Ekki tekin afstaða til kvörtunar vegna aðgangs að persónuupplýsingum - kvörtun yfir skorti á upplýsingum um áminningu vísað frá
Mál nr. 2020123070
Persónuvernd barst kvörtun yfir afgreiðslu fyrirtækis á beiðni einstaklings, sem hafði starfað hjá fyrirtækinu, um aðgang að áminningu sem honum átti að hafa verið veitt. Auk þess var kvartað yfir því að starfsmaðurinn hefði ekki fengið upplýsingar um áminninguna fyrr en um tveimur árum eftir að hún átti að hafa verið veitt.
Persónuvernd vísaði frá þeim hluta kvörtunarinnar sem laut að því að starfsmanninum hefði ekki verið tilkynnt um áminninguna, í ljósi þess að um álitaefni að vinnurétti væri að ræða sem ekki félli undir gildissvið persónuverndarlaga og valdsvið stofnunarinnar.
Þar sem starfsmanninum og fyrirtækinu bar ekki saman um það hvort kvartandi hefði sett fram munnlega beiðni um aðgang að persónuupplýsingum sínum eða ekki taldi Persónuvernd sig ekki hafa forsendur til að taka afstöðu til þess hvort brotið hefði verið gegn rétti kvartanda að þessu leyti.
Úrskurður
Hinn 11. nóvember 2021 kvað Persónuvernd upp
svohljóðandi úrskurð í máli nr. 2020123070:
I.
Málsmeðferð
Hinn 14. desember 2020 barst Persónuvernd kvörtun [A] (hér eftir nefndur kvartandi) sem laut að því að [X] hefði ekki sýnt honum eða látið honum í té afrit af skriflegri áminningu, sem fyrirtækið hefði veitt honum árið 2017, til samræmis við beiðni hans.
Með bréfi, dags. 10. júní 2021, upplýsti Persónuvernd [X] um kvörtunina og veitti fyrirtækinu kost á því að tjá sig um hana. Svarað var af hálfu lögmanns fyrirtækisins með bréfi, dags. 22. s.m. Í bréfinu kemur meðal annars fram að kvartandi hafi aldrei óskað eftir afriti áminningarinnar en það hafi stéttarfélag hans hins vegar gert þann 14. janúar 2021 og fyrirtækið hafi orðið við þeirri beiðni samdægurs. Bréfinu fylgdu afrit tölvupóstsamskipta fyrirtækisins og stéttarfélagsins þessu til staðfestingar.
Með bréfi, dags. 26. júní 2021, var kvartanda boðið að tjá sig um svör [X]. Svarað var af hálfu kvartanda með bréfi, dags. 15. júlí s.á. Í bréfinu kemur meðal annars fram að kvartandi hafi þann 11. mars 2020 sett beiðni sína fram munnlega, í kjölfar annarrar áminningar sem honum hafi verið veitt þann sama dag. Í bréfinu segir einnig að kvörtunin lúti einkum að því að kvartandi hafi fyrst verið upplýstur um áminninguna frá árinu 2017 meira en tveimur árum eftir að hún átti að hafa verið veitt og að kvartandi telji það stríða gegn meginreglu persónuverndarréttarins um gagnsæi og sanngirni við vinnslu persónuupplýsinga.
II.
Niðurstaða
Persónuvernd telur að líta verði svo á að mál þetta lúti í fyrsta lagi að því að kvartandi hafi ekki fengið upplýsingar um skriflega áminningu sem honum á að hafa verið veitt árið 2017 af hálfu [X]. Á þeim tíma voru í gildi lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga sem giltu um sérhverja rafræna vinnslu persónuupplýsinga og um handvirka vinnslu persónuupplýsinga voru eða áttu að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Að áliti Persónuverndar ber að leggja til grundvallar að þetta umkvörtunarefni lúti í reynd að því hvort kvartanda hafi verið veitt áminning af hálfu [X] og sé að því leyti álitaefni að vinnurétti, en varði ekki heimildir vinnuveitanda til að skrá persónuupplýsingar um starfsmenn sína. Persónuvernd bendir á að birting áminningarinnar kann að hafa þýðingu hvað varðar gildi hennar, en úrlausn um það atriði heyrir ekki undir Persónuvernd. Eins og umkvörtunarefnið er sett fram verður ekki séð að það varði vinnslu persónuupplýsinga sem féll undir gildissvið laga nr. 77/2000 eins og það var afmarkað í 1. mgr. 3. gr. þeirra. Af því leiðir að úrlausn þess fellur utan valdsviðs Persónuverndar samkvæmt 2. mgr. 37. gr. laganna, sbr. nú 2. mgr. 39. gr. laga nr. 90/2018, og ber samkvæmt því að vísa þessu úrlausnarefni frá.
Mál þetta varðar í öðru lagi þá staðhæfingu kvartanda að [X] hafi ekki afgreitt beiðni hans um aðgang að umræddri áminningu sem hann kveðst hafa sett fram þann 11. mars 2020. Þá höfðu tekið gildi lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem mæla fyrir um rétt skráðra einstaklinga til aðgangs að eigin persónuupplýsingum frá ábyrgðaraðilum, sbr. 2. mgr. 17. gr. þeirra, sbr. einnig 15. gr. reglugerðar (ESB) 206/679 sem innleidd var með lögunum. Aðgangsrétturinn tekur meðal annars til þess að fá afrit af þeim persónuupplýsingum sem ábyrgðaraðili hefur til vinnslu, sbr. 3. mgr. reglugerðarákvæðisins.
Aðila greinir á um hvort kvartandi hafi þann 11. mars 2020 sett fram beiðni um aðgang að umræddri áminningu, en samkvæmt kvartanda var beiðnin sett fram munnlega. Samkvæmt því stendur orð gegn orði um þetta atriði. Hefur Persónuvernd því ekki forsendur til að taka afstöðu til þess hvort [X] hafi brotið gegn aðgangsrétti kvartanda samkvæmt lögum nr. 90/2018 og reglugerð (ESB) 2016/679. Þá verður ekki séð að unnt sé að kanna það frekar með þeim úrræðum sem Persónuvernd hefur lögum samkvæmt, eða að tilefni sé til þess að stofnunin beiti þeim valdheimildum, sem henni eru fengnar í lögum, til þess að rannsaka það nánar. Í þessu sambandi bendir Persónuvernd hins vegar á að samkvæmt gögnum málsins hefur kvartandi nú fengið afrit umræddrar áminningar frá [X]. fyrir atbeina stéttarfélags síns.
Ú r s k u r ð a r o r ð:
Vísað er frá þeim hluta kvörtunar [A] sem lýtur að því að [X] hafi ekki tilkynnt honum um skriflega áminningu sem honum var veitt árið 2017.
Ekki liggur fyrir að [X] hafi brotið gegn rétti [A] til aðgangs að umræddri áminningu samkvæmt lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.
Helga Þórisdóttir Helga Sigríður Þórhallsdóttir