Miðlun upplýsinga um heimilisfang

28.9.2015

Álit

 

Hinn 22. september 2015 samþykkti stjórn Persónuverndar, með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000, svohljóðandi álit í máli nr. 2015/1041:

 

I.

Erindi Útlendingastofnunar

Persónuvernd vísar til bréfs Útlendingastofnunar, dags. 15. júlí 2015. Í bréfinu segir meðal annars eftirfarandi:

„Útlendingastofnun hefur borist beiðni um upplýsingar um þekkt heimilisfang erlendis. Íslensk kona hyggst höfða barnsfaðernismál fyrir hönd dóttur sinnar og er einn aðilinn erlendur ríkisborgari. Viðkomandi einstaklingur finnst ekki og er óskað eftir þeim upplýsingum sem Útlendingastofnun kann að hafa um heimilisfang hans erlendis til þess að unnt verði að birta manninum stefnu. Málið var höfðað árið [...] en vísað frá þar sem ekki var uppfyllt skilyrði 2. mgr. 10. gr. barnalaga um að stefna öllum þeim mönnum sem höfðu samfarir við móður stefnanda á getnaðartíma barnsins.

Hvorki móðir barnsins né barnið sjálft eru aðilar máls hjá Útlendingastofnun eða hafa umboð frá manninum til að fá upplýsingar um hann.“

Loks segir í bréfinu að Útlendingastofnun óski eftir áliti Persónuverndar á því hvort stofnuninni sé heimilt að veita þessar upplýsingar. Þá segir að slík vinnsla gæti til dæmis byggst á 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og 7. tölul. 1. mgr. 9. gr. sömu laga ef umræddar upplýsingar teljast viðkvæmar. Jafnframt er þeirri spurningu velt upp hvort 9. gr. upplýsingalaga nr. 140/2012 kunni að eiga við í málinu eða eigi að hafa áhrif á niðurstöðu málsins. Loks bendir stofnunin á að vinnsla upplýsinganna myndi krefjast þess að Útlendingastofnun veiti aðgang að hluta gagns en ekki heildargögnum máls.

Með tölvupósti, sendum þann 28. ágúst 2015, óskaði Persónuvernd frekari upplýsinga frá Útlendingastofnun, nánar tiltekið um hvort erindið varði mögulega miðlun á upplýsingunum um einungis heimilisfang einstaklingsins eða hvort um sé að ræða aðgang að gögnum, þ.e. hluta gagns, í málaskrá stofnunarinnar. Jafnframt var þess óskað að Útlendingastofnunin upplýsti um hvort hún teldi mögulega afhendingu upplýsinganna standast ákvæði 7. gr. laga nr. 77/2000, einkum 1. og 2. tölul. ákvæðisins.

Persónuvernd barst svar Útlendingastofnunar með tölvupósti þann 31. ágúst 2015. Þar segir að umræddar upplýsingar sé að finna í umsóknareyðublaði stofnunarinnar sem umsækjendur um dvalarleyfi fylla út. Þá séu upplýsingar úr eyðublaðinu um heimilisfang erlendis jafnframt skráð í skráningarkerfi stofnunarinnar, Erlend. Til þess að veita utanaðkomandi upplýsingar um þekkt heimilisfang erlendis geti Útlendingastofnun veitt aðgang að hinni upphaflegu umsókn um dvalarleyfi, útprentun úr Erlendi eða tekið saman upplýsingar um heimilisfang á sér blaði. Telji stofnunin að einfaldast væri, þ.e. ef heimilt er að miðla upplýsingunum að mati Persónuverndar, að taka upplýsingarnar saman og afhenda, fremur en að veita aðgang að skjölum stofnunarinnar, enda komi þar jafnframt fram aðrar upplýsingar um umsækjanda. Loks segir eftirfarandi um 7. gr. laga nr. 77/2000:

„Samkvæmt erindi því sem barst Útlendingastofnun er tilgangur upplýsingaöflunarinnar sá að stefna viðkomandi einstaklingi svo unnt verði að ákvarða faðerni barns fyrir dómi. Stofnunin hefur ekki sérþekkingu á lögum 77/2000 en telur með vísan til þeirra upplýsinga sem fyrir liggja að vinnslan samræmist 1. og 2. tölul. ákvæðisins þar sem um skýran og málefnalegan tilgang er að ræða og leysa skal úr álitaefninu fyrir dómi. Hins vegar er stofnuninni ekki ljóst hvort 5. tölul. ákvæðisins verður uppfylltur, né með hvaða hætti unnt væri að tryggja slíkt í máli sem þessu.“

Þann 4. september 2015 barst Persónuvernd einnig afrit af hinni upphaflegu beiðni [X], hdl., f.h. umbjóðanda síns, til Útlendingastofnunar, dags. 9. maí 2014, þar sem segir meðal annars að umbjóðandi hans hafi höfðað mál fyrir hönd ólögráða dóttur sinnar gegn A og krafist þess að viðurkennt yrði með dómi að A yrði faðir dóttur hennar. Undir rekstri málsins lagði A fram tölvupóst frá umbjóðanda lögmannsins til A, en af honum mátti ráða að annar maður, B, kæmi einnig til greina sem faðir barnsins. Voru því, að mati dómsins, ekki uppfyllt skilyrði 2. mgr. 10. gr. barnalaga, þar sem segir að stefna verði öllum þeim mönnum sem höfðu samfarir við móður barnsins á getnaðartíma þess og var því málinu vísað frá dómi ex officio. Þurfi umbjóðandi hans því, f.h. dóttur sinnar, að höfða faðernismál að nýju og stefna bæði A og B. Er umbjóðanda lögmannsins ómögulegt að höfða barnsfaðernismál og stefna B nema hafa upplýsingar um lögheimili hans erlendis eða aðsetur. Þá hafi hann þegar reynt að afla upplýsinganna frá Þjóðskrá Íslands, en embættið sagði að þær væru ekki að finna þar heldur hjá Útlendingastofnun. Í bréfi lögmannsins segir einnig að 9. gr. upplýsingalaga nr. 140/2012 eigi ekki við í þessu tilviki í ljósi réttinda barnsins og skyldu móður til feðrunar og því sé ekki „sanngjarnt og eðlilegt“ að dvalarstaður B fari leynt.

 

II.

Álit Persónuverndar

1.

Þau lög sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna.

Með vísan til framangreinds telur Persónuvernd að Útlendingastofnun sé ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem hér um ræðir, þ.e. varðandi mögulega miðlun persónuupplýsinga til þriðja aðila, sem hyggst höfða barnsfaðernismál gegn hinum skráða.

Með vísan til framangreinds er ljóst að sú aðgerð að miðla upplýsingum til aðilans sem hér um ræðir um heimilisfang tiltekins erlends ríkisborgara felur í sér vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000.

 

2.

Í því máli sem hér um ræðir er um að ræða upplýsingar um heimilisfang erlends ríkisborgara erlendis, sem var síðast skráð hjá Útlendingastofnun. Slíkar upplýsingar teljast ekki vera viðkvæmar persónuupplýsingar í skilningi 8. tölul. 2. gr. laga nr. 77/2000.

Samkvæmt lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga verður vinnsla, þ.á m. miðlun, slíkra upplýsinga ávallt að falla undir einhverja af heimildum 8. gr. laganna. Þegar um ræðir vinnslu persónuupplýsinga, sem fram fer á vegum stjórnvalda, geta einkum átt við 3., 5. og 6. tölul. 1. mgr. 8. gr., þess efnis að vinnsla persónuupplýsinga er heimil sé hún nauðsynleg til að fullnægja lagaskyldu, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds. Þá gæti vinnslan einnig verið heimil á grundvelli 7. tölul. 1. mgr. 8. gr. laganna, þess efnis að vinnslan sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra.

Auk framangreinds verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

 

3.

Þau ákvæði 8. gr. laga nr. 77/2000, sem einkum reynir á í tengslum við miðlun persónuupplýsinga frá stjórnvaldi til þriðja óviðkomandi aðila eins og hér um ræðir, eru 3.og 6. tölul. 1. mgr. ákvæðisins, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu eða hún sé nauðsynleg við beitingu opinbers valds. Við mat á því hvort slík miðlun persónuupplýsinga til þriðja aðila sé heimil verður að líta til þeirra lagareglna sem um málefnið gilda.

Samkvæmt ákvæði 1. gr. a barnalaga nr. 76/2003 er móður skylt að feðra barn sitt þegar feðrunarreglur 2. gr. sömu laga eiga ekki við. Þá segir einnig í ákvæði 2. mgr. 10. gr. barnalaga að barnið sjálft eða móðir þess skuli stefna þeim manni eða mönnum sem eru taldir hafa haft samfarir við móður á getnaðartíma barns. Í því tilviki sem hér um ræðir liggur ljóst fyrir að tilgangurinn með mögulegri miðlun upplýsinga um heimilisfang hins skráða til lögmanns, f.h. umbjóðanda hans er sá að fyrirhugað er að birta stefnu fyrir hinum skráða svo unnt sé að höfða barnsfaðernismál og feðra tiltekið barn, í samræmi við fyrrnefnd ákvæði barnalaga. Hefur Útlendingastofnun bent á að slík miðlun gæti verið heimil á grundvelli 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Að mati Persónuverndar ber stjórnvaldi ávallt að starfa innan þess ramma sem lög setja þeim, í samræmi við hina almennu lögmætisreglu stjórnsýslulaga. Þrátt fyrir að ekki sé að finna beina heimild til handa Útlendingastofnun fyrir slíkri miðlun persónuupplýsinga sem hér um ræðir telur Persónuvernd engu að síður að meta verði hvert tilvik fyrir sig í ljósi meðal annars þeirra lagareglna sem gilda um tilgang vinnslunnar, í þessu tilviki beiðni lögmannsins, og þær persónuupplýsingar sem beiðnin varðar.

Í þessu tilviki ber sérstaklega að huga að grundvallarreglum barnalaga nr. 76/2003 og samnings Sameinuðu þjóðanna um réttindi barnsins (hér eftir barnasáttmáli SÞ), nánar tiltekið um að hafa hagsmuni barnsins í fyrirrúmi sem og réttindi þess, þ. á m. rétt barns til að þekkja foreldra sína. Þá hvílir einnig rík skylda á móður að feðra barns sitt sem ekki er feðrað samkvæmt beinum fyrirmælum barnalaga. Þegar upp kemur tilvik þar sem skarast hagsmunir barns og friðhelgi einkalífs hins skráða ber að meta hvort vinnsla sé lögmæt á grundvelli 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, fremur en 3. eða 6. tölul. sama ákvæðis. Hefur lögmaðurinn í máli þessu meðal annars vísað til þess að reynt hafi verið að birta hinum skráða stefnu, en án árangurs, enda sé hann búsettur erlendis og önnur stjórnvöld hafi ekki haft upplýsingar um heimilisfang hans. Virðist því nú vera uppi sú staða að upplýsingar Útlendingastofnunar séu síðasta úrræði sem umbjóðandi lögmannsins getur gripið til í þeim tilgangi að reyna að birta umrædda stefnu.

Þar sem í þessu tilviki er ekki um viðkvæmar persónuupplýsingar að ræða, og ekki er fyrirhugað að afhenda neinar aðrar upplýsingar en heimilisfang hins skráða telur Persónuvernd að hagsmunir barnsins í þessu máli vegi þyngra og hafi forgang fram yfir friðhelgi einkalífs hins skráða.

Með vísun til alls framangreinds telur Persónuvernd að miðlun upplýsinga um heimilisfang hins skráða frá Útlendingastofnun til lögmanns f.h. umbjóðanda síns sé heimil á grundvelli 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þá telur Persónuvernd að slík miðlun myndi einnig samrýmast ákvæði 7. gr. sömu laga, enda sé þeim miðlað í lögmætum og málefnalegum tilgangi og nægilegar miðað við þann tilgang sem liggur að baki beiðni lögmanns hennar.

Loks telur Persónuvernd rétt að benda á að það fellur í hlut hvers ábyrgðaraðila persónuupplýsinga að taka ákvörðun um hvort umbeðnar upplýsingar séu veittar. Hafni ábyrgðaraðili t.d. að miðla tilteknum persónuupplýsingum til þriðja aðila getur Persónuvernd ekki kveðið á um að honum beri að afhenda slíkar upplýsingar, enda þótt honum væri það heimilt skv. ákvæðum laga nr. 77/2000 í persónuvernd og meðferð persónuupplýsinga.

 

Á l i t s o r ð

Útlendingastofnun er heimilt að miðla upplýsingum um heimilisfang einstaklings erlendis til að unnt sé að höfða barnsfaðernismál gegn honum.