Vinnsla sveitarfélags með persónuupplýsingar í tengslum við ákvarðanir um uppsögn og ráðningu í starf í samræmi við lög

Mál. nr. 2020010633

21.9.2021

Úrskurður

Hinn 3. september 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010633 (áður 2019051052):

I.

Málsmeðferð

1.

Tildrög máls

Hinn 16. maí 2019 barst Persónuvernd kvörtun frá [B] lögmanni, fyrir hönd [A] (hér eftir kvartandi), yfir vinnslu persónuupplýsinga hans af hálfu [opinberu stofnunarinnar X] og [sveitarfélagsins Y]. Laut kvörtunin nánar tiltekið að því að í kjölfar þess að kvartandi var ráðinn [í starf hjá stofnuninni Z, sem heyrir undir sveitarfélagið Y] hefðu forsvarsmenn sveitarfélagsins aflað upplýsinga um hann frá mannauðsstjóra og sviðsstjóra hjá [X], þar sem kvartandi hafði áður starfað, án þess að hann hefði tilgreint þá sem meðmælendur í umsókn sinni. Þá hefði kvartandi verið dreginn niður í stigagjöf vegna umræddra upplýsinga við umsókn um annað starf hjá [undirstofnuninni Z]. Kvörtuninni fylgdi meðal annars svonefnt grunnmat og rökstuðningur [sveitarfélagsins Y] vegna þeirrar ráðningar.

Með bréfum, dags. 30. júní 2020, var [sveitarfélaginu Y] og [opinberu stofnuninni X] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var af hálfu [X] með bréfi, dags. 13. júlí s.á., og af hálfu [Y] með bréfi, dags. 27. s.m. Með bréfi, dags. 29. október s.á., óskaði Persónuvernd eftir frekari upplýsingum frá [Y]. Svarað var með bréfi, dags. 20. nóvember s.á.

Með bréfi, dags. 27. apríl 2021, var kvartanda boðið að tjá sig um framkomin svör [sveitarfélagsins Y]. Svarað var af hálfu lögmanns kvartanda með tölvupósti 2. júní s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði. 

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Í kvörtun segir að í kjölfar þess að kvartandi hafi verið ráðinn [í starf] hjá [undirstofnuninni Z í júní 2018] hafi forsvarsmenn [sveitarfélagsins Y] aflað upplýsinga um hann frá starfsmönnum [opinberu stofnunarinnar X], sem hann hafi ekki tilgreint sem meðmælendur í starfsumsókn sinni, án samráðs og samþykkis hans. Níu dögum síðar hafi kvartanda verið sagt upp störfum og telur hann að uppsögnin hafi verið bein afleiðing upplýsingaöflunarinnar. Í erindi lögmanns kvartanda til Persónuverndar þann 2. júní 2021 segir að kvartandi hafi mætt til fundar með forsvarsmönnum sveitarfélagsins en að efni fundarins hafi verið honum ókunnugt við fundarboð. Á fundinum hafi kvartanda hins vegar orðið ljóst að forsvarsmenn sveitarfélagsins hefðu þegar fengið upplýsingar frá starfsmönnum [X] sem hann hafði ekki tilgreint sem meðmælendur í umsókn sinni. Þar hafi hann hins vegar ekki veitt sveitarfélaginu samþykki sitt fyrir frekari upplýsingaöflun frá stofnuninni.

Í kvörtun segir enn fremur að kvartandi hafi síðar sótt um starf [forstöðumanns undirstofnunarinnar Z] sem auglýst var [í september] 2018. Hann hafi verið boðaður til starfsviðtals og verið metinn meðal hæfustu umsækjanda samkvæmt svonefndu grunnmati. Þó sé ljóst af matinu, svo og rökstuðningi sveitarfélagsins, að kvartandi hafi verið dreginn niður í stigagjöf undir liðunum viðtal 1 og umsagnir á grundvelli umræddra upplýsinga frá [opinberu stofnuninni X]. 

Telur kvartandi enga heimild hafa staðið til vinnslunnar né að fullnægt hafi verið skilyrðum fyrir vinnslu viðkvæmra persónuupplýsinga en hann telur mega leiða líkur að því að um viðkvæmar persónuupplýsingar hafi verið að ræða. Vinnslan hafi gengið í berhögg við tilgang og efni laga um persónuvernd og gegn rétti kvartanda til friðhelgi einkalífs. Þá hafi áreiðanleiki og gæði upplýsinganna ekki verið tryggð.

3.

Sjónarmið [X]

Fram kemur í svari [opinberu stofnunarinnar X] að stofnunin hafi að beiðni [sveitarfélagsins Y] veitt sveitarfélaginu upplýsingar um kvartanda. Ekki liggi fyrir upplýsingar hjá stofnuninni um tímasetningu þeirrar miðlunar. Um munnlega miðlun upplýsinga hafi verið að ræða en upplýsingarnar hafi hvorki verið sóttar í rafræn kerfi né skrár stofnunarinnar.

4.

Sjónarmið [sveitarfélagsins Y]

[Sveitarfélagið Y] telur að umkvörtunarefni í málinu séu tvö. Annars vegar lúti kvörtunin að vinnslu persónuupplýsinga í tengslum við ráðningu kvartanda í starf […] hjá [undirstofnuninni Z] og uppsögn hans níu dögum síðar [í júní 2018]. Um þann þátt málsins fari samkvæmt lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Hins vegar varði kvörtunin vinnslu persónuupplýsinga tengda umsókn kvartanda um starf [forstöðumanns undirstofnunarinnar Z] í september 2018 sem lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga gildi um.

Varðandi fyrra umkvörtunarefnið er vísað til þess að sveitarfélaginu hafi borist upplýsingar um kvartanda sem ekki hafi komið fram í ráðningarferlinu um að honum hafi verið sagt upp störfum hjá [opinberu stofnuninni X] eða gerður hafi verið við hann starfslokasamningur. Þrír starfsmenn sveitarfélagsins hafi fundað með kvartanda um þetta [í júní 2018]. [Forsvarsmaður sveitarfélagsins Y] hafi á fundinum farið þess á leit við kvartanda að fá að hafa samband við [X] til að ræða hinar framkomnu upplýsingar og kvartandi hafi fallist á það. Í kjölfar þess hafi [hann] haft samband símleiðis við tvo stjórnendur hjá [X] sem hafi veitt upplýsingar um skort á samskiptafærni kvartanda. Næsta dag hafi [hann] upplýst kvartanda um umsagnirnar, sem kvartanda hafi eðli máls samkvæmt verið kunnugt um. [Síðar í júní 2018 hafi hann] ritað kvartanda uppsagnarbréf sem hafi meðal annars verið sent honum með tölvupósti. Umræddar upplýsingar hafi ekki verið skráðar með formlegum hætti en þær hafi verið færðar í dagbókarfærslur [forsvarsmanns sveitarfélagsins] í formi minnispunkta í Word-skjali í tölvu. Upplýsingarnar séu ekki varðveittar með öðrum hætti hjá sveitarfélaginu.

Af hálfu [sveitarfélagsins Y] er á því byggt að upplýsinganna hafi verið aflað á grundvelli ótvíræðs samþykkis kvartanda og því hafi vinnslan stuðst við 1. tölul. 8. gr. laga nr. 77/2000. Um hafi verið að ræða nauðsynlegar upplýsingar frá fyrri vinnuveitanda kvartanda í tengslum við ráðningu hans í starf hjá [undirstofnuninni Z] og vinnslan hafi samrýmst 7. gr. laganna. Sveitarfélagið lítur svo á að ekki hafi verið um viðkvæmar persónuupplýsingar að ræða í skilningi 8. tölul. 1. mgr. 2. gr. laganna.

Varðandi síðara umkvörtunarefnið bendir [sveitarfélagið Y] á að ekki hafi verið aflað nýrra upplýsinga um kvartanda frá [opinberu stofnuninni X] í tengslum við ráðningu í starf [forstöðumanns undirstofnunarinnar Z]. Ákvörðun um ráðningu í starfið hafi byggt á gögnum frá kvartanda sjálfum og upplýsingum sem lágu fyrir hjá sveitarfélaginu áður en umsóknarferli hófst.

II.

Forsendur og niðurstaða

1.

Afmörkun máls - Lagaskil

Mál þetta varðar annars vegar öflun [sveitarfélagsins Y] á upplýsingum um kvartanda frá [opinberu stofnuninni X], svo og skráningu og notkun þeirra í þágu töku ákvörðunar um uppsögn hans úr starfi […] hjá [undirstofnuninni Z]. Var uppsagnarbréf kvartanda ritað [í júní 2018]. Málið varðar hins vegar notkun sömu upplýsinga af hálfu [sveitarfélagsins Y] við töku ákvörðunar um ráðningu í starf [forstöðumanns undirstofnunarinnar Z] sem auglýst var [í september 2018], sem kvartandi sótti um en var synjað.

Þann 15. júlí 2018 tóku gildi lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Þau lögfestu jafnframt persónuverndarreglugerðina, (ESB) 2016/679, eins og hún var aðlöguð og tekin upp í EES-samninginn. Leystu lögin jafnframt af hólmi lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Í ljósi þess að atvik fyrra umkvörtunarefnisins urðu í gildistíð laga nr. 77/2000 fer um úrlausn þess samkvæmt þeim lögum. Á hinn bóginn urðu atvik síðara umkvörtunarefnisins eftir gildistöku laga nr. 90/2018 og fer því um úrlausn þess samkvæmt þeim lögum.

2.

Gildissvið – Ábyrgðaraðili – Frávísun hluta máls

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Gildissvið laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og valdsvið Persónuverndar samkvæmt þeim var hliðstætt.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laga nr. 90/2018 og 1. tölul. 4. gr. reglugerðarinnar, sbr. áður 1. tölu. 2. gr. laga nr. 77/2000.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar, sbr. áður 2. tölul. 2. gr. laga nr. 77/2000.

Munnleg miðlun persónuupplýsinga sem slík féll hvorki né fellur hún nú undir gildissvið persónuverndarlöggjafarinnar. Ber samkvæmt því að vísa frá þeim þætti kvörtunarinnar sem lýtur að vinnslu [opinberu stofnunarinnar X] enda var þar aðeins um munnlega miðlun persónuupplýsinga til [sveitarfélagsins Y] að ræða.

Hins vegar er til þess að líta að eftir að [sveitarfélagið Y] aflaði persónuupplýsinga um kvartanda frá [opinberu stofnuninni X] voru þær færðar í rafræna dagbók [forsvarsmanns sveitarfélagsins]. Í kjölfarið voru þær notaðar við undirbúning ákvarðana um uppsögn ráðningarsamnings við kvartanda annars vegar og hins vegar um ráðningu í annað starf sem hann sótti um. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar sá þáttur málsins vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist persónuverndarlöggjöfinni er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar, sbr. áður 4. tölul. 2. gr. laga nr. 77/2000. Eins og hér háttar til telst [sveitarfélagið Y] vera ábyrgðaraðili að umræddri vinnslu.

3.

Lagaumhverfi

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679, sbr. áður 8. gr. laga nr. 77/2000. Hefur [sveitarfélagið Y] byggt á því að kvartandi hafi gefið samþykki sitt fyrir öflun sveitarfélagsins á upplýsingum frá [opinberu stofnuninni X], sbr. 1. tölul. 8. gr. laga nr. 77/2000. Þrátt fyrir að [sveitarfélagið Y] hafi ekki sérstaklega vísað til þess ber að auki að nefna að heimilt er að vinna með persónuupplýsingar sé vinnslan nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, sbr. áður 6. tölul. 8. gr. laga nr. 77/2000. Ekki verður séð að aðrar vinnsluheimildir geti komið til álita vegna þeirrar vinnslu sem til umfjöllunar er í málinu.

Samkvæmt 7. tölul. 2. gr. laga nr. 77/2000 var samþykki skilgreint sem sérstök, ótvíræð yfirlýsing sem einstaklingur gaf af fúsum og frjálsum vilja um að hann væri samþykkur vinnslu tiltekinna upplýsinga um sig og að honum væri kunnugt um tilgang hennar, hvernig hún færi fram, hvernig persónuvernd yrði tryggð, um að honum væri heimilt að afturkalla samþykki sitt o.s.frv. 

Kvartandi hefur byggt á því að sú vinnsla sem er til umfjöllunar í máli þessu kunni að hafa lotið að viðkvæmum persónuupplýsingum, sbr. 3. tölul. 3. gr. laga nr. 90/2018 og 1. mgr. 9. gr. reglugerðar (ESB) 2016/679, sbr. áður 8. tölul. 2. gr. laga nr. 77/2000. Að mati Persónuverndar verður ekki séð af gögnum málsins að um viðkvæmar persónuupplýsingar hafi verið að ræða í skilningi tilvitnaðra ákvæða. Reynir samkvæmt því ekki á skilyrði fyrir vinnslu slíkra upplýsinga, sbr. 1. mgr. 11. gr. laga nr. 90/2018 og 2. mgr. 9. gr. reglugerðarinnar, sbr. áður 1. mgr. 9. gr. laga nr. 77/2000.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, sbr. áður 1. mgr. 7. gr. laga nr. 77/2000. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. 8. gr. laga nr. 90/2018 og a-liður reglugerðarákvæðisins, sbr. áður 1. tölul. 7. gr. laga nr. 77/2000); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul. 8. gr. laga nr. 90/2018 og c-liður reglugerðarákvæðisins, sbr. áður 3. tölul. 7. gr. laga nr. 77/2000); og að þær séu áreiðanlegar og uppfærðar eftir þörfum (4. tölul. 8. gr. laga nr. 90/2018 og d-liður reglugerðarákvæðisins, sbr. áður 4. tölul. 7. gr. laga nr. 77/2000).

Við mat á því hvort vinnsla persónuupplýsinga hafi samrýmst meginreglum persónuverndarlöggjafarinnar getur meðal annars þurft að líta til ákvæða um fræðsluskyldu. Í ljósi þess að fræðsluskylda [sveitarfélagsins Y] varð virk þegar upplýsinganna var aflað frá [opinberu stofnuninni X] verður að miða við að reglur laga nr. 77/2000 gildi um þetta atriði, sbr. umfjöllun um lagaskil í kafla II.1. Samkvæmt 1. mgr. 21. gr. laganna bar ábyrgðaraðila, þegar hann aflaði persónuupplýsinga frá öðrum en hinum skráða, samtímis að láta hinn skráða vita af því og greina honum frá nafni og heimilisfangi ábyrgðaraðila og tilgangi vinnslunnar, sem og öðrum upplýsingum, að því marki sem þær voru nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríktu við vinnslu upplýsinganna, svo að hinn skráði gæti gætt hagsmuna sinna, sbr. nánar 3. mgr. ákvæðisins.

4.

Niðurstaða

4.1.

Öflun upplýsinga um kvartanda frá [X] og tengd vinnsla

Sem fyrr greinir varðar mál þetta í fyrsta lagi öflun [sveitarfélagsins Y] á upplýsingum um kvartanda frá [opinberu stofnuninni X], svo og skráningu og notkun þeirra í þágu töku ákvörðunar um uppsögn hans úr starfi […] hjá [undirstofnuninni Z]. Hefur sveitarfélagið byggt á því að sú vinnsla hafi grundvallast á samþykki kvartanda, sbr. 1. tölul. 8. gr. laga nr. 77/2000 en kvartandi hefur hafnað því að hafa samþykkt vinnsluna.

Persónuvernd telur ekki fært að líta svo á að samþykki starfsmanns, við þær aðstæður sem hér eru til umfjöllunar, geti verið veitt af fúsum og frjálsum vilja í skilningi 7. tölul. 2. gr. laga nr. 77/2000 að gættum þeim aðstöðumun sem var á milli [sveitarfélagsins Y] og kvartanda, einkum með hliðsjón af því ráðningarsambandi sem þegar hafði verið stofnað. Þegar af þeirri ástæðu verður ekki fallist á það með [sveitarfélagið Y] að vinnslan hafi getað grundvallast á samþykki kvartanda samkvæmt 1. tölul. 8. gr. laganna.

Hins vegar verður að líta til þess að í athugasemdum við 8. gr. í frumvarpi því sem varð að lögum nr. 77/2000 kemur fram að 6. tölul. ákvæðisins taki til vinnslu upplýsinga á vegum stjórnvalda sem tengist meðferð opinbers valds. Með því sé fyrst og fremst átt við töku stjórnvaldsákvarðana.
Í stjórnsýslurétti er almennt litið svo á að ákvarðanir um uppsagnir einstaklinga úr opinberum störfum teljist til stjórnvaldsákvarðana.

Að mati Persónuverndar verður ekki annað ráðið af gögnum málsins en að sú vinnsla sem hér er til umfjöllunar hafi farið fram og verið nauðsynleg í þágu undirbúnings töku ákvörðunar af hálfu [sveitarfélagsins Y] um uppsögn kvartanda úr opinberu starfi hjá [undirstofnuninni Z]. Telur Persónuvernd samkvæmt því unnt að leggja til grundvallar að vinnslan hafi verið heimil á grundvelli 6. tölul. 8. gr. laga nr. 77/2000.

Kemur þá til úrlausnar hvort vinnslan hafi samrýmst meginreglum 1. mgr. 7. gr. laga nr. 77/2000.

Óumdeilt er að kvartandi sótti fund með starfsmönnum [sveitarfélagsins Y í júní 2018] þar sem öflun sveitarfélagsins á upplýsingum frá [opinberu stofnuninni X] var til umræðu. Undir rannsókn málsins lýsti kvartandi hins vegar þeirri afstöðu sinni að hann teldi að upplýsinganna hefði verið aflað frá tilteknum starfsmönnum [X] fyrir fundinn en ekkert hefur verið fært fram þessari staðhæfingu til stuðnings. Í þessu sambandi er einnig til þess að líta að sveitarfélagið hefur gengist við því að hafa fengið upplýsingar um eðli starfsloka kvartanda hjá [X] en ekkert liggur fyrir í málinu um að þeirra upplýsinga hafi upphaflega verið aflað frá stofnuninni, eða að [sveitarfélagið Y] hafi átt frumkvæði að því að afla þeirra með öðrum hætti. Þvert á móti verður ráðið af málatilbúnaði sveitarfélagsins að ætlun þess hafi verið að sannreyna umræddar upplýsingar, sem því höfðu borist, með öflun frekari upplýsinga frá [X]. Samkvæmt þessu telur Persónuvernd ósannað að sveitarfélagið hafi aflað upplýsinga um kvartanda fyrir fund starfsmanna þess með honum. Verður því lagt til grundvallar að kvartandi hafi á fundinum verið upplýstur um að upplýsingaöflunin frá [X] stæði til. Telur Persónuvernd að með því hafi sveitarfélagið uppfyllt fræðsluskyldu sína samkvæmt 21. gr. laga nr. 77/2000. 

Þá verður ekki talið óeðlilegt að sveitarfélagið hafi sannreynt upplýsingar um eðli starfsloka kvartanda, sem því höfðu áður borist, með frekari upplýsingaöflun frá [opinberu stofnuninni X]. Að auki er til þess að líta að [sveitarfélagið Y] aflaði umræddra upplýsinga um kvartanda beinlínis í því skyni að tryggja áreiðanleika upplýsinga sem sveitarfélaginu höfðu áður borist. Af gögnum málsins verður ekki ráðið að sveitarfélagið hafi ráðist í of umfangsmikla upplýsingaöflun í því skyni.

Að framangreindu virtu telur Persónuvernd að leggja megi til grundvallar að [sveitarfélagið Y] hafi gætt að meginreglum 1. mgr. 7. gr. laga nr. 77/2000 gagnvart kvartanda við þá vinnslu sem hér er til umfjöllunar.

4.2.

Notkun fyrirliggjandi upplýsinga við synjun starfsumsóknar

Svo sem fyrr var rakið lýtur málið jafnframt að notkun þeirra upplýsinga sem [sveitarfélagið Y] aflaði frá [opinberu stofnuninni X], sbr. umfjöllun í kafla II.5.2., við ákvörðun um að synja umsókn kvartanda í starf [forstöðumanns] hjá [undirstofnuninni Z].

Í athugasemdum við 9. gr. í frumvarpi því sem varð að lögum nr. 90/2018 kemur fram að með vinnslu stjórnvalda sem tengist meðferð opinbers valds, sbr. 5. tölul. ákvæðisins, sé fyrst og fremst átt við töku stjórnvaldsákvarðana.

Í stjórnsýslurétti er almennt litið svo á að ákvarðanir um ráðningar í opinber störf teljist til stjórnvaldsákvarðana.

Að mati Persónuverndar verður ekki annað ráðið af gögnum málsins en að sú vinnsla sem hér er til umfjöllunar hafi farið fram og verið nauðsynleg í þágu undirbúnings töku ákvörðunar um ráðningu í starf [forstöðumanns] hjá [undirstofnuninni Z] og synjunar umsóknar kvartanda um umrætt starf. Telur Persónuvernd samkvæmt því unnt að leggja til grundvallar að vinnslan hafi verið heimil á grundvelli 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

Kemur þá til úrlausnar hvort vinnslan hafi samrýmst meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Að mati Persónuverndar verður að telja að kvartanda hafi mátt vera ljóst að upplýsingar um hann, sem þegar lágu fyrir hjá [sveitarfélaginu Y], kynnu að verða nýttar við töku ákvörðunar um umsókn hans um starf [forstöðumanns] hjá [undirstofnuninni Z]. Verður ekki talið að sú notkun upplýsinganna hafi verið ósamrýmanleg upphaflegum tilgangi sem bjó að baki söfnun þeirra.
Að framangreindu virtu telur Persónuvernd að leggja megi til grundvallar að [sveitarfélagið Y] hafi gætt að meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, gagnvart kvartanda við þá vinnslu sem hér er til umfjöllunar.

Ú r s k u r ð a r o r ð:

Vinnsla [sveitarfélagsins Y] með persónuupplýsingar um [A] í tengslum við uppsögn hans úr starfi […] hjá [undirstofnuninni Z] samrýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Vinnsla [sveitarfélagsins Y] með persónuupplýsingar um [A] í tengslum við synjun umsóknar hans um starf [forstöðumanns] hjá [undirstofnuninni Z] samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Helga Þórisdóttir                                  Helga Sigríður Þórhallsdóttir