Úrskurður um meðferð tölvupósthólfs við starfslok

Mál nr. 2016/1779

2.10.2017

Úrskurður

Á fundi stjórnar Persónuverndar þann 22. ágúst 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/1779:

I.
Málsmeðferð

1.
Tildrög máls

Þann 13. desember 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd kvartandi), vegna meðferðar tölvupósthólfs við starfslok hennar hjá Stígamótum. Í kvörtuninni segir m.a. að þann 10. október 2016 hafi verið farið í tölvupóstfang hennar hjá Stígamótum og að starfsmaður Stígamóta hafi framsent tölvupóst þaðan án þess að brýna nauðsyn hafi borið til og án þess að henni hafi verið gerð grein fyrir því eða veitt færi á að vera viðstödd. Jafnframt segir að henni hafi ekki verið gefinn kostur á að eyða einkatölvupóstum úr pósthólfinu við starfslok, sem voru í október 2016,  auk þess sem kvartað er yfir því að pósthólf kvartanda sé enn opið og einkatölvupóstur hennar sé skoðaður og eftir atvikum framsendur á annað starfsfólk án nokkurs samráðs eða samþykkis frá kvartanda.

 

2.
Nánar um kvörtun

 

Í kvörtun segir nánar: 

„Þann 10. október [2016] sendi ég tölvupóst á starfshóp Stígamóta þar sem ég lýsti þeirri skoðun minni að ég yrði fyrir einelti á vinnustað og óskaði eftir aðkomu óháðra vinnusálfræðinga til að taka út samskipti og samskiptamynstur starfshópsins, en að ella fengi ég tækifæri til að ræða starfslok mín með fulltrúa stéttarfélags BHM. Þann 11. október var ekki búið að svara beiðni minni en lokað var fyrir aðgang minn að vinnutölvupóstfangi mínu. [...]

 

Næsta dag, [...], leitaði ég til vinnusálfræðings BHM sem hafði samband við Stígamót. Stuttu seinna fékk ég skilaboð í gegnum samskiptamiðilinn Facebook frá öðrum starfsmanni Stígamóta sem gaf mér nýjan aðgang inn á tölvupóstfang mitt. Með upplýsingunum um nýtt lykilorð fylgdi sú útskýring að Stígamót hefði orðið að stofna nýjan aðgang að vinnupóstinum mínum til þess að leita upplýsinga um fræðsluerindi sem ég hafði tekið að mér og átti að fara fram daginn eftir en starfsfólk Stígamóta hefði ekki nægar upplýsingar um. Aldrei var haft samband við mig, hvorki símleiðis né í gegnum tölvupóst til að nálgast þessar upplýsingar [...]“

 

Í kvörtun segir einnig að starfsmannaráð Stígamóta hafi litið svo á að í framangreindu bréfi kvartanda til Stígamóta, dags. 10. október 2016, hafi falist uppsögn kvartanda. Kvartandi hafi í kjölfarið leitað til BHM sem hafi fundað með Stígamótum þann 24. október s.m. vegna starfslokasamnings en ekki hafi verið komist að niðurstöðu. Þann 26. s.m. hafi aftur verið lokað fyrir aðgang kvartanda að tölvupósthólfi hennar og degi seinna hafi henni borist bréf frá stjórn Stígamóta þar sem henni hafi verið sagt upp störfum. Þá kemur fram í kvörtun að þann 9. nóvember 2016 hafi kvartandi fengið framsendan póst á einkatölvupóstfang sitt frá starfsmanni Stígamóta úr vinnupósthólfi kvartanda hjá Stígamótum.

Hinn 4. janúar 2017 framsendi kvartandi Persónuvernd tölvupóst sem sendur hafði verið frá nema við Háskóla Íslands á tölvupóstfang kvartanda þann 28. nóvember 2016. Á þeim degi hafði pósthólfinu ekki enn verið lokað og var tölvupóstinum svarað af starfsmanni Stígamóta þann 2. desember s.á.

 

3.
Bréfaskipti

 

Með bréfi, dags. 19. janúar 2017, var Stígamótum boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svar barst með bréfi dags. 13. febrúar s.á., en þar segir m.a.:

„Þegar [A] fór heim úr vinnu fimmtudaginn 6. október 2016, var ekki annað að merkja en að hún væri sátt eftir að mál höfðu verið rædd í starfshópi. Mánudaginn 10. október sendi hún hins vegar tölvupóst á starfshópinn með ýmsum kröfum og kvaðst hún ekki mæta til vinnu fyrr en orðið hefði verið við þeim. Að auki lýsti hún í bréfinu vantrausti á samstarfsfólk sitt.

[A][...] átti bókuð viðtöl við skjólstæðinga og einnig var von á 2 hópum frá Fjölbrautarskólanum í Breiðholti (FB) í fræðslu til hennar. Bar því nauðsyn til að hafa samband við þessa aðila. Enginn tengiliður var bókaður við FB í dagbók sem allir hafa aðgang að en venjan er að skrá þar tengiliði svo hafa megi samband ef eitthvað kemur upp á. Af þeim sökum fór starfsmaður inn í tölvu [A], með hjálp tölvumanns, og áframsendi póstinn frá FB á netfangið sitt. Að því búnu lét hún [A] vita með skilaboðum á Facebook að aðgangi hennar hefði verið breytt og hvert nýja aðgangsorðið væri.

Í bréfi [A] segir að eðlilegra hefði verið að hafa samband við hana og þannig að ná markmiðinu með öðrum og vægari, raunhæfum úrræðum. Undir flestum kringumstæðum mætti taka undir þetta sjónarmið, en eins og að framan greinir, kom bréf [A] starfsfólki mjög á óvart og innihald þess gaf lítið tilefni til að ætla að erindi frá samstarfsfólki hennar yrði tekið án vandkvæða. Auk þess má benda á að alvanalegt er að starfsfólk fari í tölvur hvors annars til að skoða pantanir eða leita annarra upplýsinga til að gegn þjónustu við skjólstæðinga Stígamóta. [A] vissi eða mátt vita af þessari framkvæmd.“

 

Í svarbréfinu segir einnig að kvartandi hafi haft aðgang að tölvupóstinum fram til 26. október 2016 og kvartanda hafi þá verið í lófa lagið að eyða eða taka afrit af þeim tölvupósti sem ekki tengdist starfsemi Stígamóta og að virkja sjálfvirka svörun úr pósthólfinu. Þann 9. nóvember s.á. hafi öllum tölvupósti sem barst á tölvupósthólf kvartanda verið beint til annars starfsmanns Stígamóta til að bregðast mætti við honum, enda brýnt að enginn póstur færi forgörðum því um gæti verið að ræða einstakling sem ákveðið hefði að leita sér aðstoðar. Tölvupóstur frá FB til kvartanda hafi verið framsendur til eins starfsmanns Stígamóta svo hægt væri að afboða fræðsluna. Jafnframt segir að tölvupóstfangi kvartanda hafi verið lokað þegar launagreiðslum til kvartanda hafi lokið. Þá er greint frá því að ekki hafi verið settar skriflegar reglur um tölvupóst starfsfólks, en almennt tíðkist þó að starfsfólk fari í tölvupóst samstarfsfólks ef þess gerist þörf.

Með bréfi, dags. 23. febrúar 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Stígamóta. Svar barst með tölvupósti þann 10 mars s.á. Í svarbréfinu andmælir kvartandi að í bréfi hennar til Stígamóta, dags. 10. október 2016, hafi falist vantraust á samstarfsfólk sitt hjá Stígamótum, heldur hafi kvartanir hennar beinst að skorti á verklagi og skýrum fyrirmælum. Einnig segir að í bréfinu hafi ekki falist uppsögn, heldur ákall um aðstoð óháðra fagaðila til að leysa þær aðstæður sem upp voru komnar á vinnustaðnum.

Með svarbréfi kvartanda fylgdu tölvupóstsamskipti milli hennar og talskonu Stígamóta, þar sem koma m.a. fram kvartanir kvartanda vegna óskýrra verklagsreglna á vinnustaðnum auk afrits af umræddu bréfi kvartanda til Stígamóta, dags. 10. október 2016, þar sem einnig er kvartað yfir óskýrum starfs- og verklagsreglum

 

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000

 

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til teljast Stígamót vera ábyrgðaraðili að umræddri vinnslu.

 

2.

Hugtakið rafræn vöktun er skilgreint í 6. tölul. 2. gr. laga nr. 77/2000. Undir það fellur vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit. Til rafrænnar vöktunar telst m.a. tölvupóstvöktun sem fer fram með sjálfvirkri og viðvarandi skráningu á upplýsingum um tölvupósta og tölvupóstkerfisnotkun einstakra starfsmanna.

Öll rafræn vöktun er háð því skilyrði að hún fari fram í málefnalegum tilgangi, sbr. 4. gr. laganna. Ef vöktun felur í sér vinnslu persónuupplýsinga sem fellur undir gildissvið laganna þarf, samkvæmt 2. mgr. 4. gr. laganna, einnig að uppfylla önnur ákvæði laganna. 

Þá ber einnig að líta til reglna nr. 837/2006, um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun. Í 1. mgr. 4. gr. segir að óheimilt er að skoða einkatölvupóst nema brýna nauðsyn beri til s.s. vegna tölvuveiru eða sambærilegs tæknilegs atviks. Þá er tilvikabundin skoðun vinnuveitanda á tölvupósti starfsmanns óheimil nema uppfyllt séu fyrrnefnd ákvæði 7., 8., og eftir atvikum, 9. gr. laga nr. 77/2000, s.s. ef grunur er uppi um brot starfsmanns gegn trúnaðar- eða vinnuskyldum.

Þá er í 4. mgr. 9. gr. reglnanna mælt fyrir um það verklag sem vinnuveitandi skal fylgja þegar starfsmaður lætur af störfum. Í ákvæðinu segir meðal annars að við starfslok skuli starfsmanni gefinn kostur á að eyða eða taka afrit af þeim tölvupósti sem ekki tengist starfsemi vinnuveitandans. Þá skuli honum leiðbeint um að virkja sjálfvirka svörun úr pósthólfi sínu um að hann hafi látið af störfum. Eigi síðar en að tveimur vikum liðnum skuli loka pósthólfinu. Vinnuveitanda sé óheimilt að senda áfram á annan starfsmann þann póst sem berst í pósthólf fyrrverandi starfsmanns eftir starfslok, nema um annað hafi verið samið.

Stígamót ber sönnunarbyrði fyrir því að farið hafi verið að fyrrnefndum reglum um rafræna vöktun. Af hálfu Stígamóta hefur komið fram að það verklag hafi tíðkast hjá samtökunum að starfsfólk fari í tölvupósthólf hvors annars til að skoða pantanir eða leita annarra upplýsinga til að sinna þjónustu við skjólstæðinga Stígamóta. Jafnframt hefur komið fram af hálfu Stígamóta að kvartandi hafi vitað, eða mátti vita af þessari framkvæmd. Ekki hafa þó verið settar skriflegar reglur um tölvupóst starfsfólks.

Í bréfi Stígamóta, dags. 13. febrúar 2017, segir að tiltekinn tölvupóstur hafi verið framsendur til eins starfsmanns Stígamóta þann 10. október 2016. Eins og að framan greinir er tilvikabundin skoðun á tölvupósti óheimil nema uppfyllt séu ákvæði 7. og 8. gr. laga nr. 77/2000. Í málinu liggur fyrir að skoðunin fór fram í þeim tilgangi að afboða komu tveggja hópa frá Fjölbrautaskólanum í Breiðholti sem von var á í fræðslu sama dag. Að mati Persónuverndar getur slík skoðun verið heimil á grundvelli 7. tölul. 8. gr. laga nr. 77/2000, en þar segir að vinnsla persónuupplýsinga sé heimil ef hún er nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Ekki var haft samband við kvartanda áður en farið var í tölvupósthólf hennar og var henni ekki veittur kostur á því að vera viðstödd skoðun vinnuveitenda á tölvupósthólfinu eins og kveðið er á um í 3. mgr. 9. gr. reglna nr. 837/2006. Verður því ekki talið að tilvikabundin skoðun Stígamóta á pósthólfi kvartanda þann 10. október 2016 hafi uppfyllt ákvæði 7. gr. laga nr. 77/2000.

Í bréfi Stígamóta segir jafnframt að öllum tölvupósti sem barst í pósthólf kvartanda hafi verið beint til annars starfsmanns Stígamóta frá 9. nóvember 2016. Eins og að framan greinir er vinnuveitanda óheimilt að senda áfram þann póst sem berst í pósthólf fyrrverandi starfsmanns eftir starfslok, nema um annað hafi verið samið. Ekki var samið sérstaklega um að Stígamótum væri heimilt að framsenda á annan starfsmann þann póst sem barst í pósthólf kvartanda. Þá liggur fyrir að kvartanda hafi ekki verið sérstaklega boðið að eyða eða taka afrit af einkatölvupósti sínum, eða virkja sjálfvirka svörun eftir að hún lét af störfum þrátt fyrir að tölvupósthólf hennar hafi verið opið og virkt þar til launagreiðslum til hennar var lokið.

Af hálfu Stígamóta hefur komið fram að þeir telji starfslok hafi átt sér stað þann 10. október 2016, en að hálfu kvartanda hefur komið fram að starfslok hafi komið til með uppsögn Stígamóta sem barst kvartanda með ábyrgðarbréfi þann 27. s.m. Í málinu liggur fyrir tölvupóstur sem sendur var í pósthólf kvartanda þann 28. nóvember s.á., sem er umfram þann tveggja vikna frest sem tilgreindur er í framangreindri 9. gr. reglna nr. 837/2006 um rafræna vöktun, sama við hvort starfslokin er miðað.

Ákvæði reglna nr. 837/2006, um rafræna vöktun, leggja frumkvæðisskyldu á ábyrgðaraðila til að ganga úr skugga um að hugað sé að atriðum 9. gr. þeirra við starfslok. Í ljósi framangreinds er niðurstaða Persónuverndar sú að meðferð félagsins á tölvupósthólfi kvartanda eftir starfslok hennar hafi hvorki samrýmist fyrrgreindu ákvæði reglna nr. 837/2006 né ákvæðum laga nr. 77/2000 þegar hún lauk þar störfum.

 

3.
Niðurstaða

 

Tilvikabundin skoðun Stígamóta á tölvupósthólfi kvartanda þann 10. október 2016 samrýmdist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og reglum nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Framsending tölvupósts sem barst í pósthólf kvartanda frá 9. nóvember 2016 og meðferð tölvupósthólfs kvartanda eftir starfslok hjá Stígamótum samrýmdist ekki reglum nr. 837/2006.

 

Ú r s k u r ð a r o r ð:

Meðferð Stígamóta á tölvupósthólfi [A] við starfslok hennar hjá Stígamótum var ekki í samræmi við lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og reglur nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.

Eigi síðar en 1. október 2017 skulu Stígamót senda Persónuvernd verklagsreglur um hvernig haga skuli skoðun á tölvupósti starfsmanna á meðan á starfi stendur og við starfslok.