Miðlun upplýsinga um sjóðsfélaga í lífeyrissjóði
Á fundi sínum, þann 4. mars 2005, komst stjórn Persónuverndar að svofelldri niðurstöðu í máli nr. 2004/654:
I.
Tilurð málsins og bréfaskipti
Persónuvernd barst 21. janúar s.l. erindi A hdl., fyrir hönd lífeyrissjóðsins B, þar sem óskað er eftir áliti stofnunarinnar á því hvort B sé heimilt og/eða skylt að verða við beiðni samtakanna D um að fá afhentan lista með nöfnum þeirra sjóðfélaga sem ,,búa við skerta verðtryggingu lífeyrisréttar hjá sjóðnum, þ.e. 80% verðtryggingu".
Í málinu liggur fyrir að með bréfi dags. 30. desember s.l. óskuðu D eftir því að fá afhentan umræddan lista. Í bréfinu segir:
Listi þessi óskast afhentur til þess að stjórn D geti metið hve margir og þá hverjir hafi hagsmuni af þeim málaferlum sem nú eru í gangi gegn lífeyrissjóðnum.
Þess er óskað að ofannefndur listi berist stjórn D eigi síðar en 15. janúar n.k."
Í erindi A hdl. segir eftirfarandi:
Hluti þeirra sjóðfélaga sem þessi ,,80% regla" gildir um eru eflaust félagar í [D] en stór hluti þeirra kann að standa utan samtakanna. Það er því ljóst að ekki liggur fyrir samþykki allra þeirra sjóðfélaga sem fá lífeyri sinn greiddan í samræmi við ,,80% regluna" til að veita upplýsingar um hverjir þeir eru. Með vísan til 2. og 3. mgr. 7. gr. laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000 telur stjórn [B] verulegan vafa leika á um að henni sé heimilt að veita [D] umbeðnar upplýsingar um aðra sjóðfélaga."
Í málinu liggur einnig fyrir staðfesting á rekstri dómsmála fyrir Héraðsdómi Reykjavíkur frá E hrl., dags. 3. febrúar s.l. Þar kemur fram að fyrir Héraðsdómi Reykjavíkur séu rekin þrjú dómsmál á hendur B og að aðalmeðferð fyrsta málsins hafi farið fram þann 19. janúar s.l., en hin málið bíði þess að dómur verði uppkveðinn í því máli þar sem um sambærileg mál sé að ræða. Jafnframt kemur fram að málin séu þess eðlis að líklegt sé að þeim verði áfrýjað til Hæstaréttar.
Forsendur og niðurstaða
1. Forsendur
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu persónuupplýsinga sem eru, eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Með persónuupplýsingum er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem rekja má beint eða óbeint til tiltekins einstaklings, sbr. 1. tölul. 2. gr. laganna. Með vinnslu er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Af b-lið 2. gr. tilskipunar nr. 95/46/EB og athugasemdum í greinargerð með því frumvarpi sem síðar varð að lögum nr. 77/2000 er ljóst að miðlun telst vera vinnsla persónuupplýsinga í skilningi laganna. Af þessu er ljóst að afhending lista með nöfnum félagsmanna í lífeyrissjóði telst vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000 og fellur undir gildissvið þeirra.
Markmið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er m.a. að stuðla að því að farið sé með persónuupplýsingar í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs. Í samræmi við það er í lögum nr. 77/2000 að finna ákvæði um það hvenær heimilt er að vinna með persónuupplýsingar, en einu ákvæði laganna sem kveða á um skyldu til vinnslu persónuupplýsinga snúa að hinum skráða sjálfum, þ.e. þegar persónuupplýsingar eru unnar um einstakling á hann rétt á að fá tilteknar upplýsingar frá ábyrgðaraðila vinnslunnar. Það er því ekki á valdsviði Persónuverndar að kveða á um skyldu til upplýsingamiðlunar í öðrum tilvikum en þeim sem falla undir III. kafla laga nr. 77/2000. D geta farið með slíkan upplýsingarétt fyrir hönd félagsmanna sinna samkvæmt umboði, en slíkt umboð er þó takmarkað við upplýsingar um umbjóðendur samtakanna.
Til þess að vinnsla, þ. á m. miðlun, persónuupplýsinga sé heimil verður eitthvert af skilyrðum 1. mgr. 8. gr. og, eftir atvikum, eitthvert af skilyrðum 1. mgr. 9. gr. laganna að vera uppfyllt.
2. Niðurstaða
Samkvæmt 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er vinnsla persónuupplýsinga heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Það er mat Persónuverndar að afhending umræddra persónuupplýsinga til D sé lífeyrissjóðinum heimil á grundvelli framangreinds ákvæðis. Er þá m.a. til hliðsjónar tekið mið af ákvæði 7. tölul. 1. mgr. 9. gr., enda þótt hér sé ekki um viðkvæmar persónuupplýsingar í skilningi laga nr. 77/2000 að ræða. Samkvæmt því ákvæði er vinnsla viðkvæmra persónuupplýsinga heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja, en fram er komið að umrædd gögn eru talin hafa mikilvægt sönnunargildi vegna þriggja dómsmála sem nú eru rekin fyrir Héraðsdómi Reykjavíkur.
Þá verður ekki séð að slík vinnsla fari í bága við meginreglur 7. gr. laganna um gæði gagna og vinnslu, enda verður að telja að skráning upplýsinga um þann sem greiðir í lífeyrissjóð sé í hans þágu og til að tryggja rétt hans. Tilgangur umræddrar miðlunar getur því ekki talist ósamrýmanlegur upphaflegum tilgangi með skráningu upplýsinganna og má því telja hana eðlilegan þátt í starfsemi lífeyrissjóða skv. 20. gr. laga nr. 129/1997 um skyldutryggingu lífeyrisréttinda og starfsemi lífeyrissjóða.
Með vísun til framangreinds er það niðurstaða Persónuverndar að B sé heimilt að verða við beiðni D um að fá afhentan lista með nöfnum þeirra sjóðfélaga sem ,,búa við skerta verðtryggingu lífeyrisréttar hjá sjóðnum, þ.e. 80% verðtryggingu".