Vinnsla persónuupplýsinga af hálfu Íslenskrar erfðagreiningar ehf.

Mál nr. 2021010248

5.12.2022

Úrskurður

um kvörtun yfir synjun á beiðni um eyðingu persónuupplýsinga af hálfu Íslenskrar erfðagreiningar ehf. í máli nr. 2021010248:

I.
Málsmeðferð

Hinn 28. janúar 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir synjun Íslenskrar erfðagreiningar ehf. á beiðni hennar um eyðingu persónuupplýsinga um hana og ólögráða barn hennar úr Íslendingabók. Í bréfi lögmanns kvartanda, dags. 26. september 2022, var jafnframt áréttuð sú krafa að ákveðið yrði að Íslendingabók væri óheimilt að skrá, vista, vinna, birta, og miðla með öllum hugsanlegum hætti persónuupplýsingum um hana og barn hennar.

Íslensk erfðagreining ehf. heldur úti Íslendingabók ásamt Friðriki Skúlasyni ehf. Persónuvernd bauð báðum fyrirtækjunum að tjá sig um kvörtunina með bréfi, dags. 31. maí 2022, og bárust svör Íslenskrar erfðagreiningar ehf., fyrir hönd beggja fyrirtækjanna, með bréfi, dags. 15. júlí s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Íslenskrar erfðagreiningar ehf. með bréfi, dags. 9. ágúst s.á., og bárust þær með bréfi lögmanns kvartanda, dags. 26. september s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Ágreiningur er um heimild Íslenskrar erfðagreiningar ehf. og Friðriks Skúlasonar ehf. til vinnslu persónuupplýsinga um kvartanda og hvort kvartandi eigi rétt á að persónuupplýsingum um hana og ólögráða barn hennar verði eytt úr gagnagrunni og af vefsíðu Íslendingabókar.

Kvartandi telur að Íslenskri erfðagreiningu ehf., sem heldur úti Íslendingabók ásamt Friðriki Skúlasyni ehf., hafi samkvæmt 20. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og 17. gr. reglugerðar (ESB) 2016/679 borið að verða við beiðni hennar um eyðingu persónuupplýsinga um hana og ólögráða barn hennar úr gagnagrunni og vefsíðu Íslendingabókar. Fyrirtækið hafi hins vegar synjað beiðninni þann 5. janúar 2021. Þá vísar kvartandi til þess að hún hafi ekki gefið samþykki sitt fyrir því að persónuupplýsingar um hana og ólögráða barn hennar yrðu skráðar og birtar í Íslendingabók, auk þess sem hún hafi ekki verið upplýst um það fyrir fram.

Íslensk erfðagreining ehf. byggir heimild til vinnslu persónuupplýsinga um kvartanda í þágu vefsíðu Íslendingabókar á 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, um vinnslu í þágu almannahagsmuna. Vísað er til þess að ættfræðirannsóknir séu ein tegund vísinda- og sagnfræðirannsókna sem falli undir vinnsluheimild ákvæðisins, sbr. athugasemdir við 5. tölul. 9. gr. í greinargerð með lögum nr. 90/2018. Þá telur Íslensk erfðagreining ehf. ekki nauðsynlegt að mælt sé fyrir um grundvöll vinnslunnar með beinum hætti í lögum, enda verði sá skilningur ekki lagður í ákvæði 3. mgr. 6. gr. reglugerðar (ESB) 2016/679 að lagagrundvöllur sé jafnframt áskilinn vegna vinnslu sem byggist á e-lið 1. mgr. 6. gr. reglugerðarinnar.

Íslensk erfðagreining ehf. telur vinnslu persónuupplýsinga um kvartanda í þágu vefsíðu Íslendingabókar einnig geta stuðst við 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Vísað er til þess að fyrirtækið stuðli að því að stundaðar séu ættfræðirannsóknir á Íslandi með því að halda úti rekstri Íslendingabókar. Ættfræðirannsóknir, sem hafi verið stundaðar á Íslandi um árhundruð, njóti mikilla vinsælda hjá almenningi og séu ein meginstoðin í menningararfi þjóðarinnar. Auk þess séu ættfræðirannsóknir einn grundvöllur og forsenda fyrir viðamiklum rannsóknum á sviði mannerfðafræði hérlendis. Íslensk erfðagreining ehf. hafi því lögmætra hagsmuna að gæta við vinnsluna sem vegi þyngra en hagsmunir kvartanda.

Þá byggir Íslensk erfðagreining ehf. jafnframt á því að fyrirtækinu hafi verið heimilt að synja beiðni kvartanda um eyðingu persónuupplýsinga um hana og ólögráða barn hennar á grundvelli d-liðar 3. mgr. 17. gr. reglugerðar (ESB) 2016/679.

II.
Niðurstaða

Mál þetta lýtur að afgreiðslu beiðni um eyðingu upplýsinga um einstaklinga úr gagnagrunni og af vefsíðu Íslendingabókar. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Teljast Íslensk erfðagreining ehf. og Friðrik Skúlason ehf. vera sameiginlegir ábyrgðaraðilar að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má persónuupplýsingar ef vinnslan er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins, eða ef vinnslan er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins.

Í athugasemdum með 9. gr. frumvarpsins er varð að lögum nr. 90/2018 segir meðal annars að vinnsla geti talist vera í almannaþágu ef hún á sér stað í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi. Ættfræðirannsóknir geta talist fara fram í sagnfræðilegum tilgangi auk þess sem ljóst er að sú vinnsla sem fram fer í tengslum við vefsíðuna Íslendingabók hefur þýðingu fyrir breiðan hóp manna. Að öðrum skilyrðum uppfylltum gæti vinnslan þannig byggst á því að hún fari fram í þágu almannahagsmuna. Til þess er hins vegar að líta að til að vinnsla persónuupplýsinga geti stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 6. gr. reglugerðarinnar, þarf að vera mælt fyrir um grundvöll vinnslunnar í lögum, sbr. 3. mgr. 6. gr. reglugerðarinnar. Segir einnig í ákvæðinu að tilgangur vinnslu skuli meðal annars ákvarðaður á þeim lagagrundvelli eða, að því er varðar vinnsluna sem um getur í e-lið 1. mgr., vera nauðsynlegur vegna framkvæmdar verkefnis sem unnið er í þágu almannahagsmuna. Þá segir að lagagrundvöllurinn geti m.a. verið sértæk ákvæði til að aðlaga beitingu reglna reglugerðarinnar, m.a. um almenn skilyrði varðandi lögmæta vinnslu ábyrgðaraðilans, tegund gagna sem vinnslan varðar, hlutaðeigandi skráða einstaklinga, takmörkun vegna tilgangs o.fl. Ekki er því nauðsynlegt að sérstök lög eða lagaákvæði gildi um hverja einstaka vinnslu heldur kann að vera nægilegt að hafa lög sem grundvöll fyrir ýmsum vinnsluaðgerðum þegar vinnsla er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna. Engin lög hafa verið sett um ættfræðirannsóknir eða framkvæmd þeirra hér á landi og er því ekki, eins og hér háttar til, unnt að líta svo á að mælt sé fyrir um grundvöll vinnslunnar í lögum. Af þeim sökum er það mat Persónuverndar að í núverandi lagaumhverfi geti sú vinnsla, sem fram fer í tengslum við vefsíðuna Íslendingabók, ekki stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 9. gr. reglugerðarinnar.

Að mati Persónuverndar getur vinnsla í þágu ættfræði hins vegar stuðst við 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 6. gr. reglugerðar (ESB) 2016/679, þar sem segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, að því gefnu að hún samrýmist að öðru leyti ákvæðum laganna og reglugerðarinnar. Hefur Persónuvernd í fyrri niðurstöðum sínum litið svo á að menn geti vart varist því að í ættfræði- og æviskrárritum birtist um þá almennar lýðskrárupplýsingar, svo sem um nafn, kennitölu, nöfn niðja, foreldra og núverandi maka, sbr. m.a. úrskurð stofnunarinnar í máli nr. 2004/568.

Samkvæmt 1. mgr. 20. gr. laga nr. 90/2018 á skráður einstaklingur rétt til að ábyrgðaraðilinn eyði persónuupplýsingum um hann án ótilhlýðilegrar tafar samkvæmt nánari skilyrðum 17. gr. reglugerðar (ESB) 2016/679. Samkvæmt 1. mgr. reglugerðarákvæðisins skal skráður einstaklingur eiga rétt á að ábyrgðaraðili eyði persónuupplýsingum er hann varða án ótilhlýðilegrar tafar og skal ábyrgðaraðilanum skylt að eyða persónuupplýsingunum án ótilhlýðilegrar tafar ef ein þeirra ástæðna sem taldar eru upp í a-f-liðum ákvæðisins eiga við.

Í 3. mgr. 17. gr. reglugerðarinnar er að finna undanþágu frá 1. og 2. mgr. ákvæðisins. Þannig gilda síðarnefndu málsgreinarnar ekki ef vinnsla er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi í samræmi við verndarráðstafanir samkvæmt 1. mgr. 89. gr., að því marki sem líklegt er að réttur til eyðingar persónuupplýsinga geri það ómögulegt eða hamli því verulega að markmið vinnslu náist, sbr. d-lið 3. mgr. 17 gr. reglugerðarinnar.

Eins og háttar til í fyrirliggjandi máli telur Persónuvernd að Íslenskri erfðagreiningu ehf. hafi verið heimilt að synja beiðni kvartanda um eyðingu persónuupplýsinga um hana og ólögráða barn hennar úr gagnagrunni og af vefsíðu Íslendingabókar með vísan til d-liðar 3. mgr. 17. gr. reglugerðar (ESB) 2016/679. Vísast í þessu sambandi til forsendna fyrir niðurstöðu í áliti stofnunarinnar frá 25. janúar 2022 í máli nr. 2021020473 sem varðar sama álitaefni og reynir á í fyrirliggjandi máli. Þegar af þeirri ástæðu gerist ekki þörf á að fjalla um hvort ákvæði 1. mgr. 17. reglugerðarinnar hafi skapað kvartanda rétt til eyðingar.

Ú r s k u r ð a r o r ð:

Íslenskri erfðagreiningu ehf. var heimilt að synja beiðni [A] um eyðingu persónuupplýsinga um hana og ólögráða barn hennar úr gagnagrunni og af vefsíðu Íslendingabókar.

Persónuvernd, 5. desember 2022

 

Helga Þórisdóttir                        Helga Sigríður Þórhallsdóttir