Vinnumálastofnun skoðaði IP-tölur úr rafrænni tilkynningu
Niðurstaða
Hinn 16. desember 2009 komst stjórn Persónuverndar að niðurstöðu í máli nr. 2009/635:
I.
Bréfaskipti
Persónuvernd barst kvörtun frá [K] (hér eftir nefnd „kvartandi"), dags. 17. ágúst 2009. Hún fær atvinnuleysisbætur frá Vinnumálastofnun en kvartar vegna bréfs frá þeirri stofnun, dags. 28. júlí s.á. Í því bréfi kemur fram að Vinnumálastofnun höfðu borist upplýsingar um að kvartandi hafði verið erlendis en ekki segir hvaðan þær upplýsingar bárust. Kvartandi kveðst hafa fengið þau svör að IP-tala, sem fylgdi rafrænni tilkynningu um atvinnuleysi, hafi borið með sér að tilkynningin kom erlendis frá.
1.
Í kvörtun, dags. 17. ágúst 2009, segir nánar:
„Undirrituð móttók bréf frá Vinnumálastofnun (VMST) sem dagsett er 28. júlí. Í bréfinu kemur fram að stofnuninni hafi borist upplýsingar um að undirrituð hafi verið stödd erlendis í júlí 2009. Ekki er þess getið hvernig stofnuninni bárust upplýsingarnar. Í bréfinu er vitnað í tvo liði í 1. mgr. 13. gr. laga um atvinnuleysistryggingar þ.e. að viðkomandi sé í virkri atvinnuleit og búsettur hér á landi. Vegna þessara upplýsinga er óskað eftir því að undirrituð skili skýringum til VMST innan 7 daga frá dagsetningu bréfsins. Eins og beðið var um í bréfinu var afrit af farseðli ásamt heimasíma ættingja í Svíþjóð sent á uppgefið netfang: eftirlit[hjá]vmst.is.
Undirrituð hringdi í VMST þ. 31. júlí og spurðist fyrir um hvernig þeir fengu þessar upplýsingar en áður hafði undirrituð haft samband við Persónuvernd sem tjáði undirritaðri að skv. 18. gr. laga um persónuvernd ætti VMST að gefa undirritaðri upp hvaðan upplýsingarnar koma. Sá sem varð fyrir svörum hjá VMST tjáði undirritaðri að hún hefði gefið þessar upplýsingar upp sjálf. Þar sem undirrituð kannaðist ekki við það þá var það ústkýrt að vitneskjan fengist með IP-tölu tölvunnar sem sent er frá, en 20.-25. hvers mánaðar þarf að tilkynna á vefsíðu Vinnumálastofnunarinnnar hvort viðkomandi sé enn atvinnulaus. Undirrituð var erlendis þá daga og skráði sig því þar, þess óvitandi að fylgst væri með ferðum hennar. Viðmælandi hjá VMST fullyrti að það væri fullt ferðafrelsi en það bæri að láta vita þegar stefnt væri á ferðalag erlendis og vitnaði þar í c-lið 1. mgr. 14. gr. laga um atvinnuleysistryggingar þ.e. að geta tekið vinnu án sérstaks fyrirvara.
Undirrituð óskar eftir því að Persónuvernd skoði eftirfarandi:
Hvort Vinnumálastofnun hafi heimild til eftirlits með IP-tölu skv. því lagaumhverfi sem vitnað er í í bréfinu.
Er eftirlit Vinnumálastofnunar með IP-tölu heimilt út frá friðhelgi einkalífsins.
Ber vinnumálastofnun ekki skylda til að upplýsa hvernig upplýsingarnar berast í stað þess orðalags sem viðhaft er í bréfinu: „Stofnuninni hafa borist upplýsingar?"."
2.
Með bréfi, dags. 18. ágúst 2009, ítrekuðu með bréfi, dags. 7. september s.á., veitti Persónuvernd Vinnumálastofnun færi á að tjá sig um framangreinda kvörtun. Vinnumálastofnun svaraði með bréfi, dags. 28. september 2009. Þar segir:
„Á heimasíðu Vinnumálastofnunar er hnappur þar sem unnt er að staðfesta atvinnuleit mánaðarlega. Staðfestingin fer fram með þeim hætti að atvinnuleitandinn skráir inn kennitölu sína ásamt lykilorði sem hann fær úthlutað þegar umsókn hans um greiðslu atvinnuleysistrygginga er samþykkt. Mögulegt er að koma að skriflegum athugasemdum með staðfestingu. Staðfestingar sem berast í gegnum heimasíðu Vinnumálastofnunar eru skráðar í tölvukerfi stofnunarinnar þar sem tímabil staðfestingar er merkt inn og sjálfvirk færsla er skráð í samskiptasögu einstaklings þar sem fram kemur að staðfesting hans hafi borist rafrænt.
Ef Vinnumálastofnun hefur upplýsingar um að atvinnuleitandi uppfylli ekki skilyrði laganna t.d. ef þeir eru staddir erlendis, vekur stofnunin athygli hans á því og óskar eftir afstöðu hans. Á þetta t.d. við ef þjónustufulltrúi sér að símtal frá atvinnuleitanda kemur úr erlendu símanúmeri. Hið sama gildir um IP-tölur (Internet Protocol) sem eru nokkurs konar símanúmer á Internetinu. Þeir sem halda úti vefsíðum geta séð IP-tölur þeirra sem skrá sig inn á síður þeirra. Starfsmenn Vinnumálastofnunar hafa sjálfkrafa aðgang að þessum upplýsingum sbr. það sem áður segir um erlendu símanúmerin. Enginn utanaðkomandi aðili hefur að og kemur að vinnslu þeirra.
Berist staðfesting á atvinnuleit frá IP-tölu með erlendum uppruna hefur Vinnumálastofnun samband við viðkomandi atvinnuleitanda og gefur honum færi á að koma að skýringum sínum á málinu í samræmi við 10. og 13. gr. stjórnsýslulaga nr. 37/1993.
Rétt er að taka fram að upplýsingar þær sem atvinnuleitandi gefur til Vinnumálastofnunar þegar hann t. a. m. hringir úr erlendu símanúmeri eða skráir sig rafrænt á heimasíðu stofnunarinnar eru ekki varðveittar nema að því leyti sem samskipti almennt við umsækjendur eru skráðar í samskiptasögu viðkomandi einstaklings. Upplýsingar þessar eru nýttar í skýrum og málefnalegum tilgangi við framkvæmd laga nr. 54/2006 um atvinnuleysisbætur og eingöngu aðgengilegar Vinnumálastofnun.
Í máli því er vísað er til í erindi Persónuverndar hafði stofnunin undir höndum rafræna staðfestingu á atvinnuleit er bar erlenda IP-tölu. Þessi gögn gáfu til kynna að kærandi væri ekki í virkri atvinnuleit hér á landi og uppfyllti því ekki almenn skilyrði laga um atvinnuleysistryggingar nr. 54/2006. Af því tilefni óskaði stofnunin eftir frekari skýringum aðila. Í bréfi til [K] tilkynnti Vinnumálastofnun henni að stofnuninni hefðu borist upplýsingar um að hún hafi dvalist erlendis. Ekki var tekin lokaákvörðun í máli hennar heldur beðið efitr athugasemdum svo hægt væri að meta þær skýringar sem bárust svo sem almenn ákvæði stjórnsýslulaga nr. 37/1993 kveða á um. Óski aðili eftir frekari upplýsingum um hvaða upplýsingar um stöðu hans berast eru þær að sjálfsögðu veittar í smræmi við IV. kafla sömu laga."
Einnig segir í bréfi Vinnumálastofnunar:
„Vinnumálastofnun telur að öflun og vinnsla þeirra upplýsinga sem mál þetta byggir á uppfylli öll skilyrði laga nr. 77/2000. Má í því sambandi benda á að umsækjendur um greiðslu atvinnuleysistrygginga, samþykkja með undirritun sinni á umsóknina, heimild til handa Vinnumálastofnun að afla upplýsinga um einkahagi þeirra sem máli skipta við afgreiðslu umsóknar og síðara tíma eftirlit með tryggingaþegum.
Vinnumálastofnun ber skylda til að sinna eftirliti með framkvæmd laga um atvinnuleysistryggingar. Eftirlit með þeim er fá greitt úr atvinnuleysistryggingasjóði snýr m.a. að því hvort umsækjendur uppfylla skilyrði laganna um virka atvinnuleit sbr. a. lið 1. mgr. 13. gr. og 14. gr. laga nr. 54/2006 um atvinnuleysistryggingar.
Meginskilyrði 13. og 14. gr. laga nr. 54/2006 um atvinnuleysistryggingar er að einstaklingur sem þiggur atvinnuleysisbætur sé í virkri atvinnuleit. Nánar er kveðið á um það í a. til h. liðum 1. mgr. 14. gr. hvað telst vera virk atvinnuleit. Meðal annars er gert ráð fyrir að sá einstaklingur sem þiggur atvinnuleysisbætur hafi vilja og getu til að taka við starfi án sérstaks fyrirvara og sé jafnframt reiðubúinn til að taka við starfi hvar sem er á Íslandi sbr. c. og d. liði 1. mgr. 14. gr. Þessi ákvæði sem lúta að virkri atvinnuleit hafa verið túlkuð á þann veg að þeim sem þiggja atvinnuleysisbætur sé ekki heimilt að dveljast erlendis í lengri eða skemmri tíma enda komi það í veg fyrir að þeir fullnægi þessum skilyrðum laganna. Þessi skilningur Vinnumálastofnunar á virkri atvinnuleit er í samræmi við margra ára framkvæmd á þessu sviði."
3.
Með bréfi, dags. 2. október 2009, veitti Persónuvernd kvartanda færi á að tjá sig um framangreint svar Vinnumálastofnunar, dags. 28. september 2009. Kvartandi svaraði með bréfi, dags. 16. október s.á. Þar segir:
„Í þriðju málsgrein í svari VMST er vísað í að þeir sem halda úti vefsíðum geti séð IP-tölu þeirra sem skrá sig á síðu þeirra. VMST telur að IP-tala sé eins og venjulegt símanúmer nema að það er á netinu. Undirrituð tekur ekki undir þessa skoðun VMST. Almenningur er einnig áreiðanlega misvel upplýstur um hvernig hægt sé að fylgjast með einkalífi þeirra með IP-tölum eins og í þessu tilviki.
Í sjöundu málsgrein er tekið fram að ef þess er óskað þá eru upplýsingar veittar um hvaðan upplýsingarnar koma. Það vekur furðu undirritaðrar hvers vegna þessar upplýsingar eru ekki í bréfinu þ.e. uppi á borðinu. Það er óhætt að segja að bréfið hafi komið undirritaðri á óvart og valdið heilabrotum og áhyggjum hvaðan VMST fékk þessar upplýsingar. Einhvern veginn datt undirritaðri ekki í hug að fylgst væri með IP-tölum hjá stofnuninni. Undirritaðri leið eins og hafa saklaus framið glæp án þess að vita af því. Ef VMST telur sig hafa rétt á notkun IP-tölu hvers vegna ekki að veita þær upplýsingar strax í bréfinu með tilvísun í lög nr. 77/2000, ef það stenst, í stað þess að láta bréfið hljóma eins og að stofnuninni hafi borist upplýsingarnar í gegnum þriðja aðila sbr. byrjun bréfs „Stofnuninni hafa borist?". Það væri heiðarlegra.
Í fyrrgreindri málsgrein er staðfest að gögn þ.e. IP-talan gefi til kynna að undirrituð sé ekki í virkri atvinnuleit vegna þess að IP-tala var erlend. Undirrituð var og er enn búsett á Íslandi það vekur undrun að það sé staðfest að „hinn skráði" sé ekki í virkri atvinnuleit eingöngu vegna upplýsinga um erlenda IP-tölu. Eins og kom fram í svari undirritaðrar þá var um að ræða heimsókn til fjölskyldumeðlims. Undirrituð sendi eins og óskað var eftir, afrit af farmiða auk þess að gefa upp símanúmer fjölskyldumeðlims til þess að sannfæra efasemdarmenn hjá VMST.
Svar VMST er greinatgott en undirritaðri finnst þó ekki koma skýrt fram hvort lögin þ.m.t. lög um persónuupplýsingar og persónuvernd sem vitnað er í í bréfi VMST, virkilega gefi VMST leyfi til að nota IP-tölu til upplýsingaöflunar.
Í elleftu málsgrein er komið inn á túlkunaratriði varðandi hvað felst í að vera í virkri atvinnuleit og er túlkað á þann hátt að þeim sem þiggur atvinnuleysisbætur sé ekki heimilt að dvelja erlendis í lengri eða skemmri tíma. Eins og segir í bréfinu er þetta túlkunaratriði og má deila um hvort þetta eigi heima í nútímanum þar sem ferðatími á milli staða innanlands eða til útlanda er afstæður."
4.
Með bréfi til Vinnumálastofnunar, dags. 3. nóvember 2009, óskaði Persónuvernd frekari skýringa varðandi fræðslu til kvartanda um notkun umræddrar IP-tölu. Þá veitti Persónuvernd Vinnumálastofnun færi á að tjá sig um framangreint svar kvartanda, dags. 16. október 2009. Vinnumálastofnun svaraði með bréfi, dags. 17. nóvember s.á. Þar segir:
„Vinnumálastofnun ítrekar fyrri afstöðu sína til upprunalegs erindis Persónuverndar í máli þessu. Sú lagaskylda hvílir á Vinnumálastofnun að hafa eftirlit með framkvæmd laga nr. 54/2006 um atvinnuleysistryggingar og er það afstaða stofnunarinnar að henni sé skylt að nýta öll tiltæk ráð, innan ramma laga, til að sinna þeirri skyldu sinni.
Upplýsingar um að stofnunin skoði hvort staðfestingar um atvinnuleit berist erlendis frá hafa hingað til ekki verið auglýstar á heimasíðu Vinnumálastofnunar. Stofnunin þakkar ábendingu þessa efnis og mun gera viðeigandi ráðstafanir til að atvinnuleitendum verði það ljóst héðan í frá."
II.
Niðurstaða Persónuverndar
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
2.
Erindi það sem hér er til skoðunar lýtur að vinnslu upplýsinga um IP-tölur. Á meðal þeirra upplýsinga, sem IP-tölur hafa að geyma, er í hvaða landi sú tölva er sem IP-talan stafar frá. Í samskiptum á Netinu er iðulega óhjákvæmilegt að IP-tölur skráist vegna tæknilegs eðlis Netsins. Það að skoða þann hluta IP-tölu, sem hefur að geyma auðkenni tiltekins lands, getur verið sambærilegt því að skoða póststimpil á umslögum. Af atvikum máls þessa má hins vegar ráða að IP-tölur tilkynnenda séu skráðar með kerfisbundnum hætti og telst því vera um að ræða vinnslu persónuupplýsinga í skilningi laga nr. 77/2000.
Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Þegar stjórnvöld afla upplýsinga í tengslum við stjórnvaldseftirlit verður einkum talið að 5. og 6. og, eftir atvikum, 3. tölul. 1. mgr. 8. gr. laganna geti átt við um upplýsingaöflunina og eftirfarandi vinnslu upplýsinganna. Samkvæmt 3. tölul. er vinnsla heimil sé hún nauðsynleg til að fullnægja lagaskyldu, samkvæmt 5. tölul. er vinnsla heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna og samkvæmt 6. tölul. er vinnsla heimil sé hún nauðsynleg við beitingu opinbers valds.
Vinnumálastofnun hefur vísað til 13. og 14. gr. laga nr. 54/2006 um atvinnuleysistryggingar. Samkvæmt a-lið 1. mgr. 13. gr. verða launamenn að vera í virkri atvinnuleit til að njóta atvinnuleysistrygginga. Í 14. gr. er skilgreint hvað felist í virkri atvinnuleit. Framkvæmd þessa ákvæðis er á hendi Vinnumálastofnunar, þ. á m. það að leggja mat á hvort umsækjandi sé í virkri atvinnuleit og ákveða rétt manna til bóta þótt þeir hafi farið eða séu staddir erlendis. Umfjöllun um það fellur ekki í hlut Persónuverndar og tekur hún því ekki afstöðu til þess hvernig túlka beri skilyrði laga nr. 54/2006 um virka atvinnuleit. Sé það hins vegar mat Vinnumálastofnunar að hún þurfi vitneskju um ferðir manna til að geta rækt þetta lögboðna hlutverk sitt, og beitt því opinbera valdi sem henni er falið, er ljóst að vinnsla upplýsinga um IP-tölur tilkynnenda getur fallið undir framangreind skilyrði 8. gr. laga nr. 77/2000.
Vinnsla persónuupplýsinga verður hins vegar einnig að samrýmast öllum skilyrðum 7. gr. laga nr. 77/2000. Þar er m.a. mælt fyrir um að þess skuli gætt við vinnslu persónuupplýsinga að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Í þessum kröfum felst m.a. að aldrei má ganga lengra við öflun upplýsinga um utanferðir einstaklinga á atvinnuleysisskrá en nauðsynlegt er vegna eftirlits Vinnumálastofnunar. Þá felur fyrstnefnda krafan í sér að vinnsla persónuupplýsinga skal vera gagnsæ gagnvart hinum skráða.
Í ljósi þeirrar kröfu, sem og framangreinds skilyrðis um að vinnsla persónuupplýsinga skuli samrýmast vönduðum vinnsluháttum, er eðlilegt að Vinnumálastofnun geri þeim sem skrá sig atvinnulausa með rafrænum hætti grein fyrir því, s.s. með auglýsingu á heimasíðu stofnunarinnar, að IP-tölum þeirra sé safnað og að þær séu nýttar til að komast að því hvort þeir hafi verið staddir erlendis.
N i ð u r s t ö ð u o r ð:
Persónuvernd gerir ekki athugasemd við skoðun Vinnumálastofnunar á þeim hluta IP-tölu sem hefur að geyma auðkenni þess lands sem IP-talan stafar frá, þ.e. í rafrænni tilkynningu til stofnunarinnar um atvinnuleysi. Persónuvernd telur hins vegar rétt, í ljósi ákvæðis 7. gr. laga nr. 77/2000 um sanngjarna vinnslu, og sjónarmiða um vandaða vinnsluhætti, að Vinnumálastofnun geri þeim sem skrá sig atvinnulausa grein fyrir því að hún safni og vinni með upplýsingar um IP-tölur þeirra, m.a. til að kanna ferðir þeirra erlendis. Það má gera með auglýsingu á heimasíðu Vinnumálastofnunar.