Aðgangur ættingja að tölvupósti látins manns
Persónuvernd vísar til tölvubréfs A frá 16. október 2008. Þar greinir frá því að maður, sem hafði tölvupóstfang hjá X, lést í sumar og hafi ættingjar mannsins óskað eftir að fá aðgang að tölvupóstinum hans. Maðurinn hafi ekki verið starfsmaður X, en hafi á sínum tíma engu að síður fengið tölvupóstfang hjá X. Af þessum ástæðum sé enginn vinnupóstur í tölvupósthólfinu heldur aðeins einkapóstur.
Þau lög, sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Með vinnslu er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Með persónuupplýsingum er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr.
Af framangreindu leiðir að hýsing á tölvupósti einstaklings telst til rafrænnar vinnslu persónuupplýsinga sem fellur undir lög nr. 77/2000 óháð því hvort viðkomandi einstaklingur sé lífs eða liðinn. Sé um að ræða látinn einstakling reynir þó á sérsjónarmið við túlkun laganna. Í því felst, með öðrum orðum, að litið er til þess að hagsmunir af vernd upplýsinga um látna eru ekki að öllu leyti hinir sömu og af vernd upplýsinga um lifandi menn.
Að auki verður að líta til þess að í tölvupósthólfi er ekki aðeins að finna persónuupplýsingar um eiganda tölvupósthólfsins heldur einnig um þá einstaklinga sem hann hefur átt í samskiptum við. Þó svo að eigandi tölvupósthólfsins sé látinn reynir því engu að síður á þau sjónarmið sem gilda um vernd persónuupplýsinga um lifandi einstaklinga.
Svo að vinna megi með persónuupplýsingar verður að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Ætla má að almennt geti aðeins samþykki komið til greina til að veita utanaðkomandi aðgang að tölvupósti einstaklings, sbr. 1. tölul. 1. mgr. 8. gr., sbr. 7. tölul. 2. gr. laganna. Þegar viðkomandi er látinn gætu hins vegar aðrar heimildir komið til greina, bæði vegna þess að ekki er lengur unnt að afla samþykkis og vegna þess að hagsmunir af vernd upplýsinganna eru e.t.v. ekki lengur jafnríkir. Telja má þó eðlilegt að varlega sé farið í þeim efnum
Það hvaða skilyrði gæti þá mögulega átt við fer eftir tilganginum með ósk um aðgang að umræddum gögnum. Eins og fram kom í símtali við yður í dag liggur það ekki fyrir, en sem dæmi um skilyrði 8. gr. má nefna 7. tölul. 1. mgr. Þar er mælt fyrir um að vinna megi með persónuupplýsingar sé vinnslan nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Ef um ræðir viðkvæmar persónuupplýsingar þarf einnig að vera fullnægt einhverju sérskilyrðanna fyrir vinnslu slíkra upplýsinga sem mælt er fyrir um í 9. gr. laga nr. 77/2000. Til viðkvæmra persónuupplýsinga teljast upplýsingar um (a) uppruna, litarhátt, kynþátt, stjórnmálaskoðanir, svo og trúar- eða aðrar lífsskoðanir; (b) hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað; (c) heilsuhagi, þ. á m. um erfðaeiginleika, lyfja-, áfengis- og vímuefnanotkun; (d) kynlíf og kynhegðan; og (e) stéttarfélagsaðild.
Eins og áður segir liggur ekki fyrir hvers vegna óskað er eftir aðgangi að umræddum gögnum, en tilgangurinn með því hefur áhrif á það hvaða skilyrði 9. gr. gætu mögulega átt við. Ætla verður að almennt geti aðeins samþykki samkvæmt 9. gr. komið til greina þegar utanaðkomandi óskar eftir aðgangi að tölvupósti, sbr. 1. tölul. 1. mgr. 9. gr., sbr. 7. tölul. 2. gr. laganna. Þegar viðkomandi er látinn gætu hins vegar aðrar heimildir komið til greina af þeim ástæðum sem fyrr er lýst. Sem dæmi um slíkar heimildir má nefna 7. tölul. 1. mgr. 9. gr. Þar er mælt fyrir um að vinna megi með viðkvæmar persónuupplýsingar sé vinnslan nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Þetta ákvæði gæti átt við ef óskað er eftir aðgangi að gögnunum til að nota þau í máli sem rekið er fyrir stjórnvöldum eða dómstólum.
Auk þess sem fullnægt verður að vera einhverjum af skilyrðum 8. gr. og, eftir atvikum, 9. gr. verður að vera farið að öllum grundvallarreglum 1. mgr. 7. gr. laga nr. 77/2000. Þar er m.a. mælt fyrir um að við vinnslu persónuupplýsinga skuli þess gætt að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og á þann veg að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslunnar (5. tölul.).
Einnig verður að líta til fjarskiptalaga nr. 81/2003. Í 6. mgr. 47. gr. laganna er fjallað um þagnarskyldu þeirra sem starfa við fjarskiptavirki, en með fjarskiptavirki er átt við hvers konar tæki, tækjahluta, leiðslur, búnað og því um líkt sem sérstaklega er ætlað að koma á fjarskiptum eða reka þau, hvort heldur er til sendingar eða móttöku, sbr. 14. tölul. 3. gr. laganna. Ætla má að tölvubúnaður, sem notaður er til varðveislu á tölvupósti, falli hér undir og umrædd þagnarskylda eigi því við. Samkvæmt áðurnefndu ákvæði 6. mgr. 47. gr. felur hún í sér að öllum sem starfa við fjarskiptavirki, hvort sem um er að ræða starfsmenn fjarskiptafyrirtækja eða aðra, sé skylt, bæði meðan þeir gegna starfi og eftir að þeir hafa látið af því, að halda leyndu fyrir óviðkomandi aðilum öllu því sem um fjarskiptavirkin fer, hvort sem um er að ræða efni skeyta eða samtala eða hvort fjarskipti hafi átt sér stað og á milli hverra.
Eðlilegt er að líta svo á að 6. mgr. 47. gr. fjarskiptalaga gangi framar ákvæðum 8. og 9. gr. laga nr. 77/2000. Jafnvel þó svo að telja megi skilyrði til að vinna með persónuupplýsingar samkvæmt þeim ákvæðum sé vinnsla upplýsinganna engu að síður óheimil fái hún ekki samrýmst framangreindu ákvæði fjarskiptalaga.
Svo að veita megi aðgang að upplýsingum, sem falla undir það ákvæði, má sá sem óskar eftir aðganginum ekki vera óviðkomandi í skilningi þess. Ætla má að nánustu ættingjar teljist allajafna óviðkomandi þegar sá einstaklingur, sem upplýsingarnar lúta að, er enn lífs. Þó svo að viðkomandi sé látinn má ætla að svo sé allajafna einnig nema hugsanlega ef einhverjar sérstakar ástæður réttlæta aðganginn, s.s. þar sem upplýsingar séu nauðsynlegar til að reka mál fyrir stjórnvöldum eða dómstólum og brýnir hagsmunir fari forgörðum ef aðgangur er ekki veittur.
Í þessu sambandi verður einnig að líta til hagsmuna þeirra sem viðkomandi einstaklingur hefur átt tölvupóstsamskipti við. Það að afhent séu fjarskiptagögn, sem hafa að geyma persónuupplýsingar um þá, verður að samrýmast ákvæðum laga nr. 77/2000 og fjarskiptalaga rétt eins og afhending gagna sem hafa að geyma persónuupplýsingar um eiganda tiltekins tölvupóstfangs.
Að lokum bendir Persónuvernd á að Póst- og fjarskiptastofnun hefur það hlutverk að framfylgja ákvæðum fjarskiptalaga nr. 81/2003, sbr. 2. mgr. 2. gr. þeirra laga. Má því leita nánari túlkunar á ákvæði 6. mgr. 47. gr. laganna hjá þeirri stofnun.