Vinnsla persónuupplýsinga af hálfu Akureyrarbæjar

Mál nr. 2022040715

21.6.2023

Úrskurður

um kvörtun yfir birtingu kennitölu á stöðumælasekt af hálfu Akureyrarbæjar í máli nr. 2022040715:

I.
Málsmeðferð

Hinn 7. apríl 2022 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir birtingu Akureyrarbæjar á kennitölu hans á miða með stöðumælasekt vegna stöðubrots. 

Persónuvernd bauð Akureyrarbæ að tjá sig um kvörtunina með bréfi, dags. 25. nóvember 2022, og bárust svör bæjarfélagsins 7. desember s.á. Með bréfi, dags. 31. janúar 2023 óskaði Persónuvernd eftir frekari upplýsingum frá Akureyrarbæ. Svör bárust 14. febrúar s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Ágreiningur er um heimild Akureyrarbæjar til að birta kennitölu kvartanda á álagningarseðli vegna stöðubrots.

Kvartandi telur þá vinnslu Akureyrarbæjar, sem hafi falist í birtingu á kennitölu hans á álagningarseðli vegna stöðubrots hans, sem hafði verið settur undir rúðuþurrku á bifreið hans hafi verið óheimil. Telur kvartandi að með þessu hafi upplýsingar um kennitölu hans verið gerðar aðgengilegar óviðkomandi auk þess sem birtingin hafi verið ónauðsynleg.

Akureyrarbær telur að skráning kennitölu við birtingu á stöðumælasekt hafi samrýmst 13. gr., sbr. 8. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Þá hafi verið heimild fyrir vinnslunni, samkvæmt 5. tölul. 9. gr. sömu laga. Vísar Akureyrarbær til þess að lagaheimildina sé að finna í 3. mgr. 86. gr. umferðarlaga nr. 77/2019, þar sem heimild sé fyrir sveitastjórn að innheimta gjald samkvæmt 2. mgr. 86. gr. laganna á stöðureitum á landi í umráðum sveitastjórnar og á þjóðlendum innan marka sveitarfélagsins.

Vísar Akureyrarbær til þess að þegar stöðumælaverðir taki ákvörðun um að leggja á aukastöðugjald vegna stöðubrots viti þeir ekki hver eigandi umræddrar bifreiðar sé og þurfi því að kalla eftir upplýsingum um kennitölu skráðs eiganda eða umráðamanns úr ökutækjaskrá. Stöðumælaverðir sjái því ekki upplýsingar um kennitölu fyrr en eftir að ákvörðun hefur verið tekin um að leggja á gjaldið. Um sé að ræða kennitölu eiganda bifreiðar eða skráðs umráðamanns bifreiðar (t.d. þess sem hefur tekið bíl á langtímaleigu) í ökutækjaskrá svo hægt sé að stofna kröfu í banka. Kennitalan birtist á álagningarseðlinum þegar hann er prentaður út og þá sé hann festur undir rúðuþurrku á bílrúðu og um leið stofnist krafa í heimabanka hjá þeim sem sé skráður eigandi eða umráðamaður bifreiðar. Á framhlið álagningarseðils komi meðal annars fram hvers konar gjald og brot sé um að ræða, þá komi fram upphæð gjalds, kennitala umráðamanns/eiganda, dagsetning og tími, númer ökutækis og tegund bifreiðar auk staðsetningar. Neðst á framhlið álagningarseðils komi fram upplýsingar um að ef gjaldið verði greitt í banka eða heimabanka innan þriggja daga gildi 33% afsláttur af sekt. Þá birtist greiðslulína sem hægt sé að miða við þegar greitt er í heimabanka ásamt kennitölu eiganda eða umráðamanns. Byggt er á því að birting kennitölu á álagningarseðil sé nauðsynleg svo sá sem fái sektina geti greitt kröfuna í banka eða heimabanka, t.d. á meðan afsláttur er í gildi. Þetta eigi sérstaklega við um þá sem noti bifreiðina en eru ekki skráðir eigendur eða umráðamenn bifreiðar, s.s. þeir sem fá bifreiðina að láni hjá eiganda eða skráðum umráðamanni, s.s. börn o.s.frv.

II.
Niðurstaða
1.
Lögmæti vinnslu

Mál þetta lýtur að því hvort Akureyrarbæ hafi verið heimilt að birta kennitölu kvartanda á álagningarseðli sem var festur undir rúðuþurrku á bílrúðu hans vegna stöðubrots. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Akureyrarbær telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Notkun kennitölu er auk framangreinds háð því að hún eigi sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu og getur Persónuvernd bannað notkun hennar, sbr. 13. gr. laga nr. 90/2018.

Þær vinnsluheimildir sem taldar eru upp í 9. gr. laganna og 6. gr. reglugerðarinnar áskilja allar að vinnslan sé nauðsynleg, að undanskildum 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins sem heimila vinnslu á grundvelli samþykkis hins skráða en slíkt samþykki liggur ekki fyrir í þessu máli. Skilyrði um nauðsyn birtist jafnframt í 13. gr. laganna og meginreglum 1. mgr. 8. gr. laganna og 5. gr. reglugerðarinnar.

Fram hefur komið af hálfu Akureyrarbæjar að nauðsynlegt sé að kalla eftir upplýsingum um kennitölu skráðs eiganda eða umráðamanns úr ökutækjaskrá svo hægt sé að stofna kröfu í banka. Byggt er á því að birting kennitölunnar á álagningarseðli sé nauðsynleg í þeim tilgangi að sá sem fái sektina, þ.e. eigandi, umráðamaður eða annar sem notaði bifreiðina umrætt sinn, geti greitt hana í banka eða heimabanka.

Að mati Persónuverndar getur verið nauðsynlegt fyrir Akureyrarbæ að afla upplýsinga um og nota kennitölur skráðra einstaklinga í þeim tilgangi að leggja á stöðugjald vegna stöðubrota enda verður það talið nauðsynlegt til að tryggja örugga persónugreiningu, sbr. 13. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Hins vegar lýtur ágreiningur þessa máls ekki að því hvort Akureyrarbæ hafi verið heimilt að safna upplýsingum um kennitölu kvartanda, heldur að því hvort bæjarfélaginu hafi verið heimilt að birta kennitölu kvartanda á álagningarseðli sem settur var undir rúðuþurrkuna á bifreið hans.

Með hliðsjón af skýringum Akureyrarbæjar og öllu framangreindu telur Persónuvernd að Akureyrarbær hafi ekki sýnt fram á að birting kennitölunnar á viðkomandi álagningarseðli hafi talist nauðsynleg til að ná fram þeim tilgangi sem stefnt var að umrætt sinn, þ.e. að leggja á aukastöðugjald vegna stöðubrots. Ekki verður þannig séð að Akureyrarbær hafi fært viðhlítandi rök fyrir því að birting kennitölunnar á álagningarseðlinum hafi verið forsenda þess að kvartandi hafi getað greitt sektina. Telja verður aðrar upplýsingar á miðanum, þ.e. upphæð gjalds, dagsetning og tími, númer ökutækis, tegund bifreiðar auk staðsetningar og greiðslulína sem hægt var að miða við ef greiða átti kröfuna í heimabanka, hafa verið nægilegar svo hægt væri að greiða sektina.

Að framangreindu virtu er það niðurstaða Persónuverndar að birting Akureyrarbæjar á kennitölu kvartanda á álagningarseðli vegna stöðubrots hafi ekki samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Í samræmi við þessa niðurstöðu, og með vísan til 4. og 6. tölul. 42. gr. laga nr. 90/2018, sbr. d- og f-liði 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er hér með lagt fyrir Akureyrarbæ að láta af birtingu kennitalna eigenda eða umráðarmanna bifreiða á álagningarseðlum vegna stöðubrota. Skal staðfesting á því að birtingin hafi verið stöðvuð berast Persónuvernd eigi síðar en 19. júlí 2023.

Ú r s k u r ð a r o r ð:

Vinnsla Akureyrarbæjar á persónuupplýsingum um [A] sem fólst í birtingu á kennitölu hans á álagningarseðli vegna stöðubrots samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, um vinnsluheimildir.

Lagt er fyrir Akureyrarbæ að láta af birtingu kennitalna eigenda eða skráðra umráðamanna bifreiða á álagningarseðlum vegna stöðubrota. Eigi síðar en þann 19. júlí 2023 skal Akureyrarbær senda Persónuvernd staðfestingu á að farið hafi verið að þessum fyrirmælum.

Persónuvernd, 21. júní 2023

Edda Þuríður Hauksdóttir                    Inga Amal Hasan