Vinnsla persónuuplýsinga í greinargerð um einelti
Úrskurður
Á fundi stjórnar Persónuverndar hinn 26. júní 2015 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/1744:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 15. desember 2014 barst Persónuvernd kvörtun frá [A] vegna miðlunar greinargerðar um eineltismál frá [B], yfirmanni hennar hjá [X] til samstarfsfólks kvartanda, sem innihélt m.a. viðkvæmar persónuupplýsingar um hana. Greinargerðin var unnin í tilefni af rannsókn Kópavogsbæjar á ásökunum um einelti á kvartanda af hálfu [B] á vinnustað þeirra. Í kvörtuninni kemur fram að Kópavogsbær hafi óskað eftir að óháður þriðji aðili yrði fenginn til að gera greinargerð um málið. Greinargerðinni var skilað til [B], yfirmanns kvartanda sem í kjölfarið afhenti hana öðrum samstarfsfélögum hennar. Kvartandi telur að efni greinargerðarinnar hafi verið bundið trúnaði og óheimilt hafi verið að miðla upplýsingunum til samstarfsmanna hennar. Þá spyr kvartandi hvort Kópavogsbæ hafi verið heimilt að afhenda greinargerðina með viðtölum við einstaka starfsmenn í heild sinni ásamt kvörtun hennar gagnvart [B] sem steypt hafi verið saman í eina greinargerð. Kvartandi telur þetta óeðlilegt þar sem m.a. sé um viðkvæmar persónuupplýsingar hennar að ræða.
2.
Bréfaskipti
Með bréfi, dags. 19. janúar 2015, var [X] tilkynnt um kvörtunina og veitt færi á að koma á framfæri andmælum sínum vegna hennar. Þann 2. febrúar 2015 barst Persónuvernd svarbréf Kópavogsbæjar, f.h. [X]. Þar segir m.a. að umrædd greinargerð hafi verið afhent [B] í tengslum við ávirðingar sem hann varð fyrir í starfi og hafi verið ætluð til persónulegra nota. Niðurstaða greinargerðarinnar hafi leitt til þess að sviðstjóri velferðarsviðs ákvað að hefja áminningarferli gagnvart [B]. Til að [B] væri unnt að gæta andmælaréttar hafi honum verið afhent öll gögn málsins, þ.á.m. umrædd greinargerð.
Með bréfi, dags. 11. febrúar 2015, óskaði Persónuvernd nánari skýringa frá Kópavogsbæ. Í fyrsta lagi óskaði stofnunin eftir staðfestingu á því að Kópavogsbær kæmi fram fyrir hönd [B] þar sem bærinn teldi sig ábyrgðaraðila að þeirri vinnslu sem kvörtun [A] beinist að, þ.e. miðlun greinargerðarinnar. Í öðru lagi óskaði Persónuvernd eftir staðfestingu á því að greinargerðinni hefði einungis verið miðlað til annarra starfsmanna Kópavogsbæjar og einnig var óskað upplýsinga um það í hvaða tilgangi henni hefði verið miðlað áfram. Í þriðja lagi óskaði stofnunin eftir nánari skýringum á því hvaða heimild í 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000 framangreind miðlun byggðist á og hvernig hún samrýmdist ákvæðum 1. mgr. 7. gr. sömu laga.
Þann 9. mars 2015, barst Persónuvernd svarbréf Kópavogsbæjar, dags. 5. mars 2015. Þar kemur m.a. fram að greinargerðin hafi verið unnin að beiðni starfsmannadeildar Kópavogsbæjar. Sviðsstjóri velferðarsviðs hafi farið með ákvörðunarvald í málinu sem yfirmaður beggja aðila, þ.e. kvartanda og þess sem kvörtun beinist að. Málið hafi verið unnið eftir verklagi sem gildir um eineltismál og í kjölfarið verklagi um áminningarferli, sem byggt er á ákvæðum kjarasamnings stéttarfélags [B]. Þá bendir Kópavogsbær á að andmælaréttur aðila máls geti orðið þýðingarlítill ef þeir hafi ekki aðgang að gögnum sem málið varði. Að hálfu velferðarsviðs Kópavogsbæjar var umrædd greinargerð því afhent bæði [B] og kvartanda. Greinargerðin hafi verið merkt sem trúnaðarmál og afhent sem slík. Tilteknir hlutar greinargerðarinnar, sem hafðir hafi verið eftir starfsmönnum, hafi verið kynntir viðkomandi en ekki greinargerðin í heild sinni. Þá segir í bréfinu að [B] hafi ekki verið falið að kynna niðurstöðu greinargerðarinnar fyrir öðrum starfsmönnum [X] og að Kópavogsbær telji að aðgang [B] að greinargerðinni megi leiða af persónulegri aðild hans að málinu og hafi verið eðlilegur hluti af málsmeðferð. Meðferð [B] á skýrslunni hafi verið, að mati sveitarfélagsins, utan starfsskyldna hans og fellur ekki að þeirri ábyrgð sem vinnuveitandi hefur á athöfnum starfsmanna. Þar sem upprunaleg kvörtun kvartanda hafi borið þess merki að beinast gegn stofnuninni [X] hafi Kópavogsbær tekið að sér að svara Persónuvernd. Ef kvörtun beinist persónulega að [B] telji Kópavogsbær að leita skuli beint til [B] eftir afstöðu hans. Loks segir að hafi aðilar málsins, [B] og kvartandi, afhent greinargerðina til þriðja aðila sé sú afhending Kópavogsbæ óviðkomandi. Þá bendi Kópavogsbær á að samkvæmt 7. gr. reglugerðar nr. 1000/2004 um aðgerðir gegn einelti á vinnustað sé lögð sú skylda á atvinnurekanda að bregðast við eins fljótt og kostur er komi fram ábending eða kvörtun um einelti á vinnustað. Meta skuli aðstæður í samvinnu við vinnuverndarfulltrúa vinnustaðarins, utanaðkomandi ráðgjafa, ef með þurfi, og aðra er málið varði.
Með bréfi, dags. 19. mars 2015, var [B] tilkynnt um kvörtunina og veitt færi á að koma á framfæri andmælum sínum vegna hennar. Þann 31. mars 2015 barst Persónuvernd svarbréf [B], dagsett sama dag. Þar kemur m.a. fram að starfsmenn [X] gáfu skýrslu í tengslum við rannsókn á meintu einelti hans í garð kvartanda. Í kjölfarið hafi Kópavogsbær látið vinna greinargerð og haldið fund með starfsmönnunum og þeim kunngert efni greinargerðarinnar. Í bréfinu segir að [B] telji því að starfsmenn [X] hafi fengið upplýsingar um efni greinargerðarinnar án þess að undirritaður hafi haft nokkuð með það að gera. Þá segir að [B] hafi afhent greinargerðina til starfsmanna [X] sem einstaklingur en ekki í krafti starfs síns. Vísar hann í því samhengi til tölvupósts með greinargerðinni sem er undirritaður af honum persónulega en ekki sem forstöðumanns [X]. Þá bendir [B] á að hann sé aðili að kvörtunarmálinu um meint einelti og greinargerðin greini frá niðurstöðu stjórnvalds um meint einelti af hans hálfu. Honum hafi verið veitt tækifæri til að skila inn andmælum við það sem fram hafi verið sett í greinargerðinni og hafi því verið mikilvægt að geta rætt umrædda ákæru við samstarfsfólk og vita hvað hafi verið rétt og rangt haft eftir því. Þá bendir [B] einnig á að í svari lögmanns Velferðarsviðs Kópavogs til Persónuverndar segi að greinargerðin hafi verið afhent til persónulegra nota. Með vísan til þess bendir [B] á rökstuðning Velferðarsviðs Kópavogsbæjar þar sem farið er fram á að Persónuvernd vísi kvörtuninni frá þar sem greinargerðin varði einkahagi hans eða sé ætluð til persónulegra nota. Jafnframt kemur fram að með frumkvæði sínu hafi kvartandi gert grein fyrir sinni sýn á það mál sem greinargerðin fjalli um á fundi með samstarfsfólki þeirra þann 22. september 2014. Einnig hafi kvartandi skrifað bréf til allra starfsmanna þann 1. febrúar 2015, þar sem hún hafi ítrekað ávirðingar sínar gagnvart honum. Þetta bréf hafi hún einnig sent til Velferðarsvið Kópavogs. [B] telur að með vísan til 7. tölul. 8. gr. og 6. og 7. tölul. 9. gr. laga nr. 77/2000 hafi honum verið heimil vinnsla umræddra persónuupplýsinga til að gæta lögmætra hagsmuna sinna en honum hafi verið nauðsynlegar sem réttastar upplýsingar svo hann gæti nýtt sér andmælarétt og gætt lögmætra hagsmuna sinna. Vísar hann því á bug að brotið hafi verið gegn lögum um persónuvernd. Kvartandi hafi sjálf veitt samstarfsmönnum sínum allar upplýsingar um málið á meðan það var á rannsóknarstigi. Viðtöl hafi verið tekin við starfsmennina vegna rannsókn málsins, þeir hafi fengið að kynna sér greinargerðina af hálfu Kópavogsbæjar og fengið andmælarétt vegna efnis greinargerðarinnar. Starfsmennirnir hafi því fengið þær upplýsingar í hendur sem greinargerðin innihélt, m.a. frá kvartanda.
Með bréfi, dags. 4. maí 2015, var kvartanda boðið að tjá sig um framkomin svör Kópavogsbæjar og [B]. Þann 18. maí 2015, barst Persónuvernd svarbréf kvartanda. Þar segir m.a. að margt hafi komið fram í greinargerðinni sem ekki hafi verið kynnt starfsmönnum [X] sem gáfu skýrslu vegna málsins. Starfsmönnum hafi verið gerð grein fyrir því um hvað málið snérist og veittur andmælaréttur vegna framburðar síns vegna meðferðar málsins í samræmi við ákvæði stjórnsýslulaga. Í greinargerðinni komi hins vegar fram ýmiss konar trúnaðarupplýsingar um kvartanda sem falli undir viðkvæmar persónuupplýsingar í skilningi laga nr. 77/2000. Þá bendir kvartandi á að andmælaréttur aðila samkvæmt stjórnsýslulögum gefi [B] ekki rétt á að dreifa persónuupplýsingum til hvers sem honum hentar. Kvartandi hafi heldur ekki skýrt frá efni greinargerðarinnar heldur aðeins gefið samstarfsmönnum sínum skýringar á veikindaleyfi sínu vegna málsins. Þá segir kvartandi að tilefni sé til að athuga verklag Kópavogsbæjar í málum eins og þessum.
II.
Forsendur og niðurstaða
1.
Afmörkun kvörtunarefnis
og ábyrgðaraðili vinnslu
Kvörtun beinist annars vegar að miðlun viðkvæmra persónuupplýsinga um kvartanda, sem finna má í greinargerð um meint einelti yfirmanns kvartanda í hennar garð, til óviðkomandi þriðju aðila, þ.e. samstarfsmanna hennar hjá [X]. Hins vegar beinist kvörtunin að vinnslu persónuupplýsinga hjá Kópavogsbæ, þ.e. hvort heimilt hafi verið að afhenda greinargerðina á persónugreinanlegu formi, með viðkvæmum persónuupplýsingum um hana og vitnisburði annarra starfsmanna, til [B].
Hugtakið ábyrgðaraðili er skilgreint í 4. tölul. 2. gr. laganna sem sá sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Af bréfaskiptum í málinu má ráða að umrædd greinargerð sem kvörtun þessi lýtur að var unnin á ábyrgð og samkvæmt beiðni velferðarsviðs Kópavogsbæjar. Af þeirri ástæðu telst Kópavogsbær ábyrgðaraðili að þeirri vinnslu persónuupplýsinga um kvartanda sem fram fór í tengslum við gerð greinargerðarinnar og afhendingu hennar til kvartanda og [B]. [B] telst hins vegar ábyrgðaraðili að miðlun greinargerðinnar til samstarfsaðila kvartanda, þar sem af gögnum málsins má ráða að [B] var sá aðili sem ákvað tilgang, búnað og aðferð við miðlunina til samstarfsaðilanna. Telst sú miðlun því vera sjálfstæð vinnsla óháð vinnslu Kópavogsbæjar á greinargerðinni.
2.
Gildissvið laga nr. 77/2000
Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.
Kópavogsbær og [B] hafa m.a. vísað til þess að umrædd vinnsla persónuupplýsinga hafi einungis verið ætluð til persónulegra nota fyrir hann, og því falli umrædd vinnsla ekki undir gildissvið laga nr. 77/2000, sbr. ákvæði 2. mgr. 3. gr. þeirra laga. Samkvæmt ákvæði 2. mgr. 3. gr. laga nr. 77/2000 gilda lögin ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða eru einvörðungu ætlaðar til persónulegra nota. Með framangreindu ákvæði er t.d. átt við einkabréfaskipti, færslu dagbókar og meðferð upplýsinga sem tengjast tómstundamálum, sbr. það sem segir í athugasemdum með ákvæðinu í frumvarpi er varð að lögum nr. 77/2000. Einnig segir í athugasemdum með ákvæðinu að það sem ráði úrslitum um það hvort persónuupplýsingar varði eingöngu einkahagi einstaklings eða séu ætlaðar til persónulegra nota, sé hvort vinnslan varði aðeins hreina einkahagi eða ekki.
Í ljósi framangreinds fellur umrædd vinnsla persónuupplýsinga um kvartanda ekki undir ákvæði 2. mgr. 3. gr. laganna, enda voru ekki eingöngu skráðar þar upplýsingar sem vörðuðu einkahagi kvartanda. Þá hefur heldur ekki komið fram að umræddar upplýsingar hafi eingöngu verið ætlaðar til persónulegra nota, sbr. 2. mgr. 3. gr., heldur þvert á móti hafi verið unnin greinargerð um eineltismál sem varðar kvartanda og [B] og henni svo miðlað í kjölfarið til samstarfsaðila kvartanda, eftir að niðurstaða um einelti lá fyrir.
Af framangreindu er ljóst að vinnsla persónuupplýsinga sem kvörtun þessi lýtur að fellur undir valdsvið Persónuverndar og fellur undir gildissvið laga nr. 77/2000.
3.
Forsendur og niðurstaða
3.1.
Vinnsla Kópavogsbæjar á greinargerð um einelti
Öll vinnsla persónuupplýsinga verður að fullnægja einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000, og einnig 1. mgr. 9. gr. laganna ef um viðkvæmar persónuupplýsingar er að ræða, svo hún teljist heimil. Í 8. tölul. 2. gr. laga nr. 77/2000 er talið upp hvaða persónuupplýsingar teljist viðkvæmar persónuupplýsingar. Í umræddri greinargerð kemur fram að kvartandi telji sig hafa orðið fyrir einelti á vinnustað og [...]. Þá koma fram í greinargerðinni upplýsingar um að [...]. Teljast framangreindar upplýsingar um kvartanda vera viðkvæmar í skilningi umrædds ákvæðis.
Auk vinnsluheimildar samkvæmt framangreindu þarf vinnsla persónuupplýsinga að samrýmast öllum grunnkröfum 7. gr. laga nr. 77/2000, þ. á m. að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að persónuupplýsingar skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að persónuupplýsingar skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal afmá eða leiðrétta (4. tölul.).
Í 3 .tölul. 1. mgr. 8. gr. segir að vinnsla sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Í 2. tölul. 9. gr. laga nr. 77/2000 segir að vinnsla viðkvæmra persónuupplýsinga sé heimil ef sérstök heimild standi til vinnslunnar samkvæmt öðrum lögum. Eins og hér háttar til reynir einkum á sjónarmið tengd þessum ákvæðum 8. gr. og 9. gr. í tengslum við vinnslu Kópavogsbæjar á umræddri greinargerð.
Þá segir í e-lið 38. gr. laga nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustað, að ráðherra setji nánari reglur um hvaða kröfur skuli uppfylltar varðandi skipulag, tilhögun og framkvæmd vinnu, svo sem um aðgerðir gegn einelti á vinnustað. Slík reglugerð hefur verið sett og í 7. gr. reglugerðar nr. 1000/2004, um aðgerðir gegn einelti á vinnustað, kemur fram að atvinnurekandi skuli bregðast við eins fljótt og kostur er komi fram ábending um einelti á vinnustað. Meta skuli aðstæður í samvinnu við utanaðkomandi ráðgjafa ef með þarf og aðra sem málið varðar.
Í máli þessu liggur fyrir að umrædd greinargerð var unnin að beiðni starfsmannadeildar Kópavogsbæjar og að sviðsstjóri velferðarsviðs fór með ákvörðunar- og áminningarvald í málinu sem yfirmaður beggja aðila. Með hliðsjón af framangreindu ákvæði í lögum nr. 46/1980 og reglugerð nr. 1000/2004 sem og 3. tölul. 8. gr. og 2. tölul. 9. gr. laga nr. 77/2000 er ljóst að atvinnurekanda ber skylda til að bregðast við ábendingu um einelti og afla ráðgjafar utanaðkomandi aðila og annarra aðila sem málið varðar ef með þarf. Kópavogsbær er stjórnvald samkvæmt 1. gr. stjórnsýslulaga nr. 37/1993 og eiga þau við um afgreiðslu framangreinds eineltismáls. Aðilar stjórnsýslumála eiga rétt á aðgangi að skjölum og öðrum gögnum er mál þeirra varða samkvæmt 15. gr. stjórnsýslulaga nr. 37/1993. Á [B] sem málsaðila að stjórnsýslumáli hvílir ekki sérstök þagnarskylda en þó geta ákveðin gögn verið undanþegin upplýsingarétti aðila, sbr. 16. gr. stjórnsýslulaga, auk þess sem stjórnvaldi er heimilt, þegar sérstaklega stendur á, að takmarka aðgang aðila máls að gögnum ef hagsmunir hans af því að notfæra sér vitneskju úr þeim þykja eiga að víkja fyrir mun ríkari almanna- eða einkahagsmunum. Slíkar takmarkanir voru settar á efni þeirrar greinargerðar sem kvörtun þessi varðar, þar sem greinargerðin var merkt sem trúnaðarskjal enda einstök efnistök hennar þess efnis að ljóst var að það var ekki til dreifingar. Í ljósi framangreinds er það mat Persónuverndar að vinnsla Kópavogsbæjar á persónuupplýsingum um kvartanda og afhending greinargerðar til aðila málsins var í samræmi við lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.
3.2.
Miðlun [B] til samstarfsmanna kvartanda
Í 7. tölul. 1. mgr. 8. gr. segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna. Til að vinnsla geti átt sér stoð í ákvæðinu er skilyrði að grundvallarréttindi og frelsi hinna skráðu vegi ekki þyngra en slíkir hagsmunir. Í 6. tölul. 9. gr. segir að vinnsla viðkvæmra persónuupplýsinga sé heimil ef hún taki einungis til upplýsinga sem hinn skráði hafi sjálfur gert opinberar. Þá segir í 7. tölul. 9. gr. að vinnsla viðkvæmra persónuupplýsinga sé heimil ef vinnslan sé nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.
Í máli þessu liggur fyrir að [B] miðlaði umræddri greinargerð í tölvupósti til starfsmanna [X] sem innihélt m.a. viðkvæmar persónuupplýsingar um kvartanda þrátt fyrir að umrædd greinargerð hafi verið merkt sem trúnaðarmál. Telur [B] miðlunina hafa verið heimila á grundvelli lögmætra hagsmuna hans, m.a. svo hann gæti gætt andmælaréttar síns og til að geta sannreynt að rétt hafi verið haft eftir starfsmönnum [X]. [B] var aðili að því stjórnsýslumáli sem skoðun Kópavogsbæjar laut að. Fékk hann færi á að koma á framfæri andmælum sínum auk þess sem öðrum starfsmönnum sem leitað var til vegna vinnslunnar var einnig gefinn kostur á slíku. Það er hlutverk stjórnvalds, eða ábyrgðaraðila að gerð greinargerðarinnar, að ganga úr skugga um að ákvæðum stjórnsýslulaga sé fylgt við málsmeðferðina. Í málinu liggur fyrir að [B] og samstarfsfólk kvartanda hafði áður fengið færi á að gæta réttar síns við vinnslu Kópavogsbæjar á greinargerðinni í samræmi við ákvæði stjórnsýslulaga. Verður því ekki talið að [B] hafi haft lögmæta hagsmuni af því að miðla greinargerðinni til samstarfsaðila kvartanda í umræddu tilfelli.
Af gögnum málsins er ljóst að samstarfsmönnum kvartanda var gefinn kostur á að gera athugasemdir við þau ummæli sem eftir þeim voru höfð. Þá var samstarfsmönnum kvartanda ekki veittur aðgangur að viðkvæmum upplýsingum um kvartanda heldur aðeins borin undir þá þeirra eigin ummæli. Þá kemur fram í gögnum málsins að kvartandi sjálfur hafi ekki rætt viðkvæmar persónuupplýsingar sem koma fram í skýrslunni við samstarfsmenn sína heldur aðeins gefið skýringar á þeim fjarvistum sem hún hafi þurft að taka sér vegna málsins. Verður því ekki talið að um sé að ræða upplýsingar sem kvartandi hafi sjálf opinberað eða séu nauðsynlegar til að afmarka kröfu vegna dómsmáls eða annarrar slíkrar laganauðsynjar. Verður því talið að miðlun [B] á greinargerðinni til samstarfsaðila kvartanda hafi ekki verið í samræmi við 1. mgr. 8. og 9. gr. laga nr. 77/2000.
Ú r s k u r ð a r o r ð:
Vinnsla Kópavogsbæjar á persónuupplýsingum um kvartanda í greinargerð um eineltismál var heimil. Miðlun [B] á persónuupplýsingum um kvartanda til samstarfsmanna kvartanda hjá [X] fór í bága við lög nr. 77/2000.