Mál númer 2020092287

Ákvörðun

vegna frumkvæðisathugunar á stöðu persónuverndarfulltrúa Reykjavíkurborgar, í máli nr. 2020092287:

I.

Málsmeðferð

Persónuvernd hóf frumkvæðisathugun á stöðu persónuverndarfulltrúa Reykjavíkurborgar með bréfi 2. nóvember 2020 eftir að tilkynning birtist á vef borgarinnar um að borgarráð hefði samþykkt að sameina eftirlitseiningar borgarinnar og fréttir birtust um að staða persónuverndarfulltrúa Reykjavíkurborgar yrði sameinuð starfsemi umboðsmanns borgarbúa og flutt undir stjórn og ábyrgð innri endurskoðanda.

Reykjavíkurborg sendi Persónuvernd skýringar með bréfi 1. desember 2020, ásamt fylgigögnum. Persónuvernd óskaði frekari skýringa með bréfi 21. september 2021 og bárust svör borgarinnar með bréfi 29. nóvember sama ár.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi ákvörðun. Þá var einnig litið til annarra mála hjá Persónuvernd sem varða vinnslu persónuupplýsinga hjá Reykjavíkurborg.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

II.

Niðurstaða1.
Lagaumhverfi persónuverndarfulltrúa

Ábyrgðaraðilar og vinnsluaðilar skulu í ákveðnum tilvikum tilnefna persónuverndarfulltrúa í samræmi við 1. mgr. 35. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 1. mgr. 37. gr. reglugerðar (ESB) 2016/679. Um hæfni persónuverndarfulltrúa, stöðu hans og verkefni gilda fyrirmæli 37.-39. gr. reglugerðarinnar, sbr. 3. mgr. 35. gr. laganna. Skal persónuverndarfulltrúi tilnefndur á grundvelli faglegrar hæfni sinnar, einkum sérþekkingar á lögum og lagaframkvæmd á sviði persónuverndar og getu sinnar til að vinna þau verkefni sem í 39. gr. reglugerðarinnar greinir, sbr. 5. mgr. 37. gr. reglugerðarinnar.

Um stöðu persónuverndarfulltrúa segir meðal annars í 38. gr. reglugerðarinnar að tryggt skuli að þeir komi með viðeigandi hætti og tímanlega að öllum málum sem tengjast vernd persónuupplýsinga (1. mgr.), að þeir fái engin fyrirmæli varðandi framkvæmd verkefna sinna og heyri beint undir æðsta stjórnunarstig hlutaðeigandi aðila (3. mgr.), að skráðir einstaklingar geti haft samband við þá með öll mál sem tengjast vinnslu persónuupplýsinga þeirra og því hvernig þeir geta neytt réttar síns samkvæmt reglugerðinni (4. mgr.) og að önnur verkefni og skyldustörf sem þeir sinna leiði ekki til hagsmunaárekstra (6. mgr.).

Um verkefni persónuverndarfulltrúa segir í 1. mgr. 39. gr. reglugerðarinnar að þeir skuli að minnsta kosti sinna meðal annars því að upplýsa hlutaðeigandi aðila og starfsmenn þeirra um skyldur þeirra samkvæmt reglugerðinni og öðrum ákvæðum um persónuvernd og veita þeim ráðgjöf þar að lútandi (a-liður), að fylgjast með því að farið sé að ákvæðum reglugerðarinnar og öðrum ákvæðum um persónuvernd og stefnum um vernd persónuupplýsinga (b-liður), að vinna með eftirlitsyfirvaldinu, (d-liður), og að vera tengiliður fyrir eftirlitsyfirvaldið varðandi mál sem tengjast vinnslu og leita ráða, eftir því sem við á, varðandi önnur málefni.

Í leiðbeiningum Evrópska persónuverndarráðsins um persónuverndarfulltrúa, eins og þeim var breytt í apríl 2017, segir meðal annars að í einhverjum tilvikum kunni það að þjóna betur þörfum ábyrgðar- eða vinnsluaðila að hafa fleiri en einn einstakling starfandi saman í teymi til að sinna verkefnum persónuverndarfulltrúa á grundvelli þjónustusamnings. Mælt er með því að innan teymisins sé skýr verkskipting og að einn einstaklingur sé tilnefndur til að vera við stjórn sem og að vera aðaltengiliður viðkomandi aðila. Þá sé mikilvægt að allir einstaklingar í teyminu uppfylli þær kröfur sem séu gerðar til persónuverndarfulltrúa í reglugerð (ESB) 2016/679.

Um stöðu persónuverndarfulltrúa segir í leiðbeiningunum að með því að tryggja aðkomu þeirra að málum strax í upphafi, samkvæmt 1. mgr. 38. gr. reglugerðarinnar, sé stuðlað að hlítni við reglugerðina og að innbyggðri og sjálfgefinni persónuvernd. Því ætti að til dæmis að bjóða persónuverndarfulltrúum að taka reglulega þátt í fundum yfir- og millistjórnenda, hafa þá viðstadda þegar teknar eru ákvarðanir sem geta leitt til eða haft áhrif á vinnslu persónuupplýsinga, koma viðeigandi upplýsingum tímanlega til þeirra, veita ráðgjöf þeirra vægi og skjalfesta ástæður þess ef ekki er farið að henni.

Í leiðbeiningunum segir jafnframt að í 3. mgr. 38. gr. reglugerðarinnar felist að ekki megi gefa persónuverndarfulltrúum fyrirmæli um hvaða niðurstaða sé æskileg í þeim málum sem þeir séu með til meðferðar á grundvelli 39. gr. reglugerðarinnar, hvernig rannsaka beri kvartanir eða hvort þeir eigi að ráðfæra sig við eftirlitsyfirvaldið. Þá megi ekki veita þeim fyrirmæli um hvernig meta eigi tiltekin álitaefni með hliðsjón af persónuverndarlöggjöfinni, svo sem hvernig túlka beri löggjöfina. Í þessu felist þó ekki að persónuverndarfulltrúar hafi ákvörðunarvald umfram það sem mælt er fyrir í 39. gr. reglugerðarinnar og séu ábyrgðar- og vinnsluaðilarnir ábyrgir fyrir því að vinnsla persónuupplýsinga samrýmist reglugerðinni.

Samkvæmt 3. mgr. 38. gr. reglugerðarinnar sé enn fremur leitast við að tryggja sjálfstæði og vernd persónuverndarfulltrúa með því að mæla fyrir um að ekki megi víkja þeim úr starfi eða refsa þeim fyrir framkvæmd verkefna þeirra. Í þessu sambandi þurfi að huga að því að refsingar geti verið með ýmsu móti, beinar og óbeinar, og því geti einnig fallið undir ákvæðið þau tilvik þegar eingöngu sé um að ræða hótun eða ógn um einhvers konar refsingu. Því meiri tryggingar sem persónuverndarfulltrúar hafi gegn óréttmætri uppsögn því líklegra sé að þeir geti starfað sjálfstætt.

Hvað hagsmunaárekstra varðar segir í leiðbeiningunum að krafa 6. mgr. 38. gr. um að önnur verkefni og starfsskyldur persónuverndarfulltrúa leiði ekki til hagsmunaárekstra sé nátengd kröfunni um sjálfstæði persónuverndarfulltrúanna. Almenna reglan sé sú að hagsmunaárekstrar, samkvæmt ákvæðinu, geti orðið ef persónuverndarfulltrúar eru í æðsta stjórnlagi fyrirtækis (e. senior management), svo sem framkvæmdastjórar, rekstrarstjórar, fjármálastjórar o.s.frv., en það geti einnig átt við í öðrum tilvikum ef störfin fela í sér ákvarðanatöku um tilgang og aðferð við vinnslu persónuupplýsinga. Að auki geti hagsmunaárekstrar orðið ef utanaðkomandi persónuverndarfulltrúar eru beðnir um að koma fram fyrir hönd hlutaðeigandi ábyrgðar- eða vinnsluaðila fyrir dómi í máli sem varðar vinnslu persónuupplýsinga hjá aðilanum.

2.

Staða persónuverndarfulltrúa Reykjavíkurborgar
2.1
Viðeigandi og tímanleg aðkoma að málum

Ef fyrst er litið til aðkomu persónuverndarfulltrúa Reykjavíkurborgar að málum sem tengjast vernd persónuupplýsinga segir meðal annars í svörum borgarinnar að ekki sé unnt að fullyrða að persónuverndarfulltrúinn hafi komið með viðeigandi hætti að öllum málum sem tengjast persónuvernd. Þá hefðu komið upp tilvik þar sem greina hefði mátt persónuverndarfulltrúa fyrr frá málum. Það sé viðvarandi verkefni að efla vitund stjórnenda sem taki ákvarðanir um vinnslu persónuupplýsinga, meðal annars um skyldu þeirra til að leita tímanlega eftir ráðgjöf persónuverndarfulltrúa eða, eftir atvikum, persónuverndar­ráðgjafa eða annarra sérfræðinga sem hafi sérþekkingu á persónuverndarlöggjöfinni. Einnig segir í svörum Reykjavíkurborgar að persónuverndarfulltrúinn hafi á tilgreindu tímabili veitt skriflega ráðgjöf í öllum þeim tilvikum þegar hennar hafi verið leitað og að hann hafi ekki ástæðu til að ætla annað en að farið hafi verið að þeirri ráðgjöf.

Samkvæmt 1. mgr. 38. gr. reglugerðar (ESB) 2016/679, sbr. 3. mgr. 35. gr. laga nr. 90/2018, ber Reykjavíkurborg að tryggja að persónuverndarfulltrúi komi með viðeigandi hætti og tímanlega að öllum málum sem tengjast vernd persónuupplýsinga. Með vísan til 5. mgr. 37. gr. sem og annarra ákvæða 38. gr. reglugerðarinnar njóta aðrir sérfræðingar í persónuvernd, sem starfa hjá borginni, ekki sömu stöðu og tilnefndur persónuverndarfulltrúi og er ráðgjöf þeirra því ekki sambærileg lögum samkvæmt. Telst framangreint fyrirkomulag því ekki samrýmast fyrrgreindum ákvæðum reglugerðarinnar.

Á hinn bóginn kann að vera í samræmi við sömu ákvæði að hafa starfandi sérstakt persónuverndarteymi ef tryggt er að allir þeir sem þar starfa uppfylla kröfur 37. gr. reglugerðarinnar og njóta stöðu samkvæmt 38. gr. hennar. Með vísan til þess sem segir í leiðbeiningum Evrópska persónuverndarráðsins um persónuverndarfulltrúa og að framan er rakið, ætti þá að hafa verkskiptingu skýra innan teymisins og tilnefna einn einstakling til að vera við stjórn.

Þá getur það verið í samræmi við tilgreind ákvæði að leita til utanaðkomandi sérfræðinga sem hafa viðeigandi sérþekkingu á persónuverndarlöggjöfinni, samkvæmt 5. mgr. 37. gr. reglugerðarinnar, að því gefnu að með því sé ekki farið fram hjá persónuverndarfulltrúa eða persónuverndarteymi borgarinnar, sbr. umfjöllun í kafla 4.

2.2

Sjálfstæði í störfum og aðgengi að æðsta stjórnunarstigi

Samkvæmt 1. mgr. 8. gr. samþykktar fyrir Innri endurskoðun og ráðgjöf Reykjavíkurborgar og innri endurskoðanda, sem var samþykkt á fundi borgarstjórnar 15. júní 2021, getur innri endurskoðandi tilnefnt starfsmann starfssviðsins til að gegna starfi persónuverndarfulltrúa og sinna þeim verkefnum sem falla undir b-lið 1. mgr. 2. gr. samþykktarinnar. Eins getur innri endurskoðandi falið öðrum starfsmanni eða sjálfstæðum verktaka að annast þessi verkefni að því er varðar þá vinnslu persónuupplýsinga sem tengjast starfsemi sviðsins. Samkvæmt b-lið 1. mgr. 2. gr. sömu samþykktar er það meðal verkefna starfssviðsins og undir stjórn og á ábyrgð innri endurskoðanda að veita stjórnendum Reykjavíkurborgar ráðgjöf um persónuvernd, upplýsa þá, fylgjast með og sjá um önnur þau verkefni sem greinir í 39. gr. reglugerðar (ESB) 2016/679, sbr. lög nr. 90/2018.

Með hliðsjón af skýringum Reykjavíkurborgar eru ekki gerðar athugasemdir við að persónuverndarfulltrúi borgarinnar heyri undir innri endurskoðanda Reykjavíkurborgar í stjórnskipulagi borgarinnar, að því gefnu að gætt sé að því að persónuverndarfulltrúinn fái ekki fyrirmæli varðandi framkvæmd þeirra verkefna sem falla undir 39. gr. reglugerðarinnar og að hann hafi aðgang að æðsta stjórnstigi borgarinnar, sbr. 3. mgr. 38. gr. reglugerðarinnar.

Á hinn bóginn er ljóst af framangreindum ákvæðum samþykktar borgarstjórnar að persónuverndarfulltrúi Reykjavíkurborgar nýtur ekki tilnefningar í tilgreindan tíma og að ekki eru frekari takmarkanir settar á heimildir innri endurskoðanda til að taka tilnefningu persónuverndarfulltrúa af einum einstaklingi og tilnefna annan. Samkvæmt því og með hliðsjón af svörum Reykjavíkurborgar eru ekki fyrir hendi skjalfestar tryggingar gegn því að persónuverndarfulltrúi verði með óréttmætum hætti sviptur tilnefningu sinni.

3.

Verkefni persónuverndarfulltrúa Reykjavíkurborgar og mögulegir hagsmunaárekstrar

Um stöðu og verkefni persónuverndarfulltrúa Reykjavíkurborgar innan borgarinnar segir í svörum Reykjavíkurborgar frá 29. nóvember 2021 að persónuverndarfulltrúinn sinni ekki lengur verkefnum sem áður hafi heyrt undir umboðsmann borgarbúa og kemur það álitaefni því ekki til frekari umfjöllunar.

Í svörum Reykjavíkurborgar segir að störf persónuverndarfulltrúa borgarinnar teljist ekki til stjórnunarstarfs og að hann taki ekki einn og óstuddur ákvarðanir um aðferðir og leiðir við vinnslu persónuupplýsinga. Þá segir að komi upp hagsmunaárekstrar þurfi persónuverndarfulltrúi að vekja athygli á því, í samræmi við 4. gr. siðareglna starfsmanna Reykjavíkurborgar, og að sameinuð eftirlitseining geti gripið til úrræða leiki vafi á hæfi persónuverndarfulltrúa vegna annarra verkefna, svo sem með útvistun verkefna til annarra starfsmanna sviðsins, sem hafi sérþekkingu á sviði persónuverndar.

Verkefnum persónuverndarfulltrúa er lýst í 39. gr. reglugerðar (ESB) 2016/679, eins og að framan greinir, en einnig segir í 4. mgr. 38. gr. hennar að skráðir einstaklingar geti haft samband við persónuverndarfulltrúann með öll mál sem tengjast vinnslu persónuupplýsinga þeirra og því hvernig þeir geta neytt réttar síns samkvæmt reglugerðinni. Samkvæmt 6. mgr. 38. gr. reglugerðarinnar má persónuverndarfulltrúi sinna öðrum verkefnum og skyldustörfum en þó ekki þannig að slík verkefni og skyldustörf leiði til hagsmunaárekstra.

Með hliðsjón af umfangi þeirra verkefna sem Reykjavíkurborg sinnir getur komið upp sú staða að persónuverndarfulltrúi borgarinnar sé í einhverjum tilvikum vanhæfur til að veita ráðgjöf um einstök mál vegna til dæmis tengsla sinna við aðila málsins eða fjárhagslegra hagsmuna tengdum málinu. Í þeim tilvikum geta ákvæði 4. gr. framangreindra siðareglna átt við og gerir Persónuvernd ekki athugasemd við það fyrirkomulag að því gættu að þeir starfsmenn sem leitað sé til uppfylli kröfur 37. gr. reglugerðarinnar og njóti stöðu samkvæmt 38. gr. hennar.

Öðru máli gegnir um hagsmunaárekstra sem koma til vegna starfsskyldna og verkefna sem eru falin persónuverndarfulltrúanum. Samkvæmt 6. mgr. 38. gr. reglugerðarinnar skal Reykjavíkurborg tryggja að önnur verkefni og skyldustörf sem fela á persónuverndarfulltrúum leiði ekki til hagsmunaárekstra við þau verkefnum sem honum ber að sinna samkvæmt 39. gr. reglugerðarinnar. Í því felst að ef upp koma hagsmunaárekstrar vegna annarra verkefna og skyldustarfa ber að færa þau annað en sjá til þess að persónuverndarfulltrúinn geti áfram sinnt þeim verkefnum sem honum ber að sinna samkvæmt 39. gr. reglugerðarinnar.

Loks er að líta til þess að persónuverndarfulltrúi Reykjavíkurborgar hefur komið fram fyrir hönd borgarinnar gagnvart Persónuvernd vegna mála sem eru til meðferðar hjá stofnuninni og varða vinnslu persónuupplýsinga hjá borginni, sbr. til dæmis mál nr. 2020010730 og 2021040879, og gætt þar hagsmuna borgarinnar.

Þrátt fyrir að persónuverndarfulltrúa beri að vera tengiliður fyrir eftirlitsyfirvaldið, sbr. e-lið 1. mgr. 39. gr. reglugerðarinnar, ætti að varast að fela þeim að svara fyrir ákvarðanir ábyrgðaraðila og þar með að vera í fyrirsvari fyrir ábyrgðaraðila gagnvart Persónuvernd í þeim málum þar sem fram eru komnar vísbendingar um að ábyrgðaraðilinn sé í einhvers konar málsvörn, t.d. í kvörtunarmálum eða þegar fyrir liggur að mál séu komin í sektarferli. Að mati Persónuverndar getur önnur framkvæmd verið ósamrýmanleg hlutverki og verkefnum persónuverndarfulltrúa samkvæmt 39. gr. reglugerðarinnar og verið til þess fallin að valda hagsmunaárekstrum samkvæmt 6. mgr. 38. gr. hennar.

4.

Samandregin niðurstaða og leiðbeiningar

Athugun Persónuverndar hefur, samkvæmt framangreindu, leitt í ljós að persónuverndarfulltrúi Reykjavíkurborgar veitti skriflega ráðgjöf í öllum þeim tilvikum þegar hennar var leitað á því tímabili sem spurt var um og að persónuverndarfulltrúinn hafði ekki ástæðu til að ætla annað en að farið hefði verið að ráðgjöfinni í samræmi við ákvæði 1. mgr. 38. gr. og 1. mgr. 39. gr. reglugerðar (ESB) 2016/679.

Jafnframt var það niðurstaða athugunar Persónuverndar að ekki eru gerðar athugasemdir við að persónuverndarfulltrúi Reykjavíkurborgar heyri undir innri endurskoðanda borgarinnar í stjórnskipulagi borgarinnar, að því gefnu að gætt sé að því að persónuverndarfulltrúinn fái ekki fyrirmæli varðandi framkvæmd þeirra verkefna sem falla undir 39. gr. reglugerðarinnar og að hann hafi aðgang að æðsta stjórnstigi borgarinnar, sbr. 3. mgr. 38. gr. reglugerðarinnar.

Loks eru ekki gerðar athugasemdir við að hjá Reykjavíkurborg sé leitað ráðgjafar hjá öðrum sérfræðingum borgarinnar í persónuvernd eða hjá utanaðkomandi sérfræðingum um mál sem tengjast persónuvernd ef tryggt er að þeir einstaklingar uppfylli kröfur 37. gr. reglugerðarinnar og, eftir atvikum, njóti stöðu samkvæmt 38. gr. hennar og að með því sé ekki vegið að sjálfstæði persónuverndarfulltrúa borgarinnar, sbr. leiðbeiningar hér á eftir.

Þá er það niðurstaða athugunar Persónuverndar að ekki hafi verið tryggt að persónuverndarfulltrúi Reykjavíkurborgar komi með viðeigandi og tímanlegum hætti að öllum málum sem tengjast persónuvernd, að hann njóti fullnægjandi sjálfstæðis í starfi og að önnur verkefni og skyldustörf leiði ekki til hagsmunaárekstra, sbr. 1., 3. og 6. mgr. 38. gr. reglugerðar (ESB) 2016/679, sbr. 3. mgr. 35. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Með vísan til alls þess sem að framan er rakið leiðbeinir Persónuvernd Reykjavíkurborg um að:

Persónuvernd, 17. febrúar 2022

Þórður Sveinsson Valborg Steingrímsdóttir