Miðlun persónuupplýsinga um fanga

15.11.2011

Álit

Hinn 12. október 2011 veitti stjórn Persónuverndar svohljóðandi álit í máli nr. 2011/812:

I.
Málsatvik og bréfaskipti
1.
Persónuvernd barst nafnlaus kvörtun þar óskað var eftir því að stofnunin kannaði hvort Tryggingastofnun ríkisins og Fangelsismálastofnun ríksins mættu og gætu haft samráð um að fella niður dagpeninga fanga sem eru í afplánun. Með bréfinu fylgdi bréf frá Tryggingarstofnun ríkisins vegna fyrirhugaðrar niðurfellingar Tryggingarstofnunar á vasapeningum fanga með örorku.

Með bréfi, dags. 4. ágúst 2011, óskaði Persónuvernd eftir upplýsingum frá Fangelsismálastofnun ríkisins um miðlun upplýsinga um hverjir sæti fangelsisvist frá stofnuninni til Tryggingarstofnunar. Svarbréf Fangelsismálastofnunar, dags. 26. ágúst 2011, barst Persónuvernd þann 30. ágúst s.á. Þar segir:

„Fangelsismálastofnun hefur borist bréf Persónuverndar, dags. 4. ágúst 2011, þar sem óskað er upplýsinga um miðlun persónuupplýsing frá Fangelsismálastofnun til Tryggingarstofnunar í tilefni af nafnlausri kvörtun á þeirri miðlun vegna fyrirhugaðrar niðurfellingar Tryggingastofnunar á vasapeningum fanga með örorku skv. 1. mgr. 56. gr. almannatryggingalagaa nr. 100/2007, sbr. 8. mgr. 48. gr. sömu laga.

Með vísan til framangreinds staðfestir Fangelsismálastofnun hér með að stofnunin sendir Tryggingastofnun í byrjun hvers mánaðar afplánunarlista (fangalista) sbr. heimild Tölvunefndar, í bréfi, dags. 4. mars 1993. Á listanum sem nú er boðsendur í lokuðu umslagi til Tryggingarstofnunar, merktu sérstökum starfsmanni, eru upplýsingar um nafn fanga, kennitölu, vistunarstað, komudag og áætlaðan brottfarardag.“

Tölvunefnd, forveri Persónuverndar, veitti Fangelsismálastofnun heimild samkvæmt þágildandi 5. gr. laga nr. 121/1989 um skráningu og meðferð persónuupplýsinga til að miðla þremur listum með nöfnum fanga til tiltekinna dómstóla og stjórnsýslustofnana. Leyfið er dags. 4. mars 1993. Í leyfinu segir m.a.:

„1. Boðunarlisti. Listi þessi verði sendur út með nafni og kennitölu til fangelsa á höfuðborgarsvæðinu og fangelsisins að Litla-Hrauni og komi ekki fram á honum aðrar upplýsingar heldur en að framan greinir. [...]
2. Afplánunarlisti. Á lista þessum er greint nafn, kennitala, vistunarstaður, komudagur og áætlaður brottfarardagur. Eftirtaldir aðilar fái lista þennan með framangreindum upplýsingum:
Rannsóknarlögregla ríkisins, Héraðsdómur Reykjavíkur, Héraðsdómur Reykjaness, lögreglustjórarnir í Reykjavík, Hafnarfirði og Kópavogi, ríkissaksóknari, Tryggingarstofnun ríkisins og Innheimtustofnun sveitafélaga. Einnig fái ríkissaksóknari lista yfir þá fanga sem vistaðir eru í Síðumúlafangelsinu.
3. Listi yfir þá sem háðir eru skilyrðum vegna reynslulausnar eða náðana. Á lista þessum kemur fram kennitala, nafn, upphaf skilorðstímabils og lok þess. [...]

Tölvunefnd ákvað með vísun til 2. mgr. 5. gr. laga nr. 121/1989 að heimila að listum þessum verði dreift á þann hátt sem að framan er lagt til og að þeim verði að svo stöddu dreift í prentuðu formi. Hins vegar verði tekið til athugunar svo fljótt sem aðstæður leyfa að dreifa upplýsingum þessum um lokuð tölvukerfi.
Ítrekað skal við þá sem fá lista þess aað fara beri með þá sem algjört trúnaðarmál og gæta þess vandlega að þær upplýsingar sem þar koma fram berist ekki til óviðkomandi aðila.“

Í framangreindu leyfi kemur m.a. fram að Fangelsismálastofnun sé heimilt að miðla sk. afplánunarlista til Tryggingarstofnunar.

Þann 15. september 2011 hafði starfsmaður Fangelsismálastofnunar samband við stofnunina. Í því símtali kom m.a. fram að í dag væri afplánunarlisti eingöngu sendur  til Tryggingarstofnunar, en ekki annarra aðila. Hins vegar væri einhver hluti s.k. boðunarlista og lista yfir þá sem háðir eru skilyrðum vegna reynslulausnar eða náðana sendur inn í Lögreglukerfi Ríkislögreglustjóra (LÖKE).


II.
Álit Persónuverndar
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

2.
Svo að vinna megi með persónuupplýsingar verður að vera fullnægt einhverju af skilyrðum 8. gr. laga nr. 77/2000. Sé um að ræða viðkvæmar persónuupplýsingar þarf að auki að vera fullnægt einhverju af skilyrðum 9. gr. Í 8. tölul. 2. gr. laganna er talið upp hvaða upplýsingar séu viðkvæmar og má þar nefna upplýsingar um hvort maður hefur verið grunaður, ákærður eða dæmdur fyrir refsiverðan verknað, t.d. um hvort einstaklingur sæti fangelsisvist.

Þegar ábyrgðaraðili er stjórnvald þarf, í ljósi lögmætisreglunnar, að skoða hvort uppfyllt sé ákvæði 3. töluliðar 1. mgr. 8. gr. laga nr. 77/2000 um að vinnsla sé heimil vegna þess að hún sé ábyrgðaraðila nauðsynleg til að fullnægja lagaskyldu sem hvílir á honum. Þá segir í  2. tölul. 1. mgr. 9. gr. sömu laga að vinnsla viðkvæmra persónuupplýsinga sé heimil standi til hennar sérstök heimild samkvæmt öðrum lögum. Ber hér að skoða ákvæði laga nr. 100/2007 um almannatryggingar, þ.e. að því er varðar um heimild Fangelsismálastofnunar til að miðla umræddum lista til Tryggingarstofnunar.

Í 56. gr. laga nr. 100/2007 um almannatryggingar segir að ef bótaþegi er dæmdur til fangelsisvistar eða á annan hátt úrskurðaður til dvalar á einhverri stofnun skulu falla niður allar bætur til hans eftir fjögurra mánaða samfellda fangelsisvist eða dvöl. Þegar bætur hafa verið felldar niður er heimilt að greiða fanga vasapeninga í samræmi við 8. mgr. 48. gr. laganna.

Af framangreindu ákvæði er ljóst að fyrrgreind miðlun upplýsinga frá Fangelsismálastofnun til Tryggingarstofnunar ríkisins er nauðsynleg til að Tryggingarstofnun geti gætt lögboðins hlutverks síns, um að fella niður bætur til þeirra sem dæmdir eru til fangelsisvistar, og er því heimil samkvæmt 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000.

Í þessu sambandi minnir Persónuvernd enn fremur á ákvæði 11. gr. laga nr. 77/2000 þar sem mælt er fyrir um að ábyrgðaraðili skuli gera viðeigandi tæknilegar og skipulagslegar öryggisráðstfafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi.


Á l i t s o r ð:

Fangelsismálastofnun er heimilt að miðla lista með nöfnum, kennitölum, vistunarstað, komudag og áætluðum brottfarardegi þeirra sem sæta fangelsisvist til Tryggingarstofnunar ríkisins þannig að Tryggingastofnun geti gætt lögboðins hlutverks síns í samræmi við 56. gr. laga nr. 100/2007 um almannatryggingar.