Vinnsla persónuupplýsinga af hálfu lögreglustjórans á höfuðborgarsvæðinu

Mál nr. 2021081664

21.6.2023

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu embættis lögreglustjórans á höfuðborgarsvæðinu í máli nr. 2021081664:

I.
Málsmeðferð

Hinn 30. ágúst 2021 barst Persónuvernd kvörtun frá [B] lögmanni f.h. [A] (hér eftir kvartandi) yfir birtingu embættis lögreglustjórans á höfuðborgarsvæðinu (LRH) á myndum af honum í fjölmiðlum í tengslum við rannsókn sakamáls. 

Persónuvernd bauð LRH að tjá sig um kvörtunina með bréfi, dags. 7. september 2022, ítrekuðu 5. október s.á., og bárust svör LRH með bréfi, dags. 17. s.m. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör LRH með bréfi, dags. 15. nóvember s.á., og bárust þær með bréfi, dags. 22. s.m. Persónuvernd óskaði frekari skýringa frá LRH með bréfi, dags. 13. janúar 2023, ítrekuðu 2. febrúar s.á. Svör LRH bárust með bréfi, dags. 24. s.m.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

___________________

Ágreiningur er um heimildir lögreglunnar til að birta myndir af kvartanda í fjölmiðlum í tengslum við rannsókn sakamáls á hendur honum.

Kvartandi vísar til þess að rannsókn málsins hafi varðað ætlað brot hans gegn 217. gr. almennra hegningarlaga nr. 19/1940, sem hafi átt að vera framið á árshátíð vinnustaðar hans í [...]. Kvartandi hafi starfað á vinnustaðnum um árabil og starfi þar enn, og því hefði verið auðvelt að bera kennsl á hann með því að hafa samband við árshátíðarhaldara eða yfirmenn á vinnustaðnum. Myndbirtingin í fjölmiðlum hafi fyrst farið fram tæplega tveimur árum eftir hið ætlaða atvik og tilraunir LRH til að hafa uppi á kvartanda áður hafi ekki verið fullnægjandi. LRH hafi einungis sent tvo tölvupósta á mannauðsdeild vinnustaðar kvartanda og lýst honum þar skriflega ásamt því að tölvupóstinum fylgdu ljósmyndir af unnustu kvartanda, sem ekki sé starfsmaður á viðkomandi vinnustað. Kvartandi telur óútskýrt hvers vegna LRH hafi ekki frekar sent myndirnar, sem embættið hafi haft af kvartanda og voru síðar birtar í fjölmiðlum, til vinnustaðar hans til þess að bera kennsl á hann.

LRH telur að myndbirtingin hafi farið fram í samræmi við 1. mgr. 4. gr. laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi og heimild hafi verið fyrir vinnslunni samkvæmt i-lið 1. mgr. 5. gr. lögreglulaga nr. 90/1996. Hlutverk lögreglu sé að vinna við uppljóstrun brota, stöðva ólögmæta háttsemi og fylgja málum eftir í samræmi við það sem mælt sé fyrir um í lögum um meðferð sakamála, sbr. 2. mgr. 1. gr. lögreglulaga. Markmiðið með myndbirtingunni hafi verið að afla upplýsinga í sakamáli þar sem sá sem var á myndinni, þ.e. kvartandi, hafi verið grunaður um brot sem geti varðað við almenn hegningarlög nr. 19/1940. Myndir hafi náðst af atvikinu og verið talið nauðsynlegt að óska eftir aðstoð almennings til að varpa ljósi á málsatvik.

Vísar LRH til þess að óskað hafi verið eftir aðstoð lögreglunnar vegna líkamsárásar sem hafi átt sér stað á árshátíð viðkomandi vinnustaðar. Meintur gerandi hafi verið horfinn af vettvangi þegar lögreglan kom á staðinn. Gögn málsins hafi borið með sér að reynt hafi verið að hafa uppi á meintum sakborningi með ýmsum hætti. Haft hafi verið samband við mannauðsdeild en starfsmenn þar hafi ekki getað borið kennsl á manninn. Einnig hafi verið rætt við önnur vitni en það hafi ekki heldur borið árangur. Fljótlega eftir myndbirtinguna hafi LRH tilkynnt fjölmiðlum um að meintur sakborningur, þ.e. kvartandi, væri kominn í leitirnar og hafi þeir verið beðnir um að eyða út myndum af honum.

LRH hafi verið heimilt, í samræmi við hlutverk sitt, skv. 2. mgr. 1. gr. og 41. gr. lögreglulaga, að miðla persónuupplýsingum að því marki sem það taldist nauðsynlegt vegna starfsemi og hlutverks embættisins. Við myndbirtinguna hafi verið gætt að verklagsreglum um samskipti við fjölmiðla og meginreglum laga um vinnslu persónuupplýsinga í löggæslutilgangi.

Í kjölfar bréfaskipta við LRH og kvartanda óskaði Persónuvernd eftir nánari upplýsingum frá LRH um það hvort umræddar myndir af kvartanda hefðu fyrst verið sendar til mannauðsdeildar viðkomandi vinnustaðar áður en þær voru birtar í fjölmiðlum og ef ekki, hvers vegna það hefði ekki verið gert.

LRH svaraði því til að myndirnar hefðu ekki verið sendar til viðkomandi vinnustaðar áður en þær voru birtar í fjölmiðlum. Ekki hafi verið talið gagnast að senda myndefnið til mannauðsdeildarinnar þar sem það hafi verið óskýrt og upptökur óskýrar. Rannsókn málsins hafi verið hætt í lok árs [...] en hún verið tekin upp á ný í lok árs [ári síðar] og þá verið falin öðrum starfsmanni. Þá hafi verið talið tilefni til að kanna til hlítar hvort bera mætti kennsl á meintan sakborning með því að birta myndir af honum í fjölmiðlum þar sem ekki hefði tekist að bera kennsl á hann með öðrum vægari leiðum.

II.
Niðurstaða
1.
Gildissvið – ábyrgðaraðili

Um vinnslu persónuupplýsinga hjá LRH sem fram fer í löggæslutilgangi gilda lög nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, sbr. 1. mgr. 3. gr. laganna. Löggæslutilgangur er skilgreindur í 8. tölul. 2. gr. þeirra laga sem sá tilgangur að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi.

Í 4. tölul. 2. gr. sömu laga er ábyrgðaraðili skilgreindur sem lögbært yfirvald sem ákvarðar, eitt eða í samvinnu við aðra, tilgang og aðferðir við vinnslu persónuupplýsinga. LRH telst vera ábyrgðaraðili að þeirri vinnslu sem persónuupplýsinga um kvartanda sem fram fór af hálfu embættisins og fólst í miðlun mynda af honum til fjölmiðla í tengslum við rannsókn sakamáls á hendur honum. Mál þetta lýtur þannig að vinnslu LRH á persónuupplýsingum um kvartanda í tengslum við rannsókn meints refsiverðs brots. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar og framangreind lög nr. 75/2019.

2.
Lögmæti vinnslu

Samkvæmt skýringum LRH taldi embættið þá vinnslu persónuupplýsinga sem hér er til umfjöllunar hafa farið fram í samræmi við hlutverk lögreglu sbr. 2. mgr. 1. gr. lögreglulaga nr. 90/1995 og 41. gr. sömu laga. Þá hafi verið gætt að verklagsreglum um samskipti við fjölmiðla við vinnsluna og vinnslan hafi jafnframt samrýmst meginreglum 4. gr. laga nr. 75/2019.

Eins og áður kom fram gilda lög nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, um vinnslu persónuupplýsinga hjá lögbærum yfirvöldum sem fer fram í löggæslutilgangi.

Öll vinnsla persónuupplýsinga í löggæslutilgangi verður að samrýmast meginreglum þeim er koma fram í 4. gr. laga nr. 75/2019. Þar kemur meðal annars fram að við vinnslu persónuupplýsinga í löggæslutilgangi skuli þess gætt að þær séu unnar með lögmætum og sanngjörnum hætti og að vinnslan sé lögbæru yfirvaldi nauðsynleg vegna verkefna í löggæslutilgangi (a-liður 1. mgr. ákvæðisins) og að þær séu nægilegar, viðeigandi og ekki langt umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (c-liður).

Í 2. mgr. 8. gr. sömu laga kemur fram að aðeins megi miðla persónuupplýsingum til annarra opinberra aðila eða einkaaðila í löggæslutilgangi þegar brýna nauðsyn beri til og miðlunin varði hagsmuni sem bersýnilega séu ríkari en réttur hins skráða til verndar.

Þegar unnið er með persónuupplýsingar í því skyni að rannsaka, koma upp um eða saksækja fyrir refsiverð brot er byggt á valdheimildum sem lögbærum yfirvöldum eru fengnar með lögum. Eins og hér háttar til reynir á lögreglulög nr. 90/1996. Í 2. mgr. 1. gr. laganna kemur fram að hlutverk lögreglu sé m.a. að gæta almannaöryggis og halda uppi lögum og reglu, leitast við að tryggja réttaröryggi borgaranna og vernda eignarrétt, opinbera hagsmuni og hvers konar lögmæta starfsemi, stemma stigu við afbrotum og koma í veg fyrir athafnir sem raska öryggi borgaranna og ríkisins, vinna að uppljóstran brota, stöðva ólögmæta háttsemi og fylgja málum eftir í samræmi við það sem mælt er fyrir um í lögum um meðferð sakamála eða öðrum lögum, greiða götu borgaranna eftir því sem við á og aðstoða þá þegar hætta steðjar að, ásamt því að starfa í samvinnu við önnur stjórnvöld og stofnanir sem hafa með höndum verkefni sem tengjast starfssviði lögreglu.

Í 4. gr. áðurnefndra verklagsreglna lögreglu er fjallað um samskipti við fjölmiðla vegna mála sem eru til rannsóknar. Kemur þar m.a. fram að það fari eftir rannsóknarhagsmunum, sakarefni og hagsmunum brotaþola hverju sinni hversu nákvæmar upplýsingar eru veittar fjölmiðlum um rannsókn máls. Einnig kemur fram að óheimilt sé að afhenda fjölmiðlum afrit af lögregluskýrslum eða öðrum rannsóknargögnum. Þá segir að á meðan mál sæti rannsókn skuli ekki lýsa meintri sök manna í einstökum atriðum, þó að kunni að vera rétt, eftir atvikum, að staðfesta ef maður játar sök.

Ljóst er að LRH óskaði eftir því að myndir af kvartanda yrðu birtar í fjölmiðlum, án þess að hafa áður sent sömu myndir á mannauðsdeild á vinnustað kvartanda, sem embættið hafði þó verið í samskiptum við vegna rannsóknar málsins. Að mati Persónuverndar hafði LRH fullt tilefni til að kanna það nánar hvort hægt hefði verið að bera kennsl á kvartanda á myndunum með aðstoð mannauðsdeildarinnar áður en þær voru sendar fjölmiðlum til opinberrar birtingar. Ekki verður þannig séð að nauðsyn hafi staðið til þeirrar vinnslu sem kvörtunin lýtur að enda ekki fullreynt að ná fram þeim tilgangi sem að var stefnt, þ.e. að bera kennsl á kvartanda, með öðrum vægari leiðum. Hagsmunir kvartanda af því að myndirnar yrðu ekki birtar í fjölmiðlum voru því að mati Persónuverndar ríkari en hagsmunir LRH af því að fá þær birtar eins og atvikum var hér háttað.

Með vísan til framangreinds verður því ekki séð að við vinnslu persónuupplýsinga hjá LRH hafi verið gætt að ákvæði 2. mgr. 8. gr. laga nr. 75/2019. Þá hafi ekki heldur verið gætt að meginreglum 4. gr. sömu laga við vinnsluna, enda hafi persónuupplýsingar kvartanda ekki verið unnar með sanngjörnum hætti og vinnslan ekki verið nauðsynleg embættinu vegna verkefna í löggæslutilgangi. Auk þess var að mati Persónuverndar ekki gætt að meðalhófi við vinnsluna og var hún langt umfram það sem nauðsynlegt mátti teljast miðað við tilgang hennar og með hliðsjón af málavöxtum.

Að framangreindu virtu er það niðurstaða Persónuverndar að vinnsla LRH á persónuupplýsingum um kvartanda hafi ekki samrýmst lögum nr. 75/2019, um persónuvernd og vinnslu persónuupplýsinga í löggæslutilgangi.

Ú r s k u r ð a r o r ð:

Vinnsla embættis lögreglustjórans á höfuðborgarsvæðinu á persónuupplýsingum um [A] samrýmdist ekki ákvæðum laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi.

Persónuvernd, 21. júní 2023

Helga Sigríður Þórhallsdóttir             Inga Amal Hasan