Nafnlausar ábendingar í gegnum svikahnapp VÍS óheimilar - mál nr. 2012/531

15.2.2013

Úrskurður

Á fundi stjórnar Persónuverndar hinn 25. janúar 2012 var kveðinn upp svohljóðandi úrskurður í máli nr. 2012/531:

I.
Bréfaskipti
1.
Með kvörtun til Persónuverndar, dags. 16. apríl 2012, hefur A (hér eftir nefndur „kvartandi“) krafist þess að hann verði upplýstur um hver hafi sent Vátryggingafélagi Íslands hf. (VÍS) nafnlausa ábendingu þess efnis að hann hafi gerst sekur um vátryggingasvik, en auk þess skuli VÍS bannað að nota gögn um ábendinguna. Þá krefst kvartandi þess að VÍS verði gert að afhenda öll gögnin en eyða þeim að svo búnu. Ábendingin varðar mál vegna bóta fyrir tjón af völdum vinnuslyss við framkvæmdir hjá bæjarfélagi D, en samkvæmt ábendingunni átti það sér aldrei stað. Ábendingin sem barst á svokallaðan svikahnapp VÍS hinn 19. september 2010, er svohljóðandi:

„Varðar kt XXXXXX-XXXX datt af bifhjóli Y á götu próflaus Hann segir að hann hafi dottið úr vinnuvél vegna þess að hann var próflaus eg veit að vitnið sem hann segir að hefi séð það muni segja satt og rétt frá. Varð bara að koma þessu frá mér.“

Nánar segir í kvörtun:

„Þann 05.11.2010 lagði VÍS fram kæru á hendur mér vegna vátryggingasvika. Rannsókn lögreglustjórans á höfuðborgarsvæðinu lauk með bréfi dags. 12.05.2011. Þrátt fyrir það þá hefur VÍS ekki viljað svara bréfum frá mínum lögmanni eða upplýsa um hvaða aðili það var sem setti þessa nafnlausu og röngu ábendingu inn á svikahnapp VÍS. Þessi ábending er röng og með öllu tilefnislaus því að þar segir að ég hafi dottið á bifhjóli en hið rétta er að ég datt úr vinnuvél.

Þá vil ég koma að við skýrslutöku hjá lögreglu sagði ég að ég vildi láta kanna sérstaklega hver setti þessa nafnlausu ábendingu inn á svikahnapp VÍS þann 19.09.2010 því að ég hafði ákveðna óvildarmenn í huga.

Það er því nauðsynlegt að VÍS upplýsi um þessa nafnlausu ábendingu inn á svikahnapp VÍS sem er ekki studd með neinum gögnum og með öllu tilhæfulaus.“

Kvartandi telur VÍS hafa brotið gegn eigin verklagsreglum um hvernig farið sé með ábendingar um vátryggingasvik. Þar kemur fram að tilkynnanda sé heitið trúnaði og að VÍS muni ekki upplýsa þann sem ábending lýtur eða þriðja aðila um nafn tilkynnanda. Reglurnar tilgreina þó undantekningar frá því sem kvartandi telur hér eiga við, enda þurfi hann að fá umræddar upplýsingar í hendur svo að hægt verði að upplýsa allan sannleikann og hann fái tækifæri til að leita réttar síns. Nánar tiltekið vísar kvartandi til þess að samkvæmt reglunum kunni að reynast nauðsynlegt að gefa upp nafn eða aðrar upplýsingar tilkynnanda ef meint vátryggingasvik eru kærð til lögreglu eða fara fyrir dómstóla. Þá kunni að reynast nauðsynlegt að veita þeim sem mál varðar framangreindar upplýsingar ef tilkynning felur í sér rangar sakargiftir. Sú meginregla sé höfð í heiðri að sá sem sakaður sé um meint vátryggingasvik sé saklaus uns sekt sé sönnuð.

Einnig vísar kvartandi til ákvörðunar Persónuverndar frá 9. nóvember 2010 í máli nr. 2010/412, en þar var komist að þeirri niðurstöðu að það fyrirkomulag hins svokallaða svikahnapps VÍS, sem þá var við lýði, þ.e. að mönnum væri sérstaklega veittur kostur á nafnlausum ábendingum, stæðist ekki kröfur 1. og 4. tölul. 1. mgr. 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

2.
Með bréfi, dags. 31. maí 2012, var VÍS veitt færi á að tjá sig um framangreinda kvörtun. Svarað var með bréfi, dags. 29. júní s.á. Þar segir að í kvörtun birtist misskilningur um málsatvik; umrædd ábending, sem barst inn á heimasíðu VÍS, hafi ekki verið tilefni þess að kvartandi var kærður til lögreglu heldur hafi hún orðið til þess að haft var samband við vitni sem kvartandi hafði tilgreint í tjónstilkynningu. Vitnið hafi sagt það rangt að kvartandi hafi dottið úr vinnuvél heldur hafi hann dottið af vélhjóli.

Vegna kröfu kvartanda um að upplýst verði um nafn þess sem sendi inn umrædda ábendingu tekur VÍS eftirfarandi fram: Gripið hafi verið til ráðstafana í framhaldi af framangreindri ákvörðun Persónuverndar frá 9. nóvember 2010 til að tryggja lögmæti umrædds svikahnapps. Í þeim felist m.a. að sett hafi verið skýr regla um hagsmunamat þegar ósk berist um upplýsingar um hver hafi sent inn ábendingu, en samkvæmt þeirri reglu þurfi hagsmunir af aðgangi að slíkum upplýsingum að vega þyngra en hagsmunir af að þær séu ekki veittar. Umrædd ábending hafi hins vegar verið send nafnlaus. Það sé því ekki á valdi VÍS að rekja IP-töluna á ábendingunni heldur lögreglu, sbr. 7. mgr. 47. gr. fjarskiptalaga nr. 81/2003. Vilji kvartandi leita réttar síns gagnvart þeim sem sendi tilkynninguna þurfi hann því að leita til hennar.

Varðandi kröfu kvartanda um bann við notkun gagna segir í bréfi VÍS:

„Krafa A um bann við notkun gagna þeirra sem samrýmast ekki lögum nr. 77/2000 er að mati VÍS fremur óljós. Ef Persónuvernd kemst að þeirri niðurstöðu að ábendingin samrýmist ekki lögum þá getur hún mælt fyrir um að ábendingunni skuli eytt. […]

Skv. 21. og 84. gr. laga um vátryggingasamninga nr. 30/2004 getur félag slitið vátryggingum fyrirvaralaust ef vátryggingartaki hefur viðhaft sviksamlega háttsemi. Félag skal þegar þessi heimild er nýtt upplýsa um möguleika til þess að bera álitaefni undir úrskurðarnefnd. A hefur nú þegar nýtt sér það úrræði sbr. 31. og 94. gr. laga nr. 30/2004.“

Einnig segir varðandi umrædda kröfu kvartanda í bréfi VÍS að rannsókn á vátryggingasvikum leiði sjaldnast til ákæru enda sönnunarbyrði erfið. Samkvæmt lögum sé þess ekki krafist að vátryggingasvik hafi verið sönnuð svo að vátryggingafélag geti fellt niður tryggingu eða eftir atvikum breytt niðurstöðu sinni um bótaskyldu. Þegar hafi verið haft samband við umrætt vitni, svik verið kærð, mál rannsakað o.s.frv. Talsvert af gögnum hafi orðið til sem ein og sér hljóti að teljast áreiðanleg.

Varðandi kröfu kvartanda um eyðingu gagna að lokinni afhendingu til hans segir í bréfi VÍS:

„Eins og fram hefur komið er uppi ómöguleiki varðandi afhendingu frekari gagna til A. A hefur nú þegar öll gögn um tilkynnanda þessarar nafnlausu ábendingar, sbr. afrit af tölvupósti þeim sem barst félaginu 19. september 2012. Ef Persónuvernd kemst að þeirri niðurstöðu að ábendingin samrýmist ekki lögum þá getur hún mælt fyrir um að ábendingunni verði eytt.“

Í niðurlagi bréfs VÍS segir að ekkert bendi til þess að upplýsingar frá umræddu vitni séu rangar. Rannsókn lögreglu og VÍS styðji þvert á móti vitnisburð þess. Upplýsingarnar feli í sér sambærilegan áreiðanleika og í mörgum öðrum vátryggingasvikamálum. Rannsóknarhagsmunir hafi valdið því að kvartandi hafi ekki verið upplýstur um vinnslu persónuupplýsinga um sig og hafi ferlið verið gagnsætt.

3.
Með bréfi, dags. 7. september 2012, var kvartanda veitt færi á að tjá sig um framangreint svar VÍS. Hann svaraði með bréfi, dags. 22. október s.á. Þar segir m.a.:

„Það er mér fullljóst að þessi ábending er óskýr, óljós, full af staðreyndavillum og með öllu röng. Þá er einnig ljóst að það fór fram opinber rannsókn af hálfu lögreglu sem var hætt í maí 2010 og þar sem meðal annars lögregla skoðaði hjólið og þann stað þar sem ég lenti í mínu vinnuslysi og komst lögregla að því að mín frásögn af mínu vinnuslysi væri í fullu samræmi við fyrri vitnisburð minn og eins komst lögregla að því að hjólið væri óskemmt.“

Í framhaldi af þessu lýsir kvartandi því að hann og umrætt vitni séu óvildarmenn vegna deilna þeirra í millum. Þá hafi vitnið átt í miklum viðskiptum við VÍS og hafi því mikla hagsmuni af að ekki komist upp að vitnisburður þess sé rangur. Auk þess hafi engin önnur vitni fundist að meintu vélhjólaslysi þrátt fyrir að lögregla hafi auglýst eftir vitnum og slysið eigi að hafa átt sér stað um miðjan dag.

Kvartandi vísar til þess að samkvæmt verklagsreglum VÍS getur reynst nauðsynlegt að gefa upp nafn þess sem sent hefur ábendingu ef meint svik eru kærð til lögreglu, borin undir dómstóla eða ef um ræðir rangar sakargiftir. Eins og hér hátti til sé kvartanda nauðsynlegt að fá nafn þess sem sendi ábendinguna eða IP-tölu svo að upplýsa megi málið, en það kæmi öllum best að taka mætti skýrslu af viðkomandi og fá að vita hvaðan hann fékk upplýsingar um kvartanda og hvers vegna hann setti inn umrædda ábendingu. Nánar segir:

„Ég hyggst leita réttar míns á þann aðila sem lagði fram vísvitandi rangar upplýsingar. Í þessum verklagsreglum virðist vera gert ráð fyrir því að þessar upplýsingar. séu veittar. Að sjálfsögðu vil ég að það sé farið eftir öllum reglum um afhendingu þessara gagna og ef lögregla getur ein krafist þessara gagna þá förum við þá leið. En það er ekki talað neitt um lögreglu í þessum reglum VÍS um meðferð upplýsinga.“

Kvartandi lýsir þeim skilningi sínum að VÍS hafi ekki virt þá grunnreglu að menn séu saklausir uns sekt er sönnuð. Í því sambandi rekur hann ýmis atriði, m.a. að myndir, sem sýna eigi rispur og tjón á vélhjóli hans, séu frá umræddu vitni sem sé óáreiðanlegt. Lögregla hafi skoðað hjólið og hafi ekkert verið að því annað en það sem hann hafi verið búinn að greina frá áður. Þá hafi vitnið sjálft athugasemdalaust tekið við greiðslu frá Sjúkratryggingum Íslands vegna slyssins..

Einnig segir í bréfi kvartanda að hann sjái ekki hvað það komi málinu við að sönnunarbyrði sé erfið í málum um meint vátryggingasvik. Hann sé saklaus af umræddum ásökunum og hafi Persónuvernd þegar komist að þeirri niðurstöðu að vátryggingasvikahnappur VÍS brjóti gegn lögum. Stofnunin hafi m.a. bent á að nafnlausar ábendingar gætu haft í för með sér alvarlegar afleiðingar fyrir einstakling þó svo að þær ættu ekki við rök að styðjast. Þá segir í bréfi kvartanda:

„Þetta var einmitt raunin í mínu tilfelli því bæði B og annar aðili eru óvildarmenn mínir í dag, þessi aðili virðist tengjast þessari tilkynningu á einhvern hátt því að þann 17.11.2011 fékk ég sms frá honum þar sem hann segir að hann sé að bera vitni gegn mér fyrir tryggingasvik. Þessi aðili hefur verið með hótanir gegn mér síðan haustið 2008.

Ég hef nú þegar kært þennan aðila til lögreglu. Í undirbúningi er önnur kæra á þennan aðila fyrir friðhelgisbrot gegn mér og fjölskyldu minni. Þessi aðili hefur ekki verið neitt í kringum mig síðan haustið 2008 og veit þar með ekkert um mitt vinnuslys eða önnur mál.“

Varðandi það að kvartandi hafi borið mál sitt undir úrskurðarnefnd um vátryggingamál, sbr. athugasemd þar að lútandi í fyrrgreindu bréfi VÍS, dags. 29. júní 2012, tekur kvartandi eftirfarandi atriði fram: Málsmeðferð í aðdraganda úrskurðar nefndarinnar – sem dagsettur er 7. desember 2011 (mál nr. 428/2011), og er þess efnis að bótaskylda sé ekki fyrir hendi – hafi verið ófullnægjandi þar sem ekki hafi verið gætt andmælaréttar gagnvart kvartanda. Kemur fram að kvartandi hefði m.a. fjallað um það í andmælum sínum að umrætt slys hafi verið tilkynnt til bæjarfélagsins D. Samkvæmt útskrift úr dagbók lögreglu, þar sem fjallað er um meðferð kæru VÍS á hendur kvartanda og fylgdi framangreindu bréfi félagsins, fékk lögregla þær upplýsingar hjá C að umsjónarmanni framkvæmda hjá bænum hefði verið kunnugt um að kvartandi hefði lent í vinnuslysi.

II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

2.
Svo að vinna megi með persónuupplýsingar þarf ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Þegar um ræðir viðkvæmar persónuupplýsingar þarf að auki að vera fullnægt einhverju viðbótarskilyrðanna í 9. gr. sömu laga. Upplýsingar um grun um refsiverða háttsemi eru viðkvæmar, sbr. b-lið 8. tölul. 2. gr. laganna. Samkvæmt 7. tölul. 1. mgr. 8. gr. er vinnsla persónuupplýsinga heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Þá er heimilt að vinna með viðkvæmar persónuupplýsingar sé það nauðsynlegt til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Það að vátryggingafélag vinni með persónuupplýsingar í tengslum við grun um vátryggingasvik getur fallið undir þessi ákvæði.

Að auki verður vinnsla persónuupplýsinga að samrýmast öllum grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000. Þar er mælt fyrir um að þess skuli gætt við meðferð persónuupplýsinga að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); séu nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); séu áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og séu varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

Hinn 9. nóvember 2010 tók Persónuvernd ákvörðun varðandi það fyrirkomulag umrædds vátryggingasvikahnapps hjá VÍS (mál nr. 2010/412), sem þá var við lýði, að veita tilkynnanda frjálst val um hvort hann sendi inn nafnlausa ábendingu eða ábendingu undir nafni. Í niðurstöðu Persónuverndar segir að í ljósi framangreindra grunnreglna sé eðlilegt, þegar opnaður sé vettvangur til tilkynninga um meint lögbrot einstaklinga, að þeir sem senda inn slíkar tilkynningar komi fram undir nafni. Sé þá einkum litið til sjónarmiða um sanngirni og áreiðanleika. Verði ekki litið fram hjá hættu á því að menn sendi í skjóli nafnleyndar inn ábendingar til þess að koma höggi á aðra. Slíkar ábendingar geti – jafnvel þótt þær eigi ekki við rök að styðjast – haft í för með sér alvarlegar afleiðingar fyrir þá sem bent er á, auk þess sem upplýsingaréttur og andmælaréttur kunni að vera brotinn á málsaðila. Í því sambandi vísaði Persónuvernd m.a. til 18. og 19. gr. laga nr. 77/2000 þar sem mælt er fyrir um rétt manna til vitneskju um vinnslu persónuupplýsinga um sig og undantekningar frá þeim rétti, m.a. þegar hagsmunir annarra vega þyngra heldur en réttur hins skráða, sbr. 2. mgr. 19. gr. Fram kemur í ákvörðun Persónuverndar að í ljósi þessa gæti tilkynnandi í ákveðnum tilvikum átt rétt á nafnleynd, en að umrætt fyrirkomulag vátryggingasvikahnappsins leiði til þess að slík nafnleynd fái meira vægi umfram upplýsingarétt hins skráða heldur en lög nr. 77/2000 geri ráð fyrir. Fyrirkomulag hnappsins samrýmist því ekki þeim lögum.

Sú ábending, sem hér um ræðir, barst VÍS þegar fyrirkomulag vátryggingasvikahnappsins var með þeim hætti sem að framan er lýst. Af því leiðir jafnframt að um var að ræða vinnslu persónuupplýsinga sem samrýmdist ekki kröfum 1. mgr. 7. gr. laga nr. 77/2000, sbr. einkum ákvæði 1. og 4. tölul. þeirrar málsgreinar. Í 1. mgr. 25. gr. laga nr. 77/2000 er mælt fyrir um skyldu til að leiðrétta persónuupplýsingar, eyða þeim eða auka við þær hafi þær verið skráðar án heimildar eða séu rangar, villandi eða ófullkomnar og slíkur annmarki getur haft áhrif á hagsmuni hins skráða. Þegar litið er til framangreinds fyrirkomulags vátryggingasvikahnapps VÍS – og þess að umrædd ábending er til þess fallin að hafa áhrif á hagsmuni kvartanda – verður þetta ákvæði talið eiga við um hana. Af þeim aðgerðum til að bregðast við atvikum, sem falla undir 1. mgr. 25. gr. og þar eru taldar upp, á einkum eyðing við eins og málum er hér háttað.

Fyrir liggur að kvartandi krefst eyðingar allra gagna um umrædda ábendingu en banns við notkun þeirra fram að því. Fyrir eyðingu verði gögnin hins vegar afhent honum, en af kvörtun verður ráðið að í því felist m.a. að upplýst verði um nafn þess sem sendi ábendinguna eða þá IP-tölu sem henni fylgdi. Fram kemur í skýringum VÍS að félagið hafi ekki nafnið undir höndum. Svo að komast megi að nafni umrædds einstaklings þarf rannsókn á tölvusamskiptum sem teljast verður þess eðlis að aðeins lögregla geti haft hana með höndum og þá að uppfylltum skilyrðum laga nr. 88/2008 um meðferð sakamála, sbr. einkum XI. kafla þeirra laga. Þá verður að telja vinnslu IP-tölu til að komast að umræddu nafni verða að tilheyra slíkri lögreglurannsókn. Persónuvernd getur því hvorki mælt fyrir um að upplýst verði um nafn viðkomandi né heldur þá IP-tölu sem fylgdi ábendingunni. Hvað varðar kröfu um afhendingu gagna um ábendinguna að öðru leyti liggur ekki annað fyrir en að eingöngu sé um að ræða ábendinguna sjálfa. Hana hefur kvartandi þegar undir höndum og þarf því ekki að verða við kröfu um að afhent verði gögn um ábendinguna.

Í samræmi við það sem fyrr greinir um 1. mgr. 25. gr. laga nr. 77/2000, sbr. og 1. mgr. 40. gr. laga nr. 77/2000, þess efnis að Persónuvernd geti lagt fyrir ábyrgðaraðila að viðhafa nauðsynlegar ráðstafanir til að tryggja lögmæti vinnslu persónuupplýsinga, eru hins vegar efni til að verða við kröfu um að VÍS eyði umræddri ábendingu um kvartanda. Í tengslum við þá kröfu er til þess að líta að kvartandi kann að hafa af því hagsmuni að ábendingin sé til áfram, þ.e. svo að hann geti lagt fram kæru hjá lögreglu vegna ábendingarinnar og óskað rannsóknar samkvæmt fyrrgreindum kafla laga um meðferð sakamála. Ekki er því hér með mælt fyrir um eyðingu umræddrar ábendingar fyrirvaralaust heldur aðeins að því gefnu að sérstök krafa þar að lútandi berist VÍS frá kvartanda sjálfum. Með vísan til 1. mgr. 40. gr. laga nr. 77/2000 er og mælt fyrir um bann við notkun ábendingarinnar svo lengi sem hún er varðveitt.


Ú r s k u r ð a r o r ð:

Sú vinnsla persónuupplýsinga, sem fólst í meðferð nafnlausrar ábendingar til VÍS um meint vátryggingasvik A, samrýmdist ekki kröfum 1. mgr. 7. gr. laga nr. 77/2000. Ef Vátryggingafélagi Íslands hf. berst sérstök krafa frá A um eyðingu ábendingar um meint vátryggingasvik hans, sem félaginu barst hinn 19. september 2010, skal því orðið við þeirri kröfu. Svo lengi sem ábendingin er varðveitt er notkun hennar óheimil.