Upplýsingar um viðveru og kennitölu birtar á innra vef LSH

12.3.2010

Úrskurður

Hinn 1. mars 2010 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2010/22:

I.

Grundvöllur máls

Málavextir og bréfaskipti

1.

Tildrög máls

Þann 6. janúar 2010 barst Persónuvernd kvörtun K (hér eftir nefnd kvartandi) yfir birtingu persónuupplýsinga um hana á innra vef Landspítala háskólasjúkrahúss (LSH). Um var að ræða birtingu á kennitölu kvartanda sem og birtingu upplýsinga um hvenær kvartandi er við eða frá störfum.

2.

Bréfaskipti

Með bréfi, dags. 8. janúar 2010, var Landspítalanum tilkynnt um kvörtunina og gefinn kostur á að koma fram með andmæli sín og var þess sérstaklega óskað að spítalinn veitti upplýsingar um tilgang birtingar kennitölu starfsmanna sinna sem og tilgang þess að sýna, með svonefndum innstimplunarhnappi, hvort viðkomandi starfsmaður væri við störf eða ekki. Var þess óskað að svör bærust eigi síðar en 22. janúar 2010. Með símtali, dags. 25. janúar sl. var Landspítalanum veittur frestur til 1. febrúar 2010.

Svar Landspítalans barst þann 3. febrúar sl. Þar kemur fram að birting kennitölu starfsmanna sé að mati spítalans málefnaleg og nauðsynleg til þess að auðvelda yfirmönnum, launafulltrúum og mannauðsráðgjöfum störf sín og til að tryggja örugga persónugreiningu. Þá kom einnig fram að upplýsingar til starfsmanna um viðveru annarra starfsmanna á vinnustað væru til mikils hagræðis og hefðu sannað gildi sitt í samskiptum milli manna innan stofnunarinnar en í því fælist bæði vinnusparnaður og fjárhagslegur ávinningur t.d. vegna óþarfra símhringina eða leitar að viðkomandi starfsmanni sem e.t.v. væru fjarverandi.

Með bréfi, dags. 4. febrúar var svarbréf Landspítalans borið undir kvartanda og henni gefinn kostur á að koma á framfæri frekari andmælum. Þau bárust með tölvubréfi, dags. 17. febrúar sl., þar kom m.a. fram að á spítalanum væri það innstimplun sem stýrði launagreiðslum en yfirmenn spítalans hefðu aðgang að upplýsingum um viðveru kvartanda og kennitölu í „Vinnustundakerfinu". Hvað varðar þann hluta kvörtunarinnar er snýr að s.k. innstimplunarhnappi segir að þó kvartandi efist ekki um hagræði hans fyrir þá starfsmenn sem leita í starfsmannaksrá LSH þá tæki kvartandi engar ákvarðanir í sínu starfi sem vörðuðu neitt auk þess sem yfirmaður kvartanda viti hvort og hvenær hún sé í vinnu. Telur kvartanda starf sitt ekki vera þess eðlis að það „standi og falli með viðveru [sinni] á spítalanum" þrátt fyrir að það geti verið gott að vita hvort æðstu starfsmenn spítalans séu við.

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna.

Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Af framangreindu er ljóst að í birtingu umræddra persónuupplýsinga um kvartanda á innra neti Landspítalans fólst vinnsla persónuupplýsinga í framangreindum skilningi. Samkvæmt því fellur mál þetta undir efnislegt gildissvið laga nr. 77/2000.

2.

2.1.

Miðlun upplýsinga um viðveru

Í máli þessu er til úrlausnar lögmæti þess að birta upplýsingar um viðveru starfsmanna Landspítalans á innra vefsvæði þar sem þær eru öllum starfsmönnum aðgengilegar. Eins og áður segir telst það til vinnslu persónuupplýsinga í skilningi laga nr. 77/2000 en til hennar þarf ávallt að standa heimild samkvæmt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Í 7. tölul. 1. mgr. 8. gr. segir að vinnsla sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.

Auk þess sem heimild verður að vera til vinnslu í 8. gr. laga nr. 77/2000 verður öllum kröfum 7. gr. sömu laga að vera fullnægt. Þar er m.a. mælt fyrir um að við vinnslu persónuupplýsinga skuli þess gætt að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er í þágu tilgangs vinnslunnar (3. tölul.).

Við mat á því hvort það að gera starfsmönnum aðgengilegar upplýsingar um viðveru annarra starfsmanna eigi sér stoð í 7. tölul. 1. mgr. 8. gr. laganna ber að líta til þess að birting þess háttar upplýsinga er jafnan eðlilegur þáttur í starfsemi vinnuveitanda Þá lítur Persónuvernd til þess sem fram hefur komið hjá ábyrgðaraðila um lögmæta hagsmuni hans af vinnslunni, þ. á m. um hagræði, fjárhagslegan ávinning og vinnusparnað. Að mati Persónuverndar hefur kvartandi ekki sýnt fram á að það að gera öðrum starfsmönnum aðgengilegar þessar upplýsinga sé til þess fallið að ógna grundvallarréttindum eða frelsi hennar, í skilningi ákvæðisins. 7. tölul. 1. mgr. 8. gr. laganna. Má því telja vinnsluna eiga sér stoð í því ákvæði.

2.2.

Miðlun upplýsinga um kennitölu

Í máli þessu er ennfremur til úrlausnar lögmæti þess að birta upplýsingar um kennitölu kvartanda á innra vefsvæði Landspítalans þar sem þær eru öllum starfsmönnum aðgengilegar. Við mat á því þarf að líta til sérreglu 10. gr. laga nr. 77/2000. Af því ákvæði má ráða að notkun kennitölu sé háð því að hún eigi sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu. Að mati Persónuverndar hefur ekkert komið fram af hálfu Landspítalans er sýni að umrædd miðlun á upplýsingum um kennitölu kvartanda hafi verið nauðsynleg til að tryggja örugga persónugreiningu eða að öðru leyti verið í samræmi við ákvæði 10. gr. laga nr. 77/2000. Þá hefur Persónuvernd litið til meðalhófsákvæða 7. gr. sömu laga, en í því sambandi skiptir máli að Landspítalinn er einn stærsti vinnustaður á landinu með um 5000 starfsmenn og því um að ræða víðtæka miðlun á kennitölu kvartanda til aðila sem ekki hefur verið sýnt að þurfi á kennitölunni að halda. Þá hefur hvergi komið fram að ekki nægi t.d. að birta aðeins hluta kennitölunnar. Í ljósi framangreinds verður ekki talið að birting á upplýsingum um kennitölu kvartanda á innri vef Landspítalans samræmist ákvæðum laga nr. 77/2000.

Ú r s k u r ð a r o r ð:

Birting Landspítala á upplýsingum um viðveru K á innra vefsvæði spítalans fer ekki gegn ákvæðum laga nr. 77/2000. Birting á kennitölu hennar þar er hins vegar óheimil.