Úrskurður um skráningu og vinnslu persónuupplýsinga í þágu samantektar Lögreglunnar á höfuðborgarsvæðinu um mótmælin 2008-2011 - mál nr. 2014/1541

4.3.2015

Úrskurður

 

Á fundi stjórnar Persónuverndar hinn 25. febrúar 2015 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/1541:

 

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 4. nóvember 2014 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) vegna vinnslu og miðlunar persónuupplýsinga um hann í skýrslu Lögreglunnar á höfuðborgarsvæðinu „Samantekt á skipulagi lögreglu við mótmælin 2008-2011“. Í kvörtuninni segir m.a. að á bls. 224-225, í fyrrnefndri skýrslu, komi fram ósannindi um kvartanda og viðhorf hans. Þá segir að kvörtunin lúti að því að lögregla hafi skráð og dreift á opinberum vettvangi, m.a. til fjölmiðla, persónuupplýsingum um kvartanda, viðhorf hans og hegðun sem standist ekki þá lágmarkskröfu að vera réttar. Í skýrslunni segir um kvartanda á bls. 225:

„Kl. 09:20 kom [A] á vettvang og sýndi blaðamannapassa. Hann sagðist vera kominn til að mótmæla veru lögreglunnar á staðnum og endurtók hann það tvisvar sinnum. Síðan hóf hann að ljósmynda. […] ræddi við hann vegna þessa, en [A] tjáði honum að hann ætti að vita hvers vegna honum væri illa við lögregluna. Því næst bað hann um að fá frið, enda væri hann að vinna. Ekki var vitað frá hvaða fréttamiðli hann kom.“

Með tölvubréfi þann 19. nóvember 2014 óskaði Persónuvernd eftir skýringum um það hvaða upplýsingar um sig kvartandi teldi vera rangar í skýrslunni. Í tölvubréfi kvartanda, frá 20. nóvember 2014, segir:

„Eftirfarandi er rangt um mig í skýrslunni:

1.     „[…]“

2.    „[…]“

3.     „[…]“

4.     „[…]“

5.     „[…]“

6.    „[…]““

2.

Bréfaskipti

Með bréfi, dags. 19. nóvember 2014, var Lögreglunni á höfuðborgarsvæðinu tilkynnt um kvörtunina og boðið að koma á framfæri andmælum sínum til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Var þess sérstaklega óskað að Persónuvernd yrði upplýst um á hvaða heimild í 1. mgr. 8. og 1. mgr. 9. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, umrædd vinnsla um kvartanda byggðist sem og hvernig sú vinnsla hefði samrýmst ákvæðum 1. mgr. 7. gr. sömu laga.

Í svarbréfi Lögreglunnar á höfuðborgarsvæðinu, dags. 5. desember 2014, vísar lögreglan til 226. gr. laga um meðferð sakamála nr. 88/2008 og 5. og 1. gr. lögreglulaga nr. 90/1996. Í fyrrnefndum lagaákvæðum er kveðið á um að lögregla hafi heimild til að skrá og varðveita upplýsingar um brotaferil einstakra manna og atriði er varða einkahagi þeirra. Þá er ríkislögreglustjóra skylt að halda málaskrá, sbr. 5. gr. fyrrnefndra laga þar sem nánar er tiltekið hvaða upplýsingar hún skuli innihalda. Jafnframt segir að það sé hlutverk lögreglu að gæta almannaöryggis og halda uppi lögum og reglu, tryggja réttaröryggi borgaranna og vernda eignarrétt, opinbera hagsmuna og hvers kyns lögmæta starfsemi, sbr. 1. gr. fyrrnefndra laga.

Þá segir jafnframt í bréfi lögreglunnar að á grundvelli framangreindra heimilda haldi hún til haga upplýsingum um viðfangsefni lögreglu í lögreglukerfinu LÖKE. Í mótmælunum hafi upplýsingar verið skráðar jafnóðum á miðlægan stað svo lögreglan gæti metið ástandið hverju sinni, mannaflaþörf og ástæðu þess hvort grípa þyrfti til aðgerða. Með þeim hætti hafi ákveðin grunnatriði verið skráð í hverju tilviki um þann, eða þá, aðila sem höfðu óskað eftir, eða tilkynnt lögreglu um, að þeir myndu halda fund á tilteknum stað og tíma. Auk þess hafi verið skráðar upplýsingar um áætlaðan fjölda fundargesta, aðra mótmælaatburði en þá sem sérstaklega var tilkynnt um, í þeim tilvikum sem lögregla þurfti að hafa afskipti af málum eða þegar ógn eða áreiti steðjaði að fundargestum annars vegar eða frá þeim hins vegar. Þá hafi verið skráðar upplýsingar um verkefni sem komu til kasta lögreglu, ýmiss konar afskipti sem lögregla þurfti að hafa vegna atburða og um ætlaða refsiverða háttsemi. Hafi lögregla talið fyrrnefnda skráningu nauðsynlega svo hún gæti sinnt lögbundnu hlutverki sínu í þágu almannahagsmuna. Hvað varðar það atriði að upplýsingar um kvartanda í samantekinni séu rangar þá segir að upplýsingar séu teknar beint upp úr færslum lögreglumanns í LÖKE kerfinu. Við undirbúning svarbréfs lögreglu hafi verið haft samband við þann lögreglumann sem skráði í  umrætt sinn og hafi hann staðfesti umrædda skráningu.

Loks kemur fram í bréfi lögreglu að hún telji skýra heimild hafa legið til grundvallar almennri vinnslu persónuupplýsinga í málinu. Um gæði þeirrar vinnslu vísar lögreglan til 1., 2., 3., 4. og 5. tölul. 1. mgr. 7. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þá telji lögreglan að heimild hafi staðið til vinnslunnar samkvæmt 3., 5., 6. og 7. tölul. 1. mgr. og 3. mgr. 8. gr. og 2., 7. og 9. tölul. 1. mgr. og 3. mgr. 9. gr. sömu laga.

Með bréfi, dags. 23. desember 2014, var kvartanda boðið að tjá sig um svarbréf lögreglunnar. Athugasemdir kvartanda bárust með tölvubréfi þann 13. janúar 2015. Þar segir m.a. að kvartandi telji lögreglu ekki svara aðalatriði kvörtunarinnar, sem snúi að opinberri birtingu á persónuupplýsingum um kvartanda í umræddri skýrslu. Tekur kvartandi fram að hann telji lögreglu skaðabótaskylda samkvæmt 43. gr. laga nr. 77/2000. Einnig tekur kvartandi fram að það valdi honum áhyggjum að svo virðist sem löggjöfin geri ekki ráð fyrir því að lögreglan geti verið sek í málum af þessum toga þar sem ákvæði persónuverndarlaga geri ráð fyrir því að einstaklingur leiti til lögreglustjóra vilji hann láta stöðva vinnslu gagna, sem veki upp spurningu um hvernig hægt sé að taka á sambærilegum málum af festu. Auk þess tiltekur kvartandi að rangar persónuupplýsingar um hann hafi verið skráðar í umrædda skýrslu og LÖKE. Spyr hann hvernig hann geti fengið þær upplýsingar leiðréttar eða þeim eytt eins og hann eigi rétt til samkvæmt 25. gr. persónuverndarlaga. Þá spyr hann hvernig hann geti farið að því þegar Lögreglan á höfuðborgarsvæðinu þrátti fyrir ranga skráningu upplýsinganna. Einnig segir í athugasemdum kvartanda að persónuupplýsingar hafi verið fluttar úr landi, sbr. 29. gr. laganna, þar sem skýrslan hafi verið birt á netinu og sé hún því aðgengileg hvar sem er í heiminum. Loks tekur kvartandi fram að lögreglan þurfi að sýna gott fordæmi, viðurkenna sök sína í málinu og leiðrétta þær villur sem finna megi í skýrslunni og LÖKE og semja um bætur við þá sem brotið hafi verið á.

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Lögreglan á höfuðborgarsvæðinu vera ábyrgðaraðili að umræddri vinnslu.

Í skýrslu Lögreglunnar á höfuðborgarsvæðinu, „Samantekt á skipulagi lögreglu við mótmælin 2008-2011“, er að finna persónuupplýsingar um kvartanda. Meðferð upplýsinga um hann í tengslum við gerð umræddrar skýrslu telst því vera vinnsla persónuupplýsinga í skilningi laganna sem fellur undir úrskurðarvald Persónuverndar.

2.

Afmörkun úrlausnarefnis

Í máli þessu er kvartað yfir því að lögregla hafi skráð og dreift á opinberum vettvangi, m.a. til fjölmiðla, persónuupplýsingum um kvartanda, viðhorf hans og hegðun sem séu rangar og ósannar. Er þar um að ræða upplýsingar sem skráðar voru í upplýsingakerfi lögreglu, LÖKE, og síðar í skýrslu Lögreglunnar á höfuðborgarsvæðinu, sem afhent var utanaðkomandi á grundvelli upplýsingalaga nr. 140/2012, um samantekt á skipulagi lögreglu við mótmælin 2008-2011.

Þau efnisatriði skýrslunnar sem kvartandi tilgreinir í kvörtun sinni að séu röng eru höfð eftir tilteknum lögreglumanni sem var að störfum þegar kvartanda bar að, sem í kjölfarið skráði upplýsingar um atvikið í upplýsingakerfi lögreglu, LÖKE. Standa orð gegn orði um það hvort rétt var haft eftir kvartanda á vettvangi og hvort atvik hafi verið með þeim hætti sem skráning í LÖKE segir til um. Það fellur ekki innan valdsviðs Persónuverndar að skera úr um hvort munnlegar fullyrðingar, sem fóru á milli kvartanda og tiltekins lögreglumanns, séu efnislega réttar eða ekki. Þá fellur það almennt ekki undir valdsvið stofnunarinnar að endurskoða mat lögreglunnar á því hvaða upplýsingar hún metur nauðsynlegt að skrá um einstaklinga við lögreglustörf hverju sinni.

Í 2.  mgr. 44. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, segir að lögin takmarki ekki þann rétt til aðgangs að gögnum sem mælt er fyrir um í upplýsingalögum og stjórnsýslulögum. Samkvæmt V. kafla upplýsingalaga nr. 140/2012 sker úrskurðarnefnd um upplýsingamál úr ágreiningi um aðgang að gögnum samkvæmt lögunum og eru úrskurðir nefndarinnar endanlegir, sbr. 3. mgr. 20. gr. laganna. Með úrskurði nr. 541/2014, frá 8. október 2014, komst nefndin að þeirri niðurstöðu að Lögreglunni á höfuðborgarsvæðinu bæri að afhenda kæranda í því máli samantekt um skipulag lögreglu í mótmælunum 2008-2011 á grundvelli 5. gr. laganna, en þó með ákveðnum takmörkunum, sbr. 9. gr. sömu laga.

Það fellur ekki innan valdsviðs Persónuverndar að endurskoða úrskurði hliðsetts stjórnvalds, í þessu tilviki úrskurð úrskurðarnefndar um upplýsingamál. Af þeim sökum er ekki unnt að taka afstöðu til lögmætis miðlunar umræddrar samantektar enda liggur fyrir endanlegur úrskurður á grundvelli lagaheimildar, þess efnis að samantektin sé háð upplýsingarétti almennings.

Eftir stendur hins vegar það álitaefni hvort vinnsla persónuupplýsinga um kvartanda í umræddri skýrslu hafi samrýmst lögum nr. 77/2000 og hvort öryggi þeirra hafi verið nægilega tryggt.

3.

Lögmæti vinnslu persónuupplýsinga um kvartanda

Vinnsla almennra persónuupplýsinga telst lögmæt ef hún fullnægir einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þá þarf vinnsla viðkvæmra persónuupplýsinga, sbr. upptalningu 8. tölul. 2. gr. sömu laga á slíkum upplýsingum, jafnframt að fullnægja einhverju þeirra skilyrða sem kveðið er á um í 1. mgr. 9. gr. laganna. Þær persónuupplýsingar um kvartanda sem kvörtun þessi lýtur að eru ekki viðkvæmar samkvæmt áðurnefndri upptalningu. Er því eingöngu þörf á að meta hvort  vinnsla þeirra hafi átt sér stoð í fyrrnefndri 8. gr. laganna. Þegar um ræðir vinnslu á vegum stjórnvalda reynir þá einkum á 3., 5. og 6. tölul. 1. mgr., þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, fer með.

Að auki verður, eins og ávallt þegar unnið er með persónuupplýsingar, að vera farið að öllum grunnkröfum 7. gr. laga nr. 77/2000,  þ. á m. um að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að persónuupplýsingar skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að persónuupplýsingar skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.).

Í svarbréfi Lögreglunnar á höfuðborgarsvæðinu, dags. 5. desember 2014, kemur fram að upplýsingar um m.a. mótmælendur voru skráðar jafnóðum í mótmælunum á miðlægan stað, í lögreglukerfið LÖKE, í þeim tilgangi að meta ástandið við mótmælin hverju sinni, mannaflaþörf og hvort nauðsynlegt væri fyrir lögreglu að grípa til aðgerða. Þá segir í svarbréfi lögreglu í máli nr. 2014/1684, dags. 12. janúar 2015, sem einnig lýtur að vinnslu persónuupplýsinga í sömu skýrslu, að lögregla hafi stuðst við upplýsingar úr upplýsingakerfinu LÖKE.

Samkvæmt 226. gr. laga nr. 88/2008, um meðferð sakamála, er lögreglu heimilt að skrá og varðveita upplýsingar um brotaferil einstakra manna og atriði sem varða einkahagi þeirra. Þá segir í 1. gr. lögreglulaga nr. 90/1996 að hlutverk lögreglu sé m.a. eftirfarandi:

1. að gæta almannaöryggis og halda uppi lögum og reglu, leitast við að tryggja réttaröryggi borgaranna og vernda eignarrétt, opinbera hagsmuni og hvers konar lögmæta starfsemi,
2. að stemma stigu við afbrotum og koma í veg fyrir athafnir sem raska öryggi borgaranna og ríkisins,
3. að vinna að uppljóstran brota, stöðva ólögmæta háttsemi og fylgja málum eftir í samræmi við það sem mælt er fyrir um í lögum um meðferð sakamála eða öðrum lögum,
4. að greiða götu borgaranna eftir því sem við á og aðstoða þá þegar hætta steðjar að.

Einnig segir i-lið 1. mgr. 5. gr. lögreglulaga nr. 90/1996 að ríkislögreglustjóra beri að halda málaskrá um kærur sem berast lögreglu um afbrot með öllum nauðsynlegum upplýsingum sem mál varða, dagbók lögreglu með upplýsingum um erindi til lögreglu og úrlausn þeirra, skrá yfir handtekna menn og aðrar skrár sem nauðsynlegar eru í þágu löggæsluhagsmuna til að afstýra yfirvofandi hættu eða sporna við afbrotum, sem ráðherra setji frekari reglur um. Slíkar reglur hafa verið settar með reglugerð nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu.

Í 2. gr. reglugerðarinnar er fjallað um skrár lögreglu og hvaða upplýsingar skuli þar skráðar. Samkvæmt upptalningu 1. og 2. tölul. 2. gr. er m.a. heimilt að skrá þar upplýsingar um nöfn málsaðila, einstaklinga sem tilkynna um erindi til lögreglu og annarra sem mál varða, ásamt kennitölu, lögheimili og dvalarstað. Samkvæmt upptalningu sömu ákvæða er og heimilt að skrá vettvang brots eða atburðar, brotaflokk eða flokk viðfangsefnis, ökutæki eða aðra muni sem tengjast máli, hvaða lögreglumenn voru á vettvangi, hver skrái skýrslu vegna atburðar o.fl. Í 2. gr. er gerður greinarmunur á m.a. málaskrá og dagbók lögreglu en skrár samkvæmt ákvæðinu kallast nú sameiginlega LÖKE.

Með vísan til fyrrnefndra ákvæða um hlutverk lögreglu og heimildir hennar til skráningar persónuupplýsinga í skrár sínar vegna lögreglustarfa, er það mat Persónuverndar að lögreglu sé heimilt að skrá í upplýsingakerfið LÖKE, á hlutlægan hátt í samræmi við ákvæði 1. mgr. 7. gr. laga nr. 77/2000, upplýsingar um það sem gerist á vettvangi við lögreglustörf, og um samskipti hennar við þá sem þar voru, m.a. til að varpa ljósi á aðstæður á vettvangi. Telst slík skráning málefnaleg. Þá telur stofnunin að það falli almennt ekki innan valdheimilda hennar að endurskoða mat lögreglunnar á því hvaða upplýsingar hún telji nauðsynlegt að skrá í upplýsingakerfi sitt hverju sinni vegna starfa sinna.

Fyrir liggur að upplýsingar um kvartanda voru skráðar í upplýsingakerfið LÖKE í tengslum við lögreglustörf við mótmæli á árunum 2008-2011. Persónuupplýsingar í skrám  lögreglu, m.a. LÖKE, njóta sérstakrar verndar og um þær gilda strangar öryggiskröfur. Í því felst m.a. að aðgangur lögreglumanna að persónuupplýsingum skal ekki vera rýmri en nauðsynlegt er með hliðsjón af þeim verkefnum sem þeir hafa með höndum, sbr. 13. gr. reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu. Við vinnslu þeirrar samantektar, sem mál þetta lýtur að, voru persónuupplýsingar um kvartanda teknar úr vörðu umhverfi og unnar frekar í óvörðu umhverfi. Það er mat Persónuverndar að slík vinnsla feli í sér öryggisbrest sem samrýmist ekki ákvæðum 11. gr. laga nr. 77/2000 og reglugerðar nr. 322/2001.

Í ljósi alls framangreinds telur stjórn Persónuverndar að skráning umræddra persónuupplýsinga um kvartanda í LÖKE hafi samrýmst  3., 5., og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Yfirfærsla persónuupplýsinga um kvartanda úr LÖKE í samantekt á skipulagi lögreglu í mótmælunum 2008-2011 var hins vegar ekki í samræmi við 11. gr. laga nr. 77/2000.

Þrátt fyrir að Persónuvernd telji sér almennt ekki heimilt að endurskoða mat lögreglunnar á því hvaða upplýsingar lögregla telur nauðsynlegt að skrá í LÖKE hverju sinni, áréttar stofnunin að slík skráning upplýsinga um einstaklinga skal vera hlutlæg og áreiðanleg, í samræmi við fyrrnefnd ákvæði 1. og 4. tölul. 1. mgr. 7. gr. laga nr. 77/2000, en eins og fyrr greinir er í 4. tölul. m.a. mælt fyrir um hvenær eyða ber óáreiðanlegum eða ófullkomnum upplýsingum. Það er mat stjórnar að þær upplýsingar um kvartanda, sem finna má í skýrslu lögreglu, séu ekki þess eðlis að stofnunin geti beint fyrirmælum um leiðréttingu þeirra eða eyðingu til ábyrgðaraðila, enda er Persónuvernd, eins og komið hefur fram, ekki unnt að skera úr um áreiðanleika þeirra. Engu að síður getur kvartandi  komið athugasemdum sínum um óáreiðanleika umræddra persónuupplýsinga á framfæri við Lögregluna á höfuðborgarsvæðinu í þeim tilgangi að fá þær skráðar í upplýsingakerfi lögreglu í ljósi þeirra grunnsjónarmiða um áreiðanleika sem 4. tölul. 1. mgr. 7. gr. byggir á.

Ú r s k u r ð a r o r ð:

Lögreglunni á höfuðborgarsvæðinu var heimil skráning persónuupplýsinga um [A] í upplýsingakerfi lögreglu, LÖKE. Vinnsla upplýsinganna í skýrslu um skipulag lögreglu í mótmælunum 2008-2011 samrýmdist ekki kröfum um öryggi persónuupplýsinga.