Birting upplýsinga á vef Alþingis

Mál nr. 2016/1133

13.6.2017

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 25. apríl 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1133:

 

I.

Málsmeðferð 

1.

Tildrög máls

Þann 8. ágúst 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir birtingu persónuupplýsinga um hann á vefsíðu Alþingis þannig að upplýsingarnar væru aðgengilegar í gegnum leitarvél Google, www.google.com. Í kvörtuninni segir meðal annars að þegar leitað sé eftir nafni hans á leitarvél Google komi upp tilvísun til PDF-skjals á vefsvæði Alþingis. Um sé að ræða umsögn sem kvartandi sendi Alþingi [...] en undir umsögnina ritaði kvartandi nafn sitt og kennitölu. Hann hafi þó aldrei gefið leyfi fyrir því að umsögnin yrði birt á Netinu. Að mati kvartanda eigi Alþingi að haga málum á þann veg að upplýsingar á vef þingsins birtist ekki í leitarniðurstöðum hjá Google. Í umræddum upplýsingum komi fram að kvartandi sé [...] og það eitt geti komið sér illa ef hann sæki um starf þar sem slíkt hæfi ekki eða sé ekki vinnuveitanda að skapi. 

 

2.

Bréfaskipti

Með bréfi, 8. september 2016, var skrifstofu Alþingis boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarbréf skrifstofustjóra Alþingis barst Persónuvernd þann 26. september 2016. Í bréfinu segir m.a. að umsögn kvartanda hafi verið móttekin [...] 2012 og birt á vef Alþingis í samræmi við 3. gr. reglna forsætisnefndar, um meðferð erinda til þingnefnda, sbr. 2. mgr. 28. gr. laga nr. 55/1991 um þingsköp Alþingis og leiðbeiningar um umsagnir um þingmál og ritun þeirra. Að baki birtingar umsagna um þingmál búi þau sjónarmið að löggjafarstarfið skuli vera opið og lýðræðislegt. Þá segir í bréfinu að reglur forsætisnefndar og leiðbeiningarnar séu aðgengilegar á vefsíðu Alþingis. Eins komi fram í reglum forsætisnefndar og leiðbeiningunum að ekki sé gerð önnur krafa en að merkja skuli umsögn greinilega með nafni sendanda, dagsetningu, númeri og heiti þingmáls. Ekki sé gerð krafa um að fram komi kennitala eða önnur auðkenni þess sem veiti umsögn.

Í bréfinu segir enn fremur að kvartandi hafi verið í samskiptum við skrifstofu Alþingis í febrúar 2016 vegna birtingar kennitölu sinnar. Hafi skrifstofa Alþingis farið yfir mál hans og drög verið lögð að því að birta umsögn kvartanda á ný án kennitölu hans. Því miður hafi ekki tekist að ljúka því eins og rétt hefði verið og biðst skrifstofa Alþingis velvirðingar á því í bréfi sínu. Þá segir að skrifstofan hafi farið yfir málið á ný og fellt út kennitölu kvartanda.

Með bréfi, dags. 24. október 2016, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar skrifstofu Alþingis til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf kvartanda barst Persónuvernd þann 4. nóvember 2016. Þar segir meðal annars að kvartanda finnist það árás inn í hans einkalíf að skjal það sem hann sendi úr einkatölvupósthólfi sínu í pósthólf Alþingis skuli vera birt opinberlega án hans samþykkis og skjalið tengt leitarvél Google. Auk þess telur kvartandi að reglur forsætisnefndar og leiðbeiningar um ritun umsagna séu villandi þar sem hann eigi nokkra alnafna. Þá standi einnig að merkja skuli umsagnir „greinilega með nafni“ og telur kvartandi það orðalag vera óljóst. Hvergi komi fram að ekki sé krafist kennitölu eða annars auðkennis og telur kvartandi að ástæða sé til þess. Þá telur kvartandi að hugsanlega þurfi að taka málið upp á þingfundi eða fjalla um í þingnefnd.

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Alþingi vera ábyrgðaraðili að umræddri vinnslu persónuupplýsinga.

 

2.

Lögmæti vinnslu

Svo að heimilt sé að vinna með persónuupplýsingar þarf ávallt að vera fullnægt einhverju skilyrðanna sem mælt er fyrir um í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Við mat á hvort birting upplýsinga um kvartanda og tenging vefsvæðis Alþingis við leitarvél Google teljist heimil samkvæmt framangreindu ber að líta til 3. gr. reglna forsætisnefndar Alþingis um meðferð erinda til þingnefnda, sem settar eru á grundvelli 2. mgr. 28. gr. laga nr. 55/1991 um þingsköp Alþingis. Í 1. mgr. 3. gr. reglnanna segir að aðgangur að erindum til nefnda skuli öllum heimill og að erindi skuli birt á vef Alþingis eins fljótt og unnt er. Þá segir í leiðbeiningum um ritun umsagna að merkja skuli umsögn greinilega með nafni sendanda, dagsetningu og númeri og heiti þingmáls. Þá kemur enn fremur fram á þeirri vefsíðu Alþingis, þar sem nálgast má umræddar leiðbeiningar, að meginreglan sé sú að aðgangur að erindum til nefnda sé öllum heimill og þau séu birt á vef þingsins.

Með vísan til framangreinds telur Persónuvernd umrædda vinnslu einkum geta talist heimila á þeim grundvelli að hún sé nauðsynleg til að fullnægja lagaskyldu, vegna verks sem unnið er í þágu almannahagsmuna og við beitingu opinbers valds, sbr. 3., 5. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.)

Við mat á því hvort birting umræddrar umsagnar á vefsvæði Alþingis, sem og tenging hennar þaðan við leitarvél Google, eigi stoð í fyrrgreindum ákvæðum 8. gr. laga nr. 77/2000 og samrýmist kröfum 7. gr. sömu laga ber að líta til grunnsjónarmiðsins um gagnsæi í störfum hins opinbera, í þessu tilviki setningu löggjafar, sem hnykkt er á í áðurnefndu ákvæði reglna forsætisnefndar Alþingis um meðferð erinda til þingnefnda. Þá verður að ætla að kvartanda hafi mátt vera það ljóst, þegar hann sendi umrædda umsögn, að hún yrði opinbert skjal sem almenningur hefði aðgang að, auk þess sem hann sjálfur valdi að birta þar kennitölu sína, en fyrir liggur að Alþingi krefst ekki slíkrar auðkenningar. Í ljósi þessa, sem og að teknu tilliti til þess að kennitala kvartanda hefur verið fjarlægð í ljósi athugasemda hans eftir birtingu hennar, telur Persónuvernd að um sé að ræða heimila vinnslu persónuupplýsinga sem samrýmist ákvæðum laga nr. 77/2000.

  

Ú r s k u r ð a r o r ð: 

Birting upplýsinga um kvartanda á vefsvæði Alþingis, www.althingi.is, auk tengingar þaðan við leitarvél Google, er í samræmi við lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.