Skýrsla um einelti - mál nr. 2011/1211

22.6.2012

Efni: Niðurstaða í máli nr. 2011/1211; varðveisla skýrslu um meint einelti.

Fyrirmælum beint til ábyrgðaraðila, sbr. 1. tölul. 3. mgr. 37. gr. og 40. gr. laga nr. 77/2000.

I.
Upphaf máls og bréfaskipti

1.
Kvörtun, dags. 28. október 2011

Þann 28. október 2011 barst Persónuvernd kvörtun X, hdl., f.h. A (kvartanda), yfir varðveislu skýrslu um meint einelti af hennar hálfu. Í kvörtuninni segir m.a.:

„Tilefni bréfs þessa er skýrsla sem unnin var af tilteknum aðila fyrir Akraneskaupstað vegna meintrar kvörtunar um einelti A í garð [yfirmanns] C. Niðurstaða sérfræðingsins var gagnrýnd af hálfu [Kennarasambands Íslands] sérstaklega hvernig staðið var að rannsókninni aðferðafræðilega.[...]
Málinu lauk með þeim hætti að fullar sættir náðust á milli A og skólastjórans. Það sem eftir stendur er skýrsla fyrri sérfræðings [sem] er til í skjalavörslu Akranesbæjar. Að mati A eru upplýsingar í skýrslunni og gögnum tengd henni sem eru meiðandi og beinlínis rangar og mikilvægt sé að þessu sé eytt. Því hefur hins vegar verið hafnað af Akranesbæ[...].“

2.
Bréfaskipti

Með bréfi, dags. 14. nóvember 2011, var Akraneskaupstað gefinn kostur á að koma á framfæri afstöðu sinni til kvörtunarinnar. Í svarbréfi hans, dags. 17. nóvember s.á., segir m.a.:

„Frá því að mál þetta kom upp hafa nokkrir aðilar komið að meðferð þess og þar á meðal B sem er einn af viðurkenndum þjónustuaðilum Vinnueftirlits ríkisins, með áherslu á andlega og félagslega áhættuþætti á vinnustöðum. B skilaði greinargerð um athugun sína til kaupstaðarins[...].
Í ljósi þess að skýrsla B var unnin í tengslum við meðferð máls ber sveitarfélaginu skylda til að varðveita skýrsluna, á kerfisbundinn hátt, með öðrum málsgögnum. Um rök fyrir afstöðu Akraneskaupstaðar er vísað til meðfylgjandi minnisblaðs Z, hdl., unnins fyrir Akraneskaupstað í tengslum við beiðni um eyðingu nefndra gagna varðandi framangreint mál þar sem fram kemur að í samræmi við ákvæði upplýsingalaga nr. 50/1996 er Akraneskaupstað skylt að skrá mál, sem koma til meðferðar hjá sveitarfélaginu, á kerfisbundinn hátt og varðveita málsgögn þannig að þau séu aðgengileg.“

Með svarbréfi Akraneskaupstaðar fylgdi afrit af minnisblaði Z, hdl., dags. 29. ágúst 2011. Í því segir m.a.:

„Að því er varðar erindi starfsmanns, sem að framan greinir, þykir ástæða til að leggja áherslu á að skýrsla B var unnin í tengslum við það mál sem til meðferðar var og nú hefur lokið með sátt.[...] Í samræmi við ákvæði upplýsingalaga er Akraneskaupstað skylt að skrá mál, sem koma til meðferðar hjá sveitarfélaginu, á kerfisbundinn hátt og varðveita málsgögn þannig að þau séu aðgengileg. Í ljósi þess að skýrsla B var unnin í tengslum við meðferð máls ber sveitarfélaginu skylda til að varðveita skýrsluna, á kerfisbundinn hátt, með öðrum málsgögnum. Af framangreindu leiðir m.a. að sveitarfélaginu er óheimilt að eyða skýrslunni sem og öðrum gögnum sem tengjast meðferð máls.[...]“

Með bréfi, dags. 21. nóvember 2011, var X, hdl., f.h. kvartanda, gefinn kostur á að tjá sig um svar Akraneskaupstaðar. Var þess jafnframt óskað að rökstudd yrði nánar ósk kvartanda um eyðingu skýrslunnar og hvort uppfyllt væru skilyrði 1. mgr. 25. gr. laga nr. 77/2000, um leiðréttingu og eyðingu rangra og villandi persónuupplýsinga. Í svarbréfi lögmanns kvartanda, dags. 30. janúar 2012, segir m.a.:

„[...]Viðtalsvinna B f.h. Akraneskaupstaðar var gölluð og ekki til að byggja á, hvað þá að geyma skýrsluna. B rannsakaði málið og komst að niðurstöðu eftir að hafa heyrt aðeins aðra hliðina á málinu. Skýrslan sem hún sendi frá sér er háð svo miklum annmörkum að upplýsingarnar sem í henni birtast eru rangar, villandi og ófullkomnar í skilningi 1. mgr. 25. gr. persónuverndarlaga.[...]
[Kvartanda] finnst sú tilhugsun óbærileg að í fórum kaupstaðarins sé til skrifleg skýrsla, sem líti út fyrir að vera formleg og vel unnin skýrsla frá viðurkenndum þjónustuaðila, með þeirri niðurstöðu að hún sé sek um svo alvarlegt ofbeldi sem einelti er, og að það eigi að veita henni áminningu vegna þess. Þá getur skýrslan haft ófyrirséð og íþyngjandi áhrif á starfsheiður hennar í framtíðinni hjá kaupstaðnum eða öðrum vinnuveitendum og er það með öllu ólíðandi. Þarna er um að ræða villandi persónuupplýsingar sem geta ratað í hendur ýmissa aðila.[...] F.h. A fer undirrituð fram á að umræddri skýrslu B og gögnum sem tengjast henni verði eytt með vísan til 1. mgr. 25. gr. persónuverndarlaga. Ef ekki verður á það fallist fer undirrituð fram á að það verði gerðar ráðstafanir sem feli í sér að allar persónuupplýsingar um A verði afmáðar og að gögnin er tengjast þessu máli að öðru leyti verði þannig úr garði gerð að þau tengist ekki nafni A.“

Með bréfi, dags. 15. febrúar 2012, var Akraneskaupstað gefinn kostur á að koma á framfæri athugasemdum. Í svari hans, dags. 28. febrúar s.á., segir m.a.:

„Í erindi lögmanns til Persónuverndar eru ekki tilgreind einstök atriði í fyrrnefndri skýrslu sem teljist hafa að geyma rangar eða villandi persónuupplýsingar. Af hálfu Akraneskaupstaðar var leitað afstöðu B í tengslum við afgreiðslu þessa erindis. Meðfylgjandi er greinargerð hennar um þetta atriði, merkt „Vinnulag vegna samskiptaerfiðleika unnið fyrir Akraneskaupstað 2012 skv. beiðni“, þar sem nánar er lýst vinnulagi því sem viðhaft var í tengslum við gerð umræddrar skýrslu. Framangreindu til viðbótar skal bent á að synjun Akraneskaupstaðar á eyðingu skýrslu, sem um ræðir, byggði á þeirri afstöðu að lagaskilyrði skorti til að verða við slíkri kröfu.[...]
Var það afstaða Akraneskaupstaðar að sveitarfélaginu væri í raun óheimilt að eyða umræddri skýrslu enda hvíldi skylda á því að varðveita hana með öðrum gögnum máls. Í raun er það svo að Akraneskaupstaður telur ekkert það hafa komið fram við meðferð máls þessa á síðari stigum, þ.m.t. við meðferð þess hjá Persónuvernd, sem breyti þeirri afstöðu sveitarfélagsins.
Af hálfu Akraneskaupstaðar skal áréttuð sú afstaða sem fram hefur komið til þessa álitaefnis á fyrri stigum máls, þ.e. að sveitarfélaginu beri að varðveita umrædda skýrslu með öðrum gögnum máls.“

Með bréfi, dags. 8. mars 2012, var kvartanda gefinn kostur á að koma á framfæri athugasemdum við svarbréf Akraneskaupstaðar, dags. 28. febrúar 2012. Í svarbréfi X, hdl., dags. 27. mars 2012, f.h. kvartanda, segir m.a.:

„Það er mat undirritaðrar að skýrsla sú sem unnin var vegna meints eineltis byggist á röngum, villandi og ófullkomnum upplýsingum sem getur haft áhrif á hagsmuni A. Undirrituð byggir á því að skýrslan í heild sinni falli undir 25. gr. persónuverndarlaga. En til að taka nokkrar fullyrðingar sérstaklega út úr skýrslunni má nefna eftirfarandi:
1.  Ljóst er að A nýtir ýmis tækifæri til að grafa undan stjórnun og hæfi C sem [yfirmanns] og notar til þess síendurtekna ótilhlýðilega háttsemi.
2.   Heilsu C stafar hætta af stöðugu streituástandi sem beinlínis tengist hegðun A í hennar garð.
3.   Auk þess grefur hegðun hennar undan heilbrigðum starfsanda [...] og veldur streitu meðal annarra starfsmanna [...].
Þarna er um að ræða fullyrðingar sem koma fram hjá viðmælendum skýrsluhöfundar. Viðmælendur hennar voru tveir starfsmenn sem kvörtuðu yfir meintu einelti A í garð C, meintur þolandi og öryggistrúnaðarmaður.[...] Fullyrðingar þessar eru ekki bornar undir fleiri starfsmenn [...] heldur alhæft að hegðun A valdi streitu meðal annarra starfsmanna [...]. Þá er lagt læknisfræðilegt mat á heilsu C og fullyrt að henni stafi hætta af hegðun A. Hvernig geta þessar fullyrðingar verið annað en rangar, villandi eða ófullkomnar.“

Með bréfi, dags. 26. apríl 2012, var kvartanda gefinn kostur á að tjá sig um þann kost að umræddum persónuupplýsingar yrði ekki eytt heldur aukið við þær. Í svarbréfi X  hdl., f.h. kvartanda, dags. 8. maí 2012, segir m.a.:

„Undirrituð ítrekar f.h. A fyrri kröfu um að gögnunum verði eytt. Komi það ekki til álita af hálfu Persónuverndar, telur undirrituð að það komi til greina að færa athugasemdir um gögnin til bókar. Þær athugasemdir þurfi hins vegar að koma frá Akraneskaupstað þar sem hann lýsir yfir því að skýrslan innihaldi villandi og rangar upplýsingar. Undirrituð ítrekar að gögnin innihalda upplýsingar um frammistöðu A í starfi og því hafi það litla þýðingu að athugasemdum sem koma frá henni sjálfri sé bætt við gögnin. Það myndi ekki hafa þau tilætluðu áhrif að mati undirritaðrar að sýna fram á að gögnin séu röng og villandi, heldur kæmi það út að þarna væri um að ræða geranda í einelti sem væri að reyna að malda í móinn sér í hag. Það hefði strax aukið vægi ef Akraneskaupstaður myndi sjálfur setja athugasemdir við gögnin.“

Bréf lögmannsins, dags. 27. mars og 8. maí 2012 voru send Akraneskaupstað með tölvupósti hinn 12. júní 2012. Í svari hans, dags. 13. júní, segir m.a.:

„Með vísan til framanritaðs upplýsir sveitarfélagið framangreinda afstöðu sína til þessa álitaefnis en lýsir sig jafnframt reiðubúið til að færa eftirfarandi athugasemd til bókar og varðveita með skýrslunni:
„Málsaðili, A, hefur komið á framfæri við Akraneskaupstað því sjónarmiði sínu að skýrsla B var unnin í tengslum við meðferð máls, [...], byggist á röngum, villandi og ófullkomnum upplýsingum sem geti haft áhrif á hagsmuni A.““

Farið var yfir málið í símtali starfsmanns Akraneskaupstaðar og starfsmanns Persónuverndar, hinn 14. júní 2012. Af hálfu Persónuverndar var spurt um afstöðu kaupstaðarins til þess að æskja leyfis Þjóðskjalasafns til að ónýta skjalið, svo sem gert sé ráð fyrir í 7. gr. laga nr. 66/1985 um Þjóðskjalasafn Íslands. Fram kom að kaupstaðurinn vildi það ekki.

II.
Forsendur og niðurstaða

1.
Gildissvið laga o.fl.
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.

Persónuvernd hefur eftirlit með rafrænni vinnslu persónuupplýsinga. Hún hefur einnig eftirlit með handvirkri vinnslu persónuupplýsinga ef þær eru hluti af skrá sbr. 3. gr. laga nr. 77/2000. Undir hugtakið skrá falla skráarsöfn, s.s. kerfisbundin skjala- og bréfasöfn, en skrár eða skráasöfn, sem eru ekki skipulögð samkvæmt tilteknum viðmiðunum, falla ekki undir það.

Með vísun til framangreinds telst varðveisla þeirrar skýrslu, sem mál þetta varðar, í skipulögðu skjalasafni Akraneskaupstaðar, vera vinnsla persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000.

2.
Um kröfu um eyðingu
Mál þetta varðar kröfu starfsmanns (kvartanda) um að eytt verði skýrslu í vörslu stjórnvalds, n.t.t. skýrslu um meint einelti hans í garð yfirmanns síns.  Hann segir að meðal annars sé þar ranglega fullyrt að hann hafi nýtt ýmis tækifæri til að grafa undan stjórnun og hæfi yfirmanns síns og notað til þess síendurtekna ótilhlýðilega háttsemi. Þá segi að heilsu yfirmannsins stafi hætta af stöðugu streituástandi vegna hegðunar starfsmannsins, hegðunin grafi auk þess undan heilbrigðum starfsanda [...] og valdi streitu meðal annarra starfsmanna [...].

Starfsmaðurinn telur að framangreint séu rangar og villandi upplýsingar og gerir kröfu um að af þeirri ástæðu verði skýrslunni eytt í samræmi við 1. mgr. 25. gr. laga nr. 77/2000. Samkvæmt þeirri grein ber ábyrgðaraðila skylda til að leiðrétta, eyða, bæta við eða stöðva notkun á röngum, villandi eða ófullkomnum persónuupplýsingum. Hann skal gera slíkar ráðstafanir að eigin frumkvæði.

Af hálfu Akraneskaupstaðar hefur þegar verið fallist á að færa til bókar athugasemd kvartanda um að hann telji skýrsluna byggjast á röngum, villandi og ófullkomnum upplýsingum. Í vissum tilvikum nægja slík úrræði ekki og getur þá þurft að grípa til frekari ráðstafana, jafnvel að eyða upplýsingum. Ákvæði annarra laga geta þó staðið slíkri eyðingu í vegi og þarf því að skoða hvort það eigi við í máli þessu.

Ábyrgðaraðili er stjórnvald og fellur undir lög um Þjóðskjalasafn Íslands nr. 66/1985. Í 2. mgr. 5. gr. þeirra segir að sveitarfélög og stofnanir þeirra skuli afhenda Þjóðskjalasafni skjöl sín, séu þau ekki aðilar að héraðsskjalasafni. Akraneskaupstaður á aðild að héraðsskjalsafni Akraneskaupstaðar, en um slík skjalasöfn gildir reglugerð nr. 283/1994. Í 8. gr. hennar segir að afhendingarskyldum aðilum sé almennt óheimilt að ónýta nokkurt skjal í skjalasöfnum sínum. Þeim getur þó verið það heimilt með leyfi Þjóðskjalasafnsins, en í máli þessu liggur hins vegar fyrir að Akraneskaupstaður vill ekki óska slíks leyfis. Meðan svo er verður að telja 7. gr. laga nr. 66/1985 standa í vegi fyrir eyðingu skýrslunnar þótt Þjóðskjalasafn gæti heimilað eyðingu hennar. Þegar af þeirri ástæðu verður af hálfu Persónuverndar ekki mælt fyrir um eyðingu skýrslunnar.

3.
Bann við notkun
Enda þótt ekki verði, í ljósi framangreinds, fallist á ósk kvartanda um eyðingu skýrslunnar getur Persónuvernd, samkvæmt 2. mgr. 25. gr. laga nr. 77/2000, bannað notkun hennar. Kemur þá til skoðunar hvort skilyrði séu til þess.

Umrædd skýrsla hefur að geyma matskenndar upplýsingar.  Í henni er kvartandi borinn þungum sökum á grundvelli yfirlýsinga sem samstarfsmenn hans hafa látið falla í viðtölum við félagsráðgjafa.  Almennt ræðst mat á því hvort um ófullkomnar upplýsingar sé að ræða af því samhengi sem þær birtast í. Þær geta talist ófullkomnar ef ekki hefur verið tekið tillit til þess að á hverju máli eru tvær hliðar og ekki verið gætt sjónarmiða hins skráða. Sama á við ef upplýsingar byggja á mati en eru þó settar fram eins og um hlutlægar staðreyndir sé að ræða og þess látið ógetið að til séu upplýsingar sem gangi í berhögg við þær.

Öll vinnsla persónuupplýsinga þarf að uppfylla meginreglur 7. gr. laga nr. 77/2000. Þar á meðal áreiðanleikaregluna, tilgangsregluna og regluna um vandaða vinnsluhætti. Ákvæði um þá fyrstu er í 4. tölul. 1. mgr. 7. gr. Samkvæmt henni skal þess ávallt gætt við vinnslu persónuupplýsinga að þær séu áreiðanlegar og uppfærðar eftir þörfum. Þær skulu vera réttar og endurspegla á hlutlægan hátt þann veruleika sem verið er að lýsa á þeim tíma sem vinnsla upplýsinganna miðast við.

Ákvæði um tilgangsregluna er í 2. tölul. 1. mgr. 7. gr. Samkvæmt henni má aðeins afla persónuupplýsinga í yfirlýstum, skýrum og málefnalegum tilgangi og ekki vinna þær frekar í öðrum og ósamrýmanlegum tilgangi. Frekari vinnsla í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi telst ekki ósamrýmanleg ef viðeigandi öryggis er gætt. Ábyrgðaraðili verður að ákveða tilganginn fyrirfram með skýrum hætti og ekki safna eða varðveita persónuupplýsingar af þeirri ástæðu einni að þær geti hugsanlega nýst honum síðar meir.

Reglan um vandaða vinnsluhætti er í 1. tölulið 1. mgr. 7. gr. Samkvæmt henni skal vinnsla fara fram með sanngjörnum, málefnalegum og lögmætum hætti og vera í samræmi við vandaða vinnsluhætti persónuupplýsinga. Liður í skyldu ábyrgðaraðila til að tryggja slíka vinnsluhætti er að uppfylla kröfur um upplýsingaöryggi. Í því felast þrír grundvallarþættir: (a) að persónuupplýsingum sé leynt gagnvart óviðkomandi, (b) að þær séu áreiðanlegar og (c) að þær séu aðgengilegar þeim sem nauðsynlega þurfa á þeim að halda.

Ákvæði um upplýsingaöryggi er í 11. gr. laga nr. 77/2000. Samkvæmt henni hvílir sú skylda á ábyrgðaraðila að gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar. Meðal annars skal verja þær gegn óleyfilegum aðgangi. Til frekari skýringar er bent á reglur nr. 299/2001 um öryggi við vinnslu persónuupplýsinga. Í 5. gr. þeirra er ákvæði um öryggisráðstafanir varðandi starfsmannamál og segir m.a. að í þeim tilgangi að fyrirbyggja og takmarka tjón af völdum mannlegra mistaka skuli ábyrgðaraðili grípa til þeirra öryggisráðstafana sem við eiga hverju sinni.

Til að tryggja að varðveisla þeirrar skýrslu sem mál þetta varðar samrýmist framangreindum reglum skal Akraneskaupstaður gera þær ráðstafanir sem nauðsynlegar eru til að koma í veg fyrir að hún berist til óviðkomandi. Með vísan til 1. tölul. 3. mgr. 37. gr. laga nr. 77/2000, er hér með lagt fyrir Akraneskaupstað að yfirfara tækni-, öryggis- og skipulagslegar ráðstafanir sínar með tilliti til þess. Þá hefur Persónuvernd, með vísan til 2. mgr. 25. og 1. mgr. 40. gr. laganna, tekið ákvörðun um bann við frekari notkun skýrslunnar í samræmi við eftirfarandi ákvörðunarorð.

Á k v ö r ð u n a r o r ð

Akraneskaupstað er óheimilt að nota skýrslu B félagsráðgjafa, um meint einelti A í garð C [...], nema í þeim afmarkaða og yfirlýsta tilgangi sem var með gerð skýrslunnar í upphafi. Til að gæta þess skal kaupstaðurinn gera nauðsynlegar ráðstafanir svo skýrslan verði ekki aðgengileg öðrum starfmönnum bæjarins en þeim sem nauðsynlega kunna að þurfa vegna þess tilgangs.