Ákvörðun nr. 8/2021
Ákvörðun nr. 8/2021
Upplýsingar um staðsetningu í almennum fjarskiptanetum.
(mál nr. 2021030068)
I.
Upphaf máls
(1) Póst- og fjarskiptastofnun (hér eftir PFS) barst bréf og fylgigögn1 frá IMC Ísland ehf. (hér eftir IMC), dags. 24. feb. 2021, vegna fyrirspurnar PFS í máli stofnunarinnar nr. 2020090055. Við yfirferð á þeim gögnum taldi PFS ástæðu til að stofna nýtt stjórnsýslumál, mál nr. 2021030068, xx xxxxx eftir upplýsingum frá IMC varðandi staðsetningarupplýsingar í almennum fjarskiptanetum.
II.
Málsmeðferð og sjónarmið aðila
2.1. Erindi PFS til IMC.
(2) Í bréfi PFS, dags. 22. mars. 2021, til IMC kom fram að samkvæmt framlögðum samningum IMC við viðsemjendur sína væri hluti þjónustunnar aðgengi að alþjóðlegum fjarskiptanetum (reikiaðilum IMC) og xxxx xxxx kleift að framkvæma svokallaðar GSM MAP skipanir.2
(3) Xxxxxxxxx vísaði til eftirfarandi skipana sem að viðsemjendum IMC væri gert kleift að framkvæma:
• [...]3 • [...] • [...] | • [...] • [...] • [...] |
1 Með bréfinu, dags. 24. feb. 2021, fylgdu afrit xx xxx þjónustusamningum sem IMC hafði gert við önnur fyrirtæki, ásamt afrit af tölvupóstsamskiptum IMC við fjarskiptafyrirtækið [T], dagana 23. apr. – 6. maí 2020. 2 Sjá t.d. „SS7 Sponsoring network agreement between [...] and IMC Island, Ehf.“,
3 Fellt xxxxx vegna trúnaðar. Xxx xxxx á við um hornklofa í framhaldinu.
• [...] • [...] • [...] • [...] | • [...] • [...] • [...] |
(4) Í erindi PFS var síðan vísað til atviks sem að IMC hafði greint stofnuninni frá og snerist um að þann 23. apríl 2020 kallaði [...] fjarskiptafyrirtækið [T]4 eftir upplýsingum frá IMC vegna merkjasendinga úr símanúmerinu 354-[...]5. Samkvæmt framlögðum tölvupóstsamskiptum gerði [T] athugasemdir við IMC um að mikil umferð væri í SIM-kort viðskiptavina sinna sem kæmu úr símanúmerinu. Þá sagði [T] að samkvæmt IR.216 væri númerið skráð sem SMSC (e. short message service centre). Um var að ræða skipanirnar [...].
[T] kallaði eftir skýringum IMC og vildi vita hvers vegna þessar beiðnir kæmu frá þessum tengipunkti sem að væri óeðlilegt, sem og hverju sætti að þessar skipanir bærust án IMSI upplýsinga.
(5) Eftir ítrekaðar óskir um upplýsingar barst [T] svar IMC með tölvupósti þann 30. apríl 2020. Þar sagði IMC að sá sem bar ábyrgð á þessum sendingum hefði sagt að um væri að ræða aðgerðir óvans starfsmanns í merkjasendingum og svo virtist sem að vandann mætti rekja til beiningar (e. routing issue). Þar sagði einnig að búið væri að ráða fagaðila/sérfræðing til að xxxxx xxxxxxx hið snarasta og tryggt yrði að þetta kæmi ekki fyrir aftur. Að lokum baðst IMC velvirðingar á þessu og vonaðist til að þess að málið væri leyst.
(6) Í svari [T] xxxx sama dag sagðist fyrirtækið ætla að fylgjast með því að þessu yrði kippt í liðinn. Fyrirtækið spurði jafnframt af hverju SMSC væri að senda þessar villur og hvers vegna þessar skipanir kæmu án IMSI upplýsinga. Með tölvupósti þann 5. maí 2020 sagði IMC að félagið xxxx xxxx lítið annað en að beðist velvirðingar á atvikinu fyrir hönd starfsmanns sem að hefði farið út fyrir sínar starfsskyldur. Xxxxxxx upplýsingar væru ekki fyrir hendi en IMC væri búið að greiða úr vandanum og að þetta xxxxx ekki gerast aftur.
(7) Með vísan til þessara samskipta fjarskiptafyrirtækjanna benti PFS IMC á að ákvæði 1. mgr. 43. gr. laga nr. 81/2003 um fjarskipti (hér eftir fjarskiptalög) legði bann við því að staðsetja búnað notenda nema til kæmi samþykki áskrifanda eða skv. undanþágu 2. mgr. 43. gr. fjarskiptalaga sem að varðar vinnslu staðsetningarupplýsinga vegna neyðarþjónustu á sviði löggæslu, sjúkraflutninga eða slökkvistarfa í þeim tilgangi að bregðast við neyðarköllum.
(8) Stofnunin vísaði til 5. gr. laga um Póst- og fjarskiptastofnun nr. 69/2003, sem kveður á um heimild PFS til að krefja þá sem xxxxxx starfsemi sem fellur undir lög um fjarskipti um xxxxx upplýsingar sem þykja nauðsynlegar við athugun einstakra mála, og að hún teldi tilefni til að afla frekari upplýsinga frá IMC.
(9) PFS óskaði eftir að fá upplýst um hvort að þeir samningar sem fylgdu með bréfi IMC, dags. 24. feb. 2021, hefðu verið allir þeir þjónustusamningar sem að félagið hefði gert um SMSC aðgengi. Ef svo væri ekki þá óskaði PFS eftir afritum af öllum slíkum samningum, þ.á.m. samningnum vegna númersins [...].
4 Fellt xxxxx vegna trúnaðar. Vísað verður til fjarskiptafyrirtækisins með bókstafnum T.
5 Símanúmer fellt xxxxx vegna trúnaðar.
6Fjarskiptafélög hafa aðgang að IR.21 skjali GSMA. Sjá nánar: xxxxx://xxx.xxxx.xxx/xxxxxxxx/xxxxxxxxx/xx-00- gsm-association-roaming-database-structure-and-updating-procedures-v12-0/
(10) Þá tók stofnunin fram að í sumum samningum sem að IMC hefði framvísað væri að finna ákvæði sem kvæðu á um að samningsaðila væri óheimilt að senda GSM MAP skipanir á fjarskiptafyrirtæki í Bandaríkjunum og Bretlandi. Að mati PFS væri ekki annað hægt en draga þá ályktun að þessi skilmáli væri til staðar því að xxx samrýmdist ekki lögum í viðkomandi ríkjum að slíkar skipanir væru sendar, m.a. til að staðsetja einstaka notendur. Óskaði stofnunin eftir skýringum á þessu samningsákvæði.
(11) Að lokum sagði PFS að ef IMC teldi að félagið bæri ekki ábyrgð á mögulegu xxxxx þriðja aðila gegn 43. gr. fjarskiptalaga þá væri þess óskað að félagið skýrði hvers vegna samningar þess við þriðju aðila gerðu ráð fyrir slíkri notkun númera og hvernig slík samningsgerð samrýmdist banni gegn framsali á númerum til þriðja aðila samkvæmt 1. mgr. 7. gr. fjarskiptalaga. Með öðrum orðum af hverju IMC væri ekki ábyrgt ef að stofnunin teldi að þessi notkun númera bryti gegn 43. gr. fjarskiptalaga.
2.2. Svarbréf IMC til PFS.
(12) Með tölvupósti lögmanns IMC þann 29. mars 2021 barst PFS svarbréf IMC ritað á ensku,7 ásamt afriti xx xxxx samningi sem að stofnunin hafði óskað eftir vegna númersins [...].
(13) Í svörum IMC sagði að þær MAP skipanir sem að viðsemjendum félagsins væri gert kleift að framkvæma væru staðlaðar og leyfilegar skipanir. Viðskiptavinur IMC í umræddu máli hafi verið að nota Global Title IMC en ekki SIM-kort til að hafa uppi á fórnarlömbum mannráns þar í xxxxx. Xxx xxxx verið gert með samþykki fórnarlambanna.
(14) Þá sagði einnig í svari IMC að xxx væri rétt hjá [T] að xxx væri óvenjulegt að skipanirnar kæmu frá SMSC. Félagið sagði að [T] hefði síðan fallist á skýringar IMC um að þær tengdust GLMC en ekki SMSC.
(15) Um ástæðu þess að skipanirnar hafi xxxxx xxxxxx án IMSI upplýsinga sagði IMC að viðskiptavinurinn hafði sent beiðnina með þessum hætti en fram að þessu atviki hefði engar athugasemdir borist. IMC bætti því við að afsökunarbeiðnin hefði komið frá viðskiptavini sínum og IMC hefði komið henni á framfæri við [T]. Viðskiptavinurinn gerði mistök sem xxxx hefði leiðrétt og þetta hefði ekki komið fyrir aftur.
(16) Varðandi bannákvæði 43. gr. fjarskiptalaga sem byggði á 9. og 10 gr. persónuverndartilskipunarinnar, sagði félagið að ekki væri um brot að ræða þar sem að viðskiptavinur IMC væri með samþykki fyrir því að hafa upp á áskrifendum ef að til þess kæmi að þeim yrði rænt.
(17) Hvað varðaði beiðni PFS um alla samninga sem að IMC hefði gert um SMSC aðgengi þá sagðist félagið aðeins xxxx með afrit af samningum fyrir núverandi viðskiptavini og samninga sem nýlega væru fallnir úr gildi. Þá hafi verið um yfirsjón að ræða að samningurinn vegna númersins [...] var ekki afhentur fyrr.
(18) IMC sagði einnig að ályktun PFS um samningsákvæðið væri röng. Ástæðan fyrir ákvæðinu væri ekki rekja til laga í Bretlandi og Bandaríkjunum. Viðskiptavinum IMC væri bannað að xxxxx þar því að xxx xxxx falið í sér xxxxx xxxxx. Xxx væru íþyngjandi reglur í
7 Íslensk þýðing svarbréfs IMC barst stofnuninni þann 26. apríl 2021. Sjá kafla 2.4.
þessum löndum svo að þeir sem reyndu að staðsetja einstaklinga í þessum löndum gætu fengið símtal frá Heimavarnarráði Bandaríkjanna eða bresku GCHQ. Fjarskiptafyrirtæki í þessum löndum væru því fljót að rekja og rannsaka mál og hið sama gilti um [T] eftir að [...].
(19) Um að félagið bæri ekki ábyrgð á mögulegu xxxxx þriðja aðila gegn 43. gr. fjarskiptalaga og hvers vegna samningar þess við þriðju xxxxx xxxxx ráð fyrir slíkri notkun númera, sagði IMC að xxx veitti sambærilega þjónustu og þúsundir annarra fyrirtækja. Meginþorri þjónustunnar væru leyfisskilaboð eða A2P skilaboð sem að væru send með samþykki og leyfi móttakanda. Hið sama ætti við um þá þjónustu sem staðsetur einstaklinga sem að hefði verið rænt. Hvað varðaði bann við framsali númera sagði IMC að viðskiptavinur félagsins væri að nota Global Title, líkt og hver annar áskrifandi sem notar SIM-kort frá félaginu eða IMSI fyrir IOT (e. Internet of Things).
(20) IMC ítrekaði síðan beiðnir sínar um fundi með PFS og ósk um leiðbeiningar en þær voru ótengdar málinu sem hér um ræðir. Félagið áréttaði svo að lokum að xxx teldi sig ekki hafa brotið gegn 43. gr. fjarskiptalaga og hefði ekki fundið vísbendingar um annað. Með gagnsæi að leiðarljósi hafi félagið greint PFS frá þessu atviki í bréfi til stofnunarinnar í nóvember mánuði árið 2020.
2.3. Tölvupóstsamskipti PFS við IMC, dags. 8. apríl 2021.
(21) Með tölvupósti þann 8. apríl 2020 tilkynnti stofnunin IMC um xxx mat hennar að skýringar félagsins væru ekki fullnægjandi og að enn væri um ræða mögulegt brot á 43. gr. fjarskiptalaga. PFS óskaði því þess að svarbréf IMC yrði þýtt á íslensku en við xxx tilefni gæti fjarskiptafélagið komið frekari andmælum á framfæri. Að því loknu hygðist stofnunin taka afstöðu til málatilbúnaðar IMC. Tveggja vikna svarfrestur var veittur.
(22) Með tölvupósti barst beiðni frá IMC, með vísan til til 21. og 22. gr. stjórnsýslulaga nr. 37/1993, að PFS skýrði betur hvað í svörum IMC væri ófullnægjandi. PFS svaraði því til að eftirfarandi atriði þóttu ekki fullnægjandi í svarbréfi félagsins:
• Ófullnægjandi samþykki notanda fyrir vinnslu staðsetningargagna í almennu xxxxxxx.
• Engin gögn sem sýndu að þetta tiltekna atvik tengdist aðgerðum þar til bærra aðila
s.s. lögreglu.
• Staðsetning notenda án samþykkis þeirra væri ólögmæt í Bandaríkjunum og Bretlandi, líkt og á Íslandi.8
• Gögnin sýndu ekki að [T] hefði fallist á skýringar IMC á GSM MAP skipunum og xxxxx xxx heimilar.
• IMC gæti ekki ætlast til að PFS leiðbeindi símstöðvarsérfræðingum fjarskiptafyrirtækjanna um merkjasendingar í símkerfum. Xxx væri ábyrgð þeirra að starfa í samræmi við fjarskiptalög.
(23) Að lokum sagði PFS að IMC ætti enn xxxx xxxx að koma á framfæri frekari sjónarmiðum eða gögnum.
8 Í þessu sambandi má nefna að PFS sendi fyrirspurn til bandaríska fjarskiptaeftirlitsins (FCC) um þetta atriði. Í svari FCC kom fram að eftirlitið er með til meðferðar meint brot fjarskiptafyrirtækjanna AT&T, Sprint, T-Mobile og Verizon vegna upplýsinga um staðsetningu búnaðar án samþykkis viðskiptavina. FCC vísaði til útgefinna tilkynninga eftirlitsins um meint brot (NAL), dags. 28. feb. 2020, sem má finna á vefslóðinni: xxxxx://xxx.xxx.xxx/xxxxxxxx/xxx-xxxxxxxx-xxxx-000x-xxxxx-xxxxxxxx-xxxxxxxx-xxxx-xxxxxxxxxx
2.4. Tölvupóstsamskipti PFS og IMC, dags. 26. apríl 2021.
(24) Með tölvupósti þann 26. apríl 2021, ítrekaði PFS beiðni sína um íslenska þýðingu á svarbréfi fjarskiptafélagsins. Þann sama dag fékk stofnunin senda þýðingu, ásamt upprunalegu svarbréfi IMC og fylgigögn er vörðuðu starfsemi viðskiptavinar félagsins. Engar frekari athugasemdir eða sjónarmið IMC var að finna í þessum gögnum.
(25) Með tölvupósti xxxx sama dag áréttaði stofnunin að hún teldi enn að um brot væri að ræða gegn 43. gr. fjarskiptalaga. Að beiðni IMC hefði stofnunin útlistað hvað væri ábótavant í málatilbúnaði fjarskiptafélagsins. Af því tilefni spurði stofnunin hvort að von væri á frekari sjónarmiðum, málsástæðum eða lagarökum frá IMC. Ef að svo væri þá hefði félagið enn frest til 29. apríl 2020 til að koma slíku á framfæri. Engar frekari athugasemdir xxxxxx frá IMC.
2.5. Tölvupóstur frá PFS og IMC, dags. 4. maí 2021.
(26) Með tölvupósti frá PFS, þriðjudaginn 4. maí 2021, sendi stofnunin IMC gagnalista málsins og tilkynnti um xxxx að hún teldi að allra þeirra gagna og sjónarmiða hefði verið aflað sem höfðu þýðingu við úrlausn málsins. Að mati stofnunarinnar væri málið nægjanlega upplýst og gagnaöflun væri því lokið. Xxxxxxxxx sagði einnig að hún hygðist taka ákvörðun í málinu á grundvelli fyrirliggjandi gagna.
(27) IMC var boðið að xxxx athugasemdir við lok gagnaöflunar og gagnalista stofnunarinnar. Ef að félagið teldi þörf á frekari gagnaöflun þyrfti leggja fram rökstuðning þess efnis. Svarfrestur var veittur til 7. maí 2021. Engar athugasemdir xxxxxx frá IMC.
III.
Forsendur og niðurstaða
3.1. Almennt um hlutverk PFS og lagaumhverfi
(28) PFS starfar á grundvelli laga nr. 69/2003 um Póst- og fjarskiptastofnun. Xxxxxxxxx hefur umsjón með framkvæmd laga um fjarskipti nr. 81/2003, sbr. 2. mgr. 2. gr. þeirra. Þá hefur hún eftirlit með því að starfsemi fjarskiptafyrirtækja sé í samræmi við lög og afleiddar réttarheimildir sem um starfsemina xxxxx, sbr. 4. gr. laga, nr. 69/2003, um Póst- og fjarskiptastofnun. Stofnuninni er skylt að fylgjast með að starfsemi fjarskiptafyrirtækja uppfylli þau skilyrði sem ákvæði fjarskiptalaga, og reglna settra með stoð í þeim, kveða á um. Þannig getur stofnunin, til að framfylgja eftirlitshlutverki sínu, m.a. hafið skoðun á ákveðnum atriðum í starfsemi fjarskiptafyrirtækja að eigin frumkvæði. PFS hefur að auki xxx hlutverk að xxxx hagsmuna almennings með því að vinna að ráðstöfunum til að vernda persónuupplýsingar og friðhelgi einkalífsins, sbr. c. lið 4. tl. 1. mgr. 3. gr. laga nr. 69/2003, um Póst- og fjarskiptastofnun.
(29) Íslensk fjarskiptalöggjöf byggir á regluramma Evrópusambandsins sem innleiddur hefur verið hér á xxxxx. Löggjöfin byggir fyrst og fremst á tilskipunum Evrópuþingsins og Ráðsins en um er að ræða tilskipun nr. 2002/21/EB, um sameiginlegan regluramma um rafræn fjarskiptanet og -þjónustu (rammatilskipun), tilskipun nr. 2002/19/EB um aðgang að rafrænum fjarskiptanetum og samtengingum þeirra og tilheyrandi aðstöðu (aðgangstilskipun), tilskipun nr. 2002/20/EB um heimild fyrir rafrænum fjarskiptanetum og -þjónustu (heimildartilskipun), tilskipun nr. 2002/22/EB um alþjónustu og réttindi notenda að því er varðar rafræn fjarskiptanet og -þjónustu (alþjónustutilskipun) og tilskipun nr. 2002/58/EB um
vinnslu persónuupplýsinga og um verndun einkalífs á sviði rafrænna fjarskipta (persónuverndartilskipun).
(30) Gildissvið fjarskiptalaga nær til fjarskipta, fjarskiptaþjónustu og fjarskiptaneta og er markmið laganna að tryggja hagkvæm og örugg fjarskipti hér á xxxxx xx efla samkeppni á fjarskiptamarkaði. Undanskilið gildisviði laganna er efni, þ.e. efnislegt innihald skilaboða, sem sent er á fjarskiptanetum sem og fjarskipti sem eingöngu eru boð eða sendingar með þræði innan húsakynna heimilis, fyrirtækis eða stofnunar, sbr. 1. gr. laganna, þ.e. lokaðs nets sem stendur almenningi ekki til boða.
(31) Í 3. gr. laganna er að finna skilgreiningarákvæði sem frekar afmarka gildissvið laganna. Í 16. tl. greinarinnar kemur fram að fjarskipti teljast hvers xxxxx sending og móttaka tákna, merkja, skriftar, mynda og hljóða eða hvers xxxxx boðmiðlun eftir leiðslum, með þráðlausri útbreiðslu eða öðrum rafsegulkerfum. Þá er fjarskiptanet xxx sendikerfi, og þar sem við á, skiptistöðvar, beinar og önnur úrræði sem xxxx mögulegt að miðla merkjum eftir þræði, þráðlaust, með ljósbylgjum, rafdreifikerfi, háspennulínum eða með öðrum rafsegulaðferðum, þ.m.t. net fyrir hljóð- og sjónvarp og kapalsjónvarp, sbr. 13. tl. 3. gr. laganna. Almennt fjarskiptanet er svo skilgreint í 5. tl. greinarinnar og telst xxxx fjarskiptanet sem er notað að öllu eða mestu leyti til að bjóða almenna fjarskiptaþjónustu, þ.e. þjónustu sem að nokkru eða öllu xxxxx xxxxx í að beina merkjum um fjarskiptanet, sbr. 15. tl. 3. gr. laganna.
3.2. Lögsaga í málinu.
(32) Hér er um að ræða ráðstöfun á farsímanúmeri úr íslenska númeraskipulaginu sem var úthlutað til IMC Ísland ehf. sem er skráð fjarskiptafyrirtæki hér á xxxxx. Í 1. mgr. 7. gr. fjarskiptalaga segir að fjarskiptatíðnir innan íslensks yfirráðasvæðis og númer úr íslenska númeraskipulaginu eru auðlindir undir stjórn íslenska ríkisins. Úthlutun á tíðnum og númerum felur í sér tímabundna heimild til skilyrtra afnota sem hvorki leiðir til eignarréttar né varanlegs nýtingar- og ráðstöfunarréttar.
(33) Í 6. gr. reglna nr. 590/2015 um skipulag, úthlutun og notkun númera, númeraraða og vistfanga á sviði fjarskipta er fjallað um almenn skilyrði fyrir úthlutun númera og númeraraða en þar segir:
„Úthlutun er háð því að umsækjandi eigi eða hafi til umráða símstöð sem rekin er hér á xxxxx xx uppfylli skilyrði til að xxxx samtengisamning við a.m.k. eitt starfandi fjarskiptafyrirtæki.
Ef umsækjandi hefur áður fengið úthlutað númerum getur Póst- og fjarskiptastofnun tekið mið af fyrri nýtingu umsækjanda við mat á því hvort úthluta eigi númerum. Jafnframt getur stofnunin tekið mið af fylgni umsækjanda við lög og reglur á fjarskiptamarkaði.
Úthlutuð númer fyrir tal- og farsímaþjónustu má eingöngu nota í fjarskiptaþjónustu á Íslandi. Í því felst m.a. eftirfarandi:
a) Fjarskiptafyrirtæki sem óskar eftir að fá númerum úthlutað samkvæmt reglum þessum skal hafa staðfestu á Íslandi og almenna heimild til reksturs fjar-skipta-þjónustu eða fjarskiptanets samkvæmt fjarskiptalögum.
b) Starfsemi fjarskiptafyrirtækis sem og öll lögskipti sem xxxxx xx notkun númera sem Póst- og fjarskiptastofnun úthlutar samkvæmt fjarskiptalögum og reglum þessum skulu lúta íslenskum lögum og lögsögu.
c) Númer sem úthlutað er úr íslenska númeraskipulaginu skulu standa íslenskum notendum til boða á Íslandi.“
(34) Xxxxxxxxx segir um skilyrði fyrir notkun númera í 11. gr. reglnanna:
„Réttindi til þess að nota númer og númeraraðir eru bundin við nafn og er framsal óheimilt. Xxxxx xxxxx á þó ekki við í þeim tilfellum þegar um er að ræða einstaka áskrifendur sem flytja símanúmer milli fjarskiptafyrirtækja, sbr. 52. gr. laga nr. 81/2003, um fjarskipti og reglur nr. 617/2010, um númera- og þjónustuflutning.
Vísað er til skilyrða í 2. mgr. 10. gr. fjarskiptalaga. Á grundvelli þeirra xxxxx jafnframt eftirfarandi skilyrði um notkun númera:
a) | Óheimilt er að selja, leigja eða framselja á nokkurn xxxx númer úr íslenska númeraskipulaginu til þriðja aðila. |
b) | Fjarskiptafyrirtæki er ábyrgt fyrir réttri notkun númera þ.m.t. að númer séu ekki notuð í öðrum tilgangi en viðkomandi númeraröð hefur verið úthlutað til. Verði þeirri notkun hætt eða hún verður önnur en reglur þessar xxxx ráð fyrir getur Póst- og fjarskiptastofnun afturkallað úthlutun. |
c) | Fjarskiptafyrirtæki sem hættir starfsemi xxxxx ber að skila númerum aftur til Póst- og fjarskiptastofnunar innan mánaðar frá því starfsemi hættir. |
Auk ofangreindra skilyrða getur Póst- og fjarskiptastofnun sett frekari skilyrði um notkun til að tryggja rekstraröryggi xxxx, tryggingu um samstæði xxxx og samhæfni mismunandi þjónustu.“
(35) Að framangreindu leiðir að þó að umrædd fjarskipti í málinu hafi átt sér stað í öðru xxxxx að þá heyrir notkun númera sem að PFS hefur úthlutað úr íslenska númeraskipulaginu undir íslenska lögsögu og íslensk lög.
3.3. Um 43. gr. fjarskiptalaga.
(36) Í IX. kafla fjarskiptalaga er fjallað um vernd persónuupplýsinga og friðhelgi einkalífsins. Er í 43. gr. laganna fjallað um upplýsingar um staðsetningu búnaðar en í ákvæðinu segir:
„Því aðeins má vinna úr upplýsingum um staðsetningu búnaðar í almennum fjarskiptanetum eða almennri fjarskiptaþjónustu að ekki sé hægt að tengja þær við einstaka notendur eða að fengnu samþykki þeirra.
Þrátt fyrir ákvæði 1. mgr. skulu fjarskiptafyrirtæki án samþykkis notanda senda, án endurgjalds, upplýsingar samkvæmt þessari xxxxx, að því marki sem er tæknilega gerlegt, til félaga og stofnana sem annast neyðarþjónustu og eru opinberlega viðurkennd sem slík, þ.m.t. löggæslu-, sjúkraflutninga- og slökkvilið. Notkun upplýsinganna er einungis heimil í þeim tilgangi að staðsetja neyðarsímtöl.
Póst- og fjarskiptastofnun setur reglur um veitingu upplýsinga og vinnslu þeirra.“
(37) Þetta lagaákvæði byggir á 9. gr. og 10. gr. fyrrnefndrar persónuverndartilskipunar 2002/58/EB. Með henni (og forvera hennar) voru meginreglur, sem xxxxxx voru fram í tilskipun nr. 95/46/EB, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, yfirfærðar í sértækar reglur fyrir fjarskiptasviðið og eru ákvæði hennar viðbót og nánari umfjöllun um ákvæði síðarnefndu tilskipunarinnar, sbr. 2. mgr. 1. gr. og 4. lið inngangsorða tilskipunar nr. 2002/58/EB.
(38) Í 26. lið formálsorða persónuverndartilskipunar nr. 2002/58/EB er sérstaklega tekið fram að gögn um áskrifendur sem notuð eru á rafrænum fjarskiptanetum til að koma á tengingum og til að senda upplýsingar feli í sér upplýsingar um einkalíf einstaklinga. Þar segir einnig að öll vinnsla slíkra xxxxx xx aðeins leyfileg hafi áskrifandi veitt samþykki sitt á grundvelli réttra og ítarlegra upplýsinga frá veitanda rafrænnar fjarskiptaþjónustu.
(39) Í 43. gr. fjarskiptalaga er fjallað um um ákvörðun á staðsetningu fjarskiptabúnaðar en í umfjöllun um IX. kafla í frumvarpi til núgildandi fjarskiptalaga sagði að með nútímatækni væri slíkt hægt með nokkurri nákvæmni í farsímakerfum. Vegna augljósrar hættu á misnotkun upplýsinga var talið nauðsynlegt að setja sérstakt ákvæði um þessar upplýsingar í lögin.
(40) Þetta tiltekna ákvæði hefur verið að mestu leyti óbreytt frá gildistöku fjarskiptalaga en með lögum nr. 39/2007 voru gerðar nokkrar breytingar á fjarskiptalögum í þeim tilgangi að auka öryggi í fjarskiptum, auka neytendavernd og styrkja ákvæði laganna er fjalla um vernd persónuupplýsinga og friðhelgi einkalífs. Ákvæðinu var þá breytt á þann veg að sjálfkrafa miðlun upplýsinga var gerð að skyldu þegar um væri að ræða félög og stofnanir sem önnuðust neyðarþjónustu en áður höfðu fjarskiptafyrirtækin miðlað staðsetningarupplýsingum til Neyðarlínunnar á grundvelli samkomulags. Jafnframt var kveðið á um að slík miðlun yrði án endurgjalds.9
3.3.1. Um 1. mgr. og 2. mgr. 43. gr. fjarskiptalaga
(41) Með 1. mgr. 43. gr. eru xxxxxx takmarkanir á úrvinnslu upplýsinga um staðsetningu búnaðar í fjarskiptanetum eða þjónustu. Í frumvarpi til fjarskiptalaga sagði að í þessu fælist að annað hvort verður að afla samþykkis viðkomandi áskrifenda eða notenda eða úrvinnsla verður að xxxx með xxxx hætti að ekki er hægt að tengja upplýsingar við einstaka áskrifendur eða notendur.10 Tiltekið var að notendur gætu í sumum tilvikum haft gagn af þjónustu sem staðsetur fjarskiptabúnað og þar með notanda í flestum tilvikum. Þá var xxx einnig nefnt í frumvarpinu að fyrirtæki gætu sum hver haft þörf fyrir að staðsetja fjarskiptabúnað í farartæki sín. Slíkt væri samkvæmt ákvæðinu ekki heimilt nema til komi samþykki vinnuveitanda og starfsmanns.
(42) Í 2. mgr. er að finna undanþága frá ákvæði 1. mgr. en hún felur í sér að fjarskiptafyrirtækjum er gert skylt að senda án endurgjalds staðsetningarupplýsingar til viðurkenndra aðila sem annast almenna neyðarþjónustu á sviði löggæslu, sjúkraflutninga eða slökkvistarfa í þeim tilgangi að bregðast við neyðarköllum. Slíkt er þó einungis heimilt í þeim tilgangi til að staðsetja neyðarsímtöl. Í frumvarpi til fjarskiptalaga sagði um undantekninguna
9 Frumvarp til laga um breytingu á lögum um fjarskipti nr. 81/2003. Vefslóð Alþingistíðinda: xxxxx://xxx.xxxxxxxx.xx/xxxxxx/000/x/0000.xxxx
10 Frumvarp til laga um fjarskipti nr. 81/2003. Vefslóð Alþingistíðinda: xxxxx://xxx.xxxxxxxx.xx/xxxxxx/000/x/0000.xxxx
að xxx xxxx xxxx úrslitaáhrif varðandi björgun mannslífa að hægt væri að staðsetja þann sem hringir í neyðarþjónustu hratt og örugglega þar sem þeir væru ekki alltaf færir um að upplýsa hvar þeir væru staddir.
3.4. Niðurstaða
(43) Líkt og rakið er í kafla 2.1. þá gerði fjarskiptafyrirtækið [T] athugasemdir við IMC um að tilteknar GSM-MAP skipanir, þ.e. [...]11, væru að berast úr SMS-miðlara í SIM-kort viðskiptavina [T]. Þessar merkjasendingar mátti rekja til símanúmersins [...].
(44) Númeraröðinni 650 XXXX hefur verið úthlutað til IMC úr íslenska númeraskipulaginu. Því þarf notkun á númerinu að samræmast íslenskum fjarskiptalögum, sbr. 1. mgr. 7. gr. fjarskiptalaga og 6. gr. reglna 590/2015 um skipulag, úthlutun og notkun númera, númeraraða og vistfanga á sviði fjarskipta. Í 11. gr. reglnanna kemur fram að óleyfilegt er að selja, leigja eða framselja á nokkurn xxxx númer úr íslenska númeraskipulaginu til þriðja aðila. Jafnframt að fjarskiptafyrirtæki er ábyrgt fyrir réttri notkun númera þ.m.t. að númer séu ekki notuð í öðrum tilgangi en viðkomandi númeraröð hefur verið úthlutað til.
(45) Með 1. mgr. 43. gr. fjarskiptalaga er lagt bann við því að vinna gögn um staðsetningu búnaðar í almennu fjarskiptaneti nema til komi samþykki áskrifanda, eða skv. undanþágu 2. mgr. 43. gr. fjarskiptalaga sem að varðar vinnslu staðsetningarupplýsinga vegna neyðarþjónustu viðurkenndra aðila.
(46) Í upphaflegu erindi sínu kallaði PFS eftir tilteknum skýringum frá IMC, m.a. hvort að félagið teldi sig xxxx ábyrgð á mögulegu xxxxx þriðja aðila gegn 43. gr. fjarskiptalaga. Einnig óskaði stofnunin skýringa á því hvers vegna samningar IMC við þriðju aðila gerðu ráð fyrir slíkri notkun númera og hvernig slík samningsgerð samrýmdist banni gegn framsali á númerum til þriðja aðila samkvæmt 1. mgr. 7. gr. fjarskiptalaga.
(47) Í svari IMC segir að félagið að xxx telji sig ekki hafa brotið gegn 43. gr. fjarskiptalaga. Samkvæmt svörum félagsins er viðskiptavinur þess að hafa upp á einstaklingum sem hefur verið rænt og hefur xxxx til þess fullt samþykki. Við spurningunni um hvernig þetta samrýmdist banni við framsali á númeri til þriðja aðila sagði IMC að viðskiptavinurinn notaði Global Title félagsins og væri eins og hver annar áskrifandi sem notar SIM kort frá IMC eða IMSI fyrir IOT (Internet of Things).
(48) PFS þykir málflutningur IMC hvað þetta xxxxxx xxxx ótrúverðugur enda hefur félagið ekki fært fram nein gögn sem xxxxx stoðum undir að samþykki viðskiptavina [T] hafi verið til staðar þegar MAP skipanir voru sendar í fjarskiptabúnað þeirra. PFS hefur aftur á móti fengið kynningarefni um starfsemi viðskiptavinar IMC en xx xxxx gögnum er ekki hægt að ráða að um sé að ræða opinberlega viðurkenndan aðila sem megi sinna neyðarþjónustu af því tagi sem undantekningarákvæði 2. mgr. 43. gr. fjarskiptalaga fjallar um.
(49) Að mati PFS er getan til að senda skipanir sem kalla eftir upplýsingum um staðsetningu búnaðar alls ekki sambærileg því og vera með SIM-kort frá fjarskiptafélagi. Rétt er að taka fram að hægt er að nota upplýsingarnar sem fást með svona skipunum í vafasömum tilgangi
og gæti leitt til þess að friðhelgi einkalífs notenda væri rofin. Má þar nefna [...]12. Slíkt er ekki kleift með SIM-korti frá fjarskiptafélagi.
(50) Líkt og rakið er í ákvörðuninni þá er viðsemjendum IMC gert kleift að senda MAP skipanir til annarra fjarskiptafélaga. Gögn málsins xxxxx til þess að einn viðskiptavinur IMC hafi sent umræddar skipanir án sérstakrar kunnáttu eða aðkomu IMC, allavega ekki fyrr en að alvarlegar ábendingar fóru að berast fjarskiptafélaginu. PFS þykir xxx ámælisvert að fjarskiptafyrirtækið [T] fær fyrst svör frá IMC xxxx eftir athugasemdir eru fyrst gerðar. Enn fremur vekur xxx athygli PFS að af tölvupóstsamskiptum fjarskiptafyrirtækjanna má ekki ráða að IMC upplýsi [T] að um þriðja aðila sé að ræða sem standi að baki þessum sendingum. Að þessum atriðum virtum og með vísan til 1. mgr. 7. gr. fjarskiptalaga, sem og afleiddra reglna xx xxxxx úthlutun xx xxxxx notkun númera, hyggst PFS taka til skoðunar í sérstöku máli hvort að samningar IMC samrýmast banni gegn framsali á númerum til þriðja aðila og öðrum reglum sem xxxxx um notkun númera og kóða.
(51) Við málsmeðferð var IMC leiðbeint um hvaða atriði í svörum félagsins væru ófullnægjandi að mati stofnunarinnar. Þrátt fyrir þessar leiðbeiningar PFS hefur IMC ekki lagt fram nein haldbær gögn sem að gefa til kynna að þessi fjarskipti uppfylli skilyrði 43. gr. fjarskiptalaga um að samþykki áskrifenda sé til staðar eða að um sé að ræða opinberlega viðurkenndan aðila sem að megi vinna með slíkar upplýsingar.
(52) Að öllu framangreindu virtu og í ljósi þess að IMC er ábyrgt fyrir réttri notkun númera úr íslenska númeraskipulaginu verður ekki komist að annarri niðurstöðu en að félagið hafi xxxxx brotlegt við 1. mgr. 43. gr. fjarskiptalaga þegar áskrifendur annars fjarskiptafélags voru með kerfisbundnum hætti m.a. látnir upplýsa um staðsetningu sína með merkjasendingum (án samþykkis) til þriðja aðila.
Á k v ö r ð u n a r o r ð
1. IMC Ísland ehf. braut gegn 1. mgr. 43. gr. fjarskiptalaga þegar sendar voru MAP- skipanir úr númerinu [...] í endabúnað viðskiptavina ótengds fjarskiptafyrirtækis, í apríl mánuði árið 2020, í þeim tilgangi að vinna úr upplýsingum um staðsetningu búnaðar án samþykkis notenda.
2. Ákvörðun þessi er kæranleg til úrskurðarnefndar fjarskipta- og póstmála, sbr. 13. gr. laga nr. 69/2003, um Póst- og fjarskiptastofnun. Kæran skal berast úrskurðarnefnd innan fjögurra vikna frá því viðkomandi var kunnugt um ákvörðun Póst- og fjarskiptastofnunar. Um kostnað vegna málskots fer samkvæmt
5. mgr. 13. gr. sömu laga, auk þess sem greiða ber sérstakt málskotsgjald að upphæð kr. 150.000, skv. 6. gr. reglugerðar nr. 36/2009 um úrskurðarnefnd fjarskipta- og póstmála. Samkvæmt 4. mgr. 13. gr. sömu laga getur aðili einnig borið ákvörðun Póst- og fjarskiptastofnunar beint undir dómstóla án þess að mál sé fyrst borið undir úrskurðarnefnd. Slíkt mál skal höfðað innan þriggja mánaða frá því að viðkomandi fékk vitneskju um ákvörðun stofnunarinnar. Málskot frestar ekki réttaráhrifum ákvarðana stofnunarinnar. Málskot beint til dómstóla hindrar að úrskurðarnefnd sé heimilt að taka kæru til málsmeðferðar.
Reykjavík, 31. maí 2021.
Xxxxxxxxx X. Xxxxxxxx
Xxxxx Xxxxxxxxxx