E-2585/2011

Mál þetta sem tekið var til úrskurðar 19. janúar 2012 var höfðað fyrir Héraðsdómi Reykjavíkur 7. júní 2011 af J-kk-þgf M-kk-þgf, Þverási 39, Reykjavík, gegn Persónuvernd, Rauðarárstíg 10, Reykjavík.

Kröfur aðila

Stefnandi gerir þær dómkröfur, að viðurkennt verði að ákvörðun stjórnar Persónuverndar í máli nr. 2010/610 um heimildir Seðlabankans til vinnslu persónuupplýsinga í þágu gjaldeyriseftirlits sé ólögmæt og stefndi verði dæmdur til að greiða stefnanda málskostnað samkvæmt mati dómsins.

Stefndi gerir þá kröfu aðallega að máli þessu verði vísað frá dómi og að stefnanda verði gert að greiða stefnda málskostnað að mati réttarins. Til vara er þess krafist að stefndi verði sýknaður af kröfum stefnanda og að stefnandi verði dæmdur til að greiða málskostnað að mati réttarins.

Í þessum þætti málsins er til meðferðar krafa stefnda um að málinu verði vísað frá dómi. Stefnandi krefst þess að frávísunarkröfu stefnda verði hrundið og honum dæmdur málskostnaður í þessum þætti málsins, að mati dómsins.

Atvik máls

Málavextir eru þeir að 16. ágúst 2010 óskaði Persónuvernd, með vísan til fyrri bréfaskipta, eftir upplýsingum frá Seðlabanka Íslands um skráningu á persónuupplýsingum um gjaldeyrisviðskipti þ.á.m. hvernig vinnslu upplýsinganna væri háttað, þ.á.m. hverjir hefðu aðgang að þeim, hvernig þær væru auðkenndar og hversu lengi þær yrðu varðveittar. Í bréfinu vísaði Persónuvernd til símtals við lögfræðing hjá Seðlabankanum 13. ágúst 2010 þar sem fram hefði komið að Seðlabankinn fyrirhugaði að hefja víðtækari skráningu á persónuupplýsingum um gjaldeyrisviðskipti en tíðkast hefði. Seðlabankinn svaraði með bréfi dags. 2. september s.á. Í svari bankans kom m.a. fram að bankinn aflaði upplýsinga um einstök gjaldeyrisviðskipti til skráningar í svonefnt GV-kerfi, en kennitala þeirra sem stæðu að viðskiptum væri afmáð þegar upphæð væri undir 700.000 krónum. Rekjanleiki hafi undir venjulegum kringumstæðum ekki verið nauðsynlegur, en nú gegni öðru máli í ljósi strangari reglna um gjaldeyrisviðskipti. Hyggist því Seðlabankinn afla upplýsinga um kennitölur þeirra sem standi að umræddum viðskiptum án tillits til fjárhæðarmarka, aftur til 28. nóvember 2008, þegar hinar strangari reglur hafi tekið gildi, en slíkt fyrirkomulag hafi raunar verið við lýði áður. Í gögnum um umrædd viðskipti komi m.a. fram upplýsingar um kennitölu og nafn greiðanda og viðtakanda, móttökuland, gjaldmiðil og skýring greiðslu. Hinn 28. september 2009 hafi hafist öflun upplýsinga um svonefndar SWIFT skeytasendingar, öðru nafni símgreiðslur. Um sé að ræða símgreiðslur sem Seðlabankinn afgreiði fyrir hönd viðskiptavina, en nú sé fyrirhugað að afla einnig símgreiðslna sem varði fjármagnsflutninga í nafni fjármálastofnananna sjálfra. Í gögnum um umræddar skeytasendingar sé m.a. að finna kennitölu og nafn greiðanda og viðtakanda, móttökuland, gjaldmiðil og skýringu greiðslu. Frá 22. desember 2009 hafi vikulega borist upplýsingar frá Valitor hf. og Borgun hf. um kreditkortaúttektir í erlendum gjaldeyri. Þá hafi Seðlabankinn óskað eftir sögulegum gögnum aftur til 28. nóvember 2008. Í gögnum um umræddar úttektir komi m.a. fram upplýsingar um kortanúmer þar sem 7.-11. tölustafur sé afmáður, tilvísunarnúmer seljanda, kennitala og nafn greiðanda og korthafa, úttektargjaldmiðill, fjárhæð í gjaldmiðli og íslenskum krónum og nafn, númer og heiti flokks söluaðila. Frá 27. október 2009 hafi vikulega borist tollafgreiðsluskýrslur vegna inn- og útflutnings á vörum, auk þess sem Seðlabankinn hafi fengið afhent söguleg gögn aftur til 1. október 2008. Ástæða þess að umræddra skýrslna sé aflað sé sú að brot gegn reglum um skilaskyldu og bann við gjaldeyriskaupum fari oft saman við brot á tollalögum nr. 88/2005. Þá gagnist samanburður á gögnum frá Tollstjóra við upplýsingar um erlendar greiðslur úr bankakerfinu, við gjaldeyriseftirlit. Í gögnum um umræddar skýrslur komi m.a. fram kennitala og nafn inn- eða útflytjanda, viðskiptaland, vörutegund, gjaldmiðill og tollverð íslenskum krónum. Þá sé m.a. aflað upplýsinga úr innflutningsskýrslum um nafn og heimili viðtakanda. Gögn Reiknistofu bankanna um hreyfingar á vegum fyrirtækja á gjaldeyrisreikningum hafi verið gerð aðgengileg gjaldeyriseftirliti Seðlabankans. Fyrirhugað sé að afla einnig gagna um slíka fjármagnsflutninga á vegum einstaklinga. Í gögnum um umrædda reikninga sé m.a. að finna upplýsingar um kennitölu eiganda, gjaldmiðil og dagsetningu og upphæð hreyfingar. Þá kemur fram í tilvitnuðu svari Seðlabankans að öll persónugreinanleg gögn, sem gjaldeyriseftirlit bankans afli, vegna eftirlits með framkvæmd laga um gjaldeyrisviðskipti, séu varðveitt í aðgangsstýrðum gagnagrunni sem forstöðumaður gjaldeyriseftirlitsins stýri aðgangi að. Gögnin berist um örugga skráarmiðlunargátt, á svæði sem sérstaklega sé úthlutað hverjum innsendingaraðila, og ráðstafanir gerðar til að fyrirbyggja aðgengi utanaðkomandi. Innan gjaldeyriseftirlitsins sjálfs sé beitt aðgangsstýringum, sem geri það að verkum að aðeins tveir starfsmenn deildarinnar hafi beinan lesaðgang til uppflettingar, þ. á m. í tengslum við þróun leitarmynstra, til að bera kennsl á möguleg brot gegn umræddum lögum og reglum samkvæmt þeim. Aðrir starfsmenn gjaldeyriseftirlitsins, sem starfs síns vegna þarfnist aðgangs, hafi til þess gert leitarviðmót sem útfært sé sérstaklega með tilliti til aðgangsstýringar og virkrar atburðaskráningar. Þar sé átt við sjálfvirka skráningu uppflettinga með auðkenni starfsmanns, tímastimpli og leitarskilyrðum. Niðurstöður rannsókna, og gögn að baki þeim, séu vistuð á aðgangsstýrðu skráarsvæði á tölvuneti Seðlabankans, sem starfsmenn gjaldeyriseftirlitsins hafi einir aðgang að. Við tölvupóstsendingar innanhúss sé jafnframt leitast við að takmarka efni þeirra við gagnaslóðir að fyrrgreindum gögnum á hinu aðgangsstýrða skráarsvæði. Tölvupóstsamskipti milli Seðlabankans og Fjármálaeftirlitsins séu varin sérstaklega til að koma í veg fyrir aðgengi utanaðkomandi aðila að innihaldi þeirra. Við afhendingu upplýsinga á rafrænu formi, sem varði meint brot á lögum og reglum um gjaldeyrismál, til embættis Ríkislögreglustjórans, séu gögnin vistuð á dulkóðuðum minnislykli og þeim eytt að afhendingu lokinni. Þegar gjaldeyriseftirlitið veiti öðrum sviðum Seðlabankans upplýsingar um samtölur, sem þau kunni að óska eftir og byggi á fyrrgreindum gögnum, séu samtöluupplýsingar ekki veittar, samanstandi þær af þremur eða færri aðilum eða einn aðili telji yfir 80% af heild. Fyrirhugað sé að varðveita þau gögn, sem gjaldeyriseftirlit Seðlabankans afli, svo lengi sem takmörkun á gjaldeyrisviðskiptum og útflæði gjaldeyris séu í gildi eða á meðan rannsókn meintra brota gegn lögum og reglum um gjaldeyrismál standi yfir. Að þeim tíma liðnum verði viðkomandi gögnum, öðrum en þeim sem liggi til grundvallar niðurstöðum rannsókna á meintum brotum, eytt út úr gagnagrunni Seðlabankans. Með bréfi 19. október 2010, óskaði Persónuvernd þess að Seðlabanki Íslands greindi frá því hvaða lagaheimildir stæðu til framangreindrar vinnslu persónuupplýsinga. Þá var þess m.a. óskað að Seðlabankinn sendi Persónuvernd gögn um öryggi við vinnsluna. Fram kom að ef umrædd vinnsla styddist við fullnægjandi lagaheimildir kynni að verða tekið til skoðunar hvort rétt væri að henni staðið, þ. á m. hvort hinum skráðu væri veitt fræðsla samkvæmt 21. gr. laga nr. 77/2000, enda ættu ekki við undanþágur frá fræðsluskyldunni; hvort farið væri að reglum um skyldu til að tilkynna um vinnslu persónuupplýsinga til Persónuverndar; og hvort farið væri að 7. gr. laga nr. 77/2000 þar sem m.a. er mælt fyrir um að gæta skuli meðalhófs við vinnslu persónuupplýsinga. Seðlabankinn svaraði Persónuvernd með bréfi 7. desember 2010. Þar segir m.a.: „Til þess að Seðlabanki Íslands geti sinnt nauðsynlegu eftirliti segir í 14. gr. laga nr. 87/1992 að skylt sé að veita Seðlabankanum allar þær upplýsingar um gjaldeyrisviðskipti sem hann kann að óska eftir. Auk þessa segir í 15. gr. e að í tengslum við rannsókn mála sé Seðlabanka Íslands heimilt að krefja einstaklinga og lögaðila um allar upplýsingar og gögn sem hann telur nauðsynleg. Skiptir ekki máli í því sambandi hvort upplýsingarnar varða þann aðila sem beiðninni er beint til eða þau skipti annarra aðila við hann er hann getur veitt upplýsingar um og varða athuganir og eftirlit Seðlabankans. Jafnframt segir í 15. gr. f að í tengslum við athuganir tiltekinna mála sé Seðlabanka heimilt að afla upplýsinga og gagna frá öðrum stjórnvöldum óháð þagnarskyldu þeirra. Með hliðsjón af lögboðnu hlutverki Seðlabanka Íslands sem er að hafa eftirlit með því að starfsemi aðila sé í samræmi við lög um gjaldeyrismál og reglur settar á grundvelli þeirra, auk þess hlutverks bankans að rannsaka hugsanleg brot og eftir atvikum að leggja á stjórnvaldssektir, gera sátt eða vísa málum til lögreglu, er það mat Seðlabankans að vinnsla viðkvæmra persónuupplýsinga sé nauðsynleg til þess að bankinn geti sinnt framangreindu hlutverki sinu." Einnig segir í tilvitnuðu bréfi Seðlabankans að ekki beri að veita hinum skráðu fræðslu samkvæmt 21. gr. laga nr. 77/2000 þar sem við eigi undantekning frá fræðsluskyldunni samkvæmt 4. tölul. 4. mgr. þeirrar greinar, þ.e. um að fræðsluskylda víki þegar hagsmunir hins skráða af vitneskju þyki eiga að víkja fyrir veigamiklum almannahagsmunum. Einnig kemur fram að Seðlabankinn hafi talið umrædda vinnslu persónuupplýsinga falla utan gildissviðs reglna um skyldu til að tilkynna vinnslu til Persónuverndar og því hafi ekki verið send tilkynning. Þá segir að bankinn telji vinnsluna fullnægja áðurnefndum kröfum 7. gr. laga nr. 77/2000 um m.a. meðalhóf við vinnslu persónuupplýsinga.

Þann 3. mars 2010 tók stjórn Persónuverndar eftirfarandi ákvörðun um heimildir Seðlabankans til vinnslu persónuupplýsinga í þágu gjaldeyriseftirlits, sbr. ákvörðun nr. 610/2010:

Vinnsla Seðlabanka Íslands á persónuupplýsingum í þágu gjaldeyriseftirlits styðst við fullnægjandi lagaheimildir, en bankanum ber að senda Persónuvernd tilkynningu um vinnsluna. Gera skal úttekt á öryggi við eyðingu þeirra persónuupplýsinga sem Seðlabankinn vinnur með vegna umrædds eftirlits, þ.e. öðrum en þeim sem liggja til grundvallar niðurstöðum rannsókna á tilteknum meintum brotum.

Í forsendum fyrir framangreindri ákvörðun stjórnar Persónuverndar er rakið að gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nái til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem séu eða eigi að verða hluti af skrá. Persónuupplýsingar séu sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint megi rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla sé sérhver aðgerð eða röð aðgerða, þar sem unnið sé með persónuupplýsingar, hvort heldur sem vinnslan sé handvirk eða rafræn, sbr. 2. tölulið 2. gr. Í athugasemdum við 2. tölulið 2. gr. í frumvarpi því, sem orðið hafi að lögum nr. 77/2000, komi fram að hver sú aðferð, sem nota megi til að gera upplýsingar tiltækar, teljist til vinnslu. Af þessu öllu sé ljóst að mál þetta lúti að vinnslu persónuupplýsinga sem falli undir valdsvið Persónuverndar. Svo að vinnsla persónuupplýsinga sé heimil þurfi ávallt að vera fullnægt einhverri af kröfunum í 8. gr. laga nr. 77/2000. Þegar um sé að ræða viðkvæmar persónuupplýsingar verði að auki að vera fullnægt einhverri af viðbótarkröfunum fyrir vinnslu slíkra upplýsinga sem taldar séu upp í 9. gr. laganna. Samkvæmt b-lið 8. tölulið 2. gr. laga nr. 77/2000 séu upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað, viðkvæmar persónuupplýsingar. Í 15. og 16. gr. laga nr. 87/1992 um gjaldeyrismál sé að finna ákvæði um annars vegar stjórnvaldssektir fyrir brot gegn lögunum, sem Seðlabankinn ákveði, og hins vegar sektir og fangelsi fyrir ákveðin brot. Í bréfi Persónuverndar til Seðlabankans, dags. 19. október 2010, komi fram sú afstaða stofnunarinnar að það hvort brot varði stjórnvaldssektum eða öðrum viðurlögum varði eingöngu stigsmun en ekki eðlismun og skipti því ekki máli um hvort upplýsingar teljist vera viðkvæmar. Með vísan til 5. mgr. 9. gr. laga nr. 77/2000 sé það niðurstaða Persónuverndar að um sé að ræða viðkvæmar persónuupplýsingar. Í 1. mgr. 15. gr. laga nr. 87/1992, eins og ákvæðinu hafi verið breytt með lögum nr. 78/2010, segi, að Seðlabanka Íslands sé heimilt að krefja einstaklinga og lögaðila um allar upplýsingar og gögn sem hann telji nauðsynleg. Skipti ekki máli í því sambandi hvort upplýsingarnar varði þann aðila sem beiðninni sé beint til eða þau skipti annarra aðila við hann, er hann geti veitt upplýsingar um og varði athuganir og eftirlit Seðlabankans. Lagaákvæði um þagnarskyldu takmarki ekki skyldu til þess að veita upplýsingar og aðgang að gögnum. Þó sé gerð ákveðin undantekning varðandi upplýsingar sem lögmaður öðlist við athugun á lagalegri stöðu skjólstæðings. Samkvæmt 2. mgr. 15. gr. e geti Seðlabankinn, telji hann að starfsemi samkvæmt lögum nr. 87/1992 sé stunduð án tilskilinna leyfa, krafist gagna og upplýsinga sem nauðsynlegar séu til að ganga úr skugga um hvort svo sé. Þá segi í 4. mgr. að Seðlabankanum sé heimilt að gera sérstakar athuganir og leggja hald á gögn í samræmi við ákvæði laga um meðferð sakamála, að nánar tilteknum skilyrðum fullnægðum. Auk þess segi í 15. gr. f að Seðlabankanum sé heimilt að afla upplýsinga og gagna frá öðrum stjórnvöldum óháð þagnarskyldu þeirra, sem og að leita til Fjármálaeftirlitsins vegna gagnaöflunar í tengslum við rannsókn tiltekinna mála eins og heimildir Fjármálaeftirlitsins leyfi. Einnig sé mælt fyrir um heimild Seðlabankans til að eiga gagnkvæm upplýsingaskipti við opinbera aðila erlendis um atriði sem lög nr. 87/1992 taki til. Í 3. tölulið 1. mgr. 8. gr. laga nr. 77/2000 sé mælt fyrir um heimild til vinnslu persónuupplýsinga, þegar hún sé nauðsynleg til að fullnægja lagaskyldu, sem hvíli á ábyrgðaraðila. Þá segi í 6. tölulið 1. mgr. 8. gr. að vinna megi með persónuupplýsingar, sé það nauðsynlegt við beitingu opinbers valds, sem ábyrgðaraðili eða þriðji maður, sem upplýsingum sé miðlað til, fari með. Samkvæmt 2. tölulið 1. mgr. 9. gr. megi vinna með viðkvæmar persónuupplýsingar, ef sérstök lagaheimild standi til vinnslunnar. Með vísan til alls framangreinds telji Persónuvernd ekki annað hafa komið fram en að söfnun Seðlabanka Íslands á upplýsingum um gjaldeyrisviðskipti styðjist við fullnægjandi lagaheimildir. Séu því ekki gerðar athugasemdir við að umrædd vinnsla fari fram en minnt á að við hana beri að fara að öllum grunnreglum 1. mgr. 7. gr. laga nr. 77/2000. Í því felist m.a. að þess skuli gætt að unnið sé með persónuupplýsingar á sanngjarnan, málefnalegan og lögmætan hátt og í samræmi við vandaða vinnsluhætti persónuupplýsinga, að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt sé miðað við tilgang vinnslunnar. Ekki hafi komið fram að í vinnslu Seðlabankans sé brotið gegn þessum ákvæðum, en þessar reglur skulu þó áréttaðar.

Ekki er ástæða til að rekja forsendur fyrir ákvörðun stjórnar Persónuverndar í máli nr. 2010/610 frekar en gert hefur verið hér að framan.

Málsástæður stefnanda og tilvísun til réttarheimilda

Stefnandi byggir kröfu sína um að frávísunarkröfu stefnda skuli hrundið á því að hann eigi verulegra og beinna hagsmuna að gæta af ákvörðun stjórnar Persónuverndar í máli nr. 2010/610. Að mati stefnanda séu margvíslegir ágallar á ákvörðun Persónuverndar en einnig á skipan stjórnar Persónuverndar. Niðurstöður Persónuverndar verði ekki kærðar til æðra stjórnvalds. Úrskurður nefndarinnar sé fullnaðarúrskurður á stjórnsýslustigi. Þegar Persónuvernd bregðist því hlutverki sínu að vernda einkalíf manna svo sem henni beri samkvæmt lögum, þá eigi stefnandi ekki annan kost en að leita til dómstóla. Dómstólar eigi úrskurðarvald um lögmæti stjórnvaldsákvarðana samkvæmt 60. gr. stjórnarskrárinnar. Stefnandi telji sig eiga lögvarinna hagsmuna að gæta sem borgari í lýðfrjálsu landi og einnig sem kaupandi vöru og þjónustu erlendis frá með greiðslukortum eða sem ferðamaður. Stefnandi telji að með ákvörðun Persónuverndar sé Seðlabankanum veitt heimild til of víðtækrar skoðunar á málefnum sem snúi að friðhelgi einkalífs hans. Stefnandi byggi á því að með ákvörðun sinni hafi Persónuvernd heimilað Seðlabankanum að fylgjast með persónulegum högum hans, s.s. ferðalögum, neyslumynstri og áhugamálum. Þannig njóti hann ekki friðar um lífshætti sína og einkahagi, en slík réttindi njóti verndar 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu. Að mati stefnanda hafi hann ekki aðra möguleika, þegar Persónuvernd hafi brugðist, en að leita með málið til dómstóla, sbr. 70. gr. stjórnarskrárinnar og 6. gr. mannréttindasáttmála Evrópu. Stefnandi byggi á því að tilvitnuð ákvörðun stjórnar Persónuverndar sé ólögmæt þegar af þeirri ástæðu að skipan stjórnar Persónuverndar stangist á við þrískiptingu ríkisvaldsins, sbr. 2. gr. stjórnarskrárinnar. Þrískipting ríkisvaldsins sé einn af hornsteinum réttarríkisins og sé ætlað að sjá til þess að hver þáttur ríkisvaldsins takmarki vald hins til að koma í veg fyrir ofríki. Í stjórn Persónuverndar sitji dómari við æðsta dómstól landsins, Hæstarétt Íslands, skipaður af ráðherra. Það fari þvert gegn þrískiptingu ríkisvaldsins að hæstaréttardómari taki þátt í að kveða upp fullnaðarúrskurði á sviði framkvæmdavalds, sem síðan verði einungis bornir undir dómstóla. Ljóst sé að dómarar í héraðsdómi séu í sérstakri og erfiðri aðstöðu, þegar þeim sé ætlað að fjalla um gerðir hæstaréttardómara, sem framkvæmdavalds. Þessu til viðbótar verði ekki séð að dómarar Hæstaréttar geti fjallað um mál sem snúi að ákvörðun framkvæmdavaldshafa þar sem samdómari þeirra sé fyrirsvarsmaður.

Í annan stað byggi stefnandi á því að þessi skipan samræmist ekki ákvæði 26. gr. laga um dómstóla nr. 15/1998. Í þriðja lagi byggi stefnandi á því að vegna þessarar skipunar stjórnar Persónuverndar, og óbeinna áhrifa framkvæmdavaldsins á dómsvaldið, þá sé hætt við að kröfur hans gegn stofnuninni njóti ekki réttlátrar málsmeðferðar samkvæmt 70. gr. stjórnarskrárinnar og 6. gr. mannréttindasáttmála Evrópu. Að mati stefnanda leiði ákvörðun Persónuverndar til þess að Seðlabankanum sé heimilað athæfi, sem brjóti í bága við ákvæði 71. gr. stjórnarskrárinnar um friðhelgi einkalífs. Stjórnarskrárákvæðið veiti friðhelgi einkalífs ríka vernd og banni hvers kyns óþörf geðþóttaafskipti ríkisvaldsins um hagi borgaranna. Sömu vernd sé að finna í 8. gr. mannréttindasáttmála Evrópu. Eins og að ofan greini verndi ákvæðið rétt manna til þess að njóta verndar gagnvart hnýsni og upplýsingasöfnun ríkisvaldsins um lífshætti þeirra. Stefnandi telji að þær þröngu undantekningar sem 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmálans veiti til þess að ganga á friðhelgi einkalífs eigi ekki við. Engar forsendur þeirra ákvæða séu fyrir hendi sem réttlæti jafn víðtæka og takmarkalausa upplýsingasöfnun um einkalíf borgarana eins og Persónuvernd hafi heimilað Seðlabankanum með ákvörðun sinni. Í því sambandi skuli tekið fram að ákvörðunin sé að engu leyti takmörkuð við rannsókn vegna grunsemda um brot eða bundin fjárhæðarmörkum eða öðrum takmörkunum. Persónuvernd heimili með ákvörðun sinni tilfinnanlega og íþyngjandi skerðingu á mikilvægum grundvallarréttindum án þess að gera kröfur til sönnunar á þörf eða umfangi upplýsingasöfnunar. Stefnandi telji að Persónuvernd hafi með ákvörðun sinni vanrækt að taka tillit til 71. gr. stjórnarskrárinnar og stjórnarskrárbundinnar meðalhófsreglu. Jafnframt hafi Persónuvernd einnig vanrækt bæði rannsóknarreglu 10. gr. stjórnsýslulaga og meðalhófsreglu 12. gr. stjórnsýslulaga nr. 37/1993 við mat á upplýsingasöfnun Seðlabankans. Þessu til viðbótar telji stefnandi að Persónuvernd hafi með ákvörðun sinni brugðist þeim skyldum sínum, skv. 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu, að tryggja að ákvæði um friðhelgi einkalífs borgaranna séu raunhæf og virk. Varðandi kreditkortafærslur, sérstaklega, þá byggi stefnandi á að Seðlabankann skorti lagaheimild til að safna og rannsaka kreditkortafærslur hans sem og annarra landsmanna. Bráðabirgðaákvæði I í lögum um gjaldeyrismál nr. 87/1992 takmarki ekki á nokkurn hátt greiðslur með kreditkortum. Sú ákvörðun Persónuverndar, sem hér um ræði, hafi þannig hvorki uppfyllt kröfur lögmætisreglu stjórnskipunar- og stjórnsýsluréttar né rannsóknarreglu stjórnsýslulaga. Persónuvernd heimili samkvæmt umræddri ákvörðun sinni Seðlabankanum hina víðtæku söfnun og vinnslu viðkvæmra persónuupplýsinga áður en fyrir liggi úttekt á öryggi gagna hjá bankanum og áður en bankinn hafi tilkynnt um slíka vinnslu skv. 31. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Að mati stefnanda lýsi afgreiðsla málsins handvömm hjá Persónuvernd, sem samrýmist ekki rannsóknarreglu og meðalhófsreglu stjórnsýslulaga, auk 11.-12. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Jafnframt hafi Persónuvernd borið að gera kröfu um að vinnsla Seðlabankans ætti sér ekki stað nema með leyfi skv. 33. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Að öllu þessu virtu byggi stefnandi á því að ákvörðun Persónuverndar í máli 2010/610 sé ólögmæt. Dómkröfur stefnanda séu byggðar á eftirfarandi lagaákvæðum: Stjórnarskrá Lýðveldisins Íslands nr. 33/1944, einkum 2., 60., 70. og 71. gr. auk meðalhófsreglu og lögmætisreglu stjórnarskrárinnar. Mannréttindasáttmála Evrópu, einkum 6. og 8. grein sáttmálans, sbr. lög um mannréttindasáttmála Evrópu nr. 62/1994. Lögum um dómstóla nr. 15/1998, einkum 26. gr. Stjórnsýslulögum nr. 37/1994, einkum 10. og 12. gr. laganna, auk lögmætisreglunnar. Lögum um persónuvernd og meðferð persónuupplýsinga nr. 77/2000. Lögum um gjaldeyrismál nr. 87/1992, reglum um gjaldeyrismál nr. 370/2010 og lögum um Seðlabanka Íslands, nr. 36/2001.

Málástæður stefnda og tilvísun til réttarheimilda

Stefndi byggir á því að stefnandi hafi ekki lögvarða hagsmuni af því að fá dóm um kröfu sína og uppfylli stefna því að mati stefnda ekki skilyrði 2. mgr. 25. gr. laga nr. 91/1991. Að auki gæti misskilnings hjá stefnanda um þá ákvörðun sem viðurkenningarkrafa hans lúti að. Persónuvernd hafi enga afstöðu tekið til álitaefna um vinnslu persónuupplýsinga Seðlabanka Íslands í málum sem varði stefnanda. Engin gögn liggi fyrir um að gögn er varði stefnanda hafi verið yfirfarin af Seðlabanka, hvað þá að stefnandi hafi t.d. kreditkort. Í stefnu sé klifað á því að Persónuvernd hafi heimilað Seðlabanka Íslands vinnslu persónuupplýsinga við gjaldeyriseftirlit og þessi heimild fari í bága við 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmálans. Þetta sé rangt. Persónuvernd hafi ekki gefið út neitt leyfi til Seðlabanka Íslands. Sé því um vanreifun að ræða. Heimildir Seðlabanka Íslands til þess að vinna með persónuupplýsingar við gjaldeyriseftirlit byggist á lögum. Þótt krafa stefnanda yrði tekin til greina myndi það í engu hagga við heimildum Seðlabanka Íslands til þess að vinna áfram með slíkar persónuupplýsingar. Af þessu megi ljóst vera að kröfu stefnanda sé beint að röngum aðila. Stefnanda hvorki hafi verið né sé aðili að máli nr. 2010/610 eftir almennum aðildarreglum stjórnsýsluréttarins. Hann geti því ekki höfðað mál út af þessari almennu eftirlitsaðgerð þar sem hann hafi ekki sérstakra, verulegra og lögvarinna hagsmuni að gæta varðandi hana. Vilji hann fá prófaðan rétt Seðlabanka Íslands til þess að fá aðgang að greiðslukortayfirlitum sínum, að því gefnu að skilyrði séu til þess, verði hann að stefna Seðlabanka Íslands. Þá byggi stefndi á því að í kröfu stefnanda felist lögspurning, sbr. 1. mgr. 25. gr. laga nr. 91/1991 en þar komi skýrt fram að dómstólar verði ekki krafðir álits um lögfræðileg efni eða hvort tiltekið atvik hafi gerst nema að því leyti sem nauðsynlegt sé til úrlausnar um ákveðna kröfu í dómsmáli. Stefndi mótmæli málavaxtalýsingu stefnanda að því leyti sem hún sé í ósamræmi við það sem stefndi haldi fram. Stefnandi byggi á því í stefnu að viðurkennt verði ólögmæti ákvörðunar Persónuverndar sem mál þetta snúist um. Ekkert sé ólögmætt við ákvörðun Persónuverndar. Stefndi mótmæli harðlega þeirri fullyrðingu að með ákvörðun Persónuverndar sé Seðlabanka veitt ótakmörkuð heimild til persónunjósna. Stefndi sé ósammála stefnanda að ágallar séu á ákvörðun Persónuverndar og á skipan stjórnar Persónuverndar. Því sé mótmælt að Persónuvernd hafi brugðist því hlutverki sínu að vernda einkalíf manna eins og byggt sé á í stefnu. Stefndi vísi varðandi efnislegar málsástæður einnig til þeirra málsástæðna og sjónarmiða sem fjallað sé um í kafla um frávísun hér að framan og byggi á þeim. Þannig mótmæli stefndi því að stefnandi eigi lögvarinna hagsmuna að gæta í málinu hvort heldur sem borgari eða kaupandi vöru og þjónustu erlendis frá eða sem ferðamaður. Í niðurstöðu ákvörðunar stjórnar Persónuverndar sé fjallað um gildissvið laga nr. 77/2000, sbr. 1. mgr. 3. gr. þeirra laga og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, sem nái til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem sé eða eigi að verða hluti af skrá. Fram komi að persónuupplýsingar séu sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint megi rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna og vinnsla sé sérhver aðgerð eða röð aðgerða þar sem unnið sé með persónuupplýsingar, hvort heldur vinnslan sé handvirk eða rafræn, sbr. 2. tölul. 2. gr. Vikið sé að athugasemdum við 2. tölul. 2. gr. í frumvarpi því, sem orðið hafi að lögum nr. 77/2000, að þar komi fram að hver sú aðferð, sem nota megi til að gera upplýsingar tiltækar, teljist til vinnslu. Af þessu öllu sé ljóst að mál þetta lúti að vinnslu persónuupplýsinga sem falli undir valdsvið Persónuverndar. Þá komi fram í ákvörðuninni að svo að vinnsla persónuupplýsinga sé heimil þurfi ávallt að vera fullnægt einhverri af kröfunum í 8. gr. laga nr. 77/2000. Þegar um sé að ræða viðkvæmar persónuupplýsingar verði að auki að vera fullnægt einhverri af viðbótarkröfunum fyrir vinnslu slíkra upplýsinga, sem taldar séu upp í 9. gr. laganna. Samkvæmt b-lið 8. tölul. 2. gr. laga nr. 77/2000 séu upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað, viðkvæmar persónuupplýsingar. Í 15. og 16. gr. laga nr. 87/1992 um gjaldeyrismál sé að finna ákvæði um annars vegar stjórnvaldssektir fyrir brot gegn lögunum, sem Seðlabankinn ákveði, og hins vegar sektir og fangelsi fyrir ákveðin brot. Í framangreindu bréfi Persónuverndar til Seðlabankans, dags. 19. október 2010, komi fram sú afstaða stofnunarinnar að það hvort brot varði stjórnvaldssektum eða öðrum viðurlögum varði eingöngu stigsmun en ekki eðlismun og skipti því ekki máli um hvort upplýsingar teljist vera viðkvæmar. Með vísan til 5. mgr. 9. gr. laga nr. 77/2000 hafi stofnunin komist að þeirri niðurstöðu að um væri að ræða viðkvæmar persónuupplýsingar. Fram komi að í 1. mgr. 15. gr. í laga nr. 87/1992, eins og ákvæðinu hafi verið breytt með lögum nr. 78/2010, að Seðlabanka Íslands sé heimilt að krefja einstaklinga og lögaðila um allar upplýsingar og gögn sem hann telji nauðsynleg. Skipti ekki máli í því sambandi hvort upplýsingarnar varði þann aðila sem beiðninni sé beint til eða þau skipti annarra aðila við hann er hann geti veitt upplýsingar um og varði athuganir og eftirlit Seðlabankans. Lagaákvæði um þagnarskyldu takmarki ekki skyldu til þess að veita upplýsingar og aðgang að gögnum. Þó sé gerð ákveðin undantekning varðandi upplýsingar sem lögmaður öðlist við athugun á lagalegri stöðu skjólstæðings. Fram komi að samkvæmt 2. mgr. 15. gr. e geti Seðlabankinn, telji hann að starfsemi samkvæmt lögum nr. 87/1992 sé stunduð án tilskilinna leyfa, krafist gagna og upplýsinga, sem nauðsynlegar séu til að ganga úr skugga um hvort svo sé. Þá segi í 4. mgr. að Seðlabankanum sé heimilt að gera sérstakar athuganir og leggja hald á gögn í samræmi við ákvæði laga um meðferð sakamála að nánar tilteknum skilyrðum fullnægðum. Auk þess segi í 15. gr. f að Seðlabankanum sé heimilt að afla upplýsinga og gagna frá öðrum stjórnvöldum óháð þagnarskyldu þeirra, sem og að leita til Fjármálaeftirlitsins vegna gagnaöflunar í tengslum við rannsókn tiltekinna mála eins og heimildir Fjármálaeftirlitsins leyfi. Einnig sé mælt fyrir um heimild Seðlabankans til að eiga gagnkvæm upplýsingaskipti við opinbera aðila erlendis um atriði sem lög nr. 87/1992 taki til. Fram komi í 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 að mælt sé fyrir um heimild til vinnslu persónuupplýsinga, þegar hún sé nauðsynleg til að fullnægja lagaskyldu, sem hvíli á ábyrgðaraðila. Þá segi í 6. tölul. 1. mgr. 8. gr. að vinna megi með persónuupplýsingar sé það nauðsynlegt við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum sé miðlað til, fari með. Samkvæmt 2. tölul. 1. mgr. 9. gr. megi vinna með viðkvæmar persónuupplýsingar ef sérstök lagaheimild standi til vinnslunnar. Með vísan til alls framangreinds hafi Persónuvernd talið að ekki hefði annað komið fram en að söfnun Seðlabanka Íslands á upplýsingum um gjaldeyrisviðskipti styddist við fullnægjandi lagaheimildir. Hafi því ekki verið gerðar athugasemdir við að umrædd vinnsla færi fram en minnt hafi verið á að við hana bæri að fara að öllum grunnreglum 1. mgr. 7. gr. laga nr. 77/2000. Í því fælist m.a. að þess skyldi gætt að unnið væri með persónuupplýsingar á sanngjarnan, málefnalegan og lögmætan hátt og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær væru fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær væru nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt væri miðað við tilgang vinnslunnar (3. tölul.). Ekki hefði komið fram að í vinnslu Seðlabankans væri brotið gegn þessum ákvæðum, en þessar reglur skyldu þó áréttaðar. Fram kom að í áðurnefndu bréfi Persónuverndar til Seðlabankans, dags. 19. október 2010, hefði í tengslum við umrædda vinnslu verið vikið að 21. gr. laga nr. 77/2000. Þar sé mælt fyrir um fræðslu, sem veita beri hinum skráða, þegar upplýsinga væri aflað hjá öðrum en honum sjálfum. Ákvæði 21. gr. ættu ekki við þegar vinnsla byggðist á lagaheimild, sbr. 3. tölul. 4. mgr. þeirrar greinar. Svo væri í umræddu tilviki eins og að framan væri rakið og reyndi því hér ekki á ákvæði 21. gr. um fræðslu til hins skráða. Fram hafi komið að í 31. og 32. gr. laga nr. 77/2000 væri mælt fyrir um tilkynningar um vinnslu persónuupplýsinga til Persónuverndar. Meginreglan væri sú að rafræna vinnslu bæri að tilkynna á þar til gerðu formi, sbr. 1. mgr. 31. gr., en tilkynning birtist í þar til gerðri skrá á heimasíðu Persónuverndar, sbr. 17. gr. laga nr. 77/2000. Samkvæmt 3. mgr. 31. gr. gæti Persónuvernd ákveðið að vissar tegundir vinnslu almennra upplýsinga skyldu vera undanþegnar tilkynningarskyldu, sbr. nánar 6. gr. reglna nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, sem hefði að geyma slíkar undanþágur. Ákvæði 3. mgr. 31. gr. veitti hins vegar ekki svigrúm til að veita undanþágur frá tilkynningarskyldu, þegar um ræddi rafræna vinnslu viðkvæmra persónuupplýsinga og bæri því ávallt að tilkynna um hana, sbr. 5. gr. áðurnefndra reglna. Ekki hefði borist tilkynning frá Seðlabankanum og bæri honum að bæta úr því. Fram hafi komið, eins og fyrr greini, að gæta bæri að upplýsingaöryggi, þegar unnið væri með persónuupplýsingar, sbr. einkum 11. gr. laga nr. 77/2000, sbr. nánar reglur Persónuverndar nr. 299/2001 um öryggi persónuupplýsinga. Meðal þess sem fram komi í 11. gr. sé að við vinnslu persónuupplýsinga skuli gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi (1. mgr.). Þá segi m.a. að beita skuli ráðstöfunum sem tryggi nægilegt öryggi, miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja eigi, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra (2. mgr.). Fram komi að samkvæmt 2. tölul. 3. mgr. 37. gr. laga nr. 77/2000 hafi Persónuvernd það hlutverk að hafa eftirlit með því að farið sé að lögum og öðrum reglum um vinnslu persónuupplýsinga. Þá segi í 4. mgr. 37. gr. að Persónuvernd geti ákveðið að ábyrgðaraðili skuli greiða þann kostnað sem hljótist af eftirliti með því að hann fullnægi skilyrðum laganna og reglna sem settar séu samkvæmt þeim eða einstökum fyrirmælum. Fram hafi komið, með vísan til þessa og með hliðsjón af því hversu mikil og víðtæk vinnsla persónuupplýsinga færi fram í þágu gjaldeyriseftirlits Seðlabankans, teldi Persónuvernd þörf úttektar á öryggi hjá bankanum. Til að byrja með þyrfti hún að beinast að öryggi við eyðingu gagna í samræmi við lýsingu bankans á bls. 4 í bréfi hans, dags. 2. september 2010, en þar kæmi fram að þeim gögnum sem bankinn aflaði yrði eytt þegar takmarkanir á gjaldeyrisviðskiptum og útflæði gjaldeyris væru ekki lengur í gildi, þ.e. öðrum en þeim sem lægju til grundvallar niðurstöðum rannsókna á tilteknum meintum brotum. Við framkvæmd úttekarinnar mætti gera ráð fyrir að Persónuvernd leitaði aðstoðar sérfræðings á sviði upplýsingaöryggis og kostnaður af vinnu hans yrði lagður á Seðlabankann í samræmi við ákvæði 4. mgr. 37. gr. laga nr. 77/2000. Tekið hafi verið fram að umfang slíkrar úttektar og þörf fyrir hana réðist þó af því hvort bankinn hefði áður sjálfur leitað vottunar sérfróðra viðurkenndra vottunaraðila. Í ákvörðunarorði stjórnar Persónuverndar komi fram að vinnsla Seðlabanka Íslands á persónuupplýsingum í þágu gjaldeyriseftirlits styddist við fullnægjandi lagaheimildir, en bankanum bæri að senda Persónuvernd tilkynningu um vinnsluna. Gera skyldi úttekt á öryggi við eyðingu þeirra persónuupplýsinga sem Seðlabankinn ynni með vegna umrædds eftirlits, þ.e. öðrum en þeim sem lægju til grundvallar niðurstöðum rannsókna á tilteknum meintum brotum. Stefndi vísi til allra sömu sjónarmiða, málsástæðna og lagaraka og fram komi í niðurstöðu ákvörðunar Persónuverndar, sem lýst hafi verið hér að framan. Stefndi mótmæli því að í ákvörðun Persónuverndar, sem um sé fjallað í þessu máli, felist heimild til persónunjósna og mótmæli þessu orðalagi. Því sé mótmælt að ágallar hafi verið á ákvörðun Persónuverndar og skipan stjórnar hennar. Stefndi mótmæli því að stefnandi eigi lögvarinna hagsmuna að gæta í máli þessu, hvort sem er sem borgari í lýðfrjálsu landi eða sem kaupandi vöru og þjónustu erlendis frá með greiðslukortum eða sem ferðamaður. Samkvæmt 2. tölul. 3. mgr. 37. gr. laga nr. 77/2000 sé það eitt af mörgum verkefnum Persónuverndar að hafa eftirlit með því að farið sé að lögum og öðrum reglum um vinnslu persónuupplýsinga. Um slík mál fjalli Persónuvernd oftast að eigin frumkvæði, sbr. 2. mgr. 37. gr. sömu laga, eins og raunin hafi verið í máli nr. 2010/610. Enginn hafi því átt aðild að máli því er lotið hafi að almennu eftirliti með Seðlabanka Íslands, nema bankinn sjálfur. Eftirlitsaðgerðum Persónuverndar megi lýsa allt eftir því hversu breitt sjónarhornið sé, sem valið sé við hlutaðeigandi úttekt. Þannig geti úttektin lotið (1) að máli einstaklings, (2) hópa, (3) heillar starfsgreinar eða (4) allri starfsemi stofnunar, sem heyri undir tiltekna lagagrein. Mál nr. 2010/610 sé af síðastgreindu tagi og hafi aðeins verið fyrsta skref Persónuverndar af mörgum, sem á eftir muni koma, varðandi vinnslu persónuupplýsinga um gjaldeyriseftirlit. Markmið eftirlitsaðgerðarinnar, sem mál nr. 2010/610 lúti að, hafi verið þrenns konar: (1) ganga úr skugga um að Seðlabanki Íslands hefði lagaheimild til að safna persónuupplýsingum við gjaldeyriseftirlit, (2) minna Seðlabanka Íslands á þær reglur sem samhliða þyrfti að huga að, svo sem 7. gr. laga nr. 77/2000, og (3) taka afstöðu til þess hvort fram þyrfti að fara öryggisúttekt á vinnslu Seðlabanka Íslands á persónuupplýsingum. Ákvörðun í máli Seðlabanka Íslands í máli nr. 2010/610 hafi verið efnislega sú að (1) talið hafi verið að Seðlabanki Íslands hefði lagaheimild til þess að safna persónuupplýsingum við gjaldeyriseftirlit. Þar sem úttektin hafi ekki lotið að máli einstaklings eða hópa hafi ekki farið fram mat á því hvort beiting Seðlabankans á lagaheimildinni væri rétt, þ.e. gengið væri of langt í ljósi meðalhófsreglu. (2) Leiðbeint hafi verið um að líta yrði til 7. gr. við vinnslu upplýsinganna en meðalhófsreglan sé þar á meðal. (3) Ákveðið hafi verið að gera öryggisúttekt á vinnslu bankans á persónuupplýsingum. Þar sem fyrirhugað hafi verið að lögfesta reglur um gjaldeyristakmarkanir hafi verið beðið eftir þeim breytingum svo úttekt eyðilegðist ekki í miðjum klíðum vegna breytinga á vinnslu persónuupplýsinga á grundvelli nýrra laga. Það sé komið undir valdi Persónuverndar í ljósi forgangsröðunar, fjárheimilda og annarra málefnalegra sjónarmiða, hversu víður rammi sé ákveðinn fyrir hverja eftirlitsaðgerð. Í stefnu sé því haldið fram að þessi eftirlitsaðgerð sé ógild, þar sem ekki hafi verið fjallað um meðalhófsregluna og vanrækt hafi verið að rannsaka þá þætti er að því lúti. Því sé til að svara að nákvæm prófun í ljósi meðalhófsreglunnar fari almennt ekki fram fyrr en tekið sé fyrir mál, sem snerti einstakling, lögaðila eða hópa, þar sem þessi málsástæða sé höfð uppi. Ekki sé hægt að skoða almennt, hvort meðalhófsregla sé brotin, án tilvísunar til sérgreindra málsatvika. Þar sem enginn nema Seðlabankinn hafi verið aðili máls nr. 2010/610 hafi slík prófun augljóslega ekki átt við í því máli, en Seðlabankanum hafi verið leiðbeint um að fara að meðalhófsreglunni og öðrum efnisreglum 7. gr. laga nr. 77/2000 enda megi við því búast að á hana geti reynt í málum sem Persónuvernd berist síðar. Stefnandi eða aðrir borgarar þessa lands geti ekki ákveðið fyrir hönd Persónuverndar að hvaða atriðum einstakar eftirlitsaðgerðir eigi að lúta. En eftir að þær hafi farið fram, í samræmi við ákvörðun Persónuverndar, sé hægt að fá þær endurskoðaðar af dómstólum um það sem þær taki raunverulega til, enda séu öll réttarfarsatriði uppfyllt svo sem aðild og lögvarðir hagsmunir stefnanda. Þar sem um hafi verið að ræða fyrstu eftirlitsaðgerð Persónuverndar varðandi vinnslu persónuupplýsinga á þessu sviði, af fleiri sem fyrirhugaðar séu, hafi stofnunin ákveðið afmörkunina með þeim hætti sem gert hafi verið. Í stefnu sé klifað á því að Persónuvernd hafi heimilað Seðlabanka Íslands vinnslu persónuupplýsinga við gjaldeyriseftirlit og þessi heimild fari í bága við 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmálans. Þetta sé rangt. Persónuvernd hafi ekki gefið út neitt leyfi til Seðlabanka Íslands. Heimildir Seðlabanka Íslands til þess að vinna með persónuupplýsingar við gjaldeyriseftirlit byggist á lögum. Þótt krafa stefnanda yrði tekin til greina myndi það í engu hagga við heimildum Seðlabanka Íslands til þess að vinna áfram með slíkar persónuupplýsingar. Af þessu megi ljóst vera að kröfu stefnanda sé beint að röngum aðila og beri því að sýkna Persónuvernd, þegar af þeirri ástæðu, vegna aðildarskorts, með vísan til 2. mgr. 16. gr. laga nr. 91/1991. Í því sambandi sé rétt að hafa í huga að Persónuvernd hafi enga afstöðu tekið til álitaefna um vinnslu persónuupplýsinga Seðlabanka Íslands í málum sem varði stefnanda. Því sé röng sú fullyrðing stefnanda að með ákvörðun sinni hafi Persónuvernd heimilað Seðlabankanum að fylgjast með persónulegum högum hans, s.s. ferðalögum, neyslumynstri og áhugamálum. Því sé mótmælt að stefndi hafi brotið gegn 71. gr. stjórnarskrár og 8. gr. mannréttindasáttmála Evrópu. Stefnandi hvorki hafi verið né sé aðili að máli nr. 2010/610 eftir almennum aðildarreglum stjórnsýsluréttarins. Hann geti því ekki höfðað mál út af þessari almennu eftirlitsaðgerð, þar sem hann hafi ekki sérstakra, verulegra og lögvarinna hagsmuni að gæta varðandi hana. Vilji hann fá prófaðan rétt Seðlabanka Íslands til þess að fá aðgang að greiðslukortayfirlitum, séu þau til staðar, verði hann að stefna Seðlabanka Íslands. Stefnandi byggi á því í stefnu að tilvitnuð ákvörðun Persónuverndar sé ólögmæt þegar af þeirri ástæðu að skipan stjórnar Persónuverndar stangist á við þrískiptingu ríkisvaldsins, sbr. 2. gr. stjórnarskrárinnar. Í stefnu sé á því byggt að í stjórn Persónuverndar sitji dómari við æðsta dómstól landsins, Hæstarétt Íslands, skipaður af ráðherra. Telur stefnandi að það fari þvert gegn þrískiptingu ríkisvaldsins að hæstaréttardómari taki þátt í að kveða upp fullnaðarúrskurði á sviði framkvæmdavalds, sem síðan verði einungis bornir undir dómstóla. Stefndi mótmæli framangreindu. Svo virðist sem stefnandi sé að ýja að vanhæfi allra dómara landsins efst á bls. 3 í stefnu og sé því mótmælt. Það fari ekki í bága við þrískiptingu ríkisvaldsins, þótt skipaðir séu dómarar í stjórnsýslunefndir. Skuli í því sambandi minnt á að dómarar, bæði héraðsdómarar og hæstaréttardómarar, eigi sæti í allmörgum stjórnsýslunefndum, svo sem barnaverndarnefndum o.fl. Hið augljósa sé hins vegar að þeir dæmi ekki í málum, sem þeir hafi haft afskipti af í stjórnsýslu. Því sé mótmælt að skipan þessi samræmist ekki ákvæði 26. gr. laga nr. 15/1998. Þá byggi stefnandi á því í stefnu að vegna þessarar skipunar stjórnar Persónuverndar og óbeinna áhrifa framkvæmdavalds á dómsvald, sé hætt við að kröfur hans gegn stofnuninni njóti ekki réttlátrar málsmeðferðar samkvæmt 70. gr. stjórnarskrár og 6. gr. mannréttindasáttmála Evrópu. Stefndi mótmæli alfarið þessum sjónarmiðum stefnanda. Með vísan til þess, sem þegar sé komið fram, mótmæli stefndi því að ákvörðun Persónuverndar leiði til þess að Seðlabankanum sé heimilað athæfi sem brjóti í bága við 71. gr. stjórnarskrár, sbr. 8. gr. mannréttindasáttmála Evrópu. Mótmælt sé orðalaginu „hnýsni” og „upplýsingasöfnun ríkisvaldsins um lífshætti þeirra” sem fram komi á bls. 3 í stefnu. Ákvörðun Persónuverndar byggi á lögum en fari hvorki í bága við lög né aðrar réttarheimildir og sé öðru mótmælt sem röngu. Stefndi telji þær heimildir sem vísað sé til í ákvörðun hvorki brjóta í bága við stjórnarskrá né aðrar réttarheimildir. Stefndi mótmæli orðalagi á bls. 3 í stefnu: „Persónuvernd heimilar með ákvörðun sinni tilfinnanlega og íþyngjandi skerðingu á mikilvægum grundvallarréttindum án þess að gera kröfur til sönnunar á þörf eða umfangi upplýsingasöfnunar.“ Mótmælt sé þeirri fullyrðingu stefnanda að Persónuvernd hafi með ákvörðun sinni vanrækt að taka tillit til 71. gr. stjórnarskrár og stjórnarskrárbundinnar meðalhófsreglu og að stefndi hafi vanrækt bæði rannsóknarreglu 10. gr. stjórnsýslulaga og meðalhófsreglu 12. gr. stjórnsýslulaga við mat á upplýsingasöfnun Seðlabankans. Því sé mótmælt að Persónuvernd hafi með ákvörðun sinni brugðist skyldum sínum skv. 71. gr. stjórnarskrár og 8. gr. mannréttindasáttmála Evrópu að tryggja að ákvæði um friðhelgi einkalífs borgaranna séu raunhæf og virk. Stefnandi hafi haldið því fram, varðandi kreditkortafærslur sérstaklega, að Seðlabankann hafi skort lagaheimild til að safna og rannsaka kreditkortafærslur hans, sem og annarra landsmanna. Stefnandi hafi ekki stefnt Seðlabankanum. Stefnandi hafi ekki sýnt fram á að hann eigi lögvarinna hagsmuna að gæta, t.d. hafi hann ekki sýnt fram á að hann sé rétthafi kreditkorts. Vísi stefndi í þessu sambandi til niðurstöðu og ákvörðunarorða Persónuverndar í ákvörðun nr. 2010/610, sem yfirfarin hafi verið hér að framan. Stefnandi haldi því fram að bráðabirgðaákvæði I í lögum um gjaldeyrismál nr. 87/1992 takmarki ekki á nokkurn hátt greiðslur með kreditkortum. Í ákvörðun Persónuverndar hafi ekki verið tekin sérstök, efnisleg afstaða til þess, hvort kreditkortaúttektir í erlendum gjaldeyri fælu í sér gjaldeyris-yfirfærslur. Því sé því mótmælt að ákvörðun stjórnar Persónuverndar hafi hvorki uppfyllt kröfur lögmætisreglu stjórnskipunar- og stjórnsýsluréttar né rannsóknarreglu stjórnsýslulaga. Í stefnu sé því haldið fram að Persónuvernd heimili samkvæmt umræddri ákvörðun sinni Seðlabankanum hina víðtæku söfnun og vinnslu viðkvæmra persónuupplýsinga áður en fyrir liggi úttekt á öryggi gagna hjá bankanum og áður en bankinn tilkynni um slíka vinnslu skv. 31. gr. laga nr. 77/2000. Fyrr sé að því vikið að Persónuvernd hafi ekki heimilað Seðlabankanum umrædda vinnslu. Þá byggi stefnandi á því að afgreiðsla málsins sé handvömm hjá Persónuvernd, sem samrýmist ekki rannsóknarreglu og meðalhófsreglu stjórnsýslulaga, auk 11.-12. gr. laga nr. 77/2000. Stefndi mótmæli þessu. Að lokum byggi stefnandi á því að Persónuvernd hafi borið að gera kröfu um að vinnsla Seðlabankans ætti sér ekki stað nema með leyfi skv. 33. gr. laga nr. 77/2000. Þetta sé einkennileg málsástæða og sé henni mótmælt en bent á að það að hún sé í mótsögn við dómkröfur og það sem stefnandi hafi haldið fram í málinu fram að þessu, þ.e. stefnandi hafi byggt á því að í ákvörðun felist heimild en því hafi stefndi mótmælt. Stefndi mótmæli öllum málsástæðum stefnanda. Stefndi vísi til þeirra laga og sjónarmiða sem fram komi í greinargerð stefnda og í ákvörðun Persónuverndar. Vísi stefndi m.a. til stjórnarskrár, til stjórnsýslulaga nr. 37/1993, til laga nr. 77/2000 og til laga um gjaldeyrismál nr. 87/1992 og reglna um gjaldeyrismál, sem sett hafi verið með heimild í þeim lögum, m.a. reglna nr. 370/2010 og laga um Seðlabanka Íslands nr. 36/2001.

Niðurstaða

Stefnandi gerir þær dómkröfur í máli þessu, að viðurkennt verði að ákvörðun stjórnar Persónuverndar í máli nr. 2010/610 um heimildir Seðlabankans til vinnslu persónuupplýsinga í þágu gjaldeyriseftirlits sé ólögmæt.

Eins og rakið hefur verið var niðurstaða Persónuverndar í ofangreindu máli að vinnsla Seðlabanka Íslands á persónuupplýsingum í þágu gjaldeyriseftirlits styddist við fullnægjandi lagaheimildir, en bankanum bæri að senda Persónuvernd tilkynningu um vinnsluna. Þá var mælt fyrir um að bankinn skyldi gera úttekt á öryggi við eyðingu þeirra persónuupplýsinga sem bankinn ynni með vegna umrædds eftirlits, þ.e. öðrum en þeim sem lægju til grundvallar niðurstöðum rannsókna á tilteknum meintum brotum.

Samkvæmt 2. mgr. 25. gr. laga nr. 91/1991 um meðferð einkamála er einungis unnt að fá viðurkenningardóm fyrir kröfu, þegar sóknaraðili hefur lögvarða hagsmuni af því að skorið sé úr um tilvist réttinda eða réttarsambands. Þá er það óskráð grundvallarregla í réttarfari að stefnandi máls verði að hafa lögvarða hagsmuni af því að skorið sé úr um tilvist eða efni þeirra réttinda eða réttarsambands, sem hann krefst eða gerir kröfu um viðurkenningu á eða með öðrum orðum að sakarefni skipti að lögum máli fyrir stefnanda, sbr. dóm Hæstaréttar í máli nr. 231/2002.

Stefnandi byggir á því að hann eigi lögvarinna hagsmuna að gæta af ákvörðun stjórnar Persónuverndar í máli nr. 2010/610, sem borgari í lýðfrjálsu landi og einnig sem kaupandi vöru og þjónustu erlendis frá með greiðslukortum eða sem ferðamaður. Telur stefnandi að með tilvitnaðri ákvörðun Persónuverndar sé Seðlabankanum veitt heimild til of víðtækrar skoðunar á málefnum, sem snúi að friðhelgi einkalífs hans. Þá byggir hann á því að með ákvörðun sinni hafi Persónuvernd heimilað Seðlabankanum að fylgjast með persónulegum högum hans, svo sem ferðalögum, neyslumynstri og áhugamálum. Þannig njóti hann ekki friðar um lífhætti sína og einkahagi, en slík réttindi njóti verndar 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu.

Ekki verður séð að stefnandi hafi eða geti haft einstaklega, beina og lögvarða hagsmuni af úrlausn dómkröfu sinnar eins og hún er fram sett. Þannig er ljóst að engin úrlausn fæst um heimildir Seðlabanka Íslands til öflunar og vinnslu persónuupplýsinga í þágu gjaldeyriseftirlits, hvorki almennt eða hvað stefnanda varðar sérstaklega, þótt leyst yrði efnislega úr viðurkenningarkröfu stefnanda. Þá verður ekki tekin efnisleg afstaða í málinu til þeirrar málsástæðu stefnanda að skipun stjórnar Persónuverndar brjóti í bága við ákvæði stjórnarskrárinnar eða aðrar réttarheimildir, nema stefnandi sýni fram á lögvarða hagsmuni af sakarefninu, enda verða dómstólar ekki krafðir álits um lögfræðileg efni, nema að því leyti sem nauðsynlegt er til úrlausnar um ákveðna kröfu í dómsmáli, sbr. 1. mgr. 25. gr. laga nr. 91/1991 um meðferð einkamála. Sama á við um þær röksemdir stefnanda að hann eigi rétt á að fá ákvörðun stjórnar Persónuverndar í máli nr. 610/2010 endurskoðaða með vísan til 60. gr. og 1. mgr. 70. gr. stjórnarskrárinnar, sbr. 1. mgr. 6. gr. mannréttindasáttmála Evrópu, sbr. lög nr. 62/1994 um mannréttindasáttmála Evrópu.

Með vísan til þess sem að framan greinir er það niðurstaða dómsins að stefnandi hafi ekki sýnt fram á lögvarða hagsmuni af úrlausn dómkröfu sinnar í máli þessu. Ber því að vísa máli þessu frá dómi. Samkvæmt 2. mgr. 130. gr. laga nr. 91/1991 ber að úrskurða stefnanda til að greiða stefnda málskostnað og telst hann hæfilega ákveðinn 100.000 krónur.

Þ-kk-nf S. G-kk-nf, settur héraðsdómari, kveður upp úrskurð þennan.

Úrskurðarorð:

Máli þessu er vísað frá dómi.

Stefnandi, J-kk-nf M-kk-nf, greiði stefnda, Persónuvernd, 100.000 krónur í málskostnað.

Þ-kk-nf S. G-kk-nf