Úrskurður um lögmæti vinnslu Eimskipa hf. á persónuupplýsingum í tengslum við greiðslu bóta vegna atvinnumissis
Mál nr. 2020051690
Persónuvernd hefur úrskurðað í máli þar sem kvartað var yfir vinnslu persónuupplýsinga hjá Eimskip hf. og dótturfélagi þess Faroe Ship p/f í tengslum við greiðslu bóta vegna atvinnumissis. Samkvæmt skýringum ábyrgðaraðila voru ekki til staðar fullnægjandi samningar milli Íslands og Færeyja til þess að tryggja réttindi þeirra sem hafa verið á launaskrá í Færeyjum, til atvinnuleysisbóta á Íslandi. Til að koma til móts við þá einstaklinga sem lenda í þessari stöðu tók Eimskip að sér að greiða þeim greiðslur til samræmis við það sem þeir fengju ella hjá Vinnumálastofnun. Þetta var gert til samræmis við ákvæði í ráðningarsamningi sem kváðu á um að greiðslur Eimskips séu skilyrtar við reglur Vinnumálastofnunar.
Nánar tiltekið var kvartað yfir því að Eimskip hefði skilyrt greiðslu bótanna með því að kvartandi myndi veita Eimskip og dótturfélagi þess umboð til þess að afla „allra nauðsynlegra upplýsinga“ frá Vinnumálastofnun, Ríkisskattstjóra og „öðrum viðeigandi aðilum“, án þess að nánar væri skýrt í hverju það fælist.
Niðurstaða Persónuverndar var sú að umrætt umboð væri víðtækara en þörf krefði og því ekki í samræmi við meginreglur Persónuverndarlaga, sem m.a. kveða á um að persónuupplýsingar skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Það var einnig niðurstaða Persónuverndar að Eimskip hafi ekki veitt kvartanda viðeigandi fræðslu um vinnslu persónuupplýsinga í tengslum við greiðslu bótanna.
Úrskurður
Hinn 10. febrúar 2022 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020051690:
I.
Málsmeðferð
1.
Tildrög máls
Hinn 19. maí 2020 barst Persónuvernd kvörtun [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga um hann hjá Eimskip hf. og dótturfélagi þess Faroe Ship p/f í tengslum við greiðslu bóta vegna atvinnumissis. Nánar tiltekið er kvartað yfir því að Eimskip hafi skilyrt greiðslu bóta með því að kvartandi veitti Eimskip og dótturfélagi þess umboð til þess að afla „allra nauðsynlegra upplýsinga“ frá Vinnumálastofnun, Ríkisskattstjóra og „öðrum viðeigandi aðilum“.
Með bréfi, dags. 9. október 2020, var Eimskip boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 6. nóvember 2020. Með bréfi, dags. 20. s.m., ítrekuðu 19. febrúar 2021, var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið Eimskip. Bárust athugasemdir kvartanda með tölvupósti 8. mars 2021.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði. Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.
2.
Sjónarmið kvartanda
Í kvörtun segir að kvartanda hafi verið sagt upp störfum hjá Eimskip. Hann hafi áður verið við störf á skipum sem skráð séu hjá dótturfyrirtæki Eimskips, Faroe Ship í Færeyjum. Eimskip borgi starfsmönnunum laun og séu þeir skattskyldir í Færeyjum. Því eigi kvartandi hvorki rétt til atvinnuleysisbóta á Íslandi né í Færeyjum. Af þessum sökum skuldbindi Eimskip sig til þess að greiða fyrrverandi starfsmönnum í þessum aðstæðum bætur við atvinnumissi. Mun Eimskip hafa gert það að skilyrði fyrir því að bætur væru greiddar að kvartandi undirritaði umboð til fyrirtækisins til öflunar upplýsinga frá Vinnumálastofnun, Ríkisskattstjóra og „öðrum viðeigandi aðilum“ án þess að útskýrt væri nánar hvaða upplýsingar þar um ræddi og í hvaða tilgangi þeirra yrði aflað.
Kvartandi vísar til þess að Vinnumálastofnun hefur heimild lögum samkvæmt til að sækja gögn til Skattsins í því skyni að kanna hvort bótaþegi fær laun annars staðar frá. Jafnframt segir að hann kannist ekki við lagaheimildir til handa einkafyrirtæki til að gera slíkt. Til þess að fá greiddar bætur frá Eimskipi sé gerð krafa um að viðkomandi sæki fyrst um atvinnuleysisbætur hjá Vinnumálastofnun. Kvartandi hafi gert það en fengið höfnun sem hann hafi svo sent Eimskipi. Hann sé skráður atvinnuleitandi hjá Vinnumálastofnun og þurfi í hverjum mánuði að staðfesta atvinnuleit. Hann fái við það senda staðfestingu sem hann þurfi svo að senda Eimskip. Er það afstaða kvartanda að allt umfram það sé óþörf vinnsla. Fram kemur í máli kvartanda að vissulega hafi hann veitt Eimskip umboð en það hafi verið vegna þess að hann vildi vera öruggur um að hann fengi atvinnuleysisbæturnar frá fyrirtækinu. Hann hafi þó verið mjög efins um réttmæti umboðsins.
3.
Sjónarmið Eimskip
Eimskip vísar til þess í bréfi sínu, dags. 6. nóvember 2020, að kvartandi hafi hafið störf hjá fyrirtækinu í [...] og starfað þar sem háseti fram til [...]. Síðar það ár hafi hann komið aftur til starfa en þá samkvæmt ráðningarsamningi við Faroe Ship þar sem hann hafi unnið til [...] en þá verið sagt upp störfum.
Samkvæmt svarbréfi Eimskips eru ekki í gildi fullnægjandi samningar milli Íslands og Færeyja til þess að tryggja réttindi þeirra, sem hafa verið á launaskrá í Færeyjum, til atvinnuleysisbóta á Íslandi. Til að koma til móts við þá einstaklinga sem lenda í þessari stöðu hafi Eimskip tekið að sér að greiða þeim greiðslur til samræmis við það sem þeir fengju ella hjá Vinnumálastofnun. Þetta sé gert til samræmis við ákvæði í ráðningarsamningi sem kveði á um að greiðslur Eimskips séu skilyrtar við reglur Vinnumálastofnunar. Það feli í sér að til þess að umsækjandi eigi rétt á greiðslum frá Eimskip þurfi hann að uppfylla þau skilyrði sem er kveðið á um í reglum stofnunarinnar sem fylgi með umboðinu. Fram komi á umsóknareyðublaði að unnið sé með umsókn hjá Eimskip á sama hátt og eftir sömu reglum og hjá Vinnumálastofnun. Allar upplýsingar komi frá hinum skráða, utan þess að leitað sé til Vinnumálastofnunar hvað varðar hugsanlegan bótarétt og staðfestingu á dagsetningu umsóknar hins skráða hjá stofnuninni.
Í tilviki kvartanda hafi ekki verið unnið með aðrar upplýsingar en fram komu í umsókn og ekki hafi verið leitað eftir upplýsingum frá Skattinum eða öðrum þriðju aðilum. Í svarbréfi Eimskips er tekið fram að fyrirtækið hafi þó aðstoðað kvartanda vegna erindis frá Vinnumálastofnun sem varðaði ofgreiðslu atvinnuleysisbóta.
Tilgangur umræddrar vinnslu sé að geta átt í samskiptum við hina skráðu, reikna út hversu háum greiðslum þeir eiga rétt á og greiða þær.
Á umsóknarformi sé tilgreint af hvaða ástæðu Eimskip óski eftir umboði og að tilgangur þess sé að greiða umsækjanda þá bótafjárhæð sem Vinnumálastofnun hefði annars greitt honum, hefði hann átt rétt til atvinnuleysisbóta.
Um samningsbundinn rétt sé að ræða og sé öll vinnsla persónuupplýsinga, sem nauðsynleg sé til þess að uppfylla umræddar skyldur gagnvart starfsmanni, því byggð á samningi, sbr. 2. tölul. 1. mgr. 9. gr. laga nr. 90/2018, að frátalinni vinnslu upplýsinga um stéttarfélag viðkomandi. Þær upplýsingar séu unnar á grundvelli 2. tölul. 1. mgr. 11. gr. sömu laga. Aðeins sé unnið með þær upplýsingar sem nauðsynlegar séu til þess að kanna rétt starfsmanns á grundvelli reglna Vinnumálastofnunar og þannig sé meðalhófs gætt við upplýsingaöflun. Jafnvel þótt orðalag umboðsins hafi gefið það til kynna, hafi aldrei verið aflað upplýsinga hjá Skattinum eða öðrum þriðja aðila.
Í svörum Eimskips segir að sú breyting hafi verið gerð á umræddri framkvæmd að Eimskip hafi látið af öflun umrædds umboðs en þess í stað óskað eftir því að umsækjendur kalli sjálfir eftir nauðsynlegum upplýsingum frá Vinnumálastofnun. Það sé einungis í þeim tilvikum þar sem hinir skráðu fái tímabundna vinnu á bótatímanum að aflað er upplýsinga samkvæmt sérstöku umboði, sem veiti einungis umboð til gagnaöflunar hjá Vinnumálastofnun vegna hlutfallslegs bótaréttar.
Hvað varðar ábyrgðaraðila vinnslu og miðlun upplýsinga er vísað til þess að öll launavinnsla og mannauðsmál séu unnin af Eimskip fyrir hönd Faroe Ship og fari sú vinnsla fram á grundvelli samnings þar um milli félaganna. Sú vinnsla, sem lýtur að greiðslu ígildis atvinnuleysisbóta, fari eingöngu fram hjá Eimskip. Engum upplýsingum um þá vinnslu sé miðlað til Faroe Ship eða annarra eininga innan samstæðunnar, heldur sæki umsækjendur um greiðslu bótanna til Eimskips sem greiði út hinar umsömdu bætur. Samkvæmt ráðningarsamningi sé það Faroe Ship sem ábyrgist greiðslurnar en í framkvæmd sé það Eimskip sem greiði þær. Eimskip sé því ábyrgðaraðili vinnslunnar. Þá segir í svörum Eimskips að þótt bæði Faroe Ship og Eimskip séu tilgreind á umboði sé vinnslan alfarið í höndum Eimskips.
Í svarbréfi Eimskips segir að ráðningarsamningar hafi verið uppfærðir þannig að ljóst sé að Faroe Ship beri ekki umrædda skyldu til greiðslu ígildis atvinnuleysisbóta, heldur Eimskip. Þá sé veitt sérstök fræðsla þegar sótt er um bæturnar og umsóknarferlið hafi verið uppfært til samræmis við persónuverndarlög. Einnig segir að sú fræðsla, sem kvartanda hafi verið veitt, hefði „mátt vera skýrari gagnvart kvartanda þannig að hann mætti átta sig betur á með hvaða upplýsingar [Eimskip] vinnur með í tengslum við greiðslu umræddra bóta og hvaða eining innan samstæðunnar ber ábyrgð á vinnslunni.“ Úr þessu hafi verið bætt og umboðseyðublað, ásamt fræðslu, uppfært.
II.
Forsendur og niðurstaða
1.
Gildissvið – Ábyrgðaraðili
Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.
Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.
Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.
Mál þetta lýtur að öflun Eimskips á persónuupplýsingum um kvartanda, samkvæmt umboði hans, í tengslum við greiðslu bóta vegna atvinnumissis hjá fyrirtækinu. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Fram hefur komið að það sé Faroe Ship sem er ábyrgt fyrir greiðslum til kvartanda samkvæmt ráðningarsamningi. Á hinn bóginn hefur einnig komið fram að það er Eimskip sem ákveður fyrirkomulag vinnslunnar, framkvæmir hana og greiðir út ígildi atvinnuleysisbóta. Eins og hér háttar til telst Eimskip því vera ábyrgðaraðili að umræddri vinnslu.
2.
Lögmæti vinnslu
Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar ef það er nauðsynlegt til að efna samning sem hinn skráði er aðili að eða til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins.
Fyrir liggur að kvartandi starfaði samkvæmt ráðningarsamningi við Faroe Ship, þar sem hann vann til 24. janúar 2019 þegar honum var sagt upp störfum. Einnig liggur fyrir að ekki eru í gildi samningar milli Íslands og Færeyja sem tryggja réttindi þeirra sem hafa verið á launaskrá í Færeyjum til atvinnuleysisbóta á Íslandi. Til að koma til móts við þá einstaklinga sem lenda í þessari stöðu hefur Eimskip tekið að sér að greiða þeim greiðslur til samræmis við það sem þeir hefðu ella fengið hjá Vinnumálastofnun. Er þetta gert til samræmis við ákvæði í ráðningarsamningi. Því liggur fyrir að vinnsla persónuupplýsinga getur verið nauðsynleg í því skyni að uppfylla ákvæði í ráðningarsamningi, sbr. áðurnefnt ákvæði 2. tölul. 9. gr. laga nr. 90/2018, sbr. b-lið 1. mgr. 6. gr. reglugerðarinnar.
Til þess að vinnsla persónuupplýsinga teljist heimil samkvæmt framangreindum ákvæðum verður hún einnig að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 1. og 3. tölul. lagaákvæðisins og a- og c-liði reglugerðarákvæðisins.
Þegar ákveðnar eru aðferðir við vinnslu persónuupplýsinga og þegar vinnslan sjálf fer fram skulu ábyrgðaraðilar gera viðeigandi skipulagslegar og tæknilegar ráðstafanir til að fara að framangreindum meginreglum með skilvirkum hætti og fella nauðsynlegar verndarráðstafanir inn í vinnsluna, sbr. 1. mgr. 24. gr. laga nr. 90/2018 og 1. mgr. 25. gr. reglugerðarinnar. Þeir skulu einnig gera viðeigandi ráðstafanir til að tryggja að sjálfgefið sé að einungis sé unnið með þær persónuupplýsingar sem nauðsynlegar eru vegna tilgangs vinnslunnar hverju sinni og gildir það meðal annars um hversu miklum persónuupplýsingum er safnað, sbr. 2. mgr. 24. gr. laganna og 2. mgr. 25. gr. reglugerðarinnar.
Fyrir liggur að til þess að fá greitt ígildi atvinnuleysisbóta þurfti kvartandi að undirrita umboð til handa Eimskip þar sem kom fram að ,hann veitti Faroe Ship og Eimskip fullt og ótakmarkað umboð til þess að afla upplýsinga vegna greiðslu atvinnuleysisbóta, þ.m.t. afla allra nauðsynlegra upplýsinga frá Vinnumálastofnun, Ríkisskattstjóra og öðrum viðeigandi aðilum. Fram hefur komið, m.a. í svörum Eimskips, að ekki hafi verið þörf á svo víðtæku umboði þar sem einungis hafi staðið til að sækja upplýsingar til Vinnumálastofnunar. Þá verður ekki séð að Eimskip hafi verið nauðsynlegt að sækja upplýsingar til annarra aðila í þeim tilgangi að greiða kvartanda umræddar greiðslur í samræmi við ákvæði ráðningarsamningsins.
Með hliðsjón af því og með vísan til ákvæða 24. gr. laga nr. 90/2018 og 25. gr. reglugerðarinnar, bar Eimskip að gæta þess að krefja kvartanda ekki um umboð til öflunar upplýsinga umfram þær sem voru nauðsynlegar í þeim tilgangi að greiða kvartanda umræddar greiðslur. Skilyrði Eimskips um að kvartandi veitti fyrirtækinu svo víðtækt umboð var því ekki í samræmi við framangreind ákvæði, sbr. og meginreglu 3. tölul. 1. mgr. 8. gr. laganna og c-lið 1. mgr. 5. gr. reglugerðarinnar.
Til þess er þó að líta að ekkert hefur komið fram við rannsókn málsins sem gefur til kynna að unnið hafi verið með upplýsingar umfram það sem nauðsyn bar til. Enn fremur hefur Eimskip lagt fram uppfært umboð þar sem einungis er farið fram á umboð til þess að sækja upplýsingar til Vinnumálastofnunar og eftir atvikum Tryggingastofnunar.
Meginregla 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-liðar 1. mgr. 5. gr. reglugerðarinnar um lögmæta, sanngjarna og gagnsæja vinnslu persónuupplýsinga felur m.a. í sér að einstaklingum á að vera ljóst, þegar persónuupplýsingum um þá er safnað eða þær notaðar, að hvaða marki þær eru eða munu verða unnar og í hvaða tilgangi. Til þess að vinnsla persónuupplýsinga fullnægi þessari meginreglu þurfa ábyrgðaraðilar að gera sérstakar ráðstafanir sem lúta að fræðslu til skráðra einstaklinga og þarf við slíka fræðslu að huga að því að vitneskja hinna skráðu er forsenda þess að þeir geti gætt réttinda sinna samkvæmt persónuverndarlöggjöfinni.
Nánari reglur um gagnsæi og fræðslu eru í 12.-15. gr. reglugerðarinnar, sbr. 17. gr. laga nr. 90/2018. Kveðið er á um fræðsluskyldu ábyrgðaraðila þegar persónuupplýsingar eru fengnar frá öðrum en hinum skráða í 14. gr. reglugerðarinnar. Meðal þess sem ábyrgðaraðila ber að upplýsa hinn skráða um í þeim tilvikum er hver ábyrgðaraðili vinnslunnar er, hver tilgangur hennar er og lagagrundvöllur, svo og hvaða flokka persónuupplýsinga unnið verður með.
Eimskip hefur í svörum sínum vísað til þess að fræðsla til kvartanda hefði mátt vera skýrari, þannig að hann hefði mátt átta sig betur á með hvaða upplýsingar Eimskip vinnur með í tengslum við greiðslu umræddra bóta og hvaða eining innan Eimskipasamstæðunnar ber ábyrgð á vinnslunni. Samkvæmt því sem að framan greinir er það grundvallarforsenda þess að hinn skráði geti nýtt sér réttindi sín samkvæmt persónuverndarlöggjöfinni að honum sé að fullu ljóst hvaða persónuupplýsingar er unnið með og hver ber ábyrgð á vinnslunni. Ljóst er að svo var ekki í því tilviki sem hér er til skoðunar. Er það því niðurstaða Persónuverndar að fræðsla til kvartanda hafi ekki verið í samræmi við kröfur 14. gr. reglugerðarinnar, sbr. 17. gr. laga nr. 90/2018.
Að lokum áréttar Persónuvernd mikilvægi þess að við vinnslu persónuupplýsinga sé ávallt vandað til verka við alla framsetningu á fræðslu og skjölum tengdum slíkri vinnslu, þ.m.t. umboða, þannig að þeir sem vinnslan varðar séu ekki í vafa um þá vinnslu sem fram fer, sem og umfang hennar.
Ú r s k u r ð a r o r ð:
Skilyrði Eimskips um að [A] veitti víðtækt umboð til upplýsingaöflunar til að fá greiddar bætur vegna atvinnumissis samkvæmt ráðningarsamningi var ekki í samræmi við 24. gr. laga nr. 90/2018 og 25. gr. reglugerðar (ESB) 2016/679, sbr. 3. tölul. 1. mgr. 8. gr. laganna og c-lið 1. mgr. 5. gr. reglugerðarinnar.
Eimskip veitti [A] ekki viðeigandi fræðslu um vinnslu persónuupplýsinga í tengslum við greiðslu bóta vegna atvinnumissis, sbr. 17. gr. laga nr. 90/2018 og 14. gr. reglugerðar (ESB) 2016/679.
Persónuvernd, 10. febrúar 2022,
Valborg Steingrímsdóttir Páll Heiðar Halldórsson