Tölva afhent vegna meiðyrðamáls

27.9.2010

ÚRSKURÐUR

Þann 14. september 2010 kvað stjórn Persónuverndar upp eftirfarandi úrskurð í máli nr. 2010/558:

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 21. júní 2010 barst Persónuvernd kvörtun K (hér eftir nefndur kvartandi) fyrrum starfsmanns Mjólku. Hann kvartar yfir því að Mjólka hafi afhent Sláturfélagi Suðurlands tölvu sem hann hafði haft afnot af við vinnu hjá Mjólku, en á tölvunni hafi verið ýmsar persónuupplýsingar um hann. Í kvörtuninni segir m.a.:

„Að Mjólka hafi veitt [S] aðgang að persónulegum gögnum (tölvu). Þeir skoða gögnin mín þ. á m. kreditkortayfirlit sem þeir prenta út og freista að nota gegn mér í dómsmáli. Þetta var allt gert án minnar vitundar. Hægt er að sjá sönnun þessa í málsgögnum sem ég skila inn með kvörtun. Þar kom fram fyrrgreindir punktar í vitnisburðum og hjálpargögnum. Atferli [S] tel ég hiklaust hafa kostað mig starfið hjá Mjólku.“

Meðal þeirra gagna sem fylgdu framangreindri kvörtun var afrit af greinargerð kvartanda sem hann lagði fram í Héraðsdómi Reykjavíkur vegna sakamáls nr. S-24/2010. Það var vegna meintra meiðyrða kvartanda (ákærða) um S [...] Sláturfélagi Suðurlands. Greinargerðin var lögð fram þann 1. mars 2010. Í henni segir m.a.:

„Upphaf máls þessa virðist mega rekja til kæru [S] og Sláturfélags Suðurlands svf. Rannsókn málsins beindist fljótlega að ákærða vegna ranghugmynda kærandans [St] um að ákærði væri höfundur efnis á vefsíðunum slaturfelag.com og slaturfelag.blogspot.com. Ákærði telur aðför kærandans gegn sér óskiljanlega og vart eiga sér hliðstæðu. Þannig liggur fyrir skv. gögnum málsins að eftir að ákærði hætti störfum hjá Sláturfélaginu og hóf störf hjá Mjólku hf., beitti kærandinn sér fyrir því að honum yrði sagt upp störfum þar vegna málsins. Þá virðist hann einnig hafa fengið forsvarsmenn Mjólku til að taka þátt í ólögmætri einkarannsókn á einkagögnum ákærða í þeim tilgangi að fella á hann sök. Þá var rannsókn málsins hætt hjá lögreglu á sínum tíma, en málið tekið upp á ný vegna linnulítils þrýstings frá kærandanum. Á því tímabili sem umrædd skrif áttu sér stað skv. ákæru þekkti ákærði [S] lítið sem ekkert. Ákærði hafði því enga ástæðu til að skrifa illa um hann. Ákærði neitar því með öllu að hafa skrifað þau ummæli sem honum er gefið að sök í ákæru.“

Fyrir liggur að sá sem fyrir meiðyrðunum varð taldi kvartanda vera höfund meiðyrðanna og hafa fært þau nafnlaust á heimasíðurnar slaturfelagid.com og slaturfelag.blogspot.com, og taldi hann vera sekan um brot gegn 236. gr. almennra hegningarlaga nr. 19/1940, um ærumeiðandi aðdróttun sem hefur verið höfð í frammi eða borin út gegn betri vitund. Með vísan til c-liðar 2. tölu. 1. mgr. 242. gr. sömu laga var þess krafist að brotið sætti opinberri ákæru, en samkvæmt því ákvæði skal það sæta saksókn hafi ærumeiðandi aðdróttun verið borin fram skriflega, en annaðhvort nafnlaust eða með rangri eða tilbúinni undirskrift, ef sá krefst þess, sem misgert var við. Úr varð sakamálið nr. 24/2010. Það var síðar fellt niður. Um það segir í bréfi ríkissaksóknara, dags. 19. mars 2010:

„Með yfirlýsingu dags. 11. þ.m. afturkallaði ríkissaksóknari ákæru í máli ákæruvaldsins gegn yður, sem útgefin var 14. janúar sl. Gögn málsins hafa verið yfirfarin að nýju og með hliðsjón af rannsóknargögnum, sbr. 145. gr. laga um meðferð sakamála nr. 88/2008, verður ekki talið að það sem fram er komið sé nægilegt eða líklegt til sakfellis og er málið því hér með fellt niður.“

2.

Bréfaskipti

Með bréfi, dags. 14. júlí 2010, tilkynnti Persónuvernd Mjólku um kvörtunina og bauð fyrrtækinu að koma fram með andmæli sín. Var spurt hvort umrædd miðlun upplýsinga (afhending tölvu) hafi farið fram, í hvaða tilgangi og á grundvelli hvaða heimildar í 8. gr., og eftir atvikum 9. gr., laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Var veittur svarfrestur til 28. júlí 2010. Persónuvernd ítrekaði ósk sína um svör með bréfum dags. 4. og 19. ágúst 2010.

Þann 24. ágúst 2010 hringdi M, [...] Mjólku, á skrifstofu Persónuverndar. Í því símtali kom fram að hann starfaði ekki lengur hjá Mjólku, en sæti þó þar í stjórn. Fór hann yfir sína hlið málsins en sagði að skriflegt svar myndi einnig berast frá B, [...] Mjólku. M kvað umrædda tölvu hafa verið afhenta í tengslum við rannsókn meiðyrðamáls. Um hafi verið að ræða tölvu sem var notuð af allri söludeild Mjólku, en kvartandi var þar sölumaður. Sagði M að allir starfsmenn söludeildar hefðu haft aðgang að þessari tölvu og að þeim hefði verið ljóst að óheimilt var að nota tölvuna til persónulegra nota. Við yfirheyrslu hjá lögreglu í tengslum við framangreint meiðyrðamál hafi lögregla spurt hvort M gæti komið tölvunni til lögreglu. Kvaðst hann hafa fallist á það. Það hafi hins vegar orðið að ráði að S, [...] Sláturfélags Suðurlands, myndi taka við tölvunni og koma henni til lögreglu.

Með bréfi, dags. 25. ágúst sl. barst bréf frá B, [...] Mjólku. Þar segir:

„[...] Varðandi þær spurningar sem lagðar eru fram í erindinu er eftirfarandi til að svara:

Fyrirtækið afhenti tölvu sem [K] hafði afnot af til að lögreglan gæti rannsakað hana. Við rannsókn lögreglu hafði komið fram að tölva með IP númer frá fyrirtækinu virtist hafa verið notuð í ólöglegum tilgangi.

Fyrir afhendingu lét fyrirtækið sérfræðing á sínum vegum skoða tölvuna. Þar fundust gögn á heimasvæði [K] sem sönnuðu að vefsíðan www.slaturfelagid.is hafði verið uppfærð frá þessari vél. Fyrirtækið telur ekki að þessi skoðun og afhending geti talist vera vinnsla í skilningi 2. gr. laga nr. 77/2000 um persónuvernd. Byggir þetta á því að fyrirtækið vann ekki úr persónuupplýsingum úr tölvunni eða sendi þær áfram. Tölvan var hins vegar afhent til afnota fyrir lögreglu vegna rannsóknar á opinberu máli.

Teljist framangreint athæfi vera vinnsla í skilningi 2. gr. laga nr. 77/2000 um persónuvernd telur fyrirtækið að hún hafi verið heimil á grundvelli 7. tl. 1. mgr. 8. gr. laga um persónuvernd til að tryggja rétt þriðja manns sem brot beindust að. Afar ólíklegt sé að viðkomandi starfsmaður hafi vistað viðkvæmar persónuupplýsingar um sjálfan sig á vinnutölvu, sem var til samnota nokkurra starfsmanna og því hæpið að slík vinnsla geti átt við. Teljist hún engu að síður hafa átt sér stað myndi 7. tl. 1. mgr. 9. gr. heimila slíka vinnslu, en greinin heimilar slíka vinnslu til að krafa geti verið afmörkuð, sett fram eða varin vegna dómsmáls eða laganauðsynja. Enda hefur lögregla heimild til að leggja hald á muni sem hafa sönnunargildi í sakamáli sbr. 9. kafli laga nr. 88/2008 um meðferð sakamála.

Rétt er að fylgja þessum svörum úr hlaði með því að lýsa atburðarásinni nánar:

[K] var starfsmaður Vogabæjar ehf, systurfélags Mjólku ehf, í september 2008. Þar sem félögin eru í sameiginlegum rekstri eru þau talin sem eitt í þessari greinargerð. Skv framburði fyrrverandi framkvæmdastjóra fyrirtækisins var [K] ráðinn inn til reynslu. Búið var að taka ákvörðun um að slíta ráðningarsambandi hans áður en til þeirra mála kom sem erindinu tengjast, þar sem árangur af störfum hans var ekki í samræmi við væntingar forráðamanna fyrirtækisins. Vangaveltur um áhrif þessa máls á ráðningarsamning [K] og Vogabæjar ehf eiga því ekki við rök að styðjast.

Um hríð hafði verið haldið úti vefsíðunni www.slaturfelagid.com, sem einkum fjallaði um innri málefni Sláturfélags Suðurlands svf. Fór svo að [...] félagsins krafðist lögreglurannsóknar á tilurð þessarar síðu þar sem hann taldi að í einhverjum tilfellum væri um að ræða róg og níð í sinn garð. Við rannsókn lögreglu kom í ljós að síðan hafði verið uppfærð í tölvu í eigu fyrirtækisins. Af þeim sökum var óskað eftir að fyrirtækið afhenti vélina til frekari rannsóknar. Áður en það var gert lét fyrirtækið sérfræðing á sínum vegum skoða vélina, gæti slíkt orðið til þess að hrekja þær grundsemdir sem kviknað höfðu.

Tölvan sem [K] vísar til var ætluð til sameiginlegra nota sölumanna fyrirtækjanna og var geymd á starfsstöð fyrirtækisins. Ekki var um einkavél hans að ræða og var ekki ætlast til þess að viðkomandi starfsmenn geymdu persónuleg gögn á þessum vélum. Þá er ljóst að einkanotkun tölvunnar við viðlíka starfsemi og uppfærslu vefsíðunnar www.slaturfelagid.com var algerlega óheimil [...].“

Með bréfi, dags. 6. september 3010, var kvartanda gefinn kostur á að tjá sig um framangreint svar Mjólku. Hann sendi svar með símbréfi þann 10. september sl. Í því segir m.a.:

„[...]

1. [M] [...] fyrirtækisins (Mjólku) afhenti [S], [...] Sláturfélags Suðurlands tölvuna eins og fram kemur í skýrslu sem [M] gaf hjá lögreglu 6.4.2009. Það gerði hann ekki að beiðni lögreglu. Ef lögreglan hefði viljað fá tölvuna til rannsóknar verður að teljast afar ólíklegt að hún hefði haft samband við [...] Sláturfélagsinsog beðið hann að skutlast eftir henni fyrir sig í Hafnarfjörð!

Við rannsókn lögreglu kom ekkert fram um að tölva með IP númeri frá Mjólku virtist hafa verið notuð í ólöglegum tilgangi, Ef svo hefur verið tengist það einhverjum öðrum málum hjá Mjólku, ótengdum mér!

2. „Þar fundust gögn á heimasvæði [K] sem sönnuðu að vefsíðan www.slaturfelagid.com hafði verið uppfærð frá þessari tölvu.“ Ef „sérfræðingur“ Mjólku hefur fundið gögn í tölvunni sem sönnuðu þetta þá hefur hann jafnframt haldið þeim frá lögreglunni. Lögreglan fann nefnilega enga sönnun þess að þessi tiltekna vefsíða hefði verið uppfærð frá þessari tölvu! Þessi meinti sérfræðingur hafði heldur ekki, frekar en [...] Mjólku eða Sláturfélags Suðurlands, neina heimild til þess að fara inn á heimasvæði mitt.

Hvað seinustu setninguna varðar „Tölvan var hins vegar afhent til afnota fyrir lögreglu vegna rannsóknar á opinberu máli“ skal endurtekið það sem áður var sagt. [...] Mjólku afhenti [...] Sláturfélags Suðurlands tölvuna en ekki lögreglunni. Lögreglan fór aldrei fram á að fá tölvuna afhenta!

3. „Afar ólíklegt sé að viðkomandi starfsmaður hafi vistað viðkvæmar persónuupplýsingar um sjálfan sig á vinnutölvu...“. Einu gildir hvort Mjólku finnist þetta ólíklegt eða ekki. Staðreyndir málsins eru hins vegar þær að meðal gagnanna voru kreditkortayfirlit mín. Þau voru skoðuð, af „sérfræðingi“ Mjólku. [S] eða aðilar honum tengdum sögðust líka hafa fundið þau í tölvunni (sbr. vinnuskjal sem [S] lagði fram) eins og kemur fram í lögregluskýrslu frá 4.11.2008. Aftur skal ítrekað að lögreglan fór ekki fram á að fá aðgang að umræddri tölvu heldur [S] en hvorki hann né [M] höfðu „heimild til að leggja hald á muni sem hafa sönnunargildi í sakamáli“

Að lokum er því haldið fram að ákveðið hafi verið að slíta ráðningarsambandinu við mig vegna þess að árangur minn í starfi hafi ekki verið í samræmi við væntingar. Um þetta segir [M] sjálfur í skýrslu hjá lögreglu 6.4.2009, „við nánari skoðun kom í ljós að [K]var talinn halda úti vefsíðu með mjög ósvífnum og rætnum persónulegum árásum á [S] og fjölskyldu hans. Þar sem mér er mjög annt um orðspor Mjólku ehf. og starfsmanna hennar, töldum við að þessar upplýsingar leiddu til þess að við ættum ekki samleið með [K] og því var sú ákvörðun tekin að segja honum upp störfum.“ Enn og aftur fer Mjólka því með rangt mál.

Af ofangreindu má sjá að svar Mjólku er ekki á nokkurn hátt sannleikanum samkvæmt. Orð [M] sjálfs í skýrslutöku hjá lögreglunni eru órækasta sönnun.

„Sérfræðingar“ Mjólku fóru inn á heimasvæði mitt í tölvunni og [M] [...] Mjólku afhendi [S] tölvuna en ekki lögreglu. Hið fyrra hefur Mjólka nú upplýst og ekki mótmælt því síðara (en [M] staðfesti það). Sektin Mjólku í málinu liggur fyrir.“

II.

Niðurstaða Persónuverndar

1.

Almennt

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Þar undir geta m.a. fallið miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, sbr. það sem fram kemur í athugasemdum í greinargerð með frumvarpi því er varð að lögum nr. 77/2000, sem og b-lið 2. gr. tilskipunar nr. 95/46/EB.

Með vísan til framangreinds telst sú aðgerð að afhenda umrædda tölvu, frá Mjólku til Sláturfélags Suðurlands svf., en hún innihélt persónuupplýsingar um tiltekna starfsmenn Mjólku, vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Fellur úrlausn máls þessa þar með undir verkefnasvið Persónuverndar.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga þarf að uppfylla eitthvert af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þá þarf, ef um viðkvæmar persónuupplýsingar er að ræða, einnig að vera uppfyllt eitthvert af skilyrðum 1. mgr. 9. gr.

Af hálfu ábyrgðaraðila hefur komið fram að á þeirri tölvu sem Mjólka afhenti Sláturfélagi Suðurlands hafi verið gögn sem báru með sér að hún var notuð við færslu efnis inn á vefsíðurnar slaturfelag.com og slaturfelag.blogspot.com, en á þær hafði verið færður fjöldi meiðandi ummæla og nafnlausra aðdróttana í garð nokkurra einstaklinga, þ. á m. [...] Sláturfélagsins. Slíkar færslur geta verið refsiverðar og því má telja upplýsingar um það hver stóð að færslunum vera viðkvæmar í skilningi b-liðar 2. gr. laga nr. 77/2000. Af því leiðir að umrædd upplýsingamiðlun þarf bæði að hafa fullnægt einhverju af skilyrðum 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000.

Af hálfu Mjólku hefur komið fram að tilgangur hennar með því að afhenda tölvuna Sláturfélaginu og [...] þess hafi verið sá að upplýsa mætti umrætt mál og komast til botns í því hvort tölvan hafi verið notuð við nafnlausar aðdróttanir og meiðandi færslur á framangreindar vefsíður. Samkvæmt 7. tölul. 1. mgr. 8. gr. telst vinnsla heimil ef hún er nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda beri samkvæmt lögum vegi þyngra. Að mati Persónuverndar var þessu skilyrði fullnægt. Í 7. tölul. 1. mgr. 9. gr. segir að vinnslan sé heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Þetta ákvæði á bæði við um vinnslu á vegum einkaaðila og opinberra aðila, s.s. lögreglu, og tekur bæði til vinnslu vegna dómsmála og mála sem eru til úrlausnar hjá stjórnvöldum. Að virtum öllum gögnum máls þessa telur Persónuvernd að framangreindu skilyrði 7. tölul. 1. mgr. 9. gr. hafi einnig verið fullnægt.

Auk þess sem heimild verður að vera til vinnslu í 8. og 9. gr. laga nr. 77/2000 verður öllum kröfum 7. gr. sömu laga að vera fullnægt. Þar segir m.a. að við vinnslu persónuupplýsinga skuli þess gætt að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er í þágu tilgangs vinnslunnar (3. tölul.).

Við mat á því hvort Mjólka hafi, með því að afhenda tölvuna til Sláturfélagsins en ekki beint til lögreglu, brotið gegn framangreindu ákvæði 7. gr., þykir þurfa að líta til þess hve rætnar og linnulausar hinar nafnlausu aðdróttanir á vefsíðunum voru og að ekki var um að ræða einkatölvu kvartanda heldur tölvu sem hann ásamt öðrum starfsmönnum fékk afnot af í vinnu sinni. Þá þykir skipta máli að þegar lögregla og ákæruvald reka ekki mál vegna ærumeiðinga þurfa þeir sem fyrir brotinu verða sjálfir að reka þau sbr. 242. gr. almennra hegningarlaga nr. 19/1940, með áorðnum breytingum. Með vísun til alls þessa verður ekki talið að afhending tölvunnar frá Mjólku til Sláturfélagsins hafi farið gegn 7. gr. laganna.

Af framansögðu er það niðurstaða Persónuverndar að Mjólku hafi verið heimilt að afhenda Sláturfélagi Suðurlands tölvu, sem K hafði ásamt öðrum afnot af við störf sín hjá Mjólku, í þeim tilgangi að tölvan nýttist til rannsóknar á meiðyrðamáli.

　

Ú r s k u r ð a r o r ð:

Miðlun persónuupplýsinga um K til Sláturfélags Suðurlands vegna rannsóknar á meiðyrðamáli var heimil.

Í Persónuvernd 14. september 2010