Frávísun máls um meinta fölsun á umboði
Ákvörðun
Á fundi stjórnar Persónuverndar hinn 3. nóvember 2015 var eftirfarandi ákvörðun tekin í máli nr. 2014/1109:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Kvörtun
Þann 2. september 2014 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd kvartandi), vegna miðlunar persónuupplýsinga um hana frá Þjóðskrá Íslands til óviðkomandi þriðja aðila, [B]. Í kvörtuninni segir m.a. að ekki hafi legið fyrir skriflegt samþykki kvartanda fyrir miðlun persónuupplýsinga um hana og ólögráða sona hennar, sem hafi verið afhentar á grundvelli falsaðs umboðs, en afrit þess og annarra fylgiskjala fylgdu kvörtuninni. Í kvörtuninni segir jafnframt að Þjóðskrá Íslands hafi brotið lög með því að veita upplýsingar um kvartanda úr þjóðskrá án undirskriftar hennar.
Þann 2. september 2014 barst Persónuvernd önnur kvörtun frá kvartanda er laut að [B] og miðlun persónuupplýsinga um kvartanda til hans frá ríkisskattstjóra. Í þeirri kvörtun er ítrekað að fyrrnefndur [B] hafi framvísað fölsuðu umboði, í nafni kvartanda, hjá Þjóðskrá Íslands, ásamt ljósritum af skilríkjum tveggja vitundarvotta sem undirrituðu hið meinta falsaða umboð, í því skyni að komast yfir gögn um kvartanda hjá Þjóðskrá Íslands. Þá segir einnig að [B] hafi notað fyrrnefnt umboð til að fá afhentar skattskýrslur kvartanda fyrir síðastliðin tvö ár frá Skattstofunni í Reykjavík, sem einnig hafi verið afhentar án skriflegs samþykkis kvartanda.
2.
Bréfaskipti við Þjóðskrá Íslands og ríkisskattstjóra
Með bréfum, dags. 31. október 2014, var Þjóðskrá Íslands og ríkisskattstjóra tilkynnt um framkomna kvörtun og boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var þess sérstaklega óskað að stofnanirnar upplýstu um eftirfarandi:
1. Hvort þær hefðu afhent [B] persónuupplýsingar um kvartanda, og ef svo væri, hvaða upplýsingar.
2. Á grundvelli hvaða heimildar í 1. mgr. 8. gr., og eftir atvikum 1. mgr. 9. gr., laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, slík miðlun hefði grundvallast.
Svarbréf Þjóðskrár Íslands, dags. 19. nóvember 2014, barst Persónuvernd þann 21. nóvember 2014. Í svarbréfi Þjóðskrár segir m.a. að [B] hafi pantað lögheimilisvottorð fyrir kvartanda og son hennar þann 17. janúar 2014 sem þá var upplýstur um að slík vottorð væru einungis afhent þriðja aðila á grundvelli fullnægjandi umboðs frá kvartanda. Þann 24. janúar 2014 hafi lögheimilisvottorð verið afhent [B] gegn framvísun umboðs, en umboðinu fylgdi jafnframt afrit af skilríkjum tveggja vitundarvotta samkvæmt umboðinu. Eins og verklagsreglur gera ráð fyrir var tekið afrit af umræddu umboði ásamt fylgigögnum og skilríkjum [B].
Þá segir jafnframt í svarbréfi Þjóðskrár að á lögheimilisvottorði sé að finna staðlaðar upplýsingar um nafn kvartanda, lögheimili, fæðingardag, kennitölu, fæðingarstað, kyn og dagsetningu þegar kvartandi(a) fékk skráð lögheimili á Íslandi. Þá telur Þjóðskrá að stofnunin hafi miðlað fyrrnefndum upplýsingum á grundvelli 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000, enda taldi starfsmaður Þjóðskrár að fyrir lægi gilt samþykki kvartanda samkvæmt fyrrnefndu umboði sem vottað var af tveimur vitundarvottum.
Svarbréf ríkisskattstjóra, dags. 20. janúar 2015, barst Persónuvernd þann 22. janúar 2015. Í því segir að starfsmönnum ríkisskattstjóra sé óheimilt, að viðlagðri ábyrgð eftir ákvæðum almennra hegningarlaga, að skýra óviðkomandi aðilum frá því sem þeir komast að í störfum sínum um tekjur og efnahag skattaðila. Þá segir jafnframt að hver sá sem óskar eftir afhendingu skattgagna beri, samkvæmt lögum um tekjuskatt, að sanna á sér deili með framvísun persónuskilríkja eða, eftir atvikum, framvísa vottuðu umboði f.h. skattaaðila. Loks segir í svarbréfi ríkisskattstjóra að ekki sé til staðar umboð hjá embættinu sem unnt er að rekja til kvartanda eða meints umboðshafa, [B]. Einnig hafi verið könnuð umboð sem bárust á starfsstöð ríkisskattstjóra í Hafnarfirði á árunum 2013 og 2014 en umboð í nafni kvartanda var ekki til hjá þeirri starfsstöð. Þá hafi útgáfa veflykils til kvartanda einungis verið sendur í heimabanka kvartanda sjálfs. Í ljósi þess telur ríkisskattstjóri að aðgangur að skattframtölum kvartanda hafi ekki getað átt sér stað með þeim hætti sem kvartandi lýsir í kvörtun sinni. Telur ríkisskattstjóri því að engin skattgögn, sem varði kvartanda, hafi verið afhent óviðkomandi aðila frá embætti hans.
3.
Bréfaskipti við kvartanda
Með bréfi, dags. 13. febrúar 2015, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Þjóðskrár Íslands og ríkisskattstjóra. Svarbréf [C] hdl., f.h. kvartanda, dags. 19. febrúar 2015, barst Persónuvernd þann 23. febrúar 2015.
Í bréfinu segir að kvartandi geri ekki athugasemdir við skýringar ríkisskattstjóra og telur vinnubrögð embættisins til fyrirmyndar. Um skýringar Þjóðskrár Íslands segir m.a. að undirritun kvartanda hafi verið fölsuð á því umboði sem [B] hafi afhent Þjóðskrá í hennar nafni. Telur kvartandi að fölsunin hafi átt að vera starfsmanni Þjóðskrár augljós þar sem eftirnafn kvartanda á umboðinu hafi verið ritað „[A]“ en ekki „[A]a“. Eftirnafn kvartanda „[A]a“ sé skráð skýrum stöfum í þjóðskrá auk þess sem bókstafurinn „a“ sé kvenkynsending eftirnafna kvenna í [D]. Þá gerir kvartandi athugasemd við afgreiðslu Þjóðskrár Íslands á afhendingu vottorða þar sem ekki hafi verið óskað eftir afriti af persónuskilríkjum hennar sjálfrar á sama hátt og krafist var afrita af persónuskilríkjum tveggja vitundarvotta. Með því hefði verið unnt að bera saman undirritun kvartanda á umboðinu og undirritun hennar á persónuskilríkjum í því skyni að sannreyna auðkenningu allra sem sagðir voru hafa undirritað umboðið. Loks kemur fram að samkvæmt 1. tölul. 8. gr. persónuverndarlaga skal samþykki hins skráða fyrir vinnslu persónuupplýsinga vera ótvírætt. Í því felist að stjórnvald verði að gæta ítrustu varúðar áður en persónuupplýsingar eru unnar eða þeim miðlað til þriðju aðila. Hafi Þjóðskrár Íslands vanrækt varúðarskyldu sína.
II.
Forsendur og niðurstaða
1.
Afmörkun kvörtunarefnis
Í 2. mgr. 37. gr. laga nr. 77/2000 segir að Persónuvernd úrskurði í ágreiningsmálum sem upp kunni að koma um vinnslu persónuupplýsinga. Kvörtun í máli þessu varðar miðlun persónuupplýsinga um kvartanda og son hennar til óviðkomandi þriðja aðila, annars vegar frá Þjóðskrá Íslands og hins vegar frá ríkisskattstjóra, á grundvelli meints falsaðs umboðs í hennar nafni. Þá lýtur kvörtunin einnig að [B] sem framvísaði hinu meinta falsaða umboði hjá Þjóðskrá Íslands í þeim tilgangi að afla upplýsinga um kvartanda frá Þjóðskrá.
Í svarbréfi ríkisskattstjóra, dags. 20. janúar 2015, kemur fram að ekki sé til staðar umboð hjá embættinu sem unnt er að rekja til kvartanda eða meints umboðshafa, [B]. Þá hafi könnun embættisins ekki leitt í ljós að neinar persónuupplýsingar um kvartanda hafi verið afhentar óviðkomandi þriðja aðila. Með bréfi, dags. 19. febrúar 2015, féllst lögmaður kvartanda á fram komnar skýringar ríkisskattstjóra. Persónuvernd telur að samkvæmt framanrituðu liggi ekki fyrir að fram hafi farið sú vinnsla hjá ríkisskattstjóra sem kvörtun þessi lýtur að. Er því ekki til staðar ágreiningur um vinnslu persónuupplýsinga um kvartanda sem stofnuninni ber að skera úr um. Er þessum þætti kvörtunarinnar því vísað frá.
2.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Þjóðskrá Íslands vera ábyrgðaraðili að vinnslu persónuupplýsinga um kvartanda, nánar til tekið miðlun þeirra til þriðja aðila, og fellur hún undir gildissvið laga nr. 77/2000.
3.
Niðurstaða
Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 1. mgr. 8. gr. laga nr. 77/2000. Litið hefur verið svo á að vinnsla upplýsinga um nafn, heimilisfang, kennitölu o.s.frv. geti m.a. átt sér stoð í 1. tölul. 1. mgr. 8. gr., þ.e. á þeim grundvelli að hinn skráði hafi ótvírætt samþykkt vinnsluna.
Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).
Í svarbréfi Þjóðskrár Íslands, dags. 19. nóvember 2014, kemur fram að upplýsingar um kvartanda á lögheimilisvottorði voru afhentar [B] á grundvelli umboðs þess sem kvartað er yfir og kvartandi heldur fram að sé falsað. Í bréfinu segir einnig að verklagsreglum hafi verið fylgt, en þær gera ráð fyrir að tekið sé afrit af umboðum sem afhent eru ásamt fylgigögnum og skilríkjum þess sem einstaklinga sem aflar upplýsinga á grundvelli umboðs í þessu tilviki [B]. Telur Þjóðskrár að afhending upplýsinganna hafi verið heimil á grundvelli 1. tölul. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.
Á umboði því sem hér um ræðir og afhent var Þjóðskrá Íslands, í nafni kvartanda, var að finna undirritun tveggja vitundarvotta. Þá fylgdi því jafnframt afrit af skilríkjum vitundarvottanna. Samkvæmt framangreindu liggur ekki annað fyrir en að sú vinnsla sem fólst í að miðla umræddum persónuupplýsingum til um kvartanda til þriðja aðila hafi farið fram á grundvelli samþykkis kvartanda, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Að mati Persónuverndar var Þjóðskrá hvorki ljóst, né mátti vera það ljóst, að umboðið sem hér um ræðir og kvörtun þessi lýtur að, hafi ekki talist skuldbindandi fyrir kvartanda. Þjóðskrá Íslands tók við fyrrnefndu umboði í góðri trú og afgreiddi umsókn um lögheimilisvottorð samkvæmt verklagsreglum stofnunarinnar þar um.
Í 1. mgr. 155. gr. almennra hegningarlaga nr. 19/1940 segir að hver sá sem noti falsað skjal til þess að blekkja með því í lögskiptum, skuli sæta fangelsi allt að 8 árum. Persónuvernd er ekki bær til að rannsaka hvort refsivert brot hafi verið framið eða taka bindandi ákvörðun um, hvort einstaklingur hafi skapað sér refsiábyrgð að lögum. Slíkt er einungis á færi dómstóla, að undangenginni rannsókn máls, og útgáfu ákæru.
Í ljósi framangreinds fellur úrlausn um hiða meinta falsaða umboð sem [B] framvísaði hjá Þjóðskrá Íslands í nafni kvartanda ekki undir valdsvið Persónuverndar heldur dómstóla. Af þeirri ástæðu er stofnuninni ekki unnt að skera úr um lögmæti þeirrar miðlunar sem fram fór um kvartanda á grundvelli umrædds umboðs. Verður kvörtuninni því vísað frá.
Ágreiningur um miðlun persónuupplýsinga um kvartanda og ólögráða son hennar er til komin vegna meintrar refsiverðrar háttsemi en kvartandi heldur því fram að [B] hafi falsað umboð í hennar nafni og framvísað því í lögskiptum hjá Þjóðskrá Íslands. Að því virtu leiðbeinir Persónuvernd kvartanda um að leita til lögreglu vegna hinnar meintu refsiverðu háttsemi [B].