Rafræn vöktun af hálfu Íslandspósts

Mál nr. 2022050836

8.12.2023

Úrskurður

um kvörtun yfir notkun á ökurita í bifreið hjá Íslandspósti í máli nr. 2022050836:

I.

Málsmeðferð

Hinn 28. apríl 2022 barst Persónuvernd kvörtun frá [A] lögmanni, f.h. Póstmannafélags Íslands (PFÍ) í umboði [B] (hér eftir kvartandi), yfir notkun Íslandspósts á ökurita í bifreið sem kvartandi notaði í starfi sínu hjá fyrirtækinu. Nánar tiltekið lýtur kvörtunin að því að Íslandspóstur hafi nýtt efni sem safnaðist við notkun ökuritans í öðrum og ósamrýmanlegum tilgangi en upphaflega var ætlað, án þess að starfsmaðurinn hefði verið fræddur um breyttan tilgang áður.

Persónuvernd bauð Íslandspósti að tjá sig um kvörtunina með bréfi, dags. 27. febrúar 2023, ítrekuðu með bréfi, dags. 22. mars s.á., og bárust svör fyrirtækisins þann 12. apríl s.á. Þá var PFÍ, f.h. kvartanda, veittur kostur á að koma á framfæri athugasemdum við svör Íslandspósts með bréfi, dags. 25. s.m., og bárust þær með tölvupósti frá lögmanni PFÍ 27. maí s.á. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Ágreiningur er um heimild Íslandspósts til þess að nota gögn úr ökurita í bifreið starfsmanns sem rökstuðning fyrir uppsögn hans hjá félaginu.

PFÍ telur að með því að nota gögn sem fengin voru úr ökurita í bifreið sem kvartandi hafði afnot af hjá Íslandspósti til rökstuðnings fyrir uppsögn hans úr starfi hafi Íslandspóstur farið út fyrir heimildir sínar samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og þágildandi reglum nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Vísar PFÍ til þess að Íslandspóstur hafi farið yfir gögn úr ökurita bifreiðar sem kvartandi hafði afnot af langt aftur í tímann í þeim tilgangi að sannreyna starfsafköst hans og hversu löng matarhlé hann hefði tekið. Að mati PFÍ hafi Íslandspósti ekki verið heimilt að nýta gögnin í þeim tilgangi enda hefði kvartanda verið tjáð við upphaf starfs síns að ökuritar væru staðsettir í bílum starfsmanna félagsins í öryggistilgangi, til þess að tryggja gæði þjónustu og til þess að fylgjast með ökuhæfni starfsmanna, til að mynda hvort reglur um hámarkshraða væru virtar. Telur PFÍ það ekki rúmast innan tilgangs vinnslunnar að nota ökuritana til að vakta það hvort og hvenær starfsmaður hafi ákveðið að taka hádegishlé og nota þær upplýsingar sem rökstuðning fyrir uppsögn hans úr starfi.

Með vísan til framangreinds byggir PFÍ á því að vinnsla persónuupplýsinga um kvartanda hafi ekki verið gagnsæ og sanngjörn, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, og að upplýsingarnar hafi ekki verið fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi, sbr. 2. tölul. 1. mgr. 8. gr. laganna. PFÍ vísar einnig til þess að vinnslan hafi ekki verið í samræmi við ákvæði 3. mgr. 7. gr. reglna nr. 837/2006, enda hafi vinnslan ekki verið í þágu þess tilgangs sem kvartanda var upphaflega gerð grein fyrir þegar hann hóf störf. Jafnframt hafi vinnslan ekki verið í samræmi við 8. gr. sömu reglna, þar sem hennar hafi ekki verið sérstök þörf til að ná lögmætum og málefnalegum tilgangi. Enn fremur hafi kvartandi ekki fengið þá fræðslu sem honum bar að fá vegna vinnslunnar í samræmi við 10. gr. sömu reglna.

Íslandspóstur byggir vinnslu þeirra persónuupplýsinga sem kvörtunin lýtur að á 1. tölul. 9. gr. laga nr. 90/2018, sem heimilar vinnslu persónuupplýsinga hafi hinn skráði gefið samþykki sitt fyrir vinnslu á persónuupplýsingum sínum í þágu eins eða fleiri tiltekinna markmiða. Í því sambandi er vísað til þess að öllum bílstjórum sé gerð grein fyrir rafrænni vöktun Íslandspósts með notkun ökurita við upphaf starfs enda sé notkun þeirra forsenda fyrir því að viðkomandi bílstjóri geti unnið hjá fyrirtækinu. Öllum bílstjórum sé afhent fræðsluefni við upphaf starfs þar sem vísað er til notkunar ökurita. Meðal annars komi fram í bílstjórakveri fyrirtækisins, sem öllum bílstjórum fyrirtækisins sé afhent við upphaf starfs, að markmið ökuritans sé að bæta aksturslag, draga úr rekstrar- og tjónakostnaði, auka umferðaröryggi og bæta ímynd fyrirtækisins í umferðinni. Þá sé einnig í starfslýsingu starfsmanna vísað til notkunar ökurita.

Með vísan til framangreinds telur Íslandspóstur einnig að notkun fyrirtækisins á ökuritanum hafi verið í samræmi við ákvæði 8. gr. laga nr. 90/2018 og reglur nr. 837/2006. Byggt er á því að kvartandi hafi verið meðvitaður um notkun ökurita í starfi sínu fyrir fyrirtækið, sbr. framangreint, auk þess sem honum gæti ekki hafa dulist að ökuriti væri staðsettur í bíl hans enda hafi merking þess efnis verið í rúðu bílsins. Einnig hafi kvartandi mátt vera meðvitaður um að starfsafköst hans kynnu að vera skoðuð með aðstoð ökuritans, sérstaklega í ljósi þess að kvartanir hefðu borist fyrirtækinu í aðdraganda uppsagnar vegna afkasta hans í starfi, þar sem honum hafi verið kunnugt um að ökuritinn gerði vaktstjórum útkeyrsludeildar kleift að fylgjast með staðsetningu og ferðum bílaflotans á skjá í stjórnstöð. Að mati Íslandspósts hafi bæði verið nauðsynlegt og heimilt að leita í ökurita umræddrar bifreiðar til að afla gagna sem sýnt gætu fram á hvort starfsafköst kvartanda hefðu verið í samræmi við ráðningarsamning hans hjá fyrirtækinu.

II.

Niðurstaða

1.

Lögmæti vinnslu

Notkun ökurita til ferilvöktunar ökutækja telst rafræn vöktun, sbr. 9. tölul. 1. mgr. 3. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Þar er hugtakið rafræn vöktun skilgreint sem vöktun sem er viðvarandi og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að jafnaði.

Samkvæmt 1. mgr. 14. gr. laga nr. 90/2018 er rafræn vöktun ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis, þar sem takmarkaður hópur fólks fer um að jafnaði, er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.

Sem endranær verður vinnsla persónuupplýsinga, sem fram fer í tengslum við rafræna vöktun, ávallt að fullnægja einhverju af skilyrðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar hafi hinn skráði veitt samþykki fyrir vinnslu á persónuupplýsingum sínum í þágu eins eða fleiri tiltekinna markmiða, sbr. 1. tölul. ákvæðisins og a-lið reglugerðarákvæðisins, eða vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir, nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, og að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins.

Reglur um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, nr. 837/2006, voru í gildi á þeim tíma sem atvik þessa máls áttu sér stað, en reglurnar voru settar samkvæmt heimild í eldri persónuverndarlögum, nr. 77/2000, sbr. síðar 5. mgr. 14. gr. laga nr. 90/2018. Nýjar reglur um rafræna vöktun, reglur nr. 50/2023, tóku gildi þann 10. janúar 2023. Þar sem mál þetta lýtur að atvikum sem áttu sér stað í gildistíð reglna nr. 837/2006 mun umfjöllun og efni þessa úrskurðar taka mið af framangreindum reglum þegar það á við, en ekki er um efnislegar breytingar að ræða á þeim reglum sem nú reynir á, enda voru reglur nr. 837/2006 byggðar á lögum um persónuvernd og vinnslu persónuupplýsinga líkt og núgildandi reglur. Einnig verður litið til þeirra ákvæða laga nr. 90/2018 og reglugerðar (ESB) 2016/679 sem við eiga hverju sinni.

Reglur nr. 837/2006 taka til rafrænnar vöktunar sem fram fer á vinnustöðum, í skólum og á öðrum svæðum þar sem takmarkaður hópur fólks fer um að jafnaði, sbr. 2. mgr. 1. gr. reglnanna. Þær hafa m.a. að geyma ákvæði um ökurita og rafrænan staðsetningarbúnað. Hugtakið ökuriti er í 7. tölul. 2. gr. reglnanna, sbr. reglur nr. 394/2008, skilgreint sem rafrænn búnaður í farartæki sem vinnur eða gerir unnt að vinna persónuupplýsingar um ökumenn, þ. á m. um ferðir þeirra og/eða aksturslag. Þá er hugtakið rafrænn staðsetningarbúnaður, sbr. 8. tölul. sömu greinar, sbr. reglur nr. 394/2008, skilgreint sem rafrænn búnaður sem vinnur eða gerir unnt að vinna persónuupplýsingar um staðsetningu og ferðir einstaklinga.

Samkvæmt 6. gr. reglna nr. 837/2006 er vöktun með vinnuskilum starfsmanna háð því að hennar sé sérstök þörf í nánar tilgreindum tilgangi og samkvæmt 8. gr. reglnanna er notkun ökurita eða rafræns staðsetningarbúnaðar í þeim tilgangi að fylgjast með ferðum einstaklinga háð því skilyrði að hennar sé sérstök þörf til að ná lögmætum og málefnalegum tilgangi.

Samkvæmt 7. gr. reglnanna er óheimilt að varðveita persónuupplýsingar sem til verða við rafræna vöktun nema það sé nauðsynlegt í ljósi tilgangs vöktunarinnar. Þá má aðeins nota persónuupplýsingar sem verða til við rafræna vöktun í þágu tilgangs með söfnun þeirra og aðeins að því marki sem þess gerist þörf í þágu tilgangsins, sbr. 3. mgr. 7. gr. reglnanna.

Í 1. mgr. 17. gr. laga nr. 90/2018 er lögð skylda á ábyrgðaraðila til að gera viðeigandi ráðstafanir til að tryggja gagnsæi upplýsinga og tilkynningar til skráðs einstaklings, sbr. 12. gr. reglugerðar (ESB) 2016/679. Þá á hinn skráði rétt til upplýsinga um vinnslu, hvort sem persónuupplýsinga er aflað hjá honum sjálfum eða ekki, skv. 2. mgr. 17. gr. laga nr. 90/2018. Þessi fræðsluskylda ábyrgðaraðila gagnvart hinum skráða er enn fremur tryggð með 13. gr. reglugerðar (ESB) 2016/679.

Í 10. gr. reglna nr. 837/2006 er fræðsluskylda ábyrgðaraðila útfærð enn frekar, en í ákvæðinu er kveðið á um fræðslu sem veita ber þeim sem sæta rafrænni vöktun. Segir þar að þeim skuli veitt fræðsla um tilgang vöktunar, hverjir hafi eða kunni að fá aðgang að þeim upplýsingum sem safnast og hversu lengi þær verði varðveittar. Að auki segir að eftir því sem við á skuli þeir m.a. upplýstir um hvaða búnaður verði notaður, rétt til að andmæla vöktuninni og hverjar geti verið afleiðingar þess, sem og rétt viðkomandi til að vita hvaða upplýsingar verði til um hann og til að fá upplýsingar leiðréttar eða þeim eytt.

2.

Niðurstaða

Mál þetta lýtur að vinnslu persónuupplýsinga sem fékkst með notkun ökurita í bifreið sem kvartandi hafði til afnota sem starfsmaður Íslandspósts. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Íslandspóstur telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Líkt og fyrr greinir byggir Íslandspóstur umrædda vinnslu persónuupplýsinga á því að samþykki starfsmannsins hafi legið fyrir vegna vinnslunnar, sbr. 1. tölul. 9. gr. laga nr. 90/2018 og a-lið 1. mgr. 6. gr. reglugerðarinnar. Persónuvernd hefur almennt talið að vinnuveitendur geti ekki byggt vinnslu persónuupplýsinga um starfsmenn á samþykki þeirra, enda sjaldnast um óþvingað samþykki að ræða vegna þess aðstöðumunar sem almennt er álitinn fyrir hendi milli vinnuveitanda og starfsmanna, sbr. nánar 10. gr. laganna og 7. gr. reglugerðarinnar þar sem fjallað er um skilyrði fyrir samþykki. Heimild til vinnslunnar getur því ekki grundvallast á 1. tölul. 9. gr. laganna, sbr. a-lið 1. mgr. 6. gr. reglugerðarinnar. Hvað varðar vinnslu persónuupplýsinga sem fram fer með notkun ökurita hefur Persónuvernd hins vegar talið að slík vinnsla geti talist heimil á grundvelli 6. tölul. 9. gr. laganna og f-liðar 1. mgr. 6. gr. reglugerðarinnar, ef hún telst nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir, nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. Þannig getur vinnsla persónuupplýsinga, sem fram fer með notkun ökurita í þeim tilgangi að bæta aksturslag, draga úr rekstrar- og tjónakostnaði, auka umferðaröryggi og bæta ímynd fyrirtækis í umferðinni, verið talin heimil á grundvelli lögmætra hagsmuna. Óheimilt er hins vegar að nýta það efni sem safnast við vöktunina í öðrum og ósamrýmanlegum tilgangi nema hinir skráðu hafi verið fræddir um breyttan tilgang áður og önnur skilyrði laganna séu jafnframt uppfyllt.

Í svari sínu til Persónuverndar byggir Íslandspóstur á því að kvartandi hafi mátt vera meðvitaður um ökuritann í bifreið sinni og að upplýsingar úr honum gætu verið notaðar í þeim tilgangi sem raun bar vitni. Í því sambandi hefur Íslandspóstur vísað til fræðsluefnis sem öllum starfsmönnum sé afhent við upphaf starfs og til starfslýsingar starfsmanna. Að mati Persónuverndar er hins vegar ekkert í þeirri fræðslu sem Íslandspóstur hefur vísað til sem gat gert kvartanda ljóst að gögn úr ökuritanum gætu verið notuð til þess að kanna hvort hann uppfyllti starfsskyldur sínar og í framhaldinu sem rökstuðningur fyrir uppsögn hans úr starfi. Er það því mat Persónuverndar að það efni sem safnaðist með notkun ökuritans hafi umrætt sinn verið notað í öðrum tilgangi en kvartanda var upphaflega tilkynnt um og hann hafi ekki verið fræddur um nýjan tilgang áður.

Niðurstaða Persónuverndar er því sú að vinnsla Íslandspósts hafi ekki verið í samræmi við 3. mgr. 7. gr. reglna nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, og ekki í samræmi við skilyrði 1. mgr. 14. gr. laga nr. 90/2018 um að rafræn vöktun fari ávallt fram í málefnalegum tilgangi.

Þá er það jafnframt niðurstaða Persónuverndar að umrædd vinnsla Íslandspósts hafi hvorki verið gagnsæ eða sanngjörn, sbr. 1. tölul. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, né í samræmi við upphaflegan tilgang vinnslunnar, sbr. 2. tölul. 8. gr. laganna og b-lið 1. mgr. 5. gr. reglugerðarinnar.

Þegar af þeirri ástæðu er það niðurstaða Persónuverndar að notkun Íslandspósts á upplýsingum um kvartanda úr ökurita hafi ekki samrýmst lögum nr. 90/2018, reglum nr. 837/2006 og reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Notkun Íslandspósts á persónuupplýsingum úr ökurita í bifreið sem [B] hafði til afnota í starfi sínu samrýmdist ekki ákvæðum reglna nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679 um tilgang, gagnsæi og sanngirni við vinnslu persónuupplýsinga.

Persónuvernd, 8. nóvember 2023

Edda Þuríður Hauksdóttir                                      Ingunn Elísabet Markúsdóttir