Sýslumanninum á Keflavíkurflugvelli óheimilt að miðla persónuupplýsingum úr lögregluskýrslu
Úrskurður
Á fundi sínum hinn 20. júní 2006 komst stjórn Persónuverndar að eftirfarandi niðurstöðu í máli nr. 2006/120:
I.
Tildrög málsins og bréfaskipti
Hinn 22. febrúar sl. barst Persónuvernd kvörtun frá Karli Ó Karlssyni hdl., f.h. A yfir því að sýslumaðurinn á Keflavíkurflugvelli hafi látið vinnuveitanda hans, Icelandair, í té umbeðið afrit af lögregluskýrslu um atvik þar sem hann kom við sögu. Í kvörtuninni segir m.a.:
,,Málsatvik eru þau að samkvæmt nefndri lögregluskýrslu barst lögreglunni á Keflavíkurflugvelli tilkynning frá nafngreindum starfsmanni IGS farþegaþjónustunnar ... Aldrei var haft samband við umbjóðanda minn af hálfu lögreglunnar vegna þessa ætlaða atviks, heldur frétti umbj. m. af málinu þegar yfirmenn hans hjá Icelandair tilkynntu honum að fyrir lægi lögregluskýrsla vegna tilkynningar um árás á starfsmann.
Að mati umbj. m. hefur sýslumaðurinn á Keflavíkurflugvelli m. a. gerst brotlegur við ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og ákvæði reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu, með því að miðla með ólögmætum hætti viðkvæmum persónuupplýsingum um umbj. m. til einkaaðila."
Með kvörtuninni fylgdu afrit af lögregluskýrslu, dags. 12. júlí sl., bréfi lögmannsstofunnar LAG til sýslumannsins á Keflavíkurflugvelli, dags. 5. september sl., svarbréfi sýslumannsins á Keflavíkurflugvelli, dags. 7. nóvember sl., og bréfi LAG til ríkislögreglustjóra, dags. 20. febrúar sl.
Í tilefni kvörtunarinnar óskaði Persónuvernd eftir því, með bréfi dags. 8. mars sl., að sýslumaðurinn á Keflavíkurflugvelli greindi frá því hvaða heimild hafi staðið til þess að miðla umræddum persónuupplýsingum til Icelandair og skýrði afstöðu sína til kvörtunarinnar. Til skýringar var minnt á ákvæði 7. gr., 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og 2. mgr. 6. gr. reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu. Svar barst með bréfi, dags. 2. maí sl. Þar segir m.a.:
,,Embættið telur að hér hafi verið þörf fyrir einfalda og hraðvirka leið til að tilkynna yfirboðurum [A] um háttalag hans á flugverndarsvæði og atvik verið þannig að augljóslega hafi verið óþarft að gefa honum kost á andmælum. Fyrirtæki sækja um aðgangsheimildir fyrir starfsmenn sína og eru þeir þar á ábyrgð þeirra og umrætt sinn var [A] í erindagjörðum fyrir sína yfirboðara. Óskaði [...] yfirmaður [A] eftir upplýsingum um þetta tiltekna atvik sem lögreglan hafði gert skýrslu um ... Embættið taldi sér rétt og skylt að verða við þeirri beiðni.
Embættið skírskotar til 12. gr. reglugerðar nr. 293/2002 um umferð og dvöl manna á varnarsvæðum og IV. kafla reglugerðar nr. 361/2005 um flugvernd sem heimild til að miðla upplýsingum þessum til Icelandair."
Með bréfinu fylgdi afrit af umræddri lögregluskýrslu og bréfi embættisins til LAG, dags. 7. nóvember sl.
Með bréfi dags. 11. maí sl. var Karli Ó. Karlssyni, f.h. umbjóðanda síns, gefinn kostur á að tjá sig um svarbréf sýslumannsins á Keflavíkurflugvelli. Með bréfi, dags. 22. maí sl., mótmælti hann því að umrædd miðlun persónuupplýsinganna gæti átt sér lagastoð í þeim reglugerðum sem sýslumaðurinn vísaði til í svarbréfi sínu. Þá gerði hann kröfu um að Persónuvernd myndi í úrskurði sínum gera Icelandair að eyða lögregluskýrslunni eða banna notkun upplýsinganna. Í bréfinu segir einnig:
,,Samkvæmt 1. mgr. 25. gr. laga nr. 77/2000, sbr. 4. mgr. 6. gr. reglugerðar nr. 322/2001, er lögð sú skylda á lögregluna að staðreyna áreiðanleika upplýsinga áður en þeim er miðlað. Röngum, villandi, ófullkomnum, úreltum eða ónákvæmum upplýsingum skal ekki miðlað, en hafi slíkum upplýsingum verið miðlað skal lögreglan eftir því sem frekast er unnt hindra það að það hafi áhrif á hagsmuni hins skráða. Í tilviki umbj. m. lét lögreglan undir höfuð leggjast að rannsaka framkomnar ásakanir á hendur umbj. m. ... Afleiðingin er sú að tilhæfulaus ásökun á hendur umbj. m. í lögregluskýrslu hefur ratað inn í ferilskrá umbj. m. hjá Icelandair þar sem hún stendur óhögguð umbj. m. til tjóns."
II.
Forsendur og niðurstaða
1.
Markmið og gildissvið laga nr. 77/2000
Markmið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er m.a. að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og að tryggja áreiðanleika og gæði slíkra upplýsinga, sbr. 1. gr. laganna.
Lögin gilda um sérhverja rafræna vinnslu persónuupplýsinga. Lögin gilda einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 3. gr. laganna. Með ,,persónuupplýsingum" er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, lifandi eða látins, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með „vinnslu" er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Undir vinnslu falla því m.a. miðlun, dreifing og birting persónuupplýsinga.
Af framangreindu er ljóst að miðlun upplýsinga frá sýslumanninum á Keflavíkurflugvelli til vinnuveitanda kvartanda, Icelandair, telst vera vinnsla persónuupplýsinga og fellur því undir gildissvið laga nr. 77/2000.
2.
Um lögmæti vinnslunnar
Öll vinnsla persónuupplýsinga, þ.á m. miðlun þeirra, verður að eiga sér stoð í 1. mgr. 8. gr. en jafnframt í einhverjum af töluliðum 1. mgr. 9. gr. laga nr. 77/2000 sé um að ræða viðkvæmar persónuupplýsingar. Upplýsingar í lögregluskýrslum teljast vera viðkvæmar falli þær undir b-lið 8. tölul. 1. mgr. 2. gr. laganna, þ.e.a.s. upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað. Þær upplýsingar sem hér um ræðir er að finna í lögregluskýrslu og lúta að meintri ámælisverðri hegðun A, þ.e. að hann hafi rifið í handlegg starfsmannsins og verið með meiðyrði gagnvart honum. Leggja verður til grundvallar að við rannsókn málsins hafi upplýsingarnar eðli málsins samkvæmt falið í sér grun um refsiverðan verknað í skilningi framangreinds ákvæðis og teljast því til viðkvæmra persónuupplýsinga.
2.1.
Af töluliðum 1. mgr. 9. gr. koma einkum til álita ákvæði 1. og 2. tölul. 1. mgr. 9. gr. sem raktir verða nánar hér að neðan og tekin afstaða til þess hvort vinnslan hafi átt sér stoð í þeim.
a. Hinn skráði samþykki vinnsluna, skv. 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000
Samkvæmt 1. tölul. 1. mgr. 9. gr. er vinnsla viðkvæmra persónuupplýsinga óheimil nema hinn skráði samþykki vinnsluna. Í máli þessu liggur fyrir að A samþykkti ekki miðlun upplýsinga í lögregluskýrslu til vinnuveitanda síns. Verður því ekki séð að miðlun upplýsinganna hafi byggst á þessum tölulið.
b. Lagaheimild skv. 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000
Næst kemur til álita hvort heimild til miðlunar umræddra upplýsinga megi finna stoð í 2. tölul. 1. mgr. 9. gr. þar sem mælt er fyrir um sérstaka heimild til vinnslunnar samkvæmt öðrum lögum.
Af hálfu sýslumannsins á Keflavíkurflugvelli hefur verið vísað til ákvæða 12. gr. reglugerðar nr. 293/2002 um umferð og dvöl manna á varnarsvæðum og IV. kafla reglugerðar nr. 361/2005 um flugvernd. Í 12. gr. reglugerðar nr. 293/2002 kemur fram að vinnuveitandi skuli sækja um skírteini fyrir starfsmenn sína en í IV. kafla reglugerðar nr. 361/2005 er að finna almenn ákvæði um aðgangsheimildir, ákvæði um auðkennisspjöld, um þjálfun handhafa aðgangsheimilda, leyfisbréf fyrir ökutæki og vinnuvélar, bakgrunnsathuganir, mat á afbrotaferli, tímafresti, kæruheimild vegna synjunar umsóknar um aðgang, og ákvæði um sviptingu aðgangheimilda. Í síðastgreinda ákvæðinu kemur fram að ákvörðun um sviptingu skuli vera rökstudd og starfsmanni gefinn kostur á að neyta andmælaréttar áður en ákvörðun er tekin, í samræmi við ákvæði stjórnsýslulaga. Persónuvernd hefur farið yfir framangreind ákvæði en sú athugun hefur ekki leitt í ljós að þar sé að finna heimildir til miðlunar persónuupplýsinga í skilningi laga nr. 77/2000. Verður því ekki á það fallist með sýslumanninum á Keflavíkurflugvelli að þar hafi verið að finna heimild fyrir hann til að miðla umræddum upplýsingum til vinnuveitanda A.
Lögmaður kvartanda hefur vísað til reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu. Í 2. mgr. 6. gr. hennar segir að persónuupplýsingum verði aðeins miðlað til einkaaðila samkvæmt samþykki hins skráða, lagaheimild, heimild Persónuverndar eða ef miðlun upplýsinganna er nauðsynleg til að koma í veg fyrir alvarlega og aðsteðjandi hættu. Hefur því ekki verið haldið fram af hálfu sýslumanns að eitthvert þessara skilyrða eigi við.
Í framangreindu reglugerðarákvæði er tæmandi talið í hvaða tilvikum lögreglu sé heimilt að miðla persónuupplýsingum til einkaaðila. Er slík miðlun því aðeins heimil að hún byggist á samþykki hins skráða, lagaheimild, heimild Persónuverndar eða sé nauðsynleg til að koma í veg fyrir alvarlega og aðsteðjandi hættu. Ekkert liggur fyrir um að einhverju þessara skilyrða hafi verið fullnægt í því tilviki sem hér um ræðir.
Með vísan til framangreinds verður ekki séð að sýslumaðurinn á Keflavíkurflugvelli hafi að gildandi lögum haft heimild til þess að afhenda Icelandair umbeðið afrit af lögregluskýrslu sem vörðuðu A.
2.2.
Kvartandi hefur einnig krafist þess að Icelandair verði annað hvort gert að eyða lögregluskýrslunni eða bannað að nota upplýsingarnar í lögregluskýrslunni.
Ákvæði laga nr. 77/2000 um eyðingu og bann við notkun persónuupplýsinga sem hvorki eru rangar né villandi er að finna í 26. gr. þeirra. Sú grein er hins vegar meðal þeirra ákvæða sem talin eru upp í 2. mgr. 3. gr. laganna þar sem afmarkað er að hvaða marki þau taka ekki til vinnslu persónuupplýsinga í ákveðnum tilvikum. Efnislegt gildissvið laga nr. 77/2000 nær samkvæmt ákvæðinu ekki til vinnslu persónuupplýsinga sem varða almannaöryggi, landvarnir, öryggi ríkisins og starfsemi ríkisins á sviði refsivörslu. Þegar af þeirri ástæðu eru eigi lagaskilyrði til þess að Persónuvernd geti orðið við framangreindri kröfu kvartanda um að Icelandair verði annað hvort gert að eyða lögregluskýrslunni eða banna notkun upplýsinganna.
Úrskurðarorð:
Sýslumanninum á Keflavíkurflugvelli var óheimilt að miðla persónuupplýsingum úr lögregluskýrslu, dags. 12. júlí 2005, til vinnuveitanda A, Icelandair, um atvik er vörðuðu hann og gerðust í flugstöð Leifs Eiríkssonar þann sama dag.