Réttur einstaklings til upplýsinga um uppflettingar í málaskrárkerfi ríkislögreglustjóra (LÖKE)

Mál nr. 2020010601

8.10.2020

Úrskurður

Á fundi stjórnar Persónuverndar hinn 29. september 2020 var kveðinn upp svohljóðandi úrskurður í máli nr. 2020010601 (áður 2019030664):

I.

Málsmeðferð

1.

Tildrög máls og málsmeðferð

Hinn 15. mars 2019 barst Persónuvernd kvörtun [B] lögmanns fyrir hönd [A] (hér eftir nefndur kvartandi) yfir afgreiðslu ríkislögreglustjóra á beiðni kvartanda um upplýsingar um það hve oft honum hefði verið flett upp í málaskrárkerfi lögreglu, LÖKE, síðan því var komið á fót, hverjir hefðu staðið að uppflettingunum, hvenær uppflettingar hefðu verið gerðar og í hvaða tilgangi. Lýtur kvörtunin að því að ríkislögreglustjóri hafi synjað beiðni kvartanda, afgreitt hana of seint og ekki sinnt leiðbeiningarskyldu um að kvartanda væri heimilt að bera ákvörðunina undir Persónuvernd. Með kvörtuninni fylgdi meðal annars afrit af beiðni kvartanda til ríkislögreglustjóra, dags. 23. apríl 2018, og afrit af ákvörðun ríkislögreglustjóra, dags. 23. október s.á.

Með bréfi, dags. 2. maí 2019, var ríkislögreglustjóra tilkynnt um kvörtunina og boðið að tjá sig um hana. Svarað var af hálfu ríkislögreglustjóra með bréfum, dags. 22. maí og 23. júlí s.á. Með bréfunum fylgdi yfirlit yfir fjölda uppflettinga á kennitölu kvartanda í málaskrárkerfi lögreglu og ákæruvalds, í nafnaskrá og sektarhluta, dags. 10. maí s.á., staðfesting á skráningu erindis kvartanda hjá ríkislögreglustjóra, auk afrits af tölvupósti lögmanns kvartanda til ríkislögreglustjóra, dags. 24. september 2018. Með bréfi, dags. 13. ágúst 2019, voru svarbréf ríkislögreglustjóra kynnt kvartanda og honum boðið að koma á framfæri athugasemdum. Svarað var af hálfu lögmanns kvartanda með bréfi, dags. 19. september s.á. Með bréfi, dags. 18. mars 2020, óskaði Persónuvernd eftir frekari upplýsingum frá ríkislögreglustjóra. Svarað var af hálfu ríkislögreglustjóra með bréfi, dags. 8. apríl s.á. Með bréfi, dags. 16. apríl s.á., var svarbréf ríkislögreglustjóra kynnt kvartanda og honum boðið að koma á framfæri athugasemdum. Þann 9. júní s.á. staðfesti lögmaður kvartanda að hann hygðist ekki koma frekari athugasemdum á framfæri en ítrekaði fyrri málatilbúnað.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þótt ekki sé sérstaklega gerð grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur dregist vegna verulegra anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að hann hafi átt rétt á umbeðnum upplýsingum á grundvelli 8. gr. reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu. Varðandi upplýsingarétt vísar hann jafnframt til 15. gr. stjórnsýslulaga nr. 37/1993 og 2. mgr. 17. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, auk þeirra sjónarmiða sem búa að baki reglum sem lúta að rétti aðila til upplýsinga frá stjórnvöldum.

Heimilt sé samkvæmt 9. gr. reglugerðar nr. 322/2001 að takmarka upplýsingarétt skráðra einstaklinga en skýra verði ákvæðið þröngt þar sem það geymi undantekningu frá meginreglu um upplýsingarétt einstaklinga samkvæmt 8. gr. hennar. Ríkislögreglustjóri hafi þó ekki byggt synjun sína á því að skilyrðum 9. gr. reglugerðarinnar hafi verið fullnægt heldur hafi synjunin grundvallast á 8. gr. hennar. Ekki verði séð að 9. gr. reglugerðarinnar hafi átt við. Því telji kvartandi synjunina ólögmæta.

Kvartandi telur upplýsingabeiðni sína rúmast innan orðalags 8. gr. reglugerðar nr. 322/2001. Fyrirmæli í lögum um þagnarskyldu verði almennt ekki talin draga úr rétti einstaklinga til upplýsinga um þá sjálfa og enga þýðingu hafi fyrir upplýsingarétt kvartanda að reglugerðin geymi fyrirmæli um takmarkaða heimild lögreglumanna til vinnslu persónuupplýsinga úr málaskrárkerfinu. Þá sé aðgangur kvartanda að upplýsingum úr málaskrárkerfinu forsenda þess að hann geti kært meðferð upplýsinganna til nefndar um eftirlit með lögreglu.

Kvartandi telur jafnframt að þau sjónarmið sem úrskurður Persónuverndar frá 8. mars 2017, í máli nr. 2016/835, byggðist á og ríkislögreglustjóri hafi vísað til í rökstuðningi sínum nægi ekki til að rökstyðja synjun á beiðni hans þar sem reynt hafi á önnur sjónarmið í því máli. Þar hafi ekki reynt á rétt til upplýsinga um uppflettingar í málaskrárkerfi lögreglu og því hafi ekki reynt á reglur um upplýsingarétt og takmarkanir á þeim rétti samkvæmt reglugerð nr. 322/2001. Auk þess hafi úrskurður í umræddu máli verið kveðinn upp fyrir gildistöku laga nr. 90/2018, en með þeim hafi meginregla um gagnsæi meðal annars verið lögfest. Enn fremur hafi beiðni kvartanda í fyrirliggjandi máli lotið að fleiri atriðum en voru til umfjöllunar í umræddum úrskurði. Því hefði betur samrýmst sjónarmiðum um meðalhóf að synja aðeins um veitingu upplýsinga um það hvaða starfsmenn hefðu flett kvartanda upp í málaskrárkerfi, teldi ríkislögreglustjóri rök hníga til þess, en ekkert hefði verið því til fyrirstöðu að veita kvartanda aðrar upplýsingar sem beiðni hans laut að. Kvartandi telur þó þrátt fyrir framangreint að 6. gr. reglugerðar nr. 322/2001, sem kveður á um miðlun persónuupplýsinga, mæli gegn því að ákvæði 3. tölul. 1. mgr. 8. gr. hennar verði skýrt þannig að upplýsingaréttur kvartanda taki aðeins til miðlunar persónuupplýsinga hans til utanaðkomandi aðila.

Loks eru í kvörtun gerðar athugasemdir við málsmeðferð ríkislögreglustjóra vegna aðgangsbeiðni kvartanda. Kemur þar fram að kvartandi hafi sent ríkislögreglustjóra beiðni sína þann 23. apríl 2018 en að henni hafi ekki verið svarað fyrr en hálfu ári síðar, þ.e. þann 23. október 2018. Telur kvartandi umræddan afgreiðslutíma meðal annars hafa farið í bága við 8. gr. reglugerðar nr. 322/2001, sem kveði á um að erindi skuli afgreidd svo fljótt sem verða megi og eigi síðar en innan eins mánaðar frá móttöku erindis. Hins vegar segir í kvörtun að rökstuðningur ríkislögreglustjóra hafi verið knappur og að þar hafi ekki verið að finna fullnægjandi leiðbeiningar um heimild til að kvarta til Persónuverndar eða upplýsingar um frest í því sambandi.

3.

Sjónarmið ríkislögreglustjóra

Í bréfi ríkislögreglustjóra, dags. 22. maí 2019, segir að í úrskurði Persónuverndar í máli nr. 2004/144 komi fram að þágildandi ákvæði 3. tölul. 1. mgr. 18. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sem hafi verið samhljóða ákvæði 3. tölul. 1. mgr. 8. gr. reglugerðar nr. 322/2001, eigi ekki við um það þegar upplýsingar berast á milli einstakra starfsmanna sama ábyrgðaraðila. Í úrskurði Persónuverndar í máli nr. 2016/835 segi að ákvæðið taki til miðlunar persónuupplýsinga frá ábyrgðaraðila til annars ábyrgðaraðila. Með vísan til forsendna framangreindra úrskurða hafi beiðni kvartanda verið synjað. Hugtakið viðtakendur persónuupplýsinga hafi ekki verið rýmkað með gildistöku laga nr. 90/2018 og taki því ekki til einstakra starfsmanna lögreglu og annarra sem aðgang hafi að málaskrárkerfi lögreglu.

Tæknilega sé unnt að veita kvartanda upplýsingar um alla þá starfsmenn sem hafi flett honum upp og tímasetningar og fjölda uppflettinga. Telji einstaklingur að farið sé með upplýsingar um hann, sem skráðar eru í málaskrárkerfið, með ólögmætum hætti geti hann lagt fram kvörtun af því tilefni hjá viðkomandi lögregluembætti eða nefnd um eftirlit með lögreglu, sem rannsaki hvort farið hafi verið með persónuupplýsingar í samræmi við lög og reglur. Allir starfsmenn séu bundnir þagnarskyldu samkvæmt lögum nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins og lögreglulögum nr. 90/1996. Þá sé aðgangur starfsmanna að persónuupplýsingum ekki rýmri en nauðsynlegt sé með hliðsjón af þeim verkefnum sem þeir hafi með höndum, í samræmi við 13. gr. reglugerðar nr. 322/2001. Lögreglustjórar og forstöðumenn stofnana geti nálgast upplýsingar um uppflettingar starfsmanna og þeir séu því einir í aðstöðu til að meta hvort uppflettingar tengist málum sem þeir sinni. Hafi starfsmaður ekki verið skráður á mál sem hann flettir upp þurfi að veita viðkomandi færi á að gera grein fyrir ástæðu uppflettingar. Sé það ekki gert kunni órökstuddur grunur um trúnaðarbrest að falla á starfsmanninn. Er í því sambandi vísað til forsendna úrskurðar Persónuverndar í máli nr. 2004/144. Þá séu upplýsingar um fjölda uppflettinga, tímasetningar þeirra og tilgang ekki upplýsingar sem kvartandi eigi rétt á samkvæmt 1. mgr. 8. gr. reglugerðar nr. 322/2001.

Í bréfinu segir jafnframt að ríkislögreglustjóri hafi svarað beiðni kvartanda innan þess mánaðarfrests sem tilgreindur sé í 2. mgr. 8. gr. reglugerðar nr. 322/2001. Athugun embættisins hafi leitt í ljós að erindi kvartanda hafi fyrst borist þann 24. september 2018 þegar lögmaður kvartanda sendi tölvupóst á opinbert netfang ríkislögreglustjóra.

Eins og áður greinir fylgdi bréfi ríkislögreglustjóra til Persónuverndar yfirlit yfir fjölda uppflettinga á kennitölu kvartanda í málaskrá lögreglu og ákæruvalds, í nafnaskrá og sektarhluta eftir embættum. Með bréfi, dags. 23. júlí 2019, upplýsti ríkislögreglustjóri Persónuvernd um að embættið gerði ekki athugasemd við að kvartandi fengi afrit af umræddu yfirliti.

Í bréfi ríkislögreglustjóra til Persónuverndar, dags. 8. apríl 2020, kemur fram að embættið telji rétt að veita kvartanda upplýsingar um tilgang uppflettingar ríkislögreglustjóra á kvartanda í málaskrárkerfinu en sú uppfletting hafi verið gerð í því skyni að afla upplýsinga um fjölda uppflettinga á kennitölu kvartanda og hvaða embætti hefðu flett honum upp. Ríkislögreglustjóri sé þó einungis í aðstöðu til að afla upplýsinga hjá starfsmönnum embættis síns og meta tilgang uppflettinga þeirra og hvort heimilt sé að miðla þeim upplýsingum.

Vísað er til þess að í reglum ríkislögreglustjóra frá 25. september 2019 um eftirlit með uppflettingum í lögreglukerfinu komi fram að lögreglustjórar hvers embættis geti fylgst með uppflettingum starfsmanna sinna og annist eftirlit með sínum starfsmönnum. Kvartandi geti á grundvelli upplýsinga um uppflettingar innan embætta leitað til hlutaðeigandi embættis og óskað eftir frekari upplýsingum. Þeir sem hafi eftirlit með uppflettingum í lögreglukerfinu hafi aðgang að upplýsingum um uppflettingar starfsmanna. Þeir hafi hins vegar ekki aðgang að upplýsingum um uppflettingar á kennitölum en ríkislögreglustjóri hafi liðsinnt embættunum með slíkar upplýsingar úr aðgerðaskráningu. Þá segir í bréfinu að upplýsingaréttur kvartanda hafi í raun verið takmarkaður með vísan til þess að nauðsyn hafi borið til að vernda réttindi annarra, sbr. 1. mgr. 9. gr. reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu. Nánar tiltekið sé um að ræða starfsmenn lögreglu og annarra stofnana sem aðgang hafi að lögreglukerfinu og að órökstuddur grunur um trúnaðarbrest geti fallið á starfsmenn sem hafi aðgang að kerfinu og þurfi að nota það vegna starfa sinna, sé frekari upplýsingum um þá miðlað, svo sem nöfnum eða kennitölum.

II.

Forsendur og niðurstaða

1.

Afmörkun máls

Mál þetta lýtur að beiðni einstaklings um tilteknar upplýsingar úr aðgerðaskrá um uppflettingar á upplýsingum um hann sem skráðar hafa verið rafrænt í málaskrárkerfi ríkislögreglustjóra, svo og upplýsingar um tilgang þeirra uppflettinga.

2.

Gildissvið – Lagaskil

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem eru einkennandi fyrir hann, sbr. 2. tölul. 3. gr. laga nr. 90/2018 og 1. tölul. 4. gr. reglugerðarinnar.

Samkvæmt 6. mgr. 4. gr. laga nr. 90/2018 gilda lögin og reglugerð (ESB) 2016/679 ekki um vinnslu persónuupplýsinga af hálfu ríkisins við það að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum. Til þess er hins vegar að líta að þegar beiðni kvartanda barst ríkislögreglustjóra, þann 24. september 2018, giltu þó tiltekin ákvæði laganna um vinnslu persónuupplýsinga sem vörðuðu starfsemi ríkisins á sviði refsivörslu, sbr. ákvæði til bráðabirgða III, þ.m.t. 3. og 39. gr. þeirra. Ákvæði 17. gr. laganna, sem kveður á um aðgangs- og upplýsingarétt einstaklinga, var á hinn bóginn ekki á meðal þeirra ákvæða sem giltu um slíka vinnslu.

Samkvæmt ákvæði til bráðabirgða II í lögum nr. 90/2018 halda reglugerðir, sem ráðherra hefur gefið út á grundvelli eldri laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gildi sínu fari þær ekki í bága við lög nr. 90/2018 eða reglugerð (ESB) 2016/679. Í athugasemdum við ákvæðið í frumvarpi því sem varð að lögum nr. 90/2018 segir að um sé að ræða nokkurt safn reglna sem sumar hverjar hafi mikla þýðingu og þar megi nefna sem dæmi reglugerð nr. 322/2001.

Af framangreindu leiðir að þegar beiðni kvartanda var sett fram hjá ríkislögreglustjóra fór um upplýsingarétt hans samkvæmt reglugerð nr. 322/2001, sem gilti um rafræna vinnslu persónuupplýsinga hjá lögreglu, sbr. 1. gr. hennar. Samkvæmt 1. mgr. 39. gr. laga nr. 90/2018 annast Persónuvernd eftirlit með framkvæmd þeirra laga, reglugerðar (ESB) 2016/679, sérákvæða í lögum sem fjalla um vinnslu persónuupplýsinga og annarra reglna um efnið. Af þessu ákvæði leiðir að Persónuvernd annaðist framkvæmd reglugerðar nr. 322/2001.

Til þess er jafnframt að líta að eftir að kvörtun þessi barst Persónuvernd tóku gildi lög nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi, sem gilda um vinnslu persónuupplýsinga hjá lögbærum yfirvöldum sem fram fer í löggæslutilgangi, sbr. 1. mgr. 3. gr. laganna, en hugtakið persónuupplýsingar er skilgreint í 1. tölul. 2. gr. laga nr. 75/2019 með sama hætti og gert er í lögum nr. 90/2018.

Með 37. gr. laga nr. 75/2019 var ákvæði til bráðabirgða III í lögum nr. 90/2018 breytt á þá leið að ákvæði þeirra laga voru ekki látin ná til vinnslu persónuupplýsinga sem vörðuðu starfsemi ríkisins á sviði refsivörslu. Þá er og til þess að líta að reglugerð nr. 322/2001 hefur nú verið felld á brott, sbr. 2. mgr. 10. gr. reglugerðar nr. 577/2020 um skrár lögreglu og vinnslu persónuupplýsinga í löggæslutilgangi, sem tók gildi 12. júní 2020. Samkvæmt 2. mgr. 3. gr. laga nr. 75/2019 gilda þau um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og um vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að vera hluti af skrá. Samkvæmt 1. mgr. 30. gr. laga nr. 75/2019 annast Persónuvernd eftirlit með framkvæmd þeirra laga en af ákvæðinu og fyrrnefndu ákvæði 1. mgr. 39. gr. laga nr. 90/2018 leiðir að Persónuvernd annast jafnframt eftirlit með framkvæmd reglugerðar nr. 577/2020. Telur Persónuvernd að meðal þess sem taka verði til skoðunar í máli þessu sé hvort kvartandi geti átt ríkari rétt til upplýsinga um vinnslu persónuupplýsinga hans í málaskrárkerfi lögreglu samkvæmt núgildandi rétti.

Persónuvernd telur rétt að líta svo á að í málaskrárkerfi ríkislögreglustjóra séu skráðar persónuupplýsingar um kvartanda í skilningi 2. tölul. 3. gr. laga nr. 90/2018, 1. tölul. 4. gr. reglugerðar (ESB) 2016/679 og 1. tölul. 2. gr. laga nr. 75/2019. Á hinn bóginn þykir ekki fært að líta svo á að upplýsingar um uppflettingar í málaskrárkerfinu teljist vera persónuupplýsingar kvartanda í skilningi tilvitnaðra ákvæða heldur sé þar um að ræða upplýsingar um vinnslu persónuupplýsinga kvartanda.

Sú vinnsla sem hér um ræðir féll undir gildissvið laga nr. 90/2018 og reglugerðar nr. 322/2001 þegar ríkislögreglustjóri afgreiddi beiðni kvartanda en fellur nú undir gildissvið laga nr. 75/2019 og reglugerð nr. 577/2020. Að því virtu og með hliðsjón af framangreindu varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

3.

Ábyrgðaraðili

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 og nr. 75/2019 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laga nr. 90/2018 er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679. Samkvæmt 4. tölul. 2. gr. laga nr. 75/2019 telst ábyrgðaraðili vera lögbært yfirvald sem ákvarðar, eitt eða í samvinnu við aðra, tilgang og aðferðir við vinnslu persónuupplýsinga.

Eins og hér háttar til telst ríkislögreglustjóri vera ábyrgðaraðili að þeirri vinnslu sem felst í að halda þær skrár lögreglu sem kveðið er á um í 2. gr. reglugerðar nr. 577/2020, sbr. áður 2. gr. reglugerðar nr. 322/2001, og því að varðveita og gera öðrum notendum aðgengilegar persónuupplýsingar kvartanda í rafrænu málaskrárkerfi. Að auki telst ríkislögreglustjóri vera ábyrgðaraðili vegna vinnslu eigin starfsmanna á persónuupplýsingum kvartanda í málaskrárkerfinu, þ.m.t. uppflettingum þeirra. Á hinn bóginn verður ríkislögreglustjóri ekki talinn bera ábyrgð á vinnslu umræddra persónuupplýsinga af hálfu starfsmanna annarra embætta og stofnana, svo sem vegna uppflettinga eða skráninga, samkvæmt áðurgreindum lögum. Með hliðsjón af framangreindu, svo og því að kvörtunin beinist aðeins að ríkislögreglustjóra, tekur úrskurður þessi ekki til réttar kvartanda til upplýsinga um vinnslu annarra en ríkislögreglustjóra á persónuupplýsingum kvartanda sem skráðar eru í málaskrárkerfið.

4.

Lagaumhverfi

Í máli þessu er til úrlausnar krafa kvartanda um að fá tilteknar upplýsingar um uppflettingar í rafrænu málaskrárkerfi ríkislögreglustjóra, svo og hvort ríkislögreglustjóri hafi afgreitt beiðni kvartanda í samræmi við málsmeðferðarreglur þar að lútandi.

Samkvæmt 1. mgr. 8. gr. reglugerðar nr. 322/2001 átti skráður einstaklingur rétt á að fá frá lögreglu vitneskju um hvaða upplýsingar um hann var eða hafði verið unnið með (1. tölul.), tilgang vinnslunnar (2. tölul.) og hver fékk, hefði fengið eða myndi fá upplýsingar um hann (3. tölul.). Samkvæmt 2. mgr. sömu greinar skyldi lögregla veita vitneskju skriflega væri þess óskað. Bar að afgreiða erindi svo fljótt sem verða mátti og eigi síðar en innan eins mánaðar frá móttöku þess.

Samkvæmt 2. mgr. 13. gr. laga nr. 75/2019 á skráður einstaklingur rétt til staðfestingar frá ábyrgðaraðila á því hvort unnar séu persónuupplýsingar um hann og, ef svo er, rétt til aðgangs að persónuupplýsingunum. Að auki á skráður einstaklingur meðal annars rétt á að fá upplýsingar um tilgang með vinnslunni og lagagrundvöll hennar (sbr. a-lið ákvæðisins) og viðtakendur upplýsinganna (sbr. c-lið þess). Samkvæmt c-lið 3. mgr. sömu greinar má synja aðgangsbeiðni að hluta eða öllu leyti að teknu tilliti til lögmætra hagsmuna og réttinda hins skráða til að vernda hagsmuni annars en hins skráða.

4.1.

Aðgangs- og upplýsingaréttur kvartanda

4.1.1.

Upplýsingar um hverjir stóðu að uppflettingum

Í máli þessu reynir meðal annars á hvort kvartandi hafi átt eða eigi rétt á upplýsingum frá ríkislögreglustjóra um það hverjir stóðu að uppflettingum á upplýsingum hans í rafrænu málaskrárkerfi embættisins. Í því sambandi telur Persónuvernd koma til skoðunar hvaða starfsmenn ríkislögreglustjóra hafi flett honum upp í rafrænu málaskrárkerfi embættisins, sbr. umfjöllun um ábyrgð á þeirri vinnslu persónuupplýsinga sem hér um ræðir í 3. kafla í II. hluta að framan. Persónuvernd leggur jafnframt þann skilning í beiðnina að hún hafi lotið að upplýsingum um það hvaða ábyrgðaraðilar hafi flett persónuupplýsingum kvartanda upp í kerfinu.

Ákvæði 1. mgr. 8. gr. reglugerðar nr. 322/2001 var samhljóða 1.-3. tölul. 1. mgr. 18. gr. eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Ber samkvæmt því að leggja til grundvallar að á sömu sjónarmið reyni við skýringu ákvæðanna. Að áliti Persónuverndar hefur ekki sérstaka þýðingu í því sambandi að reglugerðarákvæðið lúti að rétti til upplýsinga vegna vinnslu persónuupplýsinga af hálfu lögreglu.

Að mati Persónuverndar verður ekki lagt til grundvallar að í ákvæði 3. tölul. 1. mgr. 8. gr. reglugerðar nr. 322/2001 hafi falist réttur einstaklinga til að fá vitneskju um það þegar upplýsingar berast á milli einstakra starfsmanna ábyrgðaraðila, heldur hafi ákvæðið aðeins tekið til réttar einstaklinga til að fá vitneskju um miðlun persónuupplýsinga til annarra ábyrgðaraðila. Með vísan til þess verður kvartandi ekki talinn hafa átt rétt til að fá upplýsingar úr aðgerðaskráningu málaskrárkerfis ríkislögreglustjóra um uppflettingar einstakra starfsmanna embættisins á upplýsingum um kvartanda sem skráðar voru í kerfið, á grundvelli tilvitnaðs ákvæðis. Er sú skýring í samræmi við úrskurði Persónuverndar frá 28. febrúar 2005 í máli nr. 2004/144 og frá 8. mars 2017 í máli nr. 2016/835 þar sem reyndi á rétt einstaklinga samkvæmt 3. tölul. 1. mgr. 18. gr. laga nr. 77/2000, sem var samhljóða tilvitnuðu ákvæði reglugerðar nr. 322/2001.

Af framangreindri skýringu leiðir þó jafnframt að kvartandi átti rétt á upplýsingum frá ríkislögreglustjóra um hvaða ábyrgðaraðilar höfðu flett upplýsingum hans upp í málaskrárkerfinu en beiðni kvartanda var synjað að þessu leyti. Hins vegar liggur fyrir að kvartandi hefur undir rekstri málsins fengið umræddar upplýsingar.

Kemur þá til skoðunar hvort kvartandi geti nú átt ríkari rétt til upplýsinga um uppflettingar starfsmanna ríkislögreglustjóra á upplýsingum um kvartanda í málaskrárkerfi embættisins á grundvelli ákvæðis 2. mgr. 13. gr. núgildandi laga nr. 75/2019.

Samkvæmt athugasemdum við ákvæðið í frumvarpi því sem varð að lögum nr. 75/2019 er því ætlað að innleiða ákvæði 13.-15. gr. tilskipunar (ESB) 2016/680. Ákvæði 14. gr. tilskipunarinnar lýtur að rétti skráðra einstaklinga til aðgangs en meðal annars er í c-lið þess kveðið á um rétt einstaklings til upplýsinga um viðtakendur eða flokka viðtakenda sem fengið hafa persónuupplýsingar. Að mati Persónuverndar er orðalag umrædds ákvæðis tilskipunarinnar ekki rýmra að þessu leyti en a-liður 12. gr. tilskipunar 95/46/EB, sem 1. mgr. 8. gr. reglugerðar nr. 322/2001 byggðist efnislega á. Þá verður ekki séð að skilgreiningu hugtaksins „viðtakandi“ hafi verið breytt efnislega að þessu leyti í tilskipun (ESB) 2016/680. Loks er þess að geta að hvorki orðalag 13. gr. laga nr. 75/2019 né lögskýringargögn þykja benda til þess að lagasetningunni hafi verið ætlað að rýmka rétt einstaklinga til upplýsinga af þeim toga sem hér reynir á. Þegar litið er til framangreinds telur Persónuvernd verða að leggja til grundvallar að kvartandi eigi ekki rétt til að fá upplýsingar úr aðgerðaskráningu málaskrárkerfis ríkislögreglustjóra um uppflettingar einstakra starfsmanna á upplýsingum um kvartanda sem skráðar voru í kerfið, á grundvelli tilvitnaðs ákvæðis.

Geta ber þess að þar sem umræddar upplýsingar úr atburðaskráningu teljast ekki vera persónuupplýsingar kvartanda, svo sem rakið var í 3. kafla í II. hluta hér að framan, verður kvartandi ekki talinn eiga rétt á að fá afrit af umræddum upplýsingum á grundvelli 1. málsl. 2. mgr. 13. gr. laga nr. 75/2019.

4.1.2.

Upplýsingar um tímasetningu og fjölda uppflettinga

Kemur þá til úrlausnar hvort kvartandi hafi átt eða eigi rétt á upplýsingum um það hvenær og hversu oft ríkislögreglustjóri fletti upp persónuupplýsingum hans í málaskrárkerfinu, sbr. umfjöllun um ábyrgð á þeirri vinnslu persónuupplýsinga sem hér um ræðir í 3. kafla í II. hluta að framan.

Að mati Persónuverndar verður hvorki ráðið af orðalagi 1. mgr. 8. gr. reglugerðar nr. 322/2001 né lögskýringargögnum að ríkislögreglustjóra hafi borið að veita kvartanda upplýsingar um tímasetningu eða fjölda uppflettinga. Telur Persónuvernd því verða að leggja til grundvallar að ríkislögreglustjóra hafi verið heimilt að synja beiðni kvartanda um umræddar upplýsingar með vísan til þess að vitneskjuréttur hans samkvæmt ákvæðinu hafi ekki tekið til þeirra.

Þá verður ekki séð að réttur kvartanda til upplýsinga um tímasetningu og fjölda uppflettinga á persónuupplýsingum hans í málaskrárkerfi ríkislögreglustjóra hafi verið aukinn með 2. mgr. 13. gr. laga nr. 75/2019, sbr. tilskipun (ESB) 2016/680. Samkvæmt því telur Persónuvernd ekki rétt að gera ríkislögreglustjóra að veita kvartanda umræddar upplýsingar.

4.1.3.

Upplýsingar um tilgang uppflettinga

Beiðni kvartanda til ríkislögreglustjóra laut einnig að því að fá upplýsingar um tilgang uppflettinga á persónuupplýsingum hans í rafrænu málaskrárkerfi embættisins.

Af hálfu ríkislögreglustjóra hefur komið fram að embættið sé aðeins í aðstöðu til að veita upplýsingar um tilgang uppflettinga í málaskrárkerfi lögreglu af hálfu eigin starfsmanna en ekki starfsmanna annarra stofnana sem aðgang hafi að málaskrárkerfinu. Þeir sem annist eftirlit með kerfinu við viðkomandi stofnanir geti á hinn bóginn aflað slíkra upplýsinga frá eigin starfsmönnum. Með vísan til athugasemda ríkislögreglustjóra er ekki fallist á að ríkislögreglustjóra beri eða hafi borið að veita kvartanda upplýsingar þar að lútandi enda hafði hann ekki aðgang að umræddum upplýsingum og telst hann því ekki ábyrgðaraðili að vinnslu þeirra í skilningi 6. tölul. 3. gr. laga nr. 90/2018 og 4. tölul. 2. gr. laga nr. 75/2019, svo sem rakið var í 3. kafla í II. hluta hér að framan. Hins vegar kemur hér til skoðunar hvort ríkislögreglustjóra hafi borið að veita kvartanda upplýsingar um tilgang uppflettinga eigin starfsmanna.

Líkt og greinir í 4. kafla að framan átti kvartandi rétt á upplýsingum um tilgang vinnslu, sbr. 2. tölul. 1. mgr. 8. gr. reglugerðar nr. 322/2001. Telur Persónuvernd að leggja verði til grundvallar að í umræddu ákvæði hafi falist réttur kvartanda til að fá upplýsingar um tilgang uppflettinga á persónuupplýsingum hans í málaskrárkerfinu sem framkvæmdar voru af hálfu ríkislögreglustjóra. Af svörum ríkislögreglustjóra verður hins vegar ráðið að embættið framkvæmdi fyrst slíka uppflettingu eftir að beiðni kvartanda var afgreidd, þ.e. undir rekstri þessa máls. Þá liggur fyrir að kvartandi hefur nú fengið upplýsingar um tilgang þeirrar vinnslu.

4.2.

Málsmeðferð ríkislögreglustjóra

Kemur loks til úrlausnar hvort málsmeðferð ríkislögreglustjóra vegna beiðni kvartanda hafi samrýmst reglugerð nr. 322/2001 og lögum nr. 90/2018. Nánar tiltekið kemur til athugunar hvort sá tími sem það tók ríkislögreglustjóra að afgreiða beiðni kvartanda hafi samrýmst lögum, svo og hvort ríkislögreglustjóri hafi veitt kvartanda fullnægjandi leiðbeiningar um heimild til að kvarta til Persónuverndar.

Af skýringum ríkislögreglustjóra og þeim gögnum sem hann hefur lagt fram verður ekki annað ráðið en að embættið hafi fyrst veitt beiðni kvartanda móttöku þann 24. september 2018. Hefur því ekki verið andmælt af hálfu kvartanda. Ákvörðun ríkislögreglustjóra er dagsett þann 23. október 2018. Verður ákvörðunin talin fela í sér endanlega afgreiðslu málsins af hálfu ríkislögreglustjóra, enda þótt embættið hafi síðar veitt kvartanda aðgang að hluta þeirra upplýsinga sem beiðni hans laut að við meðferð þessa máls. Að þessu gættu telur Persónuvernd að ríkislögreglustjóri hafi afgreitt erindi kvartanda innan þeirra tímamarka sem mælt var fyrir um í 2. mgr. 8. gr. reglugerðar nr. 322/2001.

Þá var hvorki kveðið á um leiðbeiningarskyldu ríkislögreglustjóra, varðandi heimild einstaklinga til að bera synjun samkvæmt 8. gr. reglugerðar nr. 322/2001 undir Persónuvernd, í ákvæðinu sjálfu né í þeim ákvæðum laga nr. 90/2018, sbr. einnig reglugerð (ESB) 2016/679, sem giltu um vinnslu persónuupplýsinga af hálfu lögreglu þegar atvik máls þessa áttu sér stað. Verður samkvæmt því ekki lagt til grundvallar að skortur á leiðbeiningum frá ríkislögreglustjóra til kvartanda um heimild hans til að bera ákvörðunina undir Persónuvernd hafi falið í sér brot gegn ákvæðum laganna eða reglugerðar nr. 322/2001.

Þess ber hins vegar að geta að í 3. málsl. 4. mgr. 13. gr. laga nr. 75/2019, sem tóku gildi eftir að ríkislögreglustjóri afgreiddi erindi kvartanda, er nú kveðið á um skyldu ábyrgðaraðila til að upplýsa hinn skráða um rétt hans til að leggja fram kvörtun hjá Persónuvernd í þeim tilvikum er ábyrgðaraðili takmarkar eða synjar skráðum einstaklingi aðgangs að persónuupplýsingum hans.

5.

Niðurstaða

Með hliðsjón af öllu framangreindu er það niðurstaða Persónuverndar að ríkislögreglustjóra hafi verið heimilt að synja kvartanda um upplýsingar um það hvaða starfsmenn flettu honum upp í rafrænu málaskrárkerfi embættisins, hvenær uppflettingarnar voru gerðar, svo og fjölda þeirra.

Á hinn bóginn er það niðurstaða Persónuverndar að ríkislögreglustjóra hafi verið óheimilt að synja kvartanda um upplýsingar um það hvaða ábyrgðaraðilar stóðu að uppflettingum á persónuupplýsingum um hann í málaskrárkerfinu, svo og um upplýsingar um tilgang uppflettinga á persónuupplýsingum kvartanda sem embættið stóð sjálft að. Í ljósi þess að kvartanda voru veittar umræddar upplýsingar undir rekstri þessa máls kemur ekki til skoðunar hvort beina skuli sérstökum fyrirmælum til ríkislögreglustjóra um aðgang að þeim.

Loks er það niðurstaða Persónuverndar að málsmeðferð ríkislögreglustjóra við afgreiðslu á beiðni kvartanda um upplýsingar hafi samrýmst lögum nr. 90/2018, sbr. reglugerð (ESB) 2016/679, og reglugerð nr. 322/2001.

Ú r s k u r ð a r o r ð:

Ákvörðun ríkislögreglustjóra um að synja [A] um upplýsingar um þá starfsmenn sem flettu upp persónuupplýsingum hans í rafrænu málaskrárkerfi embættisins, um tímasetningar uppflettinga, svo og um fjölda þeirra, samrýmdist reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu og lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ákvörðun ríkislögreglustjóra um að synja [A] um upplýsingar um uppflettingar annarra ábyrgðaraðila í rafrænu málaskrárkerfi embættisins, svo og um tilgang eigin uppflettinga, samrýmdist ekki reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu og lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Málsmeðferð ríkislögreglustjóra við afgreiðslu beiðni [A] um upplýsingar um vinnslu persónuupplýsinga hans samrýmdist lögum nr. 90/2018 og reglugerð nr. 322/2001.

Í Persónuvernd, 29. september 2020

Björg Thorarensen
formaður

Ólafur Garðarsson                  Björn Geirsson

Vilhelmína Haraldsdóttir                     Þorvarður Kári Ólafsson