Svar til Skattsins um heimild til afhendingar upplýsinga um hlutafjáreign

Mál nr. 2022091540

11.10.2022

Reykjavík, 11. október 2022

Efni: Afhending upplýsinga um hlutafjáreign einstaklinga

Persónuvernd vísar til samskipta varðandi upplýsingabeiðni fréttamanns á Ríkisútvarpinu hinn 14. september 2022 til Skattsins. Í beiðninni er þess óskað að Skatturinn afhendi ársreikninga þriggja félaga, ásamt fylgiblöðum sem innihaldi upplýsingar um stjórnarmenn, framkvæmdastjóra og hlutafjáreign allra hluthafa. Hinn 20. september 2022 óskaði Skatturinn ráðgjafar frá ráðgjafa um upplýsingarétt almennings um þessa upplýsingabeiðni og fékk Persónuvernd afrit af ósk þar að lútandi með vísan til 3. mgr. 39. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, þess efnis meðal annars að Persónuvernd geti fjallað um mál að eigin frumkvæði.

Fyrir liggur ákvörðun Persónuverndar, dags. 15. júní 2021, í máli nr. 2021030547, þar sem fjallað er um birtingu á vef Skattsins á heildarhlutahafalistum allra hluta- og einkahlutafélaga með vísan til laga nr. 3/2006 um ársreikninga. Í málinu reyndi á hvort birting persónuupplýsinga á listunum teldist falla undir 3. og 5. tölul. 1. mgr. 9. gr. laga nr. 90/2018, sbr. c- og e-liði 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, um heimild til vinnslu persónuupplýsinga sem nauðsynleg er vegna lagaskyldu og vegna verks í þágu almannahagsmuna eða við beitingu opinbers valds. Við mat á því var litið til 4. mgr. 109. gr. laga nr. 3/2006 þar sem segir að gögn, sem skilaskyld eru til Skattsins samkvæmt þeirri grein, skuli birta á opinberu vefsvæði. Jafnframt var litið til þess að hluthafalistar eru ekki á meðal þeirra gagna sem greinin tiltekur. Að auki vísaði Persónuvernd til þess að svo að vinnsla geti átt stoð í fyrrgreindum ákvæðum laga nr. 90/2018 og reglugerðar (ESB) 2016/679 þarf að vera fullnægt kröfum 3. mgr. 6. gr. reglugerðarinnar, þess efnis að vinnsla á grundvelli lagaskyldu, almannahagsmuna og opinbers valds verði að byggjast á lögum sem fullnægi tilteknum kröfum. Þá tók Persónuvernd fram að í ljósi umfangs umræddrar vinnslu ætti ekki að vera nauðsynlegt að rekja og túlka forsögu hlutaðeigandi ákvæða til að afmarka hvers konar vinnslu persónuupplýsinga þau heimiluðu heldur yrði að gera þá kröfu til löggjafans að lagatextinn sjálfur væri nægilega skýr, ekki síst þegar um ræddi breytingu á gildandi lögum sem fæli í sér nýjar eða breyttar heimildir til vinnslu persónuupplýsinga. Varð niðurstaða Persónuverndar sú, með vísan til þessa, að framangreindum kröfum til laga um vinnslu persónuupplýsinga væri ekki fullnægt um lög nr. 3/2006 hvað snerti birtingu persónuupplýsinga í hluthafalistum og að hana brysti því heimild.

Það álitaefni sem nú er uppi lýtur ekki að birtingu persónuupplýsinga í hluthafalistum heldur afhendingu þeirra. Undir efnislegt gildissvið persónuverndarlöggjafarinnar fellur það sem nefnt er vinnsla persónuupplýsinga, enda sé unnið með upplýsingarnar á sjálfvirkan hátt eða með notkun skráningarkerfis, sbr. 1 mgr. 2. gr. gr. laga nr. 90/2018 og 1. mgr. 4. gr. reglugerðar (ESB) 2016/679. Þá er með vinnslu átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, sbr. skilgreiningu á vinnsluhugtakinu í 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar, en í skilgreiningunni eru nefnd ýmis dæmi um vinnslu, þ. á m. „miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar“. Ljóst er að birting telst fela í sér að upplýsingar séu gerðar tiltækar samkvæmt umræddri skilgreiningu og ber að telja hið sama eiga við um afhendingu persónuupplýsinga sem stjórnvald hefur aflað, en líta má á afhendinguna sem „miðlun með framsendingu“. Samkvæmt þessu er hafið yfir vafa að í því fælist vinnsla persónuupplýsinga, sem færi fram sjálfvirkt eða með notkun skráningarkerfis, að verða við þeirri upplýsingabeiðni sem hér um ræðir.

Á efnislegu gildissviði persónuverndarlöggjafarinnar eru ákveðnar takmarkanir. Ein þeirra er sú að lög nr. 90/2018 takmarka ekki þann rétt til aðgangs að gögnum sem mælt er fyrir um í upplýsingalögum og stjórnsýslulögum, sbr. 2. mgr. 5. gr. laganna, sbr. einnig 2. mgr. 86. gr. reglugerðarinnar um heimildir til afhendingar opinberra skjala samkvæmt löggjöf um rétt almennings til aðgangs að slíkum skjölum. Í því sambandi ber að líta til 5. gr. upplýsingalaga, þess efnis að skylt sé að veita almenningi aðgang að fyrirliggjandi gögnum sem varða tiltekið mál, svo og tilteknum fyrirliggjandi gögnum, með þeim takmörkunum sem greini í lögunum sjálfum. Á meðal þeirra takmarkana er bann 9. gr. laganna við að almenningi sé veittur aðgangur að gögnum um einka- eða fjárhagsmálefni einstaklinga sem sanngjarnt er og eðlilegt að leynt fari, nema sá samþykki sem í hlut á.

Synjun um aðgang að gögnum með vísan til umræddra takmarkana er unnt að bera undir úrskurðarnefnd um upplýsingamál, sbr. 20. gr. upplýsingalaga. Sá sem telur gögn með upplýsingum um sig hafa verið afhent í andstöðu við bannákvæði 9. gr. laganna getur hins vegar ekki leitað til nefndarinnar. Þá fjallar hún ekki með öðrum hætti um það hvort afhending á gögnum hafi verið lögmæt, svo sem með frumkvæðisathugunum. Hins vegar getur Persónuvernd tekið það til athugunar, bæði að fengnu erindi skráðs einstaklings og að eigin frumkvæði, sbr. 2. mgr. 39. gr. laga nr. 90/2018, hvort afhending gagna með persónuupplýsingum hafi brotið gegn persónuverndarlöggjöfinni. Við athugun sína getur Persónuvernd orðið að taka afstöðu til þess hvar skilin liggi milli þeirrar löggjafar annars vegar og upplýsingalaga hins vegar, þ. á m. hvort um ræði persónuupplýsingar sem falli undir upplýsingarétt almennings, sbr. einkum 5. gr. laganna, eða þær falli utan upplýsingaréttar í ljósi 9. gr. laganna. Ef svo ber undir er um leið ljóst að um heimildir til afhendingar upplýsinganna fer eftir persónuverndarlöggjöfinni, en að auki má leggja til grundvallar að brot gegn banni við afhendingu samkvæmt umræddu ákvæði fæli jafnframt í sér brot gegn þeirri löggjöf, m.a. þar sem nauðsynleg vinnsluheimild gæti ekki talist vera til staðar, sbr. 9. gr. laga nr. 90/2018 og 6. gr. reglugerðar (ESB) 2016/679, sbr. einnig 11. gr. laganna og 9. gr. reglugerðarinnar ef um viðkvæmar persónuupplýsingar er að ræða.

Á framangreint hefur reynt í framkvæmd Persónuverndar og má þar nefna sem dæmi úrskurð, dags. 22. júní 2011 (mál nr. 2011/437), úrskurð, dags. 25. febrúar 2015 (mál nr. 2014/1541), úrskurð, dags. 20. desember 2018 (mál nr. 2017/1282), og álit, dags. 29. desember 2020 (mál nr. 2020061975).

Í fyrstnefnda málinu var kvartað yfir því að Ríkisútvarpið ohf. hefði afhent upplýsingar um að kvartandi í málinu hefði sótt þar um sumarstarf og var komist að þeirri niðurstöðu að afhendingin hefði átt stoð í þágildandi lögum nr. 77/2000 um persónuvernd og vinnslu persónuupplýsinga. Var þá litið til þess að um ræddi upplýsingar sem löggjöf tók af skarið um að almenningur ætti rétt á aðgangi að, sbr. niðurlag 4. tölul. 4. gr. þágildandi upplýsingalaga nr. 50/1996.

Í málinu sem næst er nefnt, nr. 2014/1541 var kvartað yfir að í skýrslu frá lögreglu um mótmæli í kjölfar efnahagshrunsins 2008 hefðu verið færðar persónugreinanlegar upplýsingar úr málaskrá lögreglu og var komist að þeirri niðurstöðu að brotið hefði verið gegn þágildandi lögum nr. 77/2000. Var þá litið til fyrirliggjandi úrskurðar úrskurðarnefndar um upplýsingamál þar sem fram kom að við afhendingu skýrslunnar á grundvelli þágildandi upplýsingalaga bæri að afmá tilteknar upplýsingar vegna einkahagsmuna.

Í þriðja málinu sem nefnt er hér að framan, nr. 2017/1282, var kvartað yfir afhendingu dómsmálaráðuneytisins á gögnum um að tiltekinn einstaklingur hefði fengið uppreist æru og var komist að þeirri niðurstöðu að afhendingin hefði verið heimil. Var þá litið til úrskurðar sem úrskurðarnefnd um upplýsingamál hafði kveðið upp, þess efnis að gögn eins og hér um ræddi féllu undir upplýsingarétt almennings og teldust ekki hafa að geyma upplýsingar um einkamálefni sem sanngjarnt væri og eðlilegt að færu leynt, sbr. áðurnefnt ákvæði 9. gr. upplýsingalaga nr. 140/2012.

Loks var í síðastnefnda málinu sem talið er upp hér að framan, nr. 2020061975, veitt álit að beiðni atvinnuvega- og nýsköpunarráðuneytsins um hvort heimilt væri að birta tilteknar upplýsingar um stuðningsgreiðslur samkvæmt búvörusamningum til einstaklinga, enda færu greiðslurnar fram úr tiltekinni lágmarksfjárhæð. Var komist að þeirri niðurstöðu, m.a. í ljósi tilvísunar ráðuneytisins til Evrópureglna um umrædda birtingu, að svo væri að því gefnu að lagaheimild stæði til birtingarinnar, auk þess sem fram færi mat á hvort við ætti undantekning frá upplýsingarétti almennings vegna upplýsinga sem sanngjarnt er og eðlilegt að leynt fari. Í því sambandi tók Persónuvernd fram að túlkun á takmörkun aðgangsréttar á þessum grundvelli félli að mestu utan valdsviðs stofnunarinnar, þ.e. að undanskilinni umfjöllun um hvaða upplýsingar teljast til viðkvæmra persónuupplýsinga samkvæmt persónuverndarlöggjöf.

Hér er til þess að líta að samkvæmt athugasemdum við 9. gr. í því frumvarpi, sem varð að upplýsingalögum, eru viðkvæmar persónuupplýsingar samkvæmt persónuverndarlöggjöf ávallt undanþegnar aðgangi almennings. Að öðru leyti yrði Persónuvernd, í tengslum við kvartanir vegna afhendingar gagna á grundvelli upplýsingalaga, að líta til þess markmiðs laganna að tryggja gagnsæi í stjórnsýslu, sbr. 1. gr. laganna. Má ætla að í flestum tilvikum, þar sem stjórnvöld verða við gagnabeiðnum, reyni ekki á brýn sjónarmið tengd einkahagsmunum samkvæmt 9. gr. laganna og að Persónuvernd muni því að mestu ekki endurskoða mat stjórnvalda á hvort og þá hvaða gögn, sem ekki hafa að geyma viðkvæmar persónuupplýsingar, beri að afhenda. Sem dæmi um veigamikla undantekningu frá því má nefna það þegar í gögnum eru upplýsingar sem samkvæmt almennum sjónarmiðum teljast lúta að nærgöngulum einkalífsatriðum, t.d. um félagsleg vandamál, jafnvel þó svo að þær séu ekki taldar upp í skilgreiningunni á viðkvæmum persónuupplýsingum, sbr. 3. tölul. 3. gr. laga nr. 90/2018 og upphaf 1. mgr. 9. gr. reglugerðar (ESB) 2016/679, sbr. og til hliðsjónar 4. tölul. 1. mgr. 4. gr. reglna nr. 811/2019 um leyfisskylda vinnslu persónuupplýsinga, sbr. 3. mgr. 31. gr. laganna og 3. mgr. 46. gr. reglugerðarinnar. Má nefna að í áðurnefndum athugasemdum við frumvarp til upplýsingalaga eru upplýsingar sem þessar tilgreindar sem dæmi um hvað falli undir bann við afhendingu vegna einkahagsmuna. Þá er þar tekið fram að óheimilt sé að veita upplýsingar um fjárhagsmálefni einstaklinga, t.d. tekjur og fjárhagsstöðu, nema lagaheimild standi til veitingar upplýsinganna.

Í þessu sambandi má líta til úrskurðar úrskurðarnefndar um upplýsingamál, [11. maí 2021 (mál nr. 1009/2021)], þar sem upplýsingar um hlutafjáreign einstaklinga voru felldar undir 9. gr. upplýsingalaga, svo og úrskurðar, dags. 20. október 2020 (mál nr. 935/2020), þar sem komist var að gagnstæðri niðurstöðu en þá í ljósi sérlagaákvæðis sem þar átti við, þess efnis að upplýsingar um eignarhald á fyrirtækjum sem um ræddi skyldu teljast opinberar.

Að auki telur Persónuvernd að eftir atvikum geti reynt á hvort skrár yfir alla einstaklinga, sem eiga hlut í tilteknu félagi, geti talist til gagnagrunna eða skráa sem ekki falli undir gildissvið upplýsingalaga, sbr. m.a. umfjöllun þar að lútandi í kaflanum „Framþróun upplýsingaréttar“ í almennum athugasemdum með frumvarpi til laganna.

Þá vísast til þess að samkvæmt því sem fram kom í símtölum starfsmanns Persónuverndar og ráðgjafa um upplýsingarétt almennings dagana 7. og 8. október sl. er að vænta nýrrar umfjöllunar úrskurðarnefndar um upplýsingamál um hvernig upplýsingar um hlutafjáreign einstaklinga horfa við upplýsingalögum, þ.e. í tengslum við endurupptöku á máli sem þegar hefur verið úrskurðað í.

Þegar litið er til þessa telur Persónuvernd ástæðu gefast til að bíða væntanlegrar úrlausnar úrskurðarnefndarinnar þannig að ákvörðun um afhendingu gagna megi taka í ljósi hennar. Jafnframt áréttar Persónuverndar það sem fyrr greinir um að samkvæmt athugasemdum við 9. gr. í frumvarpi til upplýsingalaga ætti afhending upplýsinga um fjárhagsmálefni einstaklinga að byggjast á lagaheimild. Þá vísast til þeirra krafna sem gerðar eru til lagagrundvallar fyrir vinnslu persónuupplýsinga samkvæmt reglugerð (ESB) 2016/679 og sem fjallað er um framar í þessu bréfi. Í ákveðnum tilvikum, svo sem þegar um ræðir afmarkaðan hóp sem um gilda sérstök sjónarmið, fela þessar kröfur ekki í sér að lög þurfi sérstaklega að heimila birtingu eða afhendingu, sbr. til hliðsjónar álit Persónuverndar, dags. 11. september 2018 (mál nr. 2018071238) um birtingu upplýsinga um stærstu hluthafa í skráðum félögum hjá Kauphöll Íslands. Eftir því sem birting eða afhending nær til fleiri einstaklinga, og eftir því sem hún helgast síður af einhverjum sérstökum aðstæðum eða hagsmunum, verður hins vegar að gera ríkari kröfur til lagagrundvallarins.

F.h. Persónuverndar,

Helga Þórisdóttir                        Þórður Sveinsson