Óskað skýringa frá Lögreglunni á höfuðborgarsvæðinu

Efni: Afhending viðkvæmra persónuupplýsinga í skýrslu um „Samantekt á skipulagi lögreglu við mótmælin 2008-2011“ til þriðju aðila.

1.
Persónuvernd vísar til umfjöllunar í fjölmiðlum síðastliðna daga um miðlun skýrslu, um samantekt á skipulagi lögreglu við mótmælin 2008-2011, frá lögreglu til þriðju aðila m.a. fjölmiðla. Af umfjöllun fjölmiðla, sem og yfirlýsingum frá A, upplýsingafulltrúa lögreglunnar á höfuðborgarsvæðinu og B, aðstoðarlögreglustjóra, sem einnig birtust í fjölmiðlum, má ráða að mannleg mistök hafi ráðið því að persónugreinanlegar upplýsingar um einstaklinga hafi komist í hendur óviðkomandi aðila. Hafi fyrrnefnd mistök falist í því annars vegar að unnt var að lesa í gegnum yfirstrikun í prentuðum eintökum skýrslunnar og hins vegar að unnt var að fjarlægja yfirstrikun yfir texta úr stafrænu eintaki skýrslunnar sem afhent var fjölmiðlum.

Persónuvernd hefur ekki fengið formlega kvörtun til meðferðar frá einhverjum hinna skráðu enn sem komið er. Engu að síður telur stofnunin nauðsynlegt að óska skýringa frá embætti yðar varðandi þá vinnslu persónuupplýsinga sem hér um ræðir. Komi til þess að stofnuninni berist formleg erindi, t.d. kvörtun frá einhverjum hinna skráðu, verða þau tekin til meðferðar þegar, og ef, slík erindi berast.

2.
Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi sbr. 1. tölul. 1. mgr. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Viðkvæmar persónuupplýsingar eru skilgreindar í 8. tölul. sama ákvæði en það eru m.a. upplýsingar um uppruna og stjórnmálaskoðanir sbr. a-lið ákvæðisins, það hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað sbr. b-lið ákvæðisins og um lyfja-, áfengis- og vímuefnanotkun sbr. c-lið ákvæðisins.

Í 10. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, segir að notkun kennitölu sé heimil eigi hún sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu. Þá segir í 11. gr. laganna að ábyrgðaraðili skuli gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. Þá segir í 2. mgr. sömu greinar að beita skuli ráðstöfunum sem tryggi nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra.

Í ljósi framangreinds er þess vinsamlega óskað að upplýst verði um eftirfarandi:

1. Með hvaða hætti hugðist lögreglan tryggja öryggi þeirri persónuupplýsinga sem finna mátti í skýrslunni, þ.e. hvaða tæknilegu og skipulagslegu öryggisráðstafanir voru viðhafðar áður en umræddri skýrslu var miðlað?
2. Hvað olli því að umræddar öryggisráðstafanir mistókust og viðkvæmar persónuupplýsingar bárust óviðkomandi.
3. Hvort til staðar séu reglur eða verkferlar innan embættis lögreglunnar á höfuðborgarsvæðinu varðandi miðlun viðkvæmra persónuupplýsinga til þriðju aðila, m.a. þar sem kveðið er á um afmáun persónuupplýsinga, og ef svo, óskar stofnunin eftir að sér berist afrit af slíkum reglum eða verkferlum.
4. Til hvaða ráðstafana lögreglan á höfuðborgarsvæðinu hefur gripið til í kjölfar atviksins í þeim tilgangi að tryggja að sambærileg mistök verði ekki endurtekin.

Þess er óskað að svör berist eigi síðar en 11. nóvember nk.

Loks er vakin athygli á því að bréf þetta verður birt á heimasíðu Persónuverndar eftir að það hefur sannanlega borist móttakanda. Er það í samræmi við almenna framkvæmd stofnunarinnar og einnig vegna þeirrar víðtæku umfjöllunar sem umrædd vinnsla hefur fengið.