Úrskurður um vinnslu persónuupplýsinga hjá Ölgerðinni

Mál nr. 2015/1549

15.3.2017

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 8. mars 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/1549:

 

I.
Málsmeðferð

1.
Tildrög máls

Þann 18. nóvember 2015 barst Persónuvernd kvörtun frá Mörkinni lögmannsstofu hf. f.h. [A] og [B] (hér eftir nefnd kvartendur) vegna skoðunar fyrrverandi vinnuveitanda [A] á tölvupósti hans og [B]. Í kvörtuninni segir m.a. að þáverandi vinnuveitandi [A], Ölgerðin Egill Skallagrímsson hf. (hér eftir nefnd Ölgerðin), hafi þann 15. apríl 2015 lagt fram kæru á hendur honum vegna meintra brota í starfi. Til grundvallar kærunni hafi verið afrit af tölvupóstum [A] til annars aðila, sem sendir hafi verið úr einkatölvupóstfangi [B], eiginkonu hans. Afritin beri með sér að vera útprentun af skjá (e. print screen). Í upplýsingaskýrslu lögreglunnar á höfuðborgarsvæðinu, dags. 6. maí 2015, segi meðal annars:

 

„Svo virðist sem um sé að ræða skjámyndir tölvupósta [...], „[A]“, opnaðir um gmail (Google). Ekkert bendir til annars en að þeir séu upprunalegir. Uppruni þeirra er hins vegar óljós og [hefur] ekki fengist uppgefinn frá kæranda með fullnægjandi hætti. [...]“

 

Daginn eftir, 7. maí 2015, hafi lögreglan á höfuðborgarsvæðinu fengið dómsúrskurð sem heimilaði leit á starfsstöð og heimili kvartanda, [A], til þess að kanna hvort umræddir reikningar og samskipti kæmu úr tölvu í hans umráðum. Því liggi fyrir að tölvupóstar kvartenda hafi verið skoðaðir áður en kæra til lögreglu var lögð fram. Kvartendum hafi ekki verið tilkynnt um skoðunina eða veittur kostur á að vera viðstaddir hana. Að öllum líkindum hafi fulltrúi Ölgerðarinnar farið í vinnutölvu [A] og skoðað vinnutölvupóst hans, auk þess að opna netvafra og skoða tölvupóstfang eiginkonu hans. Ölgerðin hafi síðan tekið skjáskot af póstum úr síðarnefndu netfangi og stuðst við þá við kæru til lögreglunnar. Háttsemi Ölgerðarinnar brjóti gegn lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 4. gr., 7., 8. og 9. gr. laganna, reglum nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, sbr. 1.-3. mgr. 9. gr. þeirra, og starfsreglum Ölgerðarinnar sem fram komi í starfsmannahandbók hennar. Í starfsreglunum sé að finna ákvæði samsvarandi 3. mgr. 9. gr. reglna um rafræna vöktun. Þar segir:

 

„[...] Tölvupóstur starfsmanna er eign Ölgerðarinnar. Starfsmenn geta, ef þeir það kjósa, búið til möppur í pósthólf sitt undir heitinu „persónulegt“ og sett þar þann póst sem er persónuleg eign viðkomandi starfsmanns. Samkvæmt 9. gr. reglna nr. [837/2006] um rafræna vöktun þá er óheimilt að skoða einkatölvupóst starfsmanns nema brýna nauðsyn beri til svo sem vegna tölvuveiru eða sambærilegs tæknilegs atviks. Tilvikabundin skoðun vinnuveitanda á tölvupósti starfsmanns er óheimil nema uppfyllt séu ákvæði 7., 8. og eftir atvikum 9. gr. laga nr. 77 frá 2000, um persónuvernd og meðferð persónuupplýsinga, svo sem ef grunur er uppi um brot starfsmanns gegn trúnaðar- eða vinnuskyldum.“

 

Ölgerðinni hafi verið með öllu óheimilt að skoða tölvupóst [A], enda hafi ekki verið um brýna nauðsyn að ræða í skilningi ákvæðisins. Þá komi nafn eiginkonu [A] skýrt fram á skjáskotum þeim sem Ölgerðin lagði fram með kæru sinni og því sé það sérstaklega ámælisvert að Ölgerðin hafi opnað einkatölvupóstfang hennar, lesið tölvupóst hennar og afritað. Þá segir að óháð niðurstöðu Persónuverndar um heimild Ölgerðarinnar til skoðunar á tölvupósthólfi [A] geti Ölgerðin ekki skýlt sér á bak við sambærileg rök hvað varði [B]. Engir slíkir hagsmunir Ölgerðarinnar geti réttlætt að einkatölvupóstur hennar hafi verið opnaður og skoðaður gaumgæfilega, enda hafi hún aldrei verið starfsmaður fyrirtækisins. Slík skoðun hefði aldrei verið lögmæt nema að fengnu liðsinni lögreglu. Sú staðreynd að nafn hennar birtist þegar tölvupóstfangið sé opnað hefði átt að leiða til þess að frekari skoðun yrði samstundis hætt.

 

2.
Bréfaskipti við Ölgerðina

Með bréfi, dags. 30. nóvember 2015, var Ölgerðinni boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf Logos f.h. Ölgerðarinnar, dags. 15. desember 2015, barst Persónuvernd þann 17. s.m. Þar segir að Ölgerðin hafi enga skoðun framkvæmt á vinnutölvupósti [A] eða tölvupósthólfi eiginkonu hans, eða látið þriðja aðila framkvæma slíka skoðun. Ölgerðin hafi fengið umrædd gögn afhent á minnislykli í gegnum millilið en hafi ekki vitneskju um það hver tók afrit af tölvupóstunum.

Þegar Ölgerðin hafi fengið gögnin afhent hafi hins vegar komið í ljós að [A] virtist í alllangan tíma hafa sammælst við [fyrirtæki X] um auðgunarbrot gegn Ölgerðinni sem fólust í því að [fyrirtæki X gaf út tilhæfulausa reikninga til Ölgerðarinnar þar sem rukkað var fyrir þjónustu sem aldrei var innt af hendi. Svo virtist sem [A] hefði tekið við og samþykkt greiðslur á umræddum reikningum sem starfsmaður Ölgerðarinnar. Málið hafi verið kært til lögreglu og vísað til umræddra tölvugagna kærunni til stuðnings. Í kjölfarið hafi tölva [A] verið haldlögð og sé það skilningur Ölgerðarinnar að [A] hafi viðurkennt brot sín hjá lögreglu og endurgreitt hluta þeirrar fjárhæðar sem hann hafi svikið út frá Ölgerðinni. Í ljósi framangreinds og þess að Ölgerðin hafi enga skoðun framkvæmt á vinnutölvupósti [A] eða tölvupósti konu hans sé ljóst að fyrirtækið hafi ekki með nokkrum hætti brotið gegn lögum nr. 77/2000 né reglum settum á grundvelli þeirra. Ölgerðin geti þannig með engu móti talist ábyrgðaraðili þeirrar vinnslu sem lýst sé í kvörtun. Þá hafi ekki átt sér stað nein vinnsla á umræddum tölvugögnum hjá Ölgerðinni, en meðferð gagnanna hafi einungis falist í móttöku, lestri og afhendingu þeirra til lögreglu sem fylgiskjala með kæru. Vinnsla Ölgerðarinnar hafi í öllu falli verið mjög takmörkuð og óskyld þeirri vinnslu sem lýst sé í kvörtun.

Þá segir að komist Persónuvernd að þeirri niðurstöðu að móttaka Ölgerðarinnar á umræddum gögnum og miðlun þeirra til lögreglu feli í sér vinnslu sé ljóst að sú vinnsla eigi sér stoð í 7. tölul. 8. gr. laga nr. 77/2000. Eini tilgangur meðferðar tölvugagnanna hjá Ölgerðinni hafi verið að miðla þeim til lögreglu í því skyni að upplýsa um meint stórfelld auðgunarbrot [A] gagnvart Ölgerðinni. Ölgerðin hafi átt lögmætra hagsmuna að gæta og hagsmunir kvartenda hafi ekki vegið þyngra. Verði talið að um vinnslu hafi verið að ræða sé ljóst að meðferð Ölgerðarinnar á umræddum upplýsingum hafi að öllu leyti uppfyllt meginreglur 7. gr. laga nr. 77/2000. Aðeins þeir sem hafi átt aðkomu að málinu hafi haft aðgang að upplýsingunum hjá Ölgerðinni og hafi fyrirtækið gætt fyllsta öryggis og tryggt að gögnin rötuðu ekki í hendur óviðkomandi aðila. Vinnslan hafi þannig verið sanngjörn, málefnaleg og einungis farið fram í þeim tilgangi að Ölgerðin gæti gætt lögmætra hagsmuna sinna. Með vísan í ríka lögmæta hagsmuni Ölgerðarinnar hafi fyrirtækinu ekki borið skylda til að gera kvartendum viðvart um móttöku tölvugagna þeirra, sbr. 4. tölul. 4. mgr. 21. gr. laga nr. 77/2000.

Sú staðreynd að Ölgerðin hafi ekki upplýsingar um það hver tók umrædd skjáskot af tölvupóstgögnum kvartenda geti ekki leitt til þess að Ölgerðin beri ríkari skyldur samkvæmt lögum nr. 77/2000. Persónuvernd og ráðgjafahópur Evrópusambandsins um túlkun reglna um persónuvernd, sbr. 29. gr. tilskipunar 95/46/EB, hafi fjallað um nafnlausar ábendingar og bent á að ekki sé hægt að útiloka að þær berist fyrirtækjum og stjórnvöldum. Þá beri fyrirtækjum undir ákveðnum kringumstæðum jafnframt skylda til að tryggja trúnað gagnvart sendanda slíkra ábendinga. Ákveðnar undantekningar geti því verið á upplýsingarétti þeirra aðila sem ábendingarnar snúa að. Þá er tekið fram að í máli þessu sé ekki deilt um að umrædd tölvugögn séu upprunaleg. Ölgerðin hafni því alfarið að hafa viðhaft þá vinnslu sem lýst sé í kvörtun og að hafa brotið gegn lögum nr. 77/2000 og reglum sem settar hafi verið á grundvelli þeirra.

 

3.
Bréfaskipti við lögmann kvartenda

Með bréfi, dags. 8. janúar 2016, var kvartendum boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Ölgerðarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf Markarinnar lögmannsstofu hf. f.h. kvartenda, dags. 25. janúar 2016, barst þann sama dag. Þar segir að kvartendur fallist ekki á þær skýringar Ölgerðarinnar að félagið hafi ekki framkvæmt neina skoðun né látið þriðja aðila framkvæma skoðun á vinnutölvupósti [A] eða einkatölvupósti [B]. Ölgerðin hafi ekki sýnt fram á hvernig hún hafi fengið umrædd gögn afhent, frá hverjum, lagt fram minnislykilinn sem gögnin voru á eða skýrt hvernig honum var komið í hendur starfsmanna Ölgerðarinnar án þess að ljóst yrði hver milliliðurinn var. Hafa verði í huga að leitin hafi verið framkvæmd áður en málinu var vísað til lögreglu. Málið hafi þá ekki verið á vitorði annarra en þeirra sem komu að persónuverndarbrotunum og starfsmanna Ölgerðarinnar. Enginn annar en Ölgerðin og/eða fulltrúar fyrirtækisins hafi haft tilefni til að leita í umræddum tölvupóstum.

Þá segir að þess sé óskað að Persónuvernd rannsaki það hver hafi afhent Ölgerðinni hin stolnu gögn, sbr. ákvæði 10. gr. stjórnsýslulaga nr. 37/1993, og að kvartendur verði upplýstir um það hverjir hafi fengið og skoðað gögnin. Þess sé jafnframt óskað að Persónuvernd rannsaki það hvernig sá aðili, sem Ölgerðin segi að hafi afhent gögnin, hafi fengið þau í sínar vörslur. Útilokað sé að sá einkaaðili sem afritaði gögnin hafi náð í þau með lögmætum hætti, enda hafi afritun ekki farið fram með atbeina kvartenda, lögreglu eða dómstóla. Ölgerðin hafi ekki sýnt hvernig þriðji maður, utan fyrirtækisins, hafi verið í aðstöðu til að opna vinnutölvupóst [A] og komast í gegnum tölvukerfi Ölgerðarinnar án þess að starfsmenn hennar yrðu þess varir eða gætu látið rekja hver það var. Þá séu allar líkur á því að aðgengi að einkatölvupósti [B]hafi verið fengið í gegnum vinnutölvu [A] hjá Ölgerðinni.

Því er mótmælt að engin vinnsla persónuupplýsinga hafi átt sér stað hjá Ölgerðinni og að fyrirtækið teljist ekki ábyrgðaraðili vinnslunnar. Ölgerðin hafi ekki sannað að umrædd gögn hafi ekki verið fengin með skoðun á tölvupósti kvartenda. Beri Ölgerðin ekki ábyrgð á skoðun tölvupóstsins þurfi fyrirtækið að sýna fram á það með óyggjandi hætti að ábyrgðaraðilinn sé einhver annar. Það sé alls ekki fullnægjandi að benda á ótilgreindan þriðja mann. Ef slíkar útskýringar væru tækar væri hægur leikur fyrir ábyrgðaraðila vinnslu að komast undan ákvæðum persónuverndarlaga. Þá teljist móttaka, skoðun og lestur tölvupósts á minnislykli til vinnslu persónuupplýsinga. Enginn eðlismunur sé á því að skoða og vinna úr einkatölvupóstum í tölvupósthólfi og á minnislykli.

Séu skýringar Ölgerðarinnar, um að ótilgreindur þriðji maður hafi afhent félaginu stolnar persónuupplýsingar á minnislykli og fyrirtækið hafi skoðað þær, réttar telji kvartendur það fela í sér sjálfstæð brot á persónuverndarlögum af hálfu starfsmanna Ölgerðarinnar. Í fyrsta lagi hafi ekki verið sýnt fram á annað en að sá sem stal upplýsingunum hafi gert það að undirlagi Ölgerðarinnar. Í öðru lagi hefðu starfsmenn Ölgerðarinnar aldrei átt að skoða stolnar persónuupplýsingar á minnislykli, heldur neita viðtöku hans og kæra þjófnaðinn til yfirvalda. Í þriðja lagi hefðu starfsmenn Ölgerðarinnar átt að hætta skoðun á persónuupplýsingunum, þar sem félagið hafði ekki heimild til vinnslunnar samkvæmt 8. gr. laga nr. 77/2000.

Að lokum er því mótmælt að Ölgerðin geti borið fyrir sig að félagið þurfi að vernda nafnleynd þriðja aðila sem aflað hafi upplýsinganna. Engin lagaheimild sé til að gæta trúnaðar um nöfn brotamanna í persónuverndar- eða stjórnsýslulögum. Nafnleynd brotamanns myndi í senn svipta kvartendur lögbundnum andmælarétti í málinu og gera þeim ókleift að leita réttar síns gagnvart brotamanninum í framhaldinu. Hagsmunirnir af því að upplýsa um hinn brotlega séu sýnilega langtum meiri en ótilgreindir hagsmunir af nafnleynd í málinu. Það sé grundvallaratriði að upplýst verði hver hafi aflað umræddra gagna og að sá aðili sæti ábyrgð.

 

4.
Frekari skýringar frá málsaðilum

Með bréfi, dags. 15. mars 2016, var Ölgerðinni m.a. veittur kostur á að koma á framfæri athugasemdum við bréf Markarinnar lögmannsstofu hf. frá 25. janúar 2016. Í svarbréfi Logos, dags. 8. apríl 2016, er á það bent að sá tölvupóstur sem Ölgerðin fékk afrit af á minnislyklinum hafi eingöngu verið póstur sem var sendur og móttekinn í gegnum netfangið [...]. Í engu tilviki hafi verið um að ræða vinnupóst [A]. Þá sé ljóst af skjámyndum sem Ölgerðin fékk afrit af, og sem liggja fyrir í málinu, að ekki hafi verið farið inn í pósthólf kvartanda, [...], til þess að taka afrit af póstunum heldur megi sjá að skjámyndirnar hafi verið teknar af g-mail-pósthólfi [C], [...]. Þannig hafi Ölgerðin hvorki farið inn í vinnupóst [A] hjá fyrirtækinu né pósthólfið [...]. Öllum fullyrðingum um að Ölgerðin hafi framkvæmt, eða látið framkvæma, skoðun á vinnutölvupósti [A] eða öðrum tölvupósthólfum [A] og [B] sé alfarið hafnað. Þá hafi Ölgerðin enga vitneskju um það hver tók skjáskotin eða hvernig honum var það kleift.

Með bréfi dags. 9. júní 2016 var kvartendum veittur kostur á að koma á framfæri athugasemdum við framkomnar skýringar Logos. Þá voru kvartendur spurðir hvort þeir teldu að enn væri uppi ágreiningur í málinu, og ef svo væri, í hverju hann fælist. Í svarbréfi Markarinnar lögmannsstofu f.h. kvartenda, dags. 8. júlí 2016, er málsatvikalýsingu Ölgerðarinnar, á því að skoðun og vinnsla skjáskotanna hafi verið takmörkuð, mótmælt sem ósannaðri. Þá kemur fram að kvartendur telji ágreining enn til staðar í málinu um þau atriði sem greini í kvörtuninni. Áréttað er að málsástæður Ölgerðarinnar um að ekki hafi verið um vinnutölvupóst að ræða séu þýðingarlausar, enda hafi verið um skoðun á einkatölvupóstum að ræða. Eftir standi að einkatölvupóstur kvartenda hafi verið skoðaður með ólögmætum hætti. Ekki sé eðlismunur á því að skoða og vinna úr einkatölvupóstum á tölvupósthólfi og á minnislykli.

 

II.
Forsendur og niðurstaða

 

1.
Afmörkun úrlausnarefnis og gildissvið laga nr. 77/2000

Í málinu liggur ekkert fyrir sem staðfestir að vinnutölvupóstur [A] hjá Ölgerðinni hafi verið skoðaður áður en leit var framkvæmd á starfsstöð hans samkvæmt dómsúrskurði frá 7. maí 2015. Þá liggur ekki fyrir hvernig skjáskot af einkatölvupósti kvartenda rötuðu til Ölgerðarinnar, en af skjáskotunum, sem liggja fyrir í málinu, er þó ljóst að þau eru ekki tekin af tölvupósthólfi kvartenda heldur annars manns, sem annar kvartenda átti tölvupóstsamskipti við. Hvað þessi atriði málsins varðar er ágreiningur um staðreyndir sem Persónuvernd hefur ekki úrræði að lögum til að greiða úr. Hins vegar liggur fyrir að Ölgerðin fékk í hendur skjáskot af einkatölvupósti kvartenda, skoðaði þau og miðlaði þeim til lögreglu.

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar.

Sú aðgerð að skoða skjáskot af tölvupósti kvartenda telst til vinnslu í skilningi framangreindra lagaákvæða. Þá telst það jafnframt til vinnslu persónuupplýsinga að miðla afritum af tölvupóstunum til lögreglu. Er því ljóst að ágreiningur í málinu lýtur að vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000 og valdsvið Persónuverndar.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Ölgerðin vera ábyrgðaraðili þeirrar vinnslu sem fólst í skoðun og miðlun skjáskotanna til lögreglu.

 

2.
Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þá verður vinnsla viðkvæmra persónuupplýsinga, s.s. upplýsinga um að maður hafi verið grunaður um refsiverðan verknað, sbr. b-lið 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

Hvað varðar heimildir Ölgerðarinnar til að skoða skjáskotin, hafi þau borist með nafnlausri sendingu eins og haldið er fram, skal tekið fram að hvorki fyrirtæki né aðrir geta komið í veg fyrir að þeim berist nafnlausar ábendingar eða sendingar. Í slíkum tilvikum ber þó að gæta þess að meðferð persónuupplýsinga sem þannig berast sé vönduð og í samræmi við ákvæði laga nr. 77/2000. Í 7. tölul. 1. mgr. 8. gr. laganna er að finna heimild til vinnslu persónuupplýsinga sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Hafi skjáskotin borist með nafnlausri sendingu er það mat Persónuverndar að Ölgerðinni hafi verið heimilt að kanna efni sendingarinnar og að fyrirtækið hafi haft lögmæta hagsmuni af því að kynna sér þau gögn sem því voru send, sem vegið hafi þyngra en réttindi hinna skráðu samkvæmt ákvæðinu. Sú vinnsla sem fólst í skoðun gagnanna hafi því getað stuðst við heimild í áðurnefndu ákvæði.

Samkvæmt 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er vinnsla persónuupplýsinga heimil sé hún nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, fer með. Vinnslan telst jafnframt heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra, sbr. áðurnefndan 7. tölul. 1. mgr. 8. gr. Þá telst vinnsla viðkvæmra persónuupplýsinga heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja, sbr. 7. tölul. 1. mgr. 9. gr. Persónuvernd telur að miðlun skjáskota, sem benda til þess að kvartendur, annar eða báðir, kunni að hafa gerst sekir um auðgunarbrot, til lögreglu geti stuðst við framangreindar heimildir. Þá verður ekki séð að skoðun og miðlun Ölgerðarinnar á skjáskotunum til lögreglu hafi farið í bága við ákvæði 7. gr. laga nr. 77/2000.

Nokkrar tafir hafa orðið á meðferð máls þessa en þær skýrast af miklum önnum hjá stofnuninni.

 

Ú r s k u r ð a r o r ð:

Skoðun og miðlun Ölgerðarinnar á skjáskotum af tölvupósti kvartenda til lögreglu samrýmdist ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.