Myndbirting á starfsstöð

5.3.2010

Úrskurður

Hinn 1. mars 2010 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2009/1033:

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 13. nóvember 2009 barst Persónuvernd kvörtun [K] (hér eftir nefndur kvartandi) vegna vinnslu persónuupplýsinga um hann hjá [M]. Um var að ræða myndbirtingu af kvartanda á starfsstöð hans hjá [M].

2.

Bréfaskipti

Með bréfi, dags. 20. nóvember 2009, tilkynnti Persónuvernd [M] um kvörtunina og gaf fyrirtækinu kost á að koma fram með andmæli sín. Var þess sérstaklega óskað að [M] veitti upplýsingar um tilgang umræddar myndbirtingar. Veitti Persónuvernd [M] frest til 7. desember 2009. Með símtali var framangreindur frestur lengdur til 11. desember 2009. Með tölvubréfi, dags. 8. desember 2009, veitti [A], f.h. [M], svör varðandi myndbirtinguna. Í tölvubréfinu sagði m.a.:

„Í [M] í Garðabæ eru um 150 starfsmenn í framleiðslu og vinna þeir eftir svokölluðu sellufyrirkomulagi.

Sellurnar sem eru 11 talsins eru með frá 8 til 18 starfsmönnum. Framleiðslusvæðið er á 12.000 fermetrum og dreifast starfsmenn um svæðið.

Til að auðvelda samskipti og til að bæta upplýsingaflæðið innanhúss er sett upp upplýsingatafla við hverja sellu. Á þessar töflur eru settar upp ýmsar upplýsingar er varða viðkomandi sellu. Þar á meðal eru myndir af starfsmönnum hverrar sellu fyrir sig.

Það sama á við um aðra hópa og svið t.d verkefnastjóra, hönnuði, sölumenn , ráðgjafa, framleiðslustjóra og fleiri hópa, þar eru myndir uppi til að aðvelda samskipti.Einnig er í matsal skjár með rúllandi upplýsingum um nýja starfsmenn , afmælisdaga og starfsemi fyrirtækisins í máli og myndum.

Framleiðslugólfið er lokað öðrum en starfsmönnum [M] og ganga gestir eftir ákveðnum leiðum og eru upplýsingatöflurnar ekki á þeirri leið. Það gerist öðru hvoru að gestir fá að fara niður á gólf en það er meira undantekning en regla.

Við ráðningu til [M] er tekin mynd af viðkomandi starfsmanni eða hann útvegar sjálfur mynd. Þessar myndir eru öllum aðgengilegar í upplýsingakerfi og innra neti fyrirtækisins. Myndin sem [K] vísar til er mynd sem er í þessum kerfum. Þar eru einnig upplýsingar um símanúmer, vinnustöð og fleira. Mannaðuskerfið er opið öllum starfsmönnum [M] í Garðabæ."

Með bréfi, dags. 9. desember 2009, var kvartanda boðið að tjá sig um framangreint svar [M] og veittur frestur til 22. desember 2009. Þann 18. desember 2009 mætti kvartandi á skrifstofu Persónuverndar þar sem hann lýsti því yfir að útskýringar [A], sbr. tölvubréf dags. 8. desember 2009, væru gagnslausar og lagði auk þess fram ljósmyndir sem sýndu hvernig umræddri myndbirtingu væri háttað, en um útprentaða andlitsmynd af kvartanda, ásamt öðrum starfsmönnum, var að ræða sem hengd var upp á upplýsingatöflu hjá [M]. Tók kvartandi einnig fram að hann hefði samþykkt að láta taka af sér ljósmynd þegar hann hóf störf hjá [M], eingöngu í þeim tilgangi að setja ljósmyndina inn í tölvukerfi [M] en ekki til annars konar notkunar.

Með bréfi, dags. 22. desember 2009, óskaði Persónuvernd frekari skýringa frá [M] um tilgang vinnslunnar auk þess sem stofnunin óskaði eftir upplýsingum um það í hvaða heimild 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, umrædd vinnsla ætti sér stoð. Var þess óskað að svör bærust eigi síðar en 15. janúar 2010. Með símtali var sá frestur framlengdur til 22. janúar s.á.

Þann 28. janúar 2010 barst Persónuvernd með tölvubréfi svarbréf [Á] f.h. [M]. Þar kom m.a. fram að tilgangur myndbirtingarinnar væri aðallega að auðvelda samskipti og bæta upplýsingaflæði milli starfsmanna [M]. Þá væru brýnar öryggisráðstafanir fyrir því að starfsmenn væru vel upplýstir um nánustu samstarfsmenn sína þar sem slík myndbirting væri ein árangursríkasta leiðin til að lágmarka hættu á mistökum í starfi vegna skorts á upplýsingum og/eða samskiptum sem sjálfkrafa leiddi af sér aukna framleiðni. Þá sagði einnig í svarbréfi [M] þegar aðili hefur störf hjá [M] er tekin af honum mynd til framangreindra nota sem birt er á innra neti starfsmanna en [M] telur myndbirtinguna á engan hátt íþyngjandi eða óviðeigandi fyrir starfsfólk félagsins. Þá segir einnig:

„[...] Hins vegar er það mat [M] að myndbirting þessi sé nauðsynleg til að efna þær skyldur sem starfsmenn undirgangast almennt í ráðningarsamningi sínum, einkum með hliðsjón af innanhússamningum, t.d. í framleiðslu, og starfsmannahandbók sem eru gögn vísað er til í og fylgja með ráðningarsamningi, sbr. 2. tölul. 1. mgr. 8. gr. laganna. Jafnframt telur félagið að myndbirting þessi sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á félaginu, sbr. 3. tölul. 1. mgr. 8. gr. laganna, einkum hvað varðar öryggi og aðbúnað á vinnustað. "

Með bréfi, dags. 29. janúar sl., var kvartanda aftur boðið að koma á framfæri athugasemdum sínum vegna svarbréfs [M] frá 28. janúar s.m. Þann 12. febrúar bárust athugasemdir kvartanda en þar ítrekaði hann fyrri sjónarmið sín - að umrædd myndbirting hefði ekki verið í samræmi við upphaflegan tilgang með töku myndarinnar og hvergi væri minnst á töku ljósmynda eða birtingu mynda í ráðningarsamningi hans.

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga.

Hugtakið persónuupplýsingar er skilgreint sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hefur það verið talið taka til andlitsmynda af fólki, þ.e. mynda þar sem hægt er að bera kennsl á þá sem eru á myndunum.

Hugtakið vinnsla á við um sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Til að vinnsla teljist rafræn er nóg að einhver þáttur vinnslunnar sé rafrænn.

Þá mynd sem mál þetta lýtur að, og ábyrgðaraðili hengdi upp, prentaði hann út úr eigin tölvukerfi. Telst því hafa verið um að ræða vinnslu persónuupplýsinga í skilningi laganna og fellur mál þetta þar með undir verkefnasvið Persónuverndar.

2.

Í máli þessu er óumdeilt að við ráðningu starfsmanna hjá [M] þurfa þeir að útvega myndir eða eru þær teknar af þeim með þeirra samþykki. Þær eru vistaðar á innra neti fyrirtækisins. Umrædd mynd var prentuð út og hengd upp í sameiginlegu rými, þ.e. á svæði sem allir starfmenn fara um.

Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Í 1. tölul. 1. mgr. 8. gr. segir að vinnsla sé heimil hafi hinn skráði ótvírætt samþykkt vinnsluna eða veitt samþykki skv. 7. tölul. 2. gr. Þá segir í 7. tölul. 1. mgr. 8. gr. að vinnsla sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

Auk þess sem heimild verður að vera til vinnslu í 8. gr. laga nr. 77/2000 verður öllum kröfum 7. gr. sömu laga að vera fullnægt. Þar er m.a. mælt fyrir um að við vinnslu persónuupplýsinga skuli þess gætt að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er í þágu tilgangs vinnslunnar (3. tölul.).

Við mat á því hvort sú vinnsla sem mál þetta lýtur að, þ.e. birting myndar af kvartanda á upplýsingatöflu fyrirækisins, eigi sér stoð í samþykki sem hann veitti í upphafi starfsferlis síns hjá [M], er ekki ljóst að hann hafi þá vitað að myndin yrði notuð með umræddum hætti. Verður því ekki staðhæft að til myndbirtingarinnar hafi staðið ótvírætt samþykki hans, sbr. 1. tölul. 1. mgr. 8. gr.

Að því er hins vegar varðar ákvæði 7. töluliðar 1. mgr. 8. gr. hefur Persónuvernd litið til þess að oft má telja slíka innanhússmiðlun mynda af starfsmönnum vera eðlilegan þátt í starfsemi viðkomandi aðila. Þá hefur verið litið til þess sem fram hefur komið hjá ábyrgðaraðila um lögmæta hagsmuni hans af vinnslunni. Ekkert hefur komið fram af hálfu kvartanda sem leiði líkum að því að sú myndbirting sem hér um ræðir hafi verið til þess fallin að ógna grundvallarréttindum eða frelsi hans, í skilningi ákvæðisins, en umrædd mynd var aðeins hengd upp þar sem hún var sýnileg samstarfsfólki hans og henni ekki miðlað til utanaðkomandi þriðja aðila. Að mati Persónuverndar verður ekki fullyrt að slík notkun myndarinnar teljist hafa verið ósamrýmanleg upphaflegum tilgangi í skilningi 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

　

Ú r s k u r ð a r o r ð:

Birting [M] á mynd, sem tekin var af [K] þegar hann var ráðinn þar til starfa, fór ekki í bága við ákvæði laga nr. 77/2000.