Ákvörðun um synjun á endurupptöku máls

17.9.2009

Ákvörðun

Hinn 13. ágúst 2009 tók stjórn Persónuverndar eftirfarandi ákvörðun í máli nr. 2009/172:

I.

Málsatvik

Persónuvernd vísar til bréfs yðar, dags. 14. júlí 2009, þar sem þér óskið þess, f.h. umbjóðenda yðar, sálfræðinganna Þ og E, að endurupptekið verði mál vegna kvörtunar H, dags. 20. febrúar s.á., í tengslum við gerð skýrslu sem sálfræðingarnir unnu af tilefni samskiptavanda á fyrrum vinnustað hennar, F. Kvörtunin laut að því að hún hefði ekki verið látin vita með hvaða hætti unnið yrði með þær upplýsingar sem hún veitti umbjóðendum yðar vegna gerðar skýrslunnar. Lauk Persónuvernd málinu með úrskurði hinn 10. júní 2009 (mál nr. 2009/172) þar sem komist var að þeirri niðurstöðu að ekki hefði verið gætt nægilega að fræðsluskyldu. Verður hér leyst úr því hvort skilyrði séu til endurupptöku málsins.

1.

Í framangreindri skýrslu er að finna frásagnir kvartanda og annarra starfsmanna af umræddum samskiptum. Í frásögnum annarra en kvartanda kemur m.a. fram gagnrýni á störf hennar. Í lok skýrslunnar er að finna túlkun sálfræðinganna á atburðum í ljósi frásagnanna, sem og þá ályktun þeirra að nauðsynlegt sé að stjórnendur gefi kvartanda skýr skilaboð um framtíð hennar í starfi. Hafði hún verið send í leyfi og töldu sálfræðingarnir m.a. að stjórnendur yrðu að meta hvort óæskilegt væri að hún kæmi aftur til starfa.

2.

Í úrskurði Persónuverndar, dags. 10. júní 2009, kemur fram að bæði sálfræðingarnir og F teljast bera ábyrgð á umræddri vinnslu. Um það segir í úrskurðinum:

„Skyldur samkvæmt lögum nr. 77/2000 hvíla á ábyrgðaraðila að vinnslu persónuupplýsinga. Með ábyrgðaraðila er átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, sbr. 4. tölul. 2. gr. laganna. [F] átti frumkvæði að gerð umræddrar skýrslu. Með vísan til þess ber að telja [F] ábyrgðaraðila að vinnslu persónuupplýsinga í tengslum við gerð skýrslunnar. Ljóst má telja að sálfræðingarnir, sem unnu skýrsluna, hafi farið með ákvörðunarvald um það hvernig staðið var að vinnslunni. Telur Persónuvernd þá því einnig hafa haft stöðu ábyrgðaraðila í þessu sambandi."

Í framhaldi af þessu er fjallað um 20. gr. laga nr. 77/2000 þar sem fjallað er um skyldu ábyrgðaraðila til að fræða hinn skráða um vinnslu persónuupplýsinga þegar slíkra upplýsinga er aflað hjá hinum skráða sjálfum. Um það segir m.a.:

„Af hálfu framangreindra sálfræðinga hefur komið fram að kvartanda hafi verið veitt fræðsla. Þá hefur komið fram af hálfu lögmanns [F] að umbjóðandi hans hafi ávallt staðið í þeirri trú að sálfræðingarnir hafi séð um að veita fræðslu. Það að veita nauðsynlega fræðslu er lagaskylda sem hvílir á ábyrgðaraðila. Hann ber sönnunarbyrði um að hann hafi uppfyllt hana. Af hálfu ábyrgðaraðila hefur engin fræðsluyfirlýsing verið lögð fram eða sambærileg sönnun um veitta fræðslu. Verður þar af leiðandi ekki á því byggt að lögboðin fræðsla hafi verið veitt."

Með vísan til framangreinds segir í úrskurðarorði að F og sálfræðingarnir hafi ekki veitt kvartanda fræðslu í samræmi við 20. gr. laga nr. 77/2000 við gerð umræddrar skýrslu.

II.

Nánar um erindi yðar

Í ósk yðar um endurupptöku kemur fram að umbjóðendur yðar telja Persónuvernd ekki hafa gætt leiðbeiningarskyldu nægilega vel, sbr. 7. gr. stjórnsýslulaga nr. 37/1993. Í símtali hafi starfsmaður Persónuverndar bent umbjóðendum yðar á að heppilegt væri að andmæli þeirra sneru aðeins að því hvort nægileg fræðsla hafi verið veitt. Þá hafi starfsmaðurinn sagt að það myndi flækja málið ef í andmælum væri fjallað um gögn sem staðfestu að kvartandi hefði upplýst sálfræðingana um málavöxtu og að hún hafi lýst yfir sérstöku trausti í þeirra garð. Verður ráðið af bréfi að þar sé átt við drög að skýrslunni þar sem kvartandi hefur ritað inn athugasemdir. Í þeim drögum er ekki að finna niðurstöðukaflann þar sem ályktað var um nauðsyn þess að gefa kvartanda skýr skilaboð um framtíð sína í starfi.

Segir í bréfi yðar að af framangreindu símtali hafi leitt að í andmælum sálfræðinganna hafi aðeins verið fjallað um fræðslu. Í bréfi kvartanda til Persónuverndar, dags. 23. s.m., þar sem hún gerði athugasemdir við andmæli sálfræðinganna, kemur fram að hún leit á sig sem skjólstæðing þeirra. Samkvæmt bréfi lögmannsins var ekki heldur fjallað um þetta atriði í andmælum sálfræðinganna vegna framangreinds símtals við starfsmann Persónuverndar. Þá hafi ekki verið fjallað um þetta atriði í upphaflegu erindi kvartanda, dags. 20. febrúar 2009.

Um athugasemdir kvartanda varðandi þetta segir í bréfi yðar:

„Gera umbjóðendur mínir verulegar athugasemdir varðandi þetta atriði, enda telja þau að skýrlega hafi komið fram m.a. í viðtölum við kvartanda að kvartanda hafi verið fullkunnugt um hvert hlutverk umbjóðenda minna væri og hvernig upplýsingar frá henni væru meðhöndlaðar, og telja þau sig geta fært fram rök því til stuðnings. Sem dæmi má nefna að tveir sálfræðingar væru aldrei viðstaddir almennt viðtal við skjólstæðing.

Benda umbjóðendur mínir enn fremur á að kvartanda mátti vera fulljóst að vinna þeirra að málinu væri fyrst og fremst í þágu verkbeiðanda, enda er ljóst að kvartandi óskaði ekki eftir vinnu þeirra, né greiddi hún fyrir fyrir hana. Mátti henni því þá þegar vera ljóst að ekki væri um venjulegt samband sálfræðinga og skjólstæðings að ræða, heldur væri tilgangur vinnslunnar að vinna lausn á vandamáli fyrir vinnuveitandann, óháð því að málið varðaði kvartanda."

Samkvæmt bréfi yðar er krafa um endurupptöku aðallega studd við að ekki hafi þurft samþykki kvartanda til umræddrar vinnslu þar sem ekki hafi verið unnið með viðkvæmar persónuupplýsingar, sbr. skilgreiningu á slíkum upplýsingum í 8. tölul. 2. gr. laga nr. 77/2000. Hafi þess hins vegar þurft sé á því byggt að F hafi átt að afla samþykkisins. Þá segir:

„Þá verður að tiltaka það, að verði það niðurstaða Persónuverndar að umbjóðendum mínum hafi, annaðhvort sem vinnsluaðila eða jafnvel ábyrgðaraðila, borið að afla upplýsts samþykkis frá kvartanda, þá er það ekki skilyrði að slíkt samþykki sé skriflegt. Kvartandi veitti í raun samþykki sitt í viðtölum við umbjóðendur mína með samvinnu við þá, með upplýsingagjöf um samskipti á vinnustaða og frásögn um atriði sem henni fannst mestu máli skipta. Auk þess sem öll hegðun hennar, m.a. í tengslum við yfirlestur hennar á samantekt umbjóðenda minna á samtölum við hana og athugasemdir sem hún gerði í tengslum við vinnu skýrslu umbjóðenda minna, benti eindregið til þess að hún gæfi fullt samþykki fyrir vinnslunni. Þá benda umbjóðendur mínir á það að það var skilningur þeirra að verkbeiðandi væri ábyrgðaraðili vinnslunnar og að það væri í raun hans að afla upplýsts samþykkis kvartanda, enda hafði verkbeiðandi kynnt verkefnið fyrir kvartanda áður en umbjóðendur mínir hittu hana. Gerðu þau henni engu að síður grein fyrir vinnslunni og öfluðu samþykkis hennar munnlega á fundi með henni og geta bæði staðfest það. Var kvartandi frædd um tilgang vinnslu, hvernig hún færi fram, hvernig persónuvernd yrði tryggð, heimild kvartanda til afturköllunar samþykkis og önnur tilfallandi atriði.

Þannig liggja fyrir í málinu yfirlýsingar tveggja um að samþykki hafi verið veitt af hálfu kvartanda á móti yfirlýsingu hennar einnar um annað og ætti því að vera fallist á málsástæður umbjóðenda minna um þetta atriði skv. almennum sönnunarreglum. Persónuverndarrétturinn hefur ekki að geyma reglu um öfuga sönnunarbyrði í málum sem falla undir hann og ef byggja skal á að slík regla sé fyrir hendi þá þarf hún að eiga sér skýra lagastoð. Í viðkomandi lögum er ekki einu sinni að finna reglur um skipta sönnunarbyrði og er þrátt fyrir það sönnunarbyrðinni í raun snúið við í úrskurðinum."

Einnig segir að ekkert liggi fyrir í málinu um að umbjóðendur yðar hafi ekki farið að ákvæðum 20. gr. laga nr. 77/2000 um fræðsluskyldu, eigi þau ákvæði við. Hafi umbjóðendur yðar staðfest hvaða upplýsingar þeir hafi gefið kvartanda og hafi ekki verið nein skilyrði um að samþykkis þyrfti að afla skriflega.

Segir í bréfi yðar að vakin sé sérstök athygli á því að samkvæmt þeim erindum, sem umbjóðendur yðar og F bárust vegna málsins frá Persónuvernd, hafi virst miðað við að umbjóðendur yðar væru ekki ábyrgðaraðilar umræddrar vinnslu persónuupplýsinga heldur F. Þess vegna hefðu andmæli þeirra ekki beinst nægilega að þessu atriði. Segir að á því sé byggt að umbjóðendur yðar séu vinnsluaðilar og beri því ekki sönnunarbyrði um atvik málsins. Hún hvíli á ábyrgðaraðila.

Auk þess segir:

„Þá eru umbjóðendur mínir ósammála túlkun Persónuverndar á niðurstöðu skýrslunnar, en í ákvörðun Persónuverndar virðist byggt á því að skýrslan ráði miklu m.a. um framtíð kvartanda í starfi. Benda umbjóðendur mínir á að í skýrslunni er umfram allt um að ræða ábendingar um mögulegar lausnir á málinu, og er þar ekki lögð til ein leið, heldur er bent á valkosti í stöðunni auk þess sem sérstök áhersla er lögð á að málið verði ekki látið dragast."

Í lok skýrslunnar er vísað til 3. og 4. tölul. 1. mgr. 8. gr. laga nr. 77/2000 sem heimilda fyrir umræddri vinnslu. Í 3. tölul. segir að vinna megi með persónuupplýsingar sé vinnslan nauðsynleg til að fullnægja lagaskyldu. Segir í bréfi yðar að umrædd vinnsla hafi verið nauðsynleg til að leysa úr vandamálum á vinnustað í umræddu tilviki vegna vinnuverndarlöggjafar og kjarasamninga. Í 4. tölul. 1. mgr. 8. gr. segir að vinna megi með persónuupplýsingar sé vinnslan nauðsynleg til að vernda brýna hagsmuni hins skráða. Segir í bréfi yðar að hagsmunir kvartanda af því að tekið væri á máli hennar með eðlilegum hætti á vinnustaðnum hafi verið slíkir hagsmunir.

III.

Ákvörðun Persónuverndar

1.

Um endurupptöku mála hjá stjórnvöldum er fjallað í 24. gr. stjórnsýslulaga nr. 37/1993. Í 1. mgr. 24. gr. segir að eftir að stjórnvald hefur tekið ákvörðun og hún verið tilkynnt eigi aðili máls rétt á því að mál sé tekið til meðferðar á ný ef:

ákvörðun hefur byggst á ófullnægjandi eða röngum upplýsingum um málsatvik, eða

íþyngjandi ákvörðun um boð eða bann hefur byggst á atvikum sem breyst hafa verulega frá því að ákvörðun var tekin.

Í athugasemdum við 24. gr. í því frumvarpi, sem varð að stjórnsýslulögum, kemur fram að stjórnvald getur í fleiri tilvikum en mælt er fyrir um hér að ofan endurupptekið mál. Þegar ljóst er að ákvörðun hefur verið tekin á ófullnægjandi lagagrundvelli verður t.d. að ætla að stjórnvald geti endurupptekið málið. Hið sama á við ef ekki hefur verið gætt nægilega vel að málsmeðferðarreglum, s.s. andmælaréttarreglu 13. gr. stjórnsýslulaga, og slíkt hefur áhrif á efni ákvörðunar.

2.

Samkvæmt erindi yðar átti ekki að líta á umbjóðendur yðar sem ábyrgðaraðila að umræddri vinnslu. Með ábyrgðaraðila er átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, sbr. 4. tölul. 2. gr. laga nr. 77/2000. Þegar sjálfstætt starfandi sérfræðingar vinna verkefni í þágu annars aðila og sinna í meginatriðum stjórn á framkvæmd þess og vinnslu persónuupplýsinga verður almennt að líta svo á að þeir fari með ákvörðunarvald í þessum skilningi ásamt þeim sem óskaði eftir störfum þeirra. Í samræmi við það leit Persónuvernd á skjólstæðinga yðar sem ábyrgðaraðila að umræddri vinnslu. Telur Persónuvernd að þeim hafi mátt vera það ljóst, enda var annað ekki gefið til kynna við meðferð málsins.

Þá ber að líta til bréfs, dags. 20. apríl 2009, sem Persónuvernd sendi þeim aðila sem umrædd skýrsla var unnin fyrir, þ.e. F. Í bréfinu, sem umbjóðendum yðar var sent afrit af, segir:

„Fyrir liggur í málinu að umrædda skýrslu unnu [Þ] og [E] að beiðni [F]. Telst [F] því hafa, auk framangreindra sálfræðinga [leturbreyting Persónuverndar], stöðu ábyrgðaraðila."

Með vísan til framangreinds telur Persónuvernd ekki tilefni til endurupptöku málsins á þeim grundvelli að umbjóðendur yðar hafi ekki mátt teljast ábyrgðaraðilar að umræddri vinnslu persónuupplýsinga eða að þeir hafi mátt vænta þess að þeir bæru ekki ábyrgð á vinnslunni.

3.

Samkvæmt erindi yðar létu umbjóðendur yðar ýmissa atriða ógetið þegar þeir komu á framfæri andmælum sínum. Það hafi verið vegna þess að í símtali við starfsmann Persónuverndar hafi hann sagt að efni þessa máls lyti að því hvort kvartanda hafi verið veitt nægileg fræðsla í ljósi 20. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Rétt er að í umræddu símtali var leiðbeint um að málið snerist um fræðsluskyldu en ekki önnur atriði, s.s. það hvort heimild hafi brostið til vinnslu eða hvort öryggisráðstafanir hafi verið tryggar.

Með erindi yðar fylgdu drög að skýrslu umbjóðenda yðar sem kvartandi hafði ritað sínar athugasemdir á. Í úrskurði sínum taldi Persónuvernd niðurstöðukafla skýrslunnar vera til þess fallinn að hafa bein áhrif á líf kvartanda og hagsmuni og því hefði verið eðlilegt að gera ríkar kröfur til fræðslu. Í umræddum drögum er þessi niðurstöðukafli ekki. Erindi yðar og fylgigögn raska þ.a.l. ekki mati Persónuverndar að því er varðar veitta fræðslu. Eru því ekki efni til endurupptöku málsins þótt þessi fylgigögn hafi ekki borist Persónuvernd áður en hún kvað úrskurðinn upp.

Vegna athugasemda yðar um að Persónuvernd hafi ekki tekið afstöðu til þess hvort umrædd skýrsla hafi ráðið úrslitum um tiltekna hagsmuni kvartanda er tekið fram að Persónuvernd telur niðurstöðu skýrslunnar hafa verið til þess fallna. Það hafi eitt og sér gefið ástæðu til að veita kvartanda þá fræðslu sem fjallað er um í úrskurðinum.

4.

Í erindi yðar segir að sönnunarbyrði um að fræðsla hafi verið veitt ætti að hvíla á kvartanda. Af þessu tilefni skal tekið fram að fyrir því eru fordæmi að sönnunarbyrði í dómsmálum um það hvort tiltekin atvik áttu sér stað sé lögð á þann sem nær stendur að tryggja sönnun. Verður að ætla að hið sama eigi þá að gilda við meðferð mála fyrir stjórnvöldum. Hér má nefna dóm Hæstaréttar frá 25. febrúar 1999 í máli nr. 247/1998. Þar taldi rétturinn að sönnunarbyrði um það hvort virtur hefði verið andmælaréttur starfsmanns opinberrar stofnunar í aðdraganda áminningar, sem stofnunin veitti honum, hvíldi á stofnuninni, enda hefði það staðið stofnuninni nær að tryggja sönnun um það atriði heldur en starfsmanninum.

Persónuvernd telur sambærileg sjónarmið eiga við um sönnun þess hvort ábyrgðaraðili að vinnslu persónuupplýsinga hafi farið að fræðsluskyldu sinni. Þá álítur Persónuvernd að umbjóðendum yðar hafi borið að ganga úr skugga um hvort verkkaupi, þ.e. F, hefði veitt viðeigandi fræðslu þannig að ljóst væri að öll skilyrði væru til að vinna umrætt verkefni. Fyrst svo hafði ekki verið gert, þegar umbjóðendur yðar tóku við verkefninu, bar þeim að veita þá fræðslu.

Í ljósi ofangreinds telur Persónuvernd ekki tilefni til endurupptöku á þeim grundvelli að rangt hafi verið að leggja sönnunarbyrði á umbjóðendur yðar.

5.

Í erindi yðar er vikið að heimildum til vinnslu persónuupplýsinga í 8. gr. laga nr. 77/2000. Kemur annars vegar fram sú afstaða að ekki hafi þurft samþykki samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000 og hins vegar að vinnslan hafi átt heimild í 3. og 4. tölul. sömu málsgreinar. Úrskurður Persónuverndar laut ekki að heimildum til vinnslu persónuupplýsinga heldur því hvort farið hefði verið að kröfum um fræðslu til hins skráða. Telur Persónuvernd því ekki tilefni til endurupptöku svo að fjalla megi um málið í ljósi 8. gr. laganna.

6.

Með vísan til framangreinds fellst Persónuvernd ekki á ósk yðar um endurupptöku á máli umbjóðenda yðar, sálfræðinganna Þ og E, sem lokið var með úrskurði hinn 10. júní 2009 (mál nr. 2009/172).