Hljóðritun símtala og miðlun þeirra til lögreglu
Mál nr. 2021101915
Hljóðupptökur sem gerðar eru til einkanota falla almennt ekki undir persónuverndarlögin. Ef þeim er miðlað til annarra þá fellur miðlunin hins vegar undir lögin og þarf að samrýmast þeim. Í því felst meðal annars að þá getur þurft að upplýsa þá sem eru á upptökunni um miðlunina. Í þessu máli var hins vegar um að ræða miðlun á upptöku til lögreglu, sem ætlað var að sýna fram á refsiverða háttsemi, og við þær aðstæður er talið að hægt sé að víkja frá skyldunni til að upplýsa hina skráðu um miðlunina, að tilteknum skilyrðum uppfylltum.
----
Í máli þessu hljóðritaði ábyrgðaraðili símtöl við barnsföður sinn og miðlaði þeim til lögreglu. Eins og hér háttaði til var það mat Persónuverndar að umrædd hljóðritun hafi einungis verið í þágu ábyrgðaraðila sjálfs og fjölskyldu hennar og því hafi vinnslan fallið utan gildissviðs persónuverndarlaga, þar sem lögin taka ekki til meðferðar einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota.
Miðlun hljóðritananna til lögreglu taldist hins vegar til vinnslu persónuupplýsinga sem heyrir undir gildissvið laganna. Hvað þessa miðlun varðaði var það mat Persónuverndar að hún hefði verið ábyrgðaraðila nauðsynleg til að verja einkalíf sitt og öryggi og að hún hafi haft lögmæta hagsmuni af miðluninni. Kvörtunin tók einnig til þess að kvartandi hefði ekki fengið fræðslu um vinnslu persónuupplýsinga um hann. Frá meginreglu laganna um fræðsluskyldu eru þó tilteknar undantekningar og taldi Persónuvernd þær eiga við í þessu tilviki, þar sem persónuupplýsingunum var miðlað til lögreglu til að sýna fram á refsivert brot. Þá var auk þess talið að brýnir hagsmunir ábyrgðaraðila af því að miðla umræddum persónuupplýsingum kvartanda til lögreglu, án þess að þurfa að upplýsa hann um það, hafi vegið þyngra en hagsmunir kvartanda af því að fá fræðsluna um miðlunina.
Úrskurður
um kvörtun yfir hljóðritun símtala af hálfu [B] og miðlun þeirra til lögreglu í máli nr. 2021101915:
I.
Málsmeðferð
1.
Tildrög máls
Hinn 4. október 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir hljóðritun [B] á símtölum þeirra án hans samþykkis eða vitundar og miðlun þeirra til lögreglu, héraðssaksóknara, dómstóla og lögmanna.
Persónuvernd bauð [B] að tjá sig um kvörtunina með bréfi, dags. 15. september 2022, og bárust svör hennar með tölvupósti 4. og 18. október s.á. ásamt afriti af dómi Héraðsdóms [...] nr. [...]. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör [B] með tölvupósti 20. s.m. og bárust þær með tölvupósti sama dag. Í ljósi þeirra svara er bárust og athugasemda kvartanda við málsmeðferð Persónuverndar var áréttað að hann hefði frest til 14. desember 2022 til þess að koma frekari athugasemdum við svör [B] á framfæri. Svör kvartanda bárust með tölvupósti 7., 9. og 10. desember s.á.
Af kvörtuninni að dæma taldi Persónuvernd að einnig væri kvartað yfir vinnslu lögreglunnar á höfuðborgarsvæðinu á persónuupplýsingum kvartanda og var lögreglunni því tilkynnt um kvörtunina þann 21. nóvember 2022 og veittur kostur á að tjá sig um hana. Undir rekstri málsins kom fram í svörum kvartanda að hann hygðist ekki kvarta yfir vinnslu lögreglunnar og var sá þáttur kvörtunarinnar því felldur niður.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
Ágreiningur er um hvort [B] hafi verið heimilt að hljóðrita símtöl við kvartanda án hans vitundar og samþykkis og miðla þeim áfram til lögreglu, héraðssaksóknara, dómstóla og lögmanna.
2.
Sjónarmið kvartanda
Kvartandi byggir á því að [B] hafi á tímabilinu janúar til febrúar 2019 hljóðritað símtöl sem hún átti við kvartanda en [barn] þeirra hafi jafnframt tekið þátt í umræddum samtölum. Kvartandi byggir jafnframt á því að hljóðritun símtalanna hafi farið fram með leynd og því án vitundar eða samþykkis hans. [B] hafi í kjölfarið afhent lögreglu símtæki sitt sem hafi sótt samskiptayfirlit úr tækinu og afritað hljóðritanirnar sem síðan hafi verið birtar lögreglu, héraðssaksóknara, lögmönnum og dómstólum.
3.
Sjónarmið [B]
Af hálfu [B] er byggt á því að hún hafi orðið fyrir ofbeldi af hendi kvartanda. Hluti af ofbeldinu hafi verið andlegt ofbeldi og hljóðritun símtalanna hafi farið fram í sjálfsvörn. Hún hafi eingöngu afhent lögreglu hljóðritanirnar vegna kæru sem hún hafi lagt fram á hendur kvartanda og hafi hann í kjölfarið hlotið dóm vegna ofbeldisins gegn henni.
Með svörum [B] fylgdi afrit af dómi Héraðsdóms [...] í máli nr. [...] þar sem fram kemur að kvartandi hafi verið dæmdur fyrir [ýmis brot, þ. á m. ofbeldisbrot, gagnvart B]. Byggðist niðurstaða dómsins meðal annars á ummælum kvartanda á umræddum hljóðritunum.
II.
Niðurstaða
1.
Afmörkun máls og efnislegt gildissvið laga nr. 90/2018
Mál þetta er tvíþætt og lýtur annars vegar að hljóðritunum [B] á símtölum hennar við kvartanda en hins vegar að miðlun hljóðritananna til lögreglu.
Persónuvernd úrskurðar í ágreiningsmálum er varða lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Um efnislegt gildissvið laganna er fjallað í 4. gr. þeirra, en þar segir að lögin og reglugerð (ESB) 2016/679 gildi um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Af framangreindu ræðst jafnframt valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna.
Samkvæmt 2. mgr. 4. gr. laganna, sbr. c-lið 2. mgr. 2. gr. reglugerðarinnar, fellur vinnsla einstaklings, sem eingöngu fer fram í þágu hans sjálfs eða fjölskyldu hans, utan efnislega gildissviðsins.
Þá hefur 18. liður formála reglugerðar (ESB) 2016/679 að geyma nánari skýringar á framangreindu ákvæði. Þar segir að reglugerðin eigi ekki við um vinnslu einstaklings á persónuupplýsingum ef hún er einungis í þágu hans sjálfs eða fjölskyldu hans og hefur þannig engin tengsl við atvinnu- eða viðskiptastarfsemi. Þá eru talin upp dæmi um athafnir sem falla undir umrætt ákvæði , en miðað við þá upptalningu skiptir máli hvort um sé að ræða venjulegar og lögmætar athafnir og hvort vinnslan varði aðeins hreina einkahagi eða ekki.
2.
Hljóðritun [B] á símtölum við kvartanda
Af gögnum málsins er ljóst að [B] hljóðritaði einkasímtöl sín við kvartanda sem er barnsfaðir hennar. Einnig liggur fyrir að hljóðritanirnar voru nýttar til sönnunar þess að hún hefði sætt hótunum og meingerð af hálfu kvartanda. Var þeirra því aflað til varnar öryggi hennar og einkalífi og vörðuðu þær einkahagi hennar.
Með dómi Héraðsdóms [...], í máli nr. [...], var kvartandi dæmdur [fyrir að hafa ítrekað beitt B ofbeldi, þar á meðal] andlegu ofbeldi í símtölum sem hann átti við hana.
Vinnsla [B] á persónuupplýsingum kvartanda sem fólst í hljóðritun þessara símtala var því einungis í þágu hennar sjálfrar og fjölskyldu hennar. Að auki hafði vinnslan engin tengsl við atvinnu- eða viðskiptastarfsemi heldur var um að ræða venjulegar og lögmætar athafnir er vörðuðu hreina einkahagi hennar.
Að framangreindu virtu er það mat Persónuverndar að í hljóðritun símtalanna hafi falist vinnsla sem falli utan efnislegs gildissviðs laganna og reglugerðarinnar, sbr. 2. mgr. 4. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. c-lið 2. mgr. 2. gr. reglugerðar (ESB) 2016/679.
Kvartandi hefur meðal annars vísað til þess að umrædd hljóðritun hafi ekki samrýmst ákvæði fjarskiptalaga um hljóðritun símtala, en í 48. gr. þágildandi laga nr. 81/2003 um fjarskipti (sbr. nú sambærilegt ákvæði í 91. gr. nýrra laga nr. 70/2022 um fjarskipti) var kveðið á um skyldu þess sem vildi hljóðrita símtal til þess að tilkynna viðmælanda sínum um þá fyrirætlun sína í upphafi símtalsins. Umrætt ákvæði fjarskiptalaga getur eftir atvikum haft þýðingu við mat á því hvort kröfum laga nr. 90/2018 og reglugerðar (ESB) 2016/679 um fræðsluskyldu og gagnsæi hefur verið fylgt, sbr. einkum 1. tölul. 1. mgr. 8. gr. og 17. gr. laganna og a-lið 1. mgr. 5. gr. og 13. gr. reglugerðarinnar. Þar sem hljóðritunin sem slík fól ekki í sér vinnslu persónuupplýsinga sem heyrði undir gildissvið laganna og reglugerðarinnar verður þó ekki talið að kröfur laganna um fræðslu og gagnsæi hafi gilt um hljóðritunina. Af því leiðir að ekki var skylt að upplýsa um hana við þær aðstæður sem hér voru til staðar.
Með vísan til framangreinds er þeim þætti kvörtunarinnar sem lýtur að hljóðrituninni og fræðslu um hana vísað frá.
3.
Miðlun hljóðritananna til lögreglu
Kemur þá til skoðunar sá þáttur kvörtunarinnar er lýtur að miðlun hljóðritananna til lögreglu.
Fyrir liggur að [B] leitaði til lögreglu vegna alvarlegs og ítrekaðs ofbeldis kvartanda í hennar garð og lagði fram kæru. Með kærunni lagði [B] fram hljóðritanir af símtölum sínum við kvartanda sem sönnunargagn í umræddu sakamáli. Þar sem hljóðritununum var miðlað til lögreglunnar var þeim jafnframt miðlað út fyrir vettvang einkalífs [B]. Getur vinnslan því ekki fallið undir undanþáguákvæði 2. mgr. 4. gr. laga nr. 90/2018, sbr. c-lið 2. mgr. 2. gr. reglugerðar (ESB) 2016/679.
Verður framangreind vinnsla því að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins.
Eins og að framan greinir leitaði [B] til lögreglu og lagði fram kæru á hendur kvartanda vegna alvarlegra ofbeldisbrota á hendur henni og var kvartandi í kjölfarið dæmdur [...], m.a. á grundvelli umræddra hljóðritana.
Það er mat Persónuverndar að það hafi verið [B] nauðsynlegt að miðla umræddum hljóðritunum með persónuupplýsingum um kvartanda til að verja einkalíf sitt og öryggi og að hún hafi átt lögmæta hagsmuni af þeirri vinnslu. Þá verður ekki séð að lögmætir hagsmunir eða grundvallarréttindi og frelsi kvartanda, sem krefðust verndar persónuupplýsinga um hann, hafi vegið þyngra. Gat miðlunin því stuðst við heimild til vinnslu persónuupplýsinga samkvæmt 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.
Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins og a-liður reglugerðarákvæðisins) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul. lagaákvæðisins og c-liður reglugerðarákvæðisins).
Við skýringu á meginreglunni um gagnsæi við vinnslu persónuupplýsinga þarf, eftir því sem við á, að líta til ákvæða um fræðsluskyldu ábyrgðaraðila gagnvart hinum skráða, sbr. 2. mgr. 17. gr. laga nr. 90/2018 og 13. og 14. gr. reglugerðar (ESB) 2016/679.
Hér er þó til þess að líta að samkvæmt 1. mgr. 23. gr. reglugerðar (ESB) 2016/679 er með lögum heimilt að takmarka gildissvið þeirra skyldna og réttinda sem getið er um í 13. og 14. gr. reglugerðarinnar. Samsvarandi ákvæði er að finna í 4. mgr. 17. gr. laga nr. 90/2018. Í athugasemdum við ákvæðið í frumvarpi því sem varð að lögunum segir að þar sé mælt fyrir um undantekningar sem gerðar eru frá réttindum hins skráða. Þessar undantekningar byggist á heimildum sem fram komi í 1. mgr. 23. gr. reglugerðarinnar.
Persónuvernd telur ljóst af lögskýringargögnum að ákvæði 4. mgr. 17. gr. laga nr. 90/2018 miði ekki aðeins að lögfestingu undanþáguheimildar 1. mgr. 23. gr. reglugerðar (ESB) 2016/679 heldur felist einnig í lagaákvæðinu sjálfstæðar undanþágur frá 13.-15. gr. reglugerðarinnar, í þágu tilgreindra markmiða, sbr. m.a. úrskurð Persónuverndar frá 16. desember 2021 í máli nr. 2020010635.
Samkvæmt 4. tölul. 4. mgr. 17. gr. laga nr. 90/2018 er þannig heimilt að takmarka fræðsluskylduna samkvæmt 13. og 14. gr. reglugerðar (ESB) 2016/679 sé það nauðsynlegt svo að koma megi í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi. Er ákvæðið samhljóða d-lið 1. mgr. 23. gr. reglugerðarinnar. Telur Persónuvernd samkvæmt þessu verða að leggja til grundvallar að skýra verði umrætt ákvæði svo að heimilt geti verið að víkja frá ákvæðum 13. gr. reglugerðar (ESB) 2016/679 í tengslum við miðlun persónuupplýsinga til lögreglu í því skyni að sýna fram á refsiverð brot.
Í 3. mgr. 17. gr. laganna er jafnframt að finna undantekningarreglu þess efnis að ákvæði 1.-3. mgr. 13. gr. reglugerðarinnar gildi ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum vega þyngra. Í athugasemdum við ákvæðið í frumvarpi því sem varð að lögum nr. 90/2018 segir að ef víkja eigi frá rétti hins skráða til upplýsinga á grundvelli ákvæðisins þurfi að fara fram mat á þeim hagsmunum sem nefndir eru í ákvæðinu. Þannig verði að vega hagsmuni hins skráða af því að fá upplýsingar eða aðgang andspænis hagsmunum annarra einstaklinga, t.d. vegna tillits til viðskiptaleyndarmála einkaaðila, ólögráða barns hins skráða eða vitna í dómsmáli. Þá sé mikilvægt að hafa í huga að gerð sé krafa um „brýna“ hagsmuni einstaklinga sem þurfi að sýna fram á til að réttlæta undantekningu frá rétti hins skráða til upplýsinga. Í því tilviki sem hér um ræðir telur Persónuvernd að þessi undantekning geti átt við, auk framangreinds ákvæðis 4. tölul. 4. mgr. 17. gr. laganna, en fallast má á að ábyrgðaraðili hafi átt brýna hagsmuni af því að miðla umræddum upplýsingum til lögreglu án þess að þurfa að upplýsa kvartanda um það. Er þar litið til þess að lögreglan hefur meðal annars það lögbundna hlutverk að vinna að uppljóstran brota, stöðva ólögmæta háttsemi og fylgja málum eftir í samræmi við það sem mælt er fyrir um í lögum um meðferð sakamála eða öðrum lögum, sbr. c-lið 2. tölul. 1. mgr. lögreglulaga nr. 90/1996. Eins og hér háttar til telur Persónuvernd ljóst að þessir hagsmunir ábyrgðaraðila hafi vegið þyngra en hagsmunir kvartanda af því að fá fræðslu um miðlunina.
Með hliðsjón af öllu framangreindu telur Persónuvernd að ábyrgðaraðila hafi, eins og hér háttar til, ekki verið skylt að veita kvartanda fræðslu um þá vinnslu persónuupplýsinga hans sem hér er til umfjöllunar til samræmis við 13. gr. reglugerðar (ESB) 2016/679, sbr. 17. gr. laga nr. 90/2018. Þá verður, með hliðsjón af þeirri niðurstöðu, ekki talið að miðlunin hafi farið í bága við gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-liðar 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.
Að auki verður ekki séð að þær hljóðritanir sem hér eru til umfjöllunar hafi verið umfram það sem nauðsynlegt mátti teljast í þágu sönnunar um háttsemi kvartanda á umræddu tímabili. Því telur Persónuvernd að [B] hafi gætt að meðalhófskröfu 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og c-liðar 1. mgr. 5. gr. reglugerðar (ESB) 2016/679 við vinnsluna.
Ekki verður að öðru leyti séð að miðlun [B] á hljóðritunum á símtölum við kvartanda hafi farið í bága við lög. Er niðurstaða Persónuverndar því sú að miðlunin hafi samrýmst lögum nr. 90/2018 og reglugerð (ESB) 2016/679.
Ú r s k u r ð a r o r ð:
Þeim hluta kvörtunar [A] er varðar hljóðritun [B] á símtölum við hann er vísað frá.
Miðlun [B] á hljóðritunum á símtölum við [A] til lögreglu samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.
Persónuvernd, 7. febrúar 2023
Ólafur Garðarsson
formaður
Björn Geirsson Sindri M. Stephensen
Vilhelmína Haraldsdóttir Þorvarður Kári Ólafsson