Vinnsla persónuupplýsinga af hálfu Sýslumannsins á Norðurlandi eystra og ríkislögreglustjóra

Mál nr. 2021101923

10.7.2023

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu Sýslumannsins á Norðurlandi eystra og ríkislögreglustjóra í máli nr. 2021101923:

I.
Málsmeðferð
1.
Tildrög máls

Hinn 4. október 2021 barst Persónuvernd kvörtun frá [B] lögmanni f.h. [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga í tengslum við ákvörðun Sýslumannsins á Norðurlandi eystra í umgengnismáli kvartanda hjá embættinu. Kvörtunin lýtur annars vegar að þeirri vinnslu embættisins að afla upplýsinga um kvartanda úr málaskrárkerfi ríkislögreglustjóra (hér eftir LÖKE) og frekari vinnslu þeirra upplýsinga hjá embættinu og hins vegar að miðlun ríkislögreglustjóra á málaskrá kvartanda úr LÖKE til Sýslumannsins á Norðurlandi eystra.

Persónuvernd bauð Sýslumanninum á Norðurlandi eystra og ríkislögreglustjóra að tjá sig um kvörtunina með bréfum, dags. 23. mars 2022, og bárust svör sýslumannsins 4. apríl 2022 og svör ríkislögreglustjóra 29. s.m. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör sýslumannsins og ríkislögreglustjóra með bréfi, dags. 3. júní s.á., og bárust þær með bréfi frá lögmanni kvartanda, dags. 22. s.m. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartanda

Hvað varðar vinnslu persónuupplýsinga hjá Sýslumanninum á Norðurlandi eystra lýtur kvörtunin að því að sýslumaðurinn hafi óskað eftir upplýsingum um kvartanda úr LÖKE frá ríkislögreglustjóra án þess að afmarka beiðnina og því fengið allar upplýsingar úr málaskrá kvartanda í heild sinni, eða um 20 ár aftur í tímann. Vísað er til þess að í málaskránni séu fjölmörg dæmi um mál sem ekki snerti umgengnismálið á nokkurn hátt en auk þess séu í skránni atvik þar sem um veikindi eða slys sé að ræða. Byggir kvartandi á því að ekki verði séð hvernig atvik sem hafi átt sér stað fyrir 20 árum síðan geti haft þýðingu í máli hans hjá sýslumanni. Þá hafi kvartandi ekki fengið upplýsingar um umrædda gagnaöflun sýslumannsins. Þessum viðkvæmu persónuupplýsingum hafi svo verið miðlað til viðkomandi fulltrúa hjá Sýslumanninum á Norðurlandi eystra sem fari með málið og þær síðan afhentar „sérfræðingi“ í málefnum barna sem sé almennur starfsmaður embættisins. Þá vísar kvartandi ennfremur til þess að sýslumannsembættið hafi afhent gagnaðila umgengnismálsins málaskrá hans úr LÖKE. Aðilar máls í umgengnismálum fái þannig nákvæmar upplýsingar um öll tilvik þar sem fyrrverandi maki hafi komið við sögu lögreglu áratugi aftur í tímann. Við það skapist hætta á að málsaðilar misnoti þær upplýsingar sem aflað sé við málsmeðferð sýslumanns, m.a. í umgengnismálum eða forsjármálum.

Hvað varðar vinnslu persónuupplýsinga hjá Sýslumanninum á Norðurlandi eystra lýtur kvörtunin að því að sýslumaðurinn hafi óskað eftir upplýsingum um kvartanda úr LÖKE frá ríkislögreglustjóra án þess að afmarka beiðnina og því fengið allar upplýsingar úr málaskrá kvartanda í heild sinni, eða um 20 ár aftur í tímann. Vísað er til þess að í málaskránni séu fjölmörg dæmi um mál sem ekki snerti umgengnismálið á nokkurn hátt en auk þess séu í skránni atvik þar sem um veikindi eða slys sé að ræða. Byggir kvartandi á því að ekki verði séð hvernig atvik sem hafi átt sér stað fyrir 20 árum síðan geti haft þýðingu í máli hans hjá sýslumanni. Þá hafi kvartandi ekki fengið upplýsingar um umrædda gagnaöflun sýslumannsins. Þessum viðkvæmu persónuupplýsingum hafi svo verið miðlað til viðkomandi fulltrúa hjá Sýslumanninum á Norðurlandi eystra sem fari með málið og þær síðan afhentar „sérfræðingi“ í málefnum barna sem sé almennur starfsmaður embættisins. Þá vísar kvartandi ennfremur til þess að sýslumannsembættið hafi afhent gagnaðila umgengnismálsins málaskrá hans úr LÖKE. Aðilar máls í umgengnismálum fái þannig nákvæmar upplýsingar um öll tilvik þar sem fyrrverandi maki hafi komið við sögu lögreglu áratugi aftur í tímann. Við það skapist hætta á að málsaðilar misnoti þær upplýsingar sem aflað sé við málsmeðferð sýslumanns, m.a. í umgengnismálum eða forsjármálum.

Hvað varðar þann hluta kvörtunarinnar er snýr að miðlun ríkislögreglustjóra á málaskrá kvartanda til Sýslumannsins á Norðurlandi eystra er kvartað yfir því að málaskráin hafi verið afhent í heild sinni, athugasemdalaust af hálfu ríkislögreglustjóra, án þess að mat hafi verið lagt á hvað teldist til nauðsynlegra gagna. Byggt er á því að almenn rannsóknar- og gagnaöflunarheimild sýslumanna í 72. gr. barnalaga geti ekki talist veita opna heimild fyrir lögreglumenn til þess að senda málaskrár einstaklinga til sýslumannsembætta. Þá byggir kvartandi á því að í reglugerð nr. 577/2020, um skrár lögreglu og vinnslu persónuupplýsinga í löggæslutilgangi, séu með tæmandi hætti taldar þær heimildir sem lögregla hafi til að miðla persónuupplýsingum í öðrum tilgangi en löggæslu.

3.
Sjónarmið Sýslumannsins á Norðurlandi eystra

Af hálfu Sýslumannsins á Norðurlandi eystra er byggt á því að embættið hafi óskað eftir gögnum frá ríkislögreglustjóra á grundvelli 1. mgr. 72. gr. barnalaga nr. 76/2003. Í ákvæðinu komi fram að aðilum máls beri að afla þeirra gagna sem sýslumaður telji þörf á til úrlausnar máls og að sýslumaður geti aflað gagna að eigin frumkvæði ef þörf krefji, sbr. 10. gr. stjórnsýslulaga nr. 37/1993.Vísað er til þess að það hvíli rík rannsóknarskylda á sýslumanni og hann meti að eigin frumkvæði hvaða gagna og upplýsinga hann telji nauðsynlegt að afla við úrvinnslu máls. Í ákvæðinu sé ekki afmörkun á því hvers konar gögn sýslumanni sé heimilt að sækja á grundvelli þess og í ljósi þeirra gagna og upplýsinga sem lágu fyrir í málinu taldi sýslumaðurinn nauðsynlegt að fá upplýsingar úr LÖKE til að tryggja að ákvörðun í málinu yrði tekin með velferð barnanna í huga. Sýslumanni ber að taka ákvarðanir byggðar á því sem barni sé fyrir bestu og það séu brýnir hagsmunir barns að sýslumaður geti rannsakað mál eins vel og hægt sé áður en tekin sé ákvörðun í máli þess.

Varðandi afhendingu gagna máls er á það bent að báðir foreldrar barns séu aðilar máls hjá sýslumanni og eigi samkvæmt 75. gr. barnalaga og 15.-19. gr. stjórnsýslulaga rétt á að fá aðgang að gögnum málsins, með þröngum undantekningum. Að öðrum kosti geti aðili máls ekki nýtt andmælarétt sinn og upplýst um málið af sinni hálfu. Í svarbréfi sýslumanns er tekið fram að ekki hafi borist beiðni frá móður um afhendingu þessara gagna en hún hafi þó séð samantekt úr málaskrá kvartanda í öðrum gögnum málsins.

4.
Sjónarmið ríkislögreglustjóra

Byggt er á því að miðlun ríkislögreglustjóra á málaskrá kvartanda til sýslumannsins hafi byggst á 72. gr. barnalaga nr. 76/2003. Samkvæmt 3. mgr. ákvæðisins beri öllum þeim sem sýslumaður leiti til að láta honum endurgjaldslaust í té afrit af gögnum sem hann telji nauðsynleg fyrir úrlausn máls. Í athugasemdum með ákvæðinu í frumvarpi því er varð að lögum sé áréttað að um sé að ræða afrit af gögnum sem þegar liggi fyrir en ákvæðið feli ekki í sér skyldu annarra til að meta mál sérstaklega eða útbúa ný gögn. Með vísan til þeirra athugasemda bendir ríkislögreglustjóri á að erfitt sé að sjá hvernig það samræmist ákvæðinu að ríkislögreglustjóri leggi mat á það hvaða gögn séu nauðsynleg sýslumanni. Þar sem ríkislögreglustjóri hafi ekki málsgögn eða málsástæður og engar forsendur í þeim málum sem séu til meðferðar hjá sýslumanni sé embættið ekki í neinni aðstöðu til þess að meta hvort afmá eigi tiltekin mál eða tiltekna tegund mála af málaskráryfirliti. Sama gildi um forsendur embættisins til að meta hversu langt aftur upplýsingarnar eigi að ná. Almennt óski sýslumaður eftir yfirliti yfir öll mál einstaklings vegna máls sem sé til meðferðar hjá embættinu til að geta lagt mat á hvort frekari gögn séu talin nauðsynleg og ef svo er sé óskað eftir þeim sérstaklega. Ríkislögreglustjóri hafi því lagt það til grundvallar að afmá ekki upplýsingar sem mögulega gætu skipt máli fyrir meðferð máls hjá sýslumanni. Í svarbréfi ríkislögreglustjóra er á það bent að verklagið sem viðhaft sé í dag sé almennt með þeim hætti að sýslumaður afmarki beiðni sína við ákveðið tímabil og ríkislögreglustjóri fari að fullu eftir mati sýslumanns í þeim efnum, enda sé það eingöngu sýslumaður sem sé í þeirri aðstöðu að meta hvaða upplýsingar séu honum nauðsynlegar.

II.
Forsendur og niðurstaða
1.
Lagaumhverfi

Mál þetta lýtur að öflun, vinnslu og miðlun persónuupplýsinga um kvartanda. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Sýslumaðurinn á Norðurlandi eystra telst vera ábyrgðaraðili að þeirri vinnslu sem fólst í að afla upplýsinga um kvartanda frá ríkislögreglustjóra og frekari vinnslu þeirra við úrvinnslu máls hjá embættinu. Ríkislögreglustjóri telst vera ábyrgðaraðili að þeirri vinnslu sem fólst í að miðla persónuupplýsingum um kvartanda til Sýslumannsins á Norðurlandi eystra að beiðni þess síðarnefnda, sbr. lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679. 

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar ef það er nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið 1. mgr. reglugerðarákvæðisins, eða ef það er nauðsynlegt vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins.

Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna teljast heilsufarsupplýsingar, þ.e. persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings vera viðkvæmar, en af kvörtun verður ráðið að í málaskrá kvartanda séu skráðar upplýsingar um atvik tengd veikindum eða slysum. Eins og hér háttar til kemur þá einkum til skoðunar 6. tölul. 1. mgr. 11. gr. laganna, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, sbr. f-lið 2. mgr. 9. gr. reglugerðarinnar.

Í 1. mgr. 12. gr. laga nr. 90/2018 er kveðið á um að stjórnvöld megi ekki vinna með upplýsingar um refsiverða háttsemi einstaklinga nema það sé nauðsynlegt í þágu lögbundinna verkefna þeirra. Þá er í 2. mgr. kveðið á um að upplýsingum samkvæmt 1. mgr. megi ekki miðla nema að uppfylltu einhverju þeirra fjögurra skilyrða sem tilgreind eru í ákvæðinu. Nánar tiltekið má ekki miðla upplýsingunum nema því aðeins að hinn skráði hafi gefið afdráttarlaust samþykki sitt fyrir miðluninni, sbr. 1. tölul. 2. mgr. 12. gr., miðlunin sé nauðsynleg í þágu lögmætra hagsmuna hins opinbera eða einkaaðila sem auðsjáanlega vega þyngra en þeir hagsmunir sem eru af leynd um upplýsingarnar, þar á meðal hagsmunir hins skráða, sbr. 2. tölul., miðlunin sé nauðsynleg í þágu lögbundinna verkefna viðkomandi stjórnvalds eða til að unnt sé að taka stjórnvaldsákvörðun, sbr. 3. tölul., eða miðlunin sé nauðsynleg í þágu lögmætra hagsmuna sem auðsjáanlega vega þyngra en grundvallarréttindi og frelsi hins skráða, sbr. 4. tölul.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 1. mgr. 72. gr. barnalaga, nr. 76/2003, segir að aðilum máls beri að afla þeirra gagna sem sýslumaður telur þörf á til úrlausnar máls og að sýslumaður geti aflað gagna að eigin frumkvæði ef þörf krefur, sbr. 10. gr. stjórnsýslulaga nr. 37/1993. Ákvæði 72. gr. var breytt með lögum nr. 61/2012 og í athugasemdum við ákvæðið í frumvarpi því er varð að lögunum segir að tekið sé af skarið um að sýslumaður eigi rétt á að aðgangi að öllum þeim gögnum um aðila og börn þeirra sem hann telji nauðsynleg fyrir úrlausn máls með tilliti til hagsmuna barnsins. Nauðsynlegt þyki að tryggja sýslumanni aðgang að frekari gögnum en gert hafi verið ráð fyrir í þágildandi lögum. Þá segir í 3. mgr. ákvæðisins að öllum þeim sem sýslumaður leiti til beri að láta honum endurgjaldslaust í té afrit af gögnum sem hann telji nauðsynleg fyrir úrlausn máls. Í athugasemdum í frumvarpi því er varð að lögunum er áréttað að um sé að ræða afrit af gögnum sem þegar liggi fyrir en ákvæðið feli ekki í sér skyldu annarra til að meta mál sérstaklega eða útbúa ný gögn.

2.
Lögmæti vinnslu
2.1 Vinnsla persónuupplýsinga af hálfu Sýslumannsins á Norðurlandi eystra

Samkvæmt barnalögum nr. 76/2003, sbr. framangreint, er ljóst að á sýslumanni hvílir rík rannsóknarskylda þegar kemur að úrvinnslu mála hjá embættinu, en sú úrvinnsla sem hér um ræðir varðar hagsmuni barns. Þá er jafnframt ljóst að heimilt er að vinna persónuupplýsingar ef það er nauðsynlegt við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. 9. gr. laga nr. 90/2018 og e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Vinnsla viðkvæmra persónuupplýsinga er heimil ef hún er nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, sbr. 6. tölul. 1. mgr. 11. gr. laganna og f-lið 2. mgr. 9. gr. reglugerðarinnar en vinnsla upplýsinga vegna slíkra krafna getur farið fram hvort heldur er á vegum dómstóls, við stjórnsýslumeðferð eða við málsmeðferð utan réttar. Þá er stjórnvöldum heimilt að vinna með upplýsingar um refsiverða háttsemi sé það nauðsynlegt í þágu lögbundinna verkefna þeirra, sbr. 3 tölul. 2. mgr. 12. gr. laga nr. 90/2018. 

Um fræðsluskyldu, gagnsæi og rétt hins skráða til upplýsinga er fjallað í 17. gr. laga nr. 90/2018. Samkvæmt 2. tölul. ákvæðisins á hinn skráði rétt til upplýsinga um vinnslu, hvort sem persónuupplýsinga er aflað hjá honum sjálfum eða ekki, samkvæmt fyrirmælum 13.-15. gr. reglugerðar (ESB) 2016/679. Þegar persónuupplýsinga er aflað frá öðrum en hinum skráða sjálfum ber almennt að veita honum fræðslu í samræmi við 14. gr. reglugerðarinnar. Sú fræðsluskylda á þó ekki við ef skýrt er mælt fyrir um öflun eða miðlun upplýsinganna í lögum, sbr. c.-lið 5. mgr. 14. gr. reglugerðarinnar. Eins og hér háttar til þurfti sýslumaðurinn því ekki að upplýsa kvartanda sérstaklega um upplýsingaöflunina, sbr. undantekningarákvæði c-liðar 5. mgr. 14. gr. reglugerðar (ESB) 2016/679. Af hinni almennu gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. jafnframt a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, getur þó leitt að veita þurfi upplýsingar um vinnslu þegar þeim tilvikum sem falla undir 13. og 14. gr. reglugerðarinnar sleppir. Eins og fram kemur í 60. lið formálsorða reglugerðarinnar felst í umræddri meginreglu krafa um að skráðum einstaklingi sé tilkynnt um að vinnsluaðgerð standi yfir og hver sé tilgangur hennar. Fyrir liggur að kvartandi var úrskurðarbeiðandi í því máli sem til meðferðar var hjá Sýslumanninum á Norðurlandi eystra og honum því kunnugt um að vinnsla málsins ætti sér stað. Þá hefur komið fram af hálfu sýslumannsembættisins að leitast hefði verið við að tilkynna kvartanda um að óskað hefði verið eftir gögnum frá lögreglu, með því að senda afrit af beiðninni á uppgefið heimilisfang hans, en að bréfið hefði verið endursent. Með vísan til alls framangreinds verður vinnsla Sýslumannsins á Norðurlandi eystra talin hafa samrýmst sanngirnis- og gagnsæiskröfu 1. tölul. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. og 14. gr. reglugerðar (ESB) 2016/679.

Kemur þá til skoðunar meðalhófsregla 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Kvartað er yfir því að aflað hafi verið yfirlits yfir málaskrá kvartanda í heild sinni án þess að beiðnin hafi verið afmörkuð frekar. Ljóst er að 72. gr. barnalaga nr. 76/2003 hefur að geyma víðtæka heimild sýslumanns til þess að kalla eftir gögnum ef hann telur það nauðsynlegt við úrlausn máls. Engu að síður ber sýslumanni við úrlausn máls að gæta að öllum reglum stjórnsýslulaga, þ. á m. meðalhófs. Að virtri heimild sýslumanns samkvæmt 72. gr. barnalaga og málsgögnum að öðru leyti er það mat Persónuverndar að eins og hér háttar til sé ekki tilefni til að endurskoða það mat Sýslumannsins á Norðurlandi eystra að nauðsynlegt hafi verið að óska eftir yfirliti yfir öll mál þar sem kvartandi var skráður í LÖKE.

Hvað varðar miðlun Sýslumannsins á Norðurlandi eystra á greinargerð og umsögn sérfræðings í málefnum barna til gagnaðila umgengnismálsins sem hafði að geyma samantekt úr málaskrá kvartanda vísast til 2. mgr. 5. gr. laga nr. 90/2018 en þar er kveðið á um að lögin takmarki ekki rétt til aðgangs að gögnum sem mælt er fyrir um í upplýsingalögum og stjórnsýslulögum. Í 75. gr. barnalaga nr. 76/2003 segir að ákvæði stjórnsýslulaga gildi um rétt aðila máls til að kynna sér skjöl og önnur gögn er mál varða. Samkvæmt 15. gr. stjórnsýslulaga nr. 37/1993 á aðili máls rétt á öllum gögnum máls og undantekningar á aðgangsrétti, sem kveðið er á um í 16. og 17. gr. stjórnsýslulaga, ber að túlka þröngt. Þannig segir í 17. gr. laganna að þegar sérstaklega stendur á sé stjórnvaldi heimilt að takmarka aðgang aðila máls að gögnum ef hagsmunir hans af því að notfæra sér vitneskju úr þeim þykja eiga að víkja fyrir mun ríkari almanna- eða einkahagsmunum. Kemur fram í athugasemdum við ákvæðið í því frumvarpi er varð að stjórnsýslulögum að líta beri á það sem þrönga undantekningu og því sé meginreglan sú að málsaðili eigi rétt á því að kynna sér málsgögn. Eins kemur það fram í athugasemdunum að lögð er á það áhersla að við mat á því hvort heimildinni skuli beitt þurfi að vega og meta hvort hagsmunir málsaðila af því að fá aðgang að gögnum séu ríkari en þeir almanna- eða einkahagsmunir sem kalli á að takmarka þann aðgang. Telja verður að í málum hjá sýslumönnum er varða forsjá og umgengni barna séu óhjákvæmilega í mörgum tilvikum viðkvæm gögn er varða einkahagi foreldra og barna. Af þeim gögnum sem fylgdu með kvörtun þessa máls má einnig ráða að byggt hafi verið á umræddri greinargerð sérfræðingsins við úrlausn umgengnismálsins hjá Sýslumanninum á Norðurlandi eystra. Því hafi verið ríkur réttur beggja aðila til að fá aðgang að greinargerðinni til að nýta andmælarétt sinn og upplýsa málið af sinni hálfu. Með vísan til framangreinds er það mat Persónuverndar að miðlun Sýslumannsins á Norðurlandi eystra á greinargerð og umsögn sérfræðings í málefnum barna til gagnaðila málsins hafi verið heimil, sbr. 15. gr. stjórnsýslulaga nr. 37/1993, og að undantekning 17. gr. laganna hafi ekki átt við.

Í ljósi framangreinds telur Persónuvernd þá vinnslu persónuupplýsinga um kvartanda hjá Sýslumanninum á Norðurlandi eystra, sem kvörtun þessi tekur til, hafa stuðst við heimild samkvæmt 5. tölul. 9. gr., 6. tölul. 11. gr. og 1. mgr. 12. gr. laga nr. 90/2018. Þá verður ekki séð að brotið hafi verið gegn grunnkröfum 1. mgr. 8. gr. sömu laga, né heldur öðrum ákvæðum laganna, og telst vinnslan því hafa samrýmst þeim.

2.2 Vinnsla persónuupplýsinga af hálfu ríkislögreglustjóra

Í því máli sem hér er til úrlausnar liggur fyrir að ríkislögreglustjóri afhenti Sýslumanninum á Norðurlandi eystra afrit af yfirliti yfir öll mál þar sem kvartandi var skráður í LÖKE. Yfirlitið sýnir málsnúmer, stutta lýsingu á því hvað brot eða atvik varðaði, tengsl aðila við málið, stöðu málsins í LÖKE, stöðu máls í málaskrá ákæruvaldsins ef það fór í ákærumeðferð, dagsetningu ferils, dagsetningu áætlaðs brots eða atviks, vettvang og hjá hvaða embætti málið var síðast til meðferðar.

Í málinu byggir kvartandi á því að í reglugerð nr. 577/2020, um skrár lögreglu og vinnslu persónuupplýsinga í löggæslutilgangi, séu heimildir lögreglu til að miðla persónuupplýsingum í öðrum tilgangi en löggæslu tæmandi taldar. Fyrst er til þess að líta að þegar vinnsla þeirra persónuupplýsinga sem kvörtunin lýtur að átti sér stað hafði reglugerð nr. 577/2020 ekki tekið gildi heldur var þá í gildi reglugerð nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu. Samkvæmt 2. tölul. 2. mgr. 6. gr. þágildandi reglugerðar, nr. 322/2001, var lögreglu heimilt að miðla persónuupplýsingum til annarra stjórnvalda eða einkaaðila ef lagaheimild stóð til miðlunarinnar. Þá telur Persónuvernd að ákvæði 3. gr. núgildandi reglugerðar, nr. 577/2020, tiltaki aðeins að heimilt sé að miðla persónuupplýsingum í þeim tilgangi sem þar er sérstaklega talinn upp í tölul. 1.-3. en takmarki ekki heimild til miðlunar í öðrum tilgangi samkvæmt ákvæðum laga. Tekið er fram í 11. gr. laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, að lögbæru yfirvaldi sé heimilt að miðla persónuupplýsingum sem safnað hefur verið í löggæslutilgangi til annarra opinberra aðila og einkaaðila að því marki sem nauðsynlegt er til að þeir geti sinnt lögbundnum hlutverkum sínum eða gætt lögvarinna hagsmuna sinna.

Samkvæmt 1. og 3. mgr. 72. gr. barnalaga, nr. 76/2006, ber ríkislögreglustjóra að láta sýslumanni í té afrit af gögnum sem sýslumaður telur nauðsynleg fyrir úrlausn máls. Ljóst er að ákvæðið hefur að geyma víðtæka heimild sýslumanns til að krefjast upplýsinga og gagna. Með vísan til þess að um var að ræða tiltekið mál sem var til meðferðar hjá Sýslumanninum á Norðurlandi eystra hvíldi lagaskylda á ríkislögreglustjóra að afhenda embættinu gögn í samræmi við beiðni þar að lútandi. Mat á því hvaða gögn væri nauðsynlegt að afhenda lá hjá sýslumanni en að mati Persónuverndar verður sú skylda ekki lögð á ríkislögreglustjóra enda hefur ríkislögreglustjóri ekki forsendur til að framkvæma slíkt mat. Þá er jafnframt til þess að líta að eingöngu var afhent yfirlit á kennitölu kvartanda úr málaskrá sem hafði að geyma takmarkaðar upplýsingar, en sýslumaður þarf að óska sérstaklega eftir tilteknum færslum ef hann metur það nauðsynlegt fyrir úrvinnslu máls.

Líkt og fram kemur í kafla II.2. er fjallað um fræðsluskyldu, gagnsæi og rétt hins skráða til upplýsinga í 17. gr. laga nr. 90/2018. Samkvæmt 2. tölul. ákvæðisins á hinn skráði rétt til upplýsinga um vinnslu, hvort sem persónuupplýsinga er aflað hjá honum sjálfum eða ekki, samkvæmt fyrirmælum 13.-15. gr. reglugerðar (ESB) 2016/679. Þegar persónuupplýsinga er aflað frá öðrum en hinum skráða ber almennt að veita honum fræðslu í samræmi við 14. gr. reglugerðarinnar. Þannig ber ábyrgðaraðila, sem hyggst vinna persónuupplýsingar frekar í öðrum tilgangi en þeim sem lá að baki söfnun þeirra, veita hinum skráða upplýsingar um hinn nýja tilgang, ásamt öðru, áður en vinnslan hefst, sbr. 4. mgr. 14. gr. reglugerðarinnar. Í 19. gr. laga nr. 90/2018 kemur hins vegar fram sú undanþága að upplýsingaskyldan samkvæmt 4. gr. 14. gr. reglugerðarinnar gildi ekki þegar stjórnvald miðlar persónuupplýsingum til annars stjórnvalds í þágu lögbundins hlutverks við framkvæmd laga og upplýsingum er miðlað aðeins að því marki sem nauðsynlegt er til að rækja lagaskyldu stjórnvalds.

Að framangreindu virtu er það niðurstaða Persónuverndar að afhending ríkislögreglustjóra á yfirliti yfir öll mál þar sem kvartandi var skráður í LÖKE til Sýslumannsins á Norðurlandi eystra hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Vinnsla Sýslumannsins á Norðurlandi eystra á persónuupplýsingum um [A] samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, um vinnsluheimild, gagnsæi og meðalhóf við vinnslu persónuupplýsinga.

Miðlun ríkislögreglustjóra á persónuupplýsingum um [A] samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, um vinnsluheimild, gagnsæi og meðalhóf við vinnslu persónuupplýsinga.

Persónuvernd, 10. júlí 2023

Helga Sigríður Þórhallsdóttir                           Edda Þuríður Hauksdóttir