Mál númer 2021091863

Álit

Persónuvernd og tjáning einstaklinga á Netinu

Hinn 25. janúar 2022 samþykkti Persónuvernd svohljóðandi álit í máli nr. 2021091863:

I.

Inngangur

Samskipti fólks hafa tekið stakkaskiptum á undanförnum áratugum, ekki síst með tilkomu Netsins. Samfélagsmiðlar á borð við Facebook, Twitter, Instagram, LinkedIn og fleiri hafa einnig haft gríðarleg áhrif á þau samskipti, sem og almenna þjóðfélagsumræðu. Stærstur hluti almennings á Íslandi notar Netið og hlutfall notkunar samfélagsmiðla er með því hæsta sem þekkist í heiminum. Þessir miðlar eru því orðnir mikilvægur hluti daglegs lífs flestra.

Persónuvernd berast fjölmörg erindi á ári hverju er varða tjáningu einstaklinga á Netinu og þá vinnslu persónuupplýsinga sem sú tjáning kann að fela í sér. Er þar jafnt um að ræða ábendingar, almennar fyrirspurnir og kvartanir. Af þeirri ástæðu og með vísan til eftirlitshlutverks stofnunarinnar samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. einnig reglugerð (ESB) 2016/679, telur Persónuvernd tilefni til að veita almennt álit á lagaumhverfi tjáningar einstaklinga á Netinu með tilliti til valdheimilda stofnunarinnar.

Persónuvernd hefur einnig gefið út almennt álit um persónuvernd og tjáningarfrelsi fjölmiðla, dags. 5. október 2020, í máli nr. 2020082249. Er þessum tveimur álitum annars vegar ætlað að skýra frekar hlutverk Persónuverndar og valdmörk að því er varðar tjáningu og tjáningarfrelsi, hvort sem er á vettvangi fjölmiðlunar eða almennt á Netinu. Hins vegar er þeim ætlað að auðvelda fólki að átta sig á því hvenær það heyrir undir valdsvið Persónuverndar að skera úr um ágreining á því sviði og hvenær það heyrir fremur undir dómstóla.

II.

Lagaumhverfi

1.

Tjáningarfrelsi og friðhelgi einkalífs

Tjáningarfrelsi og rétturinn til friðhelgi einkalífs eru meðal þeirra réttinda sem tryggð eru með stjórnarskrá lýðveldisins Íslands nr. 33/1944, auk mannréttindasáttmála Evrópu sem lögfestur var með lögum nr. 62/1994. Samkvæmt 73. gr. stjórnarskrárinnar á hver maður rétt á að láta í ljós hugsanir sínar, en verður að ábyrgjast þær fyrir dómi. Af 1. mgr. 10. gr. mannréttindasáttmálans er ljóst að tjáningarfrelsi felur einnig í sér réttinn til að hafa skoðanir, taka við og skila áfram upplýsingum og hugmyndum heima og erlendis án afskipta stjórnvalda. Ritskoðun og aðrar sambærilegar skorður á tjáningarfrelsi má aldrei í lög leiða, sbr. 2. mgr. 73. gr. stjórnarskrárinnar. Hins vegar má setja tjáningarfrelsinu ákveðnar skorður með lögum, meðal annars vegna réttinda eða mannorðs annarra, enda teljist þær nauðsynlegar og samrýmist lýðræðishefðum, sbr. 3. mgr. sömu greinar. Búa þar meðal annars að baki sjónarmið um friðhelgi einkalífs, sem vernduð er með 71. gr. stjórnarskrárinnar.

Ákvæði 71. gr. stjórnarskrárinnar, sbr. einnig 8. gr. mannréttindasáttmála Evrópu, um að allir skuli njóta friðhelgi einkalífs, heimilis og fjölskyldu, felur í sér rétt manns til að ráða yfir lífi sínu og líkama og til að njóta friðar um lífshætti sína og einkahagi, líkt og fram kemur í lögskýringargögnum um ákvæðið. Þar kemur jafnframt fram að raunhæft dæmi um svið, þar sem álitaefni vakni um hvort brotið sé gegn friðhelgi einkalífs, sé skráning persónuupplýsinga um einstaklinga. Greinin felur það jafnt í sér að íslenska ríkinu beri að forðast afskipti af einkalífi manna og persónulegum högum, sem og að því sé skylt að setja lagareglur til verndar einstaklingum í innbyrðis samskiptum þeirra. Nær sú skylda meðal annars til þess að gera brot einstaklinga á einkalífsréttindum annars einstaklings refsiverð og til þess að binda í löggjöf skýrar reglur um öflun, skráningu og meðferð persónuupplýsinga. Slíkar reglur er nú að finna í lögum nr. 90/2018 og í reglugerð (ESB) 2016/679 sem hefur lagagildi hér á landi. Þá ber að hafa í huga að einkalífi manna er veitt sérstök refsivernd í XXV. kafla almennra hegningarlaga nr. 19/1940 sem fjallar um ærumeiðingar og brot gegn friðhelgi einkalífs, þar á meðal um meðferð upplýsinga um einkamál manna. Auk þess er heimilt að láta þann sem ber ábyrgð á ólögmætri meingerð gegn æru eða persónu annars manns greiða miskabætur til þess einstaklings sem misgert er við samkvæmt b-lið 1. mgr. 26. gr. skaðabótalaga nr. 50/1993.

2.

Gildissvið laga nr. 90/2018

2.1.

Almennt

Lög nr. 90/2018 og reglugerð (ESB) 2016/679 gilda um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og um vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 4. gr. laganna. Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar. Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Í 2.-7. mgr. 4. gr. laga nr. 90/2018 er mælt fyrir um undantekningar frá efnislegu gildissviði laganna. Þannig gilda lögin til að mynda ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota, sbr. 2. mgr. 4. gr. Þá er í 5. gr. kveðið á um tengsl laga nr. 90/2018 við önnur lög og í 6. gr. þeirra er kveðið á um tengsl við tjáningarfrelsi, meðal annars þegar um er að ræða vinnslu persónuupplýsinga í þágu fréttamennsku. Um síðasta ákvæðið er fjallað sérstaklega í áliti Persónuverndar, dags. 5. október 2020, í máli nr. 2020082249, um persónuvernd og tjáningarfrelsi fjölmiðla.

2.2.

Persónuupplýsingahugtakið

Eins og áður greinir eru persónuupplýsingar þær upplýsingar sem varða persónugreindan eða persónugreinanlegan einstakling. Meta þarf hverju sinni hvort upplýsingar séu þess eðlis að sá einstaklingur sem þær varða teljist persónugreinanlegur. Ræðst það af heildarmati á umræddum upplýsingum og eftir atvikum öðrum fyrirliggjandi upplýsingum sem þýðingu hafa, t.d. hversu margir einstaklingar geta átt í hlut miðað við þær upplýsingar sem unnar eru og hvort um er að ræða málefni sem fjallað hefur verið um á vettvangi fjölmiðla eða á öðrum opinberum vettvangi. Hið síðarnefnda getur leitt til þess að upplýsingar, sem án opinberrar umfjöllunar hefði ekki verið unnt að rekja til tiltekins einstaklings, teljist persónugreinanlegar upplýsingar. Þá teljast ljósmyndir, hljóðupptökur og myndskeið hafa að geyma persónuupplýsingar ef unnt er að greina þá einstaklinga sem á þeim eru.

Persónuvernd hefur litið svo á að tjáning manna á eigin skoðunum og hugmyndum um aðra feli ekki í sér vinnslu persónuupplýsinga um þá síðargreindu í skilningi 2. tölul. 3. gr. laga nr. 90/2018, sbr. til hliðsjónar úrskurði stofnunarinnar, dags. 27. ágúst 2020, í málum nr. 2020010550 og 2020010610. Fellur ágreiningur þar um því ekki undir gildissvið laga nr. 90/2018. Í slíkum tilvikum heyrir undir dómstóla að skera úr um mörkin milli stjórnarskrárvarins tjáningarfrelsis annars vegar og friðhelgi einkalífs hins vegar, en nánar verður fjallað um þetta atriði og valdsvið Persónuverndar í kafla 3.

2.3.

Vinnsla til persónulegra nota undanþegin gildissviði

Samkvæmt 2. mgr. 4. gr. laga nr. 90/2018 gilda ákvæði þeirra og reglugerðar (ESB) 2016/679 ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Í 18. gr. formálsorða reglugerðarinnar segir meðal annars að vinnsla sem sé einungis í þágu einstaklings eða fjölskyldu hans geti t.d. tekið til notkunar samfélagsmiðla og netnotkunar sem fram fer í tengslum við slíka vinnslu. Hefur þar meðal annars þýðingu hvort persónuupplýsingar eru birtar á síðu sem opin er almenningi eða hvort aðgengi að henni er takmarkað, t.d. við þá sem hafa aðgang á grundvelli innskráningar eða við þá sem tengjast með einhverjum hætti þeim einstaklingi sem upplýsingarnar birtir á samfélagsmiðli. Þannig getur vinnsla persónuupplýsinga í tengslum við lokaða síðu einstaklings á samfélagsmiðli verið talin til persónulegra nota og þannig fallið utan gildissviðs laga nr. 90/2018. Þetta þarf þó að meta hverju sinni, meðal annars með tilliti til fjölda þeirra sem fylgja eða tengjast hlutaðeigandi einstaklingi á samfélagsmiðlinum og sem sjá þær upplýsingar sem viðkomandi birtir þar, og eftir atvikum með hliðsjón af tengslum þeirra við hann.

Hvorki Persónuvernd né aðrar persónuverndarstofnanir eða dómstólar á Evrópska efnahagssvæðinu hafa mótað skýra framkvæmd um hversu margir þurfi að hafa aðgang að upplýsingum til að birting þeirra teljist ekki lengur til persónulegra nota. Í samræmi við almennar lögskýringarreglur verður þó að skýra undantekningarákvæði 2. mgr. 4. gr. laga nr. 90/2018 þröngt. Verður því að telja ólíklegt að birting persónuupplýsinga á samfélagsmiðli á borð við Facebook, Twitter eða Instagram yrði álitin til persónulegra nota ef upplýsingarnar yrðu þannig aðgengilegar hundruðum eða jafnvel þúsundum notenda þessara miðla. Það eitt að síða einstaklings á samfélagsmiðlum sé lokuð öðrum en þeim sem tengjast viðkomandi nægir því ekki eitt og sér til þess að birting persónuupplýsinga á síðunni falli undir undantekningarákvæði 2. mgr. 4. gr. laga nr. 90/2018 og þannig utan gildissviðs laganna.

Falli vinnsla persónuupplýsinga af hálfu einstaklings á Netinu, hvort sem er á samfélagsmiðlum eða á annars konar vefsíðum eða -svæðum, ekki undir 2. mgr. 4. gr. laga nr. 90/2018 kemur þá næst til skoðunar hvort það fellur undir valdsvið Persónuverndar að úrskurða með bindandi hætti um lögmæti hennar.

3.

Tengsl persónuverndar við tjáningarfrelsi –
Valdsvið Persónuverndar

3.1.

Almennt

Verkefnum Persónuverndar er lýst í 39. gr. laga nr. 90/2018. Þar segir meðal annars að stofnunin annist eftirlit með framkvæmd laganna, reglugerðar (ESB) 2016/679, sérákvæða í lögum sem fjalla um vinnslu persónuupplýsinga og annarra reglna um efnið. Þá segir að Persónuvernd úrskurði um hvort brot hafi átt sér stað, berist stofnuninni kvörtun frá skráðum einstaklingi eða fulltrúa hans. Í framkvæmd hefur Persónuvernd litið svo á að í umræddum lagaákvæðum felist ekki að stofnunin hafi vald til að taka bindandi ákvörðun um mörk réttinda samkvæmt ákvæðum stjórnarskrárinnar, t.a.m. tjáningarfrelsis samkvæmt 73. gr. og friðhelgi einkalífs samkvæmt 71. gr., heldur heyri slíkur ágreiningur undir dómstóla. Það skoðast í ljósi þess að samkvæmt 2. mgr. 73. gr. stjórnarskrárinnar á hver maður rétt á að láta í ljós hugsanir sínar, en ábyrgjast verður hann þær fyrir dómi. Af ákvæðinu verður sú ályktun dregin að dómstólar, en ekki stjórnvöld, taki afstöðu til þess hvort tjáning sé í andstöðu við lög. Í þessu sambandi vísast enn fremur til orðalags 1. mgr. 10. gr. mannréttindasáttmálans um að sérhver maður eigi rétt til tjáningarfrelsis „án afskipta stjórnvalda“. Af því leiðir að Persónuvernd er ekki bær til þess að úrskurða um hvort í tjáningu felist misnotkun á stjórnarskrárvörðum rétti til tjáningarfrelsis, sem jafnframt nýtur verndar síðastnefnds ákvæðis mannréttindasáttmálans.

Kemur þá til skoðunar hvenær nethegðun einstaklinga felur í sér tjáningu sem ekki fellur undir valdsvið Persónuverndar eins og það er skilgreint í lögum nr. 90/2018. Tekið skal fram að neðangreind umfjöllun miðast við vinnslu sem ekki yrði talin falla undir undantekningareglu 2. mgr. 4. gr. laganna um vinnslu á persónuupplýsingum sem eingöngu varða einkahagi einstaklings eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota.

3.2.

Tjáning í orði – Birting upplýsinga og gagna samfara henni

Ein algengasta birtingarmynd tjáningar einstaklinga á Netinu eru skrif af ýmsu tagi. Getur þar t.a.m. verið um að ræða færslur eða annars konar innlegg á samfélagsmiðlum, ummæli við fréttir á netmiðlum og skrif á hvers kyns vefsíðum eða vefsvæðum. Slík skrif einstaklinga fela nær alltaf í sér tjáningu sem notið getur verndar 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu. Af þeim sökum er Persónuvernd almennt ekki bær til að úrskurða um lögmæti slíkrar tjáningar og hefur stofnunin því jafnan vísað frá kvörtunum vegna skrifa einstaklinga á Netinu.

Ef með skrifum einstaklinga á Netinu eru birt gögn af einhverju tagi, sem hafa að geyma persónuupplýsingar um aðra einstaklinga, kann Persónuvernd að úrskurða um lögmæti þeirrar birtingar. Hið sama á við um upplýsingar í texta sjálfra skrifanna sem fengnar eru úr slíkum gögnum eða, eftir atvikum, gagnagrunnum sem hafa að geyma persónuupplýsingar. Þannig er hugsanlegt að kvörtun yfir færslu á samfélagsmiðli yrði vísað frá hvað snerti texta færslunnar á grundvelli þess að um tjáningu væri að ræða, en að fjallað yrði um lögmæti birtingar fylgiskjals með sömu færslu, sbr. til hliðsjónar úrskurð Persónuverndar, dags. 24. febrúar 2016, í máli nr. 2015/1326. Upplýsingar úr gögnum og gagnagrunnum inni í texta færslu, svo sem um heimilisfang og símanúmer viðkomandi eða mat þriðja aðila á einhverjum eiginleikum hans eða aðstæðum, kynnu jafnframt að gefa tilefni til efnislegrar umfjöllunar samhliða frávísun að öðru leyti.

Gera verður ráð fyrir að framangreint fari þó mjög eftir atvikum hverju sinni. Þannig hefur Persónuvernd vísað frá kvörtun yfir því að viðtakandi bréfs frá kvartanda í málinu hefði sent afrit af því til þriðja aðila, sbr. ákvörðun stofnunarinnar, dags. 18. janúar 2011, í máli nr. 2011/18. Taldi Persónuvernd að þrátt fyrir að í bréfinu hefði verið að finna persónuupplýsingar hefði kjarni úrlausnarefnisins lotið að því hvort ábyrgðaraðilinn hefði með tjáningu sinni í orði og verki farið út fyrir ramma 73. gr. stjórnarskrárinnar.

Tekið skal fram í þessu sambandi að skipt getur máli hver tengsl þess einstaklings, sem birtir gögn eða upplýsingar úr þeim, eru við það mál sem upplýsingarnar varða. Þannig er til að mynda líklegra að birting einstaklings á gögnum sem varða hann sjálfan yrði talin fela í sér tjáningu en ef hann hefur engin bein tengsl við efni gagnanna, enda verður að játa fólki ákveðið svigrúm til umfjöllunar um eigið líf án afskipta stjórnvalda. Að auki má nefna að fylgiskjal með færslu, sem stafar frá þeim einstaklingi sjálfum sem hana ritaði, kann að vera álitið fela í sér tjáningu hans með sama hætti og færslan, a.m.k. að hluta til, sbr. úrskurð, dags. 27. ágúst 2020, í máli nr. 2020010610.

Þá skal tekið fram að sé skjal birt án nokkurs texta eru líkur á að ekki verði talið reyna sérstaklega á tjáningarfrelsið, með fyrirvara um sjónarmið sem rakin eru í næsta kafla hér á eftir um slíka birtingu ljósmynda, hljóðupptakna og myndskeiða.

3.3.

Ljósmyndir, hljóðupptökur og myndskeið af persónugreinanlegum einstaklingum

Eins og áður greinir teljast ljósmyndir, hljóðupptökur og myndskeið hafa að geyma persónuupplýsingar ef unnt er að persónugreina þá einstaklinga sem á þeim eru. Við mat á því hvort birting slíkra gagna telst fela í sér tjáningu, sem notið gæti verndar stjórnarskrárinnar og mannréttindasáttmála Evrópu, er nauðsynlegt að leggja heildstætt mat á samhengi birtingarinnar.

Sé ljósmynd af persónugreinanlegum einstaklingi birt á Netinu án þess að henni fylgi nokkur texti eða aðrar upplýsingar yrði líklega litið svo á að þar væri um að ræða vinnslu persónuupplýsinga sem Persónuvernd væri bær til að fjalla um á grundvelli laga nr. 90/2018. Sama máli gegnir um söfn ljósmynda, hljóðupptökur, myndskeið og lengri myndbönd. Ekki er hins vegar útilokað að frá þessu séu undantekningar, t.d. þegar birting getur haft þýðingu í tengslum við þjóðfélagsumræðu. Þá gætu tengsl þess sem birtir umrædd gögn við þann sem á þeim er skipt máli. Þannig er líklegra að birting einstaklings á ljósmyndum af fólki úr eigin fjölskyldu eða vinahópi yrði talin fela í sér tjáningu en ef engin tengsl væru á milli hlutaðeigandi einstaklinga, enda verður að játa fólki ákveðið svigrúm til að birta tækifærismyndir og -myndbönd úr eigin lífi án afskipta stjórnvalda. Af þessu verður þó ekki dregin sú ályktun að réttur til slíkrar birtingar sé án allra takmarkana og getur ágreiningur þar að lútandi verið borinn undir dómstóla.

Algengt er að einstaklingar birti ljósmyndir af öðru fólki á Netinu með texta þar sem þeir lýsa skoðunum sínum, hugsunum eða viðhorfum. Við slíkar aðstæður getur birting ljósmyndanna talist standa í svo nánum tengslum við þá tjáningu sem í textanum felst að ekki verði skilið þar á milli. Í ákvörðun Persónuverndar, dags. 21. október 2021, í máli nr. 2020010552, komst stofnunin að þeirri niðurstöðu að líta yrði á þær ljósmyndir sem kvartað var yfir, og tjáningu ábyrgðaraðilans sem fólst í birtingu textafærslu sem fylgdi ljósmyndunum, sem órjúfanlega heild. Tekið var fram í ákvörðuninni að ljóst væri að textafærslan sjálf fæli í sér tjáningu og að það félli utan valdsviðs Persónuverndar að taka afstöðu til þess hvort ábyrgðaraðilinn, sem var einstaklingur, hefði með birtingu hennar farið út fyrir stjórnarskrárvarið tjáningarfrelsi sitt og þannig skapað sér ábyrgð að lögum. Þá var vísað til sömu sjónarmiða og rakin voru í kafla 3.1. hér að framan. Var kvörtuninni því vísað frá. Ætla má að niðurstaðan hefði orðið sú sama ef um myndbönd eða hljóðupptökur hefði verið að ræða.

III.

Niðurstaða

Ljóst er af orðalagi 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu að stjórnvöldum er ekki ætlað að taka afstöðu til þess hvort tjáning sé í andstöðu við lög. Þá felur 39. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hvorki í sér heimild né skyldu til að úrskurða um mörk tvennra eða fleiri réttinda samkvæmt ákvæðum stjórnarskrárinnar, í þessu tilviki tjáningarfrelsisins og friðhelgi einkalífs. Tekið skal fram að þegar samhliða tjáningu einstaklings eru birtar upplýsingar úr gögnum af einhverju tagi eða gagnagrunnum, sem hafa að geyma persónuupplýsingar, verður ekki í öllum tilvikum talið reyna á mörk þessara tveggja réttinda og getur Persónuvernd þá eftir atvikum fjallað efnislega um slíka birtingu. Að öðru leyti áréttar Persónuvernd hins vegar að hún er ekki til þess bær að taka afstöðu til þess hvort tjáning sé í samræmi við lög heldur heyrir mat á því undir dómstóla. Af þeim sökum er flestum kvörtunum vegna tjáningar vísað frá Persónuvernd og málsaðilum leiðbeint um að bera slíkan ágreining undir dómstóla.

Persónuvernd, 25. janúar 2022

Ólafur Garðarsson

formaður

Björn Geirsson Sindri M. Stephensen

Vilhelmína Haraldsdóttir Þorvarður Kári Ólafsson