Miðlun gagna vegna kvörtunar um einelti til utanaðkomandi ráðgjafa

Mál nr. 2020010860

10.6.2021

Úrskurður

Hinn 31. maí 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010860:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 31. janúar 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi), yfir því að þáverandi fræðslustjóri [sveitarfélagsins X] hafi, árið 2018, miðlað gögnum, vegna kvörtunar kvartanda um einelti á vinnustað, til utanaðkomandi ráðgjafa
Með bréfi, dags. 26. október 2020, var [X] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 17. nóvember 2020.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartanda

Kvartandi vísar til þess að hún sé grunnskólakennari [heiti skóla] og starfsmaður [X] og hún hafi kvartað undan því að hafa verið beitt andlegu ofbeldi af hálfu skólastjórans og yfirmanns hennar þann 22. maí 2018. Meðfylgjandi kvörtun hafi verið ítarleg persónuleg greinargerð kvartanda um ástandið á vinnustaðnum auk lýsinga á fjölmörgum tilvikum þar sem kvartandi taldi sig hafa verið beitta einelti eða andlegu ofbeldi af hálfu yfirmanns hennar. Þann 4. júní 2018 hafi borist tölvupóstur frá þáverandi fræðslustjóra [X] um að tiltekinn ráðgjafi, myndi taka að sér málið. Tveimur dögum síðar hafi kvartanda borist tölvupóstur frá þeim ráðgjafa um að hún hafi þegar tekið að sér, f.h. [X], umrætt mál. Kvartandi hafi í kjölfarið óskað eftir upplýsingum frá þáverandi fræðslustjóra sveitarfélagsins um viðkomandi ráðgjafa og svör hans hafi verið þau að hún væri sjálfstætt starfandi verktaki með mikla reynslu í starfsmanna- og mannauðsmálum. Hafi þá komið í ljós að um ferðaþjónustubónda væri að ræða sem hvorki hafi menntun á sviði mannauðsstjórnunar né væri viðurkenndur þjónustuaðili á vegum vinnuverndar hjá Vinnueftirlitinu.
Ljóst hafi verið af samskiptum milli aðila að umræddur ráðgjafi hefði þegar fengið upplýsingar, gögn og annað um umrætt mál og tekið það að sér. Telur kvartandi framangreinda miðlun gagna til óviðkomandi aðila hafa falið í sér brot á persónuverndarlögum. Ekki hafi verið gætt að meginreglum laga nr. 90/2018 og að sérstök skilyrði 11. gr. laga nr. 90/2018 fyrir vinnslu viðkvæmra persónuupplýsinga hafi ekki verið uppfyllt í málinu.

3.
Sjónarmið [X]

Sveitarfélagið vísar til þess að það hafi leitað til viðkomandi ráðgjafa um aðstoð og ráðgjöf vegna mannauðsmála en hún hafði frá því í febrúar 2018 og fram á vor sama ár undirbúið og leitt vinnu við gerð mannauðsstefnu fyrir sveitarfélagið og mikil ánægja verið með þá vinnu. Farið er nánar yfir starfsferil ráðgjafans og hæfni hennar og getu til að taka að sér málið í kjölfarið en ekki þykir tilefni til að rekja það nánar hér.
Samkvæmt lögum hafi sveitarfélagið heimild til að leita eftir og fá til aðstoðar við einstök verkefni sjálfstætt starfandi einstaklinga og fyrirtæki. Jafnframt er vísað til þess að lögum samkvæmt gildi um slíka aðila þagnarskylda. Lög geri ekki þá kröfu að tiltekinn sérfræðingur yrði ráðinn til starfsins eins og í kvörtun greini. Viðkomandi ráðgjafi hafi verið fengin eftir að skýrsla sem unnin var af Lífi og sál – sálfræðistofu lá fyrir, til að ræða við ákveðna starfsmenn, þ.m.t. kvartanda, og meta hvað væri hægt að gera, til að greiða úr samskiptavanda og fyrirliggjandi kvörtunum um einelti. Verkefni hennar hafi því ekki verið að vinna að gerð áætlunar um öryggi og heilbrigði á vinnustað eða gerð áhættumats, sem fellur undir 66. gr. a í lögum nr. 46/1980. Ákvæði þeirrar greinar um vottun Vinnueftirlitsins á þjónustuaðilum hafi því ekki átt við. Viðurkenning Vinnueftirlitsins væri ekki skilyrði fyrir því að ráðgjafi gæti unnið með einstök vinnuverndarmál, svo sem mál sem varða einelti eða kynferðislega áreitni á vinnustað. Vísar sveitarfélagið til þess að viðkomandi ráðgjafi hafi sjálf óskað eftir því að vera leyst undan því að fjalla sérstaklega um mál kvartanda þar sem hún taldi ljóst af viðbrögðum hennar og óskum um annan bakgrunn þess sem kæmi að málinu að réttara væri að verða við þeim óskum. Við þeirri tillögu hafi sveitarfélagið orðið og annar aðili verið fenginn til að sinna verkefninu, án þess þó að sveitarfélagið liti svo á að ráðgjafinn hefði ekki tilskylda hæfni til þess að sinna verkefninu.
Eru í kjölfarið listuð upp þau gögn sem viðkomandi ráðgjafi fékk send frá sveitarfélaginu og vísað til þess að gögnum hafi ekki verið miðlað til annarra utanaðkomandi aðila.
Ekki hafi verið um að ræða miðlun viðkvæmra persónuupplýsinga þar sem engar upplýsingar um heilsuhagi kvartanda sem stöfuðu frá heilbrigðisstarfsfólki eða persónugreinanlegar upplýsingar um aðra sem hefðu getað fallið undir skilgreiningar í 8. tölul. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga hafi verið að finna í gögnunum. Farið hafi verið yfir meðferð trúnaðarupplýsinga munnlega með viðkomandi ráðgjafa og hún hafi þekkt það frá fyrri störfum að mikilvægt væri að varðveita slík gögn með öruggum hætti og eyða því sem ekki hafi lengur verið þörf á vegna vinnslu einstakra mála við lok þeirra. Hún hafi sérstaklega verið beðin um að viðhafa trúnað varðandi mál kvartanda og þau gögn sem sveitarfélagið lét henni í té vegna þess, sökum eðlis málsins. Samkvæmt staðfestingu frá viðkomandi ráðgjafa hafi hún eytt þeim gögnum sem hún hafði fengið vegna máls kvartanda þegar fyrir hafi legið að hún hefði ekki lengur afskipti af því máli og hún hafi ekki miðlað gögnunum áfram til annarra aðila.

II.
Forsendur og niðurstaða

1.
Lagaskil

Atvik þessa máls gerðust fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018. Umfjöllun og efni þessa úrskurðar byggjast því á ákvæðum eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, en með gildistöku laga nr. 90/2018 voru ekki gerðar efnislegar breytingar á þeim reglum sem hér reynir á.
Um valdheimildir Persónuverndar frá og með 15. júlí 2018 fer hins vegar eftir núgildandi lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

2.
Gildissvið – Ábyrgðaraðili

Lög nr. 77/2000 giltu um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem voru eða áttu að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Athugun Persónuverndar í máli þessu lýtur að því hvort [X] hafi, með miðlun upplýsinga um kvartanda til viðkomandi ráðgjafa vegna kvörtunar kvartanda um einelti, brotið í bága við þágildandi lög nr. 77/2000. Mál þetta fellur þar af leiðandi undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga hafi samrýmst lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna var þar átt við þann sem ákvað tilgang vinnslu persónuupplýsinga, þann búnað sem notaður var, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst [X] vera ábyrgðaraðili að umræddri vinnslu.

3.
Niðurstaða

Samkvæmt lögum nr. 77/2000 þurfti öll vinnsla persónuupplýsinga að byggjast á einhverri þeirra heimilda sem tilgreindar voru í 8. gr. laganna. Vinnsla viðkvæmra persónuupplýsinga, s.s. upplýsinga um heilsuhagi, sbr. c-lið 8. tölul. 2. gr. sömu laga, varð einnig að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna.
Ekki liggur fyrir að meðal þeirra gagna sem miðlað var til viðkomandi ráðgjafa hafi verið upplýsingar sem innihéldu viðkvæmar upplýsingar í framangreindum skilningi. Í gögnunum var einungis að finna einhliða yfirlýsingu kvartanda um að hún hafi þurft að fara í veikindaleyfi vegna meints eineltis. Við mat á því á grundvelli hvaða heimildar umrædd miðlun hafi getað farið fram, verður því einkum litið til 8. gr. laganna.
Í 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 kom fram að vinnsla persónuupplýsinga væri heimil væri hún nauðsynleg til að fullnægja lagaskyldu sem hvíldi á ábyrgðaraðila. Eins og hér háttar til reynir einkum á sjónarmið tengd þessu ákvæði í tengslum við miðlun [X] á persónuupplýsingum um kvartanda til viðkomandi ráðgjafa. Í e-lið 38. gr. laga nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, segir að ráðherra setji nánari reglur um hvaða kröfur skuli uppfylltar varðandi skipulag, tilhögun og framkvæmd vinnu, svo sem um aðgerðir gegn einelti á vinnustað. Slík reglugerð hefur verið sett og í 7. gr. reglugerðar nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum, kemur fram að atvinnurekandi skuli bregðast við eins fljótt og kostur er komi fram ábending um einelti á vinnustað. Meta skuli aðstæður í samvinnu við utanaðkomandi ráðgjafa ef með þarf.
Í máli þessu liggur fyrir að [X] miðlaði persónuupplýsingum um kvartanda til utanaðkomandi ráðgjafa sem hafði það hlutverk að leggja mat á eineltisásökun kvartanda. Með hliðsjón af framangreindu ákvæði í lögum nr. 46/1980 og reglugerð nr. 1009/2015 er ljóst að atvinnurekanda ber skylda til að bregðast við ábendingu um einelti og eftir atvikum afla ráðgjafar utanaðkomandi aðila ef með þarf. Hvergi er í framangreindum lögum eða reglugerð gerð krafa um að slíkur ráðgjafi hafi hlotið viðurkenningu frá Vinnueftirlitinu, eins og haldið er fram í kvörtun. Verður því að telja að sveitarfélagið hafi haft heimild til að miðla upplýsingum til viðkomandi ráðgjafa í kjölfar kvörtunar kvartanda um einelti á vinnustað.
Hins vegar er til þess að líta að auk heimildar samkvæmt framangreindu varð vinnsla persónuupplýsinga að fullnægja öllum meginreglum 7. gr. laga nr. 77/2000, þ. á m. að persónuupplýsingar væru unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að persónuupplýsingar væru fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að persónuupplýsingar væru nægjanlegar, viðeigandi og ekki umfram það sem nauðsynlegt var miðað við tilgang vinnslunnar (3. tölul.). Forsenda þess að vinnsla teljist sanngjörn samkvæmt framangreindu er að hún sé gagnsæ gagnvart hinum skráða, en í því felst meðal annars að hinn skráði viti um vinnsluna og hafi fengið fræðslu um hana, sbr. 20. gr. laga nr. 77/2000. Í ákvæðinu sagði að þegar persónuupplýsinga væri aflað hjá hinum skráða sjálfum skyldi ábyrgðaraðili veita honum fræðslu um ýmis atriði, meðal annars um atriði sem hinn skráði þyrfti að vita um til að geta gætt hagsmuna sinna.
Samkvæmt gögnum máls er ljóst að kvartanda var ekki veitt fræðsla áður en persónuupplýsingum um hana var miðlað til viðkomandi ráðgjafa. Af þessu er ljóst að [X] sinnti ekki fræðsluskyldu sinni.
Með vísan til framangreinds er það niðurstaða Persónuverndar að miðlun [X] á persónuupplýsingum til kvartanda var heimil á grundvelli 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Fræðsla [X] var hins vegar ekki í samræmi við lög nr. 77/2000, sbr. 1. tölul. 7. gr. laga nr. 77/2000.

Ú r s k u r ð a r o r ð:

Vinnsla persónuupplýsinga um [A] hjá [X] sem fólst í miðlun upplýsinga um hana vegna kvörtunar hennar um einelti á vinnustað samrýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Fræðsla [X] samrýmdist ekki lögum nr. 77/2000.

Helga Þórisdóttir                     Vigdís Eva Líndal