Könnun á IP-tölu í rafrænni staðfestingu á atvinnuleit

11.1.2016

Úrskurður

 

Hinn 14. desember 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2015/612:

 

I.

Bréfaskipti

Hinn 20. júlí 2015 barst Persónuvernd erindi frá [A] (hér eftir nefndur „kvartandi“). Þar kemur fram að hann telur Vinnumálastofnun hafa sumarið 2011 aflað sér upplýsinga með ólögmætum hætti um að hann hafi verið erlendis. Þá segir að hún hafi neitað að upplýsa hann um hvernig upplýsinga um utanferð hans hafi verið aflað og síðar veitt rangar skýringar. Í tölvupóstsamskiptum hinn 21. júlí 2015 greindi hann Persónuvernd frá því að líta bæri á þetta erindi hans sem kvörtun.

 

Nánar tiltekið segir í fyrrgreindri kvörtun að Vinnumálastofnun hafi ítrekað neitað að upplýsa kvartanda um hvernig hún hafi komist að því að hann hafi verið erlendis. Þá hafi hún heimtað afrit af farseðlum og síðan svipt hann bótarétti í nokkra mánuði. Aftur hafi kvartandi óskað þess að upplýst yrði um framangreint, en enn hafi orðið dráttur á því. Á endanum hafi honum hins vegar verið greint frá því að í tölvusamskiptum við Vinnumálastofnun hefði komið í ljós að IP-tala hans væri erlend. Af hálfu kvartanda er því mótmælt að erlend IP-tala sýni fram á staðsetningu erlendis og hljóti því Vinnumálastofnun að hafa fengið umrædda vitneskju með öðrum hætti, þ.e. einhver hafi sent stofnuninni ábendingu um ferðir hans – og hann eigi þá rétt á að vita hver – eða farið hafi verið í einhverja utanaðkomandi upplýsingaveitu – og hann eigi þá rétt á að vita hverja.

 

Með bréfi, dags. 28. júlí 2015, var Vinnumálastofnun veitt færi á að tjá sig um framangreinda kvörtun. Hún svaraði með bréfi, dags. 31. ágúst 2015. Þar kemur fram að kvartandi hafi í júní 2011 sent staðfestingu á að hann væri í atvinnuleit [erlendis frá]. Hafi honum í kjölfarið verið sent bréf þar sem óskað hafi verið eftir skýringum á dvöl hans erlendis, enda væri það skilyrði fyrir greiðslu atvinnuleysisbóta að hann væri staddur hér á landi, sbr. c-lið 1. mgr. 13. gr. laga nr. 54/2006 um atvinnuleysistryggingar. Skýringar hafi borist sem hafi staðfest að hann hefði verið erlendis og hafi þá verið tilkynnt, með bréfi, dags. 22. júlí 2011, að hann hefði fengið ofgreiddar atvinnuleysisbætur á tímabilinu 9. til 19. júní 2011, sem og að bótaréttur hans félli niður í tvo mánuði. Kvartandi hafi ítrekað haft samband við Vinnumálastofnun vegna þessarar ákvörðunar og hafi honum verið gerð grein fyrir því með bréfi, dags. 13. apríl 2015, að stofnunin aflaði upplýsinga um uppruna á IP-tölum þeirra sem staðfesta atvinnuleit. Því sé alfarið hafnað að stofnunin hafi neitað að upplýsa kvartanda um uppruna þeirra upplýsinga sem um ræðir í máli þessu. Þá sé ásökunum kvartanda um að veittar hafi verið rangar skýringar vísað alfarið á bug.

 

Hjálagt með bréfi Vinnumálastofnunar, dags. 31. ágúst 2015, var afrit af fyrrgreindu bréfi hennar til kvartanda, dags. 13. apríl s.á., en þar segir meðal að áðurnefnd staðfesting kvartanda á að hann væri í atvinnuleit hafi borist frá spænskri IP-tölu.

 

Með bréfi, dags. 3. september 2015, var kvartanda veitt færi á að tjá sig um framangreint svar Vinnumálastofnunar. Svar barst frá honum í tölvupósti hinn 8. s.m. Í svarinu er vísað til bréfs Vinnumálastofnunar til hans, dags. 8. júlí 2011, en í upphafi þess segir:

 

„Stofnuninni hafa borist upplýsingar um að þú hafir verið stödd/staddur erlendis í júní 2011. Af þessu tilefni ert þú hér með beðinn um að skila skýringum til Vinnumálastofnunar (t.d. farseðlum) innan 7 daga frá dagsetningu þessa bréfs.“

 

Í svari kvartanda er lögð áhersla á það orðalag í bréfi Vinnumálastofnunar að henni hafi „borist upplýsingar“, en það orðalag sýni að stofnunin hafi ekki notast við upplýsingar frá eigin tölvudeild heldur hafi henni borist upplýsingar annars staðar frá. Einnig er áréttuð sú afstaða kvartanda að IP-tala sýni á engan hátt staðsetningu manna, en hann hafi oft notast við erlenda netþjóna þegar hann hafi átt rafræn samskipti við Vinnumálastofnun og þá ekki fengið neinar athugasemdir. Það að bréfið sýni fullvissu um að kvartandi hefði verið erlendis sýni að ekki hafi verið byggt á IP-tölu, enda hefði bréfið þá verið öðruvísi og honum gefinn kostur á að staðfesta hvort hann hefði dvalist erlendis. Þá hafni kvartandi því alfarið að Vinnumálastofnun hafi ekki neitað að gefa upp hvaða upplýsingaveita var notuð.

 

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda sem fellur undir valdsvið Persónuverndar.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Vinnumálastofnun vera ábyrgaraðili að þeirri vinnslu sem kvartað er yfir.

 

2.

Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Þegar stjórnvöld afla upplýsinga í tengslum við stjórnvaldseftirlit verður einkum talið að 5. og 6. og, eftir atvikum, 3. tölul. 1. mgr. 8. gr. laganna geti átt við um upplýsingaöflunina og eftirfarandi vinnslu upplýsinganna. Samkvæmt 3. tölul. er vinnsla heimil sé hún nauðsynleg til að fullnægja lagaskyldu, samkvæmt 5. tölul. er vinnsla heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna og samkvæmt 6. tölul. er vinnsla heimil sé hún nauðsynleg við beitingu opinbers valds.

 

Samkvæmt c-lið 1. mgr. 13. gr. laga nr. 54/2006 um atvinnuleysistryggingar er það skilyrði fyrir greiðslu atvinnuleysisbóta að launamaður sé búsettur og staddur hér á landi. Í ljósi þessa ákvæðis, sem og fyrrgreindra ákvæða 8. gr. laga nr. 77/2000, getur Vinnumálastofnun verið heimilt að vinna með upplýsingar um að þeir sem fá greiddar slíkar bætur hafi verið staddir erlendis. Af hálfu Vinnumálastofnunar hefur komið fram að í máli þessu hafi vitneskja þar að lútandi komið fram með skoðun á IP-tölu sem fylgdi rafrænni staðfestingu kvartanda á að hann væri í atvinnuleit. Ekki eru forsendur til að véfengja þessa staðhæfingu Vinnumálastofnunar. Þá skal tekið fram að í samskiptum á Netinu er iðulega óhjákvæmilegt að IP-tölur skráist vegna tæknilegs eðlis Netsins. Það að skoða þann hluta IP-tölu, sem hefur að geyma auðkenni tiltekins lands, getur verið sambærilegt því að skoða póststimpil á umslögum. Telur Persónuvernd því Vinnumálastofnun hafa verið heimilt að kanna þá IP-tölu sem fylgdi áðurnefndri staðfestingu frá kvartanda.

 

Auk heimildarákvæða 8. gr. laga nr. 77/2000 verður vinnsla persónuupplýsinga ávallt að fullnægja kröfum 7. gr. sömu laga. Þar er meðal annars mælt fyrir um að þess skuli gætt við vinnslu persónuupplýsinga að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Í þessum kröfum felst meðal annars að aldrei má ganga lengra við öflun upplýsinga um utanferðir einstaklinga á atvinnuleysisskrá en nauðsynlegt er vegna eftirlits Vinnumálastofnunar. Þá felur fyrstnefnda krafan í sér að vinnsla persónuupplýsinga skal vera gagnsæ gagnvart hinum skráða, en einn þátturinn í því er að honum sé veitt nauðsynleg fræðsla um vinnsluna, sbr. og 20. og 21. gr. laga nr. 77/2000.

 

Í úrlausn Persónuverndar, dags. 16. desember 2009 (mál nr. 2009/635), lýsti hún þeirri afstöðu að Vinnumálastofnun ætti að gera þeim sem skrá sig atvinnulausa með rafrænum hætti grein fyrir því, s.s. með auglýsingu á heimasíðu stofnunarinnar, að IP-tölum þeirra væri safnað og að þær væru nýttar til að komast að því hvort þeir hefðu verið staddir erlendis. Þá leiðbeindi Persónuvernd Vinnumálastofnun um það, með bréfi, dags. 23. júlí 2010 (einnig mál nr. 2009/635), að koma fræðslu þar að lútandi fyrir á áberandi stað í því viðmóti sem notað er við staðfestingu á atvinnuleit. Loks hefur Persónuvernd kveðið upp úrskurð, dags. 28. maí 2013 (mál nr. 2012/1390), þar sem fram kemur að þar sem ekki var brugðist við leiðbeiningum Persónuverndar með fullnægjandi hætti hefði Vinnumálastofnun ekki veitt kvartanda í málinu fullnægjandi fræðslu við framkvæmd eftirlits síns.

 

Þau atvik, sem urðu tilefni kvörtunar í máli þessu, áttu sér stað fyrir uppkvaðningu áðurnefnds úrskurðar, dags. 28. maí 2013. Verður því að gera ráð fyrir að ekki hafi, á þeim tíma sem atvikin áttu sér stað, verið veitt fullnægjandi fræðsla um umrædda notkun á IP-tölum. Er því niðurstaða Persónuverndar sú að fræðsla til kvartanda hafi verið ófullnægjandi þegar IP-tala hans skráðist hjá Vinnumálastofnun við móttöku umræddrar staðfestingar á að hann væri í atvinnuleit.

 

 

Ú r s k u r ð a r o r ð:

 

Vinnumálastofnun var heimilt að kanna IP-tölu [A] í rafrænni staðfestingu hans í júní 2011 á að hann væri í atvinnuleit. Í umrætt sinn veitti Vinnumálastofnun honum hins vegar  ófullnægjandi fræðslu.