Framsending innri endurskoðunar Reykjavíkurborgar á erindi til umboðsmanns borgarbúa

Mál nr. 2018/1441

10.9.2019

Úrskurður

Hinn 27. ágúst 2019 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2018/1441:

I.

Málsmeðferð

1.

Tildrög máls

Þann 17. september 2018 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) vegna framsendingar innri endurskoðunar Reykjavíkurborgar á erindi kvartanda til umboðsmanns borgarbúa, dags. 12. júlí 2018. Í kvörtuninni kemur meðal annars fram að kvartað sé yfir broti á trúnaði sem átt hafi sér stað með því að innri endurskoðun Reykjavíkurborgar framsendi ábendingu kvartanda til umboðsmanns borgarbúa, sem hóf formlega málsmeðferð án samþykkis kvartanda.

2.

Bréfaskipti

Með bréfi, dags. 18. desember 2018, var Reykjavíkurborg boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf Reykjavíkurborgar, dags. 9. janúar 2019, barst Persónuvernd þann 15. s.m. þar sem fram kemur að innri endurskoðun hafi borist erindi frá kvartanda þar sem kvartað var yfir því að starfsmenn á mannréttindaskrifstofu Reykjavíkurborgar væru allir konur, að einum starfsmanni undanskildum, og að borið hefði á öfgafeminisma í riti sem hafi verið gefið út af mannréttindaskrifstofu borgarinnar, Mannorði. Í erindi kvartanda hafi einnig verið bent á að við ráðningu borgarlögmanns sumarið 2017 hefði kona verið ráðin í starfið en ekki karl. Erindi kvartanda hafi verið sett fram sem kvörtun en óskað hafi verið nafnleyndar. Í svarbréfi Reykjavíkurborgar kemur fram að eftir skoðun af hálfu innri endurskoðunar hafi verið talið að erindið snerti ekki starfssvið þess og ætti fremur heima hjá umboðsmanni borgarbúa. Hafi erindið því verið áframsent til umboðsmanns borgarbúa og hafi nafn kvartanda fylgt með erindinu sem kvartandi sé nú ósáttur við.

Einnig segir í svarbréfi Reykjavíkurborgar að innri endurskoðun Reykjavíkurborgar sé hluti stjórnsýslu Reykjavíkurborgar og því stjórnvald sem um gildi meðal annars stjórnsýslulög nr. 37/1993. Samkvæmt 2. mgr. 7. gr. stjórnsýslulaga beri stjórnvaldi að áframsenda erindi sem ekki snerti starfssvið þess á réttan stað svo fljótt sem unnt er. Telja verði hafið yfir vafa að innri endurskoðun hafi verið rétt og skylt að áframsenda erindi kvartanda á réttan stað. Hafi því erindið verið áframsent í heild sinni til umboðsmanns borgarbúa sem hafi meðal annars það hlutverk að hafa eftirlit með stjórnsýslu Reykjavíkurborgar. Jafnframt verði talið af hálfu Reykjavíkurborgar að nauðsynlegt hafi verið að láta upplýsingar um kvartanda fylgja við framsendingu þess, svo embætti umboðsmanns borgarbúa yrði mögulegt að eiga frekari samskipti við kvartanda. Þá segir í fyrrgreindu bréfi Reykjavíkurborgar til Persónuverndar að í íslenskum stjórnsýslurétti gildi jafnan sú regla að ekki sé unnt að heita trúnaði þegar erindi eru send til opinberra aðila og geti einstaklingar jafnan ekki áskilið sér rétt til nafnleyndar gagnvart stjórnvöldum og er í því sambandi vísað til álita umboðsmanns Alþingis nr. 3091/2000 og 3680/2002. Ljóst sé að kvartandi hafi óskað eftir nafnleynd þegar hann bar erindi sitt upp við innri endurskoðun og færa megi rök fyrir því að mögulega hefði könnun á afstöðu kvartanda til framsendingar erindis hans til umboðsmanns borgarbúa verið í samræmi við vandaða stjórnsýsluhætti. Jafnframt segir að þó verði ekki litið fram hjá því að bæði innri endurskoðun og umboðsmaður borgarbúa teljist til óháðra embætta innan stjórnsýslu Reykjavíkurborgar. Að lokum segir að ekki verði séð að brotið hafi verið á hagsmunum kvartanda við framsendingu erindis hans, hvorki út frá málsmeðferðarreglum stjórnsýsluréttar né meginreglum persónuverndarlaga, ekki síst með hliðsjón af eðli þeirra persónuupplýsinga sem fram komu í erindi kvartanda. Falli umrædd vinnsla persónuupplýsinga því undir 3. tölul. 1. mgr. 9. gr. persónuverndarlaga og sé að öðru leyti í samræmi við meginreglur 8. gr. laganna.

Með bréfi, dags. 16. janúar 2019, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Reykjavíkurborgar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf kvartanda, dags. 27. janúar 2018, barst Persónuvernd þann 28. s.m. þar sem kvartandi ítrekar þá afstöðu sína að erindi hans hafi verið áframsent án þess að bera það undir hann fyrst. Loks rekur kvartandi í svarbréfi sínu efasemdir sínar um að rétt sé að persónuverndarfulltrúi Reykjavíkurborgar sé að svara bréfum til Persónuverndar fyrir hönd innri endurskoðunar Reykjavíkurborgar.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili - Afmörkun máls

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að áframsendingu innri endurskoðunar Reykjavíkurborgar á erindi kvartanda ásamt upplýsingum um nafn hans. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Samkvæmt 2. mgr. 39. gr. laga nr. 90/2018 á skráður einstaklingur rétt á að leggja fram kvörtun hjá Persónuvernd ef hann telur að vinnsla persónuupplýsinga um hann brjóti í bága við lögin eða reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679. Í samræmi við þessi ákvæði verður hér einungis fjallað um vinnslu persónuupplýsinga um kvartanda hjá innri endurskoðun Reykjavíkurborgar. Verður því ekki vikið að því hvernig Reykjavíkurborg kýs að standa að svörun erinda til Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga. Eins og hér háttar til telst innri endurskoðun Reykjavíkurborgar vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Þær heimildir sem einkum koma til álita í tengslum við vinnslu persónuupplýsinga hjá stjórnvöldum, í þessu tilviki innri endurskoðun Reykjavíkurborgar, eru að vinnsla sé nauðsynleg til að fullnægja lagaskyldu eða við beitingu opinbers valds, sbr. 3. og 5. tölul. 9. gr. laga nr. 90/2018.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.)

Við mat á því hvort heimild til vinnslu persónuupplýsinga sé til staðar getur eftir atvikum þurft að líta til ákvæða í öðrum lögum. Eins og hér háttar til reynir þá einkum á stjórnsýslulög nr. 37/1993, en samkvæmt 1. mgr. 1. gr. þeirra taka lögin til stjórnsýslu ríkis og sveitarfélaga þegar stjórnvöld taka ákvarðanir um rétt eða skyldu manna, sbr. 2. mgr. 1. gr. Þá er til þess að líta að samkvæmt 2. mgr. 7. gr. stjórnsýslulaga ber stjórnvaldi að áframsenda erindi sem ekki snerti starfssvið þess á réttan stað svo fljótt sem unnt er.

Innri endurskoðun telst til óháðs embættis innan Reykjavíkurborgar og nýtur faglegs sjálfstæðis í störfum sínum gagnvart allri stjórnsýslu borgarinnar samkvæmt starfsreglum innri endurskoðunar. Með vísan til framangreinds verður að ætla innri endurskoðun Reykjavíkurborgar nokkurt svigrúm til vinnslu upplýsinga er varða lagaskyldur embættisins, sbr. 3. tölul. 1. mgr. 9. gr. laga nr. 90/2018. Hins vegar er til þess að líta að framangreind 1. mgr. 8. gr. laga nr. 90/2018 setur þeirri vinnslu viss mörk.

Samkvæmt skýringum Reykjavíkurborgar var umrætt erindi kvartanda framsent af innri endurskoðun Reykjavíkurborgar þar sem ekki hafi verið talið að erindið varðaði starfssvið þess. Var erindið framsent til umboðsmanns borgarbúa sem hefur meðal annars það hlutverk að hafa eftirlit með stjórnsýslu Reykjavíkurborgar. Sætir slíkt faglegt mat innri endurskoðunar ekki endurskoðun Persónuverndar. Í því sambandi er til þess að líta að efni erindis kvartanda varðaði ekki viðkvæmar persónuupplýsingar um kvartanda, sbr. b-lið 3. tölul. 1. mgr. 3. gr. laga nr. 90/2018, eða aðrar upplýsingar sem háðar eru þagnarskyldu skv. 18. gr. laga nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins. Með hliðsjón af því og öðru framangreindu verður að telja að innri endurskoðun Reykjavíkurborgar hafi verið heimilt að framsenda umrætt erindi kvartanda til umboðsmanns borgarbúa á grundvelli 3. tölul. 1. mgr. 9. gr. laga nr. 90/2018, auk þess sem ekki verður séð að farið hafi verið í bága við 1. mgr. 8. gr. laganna. Er framangreind niðurstaða í samræmi við úrskurði Persónuverndar í máli nr. 2018/613 þar sem Embætti landlæknis var talið heimilt að framsenda ábendingu sem embættinu hafði borist til Hrafnistu en ábendingin varðaði vistmann stofnunarinnar. Ekki verður hér tekin afstaða til þess hvort umrædd málsmeðferð uppfyllir kröfur annarra laga.

Meðferð þessa máls hefur dregist vegna anna hjá Persónuvernd.

 

Ú r s k u r ð a r o r ð:

Framsending innri endurskoðunar Reykjavíkurborgar á innkomnu erindi [A] til umboðsmanns borgarbúa var heimil samkvæmt lögum nr. 90/2018.

 

Í Persónuvernd, 10. september 2019

Helga Þórisdóttir                                  Vigdís Eva Líndal