Miðlun persónuupplýsinga til sálfræðistofu

5.4.2017

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 26. janúar 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/290:

 

I.

Málsmeðferð

1.

Tildrög máls

Þann 11. febrúar 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi), yfir miðlun persónuupplýsinga um hann frá Reykjavíkurborg til Lífs og sálar sálfræðistofu ehf. og eftirfarandi vinnslu sálfræðistofunnar á þeim upplýsingum. Af hálfu kvartanda kemur fram að Reykjavíkurborg hafi miðlað persónuupplýsingum um hann til Lífs og sálar sálfræðistofu, í tengslum við kvörtun yfir einelti sem hann hafði sent yfirmönnum sínum hjá Reykjavíkurborg, án samþykkis hans.

2.

Bréfaskipti

Með bréfi, dags. 29. febrúar 2016, var Reykjavíkurborg tilkynnt um framkomna kvörtun og boðið að koma á framfæri skýringum vegna hennar. Svarbréf Reykjavíkurborgar er dagsett 10. mars s.á.

Í bréfi Reykjavíkurborgar segir að kvartandi hafi ítrekað farið fram á við sveitarfélagið að mál hans yrði skoðað þar sem hann hafi ekki talið rétt hafa verið staðið að málum við meðferð kvartana hans yfir meintu áreiti á vinnustað. Í þeim óskum kvartanda hafi meðal annars komið fram að fulltrúar borgarinnar hefðu ekki gætt hlutleysis. Í ljósi þess hafi verið fenginn utanaðkomandi, hlutlaus og faglegur ráðgjafi vegna málsins. Sálfræðistofan Líf og sál hafi áður gengt trúnaðarstörfum fyrir Reykjavíkurborg og áður veitt borginni ráðgjöf í þessum málaflokki. Einnig segir að ekki hafi legið fyrir formlegt samþykki kvartanda fyrir því að leitað yrði til sérhæfðs þriðja aðila. Vegna eðlis málsins hafi af hálfu Reykjavíkurborgar verið talin þörf á aðkomu utanaðkomandi fagaðila og hafi það verið skilningur fulltrúa borgarinnar að kvartandi hafi verið meðvitaður um þá afgreiðslu. Í bréfinu segir jafnframt að til Lífs og sálar hafi verið miðlað tölvupóstsamskiptum kvartanda við [X], starfsmannastjóra Reykjavíkurborgar, greinargerð lögfræðings kvartanda, auk  greinargerðar kvartanda og tímalínu vegna málsins. Að auki hafi [Z], skrifstofustjóri skrifstofu þjónustu og reksturs, svarað spurningum sálfræðistofunnar tengdum málinu.

Með tölvupósti, dags. 18. apríl 2016, tilkynnti kvartandi Persónuvernd að kvörtun hans beindist einnig að vinnslu Lífs og sálar á persónuupplýsingum um hann. Í tölvupóstinum segir kvartandi  að í gögnum málsins hafi verið persónuleg greinargerð hans um eineltið, en hún hafi m.a. innihaldið bréf frá sálfræðingi hans.

Með bréfi, dags. 25. apríl 2016, óskaði Persónuvernd eftir upplýsingum um hvort sveitarfélagið hafi litið á Líf og sál sem vinnsluaðila og hvort gerður hafi verið vinnslusamningur við sálfræðistofuna. Í svarbréfi Reykjavíkurborgar, dags. 30. júní s.á., segir að ekki hafi verið gerður vinnslusamningur við sálfræðistofuna. Í bréfinu segir einnig að kvartandi hafi ítrekað leitað til Reykjavíkurborgar vegna meints eineltis í störfum sínum hjá sveitarfélaginu. Í samskiptum sínum við Reykjavíkurborg hafi hann m.a. óskað eftir leiðbeiningum frá sveitarfélaginu um hvernig hann ætti að bera sig eftir skaðabótum vegna hins meinta eineltis.

Með bréfi, dags. 8. júlí 2016, var kvartanda veittur kostur á að koma á framfæri athugasemdum við framkomnar skýringar Reykjavíkurborgar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svar kvartanda barst Persónuvernd með tölvupósti þann 19. júlí s.á. Í svari kvartanda segir að hann hafi ekki veitt samþykki sitt og að ekkert dómsmál hafi verið í gangi eða fyrirhugað þegar vinnslan fór fram.

Með bréfi, dags. 2. ágúst 2016, var Lífi og sál tilkynnt um kvörtunina og einnig veittur kostur á að tjá sig um efni hennar og framkomin svör Reykjavíkurborgar. Í svarbréfi sálfræðistofunnar, dags. 12. s.m., segir að þann 29. september 2015 hafi Reykjavíkurborg óskað eftir því að sálfræðistofan rýndi og legði mat á viðbrögð vinnuveitanda við meintu eineltis í garð kvartanda. Líf og sál hafi yfirfarið gögn málsins, sett fram spurningar til næsta yfirmanns kvartanda og skrifað minnisblað fyrir starfsmannastjóra Reykjavíkurborgar. Jafnframt segir í bréfinu að það hafi verið skilningur sálfræðistofunnar að Reykjavíkurborg hefði umboð kvartanda til að framsenda gögn vegna málsins og það væri ekki í verkahring sálfræðistofunnar að afla slíks umboðs.

Með bréfi, dags. 1. september 2016, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Lífs og sálar. Svar kvartanda barst Persónuvernd með tölvupósti þann 15. september 2016. Þar lýsir kvartandi yfir óánægju sinni með þau vinnubrögð Reykjavíkurborgar að miðla persónuupplýsingum þeirra, sem leita réttar síns, til utanaðkomandi aðila.

Með símtali, dags. 20. janúar 2017 staðfesti Reykjavíkurborg að borgin hefði ekki veitt kvartanda fræðslu um fyrirhugaða miðlun og vinnslu persónuupplýsinga um hann áður en persónuupplýsingunum var miðlað.

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar.

Eins og fyrr greinir er í máli þessu kvartað yfir miðlun Reykjavíkuborgar á persónuupplýsingum kvartanda til Lífs og sálar sálfræðistofu ehf. og eftirfarandi vinnslu persónuupplýsinga sem fram fór með ritun minnisblaðs um málið. Af framangreindu er ljóst að þessi atriði lúta að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar og gildissvið laga nr. 77/2000 eins og það er afmarkað í framangreindum ákvæðum.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Reykjavíkurborg telst vera ábyrgðaraðili að miðlun persónuupplýsinga um kvartanda til Lífs og sálar.

Líta verður svo á að sálfræðingur Lífs og sálar hafi unnið fyrir Reykjavíkurborg sem sjálfstætt starfandi sérfræðingur. Þegar slíkur sérfræðingur tekur að sér verk getur sérþekking hans og sjálfstæð staða haft þau áhrif að hann teljist ábyrgðaraðili þeirrar vinnslu persónuupplýsinga sem hann viðhefur við framkvæmd verksins. Um þetta er fjallað í áliti frá starfshópi sem starfar samkvæmt 29. gr. tilskipunar Evrópusambandsins 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, en hann er skipaður fulltrúum persónuverndarstofnana í ríkjum sem skuldbundin eru af ákvæðum hennar. Nánar tiltekið er um að ræða álit nr. 1/2010 (WP169) um hugtökin „ábyrgðaraðili“ og „vinnsluaðili“. Þar eru meðal annars nefnd raunhæf dæmi um hvernig á það getur reynt hvort sjálfstæðir sérfræðingar teljist ábyrgðaraðilar að vinnslu sem þeir hafa með höndum í vinnu fyrir aðra.

Í bréfi Reykjavíkurborgar, dags. 10. mars 2016 segir að áhersla hafi verið lögð á að fá utanaðkomandi aðila til að skoða málið, m.a. vegna ummæla kvartanda um að fulltrúar borgarinnar gættu ekki hlutleysis við úrlausn málsins. Að mati Persónuverndar var ritun minnisblaðs um málið á forræði sérfræðinga á vegum Lífs og sálar ehf. og var það ekki ritað undir handleiðslu eða samkvæmt fyrirmælum Reykjavíkurborgar. Telur Persónuvernd í ljósi þessa og annars framangreinds að ábyrgðaraðili þeirrar vinnslu, sem tengdist samningu minnisblaðs, hafi verið Líf og sál sálfræðistofa ehf.

 

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þá verður vinnsla viðkvæmra persónuupplýsinga, s.s. upplýsinga um heilsuhagi, sbr. c-lið 8. tölul. 2. gr. sömu laga, einnig að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna.

Fyrir liggur að meðal þeirra gagna sem miðlað var til Lífs og sálar var bréf frá sálfræðingi kvartanda sem innihélt upplýsingar um heilsuhagi hans. Samkvæmt því var um að ræða vinnslu viðkvæmra persónuupplýsinga um kvartanda sem samrýmast þarf bæði einhverju af þeim skilyrðum sem fram koma í 8. gr. og einhverju skilyrðanna í 9. gr.  laga nr. 77/2000.

Í 3 .tölul. 1. mgr. 8. gr. segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Í 2. tölul. 9. gr. segir að vinnsla viðkvæmra persónuupplýsinga sé heimil ef sérstök heimild stendur til vinnslunnar samkvæmt öðrum lögum. Eins og hér háttar til reynir einkum á sjónarmið tengd þessum ákvæðum 8. og 9. gr. í tengslum við miðlun Reykjavíkurborgar á persónuupplýsingum um kvartanda og eftirfarandi vinnslu sálfræðistofunnar Lífs og sálar.

Þá segir í e-lið 38. gr. laga nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, að ráðherra setji nánari reglur um hvaða kröfur skuli uppfylltar varðandi skipulag, tilhögun og framkvæmd vinnu, svo sem um aðgerðir gegn einelti á vinnustað. Slík reglugerð hefur verið sett og í 7. gr. reglugerðar nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum, kemur fram að atvinnurekandi skuli bregðast við eins fljótt og kostur er komi fram ábending um einelti á vinnustað. Meta skuli aðstæður í samvinnu við utanaðkomandi ráðgjafa ef með þarf.

Í máli þessu liggur fyrir að Reykjavíkurborg miðlaði persónuupplýsingum um kvartanda til Lífs og sálar sem í kjölfarið útbjó minnisblað, að beiðni Reykjavíkurborgar, eftir að hafa rýnt í og lagt  mat á viðbrögð borgarinnar vegna meints eineltis í garð kvartanda. Með hliðsjón af framangreindu ákvæði í lögum nr. 46/1980 og reglugerð nr. 1009/2015 er ljóst að atvinnurekanda ber skylda til að bregðast við ábendingu um einelti og eftir atvikum afla ráðgjafar utanaðkomandi aðila ef með þarf. Engu að síður er nauðsynlegt að sú vinnsla persónuupplýsinga sem fram fer hjá atvinnurekanda í kjölfarið sé í samræmi við meginreglur laga nr. 77/2000. Þrátt fyrir að í reglugerð nr. 1009/2015 sé kveðið á um viðbrögð atvinnurekenda við kvörtun um einelti er þar ekki að finna sérstaka heimild til miðlunar viðkvæmra persónuupplýsinga.

Til skoðunar kemur í þessu sambandi hvort miðlun upplýsinganna hafi verið heimil á grundvelli 7. tölul. 1. mgr. 9. gr. laga nr. 77/2000, en þar er að finna heimild til vinnslu persónuupplýsinga ef vinnslan er nauðsynleg til að krafa sé afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.

Við beitingu 7. tölul. 1. mgr. 9. gr. er ekki er skilyrði að dómsmál hafi verið höfðað eða þingfest, heldur nægir að vinnsla persónuupplýsinga sé nauðsynleg til að verjast kröfu eða sækja hana. Í athugasemdum við töluliðinn í frumvarpi því sem varð að lögum nr. 77/2000 segir að vinnuveitanda geti t.d. verið nauðsynlegt að vinna upplýsingar um heilsufar starfsmanns, s.s. til að geta sýnt fram á lögmætar forsendur fyrir uppsögn. Ekki sé skilyrði að mál verði lagt fyrir dómstóla heldur nægi að vinnslan sé nauðsynleg til að styðja kröfu fullnægjandi rökum.

Í því máli sem hér er til skoðunar liggur fyrir að kvartandi hafði lagt inn formlega kvörtun til Reykjavíkurborgar vegna eineltis. Af þeim sökum verður talið að Reykjavíkurborg hafi verið heimilt að miðla persónuupplýsingum um kvartanda til Lífs og sálar sálfræðistofu á grundvelli 7. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Eftirfarandi vinnsla Lífs og sálar á persónuupplýsingum, í því skyni að leggja mat á viðbrögð vinnuveitanda við meintu einelti, studdist og við sama ákvæði.

Jafnframt telur Persónuvernd vinnsluna heimila á grundvelli 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

Með vísan til framangreinds er ljóst að umrædd vinnsla persónuupplýsinga var heimil, enda væri persónuvernd tryggð með tilteknum ráðstöfunum og öðrum ákvæðum laga nr. 77/2000 fylgt.

 

3.

Fræðsla til kvartanda

Auk vinnsluheimildar samkvæmt framangreindu þarf vinnsla persónuupplýsinga að samrýmast öllum grunnkröfum 7. gr. laga nr. 77/2000,  þ. á m. að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að persónuupplýsingar skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að persónuupplýsingar skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal afmá eða leiðrétta (4. tölul.).

Forsenda þess að vinnsla teljist sanngjörn samkvæmt framangreindu er að hún sé gagnsæ gagnvart hinum skráða en í því felst m.a. að hinn skráði viti um vinnsluna og hafi fengið fræðslu um hana, sbr. m.a. 20. og  21. gr. laga nr. 77/2000.

 

3.1.

Fræðsla vegna miðlunar persónuupplýsinga frá Reykjavíkurborg

Í 20. gr. laga nr. 77/2000 segir að þegar persónuupplýsinga er aflað hjá hinum skráða sjálfum skuli ábyrgðaraðili veita honum fræðslu um ýmis atriði, m.a. atriði sem hinn skráði þarf að vita um til að geta gætt hagsmuna sinna. Það á t.d. við um það hvort honum sé skylt eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa veiti hann þær ekki. Við túlkun á ákvæði 20. gr. laga nr. 77/2000 ber að líta til þess að ákvæðið byggist á 10. gr. tilskipunar Evrópusambandsins 95/46/EB. Er þar sérstaklega tilgreint að við mat á því hvort og að hvaða marki skuli veita hinum skráða fræðslu skuli taka mið „af þeim sérstöku aðstæðum sem ríkja við söfnunina, til að tryggja hinum skráða að vinnslan fari fram á sanngjarnan hátt gagnvart honum“.

Með símtali, dags. 20. janúar 2017 staðfesti Reykjavíkurborg að kvartanda var ekki veitt fræðsla í áður en persónuupplýsingum hann var miðlað til Lífs og sálar sálfræðistofu. Af þessu er ljóst að Reykjavíkurborg sinnti ekki fræðsluskyldu sinni og að sama skap var réttur kvartanda til fræðslu ekki virtur. 

 

3.2.

Fræðsla vegna vinnslu Lífs og sálar sálfræðistofu á persónuupplýsingum um kvartanda

Í 21. gr. laga nr. 77/2000 er lögð sú skylda á ábyrgðaraðila að láta hinn skráða vita þegar hann aflar persónuupplýsinga frá öðrum en honum og ber ábyrgðaraðila að greina honum frá þeim atriðum sem talin eru upp í 3. mgr. ákvæðisins.

Í 2. tölul. 4. mgr. 21. gr. laga nr. 77/2000 er að finna undantekningarheimild frá fræðsluskyldu ábyrgðaraðila, ef ætla má að hinum skráða sé kunnugt um vinnsluna. Þessi undantekning á ekki við nema hinum skráða sé kunnugt um öll þau atriði sem talin eru upp í fyrrnefndri 3. mgr. 21. gr. laganna. Efni fræðslunnar skv. 21. gr. er sambærilegt því sem ber að veita skv. fyrrnefndri 20. gr. laganna.

Í ljósi framangreinds, þ. á m. að Reykjavíkurborg bar skylda til að fræða kvartanda áður en persónuupplýsingunum var miðlað til sálfræðistofunnar, verður að telja að sálfræðistofan hafi mátt ætla að kvartanda hafi þegar verið kunnugt um vinnsluna og að honum væri þegar kunnugt um þau atriði sem fram koma í 3. mgr. 21. gr. laga nr. 77/2000.

 

4.

Niðurstaða

Miðlun Reykjavíkurborgar á persónuupplýsingum um kvartanda var heimil á grundvelli 7. tölul. 1. mgr. 9. gr. og 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Fræðsla Reykjavíkurborgar til kvartanda var ekki í samræmi við lög nr. 77/2000.

Eigi síðar en 1. apríl 2017 skal Reykjavíkurborg senda Persónuvernd greinargerð um hvernig borgin muni uppfylla fræðsluskyldu sína þegar persónuupplýsingum er miðlað í þeim tilgangi að afla utanaðkomandi ráðgjafar.

 

Ú r s k u r ð a r o r ð:

Vinnsla persónuupplýsinga um [A] hjá Reykjavíkurborg og Líf og sál sálfræðistofu ehf. var heimil. Fræðsla Reykjavíkurborgar til kvartanda var ekki í samræmi við lög.

Eigi síðar en 1. apríl 2017 skal Reykjavíkurborg senda Persónuvernd greinargerð um hvernig borgin muni uppfylla fræðsluskyldu sína við hina skráðu þegar persónuupplýsingum er miðlað í þeim tilgangi að afla utanaðkomandi ráðgjafar.