Ætluð vinnsla persónuupplýsinga hjá Símanum hf. og afgreiðsla á aðgangsbeiðni

Mál nr. 2020010598

20.5.2020

Úrskurður

Hinn 13. maí 2020 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010598 (áður 2019030555):

I.

Málsmeðferð

1.

Kvörtun og málsmeðferð

Hinn 5. mars 2019 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir sendingu tölvupósts um kvartanda af hálfu lögmanns Símans hf. til annarra starfsmanna félagsins og yfir afgreiðslu Símans hf. á beiðni hans um að fá afrit af umræddum tölvupóstsamskiptum. Jafnframt óskar kvartandi eftir að skorið verði úr um rétt hans til að fá afgreiðslu hjá Símanum hf.

Með bréfi, dags. 8. júlí 2019, var Símanum hf. tilkynnt um framangreinda kvörtun og félaginu veitt færi á að tjá sig um hana. Svarað var af hálfu félagsins með bréfi, dags. 16. ágúst s.á. Með bréfi, dags. 29. s.m., var kvartanda veitt færi á að koma á framfæri athugasemdum vegna svarbréfs Símans hf. Kvartandi svaraði með tölvupósti þann 14. september s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að lögmaður Símans hf. hafi sent öðru starfsfólki félagsins tölvupóst þar sem fram hafi komið að óheimilt væri að afhenda kvartanda tiltekinn vélbúnað. Þann 26. september 2018 hafi kvartandi farið þess á leit við Símann hf. að hann fengi afrit af umræddum tölvupóstsamskiptum en beiðni hans hafi verið synjað.

Kvartandi vísar til þess að starfsmenn Símans hf. á tilteknum starfsstöðvum félagsins hafi upplýst hann um að fyrrgreind fyrirmæli hefðu borist þeim í tölvupósti þegar hann óskaði þar eftir afgreiðslu.

3.

Sjónarmið Símans hf.

Í fyrrgreindu bréfi Símans hf. kemur meðal annars fram að félagið hafi tekið afstöðu til beiðni kvartanda um afrit af umræddum tölvupósti þann 17. október 2018 en í tengslum við beiðnina hafi persónuverndarfulltrúi félagsins kannað hvort tölvupósturinn hefði verið sendur. Í ljós hafi komið að slík samskipti hefðu ekki farið fram innan félagsins. Þetta hafi jafnframt verið rakið í svari félagsins við beiðni kvartanda um afrit af umræddum tölvupósti. Þar hafi jafnframt verið bent á að félagið liti svo á að almennt yrðu slík samskipti talin vera vinnuskjöl og því undanþegin aðgangsrétti.

Þá bendir Síminn hf. á að kvartandi [starfi hjá] samkeppnisaðila Símans hf. og að honum hafi verið synjað um að fá búnað af lager Símans hf. til að afgreiða [viðskiptavini þess fyrirtækis sem kvartandi starfar hjá]. […] Lögfræðisvið félagsins leggi áherslu á að starfsmenn félagsins afhendi ekki eignir þess til aðila sem ekki hafi heimild til að nálgast þær en ekki hafi verið send sérstök fyrirmæli þess efnis á starfsfólk.

Því hafi engin vinnsla persónuupplýsinga um kvartanda farið fram með tölvupósti líkt og lýst sé í kvörtun. Er í því sambandi vísað til 4. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sem varðar efnislegt gildissviðs laganna.

II.

Forsendur og niðurstaða

1.

Afmörkun máls

Sú kvörtun sem til umfjöllunar er í þessu máli lýtur annars vegar að sendingu tölvupósts um kvartanda frá lögmanni Símans hf. til annarra starfsmanna félagsins og synjun félagsins á að afhenda kvartanda afrit af umræddum tölvupósti. Hins vegar lýtur kvörtunin að því að kvartanda sé meinað að eiga viðskipti við Símann hf.

Með hliðsjón af valdsviði Persónuverndar, sbr. umfjöllun í næsta kafla, takmarkast úrskurður þessi við vinnslu persónuupplýsinga kvartanda af hálfu Símans hf. og rétt kvartanda til aðgangs að umræddum upplýsingum. Úrskurðurinn tekur á hinn bóginn ekki til takmörkunar á viðskiptum kvartanda við Símann hf.

2.

Niðurstaða

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Kvartandi telur að sendur hafi verið tölvupóstur um sig á milli starfsmanna Símans hf. en félagið hefur hafnað því að svo hafi verið. Samkvæmt þessu stendur orð gegn orði um það hvort sú vinnsla persónuupplýsinga sem kvartað er yfir og aðgangsbeiðni kvartanda tók til hafi farið fram. Með vísan til þessa hefur Persónuvernd ekki forsendur til að taka afstöðu til þess hvort Síminn hf. hafi unnið með umræddar persónuupplýsingar kvartanda á þann hátt sem greinir í kvörtun og þá jafnframt hvort kvartandi hafi átt rétt til aðgangs að umræddum persónuupplýsingum. Ekki er því unnt að fullyrða að brotið hafi verið gegn rétti kvartanda samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Þrátt fyrir að ekki liggi fyrir að sú vinnsla sem kvartað var yfir hafi farið fram telur Persónuvernd rétt að taka fram að ágreiningslaust er að beiðni kvartanda um aðgang að umræddum tölvupósti var afgreidd innan mánaðar frá því að hún barst Símanum hf. Félagið tók því afstöðu til beiðni kvartanda innan þeirra tímamarka sem kveðið er á um í 3. mgr. 12. gr. reglugerðar (ESB) 2016/679, sbr. 1. mgr. 17. gr. laga nr. 90/2018.

Ú r s k u r ð a r o r ð:

Ekki liggur fyrir að átt hafi sér stað vinnsla persónuupplýsinga um [A] hjá Símanum hf. sem braut gegn rétti hans samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 13. maí 2020

Helga Sigríður Þórhallsdóttir                         Bjarni Freyr Rúnarsson