Fræðsluskylda Þjóðskrár Íslands - mál nr. 2012/292

3.9.2012

Ákvörðun

Persónuvernd hefur hinn 20. ágúst 2012 tekið svohljóðandi ákvörðun í máli nr. 2012/292:

 

I.

Upphaf máls,

málavextir og bréfaskipti

 

Þann 21. febrúar 2012 barst Persónuvernd kvörtun frá M (hér eftir nefndur kvartandi) yfir vinnslu persónuupplýsinga um ólögráða son sinn af hálfu Þjóðskrár Íslands. Í kvörtuninni segir m.a.:

Ég fór þann […] og skráði son minn nýfæddan samkvæmt lögum um mannanöfn í þjóðskrá og fyllti ég út form A-101 og afhenti til skráningar hjá þjóðskrá. Við skráningu í þjóðskrá Íslands eða við breytingu á lögheimili er viðkomandi aðili ekki spurður um leyfi til vinnslu á kennitölu eða öðrum persónuupplýsingum. Vinnslu svo sem úrtök úr þjóðskrá en það virðist vera þjónusta sem þjóðskrá býður hverjum sem fyrir það greiðir. [...] Mér var ekki á neinn hátt kynnt vinnsla né skráning eða sú háttsemi þjóðskrár að selja upplýsingar um nýskráðan son minn til þriðja aðila. Ég get ekki sagt að ég kæri mig beint um það að farið sé svona með persónuupplýsingar fjölskyldu minnar að mér forspurðum.

Af tölvubréfi kvartanda, dags. 19. mars 2012, má ráða að kvörtunin lúti ekki að broti Þjóðskrár gegn andmælarétti m.t.t. markaðssetningar. Hins vegar sé kvartað yfir að því að viðkomandi hafi aldrei verður spurður eða látinn vita um það að upplýsingar um soninn yrðu seldar þriðja aðila. Það er því skilningur Persónuverndar að um sé að ræða kvörtun yfir því að hafa ekki fengið fræðslu í samræmi við fræðsluskyldureglur laga nr. 77/2000.

Hinn 14. mars 2012 greindi Persónuvernd Þjóðskrá Íslands frá kvörtuninni og óskaði skýringa. Í svari Þjóðskrár, dags. 12. apríl 2012, segir m.a.:

Í þessu máli sem um ræðir er kennitala M bannmerkt þann […]. Við skráningu drengsins í Þjóðskrá Íslands fær hann fjölskyldunúmer móður sinnar þar sem foreldrarnir eru ekki skráðir í sambúð á þeim tíma. Þannig fylgir drengurinn móður sinni í þjóðskrá þar til að foreldrar hans skrá sig í sambúð þann […]. Eftir sambúðarskráningu hjá Þjóðskrá Íslands er fjölskyldunúmer fjölskyldunnar kennitala M þar sem hann er elstur. Bannmerkingin fer ekki sjálfkrafa á alla sem eru skráðir undir sama fjölskyldunúmer heldur þarf að merkja við hvern og einn einstakling. Til þess að bannmerkingin næði einnig til sonar þeirra hefði þurft að hafa samband við Þjóðskrá Íslands og óska bannmerkingar.

Þegar kvörtun M barst Persónuvernd þann 21. febrúar s.l. bar drengurinn fjölskyldunúmer móður þar sem foreldrar hans voru ekki skráðir í sambúð á þeim tíma. Móðir drengsins er hins vegar ekki með bannmerkingu hjá Þjóðskrá Íslands þar sem hún hefur ekki óskað eftir slíkri merkingu. Ekki kemur fram hvernig „markpósturinn“ var merktur en gera má ráð fyrir að hann hafi verið skráður á móður drengsins þar sem hún bar fjölskyldunúmer barnsins og var ekki bannmerkt. Þjóðskrá Íslands hefur litið svo á að þegar ekki er óskað eftir bannmerkingu, sé slíkt ótvírætt samþykki viðkomandi að nafn hans sé notað í markaðssetningarstarfsemi.

Persónuvernd gaf kvartanda kost á skýringum og í bréfum hans, dags. 18. apríl 2012, segir að hann sé ósáttur við tiltekið eyðublað Þjóðskrár, þ.e. : eyðublaðið A-101. Þar segir m.a.:

Eyðublað A-101 inniheldur engar upplýsingar um vinnslu þjóðskrár á þeim gögnum sem þar koma fram [...]. Það skortir á fræðslu um það hvernig hún fari fram og að hún sé í raun valkvæð. Ég tel að það sé ekki fullnægt þeim lagaskilyrðum sem fram koma í lögum um persónuvernd [...]

Með bréfi, dags. 30. apríl 2012, kynnti Persónuvernd bréf kvartanda fyrir Þjóðskrá Íslands. Svör bárust með bréfum, dags. 18. maí og 18. júní 2012. Þar er farið yfir hlutverk Þjóðskrár samkvæmt lögum nr. 54/1962, um þjóðskrá og almannaskráningu, með síðari breytingum. Segir að hún miðli persónuupplýsingum annars vegar samkvæmt samningum við miðlara/dreifingaraðila og hins vegar til viðskiptavina sinna. Þá segir  m.a.:

Eitt af markmiðum Þjóðskrár Íslands er að veita viðskiptavinum sínum sem bestu upplýsingar hverju sinni. Það er hins vegar alltaf mat hverju sinni hvenær eigi að fræða viðskiptavini um tiltekin atriði og annars vegar hvort tiltekin atriði séu þess efnis að þurfi að fræða um þau. Starfsfólk Þjóðskrár Íslands veitir viðskiptavinum sínum allar þær upplýsingar sem óskað er eftir hverju sinni. Almennt má fólki vera það ljóst að nafn, kennitala, heimilisfang o.s.frv. er skráð í þjóðskrá strax við móttöku gagna þar um. [...] Til þess að bæta góða þjónustu Þjóðskrár Íslands enn frekar til viðskiptamanna sinna og auka fræðslu hefur stofnunin nú þegar hafið vinnu við að gera upplýsingar aðgengilegar á heimasíðu sinni um „hvað það þýði að vera skráður í þjóðskrá og hverju sé miðlað úr þjóðskrá“. Mun þessi breyting eiga sér stað á allra næstu dögum. [...]“

Með bréfi, dags. 22. júní 2012, voru kvartanda kynnt svör Þjóðskrár Ísland og í svari hans 4. júlí 2012 segir m.a.:

Svarbréf þjóðskrár varðandi kvörtun mína þann 21. febrúar 2012 er hin ágætasta yfirferð yfir starfsemi þjóðskrár.[...] Í seinna bréfi þjóðskrár segir þjóðskrá að í vinnslu sé að breyta og bæta eyðublöð og upplýsingar á vefnum. Það er semsagt engin sérstök fræðsla samkvæmt lögum um persónuvernd á eyðublöðum eða við rafræna skráningu hjá Þjóðskrá. Þannig að kvörtun mín á við rök að styðjast.

 

II.

Forsendur og ákvörðun

1.

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga,

Í 1. mgr. 3. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er gildisvið laganna, og um leið valdsvið Persónuverndar, afmarkað svo: „Lögin gilda um sérhverja rafræna vinnslu persónuupplýsinga. Lögin gilda einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá.“ Mál þetta lýtur því að vinnslu persónuupplýsinga í skilningi laganna og fellur undir úrskurðarvald Persónuverndar.

 

2.

Lög um persónuvernd gera ráð fyrir sérstökum og ríkum andmælarétti hins skráða gegn notkun persónuupplýsinga um sig í tengslum við markaðssetningarstarfsemi. Þessi réttur kemur fram í 28. gr. laganna og er ekki háður því að hann tilgreini sérstakar ástæður. Ákvæðið er sett með hliðsjón af 14. gr. tilskipunar 95/46/EB og ber að skýra í því ljósi. Samkvæmt tilskipuninni á hinn skráði rétt til að vita af því ef persónuupplýsingar um hann eru fengnar þriðju aðilum, eða notaðar fyrir þeirra hönd, vegna beinnar markaðssetningar. Á hann rétt á að fá skýrt tilboð eða fræðslu um að andmæla slíkri miðlun.

Til samræmis við framangreint kemur fram í 2. mgr. 28. gr. laga nr. 77/2000 að Þjóðskrá Íslands skuli halda skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi. Samkvæmt ákvæðinu skulu þeir, sem miðla skrá til þriðja aðila í tengslum við markaðssetningarstarfsemi, áður bera hana saman við bannskrá til að koma í veg fyrir að markpóstur verði sendur þeim sem vilja ekki fá slíkan póst. Þessi skylda á jafnt við um Þjóðskrá Íslands og um aðra. Nánari fyrirmæli um framkvæmd eru í reglum um bannskrá nr. 36/2005. Í 2. gr. þeirra segir að með andmælum gegn notkun í markaðssetningarstarfsemi sé átt við að menn óski eftir því að nöfn þeirra verði felld niður við notkun hvers kyns skráa, sem beitt kann að vera í markaðssetningarskyni. Í 3. gr. segir að þeir sem vilji andmæla skuli snúa sér til Þjóðskrár og hún skuli verða við beiðnum manna um skráningu á bannskrá fyrir þá sjálfa og ólögráða börn þeirra svo og um skráningu annarra heimilismanna hafi þeir lagt fram skriflega ósk þar að lútandi eða veitt umboð til þess.

Að því er varðar það mál sem hér er til umfjöllunar liggja fyrir upplýsingar Þjóðskrár um að kvartandi nýtti sér rétt sinn samkvæmt framangreindum ákvæðum með því að fá sig sjálfan færðan á bannskrá hinn […]. Þá kveðst hann hafa, hinn […], fyllt út eyðublað vegna nýfædds barns sitt. Það mun hafa verið eyðublaðið A-101 sem er fyrir tilkynningar um nafngjafir/skírnir barna en hvergi liggur fyrir að hann eða móðir barnsins hafi lagt fram beiðni um skráningu þess á bannskrá. Þar sem erindi kvartanda lýtur hins vegar ekki að því að Þjóðskrá Íslands hafi brotið gegn ákvæðum 28. gr. laga nr. 77/2000, við afhendingu upplýsinga um barnið í tengslum við markaðssetningarstarfsemi, verður ekki fjallað frekar um það atriði.

 

3.

Það er hins vegar umkvörtunarefni kvartanda að Þjóðskrá Íslands hafi, þegar umrætt eyðublað var fyllt út hinn […], vanrækt fræðsluskyldu sína samkvæmt ákvæðum um fræðsluskyldu í lögum um persónuvernd og meðferð persónuupplýsinga nr. 77/2000.

Ákvæði um fræðsluskyldu ábyrgðaraðila, hér Þjóðskrár Íslands, eru í 20. og 21. gr. laganna. Ákvæði 20. gr. varða fræðsluskyldu þegar persónuupplýsinga er aflað hjá hinum skráða sjálfum en 21. gr. varðar skyldu til að fræða hinn skráða um öflun upplýsinga frá öðrum en honum sjálfum.

Í þessu tilviki var hinn skráði nýfætt barn þegar tilkynning um nafngjöf/skírn var lögð inn til Þjóðskrár. Leiðir því af eðli máls að slíkri fræðslu til hans sjálfs varð ekki komið við. Þegar svo er skal almennt beina fræðslu til þess sem fer með forsjá barns. Samkvæmt 51. gr. lögræðislaga nr. 71/1997 ráða foreldrar barns, sem ólögráða er fyrir æsku sakir, og þeir sem barni koma í foreldra stað, ráða persónulegum högum þess. Nefnast þau lögráð forsjá og fer um hana samkvæmt ákvæðum barnalaga og lögum um vernd barna og ungmenna. Samkvæmt 4. mgr. 28. gr. barnalaga nr. 76/2003 fer forsjárforeldri með lögformlegt fyrirsvar barns.

Aðild að kvörtunarmálum er fyrst og fremst bundin við hinn skráða eða þann sem fer með lögformlegt forsvar hans. Í 1. mgr. 29. gr. barnalaga nr. 76/2002 segir að barn eigi rétt á forsjá beggja foreldra sinna ef þau eru í hjúskap, eða hafi skráð sambúð sína í þjóðskrá, en séu þeir hvorki í hjúskap né í skráðri sambúð við fæðingu barns fer móðir ein með forsjá þess. Af svörum Þjóðskrár má ráða að þegar  atvik máls þessa áttu sér stað, n.t.t. hinn […], fór móðir barnsins ein með forsjá barnins. Hún fór því ein með lögformlegt fyrirsvar barnsins en ekki kvartandi. Liggur því ekki fyrir að hann hafi aðild að máli þessu og verður þ.a.l. ekki aðhafst frekar af tilefni kvörtunar hans. Til skýringar má þó geta þess að eyðublað A-101 er þannig úr garði gert að þar sem móðir barnsins fór þá með forsjá barnsins hefur hún óhjákvæmlega undirritað það ásamt kvartanda. Hún hefur ekki lagt fram kvörtun.

4.

Málið er að mati Persónuverndar upplýst. Ekki er deilt um atvik þess og samkvæmt framangreindu verður það fellt niður. Með vísan til 1. tölul. 3. mgr. 37. gr. laga nr. 77/2000 hefur þó verið ákveðið að leggja fyrir ábyrgðaraðila, Þjóðskrá Íslands, að nota umrætt tilefni til þess að fara yfir starfsreglur sínar um fræðslu, í samræmi við 20. og 21. gr. laga nr. 77/2000. Það skal gert með tilliti til þess að veita trygga fræðslu þeim sem leggja inn persónuupplýsingar og skal fræðslan taka til þess með hvaða hætti Þjóðskrá kunni að selja þær í þágu markaðssetningar og hvernig menn geti varist því.

Ákvörðun

Þegar atvik máls þessa áttu sér stað, n.t.t. hinn […], fór kvartandi ekki með forsjá barnsins, þ.e. hins skráða í skilningi laga nr. 77/2000. Kvartandi telst því ekki aðili máls og verður því ekki aðhafst frekar af tilefni kvörtunar hans.

Með vísan til 1. tölul. 3. mgr. 37. gr. laga nr. 77/2000 er lagt fyrir Þjóðskrá Íslands að fara yfir starfsreglur sínar um fræðslu til þeirra einstaklinga sem leggja inn persónuupplýsingar, m.t.t. þess með hvaða hætti Þjóðskrá selur slíkar upplýsingar í þágu markaðssetningar og með hvaða hætti menn geti varist því.