Klage fra SpareBank 1 Markets AS på Datatilsynets vedtak

Transkript

1 Personvernnemnda Postboks SANDEFJORD Deres referanse Vår referanse (bes oppgitt ved svar) Dato 12/ /HTE 22. oktober 2013 Klage fra SpareBank 1 Markets AS på Datatilsynets vedtak Datatilsynet har mottatt en klage fra SpareBank 1 Markets AS (heretter Markets) datert 28. august 2013, på vårt vedtak av 8. juli Klagen retter seg mot vedtakets punkt 3. Klagen er rettidig fremsatt, jf. forvaltningsloven 29. Vi har tatt en ny vurdering av saken, men finner ikke grunnlag for å oppheve eller endre vedtaket. Saken sendes Personvernnemnda, jfr. personopplysingslovens 43. Kopi av oversendelsesbrevet er sendt klager samt Verdipapirforetakenes Forbund 1. Saksgang Den 17. oktober 2012 gjennomførte Datatilsynet en kontroll hos Markets med hjemmel i personopplysningsloven 42 tredje ledd nr. 3. Kontrollen rettet seg mot virksomhetens lovpålagte bruk av lydopptak, jfr. verdipapirhandelloven Varsel om vedtak ble sendt 9. april 2013 sammen med foreløpig kontrollrapport. I brev av 28. mai 2013 ga Markets sine kommentarer til tilsynets varsel om vedtak. Datatilsynets endelige vedtak er av 8. juli 2013, og det påklagde punktet er: 3. Virksomheten må gi innsynsrett til de registrerte i tråd med personopplysningsloven 18 annet ledd, jf. lovens 24. Det vises til kontrollrapportens pkt Verdipapirforetakenes Forbund har også sendt inn kommentarer, og Datatilsynet anser denne foreningen for å ha rettslig klageinteresse. Deres brev av 28. august 2013 kommenteres derfor også i denne oversendelsen Sakens rettslig og faktiske side Markets plikter etter verdipapirhandelloven å foreta lydopptak av telefonsamtaler i tilknytning til yting av investeringstjenester og tilknyttede tjenester, samt oppbevare 1 Tidligere Norges Fondsmeglerforbund (NFMF) Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt OSLO Hjemmeside:

2 lydopptak og annen type dokumentasjon. Hva slike tjenester innebærer er nærmere regulert i verdipapirforskriften 10-31, jf. vphl. 2-1 første ledd nr. 1 til 6. Etter personopplysningsloven 18 annet ledd har den registrerte 2 rett til innsyn i opplysninger om seg selv, og informasjonen kan kreves skriftlig. Den behandlingsansvarlige kan på sin side kreve at den registrerte leverer en skriftlig og undertegnet innsynsbegjæring, jf. personopplysningsloven 24. Markets lager ikke transkripsjoner av lydopptak og utleverer heller ikke lydfiler. Et av hensynene de viser til er de ansattes personvern. Markets er av den oppfatning at de innfrir innsynsretten, jf. personopplysningsloven 18 annet ledd, når kunder eller øvrige registrerte inviteres til å lytte på lydopptaket hos virksomheten. Klagen fra Markets Markets er uenig i hva den registrerte har rett til innsynsrett i, og hvordan gjennomføring av innsyn skal skje. De bestrider ikke at den registrerte har krav på innsyn i «opplysninger om den registrerte», jf. personopplysningsloven 18 annet ledd bokstav a). Formålet med innsynsretten er først og fremst at den registrerte skal få vite hvilke opplysninger som behandles om vedkommende, slik at uriktig eller ufullstendige opplysninger kan kreves rettet. 3 De lydopptakene som gjennomføres av Markets vil inneholde personopplysninger om kunden, men også om virksomhetens ansatte. Opptakene vil inneholde opplysninger om personlige forhold, f.eks. om skilsmisse, barn og sykdom siden relasjonsbygging er en viktig del av en meglers hverdag. Markets legger derfor til grunn at virksomhetens ansatte også vil være å anse som «registrert» og dermed også ha krav på vern av sine personopplysninger. Markets er av den oppfatning at virksomhetens behandling av de ansattes personopplysninger omfattes av kravene i personopplysningsloven 13 og 14. Markets er derfor forpliktet til å sikre at lydopptak behandles på en måte som ikke utsetter ansatte for uforholdsmessige ulemper, herunder «sørge for at tilfredsstillende informasjonssikkerhet med hensyn til opplysningens konfidensialitet, integritet [ ]», jf. 13 første ledd. Virksomheten er av den grunn ikke enig i tilsynets konklusjon om at virksomheten skal sende lydfiler av telefonsamtaler til kunder, som ikke er underlagt noen krav eller har avgitt noen garanti med henhold til behandling av personopplysninger som vedrører de ansatte. Dette vil etter Markets vurdering være i strid med personopplysningsloven 13 tredje ledd. Markets er av den oppfatning at faren for misbruk er stor, når lydfiler som inneholder personopplysninger om de ansatte, blir oversendt direkte til kunden (den andre registrerte). Markets mener dette burde tilsi en annen gjennomføringsmåte av innsynsretten enn det Datatilsynet har konkludert med. 2 Den som en personopplysning kan knyttes til, jf personopplysningsloven 2 nr. 6 3 Ot. Prp nr 92, , merknader til 18 2

3 Markets mener derfor at Datatilsynet har lagt en feil tilnærming til problemstillingen når tilsynet i vedtaket på side 3 sier at: «Datatilsynet har forståelse for at virksomheten er bekymret for at lydfiler kan benyttes på en slik måte at de går utover de ansattes personvern. Datatilsynet finner imidlertid ikke at mulig offentliggjøring av lydopptak/transkripsjon, kan være grunnlag for å unnta den registrerte den lovhjemlede retten til å motta transkripsjon av lydopptaket, jf. personopplysningsloven 24.» Markets vurdering er at kunden må gis innsyn i lydopptaket som sådan, men at dette må gjennomføres på en måte som sikrer en forsvarlig behandling av den ansattes personopplysninger. Virksomheten er videre av den oppfatning at lovens formål som omtalt i 1 om «å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger» klart må gå foran hensynet til måten gjennomføringen av innsynet skal skje på. Det vises i den forbindelse til formålet med innsynsretten som i forarbeidene er begrunnet med at den registrerte skal kunne kreve eventuelle feil rettet eller slettet. Etter Markets vurdering vil kundens (den registrertes) rett til innsyn være tilstrekkelig ivaretatt ved at kunden som hovedregel: 1. gis adgang til å lytte på aktuelle telefonsamtaler på virksomhetens kontorer. Dersom dette ikke skulle være hensiktsmessig i det enkelte tilfellet, for eksempel dersom kunde bor langt unna og/eller av andre årsaker er forhindret fra å komme til virksomhetens kontorer, kan et alternativ være 2. at lydopptakene sendes til en lokal advokat eller en annen tillitsmann, revisor, eller lokal bank som på Markets regning stiller lokaler til disposisjon og avgir en bekreftelse på at lydfilene vil bli forsvarlig behandlet. Tilsvarende vil det være naturlig 3. å oversende lydfilene direkte til kundens advokat dersom kunden har engasjer dette, mot at vedkommende avgir en tilsvarende bekreftelse. Ved å gjennomføre innsynsretten på denne foreskrevne måten vil formålet med innsynsretten, men også hensynet til vern om den ansattes personopplysninger være ivaretatt. Verdipapirforetakenes Forbud Verdipapirforetakenes Forbund har i brev av 28. august 2013 kommentert det påklagede vedtakspunktet. Forbundet opplyser at den praksisen Markets har fulgt er en bransjepraksis og at tilsynets vedtak vil få følger for hele bransjen. Forbundet fremmer hovedsakelig de samme synspunkter som Markets gjør i klagen. De fremhever at tilsynets vedtak om innsynsrett (utleveringsplikt) ikke er balansert, siden hensynet til den ansattes personvern må vike. Forbundet er videre av den oppfatning at tilsynet forskjellsbehandler personer med bakgrunn i ansettelsesforhold. 3

4 Forbundet peker på bestemmelser i verdipapirhandelloven og arbeidsmiljøloven som underbygger ansattes rett til personvern. Datatilsynets vurdering En personopplysning er etter personopplysningsloven 2 nr. 1 definert som opplysninger og vurderinger som kan knyttes til en enkeltperson. Etter personopplysningsloven 18 annet ledd skal den registrerte (dvs. den personopplysningene kan knyttes til) ha rett til innsyn i registrerte opplysninger om seg selv. Etter tilsynets vurdering vil innsynsretten omfatte hva som blir sagt av begge parter i telefonsamtalen. Både kunden og megler, som begge er å anse som registrerte, vil således ha rett til innsyn i det de sier og det de blir fortalt i telefonsamtalen. Motsatt ville en innskrenkende tolkning av begrepet «personopplysning» føre til at den registrert kun hadde krav på innsyn i de opplysningene han eller hun selv har oppgitt. Sett ut fra formålet med innsynsretten, 4 vil ikke en slik begrenset rett til innsyn harmonisere med hensynet bak reglene om innsyn. Den enkeltes personopplysninger (ytringer) må sees i kontekst og det omfatter naturlig også det samtalepartneren sier. En annen oppfatning vil etter vår mening skape overhengende fare for misforståelser. Dersom kunden sier «ja» er det avgjørende hva samtaleparten har sagt for eksempel. I denne saken er det ikke omtvistet at den registrerte har rett til innsyn i lydopptakene. Problemstillingen er imidlertid hvordan innsynsretten skal gjennomføres, om den behandlingsansvarlige plikter å utlevere en transkripsjon av lydopptak eller som vi har besluttet i praksis en lydfil eller om det er tilstrekkelig med den registrerte gis adgang til å lytte til lydopptaket. Personopplysningsloven 24 regulerer hvordan informasjonen skal gis. Bestemmelsen tar utgangspunkt i et skriftlighetskrav, men det er ikke til hinder for at det nyttes elektroniske dokumenter. 5 Datatilsynet forstår 24 slik at den registrerte i utgangspunktet kan kreve en transkripsjon av lydopptaket. Personopplysningsloven er i utgangspunktet teknologinøytral og etter tilsynets vurdering vil den behandlingsansvarlige oppfylle sine plikter etter 24, også ved å utlevere lydopptaket som lydfil eller i det formatet personopplysningene er lagret på. Klager har vist til personopplysningsloven 13 og 14 (samt personopplysningsforskriften) som forplikter dem til å sikre at lydopptak behandles på en måte som ikke utsetter ansatte for uforholdsmessige ulemper. Klager er av den oppfatning at en utlevering av lydopptak vil utsette deres ansatte, som registrerte, for uforholdsmessige ulemper og det vil være i strid med personopplysningsloven 13 tredje ledd. Datatilsynet la til grunn i vedtaket av 8. juli 2013: «Plikten til å hindre uvedkommende (interne og eksterne individer) tilgang til lydopptakene er regulert i personopplysningsloven 13. Personopplysningsloven 13 stiller en del krav til 4 Jf. Ot. Prp nr 92, , i merknadene til 18 heter det at innsynsretten blant annet skal gi den registrerte muligheten til avdekke uriktige eller ufullstendige opplysninger, som så kan kreves rettet, jf Ot. Prp nr 92, , merknader til 24. 4

5 behandlingsansvarlig (finansforetaket) når det gjelder informasjonssikkerheten ved behandling av personopplysninger. Bestemmelsen fastslår at den behandlingsansvarlige skal gjennom planlagte og systematisk tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet. Kravet til konfidensialitet innebærer at personopplysningene skal være utilgjengelig for uvedkommende. Kravet til tilgjengelighet skal sikre at personopplysningene er tilgjengelige for autoriserte brukere for bruk i henhold til de formål de er innhentet. I dette ligger blant annet at kun de som har tjenstlig behov for personopplysninger skal ha tilgang til dem. Hvilke personer som oppfyller kravet til tjenstlig behov er det i utgangspunktet virksomheten selv som må ta stilling til. Virksomheten må imidlertid være beredt til å begrunne sitt valg av antall personer som er gitt tilgang til visse typer opplysninger. Etter tilsynets vurdering og ut i fra et personvernperspektiv er det mindre betenkelig å gi den registrerte (kunden eller den aktuelle ansatt) innsyn i et lydopptak vedkommende selv deltar i, enn det er å gi øvrige ansatte i finansforetaket fri tilgang/innsynsrett. Dette syn gjenspeiles i regelverket når ansatte som ikke har deltatt i samtalen må vise til et tjenstlig behov/formål for å få tilgang/innsyn til lydopptakene, jf. vpf , mens en slik begrunnelse ikke er nødvendig for den registrerte, jf. personopplysningsloven 18 annet ledd. Den registrerte (kunde eller den aktuelle ansatt) som ønsker innsyn i lydopptak, jf. personopplysningsloven 18 annet ledd, vil etter dette ikke være å anse som «uvedkommende», men en med lovlig tilgang/innsynsrett når unntak fra innsynsretten, jf. personopplysningsloven 23, ikke kommer til anvendelse. Etter personopplysningsloven 24 vil virksomheten ha en plikt til å utlevere en transkribert versjon av samtalen eller en lydfil.» Datatilsynet deler følgelig ikke klagers forståelse av personopplysningsloven 13. Klagers syn er begrunnet i hensynet til de ansattes personvern. Klager er skeptisk til å utlevere slike opplysninger uten at det stilles noen krav til hvordan mottaker, i dette tilfellet egen kunde, skal håndtere lydopptakene. Markets viser i den sammenheng til hvordan de selv er pålagt strenge rutiner i forbindelse med håndtering av lydopptak. Datatilsynet vil understreke at lydopptakene er en gjengivelse av en eller flere samtaler de registrerte har hatt med hverandre. Det vil presumtivt være en utlevering av personopplysninger (om den ansatte) som kunden allerede kjenner til. Det kan videre legges til at kundens behandling av lydopptaket ikke nødvendigvis er regulert av personopplysningsloven. Tilsynet viser i den forbindelse til personopplysningslovens 3 andre ledd som sier at personopplysningsloven ikke kommer til anvendelse for behandling av personopplysninger som den enkelte foretar for rent personlige eller andre private formål. I slike tilfeller vil man ikke i medhold av personopplysningsloven kunne stille krav til hvordan den registrerte skal håndtere lydopptak. 5

6 Datatilsynet har som nevnt innledningsvis ikke omgjort sitt vedtak punkt 3, og saken sendes over for klagebehandling. Med vennlig hilsen Bjørn Erik Thon direktør Henok Tesfazghi rådgiver Kopi SpareBank 1 Markets AS, Postboks 1398 Vika, 0114 Oslo Verdipapirforetakenes Forbund, PB 1501 Vika, 0117 Oslo Vedlegg sakens dokumenter 6