Tölvumál - 01.11.2015, Blaðsíða 17

17
Ofangreind atriði hafa þannig ekki síst þýðingu þegar hugað er að
miðlun persónuupplýsinga. Ef miðla á persónuupplýsingum þarf
ennfremur að fullnægja kröfum sem útlistaðar eru í 8. gr. pvl, sem varða
einkum nauðsyn að baki miðluninni eða samþykki hins skráða. Ef miðla
á viðkvæmum persónuupplýsingum þarf á hinn bóginn jafnframt að
fullnægja kröfum 9. gr. pvl., sem gera frekari kröfur og leggja miðluninni
þannig þrengri skorður en ella.
Auk þeirra reglna um miðlun sem fjallað er um í pvl. er til fjöldi annarra
reglna, s.s. í formi reglugerða, verklagsreglna eða auglýsinga, er geta
sett miðlun frekari skorður eða aukið heimildir til miðlunar, allt eftir
aðstæðum hverju sinni. Vert er að nefna verklagsreglur nr. 340/2003 um
afgreiðslu umsókna um aðgang að sjúkraskrám, reglugerð nr. 322/2001
um meðferð persónuupplýsinga hjá lögreglu og reglur nr. 712/2008 um
tilkynn ingar skylda og leyfisskylda vinnslu persónuupplýsinga. Á
heimasíðu Persónuverndar, sem annast m.a. eftirlit með framkvæmd
pvl. og reglna settra samkvæmt þeim, má finna lista yfir ofangreindar
reglur og reglugerðir [2]. Þá er til fjöldi bæði almennra laga og sérlaga
sem geta haft þýðingu við meðferð persónuupplýsinga, þ.m.t. miðlun
þeirra, t.d. stjórnsýslulög nr. 37/1993 og upplýsingalög nr. 140/2012 [3].
Þegar hugað er að miðlun hvers kyns persónuupplýsinga, ekki síst
þegar um ræðir viðkvæmar persónuupplýsingar, ber að hafa í huga
grundvallarreglu 71. gr. stjórnarskrárinnar um rétt einstaklinga til friðhelgi
einkalífs og fjölskyldu, sem jafnframt er verndaður í 8. gr. mann réttinda-
sáttmála Evrópu, sbr. lög nr. 62/1994. Fyrir kemur þó að fara þurfi fram
hagsmunamat á því hvort vegi þyngra í einstöku tilfelli, friðhelgi einka-
lífsins eða tjáningarfrelsið, sem varið er í 73. gr. stjórnarskrárinnar og 10.
gr. mannréttindasáttmála Evrópu. Persónuvernd hefur fram til þessa
ekki lagt mat á framangreint, heldur talið að slíkt mat eigi undir valdsvið
dómstóla [4]
ÁBYRGÐ, EFTIRLIT OG ÖRYGGI
Líkt og að framan greinir hefur Persónuvernd eftirlit með pvl. og reglna
settra samkvæmt þeim. Persónuvernd úrskurðar í ágreiningsmálum um
miðlun persónuupplýsinga og getur stofnunin jafnframt haft frumkvæði
að því að skoða ákveðin mál og gefa út álit.
Persónuvernd afgreiðir einnig leyfisumsóknir og gefur fyrirmæli um
hvernig vinna skal með ákveðnar upplýsingar, með hliðsjón af bæði
tækni, öryggi og gildandi lagareglum, svo fátt eitt sé nefnt.
Í 11. gr. pvl. er regla um öryggi persónuupplýsinga, sem kveður m.a. á
um, að gera skuli viðeigandi tæknilegar og skipulagslegar öryggis-
ráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu,
gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum
aðgangi. Ennfremur segir að beita skuli ráðstöfunum sem tryggja
nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem
verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd
þeirra. Einnig ber að virða reglur Persónuverndar nr. 299/2001 um
öryggi persónuupplýsinga. Þá er fjallað um innra eftirlit i 12. gr. pvl. og
trúnaðarskyldu vinnsluaðila við meðferð persónuupplýsinga í 13. gr. pvl.
Reglulega gerist það, að birtar eru myndir eða myndbrot á samfélags-
miðlum eða netinu, þar sem um ræðir meint refsivert brot hins skráða,
án þess að leitað sé atbeina lögreglunnar, en slíkt kann hæglega að fela
í sér miðlun viðkvæmra persónuupplýsinga. Persónuvernd hefur
úrskurðað um ólögmæta miðlun á slíku efni og taldi í máli nr. 31 frá
2011, að bakarí í Hafnarfirði hefði brotið gegn pvl., þegar það birti á
vefsíðunni youtube.com myndskeið, sem talið var sýna ungan dreng
taka farsíma ófrjálsri hendi [5]. Þeir sem taka upp myndskeið á farsímum
eða snjalltækjum og birta á netinu, feli myndin eða myndbrotið í sér
miðlun viðkvæmra persónuupplýsinga, geta þannig verið að brjóta á
friðhelgi einkalífs hins skráða. Og skiptir þá jafnvel ekki máli, að tilgangur
miðlunarinnar sé sá að koma upp um meint brot eða meintan brotavilja
hins skráða. Með því er ekki verið að draga úr gildi tiltekinnar skráningar
sem sönnunargagns, ef á reyndi, heldur ber eftir atvikum að vísa slíkum
gögnum til lögreglunnar.
Telji menn að brotið hafi verið gegn trúnaði eða þagnarskyldu, má finna
ábyrgð um slíkt víða í lögum, t.a.m. í 136. gr. og 230. gr. almennra
hegningarlaga nr. 19/1940. Ákvæðin leggja refsiábyrgð á þá, sem
vegna starfa sinna eiga að gæta þagmælsku um ákveðin um
persónuupplýsingar einstaklinga, en greina frá því sem leynt átti að fara,
t.d. með miðlun. 6
Í sömu lögum er jafnframt að finna ákvæði sem leggur refsiábyrgð á
hvern þann sem skýrir opinberlega frá einkamálefnum annars manns,
án þess að nægar ástæður séu fyrir hendi er réttlæti verknaðinn, sbr.
229. gr.
Miðlun persónuupplýsinga getur varðað refsingum, bæði í formi fésektar
og frelsissviptingar og framið lögbrot getur, líkt og framan greinir, varðað
við fleiri en ein lög, allt eftir eðli máls.
LEKAMÁLIÐ
Þann 21. nóvember 2014 sagði þáverandi innanríkisráðherra af sér
embætti í kjölfar svokallaðs Lekamáls, enda lá þá fyrir dómur í máli
aðstoðar manns hennar, sem var sakfelldur fyrir brot gegn þagnarskyldu
sinni í starfi með því að hafa látið óviðkomandi í té efni, er innihélt
viðkvæmar persónuupplýsingar um hælisleitanda. Umræddur
aðstoðar maður hafði þannig miðlað trúnaðarupplýsingum í formi
minnis blaðs til fjölmiðla [6]. Upphaflega hafði minnisblaðið verið
óformlegt vinnuskjal sem var vistað á opnu drifi í tölvukerfi innan ríkis-
ráðuneytisins, tekið saman af skrifstofustjóra og lögfræðingi þess.
Vinnuskjalið, sem innihélt m.a. viðkvæmar persónuupplýsingar um
viðkomandi hælisleitanda, var áframsent til ráðuneytisstjóra,
innanríkisráðherra og tveggja aðstoðarmanna hans, en rataði jafnframt
í hendur fjölmiðils.
Sá fjölmiðill skrifaði loks frétt um málið sem byggði m.a. á upplýsingum
úr umræddu minnisblaði. Málið fékk mikla útreið í fjölmiðlum og vatt upp
á sig eftir því sem á leið og var betur rannsakað. Ekki aðeins lá fyrir að
brotið hefði verið gegn friðhelgi einkalífs hælisleitandans með
upplýsingalekanum heldur var jafnframt óskýrt með hvaða hætti ráðu-
neytið hefði komist yfir þær upplýsingar sem fram komu í minnis blaðinu.
Við nánari skoðun á því kom í ljós að aðstoðarmaður innanríkisráðherra
hafði með símtali óskað eftir upplýsingum um hælisleitandann við
þáverandi lögreglustjóra á Suðurnesjum, sem miðlaði til ráðuneytisins
skýrsludrögum um rannsókn sakamáls, hælisleitandanum á hendur.
Persónuvernd úrskurðaði um lögmæti miðlunarinnar og var niðurstaða
hennar að miðlunin hefði verið ólögmæt. Að auki taldi Persónuvernd
það fara í bága við kröfur um upplýsingaöryggi að skort hefði á skrán-
ingu samskipta milli lögreglu Suðurnesja og ráðuneytisins. Með sama
hætti fór í bága við kröfur pvl. að ekki var beitt sérstökum ráðstöfunum
á borð við dulkóðun eða læsingu með sterku lykilorði við miðlun
skýrsludraganna [7].
Lekamálið er aðeins eitt af ótal mörgum, er varða brot á persónu-
verndarlögum og stjórnarskrárvörðum rétti manna til friðhelgi einkalífs
og fjölskyldu.
Það sem gerir það kannski sérstakt, fyrir utan hversu hátt upp embættis-
stigann það teygði anga sína, er hversu auðvelt það reyndist aðstoðar-
manni ráðherrans að nálgast umræddar upplýsingar og hversu illa var
staðið að tryggingu upplýsingaöryggis, með hliðsjón af þeim ströngu
reglum sem um hvort tveggja gilda.
Upplýsingaþjóðfélagið býr við ný og áður óþekkt vandamál þegar
kemur að því að tryggja öryggi gagna og koma í veg fyrir ólöglega
miðlun upplýsinga. Vandinn felst að hluta til í þeim tækniframförum sem
hafa átt sér stað, s.s. með tilkomu snjalltækja og auðveldu aðgengi að
internetinu, þar sem menn miðla nú stöðugt efni sem kann að vera
óæskilegt eða meiðandi fyrir aðra. Sé upplýsingum miðlað gegnum
netið er nú mun líklegra en áður, að efnið nái hratt og auðveldlega
dreifingu, með hugsanlegum skaðlegum afleiðingum fyrir hinn skráða.
Því verður að gera þá skilyrðislausu kröfu að öryggi í gagnamiðlun sé