Persónuupplýsingar úr WorldFeng til Horseday
Horseday ehf. var stofnað árið 2020. Félagið rekur smáforritið Horseday sem býður upp á utanumhald um þjálfun, umhirðu og árangur.
Gagnagrunnurinn WorldFengur er rekinn af Ráðgjafamiðstöð landbúnaðarins (RML) samkvæmt þjónustusamningi við Bændasamtök Íslands. Hinn 9. júlí 2021 fékk Horseday ehf. leyfi RML til birtingar gagna úr WorldFeng í smáforritinu sínu.
WorldFengur þjónar tvenns konar tilgangi. Annars vegar sem upprunaættbók íslenska hestsins en hins vegar hjarðbók hrossa á Íslandi. Eigendum íslenskra hrossa ber skylda til að skrá grunnupplýsingar um hrossaeign sína í Worldfeng.
Ágreiningsefni
Hinn 21. febrúar 2024 barst Persónuvernd kvörtun vegna miðlunar Bændasamtaka Íslands (BÍ) á persónuupplýsingum úr Worldfeng til Horseday og vinnslu þeirra upplýsinga. Persónuupplýsingarnar sem um ræddi voru upplýsingar um eignarhald á hrossum í eigu kvartanda.
RML brást við kvörtuninni með því að útbúa síu á tenginguna á milli Worldfengs og Horseday. Sía þessi gerir aðilum kleift að loka fyrir miðlun upplýsinga úr Worldfeng um hross í þeirra eigu.
Rök kvartanda
Kvartandi taldi miðlun BÍ á persónuupplýsingum hennar ekki samræmast lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Taldi hún að samþykki hefði þurft til að framselja upplýsingar um hana úr Worldfeng. BÍ hefði ekki aflað þess samþykkis hennar sem skráðs aðila. Raunar hefði hún fyrst orðið þess vör, tveimur árum eftir að Horseday fékk upplýsingarnar, að þeim hefði verið miðlað.
Þá taldi kvartandi vinnslu Horseday á upplýsingum um hana ekki byggja á lögmætum hagsmunum, hvorki er sneri að Horseday ehf. né hestamönnum almennt, því þessar upplýsingar væru nú þegar aðgengilegar þessum aðilum í Worldfeng. Kvartandi hafði ekki samþykkt vinnslu Horseday á persónuupplýsingum hennar og hún gæti því hvorki talist sanngjörn né gagnsæ.
Rök Bændasamtaka Íslands
BÍ bar fyrir sig að mikilvægt hefði talist að styðja við nýsköpun sem fólst í vinnu Horseday, sem þó hafi verið með þeim fyrirvara að eingöngu notendur WorldFengs væru notendur smáforrits Hoseday. Þessar upplýsingar hefðu því hvort eð er verið aðgengilegar í gegnum aðgang að WorldFeng. Raunar taldi BÍ sig hafa skyldu til að veita aðgang að gögnunum samkvæmt 5. gr. upplýsingalaga nr. 140/2021. Gögnin væru opinber og til orðin vegna lögbundinnar skráningarskyldu. Af þessum sökum hafi BÍ talið að almenningur ætti rétt á aðgangi að gögnunum og að þeir hagsmunir vægju þyngra en réttur vegna einkahagsmuna (þ.e. réttur til að upplýsinga um nafn á eiganda hrossa yrði ekki miðlað).
BÍ sagðist hafa verið í góðri trú og að þær einu greiðslur sem til hefðu komið væru til að standa undir kostnaði þeirra sjálfra við vefskil. Þá hefði BÍ brugðist við kvörtuninni með uppsetningu síu sem gerði notendum kleift að stöðva miðlun persónuupplýsinga úr WorlFeng. Horseday hafi ekki gert athugasemdir við uppsetningu síunnar.
Rök Horseday
Hoseday bar fyrir sig að markmiðið væri fyrst og fremst vinnsla upplýsinga um íslenska hestinn, ekki persónuupplýsinga. Einu persónuupplýsingarnar sem notaðar væru, aðrar en þær sem ættu við notendur smáforritsins sjálfs, væru upplýsingar um nafn á eiganda hvers og eins hests. Horseday nefndi jafnframt að notendurnir væru alla jafna með aðgang að WorldFeng hvort eð er. Þá taldi Horseday að vinnsla á þessum persónuupplýsingum annarra en notenda (nafn á eiganda hrossa) væru á grundvelli lögmætra hagsmuna félagsins.
„Hagsmunirnir lúti að því að bæta upplifun hestafólks á hestamennskunni auk þess sem þjálfarar hestanna hafi lögmæta hagsmuni af því að upplýsingar um eignarhald hestanna séu aðgengilegar. Vinnslan fari framframt fram í þágu stjórnarskrárvarinna viðskiptahagsmuna HD [innskot: Horseday].“ (Úr kaflanum „Helstu sjónarmið HD“ í úrskurði Persónuverndar nr. 2025010154}.
Að lokum byggði Horseday á að umfang vinnslu þessara persónuupplýsinga væri takmarkað og þær ekki viðkvæmar í eðli sínu.
Niðurstaða Persónuverndar
Bændasamtök Íslands voru ekki talin hafa brotið gegn persónuverndarlöggjöf með miðlun upplýsinganna úr Worldfeng til smáforritsins Horseday. Talið var að Horseday hefði lögmæta hagsmuni af vinnu með upplýsingarnar og þeir hagsmunir taldir veigameiri en hagsmunir þess sem kvartaði.
Á hinn bóginn var vinnsla Horseday ekki talin hafa samrýmst sanngirnisreglu persónuverndarlöggjafar. Því voru skilyrði um lögmæta, sanngjarna og gagnsæja vinnslu ekki talin uppfyllt. Til þess hefði Horseday þurft að fræða skráða aðila um vinnslu persónuupplýsinga sem sóttar hefðu verið til Worldfengs en fræðsla í persónuverndarstefnu Horseday náði aðeins til vinnslu á persónuupplýsingum notenda Horseday-smáforrits. Í úrskurðinum segir svo orðrétt:
„Lagt er fyrir Horseday ehf. að færa vinnsluna til samræmis við ákvæði 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-liðar 1. mgr. 5. gr. reglugerðar (ESB) 2016/697. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 16. október 2026.“
Hvorki þótti nægt tilefni til að beita Horseday ehf. stjórnvaldssektum né veita því áminningu vegna brotsins. Byggði sú niðurstaða Persónuverndar á að vinnslan þótti afar takmörkuð og að eignarhald hrossa teldist ekki til viðkvæmra persónuupplýsinga.
Úr nýuppfærðri persónuverndarstefnu Horseday
Persónuverndarstefna Horseday virðist hafa verið uppfærð 1. október sl. af vefsíðu félagsins að dæma. Þar kemur nú fram að einu upplýsingarnar sem félagið vinni úr, er varði aðra einstaklinga en notendur sína, séu nöfn eigenda skráðra hrossa:
„Vinsamlegast athugið að notendur okkar, sem geta séð þær upplýsingar, geta venjulega einnig séð þær upplýsingar á WorldFeng. Engu síður er ómögulegt að leita eftir nafni eigenda skráðra hrossa; aðeins er mögulegt að leita að hrossunum sjálfum. Vinnsla þessara persónuupplýsinga (þ.e. nafnið) er eingöngu ætluð til að styðja við eigendur hesta og þjálfara við að halda utan um upplýsingar tengdar bætingu þjálfunar og hrossavelferð, og til að bæta almennt upplifun hestasamfélagsins. Við ábyrgjumst að þessar upplýsingar eru alltaf réttar og uppfærðar og að vinna ekki aðrar upplýsingar en hlutaðeigandi nafn. Við byggjum vinnslu persónuupplýsinga annarra en notenda okkar á lagalegum grundvelli.“ (Þýtt úr ensku af vefsíðu Horseday sbr. eftirfarandi: vefslóð.)
A landsliðshópur Íslands