Vinnsla persónuupplýsinga af hálfu Faxaflóahafna sf.
Mál nr. 2022101682
Við vinnslu persónuupplýsinga er mikilvægt að tryggja að óviðkomandi aðili fái ekki aðgang að þeim. Hins vegar fellur munnleg miðlun persónuupplýsinga, ein og sér, almennt ekki undir gildissvið laga um persónuvernd og vinnslu persónuupplýsinga heldur þurfa upplýsingar með einhverjum hætti að vera á stafrænu eða skráðu formi.
----
Persónuvernd úrskurðaði í máli þar sem kvartað var yfir því að vinnuveitandi kvartanda hefði veitt óviðkomandi starfsmanni fyrirtækisins aðgang að uppsagnarbréfi kvartanda. Í málinu lá aðeins fyrir að starfsmaðurinn hefði verið upplýstur um það munnlega að kvartandi hefði sett fram ávirðingar á hendur honum í tölvupósti sem innhélt uppsögn úr starfi. Niðurstaða Persónuverndar var sú að ósannað þótti að átt hefði sér stað vinnsla persónuupplýsinga um kvartanda sem braut gegn lögum um persónuvernd og vinnslu persónuupplýsinga.
Úrskurður
um kvörtun yfir óheimilum aðgangi starfsmanns
Faxaflóahafna sf. að persónuupplýsingum kvartanda í máli nr. 2022101682:
I.
Málsmeðferð
Hinn 13. október 2023 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir því að Faxaflóahafnir hefðu veitt óviðkomandi starfsmanni fyrirtækisins aðgang að uppsagnarbréfi hennar.Persónuvernd bauð Faxaflóahöfnum að tjá sig um kvörtunina með bréfi, dags. 28. nóvember 2022, og bárust svör frá [B] lögmanni, f.h. fyrirtækisins, með bréfi, dags. 20 desember s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Faxaflóahafna með bréfi, dags. 4. janúar 2023, og bárust þær með tölvupósti 16. s.m.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
___________________
Fram kemur í kvörtun að í október [ártal] hafi kvartandi sagt upp störfum hjá Faxaflóahöfnum sf. Uppsagnarbréfið hafi kvartandi sent á þáverandi [starfsheiti] og [starfsheiti] fyrirtækisins með tölvupósti. Í uppsagnarbréfinu hafi kvartandi jafnframt bent á óæskilega hegðun þáverandi [starfsheiti] fyrirtækisins í garð annarra starfsmanna. Daginn eftir hafi [starfsheiti] komið inn á skrifstofu kvartanda og þulið orðrétt upp það sem kvartandi hafði skrifað um hana í uppsagnarbréfinu.
Vísar kvartandi til þess að [starfsheiti] fyrirtækisins hafi viðurkennt fyrir sér og þáverandi [starfsheiti] að [starfsheiti] hefði lesið uppsagnarbréfið í tölvunni hennar. Byggir kvartandi á því að [starfsheiti] hafi verið veittur aðgangur að persónuupplýsingum hennar án samþykkis eða lagaheimildar. Kvartandi vísar einnig til þess að í uppsagnarbréfinu hafi komið fram viðkvæmar persónuupplýsingar, í skilningi 3. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, varðandi líðan hennar á þeim tíma og upplýsingar um stéttarfélagsaðild hennar.
Í svarbréfi lögmanns Faxaflóahafna sf. er því hafnað að [starfsheiti] fyrirtækisins hafi sýnt, eða viðurkennt að hafa sýnt, þriðja aðila uppsagnarbréf kvartanda. Vísað er til þess að þáverandi [starfsheiti] fyrirtækisins hafi séð nafn sitt á tölvuskjá [starfsheiti] fyrir tilviljun en um hafi verið að ræða hluta tölvupósts kvartanda sem innihélt uppsagnarbréfið. [Starfsheiti] hafi strax lokað tölvupóstinum og ekki sýnt [starfsheiti] innihald hans. [Starfsheiti] hafi hins vegar verið upplýstur munnlega um að ávirðingar á hendur henni hefðu verið settar fram í tölvupóstinum. Í svörum Faxaflóahafna kemur einnig fram að umræddum tölvupósti hafi verið eytt þegar kvartandi hafi dregið uppsögn sína til baka á árinu 2019.
II.
Niðurstaða
Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.
Kvartandi telur að [starfsheiti] Faxaflóahafna hafi veitt [starfsheiti] fyrirtækisins aðgang að persónuupplýsingum hennar án heimildar. Af hálfu Faxaflóahafna er því mótmælt að slíkur aðgangur hafi verið veittur en því borið við að [starfsheiti] hafi verið upplýstur um það munnlega að kvartandi hefði sett fram ávirðingar á hendur honum í tölvupósti.
Samkvæmt framansögðu liggur ekki fyrir í gögnum málsins að [starfsheiti] Faxaflóahafna hafi veitt þáverandi [starfsheiti] upplýsingar um kvartanda með þeim hætti sem greinir í kvörtun þannig að brotið hafi verið gegn lögum nr. 90/2018, sbr. reglugerð (ESB) 2016/679. Eins og hér háttar til telur Persónuvernd því ekki tilefni til að stofnunin beiti frekari valdheimildum, sem henni eru fengnar í lögum nr. 90/2018, til þess að rannsaka málið nánar. Í því sambandi skal enn fremur bent á að munnleg miðlun persónuupplýsinga ein og sér fellur almennt utan gildissviðs laga nr. 90/2018.
Ú r s k u r ð a r o r ð:
Ósannað er að átt hafi sér stað vinnsla persónuupplýsinga
um [A] hjá Faxaflóahöfnum sf. sem braut gegn lögum nr. 90/2018, um persónuvernd
og vinnslu persónuupplýsinga.
Persónuvernd, 11. desember 2023
Þórður Sveinsson Edda Þuríður Hauksdóttir