Miðlun vinnuveitanda á upplýsingum um starfslok starfsmanns til ráðgjafarþjónustu
Úrskurður
Á fundi sínum þann 22. janúar 2007 kvað stjórn Persónuverndar upp svofelldan úrskurð í máli nr. 2006/620
I.
Grundvöllur máls
Þann 2. nóvember 2006 barst Persónuvernd kvörtun A yfir því að Landspítali háskólasjúkrahús (LSH) hafi miðlað persónuupplýsingum um hana til ráðningarþjónustunnar Capacent. Í bréfi A segir m.a.:
„Málsatvik eru þau að mér, ásamt fjórum öðrum starfsmönnum, var sagt upp störfum, á [?] Landspítala háskólasjúkrahúss þ. 28. september sl. Uppsögn fór fram með viðtali og ég látin undirrita uppsagnarbréf. Í bréfinu kom fram að starf mitt væri lagt niður frá og með 1. október 2006.
Í kjölfarið var mér afhent bréf með yfirskriftinni „LSH býður upp á ráðgjöf hjá Capacent“ (sjá fylgiskjal). Í bréfinu er tiltekið að Capacent Ráðningar hafi verið fengið til þess að verða mér innan handar við atvinnuleit. Neðst í bréfinu stendur: vinsamlega vertu í sambandi við [B], ráðgjafa hjá Capacent. Haft verður samband við þig ef ekki heyrist í þér innan 10 daga.
Ég hafði ekki samband við Capacent en þann 10. október hringdi [B] í mig og bauð mér að koma í viðtal. Þar með varð mér ljóst að LSH hafði afhent Capasent Ráðningum upplýsingar um mig og uppsögn mína, að mér forspurðri.
Sjálf óskaði ég ekki eftir aðstoð frá ráðningarþjónustunni og þaðan af síður að upplýsingum um mig væru afhentar henni. Samkvæmt lögum um persónuvernd og meðferð persónuupplýsinga tel ég að á mér hafi verið brotið, með því að afhenda þriðja aðila (Capasent Ráðningum) upplýsingar um uppsögn mína.
Það er óásættanlegt að farið sé með viðkvæmar upplýsingar, sem uppsögn er, til þriðja aðila. Sérstaklega í ljósi þess að allar líkur eru á að Capacent hafi fengið upplýsingar um uppsögn mína, áður en mér var tjáð frá henni. Samkvæmt lögum hefði ekki átt að afhenta Capacent upplýsingar um mig að mér forspurðri, heldur leita eftir mínu samþykki fyrst.
Ég tel að LSH hafi brotið Lög um persónuvernd og meðferð persónuupplýsinga og að hér sé um alvarlegt trúnaðarbrot gegn starfsmönnum að ræða.“
Með bréfi A fylgdi kynningarbréf frá LSH á þjónustu Capacent en yfirskrift bréfsins er „LSH býður upp á ráðgjöf hjá Capacent“ í bréfinu segir m.a:
„Þegar stofnun eða fyrirtæki á frumkvæði að starfslokum starfsmanns getur það oft valdið ýmis konar vanda, sárindum og jafnvel tilfinningarróti hjá viðkomandi aðila. Það er síður en svo vilji stjórnenda LSH að valda slíkri röskun hjá starfsfólki sínu. Því viljum við hjá LSH leggja okkar að mörkum til að draga úr því umróti sem þessar skipulagsbreytingar valda og hjálpa þeim sem standa uppi án atvinnu að finna nýja vinnu á ný. Við höfum fengið Capacent Ráðningar (áður Mannafl) okkur til aðstoðar til þess að vera þér innan handar og aðstoða þig í atvinnuleit....Vinsamlegast vertu í sambandi við [B], ráðgjafa hjá Capacent, í síma 864-9841. Haft verður samband við þig ef ekki heyrist frá þér innan 10 daga.“
Með bréfi, dags. 8. nóvember 2006, bauð Persónuvernd Landspítala háskólasjúkrahúsi að tjá sig um mál A. Skrifstofa starfsmannamála Landspítala háskólasjúkrahúss svaraði með bréfi, dags. 22. s.m. Þar segir m.a:
„Til glöggvunar telur LSH rétt að bæta eftirfarandi við málsatvikalýsingu [A]. Þann 1. október 2006 tók gildi nýtt skipulag og endurskoðuð stefnumótun á [. . .] LSH. Markmið skipulagsbreytinganna var að stuðla að hagræðingu í rekstri og skilvirkari þjónustu og var deildum sviðsins og millistjórnendum fækkað. Til að ná þeim markmiðum sem stefnt var að með skipulagsbreytingunum var nauðsynlegt að gera ákveðnar breytingar á starfsmannahaldi sviðsins. Voru fimm störf lögð niður og gegndi [A] einu þeirra. Í málsatvikalýsingu [A] segir jafnframt að uppsögn hafi farið fram með viðtali og hún látin undirrita uppsagnarbréf þar sem fram kom að starf hennar væri lagt niður frá og með 1. október 2006. Umrætt bréf bar fyrirsögninga: Niðurlagning starfs vegna skipulagsbreytinga....Stjórnendum LSH er fyllilega ljóst að niðurlagning starfa eru sársaukafullar aðgerðir fyrir þá sem hlut eiga að máli. Í þessu tilviki var mikil áhersla lögð á að standa eins vel og mannlega að umræddum niðurlagningum eins og kostur var. Einn liður í því var að semja við Capacent um að ráðgjafi fyrirtækisins, [B], yrði þeim starfsmönnum sem gegndu þeim störfum sem lögð voru niður innan handar og aðstoða við atvinnuleit og það á kostnað LSH. Einnig var haft samband við stuðnings- og ráðgjafateymi starfsmanna LSH í þeim tilgangi að veita umræddum starfsmönnum aðstoð ef þeir óskuðu þess. Jafnframt var umræddum starfsmönnum bent á að reynt yrði að aðstoða þá við að finna annað starf innan LSH ef þeir óskuðu og var haft samband við skrifstofu starfsmannamála vegna þessa.
Aðdragandi samkomulags stjórnenda [. . .] og Capacent var sá að sviðsstjóri [. . .] átti fund með [B], ráðgjafa hjá Capacent, áður en umræddum starfsmönnum var tilkynnt um niðurlagningu starfanna. Tilgangur fundsins var að semja um aðstoð Capacent til handa umræddum starfsmönnum þegar og ef þeir óskuðu eftir slíkri aðstoð. Á fundinum fékk [B] þær upplýsingar frá sviðsstjóra að um fimm starfsmenn væri að ræða. Hvorki nöfn né aðrar upplýsingar um starfsmennina voru gefnar upp á þessum fundi. Það var ekki fyrr en eftir að starfsmennirnir höfðu fengið tilkynningu um niðurlagningu starfa þeirra að sviðsstjóri gaf [B] upp nöfn starfsmannanna og GSM símanúmer þeirra. Til þess að LSH gæti staðið við samkomulagið við Capacent í þágu umræddra starfsmanna var nauðsynlegt að [B] myndi hafa samband við starfsmennina ef ekki myndi heyrast frá þeim innan 10 daga frá afhendingu bréfsins. LSH var því ekki kunnugt um að [A] væri mótfallin því fyrirkomulagi sem kveðið var á um í bréfinu sem henni var afhent er hún tók við uppsagnarbréfinu.
Niðurlagning starfanna fimm tengdist á engan hátt starfsmönnunum sem störfunum gegndu eða frammistöðu þeirra í starfi. Hér var einungis um að ræða skipulagslegar aðgerðir sem leiddu til þess að óhjákvæmilegt var að leggja niður tiltekin störf. Þykir stjórnendum LSH það miður að velvilji sá sem bjó að baki ofannefndum aðgerðum í þágu starfsmannanna hafi ekki komið [A] að gagni.“
Með bréfi, dags. 24. nóvember 2006, bauð Persónuvernd A að tjá sig um bréf LSH. A svaraði með bréfi dags. 5. desember 2006. Þar segir m.a:
„Ég vil hnykkja á nokkrum atriðum vegna athugasemda frá LSH sem bárust Persónuvernd 23. nóvember sl. varðandi kæru mína. Þrátt fyrir tilraunir LSH til að fullyrða að samþykki mitt sé falið í því að taka á móti óundirrituðu bréfi á haus frá Capacent og LSH get ég engan veginn fallist á það. Með vísun í niðurlags bréfsins: Vinsamlega vertu í sambandi við [B], ráðgjafa hjá Capacent, í síma 864-9841. Haft verður samband við þig ef ekki heyrist frá þér innan 10 daga. - gangi þér vel.
Mér er fyrirmunað að skilja, samkvæmt þessum orðum, að [B] muni hafa samband og tel eðlilegt að hugsa sem svo að starfsmannahald LSH hefði milligöngu í málinu, þar sem þeir voru fagaðilar LSH í uppsagnarferlinu.
Í bréfinu segir enn fremur að [B] hafi þurft að fá upplýsingar um starfsmenn, til að LSH gæti staðið við samkomulag við Capacent. Það tel ég vera rangt. Eðlilegur gangur þessa ferils hefði verið sá að ráðgjafi Capacent hefði samband við starfsmannahald LSH, að tíu dögum liðnum og gefið skýrslu um hverjir hefðu haft samband við hann. Hlutverk starfsmannahalds hefði svo verið að hafa samband, við þá sem ekki höfðu haft samband við Capacent.“
Með bréfi, dags. 12. desember 2006, bauð Persónuvernd LSH að tjá sig um bréf A. Svör bárust með bréfi, dags. 18. s.m., en þar kemur fram að LSH telur ekki að bréf A gefi tilefni til efnislegra athugasemda.
Í ljósi þess að Persónuvernd taldi fyrirsjáanlegt að niðurstaða hennar um lögmæti miðlunar upplýsinganna myndi að miklu leyti ráðast af eðli þeirra persónuupplýsinga sem miðlað var óskaði hún, með bréfi til LSH dags. 8. janúar sl., eftir upplýsingum um hvaða persónuupplýsingum var miðlað til Capacent. Var þess óskað að svar bærist eigi síðar en 16. janúar sl. Þann 15. janúar sl. barst Persónuvernd bréf frá LSH þar sem fram kemur að upplýsingum um nafn og GSM símanúmer A hafi verið miðlað til Capacent eftir að henni var tilkynnt um niðurlagningu starfs hennar.
II.
Niðurstaða
1.
Lagaumhverfi
Almennt
Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 gilda lögin um sérhverja rafræna vinnslu persónuupplýsinga en einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar teljast vera sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Þær upplýsingar sem greinir í 8. tölul. 2. gr. laga nr. 77/2000 teljast til viðkvæmra persónuupplýsinga en aðrar upplýsingar, s.s. upplýsingar um nafn og símanúmer, ekki. Vinnsla persónuupplýsinga er skilgreind sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, sbr. 2. tölul. 1. mgr. 2. gr. laga nr. 77/2000. Í athugasemdum með ákvæðinu kemur fram að með vinnslu sé t.d. átt við söfnun og skráningu og undir það falli m.a. flokkun, varðveisla, breyting og miðlun. Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju af skilyrðum 1. mgr. 8. gr. laganna, en vinnsla viðkvæmra persónuupplýsinga þarf að auki að uppfylla eitthvert af skilyrðum 1. mgr. 9. gr. laganna.
Af framangreindu leiðir að miðlun LSH á upplýsingum um A til ráðningarþjónustunnar Capacent telst vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Fellur álitaefni máls þessa þar af leiðandi undir gildissvið laga nr. 77/2000 og þar með undir starfssvið Persónuverndar.
2.
Lögmæti miðlunar upplýsinga frá LSH
til Capacent um kvartanda
Fyrir liggur að Landspítali háskólasjúkrahús miðlaði til ráðningarþjónustunnar Capacent upplýsingum um nafn og símanúmer A. Slíkar upplýsingar teljast ekki til viðkvæmra persónuupplýsinga í skilningi laga nr. 77/2000. Þurfti miðlunin því aðeins að uppfylla eitthvert af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000. Í því máli sem hér um ræðir kemur aðeins til greina að uppfyllt hafi verið skilyrði 1. töluliðar þessarar greinar og verður hér að neðan tekin afstaða til þess.
Samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er vinnsla persónuupplýsinga, þ. á m. miðlun þeirra, heimil hafi hinn skráði ótvírætt samþykkt hana eða veitt samþykki skv. 7. tölul. 2. gr. laganna. Þegar lög nr. 77/2000 tóku gildi, 1. janúar 2001, var í þessum tölulið aðeins vísað til samþykkis samkvæmt 7. tölul. 2. gr. laganna. Með því er átt við að fyrir hendi sé „sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv.“ Með lögum nr. 90/2001, er breyttu lögum nr. 77/2000, var ákvæðið rýmkað þannig að vinnsla persónuupplýsinga getur talist heimil ef líta má svo á hinn skráði hafi ótvírætt samþykkt hana. Er því ekki ekki lengur nauðsynlegt að hann hafi veitt samþykki sem uppfyllir skilyrði 7. tl. 2. gr. Með ótvíræðu samþykki er í skilningi ákvæðisins m.a. átt við að af athöfn einstaklings, eða eftir atvikum athafnaleysi, megi ótvírætt ráða að hann hafi sé samþykkur tiltekinni vinnslu upplýsinga. Forsenda þess er að hann hafi áður fengið fræðslu um vinnsluna og tækifæri til að andmæla henni.
Í máli þessu liggur fyrir að þegar LSH afhenti A bréf með tilkynningu um niðurlagningu þess starfs sem hún gegndi þar var henni einnig afhent bréf með fyrirsögninni „LSH býður upp á ráðgjöf hjá Capacent“. Þar kom fram að LSH hafi gert samkomulag við Capacent Ráðningar um að vera sér innan handar við að aðstoða umrædda starfsmenn í atvinnuleit. Af efni síðarnefnda bréfsins mátti ráða að A hefði 10 daga frest til að hindra afskipti Capacent af sínum málum. Hefur verið fullyrt af hálfu LSH að spítalinn hafi ekki veitt Capacent upplýsingar um nafn A og GSM símanúmer hennar fyrr en eftir að hún fékk umrætt bréf. Þá liggur fyrir að A gerði engar athugasemdir.
Með vísun til framangreinds ræðst lögmæti miðlunar umræddra upplýsinga frá LSH til Capacent af því hvort líta megi svo á að A hafi í verki veitt samþykki sitt. Við mat á því verður hins vegar ekki framhjá því litið að í 1. mgr. 8. gr. er gerður áskilnaður um að samþykkið sé ótvírætt. Að mati Persónuverndar verður ekki fullyrt að svo hafi verið í því tilviki sem hér um ræðir. Til þess hefði LSH þurft að gera A grein fyrir fyrirhugaðri miðlun upplýsinganna til Capacent með skýrari hætti en gert var. Er það því niðurstaða Persónuverndar að lögmæti umræddrar miðlunar upplýsinga verði ekki byggt á 1. tl. 1. mgr. 8. gr. laga nr. 77/2000.
Þá hefur Persónuvernd, í ljósi meginreglna 1. töluliðar 7. gr. laganna um sanngjarna og málefnalega vinnslu, m.a. litið til þess að í raun var ekki aðeins miðlað upplýsingum um nafn og símanúmer hennar heldur og um að hún hefði misst starf sitt hjá LSH. Enda þótt slíkar upplýsingar teljist ekki til viðkvæmra upplýsinga í skilingi laga nr. 77/2000 er engu að síður ljóst að þær geta verið það í huga viðkomandi einstaklings og ber að taka tillit til þess.
Úrskurðarorð:
Miðlun Landspítala háskólasjúkrahúss á persónuupplýsingum um A til Capacent af tilefni starfsloka hennar var óheimil.
Í Persónuvernd, 22. janúar 2007