Vinnsla TR á IP-tölu í samræmi við lög

Mál nr. 2020051731

8.7.2021

Úrskurður

Hinn 8. júlí 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020051731:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 25. maí 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu Tryggingastofnunar ríkisins (TR) á upplýsingum um IP-tölu hans og ósk stofnunarinnar um flutning lögheimilis hans á grundvelli þeirra upplýsinga. 

Með bréfi, dags. 16. febrúar 2021, var TR boðið að koma á framfæri skýringum vegna kvörtunarinnar. TR svaraði með bréfi, dags. 15. mars s.á. Með bréfi, dags. 16. mars 2021, var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið TR. Bárust athugasemdir kvartanda með tölvupósti 29. mars 2021, en einnig bárust athugasemdir frá lögmanni f.h. kvartanda 15. apríl s.á. Þá sendi kvartandi Persónuvernd viðbótarupplýsingar með tölvupóstum 6. apríl, 29. maí og 13. júní 2021. 

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði. 

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að TR hafi unnið með upplýsingar um IP-tölu hans án heimildar og á grundvelli þeirra óskað eftir því að lögheimili kvartanda yrði flutt frá Íslandi 4. janúar 2017. Kvartandi telur TR hafa fengið upplýsingar um búsetu hans gegnum tilkynningahnapp á vefsíðu stofnunarinnar og að notkun slíks tilkynningahnapps sé ólögmæt. Kvartandi telur TR ekki hafa verið heimilt að fylgjast með IP-tölu hans og vísar í því sambandi meðal annars til úrskurðar Persónuverndar í máli nr. 2018/1718, um notkun Vinnumálastofnunar á upplýsingum um IP-tölur.

Kvartandi hefur lagt fram ýmis gögn, þ.m.t. úrskurði úrskurðarnefndar um upplýsingamál og úrskurðarnefndar velferðarmála, en með hliðsjón af valdsviði Persónuverndar og efni kvörtunarinnar, þ.e. notkun upplýsinga um IP-tölu kvartanda, þykir ekki tilefni til að rekja efni þeirra gagna nánar.

3.

Sjónarmið Tryggingastofnunar ríkisins

TR byggir á því að samkvæmt 4. gr. laga nr. 100/2007, um almannatryggingar, sé búseta hér á landi skilyrði tryggingaverndar samkvæmt lögunum sem falli niður þegar búseta er flutt frá Íslandi. TR sé falið að ákvarða hvort einstaklingur teljist tryggður hér á landi samkvæmt lögunum. Þá sé stofnuninni falið að sannreyna reglubundið réttmæti bóta, greiðslna og upplýsinga sem ákvörðun réttinda byggist á, sbr. 45. gr. laga nr. 100/2007. Komi fram vísbendingar við eftirlit TR um að lögheimili kunni að vera rangt skráð komi stofnunin slíkum upplýsingum á framfæri við Þjóðskrá Íslands.

Bréfi TR til Persónuverndar, dags. 15. mars 2021, fylgdi afrit bréfs stofnunarinnar til Þjóðskrár Íslands, dags. 4. janúar 2017, þar sem óskað var könnunar Þjóðskrár á því hvort lögheimili kvartanda og fjölskyldu hans væri rétt skráð. Var í síðarnefnda bréfinu vísað til þess að kvartandi og eiginkona hans ættu engar eignir á Íslandi, að eiginkona kvartanda hefði aldrei haft tekjur á Íslandi, að sonur kvartanda og eiginkonu hans væri ekki skráður í skóla hér á landi og að í gögnum sem TR hefði móttekið frá kvartanda kæmi fram að hann væri erlendis og hefði verið það undanfarin 8-9 ár. Síðastnefnd gögn hefðu borist TR frá kvartanda við endurmat örorku hans um mitt ár 2016.

Í svarbréfi TR er vitnað í fullyrðingu kvartanda um að upplýsingar um búsetu hans hafi borist stofnuninni gegnum þar til gerðan tilkynningahnapp en ekki fjallað sérstaklega um hana að öðru leyti. 

Í svarbréfi TR segir einnig að tölvusamskipti kvartanda við stofnunina hafi borið með sér að þau stöfuðu frá IP-tölu sem skráð væri erlendis en að erindi TR til Þjóðskrár Íslands hefði ekki byggst á því. TR telji því vinnslu stofnunarinnar á persónuupplýsingum í tengslum við erindið hafa verið í samræmi við meginreglur þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þá segir að Þjóðskrá Íslands hafi breytt lögheimili kvartanda á þann veg að skrá búsetu hans erlendis frá 4. janúar 2017 og að í kjölfarið hafi TR ákveðið að stöðva greiðslur til hans. Sú afgreiðsla hafi verið staðfest af úrskurðarnefnd velferðarmála og jafnframt af umboðsmanni Alþingis.

II.

Forsendur og niðurstaða

1.

Lagaskil

Kvörtun þessi varðar vinnslu persónuupplýsinga sem fór fram fyrir gildistöku laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga þann 15. júlí 2018. Umfjöllun og efni þessa úrskurðar takmarkast því við ákvæði eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

2.

Gildissvið – Ábyrgðaraðili

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga giltu um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem voru eða áttu að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar voru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi.

Mál þetta lýtur að vinnslu upplýsinga um IP-tölu kvartanda. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 var nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna var þar átt við þann sem ákvað tilgang vinnslu persónuupplýsinga, þann búnað sem notaður var, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Tryggingastofnun ríkisins vera ábyrgðaraðili að umræddri vinnslu.

3.

Lagaumhverfi

Öll vinnsla persónuupplýsinga varð að falla undir eitthvert af heimildarákvæðum 8. gr. laga nr. 77/2000. Má þar nefna að vinna mátti með persónuupplýsingar væri það nauðsynlegt til að fullnægja lagaskyldu sem hvíldi á ábyrgðaraðila, sbr. 3. tölul. lagagreinarinnar, eða vegna verks sem unnið var í þágu almannahagsmuna, sbr. 5. tölul. sömu greinar. 

Auk heimildar samkvæmt framangreindu varð vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Var þar meðal annars kveðið á um að persónuupplýsingar skyldu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skyldi vera í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skyldu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skyldu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt væri miðað við tilgang vinnslunnar (3. tölul.); og að þær skyldu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingum, sem væru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skyldi eytt eða þær leiðréttar án tafar (4. tölul.).

4.

Niðurstaða

Kvartandi telur TR hafa unnið með upplýsingar um IP-tölu hans í tengslum við beiðni stofnunarinnar um rannsókn Þjóðskrár Íslands á lögheimili kvartanda án þess að fullnægjandi heimild hafi staðið til vinnslunnar. Af hálfu TR hefur komið fram að tölvusamskipti við kvartanda hafi borið með sér að IP-tala hans væri skráð erlendis en hins vegar hafi fyrrnefnd beiðni byggst á öðrum gögnum og upplýsingum, líkt og rakið er hér að framan. 

Vinnsla TR á upplýsingum um IP-tölu kvartanda gat einkum byggst á 3. tölul. 8. gr. laga nr. 77/2000, um að vinnsla væri heimil væri hún nauðsynleg til að fullnægja lagaskyldu sem hvíldi á ábyrgðaraðila. Sem fyrr segir hvílir sú skylda á TR samkvæmt 45. gr. laga nr. 100/2007, um almannatryggingar, að sannreyna reglubundið réttmæti bóta, greiðslna og upplýsinga sem ákvörðun um réttindi byggist á. Að mati Persónuverndar felur lagaákvæði þetta í sér nægilega skýra lagaheimild til að fyrrnefnd vinnsla geti stuðst við 3. tölul. 8. gr. laga nr. 77/2000, að því gefnu að hún samrýmist ákvæðum laganna að öðru leyti. 

Með úrskurði, dags. 28. nóvember 2019, í máli nr. 2018/1718, komst Persónuvernd að þeirri niðurstöðu að IP-tölur gætu ekki, einar og sér, talist áreiðanlegar í skilningi laga nr. 90/2018 til þess að staðreyna staðsetningu einstaklinga. Til umfjöllunar í úrskurðinum var sá þáttur eftirlits Vinnumálastofnunar er laut að því hvort einstaklingar á atvinnuleysisskrá hefðu verið staddir erlendis, en réttur til atvinnuleysisbóta fellur almennt niður meðan á dvöl erlendis stendur nema tilgangur dvalarinnar sé atvinnuleit. Af gögnum málsins varð ekki ráðið að önnur gögn lægju til grundvallar ákvörðun Vinnumálastofnunar um missi réttar til atvinnuleysisbóta eða annarra viðurlaga samkvæmt lögum nr. 54/2006, um atvinnuleysistryggingar, en upplýsingar um IP-tölur og staðsetningu þeirra. Taldi Persónuvernd Vinnumálastofnun ekki hafa sýnt fram á að fyrir hendi væru úrræði til að tryggja að upplýsingar um IP-tölur væru áreiðanlegar til notkunar í þeim tilgangi að staðreyna staðsetningu einstaklings og var vinnslan því talin andstæð lögum nr. 90/2018. 

Ljóst er að TR vann með upplýsingar um IP-tölu kvartanda í aðdraganda þess að stofnunin óskaði eftir rannsókn Þjóðskrár Íslands á lögheimili kvartanda. Hins vegar telur Persónuvernd TR hafa sýnt fram á með fullnægjandi hætti að umrædd beiðni hafi verið byggð á öðrum gögnum en upplýsingum um IP-tölu kvartanda. Að mati Persónuverndar verður þeirri vinnslu sem hér er kvartað yfir því ekki jafnað til þeirrar vinnslu sem fjallað var um í úrskurði stofnunarinnar í máli nr. 2018/1718. Verður ekki séð að vinnsla TR á persónuupplýsingum um kvartanda, þ.m.t. um IP-tölu hans, í þeim tilgangi að sannreyna búsetu hans hafi brotið gegn 4. tölul. 1. mgr. 7. gr. laga nr. 77/2000, um áreiðanleika persónuupplýsinga, en ákvæðið er samhljóða 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 sem til umfjöllunar var í fyrrnefndum úrskurði Persónuverndar. Loks verður ekki séð að vinnslan hafi brotið gegn öðrum meginreglum laga nr. 77/2000.

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla Tryggingastofnunar ríkisins á persónuupplýsingum um kvartanda hafi samrýmst lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Ú r s k u r ð a r o r ð:

Vinnsla Tryggingastofnunar ríkisins á persónuupplýsingum um IP-tölu [A] samrýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Persónuvernd, 8. júlí 2021

 

 

 

Vigdís Eva Líndal                                                         Þórður Sveinsson