I Kvörtun og afmörkun athugunar
Hinn 16. júlí 2023 leitaði A til umboðsmanns Alþingis með kvörtun sem beindist að ákvörðun Persónuverndar 22. júní 2023 um frávísun kvörtunar yfir vinnslu persónuupplýsinga af hálfu þáverandi varaformanns B og starfsmanns ráðgjafarfyrirtækisins C. Kvörtun A til Persónuverndar laut að því að þessir einstaklingar hefðu í tölvupóstsamskiptum sínum miðlað persónuupplýsingum um hann án heimildar. Persónuvernd aflaði afstöðu B og C til kvörtunarinnar auk þess sem óskað var eftir skýringum á nánar tilteknum atriðum um þá vinnslu persónuupplýsinga sem um ræddi.
Í kvörtun A til umboðsmanns eru m.a. gerðar athugasemdir við að honum hafi ekki verið gefinn kostur á að lýsa afstöðu sinni til svarbréfs lögmanns B við fyrirspurn Persónuverndar. Athugun umboðsmanns hefur fyrst og fremst beinst að því hvort meðferð málsins hjá stofnuninni hafi að þessu leyti samrýmst andmælareglu stjórnsýsluréttarins, sbr. 13. gr. stjórnsýslulaga nr. 37/1993.
II Málavextir
A starfaði fyrir B en gögn málsins bera með sér að ráðningarsamningi hans hafi verið sagt upp 29. maí 2020. Í kjölfar þess höfðaði hann mál gegn samtökunum fyrir Héraðsdómi Reykjavíkur. Undir rekstri málsins lögðu samtökin fram gögn um tölvupóstsamskipti þáverandi varaformanns þeirra og starfsmanns C. A taldi samskiptin fela í sér heimildarlausa vinnslu og miðlun persónuupplýsinga um sig og kvartaði af því tilefni til Persónuverndar 3. maí 2021. Í kvörtun hans til Persónuverndar kemur fram að leitað hafi verið til C til að vinna úttekt, m.a. vegna slæmra vinnuaðstæðna, eineltis og ofbeldis sem hann hefði orðið fyrir í starfi sínu hjá samtökunum. Fyrirtækið hafi sagt sig frá málinu í apríl 2020 en tölvupóstsamskiptin hafi hins vegar átt sér stað í ágúst og september þess árs. Þá kemur fram í kvörtuninni að A telji samskiptin fela í sér heimildarlausa miðlun viðkvæmra persónuupplýsinga um sig sem bundnar hafi verið trúnaði.
Kvörtun A var beint að B, C og D en þáverandi varaformaður samtakanna mun hafa starfað fyrir D. Með bréfi 9. nóvember 2021 fór Persónuvernd þess á leit við A að hann upplýsti hvort hann teldi þörf á að beina kvörtun sinni að D Í bréfinu kemur m.a. fram að stofnunin telji að líta megi svo á að D hafi ekki tekið ákvörðun um aðferðir og tilgang umræddrar miðlunar og teljist því ekki ábyrgðaraðili hvað hana varðar í skilningi laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) nr. 2016/679. Í kjölfar þessa sendi stofnunin B og C bréf 8. febrúar 2022 þar sem þeim var veittur kostur á að tjá sig um kvörtun A. Auk þess var óskað eftir skýringum um tiltekin atriði, þ. á m. heimild fyrir vinnslu umræddra persónuupplýsinga og hvernig hún samrýmdist meginreglum 1. mgr. 8. gr. laga nr. 90/2018.
Svör B bárust Persónuvernd með bréfi lögmanns þeirra 2. mars 2022. Þar var m.a. byggt á því að tölvupóstsamskiptin sem kvörtun A laut að féllu utan gildissviðs laga nr. 90/2018 þar sem um væri að ræða einkasamskipti tveggja einstaklinga. Ekki bárust svör frá C við erindi Persónuverndar. Samkvæmt gögnum málsins spurðist A fyrir um stöðu málsins með tölvubréfi til Persónuverndar 30. október 2022. Í svari Persónuverndar 3. nóvember þess árs segir m.a. að svör B liggi fyrir í málinu en erfitt hafi reynst að fá svör frá C. Þá er tekið fram að verið sé að skoða næstu skref í málinu og honum verði tilkynnt um þau um leið og ákvörðun liggi fyrir. A var hins vegar hvorki sent afrit svarbréfs lögmanns samtakanna né veittur kostur á athugasemdum af því tilefni.
Líkt og áður segir var kvörtun A vísað frá með ákvörðun Persónuverndar 22. júní 2023. Þar segir m.a. eftirfarandi:
Samkvæmt 2. mgr. 4. gr. laga nr. 90/2018 gilda ákvæði þeirra og reglugerðar (ESB) 2016/679 ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota. Þessi lýsing á gildissviði kemur jafnframt fram í c-lið 2. mgr. 2. gr. reglugerðarinnar og hefur 18. liður formálsorða hennar að geyma nánari skýringar. Þar segir að reglugerðin eigi ekki við um vinnslu einstaklings á persónuupplýsingum ef hún er einungis í þágu hans sjálfs eða fjölskyldu hans og hefur þannig engin tengsl við atvinnu- eða viðskiptastarfsemi hans. Segir þar jafnframt að slík vinnsla, sem einungis er í þágu einstaklings eða fjölskyldu hans, geti t.d. tekið til bréfaskrifta.
Af hálfu lögmanns [B] hefur því verið haldið fram að tölvupóstsamskipti þáverandi varaformanns [B] og þáverandi starfsmanns [C] hafi verið einkasamskipti milli tveggja einstaklinga sem aldrei hafi átt að verða opinber. Einungis hafi verið um að ræða skoðanaskipti á milli tveggja einstaklinga sem báðir hafi komið að tilgreindu máli vegna úttektar á starfsemi [B]. [...]
Af gögnum málsins verður ekki annað ráðið en að umræddar upplýsingar hafi aðeins verið ætlaðar til persónulegra nota þeirra einstaklinga sem áttu í þeim tölvupóstsamskiptum sem kvörtunin lýtur að. Þá liggur ekkert fyrir um að upplýsingarnar hafi verið unnar frekar eða í öðrum tilgangi. Að framangreindu virtu, og með hliðsjón af 2. mgr. 4. gr. laga nr. 90/2018, verða lögin ekki talin gilda um þá vinnslu persónuupplýsinga sem kvörtunin lýtur að.
III Samskipti umboðsmanns og Persónuverndar
Með bréfi til Persónuverndar 8. september 2023 var þess óskað að umboðsmanni yrði látið í té afrit af öllum gögnum málsins. Þau bárust með tölvubréfi 19. sama mánaðar. Með bréfi 8. nóvember þess árs var þess jafnframt óskað að stofnunin veitti þær skýringar sem kvörtunin gæfi tilefni til og gerði nánari grein fyrir því hvaða lagasjónarmið bjuggu að baki ákvörðun um að láta hjá líða að kynna A bréf B áður en málinu var lokið hjá stofnuninni.
Í svarbréfi Persónuverndar 7. desember 2023 er gerð almenn grein fyrir ákvörðun stofnunarinnar um frávísun kvörtunar A. Fram kemur að stofnunin gæti þess að mál séu nægjanlega upplýst áður en úrskurðað sé í þeim, sbr. 10. gr. stjórnsýslulaga nr. 37/1993. Þá segir jafnframt eftirfarandi:
Þá er málsaðilum gefinn kostur á að tjá sig um efni máls áður en Persónuvernd úrskurðar í því, enda liggi afstaða þeirra og rök fyrir henni ekki fyrir í gögnum málsins eða slíkt sé augljóslega óþarft, sbr. 13. gr. [stjórnsýslulaga]. Á grundvelli þessara lagagreina gefur Persónuvernd málsaðilum almennt kost á að tjá sig um gögn málsins, svo sem svarbréf aðila, nema í þeim tilvikum þegar afstaða þeirra liggur þegar fyrir í gögnum málsins og rök fyrir henni eða ef það er bersýnilega óþarft.
Í því máli sem hér er til umfjöllunar taldi Persónuvernd ekki þörf á að kalla eftir frekari upplýsingum frá málsaðilum áður en ákvörðun var tekin í málinu þar sem afstaða beggja aðila til álitaefnisins og rök fyrir henni þóttu liggja fyrir, en kvartandi hafði komið sjónarmiðum sínum á framfæri með ítarlegum hætti með bréfum 3. maí og 6. desember 2021. Þá þóttu málsatvik liggja ljóst fyrir og leiða til þess að lög nr. 90/2018 voru ekki talin gilda um þá vinnslu persónuupplýsinga sem kvörtunin laut að, og álitaefnið þar með talið falla utan valdsviðs Persónuverndar. Ekki hefur verið litið svo á að stjórnvöldum beri skylda til þess að gefa málsaðila sérstakt færi á að tjá sig um lagagrundvöll máls eða vangaveltur um skýringar einstakra reglna sem á kann að reyna áður en ákvörðun er tekin. Þá hvílir ekki skylda á stjórnvöldum að veita málsaðila færi á að tjá sig um afstöðu stjórnvaldsins til málsins, röksemdir eða mat á þeim þáttum málsins sem haft geta áhrif við úrlausn þess. Jafnframt verður ekki talið að aðilar máls eigi almennt sérstakan rétt til þess að tjá sig um drög að ákvörðunum stjórnvalda áður en endanleg niðurstaða þeirra liggur fyrir.
Að mati Persónuverndar samrýmist málsmeðferð stofnunarinnar, vegna ákvörðunarinnar í máli 2021051026, ákvæðum 10. og 13. gr. stjórnsýslulaga.
Svör Persónuverndar voru kynnt A með bréfi 13. desember 2023 og honum veittur kostur á athugasemdum í ljósi þeirra. Athugasemdirnar bárust með tölvubréfi 28. desember 2023.
IV Álit umboðsmanns Alþingis
1 Lagaumgjörð
Persónuvernd er sjálfstæð stofnun með sérstaka stjórn og tekur hvorki við fyrirmælum frá stjórnvöldum né öðrum aðilum, sbr. 1. mgr. 38. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Stofnunin fer með eftirlit með framkvæmd laga og reglna á sviði persónuverndar og hefur m.a. það hlutverk, eftir því sem nánar er mælt fyrir um í lögunum, að úrskurða um hvort vinnsla persónuupplýsinga brjóti í bága við þau. Ákvörðunum Persónuverndar samkvæmt lögunum verður ekki skotið til annarra stjórnvalda. Leggja verður til grundvallar að heimild einstaklinga til að bera kvartanir undir Persónuvernd sé þeim mikilvægt úrræði til að gæta réttar síns, svo sem m.t.t. þeirra ráðstafana sem Persónuvernd getur gripið til í þágu rannsóknar máls og í tilefni af brotum gegn lögunum.
Í stjórnsýslurétti hefur verið litið svo á að þegar meðferð máls varðar tvo eða fleiri málsaðila með ólíka og jafnvel andstæða hagsmuni þurfi stjórnvald að gæta jafnræðis við málsmeðferð og tryggja málsaðilum eftir fremsta megni jafna aðstöðu til aðkomu að máli (sjá til hliðsjónar Páll Hreinsson: Almennar efnisreglur stjórnsýsluréttarins. Reykjavík 2022, bls. 293). Í þessum tilvikum skulu málsaðilar þannig almennt hafa jafna aðstöðu til að setja fram kröfur, málsástæður og yfirlýsingar, leggja fram gögn og kynna sér kröfur, yfirlýsingar og gögn sem aðrir hafa lagt fram. Af þessu leiðir m.a. að á stjórnvöldum er talin hvíla skylda til að sjá til þess að hver aðili fái aðgang að öllum gögnum máls og viðhlítandi færi til að tjá sig um þau (Páll Hreinsson: Stjórnsýsluréttur - Málsmeðferð. Reykjavík 2013, bls. 591).
Í 13. gr. stjórnsýslulaga er fjallað um andmælarétt. Segir þar að aðili máls skuli eiga þess kost að tjá sig um efni þess áður en stjórnvald tekur ákvörðun í því, enda liggi ekki fyrir í gögnum málsins afstaða hans og rök fyrir henni eða slíkt sé augljóslega óþarft. Í athugasemdum við IV. kafla frumvarps þess er varð að stjórnsýslulögum segir að í andmælareglunni felist að aðili máls skuli eiga þess kost að tryggja réttindi sín og hagsmuni með því að kynna sér gögn þess og málsástæður er ákvörðun mun byggjast á, leiðrétta framkomnar upplýsingar og koma að frekari upplýsingum um málsatvik áður en stjórnvald tekur ákvörðun. Kemur þar einnig fram að andmælareglan eigi ekki aðeins að tryggja hagsmuni aðila máls heldur sé tilgangur hennar einnig sá að stuðla að því að mál verði betur upplýst og tengist hún þannig rannsóknarreglunni.
Það fer eftir atvikum og eðli máls hverju sinni hvort líta beri svo á að afstaða aðila og rök fyrir henni liggi nægilega fyrir eða hvort augljóslega sé óþarft að gefa honum kost á að tjá sig. Í því sambandi hefur m.a. þýðingu hvort mál hefur hafist að frumkvæði stjórnvalds eða aðilans sjálfs. Í fyrrgreindum athugasemdum kemur þannig fram að þegar aðili hefur sótt um tiltekin réttindi eða fyrirgreiðslu hjá stjórnvöldum og fyrir liggur afstaða hans í gögnum máls þurfi almennt ekki að veita honum frekara færi á að tjá sig um málsefnið. Sé honum hins vegar ókunnugt um að ný gögn og upplýsingar hafi bæst við í máli hans og telja verður að upplýsingarnar séu honum í óhag og hafi verulega þýðingu við úrlausn þess er almennt óheimilt að taka ákvörðun í málinu fyrr en honum hefur verið gefinn kostur á að kynna sér upplýsingarnar og tjá sig um þær (Alþt. 1992—1993, A-deild, bls. 3295).
Í athugasemdunum segir einnig að með því að veita aðila máls andmælarétt geti hann komið athugasemdum sínum á framfæri, bent á misskilning eða ónákvæmni í gögnum máls og jafnframt bent á heimildir sem séu betri grundvöllur að ákvörðun máls (Alþt. 1992-1993, A-deild, bls. 3296). Meðal annars á þessum grunni hefur verið litið svo á að þegar aðili máls neyti andmælaréttar eigi hann rétt á því að tjá sig um alla þætti þess, þ.m.t. lagaatriði (Páll Hreinsson: Stjórnsýsluréttur –Málsmeðferð. Reykjavík 2013, bls. 578. Sjá einnig Róbert R. Spanó: „Þróun andmælareglunnar eftir gildistöku 13. gr. stjórnsýslulaga“. Úlfljótur, 3. tbl. 2002, bls. 408).
Við mat á því hvort skylda stjórnvalds, til að gefa aðila máls sem hefur átt frumkvæði að stjórnsýslumáli, færi á því að tjá sig um gögn eða upplýsingar verði virk gerir 13. gr. stjórnsýslulaga samkvæmt framangreindu ráð fyrir því að horft sé til tiltekinna skilyrða. Aðila máls þarf að vera ókunnugt um að ný gögn eða nýjar upplýsingar hafi bæst við mál hans og telja verður að gögnin eða upplýsingarnar séu honum í óhag. Loks þurfa gögnin eða upplýsingarnar að hafa þýðingu fyrir úrlausn málsins. Það ræður hins vegar ekki úrslitum um skyldu stjórnvalds að þessu leyti hvort efnislegt inntak slíkra gagna eða upplýsinga lýtur að málsástæðum, málsatvikum eða lagagrundvelli málsins.
2 Var ákvörðun Persónuverndar í samræmi við lög?
Ekki leikur vafi á að það bréf lögmanns B, sem áður er vísað til, fól í sér nýtt gagn sem bættist við mál A í febrúar 2022 eða um níu mánuðum eftir að kvörtun hans barst stofnuninni. Fyrir liggur að honum var sent samrit fyrirspurnar Persónuverndar til B auk þess sem hann var upplýstur, í tilefni af fyrirspurn hans, um að svör samtakanna lægju fyrir með tölvubréfi 3. nóvember 2022. Við mat á því hvort honum hafi við þessar aðstæður verið ókunnugt um efni bréfsins verður að hafa í huga að það leysir ekki stjórnvald undan skyldu til að kynna aðila máls upplýsingar, sem honum er kunnugt um, ef honum má ekki vera ljóst að stjórnvaldið hafi ákveðið að draga þær inn í mál hans (sjá til hliðsjónar Páll Hreinsson: Stjórnsýsluréttur – Málsmeðferð. Reykjavík 2013, bls. 574). Af þessum sökum tel ég ekki nægjanlegt að líta til þess hvort A hafi vitað af tilvist bréfs lögmanns B heldur einnig hvort honum hafi mátt vera kunnugt um efni þess og þá ekki síður hvort það væri þess eðlis að til greina kæmi að byggja á því í máli hans (sjá til hliðsjónar álit umboðsmanns 20. apríl 1993 í máli nr. 640/1992).
Svo sem áður greinir var í téðu bréfi lögmanns samtakanna á því byggt að tölvupóstsamskiptin, sem kvörtun A laut að, féllu utan gildissviðs laga nr. 90/2018. Fram að því virðist meðferð Persónuverndar á málinu hins vegar hafa miðað að því að kanna grundvöll vinnslunnar, þ.e. hvort hún ætti sér fullnægjandi stoð í þeim heimildum sem lögin kveða á um og hvort hún samrýmdist meginreglum 1. mgr. 8. gr. laganna, einkum hvort persónuupplýsingar um A hefðu verið unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart honum. Laut fyrirspurn stofnunarinnar til B og C, sem A hafði verið upplýstur um, þannig að þessum atriðum en ekki álitaefnum um gildissvið laganna.
Í þessu ljósi tel ég ekki unnt að líta svo á að A hafi mátt skilja tölvubréf Persónuverndar, um að svör B lægju fyrir, á þá leið að í þeim kæmu fram atriði sem gætu verið til þess fallin að leiða til frávísunar málsins. Þá varð ekki sérstaklega ráðið af bréfinu að stofnunin hygðist ekki eiga frumkvæði að því að gefa honum kost á að kynna sér efni svaranna eða gera grein fyrir afstöðu sinni á síðari stigum málsins ef litið yrði svo á að þau hefðu hugsanlega þýðingu fyrir niðurstöðu málsins. Þar sem ákvörðun Persónuverndar um frávísun málsins var að mestu reist á sömu röksemdum og færðar voru fram í bréfi lögmanns samtakanna verður þó að leggja til grundvallar að þau sjónarmið sem þar komu fram hafi verið til þess fallin að hafa þýðingu fyrir lyktir málsins.
Í svörum Persónuverndar til mín hefur hefur afstaða stofnunarinnar m.a. verið rökstudd með vísan til þess að afstaða A hafi legið nægilega fyrir og því óþarft að gefa honum kost á andmælum að þessu leyti. Svo sem áður greinir var í kvörtun hans til Persónuverndar á því byggt að brotið hefði verið gegn lögum nr. 90/2018 við meðferð persónuupplýsinga um hann. Í bréfi hans til Persónuverndar 6. desember 2021 var jafnframt vikið að tilgreindum ákvæðum laganna sem hann taldi eiga við. Í þessum bréfum var hins vegar hvergi vikið sérstaklega að efnislegu gildissviði laganna eða álitaefnum um það. Þá er áður rakið að ekki verður annað ráðið en að meðferð stofnunarinnar hafi, allt fram til þess tíma þegar bréf lögmanns B barst Persónuvernd, miðað að því að kanna hvort vinnsla persónuupplýsinga um A samrýmdist lögum nr. 90/2018. Að þessu virtu get ég ekki fallist á að sérstakt tilefni hafi verið fyrir A að færa fram röksemdir fyrir því að mál hans félli innan gildissviðs laganna.
Í skýringum sínum til umboðsmanns hefur Persónuvernd einnig byggt á því að málsatvik hafi þótt liggja ljóst fyrir og ekki hafi verið litið svo á að skylt væri að gefa málsaðila sérstakt færi á að tjá sig um lagagrundvöll málsins, lögskýringu, afstöðu stjórnvaldsins, röksemdir eða mat á þeim þáttum sem haft gætu áhrif við úrlausn þess. Þessi afstaða virðist byggð á þeim sjónarmiðum að það hafi verið augljóslega óþarft að gefa A kost á að tjá sig í skilningi 13. gr. stjórnsýslulaga. Í því sambandi bendi ég á að athugun mín hefur ekki beinst að því hvort Persónuvernd hafi verið skylt að gefa A færi á að tjá sig um fyrirhugaða afstöðu stofnunarinnar til málsins eða almenna afstöðu hennar til efnislegs gildissviðs laga nr. 90/2018. Hefur athugun mín þannig lotið að því hvort rétt hefði verið að veita honum færi á að tjá sig um þau lagasjónarmið sem komu fram í bréfi gagnaðila hans í málinu og þá í því ljósi aðstæðna eins og þær horfðu við á því stigi málsmeðferðarinnar.
Í 13. gr. stjórnsýslulaga er ekki tiltekið í hvaða tilvikum augljóslega sé óþarft að gefa aðila máls kost á því að tjá sig um efni þess áður en stjórnvald tekur ákvörðun í því. Í athugasemdum greinargerðar með frumvarpi því er varð að stjórnsýslulögum segir aðeins að óþarft sé að aðili tjái sig ef um er að ræða hreina ívilnandi ákvörðun, t.d. ef taka á umsókn aðila til greina að öllu leyti. Hvað sem þessu líður er ljóst að um er að ræða matskennda undantekningu frá andmælarétti sem ber að skýra þröngt. Við úrlausn á þessu verður þá m.a. að líta til þess af hvaða tagi upplýsingar eru og hvort almennt megi búast við því að athugasemdir aðila máls geti haft þýðingu við endanlega úrlausn á málinu (sjá til hliðsjónar álit umboðsmanns Alþingis 31. janúar 2001 í máli nr. 2862/1999). Í samræmi við þetta hefur í framkvæmd umboðsmanns t.a.m. ekki verið talið að téð undantekning eigi við þegar í umsögn opinbers aðila, sem aflað hefur verið undir meðferð málsins, kemur fram tilvísun til lagasjónarmiða aðila í óhag, sbr. álit umboðsmanns Alþingis 11. mars 2002 í máli nr. 3306/2001.
Við úrlausn þess hvort óþarft var að gefa A kost á því að tjá sig um efni bréfs lögmanns B tel ég að horfa verði til þess að um var að ræða mál sem varðaði fleiri aðila með ólíka hagsmuni. Vísast í því sambandi til almennrar skyldu stjórnvalds til að gæta jafnræðis við málsmeðferð við slíkar aðstæður og tryggja aðilum eftir fremsta megni jafna aðstöðu til aðkomu að máli. Í því sambandi árétta ég að andmælaréttur aðila máls tekur samkvæmt orðalagi 13. gr. stjórnsýslulaga til „efnis máls“ og takmarkast því ekki við rétt til þess að tjá sig um atvik þess eða staðreyndir. Þegar aðili máls nýtir andmælarétt sinn á hann þannig jafnframt rétt á því að koma að athugasemdum sínum í tilefni af þeim lagasjónarmiðum og upplýsingum um matskennd atriði sem stjórnvald hefur aflað við meðferð máls og er með því stuðlað að því að allar þær upplýsingar og málsástæður sem máli skipta fyrir efnislega rétta úrlausn liggi fyrir í málinu. Til viðbótar þessum réttaröryggissjónarmiðum bendi ég á að andmælareglan byggist einnig á sjónarmiðum um að aðili máls fái tækifæri til að hafa áhrif á ákvörðunartöku stjórnvalds sem hefur þýðingu fyrir hagsmuni hans. Verður þá að miða við að aðili sé fremur tilbúinn til að sætta sig við niðurstöðu stjórnvalds ef hann hefur átt raunhæfan kost á að taka virkan þátt í meðferð málsins, s.s. með því að fá tækifæri til að taka afstöðu til lagaatriða. Að baki andmælareglunni búa því einnig sjónarmið sem ætlað er að efla traust aðila máls svo og almennings á málsmeðferð stjórnsýslunnar, sbr. t.d. fyrrgreint álit umboðsmanns 11. mars 2002 í máli nr. 3306/2001.
Svo sem áður er vikið að get ég ekki fallist á að miða beri við að andmæli A hefðu augljóslega engu getað breytt um niðurstöðu málsins enda réðst hún ekki af fortakslausum reglum eða hlutlægum sjónarmiðum. Sú afmörkun á gildissviði laga nr. 90/2018 sem vísað var til í bréfi lögmanns B og fram kemur í 2. mgr. 4. gr. þeirra lýtur þannig að matskenndum sjónarmiðum um það hvort þær persónuupplýsingar sem um ræðir tengist þeim sem vinnur með þær í daglegu lífi hans. Þar undir geta t.d. fallið persónuleg samskipti við vini og fjölskyldu. Jafnframt er það þó skilyrði að um sé að ræða venjulegar og lögmætar athafnir (sjá þskj. 1029 á 148. löggjafarþingi 2017-2018, bls. 65) og að meðferð upplýsinganna hafi engin tengsl við atvinnu- eða viðskiptastarfsemi þeirra einstaklinga sem um ræðir, sbr. 18. lið formálsorða reglugerðar (ESB) nr. 2016/679.
Með vísan til alls framangreinds get ég ekki fallist á það með Persónuvernd að afstaða A til þeirra sjónarmiða sem svarbréf lögmanns B hafði að geyma hafi legið nægilega fyrir í gögnum málsins eða augljóslega hafi verið óþarft að gefa honum kost á að tjá sig um þau í skilningi 13. gr. stjórnsýslulaga. Er það þ.a.l. niðurstaða mín að Persónuvernd hafi borið að kynna A framangreint svarbréf lögmanns B við fyrirspurn stofnunarinnar og veita honum kost á að tjá sig um efni þess áður en tekin var ákvörðun um frávísun málsins. Athugast þá jafnframt að ekki verður betur séð en að Persónuvernd hafi haft nægt ráðrými til slíkrar ráðstöfunar enda var ákvörðunin tekin að liðnum meira en 15 mánuðum frá því að svarbréf lögmannsins barst stofnuninni.
V Niðurstaða
Það er álit mitt að meðferð Persónuverndar á kvörtun A Gylfasonar hafi ekki verið í samræmi við lög. Byggist sú niðurstaða á því að stofnunin hafi ekki veitt honum kost á að tjá sig um efni bréfs lögmanns B, sem aflað var við meðferð málsins, og þar með ekki gætt að andmælarétti hans samkvæmt 13. gr. stjórnsýslulaga nr. 37/1993.
Það eru tilmæli mín til Persónuverndar að taka kvörtunina til meðferðar að nýju, berist beiðni þess efnis frá A, og fara þá með það í samræmi við þau sjónarmið sem rakin hafa verið í álitinu. Þá beini ég því til Persónuverndar að hafa framvegis í huga þau sjónarmið sem hér hafa komið fram.