Óheimil miðlun Landsbókasafns á félagatali kommúnista - mál nr. 2011/766

31.1.2013

Úrskurður

Þann 25. janúar 2013 var kveðinn upp svohljóðandi úrskurður í máli nr. 2011/766:

I.
Grundvöllur máls
Málavextir og bréfaskipti

1.
Tildrög máls

Þann 29. júní 2011 átti Persónuvernd fund með starfsmönnum Landsbókasafns Íslands - Háskólabókasafn (hér eftir Landsbókasafn), að beiðni safnsins. Á fundinum kom m.a. fram að bókasafnið hefði tekið að sér að varðveita viðkvæmar persónupplýsingar um stjórnmálaskoðanir manna. Það hefði tekið við félagatali kommúnista á árunum 1930-1938. Þá kom fram að það hefði afhent umræddar upplýsingar til þriðju aðila, n.t.t. til 12 fræðimanna.

2.
Bréfaskipti
Með bréfi, dags. 5. ágúst 2011, óskaði Persónuvernd eftir nánari upplýsingum vegna málsins. Var þess m.a. óskað að fram kæmi með hvaða hætti staðið hefði verið að framangreindri miðlun til þriðju aðila og með hvaða heimild hún hefði farið fram. Til dæmis var spurt hvort að áður en upplýsingarnar voru afhentar hafi safnið kannað afstöðu þeirra einstaklinga sem enn voru á lífi, þ.e. afstöðu þeirra til þess að safnið léti félagatalið í hendur þriðju aðila.

Svarbréf Landsbókasafns, dags. 15. ágúst 2011, barst Persónuvernd þann 17. s.m.

Um uppruna umræddra upplýsinga sagði m.a.:

„Um er að ræða félagatal Kommúnistaflokks Íslands frá árunum 1930-1938 sem A afhenti safninu þann 25. nóvember 2005. Félagatalið var afhent án aðgangstakmarkana og var það ósk A að skjalið myndi efla rannsóknir á vinstrihreyfingunni á tuttugustu öld, enda lét hann ítarlega greinargerð fylgja með [...].

Engar athugasemdir bárust safninu eftir að tilkynnt var um afhendinguna, e.t.v. vegna þess að um nærri sjötíu ára gömul gögn var að ræða og flestir félagar flokksins að öllum líkindum látnir. Gögnin eru frá frjálsum félagasamtökum, en ekki opinber gögn sem lúta lögum um Þjóðskjalasafn Íslands eða upplýsingalögum [...].“

Um miðlun umræddra upplýsinga til fræðimanna sagði m.a.:

„Á þeim sex árum sem liðin eru frá afhendingu félagatalsins hafa tólf fræðimenn fengið það til skoðunar á lestrarsal safnsins vegna rannsókna sinna. Þar sem afhendingaraðilli setti engar kvaðir á notkun félagatalsins og um svo gömul gögn var að ræða, var ekki krafist neinnar sérstakrar heimildar þegar fræðimennirnir óskuðu eftir þeim. Ekki var heldur leitað til einstaklinga í félagatalinu sem enn kynnu að vera á lífi, í því skyni að fá samþykki þeirra.

Þegar fræðimenn vinna með gögn handritasafns er þess vænst að þeir fari eftir lögum og reglum hyggist þeir birta eða vinna með þau gögn sem hafa að geyma persónulegar upplýsingar. Má þar nefna lög um persónuvernd nr. 77/2000 og 71. gr. Stjórnarskrárinnar. Að auki hafa ýmis fagfélög sett sér siðareglur um notkun á persónulegum heimildum, t.d. Sagnfræðingafélag Íslands. [...]

Innan safnsins er nú unnið að leiðbeiningum á þessu sviði [...]. Allar ráðleggingar frá Persónuvernd eru því vel þegnar [...].“

Með bréfi, dags. 29. nóvember 2011, óskaði Persónuvernd frekari upplýsinga um hvaða heimild safnið hefði stuðst við, þegar upplýsingum var miðlað til þriðju aðila. Svarbréf Landsbókasafns, dags. 9. desember 2011, barst Persónuvernd þann 14. s.m.

Um þá heimild sem að safnið hafi stuðst við segir í bréfi Landsbókasafns:

„Því er til að svara að ekki er stuðst við sérstaka heimild í lögum aðra en lög um Landsbókasafn Íslands - Háskólabókasafn. Þegar félagatalið var afhent safninu, var tekið fram að gögnin væru án aðgangstakmarkana, og það var ósk þess sem afhenti, að skjalið myndi efla rannsóknir á þessu sviði [...]Þá er í bréfi Persónuverndar einnig tekið fram að miðlun viðkvæmra persónuupplýsinga sem eru yngri en áttatíu ára sé leyfisskyld skv. reglum 712/2008 um tilkynningaskyldu og leyfisskylda vinnslu. Reglurnar gilda um leyfisskyldu vegna vinnslu persónuupplýsinga og um tilkynningarskyldu vegna rafrænnar vinnslu persónuupplýsinga sbr. 1. gr. Í því sambandi skal áréttað að safnið miðlar ekki gögnunum í þeim skilningi að dreifa þeim og vinnur ekki með þau. Einungis er veittur aðgangur að þeim á lestrarsal að beiðni safngesta. Sá skilningur hefur ríkt að það sé því viðkomandi fræðimanns að virða lög og reglur og fara eftir þeim við notkun á gögnum safnsins.“

Þann 6. janúar komu fulltrúar Landsbókasafns á fund Persónuverndar í tengslum við annað mál hjá stofnuninni. Á fundinum var einnig óskað eftir því að rætt yrði um framangreinda miðlun félagatalsins. Á fundinum kom m.a. fram að í gildi væru verklagsreglur um meðferð á lokuðum gögnum. Þegar að gögn kæmu inn á safnið væri metið hvort um s.k. þjóðskjöl væri að ræða og ef svo væri væri Þjóðskjalasafni gert viðvart. Það hefði hins vegar ekki átt við í þessu tilviki. Þá kom einnig fram að Landsbókasafn teldi að hlutverkaskipting milli Þjóðskjalasafns og Landsbókasafns væri óskýr í lögum, þ.e þar sem nokkuð væri um að einkaskjalasöfn færu til Þjóðskjalasafns og öfugt.

Með bréfi, dags. 5. október 2012, óskaði Persónuvernd eftir staðfestingu á því hvort að það væri réttur skilningur stofnunarinnar að Landsbókasafn liti á sig sem ábyrgðaraðila gagnanna, skv. 4. tölul. 2. gr. laga nr. 77/2000, eftir að þau voru afhent safninu, en ekki A. Var svara óskað fyrir 19. s.m. en ekkert svar barst. Með bréfi, dags. 10. desember 2012, var framangreint bréf Persónuverndar ítrekað.

Með tölvupósti, dags. 20. desember 2012, óskaði Landsbókasafn eftir fresti fram yfir áramót til að svara framangreindu bréfi Persónuverndar. Svarbréf bókasafnsins, dags. 8. janúar 2013, barst Persónuvernd þann 10. s.m. Þar segir m.a.:

„Eins og áður hefur komið fram afhenti A safninu gögnin til eignar og án aðgangstakmarkana eða annarra kvaða, í þeim tilgangi að efla rannsóknir. Hann telst því ekki ábyrgðaraðili. Safnið telst ábyrgðaraðili í þeim skilningi að þar eru gögnin varðveitt, skráð og veittur aðgangur að þeim á lestrarsal að beiðni safngesta eins og fram hefur komið. Ennfremur setur safnið reglur um almenna notkun og leiðbeinir/upplýsir gesti, ef vafi leikur á notkun gagna og að það sé þeirra skylda að virða lög og reglur og fara eftir þeim við notkun á viðkomandi gögnum. Áréttað er að gögn í handritasafni eru ekki opinber gögn, heldur koma þau frá einstaklingum, fjölskyldum og félagasamtökum.

Safnið getur hins vegar ekki ákveðið tilgang safngesta við vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna eða aðra ráðstöfun upplýsinganna eins og segir í 4. tl. 2. gr. laga nr. 77/2000.

Þess vegna hefur safnið gert meðfylgjandi drög að reglum um afhendingu og notkun einkaskjalasafna og handrita til safnsins. Ennfremur fylgir með eyðublað vegna beiðni um handritalán.“

II.
Forsendur og niðurstaða

1.
Afmörkun umfjöllunarefnis
Í máli þessu er um að ræða upplýsingar um þá sem voru í Kommúnistaflokki Íslands á árunum 1930-1938. Umræddar upplýsingar eru því bilinu 74-82 ára gamlar. Upplýsingarnar komu frá einkaaðila og voru afhentar Landsbókasafninu til varðveislu og til að efla rannsóknir á þessu sviði.

Samkvæmt upplýsingalögum nr. 50/1996 taka lögin til stjórnsýslu ríkis, sveitarfélaga og til starfsemi einkaaðila að því leyti sem þeim hefur verið falið opinbert vald til að taka ákvarðanir um rétt eða skyldu manna. Samkvæmt 3. mgr. 8. gr., sbr. 5. gr., framangreindra laga skal veita aðgang að gögnum sem varða einkamálefni einstaklinga þegar áttatíu ár eru liðin frá því þau urðu til.

Í 6. gr. laga nr. 66/1985 um Þjóðskjalasafn Íslands kemur fram að skilaskildir aðilar skulu afhenda Þjóðskjalasafni Íslands gögn sín að jafnaði eigi síðar en þegar þau hafa náð þrjátíu ára aldri. Samkvæmt 20. gr. upplýsingalaga er einnig mælt fyrir um að þegar gögn hafa verið afhent Þjóðskjalasafni Íslands eða öðru opinberu skjalasafni skuli hlutaðeigandi safn taka ákvörðun um hvort umbeðin gögn skuli sýnd eða hvort ljósrit skuli veitt af skjölum eða afrit af öðrum gögnum sé þess kostur.  Af framangreindu er því ljóst að alla jafna eru gögn eldri en þrjátíu ára varðveitt á Þjóðskjalasafni Íslands og fer því um aðgang að slíkum gögnum samkvæmt annars vegar 3. mgr. 8. gr. upplýsingalaga og hins vegar samkvæmt lögum nr. 66/1985.

Líkt og fram hefur komið af hálfu Landsbókasafns er hér ekki um að ræða gögn sem falla undir upplýsingalög nr. 50/1996, enda eiga þau ekki uppruna sinn að rekja til stjórnvalds á vegum ríkis, sveitarfélaga eða eru til komin vegna starfsemi einkaaðila að því leyti sem honum hefur verið falið opinbert vald. Hins vegar, í ljósi þess að Landsbókasafn og Þjóðskjalasafn Íslands hafa með höndum svipuð hlutverk að lögum, þ.e. að varðveita menningararf þjóðarinnar, þykir mega hafa hliðsjón af ákvæðum þeirra laga við afmörkun umfjöllunarefnis í ákvörðun þessari.  

Tekur því úrskurður þessi eingöngu til þeirra upplýsinga sem ekki hafa náð 80 ára aldri.

2.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Hugtakið vinnsla hefur verið túlkað með rúmum hætti í framkvæmd og í athugasemdum við 2. tölul. 2. gr. í frumvarpi því sem varð að lögum nr. 77/2000 kemur m.a. fram að með vinnslu er t.d. átt við söfnun og skráningu og undir það falli m.a. rafræn vöktun, flokkun, varðveisla, breyting, leit, miðlun, samtenging eða hver sú aðferð sem nota má til að gera upplýsingar tiltækar.

Af framangreindu er ljóst að miðlun félagatals Kommúnistaflokks Íslands frá árunum 1930-1938 til tólf fræðimanna fellur undir gildissvið laga nr. 77/2000.

3.
Ábyrgðaraðili
Eitt af megineinkennum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er samband hins skráða og ábyrgðaraðila vinnslu. Hinum skráða eru tryggð ýmis réttindi en á ábyrgðaraðila hvíla samsvarandi skyldur og það er hans skylda að gæta réttinda hins skráða. Af þeirri ástæðu þarf að taka afstöðu til þess hver sé ábyrgðaraðili þeirrar vinnslu sem mál þetta varðar.

Hugtakið ábyrgðaraðili er skilgreint í 4. tölul. 2. gr. laga nr. 77/2000. Átt er við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Í því tilviki sem hér um ræðir er það Landsbókasafn sem skal setja verklagsreglur um aðgang, hvernig farið sé með gögn o.s.frv. eftir að þau hafa verið afhent safninu.
Samkvæmt framangreindu er Landsbókasafn ábyrgðaraðili gagnvart hinum skráðu og ber það því þær skyldur sem að samkvæmt lögum nr. 77/2000 hvíla á ábyrgðaraðila vinnslu persónuupplýsinga gagnvart hinum skráða. Eftir að rannsakanda hafa verið afhent umrædd gögn telst hann ábyrgðaraðili að eftirfarandi vinnslu.
4.
Lögmæti vinnslu
Að því marki sem að vinnsla persónuupplýsinga fellur innan gildissviðs laganna verður hún að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Ef um viðkvæmar persónuupplýsingar er að ræða, sbr. 8. tölul. 2. gr. sömu laga verður vinnslan einnig að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna. Samkvæmt a-lið 8. tölul. 2. gr. teljast stjórnmálaskoðanir einstaklinga til viðkvæmra persónuupplýsinga. Upplýsingar um þá sem voru í Kommúnistaflokki Íslands á árunum 1930-1938 teljast til stjórnmálaskoðana og af þeirri ástæðu þarf miðlun félagatals flokksins að styðjast við bæði heimild í 8. og 9. gr. laga nr. 77/2000.
Til að leggja mat á hvort heimild sé til staðar samkvæmt lögum nr. 77/2000 er nauðsynlegt að líta fyrst til ákvæða 9. gr. laganna, en sé ekki heimild þar til staðar er ekki þörf á að líta frekar til 8. gr. sömu laga. Þeir töluliðir sem helst koma til greina í því máli sem hér um ræðir eru 1. og 9. tölul. 1. mgr. 9. gr. laganna.
Í 1. tölul. segir að vinnsla sé heimil hafi hinn skráði samþykkt vinnsluna. Af hálfu Landsbókasafns hefur komið fram að ekki hafi verið leitað eftir samþykki hinna skráðu og getur því umræddur töluliður ekki átt við í þessu tilviki. Í 9. tölul. er gert ráð fyrir að vinnsla sé heimil sé hún nauðsynleg vegna tölfræði- eða vísindarannsókna, enda sé persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á.
Í athugasemdum við 9. tölul. í því frumvarpi sem varð að lögum nr. 77/2000 kemur fram að það sé hlutverk Persónuverndar að tryggja að slíkar ráðstafanir séu fullnægjandi og setja viðhlítandi skilmála í því skyni. Í þessu sambandi sé þá rétt að hafa í huga að sé unnið með viðkvæmar persónuupplýsingar sem eru persónugreindar eða persónugreinanlegar, t.d. dulkóðaðar, kann vinnslan að vera leyfisskyld skv. 33. gr.
Í VI. kafla laga. nr. 77/2000 er fjallað um leyfis- og tilkynningarskylda vinnslu persónuupplýsinga, sbr. ákvæði 31. og 33. gr. laganna. Persónuvernd hefur sett frekar reglur um hvenær þurfi leyfi Persónuverndar fyrir vinnslu persónuupplýsinga og hvenær þurfi að tilkynna um slíka vinnslu til stofnunarinnar, n.t.t. reglur nr. 712/2008.
Í 1. mgr. 4. gr. reglna nr. 712/2008 er fjallað um hvenær vinnsla persónuupplýsinga er háð skriflegri heimild Persónuverndar. Í 7. tölul. þeirrar greinar kemur fram að miðlun viðkvæmra persónuupplýsinga í þágu vísindarannsóknar sé leyfisskyld, enda standi ábyrgðaraðili þeirra upplýsinga ekki að framkvæmd rannsóknarinnar. Í 2. mgr. sama ákvæðis segir þó jafnframt að slík vinnsla sé ekki háð heimild Persónuverndar byggi hún á upplýstu samþykki eða fyrirmælum laga.
Með vísan til framangreinds er það því niðurstaða Persónuverndar að umrædd vinnsla sé leyfisskyld hjá stofnuninni, enda hefur ekki verið aflað samþykkis þeirra sem eru á lífi. Slíks leyfis var ekki aflað af hálfu safnsins og rannsakenda þegar að aðgangur var veittur og telst vinnslan, þ.e. miðlunin, því ekki hafa verið í samræmi við lög nr. 77/2000.  

Úrskurðarorð

Landsbókasafni-Háskólasafni var óheimilt að miðla upplýsingum úr félagatali Kommúnistaflokksins frá árunum 1930-1938, að því marki sem upplýsingarnar höfðu ekki náð áttatíu ára aldri.