Álit um heimild ríkisskattstjóra til vinnslu persónuupplýsinga við framlagningu álagningarskráa

Mál nr. 2019/1018

4.7.2019

Álit

Hinn 20. júní 2019 samþykkti stjórn Persónuverndar svohljóðandi álit í máli nr. 2019/1018:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 9. maí 2019 barst Persónuvernd bréf frá ríkisskattstjóra. Í bréfinu er óskað álits Persónuverndar á eftirfarandi:

1. Hverjar séu heimildir þeirra sem fengið hafa aðgang að álagningarskrám til þess að vinna með og nýta upplýsingar úr þeim skrám, m.a. til að birta þær á öðrum vettvangi, eða til að leiða fram hugsanlegar launatekjur ákveðinna einstaklinga eða hópa og birta slíkt á öðrum vettvangi, hvort máli skipti að um sé að ræða einstakling eða fjölmiðil, og hvort máli skipti á hvaða formi möguleg endurbirting eða umfjöllun sé.
2. Að hvaða marki, ef nokkru, ríkisskattstjóra beri að bregðast við verði vart brota á þeim skilmálum sem hann setur fram við birtingu álagningarskráa og hvaða ábyrgð, ef nokkra, hann beri gagnvart þeim einstaklingum sem upplýsingar úr álagningarskrám lúta að í tilvikum þar sem meðferð upplýsinganna fer í bága við fyrirmæli hans.
3. Hvort réttmætt og málefnalegt geti talist að birta upplýsingar um full nöfn, heimilisföng, sveitarfélög og kennitölur skattaðila til persónugreiningar, þegar horft sé til tilgangs opinberrar birtingar niðurstaðna álagningar einstaklinga og nauðsynjar þess að framlagðar upplýsingar séu ekki villandi.
4. Hvort nægilega skýr heimild sé til birtingar niðurstaðna álagningar eftirfarandi skatta og gjalda:
   i. Gjalds í framkvæmdasjóð aldraðra, sbr. 3. mgr. 10. gr. laga um málefni aldraðra, nr. 125/1999.
   ii. Jöfnunargjalds alþjónustu, sbr. 5. mgr. 22. gr. laga um fjarskipti, nr. 81/2003.
   iii. Útvarpsgjalds, sbr. 1.-4. málsl. 2. mgr. 14. gr. laga um Ríkisútvarpið, fjölmiðils í almannaþágu, nr. 23/2013.
   iv. Útsvars, sbr. 2. mgr. 22. gr. laga um tekjustofna sveitarfélaga, nr. 4/1995.

Um lið c. segir í bréfinu að tilgangur lagaákvæða sem tímabundið aflétta þagnarskyldu af upplýsingum um niðurstöðu álagningar sé að stuðla að upplýstri umræðu um skattamál á meðal almennings. Rétt eins og ríkisskattstjóra beri að setja fram réttar upplýsingar, beri embættinu að gæta þess að þær séu ekki á formi sem til þess sé fallið að valda misskilningi varðandi hvers sé hvað. Ennfremur þurfi jafnræði að gilda með þeim sem kynni sér upplýsingarnar, óháð því hvers konar aðgang þeir hafi að öðrum gögnum, eða hvaða aðstöðu þeir hafi til þess að leita svara við spurningum sem kunni að vakna við lestur á skránni. Ríkisskattstjóri telji að fyrirmæli Tölvunefndar, um bann við notkun fullrar kennitölu (sbr. bréf nefndarinnar til ríkisskattstjóra, dags. 9. nóvember 1995 (mál nr. 1995/254)), eigi ekki lengur við þegar horft sé til forsendna fyrir birtingu þessara upplýsinga og málið sé skoðað í heild sinni. Til að tryggja öryggi þeirra sem eigi rétt á sérstakri vernd muni ríkisskattstjóri sjá til þess að strikað verði út heimilisfang þeirra sem slíkan rétt eiga samkvæmt öðrum reglum.

Um lið d. segir í bréfinu að ríkisskattstjóri telji að þrátt fyrir að málsmeðferðar- og innheimtureglur laga um tekjuskatt, nr. 90/2003, gildi um ýmsa skatta og gjöld, sem lögð séu á samkvæmt ákvæðum annarra laga þar sem vísað sé til XIII.-XIV. kafla laga nr. 90/2003, sé óljóst hvort slík tilvísun teljist fullnægjandi heimild til birtingar niðurstaðna álagningar þeirra. Vafi leiki á um hvort slík almenn tilvísun til laga nr. 90/2003 fullnægi kröfum laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, um skýrleika vinnsluheimilda.

Útsvarsskrá hafi í gildistíð laga um útsvör, nr. 66/1945, verið birt með skattskrá. Þá hafi lög um tekjustofna sveitarfélaga, nr. 69/1962, kveðið á um að útsvarsskrá skyldu sveitarstjórnir leggja fram þrátt fyrir að skattstjórar færu almennt með álagninguna. Með lögum um tekjustofna sveitarfélaga, nr. 8/1975, hafi orðið breyting á orðalagi um útsvarsskrá og bein heimild til framlagningar sé ekki lengur þar til staðar. Ekki verði séð að ætlunin hafi verið að hætta framlagningu útsvarsskrár og leiða megi að því líkum að þetta verkefni sveitarstjórna hafi færst til skattstjóra. Allt að einu ríki óvissa um skýrleika vinnsluheimildar að þessu leyti í núgildandi lögum um tekjustofna sveitarfélaga, nr. 4/1995, og að ríkisskattstjóra skorti því fótfestu, þrátt fyrir áratuga framkvæmd. Með hliðsjón af sögu og tengslum álagningar- og skattskrár meti ríkisskattstjóri það svo að sé um sérstakt birtingarákvæði að ræða gildi einu hvort það vísi til álagningar- eða skattskrár.

II.

Álit Persónuverndar

1.

Gildissvið – Ábyrgðarðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölulið 3. gr. laganna og 1. tölulið 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölulið 3. gr. laganna og 2. tölulið 4. gr. reglugerðarinnar.

Mál þetta lýtur að gerð og opinberri framlagningu skráa um álagningu skatta og gjalda á skattaðila. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar, að því marki sem álagningarskrár geyma slíkar upplýsingar um einstaklinga. Upplýsingar um skatta og gjöld sem lögð eru á lögaðila falla utan gildissviðs laga nr. 90/2018 og þar með utan valdsviðs Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst ríkisskattstjóri vera ábyrgðaraðili að þeirri vinnslu að útbúa og leggja fram álagningarskrár. Þeir aðilar sem vinna með persónuupplýsingar úr álagningarskránum, eftir framlagningu þeirra af hálfu ríkisskattstjóra, teljast ábyrgðaraðilar þeirrar vinnslu sem þeir hafa með höndum.

2.

Lögmæti vinnslu persónuupplýsinga um álagða skatta

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Sé um að ræða viðkvæmar persónuupplýsingar, s.s. um heilsuhagi, sbr. b-lið 3. tölul. 3. gr. laganna, þarf einnig að vera fullnægt einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna fyrir vinnslu slíkra upplýsinga, en eins og vikið er að í köflum 2.2. og 2.4. geta upplýsingar, sem birtar hafa verið í álagningarskrám, að nokkru leyti talist viðkvæmar. Samkvæmt 3. tölul. 9. gr. laganna má vinna með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Þá er heimilt samkvæmt 7. tölul. 1. mgr. 11. gr. laganna að vinna með viðkvæmar persónuupplýsingar sé það nauðsynlegt af ástæðum sem varða verulega almannahagsmuni, auk þess sem vinnslan fari fram á grundvelli laga sem kveði á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða. Ekki verður séð að aðrar heimildir á grundvelli 9. og 11. gr. laganna geti hér átt við.

Auk heimildar til vinnslu persónuupplýsinga samkvæmt framangreindu þarf ávallt að vera fullnægt öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, þ. á m. um að persónuupplýsingar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu, svo og að þær séu áreiðanlegar og uppfærðar eftir þörfum.

Við mat á því hvort heimild til vinnslu persónuupplýsinga sé til staðar, sem og hvort farið sé að meðal annars fyrrgreindri grunnkröfu samkvæmt 1. mgr. 8. gr. laganna, getur eftir atvikum þurft að líta til ákvæða í öðrum lögum. Eins og hér háttar til reynir einkum á 1. mgr. 98. gr. laga nr. 90/2003, svo og ákvæði í öðrum lögum sem vísa til tilvitnaðs ákvæðis laga nr. 90/2003 með beinum eða óbeinum hætti.

2.1.

Heimild til framlagningar upplýsinga um skatta sem lagðir eru á samkvæmt lögum nr. 90/2003

Samkvæmt 1. mgr. 98. gr. laga nr. 90/2003 skal ríkisskattstjóri semja og leggja fram til sýnis álagningarskrá fyrir hvert sveitarfélag, þegar hann hefur lokið álagningu á skattaðila. Í skránni skulu tilgreindir þeir skattar sem lagðir hafa verið á hvern gjaldanda samkvæmt lögunum.

Í umræddu ákvæði um framlagningu álagningarskráa felst undantekning frá þeirri grunnreglu 117. gr. laga nr. 90/2003 að á skattyfirvöldum hvíli þagnarskylda um tekjur og efnahag skattaðila. Þá felst í heimildinni takmörkun á réttinum til friðhelgi einkalífs samkvæmt 71. gr. stjórnarskrárinnar nr. 33/1944. Ber að leggja til grundvallar að slík takmörkunarákvæði verði almennt skýrð þröngt. Ákvæðið leggur þó afdráttarlausa skyldu á herðar ríkisskattstjóra til að gera tiltækar upplýsingar um þá skatta sem lagðir hafa verið á skattaðila samkvæmt lögum nr. 90/2003. Að þessu virtu verður ákvæði 1. mgr. 98. gr. laga nr. 90/2003 ekki skýrt þrengra en orðalag þess gefur tilefni til. Af því leiðir að sú vinnsla persónuupplýsinga að gera tiltæka skrá yfir skatta sem lagðir eru á einstaklinga á grundvelli laga nr. 90/2003 telst heimil á grundvelli 3. tölul. 9. gr. laga nr. 90/2018.

2.2.

Heimild til framlagningar upplýsinga um gjald sem lagt er á samkvæmt lögum nr. 125/1999

Samkvæmt 1. mgr. 10. gr. laga um málefni aldraðra, nr. 125/1999, skal ríkisskattstjóri leggja á gjald í framkvæmdasjóð aldraðra á þá sem skattskyldir eru samkvæmt 1. gr. laga nr. 90/2003. Samkvæmt 3. mgr. 10. gr. laga nr. 125/1999 skulu við álagningu og innheimtu gjalds í framkvæmdasjóð aldraðra gilda sömu reglur og um álagningu og innheimtu tekjuskatts samkvæmt lögum nr. 90/2003 eftir því sem við á. Ekki er sérstaklega kveðið á um það í lögunum eða lögskýringargögnum hvernig fara skuli með framlagningu upplýsinga um gjald sem lagt er á einstaklinga samkvæmt lögunum. Ræðst því niðurstaða um það hvort í þessu ákvæði felist heimild ríkisskattstjóra til að vinna með persónuupplýsingar á grundvelli 3. tölul. 9. gr. laga nr. 90/2018 af því hvort líta beri á útgáfu álagningarskráa sem þátt í álagningu þess gjalds sem um ræðir.

Með hliðsjón af því sem rakið er í kafla 2.1. hér að framan, um að í heimild til framlagningar álagningarskráa felist undantekning frá grunnreglu 117. gr. laga nr. 90/2003 um þagnarskyldu skattyfirvalda um tekjur og efnahag skattaðila og jafnframt takmörkun á réttinum til friðhelgi einkalífs, ber að skýra 3. mgr. 10. gr. laga nr. 125/1999 þröngt. Líta má til þess í því sambandi að um ræðir sama gjald á hvern skattgreiðanda, sbr. 1. mgr. sömu greinar, og að upplýsingar um álagningu þess verða því almennt ekki taldar lúta að sérstökum, persónubundnum högum. Jafnframt verður hins vegar að líta til þess að samkvæmt 2. mgr. ákvæðisins skal gjaldið fellt niður af öldruðum og öryrkjum, undir 70 ára aldri, sem dveljast á dvalar- og hjúkrunarheimilum. Að því leyti má telja upplýsingar um álagningu gjaldsins lúta að heilsuhögum og því fela í sér viðkvæmar persónuupplýsingar, sbr. b-lið 3. tölul. 3. gr. laga nr. 90/2018. Reynir þá á hvort við eigi 7. tölul. 1. mgr. 11. gr. sömu laga um vinnslu viðkvæmra persónuupplýsinga í þágu almannahagsmuna sem fram fer á grundvelli laga, en gera verður kröfu til þess að slík lög heimili skýrlega vinnslu viðkvæmra persónuupplýsinga svo að hún teljist heimil samkvæmt þeim og umræddum tölulið. Skal bent á í því sambandi að tilvísun til annarra laga eins og hér um ræðir, sem ekki tiltekur sérstaklega að vinna megi með tilteknar viðkvæmar persónuupplýsingar, verður almennt ekki talin fullnægja þessari kröfu.

Að framangreindu virtu telur Persónuvernd að framlagning álagningarskráa sé ekki þáttur í álagningu gjalds samkvæmt lögum nr. 125/1999 og að ákvæði 1. mgr. 98. gr. laga nr. 90/2003 eigi því ekki við um upplýsingar þar að lútandi. Af því leiði að ríkisskattstjóra bresti heimild samkvæmt 3. tölul. 9. gr. og 7. tölul. 1. mgr. 11. gr. laga nr. 90/2018 til að leggja þær fram í álagningarskrám.

2.3.

Heimild til framlagningar upplýsinga um gjald sem lagt er á samkvæmt lögum nr. 81/2003

Samkvæmt 1. mgr. 22. gr. laga nr. 81/2003 skal leggja á jöfnunargjald til alþjónustu og sértækrar fjarskiptaþjónustu. Skal gjaldið lagt á fjarskiptafyrirtæki sem starfrækja fjarskiptanet eða þjónustu í ákveðnu hlutfalli, sbr. 2. mgr. ákvæðisins. Þá segir í 5. mgr. ákvæðisins að um álagningu og innheimtu jöfnunargjalds fari samkvæmt ákvæðum VIII.-XIV. kafla laga nr. 90/2003.

Með hliðsjón af því að jöfnunargjald verður aðeins lagt á fjarskiptafyrirtæki er það álit Persónuverndar að í framlagningu upplýsinga um álögð gjöld samkvæmt lögum nr. 81/2003 felist ekki vinnsla persónuupplýsinga í skilningi laga nr. 90/2018. Fellur það því utan valdsviðs Persónuverndar að fjalla um lögmæti þeirrar framlagningar.

2.4.

Heimild til framlagningar upplýsinga um gjald sem lagt er á samkvæmt lögum nr. 23/2013

Samkvæmt 1. mgr. 14. gr. laga um Ríkisútvarpið, fjölmiðil í almannaþágu, nr. 23/2013, leggur ríkisskattstjóri á sérstakt gjald, hið sama fyrir hvern greiðanda, samhliða álagningu opinberra gjalda. Gjaldskylda hvílir meðal annars á þeim einstaklingum sem skattskyldir eru samkvæmt 1. gr. laga nr. 90/2003. Hún fellur hins vegar niður þegar um ræðir einstakling undanþeginn gjaldi í framkvæmdasjóð aldraðra, sbr. 2. mgr. 10. gr. laga nr. 125/1999, en af því leiðir að upplýsingar um að ekki sé greitt gjald til Ríkisútvarpsins má telja til viðkvæmra persónuupplýsinga, sbr. umfjöllun í kafla 2.2. hér að framan. Samkvæmt 3. mgr. 14. gr. laga nr. 23/2013 fer um álagningu gjaldsins, innheimtu þess, eftirlit og viðurlög samkvæmt ákvæðum VIII.-XIV. kafla laga nr. 90/2003. Ekki er sérstaklega kveðið á um það í lögunum eða lögskýringargögnum hvernig fara skuli með framlagningu upplýsinga um gjald sem lagt er á einstaklinga samkvæmt lögunum. Ræðst því niðurstaða um það hvort í þessu ákvæði felist heimild ríkisskattstjóra til að vinna með persónuupplýsingar á grundvelli 3. tölul. 9. gr. og 7. tölul. 1. mgr. 11. gr. laga nr. 90/2018 af því hvort líta beri á útgáfu álagningarskráa sem þátt í álagningu þess gjalds sem um ræðir. Gilda í þeim efnum sömu sjónarmið og rakin eru í kafla 2.2. í tengslum við lög nr. 125/1999. Af þeim sjónarmiðum leiðir að ríkisskattstjóra brestur heimild samkvæmt fyrrgreindum ákvæðum laga nr. 90/2018 til að leggja upplýsingar um gjald til Ríkisútvarpsins fram í álagningarskrám.

2.5.

Heimild til framlagningar upplýsinga um útsvar sem lagt er á samkvæmt lögum nr. 4/1995

Samkvæmt 1. mgr. 22. gr. laga nr. 4/1995 annast ríkisskattstjóri álagningu útsvars. Þá segir í 2. mgr. sömu greinar að ákvæði VIII.-XIV. kafla laga nr. 90/2003 gildi um útsvar eftir því sem við eigi, nema öðruvísi sé ákveðið með lögum nr. 4/1995. Af þessari almennu tilvísun 2. mgr. 22. gr. laganna má ætla, miðað við almenn lögskýringarsjónarmið, að ætlunin með ákvæðinu sé sú að allar reglur tilvitnaðra kafla laga nr. 90/2003 gildi um útsvar sem lagt er á einstaklinga, þ. á. m. 1. mgr. 98. gr. laganna um framlagningu álagningarskráa. Í því sambandi er til þess að líta að samkvæmt 1. mgr. 25. gr. laga nr. 4/1995 getur sveitarstjórn lækkað eða fellt niður útsvar við nánar tilteknar aðstæður sem sumar hverjar tengjast heilsuhögum, sbr. tilvísun ákvæðisins til 1. mgr. 65. gr. laga nr. 90/2003 og 2. málsl. þess. Reynir því meðal annars á hvort um ræði viðkvæmar persónuupplýsingar, sbr. b-lið 3. tölul. 3. gr. laga nr. 90/2018, og hvort tilvísun til umræddra kafla laga nr. 90/2003 verði því talin nægja ein og sér eða hvort þörf verði talin á sérstöku ákvæði í lögum nr. 4/1995, þess efnis að framlagning upplýsinga um útsvar sé heimil. Til þess er hins vegar að líta að ákvörðun sveitarstjórnar samkvæmt 1. mgr. 25. gr. laganna lýtur að lækkun umfram það sem ríkisskattstjóri hefur þegar ákveðið á grundvelli 1. mgr. 65. gr. laga nr. 90/2003, sbr. 2. mgr. 22. gr. laga nr. 4/1995. Fyrir liggur að ríkisskattstjóri greinir skattgreiðendum frá álagningu skatta, og þar með lækkun á skattstofni, samhliða framlagningu álagningarskráa eins og fram kemur í 1. mgr. 98. gr. laganna. Af því leiðir jafnframt að gera verður ráð fyrir að álagningarskrár geti ekki borið með sér hvort sveitarfélag hafi á grundvelli 1. mgr. 25. gr. laga nr. 4/1995 lækkað útsvar skattgreiðanda umfram það sem ríkisskattstjóri hefur ákveðið, enda tekur sveitarstjórn ekki ákvörðun þar að lútandi fyrr en eftir framlagningu skránna. Af því leiðir að með framlagningu álagningarskráa verða ekki taldar veittar vísbendingar um það hvort sveitarfélög hafi á grundvelli meðal annars heilsutengdra þátta ákveðið lækkun á útsvari. Þegar litið er til þess, auk þeirra almennu lögskýringarsjónarmiða sem nefnd eru í upphafi þessa kafla, verður talið að ríkisskattstjóra sé heimilt samkvæmt 3. tölul. 9. gr. laga nr. 90/2018 og 2. mgr. 22. gr. laga nr. 4/1995, sbr. 1. mgr. 98. gr. laga nr. 90/2003, að leggja upplýsingar um útsvar fram í álagningarskrám.

3.

Upplýsingar um nöfn, heimilisföng, sveitarfélög og kennitölur skattaðila

Samkvæmt 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 ber ábyrgðaraðila meðal annars að gæta að því við vinnslu persónuupplýsinga að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Þá ber ábyrgðaraðila jafnframt að gæta að því að persónuupplýsingar séu áreiðanlegar og uppfærðar eftir þörfum, sbr. 4. tölul. sama ákvæðis. Loks segir í 13. gr. laganna að notkun kennitölu sé heimil eigi hún sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu og að Persónuvernd geti bannað eða fyrirskipað notkun kennitölu.

Persónuvernd telur að einnig verði, við skýringu framangreindra reglna, að líta til þess sem rakið er í kafla 2.1. um að í framlagningu álagningarskráa felst takmörkun á stjórnarskrárvörðum rétti einstaklinga til friðhelgi einkalífs og undantekning frá grunnreglu 117. gr. laga nr. 90/2003 um þagnarskyldu skattyfirvalda um tekjur og efnahag skattaðila. Þá ber að gæta að því að 1. mgr. 98. gr. laganna kveður aðeins á um að í álagningarskrám skuli tilgreina þá skatta sem lagðir hafa verið á hvern gjaldanda. Loks ber að líta til þess að álagningarskrár geyma ekki upplýsingar um endanlega ákvörðun ríkisskattstjóra um þá skatta og gjöld sem lögð eru á einstaklinga. Er áreiðanleiki upplýsinganna því eðli málsins samkvæmt takmarkaður.

Af þessu leiðir að ríkisskattstjóra ber að takmarka vinnslu persónuupplýsinga við framlagningu álagningarskráa við það sem er beinlínis nauðsynlegt í þágu tilgangs þeirrar vinnslu. Notkun heimilisfangs, nafns og fæðingardags telst nægileg til að greina einstaklinga hvern frá öðrum og verður notkun fullrar kennitölu því ekki talin heimil.

4.

Vinnsla annarra með upplýsingar úr álagningarskrám

Álitsbeiðni ríkisskattstjóra lýtur einnig að því hverjar séu heimildir þeirra sem fengið hafa aðgang að álagningarskrám til þess að vinna með og nýta upplýsingar úr þeim skrám, m.a. til að birta þær á öðrum vettvangi, eða til að leiða fram hugsanlegar launatekjur ákveðinna einstaklinga eða hópa og birta slíkt á öðrum vettvangi, hvort máli skipti að um sé að ræða einstakling eða fjölmiðil, og hvort máli skipti á hvaða formi möguleg endurbirting eða umfjöllun sé. Þá óskar ríkisskattstjóri jafnframt álits Persónuverndar á því að hvaða marki, ef nokkru, embættinu beri að bregðast við verði vart brota á þeim skilmálum sem ríkisskattstjóri setur fram við birtingu álagningarskráa og hvaða ábyrgð, ef nokkra, ríkisskattstjóri beri gagnvart þeim einstaklingum sem upplýsingar úr álagningarskrám lúta að í tilvikum þar sem meðferð upplýsinganna fer í bága við fyrirmæli ríkisskattstjóra.

Rakið er í upphafi 2. kafla hér að framan að öll vinnsla persónuupplýsinga þarf að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Við vinnslu persónuupplýsinga skal jafnframt gætt að öllum meginreglum 1. mgr. 8. gr. laganna og ber ábyrgðaraðili ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt tilvitnað ákvæði og skal geta sýnt fram á það, sbr. 2. mgr. sama ákvæðis. Þá segir í 23. gr. laganna að ábyrgðaraðili skuli gera viðeigandi tæknilegar og skipulagslegar ráðstafanir sem taka mið af eðli, umfangi, samhengi og tilgangi vinnslu og áhættu fyrir réttindi og frelsi skráðra einstaklinga til að tryggja og sýna fram á að vinnsla persónuupplýsinga uppfylli kröfur reglugerðar (ESB) nr. 2016/679.

Af þessum ákvæðum leiðir, að ábyrgðaraðilar sem vinna frekar með þær upplýsingar í álagningarskrám sem ríkisskattstjóri gerir aðgengilegar á grundvelli 1. mgr. 98. gr. laga nr. 90/2003, og eftir atvikum þær persónuupplýsingar sem embættið gerir aðgengilegar í samræmi við önnur lög með vísan til laga nr. 90/2003, sbr. kafla 2.1., 2.2., 2.4. og 2.5. hér að framan, bera sjálfstæða ábyrgð á vinnslu sinni samkvæmt lögum nr. 90/2018. Telur Persónuvernd sér ekki fært að leggja mat á lögmæti hugsanlegrar vinnslu persónuupplýsinga af hálfu þeirra sem hefði almennt gildi þar sem ekki er ljóst á hvaða vinnsluheimild þeir myndu byggja, sbr. 9. gr. laga nr. 90/2018, og yrði því að skoða hvert og eitt tilvik út frá því. Þegar fjölmiðlar eiga í hlut gilda þó sérstök sjónarmið sem nú verður nánar vikið að.

4.1.

Vinnsla fjölmiðla

Samkvæmt 1. mgr. 6. gr. laga nr. 90/2018 má víkja frá ákvæðum laganna og reglugerðar (ESB) nr. 2016/679 að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar. Þá segir í 2. mgr. sömu greinar að þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gildi aðeins ákvæði a- og d-liðar 1. mgr. 5. gr., 24., 26., 28., 29., 32., 40.–43. og 82. gr. reglugerðarinnar og 48. og 51. gr. laganna. Ákvæði laga nr. 90/2018 og reglugerðar (ESB) nr. 2016/679 sem lúta að verkefnum og valdsviði Persónuverndar gilda þó ekki þegar um er að ræða vinnslu persónuupplýsinga sem einvörðungu fer fram í þágu fjölmiðlunar. Samkvæmt framangreindu fellur það því utan valdsviðs Persónuverndar að skera úr um mörk tjáningarfrelsis fjölmiðla samkvæmt 73. gr. stjórnarskrárinnar og friðhelgi einkalífs samkvæmt 71. gr. stjórnarskrárinnar. Úrlausn slíkra álitaefna heyrir undir dómstóla.

Þá falla ákvæði laga nr. 90/2018 og reglugerðarinnar, sem kveða á um refsi- og bótaábyrgð, einnig utan valdheimilda Persónuverndar þegar fjölmiðlar eru annars vegar og verður einungis beitt af dómstólum.

Mannréttindadómstóll Evrópu hefur leyst úr álitaefnum um það hvort birting upplýsinga úr skattskrám samrýmist 8. gr. mannréttindasáttmála Evrópu um friðhelgi einkalífs, sbr. dóm yfirdeildar dómstólsins frá 27. júní 2017 í máli Satakunnan Markkinapörssi Oy og Satamedia Oy gegn Finnlandi, nr. 931/13. Telur Persónuvernd nauðsynlegt, samhengisins vegna og í ljósi þess að 71. gr. stjórnarskrárinnar um friðhelgi einkalífs verður m.a. skýrð með hliðsjón af 8. gr. sáttmálans, að fjalla stuttlega um atvik þess máls og helstu niðurstöðu dómstólsins, en í málinu reyndi m.a. á hvort undanþága frá ákvæðum finnskra persónuverndarlaga í þágu fréttamennsku ætti við.

Mannréttindadómstóll Evrópu komst að þeirri niðurstöðu að bann við umfangsmikilli birtingu upplýsinga um tekjur og eignir einstaklinga í Finnlandi á grundvelli þess að birtingin væri andstæð persónuverndarlögum hefði ekki falið í sér brot á tjáningarfrelsi.

Forsaga málsins var sú að í Finnlandi eru tilteknar upplýsingar um tekjur og eignir skattgreiðenda aðgengilegar almenningi. Fyrirtækið Markkinapörssi safnaði persónuupplýsingum um tekjur og eignir u.þ.b. 1,2 milljóna finnskra skattgreiðenda, sem svaraði til um þriðjungs allra skattgreiðenda landsins, og birti í 17 landshlutaútgáfum dagblaðsins Veropörssi. Upplýsingarnar voru fengnar frá finnskum skattyfirvöldum. Aðrir aðilar birtu einnig sambærilegar upplýsingar í Finnlandi, en enginn með jafn umfangsmiklum hætti. Annað fyrirtæki, Satamedia, bauð mönnum þá þjónustu að fá þessar upplýsingar úr Veropörssi sendar á formi smáskilaboða.

Í Finnlandi starfar persónuverndarumboðsmaður. Hann fór fram á að finnska persónuverndarnefndin bannaði vinnslu umræddra persónuupplýsinga með vísan til þess að heimild skorti til vinnslunnar og að undanþágur persónuverndarlaga um birtingu upplýsinga í þágu fréttamennsku ættu hér ekki við þar sem vinnslan væri ekki í þágu fréttamennsku. Persónuverndarnefndin hafnaði kröfu hans og taldi að undanþága persónuverndarlaga í þágu fréttamennsku ætti í reynd við í málinu. Umboðsmaður skaut ákvörðun persónuverndarnefndarinnar til dómstóla. Stjórnsýsludómstóll hafnaði sjónarmiðum umboðsmannsins og komst að þeirri niðurstöðu að ekki ætti að túlka of þröngt þær undanþágur í þágu fréttamennsku sem fram kæmu í persónuverndarlögum og að sú undanþága ætti við í málinu. Umboðsmaður áfrýjaði til æðri stjórnsýsludómstóls með vísan til fyrri sjónarmiða. Leitað var forúrskurðar Evrópudómstólsins um málið, þ. á m. um þá spurningu hvort vinnslan teldist eingöngu vera í þágu fréttamennsku, en undanþágur gilda frá ákvæðum persónuverndarlaga þegar svo háttar til. Dómstóllinn taldi að í hverju lýðræðisríki yrði að leggja rúman skilning í hugtakið en að það væri hlutverk finnskra dómstóla að dæma um hvort umrædd vinnsla félli þar undir. Í framhaldinu felldi æðri stjórnsýsludómstóllinn ákvarðanir stjórnsýsludómstólsins og persónuverndarnefndarinnar úr gildi og vísaði málinu á ný til nefndarinnar. Þá beindi dómstóllinn þeim tilmælum til persónuverndarnefndarinnar að banna vinnslu upplýsinganna með þeim hætti og í því umfangi sem um var að ræða.

Í kjölfarið varð niðurstaða finnsku persónuverndarnefndarinnar sú að birting umræddra upplýsinga í Veropörssi, með þeim hætti og í því umfangi sem um ræddi, hefði brotið gegn finnskri persónuverndarlöggjöf. Þá var sending smáskilaboðanna bönnuð. Var henni í kjölfarið hætt, auk þess sem dregið var úr birtingu upplýsinga í Veropörssi þannig að þær urðu fimmtungur á við það sem áður hafði verið. Fyrirtækin, Markkinapörsi og Satamedia, skutu ákvörðun persónuverndarnefndarinnar til stjórnsýsludómstóls þar sem þau töldu hana brjóta gegn tjáningarfrelsi sínu. Dómstóllinn hafnaði kröfum þeirra og var sú niðurstaða staðfest í æðri stjórnsýsludómstólnum.

Fyrirtækin báru þessa niðurstöðu undir Mannréttindadómstól Evrópu og töldu hana fela í sér takmörkun á tjáningarfrelsi sínu. Dómstóllinn benti á að ekki hefði verið lagt almennt bann við birtingu skattaupplýsinga og áframhaldandi útgáfu Veropörssi. Þess í stað hefði verið mælt fyrir um skyldu til að haga birtingunni á slíkan hátt að hún samrýmdist persónuverndarlöggjöf. Dómstóllinn tók m.a. fram í niðurstöðu sinni að veita yrði dómstólum hvers lands víðtækt svigrúm til að samræma tjáningarfrelsi samkvæmt 10. gr. mannréttindasáttmála Evrópu annars vegar og friðhelgi einkalífs samkvæmt 8. gr. hins vegar. Einnig taldi dómstóllinn að þótt umræddar upplýsingar væru aðgengilegar almenningi í Finnlandi yrði að gera greinarmun á milli slíks aðgengis annars vegar og umfangs upplýsinganna sem birtar voru hins vegar. Þá var tekið fram að vegna umfangsins hefði fyrirtækjunum mátt vera ljóst að birting upplýsinganna kynni að vera ekki eingöngu talin þjóna fréttamennsku í skilningi persónuverndarlaganna. Varð niðurstaðan sú að þær takmarkanir sem reistar höfðu verið við birtingunni hefðu haft þann lögmæta tilgang að vernda einkalíf skattgreiðenda. Væri því um að ræða lögmætar og nauðsynlegar takmarkanir á tjáningarfrelsi viðkomandi fyrirtækja og því ekki brot á 10. gr. mannréttindasáttmála Evrópu.

Persónuvernd hefur fjallað um sambærileg álitaefni og á reyndi í framangreindum dómi Mannréttindadómstóls Evrópu. Nánar tiltekið hefur stofnunin fjallað um ákvæði 5. gr. eldri laga um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000, sem er efnislega sambærilegt núgildandi 1. mgr. 6. gr. laga nr. 90/2018, í tengslum við birtingu á tekjuupplýsingum um einstaklinga sem unnar voru upp úr álagningarskrám ríkiskattstjóra, sbr. ákvarðanir stofnunarinnar þann 18. september 2018, í málum nr. 2017/1001 og 2017/1068. Í forsendum ákvarðananna kemur fram að þegar sú birting sé metin í ljósi fyrrgreinds dóms sé til þess að líta að þar hafi verið til umfjöllunar mun umfangsmeiri birting, auk miðlunar upplýsinga í formi smáskilaboða. Þá hafi í dóminum sérstaklega verið litið til umfangs vinnslunnar og vísað til þess til stuðnings þeirri niðurstöðu að hún hefði ekki eingöngu verið í þágu fréttamennsku. Að þessu virtu taldi Persónuvernd að undantekning frá gildissviði vegna vinnslu sem aðeins þjónaði fréttamennsku ætti við í málunum og vísaði þeim því frá.

Af framangreindu leiðir, að umfang upplýsinga sem unnar eru upp úr álagningarskrám, svo og eðli og aðferð við vinnslu, kunna að hafa þýðingu við mat á því hvort vinnslan falli undir gildissvið laga nr. 90/2018 að fullu eða hvort hún teljist eingöngu vera í þágu fréttamennsku og sé þar með undanþegin ákvæðum laga nr. 90/2003 og reglugerðar ESB. nr. 2016/679, að frátöldum þeim sem upp eru talin í 2. mgr. 6. gr. laganna.

4.2.

Vinnsla einstaklinga

Samkvæmt 2. mgr. 4. gr. laga nr. 90/2018 gilda lögin og reglugerðin ekki um meðferð einstaklings á persónuupplýsingum sem einvörðungu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Undantekning þessi kemur jafnframt fram í c-lið 2. mgr. 2. gr. reglugerðarinnar.

Framangreind regla er skýrð í 18. lið formála reglugerðarinnar. Þar segir að reglugerðin eigi ekki við um vinnslu einstaklings á persónuupplýsingum ef hún er einungis í þágu hans sjálfs eða fjölskyldu hans og hefur þannig engin tengsl við atvinnu- eða viðskiptastarfsemi. Vinnsla, sem er einungis í þágu einstaklings eða fjölskyldu hans, getur t.d. tekið til bréfaskrifta og þess að halda skrár yfir heimilisföng, notkunar samfélagsmiðla og netnotkunar sem fram fer í tengslum við slíka vinnslu. Hins vegar er tekið fram að reglugerðin eigi við um ábyrgðaraðila og vinnsluaðila sem setja fram leiðir til að vinna persónuupplýsingar í þágu einstaklings eða fjölskyldu hans. Er þetta jafnframt áréttað í athugasemdum við 4. gr., í frumvarpi því sem varð að lögum nr. 90/2018. Þar segir enn fremur að af þessu sé ljóst að t.d. einkabréfaskipti, færsla skráa með heimilisföngum vina, ættingja o.s.frv., færsla dagbókar og meðferð upplýsinga sem tengjast tómstundamálum falli utan gildissviðsins. Það sem úrslitum ráði sé hvort vinnslan varði aðeins hreina einkahagi eða ekki. Skilyrði sé að um sé að ræða venjulegar og lögmætar athafnir, en það sé nauðsynleg viðmiðun til að ákvæðið verði ekki notað til að fara í kringum önnur ákvæði laganna. Þegar vinnsla persónuupplýsinga fari fram í þágu tiltekinnar einkastarfsemi eigi ákvæði laganna hins vegar við, jafnvel þótt ekki sé um að ræða atvinnustarfsemi.

Við mat á því hvort vinnsla einstaklings á persónuupplýsingum úr álagningarskrám ríkisskattstjóra falli undir þessa undanþágu yrði því að meta hvort um væri að ræða vinnslu sem eingöngu væri til persónulegra nota. Með hliðsjón af því að um undantekningarákvæði er að ræða, sem felur í sér frávik frá réttarvernd skráðra einstaklinga, ber að skýra ákvæðið þröngt. Í því sambandi er bent á að í úrskurðarframkvæmd Persónuverndar hefur sambærileg undantekning samkvæmt 2. mgr. 3. gr. eldri persónuverndarlaga, nr. 77/2000, sbr. 2. mgr. 3. gr. tilskipunar 95/46/EB, verið skýrð svo að hún eigi ekki við þegar persónuupplýsingar hafa verið birtar á opinni vefsíðu sem er í eigu einstaklings. sbr. úrskurð stofnunarinnar þann 8. mars 2018, í máli nr. 2017/1182. Er sú niðurstaða í samræmi við skýringu Evrópudómstólsins á 2. mgr. 3. gr. tilskipunarinnar, sbr. dóm hans frá 6. nóvember 2003 í máli nr. C-101/01. Í málinu komst dómstóllinn að þeirri niðurstöðu að undanþágan ætti ekki við um þá vinnslu persónuupplýsinga af hálfu einstaklings að birta á opinni vefsíðu sinni persónuupplýsingar um annan einstakling.

Að framangreindu virtu kann sú aðferð, sem einstaklingur notar til vinnslu persónuupplýsinga, að skipta máli við mat á því hvort vinnslan sé undanþegin gildissviði laga nr. 90/2019 á grundvelli 2. mgr. 4. gr. laganna.

5.

Yfirlit yfir helstu ályktanir

Niðurstaða Persónuverndar er sú að ríkisskattstjóra sé heimilt samkvæmt 3. tölul. 1. mgr. 9. gr. laga nr. 90/2018 að útbúa og gera aðgengilegar í álagningarskrám upplýsingar um skatta sem lagðir eru á samkvæmt lögum nr. 90/2003, enda hvílir á honum bein lagaskylda þar að lútandi. Persónuvernd telur að skýra beri ákvæði 3. mgr. 10. gr. laga nr. 125/1999 og 3. mgr. 14. gr. laga nr. 23/2013 svo að í þeim felist ekki lagaskylda ríkisskattstjóra til að leggja fram upplýsingar um gjöld sem lögð eru á samkvæmt tilvitnuðum lögum. Af því leiði að ríkisskattstjóra sé ekki heimil sú vinnsla samkvæmt 3. tölul. 1. mgr. 9. gr. og 7. tölul. 1. mgr. 11. gr. laga nr. 90/2018, né heldur samkvæmt öðrum töluliðum sömu ákvæða. Persónuvernd telur að skýra beri 2. mgr. 22. gr. laga nr. 4/1995 svo að allar reglur tiltekinna kafla laga nr. 90/2003 gildi um útsvar sem lagt er á einstaklinga, þ. á. m. 1. mgr. 98. gr. um að upplýsingar um álagt útsvar skuli gerðar aðgengilegar. Því sé ríkisskattstjóra heimil sú vinnsla persónuupplýsinga samkvæmt 3. tölul. 9. gr. laga nr. 90/2018. Persónuvernd telur jafnframt að jöfnunargjald alþjónustu, sem lagt er á samkvæmt 22. gr. laga nr. 81/2003, verði aðeins lagt á tiltekin fjarskiptafyrirtæki, en vinnsla upplýsinga, um gjald sem lagt er á lögaðila telst ekki vera vinnsla persónuupplýsinga í skilningi laga nr. 90/2018.

Persónuvernd telur einnig að skýra verði 3. og 4. tölul. 1. mgr. 8. gr. og 13. gr. laga nr. 90/2018 svo, að ríkisskattstjóra beri að takmarka framlagningu persónuupplýsinga í álagningarskrám við það sem er beinlínis nauðsynlegt í þágu tilgangs þeirrar vinnslu. Telja verður að heimilisfang, nafn og fæðingardagur nægi til öruggrar persónugreiningar og að notkun fullrar kennitölu sé því ekki heimil við framlagningu álagningarskráa.

Að auki telur Persónuvernd að frekari vinnsla annarra aðila, með þær persónuupplýsingar sem gerðar eru aðgengilegar í álagningarskrám ríkisskattstjóra, sé háð því að vinnslan falli undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018 og að gætt sé að meginreglum 1. mgr. 8. gr. laganna. Af tilvitnuðum ákvæðum, svo og 23. gr. laganna, leiðir að þeir ábyrgðaraðilar sem vinna frekar með þær persónuupplýsingar sem gerðar eru aðgengilegar með framlagningu álagningarskráa, bera sjálfstæða ábyrgð á vinnslu sinni að lögum nr. 90/2018. Sé vinnsla annarra aðila einvörðungu í þágu fjölmiðlunar gilda aðeins tiltekin ákvæði laga nr. 90/2018 og reglugerðar (ESB) nr. 2016/679. Ákvæði laganna og reglugerðarinnar sem lúta að verkefnum og valdsviði Persónuverndar gilda ekki um slíka vinnslu og fellur það því í hlut dómstóla að skera úr um lögmæti hennar. Við mat á því hvort vinnsla persónuupplýsinga fari einvörðungu fram í þágu fjölmiðlunar þarf meðal annars að líta til umfangs, eðlis og aðferðar við vinnsluna. Loks er til þess að líta að lögin og reglugerðin gilda ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota, sbr. 2. mgr. 4. gr. laganna. Við mat á því hvort persónuupplýsingar séu einvörðungu ætlaðar til persónulegra nota, þarf meðal annars að líta til aðferðar við vinnslu, t.d. hvort einstaklingur birti persónuupplýsingar um aðra á netinu.

6.

Samandregin niðurstaða

Framlagning ríkisskattstjóra á upplýsingum í álagningarskrám um tekjuskatt einstaklinga, álagðan samkvæmt lögum nr. 90/2003, og útsvar þeirra, álagt samkvæmt lögum nr. 4/1995, er heimil samkvæmt 3. tölul. 1. mgr. 9. gr. laga nr. 90/2018. Hins vegar brestur heimild samkvæmt 9. og 11. gr. laga nr. 90/2018 til að leggja fram upplýsingar um gjöld einstaklinga í framkvæmdasjóð aldraðra samkvæmt lögum nr. 125/1999 og til Ríkisútvarpsins samkvæmt lögum nr. 23/2013.

Notkun nafns, heimilisfangs og fæðingardags telst nægileg til að tryggja örugga persónugreiningu við framlagningu álagningarskráa. Brestur því heimild til notkunar kennitölu samkvæmt 13. gr. laga nr. 90/2018.

Vinnsla annarra ábyrgðaraðila en ríkisskattstjóra á þeim persónuupplýsingum sem gerðar eru aðgengilegar í álagningarskrám er háð því að hún falli undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018 og að gætt sé að meginreglum 1. mgr. 8. gr. laganna. Ábyrgðaraðilar sem vinna frekar með upplýsingar úr álagningarskrám bera sjálfstæða ábyrgð á vinnslu sinni samkvæmt lögunum.

Vinnsla persónuupplýsinga sem fer einvörðungu fram í þágu fjölmiðlunar heyrir ekki undir valdsvið Persónuverndar, sbr. 2. mgr. 6. gr. laga nr. 90/2018. Þau lög og reglugerð (ESB) nr. 2016/679 gilda auk þess ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota, sbr. 2. mgr. 4. gr. laganna og c-lið 2. mgr. 2. gr. reglugerðarinnar.

Í Persónuvernd, 20. júní 2019

Björg Thorarensen

formaður

                                  Aðalsteinn Jónasson                     Ólafur Garðarsson



                             Vilhelmína Haraldsdóttir                     Þorvarður Kári Ólafsson