingurinn:
hefur fengið dvalarleyfi
er farinn af yfirráðasvæði aðildarríkjanna eða
hefur fengið ríkisborgararétt í einhverju aðildarríkjanna.

Ríkislögreglustjóri getur sett verklagsreglur um meðferð fingrafaraupplýsinga og samskipti lögreglu, Útlendingastofnunar og alþjóðaskrifstofu ríkislögreglustjóra vegna Eurodac-gagnagrunnsins.“

Eins og fyrr greinir leiddi umrædd könnun í ljós að ekki hefur verið farið að framangreindum fyrirmælum um eyðingu upplýsinga. Þá verður ráðið af svörum við könnuninni að Ríkislögreglustjóri hafi ekki nýtt sér framangreinda heimild til setningar verklagsreglna.

Samkvæmt 40. gr. laga nr. 77/2000 getur Persónuvernd m.a. mælt fyrir um að persónuupplýsingar skuli afmáðar og að gripið skuli til ráðstafana sem tryggja lögmæti vinnslu. Með vísan til þess og alls framangreinds hefur stofnunin ákveðið að leggja fyrir Ríkislögreglustjóra og Útlendingastofnun að koma á verklagi sem tryggir að farið sé að umræddum fyrirmælum, sem og að eyða upplýsingum í Eurodac-gagnagrunninum sem varðveittar eru án heimildar. Lýsingu á verklagi skal senda eigi síðar en 17. febrúar 2012. Fyrir sama tíma skal og gefa upp tímasetningu fyrir eyðingu upplýsinga þannig að Persónuvernd geti haft fulltrúa sinn viðstaddan.


F y r i r m æ l i:

Fyrir 17. febrúar 2012 skulu Ríkislögreglustjóri og Útlendingastofnun hafa mótað verklag sem tryggir að farið verði að fyrirmælum 6. og 7. mgr. 68. gr. reglugerðar nr. 53/2003 um eyðingu upplýsinga sem færðar eru í Eurodac. Upplýsingum, sem varðveittar eru án heimildar, skal eytt. Tímasetning eyðingar skal gefin upp fyrir framangreindan dag og Persónuvernd gert aðvart svo að hún geti sent fulltrúa sinn til að vera viðstaddur eyðinguna.