Miðlun persónuupplýsinga um stjórnarmann í félagi - mál nr. 2013/350

6.1.2014

Úrskurður

Á fundi stjórnar Persónuverndar þann 12. desember 2013 var kveðinn upp svohljóðandi úrskurður í máli nr. 2013/350:

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 4. mars 2013 barst Persónuvernd kvörtun með tölvubréfi frá [A] (hér eftir nefndur kvartandi) vegna meintrar miðlunar persónuupplýsinga um hann frá [B], formanni [félags] (hér eftir skammstafað [F]), til annarra frambjóðenda í stjórnarkjöri [F á árinu] 2013.

Með kvörtuninni  fylgdi afrit af þeim gögnum sem [B] er sagður hafa afhent öðrum frambjóðendum í stjórnarkjöri [F]. Annars vegar er þar um að ræða bréf í nafni [B], sem stílað er á kjörstjórn [F …], þar sem segir meðal annars að „[m]eðfylgjandi opinber gögn sýna að [kvartandi] sé stofnandi og eigandi […] að fyrirtækinu [K] ehf.“ Því næst er í bréfinu vísað til […] laga [F], þar sem segi að stjórnarmenn skuli vera fjár síns ráðandi og uppfylla almenn hæfisskilyrði og megi ekki á sl. […] árum hafa hlotið fangelsisdóm fyrir refsiverðan verknað, auk þess sem þeir megi ekki eiga meira en […]% hlut í hlutafélagi sem er í atvinnurekstri á starfssviði félagsins. Er í niðurlagi bréfsins m.a. farið fram á við kjörstjórn að hún kalli eftir áliti á hæfi kvartanda til setu í stjórn félagsins. Hins vegar er um að ræða gögn sem virðast hafa verið fylgiskjöl með framangreindu bréfi. Nánar tiltekið virðist þar um að ræða tvenns konar útprentanir af vefsíðum Creditinfo Lánstrausts hf.: Upplýsingar um félagið [K] ehf., úr svonefndri VOG-skrá (samsett skrá Creditinfo Lánstrausts hf. með upplýsingum um vanskil og opinberar gerðir) og ýmiss konar upplýsingar úr hlutafélagaskrá ríkisskattstjóra, þ.e. upplýsingar með ársreikningi félagsins árið […], efnahagsreikningur félagsins fyrir árið […], tilkynning um stofnun einkahlutafélags til fyrirtækjaskrár ríkisskattstjóra árið […], stofngerð, stofnskrá og samþykktir félagsins frá árinu […]. Þær upplýsingar sem bera með sér að stafa frá hlutafélagaskrá eru þess efnis að kvartandi sé skráður meðal stofnenda fyrrnefnds félags, [K] ehf., en í þeim gögnum sem virðast tekin úr VOG-skránni eru einungis upplýsingar um félagið en ekki um kvartanda.

Þann 19. og 22. mars 2013 bárust Persónuvernd tölvubréf frá kvartanda þar sem sagði að einnig væri kvartað yfir því að kjörstjórn [F] hefði afhent lögmannsstofunni LEX upplýsingar um kvartanda án samþykkis, sem og meðferð [B] á tilteknum persónuupplýsingum í útvarpsviðtali [á árinu 2013], nánar tiltekið á persónuupplýsingum mótframbjóðanda síns, [C]. Þá segir í síðarnefndu tölvubréfi kvartanda að þau gögn sem hann hafi afhent kjörstjórn um sig og send hafi verið lögmannsstofunni hafi varðað m.a. upplýsingar í sakavottorði og frá Creditinfo Lánstrausti hf.

Með bréfi til kvartanda, dags. 27. mars 2013, benti Persónuvernd á að skilningur stofnunarinnar væri sá að erindi hans lyti að þremur álitaefnum. Í bréfinu sagði:

„Í fyrsta lagi kvartið þér yfir miðlun persónuupplýsinga um yður frá [B] til kjörstjórnar [F], sbr. bréf […] er fylgdi með upphaflegu erindi yðar til stofnunarinnar.

Í öðru lagi kvartið þér yfir meðferð [B] á persónuupplýsingum í útvarpsviðtali [á árinu 2013]. Í umræddu viðtali ræðir [B] um persónuupplýsingar mótframbjóðanda síns, [C]. Í ljósi þess að [C] er ekki aðili að þessu máli getur Persónuvernd ekki tekið framangreint til skoðunar samhliða máli yðar. Berist Persónuvernd erindi frá [C] varðandi framangreint viðtal verður fjallað um það sérstaklega.

Í þriðja lagi kvartið þér yfir miðlun persónuupplýsinga um yður frá kjörstjórn [F] til LEX lögmannsstofu.“

Var kvartanda bent á að ef engar athugasemdir bærust frá honum fyrir 17. apríl 2013 myndi Persónuvernd senda andmælabréf til [B] annars vegar og kjörstjórnar [F] hins vegar varðandi fyrsta og þriðja lið kvörtunarinnar. Engar athugasemdir bárust frá kvartanda.

2.

Bréfaskipti

Með bréfi, 19. apríl 2013, var [B] tilkynnt um kvörtunina og boðið að koma á framfæri andmælum sínum við þann þátt hennar sem varðaði meinta miðlun hans á persónuupplýsingum um kvartanda til annarra frambjóðenda í stjórnarkjöri [F á árinu 2013] til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Var svarfrestur veittur til 8. maí 2013 en ekkert svar barst. Erindið var því ítrekað með bréfi, dags. þann 28. s.m. og var frestur veittur á ný til 11. júní 2013. Engin svör bárust frá [B].

Með bréfi, einnig dags. 19. apríl 2013, var kjörstjórn [F] tilkynnt um kvörtunina og boðið að koma á framfæri andmælum sínum við þann þátt kvörtunarinnar er varðaði meinta miðlun persónuupplýsinga um kvartanda til lögmannsstofunnar LEX. Í bréfinu var m.a. greint frá því að kvartandi hafi upplýst í fyrrgreindu tölvubréfi 22. mars 2013 að þau gögn sem send hafi verið lögmannsstofunni hafi varðað m.a. upplýsingar í sakavottorði og frá Creditinfo Lánstrausti hf. Var svarfrestur veittur til 8. maí 2013, en engin svör bárust. Erindið var því ítrekað með bréfi, dags. þann 28. s.m. og frestur veittur á ný til 11. júní 2013.

Í svarbréfi [lögmanns], f.h. kjörstjórnar [F], dags. 6. júní 2013, sagði m.a. að hlutverk kjörstjórnar væri að sjá um framkvæmd kosninga innan félagsins […]. Í því fælist m.a. að úrskurða um kjörgengi frambjóðenda […]. Þá væri í [lögum félagsins] kveðið á um hæfi stjórnarmanna en þar segi að stjórnarmenn skuli vera fjár síns ráðandi og uppfylla almenn hæfisskilyrði og megi ekki á sl. […] árum hafa hlotið fangelsisdóm fyrir refsiverðan verknað, sem og að stjórnarmenn megi ekki eiga meira en […]% hlut í hlutafélagi sem er í atvinnurekstri á starfssviði félagsins. Til að kjörstjórn gæti kannað hvort stjórnarmenn uppfylli umrædd skilyrði væri óskað eftir að þeir sendu inn viðeigandi upplýsingar til kjörstjórnar. Þá segir einnig í bréfinu:

„Að mati Kjörstjórnar [F] þá fellur eftirlit með hvort stjórnarmenn uppfylli skilyrði […] gr. ekki undir kjörstjórn. Í bréfi kjörstjórnar [F] til stjórnar [F] frá […] 2010 var þess óskað að stjórnin tæki ákvörðun um hvernig þessu eftirliti væri háttað. Á stjórnarfundi […] 2010 var erindið tekið fyrir og samþykkt tillaga þess efnis að fela lögmanni að veita álit á hæfi frambjóðanda. Athygli er vakin á því að [kvartandi] sat umræddan stjórnarfund og tók þátt í afgreiðslu málsins. Meðfylgjandi er afrit úr fundargerð stjórnar [F] frá […] 2010.“

Í kjölfar framangreindrar ákvörðunar hafi sá háttur verið hafður á að gögn af umræddu tagi séu afhent kjörstjórn [F] sem sendi þau til þeirrar lögmannsstofu sem stjórn ákveður. Sé það gert til að tryggja að gögnin séu ekki til skoðunar hjá öðrum en málið varðar, þ. á m. samstjórnarmönnum og þannig er reynt að tryggja persónuvernd stjórnarmanna. Skili lögmannsstofan síðan áliti beint til stjórnar sem taki málið til afgreiðslu. Um framkvæmd þessa fyrirkomulags segir:

„Af hálfu kjörstjórnar [F] hefur afgreiðsla málsins verið með þeim hætti að á opnum fundi kjörstjórnar með frambjóðendum er fyrirkomulagið útskýrt og tilkynnt hvaða lögmannsstofu hefur verið falið að yfirfara gögnin. Eiga frambjóðendur þá þess kost á að gera athugasemdir ef þeir sjá ástæðu til. Á fundi kjörstjórnar [F] þann [í mars] var málið tekið fyrir og tilkynnt að LEX lögmannsstofu hafi verið falið að kanna hæfi stjórnarmanna. Engar athugasemdir komu fram af hálfu frambjóðenda vegna þessa, hvorki á fundinum sjálfum né eftir hann. Meðfylgjandi er afrit úr fundargerð kjörstjórnar [...].

Eins og sjá má á framansögðu þá er kjörstjórn [F] einungis milliliður við eftirlit með hæfi stjórnarmanna og tekur engar sjálfstæðar ákvarðanir varðandi afhendingu gagna. Umrætt eftirlit er í höndum stjórnar sem ákveður framvindu mála. Sending gagna til LEX byggðist á ákvörðun stjórnar sem einungis var að rækja eftirlitshlutverk sitt og koma í veg fyrir að persónuleg gögn stjórnarmanna væru lögð fram á stjórnarfundum.“

Með bréfi, dags. 10. júlí 2013, var kvartanda boðið að tjá sig um svarbréf kjörstjórnar [F]. Svarfrestur var veittur til 31. júlí 2013. Engin svör bárust og var erindið ítrekað með bréfi, dags. 23. ágúst 2013. Var svarfrestur veittur á ný til 5. september 2013 og tiltekið að ef engar athugasemdir bærust yrði litið svo á að hann hefði fallið frá erindinu og málið yrði látið niður falla. Engin svör bárust frá kvartanda og var því litið svo á að kvartandi hefði fallið frá kvörtuninni og var málinu lokað í málaskrá stofnunarinnar þann 9. september 2013.

Þann 13. september 2013 barst Persónuvernd tölvubréf frá kvartanda þar sem sagði að það væri rangt að hann hefði veitt samþykki árið 2010 fyrir afhendingu persónuupplýsinga um sig til lögmannsstofunnar LEX. Hið rétta sé að að á þessum tíma hafi komið upp álitamál vegna atriðis í lögum félagsins er varðar að vera fjár síns ráðandi og hafi álitamál risið innan stjórnar [F] og kjörstjórnar er varðaði þá einstaklinga sem voru í greiðsluaðlögunarúrræðum ríkisstjórnarinnar og hvort það fólk teldist samt sem áður vera fjár síns ráðandi. Hafi kvartandi ekki verið í þeim hópi sem nýttu sér slíkt úrræði. Það hafi verið eina ástæðan fyrir því að leitað var eftir lögfræðiáliti á þeim tíma. Áréttar kvartandi að hann hafi aldrei veitt samþykki sitt fyrir því að gögnum um hann yrði miðlað til þriðja aðila til umsagnar auk þess sem tekið hafi verið skýrt fram við móttöku gagnanna af hálfu [F] við síðustu kosningar að trúnaðar yrði gætt af hálfu skrifstofu [F] og kjörstjórnar.

Í kjölfar móttöku framangreinds tölvubréfs var málið opnað á nýjan leik í málaskrá Persónuverndar.

Með bréfi, dags. 26. september 2013, var stjórn [F] tilkynnt um kvörtunina og veittur kostur á að tjá sig um hana til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Var frestur veittur til 11. október sl., en engin svör bárust. Erindið var því ítrekað með bréfi, dags. 23. október sl. og svarfrestur veittur til 6. nóvember sl.

Í svarbréfi [lögmanns], f.h. stjórnar [F], dags. 7. nóvember 2013, segir m.a. að á stjórnarfundi [F] [í janúar] 2010 hafi verið tekin ákvörðun um hvernig hátta skyldi eftirliti kjörstjórnar [F] varðandi almennt hæfi kjörinna stjórnarmanna á grundvelli […] laga [F]. Til að gæta ítrustu persónuverndar um einkahagi stjórnarmanna hafi verið ákveðið að fenginn yrði þriðji aðili til að meta hvort hæfisskilyrðum væri fullnægt svo að persónulegar upplýsingar væru ekki til skoðunar eða umfjöllunar á stjórnarfundunum sjálfum. Í bréfinu segir enn fremur að ákveðið hafi verið að lögmannsstofa skyldi fengin til verksins þar sem þær taki að sér kostgæfnisathuganir og séu bundnar trúnaði og því eðlilegt að sá háttur yrði hafður á. Þá hafi enginn, svo vitað væri, gert athugasemdir við þetta verklag á stjórnarfundinum og hafi þetta verklag verið notað síðan. Væri það ákvörðun stjórnar að meta hæfi manna hverju sinni eftir kosningar.

Með bréfi, dags. 11. nóvember 2013, var kvartanda boðið að tjá sig um svarbréf stjórnar [F]. Þá var óskað eftir að fram kæmi hvort hann hafi verið viðstaddur á stjórnarfundi [F] […] 2010 og samþykkt tillögur stjórnarmanns um að fela lögmanni að veita álit um hæfi frambjóðenda, líkt og segir í fundargerð er barst Persónuvernd með svarbréfi kjörstjórnar [F], dags. 6. júní sl. Jafnframt var óskað eftir að að fram kæmi hvort hann var viðstaddur fund kjörstjórnar [F] […] 2013, þar sem frambjóðendum muni hafa verið tilkynnt að stjórn [F] hefði falið LEX lögmannsstofu að kanna hæfi frambjóðenda til stjórnar, sbr. fundargerð þess fundar er einnig barst Persónuvernd með sama bréfi kjörstjórnar [F], dags. 6. júní sl. Var svara óskað fyrir 25. nóvember sl., en engin svör bárust.

II.

Forsendur og niðurstaða

1.

Afmörkun úrlausnarefnis

Kvörtunin varðar annars vegar hvort [B], þáverandi formanni [F], hafi verið heimilt að afhenda öðrum frambjóðendum í stjórnarkjöri [F] persónuupplýsingar um kvartanda í mars 2013. Hins vegar lýtur kvörtunin að því hvort kjörstjórn [F] hafi verið heimilt að afhenda persónuupplýsingar um kvartanda til lögmannsstofunnar LEX í þeim tilgangi að framkvæma mat á hæfi kvartanda til setu í stjórn [F].

2.

Gildissvið laga nr. 77/2000

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.

Í málinu liggur fyrir að annars vegar voru gögn sem innihéldu persónuupplýsingar, m.a. upplýsingar í sakavottorði og frá Creditinfo Lánstrausti hf. um kvartanda, afhentar kjörstjórn [F] og öðrum frambjóðendum til stjórnarsetu í [F] og hins vegar voru gögn um kvartanda afhent lögmannsstofunni LEX. Af framangreindur leiðir að um vinnslu persónuupplýsinga er að ræða í skilningi laga nr. 77/2000 og fellur málið þar með undir valdsvið Persónuverndar.

3.

Afhending persónuupplýsinga til annarra frambjóðenda í stjórnarkjöri [F]

Upplýsingar um eignarhald kvartanda í fyrirtæki eru aðgengilegar í hlutafélagaskrá Ríkisskattstjóra á grundvelli 1. mgr. 8. gr. laga nr. 17/2003. Mátti kvartanda því vera ljóst að þau gögn sem send voru til ríkisskattstjóra við stofnun félagsins [K] ehf. væru almenningi aðgengileg.

Í ljósi framangreinds, þ.e. að upplýsingarnar sem [B] afhenti kjörstjórn [F] og öðrum frambjóðendum í stjórnarkjöri [F] voru upplýsingar sem hinn skráði sjálfur gerði opinberar við stofnun einkahlutafélags og eru almennt aðgengilegar almenningi, verður afhending umræddra gagna ekki talin í ósamræmi við lög nr. 77/2000.

4.

Afhending persónuupplýsinga til lögmannsstofu

Í málinu liggur fyrir að kvartandi hafi sjálfur afhent [F] áðurnefnd gögn um sig vegna framboðs hans til stjórnarsetu hjá [F]. Hefur kvartandi ekki andmælt því að honum hafi borið að afhenda kjörstjórn [F] umrædd gögn í þeim tilgangi að hægt væri að meta lögmæti framboðs hans m.t.t. laga [F], einkum ákvæða […] þeirra um hæfi stjórnarmanna. Lá því ljóst fyrir við afhendingu gagnanna til kjörstjórnar [F] að kanna hvort kvartandi uppfyllti skilyrði fyrir framboði. Ekki er ágreiningur um tilganginn með afhendingu gagnanna frá kvartanda til kjörstjórnar [F]. Verður að telja að með því að afhenda gögnin kjörstjórn [F] hafi kvartandi ótvírætt samþykkt, í skilningi 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000, að vinna mætti með gögnin í þeim tilgangi.

Ágreiningur þessa hluta kvörtunarinnar lýtur að því hvort kjörstjórn [F] hafi verið heimilt, á grundvelli fyrirmæla frá stjórn [F], að afhenda lögmannsstofunni LEX umrædd gögn frá kvartanda í þeim tilgangi að láta lögmannsstofuna framkvæma mat á hæfi fyrir sína hönd. Var lögmannsstofunni LEX með öðrum orðum falið af kjörstjórn [F] að framkvæma það mat sem kvartanda var ljóst að þyrfti fara fram vegna framboðs hans til stjórnarsetu.

Meðal starfa sem lögmenn sinna er að veita lögfræðilega ráðgjöf, þar á meðal um hvort uppfyllt séu skilyrði settra réttarreglna eða ákvæða t.d. í lögum frjálsra félagasamtaka. Í því tilviki sem hér um ræðir var lögmannsstofunni LEX falið að framkvæma mat á hæfi kvartanda fyrir hönd kjörstjórnar [F], í samræmi við upphaflegan tilgang með afhendingu gagnanna til kjörstjórnar. Ákvað lögmannsstofan því ekki tilgang vinnslunnar eða ráðstöfun upplýsinganna að öðru leyti heldur innti af hendi umrætt verk á grundvelli sérfræðiþekkingar starfsmanna sinna. Lögmannsstofan LEX verður því ekki talin vera sjálfstæður ábyrgðaraðili vinnslu persónuupplýsinga í skilningi 4. tölul. 2. gr. laga nr. 77/2000.

Almennt er ábyrgðaraðilum heimilt að leita sér sérfræðilegrar aðstoðar við að framkvæma þá vinnslu persónuupplýsinga sem þeim ber að stunda. Þá verður að telja slíka ráðgjöf hefðbundinn og eðlilegan hluta af störfum lögmanna en þeir bera lögbundna þagnar- og trúnaðarskyldu gagnvart skjólstæðingum sínum, sbr. ákvæði 1. mgr. 22. gr. laga nr. 77/1998 um lögmenn.

Samkvæmt framangreindu liggur ekki annað fyrir en að sú vinnsla sem fólst í að miðla umræddum persónuupplýsingum til ráðgjafa kjörstjórnar verði talin hafa farið fram með sanngjörnum, málefnalegum og lögmætum hætti, í skilningi 1. tl. 1. mgr. 7. gr. laga nr. 77/2000. Þá var ekki um að ræða miðlun persónuupplýsinga til óviðkomandi aðila og fór hún ekki fram í öðrum og ósamrýmanlegum tilgangi en upphaflega stóð til, í skilningi 2. tl. 7. gr.

Með vísan til framangreinds verður að telja að sú aðgerð kjörstjórnar [F] að afhenda lögmannsstofunni LEX persónuupplýsingar í þeim tilgangi að framkvæma mat á hæfi fyrir kjörstjórnina hafi ekki verið í ósamræmi við ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

Ú r s k u r ð a r o r ð:

Miðlun [B] á upplýsingum um kvartanda úr hlutafélagaskrá til kjörstjórnar [F] var ekki í ósamræmi við lög nr. 77/2000.

Miðlun kjörstjórnar [F] á persónuupplýsingum um kvartanda til lögmannsstofunnar LEX, í þeim tilgangi að meta hæfi hans til stjórnarsetu, var ekki í ósamræmi við lög nr. 77/2000.