Úrlausnir
Synjað um endurupptöku - mál nr. 2012/1091
Synjað hefur verið beiðni tveggja sálfræðinga um endurupptöku máls sem lokið var með úrskurði hinn 10. júní 2009. Málið varðaði störf þeirra við gerð skýrslu um ásakanir um einelti á tilteknum vinnustað. Persónuvernd taldi ekkert efnislega nýtt hafa komið fram í málinu sem breyttu fyrri afstöðu hennar um ábyrgð þeirra - s.s. um að þeir hefðu ekki ráðið því hvernig þeir unnu persónuupplýsingar við gerð skýrslunnar eða um að gerður hefði verið vinnslusamningur sem hefði getað leitt til þess að þeir bæru ekki ábyrgðina heldur verkbeiðandi.
Ákvörðun
Hinn 4. mars 2013 tók stjórn Persónuverndar svohljóðandi ákvörðun í máli nr. 2012/1091:
Tildrög málsins og bréfaskipti
1.
Helstu atvik
Persónuvernd hefur borist beiðni frá X hrl. f.h. sálfræðinganna A og B, dags. 28. september 2012, um endurupptöku máls nr. 172/2009 sem stofnunin lauk með úrskurði hinn 10. júní 2009. Tilefni úrskurðarins var kvörtun frá C (hér eftir nefnd „kvartandi“), dags. 20. febrúar 2009. Kvörtunin varðaði aðkomu framangreindra sálfræðinga að rannsókn á því hvort hún hefði sætt einelti á vinnustað sínum, þ.e. Fjölmennt. Hafði hún þá sent kvörtun yfir einelti til Vinnueftirlits ríkisins og það mælst til þess við Fjölmennt að ásakanir hennar yrðu rannsakaðar. Voru sálfræðingarnir þá fengnir til að annast slíka rannsókn.
Sálfræðingarnir ræddu við starfsmenn hjá Fjölmennt, þ. á m. kvartanda, og sömdu skýrslu um málið sem afhent var vinnuveitanda. Í lok skýrslunnar er að finna þá ályktun sálfræðinganna að nauðsynlegt sé að gefa kvartanda skýr skilaboð um framtíð hennar í starfi. Meðal annars þurfi að meta hvort setja eigi af stað uppsagnarferli gagnvart henni.
Ekki lá fyrir að kvartanda hefði verið veitt fræðsla þess efnis að í skýrslu sálfræðinganna yrði fjallað um framtíð hennar í starfi. Í 20. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er mælt fyrir um fræðslu sem veita ber hinum skráða, en slík fræðsla á meðal annars að lúta að þeim atriðum sem hinum skráða er nauðsynlegt að vita um til að geta gætt hagsmuna sinna. Varð niðurstaða Persónuverndar sú að sálfræðingarnir hefðu ekki veitt næga fræðslu í ljósi þessa ákvæðis.
Þessi niðurstaða byggðist m.a. á því að sálfræðingarnir væru ábyrgðaraðilar að þeirri vinnslu persónuupplýsinga sem fólst í gerð skýrslunnar, sbr. 4. tölul. 2. gr. laga nr. 77/2000. Sálfræðingarnir kvörtuðu yfir meðferð og úrlausn málsins til umboðsmanns Alþingis sem gaf álit sitt hinn 5. september 2012. Þar er komist að þeirri niðurstöðu að sálfræðingarnir hafi ekki verið ábyrgðaraðilar og það því ekki fallið í þeirra verkahring að veita fræðslu samkvæmt 20. gr. laga nr. 77/2000. Af því leiddi jafnframt að umboðsmaður taldi úrskurð Persónuverndar ekki hafa samrýmst lögum.
2.
Nánar um bréfaskipti
Eins og fyrr greinir var endurupptöku óskað með bréfi framangreinds lögmanns til Persónuverndar, dags. 28. september 2012. Við umfjöllun um þá beiðni taldi Persónuvernd frekari upplýsinga þörf, þ.e. hvort gerður hefði verið slíkur vinnslusamningur sem greinir í framangreindu áliti umboðsmanns Alþingis. Spurst var fyrir um það með bréfi til lögmannsins, dags. 8. október 2012, og þess jafnframt óskað að stofnuninni yrði sent afrit af slíkum samningi hefði hann verið gerður. Ekki barst svar og ítrekaði Persónuvernd því þessa beiðni með bréfum, dags. 23. október 2012, 26. nóvember s.á. og 3. janúar 2013. Í síðastnefnda bréfinu greindi stofnunin frá því að ef ekki bærist svar innan tiltekins tíma yrði litið svo á að fallið hefði verið frá ósk um endurupptöku. Barst þá svar frá lögmanninum, dags. 14. s.m., þar sem ósk þar að lútandi er ítrekuð. Í svarinu kemur fram að enginn vinnslusamningur var gerður. Nánar segir m.a.:
„Vegna bréfs Persónuverndar dags. 3. janúar sl. þá er áréttað að umbjóðendur mínir hafa þegar gert kröfu um endurupptöku málsins þannig að það er með engu móti hægt að líta svo á að þau hafi fallið frá þeirri beiðni. Málið var sent umboðsmanni til meðferðar gagngert í því skyni að fá endurupptöku málsins og kemur ekki til að umbjóðendur mínir hafi tekið nýja afstöðu um það. Hvað varðar beiðni Persónuverndar um upplýsingar um hvort gerður hafi verið skriflegur vinnslusamningur um framkvæmd verkefnisins á milli umbjóðenda minna og Fjölmenntar, þá er jafnframt áréttað að allar upplýsingar og gögn um málið lágu fyrir þegar málið var áður til meðferðar hjá stofnuninni, en slíkur vinnslusamningur var ekki gerður skriflega.Að auki er í bréfinu fjallað um þær heimildir sem lögmaðurinn telur umrædda vinnslu persónuupplýsinga hafa byggst á. Í fyrsta lagi hafi ekki verið um að ræða viðkvæmar persónuupplýsingar, sbr. 8. tölul. 2. gr. laga nr. 77/2000, og því hafi ekki þurft að vera fullnægt einhverju skilyrðanna fyrir vinnslu slíkra upplýsinga sem mælt er fyrir um í 9. gr. laganna. Í öðru lagi renni 3. tölul. 1. mgr. 8. gr. laganna stoðum undir vinnslunna, en þar er mælt fyrir um heimild til vinnslu persónuupplýsinga sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Nánar tiltekið telur lögmaðurinn Fjölmennt hafa haft slíka stöðu og að vinnslan hafi verið nauðsynleg til að fullnægja kröfum vinnuverndarlöggjafar. Jafnframt því hafi vinnslan byggst á 4. tölul. 1. mgr. 8. gr., en þar er mælt fyrir um heimild til vinnslu persónuupplýsinga sé hún nauðsynleg til að vernda brýna hagsmuni hins skráða.
Krafa umbjóðenda minna um að fyrri úrskurður Persónuverndar verði felldur úr gildi og ákveðið verði með nýrri ákvörðun að þau hafi ekki brotið gegn ákvæðum laga um persónuvernd og meðferð persónuupplýsinga, byggist á því aðallega að ekki hafi verið þörf á samþykki kvartanda við vinnslu máls þeirra fyrir Fjölmennt. Í samningssambandi á milli umbjóðenda minna og Fjölmenntar fólst beinlínis að upplýsinganna skyldi aflað og það skyldi unnið úr þeim og að þær skyldu afhentar Fjölmennt sem verkbeiðanda og því hafi ákvörðunarvald um bæði tilgang og vinnsluaðferðir verið í höndum Fjölmenntar en ekki umbjóðenda minna. Sú faglega sérfræðiaðferð sem umbjóðendur mínir notuðu við öflun og greiningu á upplýsingum um atburði á vinnustað Fjölmenntar við gerð umræddrar skýrslu gat ekki talist ein og sér til vinnsluaðferðar í merkingu 4. töluliðar 2. gr. laga nr. 77/2000.
Hvað varðar samþykki kvartanda við meðferð þeirra persónuupplýsinga sem hún gaf þá verður að benda sérstaklega á, að í athugasemdum kvartanda byggir kvartandi á því að hún hafi ekki verið upplýst um neitt það sem umbjóðendur mínir halda fram. Sú athugasemd kvartanda er ekki í fullu samræmi við upphaflega kvörtun hennar þar sem hún kvartaði einungis yfir því að greint væri frá viðtölum við hana, en ekki annarri vinnslu umbjóðenda minna.
Í athugasemdum kvartanda byggir hún ennfremur á að kvartandi hafi litið svo á að umbjóðendur mínir sinntu henni sem skjólstæðingi, þ.e. að þau væru að vinna fyrir hana ekki síður en fyrir verkbeiðanda. Í því samhengi ber að benda á að samband kvartanda og umbjóðenda minna var ekki hefðbundið samband sálfræðinga og skjólstæðings þar sem starf umbjóðenda minna miðaði fyrst og fremst að greiningu, ráðgjöf og meðferð. Umbjóðendur mínir voru í hlutverki utanaðkomandi ráðgjafa sem voru fengnir til að meta aðstæður á vinnustað vegna þeirra skyldna sem hvíla á atvinnurekendum skv. reglugerð nr. 1000/2004 um aðgerðir gegn einelti á vinnustað. Kvartanda hlaut því að vera ljóst að aðkoma umbjóðenda minna í málinu var alfarið reist á frumkvæði Fjölmenntar sem atvinnurekanda skv. reglugerðinni, vegna fyrirliggjandi ásökunar um einelti á vinnustaðnum. Ábyrgð á upplýsingaöfluninni og framkvæmd hennar hafi því eins og áður sagði verið í höndum Fjölmenntar en ekki umbjóðenda. Að þessu virtu hafa 3. gr. laga nr. 40/1976 og 5. mgr. 66. gr. a laga nr. 46/1980 ekki þá lagalegu þýðingu að ákvörðunarvald um umrædda vinnslu persónuupplýsinga hafi verið í höndum umbjóðenda minna í merkingu laga nr. 77/2000.“
Í niðurlagi bréfs lögmannsins segir m.a.:
„Í málinu liggur ekki fyrir vinnslusamningur á grundvelli 13. gr. [laga nr. 77/2000] þar sem gert var ráð fyrir að umbjóðendur mínir tækju að sér að hluta eða í heild, þá fræðsluskyldu sbr. 20. gr. laga nr. 77/2000 sem hvíldi á Fjölmennt. Ekki hefur verið sýnt fram á að atvik og aðstæður hafi verið með þeim hætti að umbjóðendur mínir hafa farið með ákvörðunarvald um þá vinnslu persónuupplýsinga er um ræddi í málinu í merkingu 4., sbr. 2. tölul. 2. gr. laga nr. 77/2000 og þar af leiðandi borið ábyrgð á að veita lögboðna fræðslu í samræmi við 20. gr. sömu laga.“Einnig hefur stofnunin átt samskipti við kvartanda vegna umræddrar enduruppupptökubeiðni. Hinn 4. október 2012 kom kvartandi á fund Persónuverndar. Þá sendi stofnunin kvartanda bréf, dags. 23. október 2012, þar sem henni var veittur kostur á að tjá sig um endurupptökubeiðnina. Hún svaraði með tölvubréfi hinn 25. nóvember s.á. og lýsti þá yfir þeirri afstöðu sinni að framangreindur úrskurður Persónuverndar skyldi standa óhaggaður.
II.
Ákvörðun Persónuverndar
1.
Skilyrði fyrir endurupptöku
Um endurupptöku mála er fjallað í 24. gr. stjórnsýslulaga nr. 37/1993. Samkvæmt henni má, að beiðni málsaðila, endurupptaka mál ef :
- ákvörðun hefur byggst á ófullnægjandi eða röngum upplýsingum um málsatvik, eða
- íþyngjandi ákvörðun um boð eða bann hefur byggst á atvikum sem breyst hafa verulega frá því að ákvörðun var tekin.
2.
Forsendur
Eins og fyrr greinir komst umboðsmaður Alþingis að þeirri niðurstöðu að umræddir sálfræðingar hefðu ekki verið ábyrgðaraðilar að umræddri vinnslu persónuupplýsinga. Úrskurður Persónuverndar, dags. 10. júní 2009, þar sem komist var að þeirri niðurstöðu að þeir hafi ekki veitt kvartanda næga fræðslu, hafi því ekki verið í samræmi við lög.
Með ábyrgðaraðila er átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, sbr. 4. tölul. 2. gr. laganna, sem byggist á d-lið 2. gr. persónuverndartilskipunarinnar nr. 95/46/EB. Ábyrgðaraðili getur samið við annan aðila um að vinna með persónuupplýsingar fyrir sína hönd. Sá sem samið er við nefnist þá vinnsluaðili, þ.e. aðili sem vinnur með persónuupplýsingar á vegum ábyrgðaraðila, sbr. 5. tölul. 2. gr. laga nr. 77/2000, sbr. e-lið 2. gr. framangreindrar tilskipunar. Samkvæmt 3. mgr. 13. gr. laga nr. 77/2000 er vinnsluaðila aðeins heimilt að vinna með persónuupplýsingar í samræmi við fyrirmæli ábyrgðaraðila nema lög mæli fyrir á annan veg. Þá segir í 2. mgr. sömu greinar að ábyrgðaraðili skuli gera við vinnsluaðila skriflegan samning þar sem m.a. þetta kemur fram.
Á grundvelli 29. gr. framangreindrar tilskipunar starfar vinnuhópur, skipaður fulltrúum stofnana persónuverndarstofnana í aðildarríkjum, sem þjónar m.a. því hlutverki að stuðla að samræmdri túlkun á lykilhugtökum. Í áliti vinnuhópsins nr. 1/2010 (WP169) um hugtökin „ábyrgðaraðili“ og „vinnsluaðili“ er fjallað um ýmis sjónarmið sem líta verður til við afmörkun þeirra. Á meðal þess sem þar kemur fram er að sá sem fenginn er til að vinna verk, sem krefst vinnslu persónuupplýsinga, getur talist ábyrgðaraðili að þeirri vinnslu. Af þessu verður ráðið að þótt verkbeiðandinn ákveði markmið verksins getur sá sem vinnur verkið talist afmarka nánari tilgang einstakra vinnsluaðgerða, þ.e. hvers vegna þær séu taldar nauðsynlegar til að þjóna settu markmiði. Einnig verður að líta svo á að þótt ákveðin vinnsluaðferð sé fólgin í verkbeiðni geti sá sem vinnur verkið engu að síður farið með tiltekið ákvörðunarvald þar að lútandi, þ.e. með því að útfæra nánar hvaða aðferðum sé beitt.
Í umræddu áliti vinnuhópsins eru rakin raunhæf dæmi sem renna stoðum undir framangreinda túlkun Persónuverndar. Eins og þessi dæmi sýna getur sérþekking og sjálfstæð staða þess sem tekur að sér verk haft þýðingu við mat á því hvort hann teljist ábyrgðaraðili eða vinnsluaðili. Má þar nefna að ef endurskoðandi tekur að sér verk án þess að fá nákvæm fyrirmæli um hvernig það skuli unnið telst hann alla jafna vera ábyrgðaraðili að vinnslu persónuupplýsinga sem tengist verkinu. Öðru máli getur hins vegar gegnt ef honum eru nákvæmlega lagðar línurnar um hvernig það skuli unnið (sjá bls. 29 í álitinu). Að sama skapi getur sá sem að beiðni lyfjafyrirtækis rannsakar áhrif og virkni tiltekins lyfs – og fer með ákvörðunarvald um fyrirkomulag rannsóknarinnar – talist ábyrgðaraðili að vinnslu persónuupplýsinga í þágu hennar ásamt lyfjafyrirtækinu (sjá bls. 30 í álitinu).
Í löggjöf er lögð áhersla á stöðu sálfræðinga sem sjálfstæðrar fagstéttar. Í því sambandi má t.d. nefna 3. gr. laga nr. 40/1976 um sérstaka trúnaðarskyldu sálfræðinga. Segir að sálfræðingi sé skylt að gæta þagmælsku um atriði sem hann fær vitneskju um í starfi sínu og leynt skulu fara samkvæmt lögum eða eðli máls. Í 4. gr. segir að um eftirlit með sálfræðingum, veitingu áminningar og sviptingu starfsleyfa eða takmörkun starfsréttinda, veittra samkvæmt lögunum, auk endurveitingar, gildi ákvæði laga um landlækni. Ákvæði læknalaga gildi að öðru leyti eftir því sem við geti átt um sálfræðinga.
Eftir að leitað var eftir vinnslusamningi milli Fjölmenntar og umræddra sálfræðinga í kjölfar álits umboðsmanns Alþingis hefur fengist staðfest að enginn slíkur samningur var gerður. Af því leiðir jafnframt að ekki gátu talist hafa legið fyrir nákvæm fyrirmæli frá Fjölmennt um hvernig sálfræðingunum bæri að haga starfi sínu. Í samræmi við það liggur og fyrir að við umrædda rannsókn unnu sálfræðingarnir eftir nokkuð ítarlegum verklagsreglum sem þeir höfðu sjálfir sett sér, sbr. bréf þeirra til Persónuverndar, dags. 13. mars 2009, sem er á meðal gagna þess máls sem varð tilefni umrædds úrskurðar stofnunarinnar, dags. 19. júní s.á. Í gögnum sama máls er bréf til Persónuverndar frá Z hrl., dags. 12. maí 2009, þar sem segir að eðli málsins samkvæmt hafi Fjölmennt ekkert komið að vinnu vegna rannsóknarinnar.
Öll rök hníga að því að í ljósi sérfræðiþekkingar sinnar hafi sálfræðingarnir ráðið mestu um það hvernig verkið var unnið. Þá bendir skortur á vinnslusamningi til þess að Fjölmennt hafi talið þá ábyrga fyrir þeirri vinnslu persónuupplýsinga sem þeir höfðu með höndum. Þegar litið er til þessa telur Persónuvernd ekkert hafa komið fram sem gefur tilefni til að ætla að niðurstaða stofnunarinnar í úrskurði frá 10. júní 2009 þarfnist endurskoðunar við. Er því synjað um endurupptöku málsins.
N i ð u r s t a ð a:
Synjað er um ósk um endurupptöku á máli sálfræðinganna A og B sem lokið var með úrskurði hinn 10. júní 2009 (mál nr. 2009/172).