Opinber birting á fjárhagsupplýsingum

14.2.2012

Efni: Svar við fyrirspurn varðandi vinnslu
upplýsinga um afskriftir á skuldum lögaðila

1.
Fyrirspurn

Þann 18. nóvember 2011 barst Persónuvernd fyrirspurn Íbúahreyfingarinnar í Mosfellsbæ í tengslum við opinbera birtingu upplýsinga um afskriftir Mosfellsbæjar á skuldum lögaðila. Mun hreyfingin hafa birt upplýsingarnar í dreifibréfi sínu til íbúa Mosfellsbæjar í september sl.

Íbúahreyfingin óskar álits Persónuverndar á gildissviði laga nr. 77/2000, með tilliti til upplýsinga um afskriftir á lögboðnum gjöldum lögaðila og hvort birting á slíkum upplýsingum falli undir þau lög. Í bréfi hreyfingarinnar segir m.a.:

„...Til að gera langa sögu stutta var meirihluti bæjarstjórnar ósáttur við birtingu upplýsinganna og pantaði lögfræðiálit sem barst þann 18. október. Í beiðni bæjarstjórnar um álitið er m.a. beðið um álit með tilliti til „laga sem kveða á um vernd persónuupplýsinga“ þrátt fyrir að Íbúahreyfingin telji sig alls ekki hafa birt neinar persónuupplýsingar. [...] Í álitinu, sem fylgir í viðhengi, er komist svo að þeirri niðurstöðu m.a. að brotið hafi verið gegn persónuverndarlögum með birtingunni. [...] Höfundar álitsins telja sem sagt að Íbúahreyfingin hafi, í fyrsta lagi gerst brotleg við 3. mgr. 6. gr., 7. gr. og 2. gr. laganna með því að birta upplýsingarnar og einnig er bent á brot á eftirfarandi greinum persónuverndarlaga: [...]
Heimilt er þeim að kvarta til Persónuverndar sem telur að ekki hafi verið unnið með persónuupplýsingar hans í samræmi við prl., sbr. 2. mgr. 37. gr. laganna.
Sveitarstjórn Mosfellsbæjar yrði ekki heimilt að kvarta til Persónuverndar í þessu máli, enda hefur hún ekki lögvarða hagsmuni af úrlausn málsins.
Ákveði einhver þeirra lögaðila sem birtar voru upplýsingar um að kvarta til Persónuverndar getur ábyrgðaraðili þurft að bæta þeim sem misgert var við það fjárhagslega tjón sem hann hefur orðið fyrir af þeim völdum, sbr. 43. gr. prl. Umræddur ábyrgðaraðili gæti einnig þurft að lúta fésektum eða fangelsi allt að þremur árum, sbr. 1. mgr. 42. gr. laganna.
Við viljum því biðja um álit Persónuverndar á gildissviði laganna hvað varðar upplýsingar um afskriftir á lögboðnum gjöldum lögaðila til sveitarfélags og hvort að birting á slíkum upplýsingum falli undir persónuverndarlög.“

2.
Svar Persónuverndar

Lög nr. 77/2000  gilda um meðferð persónuupplýsinga. Þau gilda óháð því hver er ábyrgðaraðili vinnslu og eiga jafnt við um vinnslu af hálfu einkaaðila og opinberra aðila. Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 gilda þau um sérhverja rafræna vinnslu persónuupplýsinga og einnig um handvirka vinnslu persónuupplýsinga sem er eða á að verða hluti af skrá.

Með hugtakinu persónuupplýsingar er átt við persónugreindar eða persónugreinanlegar upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, sbr. 1. tölul. 2. gr. laganna. Þau taka að takmörkuðu leyti til upplýsinga um lögaðila. Þó nær 45. gr. til þeirra en þar segir að með reglugerð skuli mælt fyrir um heimild til söfnunar og skráningar upplýsinga sem varða fjárhagsmálefni og lánstraust fyrirtækja, svo og annarra lögaðila, í því skyni að miðla til annarra upplýsingum um það efni. Heimild til slíkrar starfsemi er bundin leyfi Persónuverndar. Slík reglugerð hefur verið sett og er hún nr. 246/2001.

Hugtakið persónuupplýsingar er túlkað með hliðsjón af a-lið 2. gr. tilskipunar 95/46/EB en þar er talað um „information relating to [...] a natural person“. Því hefur hugtakið persónuupplýsingar ekki verið skilið svo að það taki aðeins til upplýsinga sem beinlínis eru um tiltekinn mann heldur nægi að þær tengist honum. Í áliti nr. 4/2007 um hugtakið persónuupplýsingar, frá ráðgjafarhópi  um túlkun tilskipunarinnar, samkvæmt 29. gr. hennar, segir m.a.:

„Information about legal persons may also be considered as "relating to" natural persons on their own merits, in accordance with the criteria set out in this document. This may be the case where the name of the legal person derives from that of a natural person. Another case may be that of corporate e-mail, which is normally used by a certain employee, or that of information about a small business (legally speaking an "object" rather than a legal person), which may describe the behaviour of its owner. In all these cases, where the criteria of "content", "purpose" or "result" allow the information on the legal person or on the business to be considered as "relating" to a natural person, it should be considered as personal data, and the data protection rules should apply.“

Í ákveðnum tilvikum geta upplýsingar um lögaðila þannig verið það nátengdar tilteknum einstaklingi að á þær skuli líta sem persónuupplýsingar. Það getur t.d. átt við þegar um ræðir lítið fyrirtæki og upplýsingar um það eru svo nátengdar eigandanum að í raun eru þær um hann. Af því leiðir að svara ber spurningu Íbúahreyfingarinnar svo að upplýsingar um afskriftir á lögboðnum gjöldum lögaðila - og birting á slíkum upplýsingum - getur fallið undir lög nr. 77/2000.

Með ósk Íbúahreyfingarinnar fylgdi listi yfir hlutaðeigandi lögaðila. Tekið er fram að Persónuvernd hefur ekki tekið efnislega afstöðu til þess hvort þar hafi í einhverju tilviki verið um persónuupplýsingar að ræða. Hún hefur aðeins veitt almennt svar samkvæmt 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000 en ekki hefur verið tekin efnisleg ákvörðun eða úrlausn. Til þess gæti komið bærist Persónuvernd kvörtun frá „hinum skráða“ í skilningi 1. tölul. 2. gr. laganna.