Úrskurður

um kvörtun yfir BL ehf., í máli nr. 2025010358 (áður 2024010028):

Málsmeðferð

1. Hinn 5. janúar 2024 barst Persónuvernd kvörtun ásamt fylgiskjölum frá [A] (hér eftir kvartandi) yfir netvöktun sem hún kveðst hafa sætt yfir [tiltekið] tímabil af hálfu BL ehf. (hér eftir BL eða félagið) á meðan hún starfaði hjá félaginu.

2. Persónuvernd bauð BL að tjá sig um kvörtunina með bréfi dags. 18. desember 2024 og bárust svör félagsins með bréfi dags. 8. janúar 2025 ásamt fylgiskjölum. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör BL með bréfi dags. 10. s.m. og bárust þær með bréfi dags. 24. s.m. BL var veittur kostur á að koma á framfæri athugasemdum við svör kvartanda með bréfi dags. 29. s.m. og bárust þær með bréfi dags. 12. febrúar s.á. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör BL með bréfi dags. 24. s.m. og bárust þær með bréfi dags. 10. mars s.á., ásamt fylgiskjölum. BL var veittur kostur á að koma á framfæri athugasemdum við svör kvartanda með bréfi dags. 31. s.m. og bárust þær með bréfi dags. 6. maí s.á. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör BL með tölvupósti 20. júní s.á., teldi hún þörf á, og bárust þær með bréfi dags. 3. júlí s.á. Persónuvernd barst tölvupóstur 12. mars 2026 frá kvartanda, ásamt gögnum sem hún óskaði eftir að fá að leggja fram, til að varpa frekara ljósi á umkvörtunarefni sín.

3. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Ágreiningsefni

4. Ágreiningur er um ætlaða netvöktun og skoðun á persónuupplýsingum kvartanda af hálfu BL og í því samhengi hvort aðgangsstýringar á skráasvæðum kvartanda hjá félaginu hafi verið í samræmi við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Atvik máls og fyrirliggjandi gögn

5. Fyrir liggur að kvartandi hóf störf hjá BL þann [dags.] [ártal] og fékk hún af því tilefni afhenda tölvu sem sett var upp af hálfu tölvudeildar félagsins. BL er með áskrift að Microsoft Office 365 sem inniheldur m.a. OneDrive fyrir hvern starfsmann, en skjáborð (e. desktop) notandans er hluti af því. Delve er hugbúnaður sem var jafnframt hluti af Microsoft Office 365 og að sögn BL var hann aðgengilegur starfsmönnum en ekki í almennri notkun hjá félaginu. Samkvæmt upplýsingum á heimasíðu Microsoft hætti fyrirtækið að bjóða upp á Delve frá og með desember 2024 og var virkni þess innleidd í aðrar hugbúnaðarlausnir fyrirtækisins.

6. OneDrive er persónulegt netdrif notanda og er tilgangur þess að geyma gögn sem tengjast aðganginum sem skráður er inn á drifið. Gögn notanda þess verða þá til á OneDrive, í stað þess að verða til á tölvunni sjálfri. OneDrive er jafnan sett upp á tölvum starfsmanna þeirra fyrirtækja sem notast við Microsoft Office 365 til að tryggja að til séu afrit af vinnugögnum starfsmannsins en afritunarvirknin er valkvæð. Þegar um er að ræða áskrift fyrirtækis, líkt og hjá BL, þá stjórnar fyrirtækið því fyrir hönd notenda hvort kveikt sé á framangreindri virkni eða ekki, t.d. með hópstjórnarstefnu (e. group policy). Þegar fyrirtæki útdeilir aðgangi að OneDrive til starfsmanns, úr fyrirtækjaáskrift sinni að Microsoft Office 365, má jafnan sjá þess merki í nafni drifsins inni á tölvu starfsmannsins þar sem nafni fyrirtækisins er skeytt aftan við nafnið OneDrive.

7. Delve var hluti af Microsoft Office 365 á þeim tíma er atvik kvörtunar áttu sér stað, en því má lýsa sem gagnaglugga sem sýndi notandanum þær skrár sem hann hafði aðgang að, bæði hans eigin og annarra. Sem dæmi má nefna skrár sem notandinn hafði sjálfur unnið í; skrár sem aðrir höfðu deilt með honum og nýjar skrár á OneDrive drifi notandans. Á bak við Delve var tólið Microsoft Graph sem bjó til líkindatré yfir hvað væri áhugaverðast að sýna notandanum af þeim skrám sem hann hafði aðgang að. Delve fékk einnig upplýsingar úr SharePoint og Teams, sem jafnframt eru hluti Microsoft Office 365, um hversu oft skrá hafði verið opnuð af þeim sem höfðu aðgang að henni og birti upplýsingar um áhorfstölu (e. views) hvers skjals. Inni í þeirri tölu voru bæði þau skipti sem eigandi skrárinnar hafði opnað hana sem og aðrir sem höfðu aðgang að henni. Delve hins vegar gaf ekki sjálft aðgang að skrám. Ef notandi sá inni á sínum aðgangi í Delve vísun í skrá á hans eigin OneDrive, sem hann hafði ekki deilt með öðrum, en áhorfstala sýndi að hafði verið opnuð í tiltekinn fjölda skipta, þá var það notandinn sjálfur sem hafði opnað skrána í öll skiptin.

8. Notandi getur skoðað í eiginleikum (e. properties) hverrar skrár eða möppu sem er á drifum tölvu hans, hvort sem um ræðir OneDrive, harða diska eða önnur drif, undir öryggisstillingum (e. security), lista sem sýnir hvort og þá hvaða heimildir (e. permissions) tilteknir notendur og/eða hópar hafa. Heimildir geta verið skilgreindar annars vegar jákvætt, þ.e. með því að taka afstöðu til einstaka heimilda, eða neikvætt, sem þýðir þá alla jafna að engar heimildir hafi verið veittar til þess notanda eða hóps sem valinn var.

9. Meðfylgjandi kvörtun voru m.a. ráðningarsamningur milli kvartanda og BL, dags. [dags.] [ártal]; tvær myndir af virkni Delve; skjáskot af samskiptum kvartanda við tölvudeild BL; mynd af notendaprófíl kvartanda í Delve; afrit af veikindavottorði kvartanda sem vistað var á tölvu hennar; skjáskot af almennum upplýsingum í eiginleikum skjáborðs kvartanda (e. desktop properties); skjáskot af heimildum sem í gildi voru á skjáborði kvartanda; skjáskot af upplýsingum um stað þar sem skrár skjáborðsmöppu eru; skjáskot sem sýnir þau skjöl sem vistuð eru í OneDrive; afrit af samskiptum kvartanda við fyrrum samstarfskonu.

10. Meðfylgjandi andmælabréfi BL frá 18. desember 2024 voru tvö skjáskot af skjáborðsstillingum tiltekins notanda; þrjú skjáskot af upplýsingum um Delve á heimasíðu Microsoft; skjáskot af yfirliti yfir hugbúnað sem innifalinn er í Microsoft Office 365 áskrift BL; skjáskot af fylgiskjali kvartanda sem sýndi virkni Delve, ásamt viðbótarmerkingum BL; skjáskot af uppfærðu útlitsviðmóti notendaprófíls í Delve; skjáskot af upplýsingum undir efnisvalmynd (e. content) notendaprófíls í Delve ásamt merkingum BL; skjáskot, af fylgiskjali kvartanda sem sýndi virkni Delve, ásamt viðbótarmerkingum BL.

11. Meðfylgjandi andmælabréfi kvartanda frá 10. mars 2025 var myndband af virkni Delve og skjal sem sýnir samanburð á stillingum tveggja skjáborða.

12. Meðfylgjandi tölvupósti kvartanda frá 12. mars 2026 voru skjáskot af tölvupóstsamskiptum milli kvartanda og Microsoft Privacy, dagana 17. nóvember til 5. desember 2024.

Sjónarmið aðila

Helstu sjónarmið kvartanda

13. Kvartandi byggir á því að hún hafi sætt ólögmætri rafrænni vöktun af hálfu BL á meðan starfi hennar stóð hjá félaginu, sem hafi brotið í bága við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglugerð (ESB) 2016/679 og reglur Persónuverndar nr. 50/2023 um rafræna vöktun. Um hafi verið að ræða netvöktun sem hafi verið viðvarandi, farið fram með sjálfvirkum búnaði og á svæði sem takmarkaður fjöldi fólks fari um að jafnaði.

14. Kvartandi telur að BL hafi hagað stillingum á vinnutölvu hennar og þeim hugbúnaði sem þar var með þeim hætti að samstarfsfólk hennar og yfirmenn hafi getað fylgst með störfum hennar og skoðað persónuleg gögn á skjáborði hennar. Nánar tiltekið hafi öll gögn kvartanda sjálfkrafa verið vistuð á sameiginlegt OneDrive BL og samþætt með Delve. Meðal gagna hafi verið læknisvottorð sem innihélt viðkvæmar persónuupplýsingar sem og gögn sem innihéldu upplýsingar viðkvæms eðlis, á borð við lykilorð, persónuleg vinnuskjöl, starfsmannasamtöl og launaseðla. Kvartandi kveðst hafa beðið samstarfskonu sína að staðfesta framangreint og kveðst kvartandi hafa séð af eigin raun samstarfskonuna opna öll framangreind gögn kvartanda í gegnum vinnutölvu samstarfskonunnar.

15. Af hálfu kvartanda er á því byggt að umrædd netvöktun hafi verið andstæð meginreglum 1.–6. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Vinnslan hafi ekki verið sanngjörn, gagnsæ eða hófleg, auk þess sem ekki hafi verið gerðar tæknilegar og skipulagslegar ráðstafanir til að tryggja viðunandi öryggi persónuupplýsinga. Í gegnum Delve hafi persónuleg gögn kvartanda verið gerð aðgengileg öðrum starfsmönnum. Þar kveðst hún t.a.m. hafa séð, út frá áhorfstölu skjals sem geymdi lykilorð hennar og var vistað á skjáborði tölvunnar, að þrettán aðilar hafi séð lykilorðið. Kvartandi álítur umrædda áhorfstölu aðeins telja fjölda þeirra skipta sem aðrir notendur hafi opnað eða skoðað skjalið en að smellir frá eiganda skjalsins teljist ekki með. Hafi skjali ekki verið deilt með öðrum ætti áhorfstalan þannig að standa á núlli.

16. Að mati kvartanda hafi umfang hinnar ætluðu vöktunar verið langt umfram nauðsyn m.t.t. eðlis starfs kvartanda. Delve geymi upplýsingar lengur en nauðsynlegt sé og notendur hafi takmarkaða stjórn á því hvenær upplýsingar séu fjarlægðar. Aðgangsstýringar hafi jafnframt verið ófullnægjandi. Þá hafi verið skylt að framkvæma mat á áhrifum á persónuvernd (MÁP) fyrir vinnsluna.

Helstu sjónarmið BL

17. Byggt er á því af hálfu BL að ósannað sé að félagið hafi viðhaft netvöktun með kvartanda líkt og lýst er í kvörtun. Þvert á móti telji félagið að þau gögn sem það hafi lagt fram undir rannsókn málsins sýni fram á hið gagnstæða, þ.e. að gagnaaðgangur starfsmanna hafi verið aðgangsstýrður og öryggi persónuupplýsinga kvartanda því tryggt. Fylgiskjöl kvörtunar sýni hefðbundna uppsetningu á OneDrive og starfsmenn hafi aðeins aðgang að skjölum annarra starfsmanna hafi þeim verið deilt með þeim og hið sama eigi við um Delve. OneDrive sé aðgangsstýrt einkasvæði starfsmanns, í samræmi við öryggisstaðla Microsoft. Skjáborð sé hluti þess og geri starfsmönnum kleyft að fá upp sitt vinnusvæði þó þeir skrái sig inn í annarri tölvu í eigu félagsins. Aðrir starfsmenn hafi hins vegar ekki aðgang að því svæði. Framlögð gögn sýni að hópurinn allir (e. everyone) hafi engin réttindi haft á skjáborð kvartanda, ekkert hak hafi verið í leyfa (e. allow), sem þýði að engar heimildir hafi verið til staðar. Hafi kvartandi vistað læknisvottorð á skjáborð sitt eða á OneDrive, hafi enginn annar haft aðgang að því. Ekkert sé til sem heiti sameiginlegt OneDrive félagsins heldur sé aðgangur veittur á einstaklingsgrundvelli.

18. BL vísar til þess að gagnaaðgangur starfsmanna hafi verið aðgangsstýrður líkt og fyrr greinir og vinnslan því verið lögmæt, sanngjörn og gagnsæ, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og upplýsingar fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi, sbr. 2. tölul. sömu málsgreinar. Meðalhóf og öryggi vinnslunnar hafi að sama skapi verið tryggt með aðgangsstýringunni.

Forsendur og niðurstaða

Afmörkun máls

19. Samkvæmt 3. máls. 2. mgr. 39. gr. laga nr. 90/2018 ákveður Persónuvernd hvort kvörtun gefur nægar ástæður til rannsóknar og getur úrskurðað um hvort brot hefur átt sér stað. Með vísan til framangreindrar heimildar og 28. gr. málsmeðferðarreglna Persónuverndar nr. 1150/2023 hefur stofnunin ákveðið að afmarka úrlausn þessa máls við ætlaða netvöktun með kvartanda og skoðun á persónuupplýsingum hennar af hálfu BL og í því samhengi hvort aðgangsstýringar félagsins hafi verið með þeim hætti að viðeigandi öryggi upplýsinganna hafi verið tryggt, sbr. 6. tölul. 1. mgr. og 2. mgr. 8. gr. og 1. mgr. 27. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. og 2. mgr. 5. gr. og 1. mgr. 32. gr. reglugerðar (ESB) 2016/679. Við ákvörðun um framangreinda afmörkun hefur Persónuvernd m.a. litið til þess sem fram hefur komið í svörum beggja aðila máls sem og gögnum málsins, en stofnunin telur að af þeim verði ráðið að meginágreiningur aðila málsins lúti að framangreindum umkvörtunarefnum. Í úrskurði þessum verður því ekki tekin afstaða til heimildar BL almennt til notkunar þeirra hugbúnaðarlausna sem til umfjöllunar eru í málinu.

Lagaumhverfi

20. Mál þetta lýtur að ætlaðri netvöktun og skoðun á persónuupplýsingum kvartanda af hálfu BL og tilhögun félagsins á aðgangsstýringum á skráasvæðum kvartanda á meðan hún starfaði hjá félaginu. Varðar málið því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 1. mgr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

21. BL telst vera ábyrgðaraðili vinnslunnar, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

22. Vinnsla persónuupplýsinga þarf meðal annars að samrýmast meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins og að þær skuli unnar með þeim hætti að viðeigandi öryggi persónuupplýsinga sé tryggt, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins. Samkvæmt 2. mgr. 8. gr. laganna, sbr. 2. mgr. 5. gr. reglugerðarinnar, ber ábyrgðaraðili ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt meginreglur persónuverndarlöggjafarinnar og skal geta sýnt fram á það.

23. Nánari ákvæði um upplýsingaöryggi eru í 1. mgr. 27. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 32. gr. reglugerðar (ESB) 2016/679. Þar segir að ábyrgðaraðili og vinnsluaðili skuli gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja viðunandi öryggi persónuupplýsinga með hliðsjón af nýjustu tækni, kostnaði við framkvæmd, eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu, mislíklegri og misalvarlegri, fyrir réttindi og frelsi einstaklinga. Þá segir í 2. mgr. 32. gr. reglugerðarinnar að þegar viðunandi öryggi sé metið skuli einkum hafa hliðsjón af þeirri áhættu sem vinnslan hafi í för með sér, einkum að því er varði, meðal annars, að veittur sé aðgangur að þeim í leyfisleysi.

Niðurstaða

24. Í kvörtun sinni hefur kvartandi m.a. byggt á því að BL hafi haft með henni rafræna vöktun, nánar tiltekið netvöktun, og að samstarfsfólk hennar hafi haft óheimilan aðgang að skjáborði tölvu hennar þar sem m.a. hafi mátt finna læknisvottorð og skjöl sem innihéldu persónuupplýsingar viðkvæms eðlis, sbr. umfjöllun í efnisgreinum 14 og 15. Byggt er á því af hálfu kvartanda að framlögð gögn og þær ályktanir sem hún dregur af þeim renni stoðum undir umkvörtunarefni hennar. BL hefur hins vegar hafnað því að félagið hafi viðhaft rafræna vöktun með kvartanda og að aðgangsstýringar að skráasvæði hennar hafi verið í ólagi, þannig að óviðkomandi hafi haft aðgang að því. Í því samhengi byggir BL m.a. á fyrirliggjandi gögnum málsins og skilningi félagsins á því sem lesa má úr þeim um stillingar á tölvu kvartanda og virkni umþrætts hugbúnaðar. BL byggir jafnframt á því að gagnaaðgangur starfsfólks hafi verið aðgangsstýrður og öryggi persónuupplýsinga kvartanda því tryggt.

25. Líkt og fyrr greinir er OneDrive persónulegt netdrif hvers notanda, sbr. umfjöllun í efnisgrein 6. Meðal þess sem kvartandi hefur vísað til máli sínu til stuðnings er að aðgangsstýringum á skjáborði hennar hafi verið hagað með þeim hætti að skjáborðið og allt sem á því var hafi verið sjálfkrafa afritað yfir á eða samtengt því sem hún kallar sameiginlegt OneDrive BL. Framangreind staðhæfing kvartanda fær að mati Persónuverndar hvorki stoð í þeim gögnum sem kvartandi hefur lagt fram, né öðru því sem fram hefur komið við rannsókn málsins. Með hliðsjón af framangreindu og eftir að hafa lagt sjálfstætt mat á fyrirliggjandi gögn málsins, sbr. umfjöllun í efnisgreinum 9–12, þá er að mati Persónuverndar ekkert fram komið sem bendir til þess að til staðar hafi verið sameiginlegt OneDrive félagsins líkt og haldið er fram í kvörtun, heldur hafi það OneDrive sem um ræðir verið persónulegt OneDrive kvartanda sem henni hafi verið úthlutað úr fyrirtækjaáskrift BL sem starfsmanni félagsins, sbr. umfjöllun í efnisgrein 6.

26. Af gögnum málsins verður heldur ekki ráðið að samstarfsfólk kvartanda eða yfirmenn hafi haft aðgang að skjáborði kvartanda á OneDrive hennar í gegnum leyfi þess efnis í öryggisstillingum skjáborðsins, sbr. umfjöllun í efnisgrein 8. Þó hópurinn allir hafi verið á listanum yfir þá sem aðgang höfðu að skjáborði kvartanda á OneDrive, má sjá í fylgiskjölum kvörtunar að sá hópur hafði engar skilgreindar heimildir. Gögn málsins benda því ekki til þess að þessi hópur hafi haft réttindi til að sjá innihald skjáborðs kvartanda og skoða það nánar.

27. Byggt hefur verið á því af hálfu kvartanda að tilteknar upplýsingar úr Delve renni stoðum undir umkvörtunarefni hennar um að aðgangsstýringar hafi verið í ólagi hjá BL. Í fylgiskjölum kvörtunar var m.a. mynd af notendaprófíl samstarfskonu kvartanda á Delve, sem sýndi undirsíðu með nýlegum skjölum og tölvupóstviðhengjum. Þar mátti sjá vísun í skjal hvers staðsetning var sögð vera á OneDrive þessarar tilteknu samstarfskonu. Líkt og fyrr greinir sýndi Delve notanda þess einvörðungu skrár sem notandinn sjálfur hafði aðgang að, sbr. umfjöllun í efnisgrein 7. Framlagt skjal sýnir því að mati Persónuverndar ekki annað en að kvartandi hafi haft aðgang að þessu skjali samstarfskonunnar. Skjáskotið staðfestir á hinn bóginn ekki að aðgangsstýringar hafi verið í ólagi af hálfu BL enda verður ályktað af gögnum málsins að notendur hafi getað veitt hverjum öðrum aðgang að gögnum sínum sem varðveitt voru á skráasvæði þeirra.

28. Einnig hefur kvartandi bent á að útfylltur spurningalisti hennar fyrir starfsmannasamtal, sem hún sendi yfirmanni sínum, hafi birst inni í Delve. Aftur er þá til þess að líta að þar var um að ræða skjal kvartanda sjálfrar, sem hún hafði aðgang að og birtist henni af þeim sökum við skoðun á hennar eigin notendaprófíl í Delve. Ekkert er því fram komið sem styður ályktanir kvartanda um að aðrir en hún sjálf, og þeir sem hún gerði skjöl aðgengileg fyrir, hafi haft aðgang að skjölum hennar.

29. Loks hefur kvartandi byggt á því að áhorfstalning við skjöl hennar sem birt voru í Delve renni stoðum undir umkvörtunarefni hennar, en talan hafi sýnt hversu oft aðrir en hún sjálf hafi skoðað skjöl. Ályktar hún þannig að þrettán aðilar hafi séð skjal á skjáborði hennar sem geymdi lykilorð, sbr. umfjöllun í efnisgrein 15. Persónuvernd telur ekki unnt að fallast á þessa ályktun. Að mati stofnunarinnar verður ekki annað séð en að umrædd áhorfstala hafi sýnt heildartölu þeirra skipta sem skrá hafði verið opnuð af þeim sem höfðu aðgang að henni, án sundurliðunar, og var þar enginn notandi undanskilinn, þ.m.t. eigandi skjalsins, sbr. umfjöllun í efnisgrein 7. Eins og hér háttar til þykir ekki fært að draga aðra ályktun af framangreindri staðhæfingu kvartanda en þá að umrætt skjal með lykilorði hafi verið opnað þrettán sinnum af þeim sem höfðu aðgang að því. Á hinn bóginn verður sú ályktun ekki dregin af framangreindu einu að óviðkomandi hafi haft aðgang að skjalinu.

30. Rannsókn Persónuverndar hefur samkvæmt öllu framangreindu ekki leitt í ljós að sú vinnsla persónuupplýsinga sem kvartað var yfir, þ.m.t. rafræn vöktun og ætluð skoðun á persónuupplýsingum kvartanda, hafi farið fram af hálfu BL. Að virtum valdheimildum Persónuverndar telur stofnunin ekki tilefni til frekari rannsóknar hvað það varðar. Telst því ósannað að sú vinnsla persónuupplýsinga, sem felst í rafrænni vöktun með kvartanda og skoðun á persónuupplýsingum hennar, hafi farið fram.

31. Þá telur Persónuvernd að BL hafi sýnt fram á það með fullnægjandi hætti, upp að því marki sem stofnunin taldi nauðsynlegt að rannsaka umkvörtunarefnið, að aðgangsstýringar hafi verið með þeim hætti að viðeigandi öryggi persónuupplýsinga kvartanda hafi verið tryggt, sbr. 6. tölul. 1. mgr. og 2. mgr. 8. gr. og 1. mgr. 27. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. og 2. mgr. 5. gr. og 1. mgr. 32. gr. reglugerðar (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Ósannað er að BL ehf. hafi viðhaft rafræna vöktun með [A] og að óviðkomandi samstarfsfólk hafi skoðað persónuupplýsingar hennar sem varðveittar voru á skráasvæðum hennar hjá félaginu, í samræmi við umkvörtunarefni.

BL ehf. tryggði viðunandi öryggi persónuupplýsinga [A] á skráasvæðum hennar hjá félaginu í samræmi við 6. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. 2. mgr. sama ákvæðis.

Persónuvernd, 1. júlí 2026

Bjarni Freyr Rúnarsson Ósk Óskarsdóttir