Úrskurður um vinnslu persónuupplýsinga hjá fyrrverandi vinnuveitanda
Mál nr. 2020010635
Persónuvernd hefur úrskurðað í máli þar sem kvartað var yfir því að fyrrverandi vinnuveitandi kvartanda hefði myndað hann. Auk þess laut kvörtunin að varðveislu ljósmyndanna og framlagningu þeirra sem sönnunargögn fyrir dómi.
Persónuvernd komst að þeirri niðurstöðu að framlagning myndanna fyrir dómi hefði fallið utan gildisviðs laga nr. 90/2018 og var þeim hluta kvörtunarinnar því vísað frá.
Hins vegar taldi Persónuvernd að aðrar vinnsluaðgerðir fyrirtækisins hefðu samrýmst lögunum þar sem kvartanda hefði mátt vera ljóst að af honum kynnu að verða teknar mydir þar sem hann var staddur á fjölsóttum viðburði. Að auki hefði fyrirtækið verið undanþegið fræðsluskyldu.
Úrskurður
Hinn 16. desember 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010635 (áður 2019051085):
I.
Málsmeðferð
1.
Kvörtun
Hinn 21. maí 2019 barst Persónuvernd kvörtun frá [B] lögmanni, fyrir hönd [A] (hér eftir kvartandi), yfir vinnslu persónuupplýsinga hans af hálfu [fyrirtækisins X]. Nánar tiltekið var kvartað yfir því að á vegum fyrirtækisins hefðu verið teknar ljósmyndir af kvartanda á ráðstefnu […] án hans vitneskju, þær varðveittar og síðar lagðar fram í dómsmáli milli aðila. Með kvörtuninni fylgdu meðal annars afrit ljósmyndanna og greinargerð [X] í umræddu dómsmáli sem lögð var fram fyrir dómi […].
2.
Málsmeðferð
Með bréfi, dags. 16. apríl 2020, var [X] tilkynnt um framkomna kvörtun og veittur kostur á að tjá sig um hana. Svarað var af hálfu fyrirtækisins með bréfi, dags. 6. maí s.á. Með bréfi, dags. 17. júlí s.á., var svar fyrirtækisins kynnt lögmanni kvartanda og honum boðið að tjá sig um það. Hann svaraði með bréfi, dags. 13. ágúst s.á.
Með bréfi, dags. 23. desember 2020, óskaði Persónuvernd eftir frekari upplýsingum frá [X]. Svarað var af hálfu fyrirtækisins með bréfi, dags. 20. janúar 2021. Með bréfi, dags. 9. febrúar s.á., ítrekuðu með bréfi, dags. 8. mars s.á., óskaði Persónuvernd eftir enn frekari upplýsingum frá [X] um hvort fyrirtækið hefði staðið að þeirri ljósmyndatöku sem kvartað var yfir. Í ljósi þess að bréfum Persónuverndar var ekki sinnt áréttaði stofnunin efni þeirra við framkvæmdastjóra fyrirtækisins með símtali 11. júní s.á. Með tölvupósti 14. s.m., ítrekuðum með tölvupósti 22. júlí s.á., áréttaði Persónuvernd enn upplýsingabeiðni sína. Í fyrri tölvupóstinum var tekið fram að bærust ekki svör innan frests mætti búast við að Persónuvernd liti svo á að fyrirtækið hreyfði ekki andmælum við því að hafa staðið að þeirri ljósmyndatöku sem kvartað var yfir. Í seinni tölvupóstinum var tekið fram að ef ekki bærust svör við upplýsingabeiðni stofnunarinnar innan frests yrði málið tekið til úrskurðar á grundvelli fyrirliggjandi gagna og það kynni jafnframt að leiða til þess að misræmi í svörum fyrirtækisins yrði skýrt því í óhag.
Í ljósi sinnuleysis [X] gagnvart erindum Persónuverndar, svo sem að framan var rakið, skal áréttað að ábyrgðaraðila ber, að fenginni beiðni, að hafa samvinnu við stofnunina við framkvæmd verkefna hennar, sbr. 28. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 31. gr. reglugerðar (ESB) 2016/679. Telur Persónuvernd að fyrirtækið hafi ekki gætt að þeirri skyldu sinni með viðunandi hætti og er það ámælisvert.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þótt ekki sé sérstaklega gerð grein fyrir þeim í öllum eftirfarandi úrskurði.
Meðferð málsins hefur dregist vegna tafa á svörum frá [X] og vegna anna hjá Persónuvernd.
3.
Sjónarmið kvartanda
Af hálfu kvartanda er meðal annars á því byggt að myndataka, varðveisla og dreifing ljósmynda af persónugreinanlegum einstaklingi teljist vinnsla persónuupplýsinga sem falli undir gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Unnt hafi verið að persónugreina kvartanda á umræddum ljósmyndum þar sem hann hafi jafnframt verið aðalmyndefnið. Ekki hafi þýðingu í því sambandi að ljósmyndirnar hafi verið teknar á almannafæri.
Kvartandi telur [X] hafa skort heimild samkvæmt 9. gr. laga nr. 90/2018 til umræddrar vinnslu þar sem myndirnar hafi ekki verið nauðsynlegar til að verjast réttarkröfum í dómsmálinu, auk þess sem vinnslan hafi ekki verið gagnsæ, sanngjörn eða í samræmi við kröfur um meðalhóf. Í því sambandi bendir kvartandi á að vinnuveitendur kunni að eiga ákveðinn rétt til að fylgjast með starfsmönnum sínum við vinnu en það geti ekki talist vera eðlileg framkvæmd af hálfu vinnuveitenda að taka ljósmyndir af starfsmönnum á förnum vegi og án þeirra vitneskju. Að auki eigi starfsmenn almennt ekki að þurfa að þola það að vera undir eftirliti vinnuveitanda þegar þeir séu utan vinnu. Þá hafi félagið ekki rökstutt hvernig myndirnar hafi haft þýðingu við úrlausn réttarágreiningsins.
Þá byggir kvartandi á því að [X] hafi ekki sinnt fræðsluskyldu sinni vegna vinnslunnar. Kvartandi telur að ákvæði 13. gr. reglugerðar (ESB) 2016/679 gildi um vinnsluna og samkvæmt ákvæðinu hafi fyrirtækinu borið að veita kvartanda þær upplýsingar sem ákvæðið mælir fyrir um þegar vinnsla hófst, þ.e. við ljósmyndatökuna. Kvartanda hafi hins vegar ekki verið veittar slíkar upplýsingar þá og hann hafi fyrst fengið upplýsingar um tilvist ljósmyndanna við framlagningu þeirra í dómsmálinu. Þá hafi undanþáguákvæði ekki átt við þannig að heimilt hafi verið að víkja frá fræðsluskyldu.
4.
Sjónarmið [X]
Í bréfi [X] dags. 6. maí 2020, er meðal annars á því byggt að umrædd ljósmyndataka og framlagning ljósmynda af kvartanda í dómsmáli aðila hafi ekki falið í sér vinnslu persónuupplýsinga kvartanda sem falli undir gildissvið laga nr. 90/2018, með hliðsjón af því að þær hafi verið teknar á almannafæri. Þá hafi ljósmyndirnar einungis verið lagðar fram í umræddu dómsmáli til sönnunar á því að kvartandi hafi verið staddur á sölusýningu […] þrátt fyrir að hafa verið í veikindaleyfi frá störfum sínum fyrir [X] en þær hafi ekki verið unnar á annan hátt af hálfu fyrirtækisins.
Verði ekki fallist á ofangreind sjónarmið byggir [X] á því að umrædd vinnsla hafi verið heimil á grundvelli 7. tölul. 1. mgr. 9. gr. laga nr. 90/2018, sem heimilar vinnslu persónuupplýsinga sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. Í því sambandi bendir fyrirtækið á að ljósmyndunum hafi aðeins verið miðlað til dómara, sem sé bundinn af ströngum reglum um meðferð dómskjala, í þágu sönnunar tiltekins atriðis. Ekki fái staðist að mati fyrirtækisins að það séu grundvallarmannréttindi kvartanda eða varði frelsi hans að slík miðlun eigi sér ekki stað. Þá séu umræddar myndir saklausar og teknar á almannafæri á sölusýningu þar sem kvartanda hafi mátt vera ljóst að myndir kynnu að verða teknar af honum.
Í bréfi [X]., dags. 20. janúar 2021, segir að myndirnar sem málið varðar hafi ekki verið teknar í þeim tilgangi að nota gegn kvartanda, heldur hafi þær verið hluti af þeim ljósmyndum sem teknar hafi verið á umræddri sölusýningu, hvort heldur sem var af vörum eða þeim viðburðum sem þar fóru fram. Í símtali starfsmanns Persónuverndar við [B], framkvæmdastjóra [X], hinn 11. júní s.á. kvað hann fyrirtækið hins vegar ekki hafa tekið þær ljósmyndir sem málið varðar. Jafnframt benti hann á að hann hefði sjálfur verið með kvartanda á myndunum. Þeirra hefði ekki verið aflað til að leggja þær fram í tengslum við málarekstur fyrirtækisins gegn kvartanda.
II.
Forsendur og niðurstaða
1.
Afmörkun – Gildissvið – Frávísun að hluta
Mál þetta lýtur annars vegar að töku og varðveislu ljósmynda af kvartanda þegar hann var staddur á sölusýningu […]. Hins vegar lýtur málið að framlagningu ljósmyndanna fyrir dómi í þágu sönnunarfærslu.
Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.
Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.
Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.
Að þessu virtu varða báðir þættir þessa máls vinnslu persónuupplýsinga í skilningi framangreindra ákvæða. Kemur þá til skoðunar hvort sú vinnsla sem kvartað er yfir falli undir gildissvið laga nr. 90/2018 og þar með valdsvið Persónuverndar.
Hvað varðar framlagningu ljósmynda af kvartanda fyrir dómi í þágu sönnunarfærslu er til þess að líta að lög nr. 90/2018 og reglugerð (ESB) 2016/679 gilda ekki um vinnslu persónuupplýsinga sem fer fram þegar dómstólar fara með dómsvald sitt, sbr. 4. mgr. 4. gr. laganna, og fellur slík vinnsla því utan valdsviðs Persónuverndar, sbr. 1. mgr. 39. gr. laganna.
Persónuvernd telur að skýra verði 4. mgr. 4. gr. laga nr. 90/2018 með hliðsjón af þeim ákvæðum laga nr. 91/1991 um meðferð einkamála sem við geta átt hverju sinni. Í þessu máli er þannig sérstaklega til þess að líta að dómari getur meinað aðila um sönnunarfærslu telji hann bersýnilegt að atriði, sem aðili vill sanna, skipti ekki máli eða að gagn sé tilgangslaust, sbr. 3. mgr. 46. gr. laga nr. 91/1991, þrátt fyrir meginregluna um forræði aðila á sönnunarfærslu, sbr. 1. mgr. sömu greinar. Eins getur dómari beint því til aðila að afla gagna um tiltekin atriði sem hann telur nauðsynleg til skýringar á máli, sbr. 3. mgr. sömu greinar. Telur Persónuvernd að sú ályktun verði dregin af tilvitnuðum ákvæðum að dómari geti haft virkt hlutverk við gagnaöflun og að hann geti tekið efnislega afstöðu til þeirra gagna sem lögð eru fram fyrir dómi í þágu sönnunarfærslu, þrátt fyrir að málsaðili hafi jafnan forræði á sönnunarfærslunni. Í ljósi framangreinds er það mat Persónuverndar að framlagningar persónuupplýsinga fyrir dómi falli utan gildissviðs laga nr. 90/2018 og stofnunin sé því ekki bær til þess að úrskurða um slíka vinnslu. Þegar af þeirri ástæðu er þeim hluta kvörtunarinnar, er lýtur að framlagningu ljósmyndanna fyrir dómi, vísað frá.
Að öðru leyti lýtur kvörtunin að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar samkvæmt lögum nr. 90/2018, þ.e. hvað varðar töku ljósmynda af kvartanda og varðveislu þeirra.
2.
Ábyrgðaraðili
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 og reglugerðar (ESB) 2016/679 er nefndur ábyrgðaraðili.
Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar.
Persónuvernd telur gæta misræmis í afstöðu [X] um það hvort fyrirtækið hafi staðið að töku þeirra ljósmynda sem mál þetta varðar. Hefur stofnunin veitt fyrirtækinu ítrekuð tækifæri á að taka af öll tvímæli um þetta atriði án þess þó að fyrirtækið hafi gert að því reka. Verður [X] að bera hallann af því.
Að virtu heildstæðu mati á málavöxtum og gögnum málsins, meðal annars umræddum ljósmyndum, telur Persónuvernd verða að leggja til grundvallar að [X] hafi staðið að ljósmyndatökunni. Þá liggur ekki annað fyrir en að fyrirtækið hafi varðveitt ljósmyndirnar uns þær voru lagðar fram fyrir dómi. Með vísan til þessa telst fyrirtækið vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem til umfjöllunar er í málinu.
3.
Lögmæti vinnslu
Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé vinnslan nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. sömu greinar, sbr. einnig f-lið 1. mgr. 6. gr. reglugerðarinnar. Eins og hér háttar til verður að mati Persónuverndar ekki séð að aðrar vinnsluheimildir samkvæmt fyrrgreindum ákvæðum geti komið til greina.
Til þess að heimilt sé að vinna með persónuupplýsingar á grundvelli ákvæðanna þurfa þrjú skilyrði að vera uppfyllt. Í fyrsta lagi þarf vinnsla að fara fram í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður, sem fær aðgang að persónuupplýsingunum, gætir. Í öðru lagi er áskilið að vinnslan sé nauðsynleg í þágu þeirra hagsmuna. Í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem byggt er á.
Persónuvernd telur unnt að fallast á að ábyrgðaraðili hafi haft lögvarða hagsmuni af töku og varðveislu ljósmyndanna enda miðaði vinnslan að öflun sönnunargagna um tiltekið atriði í tengslum við einkaréttarlegan ágreining aðila sem síðar rataði til dómstóla, svo sem áður greinir.
Þá hefur Persónuvernd litið svo á að nauðsynlegt geti verið að ljá aðilum ágreiningsmála nokkuð svigrúm til mats á því hvaða persónuupplýsingar er nauðsynlegt að vinna með í þágu úrlausnar réttarágreinings og með hvaða hætti. Hugtakið nauðsyn, í skilningi framangreindra ákvæða, geti því þurft að skýra rúmt þegar persónuupplýsingar eru unnar í þeim tilgangi. Í þessu sambandi vísast meðal annars til úrskurða stofnunarinnar frá 22. september 2021 í málum nr. 2020082238 og 2020082239 til hliðsjónar. Telur Persónuvernd að sambærileg sjónarmið eigi við í fyrirliggjandi máli og að leggja megi til grundvallar að vinnslan hafi verið ábyrgðaraðila nauðsynleg í þágu sönnunarfærslu um tiltekið atriði í tengslum við einkaréttarlega kröfu.
Þá er ljóst af skýringum ábyrgðaraðila að hann taldi hagsmuni eða grundvallarréttindi og frelsi kvartanda ekki vega þyngra en hagsmuni sína af umræddri vinnslu. Að mati Persónuverndar er ekkert fram komið í málinu sem hnekkir þessu mati. Engu fær breytt í því sambandi að um hafi verið að ræða sönnunaratriði sem telja mátti kvartanda í óhag. Ber samkvæmt því að leggja til grundvallar að hagsmunir ábyrgðaraðila af vinnslunni hafi verið ríkari en hagsmunir kvartanda af því að hún færi ekki fram.
Að öllu framangreindu virtu telur Persónuvernd að þær vinnsluaðgerðir sem hér eru til umfjöllunar hafi getað stuðst við 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.
Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins).
Við skýringu meginreglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, þarf, eftir því sem við á, að líta til ákvæða laganna og reglugerðarinnar um fræðsluskyldu ábyrgðaraðila gagnvart hinum skráða, sbr. 2. mgr. 17. gr. laga nr. 90/2018 og 13. og 14. gr. reglugerðar (ESB) 2016/679.
Hér er þó til þess að líta að samkvæmt 1. mgr. 23. gr. reglugerðar (ESB) 2016/679 er með lögum heimilt að takmarka gildissvið þeirra skyldna og réttinda sem getið er um í 13. og 14. gr. reglugerðarinnar. Samsvarandi ákvæði er að finna í 4. mgr. 17. gr. laga nr. 90/2018. Í athugasemdum við ákvæðið í frumvarpi því sem varð að lögunum segir að þar sé mælt fyrir um undantekningar sem gerðar eru frá réttindum hins skráða. Þessar undantekningar byggist á heimildum sem fram komi í 1. mgr. 23. gr. reglugerðarinnar.
Persónuvernd telur ljóst af lögskýringargögnum að ákvæði 4. mgr. 17. gr. laga nr. 90/2018 miði ekki aðeins að lögfestingu undanþáguheimildar 1. mgr. 23. gr. reglugerðar (ESB) 2016/679 heldur felist einnig í lagaákvæðinu sjálfstæðar undanþágur frá 13.-15. gr. reglugerðarinnar, í þágu tilgreindra markmiða.
Samkvæmt 7. tölul. 4. mgr. 17. gr. laga nr. 90/2018 er þannig heimilt að takmarka fræðsluskylduna samkvæmt 13. og 14. gr. reglugerðar (ESB) 2016/679 sé það nauðsynlegt til þess að tryggja það að einkaréttarlegum kröfum sé fullnægt. Er ákvæðið samhljóða j-lið 1. mgr. 23. gr. reglugerðarinnar. Hugtakið að fullnægja er þýðing enska hugtaksins enforcement en það tekur ekki aðeins til fullnustu heldur nær það einnig til framkvæmdar. Telja verður að það kunni að vera þáttur í framkvæmd einkaréttarlegra krafna að afla sönnunargagna í tengslum við þær. Telur Persónuvernd samkvæmt þessu verða að leggja til grundvallar að skýra verði ákvæði 7. tölul. 4. mgr. 17. gr. laga nr. 90/2018 svo að heimilt geti verið að víkja frá ákvæðum 13. reglugerðar (ESB) 2016/679 í tengslum við öflun sönnunargagna um einkaréttarlegar kröfur.
Með hliðsjón af framangreindu telur Persónuvernd að ábyrgðaraðila hafi, eins og hér háttar til, ekki verið skylt að veita kvartanda fræðslu um þá vinnslu persónuupplýsinga hans sem hér er til umfjöllunar til samræmis við 13. eða 14. gr. reglugerðar (ESB) 2016/679.
Við mat á því hvort ábyrgðaraðili hafi gætt að reglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679 ber jafnframt að líta til þess að umræddar ljósmyndir voru teknar á sölusýningu, þ.e. fjölsóttum viðburði sem haldinn var á almannafæri. Telur Persónuvernd mega fallast á með ábyrgðaraðila að á þeim vettvangi hafi kvartanda mátt vera ljóst að af honum kynnu að verða teknar ljósmyndir. Því megi leggja til grundvallar að ábyrgðaraðili hafi ekki brotið gegn tilvitnuðum ákvæðum við þá vinnslu persónuupplýsinga sem hér er til umfjöllunar.
Þá verður ekki séð að þær ljósmyndir sem hér eru til umfjöllunar hafi verið umfram það sem nauðsynlegt mátti teljast í þágu sönnunar um veru kvartanda á umræddri sýningu. Því telur Persónuvernd að ábyrgðaraðili hafi gætt að meðalhófskröfu 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og c-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679 við vinnsluna.
Með vísan til alls framangreinds er það niðurstaða Persónuverndar að vinnsla [X] á persónuupplýsingum kvartanda, sem fólst í töku og varðveislu ljósmynda af honum, hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.
Ú r s k u r ð a r o r ð:
Vísað er frá þeim þætti kvörtunarinnar sem lýtur að framlagningu [X] á ljósmyndum af [A] fyrir dómi.
Vinnsla [X] á persónuupplýsingum [A], sem fólst í töku og varðveislu ljósmynda af honum, samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.
Persónuvernd, 16. desember 2021
Ólafur Garðarsson
formaður
Björn Geirsson Sindri M. Stephensen
Þorvarður Kári Ólafsson Vilhelmína Haraldsdóttir