Miðlun opinberrar stofnunar á persónuupplýsingum í tengslum við ráðningu

Mál nr. 2019/232

12.11.2019

Hinn 31. október 2019 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2019/232:

I.

Málsmeðferð

1.

Tildrög kvörtunar

Hinn 8. febrúar 2019 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur „kvartandi“) yfir miðlun [opinberrar stofnunar X] á nafni hans sem eins umsækjenda um starf hjá [X] til annarra umsækjenda um starfið, þ.e. í tilkynningu til þeirra allra um beiðni hans um umsóknargögn þeirra í kjölfar ráðningarferlis hjá [X].

2.

Bréfaskipti

Með bréfi, dags. 15. febrúar 2019, var [stofnuninni X] boðið að koma á framfæri skýringum vegna kvörtunarinnar, m.a. um það atriði hvernig vinnslan hefði verið talin samrýmast 1. og 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Svarað var með bréfi, dags. 28. s.m. Þar segir að óumdeilt sé í málinu að kvartandi sé aðili máls líkt og allir þeir umsækjendur sem sóttu um umrætt starf hjá [X] sem auglýst var laust til umsóknar þann 2. nóvember 2018. Fram kemur að kvartandi hafi óskað eftir afriti allra gagna sem orðið hefðu til við mat á umsækjendum um umrætt starf og segir að sem umsækjandi um starf hjá hinu opinbera eigi aðili máls rétt á að kynna sér gögn í samræmi við 15. gr. stjórnsýslulaga nr. 37/1993 með þeim takmörkunum sem komi fram í 16. og 17. gr. laganna. Meginregla stjórnsýslulaga sé sú að aðili máls eigi rétt á öllum gögnum máls og að undantekningar á aðgangsrétti, sem sé að finna í 16. og 17. gr. stjórnsýslulaga, skuli túlka þröngt. Til skýringar á hinni þröngu túlkun undantekninga um aðgangsrétt vísar [X] í bréfi sínu til mats umboðsmanns Alþingis á því hvaða gögn sé hægt að undanskilja aðgangi málsaðila en í dæmaskyni nefni hann ljósmyndir af öðrum en umsækjanda, upplýsingar um fjölskylduhagi, upplýsingar úr læknisvottorðum sem mögulega fylgja umsókn, upplýsingar úr umsögnum umsagnaraðila og annað sem jafna má við það að teljast ekki vera upplýsingar sem hafa þýðingu við mat á starfshæfni. Enn fremur kemur fram í svarbréfi [X] að samkvæmt mati umboðsmanns Alþingis kunni að vera eðlilegt að leita eftir afstöðu þeirra sem afhenda eigi upplýsingar um (þ.e. annarra umsækjenda) áður en tekin sé ákvörðun í máli sem þessu um hvað sé afhent en niðurstaðan um hvað sé afhent sé þó ekki háð viljaafstöðu þeirra heldur skuli stjórnvaldið taka þá ákvörðun. Vísar [X] í því sambandi til álits umboðsmanns Alþingis frá 3. febrúar 2015 í máli nr. 8117/2014.

Í samræmi við framangreint álit umboðsmanns Alþingis og 14. gr. stjórnsýslulaga hafi því verið ákveðið að tilkynna hinum umsækjendunum um meðferð [X] á beiðni kvartanda um öll gögn í tengslum við umsóknarferlið og gefa þeim kost á að tjá sig um beiðnina og hvort undantekning 17. gr. stjórnsýslulaga ætti við um einhverjar þær persónuupplýsingar sem komu fram í umsóknargögnum þeirra. Við samningu tilkynningarinnar samkvæmt 14. gr. stjórnsýslulaga hafi ekki komið til tals að undanskilja ætti nafn gagnabeiðanda enda ættu aðrir umsækjendur einnig rétt á öllum gögnum stjórnsýslumálsins, þar með talinni gagnabeiðninni sjálfri. Sá réttur væri byggður á sama grundvelli og réttur kvartanda.

Með bréfi, dags. 12. mars 2019, var kvartanda veitt færi á að koma á framfæri athugasemdum við framangreindar skýringar [X]. Bréf kvartanda barst 3. apríl 2019. Þar gerir kvartandi athugasemd við að [X] hafi ekki svarað sérstaklega fyrirspurn Persónuverndar um það hvernig nafnbirting kvartanda, í tilkynningu til annarra umsækjenda um gagnabeiðni, teldist samrýmast 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Telur kvartandi að ekki hafi borið nauðsyn til að tilkynna öllum […] umsækjendunum um það hver umsækjendanna hefði óskað gagnanna og að í engu sé útskýrt hvernig fyrrnefnd nafngreining samrýmist ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sérstaklega þeim meðalhófssjónarmiðum sem kveðið sé á um í 8. gr. laganna. Þá telur kvartandi að nafngreiningin í umræddri tilkynningu [X] hafi ekki verið lögmæt, sanngjörn og gagnsæ gagnvart honum.

Með bréfi, dags. 11. apríl 2019, var [X] veitt færi á að gera athugasemdir vegna framangreinds bréfs kvartanda. Þar sem Persónuvernd taldi fyrri fyrirspurn sinni um hvernig vinnslan hefði verið talin samrýmast 1. og 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 enn ósvarað var sérstaklega óskað skýringa þar að lútandi. Persónuvernd óskaði þess enn fremur að upplýst yrði hvenær og með hvaða hætti kvartandi hefði verið upplýstur um að öllum […] umsækjendum um starfið yrði send fyrrgreind tilkynning með nafngreiningu á honum.

[X] svaraði með bréfi, dags. 6. maí 2019. Kemur þar fram að það hafi upplýst aðra umsækjendur um hverjum hafi staðið til að afhenda umsóknargögn þeirra á þeim grundvelli að þeir hafi talist aðilar máls og þannig átt rétt á aðgangi að gögnum málsins skv. 15. gr. stjórnsýslulaga. Það hafi því verið mat [X] að upplýsa yrði aðra umsækjendur um það fyrir fram hverjum ráðgert væri að afhenda gögnin, enda hafi hverjum umsækjanda verið heimilt að óska eftir afriti af gagnabeiðninni. [X] hafi talið umsækjendur hafa hagsmuni af vitneskju um hverjum umrædd gögn yrðu afhent. Var fyrirspurn Persónuverndar ekki svarað að öðru leyti.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að miðlun [opinberrar stofnunar X] á nafni kvartanda sem eins umsækjenda um starf hjá [X] til annarra umsækjenda um starfið, þ.e. í tilkynningu til þeirra allra um beiðni kvartanda um umsóknargögn þeirra í kjölfar ráðningarferlis hjá [X]. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst hin [opinbera stofnun X] vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Í því sambandi er til þess að líta að hér ræðir um vinnslu persónuupplýsinga hjá stjórnvaldi sem af hálfu þess er studd við ákvæði stjórnsýslulaga nr. 37/1993. Reynir því hér einkum á heimild til vinnslu persónuupplýsinga samkvæmt 3. tölul. 9. gr. laga nr. 90/2018, þess efnis að vinna megi með slíkar upplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum sem koma fram í meginreglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.)

Við mat á því hvort heimild til vinnslu persónuupplýsinga sé til staðar getur eftir atvikum þurft að líta til ákvæða í öðrum lögum. Eins og hér háttar til reynir þá einkum á stjórnsýslulög nr. 37/1993, en samkvæmt 1. mgr. 1. gr. þeirra taka lögin til stjórnsýslu ríkis og sveitarfélaga þegar stjórnvöld taka ákvarðanir um rétt eða skyldu manna, sbr. 2. mgr. 1. gr. Einkum koma þá til skoðunar 14., 15. og 17. gr. laganna.

Í 14. gr. laga nr. 37/1993 segir að eigi aðili máls rétt á að tjá sig um efni þess skv. 13. gr. sömu laga skuli stjórnvald, svo fljótt sem því verður við komið, vekja athygli aðila á því að mál hans sé til meðferðar, nema ljóst sé að honum sé kunnugt um það. Þar sem það er talin meginregla stjórnsýsluréttar að aðeins sá, sem biður um aðgang að gögnum, sé aðili að málinu um aðgangsréttinn en ekki aðrir sem eru aðilar stjórnsýslumálsins á 14. gr. laga nr. 37/1993 ekki við í álitamálinu sem hér um ræðir.

Í 1. mgr. 15. gr. laga nr. 37/1993 segir meðal annars að aðili máls eigi rétt á aðgangi að skjölum og öðrum gögnum er mál varða. Þá er í 17. gr. sömu laga fjallað um takmörkun á þeim rétti vegna mun ríkari almanna- eða einkahagsmuna. Kemur fram í athugasemdum við ákvæðið í því frumvarpi er varð að stjórnsýslulögum að líta beri á það sem þrönga undantekningu og því sé meginreglan sú að málsaðili eigi rétt á því að kynna sér málsgögn. Eins kemur það fram í athugasemdunum að lögð er á það áhersla að við mat á því hvort heimildinni skuli beitt þurfi að vega það og meta hvort hagsmunir málsaðila af því að fá aðgang að gögnum séu ríkari en þeir almanna- eða einkahagsmunir sem kalli á að takmarka þann aðgang. Þar komi til skoðunar tillit til einstaklinga eða lögaðila sem hafi verulega hagsmuni af því að upplýsingar um þá fari leynt.

Umboðsmaður Alþingis hefur fjallað um þetta hagsmunamat í tengslum við það þegar umsækjandi um opinbert starf fer fram á aðgang að umsóknargögnum annarra umsækjenda, m.a. í áliti frá 3. febrúar 2015 í máli nr. 8117/2014. Þar segir að af orðalagi 17. gr. stjórnsýslulaga sé ljóst að stjórnvaldi beri að leggja mat á þau andstæðu sjónarmið sem uppi séu í hverju máli og þá vegna einstakra gagna. Því sé ekki hægt að synja aðila máls um aðgang að gögnum með almennum hugleiðingum þess efnis að upplýsingar af ákveðnu tagi séu almennt til þess fallnar að valda öðrum tjóni eða með þeim rökum að aðili hafi ekki sýnt fram á hvaða hagsmuni hann hafi af því að fá upplýsingar í hendur. Einkahagsmunir annarra verði því að vera mun ríkari en hagsmunir aðila máls af því að notfæra sér vitneskju úr málsgögnum. Þá byggist ákvæðið, samkvæmt því sem fram komi í lögskýringargögnum, m.a. á tilliti til einstaklinga sem hafi verulega hagsmuni af því að upplýsingar um þá fari leynt.

Enn fremur kemur fram í fyrrgreindu áliti umboðsmanns Alþingis að jafnframt kunni að vera eðlilegt að leita eftir afstöðu þess sem upplýsingarnar varða og á hagsmuna að gæta í málinu áður en tekin sé ákvörðun um að veita aðgang að tilteknum gögnum þótt niðurstaða málsins sé ekki háð viljaafstöðu viðkomandi. Stjórnvöld verði sjálf að taka ákvörðun um hvaða upplýsingar beri að veita á grundvelli þess hagsmunamats sem 17. gr. stjórnsýslulaga áskilji. Þá nefnir umboðsmaður Alþingis í dæmaskyni gögn er kunni að falla undir undantekninguna, m.a. upplýsingar í umsögnum og læknisvottorð, og tiltekur í því sambandi persónulegar upplýsingar sem almennt hafa ekki þýðingu við mat á starfshæfni umsækjenda að því gefnu að ekki sé byggt á þeim upplýsingum við úrlausn í viðkomandi máli. Jafnframt kemur fram að umboðsmaður Alþingis álítur umsækjendur um störf hjá hinu opinbera ekki eiga að geta treyst því að trúnaðar sé gætt við vinnslu þeirra upplýsinga og gagna sem þeir afhenda stjórnvaldinu að öðru leyti en hvað varði upplýsingar þess eðlis að þær falli undir undantekningarákvæði stjórnsýslulaga.

Í 2. mgr. 5. gr. laga nr. 90/2018 kemur fram að lögin takmarki ekki þann rétt til aðgangs að gögnum sem mælt sé fyrir um í upplýsingalögum og stjórnsýslulögum.

Persónuvernd telur ljóst að við framkvæmd hins atviksbundna mats sem áskilið er í 17. gr. laga nr. 37/1993 kunni að vera nauðsynlegt að gefa þeim er gögnin varða tækifæri á að tjá sig um beiðnina og hvort undantekning ákvæðisins eigi við um einhverjar þær persónuupplýsingar sem koma fram í umsóknargögnum þeirra. Einnig telur Persónuvernd það hafa þýðingu fyrir fyrrnefnda einstaklinga að vera upplýstir um hver fær afhentar persónuupplýsingar um þá úr umsóknargögnum.

Sú ályktun verður einnig studd við meginreglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða. Í 39. lið formála reglugerðarinnar er tekið fram til frekari skýringa að einstaklingum ætti að vera ljóst þegar persónuupplýsingum um þá sé safnað, þær notaðar, skoðaðar eða unnar á annan hátt og að hvaða marki upplýsingarnar séu eða muni verða unnar.

Í 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 er svokölluð meðalhófsregla sem felur í sér að persónuupplýsingar ættu að vera nægilegar, viðeigandi og takmarkaðar við það sem nauðsynlegt er miðað við tilgang vinnslunnar. Í ljósi framangreinds og þess að aðrir umsækjendur kunna að hafa af því hagsmuni að vita hver sé viðtakandi svo umfangsmikilla upplýsinga um þá og þess að upplýsingar um nafn kvartanda á gagnabeiðni teljast ekki viðkvæmar upplýsingar né viðkvæms eðlis út frá sjónarmiðum um persónuvernd og friðhelgi einkalífs telur Persónuvernd að umrædd miðlun hafi samrýmst þeim kröfum sem leiddar verða af meðalhófsreglu 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Er þá jafnframt litið til þess að Persónuvernd telur að aðrir umsækjendur hefðu átt rétt á að óska eftir upplýsingum um gagnabeiðni kvartanda til [X] og miðlun persónuupplýsinga um þá til hans.

Með vísan til framangreinds, sbr. einkum 17. gr. stjórnsýslulaga, er það mat Persónuverndar að miðlun [X] á upplýsingum um gagnabeiðni kvartanda til annarra umsækjenda hafi stuðst við heimild í 3. tölul. 9. gr. laga nr. 90/2018.

Samkvæmt gögnum málsins var kvartanda ekki tilkynnt að upplýsingum um framangreinda beiðni hans yrði miðlað til annarra umsækjenda um starfið. Kemur því til skoðunar hvort [X] hafi borið að veita kvartanda fræðslu um miðlunina samkvæmt ákvæðum laga nr. 90/2018 og reglugerðar (ESB) 2016/679.

Um upplýsingarétt hins skráða sem hér kemur til álita er fjallað í 13. reglugerðarinnar, sbr. jafnframt 1. og 2. mgr. 17. gr. laga nr. 90/2018. Nánar tiltekið kveður 13. gr. reglugerðarinnar á um þá fræðslu sem veita ber hinum skráða þegar ábyrgðaraðili aflar persónuupplýsinga hjá honum sjálfum. Þær upplýsingar sem hér um ræðir, þ.e. nafn kvartanda á gagnabeiðni, bárust sannarlega frá honum sjálfum en var ekki aflað af ábyrgðaraðila í ákveðnum tilgangi í skilningi 13. gr. reglugerðarinnar sem skylt er að fræða hinn skráða um. Að mati Persónuverndar verður því ekki talið að [X] hafi borið skylda til þess að fræða kvartanda um miðlunina með vísan til fyrrgreindra ákvæða. Hér ber að líta til þess að beiðni kvartanda laut að miklu magni persónuupplýsinga um meðumsækjendur hans og hefði hann með sanngirni mátt ætla að réttur þeirra stæði til að fá upplýsingar um hverjum væri veittur aðgangur að gögnunum. Í því sambandi má einnig vísa til fyrrgreinds álits umboðsmanns Alþingis í máli nr. 8117/2014 varðandi það að ekki hefði verið hægt að heita kvartanda trúnaði um þá gagnabeiðni sem hann lagði fram enda voru upplýsingar sem þar komu fram ekki þess eðlis að þær féllu undir undantekningarákvæði stjórnsýslulaga.

Að öllu framangreindu virtu er það niðurstaða Persónuverndar að vinnsla [hinnar opinberu stofnunar X] á persónuupplýsingum [A] þegar [X] sendi tilkynningu um gagnabeiðni hans til allra umsækjanda um starf, þar sem kvartandi var nafngreindur, hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Ú r s k u r ð a r o r ð:

Tilkynning [hinnar opinberu stofnunar X] til umsækjenda um starf hjá henni, um beiðni [A] um afrit af umsóknargögnum þeirra, samrýmdist lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 31. október 2019

Björg Thorarensen

formaður

Aðalsteinn Jónasson    Ólafur Garðarsson

Þorvarður Kári Ólafsson