Ósk um vitneskju um tilkynnanda
Úrskurður
Hinn 29. maí 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2014/1740:
I.
Bréfaskipti
Persónuvernd hefur borist kvörtun frá [A] (hér eftir nefndur „kvartandi“), dags. 16. desember 2014, yfir Strætó bs. Í kvörtuninni kemur fram að hjá félaginu sé haldið utan um ábendingar varðandi vagnstjóra í sérstöku kerfi. Þá segir að kvartanda sé neitað um vitneskju um hver hafi sent inn ábendingu um hann og hvaða upplýsingar um hann séu skráðar í kerfið, sem og að upplýsingum sé ekki eytt úr því með reglubundnum hætti. Telji hann þetta fyrirkomulag ekki samrýmast lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
Með bréfi, dags. 6. janúar 2015, var Strætó bs. veitt færi á að tjá sig um þessa kvörtun. Svarað var með tölvubréfi hinn 15. janúar 2015. Þar segir að kvartandi hafi ekki sent félaginu formlega beiðni um upplýsingar um hvaða upplýsingar séu skráðar um hann í kerfið. Þá segir að almennt lúti ábendingar, sem skráðar séu í umrætt kerfi, að ferðinni sjálfri eða framkomu viðkomandi starfsmanns. Ekki sé tekið við ábendingum nema gefið sé upp nafn og símanúmer. Aldrei sé vitað fyrirfram hver viðkomandi starfsmaður sé heldur upplýsi farþeginn um leiðarnúmer, tímasetningu, í hvaða átt var farið og staðsetningu. Starfsmaður geti fengið upplýsingar um hverja einstaka ábendingu og oft sé ábendingin annaðhvort send honum í pósti eða hringt í hann og hans hlið fengin á málinu. Tryggt sé að starfsmaður og farþegi fái ekki upplýsingar hvor um annan.
Einnig segir að tilgangur ábendingakerfisins sé að stuðla að úrbótum á þjónustu Strætó bs. Upplýsingar um hvaða vagnstjóri eigi í hlut hverju sinni séu aðeins aðgengilegar starfsmönnum akstursdeildar sem sjái um úrvinnslu ábendinganna. Starfsfólk þjónustuvers geti ekki rakið hver vagnstjórinn sé þar sem vakta- og akstursferlar einstakra vagnstjóra séu ekki aðgengilegir því. Aðeins tilgreindir ábyrgðarmenn hafi aðgang að slíkum upplýsingum.
Með bréfi, dags. 25. febrúar 2015, var kvartanda veitt færi á að tjá sig um framangreindar skýringar Strætó bs. Hann svaraði með tölvubréfi hinn 11. mars s.á. Þar er því mótmælt að ekki hafi borist frá honum formleg beiðni um aðgang að upplýsingum um sig í umræddu kerfi. Sú beiðni hafi verið send hinn 14. október 2014. Degi síðar hafi borist svar þess efnis að kvartanda sé velkomið að panta tíma hjá starfsmanni akstursdeildar þar sem farið verði yfir allar ábendingar sem kvartanda varði. Ekki sé hins vegar unnt að gefa upp nöfn farþega sem hringi inn, rétt eins og ekki séu gefin upp nöfn farþega sem kvarti.
Að auki segir í tölvubréfi kvartanda:
„Þess má geta að undirritaður hefur einnig farið fram á það munnlega að fá uppl. úr „Ábendingakerfi Strætó bs.“ þegar ég hef verið kallaður fyrir. Og viti menn mér hefur verið neitað um það.
Undirritaður fer aftur ítrekað fram á það að fá allar uppl. um mig sem hafa verið skráðar í „Ábendingakerfi Strætó bs.““
Tölvubréf kvartanda til Persónuverndar hefur að geyma tölvupóstsamskipti hans við starfsmann akstursdeildar Strætó bs. Í þeim kemur fram að hinn 4. júní 2014 barst kvartanda tölvubréf frá viðkomandi starfsmanni sem hafði að geyma orðréttan texta ábendingar frá farþega, sem ekki var nafngreindur, um að farþeganum hefði virst sem vagnstjóri hefði gert ótímabært hlé á akstri. Þá kemur fram að kvartandi hafi gert athugasemdir við ábendinguna en að þær athugasemdir hafi ekki verið teknar til greina eins og rakið er í tölvubréfi akstursdeildar til kvartanda hinn 5. júní 2014 þar sem hann er beðinn um að taka sér ekki aftur hlé sem þetta. Einnig kemur fram að hinn 13. október s.á. sendi kvartandi tölvubréf þar sem allra upplýsinga varðandi ábendinguna er óskað, þ. á m. nafns viðkomandi farþega. Í svari við tölvubréfinu var ekki tekin afstaða til þessarar óskar og sendi kvartandi þá fyrrnefnda beiðni frá 14. október 2014 sem svarað var degi síðar með þeim hætti sem fyrr er lýst.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að í móttöku ábendinga fyrir tilstilli umrædds ábendingahnapps felst meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Strætó bs. vera ábyrgaraðili að umræddri vinnslu.
2.
Svo að vinnsla persónuupplýsinga sé heimil þarf ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Á meðal þeirra er að vinnsla sé nauðsynleg til að gæta lögmætra hagsmuna sem vega þyngra en grundvallarréttindi og frelsi hins skráða. Telur Persónuvernd þá vinnslu persónuupplýsinga, sem hér um ræðir, þ.e. skráningu Strætó bs. á ábendingum og kvörtunum vegna þjónustu félagsins, eiga stoð í þessu ákvæði.
Við umrædda vinnslu ber meðal annars að fara að ákvæðum 18. gr. laga nr. 77/2000 þar sem fjallað er um rétt hins skráða til að fá vitneskju hjá ábyrgðaraðila um vinnslu persónuupplýsinga um sig. Í 1. mgr. ákvæðisins eru talin upp nokkur atriði sem veita ber vitneskju um, þ. á m. um hvaðan upplýsingar koma. Er kvartað yfir að sú vitneskja hafi ekki verið veitt.
Í 19. gr. laga nr. 77/2000 er mælt fyrir um undantekningar frá upplýsingarétti hins skráða samkvæmt 18. gr. laganna. Á meðal þeirra er að upplýsingarétturinn eigi ekki við þyki hann eiga að víkja fyrir hagsmunum annarra að nokkru eða öllu. Almennt ber að túlka þessa undantekningu þröngt. Hins vegar ber einnig að líta til þess hvort hinn skráði hafi ríka hagsmuni af vitneskju samanborið við hagsmuni annarra af því að undantekningunni sé beitt. Ekki verður séð með hvaða hætti vitneskja kvartanda um hver hafi sent ábendingu um umrætt hlé á akstri geti gagnast honum sérstaklega og verður því ekki séð að hann hafi ríka hagsmuni af vitneskjunni. Þá ber að telja veitingu hennar geta valdið þeim einstaklingi óþægindum sem sendi Strætó bs. ábendingu um hléið, t.d. þar sem viðkomandi þurfi oft að nýta sér þjónustu félagsins. Auk þess verður að telja óhjákvæmilegt að þeir sem sinna þjónustustörfum fyrir almenning geti þurft að þola að athugasemdir séu gerðar við þjónustuna og verður að játa notendum þjónustu ákveðið svigrúm til að gera slíkar athugasemdir án þess að þeir séu nafngreindir sérstaklega í því samhengi.
Þegar á allt þetta er litið telur Persónuvernd Strætó bs. ekki skylt að veita kvartanda vitneskju um hvaða einstaklingur sendi félaginu umrædda ábendingu. Hvað varðar varðveislu upplýsinga um ábendinguna vísast til 5. tölul. 1. mgr. 7. gr. laga nr. 77/2000, en þar kemur fram að persónuupplýsingar skulu ekki varðveittar lengur en nauðsyn krefur í þágu tilgangs vinnslu. Í ljósi þess að tiltölulega stutt er síðan umrædd ábending barst Strætó bs. telur Persónuvernd ekki enn farið að reyna á hvort eyða bera ábendingunni með vísan til ákvæðisins.
Ú r s k u r ð a r o r ð:
Strætó bs. er ekki skylt að upplýsa [A] um hvaða einstaklingur sendi félaginu ábendingu um að hann hefði gert ótímabært hlé á akstri strætisvagns. Varðveisla ábendingarinnar er heimil.