Úrskurður um aðgang að persónuupplýsingum hjá embætti ríkislögmanns

Mál nr. 2018/546

12.9.2018

Úrskurður

 Á fundi stjórnar Persónuverndar 28. ágúst 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2018/546:

 

I.
Málsmeðferð

 

1.
Tildrög máls

Hinn 20. mars 2018 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir því að upplýsingabeiðni hans til embættis ríkislögmanns, á grundvelli 18. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, hefði ekki verið svarað. Í kvörtuninni og fylgiskjölum með henni kemur fram að kvartandi hafi sent embætti ríkislögmanns beiðni 1. febrúar 2018 um að vera greint frá þeim persónuupplýsingum um hann sem embættið hafi haft undir höndum og ekki hafi verið greint frá í fyrra svari embættisins frá 19. júní 2017. Þá kemur fram að embætti ríkislögmanns hafi enn ekki svarað beiðni kvartanda. Kvartandi sendi Persónuvernd viðbótargögn í málið 4. og 12. apríl síðastliðinn.

 

2.
Bréfaskipti

Með bréfi, dagsettu 7. júní 2018, var embætti ríkislögmanns boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarbréf embættis ríkislögmanns, dagsett 27. júní 2018, barst Persónuvernd þann sama dag.

Hinn 19. júní síðastliðinn, áður en framangreint svarbréf barst, sendi kvartandi embætti ríkislögmanns og Persónuvernd tölvupóst þess efnis að honum hefði borist svar embættis ríkislögmanns við upplýsingabeiðni hans, dagsettri 18. júní 2018. Segir kvartandi að með svarbréfinu hafi embætti ríkislögmanns ekki afhent nein gögn sem hann hafi ekki þegar haft undir höndum. Vísaði kvartandi til þess að í 18. gr. laga nr. 77/2000 væri átt við allar upplýsingar, það er, skriflegar, munnlegar og á öðru formi. Þá óskaði kvartandi eftir því að Persónuvernd gengi á eftir því að embættið svaraði fyrirspurn hans frá 2. febrúar síðastliðnum í samræmi við fyrirspurnina og lög nr. 77/2000.

Í svarbréfi embættis ríkislögmanns til Persónuverndar kemur meðal annars fram að kvartandi hafi áður sent embættinu fyrirspurn sem svarað hafi verið með bréfi, dagsettu 19. júní 2017, og honum send gögn. Embættið hafi svarað umræddri beiðni kvartanda, frá 1. febrúar 2018, með bréfi, dagsettu 18. júní 2018, sem kvartandi hafi móttekið 19. sama mánaðar. Því bréfi hafi fylgt tvö yfirlit úr málaskrá embættisins, sem skráð hafi verið í málaskrá eftir að embættið sendi kvartanda fyrrgreint bréf, dagsett 19. júní 2017, að undanskildu bréfi Persónuverndar til embættisins, dagsettu 7. júní 2018, og fylgigögnum með því.

Í svarbréfinu segir enn fremur að vegna mikilla anna og persónulegra aðstæðna þess lögmanns sem farið hafi með málið fyrir embættið hafi ekki tekist að svara erindi kvartanda fyrr. Embættið hafi beðist velvirðingar á því í framangreindu bréfi til kvartanda, dagsettu 18. júní 2018.
Loks er í svarbréfinu vísað til þess sem fram kemur í framangreindum tölvupósti kvartanda. Að mati embættisins verði ekki ráðið af tölvupóstinum hvaða upplýsingar eða gögn kvartandi telji að enn eigi eftir að veita.

Með bréfi, dagsettu 28. júní 2018, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar embættis ríkislögmanns. Með vísan til svara embættisins var sérstaklega óskað eftir afstöðu kvartanda til þess hvort hann teldi enn vera uppi ágreining í málinu og ef svo væri, í hverju hann fælist. Í tölvupósti kvartanda, sem barst Persónuvernd 12. júlí síðastliðinn, kemur fram að kvartandi telji svar embættis ríkislögmanns ekki taka af öll tvímæli um að hann hafi fengið allar upplýsingar sem hann eigi rétt á samkvæmt persónuverndarlögum. Hann líti því svo á að hann hafi ekki fengið fullnægjandi svar við beiðni sinni frá 2. febrúar síðastliðnum. Óskaði kvartandi eftir afstöðu Persónuverndar til þess hvort svar embættis ríkislögmanns væri fullnægjandi, það er, hvort allar upplýsingar sem embættinu hefði borið að veita honum væru hluti af umræddu svari.

 

II.
Forsendur og niðurstaða

 

1.
Afmörkun máls, lagaskil og málsmeðferð

Mál þetta varðar kvörtun sem barst Persónuvernd 20. mars 2018 og lýtur að beiðni kvartanda til embættis ríkislögmanns um upplýsingar um þær persónuupplýsingar um hann sem embættið hafði þá undir höndum, með vísan til 18. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Upphaflegt umkvörtunarefni laut að því að embætti ríkislögmanns hefði ekki svarað beiðni kvartanda. Við meðferð þessa máls svaraði embætti ríkislögmanns beiðni kvartanda, með bréfi dagsettu 18. júní 2018. Athugasemdir kvartanda við svari embættis ríkislögmanns bárust Persónuvernd í tölvupósti 19. júní og 12. júlí síðastliðinn. Í fyrri tölvupóstinum kemur fram að með svarbréfinu hafi embætti ríkislögmanns ekki afhent nein gögn sem kvartandi hefði ekki þegar haft undir höndum. Vísaði kvartandi til þess að í 18. gr. laga nr. 77/2000 væri átt við allar upplýsingar, það er, skriflegar, munnlegar og á öðru formi. Í síðari tölvupóstinum kemur fram að kvartandi telji enn ekki víst að honum hafi borist fullnægjandi svör um allar þær persónuupplýsingar um hann sem embættið hafi undir höndum. Af athugasemdum kvartanda má ráða að umkvörtunarefnið lúti nú einnig að því hvort embætti ríkislögmanns hafi upplýst hann um allar þær persónuupplýsingar um hann sem unnið sé með hjá embættinu, samkvæmt 1. tölulið 18. gr. laga nr. 77/2000.

Þágildandi lög, nr. 77/2000, eru nú fallin úr gildi. Í stað þeirra hafa verið sett lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Um það hvort embætti ríkislögmanns hafi farið að lögum í framangreindum samskiptum aðila fer eftir þágildandi lögum nr. 77/2000. Um rétt kvartanda til upplýsinga um vinnslu persónuupplýsinga um hann, á þeim tíma þegar þessi úrskurður er kveðinn upp, gilda núgildandi lög nr. 90/2018 og hin almenna persónuverndarreglugerð Evrópuþingsins og ráðsins (ESB) 2016/679, sem innleidd er í íslenskan rétt með hinum nýju lögum.

Ákvæði núgildandi og þágildandi löggjafar um það álitaefni sem hér er til umfjöllunar eru að miklu leyti sambærileg. Þó hefur upplýsingaréttur hins skráða breyst úr því að vera réttur til vitneskju í að vera réttur til aðgangs. Samkvæmt 1. tölulið 1. mgr. 18. gr. eldri laga nr. 77/2000 átti hinn skráði rétt á að fá frá ábyrgðaraðila vitneskju um hvaða upplýsingar um hann var eða hafði verið unnið með. Kveðið er á um rétt hins skráða til aðgangs að persónuupplýsingum um sig og rétt til upplýsinga um vinnslu í 17. gr. núgildandi laga nr. 90/2018, sbr. einnig ákvæði 15. gr. reglugerðar (ESB) 2016/679. Samkvæmt 1. mgr. 15. gr. reglugerðarinnar á hinn skráði rétt á að fá staðfestingu á því frá ábyrgðaraðila hvort unnið sé með persónuupplýsingar um hann og, ef svo er, rétt til aðgangs að persónuupplýsingunum. Að því virtu að embætti ríkislögmanns veitti kvartanda ekki aðeins vitneskju um skráðar persónuupplýsingar heldur aðgang að þeim, með því að afhenda afrit af öllum þeim skjölum sem kvartanda varða, er það mat Persónuverndar að þær röksemdir og þau sjónarmið, sem færð hafa verið fram af hálfu málsaðila, eigi við um ákvæði núgildandi laga eins og ákvæði eldri laga. Að mati Persónuverndar er því ekki þörf á að veita aðilum frekari kost á athugasemdum á grundvelli 13. gr. stjórnsýslulaga nr. 37/1993. Með hliðsjón af þeim gögnum sem liggja fyrir telst málið því tækt til úrskurðar.

Um valdheimildir Persónuverndar við uppkvaðningu úrskurðarins fer einnig eftir núgildandi lögum nr. 90/2018.

 

2.
Gildissvið laga nr. 77/2000 og 90/2018

Gildissvið eldri persónuverndarlaga, nr. 77/2000, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, náði til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga, sem voru eða áttu að verða hluti af skrá. Persónuupplýsingar voru skilgreindar sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölulið 2. gr. laganna, og vinnsla sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur sem vinnslan var handvirk eða rafræn, sbr. 2. tölulið sömu greinar.

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni, eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laganna og 1. tölulið 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráningu, flokkun, kerfisbindingu, varðveislu, aðlögun eða breytingu, heimt, skoðun, notkun, miðlun með framsendingu, dreifingu eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtengingu eða samkeyrslu, aðgangstakmörkun, eyðingu eða eyðileggingu, sbr. 4. tölulið 3. gr. laganna og 2. tölulið 4. gr. reglugerðarinnar.

Mál þetta lýtur að beiðni kvartanda um upplýsingar um vinnslu persónuupplýsinga um hann hjá embætti ríkislögmanns. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölulið 4. gr. reglugerðarinnar, sbr. og sambærileg ákvæði í 4. tölulið 2. gr. eldri laga nr. 77/2000. Eins og hér háttar til telst embætti ríkislögmanns vera ábyrgðaraðili að umræddri vinnslu.

3.
Upplýsingaréttur hins skráða samkvæmt 18. gr. laga nr. 77/2000

Í máli þessu er ekki deilt um heimild ábyrgðaraðila til vinnslu persónuupplýsinga. Í samræmi við umkvörtunarefnið afmarkast úrlausnarefni málsins við meðferð beiðni kvartanda um upplýsingar hjá embætti ríkislögmanns og hvort svar embættisins við beiðni kvartanda hafi verið fullnægjandi, lögum samkvæmt.

Samkvæmt 18. gr. eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, átti hinn skráði rétt á að fá frá ábyrgðaraðila vitneskju um (1) hvaða upplýsingar um hann var eða hafði verið unnið með, (2) tilgang vinnslunnar, (3) hver fékk, hafði fengið eða myndi fá upplýsingar um hann, (4) hvaðan upplýsingarnar komu og (5) hvaða öryggisráðstafanir voru viðhafðar við vinnslu, enda skerti það ekki öryggi vinnslunnar. Í beiðni kvartanda til embættis ríkislögmanns, dagsettri 1. febrúar 2018, er óskað eftir upplýsingum og afritum af gögnum sem varða kvartanda sem ekki voru hluti af gögnum sem fylgdu svari embættisins frá 19. júní 2017, með vísan til framangreindra ákvæða.

Með bréfi embættis ríkislögmanns til kvartanda, dagsettu 18. júní 2018, fylgdu tvö yfirlit yfir innkomin skjöl sem skráð höfðu verið í málaskrá embættisins eftir að bréfið frá 19. júní 2017 var sent kvartanda. Einnig fylgdu öll skjöl sem þar eru skráð, að undanskildu bréfi Persónuverndar til embættisins, dagsettu 7. júní 2018, og fylgigögnum með því bréfi. Í svari embættisins er reifað að þær persónuupplýsingar um kvartanda, sem unnið sé eða hafi verið með hjá embættinu, varði mál sem rekin hafi verið milli kvartanda og íslenska ríkisins fyrir Hæstarétti Íslands, Landsrétti og Héraðsdómi Reykjavíkur. Þá kemur fram að í því máli sem þingfest hafi verið í Héraðsdómi Reykjavíkur [tiltekinn dag] hafi ekki verið leitað eftir sérstakri umsögn hjá dómsmálaráðuneytinu en að af hálfu embættisins hafi verið rætt stuttlega um dómsmálið í símtali við lögfræðing ráðuneytisins. Samkvæmt lögum nr. 51/1985, um ríkislögmann, fari ríkislögmaður með vörn þeirra einkamála fyrir dómstólum sem höfðuð séu á hendur ríkinu. Eini tilgangur vinnslunnar hafi verið að taka til varna fyrir íslenska ríkið. Um öryggisráðstafanir segir að gögnin verði tryggilega geymd og á endanum send til varðveislu hjá Þjóðskjalasafni.

Að mati Persónuverndar hefur kvartanda, með framangreindu bréfi embættis ríkislögmanns, verið greint frá því með fullnægjandi hætti hvaða persónuupplýsingar um hann unnið er eða hefur verið unnið með hjá embættinu, samkvæmt 1. tölulið 18. gr. laga nr. 77/2000, sbr. og 2. mgr. 17. gr. laga nr. 90/2018 og 1. mgr. 15. gr. reglugerðar (ESB) 2016/679.

Þrátt fyrir að kvartandi telji svar embættis ríkislögmanns ekki taka af öll tvímæli um að hann hafi fengið allar upplýsingar sem hann eigi rétt á er ekkert í gögnum þessa máls sem gefur annað til kynna en að embættið hafi uppfyllt skyldu sína samkvæmt framangreindu ákvæði. Telur Persónuvernd þar af leiðandi ekki ástæðu til þess að beita úrræðum, sem henni eru búin samkvæmt 41. gr. núgildandi laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Samkvæmt 1. mgr. 14. gr. laga nr. 77/2000 skyldi embætti ríkislögmanns afgreiða erindi samkvæmt 18. gr. laganna svo fljótt sem verða mátti og eigi síðar en innan mánaðar frá móttöku þess. Í 2. mgr. 14. gr. var svo mælt fyrir um að yllu sérstakar ástæður því að ómögulegt væri fyrir ábyrgðaraðila að afgreiða erindi innan eins mánaðar væri honum heimilt að gera það síðar. Þegar svo hagaði til skyldi ábyrgðaraðili innan mánaðarfrestsins gefa hlutaðeigandi skriflegar skýringar á ástæðum tafarinnar og hvenær svars væri að vænta. Í máli þessu liggur fyrir að embætti ríkislögmanns svaraði upplýsingabeiðni kvartanda ekki innan tilskilins mánaðarfrests og lét hjá líða að upplýsa um ástæður tafar og hvenær svars væri að vænta, líkt og lög kváðu á um. Þar sem embætti ríkislögmanns hefur nú svarað kvartanda þykir þó ekki ástæða til þess að beina tilmælum til embættisins þar að lútandi.

 

Ú r s k u r ð a r o r ð:

Embætti ríkislögmanns hefur veitt [A] fullnægjandi upplýsingar um hvaða upplýsingar um hann er eða hefur verið unnið með, samkvæmt 1. tölulið 1. mgr. 18. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og 2. mgr. 17. gr. laga nr. 90/2018 og 1. mgr. 15. gr. reglugerðar (ESB) 2016/679.

Embætti ríkislögmanns bar að gefa kvartanda, innan mánaðar frá því að embættinu barst beiðni hans um upplýsingar, dagsett 1. febrúar 2018, skriflegar skýringar á ástæðum tafar og hvenær svars væri að vænta.