Miðlun fyrrverandi vinnuveitanda á persónuupplýsingum með tölvupósti í samræmi við lög

Mál nr. 2020010810

12.10.2021

Úrskurður

Hinn 22. september 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010810:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 14. janúar 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga um hana af hálfu [fyrirtækisins X] og fyrrverandi forstjóra fyrirtækisins. Kvörtunin laut annars vegar að ummælum forstjórans fyrrverandi í fjölmiðlum og hins vegar að tölvupósti hans til allra starfsmanna [X]. 

Með bréfi, dags. 15. febrúar 2021, var [X] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 25. mars 2021. Með bréfi, dags. 9. apríl s.á., var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið [X]. Engar athugasemdir bárust. 

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði. 

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Í kvörtun kemur fram að kvartandi hafi starfað á [tiltekinni starfsstöð X] frá árinu [...] og þar til henni var sagt upp störfum þann [...]. Í aðdraganda uppsagnarinnar hafi kvartandi leitað til yfirmanna sinna og kvartað yfir einelti á vinnustað og vanlíðan í vinnunni. Kvartanda hafi svo verið sagt upp störfum í beinu framhaldi. 

Degi eftir uppsögnina hafi þáverandi forstjóri [X] komið fram í fjölmiðlum og tjáð sig um háttsemi fyrirsvarsmanna [X] og vanlíðan kvartanda í starfi vegna eineltis. Kvartandi telji fyrrverandi forstjóra [X] hafa verið óheimilt að koma fram á opinberum vettvangi með þessum hætti enda hefði hún ekki veitt samþykki sitt fyrir umfjölluninni.

Þá lýtur kvörtunin að því að fyrrverandi forstjóri [X] hafi sent tölvupóst til allra starfsmanna fyrirtækisins þann [...] og fjallað þar nánar um þá atburði sem til umræðu voru í fyrrnefndri fjölmiðlaumfjöllun. Í tölvupóstinum hafi meðal annars verið fullyrt að mörgum starfsmönnum hefði liðið mjög illa og að þjónusta við viðskiptavini hefði skaðast. Þá hafi sagt að aðstæður á [...]hefðu verið erfiðar í langan tíma og að fyrirtækið hefði reynt að bæta úr því með mannauðsteymi sínu. Sú vinna hefði leitt til þess að nauðsynlegt hefði verið að gera breytingar á starfseminni. Því hafi verið hafnað í tölvupóstinum að uppsögn kvartanda hafi tengst tilkynningu hennar um einelti. Þá segi að umfjöllun fyrrverandi starfsmanna í fjölmiðlum hafi verið ósanngjörn og eigi sér enga stoð í raunveruleikanum. Telur kvartandi fyrrverandi forstjóra [X] meðal annars hafa niðurlægt hana og sakað hana um óheiðarleika með orðalaginu í tölvupóstinum. Sending hans hafi falið í sér vinnslu persónuupplýsinga um kvartanda án samþykkis hennar og hafi því verið ólögmæt.

3.

Sjónarmið [X].

Í bréfi Persónuverndar til [X], dags. 15. febrúar 2021, segir að meðal þess sem stofnunin hyggist taka til skoðunar sé hvort það falli undir valdsvið Persónuverndar að fjalla um ummæli fyrrverandi forstjóra [X] á vettvangi fjölmiðla, meðal annars með hliðsjón af undantekningarákvæði 6. gr. laga nr. 90/2018. Í bréfi [X] er einungis fjallað um fyrrnefndan tölvupóst fyrrverandi forstjóra fyrirtækisins. Eins og hér háttar til taldi Persónuvernd þó ekki þörf á að veita [X] færi á frekari athugasemdum vegna þeirra ummæla í fjölmiðlum sem kvartað er yfir. 

[X] byggir einkum á því að sending umrædds tölvupósts hafi ekki falið í sér vinnslu persónuupplýsinga. Um innanhússtölvupóst hafi verið að ræða þar sem fjallað hafi verið um vandamál á tiltekinni starfsstöð en engar persónugreinanlegar upplýsingar hafi verið að finna í póstinum. Þá kemur fram í bréfi [X] að fyrirtækið hafi staðið frammi fyrir miklum niðurskurði á þeim tíma sem hér um ræði og eðlilegt að starfsfólk á öllum starfsstöðvum hafi verið í viðkvæmu ástandi, bæði vegna óvissu um eigin störf og vegna starfsfélaga sem þurft hafi að kveðja. Ástand á [umræddri starfsstöð X] hafi verið farið að valda starfsfólki vanlíðan og því fátt annað í stöðunni en að færa fram róandi orðsendingu til starfsmanna. Kvartandi hafi tjáð sig um sína hlið á málinu á samfélagsmiðlum og í framhaldi í fjölmiðlum. Þannig hafi kvartandi sett fram ímynd af fyrirtækinu sem túlka hefði mátt sem svo að ekki mætti kvarta yfir samstarfs- eða yfirmönnum án þess að eigin atvinnuöryggi væri ógnað. Stjórnendur [X] hefðu talið slíka umfjöllun vera til þess fallna að auka enn á vanlíðan starfsmanna. 

Í bréfi [X] er fjallað um allar þær vinnsluheimildir sem kveðið er á um í 9. gr. laga nr. 90/2018, sbr. einnig 6. gr. reglugerðar (ESB) 2016/679. Meðal annars segir að umræddur tölvupóstur hafi samræmst skyldum [X], þ. á m. vegna kvaða í lögum nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, án þess þó að vísað sé í tiltekin ákvæði þeirra laga. Af bréfinu verður ekki ráðið að [X] telji sendingu tölvupóstsins geta stuðst við eina vinnsluheimild umfram aðra en þar er áréttað að fyrirtækið telji hana ekki fela í sér vinnslu persónuupplýsinga. 

Í bréfinu er jafnframt fjallað stuttlega um meginreglur 8. gr. laga nr. 90/2018. Meðal annars segir að fyrirtækið telji skilyrði 3. tölul. ákvæðisins um meðalhóf hafa verið uppfyllt en ekki er nánar gerð grein fyrir þeirri afstöðu.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Mál þetta lýtur að tjáningu í fjölmiðlum annars vegar og sendingu tölvupósts til allra starfsmanna [X] hins vegar. Fyrir liggur að nafn kvartanda kom fram í þeirri fjölmiðlaumfjöllun sem kvartað er yfir og því ljóst að þar voru birtar persónuupplýsingar kvartanda. Hins vegar kom nafn hennar ekki fram í tölvupósti sem sendur var til allra starfsmanna [X]. Afstaða fyrirtækisins er sú að ekki hafi verið um persónugreinanlegar upplýsingar að ræða. 

Sem fyrr segir birtist nafn kvartanda í fjölmiðlum í tengslum við færslu hennar á samfélagsmiðli í kjölfar uppsagnar hennar. Af þeim sökum er ljóst að kvartandi var í hópi þeirra starfsmanna sem vísað var til í fyrrnefndum tölvupósti þrátt fyrir að nafn hennar kæmi ekki þar fyrir. Er það því mat Persónuverndar að rekja hafi mátt umfjöllun um starfsstöðina í pósti til starfsmanna [X] til kvartanda. Í því sambandi vísast einnig til umfjöllunar í athugasemd með 3. gr. frumvarpsins er varð að lögum nr. 90/2018 um að við mat á því hvort upplýsingar séu persónugreinanlegar skuli tekið mið af öllum aðferðum sem eðlilegt er að hugsa sér að ábyrgðaraðili eða annar aðili beiti til að bera kennsl á viðkomandi einstakling.

Að þessu virtu og með hliðsjón af framangreindum ákvæðum er það mat Persónuverndar að mál þetta varði vinnslu persónuupplýsinga.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Almennt er litið svo á að ábyrgðaraðili sé hlutaðeigandi stofnun eða fyrirtæki, en ekki einstaka starfsmenn, hvort sem um ræðir stjórnendur eða almenna starfsmenn. Eins og hér háttar til telst [X] því vera ábyrgðaraðili að umræddum vinnsluaðgerðum.

2.

Lagaumhverfi

2.1.

Almennt

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins. Þá er vinnsla heimil sé hún nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi hins skráða, sem krefjast verndar persónuupplýsinga, vegi þyngra, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins. 

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

2.2.

Tengsl persónuverndar við tjáningarfrelsi

Í 6. gr. laga nr. 90/2018 er kveðið á um tengsl persónuverndar við tjáningarfrelsi. Í 1. mgr. 6. gr. segir að að því marki sem það sé nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar megi víkja frá ákvæðum laganna og reglugerðar (ESB) 2016/679 (almennu persónuverndarreglugerðarinnar) í þágu fjölmiðlunar, lista og bókmennta. Þá er í 2. mgr. 6. gr. kveðið á um að þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gildi aðeins nánar tilgreind ákvæði laganna og reglugerðarinnar. Í áliti Persónuverndar frá 5. október 2020 um persónuvernd og tjáningarfrelsi fjölmiðla (mál nr. 2020082249) er að finna ítarlegri umfjöllun um 6. gr. laga nr. 90/2018 og vísast til hennar. 

Réttur einstaklings til friðhelgi einkalífs, heimilis og fjölskyldu er verndaður í 71. gr. stjórnarskrár lýðveldisins Íslands nr. 33/1944 og 8. gr. mannréttindasáttmála Evrópu. Í lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, er kveðið nánar á um réttindi til friðhelgi einkalífs að því er varðar meðferð persónuupplýsinga. Hafa lögin að geyma ákvæði sem tryggja eiga einkalífsrétt manna við meðferð persónuupplýsinga, meðal annars með því að kveða á um skyldur þeirra sem vinna með slíkar upplýsingar. Hins vegar verður að skýra lög nr. 90/2018 með þeim hætti að ekki sé brotið gegn tjáningarfrelsi manna. 

Kveðið er á um vernd tjáningarfrelsis í 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu. Samkvæmt þeim ákvæðum á hver maður rétt á að láta í ljós hugsanir sínar en verður að ábyrgjast þær fyrir dómi. Sá réttur skal einnig ná yfir frelsi til að taka við og skila áfram upplýsingum og hugmyndum heima og erlendis án afskipta stjórnvalda. Í athugasemdum við 73. gr. stjórnarskrárinnar, í frumvarpi er varð að stjórnskipunarlögum nr. 97/1995, segir að tjáningarfrelsið sé óumdeilanlega ein af undirstöðum lýðræðisþjóðfélags en engu að síður meðal vandmeðförnustu mannréttinda, sem ekki sé hægt að njóta án ábyrgðar. Því megi setja tjáningarfrelsinu skorður með lögum, meðal annars vegna réttinda eða mannorðs annarra, enda teljist þær nauðsynlegar og samrýmist lýðræðishefðum.

3.

Niðurstaða

3.1.

Ummæli í fjölmiðlaumfjöllun

Að mati Persónuverndar varðar sá þáttur kvörtunarinnar er lýtur að ummælum fyrrverandi forstjóra [X] í fjölmiðlum tjáningu einstaklings í skilningi 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu og hvort viðkomandi hafi með þeirri tjáningu skapað sér ábyrgð að lögum. Jafnframt telur Persónuvernd ljóst að umrædd tjáning hafi farið fram á vettvangi fjölmiðlunar. Í ljósi þessa er það mat Persónuverndar að undanþáguákvæði 1. mgr. 6. gr. laga nr. 90/2018 gæti átt við um þennan þátt kvörtunarinnar. Sem fyrr segir heimilar ákvæðið frávik frá ákvæðum laganna og reglugerðar (ESB) 2016/679 í þágu fjölmiðlunar, lista og bókmennta að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar. 

Þegar reynt hefur á mörk þessara stjórnarskrárvörðu réttinda hefur Persónuvernd ekki talið sig bæra til að úrskurða um þau mörk heldur talið það falla undir valdsvið dómstóla. Mat á því hvort nauðsynlegt sé að víkja frá lögum nr. 90/2018 og reglugerðinni í þágu framangreinds kemur þar af leiðandi einnig í hlut dómstóla. Þá hefur Persónuvernd heldur ekki talið sig hafa heimild til þess að úrskurða um hvort einstaklingur hafi farið út fyrir stjórnarskrárvarið tjáningarfrelsi sitt. 

Í ljósi framangreinds er þeim þætti kvörtunarinnar er lýtur að ummælum fyrrverandi forstjóra [X] í fjölmiðlum því vísað frá. 

Þegar af þessum sökum er ekki þörf á umfjöllun um hvort ummælin gætu fallið utan gildissviðs laga nr. 90/2018 af öðrum orsökum, t.a.m. ef ummælin fólu einungis í sér munnlega miðlun persónuupplýsinga, en ekki liggur fyrir hvort umræddar upplýsingar voru veittar munnlega eða skriflega.

3.2.

Sending tölvupósts til starfsmanna [X]

Líkt og að framan greinir er það mat Persónuverndar að sending tölvupósts til allra starfsmanna [X] um starfsstöð fyrirtækisins [...] hafi falið í sér miðlun persónugreinanlegra upplýsinga um kvartanda. Að því virtu, og með hliðsjón af þeim ákvæðum sem tilgreind eru í kafla II.1 hér að framan, er það mat Persónuverndar að þessi þáttur kvörtunarinnar varði vinnslu persónuupplýsinga sem fellur undir valdsvið stofnunarinnar.

Fyrrnefndur tölvupóstur hafði meðal annars að geyma upplýsingar um uppsögn kvartanda og um aðstæður er tengdust uppsögninni. Getur slík miðlun persónuupplýsinga einkum stuðst við 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 6. gr. reglugerðar (ESB) 2016/679, eða 6. tölul. lagagreinarinnar, sbr. f-lið reglugerðarákvæðisins. Samkvæmt 3. mgr. 6. gr. reglugerðarinnar skal mæla fyrir um grundvöll vinnslu, sem um getur í c-lið 1. mgr. ákvæðisins, í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir. Af því leiðir að skýra lagaheimild þarf til þess að unnt sé að líta svo á að vinnsla persónuupplýsinga sé nauðsynleg vegna lagaskyldu sem hvílir á ábyrgðaraðila.

Þegar um er að ræða vinnslu persónuupplýsinga af hálfu vinnuveitanda um starfsmenn sína koma meðal annars til skoðunar lög nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, en [X] telur umrædda miðlun persónuupplýsinga hafa getað stuðst við ákvæði þeirra. Í lögunum er kveðið á um margs konar ábyrgð atvinnurekenda, þ.m.t. á að gerð sé skrifleg áætlun um öryggi og heilbrigði á vinnustað, sbr. 1. mgr. 65. gr., að gert sé sérstakt áhættumat, sbr. 1. mgr. 65. gr. a, sem og áætlun um heilsuvernd, sbr. 1. mgr. 66. gr. laganna. Ekki verður hins vegar séð að lög nr. 46/1980 hafi að geyma svo skýra lagaheimild fyrir þeirri vinnslu sem hér um ræðir að hún verði talin geta stuðst við 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 6. gr. reglugerðarinnar. 

Samkvæmt 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 6. gr. reglugerðarinnar, er vinnsla persónuupplýsinga heimil ef hún er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. Að mati Persónuverndar getur upplýsingagjöf vinnuveitenda til starfsmanna sinna um mál er varða vinnustaðinn, hvort sem er í heild eða einstaka einingar, almennt byggst á framangreindri heimild að því gefnu að skilyrði ákvæðisins séu uppfyllt og að gætt sé að öðrum ákvæðum laga nr. 90/2018. 

Af hálfu [X] hefur komið fram að fyrirtækið hafi staðið frammi fyrir niðurskurði á þeim tíma sem umræddur tölvupóstur var sendur og að nauðsynlegt hafi verið að koma á framfæri skilaboðum til starfsmanna sem margir hverjir hafi fundið fyrir óöryggi af þeim sökum. Þá liggur fyrir að í aðdraganda sendingarinnar höfðu málefni fyrirtækisins [...] verið til umfjöllunar í fjölmiðlum, meðal annars í tengslum við birtingu færslu kvartanda á samfélagsmiðlum þar að lútandi. Að mati Persónuverndar má því fallast á að [X] hafi verið nauðsynlegt að bregðast við aðstæðum með upplýsingagjöf til starfsmanna þrátt fyrir að hún gæti falið í sér miðlun persónugreinanlegra upplýsinga. Með hliðsjón af efni tölvupóstsins sem og atvika málsins í heild verða hagsmunir [X] og starfsmannahóps fyrirtækisins af framangreindri upplýsingagjöf taldir vega þyngra en hagsmunir kvartanda af því að hún færi ekki fram. 

Verður sending tölvupóstsins því talin hafa getað stuðst við 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 6. gr. reglugerðar (ESB) 2016/679. Kemur þá til skoðunar hvort vinnslan samrýmdist meginreglum laganna og reglugerðarinnar.

Umræddur tölvupóstur hafði meðal annars að geyma lýsingar á aðstæðum á [hlutaðeigandi starfsstöð X] í aðdraganda uppsagnar kvartanda og vandamálum sem upp höfðu komið þar. Eins og áður greinir má ráða af skýringum [X] að tilgangur sendingar tölvupóstsins hafi meðal annars verið að draga úr óþarfa ótta starfsmanna fyrirtækisins um störf sín og samstarfsmanna sinna á niðurskurðartímum og að bregðast við umfjöllun í fjölmiðlum. Ekki verður talið að upplýsingagjöfin hafi verið úr hófi miðað við atvik málsins í heild. 

Í ljósi framangreinds er það mat Persónuverndar að sú vinnsla persónuupplýsinga um kvartanda sem fólst í sendingu tölvupóstsins hafi samrýmst kröfum 1.-3. tölul. 8. gr. laga nr. 90/2018, sbr. a-, b- og c-lið 5. gr. reglugerðar (ESB) 2016/679. Þá verður ekki talið að vinnslan hafi brotið gegn öðrum meginreglum laganna og reglugerðarinnar. 

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla [X] á persónuupplýsingum um kvartanda hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Vísað er frá þeim þætti kvörtunar [A]er lýtur að ummælum fyrrverandi forstjóra [X] í fjölmiðlum.
Sú vinnsla [X] á persónuupplýsingum um [A]sem fólst í sendingu tölvupósts til allra starfsmanna fyrirtækisins samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 22. september 2021

Helga Þórisdóttir                                Helga Sigríður Þórhallsdóttir