Úrskurður um miðlun persónuupplýsinga frá Lágafellssókn

Mál nr. 2016/425

24.10.2017

Úrskurður

Á fundi stjórnar Persónuverndar þann 28. september 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2016/425:

 

I.
Málsmeðferð

1.
Tildrög máls

Þann 1. mars 2016 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir áframsendingu tölvupósta, sem hann hafði sent sóknarpresti Lágafellssóknar, [B], og framkvæmdastjóra Lágafellssóknar, [C]. Tölvupóstarnir, sem allir varða störf kvartanda, samstarf og samstarfserfiðleika í sókninni, voru áframsendir til [D] biskupsritara, [E], prófasts Kjalarnessprófastsdæmis, og [F], skrifstofu- og mannauðsstjóra Biskupsstofu. Í kvörtuninni kemur fram að framkvæmdastjóri Lágafellssóknar hafi a.m.k. fimm sinnum, á árinu 2015, áframsent tölvupóst frá kvartanda til fyrrgreindra einstaklinga án samþykkis eða vitundar kvartanda. Þá hafi sóknarprestur Lágafellssóknar gert slíkt hið sama í minnst sex skipti á árinu 2015, auk þess sem hún hafi áframsent biskupi Íslands einn tölvupóst frá kvartanda á árinu 2014. Biskupsstofa hafi staðfest að fyrrnefndar áframsendingar hafi átt sér stað. Kvartandi bendir jafnframt á að í einn þeirra tölvupósta, sem framkvæmdastjóri Lágafellssóknar hafi áframsent, hafi framkvæmdastjórinn bætt inn athugasemd um að pósturinn væri áframsendur til prófasts og Biskupsstofu „samkvæmt venju undanfarna mánuði“.

Í kvörtun segir jafnframt að í tölvupóstunum hafi meðal annars verið fjallað um ýmis persónuleg mál, trúnaðarupplýsingar og tillögur að úrbótum á vinnustaðnum, prestverk, samstarf presta og fleira. Kvartandi telur ljóst að þessi framkvæmd hafi ýtt undir tilfærslu hans í starfi, skapað vandræði fyrir hann og fjölskyldu hans og að vegið hafi verið að mannorði hans með athæfinu, en hann tekur fram að hann hafi ekki verið áminntur eða staðinn að neinum brotum í starfi sínu sem prestur.

 

2.
Bréfaskipti
2.1.

Með bréfi Persónuverndar, dags. 31. mars 2016, var Lágafellssókn boðið að koma á framfæri skýringum vegna kvörtunarinnar.

 

Þann 7. apríl 2016 barst Persónuvernd tölvupóstur frá Úrskurðarnefnd þjóðkirkjunnar, þar sem tilkynnt var að kvartandi hefði sent nefndinni kvörtun vegna málsmeðferðar sóknarnefndar, framkvæmdastjóra og sóknarprests Lágafellssóknar í tengslum við málsmeðferð í máli nr. 2013/905 hjá Persónuvernd. Umrætt mál varðaði miðlun persónuupplýsinga frá kvartanda, sem þá var starfandi prestur í Lágafellssókn, í tilefni af afgreiðslu á umsókn um styrk úr Líknar- og velferðarsjóði sóknarinnar. Óskaði úrskurðarnefndin eftir afriti af gögnum er vörðuðu málið í samræmi við starfsreglur nefndarinnar nr. 730/1998.

Þann 18. apríl 2016 barst Persónuvernd bréf frá Biskupsstofu sem sent var að beiðni kvartanda. Með bréfinu fylgdi afrit af þeim tölvupóstum hans frá árunum 2015 og 2016 sem sóknarpresturinn í Lágafellssókn og framkvæmdastjóri Lágafellssóknar höfðu áframsent til skrifstofu- og mannauðsstjóra biskupsstofu og biskupsritara.

Kvartandi sendi Persónuvernd tölvupóst 27. júlí 2016 og upplýsti að mál hans fyrir Úrskurðarnefnd þjóðkirkjunnar væri enn til meðferðar hjá nefndinni og væri úrskurðar að vænta í september 2016. Óskaði kvartandi eftir því að málsmeðferð hjá Persónuvernd yrði áfram haldið þegar niðurstaða nefndarinnar lægi fyrir. Með tölvupósti 7. nóvember 2016 tilkynnti kvartandi Persónuvernd að úrskurður Úrskurðarnefndar þjóðkirkjunnar, dags. 3. nóvember 2016, í kvörtunarmáli hans fyrir nefndinni lægi fyrir. Afrit af úrskurðinum fylgdi tölvupóstinum og óskaði kvartandi jafnframt eftir að úrvinnslu kvörtunar hans til Persónuverndar yrði áfram haldið.

 

2.2.

Með tölvupósti þann 30. mars 2017 ítrekaði Persónuvernd ósk sína um svör frá Lágafellssókn, sbr. fyrra bréf stofnunarinnar, dags. 31. mars 2016. Var kvartanda jafnframt tilkynnt um ítrekunina með tölvupósti þann sama dag. Í svarbréfi Cato lögmanna f.h. Lágafellssóknar, dags. 2. maí 2017, segir meðal annars að óljóst sé hvaða tölvupóstum sé kvartað yfir auk þess sem engar skýringar séu veittar á því í kvörtun hvaða miðlun og upplýsingar hafi verið um að ræða. Því sé óhjákvæmilegt að fella málið niður. Verði ekki fallist á það sé vísað til þess að gera verði greinarmun á vinnupósti og einkabréfum. Framkvæmdastjóri Lágafellssóknar minnist þess ekki að hafa áframsent sérstök einkabréf frá kvartanda. Umræddir tölvupóstar hafi ávallt snúið að starfi og vinnu aðila og verið vinnupóstar, en talsverður samskiptavandi hafi verið innan sóknarinnar. Tölvupóstarnir snúi meðal annars að þátttöku og fjarveru á fundum, samstarfsvanda og öðru. Þeir hafi aldrei varðað viðkvæmar persónuupplýsingar í skilningi 8. tölul. 2. gr. laga nr. 77/2000.

Í svarbréfinu er jafnframt bent á að sóknarnefnd Lágafellssóknar telji ekki um miðlun persónuupplýsinga að ræða heldur afhendingu þeirra til yfirstjórnar kirkjunnar, þ.e. yfirmanna kvartanda. Verði engu að síður talið að um slíka miðlun sé að ræða, sem samrýmast þurfi einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000, þurfi að hafa í huga hvert hlutverk framkvæmdastjóra sóknarinnar er. Í 1. mgr. 54. gr. laga um stöðu, stjórn og starfshætti þjóðkirkjunnar nr. 78/1997 komi fram að sóknarnefnd sé ásamt sóknarpresti í fyrirsvari fyrir sóknina gagnvart stjórnvöldum og einstökum mönnum og stofnunum. Hún hafi umsjón með kirkju safnaðarins og safnaðarheimili. Í 6. gr. starfsreglna um sóknarnefndir nr. 1111/2011 sé svo nánar greint frá störfum sóknarnefnda. Hvergi komi fram að prestar Lágafellssóknar heyri undir sóknarnefndina. Sóknarprestur og prestur Lágafellssóknar séu embættismenn þjóðkirkjunnar og lúti tilsjón biskups Íslands, sbr. 33. gr. laga nr. 78/1997. Jafnframt sé ekkert vinnuréttarsamband á milli presta og sóknarnefnda.

Þá segir í bréfinu að einnig verði að hafa til hliðsjónar hvernig störfum og verkefnum sé skipt milli sóknarnefnda, presta o.s.frv., sbr. lög nr. 78/1997. Af lögmætisreglu stjórnsýsluréttar leiði að stjórnvaldi sé ekki heimilt að taka ákvörðun um eða fjalla um mál sem öðru stjórnvaldi hafi verið falið að annast lögum samkvæmt. Að mati sóknarnefndarinnar hafi því aldrei átt sér stað nein miðlun persónuupplýsinga heldur aðeins afhending þeirra til þar til bærra aðila samkvæmt lögum. Afhendingin hafi samrýmst 1. mgr. 8. gr. laga nr. 77/2000, auk þess sem hún hafi samrýmst meginreglum 1.-3. tölul. 1. mgr. 7. gr. sömu laga. Áréttað er að í tölvupóstum kvartanda hafi hvergi komið fram að um trúnaðarmál væri að ræða, enda hafi tölvupósturinn talist hefðbundinn vinnupóstur.

 

2.3.

Með bréfi, dags. 4. ágúst 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Lágafellssóknar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi kvartanda, dags. 4. september 2017, er því mótmælt að kvörtunin sé óskýr. Tölvupóstarnir, sem kvörtunin taki til, hafi innihaldið viðkvæmar persónuupplýsingar og ekki verið ætlaðir yfirmönnum kvartanda. Áframsendingarnar hafi verið án samþykkis og vitundar hans. Þá er vísað til þess að í málinu hafi verið lögð fram nánar tilgreind gögn sem staðfesti að vinnslan hafi átt sér stað. Aðgangur framkvæmdastjóra Lágafellssóknar að tölvupóstum og viðkvæmum upplýsingum tengist því að hann sé ritari og skrifstofustjóri í Lágafellssókn og hafi jafnan fengið afrit af ýmsum viðkvæmum málum, bæði til skráningar og einnig til upplýsingar.

 

Þá segir í bréfi kvartanda að vinnubrögð framkvæmdastjóra Lágafellssóknar geti ekki talist lögleg eða eðlileg. Vísað er í tölvupóst kvartanda til [G], formanns sóknarnefndar Lágafellssóknar, frá 8. janúar 2016, sem framkvæmdastjórinn hafi fengið afrit af. Framkvæmdastjórinn hafi áframsent póstinn, að viðbættri stuttri athugasemd, til [E], [F], mannauðsstjóra þjóðkirkjunnar, [D] biskupsritara, [H], sem var starfandi sóknarprestur í Lágafellssókn á þessum tíma á meðan kvartandi og [B] sóknarprestur voru í leyfi, og [G], formanns sóknarnefndarinnar, sem upphaflegi tölvupósturinn frá kvartanda var sendur á. Framkvæmdastjórinn hafi vitað mætavel að þessi tölvupóstur kvartanda til formanns sóknarnefndarinnar frá 8. janúar 2016 hafi ekki verið ætlaður yfirmönnum innan kirkjunnar, og allra síst [H], sem þá hafi verið í stöðu til að hafa áhrif á framtíð kvartanda sem prests innan kirkjunnar, og þá sennilega til hins verra. Vera megi að einhverjir tölvupóstanna hafi snúið að starfi sóknarinnar, en það sé þó fráleitt að senda fullt af gögnum til yfirmanna stofnunarinnar án vitundar kvartanda. Kvartandi upplýsir jafnframt að lögfræðingur Biskupsstofu hafi sent honum upplýsingar um áðurnefndar áframsendingar og veitt upplýsingar um fjölda þeirra, dagsetningar og innihald.

 

Þá andmælir kvartandi að stærstum hluta staðhæfingum um að um vinnupóst hafi verið að ræða. Vinnupóstur tengist vinnunni sem unnin sé á vinnustaðnum en ekki umfjöllun um mannauðsmál og persónulega hagi starfsfólks, svo sem ágreining á vinnustað. Aðrir póstar tengist persónu kvartanda og fleira starfsfólki, burtséð frá starfinu. Þeir séu því persónulegs eðlis, enda varði þeir einatt stöðu hans sem prests í sókninni.  Með hliðsjón af fjölda sendinga, fjölda móttakenda og þeirra athugasemda sem fylgt hafi áframsendingum í nánar tilgreindum tilvikum, sbr. framangreint, telji kvartandi framkvæmdina ekki samrýmast lögum nr. 77/2000.

II.
Forsendur og niðurstaða 

1.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að áframsending tölvupóstanna, sem um ræðir í máli þessu, telst til meðferðar persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna.

Í máli þessu liggur fyrir að sóknarprestur og framkvæmdastjóri Lágafellssóknar áframsendu tölvupósta kvartanda til prófasts Kjalarnessprófastsdæmis og starfsmanna Biskupsstofu. Auk þess virðist minnst einn tölvupóstur, dags. 8. janúar 2016, hafa verið áframsendur til [H]. Í 1. mgr. 54. gr. laga nr. 78/1997, um stöðu, stjórn og starfshætti þjóðkirkjunnar, segir að sóknarnefnd sé ásamt sóknarpresti í fyrirsvari fyrir sóknina gagnvart stjórnvöldum og einstökum mönnum og stofnunum. Ekki verður annað ráðið af framangreindu ákvæði en að um sameiginlegt og óskipt fyrirsvar sé að ræða. Eins og hér háttar til, og með hliðsjón af framkvæmd laga um persónuvernd í Danmörku, sbr. niðurstöðu dönsku persónuverndarstofnunarinnar, Datatilsynet, dags. 17. janúar 2013, í máli nr. 2012-218-0006, telur Persónuvernd rétt að líta svo á að Lágafellssókn teljist vera ábyrgðaraðili að umræddri vinnslu, en að í ljósi framangreinds fari sóknarnefnd ásamt sóknarpresti með fyrirsvar fyrir hana. Tekið skal fram að til að einfalda málsmeðferð hefur Persónuvernd talið nægilegt að beina samskiptum vegna máls þessa til framkvæmdastjóra sóknarinnar, en ætla verður í ljósi stöðu hans að hann hafi umboð til að svara fyrir hönd þeirra aðila sem fara með fyrirsvar hennar.

 

2.
Lögmæti vinnslu
2.1.

Í máli þessu er því haldið fram af hálfu Lágafellssóknar að ekki hafi verið um miðlun persónuupplýsinga að ræða í skilningi laga nr. 77/2000 heldur hafi áframsending tölvupóstanna falið í sér afhendingu þeirra til yfirmanna kvartanda. Um afhendingu getur verið að ræða þegar persónuupplýsingar eru gerðar aðgengilegar samstarfsmönnum eða yfirmönnum innan sama vinnustaðar í tengslum við starfsemina, svo dæmi sé nefnt. Í þessu sambandi er til þess að líta að framkvæmdastjóri Lágafellssóknar er starfsmaður sóknarinnar en ekki Biskupsstofu. Þá verður sóknarprestur ekki heldur talinn starfsmaður Biskupsstofu, enda er hann ekki ráðinn til starfa á slíkum forsendum heldur skipaður í embætti, sbr. 37. gr. laga nr. 78/1997. Persónuvernd telur því ekki unnt að fallast á að hér hafi verið um afhendingu að ræða heldur hafi verið um að ræða miðlun í skilningi laga nr. 77/2000, að því er varðar áframsendingu tölvupóstanna til starfsmanna Biskupsstofu.

 

2.2.

Öll vinnsla persónuupplýsinga, þar á meðal miðlun þeirra, verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þá verður vinnsla viðkvæmra persónuupplýsinga, sbr. 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna. Þó svo að þeir tölvupóstar, sem liggja fyrir í málinu, hafi varðað mikilsverða hagsmuni kvartanda verða þeir ekki taldir hafa innihaldið viðkvæmar persónuupplýsingar í skilningi laganna og nægir því að kanna hvort áframsending tölvupóstanna samrýmdist 1. mgr. 8. gr. þeirra.

Samkvæmt 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er vinnsla persónuupplýsinga heimil sé hún nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, fer með. Tölvupóstunum sem mál þetta tekur til var meðal annars miðlað til starfsmanna Biskupsstofu, sem og prófasts, en samkvæmt 2. mgr. 29. gr. laga nr. 78/1997 eru prófastar fulltrúar biskups Íslands í prófastsdæmum og trúnaðarmenn hans og hafa í umboði hans almenna tilsjón með kirkjulegu starfi þar. Eins og áður er nefnt skipar biskup presta. Hann hefur einnig ákvörðunarvald um einstök mál, nema þau heyri undir önnur stjórnvöld þjóðkirkjunnar samkvæmt lögum nr. 78/1997, sbr. 10. gr. þeirra laga. Þá hefur hann yfirumsjón með kirkjuaga innan þjóðkirkjunnar og beitir sér fyrir lausn ágreiningsefna sem rísa kunna á kirkjulegum vettvangi, sbr. 11. gr. laganna, en þar segir einnig að vegna agabrota geti biskup gripið til þeirra úrræða sem lög og kirkjuhefð leyfa.

Skoðun á þeim tölvupóstum, sem liggja fyrir í málinu, hefur leitt í ljós að efni þeirra tengist einkum starfi kvartanda, sem gegndi embætti prests í sókninni þegar tölvupóstarnir voru sendir, sem og samstarfserfiðleikum innan sóknarinnar. Með hliðsjón af því valdi, sem biskupi hefur verið falið í lögum, telur Persónuvernd að áframsending tölvupósta kvartanda til biskups, eða fulltrúa biskups, geti samrýmst 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Miðlun persónuupplýsinga getur jafnframt stuðst við heimild í 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, sem heimilar vinnslu persónuupplýsinga sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra.  Fyrir liggur að [H] sinnti starfi sóknarprests í Lágafellssókn í afleysingum á þeim tíma sem tölvupóstur framkvæmdastjóra sóknarinnar, dags. 8. janúar 2016, var áframsendur til hans. Er það mat Persónuverndar að miðlun tölvupóstsins til [H]hafi getað stuðst við heimild í áðurnefndum 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

 

2.3.

Auk þess sem vinnsla persónuupplýsinga þarf að styðjast við heimild í 8. gr. laga nr. 77/2000 þarf hún ávallt að fullnægja grunnkröfunum um gæði gagna og vinnslu samkvæmt 1. mgr. 7. gr. sömu laga. Þar er meðal annars mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tölulið ákvæðisins. Í athugasemdum við ákvæðið í frumvarpi því, sem síðar varð að lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, kemur fram að vinnsla persónuupplýsinga geti vart talist sanngjörn nema hinn skráði geti fengið vitneskju um hana og eigi, þegar söfnun upplýsinganna á sér stað, kost á fullnægjandi upplýsingum um vinnubrögð, vinnuferli og annað er lýtur að vinnslunni.

Kvartandi heldur því fram í máli þessu að tölvupóstarnir hafi verið áframsendir án hans vitundar, og hefur því ekki verið andmælt. Um allmarga tölvupósta var að ræða sem, í ljósi efnis þeirra, vörðuðu mikilsverða hagsmuni kvartanda. Þegar litið er til þessa er það álit Persónuverndar að miðlunin hafi ekki uppfyllt framangreind skilyrði um sanngirni og vandaða vinnsluhætti.

Meðferð máls þessa hefur dregist vegna anna hjá Persónuvernd. 

Ú r s k u r ð a r o r ð:

 

Miðlun framkvæmdastjóra og sóknarprests Lágafellssóknar á tölvupóstum, sem þeim höfðu borist frá kvartanda, til starfsmanna Biskupsstofu, prófasts Kjalarnessprófastdæmis og [H] samrýmdist ekki 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000.