Vinnsla og miðlun Útlendingastofnunar á persónuupplýsingum í útvarpsviðtali
Úrskurður
Á fundi stjórnar Persónuverndar hinn 22. júní 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/692:
I.
Málsmeðferð
1.
Tildrög máls – Almennt
Hinn 22. apríl 2015 barst Persónuvernd kvörtun frá [A] og [B] (hér eftir nefnd kvartendur) vegna ummæla forstjóra Útlendingastofnunar, [C], sem féllu í viðtali í síðdegisútvarpi Ríkisútvarpsins hinn [...] 2012. Nánar tiltekið er kvartað yfir því að í viðtalinu hafi [C] fjallað ítarlega um umsóknarferli dóttur þeirra um dvalarleyfi á Íslandi. Með því hafi verið brotið gegn friðhelgi þeirra.
Þegar kvörtunin barst var mál vegna umrædds viðtals til meðferðar hjá innanríkisráðuneytinu. Í ljósi almennra reglna stjórnsýsluréttarins tók Persónuvernd því málið ekki til meðferðar á þeim tíma. Með bréfi, dags. 12. nóvember 2015, staðfesti innanríkisráðuneytið hins vegar að meðferð þess á málinu væri lokið og með bréfi, dags. 14. janúar 2016, óskuðu kvartendur eftir því að kvörtunin yrði tekin til meðferðar hjá Persónuvernd.
Í símtali starfsmanns Persónuverndar og annars kvartenda, þ.e. [A], hinn 13. júní 2016 benti Persónuvernd á að dóttir þeirra hefði ekki veitt þeim umboð til að kvarta fyrir sína hönd, en hún væri lögráða. Yrði slíkt umboð að berast svo að kveðinn yrði upp úrskurður varðandi upplýsingar um hana. Kom þá fram að kvörtunin lyti ekki að upplýsingum sem veittar hefðu verið um dóttur kvartenda heldur að upplýsingum um kvartendur sjálfa.
2.
Nánar um kvörtun
Í kvörtun segir nánar:
„Í umræddu viðtali rakti forstjóri Útlendingastofnunar m.a. umsóknarferil dóttur okkar fyrir stjórnvöldum og upplýsti m.a. um stöðu mála, gögn sem [forstjórinn] sagði að skorti, þær ákvarðanir sem teknar hefðu verið í máli dóttur okkar og þær sem ætti eftir að taka.
Við teljum ljóst að brotið hafi verið gegn friðhelgi okkar þar sem forstjóri Útlendingastofnunar hafi skort heimild til að fjalla ítarlega um málefni okkar á opinberum vettvangi, þótt málið hafi verið mikið til umfjöllunar í fjölmiðlum.“
Einnig segir meðal annars að í viðtalinu hafi forstjórinn sagt að gögn hafi ekki borist. Sé þar um að ræða tilvísun til gildra fæðingarvottorða, en alls hafi fimm slík vottorð borist Útlendingastofnun með þremur umsóknum. Í orðum forstjórans felist að kvartendur hafi ekki sinnt beiðni stofnunarinnar um gögn og að efast mætti um skyldleika dóttur og móður.
Að auki hafi dóttur kvartenda verið veitt dvalarleyfi á grundvelli fæðingarvottorðs sem barst Útlendingastofnun 2009 og hafi það legið fyrir þegar forstjórinn var í umræddu viðtali.
3.
Bréfaskipti vegna kvörtunar
Með bréfi, dags. 3. mars 2016, var Útlendingastofnun veitt færi á að tjá sig um kvörtunina. Svarað var með bréfi, dags. 29. s.m. Þar greindi stofnunin frá því að hún hefði ekki yfir að ráða upptöku af umræddu útvarpsviðtali og gæti því ekki tjáð sig með fullnægjandi hætti um efni þess. Persónuvernd sendi Útlendingastofnun afrit af útvarpsviðtalinu hinn 19. apríl 2016 og óskaði nánari skýringa.
Svarað var með bréfi Útlendingastofnunar, dags. 23. maí 2016. Segir þar að forstjóri stofnunarinnar hafi verið spurður út í einstök atriði málsins í umræddu viðtali. Í svörum við þeim spurningum hafi komið fram að dóttur kvartenda hefði verið synjað um heimild til að dveljast á Íslandi meðan dvalarleyfisumsókn væri til meðferðar og að sú ákvörðun hefði verið kærð til innanríkisráðuneytisins; að forstjóri hefði leiðrétt framkomnar upplýsingar um hvenær fyrsta dvalarleyfisumsókn hefði verið lögð fram; hvenær aðrar dvalarleyfisumsóknir hefðu verið lagðar fram og að ávallt hefði vantað sömu gögnin; að faðir umsækjanda hefði ekki verið látinn 2007 eða 2008; að forstjóri hefði hitt umsækjanda og kvartendur á fundi og leiðbeint um hvers konar dvalarleyfi væri vænlegast að sækja um og hvernig umsókn hefði borist í framhaldinu; og að vegabréfsáritun hefði verið framlengd.
Einnig segir í svarbréfi Útlendingastofnunar að ljóst sé að í viðtalinu hafi forstjóri stofnunarinnar gefið persónugreinanlegar upplýsingar um einstakling sem hafði þar mál til vinnslu. Ekki hafi þar verið um að ræða viðkvæmar persónuupplýsingar. Þá segir meðal annars:
„Vinnsla persónuupplýsinga er því aðeins heimil að einhver af 1.–7. tl. 8. gr. laga um persónuvernd og meðferð persónuupplýsinga eigi við. Ekki verður séð að þess hafi verið gætt þegar umrætt útvarpsviðtal fór fram. Hins vegar verður að hafa í huga líkt og áður segir að þessar upplýsingar geta ekki talist til viðkvæmra persónuupplýsinga í skilningi laganna. Þá er jafnframt ljóst að þegar forstjóri Útlendingastofnunar tjáði sig um fyrrgreindar persónuupplýsingar í fjölmiðlum hafði umsækjandi, fjölskylda hennar og fjölskylduvinur tjáð sig um mál hennar í fjölmiðlum. Vísast m.a. í það sem fram kemur í máli fréttamanna í viðtali við forstjóra Útlendingastofnunar en þar er vísað til viðtals um málið sem virðist hafa farið fram daginn áður. Hinn [...] 2012 birtist jafnframt grein á mbl.is og pressan.is um málið þar sem m.a. kemur fram hvenær faðir [D] lést, hvenær hún hafði sótt um dvalarleyfi og upplýsingar um samskipti við stofnunina. Útlendingastofnun hefur ekki nákvæmar upplýsingar um hversu miklar upplýsingar um málsatvik höfðu verið gefnar í fjölmiðlum en ljóst er af fyrrgreindu útvarpsviðtali og með einfaldri leit á Internetinu að talsverðar upplýsingar hafa verið komnar fram í fjölmiðlum og erfitt fyrir forstjóra að henda reiður á hversu mikið af upplýsingum aðrir höfðu gefið.“
Með bréfi, dags. 6. júní 2016, var kvartendum boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Útlendingastofnunar. Annar kvartenda greindi starfsmanni Persónuverndar frá því í símtali hinn 8. s.m. að hann teldi svör Útlendingastofnunar ekki svara verð og að ekki væri verið að svara því sem kvartendur hefðu beðið um.
4.
Nánar um viðtalið
við forstjóra Útlendingastofnunar
Umrætt viðtal Ríkisútvarpsins við forstjóra Útlendingastofnunar, hinn [...] 2012, var tekið í kjölfar viðtals við fjölskylduvin kvartenda og dóttur þeirra, sem hafði birst á sama miðli degi fyrr.
Í upphafi viðtalsins staðfesti forstjórinn að innanríkisráðuneytið hefði tekið ákvörðun um að dvalarleyfisumsækjanda yrði ekki vísað úr landi fyrr en ráðuneytið hefði tekið afstöðu til kæru umsækjandans til ráðuneytisins.
Forstjórinn var spurður um á hvaða grundvelli tiltekinni umsókn frá áðurnefndum umsækjanda hefði verið hafnað. Sagði forstjórinn þá ekki rétt að umsókninni hefði verið hafnað. Hið rétta væri að hún hefði ekki verið tekin til meðferðar. Að auki leiðrétti forstjórinn, með vísan til málaskrár Útlendingastofnunar, staðhæfingu um hvenær fyrsta umsókn frá umræddum umsækjanda hefði borist stofnuninni.
Forstjórinn tilkynnti á hvaða grundvelli fyrstu umsókn dvalarleyfisumsækjanda hefði verið hafnað. Grundvöllur höfnunar hefði verið sá að umbeðin forsjárgögn hefðu ekki borist. Þau gögn hefðu heldur ekki borist þegar næsta umsókn hefði verið til meðferðar.
Forstjórinn upplýsti um fund sem hann hafði átt með kvartendum og dvalarleyfisumsækjanda. Greindi forstjórinn frá því að hann hefði þar ráðlagt þeim um á hvaða grundvelli æskilegast væri að sækja um dvalarleyfi, þ.e. annaðhvort sem námsmaður eða sem launþegi. Þá greindi forstjórinn frá því að borist hefði umsókn þar sem sótt var um dvalarleyfi á grundvelli þessa tvenns, en fylgigögn hefði vantað með þeirri umsókn. Þegar stofnunin hefði óskað eftir þeim hefði ný umsókn borist þar sem óskað hefði verið eftir dvalarleyfi á grundvelli sérstakra tengsla við Ísland.
Forstjóri Útlendingastofnunar ræddi að lokum almennt um dvalarleyfisumsóknir, á hvaða forsendum og á hvaða grundvelli almennt væri hægt að óska eftir dvalarleyfi og hvenær niðurstöðu gæti verið að vænta í máli þessa tiltekna dvalarleyfisumsækjanda.
5.
Opinber umfjöllun
um mál kvartenda og dóttur þeirra
Fyrir liggur að í aðdraganda umrædds útvarpsviðtals við forstjóra Útlendingastofnunar hafði mikið verið fjallað í fjölmiðlum um umsókn dóttur kvartenda um dvalarleyfi og málsmeðferð hennar hjá stofnuninni, en meðal annars höfðu kvartendur tjáð sig um málið í ítarlegri umfjöllun hinn [...]2012 á vefsíðunni www.pressan.is. Sú umfjöllun birtist daginn fyrir útvarpsviðtalið. Málið hafði auk þess verið til umfjöllunar á vefmiðlunum www.mbl.is hinn [...] 2012 og www.dv.is að morgni [...] s.m., auk þess sem stofnuð var síða á samfélagsmiðlinum Facebook undir yfirskriftinni [...] þar sem meðal annars má finna upplýsingar um stöðu umsóknarinnar og framvindu málsins. Höfðu því umtalsverðar upplýsingar um stöðu og feril málsins ratað í opinbera umræðu, þ. á m. fyrir tilstilli kvartenda sjálfra. Af útvarpsviðtali við forstjóra Útlendingastofnunar verður ráðið að því hafi verið ætlað að bregðast við þeirri umræðu í þeim tilgangi að greina frá málsmeðferð stofnunarinnar í umræddu tilviki.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Ábyrgðaraðili – Afmörkun máls
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar.
Munnleg miðlun upplýsinga ein og sér fellur, samkvæmt framangreindu, ekki undir gildissvið laga nr. 77/2000 heldur þurfa upplýsingar með einhverjum hætti að vera á skráðu formi. Í umræddu útvarpsviðtali hinn [...] 2012 vísaði forstjóri Útlendingastofnunar til upplýsinga í málaskrá stofnunarinnar. Af því verður ráðið að sú skrá hafi verið notuð til undirbúnings viðtalinu, þ. á m. til að afla upplýsinga um samskipti við kvartendur, og að veiting upplýsinganna í viðtalinu hafi því verið þáttur í notkun skrárinnar. Telst því hér vera um að ræða vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000 eins og það er afmarkað í framangreindum ákvæðum.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Fyrir liggur að í umræddu viðtali kom forstjóri Útlendingastofnunar fram fyrir hönd stofnunarinnar. Af því leiðir að stofnunin telst vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem hér um ræðir.
Eins og fyrr greinir er í máli þessu ekki kvartað yfir vinnslu upplýsinga um dóttur kvartenda heldur aðeins vinnslu upplýsinga um kvartendur sjálfa. Þá er ljóst að þar sem dóttirin er lögráða yrði hún sjálf að kvarta til Persónuverndar eða veita öðrum umboð til að kvarta fyrir sína hönd til að efnislega yrði leyst úr álitaefnum um vinnslu upplýsinga um hana. Í úrskurði þessum er því eingöngu tekin afstaða til atriða sem varða upplýsingar um kvartendur.
2.
Lagaumhverfi
Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þá verður vinnsla viðkvæmra persónuupplýsinga að auki að samrýmast einhverri af viðbótarkröfum 9. gr. sömu laga. Af hálfu kvartenda hefur komið fram að í umræddu viðtali hafi forstjóri Útlendingastofnunar gefið til kynna að efast mætti um móðerni dóttur þeirra, þ.e. með umfjöllun um gögn sem telja mætti tilvísun til fæðingarvottorða sem stofnunin hefði ekki tekið gild. Verður að ætla að hér sé átt við það þegar forstjórinn greindi frá upplýsingum um forsjárgögn. Til þess er að líta í því sambandi að samkvæmt 1. tölul. 1. mgr. 2. gr. laga nr. 77/2000 eru upplýsingar um uppruna viðkvæmar. Þar sem ekki liggur fyrir kvörtun frá dóttur kvartenda reynir hér hins vegar ekki á hvort forstjóri Útlendingastofnunar hafi veitt upplýsingar sem talist gætu lúta að uppruna dótturinnar. Þarf því ekki hér að fjalla um það atriði, en auk þess verður ekki talið að öðru leyti að upplýsingar, veittar í viðtalinu, hafi fallið undir skilgreininguna á viðkvæmum persónuupplýsingum.
Samkvæmt þessu reynir ekki á 9. gr. laga nr. 77/2000 í máli þessu heldur nægir að notkun málaskrár Útlendingastofnunar í tengslum við umrætt viðtal hafi verið heimil samkvæmt 8. gr. sömu laga. Reynir þá á 7. tölul. 1. mgr. þeirrar greinar, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Þá reynir á 5. tölul. sömu greinar, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg í þágu almannahagsmuna. Segir í athugasemdum við ákvæðið í greinargerð með því frumvarpi, sem varð að lögum nr. 77/2000, að hér undir geti fallið vinnsla „sem á sér stað í upplýsingakerfi réttarkerfisins sem ætlað er að veita almenningi upplýsingar um löggjöf, dómaframkvæmd o.s.frv.“ Með hliðsjón af þessu má ætla að hið sama geti átt við þegar stjórnvöld útskýra almennar reglur á því málefnasviði sem undir þau falla og útskýringarnar hafa snertingu við mál einstaklinga sem verið hafa í sviðsljósi fjölmiðla. Einnig verður að ætla að þetta geti átt við um útskýringar á stöðu slíkra mála.
Við mat á því hvaða heimildir framangreind ákvæði veita stjórnvöldum til upplýsingagjafar ber meðal annars að líta til þagnarskyldu opinberra starfsmanna samkvæmt 18. gr. laga nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins, en þar segir að hverjum starfsmanni sé skylt að gæta þagmælsku um atriði er hann fær vitneskju um í starfi sínu og leynt skulu fara samkvæmt lögum, fyrirmælum yfirmanna eða eðli máls.
Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um. að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul); að þær skuli fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli ekki varðveittar lengur á persónugreinanlegu formi en þörf krefur í ljósi tilgangs vinnslunnar (5. tölul.).
3.
Niðurstaða
Fyrir liggur að í aðdraganda umrædds útvarpsviðtals við forstjóra Útlendingastofnunar hafði mikið verið fjallað í fjölmiðlum um mál dóttur kvartenda hjá stofnuninni og höfðu meðal annars kvartendur tjáð sig um það, þ. á m. í ítarlegri umfjöllun á vefnum pressan.is daginn fyrir útvarpsviðtalið. Höfðu því umtalsverðar upplýsingar um stöðu og feril málsins ratað í opinbera umræðu. Verður ráðið af viðtalinu að forstjóri Útlendingastofnunar hafi með því verið að bregðast við þeirri umræðu til þess að útskýra málsmeðferð stofnunarinnar.
Í ljósi þeirra lagaaákvæða, sem fyrr eru rakin, verður að játa stjórnvöldum nokkurt svigrúm til þess að nota málaskrár sínar til að bregðast við spurningum sem fjölmiðlar beina að þeim, þ. á m. til að veita svör sem, eftir atvikum, kann að vera hægt að rekja til tiltekinna einstaklinga, s.s. í ljósi fjölmiðlaumfjöllunar. Jafnframt verður þó að leggja áherslu á að við slíka vinnslu persónuupplýsinga sé ekki farið út fyrir meðalhófskröfur, auk þess sem farið sé að þagnarskylduákvæðum. Að öllu virtu telur Persónuvernd að Útlendingastofnun hafi ekki farið út fyrir heimildir sínar í umræddu útvarpsviðtali þannig að brotið hafi verið gegn réttindum kvartenda samkvæmt lögum nr. 77/2000.
Ú r s k u r ð a r o r ð:
Vinnsla persónuupplýsinga úr málaskrá Útlendingastofnunar um [A] og [B] í tengslum við útvarpsviðtal, sem forstjóri stofnunarinnar fór í hjá Ríkisútvarpinu hinn [...] 2012, samrýmdist lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.