466/2020

Útdráttur

Mál þetta höfðaði A gegn P og krafðist þess að úrskurður P í máli A nr. 2018/538 yrði ógiltur. Með hinum áfrýjaða dómi var á það fallist. Úrskurður áfrýjanda var kveðinn upp í tilefni af kvörtun A vegna vinnslu persónuupplýsinga um hann hjá fyrrum vinnuveitanda. Í dómi Landsréttar var rakið að ekki færi á milli mála að úrskurður sá sem A krefðist að felldur yrði úr gildi lyti að skyldum fyrrum vinnuveitanda gagnvart A á grundvelli tilvitnaðra ákvæða laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og nr. 90/2018 um persónuvernd og meðferð persónuupplýsinga. Átti fyrrum vinnuveitandi án nokkurs vafa aðild að málinu hjá P. Í dómaframkvæmd Hæstaréttar hefði því ítrekað verið slegið föstu að þegar krafist væri ógildingar á úrlausn stjórnvalds yrðu þeir sem voru aðilar að stjórnsýslumálinu að eiga aðild að málinu fyrir dómi enda ættu þeir einstaklegra, beinna, verulegra og lögvarinna hagsmuna að gæta. Krafa um ógildingu úrskurðar P hafi einkum verið rökstudd af hálfu A með því að niðurstaða hans fengi ekki staðist efnislega og fyrrum vinnuveitandi bæri ríkari skyldur gagnvart A samkvæmt lögum nr. 77/2000 og 90/2018. Fyrrum vinnuveitandi ætti einstaklegra, beinna, verulegra og lögvarinna hagsmuna að gæta af úrlausn þeirrar kröfu. Í því ljósi og þar sem málið var ekki höfðað gegn fyrrum vinnuveitanda varð ekki komist hjá því að vísa málinu frá héraðsdómi án kröfu.

Dómur Landsréttar

Mál þetta dæma landsréttardómararnir Á-kk-nf H-kk-nf, D-kk-nf Þ-kk-nf B-kk-nf og R-kvk-nf B-kvk-nf.

Málsmeðferð og dómkröfur aðila

1

Áfrýjandi skaut málinu til Landsréttar 21. júlí 2020. Áfrýjað er dómi Héraðsdóms Reykjavíkur 26. júní 2020 í málinu nr. E- [...]/2019.

2

Áfrýjandi krefst þess að hann verði sýknaður af öllum kröfum stefnda auk málskostnaðar fyrir héraðsdómi og fyrir Landsrétti.

3

Stefndi krefst þess að hinn áfrýjaði dómur verði staðfestur. Þá krefst stefndi málskostnaðar úr hendi áfrýjanda fyrir Landsrétti.

Niðurstaða

4

Mál þetta höfðaði stefndi gegn áfrýjanda 11. apríl 2019 og krafðist þess að úrskurður áfrýjanda í máli stefnda nr. 2018/538 sem kveðinn var upp 15. október 2018 yrði ógiltur. Með hinum áfrýjaða dómi var á það fallist.

5

Úrskurður áfrýjanda var kveðinn upp í tilefni af kvörtun stefnda vegna vinnslu persónuupplýsinga um hann hjá [...]. Í kvörtuninni var því lýst að stefnda hefði verið vikið úr starfi með vísan til þess að [...]hefðu borist ásakanir á hendur honum um kynferðislega áreitni. Fram kom í kvörtuninni að stefndi hefði ekki fengið upplýsingar um það hverjir hefðu sakað hann um þessa háttsemi eða hvers eðlis ásakanirnar væru.

Kannaðist hann ekki við að hafa áreitt nokkurn, hvorki innan veggja [...] né annars staðar. Í kvörtuninni lýsti stefndi því að hann teldi sig eiga rétt á að fá þær upplýsingar í hendur sem [...]hefði um ætlaða áreitni sína.

6

Með bréfi áfrýjanda 26. mars 2018 var [...]boðið að koma á framfæri skýringum vegna kvörtunarinnar. Sérstaklega var óskað eftir því hvort og þá hvernig gætt hefði verið að ákvæðum 18. gr. og eftir atvikum 19. gr. þágildandi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Svarbréf [...] barst áfrýjanda 4. maí sama ár. Þar segir meðal annars að [...] hafi ekki talið sig geta orðið við upplýsingabeiðni stefnda vegna persónuverndar og friðhelgi einkalífs þeirra einstaklinga sem kvartað höfðu yfir háttsemi hans. Kom þar fram að stefndi hefði þegar fengið upplýsingar um að ásakanir á hendur honum hefðu borist [...] í trúnaði og að félagið teldi sér skylt að virða þann trúnað. Væri það mat [...] að réttur stefnda til upplýsinga þyrfti að víkja fyrir hagsmunum þeirra sem báru fram þessar ásakanir, sbr. 19. gr. laga nr. 77/2000. Með bréfinu fylgdi skjal þar sem fram komu þær upplýsingar um vinnslu persónuupplýsinga um stefnda sem [...] teldi sér heimilt að greina frá. Um skilgreiningu og lýsingu á þeim persónuupplýsingum sem unnið var með var meðal annars vísað til vinnuskjals [...]með samantekt á upplýsingunum.

7

Stefnda var boðið að koma á framfæri athugasemdum sínum við skýringar [...] með bréfi 11. maí 2018. Svarbréf stefnda barst áfrýjanda 7. júní sama ár. Þar er vísað til þess að það sé grundvallarréttur hvers manns sem borinn er sökum að fá upplýsingar um þær og hvers eðlis þær eru. Ætti hann rétt til þess að skráðar persónuupplýsingar um hann væru áreiðanlegar og að þær væru unnar með sanngjörnum, málefnalegum og lögmætum hætti, sbr. 7. gr. laga nr. 77/2000. Enn fremur var vísað til réttar stefnda samkvæmt 18. gr. sömu laga.

8

Áfrýjandi óskaði eftir því með bréfi 29. ágúst 2018 að [...] léti sér í té allar skráðar persónulegar upplýsingar um stefnda, þar með talið afrit af fyrrnefndu vinnuskjali [...].

Með bréfi [...]24. september sama ár var óskað eftir því að fulltrúar áfrýjanda kæmu á starfsstöð [...] og fengju þar aðgang að umbeðnum gögnum. Áfrýjandi féllst á það og mun vettvangsathugunin hafa farið fram 2. október 2018. Fram kemur í úrskurði áfrýjanda að við athugunina hafi komið í ljós að einu persónuupplýsingarnar um stefnda sem tengdust málinu væru í umræddu vinnuskjali. Í úrskurðinum segir að þar væru raktar lýsingar sex einstaklinga á persónulegri upplifun þeirra af stefnda. Væri þar ýmist um að ræða lýsingu á kynferðislegri áreitni eða kynferðislegu ofbeldi af hálfu stefnda gagnvart viðkomandi. Þá kemur þar fram að við vettvangsathugunina hafi [...] staðfest að hún hefði sjálf rætt við alla sex hlutaðeigandi einstaklinga og að þrír þeirra hefðu verið starfsmenn [...] á þeim tíma sem við þá var rætt. Enn fremur hafi verið staðfest að þeim hafi öllum verið heitið trúnaði.

9

Í hinum umdeilda úrskurði er lagt mat á hvort [...]hafi farið að lögum nr. 77/2000 sem þá voru í gildi í samskiptum sínum við stefnda. Sérstaklega er vikið að því að [...] teljist vera ábyrgðaraðili umræddrar vinnslu persónuupplýsinga. Tekið er fram að [...] hafi verið heimilt á grundvelli 3. töluliðar 2. mgr. 8. gr. og 2. töluliðar 1. mgr. 9. gr. laga nr. 77/2000 að skrá upplýsingar um þær kvartanir sem bárust félaginu um háttsemi stefnda og sem metið var að gætu haft áhrif á aðstæður á vinnustaðnum. Enn fremur var komist að þeirri niðurstöðu að vinnsla umræddra persónuupplýsinga fullnægði grunnkröfum 7. gr. laga nr. 77/2000 og 8. gr. gildandi laga nr. 90/2018 um sama efni. Varðandi rétt stefnda til aðgangs að nánari upplýsingum um hvaðan umræddar upplýsingar komu og um efnislegt inntak þeirra er tekið fram að einnig verði að líta til ákvæða gildandi laga nr. 90/2018. Að loknu mati á hagsmunum stefnda andspænis hagsmunum þeirra einstaklinga sem veittu [...]umræddar upplýsingar, sbr. 2. mgr. 19. gr. laga nr. 77/2000 og 3. mgr. 16. gr. laga nr. 90/2018, varð það niðurstaða áfrýjanda að [...] væri ekki skylt að veita stefnda upplýsingar um uppruna skráðra persónuupplýsinga um hann í umræddu vinnuskjali [...]. Þá væri [...] ekki skylt að veita stefnda aðgang að vinnuskjalinu eða nákvæmari lýsingu á efni þess. Í niðurlagi umfjöllunar um aðgangsrétt stefnda segir að [...] hafi þegar rækt skyldur sínar gagnvart stefnda samkvæmt 17. gr. laga nr. 90/2018, sbr. 15. gr. reglugerðar (ESB) 2016/679, sbr. og 18. gr. og 2. mgr. 19. gr. laga nr. 77/2000.

10

Í ljósi þess sem hér hefur verið rakið fer ekki milli mála að úrskurður sá sem stefndi krefst að verði felldur úr gildi laut að skyldum [...] gagnvart stefnda á grundvelli tilvitnaðra ákvæða laga nr. 77/2000 og 90/2018. Átti [...] án nokkurs vafa aðild að málinu hjá áfrýjanda eins og gengið var út frá í úrskurði hans. Í dómaframkvæmd Hæstaréttar hefur því ítrekað verið slegið föstu að þegar krafist er ógildingar á úrlausn stjórnvalds verði þeir sem voru aðilar að stjórnsýslumálinu að eiga aðild að málinu fyrir dómi enda eigi þeir einstaklegra, beinna, verulegra og lögvarinna hagsmuna að gæta. Um það má vísa til dóma Hæstaréttar í málum nr. 429/1997, nr. 231/2002, nr. áfrýjanda er einkum rökstudd af hálfu stefnda með því að niðurstaða hans fái ekki staðist efnislega og að [...] beri ríkari skyldur gagnvart sér samkvæmt fyrrgreindum lögum nr. 77/2000 og 90/2018 en fram kemur í úrskurðinum. [...] á einstaklegra, beinna, verulegra og lögvarinna hagsmuna að gæta af úrlausn þeirrar kröfu. Í því ljósi og þar sem málið hefur ekki verið höfðað gegn [...]verður ekki komist hjá því að vísa málinu frá héraðsdómi án kröfu.

11

Eins og atvikum er háttað þykir rétt að málskostnaður milli aðila falli niður á báðum dómstigum.

Dómsorð :

Máli þessu er vísað frá héraðsdómi.

Málskostnaður milli aðila fellur niður í héraði og fyrir Landsrétti.

Dómur Héraðsdóms Reykjavíkur 26. júní 2020

I.

Mál þetta, sem var höfðað með stefnu birtri 11. apríl 2019, var dómtekið 19. maí 2020. Stefnandi er A, [...], en stefndi er Persónuvernd, Rauðarárstíg 10, Reykjavík.

Dómkröfur stefnanda eru þær að úrskurður Persónuverndar í máli stefnanda nr. 2018/538 frá 16. október 2018 verði felldur úr gildi. Þá krefst stefnandi greiðslu málskostnaðar.

Stefndi krefst sýknu, auk greiðslu málskostnaðar.

II.

1

Málsatvik eru að mestu leyti óumdeild. Stefnandi er [...]frá [...]og útskrifaðist þaðan [...]. Frá því að hann útskrifaðist hefur hann [...]. Á árinu 2017 var stefnanda boðið að starfa [...]2017– 2018 sem [...]hjá [...]. Á sama tíma skyldi hann vera í launalausu leyfi frá [...], en hefja þar aftur störf [...] 2018– 2019. Í samræmi við þetta var 16. mars 2017 gerður tímabundinn ráðningarsamningur milli [...] og stefnanda. Samkvæmt samningnum skyldi stefnandi m. a. starfa við [...].

2

Hinn 16. desember 2017 var stefnandi boðaður á fund, [...]. Á fundinum var stefnanda afhent uppsagnarbréf. Ekki var gerð grein fyrir ástæðu uppsagnarinnar í bréfinu, en [...]lýsti því munnlega fyrir stefnanda að komið hefðu fram ásakanir á hendur honum um kynferðislega áreitni. Stefnanda voru á fundinum ekki veittar upplýsingar um það frá hverjum hinar meintu ásakanir stöfuðu eða hvers eðlis þær væru, en á fundi næsta dag kom fram að um væri að ræða sex frásagnir.

Stefnandi höfðaði mál á hendur [...]og [...]vegna uppsagnarinnar. Var dómur kveðinn upp hinn 30. október 2019. Var það niðurstaða dómsins að ekki hefði verið farið að lögum þegar stefnanda var sagt upp störfum hinn 16. desember 2017 og að stefnandi ætti rétt á bótum af þeim sökum.

3

Með bréfi, dags. 2. mars 2018, sendi stefnandi kvörtun til, stefnda, Persónuverndar, þar sem hann krafðist þess að stefndi beitti valdheimildum sínum til að krefja [...]um allar þær upplýsingar og skriflegar skýringar sem nefndinni væru nauðsynlegar til að taka afstöðu til þess hvaða upplýsingar stefnandi ætti rétt á aðfá vegna meðferðar máls hans hjá [...]og hvort brotið hefði verið gegn ákvæðum þágildandi laga um persónuvernd nr. 77/2000. Nánar tiltekið óskaði stefnandi m. a. eftir því í kvörtun sinni til Persónuverndar að hann fengi upplýsingar um hverjir það væru sem báru hann ásökunum um kynferðislega áreitni, hvert hefði verið efnislegt inntak þeirra ásakana, hvort upplýsingum um hann hefði verið miðlað til starfsmanna [...], hvaða gögn [...]hefði undir höndum og hvernig varðveislu þeirra væri háttað.

4.

Hinn 16. október 2018, kvað Persónuvernd upp úrskurð í málinu (mál nr. 2018/538). Kemur fram í forsendum úrskurðarins að við meðferð málsins hjá Persónuvernd hafi nefndin sent [...]bréf, dags. 29. ágúst 2018, og óskað eftir því, með vísan til 10. gr. stjórnsýslulaga nr. 37/1993 og 1. mgr. 41. gr. laga nr. 90/2018, að fá allar skráðar persónuupplýsingar um stefnanda, þar með talið afrit af umræddu vinnuskjali [...] vegna málsins. Með bréfi [...], dags. 24. september 2018, hafi með vísan til meðalhófsreglu 12. gr. stjórnsýslulaga nr. 37/1993 og öryggissjónarmiða verið óskað eftir því að fulltrúar Persónuverndar kæmu á starfsstöð [...]og fengju aðgang að umbeðnum gögnum þar. Persónuvernd hafi fallist á þau sjónarmið og tilkynnt um vettvangsathugun á starfsstöð [...] með bréfi, dags. 28. september 2018. Kemur fram í úrskurðinum að Persónuvernd hafi farið í vettvangsathugun á starfsstöð [...]2. október 2018 í þeim tilgangi að „skoða efnislegt innihald fyrrgreinds vinnuskjals [...]og aðrar persónuupplýsingar um kvartanda sem tengdust umkvörtunarefni hans“. Í vettvangsathugun Persónuverndar hafi komið í ljós að einu persónuupplýsingarnar um kvartanda sem tengdust málinu hafi komið fram í umræddu vinnuskjali. Segir síðan svo í úrskurði Persónuverndar: „Er þar ýmist um að ræða lýsingu á kynferðislegri áreitni eða kynferðislegu ofbeldi af hálfu kvartanda gagnvart viðkomandi. Í vettvangsathuguninni staðfesti [...]að hún hefði sjálf rætt við alla sex hlutaðeigandi einstaklinga og að þrír þeirra hafi verið starfsmenn hjá [...]á þeim tíma þegar við þá var rætt. Í vettvangsathuguninni var það jafnframt staðfest að öllum einstaklingum hafi verið heitið trúnaði.“

5.

Í úrskurði stefnda er komist að þeirri niðurstöðu að [...] hafi veitt stefnanda fullnægjandi upplýsingar um tilgang vinnslu persónuupplýsinga um hann hjá [...]og viðtakendur þeirra, samkvæmt 2. og 3. tölul. 18. gr. þágildandi laga nr. 77/2000 og 17. gr. núgildandi laga nr. 90/2018. Var úrskurðarorð Persónuverndar svohljóðandi:

Vinnsla [...] á persónuupplýsingum um A samrýmdist ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. sambærileg ákvæði laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í forsendum úrskurðarins kemur nánar fram að [...] hafi ekki viljað greina kvartanda frá því hvaðan upplýsingarnar komu eða hvert væri efnislegt inntak þeirra, með vísan til 1. og 4. tölul. 18. gr. laga nr. 77/2000, að öðru leyti en því að upplýsingarnar fælu í sér kvartanir sem lytu að kynferðislegri áreitni af hálfu stefnanda. Þá telji [...] að nánari lýsing á efni upplýsinganna geti leitt til þess að stefnandi geti greint hverjir það voru sem lögðu fram kvartanir á hendur honum. Persónuvernd vísar í úrskurði sínum til 19. gr. laga nr. 77/2000, þar sem mælt var fyrir um undantekningar frá upplýsingarétti samkvæmt 18. gr. laganna. Samkvæmt 2. mgr. 19. gr. laganna hafi ákvæði 18. gr. laganna ekki átt við ef réttur hins skráða til vitneskju um vinnslu persónuupplýsinga um hann þóttu eiga að víkja að nokkru eða öllu leyti fyrir hagsmunum annarra. Sambærilegt ákvæði sé nú í 3. mgr. 17. gr. laga nr. 90/2018, sbr. einnig i-lið 1. mgr. 23. gr. reglugerðar (ESB) 2016/679, sem mæli fyrir um að framangreindur upplýsingaréttur hins skráða, samkvæmt 1. mgr. 15. gr. reglugerðarinnar, gildi ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum vega þyngra. Vísar Persónuvernd til athugasemda um 3. mgr. 17. gr. í frumvarpi að lögum nr. 90/2018. Um mat á því hvort einstaklingar þeir sem veittu [...] umræddar upplýsingar hafi brýna hagsmuni af því að ekki verði greint frá því hverjir þeir séu og hvort þeir hagsmunir vegi þyngra en hagsmunir kvartanda segir síðan svo í úrskurði nefndarinnar:

Við það mat verður að líta til þess að upplýsingarnar voru veittar í trúnaði og trausti þess að ekki yrði greint frá því hverjir þessir einstaklingar væru. Virðist það hafa verið forsenda þeirra sem veittu upplýsingarnar að þeim yrði ekki miðlað til annarra og því síður að upplýsingarnar yrðu gerðar opinberar. Eins og fram hefur komið hefur upplýsingunum eingöngu verið miðlað, af hálfu [...], til þeirra sem komu að starfslokum kvartanda hjá [...]. Einnig skiptir máli, við þetta hagsmunamat, að upplýsingarnar eru mjög viðkvæms eðlis og fela í sér lýsingu viðkomandi einstaklinga á persónulegri upplifun þeirra af háttsemi kvartanda og samskiptum við hann. Er það mat Persónuverndar að þeir einstaklingar, sem um ræðir, geti haft brýna hagsmuni af því að trúnaðar sé gætt og að ekki verði greint frá því hverjir þeir séu. Að því virtu þarf að meta hvort brýnir hagsmunir þessara einstaklinga vegi þyngra en hagsmunir kvartanda. Í því sambandi skiptir máli að það er [...] sem tók ákvörðun um meðferð upplýsinganna og um aðgerðir á grundvelli þeirra. Þá er það [...]sem ber skyldur gagnvart kvartanda, m. a. samkvæmt lögum nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, og reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum, en ekki hlutaðeigandi einstaklingar. Það heyrir ekki undir valdsvið Persónuverndar að meta hvort [...]hafi í þessu máli farið að öðrum ákvæðum framangreindra laga og reglugerða en þeim sem varða vinnslu persónuupplýsinga. Hins vegar er það mat Persónuverndar, eins og atvikum öllum er háttað í þessu máli og með hliðsjón af eðli umræddra upplýsinga, að hlutaðeigandi einstaklingar geti ekki verið látnir sæta því að sá trúnaður sem þeim var heitið af hálfu [...]verði látinn víkja fyrir hagsmunum kvartanda sem varða ákvarðanir [...]en ekki viðkomandi einstaklinga. Það er ekki á valdsviði Persónuverndar að taka afstöðu til þess hvort [...] hafi verið heimilt að heita fyrrgreindum trúnaði. Með vísan til alls þess sem að framan er rakið og í samræmi við 3. mgr. 17. gr. laga nr. 90/2018, sbr. i-lið 1. mgr. 23. gr. reglugerðar (ESB) 2016/679, er það niðurstaða Persónuverndar að [...]sé ekki skylt, á grundvelli laganna og reglugerðarinnar, að veita kvartanda upplýsingar um uppruna skráðra persónuupplýsinga um hann í umræddu vinnuskjali [...], sbr. 2. mgr. 19. gr. laga nr. 77/2000. Eins og atvikum er háttað verður þá jafnframt lagt til grundvallar að fullnægt sé skilyrðum 8. gr. laga nr. 90/2018 um vinnslu upplýsinganna.

Sérstakur kafli er í úrskurði stefnda um lagaskil þar sem segir m. a. svo:

Um það hvort [...] hafi farið að lögum í framangreindum samskiptum aðila fer eftir þágildandi lögum nr. 77/2000. Um rétt kvartanda til upplýsinga um vinnslu persónuupplýsinga um hann og rétt til þess að skráðar upplýsingar um hann séu réttar og áreiðanlegar, á þeim tíma þegar þessi úrskurður er kveðinn upp, gilda núgildandi lög nr. 90/2018 og hin almenna persónuverndarreglugerð Evrópu þingsins og ráðsins (ESB) 2016/679, sem innleidd er í íslenskan rétt með hinum nýju lögum. Ákvæði núgildandi og þágildandi löggjafar um það álitaefni sem hér er til umfjöllunar eru að miklu leyti sambærileg en þó hefur upplýsingaréttur hins skráða breyst úr því að vera réttur vitneskju í að vera réttur til aðgangs. Hvað varðar rétt hins skráð til upplýsinga um uppruna upplýsinga var kveðið á um það í 4. tölulið 1. mgr. 18. gr. eldri laga nr. 77/2000 að hann ætti rétt á vitneskju um hvaðan upplýsingarnar kæmu en í 1. mgr. 15. gr. reglugerðar (ESB) 2016/679, sbr. 2. mgr. 17. gr. núgildandi laga nr. 90/2018, er kveðið á um rétt hins skráða til þess að fá allar fyrirliggjandi upplýsingar um uppruna þeirra persónuupplýsinga um hann sem unnið er með. Þá var kveðið á um það í 2. mgr. 19. gr. laga nr. 77/2000 að ákvæði 18. gr. laganna ættu ekki við ef réttur hins skráða þætti eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra. Í 3. mgr. 17. gr. núgildandi laga nr. 90/2018 segir að ákvæði 15. gr. reglugerðarinnar gildi ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum vega þyngra. Loks eru meginreglur 1. og 4. tölul. 8. gr. núgildandi laga nr. 90/2018, um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti og að þær séu áreiðanlegar og uppfærðar eftir þörfum, sama efnis og meginreglur 1. og 4. töluliða 7. gr. eldri laga nr. 77/2000. Að framangreindu virtu er það mat Persónuverndar að þær röksemdir og þau sjónarmið, færð hafa verið fram af hálfu málsaðila, eigi við um ákvæði núgildandi laga eins og ákvæði eldri laga. [...].

III.

1. Helstu málsástæður og lagarök stefnanda Kröfu sína um að úrskurður Persónuverndar verði ógiltur með dómi byggir stefnandi á þeirri málsástæðu að hann eigi rétt á því að fá allar upplýsingar um mál hans hjá [...]og þar með aðgang að þeim gögnum og upplýsingum sem [...]hafi undir höndum og varða persónu hans.

Stefnandi tekur fram að ekki sé ágreiningur um að [...]hafi verið heimilt að skrá upplýsingar um stefnanda, sbr. 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga um persónuvernd og vinnslu persónuupplýsinga. Hann geti hins vegar ekki fallist á að hann eigi ekki rétt á aðgengi að þeim upplýsingum sem um hann eru skráðar.

Úrskurður stefnda byggist á því að hagsmunir þeirra sem kvörtuðu yfir háttsemi stefnanda, og lofað var nafnleynd af hálfu [...], vegi þyngra en hagsmunir stefnanda af því að fá þær upplýsingar sem eru til hjá [...] og varða stefnanda og urðu þess valdandi að hann missti starf sitt og æru. Úrskurður Persónuverndar sé byggður á 3. mgr. 17. gr. laga nr. 90/2018, sem mæli fyrir um heimild til að takmarka aðgang að upplýsingum ef brýnir hagsmunir einstaklinga sem tengjast upplýsingunum, þar á meðal hins skráða sjálfs, vega þyngra. Stefnandi byggir á því að ákvæðið sé undantekning frá þeirri meginreglu sem komi fram í 1. mgr. ákvæðisins, þar sem segi að ábyrgðaraðili skuli gera viðeigandi ráðstafanir til að tryggja gagnsæi upplýsinga og tilkynningar til skráðs einstaklings svo að hann geti neytt upplýsingaréttar síns og réttar til aðgangs. Reglan sé einnig áréttuð í 2. mgr. lagagreinarinnar, sem tryggi hinum skráða rétt til upplýsinga.

Stefnandi telur að röksemdafærsla Persónuverndar gangi ekki upp, og það leiði til þess að úrskurður hennar byggist á ólögmætum grundvelli, sbr. eftirfarandi röksemdir.

Í fyrsta lagi geri reglugerð nr. 1009/2015 um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum ekki ráð fyrir kvörtun undir nafnleynd. Af því leiði að í slíkum málum geti hagsmunir kvartenda af nafnleynd aldrei orðið meiri en þess sem kvörtun beinist að.

Í öðru lagi hafi loforð [...]um nafnleynd aldrei haft nein réttaráhrif, þar sem reglur nr. 1009/2015 heimili ekki að slíkt loforð sé gefið. Það geti ekki komið í veg fyrir aðgang stefnanda að upplýsingunum. [...]hafi borið að upplýsa kvartendur um að nafnleynd væri ekki í boði og upplýsa viðkomandi um að ef vinna ætti með upplýsingarnar fengi stefnandi aðgang að þeim. Að öðrum kosti væri ekki hægt að bregðast við þeim og vinna með þær.

Í þriðja lagi mótmælir stefnandi því að hagsmunir þeirra sem báru hann sökum um meinta kynferðislega áreitni vegi þyngra en réttindi hans sjálfs til að fá upplýsingarnar. Loforð [...]um trúnað hafi ekki verið í samræmi við reglugerð nr. 1009/2015. Því hafi stefnda verið óheimilt að leggja loforðið til grundvallar niðurstöðu sinni með þeim hætti sem gert var í úrskurðinum, þ. e. að hlutaðeigandi einstaklingar yrðu ekki látnir sæta því að trúnaður sem þeim var heitið yrði látinn víkja fyrir hagsmunum stefnanda. Hafi stefndi komist að þessari niðurstöðu með þeirri athugasemd að það sé ekki á valdsviði stefnda að taka afstöðu til þess hvort [...]hafi verið heimilt að heita þessum trúnaði. Að mati stefnanda sé augljóst að svo hafi ekki verið og því beri að fella úrskurðinn úr gildi.

Í fjórða lagi byggir stefnandi á því, verði fallist á niðurstöðu stefnda um að hagsmunir kvartenda vegi þyngra en hagsmunir stefnanda, að stefnda hafi borið, eftir að staðreyndir málsins lágu fyrir, að komast að þeirri niðurstöðu að móttaka og vinnsla upplýsinganna hefði verið ólögmæt og leggja fyrir [...]að eyða öllum gögnum um málið. Stefnandi hafi ekki getað byggt á því í kvörtun sinni, þar sem á þeim tíma þegar hann lagði fram kvörtun til stefnda hafi engar upplýsingar legið fyrir um það hvort einhver gögn væru fyrir hendi.

Við munnlegan flutning málsins tók stefnandi fram að það væri rangt sem haldið væri fram í greinargerð stefnda að upplýsingum um hann hefði ekki verið miðlað, enda hefði alþjóð vitað um hvað mál hans snerist. Þá hafi [...]tekið ákvarðanir sem snertu stefnanda á grundvelli upplýsinganna, enda hafi hann misst starf sitt og æru. Þá hafi stefnandi verið sviptur þeim grundvallarrétti að geta dregið upplýsingarnar í efa. Loks tók stefnandi fram að ekki hefði verið um að ræða nafnlausar ábendingar heldur hefðu þær verið undir nafni og stefnandi hefði ekki fengið að vita hvers eðlis þær væru eða frá hverjum þær kæmu. Þessu mætti ekki rugla saman við nafnlausar ábendingar og ákvæði 29. gr. tilskipunar ESB um innra uppljóstrunarkerfi í fjármálageiranum sem ættu ekki við í málinu. Þá væru málsmeðferðarreglur reglugerðar nr. 1009/2015 alveg skýrar, þar sem ekki væri gert ráð fyrir þeirri leynd sem [...]hefði staðið fyrir. Hafi nafnleynd verið útilokuð eftir að [...] hafði tekið ákvörðun um að sögurnar hefðu afleiðingar fyrir stefnanda.

2. Helstu málsástæður og lagarök stefnda Stefndi telur að úrskurður hans sé í samræmi við lög og að ekkert tilefni sé til ógildingar hans eða að stoð sé fyrir kröfum stefnanda. Byggir stefndi á sömu málsástæðum og fram koma í úrskurði Persónuverndar. Telur stefndi að [...] hafi ekki verið skylt að veita stefnanda upplýsingar um uppruna umræddra persónuupplýsinga um hann í vinnuskjali [...]og það hafi verið rétt mat að nákvæmari lýsing á efni upplýsinganna gæti leitt til þess að kvartandi gæti, eftir atvikum, greint um hvaða einstaklinga væri að ræða. [...]hafi því ekki verið skylt að veita kvartanda aðgang að vinnuskjali [...]eða nákvæmari lýsingu á efni þess. Hafi [...]því rækt skyldu sína gagnvart stefnanda samkvæmt persónuverndarlöggjöfinni.

Stefndi bendir á að meginreglur persónuverndarlöggjafarinnar, um aðgang hins skráða að upplýsingum sem hann varða, byggist ekki alfarið á sömu sjónarmiðum og reglur um aðgang að upplýsingum á grundvelli stjórnsýslulaga og upplýsingalaga. Rétturinn til aðgangs á grundvelli persónuverndarlöggjafar byggist fyrst og fremst á þeim sjónarmiðum að hann sé nauðsynlegur til að tryggja gagnsæi vinnslu gagnvart hinum skráða og til þess að hinn skráði geti neytt annarra réttinda sinna samkvæmt persónuverndarlöggjöfinni. Þetta eigi t. d. við um rétt hins skráða til þess að persónuupplýsingar hans séu áreiðanlegar og uppfærðar eftir þörfum og að upplýsingum sem séu óáreiðanlegar eða ófullkomnar miðað við tilgang og vinnslu þeirra skuli eytt eða þær leiðréttar án tafar. Þetta eigi einnig við um réttinn til þess að upplýsingar um hinn skráða séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu, að þær séu ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, réttinn til að andmæla vinnslu, réttinn til eyðingar upplýsinga sem ekki er lengur nauðsynlegt að varðveita og réttinn til flutnings eigin gagna. Þegar stefndi meti rétt hins skráða til aðgangs að skráðum upplýsingum um hann á grundvelli persónuverndarlöggjafarinnar sé því fyrst og fremst litið til framangreindra sjónarmiða. Hins vegar verður ekki litið fram hjá því að réttur hins skráða til þess að skráðar upplýsingar um hann séu réttar og áreiðanlegar byggist meðal annars á því að slíkt skipti máli þegar ákvarðanir eru teknar sem varða viðkomandi einstakling á grundvelli upplýsinganna.

Stefndi byggir einnig á því að málsástæða stefnanda um að hann hafi hagsmuni af því að fá aðgang að umbeðnum upplýsingum heyri ekki undir valdsvið stefnda. Telur stefndi að þessi málsástæða lúti að því hvort sá rökstuðningur sem lagður var til grundvallar ákvörðun um uppsögn stefnanda hafi verið fullnægjandi. Þann ágreining verði stefnandi að eiga við [...].

Stefndi telur að stefnandi hafi fengið þær upplýsingar sem hann óskaði eftir, aðrar en upplýsingar um það frá hverjum ásakanirnar væru, og hvers eðlis þær væru. Hann hafi fengið upplýsingar um að þær vörðuðu meinta kynferðislega áreitni af hans hálfu og meint kynferðislegt ofbeldi gagnvart viðkomandi einstaklingum. Það sé því rangt að stefnandi hafi verið sviptur með öllu rétti til aðgangs að upplýsingum um hann sjálfan.

Stefndi telur að stefnandi eigi ekki rétt á tæmandi upplýsingum um málið og þarmeð aðgangi að öllum gögnum og upplýsingum um hann sem [...]hafi undir höndum, sbr. undanþáguákvæði 2. mgr. 19. gr. laga nr. 77/2000 og 3. mgr. 17. gr. laga nr. 90/2018, sbr. i-lið 1. mgr. 23. gr. reglugerðar (ESB) 2016/679. Þá tekur stefndi fram að mjög takmarkaðar leiðbeiningar komi fram í reglugerð nr. 1009/2015 um það hvernig fara beri með þessar upplýsingar.

Stefndi vísar til 2. mgr. 17. gr. laga nr. 90/2018 um rétt hins skráða til upplýsinga um vinnslu persónuupplýsinga samkvæmt fyrirmælum 13.– 15. gr. reglugerðar (ESB) 2016/679. Í 14. gr. reglugerðarinnar eru ákvæði um upplýsingar sem beri að veita hinum skráða hafi persónuupplýsingar ekki verið fengnar hjá honum sjálfum, og segir í f-lið þeirrar greinar að í slíkum tilvikum skuli skýra hinum skráða frá því hvaðan persónuupplýsingar eru fengnar að því marki sem nauðsynlegt sé til að tryggja sanngjarna og gagnsæja vinnslu. Í 15. gr. reglugerðarinnar er kveðið á um rétt skráðs einstaklings til aðgangs að upplýsingum hjá ábyrgðaraðila um vinnslu persónuupplýsinga um sig. Samkvæmt g-lið 1. mgr. þeirrar greinar falli þar undir réttur til aðgangs að öllum fyrirliggjandi upplýsingum um uppruna persónuupplýsinganna sem unnið er með. Í 3. mgr. 17. gr. laga nr. 90/2018 sé hins vegar kveðið á um að 1.– 4. mgr. 14. gr. og 15. gr. reglugerðarinnar gildi ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum vega þyngra en réttur hins skráða til fræðslu og aðgangs. Af þessu ákvæði má ljóst vera að persónuverndarlögin koma ekki í veg fyrir að einstaklingum sem vilja koma á framfæri upplýsingum um háttsemi annarra einstaklinga sé heitið nafnleynd. Hins vegar geti fyrirheit um nafnleynd ekki verið án fyrirvara um framangreint hagsmunamat. Vegast þá á hagsmunir þess sem veitir upplýsingarnar af nafnleynd og hagsmunir hins skráða af því að fá vitneskju um hvaðan upplýsingarnar koma.

Stefndi tekur fram að í samræmi við framkvæmd og úrlausnir stefnda þá sé ekki unnt að tryggja að upplýsingar sem veittar séu með nafnlausum ábendingum séu áreiðanlegar í samræmi við 4. tölulið 1. mgr. 8. gr. laga nr. 90/2018, sbr. 4. tölulið 1. mgr. 7. gr. laga nr. 77/2000. Við slíka framkvæmd geti reynst ómögulegt að fylgja ábendingum eftir með frekari fyrirspurnum og hætta geti skapast á að einstaklingar geti, í skjóli nafnleysis, sent ábendingar til þess að koma höggi á aðra. Sérstakrar varúðar beri að gæta í þessum efnum þegar ábendingar varði meint brot á lögum og reglum. Slíkar ábendingar geti haft í för með sér alvarlegar afleiðingar fyrir þá sem bent er á, jafnvel þótt þær eigi ekki við rök að styðjast. Stefndi hefur einnig talið að nafnlausar ábendingar uppfylli almennt ekki grunnkröfu persónuverndarlaga um lögmæta, sanngjarna og gagnsæja vinnslu persónuupplýsinga gagnvart hinum skráða, sbr. 1. tölulið 1. mgr. 8. gr. laga nr. 90/2018, sbr. og 1. tölulið 1. mgr. 7. gr. laga nr. 77/2000. Það fyrirkomulag að heimila nafnlausar ábendingar komi enda í veg fyrir að hinn skráði geti notið réttinda samkvæmt framangreindum ákvæðum 17. gr. laga nr. 90/2018 og 14. og 15. gr. reglugerðar (ESB) 2016/679. Hins vegar getur verið heimilt, á grundvelli persónuverndarlöggjafarinnar að heita þeim sem veita upplýsingar um aðra einstaklinga nafnleynd, sem ekki verði aflétt nema að nánar tilgreindum skilyrðum uppfylltum. Með því mæla ýmis rök, til dæmis að sá sem ábending eða kvörtun varðar geti ekki hefnt sín á þeim sem upplýsingar veitir. Vísar stefndi í þessu sambandi til leiðbeininga 29. gr. vinnuhóps ESB frá árinu 2016, „Guidelines on processing personal information within a whistleblowing procedure“ og álits hópsins nr. 1/2006, um uppljóstranir í fjármálageiranum.

Stefndi bendir á að almennt standi ríkir hagsmunir til þess að nafnleyndar sé gætt fyrir þá sem veita upplýsingar sem lúta að broti á lögum og reglum, þar sem veita þarf öruggt umhverfi fyrir þá sem vilja koma slíkum upplýsingum á framfæri. Sömu sjónarmið geti átt við þegar yfirmanni á vinnustað eru veittar upplýsingar um meinta háttsemi starfsmanns. Við vinnslu persónuupplýsinga sem þannig berist þurfi þá að gæta að hagsmunum allra hlutaðeigandi aðila, þ. e. þeirra sem veita upplýsingar, þeirra sem upplýsingarnar varða og annarra sem kunna að eiga hlut að máli, svo sem vitna. Í framangreindum leiðbeiningum og áliti 29. gr. vinnuhópsins kemur fram að við slíkar aðstæður sé æskilegast að sett hafi verið lög eða reglur um það hvernig skuli fara með þær upplýsingar sem þannig berast, til þess að auka fyrirsjáanleika og gagnsæi gagnvart öllum aðilum. Geta það verið almennar reglur eða reglur sem t. d. tiltekin stofnun setur sér um hvernig skuli farið með slíkar upplýsingar. Þar sem skýrum reglum sé ekki fyrir að fara þurfi hins vegar að styðjast við fyrrgreint hagsmunamat (hagsmunir hins skráða gagnvart hagsmunum þeirra sem upplýsingar veita), með hliðsjón af ákvæðum persónuverndarlaga og atvikum öllum.

Í fyrrnefndum leiðbeiningum 29. gr. vinnuhópsins er fjallað um uppljóstrunarkerfi á vinnustöðum. Er þar áréttað mikilvægi þess að þar sem slík kerfi séu fyrir hendi sé trúnaðar gætt um upplýsingar sem berist í gegnum kerfin og um auðkenni þeirra sem veiti upplýsingar. Trúnaðar um auðkenni þeirra sem veita upplýsingar í góðri trú skuli gætt til hins ýtrasta, meðal annars til þess að vernda þá gegn hefndum. Trúnaði skuli þá ekki aflétt nema í eftirtöldum undantekningatilvikum: ef uppljóstrari heimilar það, efþað er skylt á grundvelli laga við meðferð sakamáls í kjölfar uppljóstrunar, eða ef uppljóstrari hefur vísvitandi veitt rangar upplýsingar, og er það þá á ábyrgð þess aðila sem tekur við upplýsingunum að sanna að viðkomandi hafi vísvitandi veitt rangar upplýsingar auk þess sem aðeins má veita dómstólum upplýsingar um það hver uppljóstrari er. Telur stefndi að hafa megi þau sjónarmið sem fram koma í leiðbeiningum 29. gr. vinnuhópsins til hliðsjónar í þessu máli þótt atvik hafi ekki verið með þeim hætti að veittar hafi verið ábendingar í gegnum einhvers konar uppljóstrunarkerfi. Meðal annars með hliðsjón af þessum leiðbeiningum er það mat stefnda að í tilvikum eins og í máli stefnanda þurfi að gæta að trúnaði gagnvart þeim sem veittu upplýsingar til þess að vernda þá gegn hvers konar óþægindum. Þá megi einnig líta til leiðbeininganna um hugsanleg tilvik sem heimili að trúnaði sé aflétt. Taldi því stefndi ekki á sinni hendi að kveða á um að trúnaði skyldi aflétt um auðkenni þeirra sem veittu upplýsingar um stefnanda.

Stefndi byggir einnig á því að það hafi ekki verið stefnda að taka afstöðu til þess hvort ákvæði laga og reglna, sem giltu um annað en meðferð persónuupplýsinga, heimiluðu eða kæmu í veg fyrir að [...]héti trúnaði við þær aðstæður sem uppi voru. Hlutverk stefnda hafi enda einungis verið að leysa úr því hvort þessum trúnaði skyldi aflétt með vísan til aðgangsréttar stefnanda á grundvelli persónuverndarlaga.

Um eyðingu gagna málsins vísar stefndi til skyldu [...] til að skrá upplýsingarnar á grundvelli reglugerðar nr. 1009/2015 og þar með heimildar [...] til skráningar upplýsinganna á grundvelli persónuverndarlaga. Telur stefndi að vinnsla persónuupplýsinga um stefnanda samrýmist grunnkröfum persónuverndarlaganna, m. a. að þær séu nægjanlega áreiðanlegar sem upplýsingar um upplifun þeirra einstaklinga sem upplýsingarnar veittu. Ekki hafi hins vegar verið fjallað um eyðingu upplýsinganna í úrskurði stefnda.

IV.

1

Um rétt stefnanda til aðgangs að upplýsingum um vinnslu persónuupplýsinga sem skráðar voru um hann í minnisblaði [...]í desember árið 2017, og um rétt hans til þess að skráðar upplýsingar um hann sem þar koma fram séu réttar og áreiðanlegar, gilda nú lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og hin almenna persónuverndarreglugerð Evrópuþingsins og ráðsins (ESB) 2016/679, sem öðluðust gildi 15. júlí 2018, sbr. 53. gr. laga nr. 90/2018. Frá sama tíma féllu úr gildi lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Engin lagaskil sem hér skipta máli voru ákveðin í fyrrgreindum lögum.

2

Samskipti aðila hófust með kvörtunarbréfi stefnanda til stefnda, dags. 2. mars 2018, er eldri lög voru enn í gildi. Í úrskurði Persónuverndar frá 16. október 2018 er á því byggt að núgildandi og þágildandi löggjöf sé að miklu leyti sambærileg um það álitaefni sem hér er til umfjöllunar. Af forsendum úrskurðarins má ráða að niðurstaða hans er a. m. k. að hluta til byggð á núgildandi löggjöf og virðist þá fyrrgreind forsenda um sambærileika laganna vera lögð til grundvallar.

Þar sem sérstakar lagaskilareglur er ekki að finna í lögum nr. 90/2018 verður að miða við að sömu réttarreglur gildi um samskipti þeirra sem málið varðaði með hliðsjón af réttindum þeirra og skyldum allan þann tíma sem mál þeirra var til meðferðar hjá stefnda. Önnur viðmiðun um þetta atriði gæti leitt til afturvirkni lagareglna með hliðsjón af hugsanlegum skyldum viðkomandi aðila. Ber því að dæma mál þetta á grundvelli þágildandi laga nr. 77/2000, en með þeim lögum var innleidd tilskipun Evrópuþingsins og Ráðsins 95/46/EBfrá 24. október 1995 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun.

3

Í 3. gr. þágildandi laga nr. 70/2000, um persónuvernd og meðferð persónuupplýsinga, segir að lögin gildi um sérhverja rafræna vinnslu persónuupplýsinga. Þau gildi einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá.

Samkvæmt 1. mgr. 37. gr., sbr. 1. mgr. 36. gr.. laganna skyldi sjálfstæð stofnun, Persónuvernd, annast eftirlit með framkvæmd laganna og reglna settra samkvæmt þeim. Samkvæmt 2. mgr. 37. gr. laganna skyldi Persónuvernd úrskurða í ágreiningsmálum sem upp kynnu að koma um vinnslu persónuupplýsinga á Íslandi hvort sem íslensk lög eða lög annars ríkis giltu um vinnsluna. Persónuvernd gat einnig fjallað um einstök mál að eigin frumkvæði eða samkvæmt erindi þess sem taldi að ekki hefði verið unnið með persónuupplýsingar um hann í samræmi við lögin og reglur sem settar voru samkvæmt þeim eða einstök fyrirmæli. Þá var mælt fyrir um það í 2. tölulið 3. mgr. 37. gr. laganna að verkefni Persónuverndar væru m. a. að hafa eftirlit með því að farið væri að lögum og öðrum reglum um vinnslu persónuupplýsinga og að bætt væri úr annmörkum og mistökum.

Samkvæmt 38. gr. gat Persónuvernd krafið ábyrgðaraðila, vinnsluaðila og þá sem störfuðu á þeirra vegum um allar þær upplýsingar og skriflegar skýringar sem henni væru nauðsynlegar til þess að rækja hlutverk sitt, þar á meðal þær upplýsingar sem hún þyrfti til að geta metið hvort tiltekin starfsemi eða vinnsla félli undir ákvæði laganna. Einnig gat Persónuvernd kvatt ábyrgðaraðila, vinnsluaðila og þá sem störfuðu á þeirra vegum á sinn fund til að veita munnlegar upplýsingar og skýringar varðandi tiltekna vinnslu persónuupplýsinga.

4

Kveðið var á um rétt til almennrar vitneskju um vinnslu persónuupplýsinga í 16. gr. laga nr. 77/2000 þar sem mælt var fyrir um að ábyrgðaraðila væri skylt að veita hverjum sem þess óskaði almenna vitneskju um þá vinnslu persónuupplýsinga sem fram færi á hans vegum. Þeim sem þess óskaði skyldi enn fremur, að því er varðaði tiltekna tegund vinnslu, veitt vitneskja um nánar tilgreind atriði, m. a. skilgreiningu og aðra lýsingu á þeim tegundum persónuupplýsinga sem unnið væri með og hvaðan upplýsingar kæmu.

Hinn skráði hafði að auki sérstakan upplýsingarétt frá ábyrgðaraðila samkvæmt 1. mgr. 18. gr. laganna. Hinn skráði átti þannig m. a. rétt á að fá frá ábyrgðaraðila vitneskju um:

1. hvaða upplýsingar um hann er eða hefur verið unnið með;

2. tilgang vinnslunnar;

3. hver fær, hefur fengið eða mun fá upplýsingar um hann;

4. hvaðan upplýsingarnar koma;

Sá réttur var þó ekki án takmarkana því að í 2. mgr. 19. gr. laganna sagði að ákvæði 18. gr. laganna ætti ekki við ef réttur hins skráða samkvæmt því ákvæði þætti eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra eða hans eigin. Skyldi þá m. a. tekið tillit til heilsu hins skráða og hagsmuna venslamanna hans. Um var að ræða matskennd ákvæði þar sem vógust á annars vegar hagsmunir hins skráða og hagsmunir einstaklinga sem tengdir voru upplýsingunum. Í athugasemdum um 19. gr. í frumvarpi að þágildandi lögum nr. 77/2000 sagði m. a. að hér væri fyrst og fremst átt við hagsmuni sem tengdust heilsu hins skráða eða sambandi hans við þá einstaklinga sem stæðu honum næst. Þá var í 3. mgr. 19. gr. tekið fram að réttur hins skráða til að fá vitneskju samkvæmt ákvæðum 18. gr. næði ekki til upplýsinga sem væru undanþegnar aðgangi samkvæmt upplýsinga- eða stjórnsýslulögum.

5

Í málinu er ekki ágreiningur um heimild [...] til vinnslu persónuupplýsinga um stefnanda samkvæmt ákvæðum 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Ágreiningur málsaðila afmarkast við það álitaefni hvort stefnandi eigi á grundvelli gildandi laga rétt til aðgangs að skráðum gögnum og upplýsingum sem [...]hafi undir höndum og hvort það falli undir valdsvið stefnda að leggja mat á hagsmuni stefnanda af aðgangi að umbeðnum upplýsingum hjá [...]. Byggir stefnandi m. a. á því að úrskurður stefnda sé ólögmætur að því leyti að reglugerð nr. 1009/2015 um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum geri ekki ráð fyrir kvörtun undir nafnleynd.

6

Lög nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, með síðari breytingum, gilda um alla starfsemi þar sem einn eða fleiri menn vinna, hvort sem um er að ræða eigendur fyrirtækja eða starfsmenn, sbr. 2. gr. Í II. kafla reglugerðar nr. 1009/2015, sem sett er með stoð í þeim lögum, er mælt fyrir um skyldur atvinnurekanda við meðferð máls. Í 1. mgr. 7. gr. segir m. a. að atvinnurekandi skuli bregðast við eins fljótt og kostur er þegar honum berst kvörtun eða ábending um kynferðislega áreitni. Segir að atvinnurekandi skuli meta aðstæður í samvinnu við vinnuverndarfulltrúa vinnustaðarins, eftir því sem við á, og utanaðkomandi aðila ef með þarf. Skal atvinnurekandi jafnframt tryggja að við matið sé hlutaðeigandi starfsmönnum gefinn kostur á að koma sínum sjónarmiðum á framfæri. Í 4. mgr. 7. gr. er mælt fyrir um að atvinnurekandi skuli skrá niður allt sem tengist meðferð máls og halda hlutaðeigandi starfsmönnum sem og vinnuverndarfulltrúa vinnustaðarins upplýstum meðan á meðferðinni stendur, meðal annars með því að veita þeim aðgang að öllum upplýsingum og gögnum í málinu, að teknu tilliti til laga um persónuvernd og meðferð persónuupplýsinga.

Vinnsla persónuupplýsinga samkvæmt lögum um persónuvernd getur eftir atvikum skarast við gildissvið annarra laga, svo sem upplýsingalaga og stjórnsýslulaga. Þetta á eftir atvikum einnig við um önnur lög, eins og lög nr. 46/1980 um aðbúnað, hollustuhætti og öryggi á vinnustöðum og reglugerðir settar samkvæmt þeim. Dómurinn telur að lög um persónuvernd takmarki ekki þann réttsem viðkomandi kann að eiga samkvæmt slíkum sérlögum enda fær það stoð í fyrrgreindum 2. tölulið 3. mgr. 37. gr. laga nr. 77/2000. Að því sögðu telur dómurinn að Persónuvernd beri við beitingu og skýringu laga um persónuvernd og vinnslu persónuupplýsinga að tryggja að viðkomandi fái notið fulls réttar síns varðandi aðgang að persónuupplýsingum þó að slíkur réttur verði einungis eða að hluta til studdur við slík sérlög.

8

Kemur þá til skoðunar hvort stefndi hafi gætt allra lagaskilyrða er hann kvað á um aðgang stefnanda að upplýsingum í úrskurði sínum frá 16. október 2018, og þá sérstaklega hvort sú ákvörðun stefnda að hafna kröfu stefnanda hafi hvílt á lögmætum og málefnalegum sjónarmiðum. Eins og fyrr greinir telur stefndi það hvorki heyra undir valdsvið sitt að meta hvort [...]hafi við meðferð máls stefnanda farið að öðrum lögum og reglum sem varða vinnslu upplýsinga en lögum um persónuvernd né sé það á valdi stefnda að taka afstöðu til þess hvort [...]hafi verið heimilt að heita trúnaði við söfnun upplýsinga.

9

Hér að framan hefur dómurinn komist að þeirri niðurstöðu að við úrlausn máls þessa beri einungis að leggja þágildandi lög nr. 77/2000 til grundvallar niðurstöðu. Það var ekki gert við meðferð málsins hjá stefnda, heldur var hinum nýju lögum beitt að talsverðu marki. Telur dómurinn að það teljist ágalli á málsmeðferðinni, jafnvel þó að þau ákvæði hinna eldri laga nr. 77/2000 og yngri laga nr. 90/2018 í máli þessu kunni að vera sambærileg í mörgum atriðum. Þá er hér áður gerð grein fyrir því að stefnda hafi borið við úrskurð í máli þessu að beita öllum þeim íslenskum réttarheimildum sem hér koma við sögu, og þar á meðal lögum nr. 46/1980 og reglugerð nr. 1009/2015 ef því var að skipta. Í því felst m. a. að stefnda bar við úrlausn málsins að úrskurða um það hvort loforð [...]um nafnleynd stæðist íslensk lög. Hinn umdeildi úrskurður Persónuverndar er að þessu leyti haldinn verulegum ágöllum sem leiða til ógildingar hans.

10

Að virtu því sem að framan greinir er það niðurstaða dómsins að meðferð stefnda á máli stefnanda sé haldin slíkum ágöllum að óhjákvæmilegt sé að fella úrskurð stefnda úr gildi.

Eftir úrslitum málsins og með vísan til 1. mgr. 130. gr. laga nr. 91/1991 um meðferð einkamála ber stefnda að greiða stefnanda 900.000 krónur í málskostnað.

E-kk-nf Þ-kk-nf S-kk-nf lögmaður flutti málið af hálfu stefnanda.

E-kk-nf K-kk-nf H-kk-nf lögmaður flutti málið af hálfu stefnda.

R-kvk-nf S-kvk-nf héraðsdómari kveður upp dóm þennan.

Dómsorð :

Felldur er úr gildi úrskurður stefnda, Persónuverndar í máli stefnanda, A, mál nr. 2018/538 frá 16. október 2018.

Stefnda ber að greiða stefnanda 900.000 krónur í málskostnað.