Héraðsdómur Reykjavíkur Dómur 26. júní 2020 Mál nr. E - 2176/2019: A (Einar Þór Sverrisson lögmaður) gegn Persónuvernd (Einar Karl Hallvarðsson lögmaður) Dómur I. Mál þetta, sem var höfðað með stefnu birtri 11. apríl 2019, var dómtekið 19. maí 2020. Stefnandi er A , [...] , Reykjavík, en stefndi er Persónuvernd, Rauðarárstíg 10, Reykjavík. Dómkröfur stefnanda eru þær að úrskurður Persónuverndar í máli stefnanda nr. 2018/538 frá 16. október 2018 verði felldur úr gildi. Þá krefst stefnandi greiðslu málskostnaðar. Stefndi krefst sýknu, auk greiðslu málskostnaðar. II. 1 Málsatvik eru að mes tu leyti óumdeild. Stefnandi er lærður leikari frá Leiklistarskóla Íslands og útskrifaðist þaðan 1997. Frá því að hann útskrifaðist hefur hann leikið í fjölmörgum sýningum og verið fastráðinn við Þjóðleikhúsið frá árinu 2000. Hann hefur leikið í kvikmyndum og sjónvarpsmyndum, talsett auglýsingar og barnaefni og verið rödd fyrirtækja í auglýsingum. Á árinu 2017 var stefnanda boðið að starfa leikárið 2017 2018 sem leikari hjá Leikfélagi Reykjavíkur. Á sama tíma skyldi hann vera í launalausu leyfi frá Þjóðleik húsinu, en hefja þar aftur störf leikárið 2018 2019. Í samræmi við þetta var 16. mars 2017 gerður tímabundinn ráðningarsamningur milli Leikfélagsins og stefnanda. Samkvæmt samningnum skyldi stefnandi m.a. starfa við þrjú leikverk á umræddu leikári auk þess sem gert var ráð fyrir að stefnandi tæki þátt í jólasýningu Leikfélagsins. 2 2 Hinn 16. desember 2017 var stefnandi boðaður á fund, leikhússtjóra Borgarleikhússins. Á fundinum var stefnanda afhent uppsagnarbréf. Ekki var gerð grein fyrir ástæðu uppsagnari nnar í bréfinu, en leikhússtjóri lýsti því munnlega fyrir stefnanda að komið hefðu fram ásakanir á hendur honum um kynferðislega áreitni. Stefnanda voru á fundinum ekki veittar upplýsingar um það frá hverjum hinar meintu ásakanir stöfuðu eða hvers eðlis þæ r væru, en á fundi næsta dag kom fram að um væri að ræða sex frásagnir. Stefnandi höfðaði mál á hendur Leikfélagi Reykjavíkur og leikhússtjóra vegna uppsagnarinnar. Var dómur kveðinn upp hinn 30. október 2019. Var það niðurstaða dómsins að ekki hefði veri ð farið að lögum þegar stefnanda var sagt upp störfum hinn 16. desember 2017 og að stefnandi ætti rétt á bótum af þeim sökum. 3 Með bréfi, dags. 2. mars 2018, sendi stefnandi kvörtun til, stefnda, Persónuverndar, þar sem hann krafðist þess að stefndi be itti valdheimildum sínum til að krefja Leikfélag Reykjavíkur um allar þær upplýsingar og skriflegar skýringar sem nefndinni væru nauðsynlegar til að taka afstöðu til þess hvaða upplýsingar stefnandi ætti rétt á að fá vegna meðferðar máls hans hjá Leikfélag i Reykjavíkur og hvort brotið hefði verið gegn ákvæðum þágildandi laga um persónuvernd nr. 77/2000. Nánar tiltekið óskaði stefnandi m.a. eftir því í kvörtun sinni til Persónuverndar að hann fengi upplýsingar um hverjir það væru sem báru hann ásökunum um ky nferðislega áreitni, hvert hefði verið efnislegt inntak þeirra ásakana, hvort upplýsingum um hann hefði verið miðlað til starfsmanna leikfélagsins, hvaða gögn L eikfélagið hefði undir höndum og hvernig varðveislu þeirra væri háttað. 4. Hinn 16. október 2 018, kvað Persónuvernd upp úrskurð í málinu (mál nr. 2018/538). Kemur fram í forsendum úrskurðarins að við meðferð málsins hjá Persónuvernd hafi nefndin sent Leikfélagi Reykjavíkur bréf, dags. 29. ágúst 2018, og óskað eftir því, með vísan til 10. gr. stjór nsýslulaga nr. 37/1993 og 1. mgr. 41. gr. laga nr. 90/2018, að fá allar skráðar persónuupplýsingar um stefnanda, þar með talið afrit af umræddu vinnuskjali borgarleikhússtjóra vegna málsins. Með bréfi Leikfélags Reykjavíkur, dags. 24. september 2018, hafi með vísan til meðalhófsreglu 12. gr. stjórnsýslulaga nr. 37/1993 og öryggissjónarmiða verið óskað eftir því að fulltrúar Persónuverndar kæmu á starfsstöð L eikfélagsins og fengju aðgang að umbeðnum gögnum þar. Persónuvernd hafi fallist á þau sjónarmið og ti lkynnt um vettvangsathugun á starfsstöð Leikfélagsins með bréfi, dags. 28. september 2018. Kemur fram í úrskurðinum að Persónuvernd hafi farið í vettvangsathugun á starfsstöð Leikfélags ld fyrrgreinds 3 vinnuskjals borgarleikhússtjóra og aðrar persónuupplýsingar um kvartanda sem tengdust persónuupplýsingarnar um kvartanda sem tengdust málinu hafi komið fram í umræddu á kynferðislegri áreitni eða kynferðislegu ofbeldi af hálfu kvartanda gagnvart viðkomandi. Í vettvangsathuguninni staðfesti borgarleikhússtjóri að hún hefði s jálf rætt við alla sex hlutaðeigandi einstaklinga og að þrír þeirra hafi verið starfsmenn hjá leikfélaginu á þeim tíma þegar við þá var rætt. Í vettvangsathuguninni var það jafnframt 5. Í úrsku rði stefnda er komist að þeirri niðurstöðu að Leikfélag Reykjavíkur hafi veitt stefnanda fullnægjandi upplýsingar um tilgang vinnslu persónuupplýsinga um hann hjá Leikfélaginu og viðtakendur þeirra, samkvæmt 2. og 3. tölul. 18. gr. þágildandi laga nr. 77/2 000 og 17. gr. núgildandi laga nr. 90/2018. Var úrskurðarorð Persónuverndar svohljóðandi: Vinnsla Leikfélags Reykjavíkur á persónuupplýsingum um A samrýmdist ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. sambærileg ákvæði laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Í forsendum úrskurðarins kemur nánar fram að Leikfélagið hafi ekki viljað greina kv artanda frá því hvaðan upplýsingarnar komu eða hvert væri efnislegt inntak þeirra, með vísan til 1. og 4. tölul. 18. gr. laga nr. 77/2000, að öðru leyti en því að upplýsingarnar fælu í sér kvartanir sem lytu að kynferðislegri áreitni af hálfu stefnanda. Þá telji Leikfélagið að nánari lýsing á efni upplýsinganna geti leitt til þess að stefnandi geti greint hverjir það voru sem lögðu fram kvartanir á hendur honum. Persónuvernd vísar í úrskurði sínum til 19. gr. laga nr. 77/2000, þar sem mælt var fyrir um unda ntekningar frá upplýsingarétti samkvæmt 18. gr. laganna. Samkvæmt 2. mgr. 19. gr. laganna hafi ákvæði 18. gr. laganna ekki átt við ef réttur hins skráða til vitneskju um vinnslu persónuupplýsinga um hann þóttu eiga að víkja að nokkru eða öllu leyti fyrir h agsmunum annarra. Sambærilegt ákvæði sé nú í 3. mgr. 17. gr. laga nr. 90/2018, sbr. einnig i - lið 1. mgr. 23. gr. reglugerðar (ESB) 2016/679, sem mæli fyrir um að framangreindur upplýsingaréttur hins skráða, samkvæmt 1. mgr. 15. gr. reglugerðarinnar, gildi ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum vega þyngra. Vísar Persónuvernd til athugasemda um 3. mgr. 17. gr. í frumvarpi að lögum nr. 90/2018. Um mat á því hvort einstaklingar þeir sem veittu Leikfélagi Reykjavíkur umræddar upplýsingar ha fi brýna hagsmuni af því að ekki verði greint frá því hverjir þeir séu og hvort þeir hagsmunir vegi þyngra en hagsmunir kvartanda segir síðan svo í úrskurði nefndarinnar: 4 Við það mat verður að líta til þess að upplýsingarnar voru veittar í trúnaði og trau sti þess að ekki yrði greint frá því hverjir þessir einstaklingar væru. Virðist það hafa verið forsenda þeirra sem veittu upplýsingarnar að þeim yrði ekki miðlað til annarra og því síður að upplýsingarnar yrðu gerðar opinberar. Eins og fram hefur komið hef ur upplýsingunum eingöngu verið miðlað, af hálfu Leikfélags Reykjavíkur, til þeirra sem komu að starfslokum kvartanda hjá leikfélaginu. Einnig skiptir máli, við þetta hagsmunamat, að upplýsingarnar eru mjög viðkvæms eðlis og fela í sér lýsingu viðkomandi e instaklinga á persónulegri upplifun þeirra af háttsemi kvartanda og samskiptum við hann. Er það mat Persónuverndar að þeir einstaklingar, sem um ræðir, geti haft brýna hagsmuni af því að trúnaðar sé gætt og að ekki verði greint frá því hverjir þeir séu. Að því virtu þarf að meta hvort brýnir hagsmunir þessara einstaklinga vegi þyngra en hagsmunir kvartanda. Í því sambandi skiptir máli að það er Leikfélag Reykjavíkur sem tók ákvörðun um meðferð upplýsinganna og um aðgerðir á grundvelli þeirra. Þá er það leik félagið sem ber skyldur gagnvart kvartanda, m.a. samkvæmt lögum nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, og reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum, en e kki hlutaðeigandi einstaklingar. Það heyrir ekki undir valdsvið Persónuverndar að meta hvort leikfélagið hafi í þessu máli farið að öðrum ákvæðum framangreindra laga og reglugerða en þeim sem varða vinnslu persónuupplýsinga. Hins vegar er það mat Persónuve rndar, eins og atvikum öllum er háttað í þessu máli og með hliðsjón af eðli umræddra upplýsinga, að hlutaðeigandi einstaklingar geti ekki verið látnir sæta því að sá trúnaður sem þeim var heitið af hálfu Leikfélags Reykjavíkur verði látinn víkja fyrir hags munum kvartanda sem varða ákvarðanir leikfélagsins en ekki viðkomandi einstaklinga. Það er ekki á valdsviði Persónuverndar að taka afstöðu til þess hvort Leikfélagi Reykjavíkur hafi verið heimilt að heita fyrrgreindum trúnaði. Með vísan til alls þess sem a ð framan er rakið og í samræmi við 3. mgr. 17. gr. laga nr. 90/2018, sbr. i - lið 1. mgr. 23. gr. reglugerðar (ESB) 2016/679, er það niðurstaða Persónuverndar að Leikfélagi Reykjavíkur sé ekki skylt, á grundvelli laganna og reglugerðarinnar, að veita kvartan da upplýsingar um uppruna skráðra persónuupplýsinga um hann í umræddu vinnuskjali borgarleikhússtjóra, sbr. 2. mgr. 19. gr. laga nr. 77/2000. Eins og atvikum er háttað verður þá jafnframt lagt til grundvallar að fullnægt sé skilyrðum 8. gr. laga nr. 90/201 8 um vinnslu upplýsinganna. Sérstakur kafli er í úrskurði stefnda um lagaskil þar sem segir m.a. svo: Um það hvort Leikfélag Reykjavíkur hafi farið að lögum í framangreindum samskiptum aðila fer eftir þágildandi lögum nr. 77/2000. Um rétt kvartanda til upplýsinga um vinnslu persónuupplýsinga um hann og rétt til þess að skráðar upplýsingar um hann séu réttar og áreiðanlegar, á þeim tíma þegar þessi úrskurður er kveðinn upp, gilda núgildandi lög nr. 5 90/2018 og hin almenna persónuverndarreglugerð Evrópu þin gsins og ráðsins (ESB) 2016/679, sem innleidd er í íslenskan rétt með hinum nýju lögum. Ákvæði núgildandi og þágildandi löggjafar um það álitaefni sem hér er til umfjöllunar eru að miklu leyti sambærileg en þó hefur upplýsingaréttur hins skráða breyst úr þ ví að vera réttur vitneskju í að vera réttur til aðgangs. Hvað varðar rétt hins skráð til upplýsinga um uppruna upplýsinga var kveðið á um það í 4. tölulið 1. mgr. 18. gr. eldri laga nr. 77/2000 að hann ætti rétt á vitneskju um hvaðan upplýsingarnar kæmu e n í 1. mgr. 15. gr. reglugerðar (ESB) 2016/679, sbr. 2. mgr. 17. gr. núgildandi laga nr. 90/2018, er kveðið á um rétt hins skráða til þess að fá allar fyrirliggjandi upplýsingar um uppruna þeirra persónuupplýsinga um hann sem unnið er með. Þá var kveðið á um það í 2. mgr. 19. gr. laga nr. 77/2000 að ákvæði 18. gr. laganna ættu ekki við ef réttur hins skráða þætti eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra. Í 3. mgr. 17. gr. núgildandi laga nr. 90/2018 segir að ákvæði 15. gr. reglugerðarinnar g ildi ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum vega þyngra. Loks eru meginreglur 1. og 4. tölul. 8. gr. núgildandi laga nr. 90/2018, um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti og að þær séu áreiðanle gar og uppfærðar eftir þörfum, sama efnis og meginreglur 1. og 4. töluliða 7. gr. eldri laga nr. 77/2000. Að framangreindu virtu er það mat Persónuverndar að þær röksemdir og þau sjónarmið, færð hafa verið fram af hálfu málsaðila, eigi við um ákvæði núgild andi laga eins og ákvæði III. 1. Helstu málsástæður og lagarök stefnanda Kröfu sína um að úrskurður Persónuverndar verði ógiltur með dómi byggir stefnandi á þeirri málsástæðu að hann eigi rétt á því að fá allar upplýsingar um mál hans hjá Leikfélagi Reykjavíkur og þar með aðgang að þeim gögnum og upplýsingum sem Leikfélagið haf i undir höndum og varða persónu hans. Stefnandi tekur fram að ekki sé ágreiningur um að Leikfélaginu hafi verið heimilt að skrá upplýsingar um stefnanda, sbr. 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga um persónuvernd og vinnslu persónuupp lýsinga. Hann geti hins vegar ekki fallist á að hann eigi ekki rétt á aðgengi að þeim upplýsingum sem um hann eru skráðar. Úrskurður stefnda byggist á því að hagsmunir þeirra sem kvörtuðu yfir háttsemi stefnanda, og lofað var nafnleynd af hálfu Leikfélag sins, vegi þyngra en hagsmunir stefnanda af því að fá þær upplýsingar sem eru til hjá Leikfélaginu og varða stefnanda og urðu þess valdandi að hann missti starf sitt og æru. Úrskurður Persónuverndar sé byggður á 3. mgr. 17. gr. laga nr. 90/2018, sem mæli f yrir um heimild til að takmarka aðgang að upplýsingum ef brýnir hagsmunir einstaklinga sem tengjast upplýsingunum, þar á meðal hins skráða sjálfs, vega þyngra. Stefnandi byggir á því að ákvæðið sé undantekning frá þeirri meginreglu sem komi fram í 1. mgr. ákvæðisins, þar sem segi að 6 ábyrgðaraðili skuli gera viðeigandi ráðstafanir til að tryggja gagnsæi upplýsinga og tilkynningar til skráðs einstaklings svo að hann geti neytt upplýsingaréttar síns og réttar til aðgangs. Reglan sé einnig áréttuð í 2. mgr. lag agreinarinnar, sem tryggi hinum skráða rétt til upplýsinga. Stefnandi telur að röksemdafærsla Persónuverndar gangi ekki upp, og það leiði til þess að úrskurður hennar byggist á ólögmætum grundvelli, sbr. eftirfarandi röksemdir. Í fyrsta lagi geri reglu gerð nr. 1009/2015 um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum ekki ráð fyrir kvörtun undir nafnleynd. Af því leiði að í slíkum málum geti hagsmunir kvartenda af nafnleynd aldrei orðið meiri en þess sem kv örtun beinist að. Í öðru lagi hafi loforð Leikfélags Reykjavíkur um nafnleynd aldrei haft nein réttaráhrif, þar sem reglur nr. 1009/2015 heimili ekki að slíkt loforð sé gefið. Það geti ekki komið í veg fyrir aðgang stefnanda að upplýsingunum. Leikfélagin u hafi borið að upplýsa kvartendur um að nafnleynd væri ekki í boði og upplýsa viðkomandi um að ef vinna ætti með upplýsingarnar fengi stefnandi aðgang að þeim. Að öðrum kosti væri ekki hægt að bregðast við þeim og vinna með þær. Í þriðja lagi mótmælir s tefnandi því að hagsmunir þeirra sem báru hann sökum um meinta kynferðislega áreitni vegi þyngra en réttindi hans sjálfs til að fá upplýsingarnar. Loforð Leikfélagsins um trúnað hafi ekki verið í samræmi við reglugerð nr. 1009/2015. Því hafi stefnda verið óheimilt að leggja loforðið til grundvallar niðurstöðu sinni með þeim hætti sem gert var í úrskurðinum, þ.e. að hlutaðeigandi einstaklingar yrðu ekki látnir sæta því að trúnaður sem þeim var heitið yrði látinn víkja fyrir hagsmunum stefnanda. Hafi stefndi komist að þessari niðurstöðu með þeirri athugasemd að það sé ekki á valdsviði stefnda að taka afstöðu til þess hvort Leikfélaginu hafi verið heimilt að heita þessum trúnaði. Að mati stefnanda sé augljóst að svo hafi ekki verið og því beri að fella úrskurði nn úr gildi. Í fjórða lagi byggir stefnandi á því, verði fallist á niðurstöðu stefnda um að hagsmunir kvartenda vegi þyngra en hagsmunir stefnanda, að stefnda hafi borið, eftir að staðreyndir málsins lágu fyrir, að komast að þeirri niðurstöðu að móttaka og vinnsla upplýsinganna hefði verið ólögmæt og leggja fyrir Leikfélagið að eyða öllum gögnum um málið. Stefnandi hafi ekki getað byggt á því í kvörtun sinni, þar sem á þeim tíma þegar hann lagði fram kvörtun til stefnda hafi engar upplýsingar legið fyrir um það hvort einhver gögn væru fyrir hendi. Við munnlegan flutning málsins tók stefnandi fram að það væri rangt sem haldið væri fram í greinargerð stefnda að upplýsingum um hann hefði ekki verið miðlað, enda hefði alþjóð vitað um hvað mál hans snerist. Þ á hafi Leikfélag Reykjavíkur tekið ákvarðanir sem snertu stefnanda á grundvelli upplýsinganna, enda hafi hann misst starf sitt og æru. Þá hafi stefnandi verið sviptur þeim grundvallarrétti að geta dregið 7 upplýsingarnar í efa. Loks tók stefnandi fram að ekk i hefði verið um að ræða nafnlausar ábendingar heldur hefðu þær verið undir nafni og stefnandi hefði ekki fengið að vita hvers eðlis þær væru eða frá hverjum þær kæmu. Þessu mætti ekki rugla saman við nafnlausar ábendingar og ákvæði 29. gr. tilskipunar ESB um innra uppljóstrunarkerfi í fjármálageiranum sem ættu ekki við í málinu. Þá væru málsmeðferðarreglur reglugerðar nr. 1009/2015 alveg skýrar, þar sem ekki væri gert ráð fyrir þeirri leynd sem Leikfélagið hefði staðið fyrir. Hafi nafnleynd verið útilokuð eftir að Leikfélagið hafði tekið ákvörðun um að sögurnar hefðu afleiðingar fyrir stefnanda. 2. Helstu málsástæður og lagarök stefnda Stefndi telur að úrskurður hans sé í samræmi við lög og að ekkert tilefni sé til ógildingar hans eða að stoð sé fyrir kröfum stefnanda. Byggir stefndi á sömu málsástæðum og fram koma í úrskurði Persónuverndar. Telur stefndi að Leikfélaginu hafi ekki verið skylt að veita stefnanda upplýsingar um uppruna umræddra persónuupplýsinga um hann í vinnuskjali borgarleikhússtjóra og það hafi verið rétt mat að nákvæmari lýsing á efni upplýsinganna gæti leitt til þess að kvartandi gæti, eftir atvikum, greint um hvaða e instaklinga væri að ræða. Leikfélaginu hafi því ekki verið skylt að veita kvartanda aðgang að vinnuskjali borgarleikhússtjóra eða nákvæmari lýsingu á efni þess. Hafi Leikfélagið því rækt skyldu sína gagnvart stefnanda samkvæmt persónuverndarlöggjöfinni. St efndi bendir á að meginreglur persónuverndarlöggjafarinnar, um aðgang hins skráða að upplýsingum sem hann varða, byggist ekki alfarið á sömu sjónarmiðum og reglur um aðgang að upplýsingum á grundvelli stjórnsýslulaga og upplýsingalaga. Rétturinn til aðgang s á grundvelli persónuverndarlöggjafar byggist fyrst og fremst á þeim sjónarmiðum að hann sé nauðsynlegur til að tryggja gagnsæi vinnslu gagnvart hinum skráða og til þess að hinn skráði geti neytt annarra réttinda sinna samkvæmt persónuverndarlöggjöfinni. Þetta eigi t.d. við um rétt hins skráða til þess að persónuupplýsingar hans séu áreiðanlegar og uppfærðar eftir þörfum og að upplýsingum sem séu óáreiðanlegar eða ófullkomnar miðað við tilgang og vinnslu þeirra skuli eytt eða þær leiðréttar án tafar. Þetta eigi einnig við um réttinn til þess að upplýsingar um hinn skráða séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu, að þær séu ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, réttinn til að andmæla vinnslu, r éttinn til eyðingar upplýsinga sem ekki er lengur nauðsynlegt að varðveita og réttinn til flutnings eigin gagna. Þegar stefndi meti rétt hins skráða til aðgangs að skráðum upplýsingum um hann á grundvelli persónuverndarlöggjafarinnar sé því fyrst og fremst litið til framangreindra sjónarmiða. 8 Hins vegar verður ekki litið fram hjá því að réttur hins skráða til þess að skráðar upplýsingar um hann séu réttar og áreiðanlegar byggist meðal annars á því að slíkt skipti máli þegar ákvarðanir eru teknar sem varða v iðkomandi einstakling á grundvelli upplýsinganna. Stefndi byggir einnig á því að málsástæða stefnanda um að hann hafi hagsmuni af því að fá aðgang að umbeðnum upplýsingum heyri ekki undir valdsvið stefnda. Telur stefndi að þessi málsástæða lúti að því hvor t sá rökstuðningur sem lagður var til grundvallar ákvörðun um uppsögn stefnanda hafi verið fullnægjandi. Þann ágreining verði stefnandi að eiga við Leikfélag Reykjavíkur. Stefndi telur að stefnandi hafi fengið þær upplýsingar sem hann óskaði eftir, aðrar en upplýsingar um það frá hverjum ásakanirnar væru, og hvers eðlis þær væru. Hann hafi fengið upplýsingar um að þær vörðuðu meinta kynferðislega áreitni af hans hálfu og meint kynferðislegt ofbeldi gagnvart viðkomandi einstaklingum. Það sé því rangt að ste fnandi hafi verið sviptur með öllu rétti til aðgangs að upplýsingum um hann sjálfan. Stefndi telur að stefnandi eigi ekki rétt á tæmandi upplýsingum um málið og þar með aðgangi að öllum gögnum og upplýsingum um hann sem Leikfélag Reykjavíkur hafi undir hö ndum, sbr. undanþáguákvæði 2. mgr. 19. gr. laga nr. 77/2000 og 3. mgr. 17. gr. laga nr. 90/2018, sbr. i - lið 1. mgr. 23. gr. reglugerðar (ESB) 2016/679. Þá tekur stefndi fram að mjög takmarkaðar leiðbeiningar komi fram í reglugerð nr. 1009/2015 um það hvern ig fara beri með þessar upplýsingar. Stefndi vísar til 2. mgr. 17. gr. laga nr. 90/2018 um rétt hins skráða til upplýsinga um vinnslu persónuupplýsinga samkvæmt fyrirmælum 13. 15. gr. reglugerðar (ESB) 2016/679. Í 14. gr. reglugerðarinnar eru ákvæði um up plýsingar sem beri að veita hinum skráða hafi persónuupplýsingar ekki verið fengnar hjá honum sjálfum, og segir í f - lið þeirrar greinar að í slíkum tilvikum skuli skýra hinum skráða frá því hvaðan persónuupplýsingar eru fengnar að því marki sem nauðsynlegt sé til að tryggja sanngjarna og gagnsæja vinnslu. Í 15. gr. reglugerðarinnar er kveðið á um rétt skráðs einstaklings til aðgangs að upplýsingum hjá ábyrgðaraðila um vinnslu persónuupplýsinga um sig. Samkvæmt g - lið 1. mgr. þeirrar greinar falli þar undir r éttur til aðgangs að öllum fyrirliggjandi upplýsingum um uppruna persónuupplýsinganna sem unnið er með. Í 3. mgr. 17. gr. laga nr. 90/2018 sé hins vegar kveðið á um að 1. 4. mgr. 14. gr. og 15. gr. reglugerðarinnar gildi ekki ef brýnir hagsmunir einstaklin ga tengdir upplýsingunum vega þyngra en réttur hins skráða til fræðslu og aðgangs. Af þessu ákvæði má ljóst vera að persónuverndarlögin koma ekki í veg fyrir að einstaklingum sem vilja koma á framfæri upplýsingum um háttsemi annarra einstaklinga sé heitið nafnleynd. Hins vegar geti fyrirheit um nafnleynd ekki verið án fyrirvara um framangreint hagsmunamat. Vegast þá á hagsmunir þess sem veitir upplýsingarnar af nafnleynd og hagsmunir hins skráða af því að fá vitneskju um hvaðan upplýsingarnar koma. 9 Stefndi tekur fram að í samræmi við framkvæmd og úrlausnir stefnda þá sé ekki unnt að tryggja að upplýsingar sem veittar séu með nafnlausum ábendingum séu áreiðanlegar í samræmi við 4. tölulið 1. mgr. 8. gr. laga nr. 90/2018, sbr. 4. tölulið 1. mgr. 7. gr. laga nr . 77/2000. Við slíka framkvæmd geti reynst ómögulegt að fylgja ábendingum eftir með frekari fyrirspurnum og hætta geti skapast á að einstaklingar geti, í skjóli nafnleysis, sent ábendingar til þess að koma höggi á aðra. Sérstakrar varúðar beri að gæta í þe ssum efnum þegar ábendingar varði meint brot á lögum og reglum. Slíkar ábendingar geti haft í för með sér alvarlegar afleiðingar fyrir þá sem bent er á, jafnvel þótt þær eigi ekki við rök að styðjast . Stefndi hefur einnig talið að nafnlausar ábendingar upp fylli almennt ekki grunnkröfu persónuverndarlaga um lögmæta, sanngjarna og gagnsæja vinnslu persónuupplýsinga gagnvart hinum skráða, sbr. 1. tölulið 1. mgr. 8. gr. laga nr. 90/2018, sbr. og 1. tölulið 1. mgr. 7. gr. laga nr. 77/2000. Það fyrirkomulag að he imila nafnlausar ábendingar komi enda í veg fyrir að hinn skráði geti notið réttinda samkvæmt framangreindum ákvæðum 17. gr. laga nr. 90/2018 og 14. og 15. gr. reglugerðar (ESB) 2016/679. Hins vegar getur verið heimilt, á grundvelli persónuverndarlöggjafar innar að heita þeim sem veita upplýsingar um aðra einstaklinga nafnleynd, sem ekki verði aflétt nema að nánar tilgreindum skilyrðum uppfylltum. Með því mæla ýmis rök, til dæmis að sá sem ábending eða kvörtun varðar geti ekki hefnt sín á þeim sem upplýsinga r veitir. Vísar stefndi í þessu sambandi til leiðbeininga 29. gr. fjármálageiranum. Stefndi bend ir á að almennt standi ríkir hagsmunir til þess að nafnleyndar sé gætt fyrir þá sem veita upplýsingar sem lúta að broti á lögum og reglum, þar sem veita þarf öruggt umhverfi fyrir þá sem vilja koma slíkum upplýsingum á framfæri. Sömu sjónarmið geti átt við þegar yfirmanni á vinnustað eru veittar upplýsingar um meinta háttsemi starfsmanns. Við vinnslu persónuupplýsinga sem þannig berist þurfi þá að gæta að hagsmunum allra hlutaðeigandi aðila, þ.e. þeirra sem veita upplýsingar, þeirra sem upplýsingarnar varða og annarra sem kunna að eiga hlut að máli, svo sem vitna. Í framangreindum leiðbeiningum og áliti 29. gr. vinnuhópsins kemur fram að við slíkar aðstæður sé æskilegast að sett hafi verið lög eða reglur um það hvernig skuli fara með þær upplýsingar sem þann ig berast, til þess að auka fyrirsjáanleika og gagnsæi gagnvart öllum aðilum. Geta það verið almennar reglur eða reglur sem t.d. tiltekin stofnun setur sér um hvernig skuli farið með slíkar upplýsingar. Þar sem skýrum reglum sé ekki fyrir að fara þurfi hin s vegar að styðjast við fyrrgreint hagsmunamat (hagsmunir hins skráða gagnvart hagsmunum þeirra sem upplýsingar veita), með hliðsjón af ákvæðum persónuverndarlaga og atvikum öllum. 10 Í fyrrnefndum leiðbeiningum 29. gr. vinnuhópsins er fjallað um uppljóstruna rkerfi á vinnustöðum. Er þar áréttað mikilvægi þess að þar sem slík kerfi séu fyrir hendi sé trúnaðar gætt um upplýsingar sem berist í gegnum kerfin og um auðkenni þeirra sem veiti upplýsingar. Trúnaðar um auðkenni þeirra sem veita upplýsingar í góðri trú skuli gætt til hins ýtrasta, meðal annars til þess að vernda þá gegn hefndum. Trúnaði skuli þá ekki aflétt nema í eftirtöldum undantekningatilvikum: ef uppljóstrari heimilar það, ef það er skylt á grundvelli laga við meðferð sakamáls í kjölfar uppljóstruna r, eða ef uppljóstrari hefur vísvitandi veitt rangar upplýsingar, og er það þá á ábyrgð þess aðila sem tekur við upplýsingunum að sanna að viðkomandi hafi vísvitandi veitt rangar upplýsingar auk þess sem aðeins má veita dómstólum upplýsingar um það hver up pljóstrari er. Telur stefndi að hafa megi þau sjónarmið sem fram koma í leiðbeiningum 29. gr. vinnuhópsins til hliðsjónar í þessu máli þótt atvik hafi ekki verið með þeim hætti að veittar hafi verið ábendingar í gegnum einhvers konar uppljóstrunarkerfi. Me ðal annars með hliðsjón af þessum leiðbeiningum er það mat stefnda að í tilvikum eins og í máli stefnanda þurfi að gæta að trúnaði gagnvart þeim sem veittu upplýsingar til þess að vernda þá gegn hvers konar óþægindum. Þá megi einnig líta til leiðbeiningann a um hugsanleg tilvik sem heimili að trúnaði sé aflétt. Taldi því stefndi ekki á sinni hendi að kveða á um að trúnaði skyldi aflétt um auðkenni þeirra sem veittu upplýsingar um stefnanda. Stefndi byggir einnig á því að það hafi ekki verið stefnda að taka afstöðu til þess hvort ákvæði laga og reglna, sem giltu um annað en meðferð persónuupplýsinga, heimiluðu eða kæmu í veg fyrir að Leikfélag Reykjavíkur héti trúnaði við þær aðstæður sem uppi voru. Hlutverk stefnda hafi enda einungis verið að leysa úr því hv ort þessum trúnaði skyldi aflétt með vísan til aðgangsréttar stefnanda á grundvelli persónuverndarlaga. Um eyðingu gagna málsins vísar stefndi til skyldu Leikfélags Reykjavíkur til að skrá upplýsingarnar á grundvelli reglugerðar nr. 1009/2015 og þar með he imildar Leikfélagsins til skráningar upplýsinganna á grundvelli persónuverndarlaga. Telur stefndi að vinnsla persónuupplýsinga um stefnanda samrýmist grunnkröfum persónuverndarlaganna, m.a. að þær séu nægjanlega áreiðanlegar sem upplýsingar um upplifun þei rra einstaklinga sem upplýsingarnar veittu. Ekki hafi hins vegar verið fjallað um eyðingu upplýsinganna í úrskurði stefnda. IV. 1 Um rétt stefnanda til aðgangs að upplýsingum um vinnslu persónuupplýsinga sem skráðar voru um hann í minnisblaði Leikfélags R eykjavíkur í desember árið 2017, og um rétt hans til þess að skráðar upplýsingar um hann sem þar koma fram séu réttar og 11 áreiðanlegar, gilda nú lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og hin almenna persónuverndarreglugerð Evrópuþingsi ns og ráðsins (ESB) 2016/679, sem öðluðust gildi 15. júlí 2018, sbr. 53. gr. laga nr. 90/2018. Frá sama tíma féllu úr gildi lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Engin lagaskil sem hér skipta máli voru ákveðin í fyrrgreindum lögum. 2 Samskipti aðila hófust með kvörtunarbréfi stefnanda til stefnda, dags. 2. mars 2018, er eldri lög voru enn í gildi. Í úrskurði Persónuverndar frá 16. október 2018 er á því byggt að núgildandi og þágildandi löggjöf sé að miklu leyti sambærileg um það áli taefni sem hér er til umfjöllunar. Af forsendum úrskurðarins má ráða að niðurstaða hans er a.m.k. að hluta til byggð á núgildandi löggjöf og virðist þá fyrrgreind forsenda um sambærileika laganna vera lögð til grundvallar. Þar sem sérstakar lagaskilareglu r er ekki að finna í lögum nr. 90/2018 verður að miða við að sömu réttarreglur gildi um samskipti þeirra sem málið varðaði með hliðsjón af réttindum þeirra og skyldum allan þann tíma sem mál þeirra var til meðferðar hjá stefnda. Önnur viðmiðun um þetta atr iði gæti leitt til afturvirkni lagareglna með hliðsjón af hugsanlegum skyldum viðkomandi aðila. Ber því að dæma mál þetta á grundvelli þágildandi laga nr. 77/2000, en með þeim lögum var innleidd tilskipun Evrópuþingsins og Ráðsins 95/46/EB frá 24. október 1995 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun . 3 Í 3. gr. þágildandi laga nr. 70/2000, um persónuvernd og meðferð persónuupplýsinga, segir að lögin gildi um sérhverja rafræna vinnslu persónuupplýsinga. Þau gildi einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Samkvæmt 1. mgr. 37. gr., sbr. 1. mgr. 36. gr.. laganna skyldi sjálfstæð stofnun, Persónuvernd, annast eftirlit með framkvæmd laganna og reglna settra samkvæmt þeim. Sa mkvæmt 2. mgr. 37. gr. laganna skyldi Persónuvernd úrskurða í ágreiningsmálum sem upp kynnu að koma um vinnslu persónuupplýsinga á Íslandi hvort sem íslensk lög eða lög annars ríkis giltu um vinnsluna. Persónuvernd gat einnig fjallað um einstök mál að eigi n frumkvæði eða samkvæmt erindi þess sem taldi að ekki hefði verið unnið með persónuupplýsingar um hann í samræmi við lögin og reglur sem settar voru samkvæmt þeim eða einstök fyrirmæli. Þá var mælt fyrir um það í 2. tölulið 3. mgr. 37. gr. laganna að verk efni Persónuverndar væru m.a. að hafa eftirlit með því að farið væri að lögum og öðrum reglum um vinnslu persónuupplýsinga og að bætt væri úr annmörkum og mistökum. Samkvæmt 38. gr. gat Persónuvernd krafið ábyrgðaraðila, vinnsluaðila og þá sem störfuðu á þeirra vegum um allar þær upplýsingar og skriflegar skýringar sem henni væru 12 nauðsynlegar til þess að rækja hlutverk sitt, þar á meðal þær upplýsingar sem hún þyrfti til að geta metið hvort tiltekin starfsemi eða vinnsla félli undir ákvæði laganna. Einnig gat Persónuvernd kvatt ábyrgðaraðila, vinnsluaðila og þá sem störfuðu á þeirra vegum á sinn fund til að veita munnlegar upplýsingar og skýringar varðandi tiltekna vin nslu persónuupplýsinga. 4 Kveðið var á um rétt til almennrar vitneskju um vinnslu persónuupplýsinga í 16. gr. laga nr. 77/2000 þar sem mælt var fyrir um að ábyrgðaraðila væri skylt að veita hverjum sem þess óskaði almenna vitneskju um þá vinnslu persónuupp lýsinga sem fram færi á hans vegum. Þeim sem þess óskaði skyldi enn fremur, að því er varðaði tiltekna tegund vinnslu, veitt vitneskja um nánar tilgreind atriði, m. a. skilgreiningu og aðra lýsingu á þeim tegundum persónuupplýsinga sem unnið væri með og hv aðan upplýsingar kæmu. Hinn skráði hafði að auki sérstakan upplýsingarétt frá ábyrgðaraðila samkvæmt 1. mgr. 18. gr. laganna. Hinn skráði átti þannig m.a. rétt á að fá frá ábyrgðaraðila vitneskju um: 1. hvaða upplýsingar um hann er eða hefur ver ið unnið með; 2. tilgang vinnslunnar; 3. hver fær, hefur fengið eða mun fá upplýsingar um hann; 4. hvaðan upplýsingarnar koma; Sá réttur var þó ekki án takmarkana því að í 2. mgr. 19. gr. laganna sagði að á kvæði 18. gr. lagan na ætti ekki við ef réttur hins skráða samkvæmt því ákvæði þætti eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra eða hans eigin. Skyldi þá m.a. tekið tillit til heilsu hins skráða og hagsmuna venslamanna hans. Um var að ræða matskennd ákvæði þar s em vógust á annars vegar hagsmunir hins skráða og hagsmunir einstaklinga sem tengdir voru upplýsingunum. Í athugasemdum um 19. gr. í frumvarpi að þágildandi lögum nr. 77/2000 sagði m.a. að hér væri fyrst og fremst átt við hagsmuni sem tengdust heilsu hins skráða eða sambandi hans við þá einstaklinga sem stæðu honum næst. Þá var í 3. mgr. 19. gr. tekið fram að réttur hins skráða til að fá vitneskju samkvæmt ákvæðum 18. gr. næði ekki til upplýsinga sem væru undanþegnar aðgangi samkvæmt upplýsinga - eða stjórns ýslulögum. 5 Í málinu er ekki ágreiningur um heimild Leikfélags Reykjavíkur til vinnslu persónuupplýsinga um stefnanda samkvæmt ákvæðum 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Ágreiningur málsaðila afmarkast við það álitaefn i hvort stefnandi eigi á grundvelli gildandi laga rétt til aðgangs að skráðum gögnum og upplýsingum sem Leikfélag Reykjavíkur hafi undir höndum og hvort það falli undir 13 valdsvið stefnda að leggja mat á hagsmuni stefnanda af aðgangi að umbeðnum upplýsingum hjá Leikfélaginu. Byggir stefnandi m.a. á því að úrskurður stefnda sé ólögmætur að því leyti að reglugerð nr. 1009/2015 um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum geri ekki ráð fyrir kvörtun undir nafnley nd. 6 Lög nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, með síðari breytingum, gilda um alla starfsemi þar sem einn eða fleiri menn vinna, hvort sem um er að ræða eigendur fyrirtækja eða starfsmenn, sbr. 2. gr. Í II. kafla reglugerðar n r. 1009/2015, sem sett er með stoð í þeim lögum, er mælt fyrir um skyldur atvinnurekanda við meðferð máls. Í 1. mgr. 7. gr. segir m.a. að atvinnurekandi skuli bregðast við eins fljótt og kostur er þegar honum berst kvörtun eða ábending um kynferðislega áre itni. Segir að atvinnurekandi skuli meta aðstæður í samvinnu við vinnuverndarfulltrúa vinnustaðarins, eftir því sem við á, og utanaðkomandi aðila ef með þarf. Skal atvinnurekandi jafnframt tryggja að við matið sé hlutaðeigandi starfsmönnum gefinn kostur á að koma sínum sjónarmiðum á framfæri. Í 4. mgr. 7. gr. er mælt fyrir um að atvinnurekandi skuli skrá niður allt sem tengist meðferð máls og halda hlutaðeigandi starfsmönnum sem og vinnuverndarfulltrúa vinnustaðarins upplýstum meðan á meðferðinni stendur, m eðal annars með því að veita þeim aðgang að öllum upplýsingum og gögnum í málinu, að teknu tilliti til laga um persónuvernd og meðferð persónuupplýsinga. 7 Vinnsla persónuupplýsinga samkvæmt lögum um persónuvernd getur eftir atvikum skarast við gildissvið annarra laga, svo sem upplýsingalaga og stjórnsýslulaga. Þetta á eftir atvikum einnig við um önnur lög, eins og lög nr. 46/1980 um aðbúnað, hollustuhætti og öryggi á vinnustöðum og reglugerðir settar samkvæmt þeim. Dómurinn telur að lög um persónuvernd ta kmarki ekki þann rétt sem viðkomandi kann að eiga samkvæmt slíkum sérlögum enda fær það stoð í fyrrgreindum 2. tölulið 3. mgr. 37. gr. laga nr. 7 7 /2000. Að því sögðu telur dómurinn að Persónuvernd beri við beitingu og skýringu laga um persónuvernd og vinnslu persónuupplýsinga að tryggja að viðkomandi fái notið fulls réttar síns varðandi aðgang að persónuupplýsingum þó að slíkur réttur verði einungis eða að hluta til studdur við slík sérlög. 8 Kemur þá til skoðunar hvort stefndi hafi gætt allra lagaskilyrða er hann kvað á um aðgang stefnanda að upplýsingum í úrskurði sínum frá 16. október 2018, og þá sérstaklega hvort sú ákvörðun stefnda að hafna k röfu stefnanda hafi hvílt á lögmætum og málefnalegum sjónarmiðum. Eins og fyrr greinir telur stefndi það hvorki heyra undir 14 valdsvið sitt að meta hvort Leikfélag Reykjavíkur hafi við meðferð máls stefnanda farið að öðrum lögum og reglum sem varða vinnslu u pplýsinga en lögum um persónuvernd né sé það á valdi stefnda að taka afstöðu til þess hvort Leikfélaginu hafi verið heimilt að heita trúnaði við söfnun upplýsinga. 9 Hér að framan hefur dómurinn komist að þeirri niðurstöðu að við úrlausn máls þessa beri e inungis að leggja þágildandi lög nr. 77/2000 til grundvallar niðurstöðu. Það var ekki gert við meðferð málsins hjá stefnda, heldur var hinum nýju lögum beitt að talsverðu marki. Telur dómurinn að það teljist ágalli á málsmeðferðinni, jafnvel þó að þau ákvæ ði hinna eldri laga nr. 77/2000 og yngri laga nr. 90/2018 í máli þessu kunni að vera sambærileg í mörgum atriðum. Þá er hér áður gerð grein fyrir því að stefnda hafi borið við úrskurð í máli þessu að beita öllum þeim íslenskum réttarheimildum sem hér koma við sögu, og þar á meðal lögum nr. 46/1980 og reglugerð nr. 1009/2015 ef því var að skipta. Í því felst m.a. að stefnda bar við úrlausn málsins að úrskurða um það hvort loforð leikhússtjóra Leikfélags Reykjavíkur um nafnleynd stæðist íslensk lög. Hinn umde ildi úrskurður Persónuverndar er að þessu leyti haldinn verulegum ágöllum sem leiða til ógildingar hans. 10 Að virtu því sem að framan greinir er það niðurstaða dómsins að meðferð stefnda á máli stefnanda sé haldin slíkum ágöllum að óhjákvæmilegt sé að fe lla úrskurð stefnda úr gildi. Eftir úrslitum málsins og með vísan til 1. mgr. 130. gr. laga nr. 91/1991 um meðferð einkamála ber stefnda að greiða stefnanda 900.000 krónur í málskostnað. Einar Þór Sverrisson lögmaður flutti málið af hálfu stefnanda. Ei nar Karl Hallvarðsson lögmaður flutti málið af hálfu stefnda. Ragnheiður Snorradóttir héraðsdómari kveður upp dóm þennan. Dómsorð: Felldur er úr gildi úrskurður stefnda, Persónuverndar í máli stefnanda, A , mál nr. 2018/538 frá 16. október 2018. Stefnda ber að greiða stefnanda 900.000 krónur í málskostnað. Ragnheiður Snorradóttir