Munnleg öflun persónuupplýsinga
Mál nr. 2020010655
Vísað hefur verið frá kvörtun starfsmanns Landspítala yfir því að yfirmaður hennar þar hafi aflað persónuupplýsinga um kvartanda símleiðis hjá tveimur öðrum heilbrigðisstofnunum, þar sem kvartandi starfaði.
Það var niðurstaða Persónuverndar að ekki hefði verið sýnt fram á í málinu að skrá hefði verið notuð við munnlega miðlun upplýsinganna. Því hafi einungis verið um munnlega miðlun persónuupplýsinga að ræða, sem ein og sér, fellur almennt ekki undir gildissvið persónuverndarlaganna. Var málinu því vísað frá.
Efni: Frávísun máls
Persónuvernd vísar til kvörtunar [...], dags. 25. júlí 2019, yfir öflun yfirmanns þíns á Landspítala á persónuupplýsingum um þig frá öðrum vinnuveitendum þínum.
Kvörtunin lýtur nánar tiltekið að því að yfirmaður þinn hafi haft samband símleiðis, annars vegar við Heilbrigðisstofnun [...], þann 18. júní 2019, og hins vegar við Heilbrigðisstofnun [...], þann 16. júlí s.á., í þeim tilgangi að afla upplýsinga um vinnuframlag þitt á viðkomandi stofnunum.
1.
Persónuvernd úrskurðar í ágreiningsmálum er varða lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Um gildissvið laganna er fjallað í 4. gr. þeirra, en þar segir að lögin og reglugerð (ESB) 2016/679 gildi um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og um vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.
Þá er hugtakið vinnsla skilgreint í 4. tölul. 3. gr. laganna sem aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki, svo sem söfnun, skráning, flokkun, kerfisbinding, varðveisla, aðlögun eða breyting, heimt, skoðun, notkun, miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtenging eða samkeyrsla, aðgangstakmörkun, eyðing eða eyðilegging.
Af framangreindu má ráða að munnleg miðlun persónuupplýsinga, ein og sér, fellur almennt ekki undir gildissvið laganna heldur þurfa upplýsingarnar með einhverjum hætti að vera á stafrænu eða skráðu formi.
2.
Af fyrri úrskurðum Persónuverndar í málum um munnlega miðlun, sbr. t.d. mál nr. 2018010086, 2016/911 og 2015/692, sem allir voru kveðnir upp í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, má ráða að við úrlausn slíkra mála fer fram atviksbundið mat á því hvort persónuupplýsingar, sem miðlað var munnlega, væru í beinum, sérstökum og nægjanlegum tengslum við skrá í skilningi 3. gr. laga nr. 77/2000, sbr. nú 4. gr. laga nr. 90/2018. Ef slíkt náið samhengi var á milli munnlegrar miðlunar og skrár var talið að miðlunin gæti fallið undir hugtakið vinnslu í skilningi 2. tölul. 2. gr. eldri laga, sbr. nú 4. tölul. 3. gr. laga 90/2018, og því sömuleiðis undir gildissvið þágildandi laga nr. 77/2000. Nefnda úrskurði Persónuverndar er að finna á vefsíðu stofnunarinnar.
3.
Í máli þessu liggur fyrir að yfirmaður þinn hafði samband símleiðis við tvær heilbrigðisstofnanir og ræddi þar annars vegar við starfsmann [...]deildar [heilsugæslu] og hins vegar við starfsmann [...] [ákveðinnar deildar][á annarri heilsugæslu]. Ekkert liggur fyrir í málinu sem staðfestir að skrá hafi verið notuð við miðlun umræddra upplýsinga. Þá verður ekki séð að unnt sé að afla frekari gagna til þess að rannsaka það frekar.
Með vísan til framangreinds verður ekki talið sýnt fram á að það álitaefni sem kvörtunin lýtur að heyri undir gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og valdsvið Persónuverndar, eins og það er skilgreint í lögunum og reglugerð (ESB) 2016/679.
Með vísan til framangreinds er kvörtuninni vísað frá.
Afgreiðsla máls þessa hefur dregist vegna mikilla anna hjá Persónuvernd.
F.h. Persónuverndar,
Helga Þórisdóttir Helga Sigríður Þórhallsdóttir