Úrskurður um aðgang að dómum á vef Fons Juris ehf.

Mál nr. 2018/30

4.2.2019

Úrskurður

 

Á fundi stjórnar Persónuverndar 31. janúar 2019 var kveðinn upp svohljóðandi úrskurður í máli nr. 2018/30:

 

I.

Málsmeðferð

1.

Tildrög máls

Hinn 8. maí 2018 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir birtingu persónuupplýsinga um hann í dómum á vef Fons Juris ehf. Í kvörtuninni kemur fram að í dómunum séu meðal annars sjúkraskrárupplýsingar, fjárhagsupplýsingar og annað.

Kvartandi kveðst ekki vera með áskrift að vef Fons Juris ehf. en vísar til þess að persónuupplýsingar um hann, sem hann hafi haft mikið fyrir að fá afmáðar úr dómum á vefsíðum dómstólanna, séu birtar á vef félagsins.

 

2.

Bréfaskipti

Með bréfi, dagsettu 15. júní 2018, var Fons Juris ehf. boðið að koma á framfæri skýringum vegna kvörtunarinnar. Var félagið einnig innt eftir svörum um hvort kvartandi hefði óskað eftir upplýsingum um hvaða persónuupplýsingar um hann unnið hefði verið með hjá félaginu og hvort honum hefði verið veitt vitneskja þar að lútandi í samræmi við 18. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Í svarbréfi Fons Juris ehf., dagsettu 21. júní 2018, segir að félagið reki heimildasafn og endurbirti meðal annars dóma héraðsdómstólanna, Landsréttar og Hæstaréttar Íslands, eins og þeir birtist á vefsíðum dómstólanna. Heimildasafnið sé á læstu vefsvæði og sé ætlað fyrir þá sem þurfi að framkvæma rannsóknir á sviði lögvísinda. Notendur heimildasafnsins geti framkvæmt textaleit, þó með þeim takmörkunum að allar kennitölur einstaklinga hafi verið afmáðar úr safninu í samræmi við leiðbeiningar Persónuverndar frá árinu 2012. Í svarbréfinu er einnig vísað til úrskurðar Persónuverndar í máli nr. 2017/711. Með úrskurðinum var Hæstarétti Íslands gert að afmá persónugreinanlegar upplýsingar um kvartanda úr útgáfu dóms réttarins í máli nr. [X], sem birt var á heimasíðu réttarins, og senda Persónuvernd staðfestingu þess efnis eigi síðar en 30. október 2017. Starfsmenn Fons Juris ehf. hafi fyrst vitað af úrskurðinum þegar blaðamaður Morgunblaðsins hringdi í starfsmann félagsins 27. október 2017. Úrskurðurinn hafi enda ekki beinst að félaginu og kvartandi ekki haft samband við félagið. Þá hafi kvartandi ekki óskað eftir upplýsingum frá félaginu á grundvelli 18. gr. þágildandi laga nr. 77/2000 eða krafist þess að persónuupplýsingum um hann yrði eytt. Starfsmenn félagsins hafi hins vegar brugðist við eftir fyrrgreint símtal og eytt umræddum dómi úr heimildasafni félagsins samdægurs, það er, 27. október 2017. Þær persónuupplýsingar sem þar hafi birst séu því ekki lengur skráðar hjá félaginu með neinum hætti. Einu persónuupplýsingar um kvartanda sem nú séu skráðar hjá Fons Juris ehf. séu upplýsingar sem komi fram í dómi Hæstaréttar Íslands í máli nr. [Y] Þær persónuupplýsingar séu ekki viðkvæmar að mati félagsins.

Með bréfi, dagsettu 27. júní 2018, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Fons Juris ehf. Kvartandi svaraði með bréfi, dagsettu 30. september 2018.

Í svarbréfi kvartanda kemur fram að hann telji Fons Juris ehf. ekki hafa heimild til þess að starfrækja umrætt gagnasafn. Vísar kvartandi til umfjöllunar á vefsíðu félagsins um umfang gagnasafnsins. Meðal annars komi fram að yfir 100.000 samtengingar í kerfi félagsins tryggi aðgengi að upplýsingum í safninu. Á vefsíðu félagsins komi ekki fram hvaða opinberu aðilum félagið dreifi upplýsingum frá og uppfylli félagið því ekki grunnkröfu persónuverndarlaga um gagnsæi. Þá sé engin lagaheimild fyrir rekstri gagnasafnsins sem kvartandi telur að brjóti í bága við lög, grundvallarmannréttindi og alþjóðlegar skuldbindingar Íslands.

Í svarbréfinu segir einnig að almennir borgarar hafi engar forsendur til að vita um dreifingu Fons Juris ehf. á persónuupplýsingum þeirra. Að mati kvartanda samrýmist vinnsla félagsins á persónuupplýsingum ekki meginreglum persónuverndarlaga um sanngirni, gagnsæi og meðalhóf. Þá fullnægi vinnslan ekki grunnkröfu laganna um að ekki sé unnt að bera kennsl á hinn skráða lengur en þörf krefji miðað við tilgang vinnslu. Engin þörf sé á því að hafa persónugreinanlegar upplýsingar um kvartanda í gagnasafni félagsins.

Kvartandi vísar í svarbréfinu til álits Persónuverndar í máli nr. 2011/990 sem varðar birtingu kennitalna á vef Fons Juris ehf. Með hliðsjón af álitinu, sem kveðið hafi á um að félaginu hafi ekki verið nauðsynlegt að birta kennitölur einstaklinga í þágu almannahagsmuna, telur kvartandi að félaginu geti ekki verið heimilt að birta viðkvæmar persónuupplýsingar eins og heilsufarsupplýsingar. Endurbirting félagsins á dómum sem fjallað hafi verið um í niðurstöðu Persónuverndar árið 2017 sé því ólögmæt. Að mati kvartanda er heldur ekki lagaheimild fyrir hendi til birtingar persónugreinanlegra upplýsinga um hann í dómi Hæstaréttar Íslands í máli nr. [Y]. Kvartandi nefnir einnig dóma sem fjallað hafi verið um í úrskurði Persónuverndar í máli nr. 2016/1783. Kveður kvartandi félagið endurbirta viðkvæmar persónuupplýsingar af heimasíðum dómstólanna án sjálfstæðs mats á lögmæti þess.

Þá telur kvartandi að svar Fons Juris ehf. um hvaða persónuupplýsingar um hann félagið hafi undir höndum sé ekki afdráttarlaust.

Í svarbréfi kvartanda segir enn fremur að birting dómsúrlausna með viðkvæmum persónuupplýsingum geti hamlað því að þeir sem telji brotið á sér leiti réttar síns fyrir dómstólum. Fyrir vikið sé aðgangur að dómstólum takmarkaður, sem sé varinn af stjórnarskrá lýðveldisins Íslands og mannréttindasáttmála Evrópu. Ríkir almannahagsmunir séu í húfi. Borgarar eigi að geta óhikað og óhræddir leitað réttar síns til dómstóla án þess að óttast opinbera smánun af hálfu dómstóla og af einkafyrirtæki sem rekið sé í hagnaðarskyni.

Kvartandi telur einnig að samtengingarmöguleikar á vef Fons Juris ehf. feli í sér mikla og sérstaka áhættu fyrir réttindi borgaranna, sem þurfi að treysta dómstólum og opinberum stofnunum fyrir persónuupplýsingum um sig sem oft séu viðkvæmar. Öryggisráðstöfunum fyrirtækisins sé ábótavant og ekki verði séð að félagið hafi starfsleyfi. Telur kvartandi það skyldu Persónuverndar að taka gagnasafn Fons Juris ehf. til heildarrannsóknar.

Loks rekur kvartandi í svarbréfi sínu að hann hafi efasemdir um að Fons Juris ehf. hafi persónuverndarfulltrúa og að á vef félagsins sé enn dómur í barnaverndarmáli sem hafi verið tekinn af vef Landsréttar, sem og fleiri dómar sem varði viðkvæmar og meiðandi persónuupplýsingar um einstaklinga, aðra en hann sjálfan.

 

II.

Forsendur og niðurstaða

1.

Lagaskil og afmörkun máls

Kvörtun málsins barst Persónuvernd 8. maí 2018, í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og varðar birtingu persónuupplýsinga um kvartanda í dómum sem veittur er aðgangur að á vef Fons Juris ehf.

Þágildandi lög, nr. 77/2000, eru nú fallin úr gildi. Í stað þeirra hafa verið sett lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi 15. júlí síðastliðinn. Þau lögfestu jafnframt reglugerð (ESB) 2016/679 um persónuvernd, eins og hún var aðlöguð og tekin upp í EES-samninginn. Ekki voru gerðar neinar efnislegar breytingar með lögum nr. 90/2018 á þeim reglum sem gilda um það efni sem hér er til úrlausnar.

Í svarbréfi Fons Juris ehf., dagsettu 21. júní 2018, kemur fram að félagið hafi eytt dómi Hæstaréttar Íslands í máli nr. [X] af vef félagsins 27. október 2017. Við athugun Persónuverndar hefur komið í ljós að dómurinn er nú birtur á vef félagsins en þó þannig að nafn kvartanda hefur verið afmáð, líkt og á vef Hæstaréttar Íslands. Þær upplýsingar sem nú birtast í dóminum eru því ópersónugreinanlegar. Hins vegar kemur til skoðunar hvort aðgangur að dóminum fram að 27. október 2017 hafi samrýmst þágildandi persónuverndarlögum nr. 77/2000.

Í svarinu kemur einnig fram að á þeim tíma þegar bréfið var skrifað hafi aðeins einn dómur verið á vef Fons Juris ehf. sem varðað hafi kvartanda. Það sé dómur Hæstaréttar Íslands í máli nr. [Y] og er hann enn á vef félagsins. Um veitingu aðgangs að þeim dómi fer því eftir núgildandi lögum nr. 90/2018.

Í svarbréfi kvartanda, dagsettu 30. september 2018, víkur hann að dómum sem fjallað var um í úrskurði Persónuverndar í máli nr. 2016/1783. Þetta eru dómar Héraðsdóms Reykjaness nr. [...] og Héraðsdóms Reykjavíkur nr. [...]. Þessir dómar eru hins vegar ekki birtir á vef Fons Juris ehf. og verður því ekki fjallað um birtingu þeirra í máli þessu. Að öðru leyti verður ekki séð að aðrir dómar eða úrlausnir sem varða kvartanda en fyrrnefndur dómur Hæstaréttar í máli nr. [Y] séu nú birt á vef Fons Juris ehf.

Samkvæmt 2. mgr. 37. gr. laga nr. 77/2000 skal Persónuvernd úrskurða í ágreiningsmálum á grundvelli þeirra laga, ýmist að eigin frumkvæði eða samkvæmt erindi þess sem telur að ekki hafi verið unnið með persónuupplýsingar um hann í samræmi við lögin eða reglur settar samkvæmt þeim eða einstökum fyrirmælum. Samkvæmt 2. mgr. 39. gr. laga nr. 90/2018 á skráður einstaklingur rétt á að leggja fram kvörtun hjá Persónuvernd ef hann telur að vinnsla persónuupplýsinga um hann brjóti í bága við lögin eða reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679. Í samræmi við þessi ákvæði verður hér einungis fjallað um vinnslu persónuupplýsinga um kvartanda hjá Fons Juris ehf. Verður því ekki vikið að almennum heimildum Fons Juris ehf. til þess að endurbirta dóma og úrskurði á vef félagsins, að birtingu úrlausna sem varða ekki kvartanda málsins eða almennum heimildum dómstóla til að birta dóma á Netinu. Þá verður ekki fjallað um hvort Fons Juris ehf. beri að tilnefna persónuverndarfulltrúa eða um samtengingarmöguleika og öryggisráðstafanir við veitingu aðgangs að dómum á vef félagsins. Kvartandi hefur í fyrrgreindum bréfum hvatt Persónuvernd til heildarrannsóknar á gagnasafni félagsins og er litið svo á að athugasemdir kvartanda sem lúta að framangreindum atriðum séu ábendingar um hvað skuli tekið til athugunar við slíka rannsókn, fremur en að óskað sé úrlausnar um þau nú.

 

2.

Gildissvið persónuverndarlaga

Gildissvið eldri persónuverndarlaga, nr. 77/2000, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, náði til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga, sem voru eða áttu að verða hluti af skrá. Persónuupplýsingar voru skilgreindar sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölulið 2. gr. laganna, og vinnsla sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur sem vinnslan var handvirk eða rafræn, sbr. 2. tölulið sömu greinar. Í athugasemdum við það ákvæði í frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni, eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laganna og 1. tölulið 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráningu, flokkun, kerfisbindingu, varðveislu, aðlögun eða breytingu, heimt, skoðun, notkun, miðlun með framsendingu, dreifingu eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtengingu eða samkeyrslu, aðgangstakmörkun, eyðingu eða eyðileggingu, sbr. 4. tölulið 3. gr. laganna og 2. tölulið 4. gr. reglugerðarinnar.

Mál þetta lýtur að birtingu persónuupplýsinga um kvartanda í dómum Hæstaréttar Íslands sem veittur var aðgangur að á vef Fons Juris ehf. til 27. október 2017, í máli nr. [X], og sem enn er veittur aðgangur að, í máli [Y]. Um er að ræða meðal annars heilsufarsupplýsingar um kvartanda sem teljast vera viðkvæmar persónuupplýsingar samkvæmt skilgreiningu b-liðar 3. töluliðar 3. gr. laga nr. 90/2018. Í veitingu þess aðgangs felst að upplýsingarnar eru gerðar tiltækar. Að því virtu og með hliðsjón af öllu framangreindu varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 

3.

Ábyrgðaraðili

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölulið 4. gr. reglugerðarinnar, sbr. og sambærilegt ákvæði í 4. tölulið 2. gr. eldri laga nr. 77/2000.

Kveðið er á um útgáfu dóma Hæstaréttar Íslands í 20. gr. laga nr. 50/2016. Samkvæmt 1. mgr. skal fara um þingbækur, dómabækur, atkvæðabækur og málaskrár samkvæmt reglum sem Hæstiréttur setur að höfðu samráði við dómstólasýsluna. Í 2. mgr. segir að dómar Hæstaréttar skuli gefnir út ásamt þeim úrlausnum Landsréttar og héraðsdómstóla sem við eigi hverju sinni. Við útgáfu skuli meðal annars nema brott úr þeim upplýsingar um einka-, fjárhags- eða viðskiptahagsmuni einstaklinga. Um tilhögun útgáfunnar fari að öðru leyti eftir ákvörðun Hæstaréttar að höfðu samráði við dómstólasýsluna. Með hliðsjón af framangreindum ákvæðum telst Hæstiréttur Íslands vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem felst í birtingu þeirra í útgefnum dómum réttarins, þar á meðal ákvörðun um það hvaða upplýsingar í dómum teljist þess eðlis að þær verði ekki birtar.

Á vef Fons Juris ehf. er m.a. veittur aðgangur að dómum íslenskra dómstóla, eins og þeir birtast á vefsíðum dómstólanna. Með hliðsjón af því sem að framan er rakið um ábyrgð Hæstaréttar Íslands, hvað varðar birtingu persónuupplýsinga í útgefnum dómum réttarins, verður Fons Juris ehf. ekki talið ábyrgðaraðili að þeirri vinnslu persónuupplýsinga. Er þá meðal annars litið til þess að samkvæmt 9. gr. höfundalaga nr. 73/1972 er hverjum sem er heimilt að gefa út dóma, eins og þeir koma frá hendi hins opinbera, sbr. athugasemdir við 9. gr. í frumvarpi að þeim lögum. Þrátt fyrir að hér sé ekki um að ræða útgáfu dóma heldur rafrænan aðgang að þeim á vef Fons Juris ehf. verður almennt að telja að þeir sem ýmist gefa út dóma eða veita aðgang að þeim, eins og þeir birtast á vef Hæstaréttar Íslands eða í útgefnum ritum réttarins, geti ekki verið ábyrgðaraðilar hvað varðar ákvörðun um hvaða persónuupplýsingar eigi að afmá úr dómum eins og þeir birtast almenningi í dómasöfnum heldur hvílir sú ábyrgð á Hæstarétti eins og fyrr greinir.

Fons Juris ehf. telst því aðeins ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem felst í að gera dóma Hæstaréttar Íslands, sem og annarra dómstóla, sem þegar hafa verið gefnir út, tiltæka með veitingu aðgangs að þeim á vef félagsins, til dæmis með notkun ýmissa leitarskilyrða í leitarvél á vef félagsins.

 

4.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að byggja á einhverri þeirra heimilda sem greinir í 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. 1. mgr. 8. gr. laga nr. 77/2000. Í því máli sem hér er til umfjöllunar kemur helst til skoðunar 5. töluliður 9. gr. laga nr. 90/2018, sbr. áður 5. tölulið 1. mgr. 8. gr. laga nr. 77/2000. Samkvæmt því ákvæði er heimilt að vinna persónuupplýsingar ef það er nauðsynlegt vegna verks sem unnið er í þágu almannahagsmuna.

Þegar viðkvæmar persónuupplýsingar birtast í þeim dómum sem aðgangur er veittur að þarf vinnslan einnig að fullnægja einhverju þeirra skilyrða sem kveðið er á um í 1. mgr. 11. gr. laga nr. 90/2018, sbr. 1. mgr. 9. gr. laga nr. 77/2000. Getur þá einkum átt við að vinnslan sé nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur samkvæmt 6. tölulið 1. mgr. 11. gr. laga nr. 90/2018, sbr. 7. tölulið 1. mgr. 9. gr. laga nr. 77/2000. Þeir dómar sem upp hafa verið kveðnir í íslenskum rétti hafa ýmist fordæmisgildi eða eru réttarsögulegar heimildir. Aukið aðgengi að útgefnum dómum hefur að mati Persónuverndar slíkt hagnýtt gildi fyrir þá sem vinna að því að stofna, hafa uppi eða verja réttarkröfur að sú vinnsla persónuupplýsinga sem í því felst geti fallið undir það skilyrði sem að framan greinir.

Auk þess að styðjast við fullnægjandi heimildir samkvæmt persónuverndarlögum þarf öll vinnsla persónuupplýsinga jafnframt að samrýmast öllum meginreglum laganna, þar á meðal að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 1. og 3. töluliði 1. mgr. 8. gr. laga nr. 90/2018, sbr. og 1. og 3. töluliði 1. mgr. 7. gr. laga nr. 77/2000.

Við mat á því hvort farið hafi verið að ákvæðum persónuverndarlaga getur loks þurft að líta til ákvæða annarra laga, eftir því sem við á hverju sinni. Eins og hér háttar til reynir meðal annars á 9. gr. höfundalaga nr. 73/1972, sem að framan greinir og kveður á um að hverjum sem er sé heimilt að gefa út dóma, eins og þeir koma frá hendi hins opinbera. Þrátt fyrir að veiting aðgangs að dómum feli ekki í sér útgáfu dóma samkvæmt ákvæðinu verður sú ályktun dregin af því að svigrúm annarra aðila, en Hæstaréttar Íslands, til að veita aðgengi að dómum, eins og rétturinn hefur birt þá, sé nokkuð rúmt.

Sem fyrr segir lýtur kvörtun málsins að efnisinntaki dóma sem aðgengilegir eru á vef Fons Juris ehf. Þegar hefur verið komist að niðurstöðu um að Fons Juris ehf. beri ekki ábyrgð á þeirri vinnslu persónuupplýsinga sem felst í birtingu þeirra í dómum Hæstaréttar Íslands. Kemur þá til skoðunar hver ábyrgð Fons Juris ehf. er á grundvelli persónuverndarlaga varðandi aðgang að útgefnum eða birtum dómum á vef félagsins.

Að mati Persónuverndar mega þeir sem gefa út eða veita aðgang að dómum íslenskra dómstóla, eins og þeir hafa verið birtir af dómstólum, almennt gera ráð fyrir því að birting dómanna, af hálfu dómstólanna, sé í samræmi við lög. Hvað varðar birtingu persónuupplýsinga í dómum verður að telja að Fons Juris ehf. sé því heimilt að ganga út frá því að hún samræmist persónuverndarlögum þar til Persónuvernd eða dómstólar hafa komist að niðurstöðu um annað.

Um hvernig Fons Juris ehf. skuli bregðast við þegar fyrir liggur niðurstaða Persónuverndar eða dómstóla um að birting persónuupplýsinga í dómum sé ekki í samræmi við persónuverndarlög má til hliðsjónar vísa í 66. lið formálsorða reglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679. Þar segir að til að efla megi réttinn til að gleymast í netumhverfi ætti að víkka réttinn til eyðingar þannig að ábyrgðaraðila, sem gert hefur persónuupplýsingar opinberar, sé skylt að upplýsa þá ábyrgðaraðila sem vinni slíkar upplýsingar um að afmá beri alla tengla á þessar persónuupplýsingar eða afrit af þeim eða endurgerðir þeirra. Þrátt fyrir að framangreindur liður formálsorðanna  fjalli um réttinn til að gleymast og reglugerðin hafi ekki verið búin að taka gildi þegar atvik þessa máls urðu má styðjast við þau sjónarmið sem þar koma fram þegar horft er til þess hvernig rétt getur verið að bregðast við þegar komist hefur verið að niðurstöðu um að birting dóma, eða annarra opinberra skjala, feli í sér ólögmæta birtingu persónuupplýsinga. Myndi slík framkvæmd einnig samrýmast fyrrgreindri meginreglu 1. mgr. 8. gr. laga nr. 90/2018 um lögmæta, sanngjarna og gagnsæja vinnsluhætti.

Þegar hefur verið fjallað um birtingu persónuupplýsinga um kvartanda í dómi Hæstaréttar Íslands í máli nr. [X] í úrskurði Persónuverndar í máli nr. 2017/711 í málaskrá stofnunarinnar. Niðurstaða Persónuverndar í því máli var sú að um viðkvæmar persónuupplýsingar væri að ræða þar sem þær vörðuðu heilsuhagi kvartanda og að vinnsla Hæstaréttar Íslands á þessum persónuupplýsingum við birtingu dómsins samrýmdist ekki eldri lögum nr. 121/1989, um skráningu og meðferð persónuupplýsinga, eða lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Beindi Persónuvernd þeim tilmælum til Hæstaréttar Íslands að senda stofnuninni, eigi síðar en 30. október 2017, staðfestingu á því að persónugreinanlegar upplýsingar um kvartanda hefðu verið afmáðar úr þeirri útgáfu dómsins sem birt var á vef réttarins. Þar sem Fons Juris ehf. tók umræddan dóm af vef sínum 27. október 2017, þ.e. fyrir fyrrgreindan frest sem veittur var Hæstarétti Íslands, verður að telja að félagið hafi fullnægt skyldum sínum sem ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem felst í að veita aðgang að dómum réttarins. Þá samrýmist það einnig því sem að framan er rakið að félagið hafi á ný veitt aðgang að dóminum, eins og hann birtist á vef Hæstaréttar, þar sem persónuupplýsingar um kvartanda hafa verið gerðar ópersónugreinanlegar.

Hvað varðar dóm Hæstaréttar Íslands í máli nr. [Y] telst Hæstiréttur vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem felst í birtingu dómsins. Í dóminum eru sem fyrr segir upplýsingar um sjúkrasögu kvartanda sem teljast vera viðkvæmar persónuupplýsingar samkvæmt skilgreiningu b-liðar 3. töluliðar 3. gr. laga nr. 90/2018. Hvorki Persónuvernd né dómstólar hafa hingað til tekið afstöðu til þess hvort sú vinnsla réttarins, í þessum tiltekna dómi, samrýmist persónuverndarlögum. Að því virtu og með vísan til þess sem að framan greinir verður að telja að Fons Juris ehf. hafi því verið heimilt að veita aðgang að dóminum, eins og hann er birtur á vef Hæstaréttar Íslands. Hins vegar mun Persónuvernd hefja athugun á málinu gagnvart Hæstarétti Íslands í kjölfarið á uppkvaðningu þessa úrskurðar.

Í samræmi við allt sem að framan hefur verið rakið er það niðurstaða Persónuverndar að veiting Fons Juris ehf. á aðgangi að dómum Hæstaréttar Íslands í málum nr. [X] og [Y] á vef félagsins samrýmist persónuverndarlögum nr. 77/2000 og 90/2018.

 

Ú r s k u r ð a r o r ð:

 

Veiting Fons Juris ehf. á aðgangi að dómum Hæstaréttar Íslands í málum nr. [X] og [Y] á vef félagsins samrýmist persónuverndarlögum.