Mál nr. 2024-12-24

Fjölmargar kvartanir hafa borist Persónuvernd undanfarin ár vegna ólögmætrar vinnslu persónuupplýsinga barna af hálfu jólasveinanna Stekkjastaurs, Giljagaurs, Stúfs, Þvörusleikis, Pottasleikis, Askasleikis, Hurðaskellis, Skyrgáms, Bjúgnakrækis, Gluggagægis, Gáttaþefs, Ketkróks og Kertasníkis (hér eftir „jólasveinarnir“). Stafa kvartanirnar einkum frá áhyggjufullum foreldrum og forsjáraðilum barna.

Þá hafa einnig borist kvartanir fyrir hönd Jólakattarins vegna foreldra jólasveinanna, Grýlu og Leppalúða, vegna ítrekaðra birtinga þeirra á myndum af Jólakettinum á samfélagsmiðlum, án hans samþykkis. Hins vegar er ljóst að Persónuvernd getur ekki úrskurðað um kvartanir sem varða vinnslu á persónuupplýsingum Jólakattarins, enda eiga lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, ekki við um dýr. Verður því ekki vikið nánar að málefnum Jólakattarins í eftirfarandi áliti.

Það athugast að myndin tengist fréttinni ekki með beinum hætti.

Sú vinnsla sem að öðru leyti hefur verið kvartað yfir varðar lista sem jólasveinarnir halda yfir einstaklinga undir 18 ára aldri. Umræddur listi inniheldur upplýsingar um nöfn og heimilisföng ungmenna, ásamt upplýsingum um það hvort þau hafi að mati ábyrgðaraðila verið „góð“ eða „óþekk“ síðasta almanaksárið. Telja verður ljóst að slíkur listi telst vera „skrá“ í skilningi 5. tölul. 1. mgr. 3. gr. laga nr. 90/2018.

Við rannsókn málsins kom fram að sá listi sem kvartað var undan var gerður án vitundar eða samþykkis barna eða forsjáraðila þeirra, og getur vinnsla hans þar af leiðandi ekki sótt sér stoð í 1. tölul. 1. mgr. 9. gr. laga nr. 90/2018, sem heimilar vinnslu persónuupplýsinga á grundvelli samþykkis. Þá hafi kvartendur ekki fengið upplýsingar um fyrirhugaða vinnslu, í samræmi við ákvæði 13. gr. reglugerðar (ESB) nr. 679/2016 um fræðsluskyldu ábyrgðaraðila, og ekki fengið tækifæri til að andmæla vinnslunni áður en hún átti sér stað. Var það mat kvartenda að engin vinnsluheimild gæti legið að baki vinnslunni. Að lokum töldu kvartendur að vinnslan hefði ekki samræmst meginreglum 8. gr. laga nr. 90/2018, enda var listinn hvorki unninn á lögmætan, sanngjarnan eða gagnsæjan hátt gagnvart hinum skráðu né í samræmi við meðalhófskröfu fyrrgreinds ákvæðis.

Persónuvernd veitti jólasveinunum andmælarétt til samræmis við stjórnsýslulög og ritaði þeim bréf þar sem þeim var greint frá efni kvartananna. Í svörum sínum héldu jólasveinarnir því fram að umrædd vinnsla byggði á almannahagsmunum, sbr. 5. tölul. 1. mgr. 9. gr. laga nr. 90/2018, og því hefði þeim verið heimilt að halda listann. Vinnslan hafi verið í samræmi við 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, þar sem börn og forráðamenn hafi mátt vita að ákveðið mat þurfi að fara fram við afhendingu skógjafa á tímabilinu 12.-24. desember ár hvert. Þá hafi meðalhófs við gerð listans verið gætt, í samræmi við 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018, þar sem einungis hafi verið aflað gagna um hegðun barna yfir fyrirfram afmarkað tímabil. Enn fremur varðveiti jólasveinarnir ekki lista hvers árs, heldur sé þeim eytt 6. janúar ár hvert, eða þrettán dögum eftir að síðasti jólasveinninn, Kertasníkir, kemur til byggða. Eftir að gögnum undangengins árs hefur verið eytt sé ekki möguleiki fyrir neinn að nálgast upplýsingar um hegðun tiltekins barns á því tímabili. Þannig sé varðveislutími gagnanna ekki lengri en þörf krefur miðað við tilgang vinnslunnar. Að lokum vísuðu jólasveinarnir til þess að þeir hafi ávallt sinnt störfum sínum af mikilli kostgæfni, enda sé um persónuupplýsingar ólögráða barna að ræða, sem njóti aukinnar verndar samkvæmt 38. lið formálsorða reglugerðar (ESB) nr. 679/2016. Í ljósi starfa jólasveinanna sé þó óhjákvæmilegt að vinnsla fari fram í nokkrum mæli, enda sé matið forsenda ákvörðunar um hvað börnin fá í skógjöf frá hverjum og einum jólasveini.

Að framangreindu virtu telur Persónuvernd ekki tilefni að svo stöddu til að stöðva vinnslu jólasveinanna á persónuupplýsingum barna. Fallist er á þau sjónarmið jólasveinanna að um sé að ræða almannahagsmuni, enda eru miklir hagsmunir fólgnir í því að börn haldi áfram að fá skógjafir ár hvert. Er það mat Persónuverndar að þau réttindi sem undir eru í málinu séu þess eðlis að veita beri jólasveinunum rúmt svigrúm við mat á því hvað börn eigi að fá í skóinn. Að því gefnu að viðeigandi öryggisráðstafana sé gætt af hálfu jólasveinanna við gerð og varðveislu listans er það niðurstaða Persónuverndar að umrædd vinnsla samrýmist ákvæðum laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, sem og reglugerðar (ESB) nr. 679/2016.

Gleðileg jól!