Endurbirting persónuupplýsinga á Netinu

Mál nr. 2020010727

2.11.2020

Úrskurður

Hinn 29. september 2020 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2020010727 (áður 2018091442):

I.

Málsmeðferð

1.

Tildrög máls

Persónuvernd barst kvörtun frá [A] (hér eftir nefndur kvartandi), dags. 17. september 2018, yfir birtingu persónuupplýsinga um hann á vefsíðunni […]. Kvörtuninni er beint að […] borgarstjóra Reykjavíkur. Nánar tiltekið var um að ræða birtingu á innsendri athugasemd kvartanda vegna tillögu umhverfis- og skipulagsráðs að tilteknu deiliskipulagi en athugasemdin innihélt nafn kvartanda og kennitölu.

Með bréfi, dags. 12. nóvember 2018, var […] borgarstjóra tilkynnt um kvörtunina og veittur kostur á að tjá sig um hana. Svarað var með bréfi, dags. 10. desember 2018. Með bréfi, dags. 28. janúar 2019, var kvartanda boðið að tjá sig um svarbréf [borgarstjóra]. Kvartandi svaraði með tölvupósti, dags. 1. febrúar s.á.

Með bréfi, dags. 11. apríl 2019, var Reykjavíkurborg veitt færi á að tjá sig um kvörtunina. Reykjavíkurborg svaraði með bréfi, dags. 13. maí s.á. Þá barst Persónuvernd bréf persónuverndarfulltrúa Reykjavíkurborgar, dags. 14. maí 2019, vegna kvörtunarinnar. Með bréfi, dags. 28. maí 2019, var kvartanda boðið að tjá sig um fram komin svör Reykjavíkurborgar. Með tölvupósti, dags. 29. júní 2019, bárust athugasemdir kvartanda.

Við úrlausn málsins hefur verið tekið tilliti til allra framangreindra gagna, þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð máls þessa hefur dregist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Í kvörtun er vísað til þess að [borgarstjóri] hafi birt gögn sem kvartandi sendi Reykjavíkurborg frá orði til orðs, þ. á m. kennitölu hans, á Netinu. Telur kvartandi birtinguna brjóta í bága við lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og 71. gr. stjórnarskrárinnar um friðhelgi einkalífs. Vísar kvartandi til þess að hann hafi persónulegra hagsmuna að gæta þar sem hann ráði sjálfur yfir sinni kennitölu og að hann hafi ekki gefið [borgarstjóra] leyfi til að birta umræddar upplýsingar á sinni vefsíðu. Bendir kvartandi á að hann hafi þó gefið sjálfri Reykjavíkurborg leyfi til að sjá kennitölu sína og umrædd gögn en nauðsynlegt hafi verið að afmá kennitöluna fyrir birtingu á Netinu. Telur kvartandi vefsíðu [borgarstjóra] ekki vera á vegum Reykjavíkurborgar og spyr hver hafi gefið honum leyfi til að birta umrædd gögn.

3.

Sjónarmið [borgarstjóra]

Í svarbréfi[…]borgarstjóra kemur fram að hann ákveði sjálfur hvaða efni sé sett inn á tilgreinda vefsíðu, ásamt aðstoðarmanni sínum. Hugbúnaðurinn issuu.com sé notaður í þeim tilgangi að gera efni, sem sé opinbert og hafi þegar verið birt, aðgengilegt fyrir lesendur síðunnar í gegnum vikulega upplýsingapósta sem hann, sem borgarstjóri, sendi út á þar til gerðan póstlista. Vísað er til þess að umrætt vefsvæði sé sett upp til að vera nokkurs konar lendingarsíða fyrir gögn sem vísað sé til í upplýsingapóstinum. Gögnin séu alltaf með þeim hætti að þau hafi þegar verið lögð fram í ráðum eða nefndum borgarinnar.

Upplýsingarnar sem vísað sé til í þessu máli og snúi að kvartanda séu upplýsingar sem hafi verið birtar með fundargerð borgarráðs frá [...] á vefsíðu Reykjavíkurborgar. Á umræddri vefsíðu séu auk fundargerðar ráðsins birt öll gögn sem lögð hafi verið fyrir ráðið, þar á meðal útskrift úr gerðabók umhverfis- og skipulagsráðs frá [...], ásamt fylgigögnum. Umrædd gögn séu einmitt þau sem vísað sé til á vefsvæði hans til hægðarauka fyrir lesendur hins vikulega upplýsingapósts og engu sé við þau bætt eða þeim breytt með nokkrum hætti. Í gögnunum komi fram deiliskipulagsuppdrættir og upplýsingar um þá einstaklinga sem í tilgreindu máli hafi sent inn athugasemdir við drög að tilteknu deiliskipulagi, þ.e. þeirra eigin athugasemdir vegna tilgreindra skipulagsáforma. Lúti kvörtun í þessu máli því að birtingu gagna sem þegar hafi verið opinber og aðgengileg á opinberum vettvangi. Að því virtu sé ekki unnt að líta svo á að um sjálfstæða vinnslu persónuupplýsa sé að ræða, samkvæmt lögum um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018.

Í ljósi athugasemda kvartanda í málinu hafi þó umræddum gögnum verið eytt af vefsíðunni […], án þess þó að í því felist yfirlýsing eða viðurkenning á því að miðlun þessara gagna hafi verið í andstöðu við persónuverndarlög.

4.

Sjónarmið Reykjavíkurborgar

Í svarbréfi Reykjavíkurborgar kemur fram að umræddar persónuupplýsingar hafi verið að finna á Netinu í fundargerð borgarráðs frá [...] á vefsíðu Reykjavíkurborgar. Vísað er til þess að þau gögn sem um ræðir og birt hafi verið sem fylgiskjöl við fundargerð borgarráðs séu innsendar athugasemdir við tillögu að tilteknu deiliskipulagi sem hafi verið samþykkt á fundi umhverfis- og skipulagsráðs þann [...].

Í bréfi Reykjavíkurborgar er einkum fjallað um heimildir Reykjavíkurborgar til birtingar persónuupplýsinganna, en um lögmæti birtingar borgarinnar er nánar fjallað í úrskurði í máli nr. 2020010584.

Þá þykir ekki tilefni til að rekja bréf persónuverndarfulltrúa Reykjavíkurborgar umfram það sem áður hefur verið tiltekið frá Reykjavíkurborg, en tekið hefur verið tillit til þess er þar kemur fram í úrskurði þessum, líkt og áður kom fram.

II.

Forsendur og niðurstaða

1.

Lagaskil

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sem í gildi voru þegar umræddar persónuupplýsingar voru fyrst birtar, voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi hinn 15. júlí 2018. Þau lögfestu jafnframt persónuverndarreglugerðina, (ESB) 2016/679, eins og hún var aðlöguð og tekin upp í EES-samninginn.

Þar sem kvörtun þessi beinist að ástandi sem enn var til staðar eftir gildistöku laga nr. 90/2018, en persónuupplýsingar um kvartanda voru enn aðgengilegar á vefsíðu [borgarstjóra] þegar kvörtun þessi barst, þ.e. hinn 17. september 2018, auk þess sem þær reglur laga um persónuvernd sem á reynir hafa ekki breyst efnislega með gildistöku nýrra laga, verður leyst úr málinu á grundvelli laga nr. 90/2018.

2.

Gildissvið

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að því að […] borgarstjóri birti á vefsíðu sinni, […], fundargerð borgarráðs ásamt fylgiskjölum hennar, þar á meðal athugasemd kvartanda við umrædda deiliskipulagstillögu. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

3.

Ábyrgðaraðili

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar.

Í máli þessu kemur til skoðunar hvort [borgarstjóri] teljist persónulega vera ábyrgðaraðili birtingarinnar eða hvort birtingin sé svo tengd störfum hans sem borgarstjóra að líta beri svo á að Reykjavíkurborg teljist ábyrgðaraðili. Í því sambandi þykir verða að líta til þess að umrætt vefsvæði er ótengt vefsíðu Reykjavíkurborgar. Vefslóðin inniheldur jafnframt nafn [borgarstjóra], auk þess sem framsetning síðunnar að öðru leyti þykir gefa til kynna að um sé að ræða vefsíðu á hans eigin vegum, fremur en embættisins sem hann gegnir. Með vísan til þess, sem og málsatvika að öðru leyti, er það því mat Persónuverndar að [borgarstjóri] teljist vera ábyrgðaraðili að þeirri vinnslu sem sneri að birtingu persónuupplýsinga kvartanda á vefsíðunni […].

4.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Hvað varðar birtingu persónuupplýsinga kvartanda á vefsíðu [borgarstjóra] kemur einkum til skoðunar 6. tölul. 1. mgr. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, sem heimilar vinnslu sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili gætir, nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra.

Fyrir liggur að þau gögn sem kvörtun þessi tekur til voru upphaflega birt af hálfu Reykjavíkurborgar en um þá vinnslu hefur verið fjallað í áðurnefndum úrskurði í máli nr. 2020010584 hjá Persónuvernd. Í úrskurðinum komst Persónuvernd að þeirri niðurstöðu að birting borgarinnar á athugasemdum kvartanda við deiliskipulagstillögu á vefsíðu Reykjavíkurborgar gæti talist heimil á þeim grundvelli að hún væri nauðsynleg vegna verks sem unnið væri í þágu almannahagsmuna, sbr. 5. tölul. 9. gr. laga nr. 90/2018, sbr. einnig e-lið, 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Hins vegar taldi Persónuvernd að Reykjavíkurborg hefði skort heimild til að birta upplýsingar um kennitölu kvartanda í athugasemd hans á vefsíðu borgarinnar. Var sú niðurstaða byggð á því að birting upplýsinga um kennitölu kvartanda hefði ekki talist nauðsynleg í þágu tilgangs vinnslunnar, en auk þess var vísað til þess að sú skylda hvíldi á Reykjavíkurborg að yfirfara efni innsendra athugasemda fyrir birtingu þeirra og ganga úr skugga um að birtingin samrýmdist lögum, sbr. 2. mgr. 8. gr. laga nr. 90/2018 og 2. mgr. 5. gr. reglugerðar (ESB) 2016/679. Þá var Reykjavíkurborg gert að veita framvegis fræðslu í samræmi við 13. gr. reglugerðar (ESB) 2016/679, sbr. 1. tölul. 1. mgr. 8. gr. og 2. mgr. 17. gr. laga nr. 90/2018, vegna fyrirhugaðrar birtingar athugasemda við skipulagstillögur. Til nánari skýringa á framangreindu vísast að öðru leyti til úrskurðarins.

Að mati Persónuverndar mega þeir sem endurbirta persónuupplýsingar, sem áður hafa verið birtar opinberlega af stjórnvöldum, almennt gera ráð fyrir því að birting upplýsinganna af hálfu viðkomandi stjórnvalds sé í samræmi við lög. Með hliðsjón af eðli þeirra persónuupplýsinga og gagna sem málið varðar er það því mat Persónuverndar að eins og hér háttar til hafi [borgarstjóri] mátt ganga út frá því að birtingin samrýmdist persónuverndarlögum. Er í því sambandi meðal annars litið til þess að þær upplýsingar sem hér um ræðir teljast ekki til viðkvæmra persónuupplýsinga í skilningi laga nr. 90/2018 og reglugerðar (ESB) 2016/679.

Með vísan til framangreinds er það niðurstaða Persónuverndar að sú vinnsla ábyrgðaraðila, sem fólst í að endurbirta á persónulegu vefsvæði hans opinber gögn, þar á meðal upplýsingar um umrædda athugasemd kvartanda við deiliskipulagstillögu, hafi samrýmst 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. 1. mgr. 8. gr. laganna); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Reykjavíkurborg vísaði til þess í svarbréfi sínu að birting athugasemdanna sem fylgigagna með fundargerðum borgarráðs hefði verið liður í gagnsærri stjórnsýslu og upplýsingagjöf til þeirra er málið varðaði. Þá hefur ábyrgðaraðili lýst því yfir að vefsvæði hans hafi verið notað í þeim tilgangi að gera efni, sem þegar hafði verið birt, aðgengilegt lesendum síðunnar í vikulegum upplýsingapóstum sem hann sendi út á þar til gerðan póstlista. Einnig vísaði hann til þess að engu hefði verið við efnið bætt eða því breytt með nokkrum hætti. Þá liggur fyrir að hann fjarlægði umræddar upplýsingar þegar kvörtunin barst honum.

Með vísan til alls framangreinds verður ekki talið að vinnslan hafi verið andstæð kröfum 1.-3. tölul. 1. mgr. 8. gr. laganna, sbr. einnig a-c-liði 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Í ljósi alls framangreinds telur Persónuvernd að birting þeirra persónuupplýsinga sem kvörtun þessi tekur til hafi samrýmst ákvæðum laga nr. 90/2018.

Ú r s k u r ð a r o r ð:

Birting [borgarstjóra] á persónuupplýsingum um kvartanda samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd 29. september 2020

Björg Thorarensen
formaður

Ólafur Garðarsson                  Björn Geirsson

Vilhelmína Haraldsdóttir                        Þorvarður Kári Ólafsson