Vinnsla persónuupplýsinga af hálfu Fangelsismálastofnunar

Mál nr. 2021051020

15.9.2022

Ákvörðun

Hinn 15. september 2022 kvað Persónuvernd upp svohljóðandi ákvörðun í máli nr. 2021051020:

I.
Málsmeðferð
1.
Tildrög máls

Hinn 26. apríl 2021 barst Persónuvernd frá dómsmálaráðuneytinu framsend kvörtun […] (hér eftir kvartandi), dags. 20. mars 2020, yfir synjun Fangelsismálastofnunar á beiðni um eyðingu upplýsinga um hann sem skráðar voru í málaskrá stofnunarinnar.

Í kvörtuninni segir að með úrskurði Héraðsdóms Reykjavíkur, dags. […] 2014, hafi kvartanda verið gert að afplána eftirstöðvar fangelsisdóms vegna gruns um refsiverða háttsemi, en Fangelsismálastofnun hafði áður veitt honum reynslulausn þann […] 2012. Kvartandi hafi síðar verið sýknaður af þeim grun með dómi Héraðsdóms Reykjavíkur þann […] 2016.

Með hliðsjón af framangreindu er kvartað yfir varðveislu upplýsinga um að um skilorðsrof hafi verið að ræða þegar reynslulausn kvartanda var rift með fyrrnefndum úrskurði héraðsdóms.

Einnig segir að þann 4. mars 2020 hafi kvartandi óskað eftir því að Fangelsismálastofnun leiðrétti skráningar stofnunarinnar þess efnis að hann hefði rofið skilorð, þar sem hann hefði verið sýknaður, en Fangelsismálastofnun hafi hafnað þeirri beiðni þann 5. s.m.

Með bréfi, dags. 8. september 2021, var Fangelsismálastofnun boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 27. s.m. Með bréfi, dags. 1. nóvember s.á., var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið Fangelsismálastofnunar. Bárust athugasemdir kvartanda með bréfi þann 17. s.m.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi ákvörðun.

2.
Sjónarmið kvartanda

Að mati kvartanda hefur Fangelsismálastofnun skráð rangar upplýsingar um hann, þ.e. að hann hafi rofið almenn skilyrði reynslulausnar, og hafnað beiðni hans um eyðingu þeirra upplýsinga. Eins og að framan greinir var kvartanda gert að afplána eftirstöðvar fangelsisdóms vegna gruns um refsiverða háttsemi, en var síðar sýknaður af þeim grun fyrir dómi. Kvartandi vísar til þess að enn séu þó skráðar upplýsingar í málaskrá Fangelsismálastofnunar um að kvartandi hafi rofið skilorð. Að mati kvartanda ber stofnuninni að eyða umræddum upplýsingum og telur hann að synjun stofnunarinnar sé brot gegn réttindum hans samkvæmt lögum nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi

3.
Sjónarmið Fangelsismálastofnunar

Í svari Fangelsismálastofnunar, dags. 27. september 2021, segir að með úrskurði Héraðsdóms Reykjavíkur, dags. […] 2014, hafi kvartanda verið gert að afplána eftirstöðvar reynslulausnar sem Fangelsismálastofnunun hafði áður veitt honum þann […] 2012. Kvartandi hóf afplánun sama dag, en var veitt reynslulausn á ný þann […] 2016, en þá átti kvartandi enn ólokið mál í refsivörslukerfinu. Með dómi, uppkveðnum þann […] 2016, var kvartandi sýknaður af kröfum ákæruvaldsins í því máli sem hafði áður orðið til þess að honum hafði verið gert að afplána eftirstöðvar reynslulausnarinnar.

Einnig segir að þann […] 2016 hafi lögmaður kvartanda haft samband við Fangelsismálastofnun og óskað eftir upplýsingum um hvernig ljúka mætti málum kvartanda hjá stofnuninni í kjölfar framangreinds dóms. Hann hafi fengið þau svör að dómstóll hefði ákveðið að kvartandi skyldi afplána eftirstöðvar fyrri dóms vegna rofs á skilyrðum reynslulausnar, en það hefði ekki verið ákvörðun Fangelsismálastofnunar. Stofnunin hefði hins vegar veitt honum reynslulausn þegar liðnir voru 2/3 af eftirstöðvunum, þrátt fyrir að hann ætti enn ólokið mál, og að sú ákvörðun stæði þar sem fyrrnefndur úrskurður héraðsdóms, þess efnis að honum yrði gert að afplána eftirstöðvar reynslulausnar, hefði ekki verið afturkallaður.

Lögmaður kvartanda hafi á ný haft samband við stofnunina í […] 2019 þar sem á sakavottorði segði að kvartandi væri enn á reynslulausn, auk þess sem kvartandi hefði staðist skilyrði fyrir reynslulausninni og því hefði ekki átt að gera honum að afplána eftirstöðvar fyrri dóms. Í síðari samskiptum við lögmann kvartanda og dómsmálaráðuneytið segi að það sé mat stofnunarinnar að umræddur úrskurður hafi verið skráður í málaskrárkerfi stofnunarinnar og að ekki sé unnt að breyta þeirri skráningu þar sem hann hafi ekki verið felldur úr gildi. Þá segi að réttast væri að beiðni um leiðréttingu á skráningu um skilorðsrof yrði beint til Héraðsdóms Reykjavíkur sem kvað upp fyrrnefndan úrskurð og eftir atvikum til Ríkissaksóknara sem haldi sakaskrá fyrir landið þar sem skráðar séu niðurstöður sakamála. Einnig segir að það sé mat stofnunarinnar að ekki sé unnt að fallast á slíka beiðni, þar sem úrskurður héraðsdóms hafi verið kveðinn upp á meðan kvartandi var grunaður um refsiverðan verknað og það hafi ekki verið fyrr en mörgum mánuðum síðar að hann hafi verið sýknaður af kröfum ákæruvaldsins. Fyrrnefndur sýknudómur sé jafnframt skráður í málaskrárkerfi stofnunarinnar.

II.
Forsendur og niðurstaða
1.
Lagaskil – Afmörkun máls

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sem í gildi voru þegar hluti málsatvika átti sér stað, voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi hinn 15. júlí 2018. Þann 5. júlí 2019 tóku svo gildi lög nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi.

Kvörtun þessi var lögð fram hjá dómsmálaráðuneytinu og framsend til Persónuverndar í gildistíð laga nr. 75/2019 og beinist að ástandi sem enn er til staðar, þ.e. varðveislu persónuupplýsinga um kvartanda hjá Fangelsismálastofnun og synjun á beiðni um leiðréttingu þeirra persónuupplýsinga, auk þess sem þau lagaákvæði sem á reynir hafa ekki breyst efnislega. Verður því leyst úr málinu á grundvelli laga nr. 75/2019.

Athygli er vakin á því að valdsvið Persónuverndar í máli þessu nær eingöngu til úrlausnar álitaefna sem varða skráningu og vinnslu persónuupplýsinga um kvartanda hjá Fangelsismálastofnun. Valdsvið Persónuverndar nær ekki til þess að kveða úr um hvort kvartandi hafi brotið gegn skilorði eða annarra álitaefna sem lögum samkvæmt heyra undir önnur stjórnvöld eða dómstóla.

2.
Gildissvið – Ábyrgðaraðili

Um vinnslu persónuupplýsinga hjá lögbærum yfirvöldum sem fram fer í löggæslutilgangi gilda lög nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, sbr. 1. mgr. 3. gr. þeirra laga. Fellur það undir hlutverk Persónuverndar að framfylgja lögunum eins og fram kemur í 30. gr. þeirra, þ. á m. með því að taka ákvarðanir í málum vegna kvartana frá einstaklingum, sbr. 2. og 3. mgr. þeirrar greinar.

Lögin voru sett til innleiðingar á ákvæðum tilskipunar (ESB) 2016/680 frá 27. apríl 2016 um vernd einstaklinga að því er varðar vinnslu lögbærra yfirvalda á persónuupplýsingum í tengslum við að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum og frjálsa miðlun slíkra upplýsinga. Lögbært yfirvald er skilgreint í 11. tölul. 2. gr. laganna sem opinbert yfirvald sem ber ábyrgð á eða er falið það hlutverk að lögum að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi. Fangelsismálastofnun er skilgreind sem lögbært yfirvald samkvæmt þessu ákvæði.

Lög nr. 75/2019 gilda um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild eða vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá, sbr. 2. mgr. 3. gr. laganna. Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 1. tölul. 2. gr. laga nr. 75/2019. Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 2. tölul. 2. gr. laga nr. 75/2019.

Til þess að vinnsla persónuupplýsinga falli undir gildissvið laga nr. 75/2019 er það eitt að yfirvald falli undir skilgreininguna á lögbæru yfirvaldi ekki nægjanlegt, heldur þarf sú vinnsla er fer fram hverju sinni að vera í löggæslutilgangi. Löggæslutilgangur er skilgreindur í 8. tölul. 2. gr. laga nr. 75/2019 sem sá tilgangur að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi. Ljóst er að þegar unnið er með persónuupplýsingar í því skyni er byggt á valdheimildum sem lögbærum yfirvöldum eru fengnar með lögum, en eins og hér háttar til reynir þá á lög nr. 15/2016 um fullnustu refsinga. Í 5. gr. þeirra laga kemur fram að Fangelsismálastofnun sjái um fullnustu refsinga og önnur verkefni í samræmi við ákvæði laganna og reglugerða sem settar eru samkvæmt þeim. Með hliðsjón af framangreindu er hér um að ræða vinnslu í löggæslutilgangi, sbr. 8. tölul. 2. gr. laga nr. 75/2019, og fellur framangreind vinnsla því innan gildissviðs þeirra laga.

Lögbært yfirvald, sem ákvarðar, eitt eða í samvinnu við aðra, tilgang og aðferðir við vinnslu persónuupplýsinga, er nefnt ábyrgðaraðili, sbr. 4. tölul. 2. gr. laga nr. 75/2019. Eins og hér háttar til telst Fangelsismálastofnun vera ábyrgðaraðili að umræddri vinnslu.

Með vísan til framangreinds er ljóst að vinnsla persónuupplýsinga í málaskrárkerfi Fangelsismálastofnunar felur í sér vinnslu persónuupplýsinga hjá lögbæru yfirvaldi sem fram fer í löggæslutilgangi og fellur hún því undir valdsvið Persónuverndar eins og það er afmarkað í 30. gr. laga nr. 75/2019, sbr. áður samsvarandi ákvæði laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

3.
Lagaumhverfi

Samkvæmt 1. mgr. 80 gr. laga nr. 15/2016 um fullnustu refsinga getur Fangelsismálastofnun ákveðið að fangi skuli látinn laus til reynslu þegar hann hefur afplánað tvo þriðju hluta refsitíma. Þá segir í 2. mgr. 82. gr. sömu laga að dómstóll geti úrskurðað að maður sem hlotið hafi reynslulausn skuli afplána eftirstöðvar refsingar ef hann á reynslutíma rýfur gróflega almenn skilyrði reynslulausnar, enda liggi fyrir sterkur grunur um að hann hafi framið nýtt brot sem varðað geti sex ára fangelsi eða að brotið varði við 1. mgr. 218. gr. almennra hegningarlaga.

Um varðveislu og eyðingu persónuupplýsinga er fjallað í 14. gr. laga nr. 75/2019. Í 1. mgr. ákvæðisins segir að um varðveislu persónuupplýsinga fari eftir lögum um persónuvernd og vinnslu persónuupplýsinga og lögum um opinber skjalasöfn. Í 2. mgr. sama ákvæðis segir að hinn skráði eigi rétt til að fá persónuupplýsingum er hann varði eytt án óþarfa tafar ef í ljós komi að vinnsla þeirra hafi brotið gegn 4. eða 6. gr. sömu laga, þar sem fjallað er um meginreglur um vinnslu persónuupplýsinga og vinnslu viðkvæmra persónuupplýsinga og notkun persónusniða, eða ábyrgðaraðila sé skylt að lögum að eyða upplýsingunum. Í athugasemdum við 2. mgr. ákvæðisins í greinagerð með frumvarpinu segir að í ljósi meginreglu íslensks réttar um varðveislu skjala, samkvæmt lögum um persónuvernd og lögum um opinber skjalasöfn, verði að telja að skýra beri þessa undantekningu um eyðingu upplýsinga nokkuð þröngt þannig að hún leiði ekki til eyðingar skjala sem eru afhendingarskyld til opinbers skjalasafns.

Samkvæmt 3. tölul. 1. mgr. 14. gr. laga nr. 77/2014 um opinber skjalasöfn eru stjórnvöld afhendingarskyld í samræmi við ákvæði laganna. Í því felst að þeim ber að afhenda opinberu skjalasafni skjöl sín, að meginreglu þegar þau hafa náð 30 ára aldri, sbr. 4. mgr. 14. gr. og 1. mgr. 15. gr. laganna. Tekið er fram í 1. mgr. 24. gr. laganna að afhendingarskyldum aðilum sé óheimilt að ónýta eða farga nokkru skjali í skjalasöfnum sínum nema að fengnu samþykki þjóðskjalavarðar, reglna sem hann setur eða sérstaks lagaákvæðis. Þegar lög hafa að geyma orðalag á borð við sérstakt lagaákvæði er litið svo á að átt sé við ákvæði sem sérgreinir eitthvað tiltekið sem undir það fellur. Fyrrnefnd ákvæði laga nr. 75/2019 hafa ekki að geyma slíka sérgreiningu heldur lúta þau almennt að skyldunni til að eyða persónuupplýsingum sem ekki er lengur málefnalegt að varðveita, en eins og fyrr greinir er auk þess vísað til þess í lögunum að skýra beri undantekninguna þröngt svo hún leiði ekki til eyðingar skjala sem afhendingarskyld eru til opinbers skjalasafns.

Um leiðréttingu upplýsinga er fjallað í 15. gr. laga nr. 75/2019. Þar segir að ábyrgðaraðili skuli að eigin frumkvæði eða að beiðni hins skráða leiðrétta rangar upplýsingar. Í því skyni skuli ábyrgðaraðili auka við upplýsingar eða uppfæra þær, eftir atvikum með viðtöku viðbótarupplýsinga frá hinum skráða. Í athugasemdum við ákvæðið segir að réttur þessi eigi fyrst og fremst við um staðreyndir er lúti að hinum skráða en ekki t.d. um trúverðugleika vitnisburðar sem hinn skráði kunni að draga í efa. Þá geti leiðrétting eðli máls samkvæmt einnig falið í sér eyðingu upplýsinga, t.d. með því að fjarlægja augljóslega rangar persónuupplýsingar. Áréttað er í athugasemdunum að slík leiðrétting verði þó að vera í samræmi við 1. mgr. 14. gr. um varðveislu upplýsinga með afhendingu til opinbers skjalasafns.

Þá ber ábyrgðaraðila að gæta þess við vinnslu persónuupplýsinga að upplýsingar séu áreiðanlegar og uppfærðar eftir þörfum; persónuupplýsingum sem eru óáreiðanlegar eða ófullkomnar miðað við tilgang vinnslu þeirra skal eyða eða leiðrétta án tafar, sbr. d-lið 1. mgr. 4. gr. laga nr. 75/2019.

4.
Niðurstaða

Kvartað er yfir varðveislu Fangelsismálastofnunar á persónuupplýsingum um kvartanda þess efnis að hann hafi rofið skilorð, en eins og að framan greinir var honum gert að afplána eftirstöðvar fangelsisdóms með úrskurði Héraðsdóms Reykjavíkur, dags.[...] 2014, og síðar sýknaður með dómi, dags. [...] 2016.

Eins og fram kemur í bréfi Fangelsismálastofnunar, dags. 27. september 2021, hefur umræddur úrskurður ekki verið felldur úr gildi og verður því talið að skráning upplýsinga um úrskurðinn, og að kvartandi hafi samkvæmt niðurstöðu héraðsdóms rofið skilorð, feli ekki í sér varðveislu rangra upplýsinga sem beri að leiðrétta.

Þá er til þess að líta að þau gögn sem hér um ræðir voru grundvöllur stjórnvaldsákvörðunar af hálfu Fangelsismálastofnunar en slík gögn ber að varðveita og skila til skjalasafns samkvæmt ákvæðum laga nr. 77/2014 um opinber skjalasöfn, sbr. umfjöllun í kafla 4 hér að framan. Ekki verður því talið að Fangelsismálastofnun hafi verið heimilt að eyða upplýsingum um úrskurðinn úr málaskrá stofnunarinnar.

Einnig þarf þó að gæta þess að skráning á persónuupplýsingum sé ekki óáreiðanleg eða ófullkomin. Í því samhengi er til þess að líta að samkvæmt fyrrnefndu svari Fangelsismálastofnunar er fyrrnefndur sýknudómur Héraðsdóms Reykjavíkur einnig skráður í málaskrárkerfi stofnunarinnar. Liggja því fyrir í gögnum stofnunarinnar upplýsingar um að kvartandi hafi að lokum verið sýknaður af grun um að hafa rofið skilorð.

Með vísan til alls framangreinds verður ekki talið að þær persónuupplýsingar sem skráðar eru um kvartanda hjá Fangelsismálastofnun séu efnislega rangar, óáreiðanlegar eða ófullkomnar miðað við tilgang þeirra.

Að framangreindu virtu er niðurstaða Persónuverndar sú að varðveisla Fangelsismálastofnunar á persónuupplýsingum um kvartanda samrýmist lögum nr. 75/2019. Þá er það mat Persónuverndar að Fangelsismálastofnun hafi verið heimilt að synja beiðni kvartanda um að eyða upplýsingum um úrskurð Héraðsdóms Reykjavíkur úr málaskrá stofnunarinnar.

Á k v ö r ð u n a r o r ð:

Varðveisla Fangelsismálastofnunar á persónuupplýsingum um kvartanda í málaskrá stofnunarinnar samrýmist lögum nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi.

Synjun Fangelsismálastofnunar á beiðni kvartanda um eyðingu persónuupplýsinga um hann úr málaskrá stofnunarinnar samrýmdist lögum nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi.

Fh. Persónuverndar,

Helga Sigríður Þórhallsdóttir                            Gunnar Ingi Ágústsson