Ákvörðun Persónuverndar um að vísa frá beiðni um tafarlausa stöðvun vinnslu

10.11.2009

Persónuvernd barst erindi þann 27. október 2009 þar sem óskað var eftir að Persónuvernd myndi stöðva tafarlaust, á grundvelli 40. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, skoðun Fjármálaeftirlitsins (FME) á tölvupóstum einstaklings sem starfaði hjá fyrirtæki sem FME hefði til athugunar á grundvelli 122. gr., sbr. 120. gr. laga um verðbréfaviðskipti nr. 108/2007. Fram kom að tilefni kvörtunarinnar var að viðkomandi hefði ekki verið gefinn kostur á að vera viðstaddur umrædda skoðun.

Í bréfi Persónuverndar sagði m.a.:

„Samkvæmt 40. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga getur Persónuvernd mælt fyrir um stöðvun vinnslu persónuupplýsinga, þar á meðal söfnun. Í athugasemdum með því frumvarpi sem varð að lögum nr. 77/2000 er tekið fram að ljóst sé að einstaklingi sem telur á sér brotið nægi ekki að skorið sé úr um lögmæti vinnslu ef ábyrgðaraðili heldur áfram að vinna með upplýsingar þrátt fyrir að Persónuvernd telji háttsemi hans brjóta í bága við lög. Því þurfi að veita Persónuvernd heimild til að stöðva vinnsluna. Heimildin er hins vegar háð því að fyrir liggi niðurstaða um að vinnsla persónuupplýsinga sé ekki í samræmi við lög. Því er ekki um bráðabirgðaúrræði að ræða. Einstaklingur sem vill láta stöðva upplýsingavinnslu sem Persónuvernd hefur ekki fjallað um efnislega verður að fara fram á lögbann með vísan til ákvæða laga nr. 31/1990 um kyrrsetningu, lögbann o.fl.

Að öðru leyti þykir mega taka eftirfarandi fram. Erindi yðar lýtur að því að yður hafi ekki verið gefinn kostur á að vera viðstaddur umrædda skoðun. Reglur þar að lútandi tengjast lögum um fræðslu til hins skráða um vinnslu og aðvaranir, sbr. 18. til 21. gr. laga nr. 77/2000. Í fyrri málslið 2. mgr. 3. gr. laga nr. 77/2000 segir hins vegar að vinnsla persónuupplýsinga sem fram fer í þágu tiltekinna málaflokka sé undanþegin nokkrum ákvæðum laganna, þ. á m. þeim er lúta að fræðslu til hins skráða. Ákvæðið er svohljóðandi:

„Ákvæði 16., 18.–21., 24., 26., 31. og 32. gr. laganna gilda ekki um vinnslu persónuupplýsinga sem varða almannaöryggi, landvarnir, öryggi ríkisins og starfsemi ríkisins á sviði refsivörslu.“

Löggjafinn hefur metið vinnslu persónuupplýsinga í þágu mála sem varða almannaöryggi, landvarnir, öryggi ríkisins og starfsemi ríkisins á sviði refsivörslu þess eðlis að sérsjónarmið eigi að gilda um þau. Það er ekki rökstutt sérstaklega í athugasemdum með frumvarpi til laga nr. 77/2000 en ljóst er að ætlunin með ákvæðinu er að verja rannsóknarhagsmuni; hagsmuni af því að geta ljóstrað upp um mál, koma í veg fyrir afbrot og draga úr aðsteðjandi hættu fyrir öryggi ríkisins. Við túlkun ákvæðisins er litið til 3. gr. tilskipunarinnar 95/46/EB, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga. Þar er tekið fram að tilskipunin taki ekki til vinnslu vegna starfsemi sem fellur utan gildissviðs laga evrópubandalagsins, svo sem starfsemi sem kveðið er á um í V. og VI. bálki stofnsáttmálans um Evrópusambandið, og alls ekki til vinnslu sem varðar almannaöryggi, landvarnir, öryggi ríkisins (þar á meðal efnahagslega farsæld ríkisins ef vinnslan tengist öryggismálum ríkisins) og starfsemi ríkisins á sviði refsilaga. Undanþáguákvæði fyrri málsliðar 2. mgr. 3. gr. laga nr. 77/2000 gildir þó aðeins um vinnslu persónuupplýsinga sem fram fer í þágu þessa tilgangs, en ekki um annars konar upplýsingavinnslu af hálfu lögreglu eða annarra aðila sem jafnframt annast öryggis- og refsivörslu. Hún gildir því ekki um mál sem eingöngu hafa einkaréttarlegar lögfylgjur, en þá kunna ákvæði um upplýsingarétt hins skráða að eiga við.

Þann 30. október 2009 sendi Persónuvernd fyrirspurn til FME og óskaði upplýsinga um það hvort FME liti á umrædda vinnslu sem starfsemi ríkisins á sviði refsilaga. Í svarbréfi FME, dags. 30. október 2009, kemur fram að FME telur umrædda skoðun á tölvupósti yðar vera lið í starfsemi ríkisins á sviði refsivörslu, enda sé verið að rannsaka hugsanlegt brot sem geti varðað sektum eða fangelsi allt að tveimur árum sbr. 145. gr. laga nr. 108/2007, um verðbréfaviðskipti.

Auk framangreinds vill Persónuvernd benda á að gildissvið laga nr. 77/2000 gagnvart öðrum lögum er afmarkað í 44. gr. þeirra. Ef lögin undanþiggja tiltekna vinnslu gildissviði laganna í heild eða að hluta, er ljóst að valdheimildir Persónuverndar ná ekki yfir vinnsluna, sbr. t.d. ákvæði 40. gr. um stöðvun vinnslu.

Með vísun til alls framangreinds er ekki unnt að fallast á beiðni yðar um tafarlausa stöðvun á skoðun Fjármálaeftirlitsins á umræddum tölvupóstbréfum.“