Úrskurður um ábendingarhnapp TR

Mál nr. 2014/1068

6.3.2015

Úrskurður

 

Hinn 25. febrúar 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2014/1068:

 

I.

Málavextir og bréfaskipti

1.

Hinn 25. júlí 2014 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd „kvartandi“) yfir hnappi á heimasíðu Tryggingastofnunar ríkisins (TR) fyrir ábendingar um meint bótasvik. Í kvörtuninni segir meðal annars:

Einnig segir að með því að senda ábendingar með framangreindum hætti sé viðkomandi allt í senn að villa á sér heimildir, misnota fjarskiptakerfi, spilla vinnslu tölvukerfis og misfara með persónuupplýsingar. Sé engin stoð fyrir tilkynningunni bætist við rógburður og persónuníð. Allt séu þetta mögulega refsiverð afbrot samkvæmt íslenskum lögum. Berist slíkar tilkynningar sé það von kvartanda að þeim sé annaðhvort hent eða þær hundsaðar eða lögreglu  gert aðvart ef um alvarleg tilfelli er að ræða. Best væri ef umræddur ábendingahnappur væri fjarlægður af vef TR.

 

2.

Með bréfi, dags. 1. ágúst 2014, var TR veitt færi á að tjá sig um framangreinda kvörtun. Svarað var með bréfi, dags. 14. s.m. Þar segir:

Með fyrrgreindu bréfi TR til Persónuverndar, dags. 16. desember 2010, var svarað bréfi stofnunarinnar, dags. 7. desember s.á., en það var sent sem liður í frumkvæðisathugun á hnöppum á vefsíðum stjórnvalda til að senda ábendingar um meint lögbrot, þ.e. þegar um ræddi ábendingahnappa þar sem ekki væri óskað eftir nafni sendanda ábendingar eða beinlínis tekið fram að ekki þyrfti að gefa upp nafn. Eftir nánari athugun var fallið frá athugun á ábendingahnappi TR þar sem á honum var óskað eftir nafni sendanda og ekki gefið til kynna að því mætti sleppa.

Í áðurnefndu bréfi TR, dags. 16. desember 2010, segir meðal annars:

„Meðferð upplýsinga af þessu tagi er mjög vandmeðfarin og strangar reglur eru viðhafðar við vinnslu þeirra hjá TR. Verklagsreglur eru til um ytra eftirlit og meðhöndlun þessara gagna. Þegar tilkynning berst þá eru það eingöngu starfsmenn Eftirlits TR sem hafa aðgang að upplýsingum. Starfsmaður rannsakar hvort tilefni geti verið til frekari skoðunar. Ef starfsmaður sér ekki neitt athugavert er tilkynningu strax eytt. Telji starfsmaður líkur benda til þess að ábending sé rétt þá vinnur hann áfram að rannsókn málsins. Niðurstöður rannsókna leiða oftar en ekki til þess að ólögmætar greiðslur eru stöðvaðar. Undanfari breytingar á greiðslu er ávallt með formlegum hætti. Viðkomandi viðskiptamanni er sent bréf, þar sem tilkynnt er um ástæðu greiðslubreytingar. Alvarleg brot eru kærð til lögreglu.“

 

3.

Með bréfi, dags. 13. ágúst 2014, var kvartanda veitt færi á að tjá sig um framangreind svör TR. [B], lögfræðingur Öryrkjabandalags Íslands, svaraði með bréfi, dags. 24. nóvember s.á. Þar er vísað til grunnreglu 71. gr. stjórnarskrárinnar um friðhelgi einkalífs. Þá segir að á grundvelli hennar þurfi sérstaka og skýra lagaheimild á grundvelli brýnnar nauðsynjar til að ráðast inn á friðhelgi einstaklingsins. Auk þess segir::

„Einnig skal hér haft í huga að stjórnvöld eru bundin af lögum og reglum. Allar athafnir stjórnvalda verða að hafa sér lagastoð og mega ekki ganga í berhögg við lög. Í þessu máli sem hér um ræðir verður ekki séð á hvaða lagagrunni hnappurinn er byggður. Ákvæði um eftirlitsskyldu verða að uppfylla áðurnefnd ákvæði stjórnarskrárinnar. Ekki verður séð að almenn ákvæði Tryggingastofnunar heimili það inngrip inn í einkalíf fólks sem hér um ræðir.

Stjórnvöld eru bundin af stjórnsýslulögum nr. 37/1993, óskráðum reglum stjórnsýsluréttar og lögum um persónuvernd og meðferð persónuupplýsinga nr. 77/2000. Þessar réttarreglur fela í sér að allar athafnir stjórnvalda verða að hafa skýran tilgang, verða að stefna að ákveðnu takmarki  og verða að ná einhverju markmiði. Hvergi hefur komið fram með skýrum hætti hver tilgangur hnappsins sé. Einnig skal hér haldið til haga að hvergi hafa tölur komið fram sem sýna fram á að hann nái einhverjum markmiðum. Hvorki hafa komið fram upplýsingar um árangur af hnappinum né hvort eftirlitið í framhaldinu svari kostnaði á þann hátt að það réttlæti framkvæmdina.“

Einnig segir að þær upplýsingar, sem TR fái í gegnum ábendingahnappinn, lúti að búsetu einstaklinga og tekjum, en eftirlit með slíkum þáttum heyri ekki undir TR og hafi því ekki sérstakt gildi fyrir stofnunina. Nánar segir:

„Upplýsingar um tekjur og búsetu ber TR að fá frá öðrum aðilum. Upplýsingar um tekjur koma frá skattyfirvöldum og upplýsingar um búsetu einstaklinga liggja fyrir hjá Þjóðskrá. Í þessu samhengi má benda á að í úrskurð úrskurðarnefndar almannatrygginga í máli nr. 156/2007, kemur fram að stjórnvöldin eru bundin af skráningu lögheimilis í þjóðskrá. Sama ætti þá væntanlega að gilda um tekjur. Af þessu öllu má ráða að ábendingar um efnisatriði sem eiga undir aðrar stofnanir en TR hafa ekkert sérstakt gildi fyrir TR þar sem stofnunin er bundin af skráningum annarra stofnana. Þær upplýsingar sem falla undir búsetu og tekjur geta því ekki haft gildi fyrir TR. Meðferð um meint misferli þegar kemur að þessum tveimur þáttum hefur enga lagastoð, því eftirlitshlutverki með þessum þáttum er komið, samkvæmt lögum, undir aðrar stofnanir.“

Að auki er vísað til þess sem segir í fyrrgreindu bréfi TR, dags. 16. desember 2010, um eyðingu ábendinga sem berast fyrir tilstillit umrædds hnapps. Segir að hvergi komi fram af hálfu TR að gætt sé að rétti þess sem ábending lýtur að, þ. á m. að viðkomandi einstaklingar fái viðvörun samkvæmt 21. gr. laga nr. 77/2000 um þá upplýsingaöflun sem í móttöku ábendingar felst.

 

4.

Með bréfi, dags. 2. febrúar 2015, var TR veitt færi á að tjá sig um framangreint bréf Öryrkjabandalags Íslands. Svarað var með bréfi, dags. 12. s.m. Þar segir meðal annars að Tryggingastofnun hafi ekki einungis ríkar heimildir til eftirlits heldur hafi hún einnig skyldu til að sinna eftirliti samkvæmt lögum nr. 100/2007 um almannatryggingar. Í því sambandi er vísað til heimilda samkvæmt 45. gr. þeirra laga til samkeyrslna og upplýsingaöflunar frá þriðju aðilum. Auk þess er vísað til ákvæðis 39. gr. um upplýsingaskyldu bótaþega, ákvæðis 42. gr. um upplýsingaskyldu heilbrigðisstarfsmanna og ákvæðis 43. gr. þar sem taldar eru upp þær stofnanir sem skylt er að veita TR upplýsingar.

Einnig segir í bréfi TR:

„Upplýsingar sem berast stofnuninni í gegnum ábendingahnappinn eru því einungis ein leið af mörgum sem stofnunin hefur til að afla upplýsinga sem nauðsynlegar eru til að sinna lögbundnu eftirlitshluverki sínu.

Athygli er vakin á því að til mótvægis við ítarlegar eftirlitskröfur er lögð á stofnunina rík leiðbeiningar- og upplýsingaskylda svo og þagnarskylda sbr. 37., 38. og 46. gr. áðurgreindra laga.

Vegna athugasemda um upplýsingar er varða búsetu frá öðrum aðilum skal tekið fram að skv. 3. mgr. 12. gr. almannatryggingalaga er það Tryggingastofnun sem ákvarðar hvort einstaklingur telst tryggður hér á landi skv. lögunum. Réttindi skv. almannatryggingum eru byggð á búsetu. Mjög mikilvægt er að því að þessar upplýsingar séu rétt skráðar og er það eitt hlutverkum stofnunarinnar að halda úti eftirliti til að tryggja að svo sé.“

5.

Hinn 16. febrúar 2015 kannaði starfsmaður Persónuvernd virkni umrædds ábendingahnapps með því að senda textann „Athugun vegna kvörtunarmáls“ í gegnum hann. Hvorki nafn né netfang var látið fylgja með. Eftir að textinn hafði verið sendur birtist eftirfarandi texti á vefsíðu TR: „Takk fyrir ábendingu þína. Við munum fara yfir hana fljótlega.“

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að í móttöku ábendinga fyrir tilstilli umrædds ábendingahnapps felst meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Tryggingastofnun ríkisins vera ábyrgðaraðili að umræddri vinnslu.

Ekki liggur fyrir að ábendingahnappurinn hafi verið nýttur til að senda upplýsingar um kvartanda. Hins vegar liggur fyrir að kvartandi tilheyrir þeim hópi sem fær greiðslur frá TR, en í því ljósi telur Persónuvernd kvartanda hafa lögmæta, verulega og einstaklingsbundna hagsmuni af úrlausn um lögmæti hnappsins, auk þess sem kvartandi er á meðal skráðra einstaklinga í upplýsingakerfi TR. Eru því, eins og hér háttar til, skilyrði til að kveða upp úrskurð um ágreining milli hins skráða og ábyrgðaraðila að vinnslu persónuupplýsinga.

 

2.

Eins og vikið er að í I. kafla hvarf Persónuvernd árið 2010 frá frumkvæðisathugun á ábendingahnappi TR á þeim grundvelli að við nánari athugun reyndist óskað eftir nafni sendanda ábendingar og ekki gefið til kynna að því mætti sleppa. Í þessu fólst hins vegar ekki að umfjöllun um ábendingahnappinn yrði ekki tekin upp að nýju, s.s. í kjölfar kvörtunar, eða að komist hefði verið að bindandi niðurstöður um lagaleg álitaefni sem honum tengjast.

Vinnsla persónuupplýsinga í tengslum við hnappinn verður, eins og öll vinnsla persónuupplýsinga, að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Sé um að ræða viðkvæmar persónuupplýsingar verður að auki að vera fullnægt einhverri af viðbótarkröfum 9. gr. sömu laga til vinnslu slíkra upplýsinga. Upplýsingar um grun um refsiverða háttsemi eru viðkvæmar persónuupplýsingar, sbr. b-lið 8. tölul. 2. gr. laganna, en gera verður ráð fyrir að slíkar upplýsingar geti borist TR fyrir tilstilli umrædds ábendingahnapps.

Þau ákvæði 8. gr. laga nr. 77/2000, sem einkum geta átt við um umrædda vinnslu, eru 3., 5. og 6. tölul. 1. mgr., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds. Þá getur vinnsla viðkvæmra persónuupplýsinga stuðst við 7. tölul. 1. mgr. 9. gr., þess efnis að vinnsla slíkra upplýsinga sé heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.

Auk framangreinds verður ávallt að vera fullnægt öllum kröfum 7. gr. laga nr. 77/2000, en þar er meðal annars mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Einnig verður að vera gætt réttinda hins skráða, sbr. meðal annars 18. gr. laga nr. 77/2000, þess efnis að hinn skráði eigi rétt á vitneskju um vinnslu persónupplýsinga um sig. Samkvæmt 3. tölul. 1. mgr. 18. gr. er vitneskja um hvaðan upplýsingar koma á meðal þess sem hinn skráði á rétt á vitneskju um, enda eigi ekki við einhver af undantekningunum frá rétti til vitneskju um vinnslu, sbr. 19. gr. laga nr. 77/2000.

Ábendingar, sem sendar eru um ábendingahnapp TR, berast stofnuninni þó svo að sendandi ábendingar gefi hvorki upp nafn sitt né netfang. Slíkt fyrirkomulag við móttöku ábendinga kemur í veg fyrir að hinn skráði geti notið réttinda samkvæmt fyrrgreindu ákvæði 18. gr. laga nr. 77/2000. Þegar af þeirri ástæðu fer sú vinnsla, sem í móttöku ábendinganna felst, í bága við lögin og er því ekki þörf á taka afstöðu til nánari atriða, s.s. heimilda samkvæmt ákvæðum 8. og 9. gr. laga nr. 77/2000. Með vísan til 1. mgr. 40. gr. sömu laga er því lagt fyrir TR að láta af móttöku nafnlausra ábendingu frá og með móttöku úrskurðar þessa. Þá er lagt fyrir TR að senda Persónuvernd lýsingu á því eigi síðar en 1. apríl nk. hvernig tryggt verði að upplýsingaöflun, sem fram fer með öflun ábendinga sem auðkenndar eru með nafni, lúti að atriðum sem fellur undir verksvið stofnunarinnar að hafa eftirlit með.

 

 Ú r s k u r ð a r o r ð:

Sú vinnsla persónuupplýsinga, sem fram fer með söfnun nafnlausra ábendinga um meint lögbrot fyrir tilstilli ábendingahnapps á vefsíðu Tryggingastofnunar ríkisins, samrýmist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga Frá og með birtingu úrskurðar þessa ber að láta af móttöku slíkra ábendinga.

Tryggingastofnun ríkisins ber að senda Persónuvernd eigi síðar en 1. apríl nk. lýsingu á því hvernig tryggt verði að upplýsingaöflun, sem fram fer með öflun ábendinga sem auðkenndar eru með nafni, lúti að atriðum sem fellur undir verksvið stofnunarinnar að hafa eftirlit með.