Álit um heimild dómstólasýslunnar til að veita Creditinfo Lánstrausti hf. rafrænan aðgang að málaskrárkerfum dómstólanna til söfnunar upplýsinga um refsiverða háttsemi

Mál nr. 2023111768

21.12.2023

Efni: Beiðni dómstólasýslunnar um álit á beiðni Creditinfo Lánstrausts hf. um rafrænan aðgang að málaskrárkerfum dómstólanna til söfnunar upplýsinga um refsiverða háttsemi.

1.

Erindi dómstólasýslunnar

Persónuvernd vísar til erindis dómstólasýslunnar, dags. 9. nóvember 2023, þar sem óskað er álits Persónuverndar á beiðni Creditinfo Lánstrausts hf. um rafrænan aðgang að málaskrárkerfum dómstólanna til söfnunar upplýsinga um refsiverða háttsemi með því að fletta upp kennitölum dómfelldra.

Í erindinu kemur fram að dómstólasýslunni hafi borist erindi frá Creditinfo Lánstrausti hf. þar sem fyrirtækið óskar eftir rafrænum aðgangi að málaskrárkerfum Hæstaréttar, Landsréttar og héraðsdómstólanna til söfnunar upplýsinga um refsiverða háttsemi manna, n.t.t. dómsúrlausnir þar sem sakfellt er fyrir auðgunarbrot. Í erindi Creditinfo Lánstrausts hf. til dómstólasýslunnar komi fram að fyrirtækið hyggst smíða lausn fyrir aðila, sem falla undir 1. mgr. 2. gr. laga 140/2018, um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Lausninni sé ætlað að veita tilkynningarskyldum aðilum heildstætt yfirlit yfir nýja og núverandi viðskiptavini sem geti aðstoðað við að meta hvort hætta er á peningaþvætti eða fjármögnum hryðjuverka, í samræmi við 5. gr. laganna. Óskað er eftir því að hálfu Creditinfo Lánstrausts hf. að fyrirtækinu verði veittur aðgangur að fullum kennitölum dómfelldra í dómsúrlausnum þar sem sakfellt er fyrir auðgunarbrot.

Í ljósi framangreindrar beiðni Creditinfo Lánstrausts hf. óskar dómstólasýslan álits Persónuverndar á því hvort lagagrundvöllur er fyrir því að utanaðkomandi aðila verði veittur rafrænn aðgangur að málaskrárkerfum Hæstaréttar, Landsréttar og héraðsdómstólanna til söfnunar upplýsinga um refsiverða háttsemi.

Með bréfi, dags. 20. nóvember 2023, óskaði Persónuvernd eftir afstöðu persónuverndarfulltrúa dómstólanna til álitaefnisins, sbr. 39. gr. reglugerðar (ESB) 2016/679. Svar barst frá dómstólasýslunni með bréfi, dags. 29. s.m., þar sem sjónarmið dómstólasýslunnar eru rakin varðandi annars vegar heimild Creditinfo Lánstrausts hf. til aðgangs að umbeðnum upplýsingum og gögnum á grundvelli laga og hins vegar hvort Creditinfo Lánstrausti hf. er heimilt að safna og miðla upplýsingum um refsiverða háttsemi manna á grundvelli laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

2.

Svar Persónuverndar

2.1

Álit þetta lýtur að heimild dómstólasýslunnar til að veita Creditinfo Lánstrausti hf. rafrænan aðgang að málaskrárkerfum dómstólanna til söfnunar upplýsinga um refsiverða háttsemi með því að fletta upp kennitölum dómfelldra. Dómstólasýslan telst vera ábyrgðaraðili að umræddri vinnslu, samkvæmt lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerðar (ESB) 2016/679.

Álit þetta er veitt með fyrirvara um hvort það heyrir undir valdsvið Persónuverndar að veita dómstólasýslunni álit á heimild til vinnslu persónuupplýsinga, með vísan til efnislegs gildissviðs laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. 4. mgr. 4. gr. laganna, og valdheimilda eftirlitsyfirvalda samkvæmt reglugerðinni, sbr. 3. mgr. 55. gr. hennar. Þá afmarkast svar Persónuverndar við heimild dómstólasýslunnar til að veita aðgang að kennitölum dómfelldra í dómsúrlausnum þar sem sakfellt er fyrir auðgunarbrot. Ekki er með svari þessu veitt álit á heimild Creditinfo Lánstrausts hf. til að safna og miðla upplýsingum um refsiverða háttsemi manna á grundvelli laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

2.2

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, eða ef það er nauðsynlegt vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðarinnar. Samkvæmt þeim þarf að lágmarka vinnslu persónuupplýsinga með hliðsjón af yfirlýstum tilgangi hennar, sbr. 2. og 3. tölul. lagaákvæðisins og b- og c-lið reglugerðarákvæðisins.

Við mat á heimild til vinnslu samkvæmt framangreindum vinnsluheimildum þarf að líta til ákvæða annarra laga sem við eiga hverju sinni. Í þessu sambandi koma einkum til skoðunar lög nr. 50/2016, um dómstóla, reglur dómstólasýslunnar nr. 3/2022, um útgáfu dóma og úrskurða á vefsíðum dómstóla, og lög nr. 140/2018, um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.

Um birtingu dómsúrlausna Hæstaréttar og Landsréttar er fjallað í 20. og 28. gr. laga um dómstóla, nr. 50/2016. Er þar kveðið á um að við útgáfu dóma skuli nema brott úr þeim upplýsingar um einka-, fjárhags- eða viðskiptahagsmuni einstaklinga sem eðlilegt er að leynt fari eftir reglum sem rétturinn setur. Samkvæmt 38. gr. laganna hefur dómstólasýslan umsjón með útgáfu dóma og úrskurða héraðsdómstóla. Þá hefur dómstólasýslan, með stoð í 6. mgr. 7. gr. laga nr. 50/2016, sett reglur nr. 3/2022 um útgáfu dóma og úrskurða á vefsíðu dómstóla. Í 6. gr. reglnanna segir að dómsúrslausnir í héraði sem fela í sér lyktir máls skuli gefnar út með þeim undantekningum sem fram koma í 2. mgr. þeirrar greinar og 7. gr. reglnanna. Í 12. gr. reglnanna er svo fjallað um brottnám upplýsinga í einka- og sakamálum og er í 2. mgr. þeirrar greinar sérstaklega mælt fyrir um að afmá skuli kennitölur úr öllum dómsúrlausnum áður en þær eru gefnar út.

Í 5. gr. laga nr. 140/2018, um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, er kveðið á um skyldu tilkynningarskyldra aðila til að gera áhættumat á starfsemi sinni, samningssamböndum og einstökum viðskiptum þeirra. Við áhættumat skulu tilkynningaskyldir aðilar horfa til viðeigandi áhættuþátta sem geta einir og sér, eða samanlagt, aukið eða dregið úr áhættu vegna peningaþvættis eða fjármögnunar hryðjuverka. Horfa skal til þeirrar heildaráhættu sem tengist samningssambandi og einstökum viðskiptum, m.a. til starfsemi, orðspors og stjórnmálalegra tengsla viðskiptamanns og raunverulegs eiganda.

2.3

Í erindi Creditinfo Lánstrausts hf. til dómstólasýslunnar kemur fram að með tilliti til orðspors viðskiptavinar, sem skylt er að horfa til við áhættumat samkvæmt lögum nr. 140/2018, um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, kanni tilkynningarskyldir aðilar meðal annars hvort tiltekinn viðskiptavinur eða raunverulegur eigandi hefur hlotið dóm í sakamáli með því að leita eftir nafni viðkomandi á vefsíðu dómstólanna.

Fyrir liggur að dómsúrlausnir þar sem sakfellt er fyrir auðgunarbrot eru alla jafna birtar á vef dómstólanna og nafn hins dómfellda almennt birt en kennitölur jafnframt afmáðar. Dómsúrlausnir, þannig birtar, eru því aðgengilegar almenningi, þar á meðal Creditinfo Lánstrausti hf. Í erindi dómstólasýslunnar segir að dómar sem varða auðgunarbrot séu m.a. gefnir út í þeim tilgangi að koma upp um aðferðir sem, til dæmis, er beitt við peningaþvætti og fjármögnum hryðjuverka.

Af lögum nr. 140/2018, um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, verður ekki ráðið að tilkynningaskyldir aðilar hafi efnislega aðrar eða ríkari heimildir en aðrir til aðgangs að upplýsingum. Þá verður ekki talið að tilgangur með birtingu dómsúrlausna, til dæmis þar sem sakfellt er fyrir auðgunarbrot, sé að gera einstaklingum eða lögaðilum kleift að kanna sakaferil dómfelldra og að unnt verði með einni aðgerð að kalla fram upplýsingar um allan refsiverðan verknað tiltekins einstaklings. Jafnframt verður að telja að slíkur aðgangur sé ekki nauðsynlegur tilkynningarskyldum aðilum til að framkvæma áhættumat á samningssamböndum og einstökum viðskiptum í samræmi við 5. gr. laga nr. 140/2018.

Að framangreindu virtu er það álit Persónuverndar að dómstólasýslunni sé ekki heimilt að veita Creditinfo Lánstrausti hf. rýmri rétt til leitar að persónuupplýsingum í dómsúrlausnum en almenningi er veittur með útgáfu dómsúrlausna á vefsíðum dómstólanna.

Persónuvernd, 8. desember 2023

Valborg Steingrímsdóttir                       Edda Þuríður Hauksdóttir