Meðferð persónuupplýsinga úr LÖKE
Úrskurður
Hinn 22. september 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2015/503:
I.
Bréfaskipti
1.
Persónuvernd hefur borist kvörtun frá [X] hdl., dags. 18. mars 2015 fyrir hönd umbjóðanda hennar, [A] (hér eftir nefndur „kvartandi“), yfir vinnslu persónuupplýsinga hjá ríkislögreglustjóra og ríkissaksóknara, þ.e. miðlun fyrrnefnda stjórnvaldsins á tilteknum upplýsingum til hins síðarnefnda og því næst miðlun hins síðarnefnda á upplýsingunum til héraðsdómara.
Nánar tiltekið kemur fram að kvartandi hafi óskað eftir að ríkislögreglustjóri upplýsti sig um hverjir hefðu flett sér upp í málaskrárkerfi lögreglu, LÖKE, sem og um tímasetningar uppflettinganna. Hafi kvartanda þá verið leiðbeint um að leita til ríkissaksóknara og hafi hann gert það með erindi hinn [dags.] 2015. Í kjölfar þess hafi ríkissaksóknari leitað til ríkislögreglustjóra til að fá umræddar upplýsingar í hendur. Þeirri málaleitan hafi verið svarað með bréfi ríkislögreglustjóra, [dags.] 2015, stíluðu á kvartanda, sem ríkissaksóknari hafi fengið afrit af (tilvísun ríkislögreglustjóra: [...]). Með bréfinu hafi verið hjálagt fylgiskjal með yfirliti yfir öll mál þar sem kvartandi er skráður í upplýsingakerfi lögreglu, LÖKE. Hafi ríkissaksóknari sent bæði bréfið og fylgiskjalið með umræddu yfirliti til héraðsdómara við Héraðsdóm Reykjavíkur í tengslum við meðferð sakamáls, sbr. tölvubréf frá embættinu til dómarans hinn [dags.] 2015 (mál nr. [...] hjá dómstólnum).
Með kvörtun fylgdi afrit af yfirlitinu sem tiltekur málsnúmer hjá lögreglu, tilgreiningu á því hvers konar brot hafi verið til rannsóknar, tengsl kvartanda við málið (tilgreining á hvort hann hafi verið kærður, vitni, tilkynnandi o.s.frv.), stöðu málsins, dag sem mál var skráð, dag sem ætlað brot er talið hafa verið framið, vettvang og viðkomandi lögregluembætti.
Fram kemur að fyrrgreind ósk kvartanda um hverjir hafi flett honum upp og tímasetningar uppflettinga hafi verið þáttur í að hnekkja sönnunargildi lögregluskýrslu, þ.e. hann hafi ætlað að sýna fram á að sá sem ritaði skýrsluna hafi, í stað þess að styðjast við eigið minni, flett honum upp til að finna skýrslu sem annar lögreglumaður hafði áður gert um sama mál. Þá segir í kvörtun:
„Er um að ræða gríðarlega viðkvæmar persónuupplýsingar sem eru augljóslega til þess fallnar að hafa neikvæð áhrif á dómara málsins. Voru upplýsingarnar með þessari sendingu teknar úr vörðu umhverfi LÖKE og sendar með tölvupósti á dómara sem mun dæma í aðalmeðferð sakamáls sem fyrirhuguð er nokkrum klukkustundum síðar. Vísast hvað þetta varðar m.a. til ákvörðunar Persónuverndar í máli nr. 2014/1470. Umbjóðandi minn hafði ekki heimilað að svarbréf yrði sent á aðra aðila en hann sjálfan en einhverra hluta vegna er bréf sem stílað er á hann sent Ríkissaksóknara með afar viðkvæmum persónuupplýsingum sem síðan eru sendar áfram.“
Einnig segir í kvörtun að fyrirhugaðri framlagningu ákæruvaldsins á umræddu yfirliti yfir mál úr málaskrá lögreglu hafi verið mótmælt harðlega, m.a. þar sem upplýsingarnar væru óviðkomandi dómsmálinu og vörpuðu ekki að neinu leyti ljósi á þau atvik sem kvartandi var ákærður fyrir. Að auki segir:
„Svo fór að lokum að ákæruvaldið féll frá fyrirhugaðri framlagningu, en áður hafði verið vísað í 2. mgr. 171. gr. laga nr. 88/2008 til stuðnings framlagningunni […]. Slíkt virðist gefa til kynna að ákæruvaldið á Íslandi álíti afrit af málaskrá lögreglu vera sönnunargagn í sakamáli. Í slíkri túlkun felst augljóslega alvarleg aðför að friðhelgi einkalífs einstaklinga sem fyrir slíkri sönnunarfærslu verða. Þá felst í [þessari túlkun] að vegið er að meginreglu sakamálaréttarfars um að menn skulu teljast saklausir uns sekt er sönnuð.“
2.
Með bréfi, dags. 13. maí 2015, veitti Persónuvernd ríkislögreglustjóra og ríkissaksóknara færi á að tjá sig um framangreinda kvörtun. Ríkislögreglustjóri svaraði með bréfi, dags. 19. maí 2015. Þar er meðal annars vísað til þess að samkvæmt 20. gr. laga nr. 88/2008 um meðferð sakamála er ríkissaksóknari æðsti handhafi ákæruvalds í landi. Hann hafi sótt sök í umræddu dómsmáli og sé það órjúfanlegur hluti saksóknar að skoða fyrri sakaferil sakbornings. Sé það því mat embættis ríkislögreglustjóra að ríkissaksóknari hafi átt fullan rétt á veittum upplýsingum umrætt sinn. Þá segir meðal annars:
„Þar sem umrædd fyrirspurn kvartanda laut að rannsókn máls þar sem saksókn var á forræði ríkissaksóknara var kvartanda upphaflega beint til ríkissaksóknara vegna fyrirspurnar sinnar. Eftir að ríkissaksóknari hafði svo áframsent erindið til embættis ríkislögreglustjóra taldi embætti ríkislögreglustjóra rétt að ríkissaksóknari væri upplýstur um þau samskipti sem áttu sér stað við sakborning vegna málsins. Embætti ríkislögreglustjóra hafnar því alfarið að umrædd útprentun úr lögreglukerfinu, sem fylgdi afriti umrædds bréfs sem fór til ríkissaksóknara, hafi haft óeðlileg áhrif á framgang málsins, enda er embætti ríkissaksóknara með beinan aðgang að lögreglukerfinu og þar með þeim gögnum er hér um ræðir, sbr. 6. gr. reglugerðar nr. 322/2001.“
Ríkissaksóknari svaraði með bréfi, dags. 28. maí 2015. Þar segir að umrætt yfirlit yfir mál, þar sem kvartandi er skráður í upplýsingakerfi lögreglu, hafi getað haft áhrif við mat á trúverðugleika vitnisburðar lögreglumanns, sem ritaði aðra af fyrrnefndum lögregluskýrslum, fyrir dómi. Auk þess kemur fram að í ljósi framangreinds og þess að stutt var í aðalmeðferð málsins hafi dómara og verjanda verið sent yfirlitið í tölvupósti og þá ekki síst í því skyni að verjandi gæti kynnt sér það fyrir aðalmeðferðina enda stutt í hana. Þá segir:
„Í nefndum tölvupósti var verjanda og dómara málsins kunngert að ákæruvaldið hygðist leggja fram þau skjöl sem var að finna í viðhengi tölvupóstsins við upphaf aðalmeðferðar síðar sama dag. Skömmu síðar barst ákæruvaldinu svar frá verjanda þar sem fyrirætlan ákæruvaldsins var mótmælt. Eftir nánari umhugsun ákvað ákæruvaldið að falla frá framlagningunni. Með hliðsjón af ofangreindu er því alfarið hafnað af hálfu ákæruvaldsins að ofangreind tölvupóstsending til dómara málsins hafi falið sér tilraun til þess að hafa áhrif á dómarann.“
3.
Með bréfi, dags. 8. júní
2015, var fyrrgreindum lögmanni veitt færi á að tjá sig um svör
ríkislögreglustjóra og ríkissaksóknara fyrir hönd kvartanda. Svarað var
með tölvubréfi hinn 23. s.m. Þar segir meðal annars að í bréfi
ríkislögreglustjóra virðist alfarið litið fram hjá því að kvartandi
óskaði eftir upplýsingum um uppflettingar á upplýsingum um sig í LÖKE.
Er lýst þeirri afstöðu að sú upplýsingabeiðni hafi ekki með neinum hætti
snúið að yfirliti yfir skráð mál sem honum tengdust. Þá segir að ekki
fáist staðist það sem ríkissaksóknari heldur fram að yfirlitið hafi
tengst umræddu sakamáli. Þegar það hafi verið sent dómara í málinu hafi
þegar verið búið að lýsa því yfir að frekari gögn yrðu ekki lögð fram af
hálfu ákæruvaldsins. Síðar hafi hins vegar upplýsingabeiðni kvartanda
orðið til þess að yfirlitið var sent dómaranum.
Einnig er vísað til þess
að eftir að kvartandi hafi leitað til ríkissaksóknara hinn [dags.] 2015
hafi ríkissaksóknari sent ríkislögreglustjóra bréf, dags. s.d. Í því
hafi komið skýrt fram að kvartandi óskaði eftir vitneskju um
uppflettingar á upplýsingum um sig í LÖKE. Þá segir:
„Hvernig þau stjórnvöld sem kvörtun umbj. míns beinist að sjái út úr þessari beiðni heimild til að vinna með og miðla upplýsingum um umbj. minn úr málaskrá lögreglu er með öllu óskiljanlegt. Þá er gífurlega alvarlegt að umrædd málaskrá hafi í framhaldi af því að hún var ranglega send ríkissaksóknara verið send dómara í máli sem hafði til meðferðar sakamálaákæru gegn umbj. mínum. Á bréfinu sést að sami starfsmaður [og ritaði undir fyrrgreint bréf til ríkislögreglustjóra] hafði mál umbj. míns til ákærumeðferðar en ljóst er að sú tilviljun réði því að hann móttók málaskrána sem ríkislögreglustjóri sendi (óumbeðinn) og sendi hana í framhaldinu á dómara málsins.“
Að auki segir að ákæruvaldið hafi ekki aflað umræddra gagna sjálft heldur ákveðið að leggja þau fram þegar þau bárust því sama dag og aðalmeðferð fór fram. Þannig hafi sú ákvörðun ríkislögreglustjóra að senda umræddar, viðkvæmar persónuupplýsingar á annað embætti stjórnsýslunnar haft áhrif á framgang málsins án þess að embætti ríkissaksóknara hafi séð ástæðu til afla slíkra upplýsinga við meðferð þess. Fram kemur af hálfu fyrrgreinds lögmanns að ástæða þess að kvartandi hafi farið fram á vitneskju um uppflettingar um sig hafi verið að sýna fram á að lögregla hefði flett honum upp í LÖKE með ómálefnalegum hætti löngu eftir að meint atvik hefði átt sér stað. Sú tilraun hafi snúist í höndunum á kvartanda og lokið með því að dómara í sakamáli gegn honum hafi verið sendur margra blaðsíðna listi yfir ýmis mál sem mörg hver tengist honum ekki með neinum hætti. Ljóslega geti slíkar upplýsingar haft áhrif á dómara málsins þó svo að fulltrúi ríkissaksóknara hafi áttað sig á því að framlagningin væri ómálefnaleg og horfið frá því að leggja gögnin formlega fram. Þess beri að geta að sú staðreynd að horfið hafi verið frá framlagningu sýni að ekki hafi verið um grundvallargögn að ræða sem að mati ákæruvaldsins hafi þurft að leggja fram, enda það þá aflað gagnanna af sjálfsdáðum.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.
Mál þetta á upptök sín í því hvernig brugðist var við beiðni kvartanda um vitnes[k]ju um upplýsingavinnslu lögreglu um hann, en ákvæði um rétt manna þar að lútandi er að finna í 8. og 9. gr. reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu, sbr. m.a. 3. mgr. 45. gr. laga nr. 77/2000. Eins og kvörtun er sett fram snýr hún hins vegar ekki að því hvaða upplýsingar voru veittar kvartanda sjálfum heldur því að upplýsingunum hafi verið miðlað frá ríkislögreglustjóra til ríkissaksóknara og því næst frá ríkissaksóknara til héraðsdómara. Tekur umfjöllun Persónuverndar mið af þessu.
Samkvæmt 2. mgr. 3. gr. laga nr. 77/2000 er starfsemi ríkisins á sviði refsivörslu undanþegin vissum ákvæðum laganna. Svo að miðla megi persónuupplýsingum verður miðlunin ávallt að falla undir heimild samkvæmt lögunum, sbr. 8. og 9. gr., auk þess sem fullnægt þarf að vera kröfum 7. gr. um gæði gagna og vinnslu. Þessi ákvæði laganna falla ekki undir framangreinda undanþágu 2. mgr. 3. gr. Auk þess reynir á 6. gr. reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu þar sem fjallað er um hvenær miðla má persónuupplýsingum frá lögreglu. Reglugerðin sækir meðal annars stoð í lög nr. 77/2000, sbr. 3. mgr. 45. gr. þeirra laga, en samkvæmt 2. mgr. 37. gr. laganna getur Persónuvernd meðal annars fjallað um mál samkvæmt erindi þess sem telur að ekki hafi verið unnið með hann í samræmi við lögin eða reglum sem settar eru samkvæmt þeim.
Af framangreindu leiðir að mál þetta fellur undir valdsvið Persónuverndar eins og það er afmarkað í 1. og 2. mgr. 37. gr. laga nr. 77/2000 og er stofnunin því bær til að úrskurða í því. Úrskurðum stofnunarinnar er jafnan beint að ábyrgðaraðilum að vinnslu persónuupplýsinga, en samkvæmt 4. tölul. 2. gr. laganna er með ábyrgðaraðila átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst ríkislögreglustjóri vera ábyrgðaraðili að þeirri vinnslu sem fólst í miðlun persónuupplýsinga um kvartanda til ríkissaksóknara en ríkissaksóknari að miðluninni til héraðsdómara.
2.
Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverri af kröfum 8. gr. laga nr. 77/2000 eins og fyrr greinir. Svo að vinnsla viðkvæmra persónuupplýsinga sé heimil þarf einnig að vera fullnægt einhverri af viðbótarkröfum 9. gr. sömu laga fyrir slíkri vinnslu. Þær upplýsingar sem hér um ræðir lúta meðal annars að grun um refsiverða háttsemi kvartanda, en slíkar upplýsingar teljast viðkvæmar, sbr. b-lið 8. tölul. 2. gr. laganna.
Þau ákvæði 8. gr. laga nr. 77/2000, sem vinnsla persónuupplýsinga á vegum lögreglu getur einkum stuðst við, eru 3., 5. og 6. tölul. 1. mgr., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds. Af ákvæðum 9. gr. getur, eins og hér stendur á, einkum reynt á 7. tölul. 1. mgr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.
Við mat á því hvort heimildir séu til staðar samkvæmt framangreindu ber að líta til ákvæða í öðrum lögum og reglum eftir því sem við á. Í fyrrnefndu ákvæði 6. gr. reglna nr. 322/2001 er mælt fyrir um hvenær lögreglu er heimilt að miðla upplýsingum til annarra stjórnvalda, en í 1. mgr. þeirrar greinar er meðal annars mælt fyrir um að ákæruvaldið skuli hafa aðgang að persónuupplýsingum að því marki sem nauðsynlegt er til að sinna lögboðnum verkefnum.
Auk fullnægjandi vinnsluheimildar ber ávallt að gæta að því við vinnslu persónuupplýsinga að fullnægt sé öllum kröfum 1. mgr. 7. gr. laga nr. 77/2000, en þar er meðal annars mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).
Það fellur ekki í hlut Persónuverndar að meta hvaða upplýsingum telst nauðsynlegt að miðlað sé frá lögreglu til ríkissaksóknara í þágu meðferðar sakamáls, né heldur hvaða upplýsingum miðlað sé frá ríkissaksóknara til dómstóla í sama skyni. Til þess er hins vegar að líta að með umræddri miðlun ríkislögreglustjóra á upplýsingum til ríkissaksóknara var brugðist við erindi frá kvartanda sem ekki fól í sér ósk um slíka miðlun. Nánar tiltekið hafði hann óskað eftir upplýsingum um hverjir hefðu flett sér upp í upplýsingakerfi lögreglu, LÖKE, en með vísan til þeirrar beiðni miðlaði ríkislögreglustjóri ríkissaksóknara upplýsingum um öll þau mál í LÖKE þar sem kvartandi hafði verið skráður. Að því gefnu að miðlunin hefði talist nauðsynleg í þágu sakamáls hefði hún átt að fara fram samkvæmt hefðbundnum verkferlum við meðferð slíkra mála. Það að miðlunin fór fram af tilefni umræddrar upplýsingabeiðni kvartanda fékk því ekki samrýmst fyrrgreindri grunnreglu 1. tölul. 1. mgr. 7. gr. laga nr. 7//2000. Þá fólst í miðluninni umfangsmeiri vinnsla en nauðsynleg var til að svara beiðninni, en af því leiðir jafnframt að hún fór í bága við áðurnefnda grunnreglu 3. tölul. sömu málsgreinar.
Hvað miðlun frá ríkissaksóknara til héraðsdómara varðar ber að líta til þess að ríkissaksóknari hefur beinan aðgang að LÖKE í samræmi við 1. mgr. 6. gr. reglugerðar nr. 322/2001. Eins og fyrr greinir fellur það ekki undir verksvið Persónuverndar að meta hvaða upplýsingar teljast nauðsynlegar í þágu meðferðar sakamáls. Auk þess verður að ætla að fyrrgreindur aðgangur ríkissaksóknara að LÖKE þjóni meðal annars þeim tilgangi að embætti hans geti sótt þangað upplýsingar sem nauðsynlegt er að leggja fram í dómi vegna slíkra mála. Liggi upplýsingarnar fyrir í bréfi frá lögreglu verður ekki séð að embættinu sé óheimilt að senda þær á því formi í stað þess að sækja þær í LÖKE. Ekki verður og séð að embættið geti borið ábyrgð á því hvernig ríkislögreglustjóri afgreiðir upplýsingabeiðnir frá skráðum einstaklingum. Þá er ekki hægt að gera ráð fyrir að því geti hafa verið kunnugt um öll þau samskipti sem átt höfðu sér stað á milli ríkislögreglustjóra, kvartanda og lögmanns hans áður en umræddum upplýsingum var miðlað til þess frá ríkislögreglustjóra, þ. á m. hvort í samskiptum þessara aðila hafi verið lagður grundvöllur að miðluninni. Í ljósi alls framangreinds liggur því ekki fyrir að umrædd miðlun ríkissaksóknara hafi farið í bága við lög nr. 77/2000.
Ú r s k u r ð a r o r ð:
Miðlun ríkislögreglustjóra til ríkissaksóknara hinn 19. janúar 2015 á yfirliti yfir öll mál þar sem [A] er skráður í upplýsingakerfi lögreglu, LÖKE, var óheimil.