Bréf

I

Vísað er til kvörtunar yðar 13. júní sl. sem lýtur að úrskurði Persónuverndar [...] í tilefni af kvörtun yðar 22. nóvember 2020 yfir vinnslu persónuupplýsinga af hálfu lögreglunnar á höfuðborgarsvæðinu og Landsbankans hf. vegna meðferðar á sektarkröfu og birtingu hennar í heimabanka yðar.

Í kvörtun yðar eru gerðar margvíslegar athugasemdir við málsmeðferð og úrlausn Persónuverndar í málinu. Lúta þær að því að stofnunin hafi ekki fylgt verklagi sínu sem var kynnt yður eftir að stofnunin móttök kvörtun yðar. Að þessu leyti hef ég skilið kvörtun yðar á þá leið að þér gerið athugasemdir við að stofnunin hafi ekki gefið lögreglunni og Landsbankanum færi á að bregðast við kvörtun yðar fyrr en um mitt ár 2023 og í byrjun árs 2024. Þá gerið þér athugasemdir við að Persónuvernd hafi ekki brugðist við öllum erindum sem þér komuð á framfæri við meðferð málsins. Gerið þér einkum athugasemdir við að stofnunin hafi ekki orðið við umleitunum yðar í tengslum við rannsókn málsins, s.s. að stofnunin kannaði sérstaklega hvaða starfsmenn Landsbankans hefðu aðgang að heimabanka yðar, hvernig uppflettingum væri háttað og hvort þær væru skráðar, sbr. bréf yðar 22. janúar sl. Einnig er vísað til kröfu yðar um að stofnunin færi í vettvangsgöngu í bankann í því skyni að sannreyna upplýsingar sem hann veitti vegna málsins. Þá gerið þér athugasemdir við lýsingu í úrskurði Persónuverndar á málsmeðferð og ástæðum tafa svo og samantekt á andsvörum lögreglu og bankans vegna kvartana yðar.

Þá gerið þér enn fremur athugasemdir við efnislega niðurstöðu Persónuverndar í málinu. Lúta þær einkum að því að stofnunin hafi ekki gert athugasemdir við það að Fjársýsla ríkisins stofnaði ósamþykkta sektarkröfu á hendur yður sem því næst var deilt til Reiknistofu bankanna, þannig að upplýsingarnar voru aðgengilegar öllum bankastofnunum landsins án samþykkis yðar. Kemur og fram í kvörtuninni að þér teljið þetta athæfi ólöglegt. Einnig kemur fram að þér teljið að þær upplýsingar og skýringar sem Landsbankinn veitti vegna málsins standist ekki skoðun. Því hafi Persónuvernd ekki verið stætt að byggja úrskurð sinn á þeim.

Líkt og greinir í kvörtun yðar hafið þér áður leitað til umboðsmanns með kvartanir í tengslum við sama mál sem lokið var með bréfum til yðar 2. desember 2022 (mál nr. 11922/2022 í málaskrá embættisins) og 18. janúar sl. (mál nr. 12501/2023) á þeim forsendum að málið hafði ekki verið leitt til lykta af hálfu Persónuverndar. Mér er því kunnugt um forsögu málsins. Þá hefur verið höfð hliðsjón af þeim gögnum sem fylgdu fyrri kvörtunum yðar við athugun mína á kvörtun yðar nú.

II

Tildrög málsins eru þau að með bréfi 5. febrúar 2020 tilkynnti lögreglustjórinn á höfuðborgarsvæðinu yður um sekt að fjárhæð 10.000 kr. (7.500 kr. ef greitt væri fyrir ákveðið tímamark) vegna ætlaðs hraðaaksturs degi áður. Atvikið mun hafa verið tekið upp á löggæslumyndavél. Tilkynningunni fylgdi greiðsluseðill og var yður boðið greiða hann og ljúka þannig málinu án dómsmeðferðar. Jafnframt mun hafa birst um sama leyti í heimabanka yðar krafa vegna sektarinnar. Í kjölfarið áttuð þér í samskiptum við lögregluna á höfuðborgarsvæðinu vegna sektarboðsins, og síðar við Landsbankann vegna færslu kröfunnar í heimabanka yðar, en afrit þeirra fylgdi fyrstu kvörtun yðar til umboðsmanns vegna málsins.

Með bréfi 22. nóvember 2020 beinduð þér kvörtun vegna málsins til Persónuverndar. Í bréfinu lýstuð þér atvikum málsins og samskiptum yðar við lögregluna og Landsbankann. Kom fram að þér telduð að sú háttsemi sem kvörtunin laut að, þ.e. að sektarkröfunni hefði verið miðlað til Landsbankans og birt í heimabanka yðar, kynni að brjóta í bága við ýmis ákvæði laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Af þeim gögnum sem fylgt hafa kvörtunum yðar til umboðsmanns verður ráðið að Persónuvernd hafi fyrst brugðist við kvörtuninni, að undangengnum ítrekunum yðar, með bréfi 4. febrúar 2021. Þar kom fram að m.a. vegna mikilla anna hjá stofnuninni væru tafir á afgreiðslu allra mála. Þegar kæmi að því að kvörtunin yrði tekin til meðferðar væri hefðbundið verklag stofnunarinnar á þá leið að þeim sem kvörtun lyti að væri tilkynnt um það og boðið að koma sjónarmiðum sínum á framfæri. Þegar allra nauðsynlegra upplýsinga og gagna hefði verið aflað yrði málið tekið til úrlausnar. Liggja enn fremur fyrir í málinu frekari bréfaskipti yðar og Persónuverndar vegna málsins.

III

Í 1. mgr. 10. gr. laga nr. 85/1997, um umboðsmann Alþingis, kemur fram að telji umboðsmaður þegar í upphafi að kvörtun gefi ekki nægilegt tilefni til nánari athugunar eða uppfylli ekki skilyrði laganna til frekari meðferðar skuli hann tilkynna þeim sem kvartað hefur þá niðurstöðu.

Samkvæmt 1. gr. laga nr. 90/2018 er á meðal markmiða þeirra að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og að tryggja áreiðanleika og gæði slíkra upplýsinga. Í II. kafla laganna er mælt fyrir um almennar reglur um vinnslu persónuupplýsinga. Er í lögunum gengið út frá því, líkt og greinir í úrskurði Persónuverndar, að öll vinnsla persónuupplýsinga verði að sækja sér stoð í 9. gr. laganna en þar er að finna almennar heimildir til vinnslu persónuupplýsinga, þ.e. að hún sé nauðsynleg m.a. vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds, sbr. 5. tölulið greinarinnar, eða vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir, að því tilskildu að hagsmunir eða grundvallarréttindi og frelsi hins skráða vegi ekki þyngra, sbr. 6. tölulið. Í 12. gr. laganna er enn fremur fjallað um vinnslu upplýsinga um refsiverða háttsemi. Samkvæmt greininni mega stjórnvöld ekki vinna með slíkar upplýsingar nema það sé nauðsynlegt í þágu lögbundinna verkefna þeirra, sbr. 1. mgr. og 3. tölulið 2. mgr. greinarinnar. Samkvæmt 3. mgr. greinarinnar mega einkaaðilar ekki vinna með upplýsingar um refsiverða háttsemi nema hinn skráði hafi veitt til þess afdráttarlaust samþykki sitt eða vinnslan sé nauðsynleg í þágu lögmætra hagsmuna sem auðsjálega vega þyngra en grundvallarréttindi frelsi hins skráða.

Samkvæmt úrskurði Persónuverndar 16. maí sl. laut athugun stofnunarinnar annars vegar að miðlun lögreglunnar á höfuðborgarsvæðinu á persónuupplýsingum til Fjársýslu ríkisins í tengslum við innheimtu kröfu vegna ætlaðrar hraðafjársektar og færslu hennar í heimabanka yðar hjá Landsbankanum með atbeina Reiknistofu bankanna en þaðan sækja bankastofnanir kröfur í miðlægan og sameiginlegan gagnagrunn, þ.e. svonefndan „kröfupott“. Hins vegar laut hún að synjun lögreglunnar og Landsbankans við beiðni um að eyða kröfunni þaðan. Var það niðurstaða stofnunarinnar að sú vinnsla sem um var að ræða í málinu samrýmdist framangreindum ákvæðum laga nr. 90/2018. Að öðru leyti var umkvörtunum yðar vísað frá, þ.e. að því leyti sem þær lutu að afgreiðslu upplýsingabeiðni yðar hjá lögreglu vegna sektarboðsins, heimildum lögreglunnar fyrir tilteknum aðgerðum og málsmeðferð hennar auk synjunar á beiðni um aðgang að þjónustusamningi við Landsbankann, enda væri um að ræða atriði sem að mati stofnunarinnar féllu utan gildissviðs laganna.

Eftir að hafa kynnt mér gögn málsins tel ég ekki fara á milli mála að sú miðlun persónuupplýsinga sem innheimta fjársektarinnar fól í sér, af hálfu lögreglunnar og síðar Fjársýslu ríkisins, var liður í lögbundnum verkefnum þessara stofnana. Hvað snertir birtingu kröfunnar í heimabanka yðar af hálfu Landsbankans fæ ég ekki séð að hvaða leyti um hafi verið að ræða hagsmuni yðar, eða grundvallarréttindi, sem vógu þyngra en hagsmunir bankans af því að geta birt ógreiddar fjárkröfur í heimabanka viðskiptamanna sinna. Að því leyti bendi ég á að ekki er neitt komið fram í málinu um að aðgengi starfsfólks bankans, eða annarra bankastofnana, að upplýsingunum hafi verið óheft eða að um annars konar öryggisbrest hafi verið að ræða. Af þeim sökum tel ég ekki efni til að taka til nánari athugunar athugasemdir yðar er lúta að rannsókn og athugun Persónuverndar vegna málsins. Hef ég þá einkum í huga þá afstöðu stofnunarinnar að fallast bæri á skýringar Landsbankans og hvorki atvik málsins né fram komnar athugasemdir yðar gæfu tilefni til að véfengja þær og taka þessi atriði í starfsemi bankans til nánari athugunar, s.s. með vettvangsathugun. Í því sambandi tek ég fram að af rannsóknarreglu 10. gr. stjórnsýslulaga nr. 37/1993 leiðir ekki að stjórnvöldum beri ávallt að framkvæma rannsóknarathafnir sem aðili máls óskar eftir heldur er það ávallt háð mati þess stjórnvalds sem á í hlut hvort slík rannsókn sé nauðsynleg í því skyni að upplýsa málið nægilega.

Samkvæmt öllu framangreindu er það niðurstaða mín að ekki sé nægjanlegt tilefni til að gera athugasemdir við efnislega niðurstöðu Persónuverndar í málinu.

IV

Að því leyti sem kvörtun yðar lýtur að töfum í málsmeðferð Persónuverndar skal hér rifjað upp að í tilefni af kvörtun yðar í nóvember 2022 (mál nr. 11922/2022) var Persónuvernd ritað bréf þar sem óskað var upplýsinga um hvað liði meðferð og afgreiðslu málsins. Líkt og greinir í bréfi mínu til yðar 2. desember 2022 kom fram í svörum Persónuverndar að með bréfi 31. maí þess árs hefði yður verið tilkynnt um upphaflega afstöðu stofnunarinnar til kvörtunar yðar og óskað eftir viðbrögðum yðar eigi síðar en 21. júní 2022 ef þér óskuðuð þess enn að stofnunin úrskurðaði um hana. Í kjölfarið var yður á ný veittur kostur á að koma á framfæri athugasemdum yðar til 14. desember 2022. Liggur og fyrir að Persónuvernd óskaði síðar eftir skýringum af hálfu Landsbankans og lögreglunnar á höfuðborgarsvæðinu vegna málsins.

Í framangreindu svarbréfi Persónuverndar til umboðsmanns var jafnframt rakin sú afstaða stofnunarinnar að þær tafir sem þá höfðu þegar orðið á málinu væru ekki í samræmi við vandaða stjórnsýsluhætti og þætti stofnuninni það miður. Var að þessu leyti vísað til mikils málafjölda og anna hjá stofnuninni. Þá var jafnframt vísað til þess að fyrir Alþingi lægi frumvarp um breytingu á lögum nr. 90/2018, sem síðar var samþykkt, þar sem m.a. væri stefnt að því að draga úr verkefnaálagi hjá stofnuninni. Hvað sem þeim skýringum líður hefur sá tími sem það tók Persónuvernd að ljúka málinu, tæplega fjögur ár, vakið athygli mína. Fyrir liggur að Persónuvernd hefur áður gengist við því að óhæfilegar tafir hafi orðið  afgreiðslu málsins og tekið fram að tafirnar séu almennar hjá stofnuninni en ekki bundnar við mál yðar sérstaklega. Af þeim sökum og í ljósi niðurstöðu minnar um efnislega úrlausn stofnunarinnar tel ég ekki efni til að aðhafast sérstaklega vegna þessa atriðis í tilefni af kvörtun yðar. Samkvæmt 5. gr. laga nr. 85/1997, um umboðsmann Alþingis, getur umboðsmaður hins vegar að eigin frumkvæði tekið starfsemi og málsmeðferð stjórnvalds til almennrar athugunar. Verður í framhaldi af kvörtun yðar tekið til athugunar hvort tilefni sé til þess að hefja slíka athugun vegna málshraða hjá stofnuninni. Verklag umboðsmanns er þannig að verði málefnið tekið til athugunar er viðkomandi ekki upplýstur um það sérstaklega heldur er tilkynnt um athugunina á heimasíðu embættisins, www.umbodsmadur.is.

V

Að öðru leyti tel ég þær athugasemdir sem fram koma í kvörtun yðar ekki þess eðlis að tilefni sé til að taka þær til nánari athugunar. Með hliðsjón af framangreindu, og með vísan til 1. mgr. 10. gr. laga nr. 85/1997, um umboðsmann Alþingis, læt ég athugun minni vegna málsins lokið.