Birting viðkvæmra persónuupplýsinga í starfsauglýsingu

Mál nr. 2020010284

4.11.2020

Úrskurður

Hinn 28. október 2020 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010284:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 3. janúar 2020 barst Persónuvernd kvörtun frá […] (hér eftir nefnd „kvartandi“) yfir birtingu persónuupplýsinga um hana í starfsauglýsingu [framhaldsskóla X] sem birtist í Morgunblaðinu þann […]. Í auglýsingunni segir að óskað sé eftir kennara til starfa við skólann [tímabundið] vegna veikinda. Í kvörtun segir að kvartandi sé í veikindaleyfi frá störfum sínum sem […]kennari við skólann, en tveir kennarar séu við […]deild hans. […]

Með bréfi, dags. 2. júlí 2020, var [X] boðið að koma á framfæri athugasemdum vegna kvörtunarinnar, en svar barst með bréfi, dags. 10. ágúst s.á.

Við úrlausn málsins hefur verið tekið tillit til framangreindra gagna, þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

Sjónarmið kvartanda

Kvartandi telur birtingu framangreindrar starfsauglýsingar [X] ekki hafa samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Að mati kvartanda má ráða af auglýsingunni að um hennar starf hafi verið að ræða og óþarfi hafi verið að tilgreina að ástæða auglýsingarinnar hafi verið vegna veikinda kennara.

 

3.

Sjónarmið [X]

Í svari [X] segir að umrædd auglýsing hafi verið birt í Fréttablaðinu, Morgunblaðinu og á vefsíðu Stjórnarráðsins […]. Orðalag starfsauglýsingarinnar, þ.e. að um afleysingu vegna veikinda sé að ræða, hafi verið sett fram á þennan hátt vegna þess að skólinn hafi þurft að bregðast hratt við og ráða nýjan kennara. Orðalagið hafi verið nauðsynlegt til að láta áhugasama vita um ástæðu afleysingar og að tímabil afleysingar gæti tekið breytingum. Í svari skólans segir að slíkar breytingar á tímabili afleysinga sé andstæða þess þegar um er að ræða tímabundna afleysingu vegna námsleyfis, ólaunaðs leyfis eða fæðingaorlofs sem er bundið tilteknu tímabili. Einnig segir að heppilegra hefði verið að nota orðið „afleysing“ fremur en „vegna veikinda“ og að skólinn muni gæta að því hér eftir.

Að mati skólans var þó ekki um að ræða persónuupplýsingar í skilningi laga nr. 90/2018. Við skólann hafi verið tvær fastar stöður […]kennara og gegndi kvartandi annarri stöðunni. Tveir afleysingakennarar höfðu leyst kvartanda af í það ár sem hún hafði verið í veikindaleyfi frá stöðu sinni við skólann. Afleysingakennararnir gátu ekki starfað áfram við skólann og var því ákveðið að birta umrædda auglýsingu. Í auglýsingunni komu ekki fram persónugreinanlegar upplýsingar um kvartanda né var að finna slíkar upplýsingar á vefsíðu skólans. Með vísan til þess að í raun gat verið um fjóra einstaklinga að ræða, þ.e. kvartanda, hinn fasta [kennarann] við skólann auk tveggja afleysingakennara, hafnar skólinn því að persónuupplýsingar hafi verið birtar í umræddri auglýsingu.

Þá er í bréfinu vakin athygli á því að með leit á vefsíðunni Timarit.is megi finna á fimmta tug dæma á árunum 2000-2018 þar sem óskað er eftir afleysingarkennara í grunn- og framhaldsskólum þar sem fram kemur að afleysingar séu vegna veikinda eða veikindaforfalla.

Loks kemur fram að vinnuveitandi hafi heimild til að skrá og varðveita upplýsingar um veikindafjarvistir starfsmanna sinna samkvæmt kjarasamningum, lögum nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins og lögum nr. 19/1979 um rétt verkafólks til uppsagnarfrests frá störfum og til launa vegna sjúkdóms- og slysaforfalla. Þá beri skólanum á grundvelli laga nr. 70/1996 og reglna nr. 1000/2019 um auglýsingar lausra starfa að gæta þess að efni auglýsingar sé nægilega greinargott fyrir mögulega umsækjendur til að átta sig á því á hvaða grundvelli afleysing fari fram.

4.

Skoðun Persónuverndar á vefsíðu [X]

Við skoðun Persónuverndar á vefsíðu skólans þann 19. júní 2020 voru þrír […]kennarar skráðir meðal starfsmanna, en við nafn kvartanda segir að hún sé í leyfi. Við síðari skoðun Persónuverndar á vefsíðu skólans þann 11. september s.á. var kvartandi ekki skráður meðal starfsmanna skólans.

 

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Af hálfu [X] hefur komið fram að það sé mat skólans að ekki hafi verið um að ræða persónuupplýsingar, þar sem tvær fastar stöður […]kennara hafi verið við skólann og tveir kennarar hefðu starfað í afleysingum það ár sem kvartandi hefði verið í veikindaleyfi frá stöðu sinni við skólann. Þá hafi ekki verið birtar neinar upplýsingar, s.s. á vefsíðu skólans, sem tengja megi við upplýsingar úr starfsauglýsingunni og rekja beint til kvartanda. Líkt og að framan greinir voru þrír starfsmenn skráðir sem kennarar í […] við skoðun Persónuverndar á vefsíðu skólans þann 19. júní 2020, en kvartandi var þá skráður í leyfi. Er það því mat Persónuverndar að með birtingu upplýsinganna í umræddri starfsauglýsingu hafi skólinn birt persónugreinanlegar upplýsingar um kvartanda, þ.e. upplýsingar sem var hægt að rekja til hans með því að tengja þær við upplýsingar sem voru aðgengilegar á vefsíðu skólans.

Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst [X] vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018 og 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. 9. gr., sbr. c-lið 6. gr. reglugerðar (ESB) 2016/679. Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna og 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna og 1. tölul. 9. gr. reglugerðarinnar teljast heilsufarsupplýsingar viðkvæmar persónuupplýsingar, en líkt og komið hefur fram voru slíkar persónugreinanlegar upplýsingar birtar um kvartanda í starfsauglýsingu á vegum skólans.

Eins og hér háttar til kemur þá einkum til skoðunar 2. tölul. 1. mgr. 11. gr. laganna, sbr. b-lið 9. gr. reglugerðarinnar þess efnis að vinnslan sé nauðsynleg til að ábyrgðaraðili eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf og löggjöf um almannatryggingar og félagslega vernd og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða. Einnig getur komið til skoðunar 7. tölul. 11. gr., sbr. g-lið 9. gr. reglugerðarinnar þess efnis að vinnslan sé nauðsynleg af ástæðum sem varða verulega almannahagsmuni og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.

Við mat á því hvort heimild standi til vinnslu persónupplýsinga og eftir atvikum hvort skilyrði séu uppfyllt fyrir vinnslu viðkvæmra persónuupplýsinga verður, auk tilvitnaðra ákvæða laga nr. 90/2018, einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni.

Af hálfu ábyrgðaraðila hefur komið fram að vinnuveitandi hafi heimild til að skrá og varðveita upplýsingar um veikindafjarvistir starfsmanna sinna samkvæmt kjarasamningum og lögum nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins og lögum nr. 19/1979 um rétt verkafólks til uppsagnarfrests frá stöfum og til launa vegna sjúkdóms- og slysaforfalla. Að mati Persónuverndar getur skráning fjarvista starfsmanna vegna veikinda talist eðlilegur þáttur í starfsemi vinnuveitanda en framangreindar lagaheimildir geta hins vegar ekki, eins og hér háttar til, rennt stoðum undir þá vinnslu persónuupplýsinga sem kvörtun lýtur að.

Kemur þá til skoðunar hvort umrædd vinnsla persónuupplýsinga geti stuðst við ákvæði í lögum nr. 70/1996 og reglum nr. 1000/2019 um auglýsingu lausra starfa. Samkvæmt 1. mgr. 7. gr. laga nr. 70/1996 skal auglýsa laust embætti í Lögbirtingarblaði, en samkvæmt 3. mgr. sama ákvæðis skulu önnur störf auglýst samkvæmt reglum sem settar skulu af ráðherra. Samkvæmt 2. gr. reglna nr. 1000/2019 er skylt að auglýsa laus störf nema í tilteknum undantekningartilvikum. Í 3. gr. sömu reglna segir enn fremur að í auglýsingu um laust starf skuli tilgreina starfsheiti, heiti stofnunar og staðsetningu starfs, en auk þess segir í 1. tölul. ákvæðisins að tilgreina skuli hvaða starf og starfssvið sé um að ræða og að lýsing starfs skuli vera nægjanlega greinargóð til þess að mögulegir umsækjendur geti gert sér glögga grein fyrir því í hverju starfið felst. Að mati Persónuverndar getur slík almenn skylda ábyrgðaraðila til að veita upplýsingar í starfsauglýsingu hvorki talist fullnægjandi heimild til vinnslu viðkvæmra persónuupplýsinga um starfsmenn né nauðsynleg til að fullnægja framangreindri lagaskyldu.

Af hálfu ábyrgðaraðila er bent á að með leit á vefsíðunni Timarit.is megi finna á fimmta tug dæma á árunum 2000-2018 þar sem óskað var eftir afleysingarkennara í grunn- og framhaldsskólum vegna veikinda eða veikindaforfalla. Verður ekki fallist á að vísun til slíkra auglýsinga réttlæti birtingu viðkvæmra persónuupplýsinga í því tilviki sem hér um ræðir, enda liggur ekkert fyrir um hvort aðrar upplýsingar hafi verið til staðar sem ollu því að tilvísun til veikinda eða veikindaforfalla væru persónugreinanlegar í þeim dæmum sem hér er vísað til.

Með hliðsjón af öllu framangreindu er það því niðurstaða Persónuverndar vinnsla [X] á persónuupplýsingum um kvartanda við birtingu starfsauglýsingar hafi ekki verið í samræmi við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Ú r s k u r ð a r o r ð:

Vinnsla [X] á persónuupplýsingum um […] í tengslum við birtingu starfsauglýsingar í Morgunblaðinu þann […]samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 28. október 2020

Helga Þórisdóttir                     Helga Sigríður Þórhallsdóttir