Skoðun vinnuveitanda á vinalista starfsmanns á Facebook

Mál nr. 2020061856

21.6.2021

Úrskurður

Hinn 27. maí 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020061856:

I.
Málsmeðferð

1.
Tildrög máls

Hinn 9. júní 2020 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir vinnslu persónuupplýsinga af hálfu [X].

Með bréfi, dags. 6. nóvember 2020, var [X]. boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 17. s.m. Með bréfum, dags. 22. desember 2020 og 4. janúar 2021, var kvartanda boðið að koma á framfæri athugasemdum við svör [X].Svar barst með tölvupósti 15. janúar 2021. Í símtali við [X]. þann 26. maí 2021 var óskað staðfestingar á því að umkvörtunarefni kvartanda hefði komið fram í vinnustaðagreiningu.

Við úrlausn málsins hefur verið tekið tillit til framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.
Sjónarmið kvartanda

Af hálfu kvartanda hefur komið fram að í vinnustaðagreiningu hjá [X] hafi verið fjallað um vinalista hans á Facebook. Með athugasemdum kvartanda fylgdi skjáskot úr vinnustaðagreiningunni þar sem fram kom að þeir starfsmenn sem hefðu verið ósammála honum hefðu fundið fyrir því í samskiptum við hann og hefði einum t.d. verið hent út af vinalista hans á Facebook.

3.
Sjónarmið [X].

Af hálfu [X] hefur komið fram að vinalisti kvartanda á Facebook hafi ekki verið skoðaður, hvorki í tengslum við vinnustaðagreiningu né annað hjá félaginu. Kvartanda hafi verið tilkynnt um það í samskiptum sínum við [X]. [X] hefur þó staðfest að umræddur texti hafi komið fram í vinnustaðagreiningunni og að við gerð hennar hafi sérfræðingur verið fenginn til að taka samtöl við starfsmenn og útbúa samantekt úr samtölunum og gera tillögur að mögulegum úrbótum.

II.
Forsendur og niðurstaða

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Kvartandi telur að [X] hafi notað upplýsingar um breytingar á vinalista á Facebook-reikningi hans sem hluta í vinnustaðagreiningu. [X] hefur hins vegar hafnað því að hafa skoðað nefndan vinalista. Fyrir liggur þó að í vinnustaðagreiningunni var vísað til þess að einum samstarfsmanni kvartanda hafi verið hent út af vinalista hans, sem rekja má til samantektar sérfræðings á samtölum við starfsmenn. Almennt er litið svo á að vinnsla vinnuveitanda á persónuupplýsingum um starfsmenn geti talist eðlilegur þáttur í starfsemi hans. Vinnuveitandi hefur því alla jafna lögmæta hagsmuni af slíkri vinnslu, sbr. 6. tölul. 9. gr. laga nr. 90/2018, að því gefnu að meginreglum persónuverndarlaga sé fylgt, m.a. um meðalhóf.

Með vísan til þessa liggur ekki fyrir að átt hafi sér stað vinnsla persónuupplýsinga sem brýtur gegn lögum nr. 90/2018, sbr. reglugerð (ESB) 2016/679. Þá telur Persónuvernd ekki tilefni til þess að stofnunin beiti frekari valdheimildum, sem henni eru fengnar í lögum nr. 90/2018, til þess að rannsaka það nánar.

Ú r s k u r ð a r o r ð:

Ekki liggur fyrir að átt hafi sér stað vinnsla persónuupplýsinga um [A] hjá [X] sem braut gegn lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 27. maí 2021

Helga Þórisdóttir                  Vigdís Eva Líndal