Álit á hugmyndum um aðgang tryggingafélaga að upplýsingum um umferðarlagabrot

29.1.2007

Vísað er til bréfs samgönguráðuneytisins, dags. 28. nóvember sl., þar sem þess er óskað að Persónuvernd tjái sig um framkomið erindi Sjóvár-Almennra trygginga um hugsanlegan aðgang tryggingafélaga að ökuferilsskrá, m.t.t. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.

I.

Erindi Sjóvár-Almennra

Í erindi Sjóvár-Almennra til samgönguráðuneytisins segir að kostnaður vegna tjóna sem rekja megi til ofsaaksturs sé mikill og að mati félagsins væri æskilegt að láta þá sem brjóta alvarlega af sér í umferðinni greiða hærri iðgjöld af ökutækjatryggingum en aðra ökumenn. Slíkt hafi varnaðaráhrif og leiði til eðlilegri dreifingar áhættu. Því sé nauðsynlegt að tryggingafélög fái aðgang að upplýsingum um umferðarlagabrot.

Þrjár leiðir eru nefndar í dæmaskyni:

„1) Aðgangur að upplýsingum um glæfraakstur.

Upplýsingar úr ökuferilsskrá um nöfn og kennitölur þeirra sem hafa gerst sekir um einhver neðangreindra brota á tilteknu tímabili:

a) tiltekin alvarleg umferðarlagabrot, svo sem ölvunarakstur, hraðakstur, akstur án ökuréttinda, akstur gegn rauðu ljósi eða annan vítaverðan akstur, sem varðar sekt að tiltekinni lágmarksfjárhæð og/eða brot sem varða að lágmarki 3 eða 4 punktum samkvæmt reglugerð um ökuferilsskrá og punktakerfi vegna umferðarlagabrota;

b) upplýsingar um ökuleyfissviptingar samkvæmt undirritaðri lögreglustjórasátt, viðurlagaákvörðun eða dómi, eða samkvæmt 8. gr. nýrrar reglugerðar um ökuferilsskrá og punktakerfi vegna umerðarlagabrota.

2) Aðgangur að upplýsingum um punktastöðu allra ökumanna

Með aðgangi að upplýsingum úr ökuferilsskrá um punktastöðu allra ökumanna samkvæmt reglugerð um ökuferilsskrá og punktakerfi vegna umferðarlagabrota væri unnt að verðlauna þá ökumenn sem eru punktalausir. Mismunandi iðgjöld miðað við ökuferil hvetja til aukinnar varkárni í umferðinni.

3) Aðgangur að upplýsingum um ökutæki

Upplýsingar úr ökuferilsskrá um skráningarmerki og fastanúmer ökutækja sem notuð hafa verið við tiltekin alvarleg umferðarlagabrot, svo sem ölvunarakstur, hraðakstur, akstur án ökuréttinda, akstur gegn rauðu ljósi eða annan vítaverðan akstur, sem varðar sekt að tiltekinni lágmarksfjárhæð og/eða brot sem varða að lágmarki 3 eða 4 punktum samkvæmt reglugerð um ökuferilsskrá og punktakerfi vegna umferðarlagabrota.

Hér er ekki gert ráð fyrir persónugreindum upplýsingum, heldur aðeins upplýsingum um fastnúmer ökutækja. Þar sem ökutækjatryggingar eru tengdar tilteknu ökutæki, óháð því hver ökumaðurinn er, mætti nota slíkar upplýsingar til ákvörðunar iðgjalda."

II.

Lagaumhverfi

1.

Almennt

Í ökuferilsskrá eru færðar upplýsingar um umferðarlagabrot sem varða ökumenn og byggðar eru á kærum lögreglumanna, sbr. 3. gr. reglugerðar nr. 929/2006 um ökuferilsskrá og punktakerfi vegna umferðarlagabrota. Einnig skal færa í skrána upplýsingar um öll umferðarslys sem lögregluskýrslur hafa verið ritaðar um, en þær eru þó ekki til umfjöllunar hér þar sem erindi Sjóvár-Almennra tekur eingöngu til umferðarlagabrota.

Skráning, notkun, miðlun og aðrar aðferðir til að gera upplýsingar í ökuferilsskrá tiltækilegar teljast til vinnslu persónuupplýsinga, sé unnt að rekja upplýsingarnar til tiltekinna einstaklinga, sbr. 1. og 2. tölul. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Auk sérlagaákvæða gilda því um slíka vinnslu ákvæði laga nr. 77/2000, sbr. 1. mgr. 3. gr. laganna, með þeim undantekningum sem kveðið er á um í 2. mgr. 3. gr., en þar segir m.a. að 16., 18.–21., 24., 26., 31. og 32. gr. laganna gildi ekki um vinnslu persónuupplýsinga sem varða starfsemi ríkisins á sviði refsivörslu.

Til þess að vinnsla persónuupplýsinga sé heimil verður eitthvert skilyrða 1. mgr. 8. gr. laga nr. 77/2000 að vera uppfyllt. Ef um viðkvæmar persónuupplýsingar er að ræða verður jafnframt að uppfylla eitthvert skilyrða 1. mgr. 9. gr. laganna. Af 1. mgr. 100. gr. umferðarlaga nr. 50/1987 leiðir að umferðarlagabrot eru refsiverð, sbr. þó 2. mgr. 100. gr. sömu laga. Því teljast upplýsingar um umferðarlagabrot ökumanna til viðkvæmra persónuupplýsinga í skilningi laga nr. 77/2000, sbr. b-lið 8. tölul. 2. gr. laganna, og verður að uppfylla eitthvert skilyrða bæði 1. mgr. 8. gr. og 1. mgr. 9. gr. til þess að vinnsla þeirra sé heimil.

Auk ákvæða 8. og 9. gr. ber að gæta í hvívetna annarra ákvæða laga nr. 77/2000. Má þar nefna meginreglur um gæði gagna og vinnslu sem er að finna í 1. mgr. 7. gr. laganna, en þar er m.a. kveðið á um að persónuupplýsingar skuli fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Þá er, í 11.-13. gr., að finna ákvæði um áhættumat, öryggi og gæði persónuupplýsinga, innra eftirlit og trúnaðarskyldu vinnsluaðila. Þau ákvæði eru nánar útfærð í reglum nr. 299/2001 um öryggi persónuupplýsinga.

2.

Heimildir til vinnslu

Samkvæmt 2. tölul. 1. mgr. 9. gr. laganna er vinnsla viðkvæmra persónuupplýsinga heimil standi til hennar sérstök heimild samkvæmt öðrum lögum.

Í athugasemdum við þessa grein í frumvarpi því er varð að lögum nr. 77/2000 segir að mat á því hvort lagastoð sé fyrir hendi ráðist hverju sinni af skýringu viðkomandi sérlagaákvæðis, en því meiri íhlutun í einkalíf einstaklingsins sem umrædd vinnsla hafi í för með sér þeim mun ótvíræðari þurfi lagaheimildin að vera. Skýring slíks ákvæðis ráðist þá m.a. af því hvort löggjafinn hafi í raun tekið tillit til þeirra almennu persónuverndarsjónarmiða sem á reyni við meðferð viðkvæmra persónuupplýsinga.

Ákvæði 2. tölul. 1. mgr. 9. gr. hefur ekki einungis verið talið taka til settra laga, heldur einnig til reglna sem handhafar framkvæmdarvalds setja með skýrri stoð í lögum.

2.1

Skráning upplýsinga í ökuferilsskrá

Í 2. mgr. 52. gr. umferðarlaga nr. 50/1987, sbr. 1. gr. laga nr. 132/2003, er kveðið á um að lögreglustjórar haldi skrár um ökuskírteini og ökuferil samkvæmt reglum sem samgönguráðherra setur.

Þá er, í 2. mgr. 101. gr. umferðarlaga, sbr. 1. gr. laga nr. 132/2003, kveðið á um að samgönguráðherra setji, að fenginni umsögn ríkissaksóknara, reglugerð um punktakerfi vegna umferðarlagabrota, þar á meðal um vægi einstakra brota í punktum talið við ákvörðun um sviptingu ökuréttar vegna uppsöfnunar punkta.

Með stoð í þessum lagaákvæðum hefur samgönguráðherra sett reglugerð nr. 929/2006 um ökuferilsskrá og punktakerfi vegna umferðarlagabrota. Í henni er kveðið á um að ríkislögreglustjóri skuli halda landskrá um ökuferil ökumanna og punkta sem þeir hafa hlotið vegna umferðarlagabrota samkvæmt reglugerðinni, sbr. 1. gr. Mælt er fyrir um þau brot sem færa skal í ökuferilsskrá, upplýsingar sem skulu skráðar í hana og grundvöll skráningar. Einnig er kveðið á um að lögreglustjórar skuli sjá til þess að upplýsingar séu rétt færðar í ökuferilsskrá og að skráin verði nýtt til eftirlits með ökuferli manna sem búsettir eru í umdæmi þeirra til aðhalds og í forvarnarskyni. Í II. kafla reglugerðarinnar eru að finna ákvæði um punktakerfi vegna umferðarlagabrota.

Í 2. gr. reglugerðarinnar kemur fram að ökuferilsskrá er hluti af tölvutækri málaskrá lögreglu. Ber því að líta til þeirra sérreglna sem um hana gilda.

2.2

Meðferð persónuupplýsinga hjá lögreglu

Í 3. mgr. 45. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er að finna sérákvæði um meðferð persónuupplýsinga hjá lögreglu. Þar segir að dómsmálaráðherra skuli, í reglugerð, mæla fyrir um eftirlit Persónuverndar með vinnslunnar. Þar skuli og m.a. mælt fyrir um skyldu lögreglu til að tilkynna Persónuvernd um rafrænt unnar skrár sem hún heldur og efni slíkra tilkynninga. Þá skal mælt fyrir um í hvaða tilvikum og með hvaða hætti hinn skráði á rétt til aðgangs að persónuupplýsingum sem skráðar hafa verið um hann hjá lögreglu, svo og heimild lögreglu til miðlunar upplýsinga í öðrum tilvikum. Loks skal mælt fyrir um öryggi persónuupplýsinga og innra eftirlit lögreglu með því að vinnslu persónuupplýsinga sé hagað í samræmi við lög, svo og um tímalengd á varðveislu skráðra upplýsinga.

Með stoð í framangreindu ákvæði laga nr. 77/2000, 3. mgr. 19. gr. laga nr. 19/1991 um meðferð opinberra mála og i-lið 1. mgr. 5. gr. laga nr. 90/1996 hefur dómsmálaráðherra sett reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu, sbr. rg. nr. 926/2004. Í 2. mgr. 6. gr. reglugerðarinnar er kveðið á um að persónuupplýsingum verði aðeins miðlað til einkaaðila:

samkvæmt heimild hins skráða

samkvæmt lagaheimild

samkvæmt heimild Persónuverndar

ef miðlun upplýsinga er nauðsynleg til að koma í veg fyrir alvarlega og aðsteðjandi hættu

III.

Álit Persónuverndar á hugmyndum

um aðgang tryggingafélaga að upplýsingum um umferðarlagabrot

Samkvæmt 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er eitt af verkefnum Persónuverndar að tjá sig, samkvæmt beiðni eða að eigin frumkvæði, um álitaefni varðandi meðferð persónuupplýsinga. Með vísan til þessa lítur Persónuvernd svo á að hún geti veitt samgönguráðuneytinu álit á hugmyndum Sjóvár-Almennra um aðgang tryggingafélaga að ökuferilsskrá.

1.

Af ákvæðum umferðarlaga nr. 50/1987, laga nr. 19/1991 um meðferð opinberra mála og lögreglulaga nr. 90/1996, er ljóst að skráning á upplýsingum um umferðarlagabrot manna fer fram í þágu starfsemi ríkisins á sviði refsivörslu. Í samræmi við það hefur aðgangur að upplýsingunum fyrst og fremst verið takmarkaður við þar til bær stjórnvöld til þess að þau geti sinnt lögboðnu hlutverki sínu. Sjóvá-Almennar leggja hins vegar til að tryggingafélög fái aðgang að þessum upplýsingum til útreikningar iðgjalda. Sú notkun er augljóslega önnur og ósamrýmanleg þeim tilgangi skráningarinnar sem lesa má út úr ákvæðum fyrrnefndra laga. Af 2. tölul. 7. gr. laga nr. 77/2000, sem kveður á um að persónuupplýsingar skuli fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, leiðir að slík notkun yrði að byggja á skýrri lagaheimild eða reglu sem handhafi framkvæmdarvalds setur með skýrri stoð í lögum.

Ákvæði 3. mgr. 45. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er ekki sjálfstæð heimild til handa ráðherra til að ákveða hverjir hafi aðgang að persónuupplýsingum hjá lögreglu, heldur mælir einungis fyrir um að hann skuli mæla nánar fyrir um þær heimildir í reglugerð. Heimildirnar sjálfar verður að grundvalla á ákvæðum annarra laga og í samræmi við það er reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu einnig sett með stoð í 3. mgr. 19. gr. laga nr. 19/1991 um meðferð opinberra mála og i-lið 1. mgr. 5. gr. lögreglulaga nr. 90/1996.

Af framangreindu er ljóst að til þess að heimila þá almennu og umfangsmiklu miðlun viðkvæmra persónuupplýsinga frá lögreglu til einkaaðila sem Sjóvá-Almennar leggja til þyrfti í það minnsta að breyta ákvæðum reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu. Sú breyting sem Sjóvá-Almennar leggja til á fyrirkomulagi upplýsingavinnslu lögreglunnar felur hins vegar í sér nýja efnisreglu, gjörólíka þeim sem nú eru í gildi, og verður ekki séð að hana sé unnt að grundvalla á ákvæðum laga nr. 19/1991 og lögreglulaga nr. 90/1996. Að mati Persónuverndar þyrfti því að finna slíkri breytingu stoð í ákvæðum settra laga.

2.

Eins og að framan hefur verið rakið verður aðgangur tryggingafélaga að upplýsingum um umferðarlagabrot að grundvallast á heimild í settum lögum. Persónuvernd telur hins vegar, út frá sjónarmiðum um persónuvernd, ýmsa annmarka á því að slík heimild verði veitt.

Í fyrsta lagi bendir Persónuvernd á að upplýsingar í málaskrá lögreglu eru vinnugögn lögreglunnar. Tryggja verður að þau séu áreiðanleg, aðgengileg þeim lögreglumönnum sem á þeim þurfa að halda vegna starfa sinna og vernduð gegn ólöglegri eyðileggingu, gegn því að þau glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. Ríkislögreglustjóri og lögreglustjórar bera ábyrgð á öryggi þeirra og ber m.a. að framkvæma öryggismat, gera kerfisbundnar öryggisráðstafanir og viðhafa og skipuleggja viðvarandi innra eftirlit. Innan lögreglunnar eru viðhafðar aðgangsstýringar og unnt á að vera að staðreyna hver hefur flett upp í skránni. Verði aðila utan lögreglunnar veittur aðgangur að tilteknum hluta málaskrár er við því búið að það hafi áhrif á öryggi upplýsinga í skránni og að eftirlit með meðferð þeirra verði örðugra í framkvæmd.

Í öðru lagi bendir Persónuvernd á að lögreglumenn bera þagnarskyldu samkvæmt 22. gr. lögreglulaga nr. 90/1996 og geta sætt refsingu samkvæmt ákvæðum 136. gr. almennra hegningarlaga nr. 19/1940 segi þeir frá nokkru sem leynt á að fara og þeir hafa fengið vitneskju um í starfi. Í lögum er ekki kveðið á um sambærilegar skyldur eða ábyrgð einkaaðila, s.s. starfsmanna tryggingafélaga.

Í þriðja lagi bendir Persónuvernd á að í 71. gr. stjórnarskrár er gerður áskilnaður um að lagaheimildir sem takmarka friðhelgi einkalífs skuli einungis veittar ef brýna nauðsyn ber til vegna réttinda annarra. Þá gildir sú grunnregla um meðferð persónuupplýsinga að ekki skuli unnið með upplýsingar umfram það sem nauðsynlegt miðað við tilgang vinnslunnar - m.ö.o. skal gæta meðalhófs.Vart verður séð að brýn nauðsyn sé á hækkun iðgjalda vegna réttinda fólks í landinu, þrátt fyrir að þau geti hugsanlega skilað sér í auknum varnaðaráhrifum, eða að forvörnum verði ekki náð fram með öðrum hætti en að veita tryggingafélögum aðgang að upplýsingum í málaskrá lögreglu.

Í fjórða lagi bendir Persónuvernd á að með setningu lagaákvæðis sem myndi heimila einkaaðila aðgang að viðkvæmum persónuupplýsingum hjá stjórnvöldum yrði sett fordæmi sem gæti haft afdrifaríkar afleiðingar til framtíðar. Skráning stjórnvalda á upplýsingum um einstaklinga á að takmarkast við það sem er nauðsynlegt í þágu starfa þeirra. Miðlun slíkra upplýsinga til annarra aðila felur í sér aukna íhlutun af hálfu ríkisins.