Úrskurður um lögmæti rafrænnar akstursdagbókar hjá Ragnari og Ásgeiri ehf.

7.2.2011

Úrskurður

Á fundi stjórnar Persónuverndar hinn 18. janúar 2011 var kveðinn upp svohljóðandi úrskurður í máli nr. 2010/959:

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.
Tildrög máls
Þann 29. október 2010 barst Persónuvernd kvörtun frá V (hér eftir nefndur kvartandi) yfir uppsetningu ökurita í bílum Ragnars og Ásgeirs ehf. Í kvörtuninni segir m.a.:

„Atvinnurekandi minn Ragnar og Ásgeir ehf í Grundarfirði greiddi mér laun eftir sagakerfinu og dróg af mér 60 tíma á þeirri forsendu að þeir hafi ekki verið unnir þeir tímar þar sem atvinnurekandi hélt því fram að ég hafi verið að aka einum bíl. [...] En sannleikurinn er sá að í minni vinnu er meira en bara að keyra td. lestun og losun, þrif á bílum og vögnum, beðið eftir lestun og sofið í bílnum hingað og þangað um landið. Ég tel að það sé verið að brjóta á persónurétti mínum að fylgjast með mér í þessu sagasystem eftirlitskerfi og borga laun eftir því. [...]“

2.
Bréfaskipti
Með bréfi, dags. 30. ágúst 2010, gerði Persónuvernd Ragnari og Ásgeiri ehf. grein fyrir kvörtuninni og bauð því að koma sínum sjónarmiðum á framfæri til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Svarbréf Ragnars og Ásgeirs ehf., dags. 15. nóvember 2010, barst stofnuninni þann 19. nóvember 2010. Þar sagði m.a.:

„Laun V hafa ekki verið reiknuð eftir sagasystem kerfi okkar, það hefur verið tekið mark á öllum hans tímum sem hann skrifar á mánuði enn þegar betur var að gáð þá stóðust ekki tímar sem hann skrifaði á sig einn mánuðinn að við fórum inn í kerfið og þar kom fram að bíllinn sem hann var á var keyrður 162 tíma þennan mánuð en hann skrifaði 387 tíma á okkur sem við vorum ekki tilbúnir að samþykkja, og fengum hann á fund með okkur og fórum yfir þetta með honum
Þennan mánuð var hann með 100 tímum meira enn aðrir starfsmenn, sem getur engan veginn staðist því hann vinnur ekki meira en aðrir starfsmenn hjá okkur.
Varðandi þær upplýsingar sem þið eruð að tala um þá var haldin fundur með starfsmönnum okkar þegar þetta kerfi var látið í bíla okkar. Hann var ekki orðinn starfsmaður þá, við höfum aðeins notað þetta kerfi til að fylgjast með hvar bílar okkar enda þannig að við getum skipulagt næsta dag og einnig erum við að fylgjast með eyðslu á þeim. Við greiðum því ekki laun eftir sagakerfi. En ef við sjáum tímafjölda sem okkur finnst ekki passa eins og í þessu tilviki þá að sjálfsögðu skoðum við hvað er í gangi.“

Svarbréf Ragnars og Ásgeirs ehf. voru borin undir kvartanda með bréfi, dags. 29. nóvember 2010. Í svarbréfi kvartanda, sem barst með tölvubréfi þann 13. desember 2010 s.á., segir m.a.:

„Ragnar og Ásgeir segja í svarbréfi 15.nóv.að bíllinn hafi bara verið keyrður 162 tíma þennan mánuð.
 Ég var sendur út á land á öðrum bílum á tímabilinu.
Keyrði ekki bara einn bíl.
 Ég lesta, losa og þríf bílana og reikna mér auðvitað tíma fyrir það en það sést ekki í SAGA system því þá er bílinn auðvitað stopp.
 Ég fékk enga fræðslu um þetta SAGAsystem kerfi þegar ég byrjaði hjá Ragnar og Ásgeir og finnst langt gengið hjá þeim að nota það þegar þeim hentar án þess að vera búin að kynna það fyrir manni.“

Þann 29. nóvember 2010 sendi Persónuvernd Ragnari og Ásgeiri ehf. bréf um að það væri hennar skilningur að kvartanda hafi ekki verið veitt fræðsla um notkun á svonefndu sagasystem, en það er rafræn akstursdagbók til að halda utan um akstur með rafrænum hætti. Svar barst ekki.

Í samtali starfsmanns Persónuverndar við kvartanda þann 10. janúar 2011 lýsti hann þeirri bifreið sem hann ekur fyrir  Ragnar og Ásgeir ehf. svo að um sé að ræða „stóran flutningabíl, 10 hjóla trukk, með 3ja öxla vagn á tvöföldu aftan í sér.“ Hann áréttaði að hann hefði enga fræðslu fengið um að í bílnum væri rafræn akstursdagbók.

II.

Forsendur og niðurstaða

1.
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Vinnsla persónuupplýsinga við notkun hinnar rafrænu akstursdagbókar fellur því undir úrskurðarvald Persónuverndar.

Hins vegar er tekið fram að það fellur ekki undir verksvið Persónuverndar að taka afstöðu til álitaefna sem kunna að tengjast því með hvaða hætti laun kvartanda eru eða hafa verið ákveðin eða til samningssambands kvartanda og ábyrgðaraðila að öðru leyti

2.
Kvartandi telur í fyrsta lagi að í því felist brot á persónurétti hans að fylgst hafi verið með honum með notkun umrædds búnaðar (þ.e. sagasystem/rafræn akstursdagbók). Um það hvort heimild hafi staðið til þess að hálfu ábyrgðaraðila að nota búnaðinn ber að líta til þeirra skýringa sem hann hefur gefið, þ.e. um að hann hafi verið settur upp til að fylgjast með hvar bílar séu í lok dags til að geta skipulagt næsta dag og til að fylgjast með eyðslu á bílum. Teljast slíkir hagsmunir vera lögmætir í skilningi 7. tölul. 1. mgr. 8. gr. um að heimil sé vinnsla sem er nauðsynleg í þágu lögmætra hagsmuna. Þó er skilyrði að grundvallarréttindi og frelsi hins skráða vegi ekki þyngra. Við mat á þessu skiptir máli að hér er um að ræða mjög stóra flutningabifreið og leiða má að því líkur að hún sé eingöngu nýtt sem vinnutæki en ekki við athafnir sem tilheyra heimili hins skráða eða einkalífi að öðru leyti. Verður því ekki séð að sú vinnsla persónuupplýsinga sem fram fer með notkun rafrænnar akstursdagbókar í bifreiðinni sé í eðli sínu til þess fallin að ógna grundvallarréttindum og frelsi hins skráða þannig að þyngra þyki vega en tilgreindir hagsmunir ábyrgðaraðila. Er það því mat Persónuverndar að umrædd vinnsla Ragnars og Ásgeirs ehf. með notkun rafrænnar akstursdagbókar í flutningabifreiðinni samrýmist 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

3.
Í öðru lagi er kvartað yfir því að ábyrgðaraðili hafi ekki rækt fræðsluskyldu sína samkvæmt 20. gr. laga nr. 77/2000. Þar segir m.a. að þegar ábyrgðaraðili aflar persónuupplýsinga hjá hinum skráða sjálfum skuli hann m.a. fræða hinn skráða um þau atriði sem hann þarf að vita, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna. Í 10. gr. reglna um rafræna vöktun nr. 837/2006 er sömuleiðis að finna ákvæði um fræðslu sem veita ber þeim sem sæta rafrænni vöktun. Segir þar m.a. að þeim skuli veitt fræðsla um tilgang vöktunar, hverjir hafi eða kunni að fá aðgang að þeim upplýsingum sem safnast og hversu lengi þær verði varðveittar. Í máli þessu hefur komið fram af hálfu kvartanda að fræðsla hafi ekki verið veitt. Sönnunarbyrði um það hvort fræðsla hafi verið veitt með fullægjandi hætti hvílir á ábyrgðaraðila. Af hans hálfu hefur hins vegar ekkert komið fram um að kvartandi hafi fengið nokkra fræðslu um hina rafrænu akstursdagbók þótt þetta hafi verið kynnt öðrum starfsmönnum áður en hann hóf störf. Liggur því ekki fyrir að hinum skráða hafi verið veitt fræðsla svo sem skylt er samkvæmt 20. gr. laga nr. 77/2000.

Ú r s k u r ð a r o r ð:

Notkun rafrænnar akstursdagbókar í flutningabifreið þeirri er V ekur fyrir Ragnar og Ásgeir ehf. samrýmdist reglum um vinnslu persónuupplýsinga við rafræna vöktun.

Ragnar og Ásgeir ehf. veittu V ekki tilskilda fræðslu um þá vinnslu persónuupplýsinga sem fram fór við notkun rafrænnar akstursdagbókar í flutningabifreiðinni.