Opinber birting á upplýsingum um uppsögn ekki í samræmi við lög

Mál nr. 2020082149

23.6.2021

Úrskurður

Hinn 23. júní 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020082149:

I.
Málsmeðferð
1.
Tildrög máls og bréfaskipti

Hinn 16. ágúst 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir birtingu [sveitarfélags] á upplýsingum um uppsögn og árslaun hans hjá sveitarfélaginu á vefsíðu þess, án vitneskju hans. 

Með bréfi, dags. 17. nóvember 2020, var [sveitarfélaginu] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 8. desember 2020. Persónuvernd bárust athugasemdir frá kvartanda í kjölfar svarbréfs sveitarfélagsins með tölvupósti 15. janúar 2021.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.
Sjónarmið kvartanda

Kvartandi vísar til þess að upplýsingar um uppsögn hans í fundargerð hafi verið birtar á vefsíðu [sveitarfélagsins] án þess að honum hafi verið tilkynnt um uppsögnina fyrst með formlegum hætti. Jafnframt hafi rangar upplýsingar um árslaun hans verið birtar með sama hætti. Kveðst kvartandi hafa verið upplýstur um það á fundi með sveitastjóra 25. júní 2020 að hugsanlega þyrfti að leggja niður starf hans. Ekkert hefði þó verið ákveðið í þeim efnum og kvartandi hafi óskað eftir að fá sent ábyrgðarbréf um starfslok ef til þeirra kæmi. Þann 6. júlí s.á. hafi kunningi kvartanda hringt í hann og upplýst hann um að sveitarstjórn hefði samþykkt á fundi sínum 1. júlí s.á. að segja honum upp og hefðu gögn þess efnis verið birt á vefsíðu hreppsins. Þegar kvartandi hafi komið úr sumarfríi 12. júlí s.á. hafi hann skoðað tölvupósthólf sitt og þá séð að honum hefði verið send umrædd fundargerð með upplýsingum um niðurlagningu starfs hans 3. júlí s.á. Í fylgigögnum með kvörtuninni er jafnframt að finna afrit af tölvupósti frá sveitarfélaginu til kvartanda, dags. 15. júlí 2020, með uppsagnarbréfi hans í viðhengi, dagsett sama dag.

3.
Sjónarmið [sveitarfélagsins]

 

Sveitarfélagið vísar til þess að meðfylgjandi fundargerð sveitarstjórnar frá 1. júlí 2020 hafi verið hlekkur á pdf-skjal þar sem samtölur höfðu verið teknar saman vegna hagræðingaraðgerða. Það skjal sé ekki lengur aðgengilegt á vef sveitarfélagsins en ákveðið hafi verið að taka það út af vefnum þegar kvörtun hafi borist frá kvartanda, án þess þó að í því fælist viðurkenning á því að birtingin hefði falið í sér brot á persónuverndarlögum. Í skjalinu hafi meðal annars verið sett fram tillaga um að leggja niður stöðu forstöðumanns í þjónustustöð ásamt öðrum tillögum. Á næstu síðu hafi síðan verið töluleg samantekt án skýringa, fyrir utan yfirskriftirnar ,,kostn laun og launatengt“, ,,sparnaður“, ,,markmið“ og ,,verðhugmyndir“.

Sveitarfélagið telur verulegan vafa leika á því að framangreint skjal hafi innihaldið persónuupplýsingar um kvartanda. Ekki hafi verið minnst á nafn kvartanda í fundargerðinni auk þess sem fjárhæðir hafi ekki verið tengdar við þá upptalningu sem fram hafi komið í fyrri hluta skjalsins. Ekki hafi verið unnt að leiða það af skjalinu hvort og þá hvaða upplýsingar hafi tilheyrt kvartanda. Í skjalinu hafi verið lagður til annar sparnaður sem hafi tengst launakostnaði, þ.e. launalækkun sveitarstjóra, ráðning ódýrari starfsmanns og ráðning í 50% starf í stað ritara. Ekki hafi verið tilgreint hvaða sparnaður ætti að fást af hverri aðgerð fyrir sig og ekki tilgreint hvað væri meðtalið í ,,kostn laun og launatengt“. Að auki hafi verið tekið fram að allar tölur væru settar fram með fyrirvara. Þá hafi ekki heldur verið unnt að ráða af fundargerðinni sjálfri hver árslaun kvartanda hafi verið.

Varðandi heimildir fyrir birtingu upplýsinganna vísar sveitarfélagið til þess að samkvæmt sveitarstjórnarlögum nr. 138/2011 séu fundir sveitarstjórna opnir, sbr. 1. mgr. 16. gr. laganna, og að færa skuli fundargerðir á fundum, sbr. 1. mgr. 19. gr. laganna. Sveitarstjórn geti ákveðið að einstök mál skuli rædd fyrir luktum dyrum þegar það teljist nauðsynlegt vegna eðlis máls. Ákvörðun um niðurlagningu stöðu vegna fjárhagserfiðleika sveitarfélagsins hafi ekki verið þess eðlis en undirstrikað er að ekki hafi verið um uppsögn vegna brots í starfi að ræða eða nokkuð það sem hafi varðað persónu eða atgervi kvartanda. Vísað er jafnframt í 13. gr. upplýsingalaga nr. 140/2012 þar sem kveðið er á um að stjórnvöld skuli veita almenningi með reglubundnum hætti upplýsingar um starfsemi sína, svo sem með rafrænni útgáfu skýrslna, samantektum um mikilvæg verkefni eða útgáfu gagna, sbr. einnig reglugerð nr. 464/2018, sem sett hafi verið á grundvelli ákvæðisins. Ein af frumskyldum sveitarfélags sé að gæta ábyrgðar við meðferð fjármuna sveitarfélagsins, sbr. 1. mgr. 65. gr. sveitarstjórnarlaga. Niðurskurður til að bæta fjárhag sveitarfélagsins falli án efa undir mikilvæg verkefni sveitarfélagsins sem veita beri almenningi upplýsingar um, sbr. áðurnefnda 13. gr. upplýsingalaga. Þannig hafi upplýsingar sem birtar voru á vefsíðunni varðað fjárhagsmálefni sveitarfélagsins en ekki persónu starfsmannsins. Vinnslan hafi því getað fallið undir 3., 5. og 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Þá hafi verið gætt að meginreglum 8. gr. laganna.

Persónuvernd óskaði eftir upplýsingum frá [sveitarfélaginu] með símtali, 14. maí 2021, um það hvenær upplýsingar um uppsögn kvartanda hefðu verið birtar á vefsíðu sveitarfélagsins. Samkvæmt svörum sveitarfélagsins var fundargerðin birt 1. júlí 2020. Vísað er til þess að á fundi í aðdraganda sveitarstjórnarfundarins hafi kvartandi fengið tilkynningu um það hvað stæði til, þ.e. að tekin yrði ákvörðun um niðurlagningu stöðu forstöðumanns á fundi sveitarstjórnar. Auk kvartanda hafi oddviti sveitarstjórnar, sveitarstjóri og sá sem hafi tímabundið tekið við starfi sveitarstjóra setið fundinn. Þá hafi kvartanda verið tilkynnt um afgreiðslu fundar sveitarstjórnar með bréfi 3. júlí s.á.

II.
Forsendur og niðurstaða
1.
Gildissvið – Afmörkun máls – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Af hálfu [sveitarfélagsins] hefur komið fram að ekki hafi verið um að ræða birtingu persónuupplýsinga um kvartanda á vefsíðu sveitarfélagsins þar sem hann hafi hvergi verið nafngreindur. Mat Persónuverndar er þó að þar sem um ræðir fámennt sveitarfélag, og þar sem nöfn starfsmanna eru birt á vefsíðu þess, hafi upplýsingarnar um uppsögn kvartanda í fylgiskjölum með fundargerð sveitarfélagsins talist til persónuupplýsinga. Er komist að þeirri niðurstöðu á þeim grundvelli að auðvelt hafi verið að rekja þær til kvartanda. Ekki verður hins vegar séð að hægt hafi verið að greina árslaun kvartanda á grundvelli þeirra upplýsinga sem fram komu á bls. 2 í fylgiskjali með fundargerðinni, en þar var einungis að finna samtölu vegna kostnaðar við laun og launatengd gjöld, án þess að fyrir lægi sundurliðun eftir ákveðnum störfum eða gjöldin væru afmörkuð með öðrum hætti. Verður þeim hluta kvörtunarinnar sem varðar birtingu upplýsinga um laun kvartanda því vísað frá.

Athugun Persónuverndar afmarkast við þau álitaefni málsins sem á reynir samkvæmt lögum nr. 90/2018 og reglugerð (ESB) 2016/679. Í samræmi við það tekur Persónuvernd ekki afstöðu til þess hvort [sveitarfélagið] hafi upplýst kvartanda tímanlega um uppsögn hans úr starfi. Athugun Persónuverndar lýtur hins vegar að því hvort birting upplýsinga um kvartanda á vefsíðu sveitarfélagsins samrýmdist persónuverndarlögum.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Eins og hér háttar til telst [sveitarfélagið] vera ábyrgðaraðili að umræddri vinnslu.

2.
Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Hvað varðar birtingu persónuupplýsinga um kvartanda á vefsíðu [sveitarfélagsins] koma einkum til skoðunar 3. tölul. 9. gr. laganna, sbr. c-lið 1. mgr. 6. gr. reglugerðarinnar, sem heimilar vinnslu persónuupplýsinga sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, og 5. tölul. 9. gr. laganna, sbr. e-lið 1. mgr. 6. gr. reglugerðarinnar, sem heimilar vinnslu sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Mæla skal fyrir um grundvöll vinnslu, sem fram fer á grundvelli síðarnefndu heimildarinnar, í lögum, sbr. 3. mgr. 6. gr. reglugerðarinnar. Við mat á því hvort birting upplýsinga um kvartanda í fylgiskjölum með fundargerð sveitarstjórnar á vefsíðu [sveitarfélagsins] teljist heimil samkvæmt framangreindu getur þannig þurft að líta til ákvæða í öðrum lögum sem við eiga hverju sinni.

Í 1. mgr. 16. gr. sveitarstjórnarlaga nr. 138/2011 kemur fram að fundir sveitarstjórna séu opnir og að færa skuli fundargerðir á fundum, sbr. 1. mgr. 19. gr. laganna. Í 1. gr. upplýsingalaga nr. 140/2012 kemur fram að markmið þeirra laga sé að tryggja gegnsæi í stjórnsýslu og við meðferð opinberra hagsmuna, meðal annars í þeim tilgangi að styrkja upplýsingarétt og tjáningarfrelsi sem og traust almennings á stjórnsýslunni. Í 1. mgr. 13. gr. sömu laga segir svo að stjórnvöld skuli veita almenningi með reglubundnum hætti upplýsingar um starfsemi sína, svo sem með rafrænni útgáfu skýrslna, samantektum um mikilvæg verkefni eða útgáfu annarra gagna. Þá segir í 2. mgr. sama ákvæðis að stjórnvöld skuli vinna markvisst að því að gera skrár yfir mál, lista yfir málsgögn, og gögnin sjálf jafnóðum aðgengileg með rafrænum hætti. Hins vegar segir í sama ákvæði að þess skuli gætt að birting gangi ekki gegn einka- eða almannahagsmunum. Eins og vísað er til í athugasemdum við 13. gr. frumvarps til laganna leiðir af þessari reglu, og þeirri ólögfestu reglu sem býr að baki ákvæðinu, að stjórnvöld geta að eigin frumkvæði ákveðið að birta opinberlega umtalsvert af þeim upplýsingum sem þau búa yfir, að fyrrgreindum takmörkunum virtum.

Með vísan til framangreinds telur Persónuvernd umrædda vinnslu, sem fólst í birtingu á upplýsingum um niðurlagningu starfs kvartanda í hagræðingarskyni vegna fjárhagserfiðleika sveitarfélagsins, geta talist heimila á þeim grundvelli að hún sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna, sbr. 5. tölul. 9. gr. laga nr. 90/2018, sbr. einnig e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Telur Persónuvernd hagsmuni almennings af því að fá upplýsingar um niðurlagningu starfs í sparnaðarskyni vega þyngra en hagsmuni kvartanda af því að slíkum upplýsingum sé haldið leyndum.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Þá segir í 2. mgr. 8. gr. laganna, sbr. 2. mgr. 5. gr. reglugerðarinnar, að ábyrgðaraðili beri ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt ákvæði 1. mgr. ákvæðisins og skuli geta sýnt fram á það (ábyrgðarskylda ábyrgðaraðila).

Við mat á því hvort skilyrði 1. tölul. 1. mgr. 8. gr. laganna um gagnsæi sé uppfyllt þarf að líta til þess hvort veita hafi þurft kvartanda fræðslu, sbr. 1.-2. mgr. 17. gr. laga nr. 90/2018, sbr. einnig 13. og 14. gr. reglugerðar (ESB) 2016/679. Þessi ákvæði eiga við um það annars vegar þegar persónuupplýsinga er aflað hjá hinum skráða sjálfum og hins vegar þegar þeirra er aflað hjá öðrum en hinum skráða. Eins og fyrr greinir voru birtar upplýsingar um ákvörðun um niðurlagningu starfs kvartanda á vefsíðu sveitarfélagsins. Gera verður ráð fyrir einhvers konar aðkomu hins skráða við upplýsingagjöf samkvæmt 13. gr. reglugerðarinnar eða að upplýsinga hafi verið beinlínis aflað annars staðar frá, eða frá öðrum heimildum, við upplýsingagjöf samkvæmt 14. gr. reglugerðarinnar.

Að framangreindu virtu telur Persónuvernd að þær aðstæður sem gætu virkjað fræðsluskyldu kvartanda samkvæmt 13. og 14. gr. reglugerðarinnar séu ekki til staðar í málinu, enda var þeirra upplýsinga sem birtar voru hvorki aflað frá hinum skráða sjálfum né frá öðrum heimildum, heldur urðu þær til hjá ábyrgðaraðila sjálfum. Sveitarfélaginu hafi því ekki verið skylt að veita kvartanda upplýsingar samkvæmt 13. eða 14. gr. reglugerðarinnar áður en birtingin átti sér stað. Kemur þá til skoðunar hvort sveitarfélagið fór að meginreglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um gagnsæi að öðru leyti.

Kvartandi hefur vísað til þess að upplýsingar um uppsögn hans hafi verið birtar áður en hann var upplýstur um uppsögnina sem slíka. Sveitarfélagið hefur hins vegar haldið því fram að kvartandi hafi verið upplýstur um uppsögnina fyrir fund sveitarstjórnar þann 1. júlí 2020, en eins og áður hefur komið fram voru upplýsingarnar jafnframt birtar þann dag. Engin gögn liggja þó fyrir varðandi framangreinda staðhæfingu sveitarfélagsins. Gögn máls sýna þó að kvartandi fékk upplýsingar um niðurlagningu starfs hans tveimur dögum eftir birtingu þeirra, þ.e. með tölvupósti, 3. júlí 2020. Formleg uppsögn barst honum síðan 15. s.m. Með vísan til ábyrgðarskyldu sveitarfélagsins, sbr. 2. mgr. 8. gr. laga nr. 90/2018 og 2. mgr. 5. gr. reglugerðar (ESB) 2016/679, telur Persónuvernd [sveitarfélagið] verða að bera hallann af því að ekki liggi fyrir gögn sem sýni fram á fyrrnefnda staðhæfingu sveitarfélagsins um að kvartandi hafi verið upplýstur um uppsögnina fyrir birtingu upplýsinga um hana þann 1. júlí 2020.

Af hinni almennu gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 getur leitt að veita þurfi fræðslu þegar þeim tilvikum sem falla undir 13. og 14. gr. reglugerðar (ESB) 2016/679 sleppir. Við mat á því hvort sérstök fræðsluskylda eigi við samkvæmt almennu gagnsæiskröfunni getur meðal annars skipt máli hvort brýnar ástæður hafi leitt til þess að [sveitarfélagið] birti upplýsingar um uppsögn kvartanda á vefsíðu sveitarfélagsins áður en tryggt var að kvartandi vissi af uppsögninni sem slíkri. Hvort slík skylda sé til staðar getur jafnframt farið eftir eðli vinnslu og upplýsinga, til dæmis hvort vinnsla tiltekinna persónuupplýsinga geti verið íþyngjandi gagnvart hinum skráða. Þá skiptir máli hversu mikil fyrirhöfn er því samfara að veita fræðslu í samanburði við eðli vinnslunnar.

Telja verður að birting [sveitarfélagsins] á upplýsingum um niðurlagningu starfs kvartanda á vefsíðu sveitarfélagsins, áður en tryggt var að kvartanda væri kunnugt um uppsögnina, hafi verið íþyngjandi fyrir kvartanda, sbr. framangreint. Telur Persónuvernd sveitarfélagið ekki hafa sýnt fram á að nauðsynlegt hafi verið að birta upplýsingarnar áður en þær höfðu borist kvartanda og því hafi sveitarfélagið ekki gætt að fyrrnefndum sjónarmiðum um sanngirni og gagnsæi.

Með vísan til alls framangreinds er það niðurstaða Persónuverndar að [sveitarfélagið] hafi ekki farið að 1. tölul. 1. mgr., sbr. 2. mgr. 8. gr. laga nr. 90/2018, sbr. einnig a-lið 1. mgr., sbr. 2. mgr. 5. gr. reglugerðar (ESB) 2016/679 við vinnslu persónuupplýsinga um kvartanda.

Ú r s k u r ð a r o r ð:

Vinnsla [sveitarfélagsins] á persónuupplýsingum um [A], sem fólst í birtingu á upplýsingum um uppsögn hans á vefsíðu sveitarfélagsins, samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Þeim þætti kvörtunar [A] sem lýtur að því að [sveitarfélagið] hafi birt upplýsingar um árslaun hans á vefsíðu sveitarfélagsins er vísað frá.

Persónuvernd, 23. júní 2021

Vigdís Eva Líndal                   Helga Sigríður Þórhallsdóttir