Birting persónuupplýsinga í skýrslum rannsóknarnefnda - mál nr. 2013/382

19.7.2013

Reykjavík, 25. júní 2013

Efni: Birting persónuupplýsinga í skýrslum rannsóknarnefnda sem falið er að yfirfara eftir á meðferð einstakra mála eða framkvæmd á tilteknu stjórnsýslusviði

I.
Erindi innanríkisráðuneytisins
Persónuvernd vísar til bréfs innanríkisráðuneytisins, dags. 12. mars 2013, þar sem óskað er eftir að stofnunin upplýsi hvort hún geri athugasemdir við birtingu á skýrslu starfshóps um Guðmundar- og Geirfinnsmál sem fyrirhuguð var 19. s.m., en skýrslan hefur að geyma persónuupplýsingar viðkvæms eðlis. Starfshópurinn, sem skipaður var af innanríkisráðherra, hafði það hlutverk að fara yfir málið í heild sinni en sérstaklega þá þætti sem snúa að rannsókn þess og framkvæmd rannsóknarinnar.

Vegna mikilla anna Persónuverndar náðist ekki að veita ráðuneytinu almennar leiðbeiningar um birtingu umræddrar skýrslu með tilliti til persónuverndarsjónarmiða. Hefur því stjórn stofnunarinnar þess í stað gefið út almennt álit um birtingarheimildir rannsóknarnefnda, sem fengið er það hlutverk að yfirfara eftir á meðferð einstakra mála eða framkvæmd á tilteknu stjórnsýslusviði, í stað þess að fjalla einvörðungu um birtingu þeirrar tilteknu skýrslu sem bréf ráðuneytisins lýtur að. Tekið skal fram að þó svo að umrædd nefnd sé kölluð starfshópur ber jafnframt að líta á hana sem rannsóknarnefnd, enda liggur fyrir að hún fór vandlega yfir umrætt mál, þ. á m. með yfirferð yfir gögn sem ekki höfðu áður legið fyrir í málsskjölum. Starfshópurinn var þó ekki skipaður á grundvelli beinnar lagaheimildar og hafði því ekki við sérstök lagaskilyrði að styðjast við í störfum sínum varðandi öflun, meðferð eða birtingu upplýsinga sem hún aflaði.

II.
Svar Persónuverndar
1.
Þingskipaðar rannsóknarnefndir
Svo að vinnsla persónuupplýsinga sé heimil þarf ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þegar unnið er með viðkvæmar upplýsingar, s.s. um grun um refsiverða háttsemi eða heilsuhagi, sbr. b- og c-liði 8. tölul. 2. gr. sömu laga, þarf einnig að vera fullnægt einhverju skilyrðanna í 9. gr. laganna. Á meðal heimilda 8. gr. er að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. 1. mgr. Þá kemur fram í 9. gr. að vinna má viðkvæmar persónuupplýsingar þegar fyrir vinnslunni er sérstök lagaheimild, sbr. 2. tölul. 1. mgr.

Í lögum nr. 68/2011 um rannsóknarnefndir er fjallað um slíkar nefndir sem forseti Alþingis skipar ef Alþingi samþykkir ályktun þar um til þess að rannsaka mikilvæg mál sem almenning varða, sbr. 1. mgr. 1. gr. laganna. Áður höfðu verið sett lög nr. 142/2008 um rannsókn á aðdraganda og orsökum falls íslensku bankanna 2008 og tengdra atburða. Með stoð í þeim lögum var komið á fót rannsóknarnefnd með víðtækum heimildum sem nú hefur lokið störfum, en ákvæði um þá nefnd voru mjög að höfð að fyrirmynd við setningu laga nr. 68/2011.

Í 7.–9. gr. laga nr. 68/2011 er fjallað um heimildir rannsóknarnefndar til upplýsingaöflunar. Þar kemur m.a. fram að sérhverjum, jafnt einstaklingum, stofnunum sem lögaðilum, er skylt að verða við kröfu slíkrar nefndar um að láta í té gögn sem hún fer fram á, sbr. 1. mgr. 7. gr. Sú skylda á við þó svo að upplýsingar séu háðar þagnarskyldu eða óheimilt væri að veita þær fyrir dómi nema með samþykki ráðherra, forstöðumanns eða annars yfirmanns viðkomandi aðila, sbr. 3. mgr. sömu greinar. Þá er í 8. gr. að finna heimildir til handa rannsóknarnefndum til að kalla menn til skýrslugjafar, auk þess sem í 9. gr. er að finna ákvæði til verndar uppljóstrurum sem láta nefnd í té upplýsingar sem hafa þýðingu fyrir rannsókn hennar.

Samkvæmt 1. mgr. 11. gr. laganna hvílir þagnarskylda á nefndarmönnum og öðrum sem vinna að rannsókn um þær upplýsingar sem nefndinni berast og leynt eiga að fara, en sú þagnarskylda helst þótt nefndin hafi látið af störfum. Einnig segir hins vegar að nefndin megi afhenda upplýsingar og gögn til sérfræðilegra ráðgjafa í þeim mæli sem nauðsynlegt er. Sama eigi við ef nefndin telji afhendingu slíkra upplýsinga nauðsynlega vegna gagnkvæmrar miðlunar upplýsinga og samstarfs við aðila erlendis sem sinna hliðstæðum rannsóknum og nefndin. Þagnarskylda hvíli á þeim sem fái gögn í hendur samkvæmt framangreindu.

Í 2. mgr. er að finna frekari undantekningu frá áðurnefndri þagnarskyldu, en þar segir:

„Ákvæði 1. mgr. skal ekki standa því í vegi að rannsóknarnefnd geti birt upplýsingar sem annars væru háðar þagnarskyldu ef nefndin telur slíkt nauðsynlegt til að rökstyðja niðurstöður sínar. Nefndin skal þó því aðeins birta upplýsingar um persónuleg málefni einstaklinga, þ.m.t. fjármál þeirra, að almannahagsmunir af því að birta upplýsingarnar vegi þyngra en hagsmunir þess einstaklings sem í hlut á.“

Skoða verður framangreint ákvæði í samhengi við 13. gr. laganna þar sem mælt er fyrir um að rannsóknarnefnd skili Alþingi skriflegri skýrslu með rökstuddum niðurstöðum rannsóknar sinnar þegar henni er lokið, en auk þess skal sú skýrsla birt, sbr. 1. og 3. mgr. Í athugasemdum við ákvæði 2. mgr. 11. gr. í greinargerð með því frumvarpi, sem varð að lögum nr. 68/2011 (3. mgr. 8. gr. í frumvarpinu), segir að við birtingu slíkrar skýrslu verði ekki hjá því komist að víkja að ýmsum atriðum sem almennt ættu að fara leynt til að rökstyðja ályktanir rannsóknarnefndar. Þess skuli þó gætt að birta ekki upplýsingar um persónuleg málefni einstaklinga nema verulegir almannahagsmunir vegi þyngra en hagsmunir þess einstaklings sem upplýsingarnar lúta að.
Að því marki sem birting persónuupplýsinga getur talist málefnaleg og nauðsynleg, þegar þingskipuð rannsóknarnefnd samkvæmt lögum nr. 68/2011 gefur út skýrslu sína, telur Persónuvernd birtingu samkvæmt framangreindu styðjast við fullnægjandi heimildir í lögum nr. 77/2000, sbr. þau ákvæði laganna sem fyrr eru rakin.

Samkvæmt 3. tölul. 1. mgr. 7. gr. laga nr. 77/2000 ber við meðferð persónuupplýsinga að gæta þess að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Því er eðlilegt að gera þá kröfu til ráðherraskipaðra rannsóknarnefnda, sem og annarra stjórnvalda, að birting nafna og annarra persónuauðkenna í skýrslum þeirra verði ekki einungis háð því að fyrir liggi viðeigandi heimildir fyrir slíkri birtingu heldur verði nafnleyndar einnig gætt þegar birting er ekki nauðsynleg miðað við tilgang með útgáfu viðkomandi skýrslu.

Loks skal bent á að hinum skráða er með ákvæðum III. kafla laga nr. 77/2000 tryggður réttur til upplýsinga um þá vinnslu sem fram fer um persónuupplýsingar hans, auk þess sem lögð er á ábyrgðaraðila vinnslunnar víðtæk fræðslu- og viðvörunarskylda. Þá er í 25. gr. laganna kveðið á um leiðréttingu rangra, villandi eða ófullkominna persónuupplýsinga. Í ljósi þessara ákvæða og með hliðsjón af góðum stjórnsýsluháttum má telja eðlilegt að gerð sé krafa um að ráðherraskipaðar rannsóknarnefndir tilkynni viðmælendum sínum fyrirfram um hvort skýrslur sem af þeim verða teknar verði hljóðritaðar, hvort og með hvaða hætti þær kunni að verða birtar, hvort nafn eða önnur persónuauðkenni viðmælandans verði birt og hvort honum verði gefinn kostur á að leiðrétta eða bæta við skýrslu sína. Æskilegt má telja að ráðherraskipaðar rannsóknarnefndir setji sér í upphafi starfs síns skráðar verklagsreglur sem taki m.a. til framangreindra atriða.

2.
Ráðherraskipaðar rannsóknarnefndir
Í framkvæmd hefur komið til þess að ráðherra skipi rannsóknarnefnd samkvæmt sérstökum lögum þar að lútandi. Má þar nefna lög nr. 26/2007 um skipan nefndar til að kanna starfsemi vist- og meðferðarheimila fyrir börn, þ.e. svonefndrar vistheimilanefndar. Með 3. gr. laganna var þeirri nefnd, sem nú hefur lokið störfum, veitt víðtæk heimild til gagnaöflunar. Í lögunum kemur hins vegar ekki fram berum orðum að nefndin hafi heimild til að birta persónuupplýsingar. Til þess er hins vegar að líta að samkvæmt 3. mgr. 1. gr. laganna skal nefndin skila skýrslu til ráðherra sem kynnir Alþingi skýrsluna. Þetta ákvæði verður að skoðast í samhengi við 57. gr. stjórnarskrárinnar og 83. gr. laga nr. 55/1991 um þingsköp Alþingis þar sem mælt er fyrir um þá meginreglu að þingfundir skuli haldnir í heyranda hljóði. Má því líta svo á að birting nefndarinnar á þeim persónuupplýsingum, sem nauðsynlegt er að gera grein fyrir til að rökstyðja niðurstöður hennar, geti fallið undir fyrrnefnd ákvæði 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000, þ.e. í ljósi þess að til staðar séu lagaákvæði í settum lögum sem samanlögð feli í sér heimild til birtingarinnar.

Ólíkt vistheimilanefnd var þeim starfshópi, sem innanríkisráðherra skipaði til að fara yfir Guðmundar- og Geirfinnsmálið, sem fyrr segir ekki komið á fót á grundvelli sérstakrar löggjafar. Fer því alfarið eftir almennum reglum um heimildir hans til birtingar persónuupplýsinga. Meðal þeirra reglna sem líta verður til í því sambandi eru ákvæði upplýsingalaga, sbr. nú lög nr. 140/2012. Eins og fram kemur í 1. mgr. 2. þeirra laga taka þau til allrar starfsemi stjórnvalda og gilda þau því um umræddan starfshóp. Samkvæmt 5. gr. laganna á almenningur ríkan rétt til aðgangs að gögnum hjá stjórnvöldum, en auk þess ber stjórnvöldum samkvæmt 1. mgr. 13. gr. laganna að veita almenningi með reglubundnum hætti upplýsingar um starfsemi sína, s.s. með rafrænni útgáfu skýrslna, samantektum um mikilvæg verkefni eða útgáfu annarra gagna. Réttur almennings til aðgangs að gögnum, sem og skylda stjórnvalda til að birta gögn að eigin frumkvæði, sætir þó ákveðnum takmörkunum, sbr. m.a. 9. gr. laganna þar sem mælt er fyrir um bann við því að veita almenningi aðgang að gögnum um m.a. einka- eða fjárhagsmálefni einstaklinga sem sanngjarnt er og eðlilegt að leynt fari, nema sá samþykki sem í hlut á.

Í ljósi framangreindra ákvæða, sem og fyrrnefnds ákvæðis 3. tölul. 1. mgr. 8. gr., hefur starfshópurinn tiltekna heimild til birtingar persónuupplýsinga að því marki sem nauðsynlegt er til að rökstyðja niðurstöður hans. Af ákvæði 9. gr. upplýsingalaga leiðir hins vegar að heimildir þar að lútandi eru þrengri en þingskipaðra rannsóknarnefnda og vistheimilanefndar, en í því sambandi má geta þess að samkvæmt 6. gr. laga nr. 26/2007 gilda upplýsingalög ekki um störf vistheimilanefndar eða um þau gögn sem nefndin aflar sér eða sem hún útbýr eða lætur útbúa. Þegar sú nefnd birti skýrslu sína var hún því ekki bundin af ákvæði 5. gr. þágildandi upplýsingalaga nr. 50/1996 sem hafði að geyma sömu reglu og 9. gr. núgildandi laga. Umræddur starfshópur er hins vegar bundinn af þeirri reglu. Að því marki sem skýrsla hans hafði að geyma upplýsingar, sem sanngjarnt var og eðlilegt að færu leynt, þ. á m. viðkvæmar persónuupplýsingar, þurfti hann því samþykki hlutaðeigandi einstaklinga, sbr. umrætt ákvæði 9. gr. upplýsingalaga, sem og 1. tölul. 1. mgr. 8. gr. og 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Fyrir liggur að þeir voru ekki allir lifandi og er sérstakt álitaefni hvernig fer um birtingu upplýsinga um hina látnu, þ.e. hvort til staðar séu óskráðar reglur sem geri það að verkum að birta megi upplýsingar um þá eða hvort t.d. túlka megi umrætt ákvæði upplýsingalaga á þann veg að nánustu ættingjar geti veitt samþykki fyrir hönd hinna látnu. Hér verður ekki tekin afstaða til þess.

3.
Niðurstaða
Þegar rannsóknarnefndir eru skipaðar af Alþingi á grundvelli laga nr. 68/2011 er ljóst að heimildir þeirra til birtingar persónuupplýsinga eru skýrar að því marki sem slíkar upplýsingar eru nauðsynlegar til að rökstyðja ályktanir þeirra. Einnig er unnt að stofnsetja ráðherraskipaðar rannsóknarnefndir á grundvelli sérlaga eins og gert var með lögum nr. 26/2007. Í þeim lögum er að finna ákvæði sem túlka má sem birtingarheimildir þeirrar nefndar sem stofnsett var með lögunum, þ.e. vistheimilanefndar, en þau eru þó ekki jafnskýr og í lögum nr. 68/2011.

Að auki hefur sú leið verið farin að koma á fót ráðherraskipaðri rannsóknarnefnd án þess að sett hafi verið um hana sérstök lög, sbr. fyrrnefndan starfshóp sem var skipaður til að fara yfir Guðmundar- og Geirfinnsmálið. Þegar ekki er sérstökum lagaákvæðum til að dreifa geta heimildir slíkrar nefndar til birtingar persónuupplýsinga til rökstuðnings niðurstöðum sínum verið óljósar. Persónuvernd telur því rétt að við skipun rannsóknarnefnda sé gætt að þessu atriði sérstaklega ef talið verður nauðsynlegt að nefndin birti upplýsingar um einstaklinga í niðurstöðum sínum og jafnframt að nefndin fylgi þar fyrirfram ákveðnum verklagsreglum. Þar verði m.a. hugað að því að slík nefnd kynni þeim sem hún tekur skýrslu af, að upplýsingar kunni að verðar birtar. Jafnframt leggur stofnunin ríka áherslu á að slíkt verði aðeins gert ef nauðsyn krefur og að í þeim tilvikum verði meðalhófs gætt.