Réttur einstaklings til upplýsinga um uppflettingar í málaskrárkerfi ríkislögreglustjóra (LÖKE)

Mál nr. 2020010646

10.2.2021

Úrskurður

Hinn 28. janúar 2021 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2020010646 (áður 2019071342):

I.

Málsmeðferð

1.

Tildrög máls og málsmeðferð

Hinn 3. júlí 2019 barst Persónuvernd kvörtun frá [B] lögmanni fyrir hönd [A] (hér eftir kvartandi) yfir afgreiðslu ríkislögreglustjóra á beiðni kvartanda um upplýsingar um hverjir hefðu staðið að uppflettingum á persónuupplýsingum kvartanda í málaskrárkerfi lögreglu, LÖKE, samkvæmt [tilgreindu málsnúmeri] þar sem kvartandi var sakborningur, svo og yfir afgreiðslutíma beiðninnar. Með kvörtuninni fylgdi meðal annars afrit af beiðni kvartanda til ríkislögreglustjóra, dags. 3. maí 2019, og afrit af ákvörðun embættisins, dags. 24. s.m.

Með bréfi, dags. 8. nóvember s.á., var ríkislögreglustjóra tilkynnt um kvörtunina og boðið að tjá sig um hana. Svarað var með bréfi, dags. 4. desember s.á. Með bréfi, dags. 25. mars 2020, var svarbréf ríkislögreglustjóra sent kvartanda og honum boðið að koma á framfæri athugasemdum. Kvartandi svaraði með bréfi, dags. 31. s.m. Með bréfi, dags. 16. apríl s.á., óskaði Persónuvernd eftir frekari upplýsingum frá ríkislögreglustjóra. Svarað var með bréfi, dags. 13. maí s.á. Með bréfi, dags. 21. júlí s.á., var svarbréf ríkislögreglustjóra sent kvartanda og honum boðið að koma á framfæri athugasemdum. Svarað var með bréfi, dags. 10. ágúst s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þótt ekki sé sérstaklega gerð grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur dregist vegna verulegra anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Samkvæmt því sem fram kemur í máli kvartanda lagði hann fram beiðni 28. febrúar 2019 um að fá afhent yfirlit yfir allar uppflettingar í málaskrárkerfi lögreglu, LÖKE, frá lögreglustjóranum á höfuðborgarsvæðinu. Beiðninni hafi fyrst verið svarað 30. apríl s.á. á þá leið að kerfið væri rekið af ríkislögreglustjóra og að þangað skyldi beina beiðnum um yfirlit yfir uppflettingar í málaskrá. Erindið hafi verið sent ríkislögreglustjóra og í kjölfarið ítrekað fjórum sinnum, uns kvartanda hafi borist synjun embættisins, dags. 24. maí s.á. Um rökstuðning ríkislögreglustjóra fyrir synjuninni vísast til næsta kafla.

Í kvörtuninni segir að beiðni kvartanda hafi verið afgreidd á grundvelli reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu, sem sett hafi verið í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Núgildandi lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, kveði hins vegar á um rýmri réttindi skráðra einstaklinga til að gæta réttar síns en eldri lög hafi kveðið á um. Einnig er vísað til 15. gr. reglugerðar (ESB) 2016/679, sem lýtur að aðgangsrétti skráðra einstaklinga, og 63. liðar formálsorða reglugerðarinnar og þeirri afstöðu kvartanda lýst að af þeim leiði réttur hans til að fá upplýsingar um aðkomu einstakra lögreglumanna að rannsókn á kvartanda í tilgreindu lögreglumáli.

Kvartandi bendir á að samkvæmt þágildandi ákvæði til bráðabirgða III í lögum nr. 90/2018 hafi lögin gilt um vinnslu persónuupplýsinga sem varðað hafi starfsemi ríkisins á sviði refsivörslu. Þá mæli ákvæði til bráðabirgða II fyrir um að reglugerð nr. 322/2001 haldi gildi sínu, að því gefnu að hún fari ekki í bága við lög nr. 90/2018. Kvartandi telji ljóst að synjun ríkislögreglustjóra á beiðni hans, með vísan til takmarkandi túlkunar á ákvæði 3. tölul. 1. mgr. 8. gr. reglugerðar nr. 322/2001, hafi brotið gegn rétti hans samkvæmt lögum nr. 90/2018 og lögum nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, sem innleiði tilskipun (ESB) 2016/680.

Loks er í kvörtuninni vísað til ákvæða 13. gr. laga nr. 75/2019, sem lúta að rétti skráðra einstaklinga til aðgangs að upplýsingum og takmörkunum á aðgangi. Telur kvartandi að þau breyti í engu rétti hans til aðgangs að umbeðnum upplýsingum.

Í bréfi kvartanda til Persónuverndar, dags. 31. mars 2020, segir meðal annars að hann telji að leysa beri úr kröfu hans á grundvelli þeirra réttarreglna sem í gildi hafi verið þegar umrædd ákvörðun ríkislögreglustjóra hafi verið tekin. Verði lög nr. 75/2019 talin koma til skoðunar við úrlausn málsins reyni á ákvæði 13. gr. þeirra en í athugasemdum ríkislögreglustjóra sé aðeins vikið að 25. gr. laganna, sem kvartandi telji ekki geta rutt úr vegi eða hróflað við grundvallarréttindum einstaklinga samkvæmt 13. gr. Þær undanþágur frá aðgangsrétti, sem mælt sé fyrir um í a-c-liðum 3. mgr. 13. gr. laga nr. 75/2019, eigi ekki við í þessu máli.

Í bréfi kvartanda til Persónuverndar, dags. 10. ágúst 2020, segir að kvartandi telji það ekki hafa þýðingu hvort honum hafi verið flett upp í málaskrárkerfinu á kennitölu hans eða samkvæmt málsnúmeri. Það sé á ábyrgð lögreglunnar að sýna fram á að uppfletting hafi verið gerð í ákveðnum og afmörkuðum tilgangi, sem eftir atvikum hafi ekki tengst kvartanda. Ótækt sé að lögreglan komist hjá ákvæðum laga nr. 75/2019 með því einu að notast við málsnúmer við leit í málaskrárkerfinu í stað kennitölu viðkomandi.

Í bréfinu segir jafnframt að niðurstaða ríkislögreglustjóra virðist einvörðungu grundvallast á sjónarmiðum um vernd þeirra starfsmanna sem noti LÖKE en ekki á rétti hins skráða. Markmið persónuverndarlaga sé að stuðla að því að yfirvöld fari með persónuupplýsingar í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs. Ákvæði þeirra séu sett til verndar skráðum einstaklingum en ekki starfsmönnum yfirvalda. Ljóst sé að réttindi kvartanda vegi þyngra en hagsmunir starfsmanna lögreglu af því að uppflettingar haldist leyndar. Auk þess felist nauðsynlegt aðhald í veitingu slíkra upplýsinga.

3.

Sjónarmið ríkislögreglustjóra

Í bréfi ríkislögreglustjóra, dags. 4. desember 2019, er vísað til forsendna þeirrar ákvörðunar embættisins sem hér er til umfjöllunar. Í ákvörðun ríkislögreglustjóra, frá 24. maí s.á., segir að í úrskurði Persónuverndar í máli nr. 2004/144 komi fram að þágildandi ákvæði 3. tölul. 1. mgr. 18. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sem hafi verið samhljóða ákvæði 3. tölul. 1. mgr. 8. gr. reglugerðar nr. 322/2001, hafi ekki átt við um það þegar upplýsingar hafi borist á milli einstakra starfsmanna sama ábyrgðaraðila. Í úrskurði Persónuverndar frá 8. mars 2017 í máli nr. 2016/835 segi enn fremur að framangreind ákvæði eigi við um miðlun persónuupplýsinga frá ábyrgðaraðila til utanaðkomandi aðila. Í ljósi þessa hafi starfsmenn, sem hafi aðgang að málaskrá lögreglu starfs síns vegna, ekki talist vera viðtakendur, samkvæmt 3. tölul. 1. mgr. 8. gr. reglugerðar nr. 322/2001. Á þessum grundvelli hafi kvartanda verið synjað um aðgang að upplýsingum um hvaða starfsmenn hefðu flett honum upp í málaskránni.

Í ákvörðuninni segir jafnframt að tæknilega sé unnt að veita kvartanda upplýsingar um alla þá starfsmenn sem hafi flett honum upp og tímasetningar og fjölda uppflettinga. Það sé á ábyrgð hvers embættis að viðhafa eftirlit með uppflettingum starfsmanna sinna og eftir atvikum að óska eftir því að starfsmenn geri grein fyrir uppflettingum. Lögreglustjórar og forstöðumenn stofnana, sem hafi aðgang að málaskrárkerfinu, geti nálgast upplýsingar um uppflettingar starfsmanna sinna.

Í fyrrgreindu bréfi ríkislögreglustjóra er einnig vikið að 1. mgr. 25. gr. laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, sem kveður á um að nota skuli aðgerðaskráningarkerfi til að tryggja rekjanleika aðgerða í þeim upplýsingakerfum sem lögbær yfirvöld haldi í löggæslutilgangi. Samkvæmt frumvarpi að lögunum sé þar t.a.m. átt við allar skrár sem haldnar séu í LÖKE-upplýsingakerfi ríkislögreglustjóra. Í síðari málslið ákvæðisins sé með tæmandi hætti talið upp í hvaða tilgangi sé heimilt að nota upplýsingar úr aðgerðarskráningu. Þau tilvik sem þar séu tilgreind eigi ekki við um beiðni kvartanda.

Ríkislögreglustjóri bendir jafnframt á að kvartandi geti óskað eftir yfirliti yfir uppflettingar einstakra embætta á kennitölu kvartanda í málaskrárkerfinu þar sem slík uppfletting varði hann einan. Yfirlit yfir uppflettingar embætta á málsnúmerum geti hins vegar varðað aðra, auk þess sem slíkar uppflettingar þurfi ekki að tengjast ákveðnum einstaklingum sem skráðir hafi verið á mál. Því séu slíkar upplýsingar kvartanda óviðkomandi. Þar sem ekkert af þeim tilvikum, sem talin séu upp í stafliðum 1. mgr. 25. gr. laga nr. 75/2019 eigi við beri að synja kvartanda um yfirlit yfir þau embætti sem hafi flett upp því málsnúmeri sem kvartandi hafi tiltekið.

Í bréfi ríkislögreglustjóra til Persónuverndar, dags. 13. maí 2020, er áréttað að embættið geri greinarmun á uppflettingum í málaskrárkerfinu eftir kennitölum og eftir málsnúmerum, þar sem uppflettingar eftir málsnúmerum þurfi ekki að tengjast persónu þeirra einstaklinga sem skráðir hafa verið undir mál. Þar kemur einnig fram að ríkislögreglustjóri líti svo á að önnur embætti teljist vera ábyrgðaraðilar að þeirri vinnslu persónuupplýsinga sem felist í uppflettingu þeirra í málaskrárkerfinu. Erindum vegna gruns um ólögmætar uppflettingar þurfi því að beina til viðkomandi embætta.

Þá segir í bréfinu að ef miðlað yrði upplýsingum um nöfn eða kennitölur starfsmanna, sem flett hafi upp einstaka málsnúmerum í málaskrárkerfinu, og tímasetningar, eða slíkar upplýsingar gerðar kvartanda aðgengilegar, gæti vaknað órökstuddur grunur um trúnaðarbrest starfsmanna. Því sé nauðsynlegt að takmarka upplýsingarétt kvartanda með vísan til 9. gr. reglugerðar nr. 322/2001 og c-liðar 3. mgr. 13. gr. laga nr. 75/2019.

II.

Forsendur og niðurstaða

1.

Afmörkun máls

Mál þetta lýtur að afgreiðslu ríkislögreglustjóra á beiðni kvartanda um upplýsingar um þá sem flettu upp persónuupplýsingum hans í málaskrárkerfi embættisins samkvæmt tilteknu málsnúmeri, svo og málsmeðferð ríkislögreglustjóra við afgreiðslu beiðninnar.

2.

Gildissvið – Lagaskil

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem eru einkennandi fyrir hann, sbr. 2. tölul. 3. gr. laga nr. 90/2018 og 1. tölul. 4. gr. reglugerðarinnar.

Samkvæmt 6. mgr. 4. gr. laga nr. 90/2018 gilda lögin og reglugerð (ESB) 2016/679 ekki um vinnslu persónuupplýsinga af hálfu ríkisins við að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum. Til þess er hins vegar að líta að þegar beiðni kvartanda barst ríkislögreglustjóra, þann 3. maí 2019, giltu tiltekin ákvæði laganna um vinnslu persónuupplýsinga sem vörðuðu starfsemi ríkisins á sviði refsivörslu, sbr. ákvæði til bráðabirgða III, þ.m.t. 3. og 39. gr. og 42. gr. þeirra. Ákvæði 17. gr. laganna, sem kveður á um aðgangs- og upplýsingarétt einstaklinga, var á hinn bóginn ekki á meðal þeirra ákvæða sem giltu um slíka vinnslu.

Samkvæmt ákvæði til bráðabirgða II í lögum nr. 90/2018 halda reglugerðir, sem ráðherra hefur gefið út á grundvelli eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gildi sínu fari þær ekki í bága við lög nr. 90/2018 eða reglugerð (ESB) 2016/679. Í athugasemdum við ákvæðið í frumvarpi því sem varð að lögum nr. 90/2018 segir að um sé að ræða nokkurt safn reglna sem sumar hverjar hafi mikla þýðingu og þar megi nefna sem dæmi reglugerð nr. 322/2001.

Af framangreindu leiðir að þegar beiðni kvartanda var sett fram hjá ríkislögreglustjóra fór um upplýsingarétt hans samkvæmt reglugerð nr. 322/2001, sem gilti um rafræna vinnslu persónuupplýsinga hjá lögreglu, sbr. 1. gr. hennar. Samkvæmt 1. mgr. 39. gr. laga nr. 90/2018 annast Persónuvernd eftirlit með framkvæmd þeirra laga, reglugerðar (ESB) 2016/679, sérákvæða í lögum sem fjalla um vinnslu persónuupplýsinga og annarra reglna um efnið. Af þessu ákvæði leiðir að Persónuvernd annaðist eftirlit með framkvæmd reglugerðar nr. 322/2001.

Til þess er jafnframt að líta að þann 25. júní 2019 tóku gildi lög nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi, sem gilda um vinnslu persónuupplýsinga hjá lögbærum yfirvöldum sem fram fer í löggæslutilgangi, sbr. 1. mgr. 3. gr. laganna, en hugtakið persónuupplýsingar er skilgreint í 1. tölul. 2. gr. laga nr. 75/2019 með sama hætti og gert er í lögum nr. 90/2018.

Með 37. gr. laga nr. 75/2019 var ákvæði til bráðabirgða III í lögum nr. 90/2018 breytt á þá leið að ákvæði þeirra laga voru ekki látin ná til vinnslu persónuupplýsinga sem vörðuðu starfsemi ríkisins á sviði refsivörslu. Þá er og til þess að líta að reglugerð nr. 322/2001 hefur nú verið felld á brott, sbr. 2. mgr. 10. gr. reglugerðar nr. 577/2020 um skrár lögreglu og vinnslu persónuupplýsinga í löggæslutilgangi, sem tók gildi 12. júní 2020. Samkvæmt 2. mgr. 3. gr. laga nr. 75/2019 gilda þau um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og um vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að vera hluti af skrá. Samkvæmt 1. mgr. 30. gr. laga nr. 75/2019 annast Persónuvernd eftirlit með framkvæmd þeirra laga en af ákvæðinu og fyrrnefndu ákvæði 1. mgr. 39. gr. laga nr. 90/2018 leiðir að Persónuvernd annast jafnframt eftirlit með framkvæmd reglugerðar nr. 577/2020. Telur Persónuvernd að meðal þess sem taka verði til skoðunar í máli þessu sé hvort kvartandi geti átt ríkari rétt til upplýsinga um vinnslu persónuupplýsinga hans í málaskrárkerfi lögreglu samkvæmt núgildandi rétti.

Persónuvernd telur rétt að líta svo á að í málaskrárkerfi ríkislögreglustjóra séu skráðar persónuupplýsingar um kvartanda í skilningi 2. tölul. 3. gr. laga nr. 90/2018, 1. tölul. 4. gr. reglugerðar (ESB) 2016/679 og 1. tölul. 2. gr. laga nr. 75/2019. Sú vinnsla sem hér um ræðir féll undir gildissvið laga nr. 90/2018 og reglugerðar nr. 322/2001 þegar ríkislögreglustjóri afgreiddi beiðni kvartanda en fellur nú undir gildissvið laga nr. 75/2019 og reglugerð nr. 577/2020. Að því virtu og með hliðsjón af framangreindu varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

3.

Ábyrgðaraðili

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 og nr. 75/2019 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laga nr. 90/2018 er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679. Samkvæmt 4. tölul. 2. gr. laga nr. 75/2019 telst ábyrgðaraðili vera lögbært yfirvald sem ákvarðar, eitt eða í samvinnu við aðra, tilgang og aðferðir við vinnslu persónuupplýsinga.

Eins og hér háttar til telst ríkislögreglustjóri vera ábyrgðaraðili að þeirri vinnslu sem felst í að halda þær skrár lögreglu sem kveðið er á um í 2. gr. reglugerðar nr. 577/2020, sbr. áður 2. gr. reglugerðar nr. 322/2001, og því að varðveita og gera öðrum ábyrgðaraðilum aðgengilegar persónuupplýsingar kvartanda í rafrænu málaskrárkerfi. Að auki telst ríkislögreglustjóri vera ábyrgðaraðili vegna vinnslu eigin starfsmanna á persónuupplýsingum kvartanda í málaskrárkerfinu, þ.m.t. uppflettingum þeirra. Á hinn bóginn verður ríkislögreglustjóri ekki talinn bera ábyrgð á vinnslu umræddra persónuupplýsinga af hálfu starfsmanna annarra embætta og stofnana, svo sem vegna uppflettinga eða skráninga, samkvæmt áðurgreindum lögum. Með hliðsjón af framangreindu, svo og því að kvörtunin beinist aðeins að ríkislögreglustjóra, tekur úrskurður þessi ekki til réttar kvartanda til upplýsinga um vinnslu annarra en ríkislögreglustjóra á persónuupplýsingum kvartanda sem skráðar eru í málaskrárkerfið.

4.

Lagaumhverfi

Samkvæmt 1. mgr. 8. gr. reglugerðar nr. 322/2001 átti skráður einstaklingur meðal annars rétt á að fá frá lögreglu vitneskju um hver fékk, hefði fengið eða myndi fá upplýsingar um hann (sbr. 3. tölul. ákvæðisins). Samkvæmt 2. mgr. sömu greinar skyldi lögregla veita vitneskju skriflega væri þess óskað. Bar að afgreiða erindi svo fljótt sem verða mátti og eigi síðar en innan eins mánaðar frá móttöku þess. Vitneskjuréttur hins skráða var ekki fyrir hendi ef óhjákvæmilegt var að upplýsingar færu leynt vegna lögreglustarfa eða ef það var nauðsynlegt til að vernda hinn skráða sjálfan eða réttindi eða frelsi annarra, sbr. 9. gr. reglugerðarinnar.

Samkvæmt 2. mgr. 13. gr. núgildandi laga nr. 75/2019 á skráður einstaklingur rétt til staðfestingar frá ábyrgðaraðila á því hvort unnar séu persónuupplýsingar um hann og, ef svo er, rétt til aðgangs að persónuupplýsingunum. Að auki á skráður einstaklingur meðal annars rétt á að fá upplýsingar um viðtakendur upplýsinganna (sbr. c-lið ákvæðisins). Synja má aðgangsbeiðni að hluta eða öllu leyti teljist það nauðsynlegt, að teknu tilliti til lögmætra hagsmuna og réttinda hins skráða, sbr. 3. mgr. sömu greinar, í þágu þess tilgangs sem tilgreindur er í ákvæðinu. Er meðal annars heimilt að takmarka aðgangsrétt í þágu málsmeðferðar eða annarrar starfsemi hjá lögbæru yfirvaldi í löggæslutilgangi (sbr. a-lið ákvæðisins), í þágu þjóðar- eða almannaöryggis (sbr. b-lið ákvæðisins) eða til að vernda hagsmuni annars en hins skráða (sbr. c-lið ákvæðisins).

4.1.

Aðgangs- og upplýsingaréttur kvartanda

Í máli þessu reynir á hvort kvartandi hafi átt eða eigi rétt á upplýsingum frá ríkislögreglustjóra um það hverjir stóðu að uppflettingum á upplýsingum hans í rafrænu málaskrárkerfi embættisins. Í því sambandi telur Persónuvernd koma til skoðunar hvort kvartandi hafi átt eða eigi rétt á upplýsingum um hvaða starfsmenn ríkislögreglustjóra hafi flett upp tilgreindu máli, þar sem kvartandi var sakborningur, í rafrænu málaskrárkerfi embættisins, sbr. umfjöllun um ábyrgð á þeirri vinnslu persónuupplýsinga sem hér um ræðir í kafla II.3. að framan. Að virtum gögnum málsins þykir að mati Persónuverndar rétt að leggja jafnframt þann skilning í beiðnina að hún hafi lotið að upplýsingum um það hvaða ábyrgðaraðilar hafi flett persónuupplýsingum kvartanda upp í kerfinu samkvæmt tilteknu málsnúmeri.

Ákvæði 1. mgr. 8. gr. reglugerðar nr. 322/2001 var samhljóða 1.-3. tölul. 1. mgr. 18. gr. eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Ber samkvæmt því að leggja til grundvallar að á sömu sjónarmið reyni við skýringu ákvæðanna.

Að mati Persónuverndar verður ekki lagt til grundvallar að í ákvæði 3. tölul. 1. mgr. 8. gr. reglugerðar nr. 322/2001 hafi falist réttur einstaklinga til að fá vitneskju um það þegar upplýsingar berast á milli einstakra starfsmanna ábyrgðaraðila, heldur hafi ákvæðið aðeins tekið til réttar einstaklinga til að fá vitneskju um miðlun persónuupplýsinga til annarra ábyrgðaraðila. Með vísan til þess verður kvartandi ekki talinn hafa átt rétt á að fá upplýsingar úr aðgerðaskráningu málaskrárkerfis ríkislögreglustjóra um uppflettingar einstakra starfsmanna embættisins á upplýsingum um hann sem skráðar voru í kerfið, á grundvelli tilvitnaðs ákvæðis. Er sú skýring í samræmi við úrskurði Persónuverndar frá 28. febrúar 2005 í máli nr. 2004/144 og frá 8. mars 2017 í máli nr. 2016/835 þar sem reyndi á rétt einstaklinga samkvæmt 3. tölul. 1. mgr. 18. gr. laga nr. 77/2000, sem var samhljóða tilvitnuðu ákvæði reglugerðar nr. 322/2001. Í fyrri úrskurðinum sagði meðal annars að upplýsingar af þessum toga úr atburðaskrá hefðu að geyma persónuupplýsingar um starfsmenn og miðlun slíkra upplýsinga til utanaðkomandi aðila kynni að hafa ýmsar afleiðingar gagnvart umræddum starfsmönnum, svo sem að á þá félli órökstuddur grunur um trúnaðarbrest. Persónuvernd telur sömu sjónarmið eiga hér við, auk þess sem slík upplýsingagjöf til hins skráða á grundvelli ákvæðisins hefði að mati stofnunarinnar getað orðið til þess að torvelda ríkislögreglustjóra að rækja lögbundið hlutverk sitt í þágu löggæslu. Að auki er þessi skýring í samræmi við úrskurði Persónuverndar frá 29. september 2020 í máli nr. 2020010601 og frá 24. nóvember 2020 í máli nr. 2020010665 þar sem reyndi á rétt einstaklinga til upplýsinga um uppflettingar starfsmanna lögreglu á persónuupplýsingum þeirra sem skráðar höfðu verið í málaskrárkerfi lögreglu.

Í framkvæmd sinni hefur Persónuvernd litið svo á að í framangreindri lögskýringu felist jafnframt að einstaklingar eigi rétt á upplýsingum frá ríkislögreglustjóra um hvaða ábyrgðaraðilar hafi flett upplýsingum þeirra upp í málaskrárkerfinu samkvæmt kennitölu, sbr. fyrrgreindan úrskurð Persónuverndar í máli nr. 2020010601. Ágreiningslaust er að kvartandi geti fengið þær upplýsingar frá ríkislögreglustjóra og telur Persónuvernd því ekki þörf á að skera úr um þann rétt kvartanda. Á hinn bóginn stendur ágreiningur um hvort kvartandi eigi rétt til upplýsinga um hvaða ábyrgðaraðilar hafi flett upp persónuupplýsingum hans í málaskrárkerfinu samkvæmt tilgreindu málsnúmeri.

Að mati Persónuverndar verður að leggja til grundvallar að með því að fletta upp málsnúmeri í málaskrárkerfi ríkislögreglustjóra fái viðkomandi ábyrgðaraðili aðgang að þeim persónuupplýsingum sem þar eru skráðar í skilningi 3. tölul. 1. mgr. 8. gr. reglugerðar 322/2001. Verður því ekki séð að þýðingu hafi varðandi upplýsingarétt kvartanda með hvaða hætti slíkar uppflettingar voru framkvæmdar. Af því leiðir að kvartandi átti rétt á upplýsingum frá ríkislögreglustjóra um hvaða ábyrgðaraðilar fengu aðgang að persónuupplýsingum hans sem skráðar voru í málaskrárkerfið með því að fletta upp hinu tilgreinda málsnúmeri.

Kemur þá til skoðunar hvort kvartandi geti nú átt ríkari rétt til upplýsinga um uppflettingar í málaskrárkerfi ríkislögreglustjóra á grundvelli ákvæðis 2. mgr. 13. gr. núgildandi laga nr. 75/2019.

Samkvæmt athugasemdum við ákvæðið í frumvarpi því sem varð að lögum nr. 75/2019 er því ætlað að innleiða ákvæði 13.-15. gr. tilskipunar (ESB) 2016/680. Ákvæði 14. gr. tilskipunarinnar lýtur að rétti skráðra einstaklinga til aðgangs en meðal annars er í c-lið þess kveðið á um rétt einstaklings til upplýsinga um viðtakendur eða flokka viðtakenda sem fengið hafa persónuupplýsingar. Að mati Persónuverndar er orðalag umrædds ákvæðis tilskipunarinnar ekki rýmra að þessu leyti en a-liður 12. gr. tilskipunar 95/46/EB, sem 1. mgr. 8. gr. reglugerðar nr. 322/2001 byggðist efnislega á. Þá verður ekki séð að skilgreiningu hugtaksins „viðtakandi“ hafi verið breytt efnislega að þessu leyti í tilskipun (ESB) 2016/680. Loks er þess að geta að hvorki orðalag 13. gr. laga nr. 75/2019 né lögskýringargögn þykja benda til þess að lagasetningunni hafi verið ætlað að rýmka rétt einstaklinga til upplýsinga af þeim toga sem hér reynir á.

Þegar litið er til framangreinds telur Persónuvernd verða að leggja til grundvallar að kvartandi eigi ekki rétt til að fá upplýsingar úr aðgerðaskráningu málaskrárkerfis ríkislögreglustjóra um uppflettingar einstakra starfsmanna á upplýsingum um kvartanda sem skráðar voru í kerfið, á grundvelli tilvitnaðs ákvæðis. Er þessi skýring í samræmi við úrskurðarframkvæmd Persónuverndar, sbr. fyrrgreinda úrskurði í málum nr. 2020010601 og 2020010665.

Geta ber þess að þar sem umræddar upplýsingar úr atburðaskráningu teljast sem slíkar ekki vera persónuupplýsingar kvartanda verður hann ekki talinn eiga rétt á að fá afrit af umræddum upplýsingum á grundvelli 1. málsl. 2. mgr. 13. gr. laga nr. 75/2019.

4.2.

Málsmeðferð ríkislögreglustjóra

Kemur þá til úrlausnar hvort málsmeðferðartími ríkislögreglustjóra vegna beiðni kvartanda hafi samrýmst reglugerð nr. 322/2001 og lögum nr. 90/2018.

Af gögnum málsins verður ráðið að kvartandi hafi upphaflega lagt fram beiðni hjá lögreglustjóranum á höfuðborgarsvæðinu þann 28. febrúar 2019 sem hafi lyktað með því að kvartanda hafi þann 30. apríl s.á. verið leiðbeint um að beina beiðni til ríkislögreglustjóra vegna þeirra upplýsinga sem kvartandi óskaði eftir. Beiðni kvartanda var send ríkislögreglustjóra í tölvupósti þann 3. maí 2019 og var hún afgreidd af embættinu þann 24. s.m.

Persónuvernd telur að skýra verði 2. mgr. 8. gr. reglugerðar nr. 322/2001 svo að hugtakið lögregla hafi tekið til hvers lögregluembættis sem taldist vera ábyrgðaraðili að vinnslu persónuupplýsinga í skilningi 6. tölul. 3. gr. laga nr. 90/2018 og að hver ábyrgðaraðili hafi haft mánuð til að afgreiða beiðni sem beint var til hans samkvæmt ákvæðinu.

Af framangreindu leiðir að beiðni kvartanda taldist ekki fram komin gagnvart ríkislögreglustjóra fyrr en 3. maí 2019, þótt kvartandi hafi áður sent öðrum ábyrgðaraðila beiðni um sömu upplýsingar. Byrjaði því sá frestur sem tilgreindur er í 2. mgr. 8. gr. reglugerðar nr. 322/2001 ekki að líða gagnvart ríkislögreglustjóra fyrr en á umræddum degi. Að þessu virtu, og að því gættu að beiðni kvartanda var afgreidd innan mánaðar frá því að hún var sett fram, telur Persónuvernd að ríkislögreglustjóri hafi afgreitt erindi kvartanda innan þeirra tímamarka sem mælt var fyrir um í 2. mgr. 8. gr. reglugerðarinnar.

5.

Niðurstaða og fyrirmæli

Með hliðsjón af öllu framangreindu er það niðurstaða Persónuverndar að ríkislögreglustjóra hafi verið heimilt að synja kvartanda um upplýsingar um það hvaða starfsmenn embættisins flettu honum upp í rafrænu málaskrárkerfi þess.

Á hinn bóginn er það niðurstaða Persónuverndar að ríkislögreglustjóra hafi verið óheimilt að synja kvartanda um upplýsingar um það hvaða ábyrgðaraðilar stóðu að uppflettingum á persónuupplýsingum um hann í málaskrárkerfinu samkvæmt [tilgreindu málsnúmeri]. Með vísan til 3. tölul. 42. gr. laga nr. 90/2018 er lagt fyrir ríkislögreglustjóra að veita kvartanda umræddar upplýsingar. Skal ríkislögreglustjóri senda Persónuvernd staðfestingu þar að lútandi í síðasta lagi þann 25. febrúar 2021.

Loks er það niðurstaða Persónuverndar að málsmeðferðartími ríkislögreglustjóra við afgreiðslu á beiðni kvartanda um upplýsingar hafi samrýmst lögum nr. 90/2018, sbr. reglugerð (ESB) 2016/679, og reglugerð nr. 322/2001.

Ú r s k u r ð a r o r ð:

Ákvörðun ríkislögreglustjóra um að synja [A] um upplýsingar um þá starfsmenn sem flettu upp persónuupplýsingum hans í rafrænu málaskrárkerfi embættisins samrýmdist lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, og reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.

Ákvörðun ríkislögreglustjóra um að synja [A] um upplýsingar um uppflettingar annarra ábyrgðaraðila í rafrænu málaskrárkerfi embættisins samkvæmt [tilgreindu málsnúmeri] samrýmdist ekki lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, og reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.

Skal ríkislögreglustjóri láta [A] í té umræddar upplýsingar og skal staðfesting á því að það hafi verið gert send Persónuvernd í síðasta lagi þann 25. febrúar 2021.

Málsmeðferð ríkislögreglustjóra við afgreiðslu beiðni [A] um upplýsingar um vinnslu persónuupplýsinga hans samrýmdist lögum nr. 90/2018 og reglugerð nr. 322/2001.

Í Persónuvernd, 28. janúar 2021

Ólafur Garðarsson
varaformaður

Björn Geirsson                                    Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson