Bréfsending í merktu umslagi
Úrskurður
Á fundi stjórnar Persónuverndar hinn 4. október 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/875:
I.
Bréfaskipti
1.
Persónuvernd hefur borist kvörtun, dags. 11. febrúar 2016, frá [A] (hér eftir nefndur „kvartandi“) yfir því að bréf frá Tryggingastofnun ríkisins (TR) séu send honum í umslögum merktum stofnuninni þrátt fyrir að hann hafi mótmælt því. Nánar segir í kvörtun:
„Þetta finnst mér vera innrás í mitt einkalíf enda blasir póstur minn við nágrönnum mínum úr póstkassa. Flestir ef ekki allir sem fá svona merkt bréf frá TR eru á bótum eða styrkjum frá TR eða kjósa að sækja um slíkt. Þetta finnst mér talsverðar persónuupplýsingar fyrir nágranna mína enda eru fordómar hjá sumum gagnvart fötluðu fólki í samfélaginu og/eða fólki á bótum. Ég er samt ekki að tala um að TR eigi að hætta með öllu að senda fólki bréf í merktum umslögum, aðeins ef viðtakandi bendir þeim á að gera það ekki. Sum fyrirtæki senda fólki ekki sendingar í merktum umbúðum [...] og því gæti TR líka gert það.“
Einnig er bent á að upplýsingar um heilsuhagi eru viðkvæmar persónuupplýsingar, sbr. 8. tölul. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og lýst þeirri afstöðu að umrætt verklag TR brjóti gegn þeim lögum. Þá er vísað til grunnreglunnar um friðhelgi í einkalífs í 71. gr. stjórnarskrárinnar.
Með kvörtun voru hjálögð tölvupóstsamskipti kvartanda og TR. Eins og þar kemur fram óskaði hann þess hinn 14. desember 2015 að bréf frá TR yrðu send honum í ómerktum pósti. TR staðfesti móttöku á þeirri beiðni hinn 16. s.m. Hinn 20. og 31. janúar 2016 ítrekaði kvartandi beiðni sína og barst honum svar frá TR hinn 2. apríl 2016. Þar er vísað til þess að frá TR sé sendur mikill fjöldi bréfa. Ógerlegt sé að taka einn tiltekinn einstakling úr þeim fjölda og senda honum bréf í ómerktu umslagi.
2.
Með bréfi, dags. 22. júní 2016, var TR veitt færi á að tjá sig um framangreinda kvörtun. Svarað var með bréfi, dags. 30. s.m. Þar segir að um árabil hafi TR sent bréf í merktum umslögum en með aukinni þjónustu á „Mínum síðum“ á vefsíðu TR fari bréfasendingar stöðugt minnkandi. Þar sé hægt að afþakka allar bréfasendingar og sé kvartanda bent á þá leið henti hún honum, en innskráning sé með íslykli eða rafrænum skilríkjum. Þá segir:
„Kvörtunina varðandi merkingu umslaga tökum við alvarlega því við viljum ekki valda viðskiptavinum okkar óþægindum. Upplýsingaskylda okkar er rík en þar sem við höfum 60 þúsund viðskiptavini og sendum oftar en ekki fjöldasendingar yrði það mjög flókin framkvæmd að senda sumum í merktum umslögum og öðrum ekki.
Við munum að öllum líkindum hafa merkingar á umslögum minna áberandi í framtíðinni en TR verður að hafa vissar upplýsingar á umslögum því stofnunin þarf að fá upplýsingar hjá Póstinum um þau bréf sem tekst ekki að koma til skila til viðskiptavina vegna upplýsingaskyldu sinnar.“
3.
Með bréfi, dags. 27. júlí 2016, var kvartanda veitt færi á að tjá sig um framangreint svar TR. Svarað var í tölvupósti hinn 7. ágúst s.á. Þar segir:
„Tryggingastofnun lætur mig fyrst vita í sumar að ég geti afþakkað póst á lögheimili mitt. Það er nokkuð seint í rassinn gripið því í millitíðinni eða frá í mars, þ.e. þegar ég tók upp þetta mál við þá, hef ég fengið tvö bréf merkt TR – jafnvel þó að mál mitt væri í gangi gagnvart þeim. Ég gef lítið fyrir að Tryggingastofnun geti ekki vegna fyrirhafnar haft umslög sín ómerkt til sumra og annarra ekki vegna þess að friðhelgi einkalífs er stjórnarskrárvarin og það hlýtur að vega þyngra. Ég gef líka að hluta til lítið fyrir að Tryggingastofnun feli sig bakvið að maður geti afþakkað póst frá þeim í raun því ég fæ öðruhverju vinnusamninga undirritaða og þá afþakkar maður ekki. Að vísu gæti Tryggingastofnun sent þá í ábyrgð á pósthús og komið þannig í veg fyrir að bréfið komi í hús hjá mér en það hafa þeir ekki gert. Það er í lagi að póststarfsmenn á pósthúsi sjái umslögin enda eru þeir bundnir þagnarskyldu. Þá vil ég minna að Tryggingastofnun er langt í frá að gæta persónuverndar þegar hún sendir græn umslög um áramót en fólk fær ekki græn umslög nema frá Tryggingastofnun. Grænn er einkennislitur TR og því flaggar stofnunin vel hverjir eru á bótum. Umslögin eru græn að framan og aftan og því mjög áberandi í póstkassa. Varðandi upplýsingaskyldu gagnvart Póstinum gæti Tryggingastofnun haft númer sem Pósturinn greindi í stað merkis (e. logo) síns. Þetta er í raun barnaleikur.“
II.
Forsendur og niðurstaða
1.
Gildissvið – Ábyrgðaraðili að vinnslu
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.
Sé bréf sent einstaklingi í umslagi, merktu sendandanum, felast í því upplýsingar um viðtakandann, þ.e. að hann hafi fengið bréf frá tilteknum aðila, auk þess sem merkingin getur gefið til kynna eitthvað um viðtakandann. Getur það átt við í máli þessu, enda bera bréf, merkt TR, það með sér að viðtakandinn kunni að vera viðtakandi greiðslna úr almannatryggingum. Af því er ljóst að hér ræðir um persónuupplýsingar samkvæmt skilgreiningu 1. tölul. 2. gr. laga nr. 77/2000. Þá verður að ætla að við útsendingu bréfa sé notast við tölvuskrár yfir viðtakendur þeirra, en af því leiðir að um ræðir rafræna vinnslu í skilningi 2. tölul. sömu greinar. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst TR vera ábyrgðaraðili að umræddri vinnslu.
2.
Niðurstaða
Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverri af kröfunum í 1. mgr. 8. gr. laga nr. 77/2000. Eins og hér háttar til reynir þá einkum á 7. tölul. þeirrar málsgreinar, þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Hvað opinberar stofnanir varðar ber að líta til þeirra skyldna sem á þeim hvíla lögum samkvæmt við mat á heimildum samkvæmt framangreindu ákvæði. Þar getur meðal annars verið um að ræða skyldu til að sinna þjónustuhlutverki gagnvart einstaklingum, en það getur falið í sér að hafa verði við þá ýmiss konar samskipti, eftir atvikum með sendingu bréfa. TR ber meðal annars að starfa í samræmi við lög nr. 100/2007 um almannatryggingar, en ætla verður að slík samskipti og að framan greinir séu nauðsynleg í því skyni. Sé póstþjónusta notuð til að sinna þeim samskiptum getur rekjanleiki póstsendinga skipt máli, s.s. ef ekki tekst að koma bréfi til viðtakanda þess. Geta þá verið af því lögmætir hagsmunir að TR geti fengið bréfið endursent sér með öruggum og tryggum hætti þannig að unnt sé að grípa til viðeigandi ráðstafana, s.s. komast að því hvort viðtakandinn hafi skipt um dvalarstað án þess að vitneskja um það hafi ratað til stofnunarinnar. Í því sambandi skal tekið fram að henni ber að uppfæra útsendingarskrár sínar miðað við opinberar skrár um heimilisföng manna og aðsetur. Ekki er þó hægt að útiloka að í þeim kunni að vera ónákvæmar upplýsingar, s.s. vegna tafa á tilkynningum manna samkvæmt lögum nr. 73/1952 um tilkynningar aðsetursskipta.
Í ljósi þessa telur Persónuvernd TR hafa lögmæta hagsmuni af því að merkja póstsendingar frá stofnuninni á þann hátt að sjá megi að hún sé sendandinn. Svo að unnt sé að notast við annað fyrirkomulag en merki stofnunarinnar verður að liggja fyrir að veitendur póstþjónustu bjóði á upp slíkt, s.s. sérstakt númerakerfi þar sem einstakir sendendur hafi sitt númer. Ekki liggur fyrir að veittur sé kostur á slíku.
Við mat á því hvort grundvallarréttindi og frelsi viðtakenda póstsendinga vegi þyngra en umræddir hagsmunir TR ber að líta til 4. mgr. 31. gr. laga nr. 19/2002 um póstþjónustu, en þar kemur fram að póstrekendum er heimilt að endursenda póstsendingar ef bréfarifur og bréfakassar viðtakanda samrýmast ekki ákvæðum byggingarreglugerðar. Af þessu verður ráðið að á viðtakendum pósts hvíli vissar skyldur í tengslum við frágang bréfarifa og póstkassa, sbr. og 16. gr. reglugerðar um alþjónustu og framkvæmd póstþjónustu, sbr. 6. og 35. gr. laga nr. 19/2002. Í ljósi þessara skyldna má telja málefnalegt að gera ráð fyrir að viðtakendur pósts geri ráðstafanir til að vernda hagsmuni sína, s.s. með því að sjá til þess að aðrir en þeir sjálfir geti ekki séð innihald póstkassa. Þá stendur kvartanda til boða að fá póst frá TR sendan rafrænt.
Með vísan til framangreinds er það niðurstaða Persónuverndar að sú vinnsla persónuupplýsinga, sem kvartað er yfir, samrýmist lögum nr. 77/2000. Hins vegar er minnt á ákvæði 1. mgr. 14. gr. laganna, þess efnis að ábyrgðaraðili skal svara vissum erindum frá hinum skráðu svo fljótt sem verða má og eigi innan eins mánaðar frá móttöku þeirra. Þau erindi frá kvartanda til TR, sem um ræðir í máli þessu, féllu ekki undir þetta ákvæði, en engu að síður hefði samrýmst betur anda og markmiðum laga nr. 77/2000 ef þeim hefði verið svarað fyrr en raun varð á.
Ú r s k u r ð a r o r ð:
Póstsending Tryggingastofnunar ríkisins á bréfum, merktum stofnuninni, til [A] samrýmist lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.