Uppflettingar lögreglunnar á höfuðborgarsvæðinu og ríkislögreglustjóra í málaskrám lögreglu

Mál nr. 2023091473

9.12.2024

Ákvörðun

vegna kvartana yfir uppflettingum lögreglunnar á höfuðborgarsvæðinu og ríkislögreglustjóra í málaskrám lögreglu og afgreiðslu upplýsingabeiðna í máli nr. 2023091473:

Málsmeðferð

1. Hinn 11. ágúst 2023 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnubrögðum embættis ríkislögreglustjóra (RLS) vegna uppflettingar kennitölu hans í málaskrá lögreglu (LÖKE). Hinn 19. september s.á. barst Persónuvernd önnur kvörtun frá kvartanda yfir uppflettingum lögreglunnar á höfuðborgarsvæðinu (LRH) á kennitölu hans í LÖKE. Kvartanirnar hafa verið sameinaðar undir málsnúmerinu 2023091473.
2. Persónuvernd bauð LRH og RLS að tjá sig um kvartanirnar með bréfi 1. febrúar 2024. Bárust svör LRH með tölvupósti 1. mars s.á. og svör RLS með tölvupósti 7. s.m. Persónuvernd óskaði nánari skýringa á tilgangi uppflettinga LRH með bréfi til embættisins 6. s.m. Að auki var óskað þess að aðgerðaskráningar umræddra uppflettinga yrðu gerðar aðgengilegar Persónuvernd. Svör LRH bárust með tölvupósti 20. s.m. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör LRH og RLS með bréfi 21. s.m. og bárust þær með tölvupósti 23. s.m. Þá óskaði Persónuvernd nánari skýringa á tilgangi tiltekinna uppflettinga LRH auk skýringa á aðgerðaskráningu, með bréfi til embættisins 3. apríl s.á. Bárust svör LRH með tölvupósti 4. maí s.á. Með bréfi 6. s.m. óskaði Persónuvernd staðfestingar á því hvort kvartandi teldi enn þörf á úrskurði stofnunarinnar í málinu. Kvartandi staðfesti að hann teldi þörf á úrskurði með tölvupósti 11. s.m. Loks óskaði Persónuvernd nánari skýringa á villu í aðgerðaskráningu RLS með bréfi til embættisins 18. september s.á. Svör RLS bárust með tölvupósti 1. október s.á. Að auki voru aðgerðaskrár skoðaðar á starfsstöð RLS 14. s.m. Kvartanda var veitt færi á að tjá sig um svör RLS með bréfi 23. s.m. Engar athugasemdir bárust frá kvartanda vegna þessa.
   
   Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
   
   

   Ágreiningsefni

3. Ágreiningur er um hvort uppflettingar á kennitölu kvartanda í LÖKE hafi verið lögmætar og nauðsynlegar vegna verkefna í löggæslutilgangi, hvort þær hafi verið framkvæmdar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og hvort þær hafi verið nægilegar, viðeigandi og ekki langt umfram það sem nauðsynlegt var miðað við tilgang vinnslunnar, sbr. a-c-liði 1. mgr. 4. gr. laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi.
4. Að auki er ágreiningur um hvort LRH og RLS hafi veitt kvartanda viðeigandi upplýsingar um tilgang uppflettinganna, í samræmi við ákvæði a-liðar 2. mgr. 13. gr. laga nr. 75/2019, og hvort þeim hafi verið skylt, á grundvelli framangreinds ákvæðis, að upplýsa kvartanda um fjölda uppflettinga. Loks kemur til álita hvort kvartandi hafi fengið fullnægjandi upplýsingar um viðtakendur persónuupplýsinga hans, samkvæmt ákvæði c-liðar sömu málsgreinar.
   
   

   Atvik máls og fyrirliggjandi gögn

5. Kvartandi leitaði til Persónuverndar í kjölfar samskipta sinna við LRH og RLS vegna uppflettinga á kennitölu hans í LÖKE. Nánar tiltekið hafði kvartandi óskað upplýsinga frá RLS, 26. apríl 2023, um uppflettingar einstakra embætta á kennitölu hans og var í samskiptum við embættið vegna uppflettingar sem það hafði upplýst um að stafaði frá Útlendingastofnun. Þá hafði kvartandi óskað upplýsinga frá LRH 25. júlí s.á. um tilgang uppflettinga á kennitölu hans í LÖKE, fjölda skipta uppflettinga óháð tímasetningu og hvernig vernd upplýsinganna væri háttað, meðal annars hvort hver uppfletting hafi verið skráð á tiltekinn starfsmann og hafi ekki „smitast“ annað t.d. í annan starfsmann eða gögn.
6. Með kvörtununum fylgdi svar LRH við upplýsingabeiðni kvartanda og tölvupóstsamskipti kvartanda við RLS vegna uppflettingar Útlendingastofnunar. Í tölvupósti RLS til kvartanda kemur fram að mistök hafi orðið við afgreiðslu erindis hans. Starfsmaður embættisins hafi tekið saman uppflettingarnar og þar hafi verið tilgreind uppfletting á vegum Útlendingastofnunar. Við skoðun á aðgerðaskráningu hafi komið í ljós að uppflettingin, sem merkt var stofnuninni, var færsla af kerfisnotanda eða svokölluðu gervimenni. Vísað er til þess að kennitala kvartanda gæti hafa verið hluti af sjálfvirkri prófun þar sem „bulk“ uppflettingar voru framkvæmdar. Þá sé kerfisnotandi notaður til þess að prófa virkni uppflettinga hjá stofnuninni. Uppflettingin hafi því ekki stafað frá tilteknum starfsmanni Útlendingastofnunar.
7. Við meðferð málsins hjá Persónuvernd áréttaði RLS að umrædd færsla kerfisnotanda hafi stafað af villu í aðgerðaskráningu. Villuna megi rekja til kóða í spjaldtölvum lögreglunnar sem hafi orsakað að tilteknar uppflettingar voru ekki skráðar á raunverulega notendur heldur á kerfisnotanda. Hið rétta væri að starfsmaður LRH hefði flett kvartanda upp í LÖKE í umrætt sinn, en villan hafi leitt til þess að uppflettingin var ranglega skráð á kerfisnotanda. Persónuvernd fór á starfsstöð RLS hinn 14. október 2024 til þess að skoða aðgerðaskráningar frá því tímabili sem umrædd villa var virk. Valið var tímabil af handahófi og sýndi yfirlitið fram á að kerfisnotandi birtist við tilteknar færslur vegna uppflettinga í spjaldtölvum árið 2021. Einnig voru skoðaðar aðgerðaskráningar eftir að umrædd villa var lagfærð, en engar aukafærslur kerfisnotanda birtust á því tímabili.
8. Í svari LRH við upplýsingabeiðni kvartanda, frá 18. september 2023, segir að embættið hafi farið yfir allar uppflettingar á kennitölu kvartanda. Niðurstaða þeirrar skoðunar hafi verið að kennitölunni hefði ekki verið flett upp í ómálefnalegum tilgangi. Allar uppflettingarnar hefðu verið gerðar í löggæslutilgangi samkvæmt lögum nr. 75/2019 og samrýmst hlutverki lögreglu, sbr. 2. mgr. 1. gr. lögreglulaga nr. 90/1996. Tekið er fram að aðgerðaskráning í LÖKE sé haldin í samræmi við 8. gr. reglugerðar 577/2020 og að innra eftirlit lögreglu hafi yfirfarið hverja og eina aðgerð sem tengist kennitölu kvartanda. Þá segir að LRH telji lög nr. 75/2019 og nr. 90/2018 ekki veita hinum skráða rétt til að fá upplýsingar um hversu oft starfsmenn embættisins hafi flett upp tiltekinni kennitölu. Hvað varðar það hvort upplýsingar hafi „smitast“ annað er í svarinu vísað til þess að starfsemi og eðli lögreglu krefjist þess oft að starfsfólk vinni saman að málum og því sé eðlilegt að fleiri en einn starfsmaður skoði tiltekið mál. Allt starfslið lögreglu sé bundið trúnaðar- og þagnarskyldu, sbr. 42. gr. stjórnsýslulaga nr. 37/1993 og 22. gr. lögreglulaga nr. 90/1996. Þá segir að lögreglu sé heimilt að miðla upplýsingum sem safnað er í löggæslutilgangi til annarra opinberra aðila og einkaaðila að því marki sem nauðsynlegt er til að hún geti sinnt lögbundnu hlutverki sínu eða gætt lögvarinna hagsmuna sinna, sbr. 11. gr. laga nr. 75/2019. Loks er vakin athygli á því að unnt er að leggja fram kvörtun hjá Persónuvernd ef grunur er um að vinnsla persónuupplýsinga sé ekki í samræmi við lög.
9. LRH og RLS lögðu fram aðgerðaskráningar vegna umræddra uppflettinga við meðferð málsins hjá Persónuvernd.
   
   

   Sjónarmið aðila

   Helstu sjónarmið kvartanda

10. Kvartandi heldur því fram að meðferð persónuupplýsinga hans hjá RLS hafi verið haldin annmörkum. Svar RLS við upplýsingabeiðni hans skýri ekki frá tilgangi uppflettingar kerfisnotanda og vart geti talist lögmætt að fletta upp kennitölum með svokallaðri „bulk“ uppflettingu, þ.e. hafi verið um margar uppflettingar að ræða fyrir ótilgreinda hagsmuni eða tilgang. Hafi uppflettingin verið hluti af tölvuprófun, til að athuga tæknigetu, hafi ekki verið nauðsynlegt að nota raunverulega málaskrá.
11. Að auki heldur kvartandi því fram að svar LRH við upplýsingabeiðni hans sé haldið annmörkum þar sem það tilgreini ekki tilgang uppflettinga kennitölu hans. Telur kvartandi að tilgreina þurfi tilgang fyrir hverri og einni uppflettingu og þar með veita upplýsingar um fjölda uppflettinga um hann í LÖKE.
12. Að mati kvartanda verður ekki ráðið af svörum LRH og RLS við upplýsingabeiðnum hans hvort persónuupplýsingar hans voru unnar með lögmætum, sanngjörnum og gagnsæjum hætti eða hvort vinnslan var viðeigandi, nægileg og ekki umfram það sem er nauðsynlegt.
    
    

    Helstu sjónarmið ríkislögreglustjóra

13. Ríkislögreglustjóri hafnar staðhæfingum kvartanda þess efnis að meðferð persónuupplýsinga hans í LÖKE hafi verið haldin annmörkum.
14. RLS áréttar að kennitölu kvartanda hafi ekki verið flett upp á vegum Útlendingastofnunar og því hafi enginn innan þeirrar stofnunar skoðað upplýsingar um kvartanda úr LÖKE. RLS sjái um rekstur tölvuumhverfis stofnunarinnar og hafi notað kerfisnotanda, sem hafi verið skráður sem starfsmaður Útlendingastofnunar umrætt sinn, til að prófa varnir LÖKE utan frá. Starfsmaður RLS, sem tók saman uppflettingarnar til að svara upplýsingabeiðni kvartanda, hafi ranglega lesið færsluna sem uppflettingu starfsmanns Útlendingastofnunar.
15. Við nánari skoðun RLS á umræddri uppflettingu hafi komið í ljós að villa í aðgerðaskráningu hafi orðið til þess að uppfletting kerfisnotanda var skráð samhliða annarri uppflettingu á sama tíma, en sú uppfletting hafi verið gerð af starfsmanni LRH. Villan sé vel ljós þeim sem hafi tæknilegan bakgrunn og hafi verið lagfærð árið 2022. Eftir standi tímabil af villum í aðgerðaskrám sem taka þurfi tillit til þegar fyrirspurnum um uppflettingum sé svarað. Sá starfsmaður sem tók saman uppflettingarnar hafi ekki verið hluti af tölvuteymi embættisins og því ekki greint umrædda villu í aðgerðaskráningu. Embættið vinni að því að breyta verklagi um afgreiðslu erinda af þessu tagi til að koma í veg fyrir bagaleg mistök sem þessi.
    
    

    Helstu sjónarmið lögreglunnar á höfuðborgarsvæðinu

16. Lögreglan á höfuðborgarsvæðinu heldur því fram að uppflettingar embættisins á kennitölu kvartanda í LÖKE hafi verið málefnalegar, gerðar í löggæslutilgangi og að gætt hafi verið að meginreglum laga nr. 75/2019.
17. LRH byggir á því að vinnsla persónuupplýsinga kvartanda hafi verið nauðsynleg vegna hlutverks lögreglu, sbr. 2. mgr. 1. gr. lögreglulaga nr. 90/1996, sbr. 8. tölul. 1. mgr. 2. gr. laga nr. 75/2019. Ríkislögreglustjóri haldi málaskrá um kærur, dagbók lögreglu og aðrar skrár sem nauðsynlegar séu í þágu löggæsluhagsmuna til að afstýra yfirvofandi hættu eða sporna við afbrotum, sbr. i-lið 1. mgr. 5. gr. lögreglulaga. Í málaskrá, dagbók og aðrar skrár færi starfsmenn hvers embættis fyrir sig þær upplýsingar sem þeim séu nauðsynlegar vegna t.d. rannsóknar sakamáls eða afskipta lögreglu.
18. Umræddar uppflettingar LRH á kennitölu kvartanda hafi verið framkvæmdar í skýrt tilgreindum löggæslutilgangi, sbr. 8. tölul. 1. mgr. 2. gr. laga nr. 75/2019. Embættið hafi farið yfir hverja og eina uppflettingu og sannreynt það með þeim aðgerðaskráningum sem kerfið bjóði upp á. Aðgerðaskráin hafi verið gerð aðgengileg Persónuvernd í samræmi við 2. mgr. 25. gr. laganna. Að auki hafi embættið veitt skýringar á uppflettingum hvers og eins starfsmanns við meðferð málsins hjá stofnuninni. Samkvæmt þeim skýringum voru uppflettingar í LÖKE framkvæmdar í tengslum við rannsókn tilgreindra sakamála þar sem kvartandi var skráður með aukaaðild [...] og til að svara upplýsingabeiðni kvartanda.
19. Þá kemur fram að LRH hafi meðal annars miðlað upplýsingum um kvartanda til sakbornings, brotaþola og lögmanna þeirra við rannsókn tiltekins máls á grundvelli 37. og 47. gr. laga nr. 88/2008.
    
    

    Forsendur og niðurstaða

    Lagaumhverfi

20. Mál þetta lýtur að uppflettingum á kennitölu kvartanda í málaskrám lögreglu og meðferð lögreglunnar á höfuðborgarsvæðinu og ríkislögreglustjóra á upplýsingabeiðnum kvartanda þar að lútandi. Varðar það því vinnslu persónuupplýsinga af hálfu lögbærra yfirvalda sem fer fram í löggæslutilgangi og fellur undir gildissvið laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi og þar með undir valdsvið Persónuverndar, sbr. 1. mgr. 3. gr., 1., 2., 8. og 11. tölul. 2. gr. og 1. mgr. 30. gr. laganna.
21. Samkvæmt 4. tölul. 2. gr. laga nr. 75/2019 er ábyrgðaraðili vinnslu lögbært yfirvald sem ákvarðar, eitt eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga. Í samræmi við 3. mgr. 7. gr. laganna heldur RLS skrár lögreglu samkvæmt ákvæðum lögreglulaga nr. 90/1996. Halda ber málaskrá um kærur sem berast lögreglu um afbrot, dagbók lögreglu með upplýsingum um erindi til lögreglu og úrlausn þeirra, skrá yfir handtekna menn og aðrar skrár sem nauðsynlegar eru í þágu löggæsluhagsmuna til að afstýra yfirvofandi hættu eða sporna við afbrotum, sbr. i-lið 1. mgr. 5. gr. lögreglulaga, sbr. einnig 2. gr. reglugerðar nr. 577/2020 um skrár lögreglu og vinnslu persónuupplýsinga í löggæslutilgangi. Allar þessar skrár eru haldnar í upplýsingakerfi ríkislögreglustjóra, LÖKE. Líkt og fram kemur í athugasemdum við 7. gr. frumvarps laga nr. 75/2019 er með orðalaginu að halda skrár átt við að RLS beri ábyrgð á rekstri og öryggi skránna. Einstakir lögreglustjórar teljist hins vegar vera ábyrgðaraðilar samkvæmt lögunum að því er varðar þær persónuupplýsingar sem þeir skrá hverju sinni í kerfi lögreglu. Að mati Persónuverndar verður að leggja til grundvallar að hið sama eigi við um uppflettingar í LÖKE. Um það vísast til hliðsjónar t.d. til úrskurða stofnunarinnar frá 29. september 2020 í máli nr. 2020010601, frá 24. nóvember 2020 í máli nr. 2020010665 og frá 28. janúar 2021 í máli nr. 2020010646. Fær sú afstaða enn fremur stoð í 3. mgr. 16. gr. reglugerðar nr. 325/2021 um starfsemi, hlutverk og ábyrgð embættis ríkislögreglustjóra, þar sem segir að hvert lögregluembætti fyrir sig beri ábyrgð á öryggi við vinnslu persónuupplýsinga, að meðferð þeirra samrýmist reglum og á því að komið verði í veg fyrir óheimilan aðgang, breytingu eða miðlun upplýsinga.
22. Þær skrár sem lögbærum yfirvöldum ber að halda samkvæmt lögum skulu uppfylla skilyrði laga nr. 75/2019 um vinnslu og vernd persónuupplýsinga, sbr. 1. mgr. 7. gr. laganna. Líkt og vikið er að í athugasemdum við ákvæðið í frumvarpi því er varð að lögunum er þar meðal annars verið að vísa til málaskrár lögreglu á grundvelli lögreglulaga sem rekin er á grundvelli upplýsingakerfis ríkislögreglustjóra, LÖKE. Ákvæðið heimilar lögbærum yfirvöldum að skrá og varðveita persónuupplýsingar að því marki sem nauðsynlegt er í löggæslutilgangi. Með löggæslutilgangi er átt við þann tilgang að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi, sbr. 8. tölul. 2. gr. laganna. Þegar unnið er með persónuupplýsingar í löggæslutilgangi er byggt á valdheimildum sem lögbærum yfirvöldum eru fengnar með lögum. Eins og hér háttar til reynir einkum á lögreglulög nr. 90/1996. Í samræmi við 2. mgr. 1. gr. þeirra laga er hlutverk lögreglu m.a. að gæta almannaöryggis og halda uppi lögum og reglu, leitast við að tryggja réttaröryggi borgaranna og vernda eignarrétt, opinbera hagsmuni og hvers konar lögmæta starfsemi, stemma stigu við afbrotum og koma í veg fyrir athafnir sem raska öryggi borgaranna og ríkisins, vinna að uppljóstran brota, stöðva ólögmæta háttsemi og fylgja málum eftir í samræmi við það sem mælt er fyrir um í lögum um meðferð sakamála eða öðrum lögum, greiða götu borgaranna eftir því sem við á og aðstoða þá þegar hætta steðjar að, ásamt því að starfa í samvinnu við önnur stjórnvöld og stofnanir sem hafa með höndum verkefni sem tengjast starfssviði lögreglu.
23. Vinnsla persónuupplýsinga í löggæslutilgangi verður jafnframt að samrýmast öllum meginreglum 1. mgr. 4. gr. laga nr. 75/2019. Ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt meginreglur laganna og skal geta sýnt fram á það, sbr. 4. mgr. ákvæðisins. Í a-lið 1. mgr. er kveðið á um að persónuupplýsingar skuli unnar með lögmætum og sanngjörnum hætti og að vinnslan sé lögbæru yfirvaldi nauðsynleg vegna verkefna í löggæslutilgangi. Í samræmi við b-lið ákvæðisins skulu persónuupplýsingar fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi. Með skýrum tilgangi er átt við að hann sé nægilega vel skilgreindur og afmarkaður til að vinnslan sé gagnsæ og auðskilin og komið í veg fyrir svo víðtæka tilgreiningu tilgangs að undir hann megi fella næstum hvað sem er, líkt og fram kemur í athugasemdum við 4. gr. í frumvarpi því sem varð að lögunum. Við mat á því hvort tilgangurinn er málefnalegur þarf að skoða hvort markmiðið sé í samræmi við hlutverk og verkefni sem hið lögbæra yfirvald hefur með höndum. Þá skulu persónuupplýsingar vera nægilegar, viðeigandi og ekki langt umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. c-lið ákvæðisins. Í athugasemdum við ákvæðið í fyrrgreindu frumvarpi segir að með ákvæðinu sé slakað á kröfum til umfangs persónuupplýsinga í samanburði við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Er tekið fram að veita þurfi löggæsluyfirvöldum meira svigrúm að þessu leyti með vísan til eðlis þeirrar starfsemi sem löggæslulögin taka til. Áskilnaður um að upplýsingarnar séu nægjanlegar og viðeigandi gerir kröfu um að eðli og efni upplýsinganna þjóni yfirlýstum tilgangi.
24. Fjallað er um rétt hins skráða til aðgangs að upplýsingum sem unnar eru um hann í löggæslutilgangi í 13. gr. laga nr. 75/2019. Samkvæmt 2. mgr. ákvæðisins á skráður einstaklingur rétt til staðfestingar frá ábyrgðaraðila á því hvort unnar séu persónuupplýsingar um hann og, ef svo er, rétt til aðgangs að persónuupplýsingunum, auk annarra upplýsinga, m.a. um tilgang vinnslunnar og lagagrundvöll hennar, sbr. a-lið, og um viðtakendur upplýsinganna, sbr. c-lið. Hvað c-lið varðar er til þess að líta að samkvæmt skilgreiningu 12. tölul. 2. gr. laganna er viðtakandi einstaklingur eða lögaðili, opinbert yfirvald, sérstofnun eða annar aðili sem fær persónuupplýsingar afhentar, hvort sem hann er þriðji aðili eða ekki. Opinber yfirvöld, sem kunna að fá persónuupplýsingar á grundvelli lögbundins hlutverks þeirra skulu þó ekki teljast viðtakendur.
25. Samkvæmt 3. mgr. 13. gr. laga nr. 75/2019 má synja upplýsinga- og aðgangsbeiðni samkvæmt framangreindu, að hluta eða öllu leyti, að teknu tilliti til lögmætra hagsmuna og réttinda hins skráða vegna rannsóknar sakamáls, málsmeðferðar eða annarrar starfsemi hjá lögbæru yfirvaldi í löggæslutilgangi, í þágu þjóðar- eða almannaöryggis eða til að vernda hagsmuni annars en hins skráða, sbr. a-c-liði málsgreinarinnar. Í 4. mgr. sömu lagagreinar er svo mælt fyrir um að ábyrgðaraðila sé skylt að tilkynna hinum skráða, skriflega og án ótilhlýðilegrar tafar, um hvers kyns synjun eða takmörkun á aðgangi og ástæður fyrir þeirri ákvörðun, nema ef ljóst er að slík tilkynning samræmist ekki tilgangi synjunarinnar.
    
    

    Niðurstaða

26. Við meðferð málsins hjá Persónuvernd kom í ljós að mistök urðu við afgreiðslu erindis kvartanda hjá embætti ríkislögreglustjóra, líkt og rakið er í efnisgrein 7 hér að framan. Af skýringum RLS, sem staðfestar voru með skoðun aðgerðaskráninga á starfsstöð embættisins 14. október 2024, má ráða að persónuupplýsingum kvartanda hafi ekki verið flett upp af embættinu, heldur hafi umrædd uppfletting verið framkvæmd af LRH. Með hliðsjón af því verður ekki talið að RLS hafi unnið persónuupplýsingar kvartanda í samræmi við umkvörtunarefnið. Af þeim sökum verður jafnframt ekki talið að embættinu hafi verið skylt að veita viðeigandi upplýsingar samkvæmt 2. mgr. 13. gr. laga nr. 75/2019 um þá vinnsluaðgerð sem sú beiðni kvartanda, sem til umfjöllunar er í þessu máli, miðaðist við.
27. Af framangreindu virtu afmarkast úrlausn Persónuverndar við uppflettingar LRH á kennitölu kvartanda í LÖKE og afgreiðslu embættisins á upplýsingabeiðni kvartanda.
28. Við meðferð málsins hjá Persónuvernd veitti LRH skýringar á tilgangi umræddra uppflettinga, sbr. umfjöllun í efnisgrein 18. Samkvæmt þeim var kvartanda flett upp í tengslum við [mál sem hann tengdist]. Enn fremur var kvartanda flett upp til að unnt væri að svara upplýsingabeiðni hans. Að virtum framkomnum skýringum telur Persónuvernd að LRH hafi sýnt með fullnægjandi hætti fram á að nauðsynlegt hafi verið að fletta kvartanda upp í LÖKE umrædd sinn vegna verkefna lögreglunnar, sbr. a- og b-lið 1. mgr. og 4. mgr. 4. gr. laga nr. 75/2019 og 2. mgr. 1. gr. lögreglulaga nr. 90/1996. Í því sambandi er til þess að líta að Persónuvernd hefur ekki forsendur til að endurskoða mat lögbærs yfirvalds á því hvenær uppfletting í LÖKE er nauðsynleg í þágu löggæslu, eins og tilgangurinn er skilgreindur í lögum. Takmarkast eftirlit stofnunarinnar að þessu leyti við skoðun á því hvort vinnsla persónuupplýsinga, sem felst í uppflettingu í LÖKE, var í samræmi við skilyrði laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi, þ.m.t. hvort ábyrgðaraðili getur sýnt fram á að uppfletting hafi verið nauðsynleg í þágu skýrt tilgreinds tilgangs vegna verkefna í löggæslutilgangi, sbr. a- og b-liði 1. mgr. 4. gr. laga nr. 75/2019 og 2. mgr. 1. gr. lögreglulaga nr. 90/1996.
29. Með vísan til umfjöllunar í efnisgrein 23, um nauðsynlegt svigrúm löggæsluyfirvalda, og með hliðsjón af framkomnum skýringum, samkvæmt ofangreindu, telur Persónuvernd að LRH hafi einnig sýnt fram á að uppflettingarnar hafi verið nægilegar, viðeigandi og ekki langt umfram það sem nauðsynlegt var miðað við tilgang vinnslunnar, sbr. c-lið 1. mgr. og 4. mgr. 4. gr. laga nr. 75/2019.
30. Hvað varðar afgreiðslu LRH á upplýsingabeiðni kvartanda er til þess að líta að þær skýringar sem lögreglan veitti Persónuvernd voru talsvert ítarlegri en þær skýringar sem veittar voru kvartanda. Verður ekki talið að LRH hafi tilgreint tilganginn nægilega afmarkandi gagnvart kvartanda, með því að vísa eingöngu til löggæslutilgangs, enda mætti fella þar undir næstum hvaða vinnslu sem er af hálfu embættisins. Að mati Persónuverndar samrýmist svar embættisins að þessu leyti ekki ákvæði a-liðar 2. mgr. 13. gr. laga nr. 75/2019.
31. Persónuvernd hefur áður fjallað um hvort hinir skráðu eigi rétt á upplýsingum um fjölda uppflettinga í LÖKE, sbr. úrskurð stofnunarinnar í máli nr. 2020010601. Líkt og vikið er að í kafla 4.1.2. í tilvísuðum úrskurði verður ekki ráðið af 2. mgr. 13. gr. laga nr. 75/2019 að réttur hins skráða til upplýsinga taki til upplýsinga um fjölda uppflettinga á persónuupplýsingum hans í LÖKE. Er samkvæmt því ekki fært að líta svo á að afgreiðsla LRH á beiðni kvartanda hafi farið í bága við ákvæðið að þessu leyti.
32. Í einu tilviki voru upplýsingar um kvartanda í gögnum sem voru afhentar sakborningi og brotaþola og lögmanna þeirra við rannsókn tiltekins máls. Teljast þessir aðilar viðtakendur samkvæmt skilgreiningu 12. tölul. 2. gr. laga nr. 75/2019 og heyra þar með undir upplýsingaskyldu LRH samkvæmt c-lið 2. mgr. 13. gr. laganna. Upplýsingar þar að lútandi voru ekki veittar í svari LRH við upplýsingabeiðni kvartanda, né var kvartandi upplýstur takmörkun á upplýsingarétti, sbr. 4. mgr. ákvæðisins. Er það því niðurstaða Persónuverndar að LRH hafi ekki veitt kvartanda viðeigandi upplýsingar hvað viðkemur miðlun upplýsinga hans í þessu tilviki.

Á k v ö r ð u n a r o r ð:

Sýnt þykir fram á að ríkislögreglustjóri hafi ekki flett kvartanda, [A], upp í LÖKE í því tilviki sem kvartað er yfir. Af þeirri ástæðu var embættinu ekki skylt að veita honum viðeigandi upplýsingar samkvæmt 2. mgr. 13. gr. laga nr. 75/2019.

Uppflettingar lögreglunnar á höfuðborgarsvæðinu á kennitölu kvartanda í LÖKE, sem kvörtunin tekur til, voru í samræmi við a-c-liði 1. mgr. 4. gr. laga nr. 75/2019.

Lögreglan á höfuðborgarsvæðinu veitti kvartanda ekki viðeigandi upplýsingar um tilgang uppflettinga á kennitölu hans í LÖKE og um viðtakendur persónuupplýsinga hans eða skýringar á synjun þar að lútandi, með svarbréfi sínu 18. september 2023, til samræmis við ákvæði 13. gr. laga nr. 75/2019.

Persónuvernd, 21. nóvember 2024

Edda Þuríður Hauksdóttir                                  Harpa Halldórsdóttir