Birting upplýsinga um eignarhald á hestum
Úrskurður
Á fundi stjórnar Persónuverndar þann 26. október 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/412:
I.
Málsmeðferð
1.
Tildrög máls
Þann 26. febrúar 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd kvartandi) yfir vinnslu persónuupplýsinga um hana á vefsíðunni www.worldfengur.com. Í kvörtuninni segir m.a. að notendur vefsíðunnar geti nálgast persónuupplýsingar, svo sem upplýsingar um eignarhald á hestum, einkunnir sem þeir hafi fengið og fleira. Eigendur hestanna hafi ekki val um hvort upplýsingarnar séu aðgengilegar öðrum notendum. Þá séu upplýsingar um eignarhald ekki alltaf réttar. Út frá þessum upplýsingum sé auðvelt að geta sér til um verðmæti hesta í eigu tiltekins eiganda.
Í kvörtuninni segir jafnframt að viðkvæmar upplýsingar, svo sem um erfðaefni hesta, séu aðgengilegar öllum notendum vefsíðunnar og þær sé hægt að nota til þess að sýna fram á ætterni hesta án samþykkis eigenda. Kvartandi hafi til að mynda lánað stóðhest sinn út en lántakinn hafi svikist um að greiða folatoll. Þar sem DNA-upplýsingar hafi verið aðgengilegar á umræddri vefsíðu hafi lántakinn þrátt fyrir það getað selt folöldin sem skráða íslenska hesta. Kvartandi hafi óskað eftir því að upplýsingar um stóðhest hennar yrðu afmáðar úr gagnagrunni vefsíðunnar en þeirri beiðni hafi ekki verið svarað.
2.
Bréfaskipti
Með bréfi, dags. 3. maí 2016, var Bændasamtökum Íslands boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi samtakanna, dags. 31. maí 2016, segir að WorldFengur sé upprunaættbók íslenska hestsins og hin lögbundna hjarðbók fyrir lifandi hross í landinu, sbr. reglugerð nr. 916/2012 um merkingu búfjár, og innihaldi upplýsingar og skrá um hreinræktuð íslensk hross á alþjóðavísu, sbr. 4. tölul. 2. gr. reglugerðar nr. 442/2011, um uppruna og ræktun íslenska hestsins. Grundvöllur hennar sé að tryggja hreinræktun íslenska hrossastofnsins, en það verði best gert með ætternisgreiningum byggðum á DNA-greiningum. Engar forsendur séu til að fela þessar upplýsingar fyrir ræktendum enda séu þær verðmætar fyrir ræktendur íslenska hestsins og tryggi gegnsæi og jafnræði ræktenda hvar sem er í heiminum. Bændasamtök Íslands haldi upprunaættbókina, sbr. 1. mgr. 4. gr. reglugerðarinnar, en þeim sé skylt að sjá um kynbótaskýrsluhald fyrir hverja búgrein, sbr. 10. gr. búnaðarlaga nr. 70/1998.
Í reglugerð nr. 916/2012 og reglugerð nr. 200/1998, um búfjármörk, markaskrár og takmörkun á sammerkingum búfjár, sé kveðið á um skyldu umráðamanna búfjár til að skrá nánar tilteknar upplýsingar í WorldFeng. Þannig sé t.d. kveðið á um það í 5. mgr. 12. gr. reglugerðar nr. 916/2012 að umráðamenn hrossa séu ábyrgir fyrir að skráðar séu upplýsingar um fæðingarnúmer hrossa, fæðingardag, fæðingarnúmer móður o.fl. í WorldFeng. Samkvæmt grein 5.3 í reglugerð nr. 200/1998 sé jafnframt skylda að skrá frost- og örmerki hrossa í WorldFeng, en tilgangur þeirra sé að tryggja sem best upprunaskráningu og sönnun á eignarrétti hrossa, sbr. grein 5.1.
Um vefsíðuna WorldFeng segir að þar sé hægt að fletta upp á einstökum hrossum, eftir nafni eða fæðingarnúmeri, og fá þannig upplýsingar um eigendur þeirra. Þá sé hægt að fletta upp einstaklingum og fyrirtækjum og fá upplýsingar um hross í þeirra eigu. Ekki verði séð hvers vegna upplýsingar um eigendur einstakra hrossa ættu að vera trúnaðarmál. Eigendaskráningu sé þannig háttað að umskráningar fari ýmist fram með því að útfylltu eyðublaði um eigendaskipti sé skilað til Bændasamtaka Íslands eða í gegnum sk. heimarétt, sem notendur WorldFengs hafi aðgang að með Íslykli. Báðir aðilar, þ.e. kaupandi og seljandi, þurfi að staðfesta slík viðskipti. Bændasamtökum Íslands beri að tryggja áreiðanleika þeirra upplýsinga sem komi fram í WorldFeng, sbr. markmið reglugerðar nr. 442/2011. Eigendaskráning í WorldFeng sé hins vegar ekki ígildi þinglýsingar. Bændasamtök Íslands geti því ekki ábyrgst að allar upplýsingar í upprunaættbókinni séu réttar á hverjum tíma, en fái samtökin ábendingu um rangar upplýsingar beri þeim að leiðrétta þær.
Með bréfi, dags. 8. júlí 2016, ítrekuðu 16. ágúst og 12. september s.á., var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Bændasamtaka Íslands til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Engin svör bárust frá kvartanda.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá.
Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar.
Af framangreindu er ljóst að birting upplýsinga um eignarhald tiltekinna einstaklinga á hestum fellur undir gildissvið laga nr. 77/2000. Upplýsingar um hestana sjálfa, svo sem um einkunnir sem þeir hafa fengið og um erfðaefni þeirra, teljast hins vegar ekki til persónuupplýsinga og fellur vinnsla þeirra því ekki undir gildissvið laganna.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til teljast Bændasamtök Íslands vera ábyrgðaraðili umræddrar vinnslu.
2.
Lögmæti vinnslu
Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Samkvæmt 7. tölul. 1. mgr. 8. gr. er vinnsla persónuupplýsinga heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra.
Samkvæmt skilgreiningu í 4. tölul. 2. gr. reglugerðar nr. 442/2011, um uppruna og ræktun íslenska hestsins, er WorldFengur upprunaættbók íslenska hestsins sem inniheldur upplýsingar og skrá um hreinræktuð íslensk hross. Í 1. mgr. reglugerðarinnar kemur meðal annars fram að henni sé ætlað að tryggja áframhaldandi hreinræktun íslenska hestsins með notkun á viðurkenndum ættbókum í samræmi við opinberan ræktunarstaðal og tryggja áreiðanleika þeirra upplýsinga sem skráðar séu í upprunaættbók íslenska hestsins, WorldFeng. Ljóst er að ræktendur íslenska hestsins geta átt lögmæta hagsmuni af því að upplýsingar um eignarhald hrossanna séu aðgengilegar í upprunaættbókinni. Þykir birting upplýsinganna því geta stuðst við 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.
Öll vinnsla persónuupplýsinga verður að auki að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).
Í kvörtuninni er fullyrt að upplýsingar um eignarhald hesta, sem birtar eru í upprunaættbókinni WorldFeng, séu ekki alltaf réttar. Engin dæmi eru þó nefnd um ranga skráningu og í máli þessu liggur ekki fyrir staðfesting á slíku. Verður því ekki á því byggt að umrædd vinnsla persónuupplýsinga hafi ekki samrýmst fyrrgreindu ákvæði 4. tölul. 1. mgr. 7. gr. laga nr. 77/2000. Þá verður ekki séð að vinnslan gangi gegn öðrum ákvæðum sömu málsgreinar.
Með vísan til alls framangreinds er það niðurstaða Persónuverndar að birting upplýsinga um eignarhald á hestum á vefsíðunni www.worldfengur.com samrýmist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.
Ú r s k u r ð a r o r ð:
Vinnsla Bændasamtaka Íslands á upplýsingum um eignarhald á hestum á vefsíðunni www.worldfengur.comsam rýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.