Afhending kjörskrárstofna til stjórnmálaflokka - 2013/828

28.3.2014

 

Álit

Hinn 13. mars 2014 samþykkti stjórn Persónuverndar, með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000, svohljóðandi álit í máli nr. 2013/828:

 

I.

Erindi Þjóðskrár Íslands

og frekari bréfaskipti

Persónuvernd vísar til bréfs Þjóðskrár Íslands, dags. 2. júlí 2013, þar sem óskað er eftir áliti stofnunarinnar á því hvort Þjóðskrá Íslands sé heimilt að afhenda afrit kjörskrárstofna til stjórnmálaflokka eða til annarra aðila en sveitarstjórna. Þá er þess einnig óskað að Persónuvernd veiti áliti sitt á því hvort önnur sjónarmið eigi við eftir því hvort gögnin séu afhent á pappír eða á pdf-skjali.

 

Í fyrrnefndu bréfi Þjóðskrár segir að Þjóðskrá hafi verið falið af innanríkisráðuneytinu að afhenda stjórnmálaflokkum í aðdraganda alþingiskosninga afrit af kjörskrárstofnum, sem og lista og límmiða um tiltekna hópa kjósenda, t.d. þá sem eru að kjósa í fyrsta sinn. Í kjörskrárstofni koma fram upplýsingar um lögheimili, kyn, nafn og kennitala einstaklinga með kosningarrétt.

 

Í bréfinu segir einnig að ekki sé að finna ákvæði í lögum sem heimili Þjóðskrá að afhenda kjörskrárstofna öðrum aðilum en sveitarstjórnum. Byggist miðlunin, síðast í apríl 2013 í aðdraganda alþingiskosninga, á hefð sem hafi verið útfærð með þeim hætti að forsætisráðuneytið beini því til innanríkisráðuneytisins að farið sé fram á að Þjóðskrá verði falið að afhenda hverjum stjórnmálaflokki umræddar upplýsingar.

 

Um framangreint, þ.e. afhendingu afrita kjörskrárstofna til stjórnmálaflokka, segir eftirfarandi í bréfi Þjóðskrár:

„Hjá Þjóðskrá Íslands (áður Þjóðskrá) hefur tíðkast í aðdraganda alþingiskosninga að afhenda stjórnmálaflokkum afrit af kjörskrárstofnum, en auk þess lista og límmiða ýmis konar[...]. Þetta hefur gengið þannig fyrir sig að forsætisráðuneytið hefur beint því til innanríkisráðuneytisins að fela Þjóðskrá að afhenda hverjum stjórnmálaflokki um sig umrædd gögn endurgjaldslaust. Í kjölfarið hefur Þjóðskrá afhent framkvæmdastjórum stjórnmálaflokkanna gögnin.

Um meðferð kjörskrárstofna og útgáfu kjörskrár er fjallað í VI. kafla laga um kosningar til Alþingis nr. 24/2000.[...] Í lögum er ekki að finna ákvæði sem heimilar Þjóðskrá Íslands að afhenda kjörskrárstofna öðrum aðilum en sveitarstjórnum.

Fyrir alþingiskosningarnar í apríl sl. var sem fyrr farið fram á að Þjóðskrá Íslands afhenti umrædd gögn til þeirra stjórnmálaframboða sem eftir því leituðu. Innanríkisráðuneytið féllst á tillögur Þjóðskrár Íslands um að afhenda önnur gögn en límmiða á pdf-formi, óskuðu stjórnmálaframboðin eftir því, en ella á pappírsformi eins og tíðkast hefði.[...]“

 

Með bréfi, dags. 14. ágúst sl., óskaði Persónuvernd eftir nánari upplýsingum frá Þjóðskrá Íslands um hvaða heimild í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga stofnunin styðji umrædda miðlun við sem þegar hefur farið fram til stjórnmálaflokka, síðast í apríl 2013. Var þess óskað að það kæmi skýrt fram ef miðlunin styðjist við fyrirmæli í settum lögum eða reglugerðum. Ef svo væri ekki, var þess óskað að fram kæmi hvort Þjóðskrá telji miðlunina samræmast lögmætisreglu stjórnsýslulaga, sem og hvort miðlunin samræmist tilgangi kjörskrárstofna, sbr. 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

 

Barst Persónuvernd svarbréf Þjóðskrár Íslands, dags. 26. ágúst 2013, þann 3. september s.á. Í bréfinu sagði m.a. að stofnunin telji umrædda afhendingu á kjörskrárstofni ekki eiga sér lagastoð, hvorki í lögum nr. 24/2000 né í lögum nr. 77/2000. Þá telji stofnunin einnig að afhendingin samræmist ekki tilgangi kjörskrárstofna, sbr. 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000. Auk þess benti Þjóðskrá á að mögulega hefðu kjósendur ekki notið verndar samkvæmt reglum nr. 36/2005 um bannskrá Þjóðskrár, sbr. 28. gr. laga nr. 77/2000, í þeim tilvikum sem stjórnmálaflokkarnir hefðu notað kjörskrárstofnana sem úthringilista í aðdraganda alþingiskosninga. Vísaði Þjóðskrá loks til þess að á árinu 2013 hefði afhendingin farið fram á grundvelli fyrirmæla innanríkisráðuneytisins sem komu fram í bréfi ráðuneytisins, dags. 9. apríl 2013. Fylgdi afrit af bréfinu með erindi Þjóðskrár, en í því segir m.a.:

„Í minnisblaði forsætisráðuneytisins til innanríkisráðuneytisins, dags. 11. mars 2013, er þess farið á leit að innanríkisráðuneytið feli Þjóðskrá Íslands, samkvæmt hefð, að afhenda stjórnmálasamtökum er hyggjast bjóða fram við alþingiskosningarnar 27. apríl 2013, og þess óska, eftirfarandi gögn án endurgjalds[...].“

 

Með bréfi, dags. 19. september 2013, óskaði Persónuvernd eftir upplýsingum frá innanríkisráðuneytinu, nánar tiltekið um hvaða lagaheimild ráðuneytið styðji framangreind fyrirmæli sín við, sbr. bréf ráðuneytisins til Þjóðskrár, dags. 9. apríl 2013.

 

Í svarbréfi innanríkisráðuneytisins, dags. 27. janúar 2014, segir m.a. um meðferð kjörskrárstofna:

„Um meðferð kjörskrárstofna og útgáfu kjörskrár er fjallað í VI. kafla laga nr. 24/2000 um kosningar til Alþingis. Í lögunum er mælt fyrir um að sveitarstjórnir skuli gera kjörskrár á grundvelli kjörskrárstofna og birta opinberlega 10 dögum fyrir kosningar. Sambærilegt ákvæði er í III. kafla laga nr. 5/1998 um kosningar til sveitarstjórna. Skýr lagaheimild er því fyrir opinberri birtingu kjörskrár.“

 

Um afhendingu kjörskrárstofna og lögmæti slíkrar afhendingar segir eftirfarandi í bréfi innanríkisráðuneytisins:

„Auk framangreindrar birtingar [kjörskrár] hefur áratugum saman tíðkast að afhenda þeim stjórnmálasamtökum sem hyggjast bjóða fram í viðkomandi kosningum og sem hafa leitað eftir því, afrit kjörskrárstofna eins og þeir eru sendir sveitarfélögum. Þó ekki sé kveðið á um þessa afhendingu með skýrum hætti í kosningalöggjöfinni byggir hún á langri og ríkri hefð í samskiptum stjórnarráðsins og stjórnmálasamtaka sem hyggjast bjóða fram og hefur þar verið gætt fyllsta jafnræðis milli framboðsaðila.

Þessi afhending kjörskrárstofnsins er grundvölluð á því að það sé í þágu lýðræðisins að auðvelda þeim sem bjóða sig fram í kosningum að ná eyrum kjósenda. Þá stuðli þessi framkvæmd af gagnsæi við gerð kjörskrár, en afar mikilvægt er að bæði kjósendum og framboðum sé kleift að sannreyna hverjir séu skráðir á kjörskrá og koma að athugasemdum, telji þeir þörf á, sbr. 27. gr. laga um kosningar til Alþingis. Koma þessi sjónarmið m.a. fram í kosningaeftirlitshandbókum Öryggis- og samvinnustofnunar Evrópu (ÖSE).

Undanfarnar kosningar hefur kjósendum verið boðið upp á að fletta sér upp í kjörskrá með rafrænum hætti til að kana hvort og þá hvar þeir séu skráðir á kjörskrá, þó ekki sé fyrir því sérstök lagaheimild. Ráðuneytinu er ekki kunnugt um að Persónuvernd hafi gert athugasemdir við þá framkvæmd. Afhending kjörskrárstofnsins til framboðsaðila byggir á þessum sömu sjónarmiðum.“

Loks segir eftirfarandi í bréfi ráðuneytisins:

„Í ljósi þeirra efasemda sem fram hafa komið af hálfu Þjóðskrár Íslands um lagastoð þessarar framkvæmdar mun ráðuneytið kanna það við endurskoðun kosningalöggjafarinnar hvort þörf sé á að kveða á um það með skýrum hætti að afhending umræddra gagna til framboðsaðila sé heimil. Ljóst er þó að slíkri endurskoðun verður ekki lokið fyrir sveitarstjórnarkosningar sem fram fara 31. maí nk. Ráðuneytið gerir því ráð fyrir því að framboðsaðilum við sveitarstjórnarkosningar verði að öllu óbreyttu afhent umrædd gögn með sama hætti og verið hefur, komi fram beiðni um slíkt.“

II.

Álit Persónuverndar

1.

Eins og að framan greinir hefur Þjóðskrá Íslands óskað eftir áliti Persónuverndar um eftirtalin atriði:

a) hvort Þjóðskrá sé heimilt að afhenda afrit kjörskrárstofna til stjórnmálaflokka eða til annarra aðila en sveitarstjórna og

b) hvort önnur sjónarmið eigi við eftir því hvort kjörskrárstofnar séu afhentir á pappír eða á pdf-skjali.

Með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga veitir Persónuvernd eftirfarandi álit um framangreindar spurningar.

2.

Þau lög, sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

 

Með vísan til framangreinds er ljóst að miðlun kjörskrárstofna, þar sem fram koma upplýsingar um kyn, nafn, kennit[ölu] og lögheimili einstaklinga með kosningarrétt, frá Þjóðskrá Íslands til þriðja aðila fellur undir gildissvið laga nr. 77/2000.

 

3.

Að því marki sem um er að ræða vinnslu almennra persónuupplýsinga um einstaklinga, þ. á m. miðlun slíkra upplýsinga til þriðja aðila, er tekið fram að hún verður að samrýmast einhverju af skilyrðum 8. gr. laga nr. 77/2000 svo hún sé heimil. Þegar um ræðir vinnslu persónuupplýsinga, sem fram fer á vegum stjórnvalda, geta einkum átt við 3., 5. og 6. tölul. 1. mgr., þess efnis að vinnsla persónuupplýsinga er heimil sé hún nauðsynleg til að fullnægja lagaskyldu, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds.

 

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

4.

Í VI. kafla laga nr. 24/2000 um kosningar til Alþingis er fjallað um kjörskrár, gerð þeirra og birtingu. Samkvæmt 22. gr. laganna skulu sveitarstjórnir gera kjörskrár á grundvelli kjörskrárstofna, sem Þjóðskrá Íslands lætur þeim í té, þegar boðað hefur verið til almennra alþingiskosninga. Er sambærilegt ákvæði að finna í lögum nr. 5/1998 um kosningar til sveitarstjórna, sbr. ákvæði 4. gr. þeirra laga. Þá skal innanríkisráðuneytið eigi síðar en 12 dögum fyrir kjördag birta í útvarpi og dagblöðum auglýsingu um framlagningu þjóðskrár, sbr. 25. gr. laga nr. 54/2006 og 8. gr. laga nr. 5/1998, og einnig skal kjörskrá liggja frammi almenningi til sýnis á skrifstofu sveitarstjórnar eða öðrum hentugum stað eigi síðar en tíu dögum fyrir kjördag, sbr. 1. mgr. 26. gr. laga nr. 54/2006 og 1. mgr. 9. gr. laga nr. 5/1998. Loks segir í 1. gr. laga nr. 36/1945 um framboð og kjör forseta Íslands að um kjörskrár til afnota við kjör forseta Íslands fari á sama hátt og við alþingiskosningar.

 

Samkvæmt 2. tölul. 3. gr. laga nr. 54/1962 um þjóðskrá og almannaskráningu lætur Þjóðskrá Íslands sveitarstjórnum í té stofn að kjörskrá, þá er forsetakosningar, alþingiskosninga eða sveitarstjórnarkosningar eiga að fara fram. Þá segir í 2. mgr. 21. gr. laganna að sveitarfélög eigi, án þess að sérstök greiðsla komi fyrir, rétt á árlegum íbúaskrám samkvæmt 9. gr. laganna og kjörskrárstofni samkvæmt 2. tölul. 3. gr. og auk þess njóta þau upplýsingaþjónustu Þjóðskrár Íslands samkvæmt 18. gr. laganna. Þá lætur Þjóðskrá Íslands opinberum aðilum og öðrum í té aðrar skrár en þær sem um ræðir í 1. og 2. tölul. 3. gr. laga nr. 54/1962, endurgjaldslaust eða gegn greiðslu, hvort tveggja samkvæmt nánari ákvörðunum innanríkisráðuneytisins, sbr. 3. tölul. 3. gr. laganna.

5.

Af framangreindum ákvæðum í lögum nr. 54/2006 um kosningar til Alþingis, nr. 5/1998 um kosningar til sveitarstjórna og 54/1962 um þjóðskrá og almannaskráningu liggur ljóst fyrir að Þjóðskrá Íslands er skylt að afhenda sveitarstjórnum kjörskrárstofna í aðdraganda forseta-, alþingis- og sveitarstjórnarkosningar, sbr. 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

 

Aftur á móti er hvergi í framangreindum lagabálkum vikið að afhendingu kjörskrárstofna til handa öðrum en sveitarstjórnum, hvorki stjórnmálaflokkum né öðrum aðilum. Þess í stað hefur Þjóðskrá Íslands skv. nánari ákvörðunum innanríkisráðuneytisins verið falið það hlutverk að láta opinberum aðilum og öðrum í té aðrar skrár en kjörskrárstofna, sbr. 3. tölul. 3. gr. laga nr. 54/1962. Af framangreindu, sem og í ljósi gagnályktunar frá 2. tölul. 3. gr. laga nr. 54/1962, sbr. 3. tölul. sama ákvæðis, verður ekki séð að Þjóðskrá Íslands sé heimilt að afhenda umrædda kjörskrárstofna á grundvelli 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

 

Í ljósi lögmætisreglu stjórnsýsluréttarins, þ.e. þeirrar reglu að athafnir stjórnvalda skulu eiga sér stoð í lögum, verður að líta svo á setja verði víðtækri vinnslu persónuupplýsinga á vegum stjórnvalds, líkt og um ræðir í þessu máli, skýran lagaramma. Við mat á því hvort fyrrgreind ákvæði 8. gr. laga nr. 77/2000 renni stoðum undir vinnslu persónuupplýsinga á vegum stjórnvalda er m.a. litið til þess hvort slíkur lagarammi sé til staðar.

 

Hafa ber í huga að sú löggjöf sem Þjóðskrá Íslands starfar eftir er komin til ára sinna og hafa þau meðal annars ekki að geyma tæmandi lýsingu á hlutverkum og verkefnum Þjóðskrár Íslands eins og hún er nú starfrækt. Má því telja æskilegt að sú löggjöf verði uppfærð þannig að hún kveði með skýrum hætti á um þau verkefni sem Þjóðskrá er ætlað að sinna. Sé það ætlun löggjafans að umrædd miðlun sé heimil væri eðlilegt að ákvæði þar að lútandi yrði fært í slíka löggjöf. Í ljósi þess að slíkt ákvæði skortir telur Persónuvernd vafa leika á um að miðlunin sé heimil.

 

6.

Að því er varðar síðari spurningu Þjóðskrár Íslands er því til að svara að sé heimild til staðar skv. 8. gr. laga nr. 77/2000 fyrir miðlun persónuupplýsinga af þessum toga ber ábyrgðaraðila að gæta að kröfum 11. gr. sömu laga þar sem fjallað er um áhættumat, öryggi og gæði persónuupplýsinga. Í ákvæðinu segir að ábyrgðaraðili skuli gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. Telji Þjóðskrá Íslands að unnt sé að gera viðeigandi öryggisráðstafanir til að tryggja framangreint við afhendingu upplýsinganna, annað hvort með pappír eða pdf-skjali, gerir Persónuvernd ekki athugasemdir þar að lútandi, að því gefnu að farið sé einnig að öðrum ákvæðum laganna, þ. á m. ákvæði 28. gr. um andmælarétt hins skráða og bannskrá Þjóðskrár.