Persónuvernd hefur borist fyrirspurn yðar, dags. 7. júlí sl., varðandi það hvort Persónuvernd telji A skylt að veita tilteknar upplýsingar um ferðalög á vegum stjórnar A, og þá jafnframt hvort heimilt sé að veita fyrirspyrjanda þessar upplýsingar. Nánar tiltekið er um að ræða upplýsingar um kostnað við ferðir, gögn sem sýna sundurliðun kostnaðar stjórnarmanna annars vegar og maka stjórnarmanna hins vegar og upplýsingar um dagpeninga stjórnarmanna og maka þeirra, fargjöld, ráðstefnugjöld og hótelkostnað.

Í tilefni af þessu skal tekið fram að það fellur ekki undir valdssvið Persónuverndar að mæla fyrir um skyldu ábyrgðaraðila persónuupplýsinga, hér A, til að afhenda umbeðin gögn eða veita umbeðnar upplýsingar. Persónuvernd leysir hins vegar úr ágreiningi um það hvort ábyrgðaraðili hafi farið út fyrir heimildir sínar til vinnslu persónuupplýsinga, sbr. 2. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Í því máli sem hér um ræðir liggur enginn slíkur ágreiningur fyrir, enda hafa gögnin ekki verið afhent, og getur Persónuvernd því ekki tekið efnislega afstöðu til lögmætis afhendingar þeirra upplýsinga sem um ræðir. Það er A að meta hvort heimilt sé að afhenda þær. Rétt þykir þó að leitast við að gefa í stuttu máli mynd af því lagaumhverfi sem á reynir og þær reglur sem varða erindi yðar.

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 3. gr. laganna. Með persónuupplýsingum er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem hægt er að rekja beint eða óbeint til tiltekins einstaklings, látins eða lifandi. Með hugtakinu vinnslu er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, þ. á m. miðlun þeirra.

Þær upplýsingar sem hér um ræðir geta ýmist fallið utan eða innan laga nr. 77/2000. Fjárhæð dagpeninga telst t.d. til persónuupplýsinga sé hægt að rekja hana til tiltekins starfsmanns, en upplýsingar um kostnað og gjöld opinberrar stofnunar ekki.

Vinnsla persónuupplýsinga er því aðeins heimil að eitthvert skilyrða 1. mgr. 8. gr. laga nr. 77/2000 sé uppfyllt. Sé um að ræða viðkvæmar persónuupplýsingar verður jafnframt að fullnægja einhverju skilyrða 1. mgr. 9. gr. laganna. Þá ber að gæta í hvívetna ákvæða 7. gr. laganna sem fela í sér meginreglur um gæði gagna og vinnslu.

Þau skilyrði 1. mgr. 8. gr. sem helst virðast koma til greina sem heimildir fyrir umræddri miðlun er að finna í 1. og 3. tölul. ákvæðisins. Umrædd vinnsla persónuupplýsinga er því heimil ef hún byggir á samþykki hins skráða eða er nauðsynleg til að fullnægja lagaskyldu sem hvílir á A.

Lagaskylda skv. 3. tölul. 1. mgr. 8. gr. kann t.d. að leiða af upplýsingalögum nr. 50/1996, en í 3. gr. þeirra laga segir að stjórnvöldum sé skylt, sé þess óskað, að veita almenningi aðgang að gögnum sem varða tiltekið mál með þeim takmörkunum sem greinir í 4.-6. gr. laganna. Í 5. gr. upplýsingalaga er kveðið á um að óheimilt sé að veita almenningi aðgang að gögnum um einka- eða fjárhagsmálefni einstaklinga sem sanngjarnt og eðlilegt er að leynt fari, nema sá samþykki sem í hluti á. Í athugasemdum í greinargerð með frumvarpi því er síðar varð að upplýsingalögum kemur fram að upplýsingar um föst laun og önnur föst kjör opinberra starfsmanna séu ekki undanþegnar aðgangi almennings. Hins vegar séu heildarlaun opinbers starfsmanns undanþegin aðgangi á grundvelli 5. gr. Ekki verður tekin afstaða til þess hvort umbeðnar upplýsingar falla undir framangreind ákvæði upplýsingalaga, enda er það ekki á valdsviði Persónuverndar.

Að lokum skal áréttað að með framangreindu hefur Persónuvernd ekki tekið efnislega afstöðu til ágreinings sem upp kann að koma um þá vinnslu persónuupplýsinga heldur hefur yður verið veitt almennt álit yfir efni gildandi laga.