Öflun persónuupplýsinga úr málaskrá lögreglu
Ákvörðun
Á fundi stjórnar Persónuverndar hinn 30. maí 2016 var tekin svohljóðandi ákvörðun í máli nr. 2015/1617:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Persónuvernd bárust, þann 30. nóvember og 2. desember 2015, tvær ábendingar í gegnum síma frá starfsmönnum Öryggismiðstöðvar Íslands um að þeim hefði verið tilkynnt sú ákvörðun félagsins að fyrirtækið hyggðist afla upplýsinga um starfsmenn sína úr málaskrá lögreglu. Af því tilefni ákvað Persónuvernd að kanna fyrrgreinda upplýsingaöflun frekar.
2.
Bréfaskipti
Með bréfi, dags. 2. desember 2015, var Öryggismiðstöð Íslands tilkynnt um að Persónuvernd hefði ákveðið að hefja frumkvæðisathugun á vinnslu fyrirtækisins á viðkvæmum persónuupplýsingum úr málaskrá lögreglu, sbr. 2. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Öryggismiðstöð Íslands var boðið að koma á framfæri andmælum til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Persónuvernd óskaði sérstaklega eftir upplýsingum um það hvort fyrirhugað væri að framkvæma fyrrnefnda vinnslu og ef svo væri, hvernig hún yrði framkvæmd og á grundvelli hvaða heimildar í 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000 hún yrði byggð.
Svarbréf Öryggismiðstöðvar Íslands, dags. 5. janúar 2016, barst Persónuvernd þann 11. janúar 2016. Þann 18. janúar 2016 var Öryggismiðstöðinni sent annað bréf og boðið að útskýra nánar tiltekin atriði. Svör félagsins við síðara bréfinu bárust 22. febrúar 2016. Í svörunum kemur fram að Öryggismiðstöðin hafi hlotið leyfi ráðherra til að starfa við öryggisþjónustu í skilningi reglugerðar nr. 340/1997 um öryggisþjónustu, með síðari breytingum. Samkvæmt 1. gr. reglugerðarinnar geti öryggisgæsla falist í eftirliti með lokuðum svæðum og svæðum opnum almenningi, hvort heldur er með eftirlitsferðum vaktmanna eða myndavélum; flutningi verðmæta; að taka við og sinna boðum frá einstaklingum um aðstoð; að taka við og sinna boðum frá viðvörunarkerfum vegna eldsvoða, vatnsleka, innbrots, hitastigs, rafmagnsleysis eða dæluvirkni; og vernd einstaklinga með lífvörðum. Starfsmenn á öryggissviði Öryggismiðstöðvarinnar, sem starfi við öryggisgæslu, sinni þeim verkefnum sem tilgreind séu í 1. gr. reglugerðar um öryggisþjónustu.
Samkvæmt 3. gr. reglugerðarinnar skal starfsmaður, þegar hann er ráðinn til að sinna framkvæmd öryggisþjónustu, afhenda sakavottorð og önnur þau gögn sem nauðsynleg þykja til að mat verði lagt á hæfni starfsmanns til að gegna því starfi sem honum verður falið. Starfsmaður skal einnig afhenda leyfishafa nýtt sakavottorð á tveggja ára fresti eða oftar ef ástæða er til.
Í svarbréfum Öryggismiðstöðvarinnar kemur jafnframt fram að fundur hafi verið haldinn með starfsmönnum fyrirtækisins síðastliðið haust og þeir upplýstir um markmið vinnslunnar og auk þess sem fundað hafi verið sérstaklega með þeim starfsmönnum sem óskuðu nánari skýringa. Í framhaldinu hafi Öryggismiðstöðin farið fram á endurnýjun sakavottorða þeirra starfsmanna sem sinna öryggisgæslu og hafi þeim verið veittur frestur til 5. desember 2015 til að skila þeim inn. Sakavottorðin séu varðveitt af deildarstjóra á öryggissviði í læstri hirslu sem hann og framkvæmdastjóri sviðsins hafi aðgang að. Jafnframt hafi verið óskað eftir því að sömu starfsmenn sýndu deildarstjóranum endurrit skráningar um sig úr málaskrá lögreglu. Deildarstjóri lesi yfir þær upplýsingar sem þar koma fram og afhendi viðkomandi starfsmanni aftur. Skráin sé því ekki varðveitt af Öryggismiðstöðinni. Þeim starfsmönnum sem munnlega hafi látið í ljós áhyggjur sínar hafi verið kynnt ítarlega hvernig skoðun deildarstjórans fari fram. Þegar svörin voru rituð höfðu innan við 10 starfsmenn orðið við þessum tilmælum félagsins og sýnt deildarstjóra endurrit skráningar í málaskrá lögreglu um sig.
Upplýst er að markmið og tilgangur skoðunar á skráningu um starfsmenn í málaskrá lögreglu sé að fá upplýsingar um hvort starfsmenn hafi ítrekað komið við sögu lögreglu í tengslum við grun um refsiverð brot. Komi slíkar upplýsingar fram rýri það traust sem starfsmaður í öryggisgæslu verði að njóta. Málefnalegar forsendur geti þá verið til að telja að starfsmaður uppfylli ekki kröfur um hæfni til að starfa samkvæmt þeim sjónarmiðum sem liggi til grundvallar ákvæðum reglugerðar um öryggisþjónustu. Umræddir starfsmenn hafi lyklavöld að heimilum og fyrirtækjum, aðgang að gögnum úr eftirlitskerfum og annist í starfi sínu gæslu fólks og verðmæta. Í mörgum tilvikum hafi starfsmenn aðgang að opinberum stofnunum og gæti þeirra verðmæta sem þar eru, svo sem trúnaðargagna stjórnsýslunnar og menningarverðmæta opinberra safna. Samkvæmt framangreindu uppfylli vinnslan skilyrði 7. gr. laga nr. 77/2000. Aðskilnaður starfa hjá Öryggismiðstöðinni sé ekki slíkur að hægt sé að afmarka gagnaöflun við tiltekna starfsmenn út frá verkaskiptingu. Starfsmenn sem sinni afmörkuðum verkefnum hjá einu fyrirtæki við öryggisgæslu geti til dæmis tekið að sér aukavinnu við aðra öryggisgæslu. Óskað sé eftir að starfsmenn framvísi sjálfviljugir á 12 til 18 mánaða fresti afriti úr málaskrá lögreglu, sem ekki sé varðveitt hjá Öryggismiðstöðinni. Ekki hafi hingað til verið undirrituð sérstök yfirlýsing um samþykki starfsmannsins en slíkt verði gert framvegis. Það sé mat Öryggismiðstöðvarinnar, með vísan til framangreinds, að umrædd vinnsla persónuupplýsinga falli undir 1. tölul. 1. mgr. 8. gr. og 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000.
Vinnslan sé jafnframt heimil á grundvelli 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, þar sem hún sé nauðsynleg til að ábyrgðaraðili geti gætt lögmætra hagsmuna sinna, og grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi ekki þyngra. Einnig telur fyrirtækið að vinnslan samrýmist 3. mgr. 8. gr. og 3. mgr. 9. gr. laganna, þar sem brýnir almannahagsmunir eða hagsmunir einstaklinga krefjist þess. Miðað við þann mikla aðgang sem starfsmenn við öryggisvörslu hjá fyrirtækinu hafa að heimilum, fyrirtækjum og stofnunum er það mat Öryggismiðstöðvarinnar að vinnslan eins og henni er hagað sé í réttu hlutfalli við hinn lögmæta tilgang sem að er stefnt og gangi ekki lengra en nauðsynlegt er.
II.
Forsendur og niðurstaða
1.
Almennt
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Öryggismiðstöð Íslands hf. vera ábyrgaraðili að þeirri vinnslu sem athugun Persónuverndar beinist að.
2.
Öflun málaskrárupplýsinga
Fyrir liggur að Öryggismiðstöð Íslands hf. hefur óskað eftir því að fá upplýsingar um starfsmenn sína úr málaskrá lögreglu. Upplýsinganna afla starfsmennirnir sjálfir frá lögreglu, en samkvæmt 8. gr. reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu eiga einstaklingar rétt á að fá upplýsingar um sjálfa sig úr þeim skrám sem hún heldur.
Svo að Öryggismiðstöðinni sé heimilt að vinna með þær persónuupplýsingar sem hún fær í hendur með framangreindum hætti verður meðferð upplýsinganna, sem endranær við vinnslu persónuupplýsinga, að falla undir heimildarákvæði laga nr. 77/2000. Í því felst að vinnslan verður að samrýmast einhverju af skilyrðum 8. gr. laganna. Þá áskilja lögin að þegar um ræðir viðkvæmar persónuupplýsingar samrýmist vinnsla einnig einhverju af viðbótarskilyrðunum fyrir vinnslu slíkra upplýsinga í 9. gr. laganna. Upplýsingar um grun um refsiverða háttsemi eru viðkvæmar, sbr. b-lið 8. tölul. 2. gr. laga nr. 77/2000, en ljóst er að í málaskrá lögreglu er slíkar upplýsingar að finna. Þá kann meðal annars að vera þar að finna upplýsingar um heilsuhagi, s.s. lyfja-, áfengis- og vímuefnanotkun, en slíkar upplýsingar eru einnig viðkvæmar, sbr. c-lið 8. tölul. 2. gr. Samkvæmt þessu þarf umrædd vinnsla persónuupplýsinga hjá Öryggismiðstöðinni jafnframt að samrýmast einhverju skilyrðanna í 9. gr. laga nr. 77/2000.
Í 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er mælt fyrir um heimild til vinnslu persónuupplýsinga á grundvelli samþykkis. Þá er að finna heimild til vinnslu viðkvæmra persónuupplýsinga á sama grundvelli í 1. tölul. 1. mgr. 9. gr. laganna. Samþykki samkvæmt því ákvæði þarf ávallt að fullnægja ströngum kröfum, sbr. 7. tölul. 2. gr. laganna þar sem hugtakið samþykki er skilgreint svo: „Sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv.“
Auk heimildar í 8. og, eftir atvikum, 9. gr. laga nr. 77/2000 þarf vinnsla persónuupplýsinga ávallt að fullnægja öllum kröfunum í 7. gr. sömu laga. Þar segir meðal annars að við vinnslu persónuupplýsinga skuli þess gætt að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær séu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi (2. tölul.); að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær séu áreiðanlegar og uppfærðar eftir þörfum (4. tölul.).
Upplýsingar í málaskrá lögreglu eru, ólíkt því sem gildir um upplýsingar í sakaskrá, óstaðfestar í þeim skilningi að þær hafa ekki hlotið formlega umfjöllun innan dómskerfisins. Í málaskrá birtast því meðal annars upplýsingar um grun um afbrot sem ekki hefur verið staðfestur með dómi. Þá birtast þar upplýsingar um það sem haft er eftir fólki á vettvangi slysa, afbrota eða annarra þeirra atvika sem lögregla hefur afskipti af. Gera má ráð fyrir að þessar upplýsingar geti í ákveðnum tilvikum birst í slíku samhengi að viðkomandi einstaklingur virðist hafa verið viðriðinn eitthvað misjafnt og það jafnvel að ósekju. Heimild Öryggismiðstöðvarinnar til að biðja um þessar upplýsingar verður að meta í því ljósi. Þá verður að líta til 71. gr. stjórnarskrárinnar, laga nr. 33/1944 sem hefur að geyma grunnregluna um réttinn til friðhelgi einkalífs.
Þegar litið er til alls framangreinds telur Persónuvernd öflun óskilgreindra upplýsinga úr málaskrá lögreglu um alla starfsmenn Öryggismiðstöðvarinnar, án afmörkunar í tíma, ekki samrýmast kröfum 7. gr. laga nr. 77/2000 um sanngirni, meðalhóf og áreiðanleika við vinnslu persónuupplýsinga. Með vísan til 1. mgr. 40. gr. laga nr. 77/2000 leggur Persónuvernd því fyrir Öryggismiðstöðina að láta af öflun umræddra upplýsinga. Staðfesting á að farið hafi verið að þeim fyrirmælum skal berast Persónuvernd eigi síðar en 24. júní 2016.
Ákvörðunarorð:
Öflun Öryggismiðstöðvar Íslands hf. á upplýsingum um starfsmenn úr málaskrá lögreglu samrýmist ekki kröfum 7. gr. laga nr. 77/2000 um málefnalega og sanngjarna vinnslu, meðalhóf og áreiðanleika við vinnslu persónuupplýsinga. Eigi síðar en 24. júní 2016 skal Öryggismiðstöðin hafa sent Persónuvernd staðfestingu á að látið hafi verið af framangreindri upplýsingaöflun.