Meðferð tölvupósts hjá vinnuveitanda - mál nr. 2013/619

22.1.2014

Úrskurður

 

Á fundi stjórnar Persónuverndar hinn 23. október 2013 var kveðinn upp svohljóðandi úrskurður í máli nr. 2013/619:

 

I.

Bréfaskipti

1.

Hinn 7. maí 2013 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd „kvartandi“), dags. s.d., yfir að [B] hafi látið Símann hf. loka vinnunetfangi [kvartanda] hjá [D] og breyta lykilorði netfangsins. Í kvörtuninni kemur fram að kvartanda hafi verið sagt upp störfum hjá [D] hinn 11. apríl 2013 frá og með 1. maí s.á. með þriggja mánaða uppsagnarfresti. Í kvörtuninni segir m.a.:

„Ég hef ekki vinnuskyldu á föstudögum eða mánudögum og þann 15. apríl boða ég veikindi. Fer til læknis þriðjudaginn 23. apríl og fæ læknisvottorð sem ég sendi til míns yfirmanns sem er formaður [C].

Það sem gerist svo seinni partinn 23. apríl er að póstfangi mínu, [D]@[D].is, er lokað án nokkurs fyrirvara.“

Fram kemur að kvartandi hafi haft samband símleiðis við Símann hf. af tilefni framangreinds og verið tjáð af starfsmanni þar að [B] hafi látið loka pósthólfinu hennar og látið breyta lykilorðinu. Kemur fram að kvartandi hafi óskað eftir staðfestingu frá Símanum hf. á lokun pósthólfsins og fengið hana í tölvupósti. Þar segir að hinn 23. apríl 2013 hafi [B] tilkynnt starfslok kvartanda, að setja þyrfti sjálfvirka svörun á tölvupósthólf hennar og að lykilorð þyrfti til að hægt væri að komast í pantanir á [...]. Síðar um daginn hafi lykilorði verið breytt. Í kjölfarið hafi kvartandi haft samband símleiðis þar sem hún kæmist ekki í tölvupóstinn. Hafi henni verið bent á að ræða málið við [B] þar sem Síminn hf. gæti ekki séð hvaða lykilorð væru skráð heldur aðeins breytt þeim. Nokkru síðar hafi kvartandi hringt aftur og greint frá grun um að verið væri að skoða persónuleg gögn. Af því tilefni hafi lykilorði þá verið breytt blindandi þannig að enginn hefði aðgang að hólfinu fyrr en Persónuvernd væri búin að fara í gegnum hvernig mál stæðu.

Í framhaldi af framangreindri lýsingu á samskiptum við Símann hf. segir í kvörtun:

„Ég tek það fram að allar pantanir og fyrirspurnir sem þurftu að komast áfram vegna starfs míns sendi ég frá mér svo það stoppaði ekki hjá mér en annað lét ég ógert sem ég gat klárað þegar ég myndi mæta aftur til vinnu að veikindum loknum. (sjá fylgiskjöl 2)

Vil taka það fram að ekki var um starfslok mín að ræða á þessum tímapunkti þar sem [C] hafði farið fram á vinnuframlag mitt í uppsagnarfresti og [G] er ekki minn yfirmaður.

Undirrituð telur að með þessu hafi lög um persónuvernd og meðferð persónuupplýsinga verið brotin en þarna var tölvupóstfangi mínu lokað og lykilorði breytt með þeim hætti að mögulegt var að nálgast viðkvæmar persónulegar upplýsingar. Mér var hvorki gert viðvart um það fyrirfram né veitt færi á að eyða viðkvæmum upplýsingum eða vera viðstödd. Þá var ekki um að ræða svo brýna hagsmuni í þágu [vinnuveitanda] af að framkvæma þessar aðgerðir þar sem ég hafði gætt þess að ganga frá mikilvægustu málunum í veikindum mínum. Engir mikilvægir hagsmunir gætu því hafa skaðast af því að beðið væri eftir að ég næði mér af veikindum mínum.“

2.

Með bréfi, dags. 18. júní 2013, var [B] veitt færi á að tjá sig um framangreinda kvörtun. Hún svaraði með bréfi, dags. 26. júlí s.á. Þar segir m.a. að einungis [embætti B] sé launað en allt [starfsfólk C] starfar í sjálfboðinni þjónustu. Því sé augljóst að [B] hafi meira með daglegan rekstur og starfsmannahald safnaðar að gera en sjálfboðaliðar í [C]. Einnig segir að eftir að kvartanda var sagt upp störfum vegna mikilla fjárhagsörðugleika safnaðarins hafi verið farið fram á að hún sinnti störfum áfram út uppsagnarfrest. Hafi þetta verið rætt við hana á fundi hinn 11. apríl 2013, en daginn eftir, þegar [B] hafi komið til vinnu til að þjóna við útför, hafi kvartandi verið búin að tæma skrifstofu sína og fjarlægja alla persónulega muni. Hún hafi ekki svarað í síma þann dag né beiðni í tölvupósti um að fá að hitta hana til þess að ræða málin. Sú hafi einnig orðið raunin næstu daga. Hinn 14. apríl 2013 hafi verið haldinn aðalsafnaðarfundur þar sem gert hafi verið ráð fyrir að kvartandi skilaði skýrslu um störf sín á liðnu starfsári. Klukkustund fyrir fundinn hafi hins vegar borist tölvubréf frá kvartanda þar sem hún hafi tilkynnt veikindi. Engar upplýsingar um störf hennar hafi borist og þrátt fyrir ítrekaðar tilraunir hafi hún ekki svarað símtölum frá nýjum formanni [C] sem kosinn var á fundinum. Hins vegar hafi hún ítrekað verið í símasambandi við ákveðið starfsfólk [D]. Með vísan til þessa segir:

„Apríl og maí eru einir annasömustu mánuðir ársins [hjá D] vegna útleigu [...] auk þess sem mikið álag er vegna athafna og helgihalds. Ljóst mátti vera að áherslubreytingar yrðu með nýju fólki í [C] og nýr [embætti B] hafði aðeins verið við störf í nokkra mánuði. Því var alger nauðsyn að ná sambandi við [A] sem tókst ekki eins og áður sagði. Best er að lýsa því sem svo að það skapaði mikið öngþveiti. Miklir fjárhagslegir hagsmunir voru í húfi, en um er að ræða mörg hundruð þúsunda fyrir nær gjaldþrota söfnuð. [...]“

Í framhaldi af þessu eru rakin tölvupóstsamskipti [B] og kvartanda dagana 19., 22. og 23. apríl 2013 þar sem fram koma m.a. áhyggjur [B] af framkvæmd ýmissa verkefna sem kvartandi var ábyrg fyrir. Segir m.a. að þrátt fyrir að tekist hafi að útvega afleysingu fyrir kvartanda hafi verið um gríðarlegan vanda að ræða þar sem skráningar kvartanda í dagbók [vinnuveitanda] hafi oft verið ófullnægjandi. Því hafi orðið árekstrar, pantanir á þjónustu misfarist til óþæginda fyrir skjólstæðinga [D] og álag aukist. Afleysingum hafi að mestu verið mætt með framlagi sjálfboðaliða. Fram kemur að í kjölfar tölvubréfs frá kvartanda hinn 22. apríl 2013, þar sem hún tilkynnti að hún væri enn veik; svars [B] hinn 23. s.m., þar sem m.a. var óskað eftir lykilorði í vinnutölvu kvartanda; sem og svars kvartanda sendu samdægurs, þess efnis að lögfræðingur BHM myndi framvegis sjá um hennar mál; hafi verið haft samband við fyrirtækjaþjónustu Símans hf. til að tryggja að öll erindi til [D] bærust á einn stað. Vísað er til tölvupóstsamskipta við Símann hf. hinn 23. apríl 2013 þar sem [B] óskaði eftir að vinnunetfangi kvartanda væri lokað, að pósti sem þangað bærist yrði svarað með skilaboðum um að hann skyldi senda á nýtt netfang, þ.e. [B]@[B].is, sem og að óskað væri eftir aðgangi að því netfangi, notandanafni og lykilorði, en kvartandi hefði þann aðgang og hefði ekki veitt hann. Í tölvupóstsamskiptunum kom fram af hálfu Símans hf. að búið hefði verið til lykilorð, en [B] gat hins vegar ekki notað það til að komast inn á netfangið [B]@[B].is og greindi Símanum hf. frá því. Fékk [B] þá það svar að lykilorðið hefði verið búið til fyrir vinnunetfang kvartanda. Fram kemur í bréfi [B] að óskað hafi verið eftir leiðréttingu á þessu. Um það segir:

„Undirrituð áttaði sig ekki á þessum mistökum fyrr en of seint og má þar kenna um miklu álagi vegna þess ástands sem lýst er að ofan sem og takmarkaðrar þekkingar á tæknimálum. Um kvöldið þegar tími gafst þá varð þetta ljóst, ítrekun var send um að undirrituð þyrfti að komast inn á netfang  [B]@[B].is. Næsta morgun barst rétt lykilorð og staðfesting á að lykilorði að netfangi [A] hafi verið breytt aftur. Nú eru símtöl hljóðrituð hjá fyrirtækjaþjónustu Símans og telur undirrituð öruggt að í samtölum hennar við fyrirtækjaþjónustu þessa tvo daga, öll úr númeri [D], komi einnig fram hvert markmiðið með þessum aðgerðum er, þ.e. að beina fyrirspurnum til [D] í öruggan farveg, loka netfangi [A] tímabundið þar til hún gæfi færi á að nálgast sín persónulegu gögn sjálf, en alls ekki að fá aðgang að pósthólfinu. Ennfremur var skýrt að um lokun en ekki eyðingu væri að ræða.“

Einnig kemur fram að [B] hafi sent kvartanda skilaboð á Facebook varðandi framangreint, en kvartandi hafi oft notað þann miðil fyrir vinnutengd samskipti. Segir í skilaboðunum að vinnunetfangi kvartanda hafi verið lokað og að þeir sem sendi á það póst fái sjálfvirkt svar um að skrifa skuli á annað netfang vegna erinda til [vinnuveitanda]. Þessu sé hægt að breyta aftur, en netfang kvartanda hafi verið tekið af heimasíðu [vinnuveitanda]. Eftir að þessu hefur verið í lýst í bréfi [B] segir:

„Framhald þessarar sögu varð að þrátt fyrir ítrekaðar beiðnir sinnti [A] því ekki að koma og opna tölvu [vinnuveitanda] sem gerði það að verkum að ekki var hægt að nálgast nauðsynlegar upplýsingar, gera reikninga eða komast í bókhald [vinnuveitanda]. Þegar lögmanni BHM sem [A] hafði samskipti í gegnum var gerð grein fyrir því að tölvan yrði opnuð þann 14. maí hvort sem [A] yrði viðstödd eða ekki þá loksins sendi [A] fulltrúa sinn til að fjarlægja allan tölvupóst sem síðan afhenti [A] sjálfri póstinn og var þeim gögnum einnig eytt úr tölvunni í viðurvist trúnaðarmanns [A]. Ekki var farið fram á að fá neitt af hennar persónulegu gögnum. Þarna var meira en mánuður liðinn og við sem hér störfum búin að ganga í gegnum ómælt óhagræði og vinnuálag við að finna eftir öðrum leiðum þær upplýsingar sem vantaði. Enn er ekki komið í ljós hversu mikill fjárhagslegur skaði [vinnuveitanda] varð vegna þessa og ennþá eru sjálfboðaliðar að störfum við að greiða úr þeirri óreiðu sem skapaðist vegna gjaldheimtu fyrir [D] og notkunar frístundakorts og fleira en við giskum á að upplýsingar um þá hluti hafi e.t.v. leynst í netfanginu [D]@[D].is en þeim upplýsingum hefur þegar þetta er skrifað ekki verið komið til skila.“

3.

Með bréfi, dags. 6. ágúst 2013, var kvartanda veitt færi á að tjá sig um framangreint svar [B]. Hún svaraði með bréfi, dags. 4. september 2013. Þar segir m.a. að þrátt fyrir að hún hafi fjarlægt muni af skrifstofu sinni hafi hún ætlað sér að sinna störfum út uppsagnarfrestinn. Þá eru gerðar ýmsar athugasemdir við það sem fram kemur af hálfu [B] um að fjarvera hennar hafi valdið vandræðum og að erfitt hafi reynst að ná í hana. Þessu er mótmælt, enda hafi hún sinnt öllum verkefnum, þ. á m. í tengslum við bókanir og greiðslur reikninga. Í því sambandi nefnir hún m.a. sérstaklega skuldabréf [slitastjórnar], auk þess sem í fylgiskjölum með bréfi hennar er að finna ítarlegan lista yfir verkefni sem hafi verið sinnt. Einnig vísar hún til þess í bréfi sínu að í fyrrgreindum tölvupóstsamskiptum hennar og [B] í apríl 2013, sem og í símasamskiptum við [formann C], hafi hún staðfest að verkefnum hafi verið sinnt og leiðbeint um ráðstafanir sem gera yrði. Þá segir m.a. varðandi tölvubréf frá [B] til starfsmanns Símans hf. hinn 23. apríl 2013:

„Þá viðurkennir hún sjálf að hafa sagt starfsmanni Símans ósatt þar sem hún segir í pósti til hans að ég sé hætt þegar hið rétta er að ég var á uppsagnarfresti. Ég ítreka það aftur að það var engin áætlun hjá mér um að koma ekki til baka en ég tók dótið mitt af skrifstofunni þar sem ég var í algjöru áfalli eftir uppsögnina. Það sýnir sig líka að ég var í samskiptum strax helgina á eftir, þrátt fyrir veikindi mín.“

Einnig segir í bréfi kvartanda varðandi framangreint tölvubréf frá 23. apríl 2013.:

„Það fer ekki á milli mála skv. tölvupósti og orðalagi [B] til starfsmanns Símans að hún er að biðja um aðgang að netfangi mínu og lykilorði: „Um leið þarf ég að biðja ykkur um að senda mér aðgang að því netfangi notandanafn og lykilorð en viðkomandi starfsmaður hefur það undir höndum og hefur ekki veitt að því aðgang.“ Það er ekkert um annað netfang að ræða en mitt. Ég hafði starfað þarna í nokkur ár og vissi ekki af tilvist netfangsins [B]@[B].is og getur [B] því ekki snúið sig út úr því með eftiráskýringum.“

Að auki segir m.a.:

„Þá er mjög svo sérstakt að loka netfangi mínu í veikindum þegar ég átti eftir að ljúka uppsagnarfresti og fá að fara yfir gögnin mín í rólegheitum. Þess í stað lá þvílíkt á að opna tölvuna og netfangið mitt þann 14. maí, óháð því hvort ég yrði viðstödd eða ekki. Þá var rétt rúmlega mánuður liðinn frá uppsögn og hafði sinnt öllum mikilvægustu verkefnum sem lá á eins og dæmin sanna. Það er því ekki rétt að um ómælt óhagræði hafi verið að ræða, vinnuálag eða fjárhagslegan skaða.“

4.

Hinn 30. september 2013 hafði starfsmaður Persónuverndar samband við [B] símleiðis. Tilefnið var að eins og fyrr hefur verið lýst telur kvartandi [B] eingöngu hafa getað verið að biðja um notandanafn og lykilorð að netfangi sínu í fyrrgreindu tölvubréfi til Símans hf. 2013, enda hafi ekki verið um neitt annað netfang að ræða. Af tilvist netfangsins [B]@[B].is hafi kvartandi ekki vitað. Í símtalinu var þetta borið undir [B] og fengust þær skýringar að hún hafi haldið að búið hafi verið að stofna til netfangsins nokkru áður og að kvartandi hafi þá fengið aðgang að notandanafni og lykilorði. Reynt hafi verið að ná í kvartanda til að fá aðgang að netfanginu en það ekki tekist. Hafi þá verið haft samband við Símann og í ljós komið að ekki hafi enn verið búið að stofna til netfangsins. Það hafi komið í ljós þegar Síminn hf. lét [B] fyrir misskilning fá aðgang að netfanginu [D]@[D].is Það hafi hins vegar ekki verið ætlan [B] að fá þann aðgang og hafi mistökin verið leiðrétt.

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 

2.

Í 3. mgr. 9. gr. reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem til verða við rafræna vöktun, sbr. 5. mgr. 37. gr. laga nr. 77/2000, er mælt fyrir um að starfsmanni skuli, þegar tölvupóstnotkun er skoðuð, fyrst gerð grein fyrir því og honum veitt færi á að vera viðstaddur slíka skoðun. Það eigi þó ekki við sé þess enginn kostur, s.s. vegna alvarlegra veikinda starfsmanns. Auk þess segir m.a. í 4. mgr. 9. gr. að við starfslok skuli starfsmanni gefinn kostur á að eyða eða taka afrit af þeim tölvupósti sem ekki tengist starfsemi vinnuveitandans.

Fyrir liggur að [B] óskaði eftir að sér yrði sent notandanafn og aðgangsorð að netfangi sem hún taldi að kvartandi hafði aðgang að. Af orðalagi í tölvupóstsamskiptum [B] og starfsmanns Símans hf. verður ráðið að þar sé átt við netfangið [B]@[B].is en ekki vinnunetfang kvartanda. Fallast má á það með kvartanda að það virðist þversagnakennt í ljósi þess að um er að ræða nýtt netfang sem kvartanda skorti vitneskju um. Til þess er hins vegar að líta að umrædd tölvupóstsamskipti bera einnig með sér að [B] fékk úthlutað lykilorði sem hún reyndi síðan, samkvæmt samskiptunum, að nota til að komast inn á hið nýja netfang. Er það í samræmi við þær skýringar [B] að um hafi verið að ræða þann misskilning hennar að þegar hafi verið búið að stofna til netfangsins. Einnig verður að líta til þess að eftir að starfsmaður Símans hf. hafði greint [B] frá því að lykilorðið gengi að vinnunetfangi kvartanda hlutaðist hún, samkvæmt skýringum hennar, til um að því fyrirkomulagi yrði breytt

. Fyrir liggur að kvartandi gerði það einnig sjálf og að ekki var lokað fyrir umræddan aðgang, sem [B] hafði verið úthlutað, fyrr en þá. Engu að síður virðist sem það hafi ekki verið með vilja [B] að henni var veittur umræddur aðgangur. Þá hefur að öðru leyti komið fram að kvartandi fékk svigrúm til að gæta hagsmuna sinna í tengslum við lokun netfangsins, þ. á m. með því að taka afrit af einkasamskiptum.

Ekki verður annað séð en að [B] hafi eingöngu ætlað sér að fá aðgang að netfangi, sem samkvæmt heiti sínu er ekki netfang tiltekins starfsmanns heldur [B] sem slíkrar. Þá liggur ekki annað fyrir en að [B] hafi aðeins fengið í hendur lykilorð að vinnunetfangi kvartanda fyrir misskilning í samskiptum við Símann hf., auk þess sem ekki verður séð að [B] hafi notað lykilorðið til aðgangs að því netfangi. Þegar litið er til alls þessa telst ekki hafa komið fram að [B] hafi, við meðferð á vinnunetfangi kvartanda, brotið gegn þeim reglum sem gilda um meðferð tölvupósts á vinnustað.

 

Ú r s k u r ð a r o r ð:

Ekki liggur fyrir að [B] hafi, við meðferð á vinnunetfangi A, brotið gegn þeim ákvæðum reglna nr. 837/2006 sem gilda um meðferð tölvupósts á vinnustað, sbr. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.