Birting fundargerða um starfsmannamál

Mál nr. 2018/539 og 2018/540

18.9.2018

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 18. september 2018 var kveðinn upp svohljóðandi úrskurður í málum nr. 2018/539 og 2018/540:

I.

Málsmeðferð

 

1.

Tildrög máls

Þann 28. febrúar 2018 bárust Persónuvernd tvær kvartanir frá [A] (hér eftir nefnd kvartandi) vegna birtingar persónuupplýsinga um hana annars vegar á vefsíðu [opinberrar stofnunar (B)] og hins vegar á innri vefsíðu [sömu stofnunar]. Í ljósi þess að báðum kvörtunum kvartanda er beint að sama aðila mun Persónuvernd fjalla um þær saman í úrskurði þessum. Í kvörtununum segir meðal annars:

„Endurtekin nafnbirting starfsmanns í fundargerð [nefndar 1 hjá B], er hún fjallar um starfsmannamál, er einsdæmi og almennt er aðeins skráð að fjallað sé um starfsmannamál […]. Nafnbirting virðist ekki til annars gerð en að sverta viðkomandi starfsmann og brjóta á hans persónuvernd.

Sérstaklega er kvartað yfir að upplýsingar um fyrirhugaða áminningu[yfirmanns (C)] sé sett inn í fundargerð – að öllu jöfnu teljast slíkar upplýsingar trúnaðarmál starfsmanns og yfirmanns, þar sem um viðkvæm persónulegt mál er að ræða, og því alvarlegt brot á persónuvernd að birta slíkar upplýsingar.

[…]

Nafnbirting starfsmanns í fundargerð [nefndar 2 hjá B] sem birt er opinberlega á opnum vef [B] er einsdæmi. Almennt er talað um viðkvæm starfsmannamál undir liðnum önnur mál eða starfsmannamál – en ekki með nafnbirtingu einstakra starfsmanna. […].

Rétt er að taka fram að þetta er þriðja kvörtunin sem undirritaður starfsmaður [B] sendir til Persónuverndar. Beinast allar kvartanir um brot á persónuvernd gegn stjórn [B] með [C], í fararbroddi.“

Með kvörtununum fylgdi afrit af fundargerð [nefndar 2 hjá B] frá […], eins og hún var birt á vefsíðu [B]. Í fundargerðinni hafa persónuauðkenni kvartanda ekki verið afmáð. Jafnframt fylgdi afrit átta fundargerða [nefndar 1 hjá B], nr. […], […], […], […], […], […], […]og […], eins og þær voru birtar á innri vef [B]. Í sjö þeirra hafa persónuauðkenni kvartanda ekki verið afmáð. Við meðferð málsins hjá Persónuvernd kom kvartandi að frekari gögnum. Annars vegar fundargerð [nefndar 1 hjá B] nr. […]og hins vegar tveimur fundargerðum [nefndar 2 hjá B] frá […] og […]. Voru persónuauðkenni kvartanda ekki afmáð í fundargerðunum.

2.

Bréfaskipti

 

2.1

Bréf [B]

Með bréfi, dags. 11. apríl 2018, var [B] boðið að koma á framfæri skýringum vegna kvartananna. Í svarbréfi [B], dags. 11. maí 2018, kemur fram að kosið sé að svara báðum kvörtunum kvartanda í einu svarbréfi. Í bréfinu kemur fram varðandi fundargerð [nefndar 2 hjá B] frá […], sem birt er á opinni vefsíðu [B], að haldinn hafi verið sérstakur fundur í [nefnd 2 hjá B] um þá erfiðleika sem [B] glímdi við eftir að […]. Kvartandi hafi sent [nefnd 2 hjá B] tölvupóst, dags. […], sem [nefnd 2 hjá B] hafi verið rétt og skylt að taka til umfjöllunar og afgreiðslu en efnis þess tölvupósts sé ekki getið í umræddri fundargerð. Þá hafi engin tilmæli um sérstaka leynd eða trúnað komið fram í tölvupóstinum. Jafnframt segir í bréfinu að á þessum tíma hafi verið unnið að samkomulagi um starfslok kvartanda og fyrirséð að samkomulagið kynni að hafa fjárhagslegar skuldbindingar í för með sér fyrir [B] og því hafi […] eins og bókað hafi verið um í fundargerðinni. Að mati [B] hafi ekki verið hjá því komist að nefna kvartanda á nafn í nefndri fundargerð þar sem fundurinn hafi verið haldinn til að taka fyrir tölvupóst sendan af kvartanda og hafi hún jafnframt verið eina fundarefnið. Telur [B] framsetningu fundargerðarinnar vera í samræmi við 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og er sérstaklega vísað til 1. og 3. tölul. þeirrar greinar.

Varðandi fundargerðir [nefndar 1 hjá B] nr. […]og nr. […]sem birtar eru á innri vef [B] segir að í þeim sé fjallað um niðurstöðu [nefndar 3 hjá B] í þremur kærumálum, þar af tveimur er vörðuðu kvartanda, annars vegar þar sem kvartað er yfir kvartanda og hins vegar þar sem kvartandi lagði fram kvörtun. Niðurstöður [nefndar 3 hjá B] komi fram í fundargerðunum en hvorki kæruefnið né í hverju meint brot felist. Tekið sé fram varðandi kæru kvartanda að vegna viðkvæmra persónulegra upplýsinga sem fram komi í úrskurði [nefndar 3 hjá B] teljist þau gögn trúnaðarmál. Telur [B] meðferðina á [úrlausn nefndar 3 hjá B] vera í samræmi við fyrri niðurstöðu Persónuverndar.

Í fyrrnefndu bréfi [B] segir um fundargerðir [nefndar 1 hjá B] nr. […], […], […], […]og […]að í þeim sé sérstakur liður sem beri heitið starfsmannamál. Sá liður sé undantekningalítið tekinn fyrir á fundum yfirstjórnar. Vísar [B] til fundargerðar nr.[…] sem dæmis um hve almennur þessi liður sé oft og segir í því sambandi að undir honum sé rætt um margvísleg starfsmannamál innan [B]. Í þeim fundargerðum sem kvartandi kvarti yfir sé hún ýmist nefnd með fullu nafni eða með upphafsstöfum hennar. Þá segir að það sé verkefni [nefndar 1 hjá B] að fjalla um starfsmannamál og eigi það jafnt við um almenn starfsmannamál sem málefni einstaklinga. Af fundargerðum megi sjá að mál kvartanda hafi hvílt þungt á [nefnd 1 hjá B] og leitað hafi verið leiða til að leiða það til lykta. Þá segir í bréfinu að hvergi sé minnst á tilefni umfjöllunarinnar og þyki [B] rétt að vekja sérstaka athygli á fundargerð nr. […]þar sem bókað hafi verið að rætt hafi verið um stöðu kvartanda (kvartandi nefnd fullu nafni) og þau mál virtust í farsælum farvegi. Að lokum segir að kvartandi hafi sem starfsmaður [B] aðgang að öllum fundargerðum [nefndar 1 hjá B] á heimasíðu [B]. Hún hafi aldrei borið fram kvörtun við yfirstjórn vegna framsetningar á starfsmannalið fundargerðanna. Að mati [B] sé framsetning fyrrgreindra fundargerða í samræmi við 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og er sérstaklega vísað til 1. og 3. tölul. þeirrar greinar.

2.1

Athugasemdir kvartanda við bréf [B]

Með bréfum, dags. 22. maí 2018, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar [B] til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi kvartanda, dags. 5. júní 2018, segir meðal annars varðandi birtingu fundargerðar [B] frá […], að þann […] s.á. hafi kvartandi verið kölluð til fundar með [C] þar sem henni hafi verið afhent bréf þess efnis að hann hygðist segja kvartanda upp störfum á grunni álits [nefndar 3 hjá B]. Það álit hafi verið birt á vefsíðu [B] en Persónuvernd hafi síðar komist að þeirri niðurstöðu að sú birting hafi ekki verið í samræmi við lög um persónuvernd. Segir jafnframt í bréfi kvartanda að þann […] hafi legið fyrir álit lögmanns á lögmæti fyrirhugaðrar uppsagnar kvartanda af hálfu [C]. Í því áliti sé komist að þeirri niðurstöðu að fjöldi lögfræðilegra ágalla sé á fyrirhugaðri uppsögn. [Reglur] [B] séu einnig með innbyggðum ágöllum þar sem þær hafi m.a. aldrei verið birtar með lögformlegum hætti. Segir í bréfi kvartanda að hún hafi því sent bréf sitt til [nefndar 2 hjá B] til að upplýsa um lögleysu [C]. Það sé hins vegar ekki skráð í fundargerðina sem birt hafi verið. Varðandi tölvupóst kvartanda hafi eingöngu komið fram í fundargerð að hann hafi verið til umfjöllunar og ræddur, ásamt því að upphafsstafir kvartanda hafi verið tilgreindir. Liður 2 í fundargerðinni beri aftur á móti yfirskriftina „Starfsmannamál kvartanda“ og sé hún þar nefnd fullu nafni og tekið fram að staðan í hennar máli hafi verið rædd. Kvartandi telur að það að nefna fullt nafn sitt í fundargerð í svo viðkvæmu máli sem uppsögn sé, sem birt sé á Netinu, sé ekki til annars gert en að sverta nafn hennar. Þá telur kvartandi það rangfærslu hjá [C] að á þessum tíma hafi verið unnið að samkomulagi um starfslok kvartanda en slíkt hafi ekki átt sér stað fyrr en um mánuði síðar en [C] gefi upp í bréfi sínu.

Hvað varðar fundargerðir [nefndar 1 hjá B], sem birtar voru á innri vef [B], segir að í fundargerðum […] og […] sé gerð grein fyrir niðurstöðu [nefndar 3 hjá B] og aðilar nafngreindir. Segir kvartandi að niðurstaða [nefndar 3 hjá B] sé viðkvæmt mál fyrir þá sem eiga í hlut og um […] gildi almennt trúnaður. Telur kvartandi að það að nefna starfsmenn með nafni í fundargerðum þegar fjallað hafi verið um slík mál á vettvangi stjórnsýslu [B] sé brot á persónuvernd viðkomandi. Í bréfi kvartanda kemur fram að í sex fundargerðum frá því að [C] hafi tekið til starfa, frá […] og fram til [...], sé að finna liðinn starfsmannamál. Í fimm fundargerðum af sex sé fjallað um málefni kvartanda og hún nafngreind. Í þeirri sjöttu sem varði hana ekki sé hins vegar ekki um nafngreiningu að ræða. Í kjölfar kvörtunar kvartanda til Persónuverndar hafi fleiri fundargerðir verið birtar á sambærilegan hátt þar sem nöfn starfsmanna komi ekki fram undir liðnum starfsmannamál. Á þessu sé þó ein undantekning en það sé fundargerð [nefndar 1 hjá B] frá […] þar sem fram komi undir liðnum starfsmannamál að [C] hafi áminnt kvartanda (kvartandi nefnd þar fullu nafni) fyrir […]. Samkvæmt […] sé [C] heimilt að áminna starfsmann fyrir brot á […] og hafi það verið gert. Enn fremur kemur fram í fundargerðinni að til standi flutningur kvartanda til […] og hafi […]ráðuneytið gert það að skilyrði fyrir flutningnum að áminningin verði dregin til baka. [Nefnd 1 hjá B] hafi farið vandlega yfir stöðuna og komist að þeirri niðurstöðu að samþykkja að draga áminninguna til baka þar sem það séu ríkari hagsmunir [B] og starfsmanna hans að ljúka þessu máli sem fyrst. Í bréfi kvartanda segir að þessar upplýsingar sem fram komi í fyrrgreindri fundargerð séu gerðar opinberar öllum starfsmönnum […] [B] og að kvartandi vilji bæta þessu gagni við þá kvörtun sem liggi fyrir hjá Persónuvernd til úrlausnar. Í bréfi [B] kemur fram að kvartandi sem starfsmaður hafi haft aðgang að öllum fundargerðum [nefndar 1 hjá B] á heimasíðu [B] og að hún hafi aldrei borið fram kvörtun vegna nafnbirtinganna. Bendir kvartandi á að fundargerðir [B] berist seint og stopult inn á heimasíðu [B]. Telur kvartandi að þau rök [B] að hún hafi ekki kvartað yfir fundargerðunum og því sé nafnbirtingin í lagi ekki vera rök sem haldi.

Kvartandi tekur fram að lokum að endurtekin nafnbirting eins starfsmanns í fundargerðum vegna ólöglegrar og ómálefnalegrar uppsagnar [C], sem og birting upplýsinga um að […] hafi veitt starfsmanni áminningu, jafn ólöglega og ómálefnalega og uppsögnina, sé kærð sem alvarlegt brot á persónuverndarlögum.

Í tölvupóstum, dags. 5. júní 2018 og 13. ágúst 2018, kom kvartandi á framfæri viðbótargögnum í málunum. Annars vegar var um að ræða fundargerð [nefndar 1 hjá B] nr. […] og hins vegar tvær fundargerðir [nefndar 2 hjá B] frá […] og […]. Voru persónuauðkenni kvartanda ekki afmáð í fundargerðunum.

II.

Forsendur og niðurstaða

 

1.

Lagaskil

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga sem giltu þegar kvörtun þessi barst voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi 15. júlí 2018. Þau lögfestu jafnframt reglugerð (ESB) 2016/679 um persónuvernd, eins og hún var aðlöguð og tekin upp í EES-samninginn. Þar sem kvartanir þessar beinast að ástandi sem enn er til staðar, þ.e. birtingu fundargerða [nefndar 2 hjá B] og [nefndar 1 hjá B] á vefsíðu og innri vef [B], auk þess sem þær reglur laga um persónuvernd sem á reynir hafa ekki breyst efnislega, verður leyst úr málinu á grundvelli laga nr. 90/2018.

2.

Gildissvið laga nr. 90/2018

Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling, en einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laganna. Þá er með vinnslu átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráningu, flokkun, kerfisbindingu, varðveislu, aðlögun eða breytingu, heimt, skoðun, notkun, miðlun með framsendingu, dreifingu eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtengingu eða samkeyrslu, aðgangstakmörkun, eyðingu eða eyðileggingu, sbr. 4. tölulið sömu greinar.

Mál þetta lýtur að birtingu [B] á fundargerðum á vefsíðu [B] og innri vef þar sem nafn kvartanda og upphafsstafir koma fyrir. Að því virtu er ljóst að mál þetta varðar vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga. Eins og hér háttar til telst [B] vera ábyrgðaraðili að umræddri vinnslu.

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir einhverja af heimildunum samkvæmt 9. gr. laga nr. 90/2018. Þær heimildir sem einkum koma til álita í tengslum við vinnslu persónuupplýsinga hjá stjórnvöldum, í þessu tilviki [B], eru að vinnsla sé nauðsynleg til að fullnægja lagaskyldu eða við beitingu opinbers valds, sbr. 3. og 5. tölul. 9. gr. laga nr. 90/2018.

Að auki þarf, sem ávallt við vinnslu persónuupplýsinga, að vera fullnægt öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018. Í því felst meðal annars að vinnsla skal vera sanngjörn og að upplýsingar skulu ekki vera umfram það sem nauðsynlegt er miðað við tilgang vinnslu, sbr. 1. og 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018.

Óumdeilt er að fundargerðir [nefndar 2 hjá B] frá […] 2017, […]2018 og […]2018 voru birtar á vefsíðu [B]. Þá er jafnframt óumdeilt að fundargerðir [nefndar 1 hjá B] nr. […], […], […], […], […], […], […]og […]voru birtar á innri vef [B] sem aðgengilegur er öllum starfsmönnum hans […]. Við birtingu fundargerðanna voru persónuauðkenni kvartanda ekki afmáð en ýmist var hún nefnd með upphafsstöfum sínum eða fullu nafni.

Persónuvernd telur framangreinda birtingu [B] á persónuupplýsingum um kvartanda ekki samrýmast framangreindum grunnkröfum um sanngirni og meðalhóf við vinnslu persónuupplýsinga.

Þá er til þess að líta að þó að stjórnvöldum sé heimilt og jafnvel skylt að veita almenningi með reglubundnum hætti upplýsingar um starfsemi sína skv. 13. gr. upplýsingalaga nr. 140/2012 verður í því tilliti að líta sérstaklega til 9. gr. laganna þar sem segir að óheimilt sé að veita almenningi aðgang að upplýsingum um einka- eða fjárhagsmálefni einstaklinga sem sanngjarnt er og eðlilegt að leynt fari nema sá samþykki sem í hlut á. Stjórnvöld hafa almennt afmáð persónuauðkenni einstaklinga við birtingu á úrskurðum sínum, en sú framkvæmd er í anda framangreindra ákvæða 8. gr. laga nr. 90/2018.

Með hliðsjón af þessu og með vísan til alls framangreinds er lagt fyrir [B], sbr. 6. tölul. 42. gr. laga nr. 90/2018, að afmá persónugreinanlegar upplýsingar úr fundargerðum [nefndar 2 hjá B] frá […]2017, […]2018 og […]2018 sem birtar eru á vefsíðu [B]. Jafnframt er lagt fyrir [B] að afmá persónugreinanlegar upplýsingar úr fundargerðum [nefndar 1 hjá B] af fundum nr. […], […], […], […], […], […], […]og […]sem birtar eru á innri vefsíðu [B]. Eigi síðar en hinn 5. október 2018 skal Persónuvernd hafa borist bréfleg staðfesting á því að upplýsingarnar hafi verið afmáðar.

Ú r s k u r ð a r o r ð:

Birting [B] á persónuupplýsingum um kvartanda í fundargerðum [nefndar 2 hjá B] frá […], […] og […] á vefsíðu [B], sem og í fundargerðum [nefndar 1 hjá B] af fundum nr. […], […], […], […], […], […], […]og […] á innri vefsíðu [B], fer í bága við lög um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018.

Eigi síðar en 5. október 2018 skal [B] senda Persónuvernd skriflega staðfestingu á því að persónugreinanlegar upplýsingar hafi verið afmáðar úr fundargerðunum.