Úrskurður um Netbirtingu á persónupplýsingum

Mál nr. 2016/1392

27.10.2017

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 28. september 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1392:

 

 

I.
Málsmeðferð

1.
Tildrög máls

Þann 28. september 2016 barst Persónuvernd kvörtun frá [X] hrl. f.h. umbjóðenda sinna, [B] og [C], yfir því að [A] hafi birt tiltekin gögn á vefsíðu sinni, [...].

Í kvörtun er sett fram svo hljóðandi krafa:

 

„Krafa umbj. minna er að Persónuvernd taki málið til úrlausnar og úrskurði að birting [A] á öllum viðkvæmum persónuupplýsingum um umbj. mína á heimasíðu [A] eða annars staðar á hans vegum, fyrr og síðar, falli ekki undir 8. eða 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og sé því óheimil og að [A] beri, að viðlögðum dagsektum samkvæmt 1. mgr. 41. gr. laga nr. 77/2000 að fjarlægja upplýsingarnar svo fljótt sem verða má. [...]“

 

Nánar tiltekið er kvartað yfir birtingu eftirfarandi gagna:

 

 

1. Grein [A]: „[...]“.
2. Spurningalistar („IQ spurningalistar“) fyrir aðstandendur um vitræna skerðingu, útfylltir í desember 2009 og janúar 2011.
3. Grein [A]: „[...]“.
4. Skýrsla [C] fyrir dómi.
5. Skýrsla [D] fyrir dómi.
6. Grein [A]: „[...]“.
7. Skiptayfirlýsing [E], dags. 11. október 2011.
8. Erfðaskrár [E], dags. 26. maí 2006, 6. ágúst 2010, 16. júní 2011 og 20. október 2011.

 

 

Að auki er vísað til þeirra grundvallarréttinda sem tryggð skulu að lögum, meðal annars samkvæmt 71. gr. stjórnarskrár. Þá er háttsemi [A] sögð brjóta gegn lögum um heilbrigðisstarfsmenn nr. 34/2012, lögum um réttindi sjúklinga nr. 74/1997 og eftir atvikum lögum um meðferð sjúkraskráa nr. 55/2009.

Loks er tekið fram í kvörtun að [A] hafi ekki verið aðili að því dómsmáli, þar sem umrædd gögn voru lögð fram, og að ekki sé kunnugt um hvernig gögnin bárust í hendur hans.

Persónuvernd hefur áður leyst úr kvörtunum sömu málsaðila vegna sömu atvika, annars vegar með úrskurði, dags. 14. febrúar 2015 (mál nr. 2015/863) og hins vegar með úrskurði, dags. 24. febrúar 2016 (mál nr. 2015/1326.) Voru spurningalistar þeir, sem þar var fjallað um, á meðal gagna í dómsmáli sem eiginkona [A], [F], átti aðild að, en hún er systir fyrrnefnds kvartanda, [C]. Höfðaði [F] umrætt dómsmál á hendur [C] og [E] til ógildingar á þremur erfðaskrám sem [E] hafði útbúið. Spurningalistarnir voru birtir á fyrrgreindri vefsíðu í tengslum við gagnrýni [A] á niðurstöðuna í því dómsmáli. Með úrskurði Persónuverndar, dags. 24. febrúar 2016 (mál nr. 2015/1326), var komist að þeirri niðurstöðu að vefsíðubirting [A] á spurningalistum með upplýsingum um heilsuhagi [E], dags. 5. júní og 2. október 2009, hefði verið óheimil. Var lagt fyrir hann að senda Persónuvernd staðfestingu á því innan nánar tilgreindra tímamarka að spurningalistarnir hefðu verið fjarlægðir af Netinu. Þá var með úrskurði, dags. 14. desember 2015 (mál nr. 2015/863), komist að því að afhending Landspítala á spurningalistunum til lögmanns [F] hefði verið óheimil og farið í bága við kröfur um upplýsingaöryggi.

Í kvörtun þeirri, sem hér er til umfjöllunar, er tildrögum málsins lýst, og segir þar meðal annars að svo virðist sem [A] hafi ekki fjarlægt spurningalistana þrátt fyrir úrskurð Persónuverndar. Þá er vísað til þess að með bréfi, dags. 6. apríl 2016, leituðu kvartendur til Persónuverndar af því tilefni. Persónuvernd sendi þá [A] bréf, dags. 18. apríl 2016, þar sem honum var veitt færi á að tjá sig. Í svarbréfi, dags 26. apríl 2016, kveðst [A] engu að síður hafa fjarlægt umrædda spurningalista. Með bréfi, dags. sama dag, benti Persónuvernd á að spurningalistarnir væru enn aðgengilegir, en því mótmælti [A] með bréfi, dags. 3. maí 2016. Kvartendum var gefinn kostur á að tjá sig um fram komin svör [A] með tölvupósti þann 20. júní 2016. Þá sendi Persónuvernd [A] bréf, dags. 28. júlí 2016, þar sem lagt var fyrir hann að fjarlægja spurningalistana af vefsíðunni eigi síðar en 8. ágúst 2016. Með bréfi, dags. 8. ágúst 2016, veitti [A]  þau svör að hann hefði skipt út þeim spurningalistum sem úrskurður Persónuverndar náði til, en að hann hefði jafnframt sett aðra sambærilega spurningalista inn í þeirra stað. Lýtur kvörtun þessa máls meðal annars að þeim spurningalistum.

  

2.
Bréfaskipti

Með bréfi, dags. 29. september 2016, var [A] veitt færi á að tjá sig um framangreinda kvörtun. Svarbréf [A] barst Persónuvernd þann 18. janúar 2017. Er þar meðal annars vísað til þess að heimilt sé að fjalla um umrætt mál og vitna í gögn, sem dómstjóri sendi út án skilyrða um þagnargildi. Þá er fullyrt að [A] hafi sjálfur fyllt út spurningalistana, út frá framburði vitnis fyrir héraðsdómi, sem vinnugögn. Ennfremur segir að umfjöllunin sé sannleikanum samkvæm, málefnaleg og studd sönnunargögnum. Þá áskilur [A] sér fullan rétt til að halda umfjöllun um þessi mál áfram.

 

Persónuvernd barst einnig tölvupóstur frá [A] þann 3. apríl 2017, þar sem meðal annars segir:

 

„Ég tel að seint eða aldrei verði bætt úr dugleysi stofnana hérlendis við að taka á blekkingum og sviksemi, eða bætt úr því hvernig sumir kunnugir misnota sér það dugleysi, nema leyfilegt sé að fjalla með rökstuddum hætti og opinberlega um staðreyndir slíkra mála.“

 

Með bréfi, dags. 28. febrúar 2017, var [X] hrl. veitt færi á að tjá sig um framangreind svör [A]. Fékk Persónuvernd á því staðfestingu f.h. kvartenda, í símtali þann 23. júní 2017, að þeir hefðu engar frekar athugasemdir.

 

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000 – Ábyrgðaraðili

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá.

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar.

Af framangreindu er ljóst að sú aðgerð að birta framangreindar upplýsingar á Netinu fellur undir gildissvið laga nr. 77/2000.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst [A] vera ábyrgðaraðili að þeirri vinnslu sem kvartað er yfir.

 

2.
Niðurstaða

Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Sé um að ræða viðkvæmar persónuupplýsingar þarf að auki að vera fullnægt einhverju viðbótarskilyrðanna fyrir vinnslu slíkra upplýsinga sem mælt er fyrir um í 9. gr. sömu laga. Upplýsingar um heilsuhagi eru viðkvæmar persónuupplýsingar, sbr. c-lið 8. tölul. 2. gr. laganna

Í fyrsta lagi ber að líta til þess hvort heimild hafi verið til birtingar á þeim greinum [A], sem hér koma til skoðunar, á heimasíðu hans. Samkvæmt 5. gr. laga nr. 77/2000 má víkja frá ákvæðum laganna í þágu fjölmiðlunar, lista eða bókmennta að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar. Þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gilda aðeins nánar tiltekin ákvæði laganna. Meta þarf hvort þau rök sem 5. gr. laganna byggist á eigi hér við. Í því felst nánar tiltekið að með efnislegri úrlausn varðandi umrædda birtingu, þar á meðal úrlausn um það hvort umræddum tveimur greinum skuli eytt af vefnum, yrði að taka afstöðu til þess hvor rétturinn vegur þyngra, tjáningarfrelsið, skv. 73. gr. stjórnarskrárinnar, eða friðhelgi einkalífs, skv. 71. gr. hennar. Þess má geta að í athugasemdum við 73. gr. stjórnarskrárinnar, sbr. athugasemdir við 11. gr. frumvarps þess sem síðar varð að stjórnskipunarlögum nr. 97/1995, kemur fram að ganga megi út frá því að réttur manna til að taka við tjáningu frá öðrum og miðla skoðunum þeirra áfram felist í 2. mgr. ákvæðisins. Verkefnum Persónuverndar er lýst í 37. gr. laga nr. 77/2000 en þar segir meðal annars að Persónuvernd skuli úrskurða í ágreiningsmálum sem upp kunni að koma um vinnslu persónuupplýsinga á Íslandi. Að mati Persónuverndar verður ekki litið svo á að í þessu felist að stofnunin hafi vald til að taka bindandi ákvörðun um mörk réttinda samkvæmt framangreindum stjórnarskrárákvæðum, heldur verður slíkt talið heyra undir dómstóla. Eins og hér háttar fæli efnisleg úrlausn Persónuverndar í sér niðurstöðu um mörk þessara stjórnarskrárvernduðu réttinda. Í ljósi framangreinds er þeim hluta kvörtunarinnar, er snýr að birtingu greina [A], því vísað frá.

Í öðru lagi kemur til skoðunar hvort heimild hafi verið til birtingar þeirra spurningalista sem um ræðir í máli þessu, auk endurrita úr skýrslutökum fyrir dómi. Er í spurningalistunum að finna svör við spurningum þar sem óskað er mats á vitrænni getu [E]. Slíkar upplýsingar teljast til upplýsinga um heilsuhagi og þar með til viðkvæmra persónuupplýsinga. Þá er upplýsingar um heilsuhagi einnig að finna í áðurnefndum endurritum af skýrslutökum. Hér er því lagt til grundvallar að um ræði vinnslu persónuupplýsinga sem þurfi að styðjast við heimild í bæði 8. og 9. gr. laga nr. 77/2000. Þá verður að líta til þeirrar grunnreglu í 1. tölul. 1. mgr. 7. gr. sömu laga að við vinnslu persónuupplýsinga skal þess gætt að hún sé sanngjörn og samrýmist vönduðum vinnsluháttum. Ekki verður hér talið að birting [A] á umræddum gögnum geti átt undir nokkurt ákvæða 8. og 9. gr. laga nr. 77/2000. Samrýmist birting þeirra því ekki ákvæðum laganna.

Í þriðja lagi kemur til skoðunar hvort heimild hafi verið til birtingar á skiptayfirlýsingu, dags. 11. október 2011, og erfðaskrám, dags. 26. maí 2006, 6. ágúst 2010, 16. júní 2011 og 20. október 2011. Í þessum gögnum koma fram persónugreindar eða persónugreinanlegar upplýsingar. Þarf því birting gagnanna einnig að styðjast við heimild í 8. gr  laga nr. 77/2000. Þá verður sömuleiðis að líta til áðurnefndrar grunnreglu í 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 um að þess skuli gætt að vinnsla sé sanngjörn og samrýmist vönduðum vinnsluháttum. Ekki verður hér talið að birting [A]  á umræddum gögnum geti átt undir nokkurt ákvæða 8. gr. laga nr. 77/2000. Samrýmist birting þeirra því ekki ákvæðum laganna. 

Með vísan til 1. mgr. 40. gr. laga nr. 77/2000 er hér með lagt fyrir [A] að senda Persónuvernd staðfestingu á því eigi síðar en 27. október nk. að þau gögn sem birt voru án heimildar samkvæmt framangreindu, þ.e. spurningalistar, endurrit af skýrslutökum fyrir dómi, skiptayfirlýsing og erfðaskrár, hafi verið fjarlægð af vefsíðu hans, að viðlögðum dagsektum, skv. 41. gr. sömu laga nr. 77/2000, frá þeim tíma. Er þá litið til þess að þegar liggur fyrir skýr niðurstaða Persónuverndar um að birting [A] á spurningalistum með svörum um heilsuhagi hafi verið óheimil, sbr. úrskurð, dags. 24. febrúar 2016, í máli nr. 2015/1326.

Meðferð þessa máls hefur dregist vegna mikilla anna hjá stofnuninni.

 

Ú r s k u r ð a r o r ð:

Netbirting [A] á spurningalistum með upplýsingum um heilsuhagi [E], dags. í desember 2009 og janúar 2011, skýrslum [C] og [D] fyrir dómi, skiptayfirlýsingu [E], dags. 11. október 2011, og erfðaskrám [E], dags. 26. maí 2006, 6. ágúst 2010, 16. júní 2011 og 20. október 2011, samrýmist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Skal [A] senda Persónuvernd staðfestingu á því eigi síðar en 27. október nk. að spurningalistarnir hafi verið fjarlægðir af Netinu, að viðlögðum dagsektum, skv. 41. gr. laga nr. 77/2000, frá þeim tíma.

 

Þeim þætti máls þessa, sem snýr að birtingu greinanna „[...]“, „[...]“ og „[...]“ á vefsíðunni [...], er vísað frá.