Óheimil framsending á tölvupósti

13.7.2011

Úrskurður

 

Á fundi stjórnar Persónuverndar hinn 22. júní 2011 var kveðinn upp svohljóðandi úrskurður í máli nr. 2011/482:

 

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 28. mars 2011 barst Persónuvernd kvörtun frá Á (hér eftir nefnd kvartandi), yfir áframsendingu úr tölvupósti hennar í annað pósthólf hjá Pennanum/Eymundsson.   Í kvörtuninni segir m.a.:

„Ég sagði upp vinnu hjá Pennanum á Íslandi (Eymundsson) á Akranesi  þann 31-1-2011.

Vegna þess að ég var að fara að vinna hjá samkeppnisaðila þá varð að samkomulagi að ég hætti vinnu þann 3-2-2011 en yrði heima á kaupi til 15-3-2011.  Hálfum mánuði eftir að ég hætti þá frétti ég af því að það væri verið að lesa póstinn minn.

[...]

Það var tengiliður hjá fyrirtæki sem sendi mail á póstfangið mitt [...] og það kom svar frá verslunarstjóra Pennans á Akranesi.  Það kom ekki fram að ég væri hætt að vinna og ætti að senda mailið annað, heldur kom beint svar frá verslunarstjóranum. Föstudaginn 25-3-2011 sendi annar aðili mér mail á [...] frá  sínu fyrirtæki en fékk svar frá verslunarstjóranum.

Ég ákvað að fara sáttaleið við Pennann og sendi forstjóra fyrirtækisins H bréf og benti á persónsuvernd og óskaði eftir afsökunarbeiðni að hálfu fyrirtækisins.

Ég fékk svar frá starfsmanni Pennans, G, þar sem hún viðurkenndi að pósturinn minn hefði verið lesinn án þess að segja mér frá því.“

 

2.

Bréfaskipti

Með bréfi, dags. 11. apríl 2011, var Pennanum á Íslandi ehf./Eymundsson veitt færi á að tjá sig um framkomna kvörtun. Svarbréf G, verkefnastjóra starfsmannamála, dags. 26. apríl 2011, barst stofnuninni þann 2. maí 2011. Þar sagði m.a.:

„[Kvartandi] starfaði hjá fyrirtækinu til 31. janúar sl. þegar hún sagði upp störfum. Hún hafði þá ráðið sig hjá samkeppnisaðila okkar á Akranesi. Það náðist ekki samkomulag við hana um að hún ynni uppsagnarfrest sinn og var skrifað undir starfslokasamning þess í stað. Sá samningur fólst í því að hún legði niður störf samstundis en fengi laun greidd til 15. mars 2011 gegn því samþykki að hún myndi ekki hefja störf hjá samkeppnisaðilanum á þessum samningstíma.

[...]Þar sem [kvartandi] sýndi ekki vilja til að vinna uppsagnarfrest sinn og aðstoða þannig við að staðfesta viðskiptasabönd þá var ákveðið að farsíma hennar skyldi lokað og póstur hennar sjálfvirkt áframsendur á meðan starf hennar yrði yfirfært á verslunarstjóra Eymundsson á Akranesi.  [Kvartanda] var tilkynnt þetta af verslunarstjóra við starfslok þann 1. febrúar en því miður kom þetta ekki fram í starfslokasamningi sem hún undirritaði. Var póstfanginu eytt í kjölfarið.

Grundvöllur þess að við tókum ákvörðun um áframsendingu byggist á reglum fyrirtækisins varðandi töluvpóstnotkun starfsmanna. Þær koma fram í starfsmannahandbók sem allir starfsmenn hafa aðgang að í gegnum innra net og á sameiginlegu drifi. Þar segir:

 

Friðhelgi og eftirlit

Tölvupóstur til starfsmanna sem sendur er á netfang þeirra hjá Pennanum er eign fyrirtækisins. Sama á við um öll tölvugögn sem starfsmaður býr til, tekur við og vistar á innanhúsneti Pennans.

Æskilegast er að starfsmenn noti einkatölvupóstfang til þess að móttaka og senda tölvupóst sem þeir vilja ekki að aðrir starfsmenn hafi aðgang að. Einnig er hægt að flokka slíkan póst í sérstaka möppu í pósthólfi starfsmanns hjá Pennanum. Sama gildir um persónuleg gögn sem starfsmaður vistar á innanhúsneti Pennans eða á vinnustöðvum og fartölvum í eigu fyrirtækisins.

Í tölvupóstinum sem [kvartandi] sendi forstjóra fyrirtækisins þann 4. apríl [tók] hún fram tvær kröfur. Kröfurnar voru þær að tölvupóstaðgangi sínum yrði lokað strax og að hún yrði beðin afsökunar.

Eins og kom fram í svarbréfi mínu til hennar þann 6. apríl hafði tölvupóstaðgangi hennar þegar verið lokað og því auðvelt að uppfylla fyrri kröfuna. Þegar kom að afsökunarbeiðninni þarf að hafa í huga að [kvartanda] hafði verið sýnd mikil samvinna og eftirgjöf þegar hún ákvað að segja upp og fara til samkeppnisaðila. Aðgerð sem kom fyrirtækinu mjög illa á svona litlu markaðssvæði og á erfiðum efnahagslegum tímum.

Þó var ákveðið að ef afsökunarbeiðni væri lykillinn til að þessu leiðindamáli myndi ljúka þá skyldi hún fá hana.

Í bréfinu baðst ég þar með velvirðingar á eina atriðinu sem okkur sást yfir - þ.e. að hafa ekki tilkynnt *sannanlega* að pósturinn yrði áframsendur. Þetta atriðið hefði átt að koma fram í starfslokasamningi og vera undirskrifað. Þar með hefði verið hægt að nota samninginn sem sönnun í þessu máli. “

 

Með svarbréfi Pennans fylgdi enn fremur yfirlýsing verslunarstjóra en þar segir m.a.:

„Þar sem öll samskipti við viðskiptavini fóru í gegnum tölvupóst og farsíma [kvartanda] þá tilkynnti ég henni þann 1. febrúar, eftir að hafa ráðfært mig við stjórnendur, að hún hafi ekki lengur aðgang að farsímanum og töluvpóstaðgangi sínum og ég lét hana vita munnlega að tölvupósturinn skyldi áframsendast yfir á mig. Ég sagði henni jafnframt að það muni enginn getað skráð sig inn á hennar aðgang til að skoða hennar póst. Hún hafði ekkert annað út á það en að það væri ekkert persónulegt inn á tölvupóstinum. Ég lýsi því þar með yfir að [kvartandi] hafi átt að vita að tölvupóstur hennar skyldi áframsendur.“

Svarbréf Pennans á Íslandi ehf. var borið undir kvartanda með bréfi, dags. 5. maí 2011. Svarbréf kvartanda, dags. 13. maí 2011, barst Persónuvernd þann 16. maí s.á.. Þar segir m.a.:

„Með vísan í bréf yðar frá 5. maí 2011 vil ég undirrituð gera alvarlegar athugasemdir við svarbréf Eymundsson frá 26.apríl 2011.

Undirrituð sagði upp störfum hjá Pennanum 31.janúar 2011. Þann dag sinnti ég mínu starfi eins og áður. Þann 1.febrúar tilkynnti J verslunarstjóri mér að ég færi ekki í fleiri fyrirtækjaheimsóknir þar sem ég hefði ráðið mig til samkeppnisaðila Pennans á Akranesi. Einnig tilkynnti J að ég fengi ekki lengur aðgang að tölvupósti mínum og einnig var mér gert að afhenda vinnusíma minn. Með þeirri ákvörðun var mér gert ómögulegt að sinna starfi mínu. Þá óskaði hún einnig eftir því að ég myndi starfa á lager verslunarinnar út uppsagnarfrestinn. Í samráði við stéttarfélag mitt, VR, ákvað ég að hafna því þar sem slík tilhögun var ekki í samræmi við ráðningarsamning minn. Óskaði ég því eftir að gerður yrði við mig starfslokasamningur. Það var samþykkt þann 3. febrúar og þann dag lét ég af störfum. Í ljósi þessa hafna ég algjörlega þeirri staðhæfingu Eymundsson að ég hafi ekki sýnt samstarfsvilja hvað vinnu á uppsagnarfresti varðar heldur var mér gert það ómögulegt með ákvörðunum stjórnenda fyrirtækisins.

Í bréfi Eymundsson kemur fram að mér hafi verið gerð grein fyrir því að tölvupóstur til mín yrði „áframsendur á meðan starf hennar yrði yfirfært á verslunarstjóra Eymundsson á Akranesi“. Þetta er ekki rétt heldur taldi ég að sent yrði sjálfvirkt svar þar sem viðkomandi viðskiptavini yrði bent á að hafa samband við annan starfsmann Eymundsson.

Tölvupóstur var eitt af lykiltækjum mínum í samskiptum við viðskiptavini. Þó ekki hafi margt verið rætt þar á persónulegum nótum er þó ljóst í mínum huga að öll mannleg samskipti eru að sjálfsögðu aðra röndina á persónulegum nótum og því fráleitt að þær upplýsingar berist öðrum en þau eru ætluð. Höfðu fyrri viðskiptavinir mínir samband við mig af fyrra bragði þegar þeir áttuðu sig á því að tölvupóstur mér ætlaður hafði verið lesinn af óviðkomandi. Með sjálfvirkri athugasemd hefðu hagsmunir vinnuveitanda míns verið tryggðir og lög og reglur virt í hvívetna.“

 

II.

Forsendur og niðurstaða

 

1.

Gildissvið laga nr. 77/2000

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.

Af framangreindu leiðir að sú aðgerð Pennans á Íslandi ehf. að framsenda tölvupóst kvartanda í pósthólf annars starfsmanns var vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Fellur málið þar með undir gildissvið þeirra laga, sem og valdsvið Persónuverndar, sbr. 37. gr. laganna.

2.

Lögmæti rafrænnar vöktunar

Framsending á tölvupósti

Hugtakið rafræn vöktun er skilgreint í 6. tölul. 2. gr. laga nr. 77/2000. Undir það fellur vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit. Til rafrænnar vöktunar telst m.a. tölvupóstvöktun sem fer fram með sjálfvirkri og viðvarandi skráningu á upplýsingum um tölvupósta og tölvupóstkerfisnotkun einstakra starfsmanna. Þar undir falla einnig aðgerðir sem með beinum hætti tengjast og eru liður í þeirri vöktun, þ. á m. stillingar á því hvernig tölvupóstskeyti eru framsend. Sú aðgerð Pennans að stilla kerfi fyrirtækisins þannig að allur póstur til kvartanda myndi sjálfkrafa framsendast í annað pósthólf var því liður í vöktun og rafrænni vinnslu í skilningi laganna.

Öll rafræn vöktun er háð því skilyrði að hún fari fram í málefnalegum tilgangi, sbr. 4. gr. laganna. Ef vöktun felur í sér vinnslu persónuupplýsinga sem fellur undir gildissvið laganna þarf, samkvæmt 2. mgr. 4. gr. laganna, einnig að uppfylla önnur ákvæði laganna - þ. á m. um heimild til vinnslu samkvæmt 8. gr. Í því máli sem hér um ræðir liggur ekki fyrir með ótvíræðum hætti hvort samþykkis hafi verið aflað í skilningi 1. tölul. 1. mgr. 8. gr., þ.e. ekki liggur fyrir hvort samþykki kvartanda hafi fengist fyrir því að tölvupóstur hans yrði sjálfkrafa framsendur öðrum.

Þótt samþykki liggi ekki fyrir geta önnur skilyrði ákvæðisins verið uppfyllt. Í 7. tölulið segir að vinnsla persónuupplýsinga geti verið heimil sé hún nauðsynleg til að ábyrgðaraðili eða þriðji maður, eða aðili sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða, sem vernda ber lögum samkvæmt, vegi þyngra. Hér þarf og að uppfylla meginreglur 7. gr. sömu laga, m.a. um sanngirni og meðalhóf og að vinnsla sé með lögmætum hætti.

Ljóst er að í vissum tilvikum geta sérstakar aðstæður réttlætt áframsendingu tölvupóstskeyta þannig að skilyrði 7. töluliðar 1. mgr. 8. gr. teljist uppfyllt. Sönnunarbyrði hvílir á Pennanum sem ábyrgðaraðila um að slíkar aðstæður hafi verið fyrir hendi og að vinnsla hafi verið honum nauðsynleg og heimil.  Af hans hálfu hefur ekki verið sýnt fram á að framsending póstsins hafi verið honum nauðsynleg til að tryggja áfram þjónustu við viðskiptavini sína. Liggur enda ekkert fyrir um að ekki hafi mátt tryggja þessa þjónustu með öðrum hætti, s.s. því að stilla kerfið þannig að sendendur skeyta fengju aðeins skilaboð um að kvartandi hefði látið af störfum og hvert þeir gætu snúið sér. Liggur því ekki fyrir að framsending á tölvupósti kvartanda til annarra hafi verið fyrirtækinu heimil samkvæmt 7. tölulið 1. mgr. 8. gr. laganna.

 

 

Ú r s k u r ð a r o r ð:

Framsending Pennans á Íslandi ehf. á tölvupósti Á, fyrrverandi starfsmanns fyrirtækisins, í annað pósthólf var óheimil.