Miðlun upplýsinga frá stéttarfélagi í tengslum við viðhorfskönnun
Persónuvernd hefur borist umsókn yðar, dags. 22. febrúar sl., þar sem óskað er eftir heimild til að fá að senda A upplýsingar um félagsmenn til úrvinnslu á tiltekinni viðhorfskönnun fyrir stéttarfélög B (D, E og F). Í umsókninni kemur fram að A mun þurfa nöfn og símanúmer félagsmanna og þegar könnun hafi farið fram þá verði þessum upplýsingum eytt. Einnig segir að upplýsingum um þjóðerni, kyn, aldur, hjúskaparstöðu og starfsgrein viðkomandi verði miðlað með framangreindum upplýsingum. Líta verður svo á að hér verði viðtökuaðili gagnanna, þ.e. A, ábyrgðaraðili þeirra í skilningi 4. tl. 2. gr. laga nr. 77/2000, þ.e. sá aðili sem eftir það ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og annast aðra ráðstöfun upplýsinganna.
Í 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er ákvæði sem fjallar um andmælarétt hins skráða og bannskrá Hagstofunnar. Í 5. mgr. 28. gr. segir:
1. ekki telst vera um afhendingu viðkvæmra persónuupplýsinga að ræða,
2. hinum skráða hefur, áður en afhending fer fram, verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um viðkomandi birtist á hinni afhentu skrá,
3. slíkt fer ekki gegn reglum eða samþykktum viðkomandi félags,
4. ábyrgðaraðili kannar hvort einhver hinna skráðu hefur komið andmælum á framfæri við Hagstofuna, sbr. 2. mgr., og eyðir upplýsingum um viðkomandi áður en hann lætur skrána af hendi.
1. ml. 6. mgr. 28. gr. laga nr. 77/2000 hljóðar svo:
Í 8. tl. 2. gr. laga nr. 77/2000 er hugtakið viðkvæmar persónuupplýsingar skilgreint og í e-lið ákvæðisins segir að undir hugtakið falli upplýsingar um stéttarfélagsaðild.
Af ofangreindu er ljóst að miðlun upplýsinga um nöfn og símanúmer félagsmanna í stéttarfélögum B samrýmist ekki ákvæði 5. mgr., sbr. 6. mgr. 28. gr. laga nr. 77/2000.
Samkvæmt 3. mgr. 9. gr. laga nr. 77/2000 getur Persónuvernd heimilað vinnslu viðkvæmra persónuupplýsinga í öðrum tilvikum en greinir í 1. og 2. mgr. telji hún brýna almannahagsmuni mæla með því. Persónuvernd bindur slíka heimild þeim skilyrðum sem hún telur nauðsynleg hverju sinni til að tryggja hagsmuni hinna skráðu.
Hugtakið brýnir almannahagsmunir er hvergi skilgreint í ákvæðum laga nr. 77/2000 en með því er átt við þá hagsmuni sem telja verður að hafi samfélagslega þýðingu fyrir breiðan hóp manna. Hér er um undanþáguákvæði að ræða og í athugasemdum greinargerðar með frumvarpi því sem síðar varð að lögum nr. 77/2000 segir að í ýmsum tilvikum kunna mikilvægir samfélagshagsmunir að vera varðir í sérlögum sem heimila vinnslu upplýsinganna. Einnig segir að dæmi um mikilvæga almannahagsmuni megi finna í 34 - 36. gr. formálsorða tilskipunar 95/46 (Alþt. 1999-2000, A-deild, bls. 2728). Í ofangreindum formálsorðum tilskipunarinnar eru nefnd nokkur dæmi um tiltekna viðkvæma flokka upplýsinga sem geti fallið hér undir, t.d. á sviði almannaheilbrigðis og almannatrygginga, á sviði vísindarannsókna og opinberra hagskýrslna og vinnsla opinberra yfirvalda til að ná markmiðum samkvæmt stjórnskipunarlögum eða þjóðarétti.
Stjórn Persónuverndar tók umsókn yðar til umfjöllunar á fundi sínum í dag og komst að þeirri niðurstöðu að heimila ekki þá vinnslu viðkvæmra persónuupplýsinga sem um ræðir, sbr. 3. mgr. 9. gr. laga nr. 77/2000, enda verða ekki taldir brýnir almannahagsmunir mæla með slíkri vinnslu.
Hins vegar skal yður bent á ákvæði 5. tl. 1. mgr. 9. gr. laga nr. 77/2000 sem mælir fyrir um heimild til vinnslu viðkvæmra persónuupplýsinga enda sé vinnslan framkvæmd af samtökum sem hafa séttarfélagsleg markmið eða af öðrum samtökum sem ekki starfa í hagnaðarskyni, svo sem menningar-, líknar-, félagsmála- eða hugsjónasamtökum, enda sé vinnslan liður í lögmætri starfsemi samtakanna og taki aðeins til félagsmanna þeirra eða einstaklinga sem samkvæmt markmiðum samtakanna eru, eða hafa verið, í reglubundnum tengslum við þau; slíkum persónuupplýsingum má þó ekki miðla áfram án samþykkis hins skráða.
Samkvæmt framangreindu er það niðurstaða Persónuverndar að umrædd vinnsla viðkvæmra persónuupplýsinga teljist heimil fari hún fram innan félaganna sjálfra, og fari að öðru leyti fram í samræmi við lög nr. 77/2000. Á hinn bóginn er það niðurstaða Persónuverndar að óheimilt sé að miðla upplýsingum um félagsmenn til utanaðkomandi aðila, s.s. A, án samþykkis þeirra sjálfra.