Úrlausnir

Úrskurður um skráningu og vinnslu persónuupplýsinga í þágu samantektar Lögreglunnar á höfuðborgarsvæðinu um mótmælin 2008-2011 - mál nr. 2014/1474

4.3.2015

Úrskurður

Á fundi stjórnar Persónuverndar þann 25. febrúar 2015 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/1474:

Grundvöllur máls

Málavextir og bréfaskipti

Tildrög máls

Þann 27. október 2014 barst Persónuvernd tölvubréf frá [A] (hér eftir nefnd kvartandi), vegna vinnslu og miðlunar persónuupplýsinga um hana í skýrslu Lögreglunnar á höfuðborgarsvæðinu „Samantekt á skipulagi lögreglu við mótmælin 2008 - 2011“. Í tölvubréfinu óskaði kvartandi eftir því að Persónuvernd tæki til skoðunar hvers vegna nafn hennar væri bendlað við ýmsa lögreglumenn í opinberum skjölum, sem dreift hefði verið víða. Þann 29. október 2014 staðfesti kvartandi, með símtali við starfsmann Persónuverndar, að líta mætti á erindi hennar sem formlega kvörtun yfir vinnslu persónuupplýsinga um hana. Í kjölfar þess barst Persónuvernd annar tölvupóstur frá kvartanda, þann sama dag, þar sem segir:

„Ég sé engan tilgang með gerð skýrslunnar og hverra hagsmuna hún þjónar. Hér má sjá sundurleitar frásagnir, af atburðum, sem í daglegu tali nefnast mótmæli, og varða vel flestar kröfur, um bætta þjóðfélagsskipun, mála á Íslandi og í umheiminum. Skýrslugerðarhöfundur virðist túlka atburði sem jafnframt eru gripnir úr lausu lofti, af þröngu sjónarhorni. Í stað þess að kynna sér málefni af kostgæfni.“

Í skýrslunni segir um kvartanda:

Á bls. [...]: „[...].“

Á bls. [...]:„[...].“

Á bls. [...]: „[...].“

Bréfaskipti

Með bréfi, dags. 30 október 2014, var Lögreglunni á höfuðborgarsvæðinu tilkynnt um kvörtunina og boðið að koma á framfæri andmælum sínum til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var þess sérstaklega óskað að Persónuvernd yrði upplýst um á hvaða heimild í 1. mgr. 8. og 1. mgr. 9. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, umrædd vinnsla um kvartanda byggðist sem og hvernig sú vinnsla hefði samrýmst ákvæðum 1. mgr. 7. gr. sömu laga.

Í svarbréfi Lögreglunnar á höfuðborgarsvæðinu, dags. 5. desember 2014, vísar lögreglan til 226. gr. laga um meðferð sakamála nr. 88/2008 og 5. og 1. gr. lögreglulaga nr. 90/1996. Í fyrrnefndum lagaákvæðum er kveðið á um að lögregla hafi heimild til að skrá og varðveita upplýsingar um brotaferil einstakra manna og atriði er varða einkahagi þeirra. Þá er ríkislögreglustjóra skylt að halda málaskrá, sbr. 5. gr. fyrrnefndra laga þar sem nánar er tiltekið hvaða upplýsingar hún skuli innihalda. Jafnframt segir að það sé hlutverk lögreglu að gæta almannaöryggis og halda uppi lögum og reglu, tryggja réttaröryggi borgaranna og vernda eignarrétt, opinbera hagsmuna og hvers kyns lögmæta starfsemi, sbr. 1. gr. fyrrnefndra laga.

Þá segir jafnframt í bréfi lögreglunnar að á grundvelli framangreindra heimilda haldi hún til haga upplýsingum um viðfangsefni lögreglu í lögreglukerfinu LÖKE. Í mótmælunum hafi upplýsingar verið skráðar jafnóðum á miðlægan stað svo lögreglan gæti metið ástandið hverju sinni, mannaflaþörf og ástæðu þess hvort grípa þyrfti til aðgerða. Með þeim hætti hafi ákveðin grunnatriði verið skráð í hverju tilviki um þann, eða þá, aðila sem höfðu óskað eftir, eða tilkynnt lögreglu um, að þeir myndu halda fund á tilteknum stað og tíma. Auk þess hafi verið skráðar upplýsingar um áætlaðan fjölda fundargesta, aðra mótmælaatburði en þá sem sérstaklega var tilkynnt um, í þeim tilvikum sem lögregla þurfti að hafa afskipti af málum eða þegar ógn eða áreiti steðjaði að fundargestum annars vegar eða frá þeim hins vegar. Þá hafi verið skráðar upplýsingar um verkefni sem komu til kasta lögreglu, ýmiss konar afskipti sem lögregla þurfti að hafa vegna atburða og um ætlaða refsiverða háttsemi. Hafi lögregla talið fyrrnefnda skráningu nauðsynlega svo hún gæti sinnt lögbundnu hlutverki sínu í þágu almannahagsmuna.

Loks kemur fram í bréfi lögreglu að hún telji skýra heimild hafa legið til grundvallar almennri vinnslu persónuupplýsinga í málinu. Um gæði þeirrar vinnslu vísar lögreglan til 1., 2., 3., 4. og 5. tölul. 1. mgr. 7. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þá telji lögreglan að heimild hafi staðið til vinnslunnar samkvæmt 3., 5., 6. og 7. tölul. 1. mgr. og 3. mgr. 8. gr. og 2., 7. og 9. tölul. 1. mgr. og 3. mgr. 9. gr. sömu laga.

Með bréfi, 23. desember 2014, var kvartanda boðið að tjá sig um svarbréf lögreglunnar. Athugasemdir kvartanda bárust með tölvubréfi, þann 20. janúar 2015. Þar segir m.a. að kvartandi mótmæli því að vera skráð í gagnagrunn lögreglu, LÖKE, ásamt yfirlýstum glæpamönnum, þar sem illa ígrunduðum upplýsingum sé hugsanlega lekið til Interpol og víðar. Þá tekur kvartandi fram að hún telji umrædda skýrslu vera aðför gegn tjáningarfrelsi á opinberum vettvangi. Einnig kemur fram að þrátt fyrir að lögregla hafi, á sínum tíma, metið skráningu upplýsinga um hana nauðsynlega á grundvelli almannahagsmuna, þá séu þær aðstæður ekki lengur fyrir hendi og engin ástæða til varðveislu upplýsinganna. Fari kvartandi því fram á að öllum persónugreinanlegum upplýsingum er hana varða og tengjast búsáhaldabyltingunni verði eytt úr LÖKE, skráningarkerfi lögreglu. Einnig fer kvartandi fram á að öðrum persónugreinanlegum upplýsingum í öðrum efnislegum gagnagrunnum lögreglu verði eytt. Þá telur kvartandi engar haldbærar skýringar komnar fram varðandi miðlun upplýsinganna og telur kvartandi miðlunina óheimila samkvæmt persónuverndarlögum og reglugerð um meðferð persónuupplýsinga hjá lögreglu. Loks kemur fram að kvartandi vilji fá staðfestingu frá lögreglu á því, ef ekki verði fallist á að eyða persónuupplýsingum úr LÖKE, að upplýsingunum um hana verði ekki miðlað frekar. Kvartandi vilji geta ferðast óhindrað um heiminn og geta treyst því að upplýsingar úr skráningarkerfi lögreglu verði ekki hindrun í því sambandi.

II.

Forsendur og niðurstaða

Gildissvið laga nr. 77/2000

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Lögreglan á höfuðborgarsvæðinu vera ábyrgðaraðili að umræddri vinnslu.

Í skýrslu Lögreglunnar á höfuðborgarsvæðinu, „Samantekt á skipulagi lögreglu við mótmælin 2008-2011“, er að finna persónuupplýsingar um kvartanda. Meðferð upplýsinga um hana í tengslum við gerð umræddrar skýrslu telst því vera vinnsla persónuupplýsinga í skilningi laganna sem fellur undir úrskurðarvald Persónuverndar.

Afmörkun úrlausnarefnis

Í máli þessu er kvartað yfir 1) skráningu persónuupplýsinga um kvartanda í upplýsingakerfi Lögreglunnar á höfuðborgarsvæðinu LÖKE, 2) skráningu í skýrslu Lögreglunnar á höfuðborgarsvæðinu um samantekt á skipulagi lögreglu við mótmælin 2008-2011 og 3) miðlun þeirra upplýsinga til óviðkomandi.

Í 2. mgr. 44. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, segir að lögin takmarki ekki þann rétt til aðgangs að gögnum sem mælt er fyrir um í upplýsingalögum og stjórnsýslulögum. Samkvæmt V. kafla upplýsingalaga nr. 140/2012 sker úrskurðarnefnd um upplýsingamál úr ágreiningi um aðgang að gögnum samkvæmt lögunum og eru úrskurðir nefndarinnar endanlegir, sbr. 3. mgr. 20. gr. laganna. Með úrskurði nr. 541/2014, frá 8. október 2014, komst nefndin að þeirri niðurstöðu að Lögreglunni á höfuðborgarsvæðinu bæri að afhenda kæranda í því máli samantekt um skipulag lögreglu í mótmælunum 2008-2011 á grundvelli 5. gr. laganna, en þó með ákveðnum takmörkunum, sbr. 9. gr. sömu laga.

Það fellur ekki innan valdsviðs Persónuverndar að endurskoða úrskurði hliðsetts stjórnvalds, í þessu tilviki úrskurð úrskurðarnefndar um upplýsingamál. Af þeim sökum er ekki unnt að taka afstöðu til lögmætis miðlunar umræddrar samantektar enda liggur fyrir endanlegur úrskurður á grundvelli lagaheimildar, þess efnis að samantektin sé háð upplýsingarétti almennings.

Eftir stendur hins vegar það álitaefni hvort skráning umræddra persónuupplýsinga, þ.e. í LÖKE og fyrrnefnda skýrslu, hafi samrýmst lögum nr. 77/2000 og hvort öryggi þeirra hafi verið nægilega tryggt.

Lögmæti vinnslu persónuupplýsinga um kvartanda

Vinnsla almennra persónuupplýsinga telst lögmæt ef hún fullnægir einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þá þarf vinnsla viðkvæmra persónuupplýsinga, sbr. upptalningu 8. tölul. 2. gr. sömu laga á slíkum upplýsingum, jafnframt að fullnægja einhverju þeirra skilyrða sem kveðið er á um í 1. mgr. 9. gr. laganna. Þær persónuupplýsingar um kvartanda sem kvörtun þessi lýtur að eru ekki viðkvæmar samkvæmt áðurnefndri upptalningu. Er því eingöngu þörf á að meta hvort vinnsla þeirra hafi átt sér stoð í fyrrnefndri 8. gr. laganna. Þegar um ræðir vinnslu á vegum stjórnvalda reynir þá einkum á 3., 5. og 6. tölul. 1. mgr., þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, fer með.

Að auki verður, eins og ávallt þegar unnið er með persónuupplýsingar, að vera farið að öllum grunnkröfum 7. gr. laga nr. 77/2000, þ. á m. um að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að persónuupplýsingar skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að persónuupplýsingar skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.).

Í svarbréfi Lögreglunnar á höfuðborgarsvæðinu, dags. 5. desember 2014, kemur fram að upplýsingar um m.a. mótmælendur voru skráðar jafnóðum í mótmælunum á miðlægan stað, í lögreglukerfið LÖKE, í þeim tilgangi að meta ástandið við mótmælin hverju sinni, mannaflaþörf og hvort nauðsynlegt væri fyrir lögreglu að grípa til aðgerða. Þá segir í bréfi svarbréfi lögreglu í máli nr. 2014/1684, dags. 12. janúar 2015, sem einnig lýtur að vinnslu persónuupplýsinga í sömu skýrslu, að lögregla hafi stuðst við upplýsingar úr upplýsingakerfinu LÖKE.

Samkvæmt 226. gr. laga nr. 88/2008, um meðferð sakamála, er lögreglu heimilt að skrá og varðveita upplýsingar um brotaferil einstakra manna og atriði sem varða einkahagi þeirra. Þá segir í 1. gr. lögreglulaga nr. 90/1996 að hlutverk lögreglu sé m.a. eftirfarandi:

að gæta almannaöryggis og halda uppi lögum og reglu, leitast við að tryggja réttaröryggi borgaranna og vernda eignarrétt, opinbera hagsmuni og hvers konar lögmæta starfsemi,
að stemma stigu við afbrotum og koma í veg fyrir athafnir sem raska öryggi borgaranna og ríkisins,
að vinna að uppljóstran brota, stöðva ólögmæta háttsemi og fylgja málum eftir í samræmi við það sem mælt er fyrir um í lögum um meðferð sakamála eða öðrum lögum,
að greiða götu borgaranna eftir því sem við á og aðstoða þá þegar hætta steðjar að.

Einnig segir i-lið 1. mgr. 5. gr. lögreglulaga nr. 90/1996 að ríkislögreglustjóra beri að halda málaskrá um kærur sem berast lögreglu um afbrot með öllum nauðsynlegum upplýsingum sem mál varða, dagbók lögreglu með upplýsingum um erindi til lögreglu og úrlausn þeirra, skrá yfir handtekna menn og aðrar skrár sem nauðsynlegar eru í þágu löggæsluhagsmuna til að afstýra yfirvofandi hættu eða sporna við afbrotum, sem ráðherra setji frekari reglur um. Slíkar reglur hafa verið settar með reglugerð nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu.

Í 2. gr. reglugerðarinnar er fjallað um skrár lögreglu og hvaða upplýsingar skuli þar skráðar. Samkvæmt upptalningu 1. og 2. tölul. 2. gr. er m.a. heimilt að skrá þar upplýsingar um nöfn málsaðila, einstaklinga sem tilkynna um erindi til lögreglu og annarra sem mál varða, ásamt kennitölu, lögheimili og dvalarstað. Samkvæmt upptalningu sömu ákvæða er og heimilt að skrá vettvang brots eða atburðar, brotaflokk eða flokk viðfangsefnis, ökutæki eða aðra muni sem tengjast máli, hvaða lögreglumenn voru á vettvangi, hver skrái skýrslu vegna atburðar o.fl. Í 2. gr. er gerður greinarmunur á m.a. málaskrá og dagbók lögreglu en skrár samkvæmt ákvæðinu kallast nú sameiginlega LÖKE.

Með vísan til fyrrnefndra ákvæða um hlutverk lögreglu og heimildir hennar til skráningar persónuupplýsinga í skrár sínar vegna lögreglustarfa, er það mat Persónuverndar að lögreglu sé heimilt að skrá í upplýsingakerfið LÖKE, á hlutlægan hátt í samræmi við ákvæði 1. mgr. 7. gr. laga nr. 77/2000, upplýsingar um það sem gerist á vettvangi við lögreglustörf, og um samskipti hennar við þá sem þar voru, m.a. til að varpa ljósi á aðstæður á vettvangi. Telst slík skráning málefnaleg. Þá telur stofnunin að það falli almennt ekki innan valdheimilda hennar að endurskoða mat lögreglunnar á því hvaða upplýsingar hún telji nauðsynlegt að skrá í upplýsingakerfi hverju sinni vegna starfa sinna.

Fyrir liggur að upplýsingar um kvartanda voru skráðar í upplýsingakerfið LÖKE í tengslum við lögreglustörf við mótmæli á árunum 2008-2011. Persónuupplýsingar í skrám lögreglu, m.a. LÖKE, njóta sérstakrar verndar og um þær gilda strangar öryggiskröfur. Í því felst m.a. að aðgangur lögreglumanna að persónuupplýsingum skal ekki vera rýmri en nauðsynlegt er með hliðsjón af þeim verkefnum sem þeir hafa með höndum, sbr. 13. gr. reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu. Við vinnslu þeirrar samantektar, sem mál þetta lýtur að, voru persónuupplýsingar um kvartanda teknar úr vörðu umhverfi og unnar frekar í óvörðu umhverfi. Það er mat Persónuverndar að slík vinnsla feli í sér öryggisbrest sem samrýmist ekki ákvæðum 11. gr. laga nr. 77/2000 og reglugerðar nr. 322/2001.

Í ljósi alls framangreinds telur stjórn Persónuverndar að skráning umræddra persónuupplýsinga um kvartanda í LÖKE hafi samrýmst 3., 5., og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Yfirfærsla persónuupplýsinga um kvartanda úr LÖKE í samantekt á skipulagi lögreglu í mótmælunum 2008-2011 var hins vegar ekki í samræmi við 11. gr. laga nr. 77/2000.

Ú r s k u r ð a r o r ð:

Lögreglunni á höfuðborgarsvæðinu var heimil skráning persónuupplýsinga um [A] í upplýsingakerfi lögreglu, LÖKE. Vinnsla upplýsinganna í skýrslu um skipulag lögreglu í mótmælunum 2008-2011 samrýmdist ekki kröfum um öryggi persónuupplýsinga.

Var efnið hjálplegt? Já Nei