Í úrskurði Persónuverndar í máli nr. 2011/568 var fjallað um lögmæti útsendingar tölvupósts til starfsmanna um meint brot eins starfsmanns.

Persónuvernd barst kvörtun frá J yfir því að fyrrum vinnuveitandi hans E hefði dreift viðkvæmum persónuupplýsingum um hann til annarra starfsmanna fyrirtækisins. Málsatvik voru þau að J hafði að sögn fyrirtækisins viðurkennt þjófnað hjá og lét í kjölfarið af störfum. Eftir að hann lét af störfum sendi forstjóri E fjöldapóst til allra starfsmanna þar sem J er nafngreindur og skýrt er frá starfslokum hans. Þá kemur fram að ástæða starfslokanna sé vegna þjófnaðar hjá fyrirtækinu.

Í úrskurði Persónuverndar segir að upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað, teljist til viðkvæmra persónuupplýsinga, sbr. b-lið 8. tölul. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

Svo að vinna megi slíkar upplýsingar verður að vera fullnægt einhverju skilyrða sem talin eru upp í 1. mgr. 9. gr. laga nr. 77/2000, s.s. samþykki hins skráða. J hafði ekki veitt samþykki sitt fyrir vinnslu persónulegra upplýsinga um sig, þ.e. sendingu tölvupóstarins. Þá uppfyllti sendingin ekki skilyrði sama ákvæðis um nauðsynlegt hafi verið að dreifa upplýsingunum s.s. vegna laganauðsynja, málaferla eða kæru til lögreglu.

Þá þurfti Persónuvernd að meta hvort vinnsla persónuupplýsinganna hafi uppfyllt meginreglur 7. gr. laga nr. 77/2000, þ.e. að vinnslan hafi verið lögmæt enda hafi hún farið fram með sanngjörnum, málefnalegum og lögmætum hætti og verið í samræmi við vandaða vinnsluhætti persónuupplýsinga og staðist skilyrði um meðalhóf við vinnslu persónuupplýsinga.

Persónuvernd taldi að J hefði mátt vænta þess að ekki yrðu frekari eftirmálar af því að hann viðurkenndi þjófnað frá fyrirtækinu, lét af störfum og féllst á að hann ætti enga kröfu frá fyrirtækinu um ógreidd laun. Dreifing forstjóra á upplýsingum um hann megi hins vegar jafna til slíkra eftirmála og dreifingin hafi því ekki uppfyllt skilyrði 7. gr. laga nr. 77/2000.

Þar sem fyrirtækið gat ekki sýnt fram á að dreifing upplýsinganna til allra starfsmanna hafi verið nauðsynleg í skilningi persónuverndarlaga taldi Persónuvernd hana brot gegn persónuverndarlögum og úrskurðaði að dreifing persónupplýsinganna um meintan þjófnað starfsmanns til allra starfsmanna fyrirtækisins hafi verið óheimil.

Tekið var fram í úrskurðinum að hann ætti ekki við um munnlega miðlun persónuupplýsinga, s.s. það sem fer fram á starfsmannafundum þar sem slík miðlun falli ekki undir gildissvið persónuverndarlaga.