Svar varðandi rel8-upplýsingakerfið

Efni: Samkeyrsla upplýsinga um kennitölur einstaklinga við fyrirtækjaskrá til að finna og sýna vensl einstaklinga og fyrirtækja

1.

Persónuvernd vísar til fyrri bréfaskipta af tilefni umsóknar IT Ráðgjafar og hugbúnaðarþjónustunnar ehf., dags. 3. september 2009, um heimild til vinnslu upplýsinga um vensl einstaklinga og fyrirtækja. Samkvæmt umsókn er um að ræða kerfi sem gengur undir nafninu rel8. Því mun ætlað að vera verkfæri til áhættugreininga og rannsókna fyrir eftirlitsstofnanir, lögreglu, skattyfirvöld, fjármagnsstofnanir og aðra sem þurfa upplýsingar af þessu tagi. Í umsókn sagði að fyrirhugað væri að afla daglega upplýsinga frá Ríkisskattstjóra eftir rafrænum leiðum. Í tölvubréfi, sem barst frá IT Ráðgjöf og hugbúnaðarþjónustunni hinn 9. september 2009, kom fram að fyrirhugað væri að veita almenningi aðgang að kerfinu.

Persónuvernd óskaði nánari skýringa með bréfi, dags. 10. september 2009, þ. á m. hvort umrædd vinnsla færi fram á vegum IT Ráðgjafar og hugbúnaðarþjónustunnar eða hvort hún færi í raun fram á vegum Ríkisskattstjóra, lögreglu eða annars aðila sem notar kerfið. IT ráðgjöf og hugbúnaðarþjónustan svaraði með tölvubréfi hinn 16. september 2009 þar sem segir m.a. að verkefnið sé á vegum hennar.

Með bréfi, dags. 15. september 2009, óskaði Persónuvernd enn skýringa, þ. á m. um hvaða tegundir eða flokka upplýsinga væri fyrirhugað að vinna og hvernig birtingarform upplýsinganna yrði fyrir notendur.

IT Ráðgjöf og hugbúnaðarþjónustan svaraði með tölvubréfi hinn 17. september 2009. Þar segir að gögn muni ekki innhalda upplýsingar um annað en það sem skylt er að skrá í fyrirtækjaskrá, þ.e. upplýsingar um stjórnarsetu og trúnaðarstörf, ekki eignarhluta. Engar fjárhagsupplýsingar verði skráðar. Í viðhengi með tölvubréfinu er mynd sem sýnir hvernig upplýsingar um einstaklinga geta tengst upplýsingum um tiltekið fyrirtæki.

2.

Af svari IT Ráðgjafar og hugbúnaðarþjónustunnar frá 17. september 2009 verður ráðið að hún hyggst vinna með upplýsingar um vensl einstaklinga og hlutafélaga. Nánar tiltekið er um að ræða upplýsingar um trúnaðarstörf manna fyrir félög, stjórnunartengsl o.þ.h.

Svo að vinna megi með persónuupplýsingar þarf vinnslan að falla undir eitthvert af skilyrðum 8. gr. laga nr. 77/2000. Í ljósi þess hvernig tilgangi vinnslunnar er lýst í umsókn verður einkum talið að hún geti átt stoð í 5. tölul. 1. mgr. 8. gr. þess efnis að vinna megi með persónuupplýsingar sé vinnslan nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna, sem og 7. tölul. sömu málsgreinar þess efnis að vinna megi með slíkar upplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

Í ákveðnum tilvikum þarf leyfi Persónuverndar til að vinna með persónuupplýsingar, sbr. 33. gr. laga nr. 77/2000, sbr. 4. gr. reglna nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Gildir það m.a. um vinnslu persónuupplýsinga um fjárhagsmálefni og lánstraust einstaklinga án samþykkis þeirra í því skyni að miðla þeim til annarra, sbr. 4. tölul. 1. mgr. og 2. mgr. 4. gr. framangreindra reglna, sbr. einnig 2. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. 2. mgr. 45. gr. laga nr. 77/2000. Með upplýsingum um fjárhagsmálefni manna er almennt átt við upplýsingar um eignir þeirra og skuldir.

Þær upplýsingar, sem IT Ráðgjöf og hugbúnaðarþjónustan fyrirhugar að vinna með, lúta að stjórnarsetu og trúnaðarstörfum manna fyrir félög. Þessar upplýsingar falla ekki undir skilgreiningu 8. tölul. 2. gr. laga nr. 77/2000 á viðkvæmum persónuupplýsingum. Auk þess eiga önnur ákvæði um leyfisskyldu en þau sem tilgreind eru hér að framan ekki við um vinnsluna. Í ljósi fyrrgreinda heimildarákvæða 8. gr., að teknu tilliti til markmiðsákvæðis 1. gr. laga nr. 77/2000, sem og að virtri 26. gr. upplýsingalaga nr. 50/1996 um heimildir til endurnota opinberra upplýsinga, telur Persónuvernd ekki tilefni til að gera athugasemdir við umrædda vinnslu eins og henni er lýst í umsókn og bréfaskiptum vegna máls þessa.

Tekið skal fram að samkvæmt 8. gr. laga nr. 17/2003 um fyrirtækjaskrá er það Ríkisskattstjóri sem er bær til að taka ákvörðun um aðgang að upplýsingum í skránni. Persónuvernd tekur því ekki afstöðu til þess hvort IT Ráðgjöf og hugbúnaðarþjónustan eigi rétt til aðgangs að skránni í þágu umræddrar vinnslu. Einnig er tekið fram að hér er ekki tekin afstaða til lögmætis þess ef upplýsingar, sem tengdar hafa verið saman fyrir tilstilli umrædds upplýsingakerfis, verða síðar samkeyrðar við aðrar upplýsingar. Lögmæti slíkra samkeyrslna verður að meta hverju sinni í ljósi vinnsluheimilda 8. gr. laga nr. 77/2000 og, eftir atvikum, 9. gr. ef um ræðir viðkvæmar persónuupplýsingar.

IT Ráðgjöf og hugbúnaðarþjónustan hefur spurt um rétt til að veita almenningi aðgang að upplýsingum sem til verða við samkeyrslur umræddra upplýsinga. Persónuvernd telur 8. gr. laga nr. 17/2003 einnig eiga við þar, enda eru upplýsingarnar fengnar úr fyrirtækjaskrá. Það heyrir því undir Ríkisskattstjóra að taka ákvörðun þar að lútandi, t.d. með setningu skilmála þegar gögn úr fyrirtækjaskrá eru afhent.

3.

Með vísan til alls ofangreinds verður ekki séð að umrædd vinnsla persónuupplýsinga, eins og henni er lýst í umsókn IT Ráðgjafar og hugbúnaðarþjónustunnar og bréfaskiptum, falli undir reglur um leyfisskyldu. Með vísan til m.a. 5. og 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 gerir Persónuvernd ekki athugasemdir við vinnsluna eins og henni hefur verið lýst.