Úrskurður um vinnslu persónuupplýsinga hjá fréttastofu Ríkisútvarpsins

Mál nr. 2017/136

28.12.2017

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 20. nóvember 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/136:

 

I.
Málsmeðferð

 

1.
Tildrög máls

Þann 20. janúar 2017 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd kvartandi) vegna vinnslu persónuupplýsinga um hana hjá Ríkisútvarpinu ohf. Í kvörtuninni segir m.a. að kvartandi hafi verið á kvennadeild í ómskoðun þegar ljósmóðir spurði hvort hún væri samþykk því að fréttastofa RÚV tæki myndskeið af skoðuninni, með því skilyrði að það yrði ópersónugreinanlegt. Að myndatöku lokinni hafi kvartandi spurt um efni fréttarinnar og hafi henni verið tjáð að hún væri um mæður í neyslu, en hún gæti þó verið alveg áhyggjulaus enda myndi hún ekki þekkjast.

 

1.2
Nánar um frétt Ríkisútvarpsins

Frétt Ríkisútvarpsins bar nafnið „[...]“. Fréttin var fyrst flutt í kvöldfréttatíma RÚV þann [...] 2017, en sama dag var hún aðgengileg á vefsíðunni rúv.is. Í fréttinni er fjallað um verðandi mæður sem neyta fíkniefna á meðan á meðgöngu stendur, að venja þurfi nýfædd börn af fíkniefnum, og um áhrif efnanna á börnin á meðgöngu. Fréttinni fylgir um það bil tveggja mínútna myndskeið þar sem m.a. sést á skjá ómskoðunartækisins fullt nafn kvartanda.

  

2.
Bréfaskipti

Með bréfi, dags. 28. mars 2017, var Ríkisútvarpinu ohf. boðið að koma á framfæri skýringum vegna kvörtunarinnar. Sérstaklega var óskað svara um hvernig Ríkisútvarpið teldi vinnslu persónuupplýsinga um kvartanda hafa samrýmst 1. og 4. tölul. 7. gr. laga nr. 77/2000. Svarað var með bréfi, dags. 18. apríl s.á., en þar segir m.a.:

„Fyrir liggur að mistök urðu við vinnslu þess myndskeiðs sem kvörtun [kvartanda] er sprottin af. Þegar hefur verið beðist velvirðingar á því gagnvart hlutaðeigandi, og slíkt áréttað hér með. Svo sem felst í framangreindu, þ.m.t. fyrirliggjandi afsökunarbeiðni, hefur Ríkisútvarpið ohf. ekki litið svo á að vinnslan samrýmist lögum nr. 77/2000 [...]“

 

Með svarbréfi Ríkisútvarpsins fylgdi afrit af tölvupósti frá þeim fréttamanni Ríkisútvarpsins sem vann fréttina til kvartanda, þar sem beðist var afsökunar.

Með bréfi, dags. 9. maí 2017, ítrekuðu 18. júlí s.á., var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Ríkisútvarpsins til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Engin svör bárust frá kvartanda.

Með bréfi, dags. 16. október 2017, var óskað svara frá Ríkisútvarpinu hvort vinnsla persónuupplýsinga um kvartanda studdist við heimildir í 8. og 9. gr. laga nr. 77/2000, og þá hvaða heimildir. Svar barst með bréfi, dags. 2. nóvember s.á. Í bréfinu segir að Ríkisútvarpið fái ekki séð að vinnslan hafi átt sér stoð í 8. eða 9. gr. laga nr. 77/2000 og er áréttað að um mistök hafi verið að ræða þegar upplýsingar þær sem um ræðir birtust í frétt Ríkisútvarpsins. Að lokum segir að Ríkisútvarpið leggi það í hendur Persónuverndar, sem hins sérfróða stjórnvalds, að meta hvort vinnslan fái allt að einu stoð í lögum nr. 77/2000.

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Ríkisútvarpið ohf. vera ábyrgðaraðili að umræddri vinnslu.

 

2.
5. gr. laga nr. 77/2000

Samkvæmt 5. gr. laga nr. 77/2000 má víkja frá ákvæðum laganna í þágu fjölmiðlunar, lista eða bókmennta að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar. Þá kemur fram að þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gilda einungis tiltekin ákvæði laganna. Í því máli sem hér um ræðir var efni fréttar Ríkisútvarpsins um mæður sem neyta fíkniefna meðan á meðgöngu stendur. Persóna kvartanda var ekki til umræðu í fréttinni og tengdist hún ekki efni fréttarinnar á neinn hátt, enda hefur komið fram að umrædd birting á persónuupplýsingum um kvartanda hafi orðið fyrir mistök. Verður því ekki séð að hér sé nauðsynlegt að víkja frá ákvæðum laganna til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar.

3.
Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þá verður vinnsla viðkvæmra persónuupplýsinga, s.s. lyfja-, áfengis- og vímuefnanotkun, sbr. 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna.

Samkvæmt 1. tölul. 1. mgr. 8. og 9. gr. laganna er vinnsla persónuupplýsinga heimil á grundvelli samþykkis hins skráða. Við mat á því hvort samþykki sé til staðar þá verður viðkomandi að vera samþykkur vinnslu tiltekinna upplýsinga um sig, sbr. 7. tölul. 2. gr. laga nr. 77/2000. Í því tilviki sem hér um ræðir verður ekki talið að kvartandi hafi verið samþykk vinnslu persónuupplýsinga um sig, enda átti, eins og framan greinir, umrætt myndskeið að vera með öllu ópersónugreinanlegt.

Ekki verður því séð að nokkurt skilyrða 1. mgr. 8. eða 9. gr. eigi við í því máli sem hér um ræðir.

 

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

Varðandi mat á því hvort uppfyllt sé skilyrði 1. tölul. 1. mgr. 7. gr. um sanngirni o.fl. ber, að mati Persónuverndar, að líta til þeirrar grundvallarreglu einkalífsréttarins að virða skal forræði einstaklings á upplýsingum sem varða hann sjálfan, og að farið sé með þær upplýsingar í samræmi við eðlilegar væntingar hans og þá fræðslu sem honum var veitt. Jafnframt þarf að hafa í huga að þeim mun viðkvæmari sem persónuupplýsingarnar eru, þeim mun mikilvægara er að virða þennan rétt einstaklingsins.

Eins og framan greinir samþykkti kvartandi upptöku RÚV í umrætt sinn með því skilyrði að myndskeiðið, sem fylgdi fréttinni yrði ópersónugreinanlegt. Að mati Persónuverndar verður ekki talið að umrædd vinnsla á persónuupplýsingum um kvartanda, m.a. vegna þess efnis fréttar Ríkisútvarpsins, hafi samrýmst sanngirniskröfum 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

Meðferð þessa máls hefur dregist vegna mikilla anna hjá stofnuninni.

 

Ú r s k u r ð a r o r ð: 

Vinnsla Ríkisútvarpsins ohf. á persónuupplýsingum um kvartanda samrýmdist ekki lögum nr. 77/2000.