Persónuvernd hefur úrskurðað í máli þar sem kvartað var yfir rafrænni vöktun Íslandspósts með notkun ökurita í bifreið sem sá aðili sem kvartaði til stofnunarinnar hafði afnot af í starfi hjá Íslandspósti. Gögn sem fengin voru úr ökuritanum voru notuð sem ástæða þess að viðkomandi var sagt upp starfi sínu hjá fyrirtækinu. Er það niðurstaða Persónuverndar að notkun Íslandspósts á upplýsingum um viðkomandi, úr ökuritanum, hafi ekki verið talin í samræmi við lög.
Í upphaflegri kvörtun, sem lögmaður Póstmannafélags Íslands beindi til Persónuverndar, í lok apríl 2022, fyrir hönd starfsmannsins fyrrverandi kom fram að Íslandspóstur hafi nýtt upplýsingar sem söfnuðust við notkun ökuritans í öðrum og ósamrýmanlegum tilgangi en upphaflega var ætlað. Það hafi verið gert án þess að starfsmaðurinn hefði fengið fræðslu áður um nýjan tilgang söfnunar upplýsinga úr ökuritanum.
Í úrskurði Persónuverndar segir að Póstmannafélag Íslands hafi talið að með því að nota gögn sem fengin voru úr ökuritanum til að rökstyðja uppsögn starfsmannsins hafi Íslandspóstur farið út fyrir heimildir sínar samkvæmt lögum um persónuvernd og vinnslu persónuupplýsinga, og þágildandi reglur um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun.
Vísaði Póstmannafélagið í það Íslandspóstur hefði farið yfir gögn úr ökuritanum langt aftur í tímann í þeim tilgangi að sannreyna afköst starfsmannsins og hversu löng matarhlé hann hefði tekið. Að mati félagsins hafi Íslandspósti ekki verið heimilt að nýta gögnin í þeim tilgangi enda hefði starfsmanninum verið tjáð við upphaf starfs síns að ökuritar væru staðsettir í bílum starfsmanna í öryggisskyni, til þess að tryggja gæði þjónustu og til þess að fylgjast með ökuhæfni starfsmanna, til að mynda hvort reglur um hámarkshraða væru virtar.
Þar af leiðandi hélt Póstmannafélagið því fram að vinnsla persónuupplýsinga um starfsmanninn fyrrverandi hafi ekki verið gagnsæ og sanngjörn eins og ákvæði laga um persónuvernd og vinnslu persónuupplýsinga kveði á um. Félagið sagði Íslandspóst einnig hafa brotið reglur sem þá voru í gildi um rafræna vöktun þar sem komið hafi fram að vinnsla persónaupplýsinga yrði að vera í lögmætum og málefnalegum tilgangi og einnig hefðu reglurnar kveðið á um að viðkomandi hafi átt að fá fræðslu um vinnsluna, en Íslandspóstur hafi ekki séð til þess.
Í athugasemdum sínum sagði Íslandspóstur að fyrrtækið byggði vinnslu þeirra persónuupplýsinga sem málið snerist um á lögum um persónuvernd sem heimili vinnslu persónuupplýsinga, hafi hinn skráði gefið samþykki sitt fyrir vinnslu á persónuupplýsingum sínum í þágu eins eða fleiri tiltekinna markmiða. Vísaði Íslandspóstur til þesss að öllum bílstjórum sé gerð grein fyrir rafrænni vöktun með notkun ökurita við upphaf starfs. Öllum bílstjórum sé einnig afhent fræðsluefni við upphaf starfs þar sem vísað er til notkunar ökurita og tilgangs þeirra.
Íslandspóstur hélt því einnig fram að vinnulag í þessu máli hefði verið í samræmi við lög um persónuvernd þar sem að starfsmanninum hafi verið fyllilega ljóst að ökuriti væri í bifreiðinni sem hann notaði í starfi sínu. Einnig hafi viðkomandi mátt vera meðvitaður um að starfsafköst hans kynnu að vera skoðuð með aðstoð ökuritans, sérstaklega í ljósi þess að kvartanir hefðu borist Íslandspósti í aðdraganda uppsagnarinnar vegna afkasta starfsmannsins. Það hafi verið nauðsynlegt að afla gagna um þau með aðstoð ökuritans til að athuga hvort afköstin hefðu verið í samræmi við ráðningarsamning starfsmannsins.
Í niðurstöðu sinni segir Persónuvernd að Íslandspóstur byggi vinnslu persónuupplýsinga í málinu á því að samþykki starfsmannsins hafi legið fyrir í samræmi við ákvæði laga um persónuvernd. Hins vegar segir Persónuvernd að stofnunin hafi almennt talið að vinnuveitendur geti ekki byggt vinnslu persónuupplýsinga um starfsmenn á samþykki þeirra, enda sé sjaldnast um óþvingað samþykki að ræða vegna þess aðstöðumunar sem almennt sé álitinn fyrir hendi milli vinnuveitanda og starfsmanna.
Persónuvernd segir enn fremur að vinnsla persónuupplýsinga, sem fram fer með notkun ökurita í þeim tilgangi að bæta aksturslag, draga úr rekstrar- og tjónakostnaði, auka umferðaröryggi og bæta ímynd fyrirtækis í umferðinni, geti verið talin heimil á grundvelli lögmætra hagsmuna. Óheimilt sé hins vegar að nýta það efni sem safnist við vöktunina í öðrum og ósamrýmanlegum tilgangi nema þau sem fylgst er með hafi verið frædd um breyttan tilgang.
Persónuvernd segir það mat sitt að það sé ekkert í því fræðsluefni, sem Íslandspóstur vísaði til og öllum starfsmönnum sé afhent, sem gert hafi starfsmanninum fyrrverandi ljóst að gögn úr ökuritanum gætu verið notuð til þess að kanna hvort hann uppfyllti starfsskyldur sínar og í framhaldinu sem rökstuðningur fyrir uppsögn hans úr starfi.
Þar af leiðandi er það niðurstaða Persónuverndar að notkun Íslandspósts á persónuupplýsingum úr ökurita í bifreið sem umræddur starfsmaður hafði til afnota í starfi sínu hafi ekki samræmst ákvæðum laga um persónuvernd og vinnslu persónuupplýsinga og heldur ekki ákvæðum reglna um rafræna vöktun.
Úrskurðinn í heild sinni má lesa hér.
