Úrskurður

um kvörtun yfir birtingu Fiskistofu á persónuupplýsingum í ákvörðunum á vefsíðu stofnunarinnar, í máli nr. 2025010362 (áður 2024010210).

Málsmeðferð

1. Hinn 16. nóvember 2022 barst Persónuvernd kvörtun frá formanni Landssambands smábátaeigenda (hér eftir LS) yfir birtingu Fiskistofu á persónuupplýsingum um félagsmenn LS í ákvörðunum á vefsíðu stofnunarinnar.

2. Persónuvernd bauð Fiskistofu að tjá sig um kvörtunina með bréfi 5. september 2023 og bárust svör 2. október s.á. LS var veittur kostur á að koma á framfæri athugasemdum við svör Fiskistofu með bréfi 4. s.m. með svarfresti til 23. s.m. en Persónuvernd framlengdi þann frest til 18. desember s.á. að beiðni LS. Í bréfi Persónuverndar var vakin athygli á því að ef engin svör myndu berast innan frestsins yrði litið svo á að LS hefði ákveðið að falla frá kvörtun sinni. Þar sem engin svör bárust var málinu (undir málsnúmeri 2022111920) lokað í málaskrá stofnunarinnar 9. janúar 2024.

3. Með tölvupósti 29. janúar 2024 fór lögmaður LS fram á endurupptöku máls nr. 2022111920. Í endurupptökubeiðninni var meðal annars vísað til þess að misskilningur hefði átt sér stað þar sem formaður LS hafi ekki talið þörf á að koma með athugasemdir við andmæli Fiskistofu heldur hafi hann talið að Persónuvernd tæki ákvörðun í málinu á grundvelli fyrirliggjandi gagna og þeirra sjónarmiða sem sambandið hefði þegar komið á framfæri í kvörtun sinni. Með bréfi 18. október s.á. var LS veitt færi á að koma á framfæri frekari athugasemdum og með tölvupósti 24. s.m. var Fiskistofu jafnframt tilkynnt um framkomna endurupptökubeiðni og boðið að tjá sig frekar um málið.

4. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í úrskurði þessum.

Ágreiningsefni

5. Ágreiningur er um heimild Fiskistofu til að birta persónugreinanlegar upplýsingar í ákvörðunum er varða sviptingu veiðileyfa og afturköllun vigtunarleyfa á vefsíðu stofnunarinnar.

Sjónarmið aðila

Helstu sjónarmið Landssambands smábátaeigenda

6. Formaður LS vísar til þess að kvörtunin sé lögð fram fyrir hönd smábátaeigenda, á grundvelli 2. málsl. 2. mgr. 39. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. 2. mgr. 80. gr. reglugerðar (ESB) 2016/679. LS séu félagasamtök sem meðal annars hafi verið stofnuð í þeim tilgangi að vera opinber málsvari smábátaeigenda og tryggja sameiginlega hagsmuni þeirra á öllum sviðum.

7. LS byggir á því að við birtingu stjórnvaldsákvarðana á vefsíðu Fiskistofu sé ekki gætt að ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Vísað er til þess að bæði séu einstaklingar, sem sæta eiga refsikenndum viðurlögum, nafngreindir í stjórnvaldsákvörðunum Fiskistofu en einnig útgerðir og félög. Þegar um smábátasjómenn er að ræða þá jafngildi slík birting þeirra eigin nafnbirtingu þar sem fáir starfa um borð á vegum slíkra útgerða og félaga. Sé því að mati LS ljóst að um persónugreinanlegar upplýsingar sé að ræða sem birtar eru opinberlega í stjórnvaldsákvörðunum Fiskistofu.

8. LS telur að nafnbirtingar í ákvörðunum Fiskistofu séu hvorki nauðsynlegar til að fullnægja lagaskyldu sem hvílir á stofnunni, sbr. 3. tölul. 9. gr. laga nr. 90/2018, né nauðsynlegar í þágu almannahagsmuna eða við beitingu opinbers valds sem Fiskistofa fer með, sbr. 5. tölul. sama ákvæðis. Hvergi komi fram í 9. gr. laga nr. 36/1992 um Fiskistofu, eða í athugasemdum við ákvæðið í frumvarpi því er varð að breytingalögum nr. 85/2022 og innleiddi fyrrgreinda 9. gr., að nafngreina skuli þá einstaklinga, eða eftir atvikum útgerðir, sem sæta refsikenndum viðurlögum í stjórnvaldsákvörðunum. Þá telur LS að við nafnbirtingu í ákvörðunum Fiskistofu á vefsíðu stofnunarinnar sé ekki gætt að meginreglum 1.–3. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-c-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

9. Loks telur LS brot Fiskistofu alvarleg þar sem um íþyngjandi stjórnvaldsákvarðanir er að ræða sem varða atvinnuréttindi einstaklinga og geta vakið upp umræðu um mögulega refsiverða háttsemi þeirra án undangenginnar sakamálarannsóknar.

Helstu sjónarmið Fiskistofu

10. Fiskistofa byggir á því að umrædd vinnsla persónuupplýsinga sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á stofnuninni sem ábyrgðaraðila og sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds, sbr. 3. og 5. tölul. 9. gr. laga nr. 90/2018, sbr. c- og e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Samkvæmt 21. gr. laga nr. 57/1996 um umgengni um nytjastofna sjávar skal Fiskistofa birta opinberlega upplýsingar um sviptingu veiðiheimilda og tilgreina þar heiti skips, skipaskrárnúmer, útgerð skips, tilefni leyfissviptingar og til hvaða tímabils svipting nái. Vísað er til þess að í lögskýringargögnum komi fram að ákvæði 21. gr. laganna sé byggt á því sjónarmiði að almenningur skuli að öðru jöfnu eiga aðgang að upplýsingum í stjórnsýslunni. Þörf hafi verið talin á því að sem flestir geti átt kost á að fylgjast með framkvæmd laga á þessu sviði þar sem með því móti megi búast við að brot á lögunum upplýsist. Þá sé markmið laga nr. 57/1996 að bæta umgengni um nytjastofna sjávar og stuðla að því að þeir verði nýttir með sjálfbærum hætti sem tryggi til langs tíma hámarksafrakstur fyrir íslensku þjóðina. Einnig hafi lögum nr. 36/1992 um Fiskistofu verið breytt með lögum nr. 85/2022 á þann hátt að 9. gr. núgildandi laga var bætt við, sem ber fyrirsögnina Gagnsæi í störfum Fiskistofu, og kveður á um að stofnunin skuli birta opinberlega ákvarðanir um sviptingu veiðileyfa og afturköllun vigtunarleyfa. Í athugasemdum með frumvarpi því er varð að breytingalögum nr. 85/2022 segir að með ákvæði 9. gr. sé leitast við að auka gagnsæi í störfum Fiskistofu sem og fyrirsjáanleika fyrir þá sem starfa í greininni og veita bæði þeim og Fiskistofu tilhlýðilegt aðhald.

11. Með hliðsjón af markmiði og tilgangi ofangreindra gagnsæisákvæða laga nr. 57/1996 og 85/2022, telur Fiskistofa birtingu ákvarðana um sviptingu veiðileyfa og afturköllun vigtunarleyfa vera nauðsynlega í þágu lögbundinna verkefna stofnunarinnar, sbr. 3. tölul. 2. mgr. 12. gr. laga nr. 90/2018. Stofnunin lítur svo á að löggjafinn hafi einnig tekið afstöðu til þess að umrædd birting sé nauðsynleg í þágu lögmætra hagsmuna hins opinbera og að þeir vegi þyngra en þeir hagsmunir sem eru af leynd um upplýsingarnar, þar á meðal hagsmunir hins skráða, sbr. 2. tölul. sama ákvæðis.

12. Í svörum Fiskistofu segir einnig að stofnunin hafi tekið mið af upplýsingarétti almennings, samkvæmt upplýsingalögum nr. 140/2012, við mat á því hvernig eigi að standa að birtingu ákvarðana um sviptingu veiðileyfa og afturköllun vigtunarleyfa. Fiskistofa telur að ríkir almannahagsmunir standi til þess að gagnsæi ríki um umgengni um auðlindir sjávar sem teljast sameign þjóðarinnar. Þá er birtingu umræddra ákvarðana ætlað að auka trúverðugleika um starfsemi þeirra sem lúta eftirliti stofnunarinnar og getur einnig styrkt aðhald með þeim og stuðlað að almennum varnaðaráhrifum. Fyrir gildistöku áðurnefndra breytingalaga nr. 85/2022 birti Fiskistofa lista þar sem fram komu þær upplýsingar sem tilgreindar eru í 21. gr. laga nr. 57/1996 um umgengni um nytjastofna sjávar, en umfjöllun um tilefni leyfissviptingar var áður mjög takmörkuð. Að mati Fiskistofu hefur sanngjarnt tillit verið tekið til einkahagsmuna og persónuverndarsjónarmiða með því að birta umræddar ákvarðanir að hluta en ekki í heild. Stofnunin vísar til þess að upplýsingar um heimilisfang útgerðaraðila séu afmáðar og í tilfelli einstaklinga sem eru útgerðaraðilar séu kennitölur þeirra einnig afmáðar. Nafn skipstjóra og kennitala viðkomandi sé almennt afmáð ef það kemur fram í ákvörðuninni en Fiskistofa tekur fram að í einu tilviki hafi nafn skipstjóra ekki verið afmáð úr birtri ákvörðun þar sem hann var jafnframt útgerðaraðili og eigandi skipsins sem svipt var veiðileyfi og nafnhreinsun því ekki talin hafa þýðingu í því tilviki. Þá séu ákvarðanir stofnunarinnar ekki birtar fyrr en nokkru eftir að málsaðili hefur átt þess kost að kynna sér ákvörðunina.

Forsendur og niðurstaða

Um endurupptökubeiðni

13. Í endurupptökubeiðni lögmanns LS, dags. 29. janúar 2024, er þess krafist að mál 2022111920 verði tekið til meðferðar að nýju.

14. Samkvæmt 24. gr. stjórnsýslulaga nr. 37/1993 á aðili máls rétt á því að mál sé tekið til meðferðar á ný að vissum skilyrðum uppfylltum, þ.e. annars vegar ef ákvörðun hefur byggst á ófullnægjandi eða röngum upplýsingum um málsatvik, sbr. a-lið lagaákvæðisins, eða ef íþyngjandi ákvörðun um boð eða bann hefur byggst á atvikum sem breyst hafa verulega frá því að ákvörðun var tekin, sbr. b-lið lagaákvæðisins. Í athugasemdum við 24. gr. í frumvarpi því er varð að lögum nr. 37/1993 kemur fram að stjórnvald hafi nokkuð víðtæka heimild til þess að endurupptaka mál komi fram beiðni um slíkt frá öllum aðilum að hlutaðeigandi máli og ákvæðið ekki talið tæmandi um hvenær mál verður endurupptekið.

15. Líkt og að framan greinir er ljóst að ákvörðun Persónuverndar um að loka málinu byggði á rangri ályktun stofnunarinnar um að LS félli frá kvörtun sinni. Þá hefur Fiskistofa ekki gert athugasemdir við að málið verði endurupptekið. Með vísan til alls framangreinds er fallist á framkomna endurupptökubeiðni lögmanns LS og eftirfarandi úrskurður kveðinn upp.

Aðild Landssambands smábátaeigenda

16. Samkvæmt 2. málsl. 2. mgr. 39. gr. laga nr. 90/2018 getur stofnun, samtök eða félag samkvæmt 80. reglugerðar (ESB) 2016/679 lagt fram kvörtun hjá Persónuvernd hafi þau ástæðu til að ætla að réttindi skráðs einstaklings hafi verið brotin. Í 1. mgr. 80. gr. reglugerðarinnar er nánar kveðið á um skilyrði aðildar samkvæmt framangreindu. Segir þar að til að njóta aðildar þurfi stofnun, samtök eða félag að vera stofnuð í samræmi við lög aðildarríkis, hafa lögboðin markmið í þágu almannahagsmuna og vera virk á sviði verndar réttinda og frelsis skráðra einstaklinga hvað snertir vernd persónuupplýsinga um þá.

17. LS var stofnað 5. desember 1985 og samkvæmt ódagsettum samþykktum sambandsins á vefsíðu þess er LS samband félaga og svæðisfélaga smábátaeigenda en 15 félagasamtök eiga aðild að sambandinu. Tilgangur sambandsins er að tryggja sameiginlega hagsmuni smábátaeigenda á öllum sviðum, vera opinber málsvari þeirra og stuðla að framförum á sviði fiskveiða, vöruvöndunar, öryggis- og tryggingamála og annarra mála er þá varða, sbr. 1. mgr. 2. gr. samþykktanna. Þá skal félagið sérstaklega vera málsvari félagsmanna, svæðisfélaga og undirfélaga þeirra gagnvart stjórnvöldum og stjórnvaldsaðgerðum er lúta að fiskveiðum, öryggismálum, tryggingamálum, málefnum vöruvöndunar og eftirlits og félagslegum réttindum, sbr. 2. mgr. sama ákvæðis. Að sama skapi er kveðið á um heimild formanns til að höfða hverskonar dómsmál til að gæta hagsmuna félagsmanna á framangreindum sviðum, sbr. 3. mgr. sama ákvæðis.

18. Ljóst er að LS var stofnað í samræmi við hérlend lög og er ekki rekið í hagnaðarskyni. Helsta álitamálið varðandi aðild LS að því kvörtunarmáli sem hér er til umfjöllunar lýtur að því hvort sambandið geti talist virkt á sviði verndar réttinda og frelsis skráðra einstaklinga að því er varðar vernd persónuupplýsinga. Líkt og að framan greinir er hlutverk samtakanna skilgreint með afar víðtækum hætti í samþykktum sambandsins og verður ekki ráðið af samþykktunum að það teldist ósamrýmanlegt hlutverki LS að gæta hagsmuna félagsmanna sinna með því að leggja fram kvörtun hjá Persónuvernd.

19. Í ljósi alls framangreinds telur Persónuvernd að eins og hér háttar til fullnægi LS skilyrðum laga nr. 90/2018 og reglugerðar (ESB) 2016/679 til að koma fram fyrir hönd félagsmanna sinna í máli þessu án þess að fyrir liggi sérstakt umboð þar að lútandi.

Lagaumhverfi

20. Mál þetta lýtur að því hvort Fiskistofu sé heimilt að birta opinberlega á vefsíðu sinni persónuupplýsingar í ákvörðunum stofnunarinnar um sviptingu veiðileyfa og afturköllun vigtunarleyfa. Persónuupplýsingar eru skilgreindar sem sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling, sbr. 2. tölul. 3. gr. laga nr. 90/2018. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Persónuvernd bendir á að í athugasemdum við 3. gr. í greinargerð með frumvarpi því er varð að lögum nr. 90/2018 segir meðal annars að hugtakið persónuupplýsingar sé víðfeðmt og taki til allra upplýsinga, álita og umsagna sem beint eða óbeint má tengja tilteknum einstaklingi, þ.e. upplýsinga sem eru persónugreindar eða persónugreinanlegar. Þá segir jafnframt í athugasemdunum að reglugerðin geri ráð fyrir því að persónuupplýsingahugtakið nái aðeins til upplýsinga um einstaklinga en hvorki til stofnana, fyrirtækja né annarra lögpersóna.

21. Persónuvernd telur að leggja beri til grundvallar að upplýsingar um heiti skips, skipaskrárnúmer og útgerð skips teljist ekki vera persónuupplýsingar þar sem þær lúta í eðli sínu að lögaðila. Þrátt fyrir það telur Persónuvernd ljóst að í ákveðnum tilvikum, þar á meðal í því máli sem hér um ræðir, geti birting framangreindra upplýsinga, auk málavaxtalýsingar, í ákvörðunum Fiskistofu falið í sér vinnslu upplýsinga sem séu persónugreinanlegar. Varðar málið því vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 1. mgr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

22. Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

23. Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Samkvæmt 3. tölul. lagaákvæðisins, sbr. c-lið reglugerðarákvæðisins, getur vinnsla verið heimil ef hún telst nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Þá getur vinnsla verið heimil ef hún telst nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. 9. gr. laganna og e-lið 1. mgr. 6. gr. reglugerðarinnar.

24. Þegar vinnsla persónuupplýsinga fer fram á grundvelli heimildar samkvæmt 3. eða 5. tölul. 9. gr. laga nr. 90/2018, sbr. c- eða e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, þarf vinnslan jafnframt að uppfylla kröfur 3. mgr. 6. gr. reglugerðarinnar. Þar segir að mæla skuli fyrir um grundvöll vinnslunnar í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir og tilgangur vinnslu skuli ákvarðaður á þeim lagagrundvelli, þ.e. að löggjafinn hafi ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram. Af því leiðir að skýra lagaheimild þarf til vinnslu persónuupplýsinga sem byggir á því að hún sé nauðsynleg vegna lagaskyldu sem hvílir á ábyrgðaraðila hverju sinni. Þegar byggt er á 5. tölul. 9. gr. laganna er hins vegar gert ráð fyrir að stjórnvöld hafi ákveðið svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum viðkomandi stjórnvalds með vísan til almannahagsmuna og beitingu opinbers valds.

25. Í 12. gr. laga nr. 90/2018 er að finna sérreglu um vinnslu upplýsinga um refsiverða háttsemi. Hvað varðar skyldur stjórnvalda samkvæmt ákvæðinu birtist sú meginregla í 1. mgr. að stjórnvöld megi ekki vinna með slíkar upplýsingar nema það sé nauðsynlegt í þágu lögbundinna verkefna þeirra. Þá er einnig gert ráð fyrir ákveðnum sérreglum um miðlun slíkra upplýsinga í 2. mgr. ákvæðisins, en eitthvert þeirra skilyrða þarf að vera uppfyllt. Samkvæmt 3. tölul. 2. mgr. ákvæðisins er stjórnvaldi heimilt að miðla upplýsingum um refsiverða háttsemi ef miðlunin er nauðsynleg í þágu lögbundinna verkefna viðkomandi stjórnvalds eða til að unnt sé að taka stjórnvaldsákvörðun. Vinnsla samkvæmt 12. gr. skal auk þess ávallt eiga stoð í einhverri af heimildum 9. gr. laganna, sbr. 5. mgr. ákvæðisins.

26. Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 1. gr. laga nr. 57/1996 um umgengni um nytjastofna sjávar segir að markmið þeirra sé að bæta umgengni um nytjastofna sjávar og stuðla að sjálfbærri nýtingu þeirra sem tryggi til langs tíma hámarksafrakstur fyrir íslensku þjóðina. Fiskistofa og eftirlitsmenn í hennar þjónustu annast eftirlit með framkvæmd laganna, sbr. 13. gr. þeirra. Samkvæmt 21. gr. laganna skal Fiskistofa birta reglulega opinberlega upplýsingar um sviptingu veiðiheimilda samkvæmt IV. kafla laganna. Skal þar tilgreina heiti skips, skipaskrárnúmer, útgerð skips, tilefni leyfissviptingar og til hvaða tímabils svipting nái. Þá skal Fiskistofa birta opinberlega ákvarðanir um afturköllun heimilda á grundvelli 17. gr. laganna, að því er fram kemur í 21. gr. laganna. Í skýringum við ákvæðið í frumvarpi til laganna segir að ákvæðið byggi á því sjónarmiði að almenningur skuli að öðru jöfnu eiga aðgang að upplýsingum í stjórnsýslunni og að sem flestir eigi kost á að fylgjast með framkvæmd laga á þessu sviði en með því móti megi fremur búast við að brot á lögunum upplýsist. Þá segir í 9. gr. laga nr. 36/1992 um Fiskistofu að hún skuli birta opinberlega ákvarðanir stofnunarinnar um sviptingu veiðileyfa og afturköllun vigtunarleyfa. Markmið ákvæðisins, samkvæmt frumvarpi því er varð að breytingarlögum nr. 85/2022, er að auka gagnsæi og fyrirsjáanleika fyrir þá sem starfa í greininni og veita tilheyrandi aðilum tilhlýðilegt aðhald. Þá er Fiskistofu heimil vinnsla persónuupplýsinga í þeim tilgangi að sinna lögbundnu hlutverki sínu samkvæmt lögum á sviði fiskveiðistjórnar, að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga, sbr. 2. gr. a laga nr. 36/1992.

27. Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins, og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.

28. Krafan um lögmæti, sanngirni og gagnsæi við vinnslu persónuupplýsinga, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, er útfærð með nánari hætti í 39. og 40. lið formála reglugerðarinnar. Þar segir að það ætti að vera einstaklingum ljóst þegar persónuupplýsingum um þá er safnað, þær eru notaðar, skoðaðar eða unnar á annan hátt, og að hvaða marki persónuupplýsingar eru eða munu verða unnar. Í 60. lið formálans segir ennfremur að meginreglurnar um sanngirni og gagnsæi við vinnslu krefjist þess að skráðum einstaklingi sé tilkynnt um að vinnsluaðgerð standi yfir og hver sé tilgangur hennar. Við mat á því hvort skilyrði um gagnsæi og sanngirni sé uppfyllt getur jafnframt þurft að líta til ákvæða um fræðsluskyldu ábyrgðaraðila gagnvart skráðum einstaklingi, sem nánar er útfærð í 13.-14. gr. reglugerðarinnar, sbr. 17. gr. laga nr. 90/2018. Í 5. mgr. 14. gr. reglugerðarinnar er hins vegar að finna undantekningu frá fræðsluskyldu ábyrgðaraðila, meðal annars í þeim tilvikum þegar lagaheimild stendur til vinnslunnar, sbr. c-lið ákvæðisins.

29. Krafan um skýrt tilgreindan, lögmætan og málefnalegan tilgang, sbr. 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og b-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, er útfærð með nánari hætti í 39. lið formála reglugerðarinnar. Þar segir að tilgangurinn með vinnslu persónuupplýsinga eigi að vera skýr og lögmætur og liggja fyrir við söfnun þeirra. Í frumvarpi því er varð að lögum nr. 90/2018 segir í athugasemdum við ákvæði 2. tölul. 1. mgr. 8. gr. að með áskilnaði um að tilgangurinn sé skýr sé átt við að hann skuli vera nægjanlega vel skilgreindur og afmarkaður til að vinnslan sé gagnsæ og auðskilin. Hvað varðar mat á málefnalegum tilgangi verður meðal annars að skoða hvort markmiðið sé í samræmi við eðli þeirrar starfsemi sem ábyrgðaraðili hefur með höndum.

30. Þá er einnig fjallað um kröfuna um að persónuupplýsingar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-liður reglugerðarákvæðisins, í formálsorðum reglugerðarinnar og í frumvarpi því er varð að lögum nr. 90/2018. Meðalhófsreglan skarast nokkuð við tilgangsreglu 2. tölul. lagaákvæðisins og felur í sér að aðeins ætti að vinna persónuupplýsingar ef ekki er unnt að ná tilganginum með vinnslunni á annan aðgengilegan hátt. Með því að áskilja að upplýsingarnar séu nægjanlegar og viðeigandi er átt við að eðli þeirra og efni skuli þjóna yfirlýstum tilgangi.

Niðurstaða

31. Fiskistofa ákvað tilgang og aðferð við þá vinnslu persónuupplýsinga sem hér er til umfjöllunar og telst því vera ábyrgðaraðili vinnslunnar, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

32. Fiskistofa byggir vinnslu persónuupplýsinga sem fer fram í tengslum við birtingu ákvarðana um sviptingu veiðileyfa og afturköllun vigtarleyfa á vefsíðu stofnunarinnar á því að hún sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á stofnuninni sem ábyrgðaraðila, sbr. 3. tölul. 9. gr. laga nr. 90/2018, og að hún sé nauðsynleg við beitingu opinbers valds sem stofnunin fer með, sbr. 5. tölul. 9. gr. og 2. og 3. tölul. 2. mgr. 12. gr. laganna.

33. Ljóst er að Fiskistofa starfar að stjórnsýsluverkefnum á sviði sjávarútvegsmála og annast framkvæmd laga um stjórn fiskveiða og eftirlit með fiskveiðum, sbr. 1. mgr. 1. gr. laga nr. 36/1992. Líkt og fram kemur í efnisgrein 26 mælir 21. gr. laga nr. 57/1996 fyrir um þá skyldu Fiskistofu að birta reglulega opinberlega upplýsingar um sviptingu veiðiheimilda samkvæmt IV. kafla laganna og ákvarðanir um afturköllun heimilda í tengslum við vigtun sjávarafla. Samkvæmt ákvæðinu skal þar tilgreina heiti skips, skipaskrárnúmer, útgerð skips, tilefni leyfissviptingar og til hvaða tímabils svipting nái. Líkt og að framan greinir, sbr. umfjöllun í efnisgrein 12, hefur Fiskistofa birt lista á vefsíðu sinni undanfarin ár þar sem fram komu þær upplýsingar sem tilgreindar eru í 21. gr. laga nr. 57/1996.

34. Þá segir ennfremur í 9. gr. laga nr. 36/1992 um Fiskistofu að hún skuli birta opinberlega ákvarðanir stofnunarinnar um sviptingu veiðileyfa og afturköllun vigtunarleyfa. Að mati Persónuverndar eru fyrrgreind ákvæði 21. gr. laga nr. 57/1996 og 9. gr. laga 36/1992 afdráttarlaus og gefa til kynna skýran vilja löggjafans um birtingu tilgreindra upplýsinga, gagnsæi með framkvæmd umræddra lagabálka, aðgang almennings að upplýsingum í stjórnsýslunni og aðhald gagnvart hlutaðeigandi aðilum, sbr. nánari umfjöllun í efnisgrein 26. Þá verður ekki séð að Fiskistofu sé heimilt að víkja frá framangreindri skyldu til þess að birta opinberlega ákvarðanir um sviptingu veiðileyfa og afturköllun vigtunarleyfa þar sem fram koma upplýsingar um heiti skips, skipaskrárnúmer og útgerð skips í þeim tilvikum þegar skip eða útgerð ber nafn útgerðarmanns eða er rekið sem einkafirma.

35. Að framangreindu virtu telur Persónuvernd að Fiskistofu sé heimilt að birta opinberlega ákvarðanir stofnunarinnar um sviptingu veiðileyfa og afturköllun vigtunarleyfa, þar sem meðal annars koma fram upplýsingar um heiti skips, skipaskrárnúmer, útgerð skips, tilefni leyfissviptingar og til hvaða tímabils svipting nái, á grundvelli heimildar 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679 og 3. tölul. 2. mgr. 12. gr. laganna.

36. Með hliðsjón af gögnum málsins verður einnig ráðið að Fiskistofa afmáir upplýsingar um heimilisfang útgerðaraðila, bæði einstaklinga og lögaðila, nafn skipstjóra og kennitölu, ásamt kennitölu einstaklinga í þeim tilvikum þegar nafn þeirra er birt þar sem þeir eru jafnframt útgerðaraðilar, áður en ákvarðanir eru birtar á vefsíðu stofnunarinnar. Með vísan til framangreinds og fyrri umfjöllunar í efnisgreinum 28-30 er það jafnframt niðurstaða Persónuverndar að umrædd vinnsla Fiskistofu sé í samræmi við ákvæði 1.-3. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a–c-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, þar sem hún byggist á skýrum lagaákvæðum og skýrum og málefnalegum tilgangi, enda hefur löggjafinn mælt fyrir um nauðsyn birtingar á slíkum upplýsingum og ákvörðunum er þær varða.

Ú r s k u r ð a r o r ð:

Birting Fiskistofu á ákvörðunum um sviptingu veiðileyfa og afturköllun vigtunarleyfa á vefsíðu stofnunarinnar, þar sem meðal annars koma fram upplýsingar um heiti skips, skipaskrárnúmer, útgerð skips, tilefni leyfissviptingar og til hvaða tímabils svipting nái, samrýmist 3. tölul. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, og 1.-3. tölul. 1. mgr. 8. gr. laganna og a–c-lið 1. mgr. 5. gr. reglugerðarinnar.

Persónuvernd, 20. mars 2025

Edda Þuríður Hauksdóttir
Stefán Snær Stefánsson