Álit um heimild Hagstofu til upplýsingaöflunar vegna manntals

Mál nr. 2021091715

22.11.2021

Orkuveita Reykjavíkur
b.t. Írisar Lindar Sæmundsdóttur lögmanns
Bæjarhálsi 1
110 REYKJAVÍK

Greiningar og ráðgjafarstöð ríkisins
b.t. Sigurlaugar Kristínar Jóhannsdóttur mannauðsstj.
Digranesvegi 5
200 KÓPAVOGI

Hagstofa Íslands
b.t. Ómars S. Harðarsonar fagstjóra manntals
Borgartúni 21a
105 REYKJAVÍK

Reykjavík, 22. nóvember 2021
Tilvísun: 2021091715/ÞS

Efni: Svar við álitsbeiðnum vegna upplýsingaöflunar Hagstofu Íslands við gerð manntals

I.

Bréfaskipti

Persónuvernd vísar til álitsbeiðni sem stofnuninni barst frá Orkuveitu Reykjavíkur í tölvupósti 8. og 22. júní 2021, svo og álitsbeiðni sem henni barst frá Greiningar- og ráðgjafarstöð ríkisins í tölvupósti 31. ágúst s.á., en í beiðnunum er óskað álits á því að Hagstofu Íslands séu veittar tilteknar persónuupplýsingar vegna gerðar manntals. Einnig vísar Persónuvernd til beiðni Hagstofunnar sem stofnuninni barst í tölvupósti 7. september 2021 um að álitsbeiðnunum verði veittur forgangur, auk þess sem veittar eru tilteknar skýringar í tengslum við ráðgerða upplýsingaöflun.

Af hálfu Orkuveitu Reykjavíkur var þess óskað 8. júní 2021 að veittar yrðu leiðbeiningar í tengslum við bréf, dags. 22. desember 2020, sem henni hafði þá borist frá Hagstofunni með ósk um upplýsingar um raforkusölu til einstaklinga. Var þess óskað í bréfi Hagstofunnar að veittar yrðu upplýsingar um heiti dreifiveitu, kennitölu greiðanda, nafn greiðanda, heimilisfang og íbúð notkunarstaðar, póstnúmer notkunarstaðar, póststöð notkunarstaðar og notkunarflokk. Hinn 21. júní 2021 veitti Persónuvernd almennar leiðbeiningar um lagaumhverfi í þessu sambandi og óskaði Orkuveita Reykjavíkur formlegs álits degi síðar. Með þeirri álitsbeiðni var að finna minnisblað frá persónuverndarfulltrúa Orkuveitunnar þar sem vísað er til athugasemda í umsögn Persónuverndar, dags. 2. nóvember 2007 (mál nr. 2007100731 hjá stofnuninni), um 8. gr. í því frumvarpi sem varð að lögum nr. 163/2007, sbr. samhljóða ákvæði í 8. gr. laganna. Nánar tiltekið er vísað til þeirra orða að af ákvæðinu verði ráðið að almennt sé ekki ætlast til að aflað sé upplýsinga um einstaklinga frá fyrirtækjum í atvinnurekstri. Þá er vísað til þeirra krafna sem gerðar eru til lagaheimilda til vinnslu persónuupplýsinga í ákvörðun Persónuverndar, dags. 18. júní 2021 (mál nr. 2021030547 hjá stofnuninni), og tekið fram að í ljósi þeirra sé rétt að óska eftir formlegu áliti stofnunarinnar um hvort nægilega skýr lagastoð sé fyrir umbeðinni afhendingu persónuupplýsinga til Hagstofu Íslands.

Í álitsbeiðni Greiningar- og ráðgjafarstöðvar ríkisins, dags. 31. ágúst 2021, segir að hún hafi metið heimildir sínar samkvæmt lögum nr. 90/2018 um persónuvernd og meðferð persónuupplýsinga til afhendingar upplýsinga til Hagstofu Íslands. Segir að hún telji slíka afhendingu geta byggst á 3. tölul. 9. gr. og 7. tölul. 1. mgr. 11. gr. laganna, sbr. 5. gr. laga nr. 163/2007. Jafnframt segir hins vegar að máli skipti hvernig afhending fari fram, m.a. í ljósi meginreglna um nauðsyn, meðalhóf og öryggi. Með vísan til þess er óskað ráðgjafar Persónuverndar þar að lútandi.

Eins og fyrr greinir er þess óskað í erindi Hagstofu Íslands frá 7. september 2021 að framangreindar álitsbeiðnir verði afgreiddar sem fyrst. Hvað snertir fyrirhugaða upplýsingaöflun frá Orkuveitu Reykjavíkur er tekið fram að ekki sé þar um viðkvæmar persónuupplýsingar að ræða, svo og að upplýsingarnar séu nauðsynlegar til að manntalið 2021 verði sem nákvæmast. Jafnframt segir að fyrirtækin HS veitur hf., Rarik ohf., Orkubú Vestfjarða ohf. og Norðurorka hf. hafi fengið sams konar beiðni og Orkuveita Reykjavíkur og hafi öll orðið við henni. Í tengslum við ráðgerða upplýsingaöflun frá Greiningar- og ráðgjafarstöð ríkisins er tekið fram að um ræði viðkvæmar persónuupplýsingar en að þær séu nauðsynlegar til gerðar hagtalna um fatlað fólk. Að auki segir að sams konar beiðni og beint var að Greiningar- og ráðgjafarstöð hafi einnig verið send Sjúkratryggingum Íslands, Tryggingastofnun ríkisins, Heyrnar- og talmeinastöð Íslands og Þjónustu- og þekkingarmiðstöð fyrir blinda, sjónskerta og einstaklinga með samþætta sjón- og heyrnarskerðingu. Segir að allar þessar stofnanir hafi óskað eftir að skoða persónuverndarsjónarmið frekar og hafi engin þeirra enn sent Hagstofu Íslands gögn. Þá er vísað til þess að á fundi með Persónuvernd um vinnslu vegna persónuupplýsinga vegna umrædds manntals, sem haldinn var hjá Hagstofunni 9. mars 2020, var afhent minnisblað um þá vinnslu, dags. 3. janúar s.á.

Í þessu minnisblaði segir að samkvæmt viðauka XXI við EES-samninginn hafi Ísland skuldbundið sig til að taka manntal og húsnæðistal á tíu ára fresti, frá og með árinu 2011, en í manntalinu séu alls um 38 efnisþættir sem fjalli almennt um lýðfræðileg málefni, atvinnu, menntun, fjölskyldur, heimili og húsnæði. Þar sem manntal sé gríðarlega kostnaðarsamt og umfangsmikið verkefni hafi Hagstofa Íslands frá upphafi verið ráðin í að draga þar saman fleiri atriði sem hafi skipt máli fyrir íslenska þjóðfélagsumræðu og stefnumótun. Á meðal slíkra atriða sé tegund fötlunar og hafi hagskýrslugerð um fatlað fólk með upplýsingum þar að lútandi um árabil verið eitt af verkefnum Hagstofunnar. Þar hafi þó aðeins verið um að ræða yfirlit yfir þá sem njóti þjónustu félagsmálayfirvalda í sveitarfélögum, en ekki nýti allt fólk með fötlun sér þjónustu þeirra, einkum heyrnardaufir og blindir. Hins vegar sé kveðið á um skráningu á fólki með fötlun í ýmsum lögum og megi þar helst nefna lög nr. 39/2018 um þjónustu við fatlað fólk með langvarandi stuðningsþarfir, lög nr. 42/2007 um Heyrnar- og talmeinastöð, lög nr. 160/2008 um þjónustu- og þekkingarmiðstöð fyrir blinda, sjónskerta og einstaklinga með samþætta sjón- og heyrnarskerðingu og lög nr. 100/2007 um almannatryggingar, auk þess sem Sjúkratryggingar Íslands hafi lögmæta ástæðu til að halda skrá yfir notendur þjónustu sem hún endurgreiðir. Með hagnýtingu skráa sem haldnar séu í ljósi framangreinds ætti að vera hægt að safna saman fullnægjandi og réttum upplýsingum um fólk með fötlun eftir tegund fötlunar á grundvelli 5. og 6. gr. laga nr. 163/2007 um Hagstofu Íslands þannig að farið sé að meginreglum 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Að auki sé til staðar heimild til vinnslu persónuupplýsinga samkvæmt 5. tölul. 9. þeirra laga, svo og til vinnslu viðkvæmra persónuupplýsinga samkvæmt 7. og 10. tölul. 1. mgr. 11. gr. sömu laga, en í ljósi ákvæða í lögum nr. 163/2007 sé kröfum um fullnægjandi lagagrundvöll fullnægt. Er í þessu sambandi vísað til samnings Sameinuðu þjóðanna um réttindi fatlaðs fólks sem Ísland hafi fullgilt 23. september 2016 með ályktun frá Alþingi, en samkvæmt 31. gr. samningsins skuldbindi aðilar sig til þess að safna viðeigandi upplýsingum, þ.m.t. hagtölum og rannsóknargögnum, sem geri þeim kleift að móta og framfylgja stefnu samningnum til framkvæmdar. Í ljósi 76. gr. stjórnarskrárinnar um rétt fatlaðs fólks til aðstoðar og jafnræðisreglu 65. gr. hennar, svo og þeirra háu fjárhæða sem varið sé til þjónustu við fatlað fólk, hvíli á stjórnvöldum ríkar skyldur til að ákvarða aðstoð með réttmætum hætti. Þá er vísað til tilmæla evrópsku hagstofustjóranna frá 2016 um manntal og húsnæðistal árið 2020, en samkvæmt þeim má nota manntalsgögn til gerðar áætlana um uppbyggingu og veitingu þjónustu, bæði fyrirbyggjandi og til endurhæfingar, svo og til mats á landsáætlunum og þjónustu hvað snertir jöfnun tækifæra og til alþjóðlegs samanburðar á umfangi fötlunar.

II.

Álit Persónuverndar

1.

Málsmeðferð

Mál þetta er metið svo að við eigi 4. mgr. 2. gr. reglna nr. 876/2018 um störf stjórnar Persónuverndar og skiptingu starfa gagnvart skrifstofu, sbr. 3. mgr. 38. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Hefur málið því hlotið umfjöllun á vettvangi stjórnar stofnunarinnar.

2.

Lagaumhverfi

Svo að vinna megi með persónuupplýsingar þarf vinnslan ávallt að styðjast við heimild í lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Í því felst að sá sem fer með ákvörðunarvald um vinnsluna, þ.e. ábyrgðaraðili í skilningi 6. tölul. 4. gr. laganna, þarf að geta fellt hana undir upptalninguna á því hvenær vinnsla má fara fram í 9. gr. laganna. Í 5. tölul. þeirrar greinar er mælt fyrir um að vinnsla sé heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Verður einkum talið að Hagstofa Íslands sem ábyrgðaraðili umræddrar vinnslu geti byggt hana á þessari heimild.

Sé um að ræða viðkvæmar persónuupplýsingar þarf að auki að vera fullnægt einhverju viðbótarskilyrðanna fyrir vinnslu slíkra upplýsinga sem mælt er fyrir um í 11. gr. laganna. Upplýsingar um heilsufar teljast til viðkvæmra persónuupplýsinga, sbr. b-lið 3. tölul. 3. gr. laganna, en þar undir falla upplýsingar um fötlun eins og fram kemur í 35. lið formála almennu persónuverndarreglugerðarinnar (ESB) 2016/679 sem með lögunum var innleidd í íslenskan rétt. Eins og hér háttar til reynir í því sambandi á 5. tölul. 1. mgr. 11. gr. laganna, þess efnis að vinna megi með viðkvæmar persónuupplýsingar sé það nauðsynlegt vegna verulegra almannahagsmuna, auk þess sem vinnslan fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða. Þá reynir á 10. tölul. sömu málsgreinar, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg í þágu meðal annars tölfræðirannsókna, enda fari hún fram á grundvelli slíkrar löggjafar og fyrr greinir.

Um upplýsingaöflun vegna hagskýrslugerðar er sérstaklega fjallað í lögum nr. 163/2007 um Hagstofu Íslands. Samkvæmt 5. gr. þeirra laga er Hagstofunni heimilt að krefja stjórnvöld, stofnanir, fyrirtæki og einstaklinga í atvinnurekstri um gögn og upplýsingar sem hún þarfnast til hagskýrslugerðar sinnar samkvæmt lögunum og er þeim skylt að veita henni upplýsingarnar á því formi sem hún óskar eftir eða um semst og innan þeirra tímamarka sem hún ákveður. Mælt er fyrir um það í 8. gr. laganna að Hagstofan skuli afla nauðsynlegra hagskýrslugagna um einstaklinga og heimili úr opinberum skrám og á grundvelli stjórnsýslugagna eftir því sem kostur sé en að Hagstofunni sé að öðru leyti heimilt að afla persónubundinna upplýsinga beint frá einstaklingum. Jafnframt segir í 9. gr. laganna að við tölfræðilega úrvinnslu og hagskýrslugerð sé Hagstofunni heimilt að tengja saman eigin skrár og skrár frá öðrum aðilum með upplýsingum um einstaklinga og lögaðila á grundvelli kennitölu eða annars auðkennis. Tekið er fram í 1. mgr. 10. gr. laganna að þagnarskylda ríki um allar upplýsingar sem Hagstofan safnar til hagskýrslugerðar og snerta tilgreinda einstaklinga og lögaðila. Slíkar upplýsingar teljist trúnaðargögn og skuli einvörðungu notaðar til hagskýrslugerðar. Óheimilt sé að afhenda þær öðrum stjórnvöldum og þær lúti ekki aðgangi samkvæmt upplýsingalögum nr. 140/2012. Sama gildi um upplýsingar um einstaklinga og lögaðila í opinberum skrám sem Hagstofan nýti til hagskýrslugerðar og upplýsingar sem verða til við samtengingu skráa samkvæmt 9. gr. laganna. Að auki er áréttað í 11. gr. laga nr. 163/2007 að á starfsfólki Hagstofunnar hvílir þagnarskylda samkvæmt X. kafla stjórnsýslulaga nr. 37/1993.

3.

Öflun upplýsinga frá Greiningar- og ráðgjafarstöð ríkisins

Í ljósi framangreinds telur Persónuvernd að um vinnslu persónuupplýsinga hjá Hagstofu Íslands fari samkvæmt lögum sem kveði á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og frelsi hinna skráðu, sbr. áðurnefnt skilyrði þar að lútandi í 5. og 10. tölul. 1. mgr. 11. gr. laga nr. 90/2018. Þá er ljóst að um er að ræða hagskýrslugögn um einstaklinga úr opinberum skrám og stjórnsýslugögnum í skilningi 8. gr. laga nr. 163/2007, auk þess sem 5. tölul. 9. gr. laga nr. 90/2018 á við um vinnsluna. Samkvæmt því telur Persónuvernd að ráðgerð upplýsingaöflun Hagstofu Íslands frá Greiningar- og ráðgjafarstöð ríkisins byggist á fullnægjandi heimild. 

Jafnframt er hins vegar minnt á mikilvægi þess að við öflun upplýsinganna sé gætt að öryggi þeirra, svo sem þannig að þær séu boðsendar á innsigluðum læstum minnislykli, sbr. kröfu um viðeigandi öryggisráðstafanir samkvæmt 32. gr. reglugerðar (ESB) 2016/679, sbr. 1. mgr. 27. gr. laga nr. 90/2018. Þá er minnt á mikilvægi þess að gætt sé meðalhófs, sbr. grunnreglu 3. tölul. 1. mgr. 8. gr. og c-liðar 1. mgr. 5. gr. reglugerðarinnar þar að lútandi. Skal tekið fram í því sambandi að ekki eru sérstakar vísbendingar um að fyrirhuguð sé upplýsingaöflun umfram það sem telja má eðlilegt vegna hagskýrslugerðar.

4.

Öflun upplýsinga frá Orkuveitu Reykjavíkur

Hvað snertir fyrirhugaða upplýsingaöflun Hagstofu Íslands frá Orkuveitu Reykjavíkur skal tekið fram að heimild samkvæmt 5. tölul. 1. mgr. 9. gr. laga nr. 90/2018 myndi nægja ein og sér, enda ekki um viðkvæmar persónuupplýsingar að ræða. Í því sambandi verður ráðið af álitsbeiðni Orkuveitunnar að hún telji svo kunna að vera að hún teljist ekki til aðila sem búi yfir opinberum skrám og stjórnsýslugögnum. Heimild Hagstofu Íslands til öflunar upplýsinga um einstaklinga úr slíkum gögnum samkvæmt 8. gr. laga nr. 163/2007 eigi því ekki við og verði að afla upplýsinganna beint frá einstaklingunum sjálfum, sbr. niðurlag ákvæðisins.

Í þessu sambandi er til þess að líta að Orkuveita Reykjavíkur er lögbundinn aðili, sbr. lög nr. 136/2013 um Orkuveitu Reykjavíkur, en samkvæmt 1. gr. þeirra laga er um að ræða sameignarfyrirtæki í eigu Reykjavíkurborgar, Akraneskaupstaðar og Borgarbyggðar. Einnig má hér til hliðsjónar líta til upplýsingalaga nr. 140/2012. Ljóst er að Orkuveita Reykjavíkur telst vera aðili samkvæmt 2. mgr. 2. gr. laganna, þ.e. aðili sem ekki tilheyrir stjórnvöldum en sem ber skyldur samkvæmt lögunum í ljósi þess að eignarhald er að 51% hluta eða meira á hendi hins opinbera. Felst í því nánar tiltekið að Orkuveitu Reykjavíkur ber meðal annars að veita almenningi aðgang að gögnum úr starfsemi sinni á grundvelli 5. gr. laganna nema veitt sé undanþága frá því, þ.e. á þeim grundvelli að um ræði starfsemi sem að nær öllu leyti sé í samkeppni á markaði, sbr. 2. mgr. 2. gr. laganna. Hefur slík undanþága ekki verið veitt fyrir Orkuveitu Reykjavíkur, en eins og meðal annars má sjá af 3. mgr. 3. gr. áðurnefndra laga nr. 136/2013 er á því byggt að einungis hluti starfsemi Orkuveitunnar sé á samkeppnismarkaði.

Að framangreindu virtu telur Persónuvernd ljóst að Orkuveita Reykjavíkur sé að hluta til starfrækt sem ígildi opinberrar þjónustustofnunar. Í ljósi þessa, svo og eðlis þeirra upplýsinga sem Hagstofa Íslands óskar eftir frá Orkuveitunni, verður að líta svo á að þær séu úr opinberum skrám í skilningi 8. gr. laga nr. 163/2007. Af því leiðir að ráðgerð upplýsingaöflun Hagstofu frá Orkuveitunni telst vera heimil. 

Persónuvernd minnir hins vegar á mikilvægi þess að við öflun upplýsinganna sé gætt að öryggi þeirra, svo og meðalhófi, í ljósi fyrrnefndra ákvæða reglugerðar (ESB) 2016/679 og laga nr. 90/2018 þar að lútandi. Skal tekið fram í þessu sambandi að ekki eru vísbendingar um að ráðgerð sé upplýsingaöflun umfram það sem telja má nauðsynlegt vegna hagskýrslugerðar.

III.

Samandregin niðurstaða

Persónuvernd telur Hagstofu Íslands vera heimilt að afla upplýsinga frá Greiningar- og ráðgjafarstöð ríkisins um tegund fötlunar sem einstaklingar hafa verið greindir með, svo og upplýsinga frá Orkuveitu Reykjavíkur um raforkusölu til einstaklinga, í þágu gerðar manntals 2021. 

Jafnframt minnir Persónuvernd hins vegar á að við hvoru tveggja upplýsingaöflunina ber að gera viðeigandi ráðstafanir til að tryggja öryggi upplýsinganna. auk þess sem meðalhófs skal gætt þannig að upplýsinga sé ekki aflað umfram það sem nauðsyn krefur.

F.h. Persónuverndar,

Helga Þórisdóttir                                              Þórður Sveinsson