Persónuvernd birti fyrr í dag úrskurð í máli sem varðar mál manns sem kvartaði yfir því að þegar hann var að láta störfum hjá fyrirtæki hafi forsvarsmenn þess skoðað pósthólf hans og reikning hjá skjalavistunarþjónustu. Kvartaði hann einkum yfir því að honum hafi ekki verið gefinn kostur á að eyða gögnum sem vörðuðu einkamál hans af báðum þessum reikningum. Er það niðurstaða Persónuverndar að þetta háttalag fyrirtækisins hafi ekki verið í samræmi við lög en annað gildi þó um þá staðreynd að fyrirtækið miðlaði þessum gögnum til lögreglunnar og héraðssaksóknara.
Hvorki maðurinn né fyrirtækið eru nafngreind í úrskurðinum en samkvæmt heimildum DV er maðurinn sem um ræðir Jóhannes Stefánsson og fyrirtækið Samherji. Jóhannes lagði einmitt fram kvörtun til Persónuverndar sumarið 2021 vegna meðferðar Samherja á pósthólfi hans þegar hann lét af störfum fyrir fyrirtækið. Lýsingar á málavöxtum benda einnig sterklega til þess að um sé að ræða Jóhannes og Samherja.
Jóhannes varð þjóðþekktur fyrir nokkrum árum þegar hann steig fram í fjölmiðlum og upplýsti um meintar misfellur í starfsemi Samherja í Namibíu en hann sakaði meðal annars fyrirtækið um að greiða mútur til að komast yfir fiskveiðiheimildir í namibískri landhelgi.
Í úrskurðinum segir einmitt að kvörtunin hafi borist sumarið 2021 og úrskurðurinn var kveðinn upp í september síðastliðnum en var fyrst birtur á vef Persónuverndar í dag.
Í úrskurðinum segir að maðurinn, sem eins og áður segir að samkvæmt heimildum DV er Jóhannes, hafi gert athugasemd við að fyrirtækið, þ.e.a.s, Samherji, hafi við starfslok hans lokað aðgangi Jóhannesar að tölvupósthólfi og reikningi skjalavistunarþjónustu, sem samkvæmt fréttum fjölmiðla frá 2021 var Dropbox, sem hann hafði yfirráð yfir starfs síns vegna, án þess að veita honum tækifæri á að eyða einkagögnum sem ekki tengdust starfsemi félagsins. Jóhannes taldi einnig að Samherja hafi ekki verið heimilt að skoða þessi gögn einhverjum árum síðar án vitundar hans og miðla þeim til lögreglu án hans samþykkis.
Ekki kemur fram í úrskurðinum hvenær starfslokin áttu sér stað en Jóhannes lauk störfum fyrir Samherja 2016 en í fréttum Heimildarinnar frá 2021 segir að fyrirtækið hafi skoðað pósthólf hans 2020.
Segir Jóhannes að þetta hafi verið staðfest í samantekt innanhússlögmanns sem birt hafi verið í fjölmiðlum og í yfirlýsingum starfsmanna Samherja fyrir dómstólum. Meðal gagnanna hafi verið viðkvæmar persónuupplýsingar og upplýsingar um mögulega refsiverða háttsemi hans.
Um sjónarmið Samherja segir meðal annars að vaknað hafi grunur um að Jóhannes hefði misst tök á lífi sínu og hafi stjórnendur í samstæðu Samherja fengið óyggjandi upplýsingar um að hann væri að vinna gegn hagsmunum samstæðunnar. Í ljósi aðstæðna hafi verið gripið til þess að loka fyrir aðgang Jóhannesar að kerfum sem hýstu vinnuskjöl og viðskiptaupplýsingar í eigu félaga sem hann starfaði fyrir.
Hvað varðar einkagögn Jóhannesar hafi honum ekki verið veitt tækifæri til að yfirfara þau og afrita eða eyða þeim þar sem starfslok hans hafi borið að með óvenjulegum hætti. Þá hafi verið erfitt að ná í hann og hann hafi óskað eftir að samskipti færu fram í gegnum lögmann hans. Jóhannesi hafi auk þess gefist nægt ráðrúm til þess að eyða eða taka afrit af einkapósti eða einkagögnum sínum þegar hann lauk störfum fyrir félög í samstæðu Samherja.
Samherji segir að Jóhannes hafi komið að birtingu gagna úr kerfum samstæðu fyrirtækisins. Alvarlegar ásakanir á hendur einstaklingum og félögum í samstæðunni hafi fylgt birtingu gagnanna í fjölmiðlum auk þess sem að Jóhannes hafi játað á sig refsiverða háttsemi. Um tilvikabundna skoðun gagna pósthólfsins og Dropbox-reikningsins hafi verið að ræða af hálfu Samherja sem hafi farið fram í þeim tilgangi að staðreyna staðhæfingar Jóhannesar um að hann hefði viðhaft ólögmæta viðskiptahætti og gerst sekur um refsiverða háttsemi í starfi sínu fyrir fyrirtækið.
Í niðurstöðu Persónuverndar segir að fyrirtækið hafi unnið með viðkvæmar upplýsingar um persónuleg mál Jóhannesar.
Skoðun á tölvupósthólfi Jóhannesar og Dropbox-reikningi hafi farið fram vegna gruns um að hann hefði brotið gegn trúnaðar- og vinnuskyldum sínum gagnvart Samherja og jafnframt viðhaft ólögmæta viðskiptahætti í starfi sínu. Viðskiptahagsmunir Samherja sem um ræðir verði taldir til lögmætra hagsmuna í skilningi laga. Jafnframt telji Persónuvernd að í ljósi allra atvika megi fallast á að hagsmunir Samherja af því að skoða umrædd gögn hafi vegið þyngra en grundvallarréttindi og frelsi Jóhannesar.
Persónuvernd segir að einnig liggi fyrir að Jóhannesi hafi ekki verið gefinn kostur á að eyða eða taka afrit af gögnum við starfslok hans. Þá hafi Jóhannes eða lögmaður hans ekki verið upplýstur um að til stæði að opna og skoða tölvupósthólfið Dropbox-reikninginn og Jóhannesi eða fulltrúa hans ekki verið veitt færi á að vera viðstaddur. Þar af leiðandi telji Persónuvernd að skoðun Samherja á þessum reikningum hafi ekki samrýmst lögum um persónuvernd.
Í úrskurðinum segir að Samherji skýri miðlun umræddra gagna til lögreglu og héraðssaksóknara þannig að hún hafi tilkomið vegna rannsóknar embættisins á starfsemi félaga sem heyra undir samstæðu fyrirtækisins og á háttsemi einstaklinga þeim tengdum.
Persónuvernd segir að telja megi að þessi miðlun hafi getað byggst á vinnsluheimild laga um persónuvernd sem kveði á um að vinnsla persónuupplýsinga sé heimil ef hún sé nauðsynleg vegna lögmætra hagsmuna ábyrgðaraðila nema ef hagsmunir eða grundvallarréttindi hins skráða vegi þyngra.
Að því er varðar miðlun viðkvæmra persónuupplýsinga Jóhannesar sé það mat Persónuverndar að hún hafi getað stuðst við þau skilyrði laganna sem vísi til þess að vinnsla sé nauðsynleg til að hægt sé að stofna, hafa uppi eða verja réttarkröfur.
Það er því niðurstaða Persónuverndar að með hliðsjón af fyrirliggjandi gögnum og skýringum sem lúta að rannsókn héraðssaksóknara verði að telja að hagsmunir Samherja af því að miðla gögnunum til lögreglunnar og héraðssaksóknara hafi vegið þyngra en hagsmunir og grundvallarréttindi Jóhannesar.
Persónuvernd telur einnig að Samherja hafi verið þessi tiltekna miðlun heimil án þess að upplýsa Jóhannes um það þrátt fyrir ákvæði persónuverndarlaga um að fræða verði þann aðila sem verði fyrir því að persónuupplýsingum hans sé miðlað. Viðeigandi reglugerð kveði á um að heimilt sé að takmarka fræðsluskyldu ef það telst nauðsynlegt til að koma megi í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsivert brot eða fullnægja refsiviðurlögum.
Persónuvernd úrskurðaði því Jóhannesi í vil hvað varðar skoðun Samherja á pósthólfi hans og Dropbox-reikningi en fyrirtækinu í vil þegar kemur að miðlun gagna sem fengust við þessa skoðun til lögreglunnar og héraðssaksóknara.
Úrskurðinn í heild sinni er hægt að lesa hér.
