Vinnsla persónuupplýsinga hjá Þjóðskrá Íslands
Mál nr. 2020123147
Persónuvernd hefur úrskurðað í máli varðandi vinnslu persónuupplýsinga hjá Þjóðskrá Íslands. Kvörtunin laut m.a. að því hvort vinnsla Þjóðskrár Íslands á persónuupplýsingum um kvartanda og börn hennar í skrám stofnunarinnar samrýmist lögum nr. 90/2018. Niðurstaða Persónuverndar var sú að umrædd vinnsla færi fram á grundvelli lagaskyldu og væri því heimil. Þá var einnig fjallað um þá ósk kvartanda að persónuupplýsingar hennar og barna hennar yrðu afmáðar úr skrám Þjóðskrár Íslands. Niðurstaða Persónuverndar var sú að skráning stofnunarinnar á persónuupplýsingum færi fram á grundvelli lagaskyldu og að stofnuninni væri ekki skylt að afmá þær persónuupplýsingar um kvartanda og börn hennar sem lögum samkvæmt skal skrá í þjóðskrá.
Úrskurður
Hinn 3. mars 2022 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020123147:
I.
Málsmeðferð
1.
Tildrög máls
Hinn 29. desember 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga hjá Þjóðskrá Íslands. Nánar tiltekið laut kvörtunin í fyrsta lagi að því hvort vinnsla Þjóðskrár Íslands á persónuupplýsingum um kvartanda og börn hennar í skrám stofnunarinnar samrýmist lögum nr. 90/2018, í öðru lagi hvort [...] og í þriðja lagi hvort unnt sé að óska eftir því að persónuupplýsingar kvartanda og barna hennar verði afmáðar úr skrám Þjóðskrár Íslands.
Með tölvupósti þann 8. janúar 2021, í kjölfar símtals Persónuverndar við kvartanda, óskaði Persónuvernd eftir staðfestingu á afmörkun stofnunarinnar á umkvörtunarefninu. Staðfesti kvartandi það með tölvupósti þann 20. s.m. Persónuvernd bauð Þjóðskrá Íslands að tjá sig um kvörtunina með bréfi, dags. 28. júlí 2021, og bárust svör stofnunarinnar þann 3. september s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Þjóðskrár Íslands með tölvupósti þann 1. nóvember 2021, og bárust þær með tölvupósti þann 9. janúar 2022. Með tölvupósti þann 8. febrúar 2022 óskaði Persónuvernd frekari upplýsinga frá Þjóðskrá Íslands og bárust svör með tölvupósti þann 16. s.m. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.
2.
Sjónarmið kvartanda
Af hálfu kvartanda er á því byggt að [vinnsla Þjóðskrár Íslands á persónuupplýsingum um hana og börn hennar í skrám stofnunarinnar sé óheimil. Þá byggir kvartandi á því að Þjóðskrá Íslands hafi borið að afmá upplýsingar um hana og börn hennar úr skrám stofnunarinnar samkvæmt beiðni hennar þar að lútandi.]
3.
Sjónarmið Þjóðskrár Íslands
Þjóðskrá Íslands vísar til þess vinnsla persónuupplýsinga um kvartanda og börn hennar byggi á 3. tölul. 1. mgr. 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, um að vinnsla sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvíli á ábyrgðaraðila. Um skráningu einstaklinga í þjóðskrá sé fjallað um í lögum um skráningu einstaklinga nr. 140/2019 en í 1. mgr. 6. gr. þeirra laga komi fram hvaða upplýsingar stofnuninni sé skylt að skrá [...]. Jafnframt er byggt á því að vinnslan hafi uppfyllt meginreglur laga nr. 90/2018, sbr. 1. mgr. 8. gr. þeirra. [...]
[...] Að lokum telur Þjóðskrá Íslands sér ekki heimilt að afmá persónuupplýsingar um kvartanda og börn hennar úr þjóðskrá þar sem á stofnuninni hvíli skýr lagaskylda um skráningu upplýsinganna, sbr. framangreint. Þá sé Þjóðskrá Íslands opinber stofnun og um hana gildi lög um opinber skjalasöfn nr. 77/2014 en samkvæmt 24. gr. þeirra laga sé óheimilt að eyða skjölum nema með heimild frá Þjóðskjalasafni Íslands. Vegna þess eigi 1. mgr. 20. gr. laga nr. 90/2018 og 17. gr. reglugerðar (ESB) 2016/679 ekki við um vinnslu í þjóðskrá. Bent er á að Persónuvernd hafi staðfest framangreint í framkvæmd sinni, m.a. í málum nr. 2013/369 og 2016/1433.
II.
Forsendur og niðurstaða
1.
Afmörkun máls
Í samræmi við fyrrgreind samskipti Persónuverndar við kvartanda afmarkast umkvörtunarefnið í fyrsta lagi við það hvort vinnsla Þjóðskrár Íslands á persónuupplýsingum um kvartanda og börn hennar í skrám stofnunarinnar samrýmist lögum nr. 90/2018, í öðru lagi [...] og í þriðja lagi hvort unnt sé að óska eftir því að persónuupplýsingar kvartanda og barna hennar verði afmáðar úr skrám Þjóðskrár Íslands.
Það fellur hins vegar utan valdsviðs Persónuverndar að fjalla um eða taka afstöðu til þess hvort verklag starfsmanna Þjóðskrár Íslands hafi samræmst öðrum lögum eða góðum stjórnsýsluháttum.
2.
Gildissvið - Ábyrgðaraðili
Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.
Mál þetta lýtur að [vinnslu persónuupplýsinga] í skrám Þjóðskrár Íslands. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Eins og hér háttar til telst Þjóðskrá Íslands vera ábyrgðaraðili að umræddri vinnslu.
3.
3.1. Lagaumhverfi
Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.
Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Um hlutverk Þjóðskrár Íslands er fjallað í lögum nr. 70/2018, þar sem segir m.a. að stofnunin skuli gæta upplýsinga um einstaklinga, lögaðila og fasteignir með því að safna, varðveita, uppfæra og miðla þeim upplýsingum á öruggan hátt, sbr. 1. mgr. 3. gr. laganna. Stofnunin skal sjá um þjóðskrá og tengdar skrár, sbr. a-lið 2. mgr. 3. gr. sömu laga.
Lög um skráningu einstaklinga nr. 140/2019 gilda samkvæmt 2. gr. þeirra um skráningu einstaklinga hér á landi, m.a. þeirra sem eiga eða hafa átt lögheimili á Íslandi og börn fædd á Íslandi. Í ákvæðinu segir að skráning einstaklinga fari fram í þjóðskrá sem innihaldi grunnupplýsingar um einstaklinga sem nauðsynlegar eru til starfrækslu ríkis og sveitarfélaga. Í 1. mgr. 6. gr. laga nr. 140/2019 er upptalið hvaða upplýsingar um einstaklinga skuli skráðar í þjóðskrá, m.a. lögheimili (10. málsl.). Samkvæmt 1. mgr. 9. gr. laganna er það Þjóðskrá Íslands sem annast skráningu einstaklinga í þjóðskrá.
[...]
3.2 Lögmæti vinnslu
Persónuvernd telur að skráning Þjóðskrár Íslands á persónuupplýsingum kvartanda og barna hennar fari fram á grundvelli framangreindra ákvæða laga nr. 70/2018 um Þjóðskrá Íslands, laga nr. 140/2019 um skráningu einstaklinga og laga nr. 80/2018 um lögheimili og aðsetur, og geti því stuðst við heimild í 3. tölul. 1. mgr. 9. gr. laga nr. 90/2018 og c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.
Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.) og að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.).
[...]
Að mati Persónuverndar verður að telja að skráning persónuupplýsinga um kvartanda og börn hennar almennt í þjóðskrá samrýmist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679. [...] Þá verður að mati Persónuverndar ekki séð að framangreind vinnsla persónuupplýsinga hjá Þjóðskrá Íslands hafi verið í andstöðu við meginreglur 8. gr. laga nr. 90/2018 og 5. gr. reglugerðar (ESB) 2016/679.
3.3. Afmáning úr skrám Þjóðskrár Íslands
Hvað varðar kröfu kvartanda um að fá persónuupplýsingar sínar og barna sinna afmáðar úr skrám Þjóðskrár Íslands er til þess að líta að Þjóðskrá Íslands starfar sem fyrr segir samkvæmt lögum nr. 70/2018 um Þjóðskrá Íslands ásamt því að um hlutverk hennar varðandi skráningu einstaklinga í þjóðskrá er jafnframt fjallað í lögum um skráningu einstaklinga nr. 140/2019. Eins og rakið er framar í úrskurðinum getur sú skráning stuðst við heimild í 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.
Um rétt hins skráða til eyðingar persónuupplýsinga er fjallað í 17. gr. reglugerðarinnar, sbr. 1. mgr. 20. gr. laga nr. 90/2018, en rétturinn er háður því að eitt þeirra skilyrða fyrir eyðingu, sem tiltekin eru í 1. mgr. 17. gr. reglugerðarákvæðisins, séu uppfyllt. Þá segir í b-lið 3. mgr. 17. gr. að ákvæði 1. mgr. gildi ekki að því marki sem vinnsla er nauðsynleg til að uppfylla lagaskyldu um vinnslu sem hvílir á ábyrgðaraðilanum samkvæmt lögum og krefst þess að unnið sé með persónuupplýsingar. Að mati Persónuverndar á því 1. mgr. 20. gr. laga nr. 90/2018 og 17. gr. reglugerðar (ESB) 2016/679 ekki við um vinnslu persónuupplýsinga í þjóðskrá, sem fram fer á grundvelli lagaskyldu, sbr. framangreint.
Að framangreindu virtu er niðurstaða Persónuverndar sú að Þjóðskrá Íslands sé ekki skylt að afmá þær persónuupplýsingar um kvartanda og börn hennar sem lögum samkvæmt skal skrá í þjóðskrá.
Ú r s k u r ð a r o r ð:
Skráning og varðveisla Þjóðskrár Íslands á persónuupplýsingum [A] og barna hennar samrýmist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.
[...]
Synjun Þjóðskrár Íslands um að afmá persónuupplýsingar [A] og barna hennar úr skrám stofnunarinnar samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.
Persónuvernd, 3. mars 2022
Helga Sigríður Þórhallsdóttir Steinunn Birna Magnúsdóttir