Útdráttur úr úrskurði

Í málinu var ágreiningur um hvort lögmannsstofu hafi verið heimilt að miðla ráðningarsamningi og uppsagnarbréfi kvartanda, sem var fyrrverandi starfsmaður lögmannsstofunnar, til utanaðkomandi lögmanns, í tengslum við kröfu lögmannsins um frávísun máls sem höfðað hafði verið gegn viðskiptavini lögmannsstofunnar fyrir héraðsdómi.

Kvartandi byggði á því að lögmannsstofunni hefði verið óheimilt að miðla persónuupplýsingum hans, sér í lagi uppsagnarbréfi, til óviðkomandi lögmanns og að engin heimild hefði staðið til vinnslunnar samkvæmt 9. gr. laga nr. 90/2018. Kvartandi taldi einnig að miðlun persónuupplýsinganna hefði ekki verið í samræmi við 1., 2. og 3. tölul. 1. mgr. 8. gr. laganna, þar sem þær hefðu ekki verið unnar með lögmætum, sanngjörnum og gagnsæjum hætti, þær unnar frekar í öðrum og ósamrýmanlegum tilgangi en þær höfðu upphaflega verið fengnar í og vinnslan hefði ekki verið í samræmi við meðalhóf. Kvartandi vísaði til þess að hagsmunir hans, af því að réttur hans samkvæmt persónuverndarlögum væri verndaður, yrði að vega þyngra en mögulegir hagsmunir sem lögmaður fyrrum viðskiptavinar lögmannsstofunnar gæti haft af því að fá aðgang að umræddum persónuupplýsingum og nota þær í alls óskyldum og ósamrýmanlegum tilgangi. Þá taldi kvartandi að miðlun uppsagnarbréfs hans í opinberu þinghaldi hefði ekki getað talist nauðsynlegur þáttur í málsvörn lögmanns viðskiptavinar lögmannsstofunnar. Kvartandi hefði aðeins að litlu leyti unnið fyrir tilgreindan viðskiptavin, þegar hann var við störf hjá lögmannsstofunni, og því hefðu gögn málsins ekki stutt þær fullyrðingar sem haldið var fram fyrir dómi.

Lögmannsstofan byggði á því að miðlun ráðningarsamnings og uppsagnarbréfs kvartanda, til lögmanns viðskiptavinar stofunnar, hefði verið nauðsynleg vegna lögmætra hagsmuna viðskiptavinarins og hefði farið fram í þágu málsvarnar í dómsmáli. Miðlunin hefði því grundvallast á vinnsluheimild 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Vísaði lögmannsstofan til þess að ein helsta málsvörn verjanda viðskiptavinar stofunnar, í tilteknu sakamáli á hendur honum, hefði verið byggð á meintu vanhæfi kvartanda vegna fyrri starfa hans fyrir lögmannsstofuna. Sem liður í sönnun á störfum kvartanda hjá lögmannsstofunni, og þar með fyrir viðskiptavin félagsins og ákærða í málinu, hefði verið nauðsynlegt að leggja fram í dómsmálinu umrædd gögn, þ.e. ráðningarsamning og uppsagnarbréf kvartanda. Gögnunum hefði ekki verið ætlaður neinn annar tilgangur en sá að afmarka og staðfesta starfstíma kvartanda hjá lögmannsstofunni og ástæðu þess að hann lauk störfum. Í svörum lögmannsstofunnar sagði að umræddar persónuupplýsingar kvartanda hefðu aðeins verið afhentar verjanda viðskiptavinar stofunnar, þ.e. ákærða, til framlagningar fyrir dómstólum. Vísað var til þess að réttur sakaðs manns til að bera af sér sakir og sanna sakleysi sitt væri grundvallarregla í íslensku réttarfari sem lögfest er í 70. gr. stjórnarskrárinnar og 6. gr. mannréttindasáttmála Evrópu. Að mati lögmannsstofunnar vægju hagsmunir þess sem sakaður væri um refsiverða háttsemi þyngra en hagsmunir kvartanda og því hafi vinnslan verið heimil á grundvelli framangreindar vinnsluheimildar og í samræmi við meginreglur 1. mgr. 8. gr. laga nr. 90/2018 og 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Persónuvernd hefur litið svo á að aðilar að einkamáli fyrir dómstólum eigi lögmætra hagsmuna að gæta af niðurstöðu þess og talið að þeim verði að játa nokkurt svigrúm til mats á því hvaða persónuupplýsingar nauðsynlegt er að vinna með í þágu úrlausnar réttarágreiningsins og með hvaða hætti. Með hliðsjón af því og fyrirliggjandi gögnum, sem og skýringum lögmannsstofunnar sem lutu að réttlátri málsmeðferð, taldi Persónuvernd að hagsmunir viðskiptavinar lögmannsstofunnar, af því að geta lagt fram umrædd gögn í dómsmáli á hendur sér, hefðu vegið þyngra en hagsmunir og grundvallarréttindi og frelsi kvartanda af því að miðlunin færi ekki fram. Var vinnslan því talin heimil á grundvelli 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, en þess er að geta að miðlun persónuupplýsinga til lögmanns, sem er í fyrirsvari fyrir einstakling, telst jafngilda miðlun til einstaklingsins sjálfs. Þá taldi Persónuvernd jafnframt að lögmannsstofan hefði sýnt fram á að miðlunin hefði verið nauðsynleg í þágu umrædds réttarágreinings fyrir dómstólum.

Hvað varðar kröfuna um lögmæta, sanngjarna og gagnsæja vinnslu, og skýrt afmarkaðan tilgang, sbr. 1. og 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a- og b-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, taldi Persónuvernd að miðlun lögmannsstofunnar hefði samrýmst framangreindum meginreglum persónuverndarlöggjafarinnar. Samkvæmt 4. mgr. 17. gr. laga nr. 90/2018 og 1. mgr. 23. gr. reglugerðar (ESB) 2016/679 er heimilt að takmarka rétt hins skráða til upplýsinga um vinnslu, samkvæmt 13. gr. reglugerðarinnar, virði slík takmörkun eðli grundvallarréttinda og mannfrelsis og teljist nauðsynleg og hófleg ráðstöfun í lýðræðisþjóðfélagi, m.a. til að tryggja það að einkaréttarlegum kröfum sé fullnægt, sbr. 7. tölul. 4. mgr. 17. gr. laganna og j-lið 1. mgr. 23. gr. reglugerðarinnar. Þá er til þess að líta að það gæti skert réttinn til að gæta hagsmuna sinna með eðlilegum hætti í dómsmáli að þurfa að upplýsa um það fyrir fram hvernig málatilbúnaði verði háttað og á hvaða gögnum verði byggt. Persónuvernd hefur í framkvæmd sinni jafnframt talið, að þegar persónuupplýsingar eru nýttar vegna úrlausnar réttarágreinings og þær hafa þýðingu í því sambandi, fari ekki fram vinnsla í öðrum og ósamrýmanlegum tilgangi miðað við þann sem upphaflega var byggt á, sbr. 3. mgr. 13. gr. og b-lið 1. mgr. 5. gr. reglugerðarinnar, sbr. einnig 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Taldi Persónuvernd slík sjónarmið eiga við í fyrirliggjandi máli þrátt fyrir að lögmannsstofan hefði ekki átt aðild að þeim réttarágreiningi sem miðlun persónuupplýsinganna tengdist með beinum hætti.

Loks taldi Persónuvernd að lögmannsstofan hefði sýnt fram á það með fullnægjandi hætti að persónuupplýsingar kvartanda hefðu verið nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt var miðað við tilgang vinnslunnar, sbr. 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og c-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, þar sem þær höfðu aðeins verið afhentar verjanda viðskiptavinar stofunnar til framlagningar fyrir dómstólum.

Var miðlun lögmannsstofunnar því talin hafa verið í samræmi við 6. tölul. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, og í samræmi við meginreglur 1.–3. tölul. 1. mgr. 8. gr. laganna, sbr. a–c-liðir 1. mgr. 5. gr. reglugerðarinnar.