Varðveisla sakavottorða hjá Akureyrarbæ - mál nr. 2013/512

3.9.2013

Reykjavík, 23. júlí 2013

Efni: Leiðbeinandi álit um varðveislu sakavottorða.

 

I.

Erindi Akureyrarbæjar

Persónuvernd vísar til bréfs yðar, f.h. Akureyrarbæjar, dags. 11. apríl 2013, þar sem óskað er eftir áliti stofnunarinnar um varðveislu sakavottorða þeirra sem sækja um störf þar sem unnið er með börnum, fötluðum eða öldruðum. Nánar tiltekið segir í erindi yðar:

 

„Þegar sveitarfélög ráða starfsmenn til starfa með börnum, s.s. hjá barnaverndarnefnd, í leikskólum, grunnskólum, íþróttaheimilum eða til æskulýðsstarfa er þeim skylt að kanna hjá Sakaskrá hvort viðkomandi hafi brotið gegn tilteknum ákvæðum eða köflum almennra hegningarlaga nr. 19/1940 og skal sakavottorð liggja fyrir við ráðningu. Akureyrarbær hefur sett leiðbeiningar, sem byggja á samþykktum viðkomandi fagnefnda, um að sama eigi við um aldraða og fatlaða.

Upp hefur komið meiningarmunur milli Akureyrarbæjar og Héraðsskjalasafnsins á Akureyri, [um] hvort skylt sé að geyma upplýsingar frá Sakaskrá. Hér er átt við upplýsingar í formi sakavottorða, sem bera m.a. með sér að viðkomandi umsækjandi sé á sakaskrá.

Með vísan til 4. og 6. [tölul. 1. mgr.] 9. gr. laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000 óska Akureyrarbær og Héraðsskjalasafnið eftir því að Persónuvernd leysi úr þeim meiningarmun, hvort persónuupplýsingar skuli teljast viðkvæmar eða ekki og hvort skylt sé að geyma sakavottorð með öðrum ráðningargögnum (gögn sem verða til við starfsumsókn) eða hvort heimilt sé að eyða sakavottorðum þegar ákvörðun um ráðningu liggur fyrir.“

 

Um rök Akureyrarbæjar fyrir eyðingu sakavottorða segir eftirfarandi:

 

„Akureyrarbær telur að öflun upplýsinga hvort umsækjandi sé á sakaskrá sé vinnsla viðkvæmra persónuupplýsinga, sem er með sérstakri heimild og er háð samþykki umsækjanda samkvæmt 9. gr. laga [...] nr. 77/2000.

Akureyrarbær telur að ráðningaraðila sé skylt að eyða sakavottorði, sem ber m.a. með sér að umsækjandi sé á sakaskrá, þegar ráðningarferli er lokið, þar sem um mjög viðkvæmar persónuupplýsingar sé að tefla, [skv.] b-lið 8. gr. laga [...] nr. 77/2000.

Þegar sótt er um starf hjá Akureyrarbæ með börnum, ungmennum, öldruðum og fötluðum er umsækjandi beðinn um að skrifa undir samþykki að afla megi sakvottorðs hjá Sakaskrá. Umsækjandi gefur því sérstaka og ótvíræða yfirlýsingu af fúsum og frjálsum vilja um að hann sé samþykkur öflun sakavottorðs skv. 7. gr. laganna. Honum er einnig kunnugt um tilgang öflunar sakavottorðs og hvernig persónuvernd er tryggð, en í leiðbeiningum bæjarins um öflun sakavottorðs kemur fram að eyða skuli öllum upplýsingum um sakavottorð, um leið og gengið er frá ráðningu og ef viðkomandi sæki aftur um starf eftir einhvern tíma, þarf að biðja um upplýsingar að nýju.

Akureyrarbær byggir m.a. á 26. gr. laga [...] nr. 77/2000 og telur að skylt sé að eyða þessum upplýsingum þegar ráðningarferli er lokið, þar sem ekki er lengur málefnaleg ástæða til að varðveita persónuupplýsingarnar.“

 

Um rök Héraðsskjalasafnsins á Akureyri fyrir varðveislu gagnanna segir:

 

„Héraðsskjalasafn byggir á 7. gr. laga um Þjóðskjalasafn nr. 66/1985, þar sem segir að afhendingarskyldum aðilum sé óheimilt að ónýta nokkurt skjal í skjalasöfnum sínum nema heimild Þjóðskjalasafns komi til eða samkvæmt sérstökum reglum sem settar verða um ónýtingu skjala.

Héraðsskjalasafn bendir jafnframt á 27. gr. upplýsingalaga nr. 140/2012 þar sem kveðið er á um að við meðferð mála þar sem taka á ákvörðun um rétt eða skyldu manna beri stjórnvöldum að skrá upplýsingar um málsatvik sem veittar eru munnlega eða viðkomandi fær vitneskju um með öðrum hætti ef þær hafa þýðingu fyrir úrlausn máls og er ekki að finna í öðrum gögnum þess.

Í meðfylgjandi upplýsingum frá Þjóðskjalasafni til Héraðsskjalasafns bendir Þjóðskjalasafn jafnframt á 26. gr. upplýsingalaga nr. 140/2012 og 5. gr. laga um Þjóðskjalasafn nr. 66/1985 og telur að öll umsóknargögn, þ.m.t. sakavottorð eigi að varðveita, þar sem skjalið varðar afgreiðslu málsins. Samkvæmt túlkun Þjóðskjalasafns er sakavottorð því varðveisluskylt með málinu þar sem skjalið varðar afgreiðslu málsins.“

 

Með bréfi bæjarlögmanns fylgdu jafnframt afrit af tölvubréfum milli Þjóðskjalasafns Íslands og héraðsskjalastjóra, dags. 7. mars 2013, og bæjarlögmanns og héraðsskjalastjóra, dags. 14. mars 2013, sem og leiðbeiningar Akureyrar fyrir öflun sakavottorða. Í tölvubréfi héraðsskjalastjóra til bæjarlögmanns, dags. 14. mars 2013, er jafnframt vísað til álits umboðsmanns Alþingis í máli nr. 4686/2006, þar sem segir eftirfarandi um varðveisluskyldu stjórnvalda á starfsumsóknum og fylgigögnum þeirra:

 

„Benti umboðsmaður á að í 22. gr. upplýsingalaga nr. 50/1996 væri kveðið á um þá skyldu stjórnvalda að skrá mál sem kæmu til meðferðar hjá þeim á kerfisbundinn hátt og varðveita málsgögn þannig að þau væru aðgengileg. Fæli þetta í sér að stjórnvöldum bæri almennt að tryggja að þær upplýsingar sem þau byggðu ákvarðanir sínar á lægju áfram fyrir hjá þeim eftir lok máls. Minnti umboðsmaður í því sambandi einnig á að samkvæmt 15. gr. stjórnsýslulaga nr. 37/1993 ætti aðili máls rétt til aðgangs að gögnum þess og gilti sá réttur einnig eftir að ákvörðun hefði verið tekin. Varðveisla gagna væri meðal annars forsenda þess að upplýsingaréttur aðila máls gæti orðið raunhæfur og virkur. Þá hvíldi sú almenna skylda á stjórnvöldum, samkvæmt 5. gr. laga nr. 66/1985, um Þjóðskjalasafn Íslands, að afhenda safninu skjöl sín til varðveislu. Ekki yrði séð að gögn sem til yrðu og aflað væri við meðferð mála um opinberar stöðuveitingar væru undanskilin skilaskyldu samkvæmt þessu ákvæði. “

 

Í tölvubréfi Þjóðskjalasafns Íslands til Héraðasskjalasafnsins á Akureyri, dags. 7. mars 2013, segir m.a.:

 

„Um sakavottorð gildir hið sama og fyrir önnur fylgigögn starfsumsókna, eins og starfsferilskrár og óbirt fylgigögn sem umsækjandi lætur fylgja umsókn, en slík gögn þarf stofnun að varðveita sem erindi til viðkomandi stofnunar. Mat og umsagnir stofnunar um umsækjendur og afrit af svörum til umsækjanda þarf ennfremur að varðveita sem gögn um afgreiðslu málsins, sbr. 26. gr. upplýsingalaga nr. 140/2012 og 5. gr. laga um Þjóðskjalasafn Íslands nr. 66/1985.“

 

Þá segir eftirfarandi í leiðbeiningum Akureyrar fyrir öflun sakavottorða um varðveislu þeirra:

 

„Munið að eyða þarf öllum upplýsingum sem koma úr sakaskrám um leið og gengið hefur verið frá ráðningu og ef viðkomandi sækir aftur um starf eftir einhvern tíma þarf að biðja um upplýsingar að nýju.“

 

Með bréfi, dags. 16. maí 2013, óskaði Persónuvernd eftir afstöðu Þjóðskjalasafns Íslands til erindis Akureyrarbæjar. Í svarbréfi Þjóðskjalasafns Íslands, dags. 31. maí 2013, segir m.a.:

 

„Afhendingarskyldum aðilum er óheimilt að eyða nokkru skjali í skjalasöfnum sínum nema með heimild Þjóðskjalasafns eða samkvæmt sérstökum reglum sem settar verða um ónýtingu skjala sbr. 7. gr. laga nr. 66/1985 um Þjóðskjalasafn Íslands. Það er mat Þjóðskjalasafns Íslands að tilvist viðkvæmra persónuupplýsinga í opinberum skjölum eða málsgögnum hvorki kalli á né réttlæti eyðingu þeirra. Það að afhendingarskyldir aðilar hafi viðkvæmar persónuupplýsingar í sínum skjalasöfnum ítrekar aðeins mikilvægi þess að með þau sé farið samkvæmt lögum nr. 77/2000 um meðferð persónuupplýsinga og annarra laga um aðgengi að opinberum upplýsingum, svo sem ákvæði 9. gr. upplýsingalaga nr. 140/2012 um takmarkaðan upplýsingarétt vegna einkahagsmuna, bæði hjá viðkomandi skjalamyndara og síðan hjá Þjóðskjalasafni eða héraðsskjalasafni eftir að gögnin eru þangað komin til varðveislu.“

Um varðveislu sakavottorða segir eftirfarandi í bréfi Þjóðskjalasafns:

„Sakavottorða sem aflað er vegna ráðninga í störf hjá stjórnvöldum ber að varðveita ásamt öðrum málsgögnum viðkomandi máls, enda geta þau, eins og önnur umsóknargögn, haft áhrif á hvort viðkomandi var ráðinn eða ekki. Í þessu samhengi má benda á álit umboðsmanns Alþingis í máli nr. 4686/2006 þar sem minnt var á að varðveisla gagna væri forsenda þess að upplýsingaréttur væri virkur og raunhæfur en samkvæmt 15. gr. stjórnsýslulaga nr. 37/1993 ætti aðili máls rétt til aðgangs að gögnum þess og gilti sá réttur einnig eftir að ákvörðun hefði verið tekin. Í skjölum sem innihalda viðkvæmar persónuupplýsingar eru oftar en ekki upplýsingar sem varða hagsmuni einstaklinga, s.s. hvernig þjónustu þeir hafa fengið frá hinu opinbera eða hvernig mál þeirra hefur verið afgreitt af hálfu stjórnvalda.[...]

Vilji Akureyrarbær eyða sakavottorðum úr starfsumsóknum bæjarins þarf sveitarfélagið að sækja um heimild til þess hjá Þjóðskjalasafni.“

 

II.

Álit Persónuverndar

1.

Eins og að framan greinir hefur bæjarlögmaður Akureyrarbæjar óskað eftir áliti Persónuverndar um eftirtalin atriði:

a) hvort upplýsingar úr sakaskrá teljist viðkvæmar persónuupplýsingar og

b) hvort skylt sé að geyma sakavottorð með öðrum ráðningargögnum (gögn sem verða til við starfsumsókn) eða hvort heimilt sé að eyða sakavottorðum þegar ákvörðun um ráðningu liggur fyrir.

Með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga veitir Persónuvernd eftirfarandi leiðbeinandi álit um framangreindar spurningar.

 

2.

Samkvæmt lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga verður vinnsla, þ.á m. varðveisla, slíkra upplýsinga ávallt að falla undir einhverja af heimildum 8. gr. laganna. Þegar um ræðir vinnslu persónuupplýsinga, sem fram fer á vegum stjórnvalda, geta einkum átt við 3., 5. og 6. tölul. 1. mgr., þess efnis að vinnsla persónuupplýsinga er heimil sé hún nauðsynleg til að fullnægja lagaskyldu, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds. Sé um viðkvæmar persónuupplýsingar að ræða verður einnig að uppfylla eitthvert af skilyrðum 9. gr. sömu laga. Þá getur ákvæði 7. tölul. 1. mgr. átt við, þess efnis að vinnsla persónuupplýsinga er heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

 

Í því máli sem hér um ræðir er um að ræða persónuupplýsingar úr sakaskrám, þar sem færðar eru tilteknar upplýsingar um sakamál. Samkvæmt skilgreiningu b-liðar 8. tölul. 2. gr. laga nr. 77/2000 eru upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað taldar vera viðkvæmar persónuupplýsingar. Er því fyrri spurningu bæjarlögmanns svarað játandi.

 

3.

Í erindi bæjarlögmanns Akureyrarbæjar er þess ekki óskað að Persónuvernd tjái sig um heimild sveitarfélagsins fyrir öflun sakavottorða við ráðningu í störf. Aftur á móti bendir bæjarlögmaður á að skylt sé að afla upplýsinga úr sakaskrá ef starfið varðar barnavernd, sbr. 2. mgr. 36. gr. barnaverndarlaga nr. 80/2002, leikskóla, sbr. 3. mgr. 6. gr. laga um leikskóla nr. 90/2008, íþróttaheimili, sbr. 3. mgr. 11. gr. laga um grunnskóla nr. 91/2008 og æskulýðsstörf, sbr. 3. mgr. 10. gr. æskulýðslaga nr. 70/2007. Í sumum tilvikum, n.t.t. í þeim tilvikum þar sem börn koma saman eða dveljast um lengri eða skemmri tíma, eiga yfirmenn skóla, leikskóla, sumardvalarheimila, íþrótta- og tómstundamiðstöðva og annarra slíkra stofnana rétt til upplýsinga úr sakaskrá um það hvort tiltekinn maður, sem sótt hefur um starf á þeirra vegum, hafi hlotið dóm vegna brota á ákvæðum XXII. kafla alm. hgl. nr. 19/1940, að fengnu samþykki hans. Af framangreindu virðist mega ráða að í slíkum tilvikum byggi sveitarfélagið öflun upplýsinga úr sakaskrám á 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000, en þó hafi einnig fengist samþykki viðkomandi umsækjanda. Hafi samþykki verið veitt í samræmi við skilgreiningu 7. tölul. 2. gr. laganna, verður að telja að einnig séu uppfyllt 1. tölul. 1. mgr. 8. og 9. gr. laga nr. 77/2000.

 

Í öðrum tilvikum, n.t.t. varðandi aldraða og fatlaða, hefur bæjarlögmaður vísað til þess að Akureyrarbær hafi sett sér leiðbeiningar, sem byggja á samþykktum viðkomandi fagnefnda, þar sem segir að sakavottorð umsækjanda skuli jafnframt liggja fyrir í þeim tilvikum þar sem unnið er með öldruðum eða fötluðum. Í þessu samhengi vill Persónuvernd benda á að sömu sjónarmið eiga við um störf sem unnin eru í þágu þjónustu við fatlað fólk og um störf sem varða barnavernd, sbr. 2. mgr. 43. gr. laga nr. 59/1992 um málefni fatlaðs fólks. Eiga því sömu sjónarmið við um heimildir Akureyrarbæjar skv. ákvæðum laga nr. 77/2000 varðandi öflun upplýsinga úr sakaskrám umsækjenda að störfum tengd þjónustu fatlaðra og þegar ráðið er í starf er varðar barnavernd.

 

Varðandi umsækjendur að störfum er tengjast öldruðum bendir Persónuvernd á að sveitarfélagið hefur ekki vísað til sérstakrar lagaheimildar til stuðnings öflun sakavottorða. Aftur á móti segist sveitarfélagið ætla að óska eftir sakavottorði umsækjenda á grundvelli upplýsts samþykkis, í samræmi við áðurnefndar leiðbeiningar sveitarfélagsins. Í ljósi framangreinds virðist sveitarfélagið einvörðungu ætla að byggja öflunina á samþykki umsækjanda, sbr. 1. tölul. 1. mgr. 8. og 9. gr. laga nr. 77/2000. Persónuvernd telur að almennt verði að standa lagaheimild til vinnslu persónuupplýsinga sem fer fram á vegum stjórnvalda eða sveitarfélaga, og því þyrfti að kveða á um slíka heimild til handa sveitarfélaginu í lögum, líkt og nú tíðkast um störf er tengjast börnum eða þjónustu við fatlað fólk, í samræmi við lögmætisreglu stjórnsýsluréttarins.

 

4.

Sé heimild til staðar skv. 8. og 9. gr. laga nr. 77/2000 fyrir öflun upplýsinga úr sakavottorði er unnt að skoða nánar þær reglur sem gilda um seinni spurningu bæjarlögmanns Akureyrarbæjar, n.t.t. um varðveislu sakavottorða hjá sveitarfélaginu.

 

Auk framangreindra ákvæða 8. og 9. gr. laga nr. 77/2000 ber að líta til grunnkrafna 7. gr. laganna, en þeim verður ávallt að vera fullnægt við vinnslu persónuupplýsinga. Þar er m.a. mælt fyrir um að þess skuli gætt við vinnslu persónuupplýsinga að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á skráða aðila lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

 

Þá skal ábyrgðaraðili samkvæmt 11. gr. laganna gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. Þá ber ábyrgðaraðila jafnframt að eyða persónuupplýsingum þegar ekki er lengur málefnaleg ástæða til að varðveita þær, sbr. 1. mgr. 26. gr. laga nr. 77/2000. Málefnaleg ástæða til varðveislu upplýsinga getur m.a. byggst á fyrirmælum í lögum.

 

Í ljósi áðurnefndra ákvæða 5. tölul. 7. gr. og 1. mgr. 26. gr. laga nr. 77/2000 er það lagt í hendur ábyrgðaraðila að meta hvenær ekki er lengur málefnaleg ástæða til að varðveita upplýsingar. Aftur á móti hvíla auknar skyldur á stjórnvöldum um varðveislu gagna sem stofnunin fær í hendur, á grundvelli laga nr. 66/1985 um Þjóðskjalasafn Íslands.

 

Samkvæmt 5. gr. laga nr. 66/1985 skulu m.a. stofnanir sem heyra undir stjórnarráðið og aðrar stofnanir í eigu ríkisins afhenda Þjóðskjalasafni skjöl sín til varðveislu. Þá segir í 7. gr. laganna að afhendingarskyldum aðilum sé óheimilt að ónýta nokkurt skjal í skjalasöfnum sínum nema heimild Þjóðskjalasafns komi til eða samkvæmt sérstökum reglum sem settar verða um ónýtingu skjala. Er framangreint loks áréttað í 26. gr. upplýsingalaga nr. 140/2012, þar sem segir að um skráningu mála, skjalaskrár og aðra vistun gagna og upplýsinga fari að ákvæðum laga um Þjóðskjalasafn Íslands.

 

Það fellur í hlut Þjóðskjalasafns Íslands, en ekki Persónuverndar, að túlka skilyrði 5. og 7. gr. laga nr. 66/1985. Í erindi Þjóðskjalasafns Íslands til Persónuverndar, dags. 31. maí sl., segir að varðveita beri sakavottorð sem aflað er vegna ráðninga í störf hjá stjórnvöldum, enda geti slík gögn hafa haft áhrif á hvort viðkomandi var ráðinn eða ekki. Verði því að telja að sakavottorð séu í slíkum tilvikum skilaskyld gögn í skilningi ákvæðis 5. gr. laga nr. 66/1985. Verður mat Persónuverndar að ráðast af framangreindri afstöðu Þjóðskjalasafns Íslands.

 

Með vísun til alls framangreinds telur Persónuvernd að framangreind ákvæði í lögum nr. 66/1985 um Þjóðskjalasafn Íslands hafi að geyma fyrirmæli um varðveislu gagna.  Í ljósi þessa verður að telja að í þessu máli liggi fyrir málefnaleg ástæða fyrir varðveislu, sbr. 1. mgr. 26. gr. laga nr. 77/7000. Því er síðari spurningu Akureyrarbæjar einnig svarað játandi. Þá hvílir rík skylda á sveitarfélaginu að gæta að öryggi upplýsinganna í samræmi við fyrirmæli 11. gr. laga nr. 77/2000.

 

Er framangreind túlkun í samræmi við ákvæði 15. gr. stjórnsýslulaga nr. 37/1993 þar sem segir að aðili máls eigi rétt á aðgangi að skjölum og öðrum gögnum er mál varða, sem og ákvæði 18. gr. laga nr. 77/2000 þar sem fjallað er um rétt hins skráða til að fá vitneskju um tiltekin atriði, m.a. um hvaða upplýsingar er eða hefur verið unnið með um hann.

 

Álit þetta verður birt á heimasíðu Persónuverndar.