Miðlun persónuupplýsinga frá Félagsbústöðum

Mál nr. 2017/1239

31.5.2018

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 31. maí 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/1239:

I.

Málsmeðferð

 

1.

Tildrög máls

Þann 8. september 2017 barst Persónuvernd kvörtun frá [...] (hér eftir nefnd kvartandi) vegna miðlunar persónuupplýsinga um hana frá Félagsbústöðum hf. til húsfélagsins á heimili hennar í fjölbýlishúsinu að [...] Reykjavík. Í kvörtuninni segir m.a. að tölvupóstur sem hún hafi sent Félagsbústöðum hf. hafi verið framsendur til formanns húsfélagsins og að hún hafi óstaðfestan grun um að fleiri trúnaðarupplýsingum hafi verið miðlað frá Félagsbústöðum til annarra óviðkomandi aðila, sem ekki eru tilgreindir nánar.

Með bréfi til kvartanda, dags. 25. október 2017, óskaði Persónuvernd nánari skýringa á kvörtuninni, þ. á m. hvort um hefði verið að ræða miðlun viðkvæmra persónuupplýsinga. Svar kvartanda barst með bréfi, dags. 14. nóvember s.á., en þar ítrekar kvartandi fyrri athugasemdir og bendir á að í tölvupóstinum hafi m.a. komið fram athugasemdir kvartanda um brunavarnir og umgengni, sem mátti að hennar sögn bæta í húsfélaginu. Fram kemur að kvartandi hafi sent tölvupóst á nokkra aðila innan Félagsbústaða og aðila innan Slökkviliðs höfuðborgarsvæðisins. Tölvupóstinum hafi verið svarað af starfsmanni Félagsbústaða með þeim skilaboðum að Félagsbústaðir myndu koma ábendingunum áfram til ráðamanna húsfélagsins og að þeim yrði fylgt eftir. Kvartandi hafi þá komið því á framfæri við Félagsbústaði með símtali að samskipti hennar við Félagsbústaði væru trúnaðarmál, að ekki væri heimild til framsendingu tölvupósts til óviðkomandi og að tölvupóstinum væri einungis beint að viðkomandi móttakendum.

Einnig segir að símanúmeri kvartanda hafi verið miðlað frá Félagsbústöðum til verktaka á vegum Félagsbústaða án heimildar eða vitundar hennar og að hringt hafi verið í hana úr leyninúmerum frá viðkomandi verktökum án fyrirvara eða samráðs af hálfu Félagsbústaða. Þá segir að starfsmenn Félagsbústaða hafi rætt málefni kvartanda, sem ekki tengist kvörtun hennar til Félagsbústaða, við nágranna hennar.

2.

Bréfaskipti

Með bréfi, dags. 4. desember 2017, var Félagsbústöðum boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf Málþings ehf., f.h. Félagsbústaða, barst Persónuvernd með bréfi, dags. 28. desember s.á. Í svarbréfinu segir m.a. að kvartandi hafi tekið íbúð í eigu Félagsbústaða á leigu [...] 2017. Á stuttum leigutíma hafi Félagsbústaðir móttekið fjölda kvartana frá kvartanda vegna ástands íbúðarinnar sem henni hafi þótt ábótavant, en með svarbréfinu fylgdi yfirlit yfir beiðnir kvartanda um viðhald og viðgerðir á íbúðinni. Með svarbréfinu fylgdi einnig leigusamningur milli kvartanda og Félagsbústaða. Í 7. gr. samningsins segir að leigusali eigi rétt á aðgangi að húsnæðinu með hæfilegum fyrirvara og í samráði við leigjanda, til að láta framkvæma viðgerðir og úrbætur og til reglubundins eftirlits með ástandi þess, eða af gefnu tilefni, en í bréfinu er einnig vísað til sambærilegs ákvæðis í 18. gr. húsaleigulaga nr. 36/1994. Með hliðsjón af framangreindu hafna Félagsbústaðir því að brotið hafi verði gegn réttindum kvartanda og benda á að framkvæmdin yrði býsna erfið ef ekki væri hægt að koma á samskiptum milli leigjanda og viðgerðarmanns með einhverjum hætti.

Jafnframt segir að Félagsbústaðir kannist ekki við að hafa miðlað netfangi kvartanda til óviðkomandi aðila, hvorki með beinni upplýsingagjöf né með því að hafa framsent póst þar sem netfangið komi fram, auk þess sem fram kemur að félaginu hafi ekki verið bannað að gefa upp netfang kvartanda eða framsenda póst frá henni fyrr en með tölvupósti frá kvartanda þann 26. júlí 2017. Þá hafna Félagsbústaðir öðrum umkvörtunarefnum á þeim grundvelli að þau séu órökstudd og að öðru leyti ekki sannleikanum samkvæm.

Þann 11. janúar 2018 sendi kvartandi Persónuvernd tölvupóst þar sem fylgdi afrit af færslu af Facebook-síðu nágranna kvartanda, en þar vísar nágranninn til fréttar sem birtist á vefmiðlinum Pressan.is þann [...] 2017. Í fréttinni segir frá konu sem er gefið nafnið [A] í fréttinni. [A] býr í blokk í [...] Reykjavíkur og segist óttast um líf sitt og dóttur sinnar vegna nágranna sem býr í íbúð Félagsbústaða, en nágrannanum er gefið nafnið [B]. Í fréttinni segir að [B] hafi áður verið látin flytja milli íbúða Félagsbústaða og í athugasemdum nágranna við Facebook færsluna kemur fram að hún sé viðmælandi fréttarinnar og að húsfélagið sé að vinna að því með Félagsbústöðum að koma henni úr íbúðinni. Í símtali við starfsmann Persónuverndar þann 16. janúar 2018 lýsti kvartandi því yfir að í fréttinni, og í færslu nágranna kvartanda um fréttina, fælist sönnun þess að upplýsingum hefði verið miðlað frá Félagsbústöðum til óviðkomandi. Kvartandi sagði að í fréttinni kæmi fram millinafn hennar, [B], sem ekki væri skráð í þjóðskrá; þar kæmi fram aldur dóttur hennar; að kvartandi hefði áður leigt hjá Félagsbústöðum; og að verið væri að leita að nýju húsnæði fyrir hana.

Þann 16. janúar 2018 sótti kvartandi afrit af svarbréfi Félagsbústaða á skrifstofu Persónuverndar og var henni veittur kostur á að koma á framfæri athugasemdum við það. Svar barst með bréfi, dags. 21. s.m. Í svarbréfinu segir að kvartandi hafi flutt í leiguíbúð á vegum Félagsbústaða í lok júní 2017 og að fljótlega hafi komið í ljós vankantar og gallar á íbúðinni. Kvartandi hafi því kvartað yfir ástandi íbúðarinnar en fyrst og fremst hafi verið um að ræða hávaðakvartanir vegna óreglu annars leigjanda Félagsbústaða, sem félagið hafi ekki brugðist við.

Í bréfinu hafnar kvartandi framkomnum svörum Félagsbústaða og segir að í svarbréfinu komi fram alvarlegar rangfærslur og gögn sem komi kvörtun hennar ekki við. Einnig segir að brot Félagsbústaða feli í sér mörg símtöl, viðtöl og tölvupóstsendingar milli starfsmanna Félagsbústaða og annarra leigjenda Félagsbústaða og nágranna kvartanda, m.a. formanns húsfélagsins. Þá segir að þær persónuupplýsingar sem um ræðir séu m.a. upplýsingar um aldur barns hennar og fullt nafn kvartanda, sér í lagi millinafn hennar sem hún segir að aðeins Félagsbústaðir hafi getað veitt.

Þann 28. febrúar 2018 barst Persónuvernd afrit bréfs lögmanns kvartanda, dags. 20. s.m., til Félagsbústaða. Í bréfinu mótmælir lögmaður kvartanda aðvörun sem kvartanda barst frá Félagsbústöðum, en í aðvöruninni segi að kvartandi hafi brotið gegn viðteknum og eðlilegum sambýlisháttum og að ef ekki verði brugðist við aðvöruninni muni Félagsbústaðir senda lokaaðvörun. Ef lokaaðvörun verði ekki sinnt þá verði leigusamningi Félagsbústaða og kvartanda rift. Í bréfinu segir að kvartandi hafi kært aðila innan húsfélagsins til lögreglu fyrir alvarlegar hótanir og að hún hafi orðið fyrir aðkasti í húsinu, en engin ný mál hafi komið upp, s.s. árekstrar við aðra íbúa, um ríflega tveggja mánaða skeið þar sem kvartandi hafi reynt að takmarka samskipti sín við sambýlisfólk. Þá er því mótmælt að kvartanda verði kennt um slæm samskipti milli hennar og annarra nágranna.

Með bréfi, dags. 26. febrúar 2018, var Félagsbústöðum veittur kostur á að koma á framfæri athugasemdum sínum við tölvupóst sem barst Persónuvernd frá kvartanda þann 11. janúar s.á., frétt Pressunar, dags. 5. desember 2017 og svarbréf kvartanda, dags. 21. janúar 2018. Svar barst með bréfi, dags. 12. mars s.á. Í svarbréfinu segir að þær persónuupplýsingar sem um ræði séu millinafn kvartanda og aldur dóttur hennar. Félagsbústaðir hafi hvorugu miðlað, auk þess sem fram kemur að þessar upplýsingar séu væntanlega víða aðgengilegar. Þá segir að Félagsbústaðir geti hvorki borið ábyrgð á Facebook-færslum nágranna kvartanda né fjölmiðlaumfjöllun, auk þess sem ekki liggi fyrir með hvaða hætti miðlun upplýsinga af þessum toga sé ólögmæt né heldur að Félagsbústaðir hafi haft neitt með slíka meinta miðlun að gera. Þá er í lok bréfsins vísað til fyrra bréfs, dags. 28. desember 2017, og segir jafnframt að meintum ávirðingum sé hafnað og að þær hafi hvorki verið sannaðar né gerðar sennilegar.

Með bréfi, dags. 21. mars 2018, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Félagsbústaða. Svar barst með tölvupósti þann 23. mars s.á., en þar segir að ekki sé aðeins um að ræða millinafn hennar og aldur dóttur og heldur sé málið umfangsmeira en það. Að öðru leyti vísar kvartandi til fyrri athugasemda.

II.

Forsendur og niðurstaða

 

1.

Gildissvið laga nr. 77/2000 og afmörkun máls.

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Í því máli sem hér um ræðir er kvartað yfir miðlun persónuupplýsinga frá Félagsbústöðum til óviðkomandi aðila, þ.e. til nágranna kvartanda, þ. á m. til formanns húsfélagsins, og verktaka á vegum Félagsbústaða. Ekki er kvartað yfir vinnslu persónuupplýsinga af hálfu nágranna kvartanda eða birtingu persónuupplýsinga um kvartanda á Facebook eða í fjölmiðlum og tekur Persónuvernd því ekki efnislega afstöðu til þess í úrskurði þessum hvort sú vinnsla hafi samrýmst lögum.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til teljast Félagsbústaðir hf. vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

 

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Sú vinnsla sem hér er kvartað yfir er miðlun Félagsbústaða á upplýsingum um fullt nafn kvartanda, aldur dóttur hennar og að unnið sé að því að útvega kvartanda nýja íbúð, framsending Félagsbústaða á tölvupóstum kvartanda til óviðkomandi aðila og miðlun símanúmers hennar til verktaka á vegum Félagsbústaða.

Hvað varðar miðlun persónuupplýsinga frá Félagsbústöðum um fullt nafn kvartanda, aldur dóttur hennar og að unnið hafi verið að því að útvega kvartanda nýja íbúð, sem og framsendingu tölvupósta frá kvartanda til óviðkomandi, þá segir í bréfum Félagsbústaða, dags. 28. desember 2017 og 12. mars 2018, að því sé hafnað að Félagsbústaðir hafi miðlað umræddum upplýsingum. Í 2. mgr. 37. gr. laga nr. 77/2000 segir að Persónuvernd úrskurði í ágreiningsmálum sem upp kunni að koma um vinnslu persónuupplýsinga. Hvað þennan þátt málsins snertir stendur orð gegn orði og getur Persónuvernd ekki, með þeim rannsóknarúrræðum sem henni eru búin, skorið úr um hvort sú vinnsla persónuupplýsinga, sem þessi hluti kvörtunarinnar tekur til, hafi átt sér stað. Er þessum þætti kvörtunarinnar því vísað frá.

Hvað varðar miðlun símanúmers kvartanda til verktaka á vegum Félagsbústaða þá liggur fyrir að miðlunin fór fram í kjölfar beiðna kvartanda um viðgerðir og úrbætur á leiguíbúðinni. Í 2. tölul. 1. mgr. 8. gr. laga nr. 77/2000 segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að efna samning sem hinn skráði er aðili að. Með vísan til 7. gr. leigusamnings kvartanda og Félagsbústaða hf., og með hliðsjón af 18. gr. húsaleigulaga nr. 36/1994, er það mat Persónuverndar að vinnsla persónuupplýsinga geti stuðst við heimild í fyrrgreindu ákvæði.

Í 1. mgr. 20. gr. laga nr. 77/2000 segir að þegar persónuupplýsinga sé aflað hjá hinum skráða skuli upplýsa hann um nafn og heimilisfang ábyrgðaraðila, tilgang vinnslunnar og aðrar upplýsingar, að því marki sem þær eru nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna. Þá segir í 2. mgr. sömu greinar að ákvæði 1. mgr. gildi ekki þegar hinn skráði hafi þegar fengið vitneskju um framangreind atriði. Í því tilviki sem hér um ræðir er það mat Persónuverndar að kvartandi hafi þegar fengið vitneskju um þau atriði sem tilgreind eru í 1. og 2. tölul. 1. mgr. 20. gr., þ.e. um nafn ábyrgðaraðila og tilgang vinnslunnar. Eins og hér háttar til verður ekki talið að Félagsbústöðum hafi borið að veita kvartanda aðrar upplýsingar sem nauðsynlegar voru til að hún gæti gætt réttinda sinna, sbr. 3. tölul. ákvæðisins. Því verður ekki talið að Félagsbústaðir hafi vanrækt fræðsluskyldu sína gagnvart kvartanda.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er m.a. mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Ekki hefur komið fram að umrædd vinnsla hafi verið andstæð þessum kröfum, né heldur öðrum kröfum laganna.

Ú r s k u r ð a r o r ð:

Kvörtun [...] yfir miðlun persónuupplýsinga frá Félagsbústöðum hf. um fullt nafn hennar, aldur dóttur hennar og að unnið hafi verið að því að útvega kvartanda nýja íbúð, sem og framsendingu tölvupósta frá kvartanda til óviðkomandi, er vísað frá.

Miðlun Félagsbústaða hf. á upplýsingum um símanúmer [...] samrýmdist lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.