Úrskurður Persónuverndar nr. 2017/249 er svohljóðandi:
I.
Málsmeðferð
1.
Tildrög máls
Þann 7. febrúar 2017 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir vinnslu persónuupplýsinga um hann í fyrirtækjaskrá Ríkisskattstjóra. Í kvörtuninni segir meðal annars að kvartað sé yfir því að fyrirtækjaskrá birti persónulegar upplýsingar á fyrirtækjavottorði, þ.e.a.s. nafn, heimilisfang og kennitölu kvartanda, sem er stjórnarmaður í félaginu [B]. Kvartandi er jafnframt skráður í framkvæmdastjórn félagsins og fer með prókúruumboð samkvæmt vottorðinu.
2.
Bréfaskipti
Með bréfi, dags. 24. mars 2017, var Ríkisskattstjóra boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi, dags. 25. apríl 2017, er meðal annars vísað til þess að um starfsemi fyrirtækjaskrár Ríkisskattstjóra gildi lög nr. 17/2003 um fyrirtækjaskrá. Í 4. gr. laganna eru taldar upp þær upplýsingar sem skal skrá í fyrirtækjaskrá eftir því sem við á, en þær eru meðal annars nafn, lögheimili og kennitala forráðamanna, sbr. 6. tölul. sama ákvæðis. Þá er vísað til 1. mgr. 8. gr. laganna, þar sem segir að Ríkisskattstjóri skuli veita opinberum aðilum, fyrirtækjum og almenningi upplýsingar úr fyrirtækjaskrá. Fram kemur að augljóst megi vera að löggjafinn hafi tekið fram hvað skuli skrá og birta í hinni opinberu skrá. Þá sé fyrirtækjaskrá sett á stofn með almannahagsmuni að leiðarljósi, þ.e. að lágmarksupplýsingar séu skráðar. Með vísan til athugasemda með frumvarpi til laga nr. 17/2003 verði ekki séð að þeir einstaklingar sem komi að stjórnun fyrirtækja eða séu skráðir forráðamenn þeirra eigi að njóta nafnleyndar umfram þá einstaklinga sem standa fyrir eigin atvinnurekstri og á eigin ábyrgð. Segir loks: „Þannig verður ekki séð að birting eða almennt aðgengi að þeim lágmarksupplýsingum sem lögboðið er að skrá í opinbera skrá með hagsmuni viðskiptalífsins og almennings [að leiðarljósi] geti á nokkurn hátt verið í andstöðu við 1. mgr. 7. gr. eða ákvæði 1. mgr. 8. gr. laga um persónuvernd. Tilvitnuð ákvæði [...] ættu þannig ekki að standa í vegi [fyrir] eða takmarka á annan hátt þær upplýsingar sem lögum samkvæmt skal skrá í fyrirtækjaskrá og birta almenningi.“ Með bréfi, dags. 22. maí 2017, sem ítrekað var með bréfi, dags. 11. júlí 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Ríkisskattstjóra, en engin svör bárust.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Ríkisskattstjóri vera ábyrgðaraðili að umræddri vinnslu.
2.
Lögmæti vinnslu
Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þegar stjórnvöld afla upplýsinga í tengslum við lögbundið hlutverk sitt getur vinnslan stuðst við 3. tölul. 1. mgr. 8. gr., þess efnis að vinnslan sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu. Við mat á því hvort slík skylda er hér til staðar verður að líta til þeirra lagareglna sem um fyrirtækjaskrá gilda og Ríkisskattstjóri starfar eftir. Um starfsemi fyrirtækjaskrár er fjallað í lögum nr. 17/2003 um fyrirtækjaskrá. Samkvæmt 1. mgr. 1. gr. skal halda fyrirtækjaskrá eftir því sem nánar er kveðið á um í lögunum. Ríkisskattstjóri starfrækir fyrirtækjaskrá, sbr. 2. mgr. sama ákvæðis. Í 4. gr. eru tiltekin þau atriði sem skrá skal í fyrirtækjaskrá eftir því sem við á, en í 6. tölul. kemur fram að skrá skuli nafn, lögheimili og kennitölu forráðamanna. Þá segir í 1. mgr. 8. gr. laganna að Ríkisskattstjóri skuli veita opinberum aðilum, fyrirtækjum og almenningi upplýsingar úr fyrirtækjaskrá. Telur Persónuvernd, í ljósi alls framangreinds, vinnsluna sem hér um ræðir geta fallið undir framangreint ákvæði 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Ekkert bendir til þess að framangreind vinnsla persónuupplýsinga um kvartanda brjóti gegn þeim kröfum, en skráningin felur í sér að skráðar eru lágmarksupplýsingar um fyrirtæki landsins og fyrirsvarsmenn þeirra. Þegar litið er til alls framangreinds telur Persónuvernd að umrædd vinnsla persónuupplýsinga hafi samrýmst lögum nr. 77/2000.
Ú r s k u r ð a r o r ð:
Vinnsla Ríkisskattstjóra á persónuupplýsingum um kvartanda samrýmdist lögum nr. 77/2000.