Úrskurður um upplýsingarétt

2.9.2008

Úrskurður

Þann 18. ágúst 2008 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2007/890:

I.

Tildrög máls og bréfaskipti

Þann 2. janúar 2008 barst Persónuvernd kvörtun frá A (hér eftir nefndur kvartandi) yfir því að hafa ekki fengið allar upplýsingar sem unnar voru um hann í tengslum við umsókn hans um starf hjá umboðsmanni barna. Við þá ráðningu naut umboðsmaður barna ráðgjafarþjónustu Capacent hf.

Í kvörtuninni var vísað í tölvubréf sem hann hafði sent Persónuvernd þann 11. desember 2007 um samskipti sín við Capacent hf. Fram kom að hann hafði, með tölvubréfi til Capacent hf., dags 10. desember 2007, beðið um aðgang að gögnum. Þar sagði hann m.a.:

„[...] Til að halda í öll formlegheit þá óskar undirritaður hér með eftir öllum þeim upplýsingum er varða mig og mína persónu, sem og undirritaður á rétt á samkvæmt lögum, og eru varðveitt hjá fyrirtæki yðar.

Ósk þessi nær til allra þeirra gagna sem nýtt eru til hæfismats á undirrituðum, í samræmi við starfsemi og starfshætti Capacent."

Capacent hf. svaraði 10. desember 2007 á þessa leið:

„Sæll A, þau gögn sem notuð voru tiltæk í úrvinnslu á umsókn þinni voru,

Upplýsingar úr viðtali við þig.

Umsögn umsagnaraðila sem þú gafst leyfi fyrir að haft yrði samband við.

Ferilskrá

Prófskírteini

Þær upplýsingar sem þú settir inn á skráningareyðublað

Læt fylgja með upplýsingar úr skráningu en Capacent Ráðningar gefa ekki upp ummæli umsagnaraðila, né heldur skráningu á viðtölum."

Eftir að umrædd kvörtun barst Persónuvernd bauð hún Capacent hf. að tjá sig um hana með bréfi dags. 16. janúar 2008. Svaraði fyrirtækið með bréfi, dags. 29. janúar sl. Þar sagði m.a.:

„[...] Í erindi yðar er vísað til efnisatriða 1. mgr. 18. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Ekki kemur fram í erindinu hvaða upplýsingar sem vísað er til í ákvæðinu kvartandi telur nánar að hann hafi ekki fengið. Er hér því fjallað um alla töluliði ákvæðisins:

1. tl. Ekki virðist ágreiningur um að kvartandi hafi fengið vitneskju um hvaða upplýsingar um hann er eða hefur verið unnið með, sbr. tölvupóst undirritaðs til kvartanda dags. 10. desember 2007, kl. 11:05. Er sú upptalning upplýsinga áréttuð hér sem tæmandi yfirlit.

2. tl. Ekki ætti að standa ágreiningur um tilgang vinnslunnar sem var að afla upplýsinga í þágu ráðningarferils viðkomandi atvinnuauglýsanda, sbr. tölvupóstskeyti kvartanda sjálfs dags. 11. desember 2007, kl. 10:21.

3. tl. Með sama hætti ætti ekki að standa ágreiningur um það hver fái, hafi fengið eða muni fá upplýsingar um kvartanda skv. tilgangi vinnslunnar. Ekki hafa aðrir fengið þær upplýsingar en viðkomandi atvinnuauglýsandi.

4. tl. Upplýsinga umfram fyrirliggjandi gögn var hvergi aflað umfram umsögn aðila sem kvartandi sjálfur vísaði til sem umsagnaraðila og heimilaði að umsagnar yrði leitað hjá.

5. tl. Hvergi hefur verið óskað skýringa á öryggisráðstöfunum sem viðhafðar eru við vinnslu. Sjálfsagt er að láta almennar upplýsingar þar að lútandi í té verði óskað eftir því.

Samkvæmt framangreindu verður ekki séð hvaða ákvæði 18. gr. laga nr. 77/2000 kann að hafa verið brotið. [...]"

Með bréfi, dags. 4. febrúar 2008, var kvartanda boðið að tjá sig um svarbréf Capacent hf. Hann svaraði með bréfi dags. 26. febrúar og sagði m.a.:

„Ljóst er á svari B, fyrir hönd Capacent, að hann er að fara á sveig við fyrirspurn og ósk undirritaðs um aðgang að þeim gögnum sem Capacent hefur safnað um persónu undirritaðs.

Ósk mín um aðgang að umræddum gögnum stendur óbreytt. Ég sem hlutaðeigandi máls tel að ég hafi heimild til að fá a.m.k. til yfirlestrar öll þau gögn sem Capacent hefur safnað um persónu mína [...]"

Persónuvernd óskaði eftir því við Capacent, með bréfi dags. 4. febrúar 2008, að fyrirtækið sendi stofnuninni afrit af þeim samningi sem það hafði gert við umboðsmann barna vegna ráðningar í starfið.

Í svari Capacent, dags. 12. febrúar 2008, kom fram að ekki væri unnt að verða við beiðni Persónuverndar þar sem ekki hafi verið gerður skriflegur samningur við umboðsmann barna vegna verkefnisins. Í símtali forstjóra Persónuverndar við umboðsmann barna þann 26. febrúar sl. kom fram að umboðsmaður teldi sig vera ábyrgðaraðila að vinnslu persónuupplýsinga vegna ráðningarinnar, sem og í önnur störf hjá embættinu. Enginn vinnslusamningur hefði verið gerður við Capacent hf. Í framhaldi af þessu samtali sendi Persónuvernd umboðsmanni barna bréf, dags. 27. febrúar 2008, og óskaði formlega eftir afstöðu hans til erindisins.

Þann 17. mars 2008 barst Persónuvernd svarbréf frá umboðsmanni barna þar sem segir:

„Vísað er til fyrri samskipta. Líkt og kom fram í samtali við forstjóra Persónuverndar var sá háttur hafður á í ráðningu þeirri sem mál þetta varðar að undirrituð auglýsti starfið á www.starfatorg.is í samræmi við reglur sem um það gilda. Við lok umsóknarfrestsins fór umboðsmaður barna þess á leit við Capacent að aðstoða við ráðningu í starfið. [...] Undirrituð afhenti aðeins umsóknir sem lágu til grundvallar starfsins og er ekki kunnugt um að neinar aðrar upplýsingar hafi legið til grundvallar í þeirri vinnu sem Capacent tók að sér. Undirrituð hefur engin önnur gögn undir höndum og getur því ekki orðið við beiðni A í þeim efnum."

Með bréfi dags. 11. apríl 2008 benti Persónuvernd umboðsmanni barna á skyldur sem á honum hvíla gagnvart hinum skráða og spurði hvernig hann hyggðist bregðast við beiðni kvartanda um aðgang að þeim persónuupplýsingum sem um hann voru skráðar vegna umsóknar hans um umrætt starf.

Í kjölfarið óskaði umboðsmaður barna eftir því við Capacent hf., með bréfi dags. 30. apríl sl., að fá upplýsingar um hvaða persónuupplýsingar um kvartanda fyrirtækið hefði unnið með. Í svarbréfi C, f.h. Capacent hf., til umboðsmanns barna, dags. 19. maí 2008, segir m.a.:

„[...] Þann 29. febrúar 2008 sendi skjólstæðingur minn svar til Persónuverndar vegna fyrirspurnar um nákvæmlega sömu efnisatriði og fram koma í erindi yðar. Þótt eigi sé yður sent afrit þess bréfs vegna fyrrgreinds aðildarskorts, er áréttað að engar breytingar hafa orðið á svörum þeirra efnisatriða sem þar komu fram. [...] Ekki hafa borist athugasemdir til skjólstæðings míns frá Persónuvernd við efnisatriðum svarbréfs 29. janúar þótt hátt í fjórir mánuðir séu liðnir frá svari, og hlýtur að mega líta svo á að svörin hafi talist fullnægjandi. [...]"

Þann 9. júní 2008 barst Persónuvernd svarbréf frá umboðsmanni barna. Þar er vísað orðrétt í framangreint bréf Capacent hf. til Persónuverndar, dags. 29. janúar sl.

Þann 27. júní 2008 sendi Persónuvernd bréf til Capacent hf. og spurði hvort fyrirtækið teldi sig hafa stöðu ábyrgðaraðila að því er varðar þá vinnslu sem fram fór hjá fyrirtækinu um kvartanda af tilefni umsóknar hans um starf hjá umboðsmanni barna.

Svar barst stofnuninni með bréfi dags. 29. júlí 2008. Kom skýrt fram að Capacent hf. telur sig vera ábyrgðaraðila umræddrar vinnslu en ekki vinnsluaðila enda gegni það sérhæfðum ráðgjafarstarfa og hafi sem slíkt tekið ýmsar ákvarðanir, s.s. um hvaða útbúnað skyldi nota við vinnsluna, hvaða aðferðum skyldi beitt o. s. frv. Til nánari skýringar sendi Capasent hf. Persónuvernd síðan tölvuskeyti 12. og 13. ágúst 2008 um ástæður þess að félagið gefur ekki upp allar upplýsingarnar. Þar er fyrst fjallað um meðferð niðurstaðna úr prófum sem notuð eru til að meta hæfni fólks til að draga rökrænar ályktanir og úr persónuleikaprófunum OPQ32 og CCSQ. Í erindi kvartanda er ekki vikið að slíkum gögnum og koma þau því ekki til frekari umfjöllunar í úrskurði þessum. Í bréfi Capacent er síðan fjallað um skráningu viðtala. Segir að hún taki til þess sem er sagt og gerist í viðtali og sé í formi punkta, stikkorða og þessháttar. Loks er fjallað um umsagnir umsagnaraðila. Segir að þeim sé safnað frá þeim sem umsækjandi hefur gefið leyfi til að rætt sé við, stundum alla, stundum einn. Öllum umsagnaraðilum sé í upphafi samtals lofað trúnaði um innihald umsagnarinnar. Umsagna sé ávallt aflað í símtali við umsagnaraðila og séu svör þeirra punktuð niður með líkum hætti og í viðtali enda um vinnuskjal fyrir ráðninguna að ræða.

Þann 13. ágúst 2008 leiðbeindi Persónuvernd A um ákvæði 15. gr. stjórnsýslulaga nr. 37/1993 og möguleika hans á að bera afgreiðslu umboðsmanns barna undir umboðsmann Alþingis. Var og tekið fram að kysi hann engu að síður að halda málinu áfram hjá Persónuvernd myndi hún úrskurða um að hvaða marki fyrirtækinu Capacent væri skylt að afhenda honum umræddar upplýsingar samkvæmt 18. gr. laga nr. 77/2000, að teknu tilliti til undantekningaákvæða 19. gr. þeirra laga. Hann svaraði þann 15. ágúst 2008 og staðfesti að hann óskaði eftir slíkum úrskurði Persónuverndar.

Hér á eftir verður því tekið til úrskurðar hvort og þá hvaða rétt A á til aðgangs að umbeðnum upplýsingum á grundvelli 18. gr, sbr. 19. gr., laga nr. 77/2000. Engin afstaða verður tekin til þess hvaða rétt Hann á til aðgangs að umbeðnum upplýsingum á grundvelli 15. gr. stjórnsýslulaga nr. 37/1993.

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda lögin um sérhverja rafræna vinnslu persónuupplýsinga og einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu persónuupplýsingar er átt við „sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi," sbr. 1. tl. 2. gr. laganna. Með því er þar með átt við slíkar upplýsingar sem um ræðir í máli þessu og fellur úrlausn þess undir valdsvið Persónuverndar.

Mál þetta lýtur að ósk kvartanda um aðgang að upplýsingum sem unnar voru um hann í tengslum við afgreiðslu umsóknar hans um starf hjá umboðsmanni barna. Umboðsmaður leitaði sérfræðiráðgjafar hjá fyrirtækinu Capacent hf. við mat á hæfni umsækjenda. Í bréfi umboðsmanns, dags. 13. mars s.l., segir að hann hafi auglýst starfið, tekið á móti umsóknum og afhent Capacent afrit af þeim. Kveðst umboðsmaður ekki vita hvort aðrar upplýsingar en þær sem fram komu á umsóknunum hafi legið til grundvallar niðurstöðum Capacent hf. Þá kveðst hann ekki hafa nein frekari gögn um umsækjanda en þau sem fram hafi komið í þeirri umsókn sem hann lagði inn á sínum tíma. Kveður hann fyrirtækið Capacent hafa neitað að afhenda sér þau gögn sem það vann um kvartanda.

2.

Upplýsingaréttur

Um upplýsingarétt hins skráða að því er varðar þau gögn sem eru hjá Capacent hf. fer samkvæmt 18. og. 19. gr. laga nr. 77/2000. Samkvæmt 1. mgr. 18. gr. laga nr. 77/2000 á hinn skráði rétt á að fá frá ábyrgðaraðila vitneskju um eftirtalin atriði:

1. hvaða upplýsingar um hann er eða hefur verið unnið með,

2. tilgang vinnslunnar,

3. hver fær, hefur fengið eða mun fá upplýsingar um hann,

4. hvaðan upplýsingarnar koma,

5. hvaða öryggisráðstafanir eru viðhafðar við vinnslu, enda skerði það ekki öryggi vinnslunnar.

2.1.

Við túlkun á orðinu vitneskja, í skilningi 18. gr. laga nr. 77/2000, ber að líta til þess að í athugasemdum við umrætt ákvæði í greinargerð með því frumvarpi er varð að lögum nr. 77/2000 segir:

„Í þessari grein er fjallað um rétt hins skráða til aðgangs að upplýsingum um sjálfan sig, í 1. tölul., og um önnur atriði sem nánar eru tilgreind í 2.–5. tölul. Þetta ákvæði rýmkar og skerpir þann rétt sem mælt er fyrir um í IV. kafla gildandi laga (9. gr.). Er hér að efni til fylgt a-lið 12. gr. tilskipunar ESB.

Í 1. tölul. 1. mgr. kemur fram sú meginregla að hinn skráði eigi rétt til aðgangs að upplýsingum um sig. Það nær til upplýsinga sem unnar eru með rafrænum hætti og handunninna upplýsinga ef þær eru eða eiga að verða hluti af skrá og á ákvæðið sér nokkra hliðstæðu í 1. mgr. 9. gr. gildandi laga."

Þá ber að líta til þess að umræddu ákvæði er ætlað að innleiða ákvæði a-liðar 12. tilskipunar 95/46/EB um rétt til aðgangs. Það ákvæði hefur verið skýrt með hliðsjón af ákvæði 13. gr. tilskipunarinnar um að hvaða marki takmarka megi þann rétt. Við skýringu ákvæðisins er og rétt að hafa hliðsjón af 41. tölul. formálsorða tilskipunarinnar þar sem fram kemur að hver og einn skuli hafa rétt til aðgangs að þeim upplýsingum um hann sjálfan sem eru í vinnslu, einkum til að geta sannreynt áreiðanleika upplýsinganna og lögmæti vinnslunnar. Í umræddu tilviki voru og umrædd gögn notuð við töku stjórnvaldsákvörðunar. Þar af leiðandi gilda um þau sömu sjónarmið og liggja að baki rétti aðila máls til aðgangs að gögnum samkvæmt 15. gr. stjórnsýslulaga þar sem mælt er fyrir um rétt málsaðila til að fá afrit af gögnum sem notuð eru við töku stjórnvaldsákvörðunar.

Að framansögðu athuguðu telur Persónuvernd að skýra beri ákvæði 18. gr. laga nr. 77/2000 svo að með rétti til vitneskju sé átt við rétt til aðgangs að þeim upplýsingum sem um ræðir.

2.2.

Samkvæmt 1. mgr. 18. gr. laga nr. 77/2000 skal beina kröfu til ábyrgðaraðila eða fulltrúa hans. Með ábyrgðaraðila er átt við þann sem ákveður tilgang vinnslunnar, þann útbúnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, þ. á. m. að meðferð þeirra sé í samræmi við ákvæði laga nr. 77/2000, sbr. 4. tölul. 2. gr. laga þeirra laga. Af þessu leiðir að átt er við þann aðila sem hefur ákvörðunarvald um vinnslu persónuupplýsinga. Við vinnslu persónuupplýsinga geta aðstæður verið með þeim hætti að fleiri en einn aðili komi að henni og hafi ákvörðunarvald að því er varðar þann þátt vinnslunnar sem viðkomandi hefur með höndum. Með vísun til svars Capacent hf. til Persónuverndar, dags. 29. júlí sl., um að fyrirtækið telji sig vera ábyrgðaraðila þeirrar persónuupplýsingavinnslu sem þar fór fram um kvartanda, og að því virtu að ekki var gerður vinnslusamningur milli Capacent hf. og umboðsmanns barna, lítur Persónuvernd svo á að í máli þessu beri að líta á félagið sem ábyrgðaraðila þeirra gagna sem um er deilt.

2.3.

Óumdeilt er að þær upplýsingar sem mál þetta varðar voru m.a. unnar á rafrænan hátt um nafngreindan einstakling. Er ótvírætt að ákvæði 18. gr. laga nr. 77/2000 gilda um rétt kvartanda til aðgangs að umbeðnum upplýsingum um sjálfan sig. Upplýsingarétti hins skráða eru takmörk sett í ákvæði 19. gr. laga nr. 77/2000. Þar kemur fram að réttur hans samkvæmt 18. gr. laganna getur þurft að víkja að nokkru eða öllu að vissum skilyrðum uppfylltum. Af þeim skilyrðum koma helst til skoðunar þau sem tilgreind eru í ákvæðum 2., 3. og 4. mgr.

Skv. 2. mgr. 19. gr. á ákvæði 18. gr. ekki við ef réttur hins skráða samkvæmt því ákvæði þykir eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra eða hans eigin. Skýra ber ákvæðið með hliðsjón af markmiðsákvæði 1. mgr. 1. gr. laganna. Þar segir að lögunum sé ætlað að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs. Í ljósi þessa ber að túlka ákvæðið þröngt. Eigi undanþáguákvæði 2. mgr. 19. gr. að ná yfir þetta tilvik er því nauðsynlegt að ljóst sé að hagsmunir umsagnaraðila af leynd séu mun ríkari en kvartanda af því að fá aðgang að viðkomandi gögnum.

Ekkert hefur komið fram af hálfu ábyrgðaraðili um að hagsmunir umsagnaraðila af leynd séu ríkari en kvartanda af því að fá aðgang að viðkomandi gögnum þannig að réttur hins síðarnefnda samkvæmt 18. gr. eigi að víkja á grundvelli ákvæðis 2. mgr. 19. gr. laga nr. 77/2000. Verður því eigi á þessari undanþágu byggt í málinu.

Fyrir liggur að ráðgjafarþjónusta Capacent hf. hét þeim umsagnaraðilum sem veittu upplýsingar um kvartanda trúnaði um þær. Persónuvernd leggur áherslu á að upplýsingaréttur hins skráða er lögmæltur í ákvæði 18. gr. laga nr. 77/2000. Verður ekki á það fallist að Capacent hf. hafi það á sínu valdi að heita umsagnaraðilum trúnaði sem ekki fær samrýmst lögum.

Í fyrri málslið 3. mgr. 19. gr. segir að réttur hins skráða samkvæmt ákvæðum 18. gr. nái ekki til upplýsinga sem eru undanþegnar aðgangi samkvæmt upplýsinga- eða stjórnsýslulögum. Um merkingu þessa ber að líta til þess að í athugasemdum í greinargerð með frumvarpi því er varð að lögum nr. 77/2000 segir að í 3. mgr. 19. gr. séu mörkuð skil upplýsingaréttar samkvæmt stjórnsýslu- og upplýsingalögum annars vegar og persónuupplýsingalögum hins vegar. Sé miðað við að réttur til aðgangs samkvæmt persónuupplýsingalögum verði sambærilegur við rétt aðila máls samkvæmt 15. gr. stjórnsýslulaga nr. 37/1993. Af því leiðir að sömu sjónarmið gilda um upplýsingarétt samkvæmt 18. gr. laga nr. 77/2000 og gilda samkvæmt 15. gr. stjórnsýslulaga. Í síðari málslið 3. mgr. 19. gr. segir hins vegar að sé um að ræða gögn í vörslu annarra ábyrgðaraðila en stjórnvalda nái ákvæði 18. gr. ekki til vinnuskjala eða annarra sambærilegra gagna sem unnin eru af ábyrgðaraðila sjálfum eða aðilum á hans vegum, t.d. sérstökum ráðgjöfum eða sérfræðingum. Af hálfu Capacent hf. hefur komið fram að umrædd gögn um það sem gerist í viðtali sé í formi punkta, stikkorða o.þ.h. og að upplýsinga um umsagnir umsagnaraðila sé ávallt aflað í símtali við umsagnaraðila. Séu svör þeirra punktuð niður með líkum hætti og í viðtali enda sé um vinnuskjal að ræða.

Af framangreindum athugasemdum í greinargerð með frumvarpi er varð að lögum nr. 77/2000 má ráða að átt sé við samskonar skjöl og um er fjallað í 3. tölul. 4. gr. upplýsingalaga nr. 50/1996. Af athugasemdum með frumvarpi er varð að upplýsingalögum, og í ljósi niðurstaðna úrskurðarnefndar um upplýsingamál, má ráða að með vinnuskjölum sé átt við skjöl sem rituð eru til eigin afnota í þeim tilgangi að komast að niðurstöðu um ákveðið mál og hafi ekki að geyma endanlega úrlausn. Einkenni vinnuskjala sé að þau séu liður í töku ákvarðana en hafi almennt ekki að geyma efnislega úrlausn eða niðurstöðu. Að mati Persónuverndar verður að telja þau gögn sem um er deilt í máli þessu vera sambærileg við slík skjöl. Í ákvæði 23. gr. upplýsingalaga nr. 50/1996 er kveðið á um skyldu stjórnvalds til þess að skrá upplýsingar sem veittar eru munnlega og hafa þýðingu við úrlausn máls. Í athugasemdum við ákvæðið í greinargerð þeirri er fylgdi frumvarpi til upplýsingalaga segir að séu slíkar upplýsingar aðeins skráðar í vinnuskjöl beri engu að síður að veita aðgang að þeim sé upplýsingarnar ekki að finna í öðrum gögnum málsins. Í lögum nr. 77/2000 er ekki finna sambærilega reglu. Hins vegar segir í 4. mgr. 19. gr. að þótt gögn séu undanþegin upplýsingarétti hins skráða skv. 3. mgr. geti hann óskað greinargerðar um efnislegt innihald þeirra, útdráttar eða annars konar samantektar nema hann geti kynnt sér staðreyndir málsins með öðrum hætti.

Með vísun til alls framangreinds ber Capacent hf. ekki að veita A afrit af öllum þeim persónuupplýsingum sem það vann um hann, af tilefni umsóknar hans um starf hjá umboðsmanni barna, og fyrir liggja á vinnuskjölum um það sem fram kom í viðtölum við hann og munnlega veittum umsögnum. Á grundvelli 4. mgr. 19. gr. laga nr. 77/2000 ber Capacent hf. hins vegar að afhenda honum greinargerð um efnislegt innihald þeirra, útdrátt eða annars konar samantekt enda liggur ekki fyrir að hann geti kynnt sér staðreyndir málsins með öðrum hætti.

 

Úrskurðarorð:

Capacent hf. er skylt að veita A greinargerð um efnislegt innihald þeirra persónuupplýsinga sem það vann um hann, í tilefni af umsókn hans um starf hjá umboðsmanni barna.