Símhringingar stúdentahreyfinga vegna kosninga
Úrskurður
Á fundi stjórnar Persónuverndar hinn 26. júní 2015 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/129:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 30. janúar 2015 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir því að nemendafélög Háskóla Íslands, Vaka og Röskva, hafi hringt í hann vegna stúdentakosninga við skólann vorið 2014. Í kvörtuninni segir m.a.:
„Á hverju ári hringja stúdentahreyfingarnar eða senda sms í símanúmer stúdenta við Háskóla Íslands til að hvetja þá til að kjósa. Þetta gera þær jafnvel þótt ítrekað sé að ekki sé óskað eftir slíkum símtölum, þrátt fyrir að viðkomandi stúdentar séu bannmerktir jafnt í símaskrá sem í Þjóðskrá, og án þess að nokkru sinni hafi verið veitt samþykki fyrir slíkum símtölum né að ljóst sé hvaðan símanúmerin eru fengin.“
Þá segir meðal annars að símanúmer kvartanda sé hans einkanúmer sem skráð hafi verið í símaskrá Háskóla Íslands í góðri trú um að sú skrá væri til faglegra nota eingöngu. Hvergi hafi verið gefið til kynna að með skráningu á símanúmeri fylgdi samþykki fyrir úthringinum félagasamtaka, fyrirtækja, stjórnmálaflokka eða annarra. Í þessu sambandi er í kvörtun vísað til 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Hafi símanúmer kvartanda verið fært á bannskrá Þjóðskrár og stríði umræddar úthringingar gegn því ákvæði. Auk þess hafi kvartandi látið færa nafn sitt á sérstaka skrá í innra kerfi Háskóla Íslands yfir þá sem andmælt hafa því að haft sé samband við þá bréfleiðis í markaðssetningarskyni, en umræddar úthringingar þjóni slíkum tilgangi. Krefst kvartandi þess að stútentahreyfingarnar láti af því að áreita stúdenta sím- eða bréfleiðis enda sé þeim umrædd notkun úthringilista óheimil.
2.
Bréfaskipti
Með bréfi, dags. 31. mars 2011, var Röskvu veitt færi á að tjá sig um hina framkomnu kvörtun. Svarbréf Röskvu, dags. 5. mars 2015, barst stofnuninni sama dag. Þar segir m.a. að Röskva fái sinn lista yfir símanúmer nemenda skólans frá Nemendaskrá Háskóla Íslands og að þeirra bestu vitund sé sá listi ekki samkeyrður við bannskrá Þjóðskrár.
Með bréfi, dags. 31. mars 2011, var Vöku veitt færi á að tjá sig um hina framkomnu kvörtun. Svarbréf Vöku, ódags., barst Persónuvernd þann 28. mars 2015. Þar segir m.a. að samkvæmt b. lið. 60. gr. laga Stúdentaráðs Háskóla Íslands annist kjörstjórn Stúdentaráðs gerð kjörskrár vegna kosninga til ráðsins. Kjörskráin, sem fengin sé frá Nemendaskrá Háskóla Íslands, sé afhent framboðum í aðdraganda kosninga og innihaldi símanúmer annars vegar og netföng hins vegar. Að öðrum kosti séu símanúmer aðgengileg öllum á vefsvæði Já.is. Hins vegar hafi stúdentahreyfingarnar ekki aðgang að símaskrá Háskóla Íslands. Úthringingar til kynningar á framboðum í aðdraganda kosninga feli ekki í sér beina markaðssókn, enda hvorki um að ræða ágóða né sölu á vörum eða þjónustu. Bannmerkingar Já.is og 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga eigi því ekki við um úthringingarnar. Þeim skilningi megi finna stoð í athugasemdum við 28 gr. í greinargerð með því frumvarpi sem varð að lögum nr. 77/2000, en í athugasemdunum ræði um fjárhagslegan ávinning. Þá séu kosningar til Stúdentaráðs nemendum til hagsbóta og ekki svo umfangsmiklar að verulegt ónæði hljótist af. Umræddar úthringingar þjóni þeim tilgangi að vekja athygli á réttindum nemenda, hvort sem um kosningarétt eða almenn mál sé að ræða.
Með bréfi, dags. 30. mars 2015, var Nemendaskrá Háskóla Íslands veitt færi á að tjá sig um hina framkomnu kvörtun. Svarbréf Nemendaskrár, dags. 12. maí 2015, barst stofnuninni þann 15. maí 2015. Þar segir m.a. að Nemendaskrá afhendi félögum nemenda lista með nöfnum, heimilisföngum, s[í]manúmerum og netföngum vegna kosninga sem fram fara meðal þeirra. Öðrum upplýsingum sé ekki miðlað en þeim sem nauðsynlegar séu til að stúdentar geti kosið. Fyrirvari sé ávallt gerður við afhendingu slíkra lista sem geri ráð fyrir að gögnunum sé ekki miðlað til aðila utan Háskóla Íslands. Jafnframt sé áskilið að gögnum sé eytt að notkun lokinni. Litið sé þannig á að afhending listanna samrýmist 4., 5., og 7. tölulið 8. gr. laga nr. 77/2000, enda sé ráð fyrir því gert í lögum og reglum er varða háskólann að fulltrúar stúdenta eigi aðild að ýmsum nefndum og stjórnum innan háskólans sem kosið sé til. Tilgangurinn sé að tryggja sem best lýðræðislegan rétt nemenda innan háskólans. Til dæmis sé kveðið á um það í 6. gr. laga nr. 85/2008, um opinbera háskóla að í háskólaráði skuli sitja tveir fulltrúar tilnefndir af heildarsamtökum nemenda við háskólann. Tilnefningin fari fram með kosningu. Mikilvægt sé að háskólinn tryggi sem best að nemendum sé gert kleift að gæta lögvarinna hagsmuna sinna og réttinda og geti verið virkir þátttakendur í starfi háskólans og félagslífi á vettvangi háskólasamfélagsins. Til athugunar hafi verið í þessu samhengi að Nemendaskrá afhendi félögum stúdenta einungis kennitölu og nafn nemenda og hi-netfang, en ekki símanúmer eða heimilisfang. Fyrir liggi að listarnir séu ekki samkeyrðir við bannskrá Þjóðskrár. Ef það væri gert myndu listarnir ekki gefa heildarmynd af skráðum stúdentum við skólann. Stúdentar háskólans geti hins vegar beðið Nemendaskrá um að merkja við í Nemendakerfinu (rafrænt) að bannað sé að senda þeim upplýsingar vegna markaðssetningar og vegna skoðanakannana og rannsóknarverkefna, þ.e. að nöfn þeirra séu tekin af póstlistum sem ekki varði nám þeirra eða félagslíf á vettvangi háskólasamfélagsins. Upplýsingar vegna markaðssetningar séu reyndar aldrei sendar til nemenda í gegnum Nemendaskrá.
Svarbréf Vöku, Röskvu og Nemendaskrá Háskóla Íslands voru borin undir kvartanda með bréfi, dags. 9. júní 2015, og henni gefinn kostur á að koma að athugasemdum. Engar athugasemdir bárust.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.
Af framangreindu leiðir að afhending persónuupplýsinga um kvartanda, við afhendingu kjörskrár til stúdentafélaganna og eftirfarandi símtöl í kvartanda vegna kosninga við Háskóla Íslands, fellur undir gildissvið laga nr. 77/2000, sem og valdsvið Persónuverndar, sbr. 37. gr. laganna.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samkvæmt lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til teljast Vaka og Röskva vera ábyrgðaraðilar að vinnslu persónuupplýsinga sem felst í því að hafa samband við kvartanda símleiðis og kynna fyrir honum framboð félaganna. Nemendaskrá Háskóla Íslands telst hins vegar vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem fram fer hjá henni, m.a. miðlun nemendalista til félaganna.
Úrskurður Persónuverndar afmarkast við umkvörtunarefni kvartanda og varðar einungis þá vinnslu persónuupplýsinga sem fram fór hjá Vöku og Röskvu. Mun Persónuvernd taka vinnslu persónuupplýsinga hjá Nemendaskrá Háskóla Íslands til sjálfstæðrar skoðunar, að eigin frumkvæði, síðar í öðru máli.
2.
Lögmæti vinnslunnar
Öll vinnsla persónuupplýsinga verður að hafa heimild í 1. mgr. 8. gr. laga nr. 77/2000. Helst kemur til álita að fella ofangreinda vinnslu undir 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Ákvæðið mælir fyrir um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Vinnsla í þágu markaðssetningar hefur verið talin geta þjónað lögmætum hagsmunum, og þá geta samrýmst þessu ákvæði, enda hafi verið gætt hagsmuna þeirra sem hlut eiga að máli. Til þess þarf m.a. að virða ákvæði um andmælarétt.
Um það tilvik sem hér um ræðir ber hins vegar og að líta til sérákvæðis 28. gr. laga nr. 77/2000, með áorðnum breytingum. Þar er fjallað um andmælarétt hins skráða og um bannskrá Þjóðskrár Íslands. Í 2. mgr. ákvæðisins kemur m.a. fram að ábyrgðaraðilar sem starfa í beinni markaðssókn, og þeir sem nota skrár með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar, eða miðla þeim til þriðja aðila í tengslum við slíka starfsemi, skuli hindra að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku. Rúm túlkun á hugtakinu markaðssetning er forsenda þess að ákvæði 28. gr. nái verndarmarkmiði sínu. Því er talið að undir hugtakið markaðssetning falli öll vinnsla við beina markaðssókn, þ.e. beina sókn að skilgreindum hópi einstaklinga í þeim tilgangi að hafa áhrif á þá, skoðanir þeirra eða hegðun. Oftast er það gert til að selja þeim vöru og þjónustu en með beinni markaðssókn er einnig átt við sókn sem fram fer til að afla fylgis við tiltekna menn og málefni. Símhringingar í kvartanda sem bannmerktur er í Þjóðskrá Íslands, telst því hafa farið fram í þágu markaðssetningar í skilningi framangreinds ákvæðis. Símhringingar stúdentaframboðanna í kvartanda vegna stúdentakosninga vorið 2014 voru því ekki í samræmi við 2. mgr. 28. gr. laga nr. 77/2000.
Af ofangreindu er ljóst að vinnsla persónuupplýsinga um kvartanda hjá Vöku og Röskvu var ekki í samræmi við ákvæði 2. mgr. 28. gr. laga nr. 77/2000, enda var kvartandi skráður í bannskrá Þjóðskrár. Skulu Vaka og Röskva gera ráðstafanir til að tryggja að farið sé að framangreindu ákvæði. Lýsing á þeim ráðstöfunum skal berast Persónuvernd eigi síðar en 1. október nk.
Ú r s k u r ð a r o r ð:
Símhringingar Vöku og Röskvu í kvartanda voru ekki í samræmi við ákvæði 2. mgr. 28. gr. laga nr. 77/2000, enda var kvartandi skráður í bannskrá Þjóðskrár. Eigi síðar en 1. október nk. skulu Vaka og Röskva senda Persónuvernd lýsingu á ráðstöfunum sem tryggja að farið sé að framangreindu ákvæði.