Spurningalisti Vinnumálastofnunar

4.10.2011

Úrskurður

Hinn 17. ágúst 2011 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2011/55:

I.
Upphaf máls,
málavextir og bréfaskipti

Þann 18. janúar 2011 barst Persónuvernd kvörtun H yfir vinnslu viðkvæmra persónuupplýsinga um sig hjá Vinnumálastofnun, n.t.t. í í tengslum við námskeið á vegum stofnunarinnar sem hún hafi orðið að sækja sem bótaþegi og þar þurft að gefa viðkvæmar persónuupplýsingarnar um sig.

1.
Bréfaskipti við Vinnumálastofnun
Með bréfi, dags. 22. febrúar 2011 var Vinnumálastofnun tilkynnt um kvörtunina og boðið að koma á framfæri andmælum sínum. Svör bárust frá Vinnumálastofnun með bréfi, dags. 28. apríl 2011. Þar segir m.a. :  

„[...] Í kvörtun sinni til Persónuverndar segir H að atvinnuleitendum sé gert skylt að gefa nánar persónulegar upplýsingar til Vinnumálastofnunar án þess að fá að vita hvað gert skuli með þær. Hún bendir á að einstaklingum beri að svara persónugreinanlegum spurningalista sem inniheldur viðkvæmar spurningar, til að mynda um andlega líðan viðkomandi.

Námskeið það sem er tilefni kvörtunar H til Persónuverndar er hluti af þeim úrræðum sem í boði eru fyrir langtímaatvinnulausa. Með námskeiðinu er leitast við að draga úr neikvæðum afleiðingum langtímaatvinnuleysis. Er lögð sérstök áhersla á að úrlausnir vandamála sem kunna að skapast þegar atvinnuleitin verður langdregin en reynslan hefur sýnt að eftir því sem lengra líður án þess að einstaklingar hafi atvinnu tekur það á bæði andlega og líkamlega. Í upphafi umrædds námskeiðs er spurningarlisti lagður fyrir þátttakendur til að val í hópa verði markvissara og árangursríkara. Umræddur spurningalisti er lagður fyrir þátttakendur svo unnt sé að finna hvaða efni þurfi helst að ræða á námskeiði og þá hvort þörf sé á öðrum úrræðum eða einstaklingsviðtölum. Spurningarnar eru því sumar persónulegar og fjalla um stöðu fólks í atvinnuleitinni. Umsjón námskeiðsins og kennsla er í höndum sálfræðings á vegum Vinnumálastofnunar og eins og fram kemur í kvörtun til Persónuverndar hefur hann einn aðgang að þeim upplýsingum sem koma frá þátttakendum.

Þar sem umrætt námskeið snýr að persónulegum högum atvinnuleitanda er ávallt vakin athygli á því að ef þátttakandi metur spurningarnar þess eðlis að hann kærir sig ekki um að svara þeim, þá er honum alltaf frjálst að sleppa þeim. Er atvinnuleitanda ekki undir neinum kringumstæðum gert skylt að svara spurningalistanum. Þá er skýrt tekið fram að umsjónarmaður námskeiðs sjái einn svörin og að öll svör séu meðhöndluð sem trúnaðarmál. Rétt er að árétta að umsjónarmaður námskeiðsins starfar eftir lögum um sálfræðinga nr. 40/1976, reglugerð um sérfræðileyfi nr. 158/1990 (sérfræðingur í kliniskri sálfræði) og siðareglum sálfræðinga.

Í ljósi þess sem að ofan greinir má ljóst vera að atvinnuleitendum sem þátt taka í umræddu námskeiði er ekki gert skylt, af hálfu Vinnumálastofnunar, að gefa viðkvæmar og perónugreinanlegar upplýsingar um sjálfa sig, þeim er aftur á móti boðið að veita upplýsingar í þeim tilgangi að árangur af þátttöku þeirra verði sem bestur. Vilji einstaklingur ekki svara spurningum á námskeiði stofnunarinnar kemur hvorki til viðurlaga skv. lögum nr. 54/2006 um atvinnuleysistryggingar né annarra afleiðinga.“

Persónuvernd óskaði nánari skýringa, með bréfi dags. 19. júlí 2011. Þar segir m.a. að skilningur hennar á svari Vinnumálastofnunar sé sá að umrædd vinnsla hafi, að mati Vinnumálastofnunar, verið á ábyrgð umrædds sálfræðings. Var spurt hvort þessi skilningur hennar væri réttur og þess óskað, ef svo væri, að upplýsingar bærust um það hvaða sálfræðing um væri að ræða. Í svarbréfi Vinnumálastofnunar, dags. 28. júlí 2011, kom hins vegar fram að um umræddur sálfræðingur hafi verið starfsmaður stofnunarinnar en ekki sjálfstætt starfandi sérfræðingur.

Í bréfi, dags. 5. ágúst 2011, frá Persónuvernd til Vinnumálastofnunar var spurt hvort umræddir spurningalistar hafi verið nafngreindir eða merktir þannig að rekja mætti svör til svarenda. Einnig var spurt hvort svarendur hafi veitt ótvírætt samþykki fyrir vinnslunni - og ef svo væri - var gagna óskað, s.s. sýnishorns af samþykkisyfirlýsingu.

Í svari Vinnumálastofnunar, dags. 11. ágúst 2011, segir:

„Í bréfi Persónuverndar eru áréttaðar spurningar varðandi námskeið er haldið var fyrir einstaklinga í atvinnuleit hjá Vinnumálastofnun. Persónuvernd spyr að því hvort „spurningalistar hafi verið nafngreindir eða merktir þannig að rekja mætti svör til svarenda“. Þátttakendur á umræddu námskeiði undirrituðu spurningarlista með nafni. Eins og áður hefur komið fram í bréfi Vinnumálastofnunar til Persónuverndar dags. 28. apríl 2011 var tilgangur með spurningarlista að undirbúa námskeið og meta hvort þörf væri á öðrum úrræðum eða hvort einstaklingsviðtöl hentaði betur þátttakendum. Sálfræðingur Vinnumálastofnunar hafði einn aðgang að spurningalista.

Síðari spurning Persónuverndar lítur að því hvort „svarendur hafi veitt ótvírætt samþykki fyrir vinnslunni“. Þátttakendum var tjáð að þeim væri ekki skylt að svara spurningarlistanum og að umsjónarmaður námskeiðs hefði einn aðgang að svörum. Ekki var leitað eftir skriflegu samþykki frá þátttakendum á námskeiðinu fyrir „vinnslunni“ enda ekki ætlunin að nýta spurningalistann í öðrum tilgangi en undirbúning að því námskeiði er atvinnuleitendur sóttu. Ekki er því fyrir að finna gögn s.s. samþykkisyfirlýsingu þátttakenda á valkvæðum svörum við spurningum á námskeiði.“

2.
Bréfaskipti við kvartanda
Þann 18. maí og 9.  júní sl. sendi Persónuvernd kvartanda afrit af svarbréfi Vinnumálastofnunar og bauð kost á frekari andmælum. Engin svör bárust þá en þann 12. ágúst barst Persónuvernd tölvubréf frá kvartanda. Því fylgdi afrit af spurningarlista þeim er lagður var fyrir á námskeiði Vinnumálastofnunar. Afrit spurningarlistans sýndi að þátttakendur undirrituðu nafn sitt á spurningarlistann ásamt dagsetningu. Neðst á spurningarlistanum var jafnframt að finna efnislínu með eftirfarandi leiðbeiningum: „Vinsamlegast gakktu úr skugga um að þú hafir merkt við öll atriðin“.

II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga í skilningi laga nr. 77/2000.

Með vísan til framangreinds telst sú aðgerð að safna viðkvæmum persónuupplýsingum um kvartanda með fyrirlögn spurningalista vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000.

2.
Mál þetta lýtur að því hvort heimild hafi staðið til vinnslu viðkvæmra persónuupplýsinga um kvartanda í tengslum við námskeið sem hann, sem bótaþegi atvinnuleysisbóta, sótti á vegum Vinnumálastofnunar. Námskeiðið var hluti af svonefndu vinnumarkaðsúrræði Vinnumálastofnunar fyrir langtímaatvinnulausa, sbr. bréf Vinnumálastofnunar dags. 28. júlí sl.

Öll vinnsla persónuupplýsinga þarf að eiga sér stoð í einhverju af skilyrðum 1. mgr. 8. gr. og eftir atvikum 1. mgr. 9. gr. laga nr. 77/2000. Vinnsla almennra persónuupplýsinga þarf aðeins að eiga sér stoð í einhverju af skilyrðum 1. mgr. 8. gr. en vinnsla viðkvæmra persónuupplýsinga þarf að auki að eiga sér stoð í einhverju af skilyrðum 1. mgr. 9. gr. laganna. Heilsufarsupplýsingar teljast til viðkvæmra persónuupplýsinga, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000.

Vinnumálastofnun er stjórnvald, bundið af lögmætisreglu stjórnsýsluréttarins. Af hennar hálfu hefur ekki verið vísað til þess að vinnslan styðjist við lagaheimild heldur þess að vinnslan byggist á samþykki hins skráða, þ.e. kvartanda.

Um samþykki sem heimild til vinnslu viðkvæmra persónuupplýsinga er fjallað í 1. tölul. 1. mgr. 9. gr. Er vinnsla viðkvæmra persónuupplýsinga heimil byggi hún á samþykki hins skráða. Átt er við samþykki eins og það er skilgreint í 7. tölul. 2. gr. laganna. Þar er það skilgreint sem sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig. Fyrir liggur að engin slík yfirlýsing var veitt.

Bent er á að enda þótt slík yfirlýsing liggi fyrir þarf einnig að uppfylla skilyrði 1. tölul. 1. mgr. 8. gr. Í því felst að samþykki þarf að vera ótvírætt.  Þá þarf það að vera gefið af fúsum og frjálsum vilja um að viðkomandi sé samþykkur vinnslu tiltekinna upplýsinga um sig. Við mat á því skiptir m.a. máli aðstöðumunur sem vera kann á ábyrgðaraðila og hinum skráða.  Í því máli sem hér er til úrlausnar var um að ræða lista sem Vinnumálastofnun lagði fyrir bótaþega að fylla út og á honum var sérstakur texti um að svarandi gengi úr skugga um að hann hefði merkt við öll atriðin. Í þessu endurspeglast sá aðstöðumunur sem er á aðilum.

3.
Í því máli sem hér um ræðir er óumdeilt að ekki var leitað eftir yfirlýstu samþykki frá kvartanda fyrir öflun viðkvæmra persónuupplýsinga um hann á umræddu námskeiði. Þegar af þeirri ástæðu var ekki uppfyllt skilyrði 1. töluliðar 1. mgr. 9. gr. laga nr. 77/2000 að því er varðar þá söfnun Vinnumálastofnunar á viðkvæmum persónuupplýsingum um kvartanda sem kvartað er yfir. Var hún því ekki heimil.

Ú r s k u r ð a r o r ð:

Skráning Vinnumálastofnunar á viðkvæmum persónuupplýsingum um kvartanda, H, var ekki heimil.