Úrskurður

um kvörtun yfir miðlun Bændasamtaka Íslands á persónuupplýsingum til Horseday ehf. og áframhaldandi vinnslu þeirra upplýsinga af hálfu þess síðarnefnda, í máli nr. 2025010154 (áður 2024020368):

Málsmeðferð

1. Hinn 21. febrúar 2024 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir miðlun persónuupplýsinga hennar úr gagnagrunninum WorldFeng, sem rekinn er af Bændasamtökum Íslands (hér eftir BÍ eða samtökin), yfir í smáforritið Horseday (hér eftir Horseday eða smáforritið), sem er í eigu Horseday ehf. (hér eftir HD eða félagið), og áframhaldandi vinnslu félagsins á þeim.

2. Persónuvernd bauð BÍ og HD að tjá sig um kvörtunina með bréfum dags. 8. janúar 2025. Svör BÍ bárust með bréfi dags. 12. febrúar s.á. ásamt fylgiskjölum og svör HD með bréfi dags. 10. mars s.á. ásamt fylgiskjölum. Kvartanda var veittur kostur á að koma á framfæri athugsemdum við svör BÍ og HD með bréfi dags. 17. s.m. og bárust þær með tölvupósti 30. s.m. BÍ og HD var boðið að tjá sig um athugasemdir kvartanda með bréfum dags. 8. apríl s.á. og bárust svör HD með bréfi dags. 29. s.m. og BÍ með bréfi dags. 6. maí s.á. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör BÍ og HD með bréfi dags. 13. s.m. og bárust þær með bréfum dags. 25. s.m. Með bréfi dags. 30. september 2025 óskaði Persónuvernd eftir nánari skýringum frá BÍ og bárust svör samtakanna með bréfi dags. 14. október s.á.

3. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Ágreiningsefni

4. Ágreiningur er um heimild BÍ til að miðla persónuupplýsingum kvartanda úr gagnagrunninum WorldFeng til smáforritsins Horseday, sem er í eigu HD. Þá er jafnframt ágreiningur um heimild HD til vinnslu persónuupplýsinganna í framangreindu smáforriti félagsins.

Atvik máls og fyrirliggjandi gögn

5. Gagnagrunnurinn WorldFengur er annars vegar upprunaættbók íslenska hestsins, starfræktur af BÍ samkvæmt reglugerð nr. 442/2011 um uppruna og ræktun íslenska hestsins, sem sett var með heimild í búnaðarlögum nr. 70/1998. Hins vegar er hann opinber hjarðbók hrossa hér á landi samkvæmt reglugerð nr. 916/2012 um merkingu búfjár, sem sett var m.a. með heimild í lögum nr. 38/2013 um búfjárhald og nr. 55/2013 um velferð dýra. Alla jafna er um að ræða mjög takmarkaða vinnslu persónuupplýsinga í gagnagrunninum WorldFeng, sem að meginstefnu afmarkast við upplýsingar um eignarhald persónugreinanlegs einstaklings á hrossum, með tilvísun í nafn hans sem og auðkennis hrossins, þ.e. fæðingarnúmers, sem unnt er að rekja til skráðs eiganda.

6. Horseday er smáforrit fyrir hestamenn sem hugsað er sem nokkurs konar dagbók hestsins í tengslum við umhirðu þeirra og þjálfun. Í Horseday er unnið með grunnupplýsingar um íslensk hross úr WorldFeng. Auk þess geta notendur sjálfir sett upplýsingar inn í smáforritið.

7. Ráðgjafarmiðstöð landbúnaðarins (hér eftir RML) er að fullu í eigu BÍ og er þjónustuaðili, samkvæmt samningi við BÍ, um rekstur WorldFengs. RML veitti HD leyfi til að birta gögn úr WorldFeng í smáforritinu Horseday með tengingum við gagnagrunninn í gegnum forritunarskil (e. API). Eftir athugasemdir kvartanda um miðlun gagna hennar úr WorldFeng til Horseday útbjó RML síu á framangreindar tengingar, sem gerir eigendum hrossa sem skráð eru í WorldFeng kleift að loka á að upplýsingum um hross þeirra sé miðlað úr WorldFeng.

8. Meðfylgjandi andmælabréfi HD frá 10. mars 2025 var m.a. afrit af persónuverndarstefnu félagsins, sóttri á heimasíðu félagsins s.d.

Sjónarmið aðila

Helstu sjónarmið kvartanda

9. Kvartandi telur miðlun BÍ á persónuupplýsingum hennar úr WorldFeng, sem henni hafi verið skylt samkvæmt lögum að skrá í gagnagrunninn, ekki hafa verið í samræmi við m.a. lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Miðlunin hafi jafnframt verið í andstöðu við lagalegan fyrirvara og notendaskilmála WorldFengs, þar sem samþykki notanda sé áskilið svo framselja megi upplýsingar úr gagnagrunninum, nema það sé gert til að afhenda vöru eða þjónustu sem viðskiptavinur hafi óskað eftir.

10. Byggt er á því af hálfu kvartanda að BÍ hafi borið að upplýsa hina skráðu um að upplýsingum þeirra úr WorldFeng yrði miðlað áfram til Horseday. Kvartandi kveðst ekki fyrr en tveimur árum eftir að miðlun hófst hafa fengið vitneskju um hana og möguleikann á söfnun persónuupplýsinga hennar í Horseday. Hvað viðkemur vísun BÍ til persónuverndarstefnu sinnar, byggir kvartandi á því að Horseday sé ekki aðili sem falli undir þá upptalningu sem þar megi finna um þriðju aðila sem samtökin áskilji sér rétt til að deila persónuupplýsingum notenda WorldFengs til.

11. Hvað varðar vinnslu persónuupplýsinga kvartanda af hálfu HD er því mótmælt af hálfu kvartanda að félagið geti byggt vinnsluna á lögmætum hagsmunum. Þeir hagsmunir sem félagið hafi vísað til samrýmist ekki því að birtar séu upplýsingar um einstaklinga og hrossaeign þeirra, án þeirra vitundar og samþykkis. Þá standist jafnframt ekki vísun HD til lögmætra hagsmuna hestamanna og þjálfara af því að geta nálgast upplýsingar um eignarhald hrossa í Horseday, þar sem umræddir aðilar geti þegar flett upplýsingunum upp í WorldFeng. Vinnsla HD sé andstæð meginreglum persónuverndarlöggjafarinnar. Vinnslan geti hvorki talist sanngjörn né gagnsæ, þar sem kvartandi hafi ekki samþykkt vinnsluna og hún farið fram án vitneskju hennar. HD geti ekki tryggt áreiðanleika upplýsinganna, þar sem uppfærsla á upplýsingum í WorldFeng byggi á frumkvæði hestaeiganda, t.d. varðandi breytt eignarhald á hesti.

Helstu sjónarmið BÍ

12. Fram kemur í svörum BÍ að gagnagrunnurinn WorldFengur hafi að geyma opinber gögn og þjónustuaðili hans sé RML. Tilgangur WorldFengs sé að tryggja áframhaldandi hreinræktun íslenska hestsins og styðja við alþjóðlegt samstarf um ræktun hans, sbr. 1. gr. reglugerðar nr. 442/2011. Samkvæmt 4. tölul. 2. mgr. 5. gr. reglugerðarinnar sé vottorð um einstaklingsmerkingu forsenda skráningar hross í gagnagrunninn, en upplýsingar um eigendur séu hluti af skráningu slíkra merkinga, sbr. 5. gr. reglugerðar nr. 200/1998 um búfjármörk, markaskrár og takmörkun á sammerkingum búfjár.

13. Vísað er til þess af hálfu BÍ að RML hafi með samningi frá 9. júlí 2021 veitt HD leyfi til að birta gögn úr WorldFeng í Horseday. Talið hafi verið mikilvægt að styðja við nýsköpunina sem falist hafi í smáforritinu, með þeim fyrirvara að eingöngu þeir sem þegar hefðu aðgang að WorldFeng væru notendur smáforritsins.BÍ líti á HD sem sjálfstæðan ábyrgðaraðila og í smáforritinu sé eingöngu um að ræða birtingu upplýsinga sem einstaklingar hafi þegar getað nálgast í gegnum aðgang að WorldFeng.

14. Af hálfu BÍ hefur m.a. verið byggt á því að miðlun upplýsinga úr WorldFeng til HD sé tilkomin vegna lagaskyldu sem hvíli á BÍ til að veita aðgang að umbeðnum gögnum í samræmi við 5. gr. upplýsingalaga nr. 140/2021. BÍ telji að vegna hlutverks samtakanna samkvæmt reglugerð nr. 442/2011 falli þau undir upplýsingalög, sbr. 3. gr. laganna, sem einkaaðili sem falið sé að sinna þjónustu sem kveðið sé á um í lögum að stjórnvald skuli sinna, eða teljist að öðru leyti liður í opinberu hlutverki stjórnvalds. Um sé að ræða opinber gögn sem hafi orðið til vegna lögbundinnar skyldu til skrárhalds auk þess sem litið hafi verið til sjónarmiða um endurnýtingu opinberra gagna til nýsköpunar.

15. BÍ hafi talið að almenningur ætti rétt á aðgangi að umræddum gögnum samkvæmt framangreindu og takmarkanir á þeim rétti vegna einkahagsmuna, sbr. 9. gr. upplýsingalaga nr. 140/2021, ættu ekki við um eignarhald einstaklinga á hrossum. Þar yrðu hagsmunir annarra af því að slíkar upplýsingar væru aðgengilegar að vega þyngra. Samtökin hafi miðlað upplýsingunum í góðri trú þar sem um hafi verið að ræða nýsköpunarfyrirtæki sem starfi náið með Landssambandi hestamanna. Hvorki BÍ né RML hafi selt HD umrædd gögn. Í samningum sé skýrt að um sé að ræða greiðslur fyrir aðgengi að gögnum í gegnum vefskil (e. API) og sé þeim eingöngu ætlað að standa undir kostnaði við þá þjónustu.

16. Um hvernig skilyrði áðurnefndrar vinnsluheimildar um nauðsyn teldist uppfyllt, í ljósi þess að notendur gætu stöðvað vinnslu persónuupplýsinga um sig með því að kveikja á áðurnefndri síu, sbr. umfjöllun í efnisgrein 7, vísar BÍ til þess að samtökin ásamt RML hafi talið rétt að taka tillit til andmæla kvartanda og hafi HD ekki gert athugasemdir við það.

17. BÍ telja að vinnsla samtakanna hafi samrýmst meginreglum persónuverndarlöggjafarinnar. Varðandi lögmæti, gagnsæi og sanngirni, sbr. 1. tölul. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, byggir BÍ á því að miðlunin hafi farið fram á grundvelli upplýsingalaga nr. 140/2021 og í persónuverndarstefnu samtakanna komi fram að upplýsingum sé ekki miðlað til þriðju aðila nema í vissum tilvikum, m.a. samkvæmt lögum og reglugerðum. Miðlun á grundvelli upplýsingalaga falli þar undir. Þá sé að mati BÍ ljóst að upplýsinganna hafi verið aflað og þær unnar í lögmætum og málefnalegum tilgangi, þar sem BÍ hafi það hlutverk að vinna þær samkvæmt áðurnefndum reglugerðum og sé skylt að veita aðgang að þeim samkvæmt upplýsingalögum.

Helstu sjónarmið HD

18. HD áréttar í svörum sínum að meginmarkmið Horseday sé vinnsla upplýsinga um íslenska hestinn, sem teljist ekki persónuupplýsingar. Einu persónuupplýsingarnar sem unnið sé með um aðra en notendur smáforritsins séu upplýsingar um nafn eiganda hests. Notendur sem sjái þær upplýsingar í Horseday séu alla jafna jafnframt með aðgang að WorldFeng þar sem sömu upplýsingar séu aðgengilegar. Tilgangur tengingar Horseday við WorldFeng sé sá að notendur smáforritsins geti skoðað hross í WorldFeng og eftir atvikum sótt hross sem til standi að skrá þjálfunar- og/eða umhirðuupplýsingar um.

19. Byggt er á því af hálfu HD að vinnsla félagsins, á persónuupplýsingum annarra einstaklinga en notenda Horseday, fari fram á grundvelli lögmætra hagsmuna félagsins, sbr. 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Um sé að ræða hagsmuni hestamanna og þeirra sem annist þjálfun íslenska hestsins, sem færa megi rök fyrir að almannahagsmunir standi til að vernda. Hagsmunirnir lúti að því að bæta upplifun hestafólks á hestamennskunni auk þess sem þjálfarar hestanna hafi lögmæta hagsmuni af því að upplýsingar um eignarhald hestanna séu aðgengilegar. Vinnslan fari jafnframt fram í þágu stjórnarskrárvarinna viðskiptahagsmuna HD. Vinnslan hafi verið nauðsynleg í þágu hinna lögmætu hagsmuna, en upplýsingar um nafn eigenda séu m.a. nauðsynlegur liður í utanumhaldi, þjálfun og velferð hesta. Hagsmunir eða grundvallarréttindi og frelsi hinna skráðu vegi ekki þyngra en framangreindir lögmætir hagsmunir.

20. Hvað fylgni við meginreglur persónuverndarlöggjafarinnar varðar byggir HD á því að umfang vinnslu persónuupplýsinga í smáforritinu sé takmarkað og þær séu ekki viðkvæms eðlis. Eingöngu sé um að ræða nafn eiganda. Hvað áhrif vinnslunnar á hinn skráða varðar bendir HD á að þau séu óveruleg. Tilgangur vinnslunnar sé skýr og málefnalegur og persónuupplýsingar ekki unnar í öðrum og ósamrýmanlegum tilgangi. Upplýsingarnar séu uppfærðar eftir þörfum og rík áhersla lögð á að gætt sé að öryggi þeirra. Ráðið verður af svarbréfi HD að persónuverndarstefna félagsins sem aðgengileg er á vefsíðu þess fjalli eingöngu um vinnslu persónuupplýsinga notenda smáforritsins.

Forsendur og niðurstaða

Lagaumhverfi

21. Mál þetta lýtur annars vegar að miðlun persónuupplýsinga kvartanda af hálfu BÍ úr gagnagrunninum WorldFeng yfir í smáforritið Horseday á vegum HD og hins vegar vinnslu þess síðarnefnda á sömu upplýsingum í smáforriti félagsins.

22. Ábyrgðaraðili vinnslu er sá einstaklingur, lögaðili, stjórnvald eða annar aðili sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

23. Persónuupplýsingar eru skilgreindar sem sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling, sbr. 2. tölul. 3. gr. laga nr. 90/2018. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Í athugasemdum við 3. gr. í frumvarpi því er varð að framangreindum lögum segir m.a. að hugtakið persónuupplýsingar sé víðfeðmt og taki til allra upplýsinga, álita og umsagna sem beint eða óbeint megi tengja tilteknum einstaklingi, þ.e. upplýsinga sem séu persónugreindar eða persónugreinanlegar.

24. Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Samkvæmt 3. tölul. lagaákvæðisins, sbr. c-lið reglugerðarákvæðisins, getur vinnsla verið heimil ef hún telst nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Þá getur vinnsla verið heimil ef hún telst nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. 9. gr. laganna og e-lið 1. mgr. 6. gr. reglugerðarinnar. Þegar um er að ræða vinnslu persónuupplýsinga af hálfu stjórnvalda geta einkum framangreindar heimildir átt við, sbr. niðurlag 6. gr. reglugerðarinnar. Loks getur vinnsla jafnframt verið heimil ef hún er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. 9. gr. laganna og f-lið 1. mgr. 6. gr. reglugerðarinnar.

25. Í athugasemdum um ákvæði 5. tölul. 9. gr. laga nr. 90/2018, í frumvarpi því er varð að framangreindum lögum, er vísað til þess að viðkomandi verkefni þurfi að vera unnið í almannaþágu, þ.e. hafa þýðingu fyrir breiðan hóp manna. Þetta geti t.d. átt við um vinnslu sem eigi sér stað í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi. Þá segir jafnframt að vinnsla geti talist fara fram í þágu almannahagsmuna þótt hún fari ekki fram á vegum hins opinbera svo fremi hún þjóni hagsmunum breiðs hóps manna. Einnig segir að hafi meðferð opinbers valds verið falin þriðja manni með þjónustusamningi eða lögheimiluðu ytra valdframsali, leiði af ákvæðinu að þessi þriðji maður geti viðhaft nauðsynlega vinnslu á upplýsingum við framkvæmd þeirrar stjórnsýslu.

26. Þegar vinnsla persónuupplýsinga fer fram á grundvelli heimildar samkvæmt 3. eða 5. tölul. 9. gr. laga nr. 90/2018, sbr. c- og e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, þarf vinnslan jafnframt að uppfylla kröfur 3. mgr. 6. gr. reglugerðarinnar. Þar segir að mæla skuli fyrir um grundvöll vinnslunnar í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir og að tilgangur vinnslu skuli ákvarðaður á þeim lagagrundvelli. Í því felst, þegar byggt er á 3. tölul. 9. gr. laganna, að löggjafinn þarf að hafa ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram þannig að fyrir liggi lagaskylda í skilningi ákvæðisins. Þegar byggt er á 5. tölul. sömu greinar er einnig gert ráð fyrir að vinnsla sé nauðsynleg í ljósi gildandi löggjafar. Hins vegar er ekki gert ráð fyrir að vinnslan þurfi beinlínis að vera lögákveðin heldur að stjórnvöld hafi ákveðið svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum með vísan til almannahagsmuna og beitingar opinbers valds.

27. Við mat á því hvort vinnsla persónuupplýsinga sé heimil með vísan til 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, þarf þremur skilyrðum að vera fullnægt. Fyrir það fyrsta þarf vinnslan að fara fram í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir. Í öðru lagi þarf vinnslan að vera nauðsynleg í þágu hinna lögmætu hagsmuna og í þriðja lagi mega grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem um ræðir. Í þriðja skilyrðinu er gerður áskilnaður um hagsmunamat þar sem lögmætir hagsmunir ábyrgðaraðila af vinnslunni eru bornir saman við hagsmuni hins skráða. Við það mat hefur í framkvæmd einkum verið hugað að fjórum þáttum. Í fyrsta lagi er litið til eðlis hinna lögmætu hagsmuna ábyrgðaraðila. Í öðru lagi er litið til áhrifa vinnslunnar á hinn skráða. Í því tilliti getur eðli upplýsinga sem unnar eru m.a. haft þýðingu, þ.m.t. hvort um er að ræða viðkvæmar persónuupplýsingar. Jafnframt getur vinnsluaðferð haft þýðingu. Í þriðja lagi hefur þýðingu við hagsmunamatið hvort ábyrgðaraðili fylgi öðrum ákvæðum persónuverndarlaga, svo sem um meðalhóf, enda getur það gefið vísbendingu um áhrif vinnslunnar á hinn skráða. Í fjórða lagi geta viðbótarráðstafanir sem ábyrgðaraðili gerir í tengslum við vinnsluna haft þýðingu við hagsmunamatið.

28. Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Eins og hér háttar til koma þar einkum til skoðunar upplýsingalög nr. 140/2012 og lög nr. 45/2018 um endurnot opinberra upplýsinga.

29. Í 1. gr. upplýsingalaga nr. 140/2012 segir að markmið laganna sé að tryggja gegnsæi í stjórnsýslu og við meðferð opinberra hagsmuna m.a. í þeim tilgangi að styrkja: upplýsingarétt og tjáningarfrelsi; möguleika almennings til þátttöku í lýðræðissamfélagi; aðhald fjölmiðla og almennings að opinberum aðilum; möguleika fjölmiðla til að miðla upplýsingum um opinber málefni og loks traust almennings á stjórnsýslunni. Í 3. gr. segir að lögin taki til einkaaðila, hvort sem þeir séu í opinberri eigu eða ekki, að því leyti sem þeim hafi með lögum eða með ákvörðun eða samningi sem byggist á heimild í lögum verið falið að taka stjórnvaldsákvörðun eða sinna þjónustu sem kveðið sé á um í lögum að stjórnvald skuli sinna eða teljist að öðru leyti liður í opinberu hlutverki stjórnvalds. Í 5. gr. er fjallað um rétt almennings til aðgangs að gögnum. Í 1. mgr. ákvæðisins segir m.a. að sé þess óskað sé skylt að veita almenningi aðgang að fyrirliggjandi gögnum sem varði tiltekið mál, með þeim takmörkunum sem greini í 6.–10. gr. laganna. Sama gildi þegar óskað sé aðgangs að tilteknum fyrirliggjandi gögnum. Í 9. gr. laganna segir m.a. að óheimilt sé að veita almenningi aðgang að gögnum um einka- eða fjárhagsmálefni einstaklinga sem sanngjarnt sé og eðlilegt að leynt fari, nema sá samþykki sem í hlut eigi. Í athugasemdum um framangreinda 5. gr. í frumvarpi því er varð að upplýsingalögum nr. 140/2012 segir m.a. að allir njóti réttar til aðgangs að gögnum samkvæmt lögunum, ekki skipti máli hvort viðkomandi sé einstaklingur eða lögaðili. Þá skipti ekki máli hver tilgangur viðkomandi sé með því að óska aðgangs að gögnunum. Einnig kemur fram að hugtakið mál í frumvarpinu hafi ekki jafn þrönga merkingu og hugtakið mál í stjórnsýslulögum nr. 37/1993.

30. Í 1. mgr. 11. gr. upplýsingalaga nr. 140/2012 segir að heimilt sé að veita aðgang að gögnum í ríkari mæli en skylt sé samkvæmt lögunum enda standi aðrar lagareglur því ekki í vegi, þar á meðal ákvæði laga um þagnarskyldu og persónuvernd. Í athugasemdum um 11. gr. í frumvarpi því er varð að upplýsingalögum segir m.a. að í 1. mgr. ákvæðisins sé meginreglan um aukinn aðgang að gögnum lögfest og hún taki jafnt til allra sem falli undir gildissvið laganna. Í upphafi athugasemda um 11. gr. er m.a. vísað til efnis 3. mgr. 3. gr. þágildandi upplýsingalaga og þess ólögfesta sjónarmiðs að stjórnvöld hafi oft heimild til þess að veita m.a. almenningi rýmri aðgang að upplýsingum en leiði af beinum rétti samkvæmt lögum, enda standi reglur um þagnarskyldu því ekki í vegi. Reglan hafi í íslenskum rétti verið nefnd reglan um aukinn aðgang að gögnum og eigi sér samsvörun í norsku upplýsingalögunum (n. meirinnsyn) og dönsku upplýsingalögunum (d. meroffentlighed). Þá segir jafnframt að við beitingu reglunnar sé mikilvægt að hafa í huga að mikla þýðingu hafi hvort mál snerti einkahagsmuni eða almannahagsmuni. Án samþykkis þess einstaklings eða lögaðila sem í hlut eigi yrði almenningi ekki veittur aukinn aðgangur að einka- eða fjárhagsmálefnum sem sanngjarnt sé og eðlilegt að leynt fari. Snerti mál opinbera hagsmuni geti aftur á móti það stjórnvald, eða annar til þess bær aðili, ákveðið að veita almenningi aukinn aðgang að gögnum, standi ákvæði um þagnarskyldu því ekki í vegi.

31. Þegar lög nr. 45/2018 um endurnot opinberra upplýsinga tóku gildi, var ákvæði 30. gr. upplýsingalaga nr. 140/2012 fellt brott, en það hafði kveðið með almennum hætti á um heimild til endurnota opinberra upplýsinga sem aðgengilegar væru almenningi lögum samkvæmt, að nánari skilyrðum uppfylltum. Í 1. mgr. 1. gr. laga nr. 45/2018 segir að markmið þeirra sé að setja lágmarksreglur um endurnot opinberra upplýsinga í þágu aukinnar nýsköpunar og til hagsbóta fyrir samfélagið í heild. Í 2. mgr. sama ákvæðis segir m.a. að endurnot opinberra upplýsinga vísi til þess að einkaaðili noti slíkar upplýsingar í öðrum tilgangi en ætlunin hafi verið þegar þeirra hafi verið aflað af hálfu opinberra aðila. Gildissvið laganna er afmarkað í 2. gr. laganna, en þar kemur fram í 1. mgr. að lögin gildi um endurnot á fyrirliggjandi upplýsingum sem séu í vörslum stjórnvalda og almenningur eigi rétt til aðgangs að. Í 2. mgr. sama ákvæðis eru lögin sögð taka til ríkis, sveitarfélaga, stofnana þeirra og annarra opinberra aðila, sbr. 3. mgr. Í 1. mgr. 3. gr. kemur fram að opinberum aðila sé skylt að verða við beiðni um heimild til endurnota fyrirliggjandi upplýsinga í vörslum opinbers aðila sem almenningur hafi rétt til aðgangs að á grundvelli upplýsingalaga eða annarra laga, með þeim skilyrðum sem greini í 4.–6. gr. sömu laga. Í 4. gr. laganna er fjallað um almenn skilyrði fyrir endurnotum opinberra upplýsinga en eitt þeirra kemur fram í 1. tölul. 1. mgr. ákvæðisins, þar sem segir að endurnot upplýsinganna megi ekki brjóta í bága við m.a. lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

32. Auk heimildar samkvæmt því sem fyrr greinir, sbr. umfjöllun í efnisgreinum 24–27, verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins og a-liður reglugerðarákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. lagaákvæðisins og b-liður reglugerðarákvæðisins); og að þær séu áreiðanlegar og uppfærðar eftir þörfum; persónuupplýsingum sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli eyða eða leiðrétta án tafar (4. tölul. lagaákvæðisins og d-liður reglugerðarákvæðisins). Ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli umræddar meginreglur og skal hann geta sýnt fram á það, sbr. 2. mgr. laga- og reglugerðarákvæðisins.

33. Við mat á því hvort skilyrði um gagnsæi og sanngirni sé uppfyllt, samkvæmt ofangreindri meginreglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, getur jafnframt þurft að líta til ákvæða um fræðsluskyldu ábyrgðaraðila gagnvart hinum skráða, sem nánar eru útfærð í 13.–14. gr. reglugerðarinnar, sbr. 17. gr. laganna. Þegar persónuupplýsinga er aflað hjá hinum skráða fer um fræðsluskyldu samkvæmt 13. gr. reglugerðarinnar og þegar persónuupplýsinga er aflað annars staðar frá fer um fræðsluskyldu samkvæmt 14. gr. reglugerðarinnar. Fræðsluskylda ábyrgðaraðila, þ.e. skyldan til að veita hinum skráða upplýsingar um vinnslu persónuupplýsinga hans, á almennt við óháð þeim lagagrundvelli sem vinnslan byggist á. Samkvæmt 4. mgr. 13. gr. reglugerðar (ESB) 2016/679 er fræðsluskylda ábyrgðaraðila hins vegar ekki til staðar ef og að því marki sem hinn skráði hefur þegar fengið vitneskju um þau atriði sem upplýsa ber um á grundvelli ákvæðisins. Þá segir í c-lið 5. mgr. 14. gr. reglugerðarinnar að fræðsluskylda samkvæmt ákvæðinu sé ekki til staðar ef og að því marki sem skýrt sé mælt fyrir um öflun eða miðlun upplýsinganna í lögum aðildarríkis sem ábyrgðaraðili heyri undir og sem kveði á um viðeigandi ráðstafanir til að vernda lögmæta hagsmuni hins skráða.

Niðurstaða

34. Líkt og áður hefur komið fram, sbr. umfjöllun í efnisgrein 5, er WorldFengur fyrst og fremst gagnagrunnur sem í eru skráðar upplýsingar um hross, sem teljast einar og sér ekki til persónuupplýsinga í skilningi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. umfjöllun í efnisgrein 23. Þær persónuupplýsingar sem mál þetta lýtur að takmarkast við upplýsingar um eignarhald persónugreinanlegs einstaklings á hestum. Varðar málið því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 og þar með valdsvið Persónuverndar, sbr. 1. mgr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

Vinnsla BÍ

35. BÍ teljast vera ábyrgðaraðili þeirrar vinnslu sem fólst í miðlun persónuupplýsinga kvartanda úr gagnagrunninum WorldFeng yfir í smáforritið Horseday, sbr. 6. tölul. 3. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679, sbr. umfjöllun í efnisgrein 22.

36. Fyrir liggur í svörum BÍ á seinni stigum rannsóknar þessa máls að samtökin byggja vinnslu persónuupplýsinga, sem fram fór með framangreindri miðlun, á því að hún hafi verið nauðsynleg til að fullnægja lagaskyldu sem hvíli á samtökunum sem ábyrgðaraðila, sbr. 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-liður 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, sbr. umfjöllun í efnisgrein 14. Vísuðu samtökin til skyldu sinnar á grundvelli upplýsingalaga nr. 140/2012 í því samhengi.

37. BÍ eru heildarsamtök íslenskra bænda sem skulu m.a. vera málsvari þeirra og vinna að framförum og hagsæld í landbúnaði, líkt og staðfest var í áliti Umboðsmanns Alþingis í máli nr. 8808/2016. Í álitinu kemur einnig fram að samtökin séu því félagasamtök bænda og þar með einkaaðili, en ekki hluti af þeirri stjórnsýslu sem eftirlit umboðsmanns taki til nema að því marki sem samtökunum kunni að hafa verið með lögum falið að taka stjórnvaldsákvarðanir.

38. Samkvæmt 3. mgr. 3. gr. búnaðarlaga nr. 70/1998 og viðauka reglugerðar nr. 442/2011 hefur BÍ á hendi faglega yfirumsjón með opinberu ræktunarstarfi í íslenskri hrossarækt í umboði og samkvæmt samningi við ráðherra. Meðal þeirra verkefna sem BÍ hefur með höndum er rekstur WorldFengs og skráning ýmissa upplýsinga í hann samkvæmt m.a. reglugerð nr. 442/2011 um uppruna og ræktun íslenska hestsins og reglugerð nr. 916/2012 um merkingu búfjár, sbr. umfjöllun í efnisgrein 5. Persónuvernd lítur svo á að þegar BÍ annast skráningu og söfnun upplýsinga í WorldFeng séu samtökin sem einkaaðili að sinna þjónustu, með samningi eða samkvæmt öðrum fyrirmælum, sem kveðið er á um í lögum að stjórnvald skuli sinna eða telst að öðru leyti liður í opinberu hlutverki stjórnvalds, sbr. 3. gr. upplýsingalaga nr. 140/2012, sbr. umfjöllun í efnisgrein 29.

39. Af fyrirliggjandi gögnum málsins verður ekki annað ráðið en að BÍ hafi miðlað upplýsingum úr gagnagrunninum WorldFeng yfir til smáforritsins Horseday í þeim tilgangi að styðja við þá nýsköpun sem falist hafi í Horseday. Í svörum sínum hefur BÍ byggt á því að nauðsynlegt hafi verið að miðla upplýsingunum í framangreindum tilgangi í ljósi lagaskyldu sem hvíli á samtökunum samkvæmt upplýsingalögum nr. 140/2012 og lúti að rétti almennings til aðgangs að gögnum og sjónarmiðum um endurnýtingu opinberra gagna, sbr. umfjöllun í efnisgrein 14. Eins og fram kom í umfjöllun í efnisgrein 26 þarf löggjafinn að hafa ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram, þannig að fyrir liggi lagaskylda í skilningi 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Að mati Persónuverndar uppfyllir það ákvæði upplýsingalaga sem BÍ byggir miðlunina á, sbr. umfjöllun í efnisgreinum 14 og 29, ekki framangreindan áskilnað persónuverndarlöggjafarinnar um tilgreiningu tiltekinnar vinnslu sem skylt sé að fari fram, enda er sú vinnsla sem fram fer ávallt háð því að fram komi upplýsingabeiðni á grundvelli laganna og efnislegt inntak vinnslunnar háð tilgreiningu hinnar sömu beiðni hverju sinni. Hins vegar hefur Persónuvernd litið svo á þegar vinnsla persónuupplýsinga fer fram af hálfu stjórnvalda í tengslum við lögbundin verkefni þeirra geti vinnslan einkum stuðst við 5. tölul. 9. gr. laganna, sbr. e-lið 1. mgr. 6. gr. reglugerðarinnar.

40. Líkt og fyrr greinir, sbr. umfjöllun í efnisgrein 39, telur Persónuvernd að BÍ falli undir 3. gr. upplýsingalaga nr. 140/2012 í starfsemi sinni er lýtur að skráningu persónuupplýsinga í WorldFeng. Samkvæmt þeim lögum ber þeim sem undir þau falla ekki einvörðungu að afhenda gögn vegna beiðni samkvæmt 5. gr. laganna, heldur kveða þau einnig á um heimild sömu aðila til að veita aðgang að gögnum í ríkari mæli en skylt er samkvæmt lögunum, sbr. 11. gr. laganna, að nánari skilyrðum uppfylltum, sbr. umfjöllun í efnisgrein 30.

41. Eins og hér háttar til er það jafnframt mat Persónuverndar að BÍ teljist stjórnvald, í skilningi laga nr. 45/2018 um endurnot opinberra upplýsinga, þegar samtökin sinna verkefnum á borð við rekstur gagnagrunnsins WorldFengs og skráningu upplýsinga í hann samkvæmt fyrirmælum í lögum og stjórnvaldsfyrirmælum, sbr. umfjöllun í efnisgrein 31. Markmið upplýsingalaga nr. 140/2012 er að tryggja gegnsæi í stjórnsýslu og við meðferð opinberra hagsmuna en markmið laga nr. 45/2018 er að setja fram lágmarksreglur um endurnot opinberra upplýsinga í þágu aukinnar nýsköpunar og til hagsbóta fyrir samfélagið í heild, sbr. umfjöllun í efnisgreinum 29 og 31. Síðarnefndu lögin kveða á um að opinberum aðilum sé skylt að verða við beiðni um heimild til endurnota að nánari skilyrðum uppfylltum, en eitt þeirra er að endurnotin mega ekki brjóta í bága við m.a. lög nr. 90/2018, sbr. umfjöllun í efnisgrein 31.

42. Ekki verður ráðið af fyrirliggjandi gögnum að BÍ hafi borist beiðni frá HD samkvæmt lögum nr. 45/2018. Engu að síður telur Persónuvernd að lögin endurspegli þá skyldu sem hvílir á opinberum aðilum í framangreindu samhengi. Líta verður svo á að mati Persónuverndar að BÍ hafi í reynd með samningum sínum við HD verið að afgreiða beiðni um endurnot opinberra gagna. BÍ hafa byggt á því að persónuupplýsingarnar hafi verið þess eðlis að takmörkun á miðlun þeirra vegna einkahagsmuna ætti ekki við og yrðu hagsmunir annarra af því að upplýsingarnar yrðu gerðar aðgengilegar að vega þyngra en hagsmunir kvartanda, sbr. umfjöllun í efnisgrein 15.

43. Að öllu framangreindu virtu telur Persónuvernd að BÍ hafi verið heimilt að miðla persónuupplýsingum kvartanda til smáforritsins Horseday, vegna áðurnefndra fyrirmæla í upplýsingalögum nr. 140/2012 og lögum nr. 45/2018 um endurnot opinberra upplýsinga, en að mati Persónuverndar verður að játa stjórnvöldum, sem og einkaaðilum sem koma fram í umboði þeirra, ákveðið svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum þeirra, sbr. nánari umfjöllun í efnisgrein 26.

44. Með vísan til alls framangreinds telur Persónuvernd umrædda miðlun persónuupplýsinga kvartanda hafa verið nauðsynlega í þágu almannahagsmuna, sbr. 5. tölul. 9. gr. laga nr. 90/2018 og e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Um er að ræða almannahagsmuni sem felast í því að auka aðgengi almennings og einkaaðila að opinberum gögnum, m.a. í þágu nýsköpunar.

45. Hvað varðar umkvörtunarefni kvörtunar er snýr að skyldu BÍ til að upplýsa hina skráðu um að persónuupplýsingum þeirra úr WorldFeng yrði miðlað áfram til Horseday er til þess að líta að samkvæmt 4. mgr. 13. gr. reglugerðar (ESB) 2016/679 er fræðsluskylda ábyrgðaraðila ekki til staðar ef og að því marki sem hinn skráði hefur þegar fengið vitneskju um þau atriði sem upplýsa ber um á grundvelli ákvæðisins, sbr. umfjöllun í efnisgrein 33. Upplýst er um það í persónuverndarstefnu BÍ að upplýsingum kunni að vera miðlað til þriðja aðila, samkvæmt fyrirmælum í lögum, sbr. umfjöllun í efnisgrein 17. Þá leitaðist BÍ við að koma til móts við umkvartanir kvartanda með því að bjóða henni að stöðva miðlun persónuupplýsinga um sig, sbr. umfjöllun í efnisgrein 7.

46. Þá verður að mati Persónuverndar ekki séð að miðlun BÍ á persónuupplýsingum kvartanda hafi verið óskyld þeim tilgangi sem lá að baki upphaflegri skráningu upplýsinganna. Forsenda skráningar hross í WorldFeng er að fyrir liggi vottorð um einstaklingsmerkingu þess, sbr. umfjöllun í efnisgrein 12, en örmerki er ein tegund slíkrar merkingar og fylgja henni upplýsingar um skráðan eiganda. Í því samhengi kemur fram í 1. mgr. 5. gr. reglugerðar nr. 200/1998 um búfjármörk, markaskrár og takmörkun á sammerkingum búfjár, að tilgangur örmerkinga hrossa sé að tryggja sem best rétta upprunaskráningu og sönnun á eignarrétti. Að mati Persónuverndar gegna upplýsingarnar áfram því hlutverki að tryggja rekjanleika hests til eiganda hans í þágu áreiðanleika og réttrar upprunaskráningar. Hvað áreiðanleika miðlunar persónuupplýsinga kvartanda varðar þá telst hann tryggður þar sem uppruni upplýsinganna er úr opinberum gagnagrunni.

47. Með vísan til alls framangreinds telur Persónuvernd því miðlun BÍ á persónuupplýsingum kvartanda einnig samrýmast meginreglum 1., 2. og 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-, b- og d-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, upp að því marki sem stofnunin taldi nauðsynlegt að rannsaka umkvörtunarefnið.

Vinnsla HD

48. HD telst vera ábyrgðaraðili vinnslu persónuupplýsinga kvartanda í smáforriti félagsins, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679, sbr. umfjöllun í efnisgrein 22.

49. HD hefur byggt þá vinnslu persónuupplýsinga sem hér er til umfjöllunar á lögmætum hagsmunum félagsins. Vinnsla persónuupplýsinga getur verið heimil á þeim grundvelli að hún teljist nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir, nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, samkvæmt 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Til þess þarf þremur fyrrgreindum skilyrðum að vera fullnægt, sbr. umfjöllun í efnisgrein 27. Við mat á því hvort fyrsta skilyrðinu er fullnægt, þ.e. hvort fyrir hendi eru lögmætir hagsmunir HD, hefur meginþýðingu hvort hagsmunirnir samrýmast gildandi rétti. Að mati Persónuverndar verður ekki annað ráðið af gögnum málsins en HD bjóði upp á smáforrit með tengingu við WorldFeng í þeim tilgangi að notendur geti skoðað og eftir atvikum sótt hross úr gagnagrunninum sem til standi að skrá þjálfunar- og/eða umhirðuupplýsingar um, sbr. umfjöllun í efnisgrein 6 og 19. Er því um lögmæta hagsmuni hestaeigenda að ræða, sem og þeirra sem annast þjálfun hesta. Jafnframt er um að ræða viðskiptahagsmuni HD sem ekki verður séð að séu andstæðir lögum. Verður samkvæmt því að leggja til grundvallar að HD hafi lögmæta hagsmuni af vinnslunni.

50. Hvað annað skilyrðið varðar, þ.e. hvort vinnslan er nauðsynleg í þágu hinna lögmætu hagsmuna, telur Persónuvernd einsýnt að sú vinnsla persónuupplýsinga sem hér er til umfjöllunar sé grundvöllur þess að HD geti veitt viðskiptamönnum sínum þjónustu í tengslum við utanumhald upplýsinga um þjálfun, umhirðu og ræktun hrossa, enda ljóst að uppruni hross og rekjanleiki til eiganda er ein grundvallarforsenda ræktunarstarfs og liður í því að notandi skrái upplýsingar um rétt hross. Verður samkvæmt því að leggja til grundvallar að vinnslan sé nauðsynleg í þágu hinna lögmætu hagsmuna.

51. Við mat á lögmætum hagsmunum ábyrgðaraðila andspænis hagsmunum hins skráða, samkvæmt þriðja skilyrði beitingar vinnsluheimildarinnar, er einkum að líta til þess að umrædd vinnsla persónuupplýsinga kvartanda fer fram í þágu viðskiptahagsmuna HD sem njóta verndar samkvæmt atvinnufrelsisákvæði 75. gr. stjórnarskrár lýðveldisins Íslands nr. 33/1994. Vinnslunni er enn fremur ætlað að styðja hestaeigendur og þjálfara við utanumhald upplýsinga í tengslum við bætta þjálfun og velferð hestanna og almennt bæta upplifun hestafólks á hestamennskunni. Einnig er til þess að líta að um afar takmarkaða vinnslu persónuupplýsinga er að ræða og upplýsingarnar eru nú þegar aðgengilegar þeim sem kaupa áskrift að WorldFeng. Þá telur Persónuvernd eins og hér háttar til að eðli upplýsinganna hafi afgerandi áhrif á niðurstöðu hagsmunamatsins, en fyrst og fremst er um að ræða opinberlega skráðar upplýsingar um eignarhald á hrossum sem einskorðast við nafn kvartanda sem eiganda hests, en slíkar persónuupplýsingar teljast hvorki viðkvæmar né viðkvæms eðlis. Þá verður ekki séð að slíkur aðstöðumunur sé á kvartanda og HD að þýðingu hafi fyrir hagsmunamatið. Loks er ekkert fram komið í málinu sem bendir til þess að HD vinni aðrar persónuupplýsingar um kvartanda en nauðsynlegt er miðað við tilgang vinnslunnar eða að félagið hafi miðlað upplýsingunum til annarra en á þeim þurfa að halda við notkun smáforritsins. HD telst að mati Persónuverndar tryggja áreiðanleika upplýsinganna með því að afla þeirra beint frá WorldFeng sem er opinber gagnagrunnur. Að þessu virtu telur Persónuvernd verða að leggja til grundvallar að lögmætir hagsmunir HD af vinnslunni vegi þyngra en hagsmunir eða grundvallarréttindi og frelsi kvartanda sem krefjast verndar persónuupplýsinga.

52. Með vísan til alls framangreinds er það niðurstaða Persónuverndar að vinnsla HD á persónuupplýsingum kvartanda í smáforriti félagsins hafi verið heimil á grundvelli 6. tölul. 9. gr. laga nr. 90/2018 og f-liðar 1. mgr. 6. gr. reglugerðar (ESB) 2016/679 og í samræmi við meginregluna um áreiðanleika, sbr. 4. tölul. 1. mgr. 8. gr. laganna og d-lið 1. mgr. 5. gr. reglugerðarinnar. Þá telur Persónuvernd að HD hafi leitast við að gæta að meðalhófi og sanngirni vinnslunnar, með því að lágmarka vinnslu persónuupplýsinga eins og unnt var með takmörkun leitarmöguleika við nafn hross, auk þess sem félagið samþykkti notkun áðurefndrar síu sem gerði kvartanda mögulegt að stöðva miðlun persónuupplýsinga sinna yfir til Horseday. Umfang vinnslunnar er að meginstefnu takmarkað við upplýsingar um eignarhald á hrossum og verður að telja að áhrif vinnslunnar á hinn skráða séu óveruleg.

53. Kemur næst til skoðunar hvort HD hafi tryggt gagnsæi vinnslunnar og veitt kvartanda fræðslu í samræmi við viðeigandi ákvæði laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. umfjöllun í efnisgreinum 32 og 33. Það er mat Persónuverndar að á þeim tímapunkti er HD aflaði persónuupplýsinga kvartanda frá BÍ hafi HD ekki borið að fræða kvartanda sérstaklega um þá vinnslu, þar sem líta verði svo á að kvartandi hafi fengið vitneskju um miðlun þeirra á þeim grundvelli að hún hafi átt sér stoð í gildandi lögum, sbr. umfjöllun í efnisgrein 33. Að mati Persónuverndar gegnir öðru máli um síðari vinnsluaðgerðir af hálfu HD sem fólust í frekari vinnslu persónuupplýsinga kvartanda, þ.m.t. miðlun til notenda smáforritsins, á grundvelli lögmætra hagsmuna HD líkt og að framan hefur verið rakið. Eins og HD benti sjálft á, sbr. umfjöllun í efnisgrein 20, laut fræðsla í persónuverndarstefnu félagsins einvörðungu að vinnslu þess á persónuupplýsingum notenda smáforritsins, sem þeir veittu félaginu með samþykki sínu. Fræðsla um vinnslu HD á persónuupplýsingum annarra, t.a.m. persónuupplýsingum úr gagnagrunninum WorldFeng, var því ekki til staðar og fullnægði fræðsla félagsins því ekki kröfum 1. og 2. mgr. 14. gr. reglugerðarinnar. Þegar litið er til þessara atriða telur Persónuvernd að leggja verði til grundvallar að HD hafi ekki veitt kvartanda fullnægjandi fræðslu um þá vinnslu persónuupplýsinga sem hér er til umfjöllunar og félagið bar ábyrgð á, í samræmi við 2. mgr. 17. gr. laga nr. 90/2018 og 14. gr. reglugerðar (ESB) 2016/679. Af því leiðir jafnframt að HD hefur ekki sýnt fram á að félagið hafi gætt að gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laganna gagnvart kvartanda við vinnsluna, sbr. 2. mgr. sömu greinar.

54. Með vísan til alls framangreinds er það niðurstaða Persónuverndar að vinnsla HD á persónuupplýsingum kvartanda hafi ekki samrýmst 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, sbr. einnig 2. mgr. 17. gr. laganna og 14. gr. reglugerðarinnar.

Fyrirmæli

55. Í samræmi við þessa niðurstöðu og með vísan til 4. tölul. 42. gr. laga nr. 90/2018, sbr. d-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er hér með lagt fyrir Horseday ehf. að færa vinnsluna til samræmis við ákvæði 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 16. október 2026.

Ákvörðun um beitingu valdheimilda

56. Persónuvernd getur veitt ábyrgðaraðila eða vinnsluaðila áminningu ef vinnsluaðgerðir hafa brotið í bága við reglugerð (ESB) 2016/679, sbr. 2. tölul. 42. gr. laga nr. 90/2018, og getur lagt stjórnvaldssektir á þá sem brjóta, af ásetningi eða gáleysi, gegn einhverju þeirra ákvæða reglugerðarinnar sem talin eru upp í 2. og 3. mgr. 46. gr. laga nr. 90/2018, sbr. 1. og 5. mgr. þeirrar lagagreinar. Samkvæmt 1. tölul. 3. mgr. 46. gr. laganna eru þar á meðal ákvæði um grundvallarreglur vinnslu, meðal annars samkvæmt 1. mgr. 5. gr. reglugerðarinnar.

57. Við ákvörðun um hvort framangreindum ákvæðum um sektarheimild skal beitt, sem og um fjárhæð sektar, ber að líta til 1. mgr. 47. gr. laga nr. 90/2018 þar sem kveðið er á um þau atriði sem ýmist geta verið metin hlutaðeigandi til málsbóta eða honum í óhag. Þegar atvik málsins eru virt í ljósi þeirra sjónarmiða sem rakin eru í ákvæðinu, svo og að teknu tilliti til reglna um meðalhóf, sbr. 1. mgr. 83. gr. reglugerðar (ESB) 2016/679 og 12. gr. stjórnsýslulaga nr. 37/1993, þykja ekki næg efni til að leggja stjórnvaldssekt á Horseday ehf. eða veita félaginu áminningu vegna þeirra brota gegn persónuverndarlöggjöfinni sem rakin eru í efnisgreinum 53 og 54 hér að framan. Hefur þá einkum verið litið til eðlis brotsins og umfangs vinnslunnar, en um var að ræða afar takmarkaðar persónuupplýsingar sem hvorki töldust viðkvæmar né viðkvæms eðlis.

Ú r s k u r ð a r o r ð:

Vinnsla Bændasamtaka Íslands, sem fólst í miðlun persónuupplýsinga [A] úr gagnagrunninum WorldFeng til smáforritsins Horseday, á vegum Horseday ehf., samrýmdist lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679, um vinnsluheimild og meginreglur.

Vinnsla Horseday ehf. á persónuupplýsingum [A], í smáforritinu Horseday, samrýmdist ekki 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Lagt er fyrir Horseday ehf. að færa vinnsluna til samræmis við ákvæði 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-liðar 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 16. október 2026.

Persónuvernd, 16. september 2026

Edda Þuríður Hauksdóttir Ósk Óskarsdóttir