Aðgangur að gögnum tryggingafélags
Á fundi stjórnar Persónuverndar þann 18. apríl 2005 var kveðinn upp svohljóðandi úrskurður í máli nr. 2004/141:
I.
Grundvöllur málsins
Þann 15. apríl 2004 barst Persónuvernd erindi frá A hrl., hér eftir nefndur lögmaðurinn, fyrir hönd B, hér eftir nefndur málshefjandi. Tilefni erindisins er það að tryggingafélagið D hf. hafði ekki orðið við beiðni málshefjanda um aðgang að tilteknum upplýsingum um færslur sem félagið hafði gert í bókum sínum og tengdust umferðarslysi sem hann varð fyrir árið 1994. Í erindinu segir:
2. Eftir hvaða reglum var farið varðandi færslu félagsins í bótasjóð sinn vegna umferðarslysa á þessum tíma.
3. Hvenær var sú fjárhæð sem færð hafði verið í bótasjóð aftur færð félaginu til tekna.
4. Af hvaða ástæðu er viðkomandi tjónþola ekki tilkynnt um þessar fjárhagslegu tilfæringar hjá félaginu, ofangreindum [B] í þessu tilviki.
5. Vissi félagið ekki að [B] hafði slasast, þ.e. fengið áverka í slysinu og af hverju var honum ekki tilkynnt um það hvaða rétt hann átti vegna þessara áverka. Hvernig er þessu háttað í dag."
Bréfaskipti og sjónarmið málsaðila
1.
Almennt
Með bréfi, dags. 6. maí 2004, kannaði Persónuvernd afstöðu D til fyrrnefnds erindis. Í svarbréfi D, dags. 27. maí 2004, er vísað til laga nr. 60/1994 um vátryggingastarfsemi og hlutverks vátryggingaskuldar.
Til skýringar skal tekið fram að með vátryggingaskuld er, í skilningi þeirra laga, átt við óuppgerðar skuldbindingar félags vegna vátryggingasamninga í greiðsluvátryggingum, sbr. 2. mgr. 24. gr. þeirra laga. Í bréfi D er vísað til 34. gr. laganna. Samkvæmt því ákvæði skal vátryggingaskuld metin þannig að hún samsvari óuppgerðum heildarskuldbindingum vátryggingafélags vegna gerðra vátryggingasamninga. Skal vátryggingafélag m.a. uppfylla á hverjum tíma gjaldþolsskilyrði, þ.e. sjá til þess að á hverjum tíma séu fyrir hendi eignir, sérstaklega tilgreindar, til jöfnunar vátryggingaskuldinni. Skal í hverju tilviki fyrir sig meta þá áhættu sem felst í þeim eignum sem ætlað er að mæta vátryggingaskuldinni og sérstaklega með tilliti til dreifingar þannig að vægi einstakra tegunda og eignaliða verði takmarkað. Taka skal tillit til þeirrar áhættu sem felst í fjárfestingu af tiltekinni tegund og takmarka fjárhæðir til jöfnunar vátryggingaskuldinni í samræmi við það. Þá skal tekið fram að í úrskurði þessum er byggt á þeim skilningi Persónuverndar á með færslum í bótasjóð D eigi lögmaðurinn við þær færslur sem félagið hefur gert í bókum sínum til að uppfylla skyldu sína samkvæmt ákvæði 34. gr. laga nr. 60/1994.
Í framangreindu svarbréfi D kemur fram þar sem umræddar færslur tengist umsýslu félagsins á fjármunum í tengslum við vátryggingaskuld geti þær ekki talist vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þá segir að ástæður þess að málshefjanda hafi ekki verið kynnt réttindi sín hafi verið þær að honum hafi verið fullkunnugt um þau, enda hafi hann leitað til félagsins skömmu eftir slysið og fengið úrlausn sinna mála eins og réttur hans stóð til.
Málshefjanda var boðið að tjá sig um framangreind svör D með bréfi Persónuverndar, dags. 28. maí 2004. Í svarbréfi lögmannsinns til Persónuverndar, dags. 28. júní 2004, er því hafnað að málshefjandi hafi verið upplýstur um réttindi sín. Þá vísar lögmaðurinn til upplýsinga frá Fjármálaeftirlitinu um að tryggingafélögin afhendi því ýmis gögn, í tengslum við gerð ársreikninga, þ. á m. eyðublað sem sýnir aldursgreiningu greiddra og útistandandi tjóna, eftir því hvenær tjónsatburður varð og greinargerð sem vátryggingafélög skila um vátryggingaskuld. Því sé ljóst að tryggingafélög haldi sérstaklega utan um hvert tjón, enda væru færslur tryggingafélaga vegna vátryggingaskuldar að öðrum kosti óframkvæmanlegar. Því hljóti umræddar færslur að teljast til persónuupplýsinga þar sem þær séu tilkomnar vegna persónulegra haga hans og bótaréttar.
Þar sem Persónuvernd taldi sig þurfa frekari upplýsingar um almenna tilhögun slíkra færslna, s.s. um hvaða gögn lægju til grundvallar einstökum færslum og hvort þær væru með einhverju móti sérgreindar (tengdar tilteknum einstaklingum) í bókum félagsins, var óskað upplýsinga þar að lútandi með bréfi til D dags. 6. júlí 2004. Var jafnframt óskað eintaks af nefndu eyðublaði sem tryggingafélög senda Fjármálaeftirlitinu.
D svaraði með bréfi, dags. 21. júlí 2004. Í bréfinu er fyrst vikið að því hvort félagið hafi upplýst málshefjanda um rétt sinn. Er vitnað til ummæla lögmannsins í bréfi til D, dags. 24. júlí 2003, þar sem haft er eftir málshefjanda að félagið hafi viðurkennt bótaskyldu sína gagnvart honum og hafi kostað viðgerð á tönnum sem brotnuðu í umræddu slysi. Sé þetta til marks um að málshefjanda hafi verið kunnugt um rétt sinn. Þá segir, varðandi þær upplýsingar sem Persónuvernd hafði óskað eftir, að félaginu sé ljós skylda sín til að veita stofnuninni þessar upplýsingar en þær séu hins vegar mjög viðkvæmar rekstrarupplýsingar og þess því óskað að Persónuverndar staðfesti að farið verði með þær sem trúnaðarmál.
Í samtali sem forstjóri Persónuverndar átti við lögfræðing D, þann 22. júlí 2004, var upplýst Persónuvernd gæti ekki með samkomulagi við félagið takmarkað rétt aðila máls, samkvæmt 15. gr. stjórnsýslulaga nr. 37/1993, til aðgangs að gögnum málsins. Á hinn bóginn yrði aðila máls ekki veittur aðgangur að umræddum upplýsingum kæmist stofnunin að þeirri niðurstöðu að rétt væri að takmarka rétt hans á grundvelli 17. gr. áðurnefndra laga.
Síðar barst Persónuvernd bréf frá D, dags. 13. ágúst 2004, ásamt umbeðnu eyðublaði. Í bréfinu segir að færslan byggi á áætlun sem í tilviki málshefjanda hafi byggst á athugasemd í lögregluskýrslu, sem félaginu barst í kjölfar umrædds umferðarslyss, þess efnis að áverkar hans hafi ekki virst alvarlegir. Félaginu hafi síðar borist reikningur vegna tannviðgerða, en engar aðrar upplýsingar um afleiðingar slyssins. Segir að félagið hafi beitt tölfræðilegum aðferðum við ákvörðun um fjárhæð færslunnar og hún sérgreind í bókhaldi félagsins með svokölluðu tjónsnúmeri. Tekið skal fram að tjónsnúmer eru hlaupandi númer sem D gefur þeim málum sem félaginu berast. Tjónsnúmer gefur til kynna tegund tjóns, hvaða ár það átti sér stað og sérstakt málsnúmer. Segir í bréfinu að það sé því skoðun D að færslan tengist ekki hagsmunum málshefjanda þar sem hún byggi á áætlun sem félaginu er lögskylt að gera til að uppfylla kröfu um gjaldþol. Varðandi skýrslugjöf til Fjármálaeftirlitsins segir að eingöngu séu veittar upplýsingar um heildarfjárhæð fyrir tjón hvers árs í hverri tryggingagrein fyrir sig. Hér að neðan verður nánar vikið að sjónarmiðum félagsins.
Með bréfi Persónuverndar, dags. 19. ágúst 2004, var málshefjanda boðið að tjá sig um framangreind bréf D, dags. 21. júlí og 13. ágúst 2004. Áður en hann tjáði sig um bréfin barst Persónuvernd bréf frá D, dags. 30. september 2004, þar sem sjónarmið félagsins til kröfu málshefjanda voru rakin til frekari skýringar og áréttingar. Með bréfi Persónuverndar, dags. 15. nóvember 2004, var málshefjanda gefinn kostur á að gera athugasemdir við síðast nefnda bréf D og framlengdur frestur hans til að gera athugasemdir. Með bréfi til Persónuverndar, dags. 27. nóvember 2004, hafnaði málshefjandi sjónarmiðum D í málinu. Verða sjónarmið hans skýrð nánar hér að neðan.
Tekið skal fram að nefnt bréf málshefjanda var sent D til upplýsingar, með bréfi dags 6. desember 2004, en í bréfi félagsins, dags. 13. desember, kemur fram að það telur bréfið ekki gefa tilefni til frekari athugasemda. Þá sendi lögmaðurinn Persónuvernd bréf, dags. 3. mars 2005, en því fylgdi afrit af svari Ríkisskattstjóra, dags. 10 febrúar 2005, við fyrirspurn hans varðandi framkvæmd og túlkun á 7. tl. 31. gr. laga nr. 90/2003 um tekjuskatt og eignaskatt. Með tölvubréfi til Persónuverndar, dags. 11. mars 2005, tilkynnti D að síðast nefnda bréf lögmannsins, ásamt þeim gögnum sem því fylgdu, gæfi ekki tilefni til athugasemda af hálfu félagsins.
Nánar um sjónarmið
málshefjanda
Í framangreindum bréfum lögmannsins eru rakin þau sjónarmið og lagarök sem krafa málshefjanda byggir á, einkum í bréfi hans, dags. 27. nóvember 2004, sbr. eftirfarandi:
Engar rökbundnar ástæður séu til að neita umbjóðanda mínum um þessar upplýsingar og komi leyndarhagsmunir tryggingafélagsins þar ekki til greina, eða upplýsinga vernd til þeirra hluthafa sem mest eiga í félaginu.
Byggir umbjóðandi minn á að tryggingafélög eigi ekki að vera gróðafélög, þar sem allt snúist um arðgreiðslur til hluthafa, heldur sé meginmarkmið tryggingafélaga að gæta að rétti þeirra sem hjá því tryggja og greiða meðal annars tjónþolum líkamlegra tjóna réttmætar bætur.
Til grundvallar því að Persónuvernd beri að athuga bótasjóð félagsins með hliðsjón af hagsmunum umbjóðanda míns, vísa ég einnig til fyrri rökstuðnings og bréfs Fjármálaeftirlitsins um, að hverju tjóni beri að halda sérgreindu, sem er vitanlega eðlilegt og verður ekki gert öðru vísi, þar sem sú fjárhæð, sem félagið færir í bótasjóð sinn getur aldrei orðið stöðluð fjárhæð, heldur fer vitaskuld eftir hverju tjóni og atvikum hverju sinni. Það á því að vera leikur einn fyrir félagið að verða við kröfu umbjóðanda míns.
Þar sem félagið hefur neitað umbjóðanda mínum bótum á grundvelli 99. greinar umferðarlaga, skiptir það vitaskuld miklu fyrir umbjóðanda minn, að gengið verði úr skugga um, hve háa fjárhæð félagið hefur fært í bótasjóð sinn vegna tjónsins og hve lengi sú fjárhæð hefur þar verið varðveitt.
Byggir umbjóðandi minn á, að hafi félagið fært ákveðna fjárhæð í bótasjóð sinn hafi félagið vissulega haft ákveðnar tekjur af tjóni umbjóðanda míns. Þrátt fyrir það neitar félagið bótum. Það telur umbjóðandi minn ekki geta gengið á grundvelli þess á hvaða hátt tryggingafélög eru uppbyggð og á grundvelli þess, að tryggingafélög séu greiðsluskyld gagnvart umbjóðanda mínum skv. 1. mgr. 91. greinar umferðalaga, samanber 1. mgr. 95. greinar umferðarlaga.
Byggir umbjóðandi minn á, að verði ekki gengið úr skugga um hve háa fjárhæð félagið færði í bótasjóð sinn vegna slyssins, verði ekki gengið úr skugga um hvort félagið hafi hagnast á umbjóðanda mínum og slysi hans eða ekki.
Byggir umbjóðandi minn því á, að það séu slík réttindi sem hann eigi á hendur félaginu, að þau séu beinlínis vernduð af stjórnarskrá. Hann krefji félagið um bætur fyrir skerðingar á aflahæfi og vegna líkamlegra áverka. Á þeim grundvelli eigi umbjóðandi minn rétt til að fá upplýst um bótasjóðinn, að hann sé í því efni varinn af lögum um persónuvernd og stjórnarskrá.
Byggir umbjóðandi minn einnig á, að það geti ekki verið hagsmunir tryggingafélagsins að þagnarmúr sé um þessi atriði, sem skipti fólk svo miklu máli. Eðli málsins samkvæmt eigi slíkt kerfi að vera gegnsætt, en þannig séu réttindi hvers tjónþola best tryggð.
Það er vel varðveitt leyndarmál, að fjöldi tjóna á ári hverju eru aldrei sótt til tryggingafélaganna og því aldrei bætt. Ef tryggingafélögin hins vegar tilkynntu þeim aðilum, sem fyrir tjóni hafi orðið um bótarétt sinn og að ákveðin fjárhæð hafi verið færð í bótasjóð félagsins vegna hugsanlegs viðkomandi tjónþola, þá er ljóst að tjónþolarnir myndu betur gæta réttar síns, sem þeim er vitanlega mikilvægt. Sérstaklega með hliðsjón af hinum skamma fyrningarfresti 99. greinar umferðarlaga.
Umbjóðandi minn vísar í síðasta lagi til þess, að það sem fært hafi verið í bótasjóð félagsins vegna þess tjóns, sem hann varð fyrir sé persónulega nátengt honum og hans helgustu réttindum, lífi og heilsu. Nútíma þjóðfélag sé byggt upp með þeim hætti að þar starfi tryggingafélög, sem séu fyrir þá sem lenda í tjóni, en ekki ákveðna fjárfesta og gróðahyggjumenn. Það sé einn tilgangur tryggingafélaga að bæta líkamlegt tjón þeirra sem slíkt tjón fá vegna umferðarslysa. Hér sé því um að ræða persónulegan rétt hvers tjónþola."
Þá telur málshefjandi að ákvörðuð tjónaskuld sé í reynd ákveðið vörslufé sem tilheyri tjónþolanum. Því til stuðnings er vísað til 7. tl. 31. gr. laga nr. 90/2003 um tekjuskatt og eignaskatt, sbr. bréf dags. 3. mars 2005, en þar segir:
Nánar um sjónarmið D
D hefur í bréfum til Persónuverndar gert grein fyrir sínum lagarökum og sjónarmiðum varðandi kröfu málshefjanda, en í bréfi félagsins, dags. 30. september 2004, voru þau dregin saman með svofelldum hætti:
Í 51. gr. reglugerðar nr. 613/1996 um ársreikninga og samstæðureikninga vátryggingafélaga annarra en líftryggingafélaga segir um tjónaskuld, sem er hluti af vátryggingaskuld: "Tjónaskuldina skal að jafnaði reikna á grundvelli áætlunar í hverju tjónstilviki fyrir sig um þann tjónakostnað, sbr. 2. mgr. 33. gr., sem búast má við að félagið sé skuldbundið að greiða. Heimilt er að beita tölfræðilegum aðferðum við matið enda séu þær aðferðir miðaðar við tegund og eðli viðkomandi vátryggingagreina og þann kostnað sem fylgir tjónsuppgjöri."
Þegar tilkynning um tjónsatburð berst er félaginu því skylt samkvæmt ofangreindu að áætla tjónakostnað vegna þessa ákveðna tjónstilviks og leggja í tjónaskuld.
Við fyrstu áætlun er yfirleitt beitt tölfræðilegu mati, eins og gert var í máli því sem hér er til umræðu, þar sem upplýsingar um raunverulegt tjón eru í flestum tilvikum mjög litlar. Slíkt tölfræðilegt mat byggist á upplýsingum úr rekstri félagsins á liðnum árum. Er hér um upplýsingar að ræða, sem varða mikilvæga fjárhags- og viðskiptahagsmuni [D] hf., sem félagið leggur mikla áherslu á að fari leynt. Varðandi heimild til að takmarka upplýsingarétt af þessum sökum vísar félagið til 19. gr. l. nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
[D] telur að í ofangreindu erindi [A] hrl. komi ekki fram rökstuðningur fyrir því að umbeðnar upplýsingar varði hagsmuni umbjóðanda hans í skilningi laga um persónuvernd og meðferð persónuupplýsinga, heldur virðist um fjárhagslega hagsmuni hans að ræða.
[D] vill að lokum ítreka, að umbeðnar upplýsingar byggjast ekki á vitneskju um persónulega hagi tjónþolans, heldur er um meðaltjónsútreikning að ræða sem byggist alfarið á upplýsingum úr rekstri félagsins undanfarin ár. Upplýsingarnar varða mikilvæga fjárhags- og viðskiptahagsmuni [D] sem lögð er áhersla á að fari leynt, en ekki einkalífshagsmuni tjónþolans sem lögum um persónuvernd og meðferð persónuupplýsinga er ætlað að vernda."
Forsendur og niðurstaða
1.
Um aðgang málshefjanda að upplýsingum D um
færslur í bókum félagsins vegna tiltekins
umferðarslyss sem málshefjandi varð fyrir
Mál þetta varðar í fyrsta lagi kröfu málshefjanda um aðgang að ýmsum upplýsingum um færslur í bókum félagsins vegna umferðarslyss sem málshefjandi varð fyrir árið 1994. Krafist er upplýsinga um fjárhæð og hvenær færslur áttu sér stað, þ.e. bæði hvenær fjárhæð var færð til skuldar og hvenær færð félaginu aftur til tekna, og eftir hvaða reglum félagið hafi farið varðandi slíkar færslur á þessum tíma (töluliðir 1.-3. í upphaflegu erindi). D hefur hafnað kröfu málshefjanda.
Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda lögin um sérhverja rafræna vinnslu persónuupplýsinga og einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu persónuupplýsingar er átt við "sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi," sbr. 1. tl. 2. gr. laganna. Þá merkir hugtakið vinnsla "sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn". Með vinnslu er þannig t.d. átt við söfnun og skráningu og undir það fellur m.a. flokkun, varðveisla, breyting, leit og miðlun.
D hefur upplýst að færsla vegna umrædds slyss hafi byggst á áætlun sem m.a. hafi tekið mið af athugasemd í lögregluskýrslu sem félaginu hafi borist um slysið. Þar hafi komið fram að áverkar hans hafi ekki virst alvarlegir. Að frátöldum reikningi vegna tannviðgerða hafi félaginu ekki borist aðrar upplýsingar frá málshefjanda um afleiðingar slyssins. Því hafi félagið beitt tölfræðilegum aðferðum við áætlun skuldar vegna slyssins. Fjárhæð hennar sé sérgreind í bókhaldi félagsins samkvæmt tjónsnúmeri.
Tjónsnúmer eru hlaupandi númer sem D gefur þeim málum sem félaginu berast. Tjónsnúmer gefur til kynna tegund tjóns, hvaða ár það átti sér stað og sérstakt málsnúmer. Tjónsnúmer vísa til frumgagna s.s. reikninga og lögregluskýrslna. Lögregluskýrslur um umferðarslys hafa jafnan að geyma nöfn og kennitölur hlutaðeigandi ökumanna og eftir atvikum farþega, auk skráningarnúmera ökutækja. Hafa þær því að geyma persónuupplýsingar um viðkomandi einstaklinga samkvæmt 1. tl. 2. gr. laga nr. 77/2000. Sama á við um þær upplýsingar sem tryggingarfélögum berast frá tjónþolum sjálfum, s.s. á reikningum vegna læknisþjónustu. Af framangreindu má ráða að enda þótt færslan sé aðeins auðkennd með tjónsnúmeri er um að ræða vinnslu persónuupplýsinga í skilningi laga nr. 77/2000, þar sem númerið gerir kleift að rekja færsluna til hins skráða og og fyrirliggjandi frumgagna sem hafa að geyma persónuauðkenni hans.
Með vísan til framangreinds fellur framangreint ágreiningsmál undir gildissvið laga nr. 77/2000, og þar með undir úrskurðarvald Persónuverndar samkvæmt 2. mgr. 37. gr. laganna, þ.e.a.s. að því marki er ágreiningurinn varðar persónuupplýsingar um málshefjanda. Öðru máli gegnir hins vegar um önnur atriði sem liggja umræddum færslum til grundvallar. Það á t.d. við um tölfræðilegar aðferðir notaðar eru við að töku ákvarðana um fjárhæð færslna og tengjast því að uppfylla almenna lagaskyldu vátryggingafélags samkvæmt 34. gr. laga nr. 60/1994 um vátryggingastarfsemi. Hér er átt við upplýsingar um almennar og hlutlægar reikniaðferðir eða reiknilíkön sem hvorki hafa tengsl við tiltekinn einstakling né eru skráðar með öðrum upplýsingum um tjón sem hann hefur orðið fyrir og rekja má til hans. Upplýsingar um slíkar aðferðir teljast ekki til persónuupplýsinga í skilningi laga nr. 77/2000.
D hefur gert Persónuvernd grein fyrir þeim reglum sem félagið fór eftir við slíkar færslur sem hér um ræðir á umræddu tímabili. Auk þess hefur D gert grein fyrir tilgangi vinnslunnar, einkum með vísun til ákvæða í lögum nr. 60/1994 um skyldu tryggingafélags til að meta vátryggingaskuld sína á hverjum tíma þannig að hún samsvari óuppgerðum heildarskuldbindingum félagsins vegna gerðra vátryggingasamninga og tryggja gjaldþol þess. Er það mat Persónuverndar að í nefndum bréfum hafi D gert grein fyrir umræddum reglum, sbr. kröfu málshefjanda þar að lútandi (2. tl. í upphaflegu erindi). Hafa málshefjanda verið send afrit af þeim bréfum.
Eftir stendur krafa málshefjanda um að fá afhentar upplýsingar um fjárhæð þeirrar færslu sem átti sér stað af tilefni þess slyss sem hann lenti í. Nánar til tekið óskar hann, eins og áður segir, upplýsinga um fjárhæðina, hvenær félagið færði hana til skuldar og hvenær félaginu aftur til tekna. D hefur synjað, annars vegar með vísun til þess að þær varði ekki einkalífshagsmuni hans og hins vegar með vísun til þess að þær varði mikilsverða fjárhags- og viðskiptahagsmuni félagsins. Vísar félagið til 19. gr. laga nr. 77/2000 sem takmarkar þann upplýsingarétt sem hinn skráði hefur samkvæmt 18. gr. laganna.
Fjallað er um upplýsingarétt hins skráða í 18. gr. laga nr. 77/2000 og er 1. mgr. ákvæðisins svohljóðandi:
1. hvaða upplýsingar um hann er eða hefur verið unnið með;
2. tilgang vinnslunnar;
3. hver fær, hefur fengið eða mun fá upplýsingar um hann;
4. hvaðan upplýsingarnar koma;
5. hvaða öryggisráðstafanir eru viðhafðar við vinnslu, enda skerði það ekki öryggi vinnslunnar."
Í 19. gr. laganna er hins vegar mælt fyrir um takmarkanir á upplýsingarétti hins skráða samkvæmt framangreindu ákvæði. Í 2. mgr. 19. gr. kemur fram að ákvæði 18. gr. eigi ekki við þyki réttur hins skráða eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra eða hans eigin. Þá segir í 3. mgr. ákvæðisins að réttur hins skráða til að fá vitneskju samkvæmt ákvæðum 18. gr. nái ekki til upplýsinga sem eru undanþegnar aðgangi samkvæmt upplýsinga- eða stjórnsýslulögum. Af því leiðir m.a. að þegar um er að ræða gögn í vörslu annarra ábyrgðaraðila en stjórnvalda nær upplýsingréttur hins skráða t.d. ekki til gagna sem lúta takmökun skv. 17. gr. stjórnsýslulaga, en þar er fjallað um þau tilvik þegar heimilt er að takmarka aðgang aðila máls að gögnum ef hagsmunir hans af því að notfæra sér vitneskju úr þeim þykja eiga að víkja fyrir mun ríkari almanna- eða einkahagsmunum. Upplýsingaréttur hins skráða er þannig ekki skilyrðislaus ef lögmætir og málefnalegir hagsmunir annarra þykja vega þyngra en hagsmunir hans.
Við túlkun 18. gr laga nr. 77/2000 ber og að hafa í huga að með ákvæðinu var innleitt í íslenskan rétt sambærlegt ákvæði við það sem er í a.-lið 12. gr. tilskipunar nr. 95/46/EB um rétt hins skráða til aðgangs að upplýsingum um sig sjálfan. Í formálsorðum tilskipunarinnar, sbr. 41. gr. þeirra, er þessi réttur skýrður nánar. Þar segir m.a.: "hver og einn skal hafa rétt til aðgangs að upplýsingum um sjálfan sig sem eru í vinnslu, einkum til að sannreyna áreiðanleika upplýsinganna og lögmæti vinnslunnar. Af sömu ástæðum skal sérhver skráður aðili einnig hafa rétt til vitneskju um fyrirkomulag rafrænnar vinnslu upplýsinga um sjálfan sig, að minnsta kosti þegar um er að ræða ákvarðanir sem byggjast á rafrænni gagnavinnslu eins og um getur í 1. mgr. 15. gr. Þessi réttur má ekki skerða viðskiptaleynd eða hugverkarétt, einkum höfundarétt til verndar hugbúnaði. Þetta má þó ekki verða til þess að hinum skráða sé neitað um allar upplýsingar." Af þessu má ráða að markmiðið með ákvæði 18. gr. laga nr. 77/2000 er fyrst og fremst að búa hinum skráða úrræði að lögum til að geta sjálfur sannreynt að unnið sé með réttar upplýsingar um hann og að vinnslan sé í samræmi við lög og reglur um vandaða vinnsluhætti, en ekki að takmarka réttmæta leynd s.s. á viðskiptaupplýsingum.
Við mat á því hvort umrædd ákvæði 2. og 3. mgr. 19. gr. eigi hins vegar við verður að meta þá hagsmuni sem vegast á, annars vegar hagsmuni málshefjanda af því að fá umræddar upplýsingar og hins vegar hagsmuni D af því að njóta leyndar um þær. Við slíkt mat ber að hafa í huga eðli þeirra upplýsinga sem um ræðir. Um er að ræða upplýsingar um færslur sem félagið hefur gert í bókum sínum og bera með sér hvað félagið áætlaði að gætu orðið útgjöld þess vegna umrædds slyss. Við ákvörðun fjárhæðar er byggt á fyrirliggjandi persónuupplýsingum sem byggja á tilteknum hlutlægum reikniaðferðum, sem einkum byggja á vitneskju um meðaltjónsútreikning samkvæmt tölfræðilegum upplýsingum úr rekstri félagsins. Verður ekki séð að upplýsingar um þessar fjárhæðir sem og þær reikniaðferðir er lágu þeim til grundvallar, gætu, enda þótt málshefjandi fengi aðgang að þeim, gert honum kleift að staðreyna réttmæti þeirra persónuupplýsinga sem unnið var með um hann á vegum D og að vinnslan hafi verið í samræmi við lög og reglur um vandaða vinnsluhætti.
Hins vegar hefur D lýst því viðhorfi sínu að því sé heimilt, með vísan til þess að um séð að ræða mikilsverða fjárhags- og viðskiptahagsmuni félagsins, að takmarka rétt hins skráða til umræddra upplýsinga á grundvelli 19. gr. laga nr. 77/2000. Um þetta segir í bréfi fálegsins, dags. 30. september 2004: "Við fyrstu áætlun er yfirleitt beitt tölfræðilegu mati, eins og gert var í máli því sem hér er til umræðu, þar sem upplýsingar um raunverulegt tjón eru í flestum tilvikum mjög litlar. Slíkt tölfræðilegt mat byggist á upplýsingum úr rekstri félagsins á liðnum árum. Er hér um upplýsingar að ræða, sem varða mikilvæga fjárhags- og viðskiptahagsmuni [D], sem félagið leggur mikla áherslu á að fari leynt."
Með vísun til alls framangreinds og þess að fái málshefjandi aðgang að upplýsingum um fjárhæð umræddra færslna fær hann ekki aðeins í hendur ýmsar rekstrarupplýsingar, heldur jafnvel einnig vitneskju um þær tölfræðiaðferðir sem félagið beitir við að uppfylla lagaskyldu skv. 34. gr. laga nr. 60/1994, verður að telja félagið geta haft sérstaka hagsmuni af því að njóta leyndar um umræddar upplýsingar. Ber og að hafa í huga að slíkar færslur fela hvorki í sér viðurkenningu á bótaskyldu gagnvart viðkomandi né heldur ákvörðun um upphæð hugsanlegra bótagreiðslna, heldur þjóna þeim tilgangi að uppfylla framangreinda lagaskyldu. Liggur því ekkert fyrir um að umræddar upplýsingar úr bókhaldi félagsins hafi þýðingu fyrir hagsmuni málshefjanda sem ætla megi að vegi þyngra en hagsmunir D af eðlilegri leynd um slíkar rekstrarupplýsingar. Er það því niðurstaða Persónuverndar að D beri ekki skylda til þess að veita málshefjanda aðgang að umræddum upplýsingum.
Um fræðsluskyldu D
gagnvart málshefjanda
Í öðru lagi
lýtur mál þetta að því að D hafi ekki upplýst málshefjanda um færslurnar ("þessar fjárhagslegu tilfæringar") og að D upplýsi hvernig fræðslu til tjónþola varðandi rétt þeirra er háttað í dag (töluliðir 4.-5. í upphaflegu erindi).
Samkvæmt 20. gr. laga nr. 77/2000 hvílir fræðsluskylda á ábyrgðaraðila þegar hann aflar persónuupplýsinga hjá hinum skráða sjálfum. Á þetta ákvæði við óháð því hvort hinn skráði að eigin frumkvæði afhendir ábyrgðaraðila slíkar upplýsingar eða hvort ábyrgðaraðili kallar eftir þeim hjá honum. Jafnframt hvílir fræðsluskylda á ábyrgðaraðila samkvæmt 21. gr. laganna, þegar hann aflar upplýsinga um hinn skráða frá öðrum en honum sjálfum.
Samkvæmt efni framangreindra ákvæða skal ábyrgðaraðila fræða hinn skráða um nafn sitt, heimilisfang og tilgang vinnslunnar. Þá skal hann veita honum aðrar upplýsingar að því marki sem þær eru nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna, s.s. upplýsingar um viðtakendur eða flokka viðtakenda upplýsinganna, hvort honum sé skylt eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa veiti hann þær ekki.
Eins og fram kemur í athugasemdum við 20. gr. í frumvarpi því sem varð að lögum nr. 77/2000 er markmið fræðsluskyldunnar að veita hinum skráða möguleika á að nýta sér þann rétt sem hann á samkvæmt lögunum, t.d. til aðgangs, leiðréttingar o.s.frv.
Með tilliti til þess sem áður segir um að málshefjandi hafi ekki sýnt fram á hvernig upplýsingar um umræddar færslur, og þar með jafnvel þann útreikning sem lá þeim til grundvallar, varði beina hagsmuni hans, s.s. vegna tengsla við þá bótagreiðslu sem honum bar, verður ekki talið að áðurnefnd ákvæði 20. og 21. gr. laga nr. 77/2000 hafi lagt þá skyldu á herðar D að upplýsa hann um "þessar fjárhagslegu tilfæringar".
Loks lýtur erindið að því að D upplýsi hvernig það í dag fræði tjónþola um rétt sinn. Samkvæmt 1. mgr. 16. gr. laga nr. 77/2000, á sá sem þess óskar rétt á að fá almenna vitneskju um vinnslu persónuupplýsinga hjá ábyrgðaraðila, þ. á m. um fyrirkomulag fræðslu til tjónþola. Telur Persónuvernd, með vísun til framangreinds, að D beri að veita málshefjanda almenna vitneskju í samræmi við fyrirmæli 16. gr. laga nr. 77/2000, þar á meðal um að slíkar færslur geti átt sér stað enda þótt félaginu sé ekki skylt að veita upplýsingar um inntak eða dagsetningu einstakra færslna. Það fellur hins vegar utan verkahrings Persónuverndar að mæla fyrir um það hvernig D beri að veita tjónþolum fræðslu um rétt þeirra samkvæmt lögum um skaðabætur og vátryggingar.
Kvörtun málshefjanda lýtur ekki að því að hvort fræðsluskyldu gagnvart honum hafi að öðru leyti verið fullnægt. Verður það atriði þar af leiðandi ekki tekið til úrskurðar.
D hf. er ekki skylt að veita B aðgang að upplýsingum um þær færslur sem áttu sér stað í bókum þess til að uppfylla skyldu félagsins samkvæmt ákvæði 34. gr. laga nr. 60/1994, og tengjast umferðslysi sem B varð fyrir á árinu 1994.