Vinnsla persónuupplýsinga af hálfu Vefmiðlunar ehf.

Mál nr. 2021020451

30.11.2022

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga um kvartanda á vefsíðu Manor, www.manor.is, af hálfu Vefmiðlunar ehf. í máli nr. 2021020451:

I.
Málsmeðferð

Hinn 17. febrúar 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir birtingu persónuupplýsinga um hann í dómsúrlausnum á vefsíðu Manor, www.manor.is. Í kvörtuninni kemur fram að á vefsíðunni sé að finna þrjá dóma frá íslenskum dómstólum þar sem nafn kvartanda, kennitala og heimilisfang komi fram, auk heilsufarsupplýsinga. Umræddir dómar hafi ekki verið nafnhreinsaðir í samræmi við viðeigandi reglur og úrskurði Persónuverndar þar um.

Persónuvernd bauð Vefmiðlun ehf., rekstraraðila vefkerfisins Manor, að tjá sig um kvörtunina með bréfi, dags. 28. júní 2021, og bárust svör frá lögmanni félagsins, með bréfi, dags. 30. ágúst s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Vefmiðlunar ehf. með bréfi, dags. 8. september s.á. Athugasemdir kvartanda við svör Vefmiðlunar ehf. bárust með bréfi frá lögmanni kvartanda, dags. 3. október 2022. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Ágreiningur er um heimild Vefmiðlunar ehf. til þess að veita aðgang að dómum, sem birtir eru á vefum dómstóla landsins, á vefsíðu Manor án þess að persónuupplýsingar kvartanda hafi verið afmáðar.

Kvartandi byggir á því að Vefmiðlun ehf. hafi ekki heimild til þess að dreifa dómum með viðkvæmum persónuupplýsingum, í hagnaðarskyni, án almennrar vitneskju borgaranna sem í hlut eiga. Á vefsíðu Manor sé að finna þrjá dóma frá íslenskum dómstólum þar sem persónuupplýsingar kvartanda komi fram, þar á meðal viðkvæmar persónuupplýsingar, þrátt fyrir að Persónuvernd hafi úrskurðað um að nafnhreinsa skyldi umrædda dóma í samræmi við lög um persónuvernd. Þá byggir kvartandi einnig á því að Vefmiðlun ehf. hafi enga heimild til vinnslu viðkvæmra persónuupplýsinga samkvæmt 11. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Kvartandi hefur jafnframt vísað til þess, í tengslum við annað mál sem varðaði birtingu þriðja aðila á dómsúrslausnum á Netinu, að engar tæknilegar og skipulagslegar ráðstafanir séu til staðar til þess að tryggja öryggi við birtingu dóma í kerfi Manor. Þá telur kvartandi að niðurstaða Persónuverndar í máli nr. 2018/30, um ábyrgðarleysi einkafyrirtækja sem birta dómsúrlausnir án sérstakrar skoðunar á lögmæti birtingar upplýsinganna sem dómarnir hafa að geyma, standist ekki lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.

Vefmiðlun ehf. telur að Hæstiréttur Íslands, Landsréttur, dómstólasýslan og eftir atvikum hlutaðeigandi héraðsdómstólar séu ábyrgðaraðilar að þeirri vinnslu persónuupplýsinga sem felist í birtingu persónuupplýsinga í útgefnum dómum og ákveði hvaða persónuupplýsingar skuli afmá úr dómum eins og þeir birtast í dómasöfnum. Byggt er á því að Vefmiðlun ehf. beri aðeins ábyrgð á þeirri vinnslu sem felist í að veita aðgang að umræddum dómum um kvartanda og sé heimilt að ganga út frá því að birting dóma samræmist persónuverndarlögum almennt, sbr. niðurstöðu Persónuverndar í máli nr. 2018/30.

Þá byggir Vefmiðlun ehf. á því að sú vinnsla sem felist í því að veita aðgang að úrlausnum dómstóla sé nauðsynleg til þess að stofna, hafa uppi eða verja réttarkröfur, sbr. 6. tölul. 1. mgr. 11. gr. laga nr. 90/2018. Vísað er til þess að dómasafn Manor sé aðeins aðgengilegt lögmannsstofum og að þeir dómar sem hafi verið kveðnir upp í íslenskum rétti hafi ýmist fordæmisgildi eða séu réttarsögulegar heimildir sem hafi þar af leiðandi töluvert hagnýtt gildi í störfum lögmanna.

Vefmiðlun ehf. vísar jafnframt til 9. gr. höfundarlaga nr. 73/1972, sem kveður á um að hverjum sem er sé heimilt að gefa út dóma, eins og þeir koma frá hendi hins opinbera. Verði því að játa Manor rúmt svigrúm til þess að veita aðgang að dómum sem hafa verið birtir af dómstólum.

II.
Niðurstaða
1.
Gildissvið – ábyrgðaraðili

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölulið 4. gr. reglugerðar (ESB) 2016/679.

Kveðið er á um útgáfu dóma Hæstaréttar Íslands og héraðsdómstóla í 20. og 38. gr. laga um dómstóla, nr. 50/2016. Í 2. mgr. 20. gr. laganna segir að dómar Hæstaréttar skuli gefnir út ásamt þeim úrlausnum Landsréttar og héraðsdómstóla sem við eigi hverju sinni. Við útgáfu dóma Hæstaréttar skuli meðal annars nema brott úr þeim upplýsingar um einka-, fjárhags- eða viðskiptahagsmuni einstaklinga. Í 1. mgr. 38. gr. laga nr. 50/2016 kemur fram að dómstólasýslan hafi umsjón með útgáfu dóma og úrskurða héraðsdómstóla. Í 2. mgr. 38. gr. laganna segir að héraðsdómar í einkamálum sem varði viðkvæm persónuleg málefni aðila, svo sem lögræði, sifjar, erfðir, forsjá barna og umgengni við þau, skuli ekki gefnir út. Við útgáfu annarra dóma skuli meðal annars nema brott úr þeim upplýsingar um einka-, fjárhags- eða viðskiptahagsmuni einstaklinga. Einnig skuli gæta nafnleyndar í dómum í einkamálum ef sérstök ástæða sé til og þá jafnframt afmá önnur atriði úr dómi sem tengt geti aðila eða aðra við sakarefnið.

Á þeim tíma er kvörtun barst voru í gildi reglur dómstólasýslunnar um birtingu dóma og úrskurða á vefsíðum dómstólanna, nr. 3/2019, sem settar voru í samræmi við 6. mgr. 7. gr. laga nr. 50/2016. Kom þar fram í 1. gr. að hver dómstóll fyrir sig bæri ábyrgð á því að birting dómsúrlausna væri í samræmi við reglurnar. Í 3. og 4. gr. þágildandi reglna var fjallað um nafnleynd og brottnám upplýsinga við útgáfu dómsúrlausna. Núgildandi reglur dómstólasýslunnar um birtingu dóma og úrskurða á vefsíðum dómstóla eru nr. 3/2022. Í III. og IV. kafla reglnanna er fjallað um nafnleynd og brottnám upplýsinga við útgáfu dómsúrlausna og í 13. gr. reglnanna kemur fram að hver dómstóll fyrir sig beri ábyrgð á því að útgáfa þeirra sé í samræmi við reglurnar.

Með hliðsjón af framangreindum ákvæðum laga nr. 50/2016 og reglum nr. 3/2022 teljast dómstólar landsins vera ábyrgðaraðilar að þeirri vinnslu persónuupplýsinga sem felst í birtingu upplýsinga í útgefnum dómum, þar á meðal ákvörðun um það hvaða upplýsingar í dómum teljist þess eðlis að þær verði ekki birtar.

Af hálfu kvartanda hefur komið fram að á vefsíðu Manor sé að finna þrjá dóma frá íslenskum dómstólum þar sem persónuupplýsingar kvartanda komi fram, þar á meðal viðkvæmar persónuupplýsingar, þrátt fyrir að Persónuvernd hafi úrskurðað um að nafnhreinsa skyldi umrædda dóma í samræmi við lög um persónuvernd. Í því sambandi er að líta til þess að í kjölfar dóms Evrópudómstólsins frá 24. mars sl. í máli nr. C-245/20 lítur Persónuvernd nú svo á að stofnunin sé ekki bær til að fjalla um vinnslu persónuupplýsinga sem er framkvæmd af dómstólum í sambandi við birtingu dóma á Netinu, sbr. 3. mgr. 55. gr. reglugerðar (ESB) 2016/679.

Í málinu var fjallað um undanþágu frá valdsviði eftirlitsyfirvalda samkvæmt 3. mgr. 55. gr. reglugerðarinnar, sem vísar til þess þegar dómstólar fara með dómsvald sitt, í tengslum við afhendingu dómstóls á dómskjölum til blaðamanns. Í niðurstöðu dómsins segir að vinnsla persónuupplýsinga framkvæmd af dómstólum í sambandi við upplýsingastefnu þeirra (e. in context of their communication policy) varðandi mál sem þeir hafa til meðferðar, þar á meðal að veita blaðamönnum tímabundinn aðgang að dómskjölum til þess að geta fjallað um málin í fjölmiðlum, falli utan valdsviðs eftirlitsyfirvalda. Áréttað er í dóminum að skýrt sé að miðlun persónuupplýsinga úr dómskjölum til blaðamanna, til þess að þeir geti greint frá gangi dómsmála eða varpað ljósi á niðurstöður að öðru leyti, sé tengd beitingu dómstóla á dómsvaldi sínu. Eftirlit yfirvalds, sem standi utan dómsvaldsins, með þessari vinnslu persónuupplýsinga væri því til þess fallið að grafa almennt undan sjálfstæði dómstólanna.

Á vef Manor er m.a. veittur aðgangur að dómum íslenskra dómstóla, eins og þeir birtast á vefsíðum þeirra. Með hliðsjón af því sem að framan er rakið um ábyrgð dómstóla landsins, hvað varðar birtingu persónuupplýsinga í útgefnum dómum, verður Vefmiðlun ehf. ekki talin ábyrgðaraðili að þeirri vinnslu persónuupplýsinga. Er þá meðal annars litið til þess að samkvæmt 9. gr. höfundalaga nr. 73/1972 er hverjum sem er heimilt að gefa út dóma, eins og þeir koma frá hendi hins opinbera, sbr. athugasemdir við 9. gr. í frumvarpi að þeim lögum. Þrátt fyrir að hér sé ekki um að ræða útgáfu dóma heldur rafrænan aðgang að þeim á vef Manor verður almennt að telja að þeir sem ýmist gefa út dóma eða veita aðgang að þeim, eins og þeir birtast á vef Hæstaréttar Íslands, Landsréttar eða héraðsdómstólanna, eða í útgefnum ritum dómstólanna, geti ekki verið ábyrgðaraðilar hvað varðar ákvörðun um hvaða persónuupplýsingar eigi að afmá úr dómum eins og þeir birtast almenningi í dómasöfnum heldur hvílir sú ábyrgð á dómstólunum eins og fyrr greinir. Er sú niðurstaða í samræmi við úrskurð Persónuverndar frá 31. janúar 2019 í máli nr. 2018/30.

Vefmiðlun ehf. telst því aðeins ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem felst í að gera útgefna dóma dómstóla landsins tiltæka með veitingu aðgangs að þeim á vefsíðu Manor, til dæmis með notkun ýmissa leitarskilyrða í leitarvél á vefsíðunni.

2.
Lögmæti vinnslu

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda sem felst í því að á vefsíðunni Manor hafi verið aðgengilegir þrír dómar íslenskra dómstóla, tveir hæstaréttardómar og einn héraðsdómur, þar sem nafn kvartanda, kennitala og heimilisfang komi fram, auk heilsufarsupplýsinga. Málið varðar því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Vefmiðlun ehf. telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679, sbr. umfjöllun í kafla II.1.

Samkvæmt upplýsingum frá Vefmiðlun ehf. voru umræddir dómar fjarlægðir úr dómasafni Manor eftir að Vefmiðlun ehf. fékk upplýsingar um kvörtun kvartanda og þeir síðar birtir upp á nýtt eftir að þeir höfðu verið gerðir ópersónugreinanlegir.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að vinna verk í þágu almannahagsmuna, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins. Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar, þ.e. persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, viðkvæmar, en af kvörtun og fylgiskjölum verður ráðið að unnið hafi verið með upplýsingar um heilsufar kvartanda. Eins og hér háttar til kemur þá einkum til skoðunar 6. tölul. 1. mgr. 11. gr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, sbr. f-lið 2. mgr. 9. gr. reglugerðarinnar.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.

Við mat á því hvort farið hafi verið að ákvæðum persónuverndarlaga getur loks þurft að líta til ákvæða annarra laga, eftir því sem við á hverju sinni. Eins og hér háttar til reynir meðal annars á 9. gr. höfundalaga nr. 73/1972, sem að framan greinir og kveður á um að hverjum sem er sé heimilt að gefa út dóma, eins og þeir koma frá hendi hins opinbera. Þrátt fyrir að veiting aðgangs að dómum feli ekki í sér útgáfu dóma samkvæmt ákvæðinu verður sú ályktun dregin af því að svigrúm annarra aðila en dómstóla landsins til að veita aðgengi að dómum, eins og dómstólar hafa birt þá, sé nokkuð rúmt.

Sem fyrr segir lýtur kvörtun málsins að efnisinntaki þriggja dóma sem aðgengilegir eru í dómasafni á vef Manor. Þegar hefur verið komist að niðurstöðu um að Vefmiðlun ehf. beri ekki ábyrgð á þeirri vinnslu persónuupplýsinga sem felst í birtingu upplýsinganna í umræddum dómum. Kemur þá til skoðunar hver ábyrgð Vefmiðlun ehf. er á grundvelli persónuverndarlaga varðandi aðgang að útgefnum eða birtum dómum á vef félagsins.

Að mati Persónuverndar mega þeir sem gefa út eða veita aðgang að dómum íslenskra dómstóla, eins og þeir hafa verið birtir af dómstólum, almennt gera ráð fyrir því að birting dómanna, af hálfu dómstólanna, sé í samræmi við lög. Hvað varðar birtingu persónuupplýsinga í dómum verður að telja að Vefmiðlun ehf. sé því heimilt að ganga út frá því að vinnsla dómstólanna samrýmist persónuverndarlögum.

Hvernig Vefmiðlun ehf. skuli bregðast við þegar fyrir liggur niðurstaða um að birting persónuupplýsinga í dómum sé ekki í samræmi við persónuverndarlög má til hliðsjónar vísa í 66. lið formálsorða reglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679. Þar segir að til að efla megi réttinn til að gleymast í netumhverfi ætti að víkka réttinn til eyðingar þannig að ábyrgðaraðila, sem gert hefur persónuupplýsingar opinberar, sé skylt að upplýsa þá ábyrgðaraðila sem vinni slíkar upplýsingar um að afmá beri alla tengla á þessar persónuupplýsingar eða afrit af þeim eða endurgerðir þeirra. Að mati Persónuverndar má styðjast við framangreind sjónarmið þegar horft er til þess hvernig rétt getur verið að bregðast við þegar komist hefur verið að niðurstöðu um að birting dóma, eða annarra opinberra skjala, feli í sér ólögmæta birtingu persónuupplýsinga. Myndi slík framkvæmd einnig samrýmast fyrrgreindri meginreglu 1. mgr. 8. gr. laga nr. 90/2018 um lögmæta, sanngjarna og gagnsæja vinnsluhætti.

Þegar Vefmiðlun ehf. fékk vitneskju um kvörtun kvartanda til Persónuverndar voru persónugreinanlegar upplýsingar um kvartanda afmáðar úr þeim dómum sem kvörtunin lýtur að. Dómarnir hafa nú verið birtir aftur á vefsíðu Manor en gerðir ópersónugreinanlegir. Verður því að telja að Vefmiðlun ehf. hafi fullnægt skyldum sínum sem ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem felst í að veita aðgang að þeim dómum sem kvörtunin lýtur að.

Að framangreindu virtu er það niðurstaða Persónuverndar að veiting Vefmiðlunar ehf. á aðgangi að dómum Hæstaréttar Íslands í málum nr. [...] og [...] og Héraðsdómi Reykjaness í máli nr. [...] á vefsíðu Manor samrýmist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Vinnsla Vefmiðlunar ehf. á persónuupplýsingum um [A], sem felst í því að veita aðgang að dómum Hæstaréttar Íslands í málum nr. [...] og [...] og Héraðsdómi Reykjaness í máli nr. [...] á vefsíðu Manor, samrýmist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 30. nóvember 2022

Helga Þórisdóttir                     Helga Sigríður Þórhallsdóttir