Vinnsla persónuupplýsinga af hálfu embættis lögreglustjóra

Mál nr. 2020010630

22.9.2020

Úrskurður

Á fundi stjórnar Persónuverndar hinn 27. ágúst 2020 var kveðinn upp svohljóðandi úrskurður í máli nr. 2020010630 (áður 2019051009):

I.

Málsmeðferð

1.

Kvörtun og málsmeðferð

Hinn 7. maí 2019 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga af hálfu [embættis lögreglustjóra]. Nánar tiltekið var kvartað yfir því að [starfsmaður embættisins hefði] gefið út og miðlað til annars aðila [skjali sem innihélt meðal annars upplýsingar um aðkomu lögreglu að málefnum tengdum kvartanda]. Kvörtuninni fylgdi afrit umrædds skjals, sem er stimplað og undirritað af [starfsmanni embættisins], auk annarra fylgiskjala sem meðal annars varpa ljósi á samskipti kvartanda við [embættið] vegna umkvörtunarefnisins. Undir rekstri málsins hjá Persónuvernd lagði kvartandi fram fleiri fylgiskjöl.

Með bréfi, dags. 16. apríl 2020, ítrekuðu með bréfi, dags. 15. júní 2020, var [embætti lögreglustjóra] tilkynnt um framangreinda kvörtun og veitt færi á að tjá sig um hana. Að auki óskaði Persónuvernd meðal annars eftir upplýsingum um við hvaða heimild umrædd vinnsla hefði verið álitin styðjast, sbr. 1. mgr. 8. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og 6. gr. þágildandi reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu. Jafnframt óskaði Persónuvernd eftir upplýsingum um hvort og þá hvernig umrædd vinnsla hefði verið álitin samrýmast meginreglum 1. mgr. 7. gr. sömu laga, einkum 1. og 2. tölul. þeirrar greinar. Svarað var af hálfu [embættisins] með bréfi, dags. 12. júní 2020.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé sérstaklega gerð grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Af kvörtun verður ráðið að kvartandi telji að [embætti lögreglustjóra] hafi verið óheimilt að veita óviðkomandi aðilum þær persónuupplýsingar [kvartanda] sem skráðar voru í umrætt [skjal] sem starfsmaður embættisins gaf út [dags.].

3.

Sjónarmið [embættis lögreglustjóra]

Í svarbréfi [embættis lögreglustjóra] kemur meðal annars fram að umrætt [skjal] og þau gögn sem útgáfa þess byggði á hafi ekki verið varðveitt í skjalavörslukerfi embættisins og að embættið hafi ekki upplýsingar um forsendur afgreiðslunnar. Því geti embættið ekki tekið afstöðu til beiðni Persónuverndar um upplýsingar um umrædda vinnslu. […]

II.

Forsendur og niðurstaða

1.

Lagaskil og afmörkun máls

Atvik máls þessa gerðust fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018, og laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, hinn 5. júlí 2019. Umfjöllun og efni þessa úrskurðar byggjast því á ákvæðum eldri laga, nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, en um valdheimildir Persónuverndar fer eftir lögum nr. 90/2018 og lögum nr. 75/2019.

2.

Gildissvið – Ábyrgðaraðili

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, giltu um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem voru eða áttu að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar voru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla var skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur sem vinnslan var handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna.

Samkvæmt 1. gr. þágildandi reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu, gilti hún um rafræna vinnslu persónuupplýsinga hjá lögreglu í þágu lögreglustarfa. Reglugerðin var sett samkvæmt 3. mgr. 45. gr. laga nr. 77/2000.

Mál þetta lýtur að útgáfu og miðlun skjals [sem innihélt meðal annars upplýsingar um aðkomu lögreglu að málefnum tengdum kvartanda]. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem bar ábyrgð á að vinnsla persónuupplýsinga samrýmdist lögum nr. 77/2000 var nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna var þar átt við þann sem ákvað tilgang vinnslu persónuupplýsinga, þann búnað sem notaður var, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst [embætti lögreglustjóra] vera ábyrgðaraðili að umræddri vinnslu.

3.

Lögmæti vinnslu og niðurstaða

Öll vinnsla persónuupplýsinga varð að falla undir eitthvert af heimildarákvæðum 8. gr. laga nr. 77/2000.

Að auki varð vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 9. gr. laga nr. 77/2000. Samkvæmt b-lið 8. tölul. 2. gr. laganna töldust upplýsingar um hvort maður hefði verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað vera viðkvæmar. Samkvæmt c-lið sömu greinar töldust upplýsingar um heilsuhagi vera viðkvæmar.

Af 2. mgr. 1. gr. lögreglulaga, nr. 90/1996, verður ráðið að hlutverk lögreglu sé ekki bundið við aðgerðir sem lúta að refsiverðum verknaði manna eða heilbrigði þeirra, þrátt fyrir að hlutverk lögreglu taki einnig til slíkra verkefna. Mælir d-liður ákvæðisins til að mynda fyrir um að lögreglu beri að greiða götu borgaranna eftir því sem við á og aðstoða þá þegar hætta steðjar að. Að þessu gættu og að því virtu að orðalag þess skjals sem hér er til umfjöllunar tekur ekki berum orðum til refsiverðrar háttsemi kvartanda eða heilbrigðis […] telur Persónuvernd að ekki beri að leggja til grundvallar að um vinnslu viðkvæmra persónuupplýsinga hafi verið að ræða í skilningi laga nr. 77/2000, eins og hér háttar til.

Þá kom fram í 2. mgr. 6. gr. reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu, með síðari breytingum, að persónuupplýsingum yrði aðeins miðlað til einkaaðila vegna umsókna um störf á sviði löggæslu, tollgæslu eða landhelgisgæslu (1. tölul.), samkvæmt lagaheimild (2. tölul.), samkvæmt heimild Persónuverndar (3. tölul.) eða ef miðlun var nauðsynlegt til að koma í veg fyrir alvarlega og aðsteðjandi hættu (4. tölul).

Auk heimildar samkvæmt framangreindu varð vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000. Var þar meðal annars kveðið á um að persónuupplýsingar skyldu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skyldi vera í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.).

Við mat á því hvort útgáfa og miðlun umrædds skjals samrýmdist áðurnefndum lagaákvæðum er nauðsynlegt að líta til tilgangsins að baki vinnslunni. Svo sem áður er rakið hefur ábyrgðaraðili þó ekki getað upplýst um það í hvaða tilgangi hún átti sér stað, en í svörum lögreglunnar kom fram að skjalið og þau gögn sem útgáfa þess byggði á hafi ekki verið varðveitt í skjalavörslukerfi embættisins og að embættið hafi ekki upplýsingar um forsendur afgreiðslunnar. Með hliðsjón af því er að mati Persónuverndar ekki unnt að líta svo á að vinnsla persónuupplýsinga kvartanda í umrætt sinn hafi farið fram á grundvelli heimildar samkvæmt 1. mgr. 8. gr. laga nr. 77/2000 eða í samræmi við 2. mgr. 6. gr. reglugerðar 322/2001.

Þá telur Persónuvernd verða að leggja til grundvallar að einstaklingar megi almennt treysta því að upplýsingum sem lögregla skráir um verkefni sem hún sinnir vegna þeirra verði ekki miðlað til óviðkomandi aðila. Þar sem [embætti lögreglustjóra] hafi miðlað umræddum upplýsingum um kvartanda án heimildar hafi embættið ekki unnið upplýsingarnar með sanngjörnum, málefnalegum og lögmætum hætti gagnvart kvartanda í skilningi 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

Með hliðsjón af öllu framangreindu er það niðurstaða Persónuverndar að sú vinnsla sem hér er til umfjöllunar hafi ekki samrýmst lögum nr. 77/2000 og reglugerð nr. 322/2001.

Ú r s k u r ð a r o r ð:

Vinnsla [embættis lögreglustjóra] á persónuupplýsingum um [A] í tengslum við útgáfu og miðlun skjals [sem innihélt meðal annars upplýsingar um aðkomu lögreglu að málefnum tengdum kvartanda] samrýmdist ekki lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga og reglugerð nr. 322/2001.

Persónuvernd, 27. ágúst 2020

Björg Thorarensen
formaður

Ólafur Garðarsson                         Björn Geirsson

Vilhelmína Haraldsdóttir                          Þorvarður Kári Ólafsson