Hélt að þrettán manns hefðu séð lykil­orðið hennar

Konan kærði málið til Persónuverndar í janúar 2024 og taldi sig hafa sætt ólögmætri rafrænni vöktun í gegnum Microsoft-hugbúnað sem kallast Delve. Delve sýndi notendum yfirlit yfir skjöl sem þeir höfðu aðgang að, bæði þeirra eigin og önnur sem hafði verið deilt með þeim og fylgdi hverju skjali svokölluð áhorfstala.

Töldu aðeins konuna hafa opnað skjalið

Konan taldi að þessi áhorfstala segði til um hversu margir aðrir en hún sjálf hefðu skoðað skjölin hennar. Þegar hún sá að skjal á skjáborðinu hennar, sem geymdi lykilorð hennar, hafði verið opnað þrettán sinnum, dró hún þá ályktun að þrettán samstarfsmenn hefðu séð lykilorðið. Persónuvernd komst hins vegar að öndverðri niðurstöðu því talan segði til um hve oft það hefði verið opnað, þar með talið af eiganda skjalsins. Ekkert benti til þess að nokkur annar en konan hefði opnað það.

Sami misskilningur virðist hafa legið til grundvallar öðrum þáttum kvörtunarinnar. Konan taldi að allt sem hún vistaði á skjáborði sínu færi sjálfkrafa inn á „sameiginlegt OneDrive“ fyrirtækisins sem samstarfsfólk gæti flett í gegnum, þar á meðal læknisvottorð með viðkvæmum persónuupplýsingum, starfsmannasamtöl og launaseðlar.

Persónuvernd fann engin gögn sem bentu til þess að slíkt sameiginlegt drif væri yfirhöfuð til heldur aðeins persónulegt OneDrive sem hverjum starfsmanni var úthlutað með aðgangsstýringum sem sýndu að hópurinn „allir“ hefði engar virkar heimildir að skjáborði hennar.

Skjalinu líklega deilt með konunni

Meðal gagna sem konan kom til persónuverndar máli sínu til stuðnings var mynd af notendaprófíl samstarfskonu hennar í Delve. Þar mátti sjá tilvísun í skjal á OneDrive samstarfskonunnar. Konan taldi þetta sönnun þess að aðgangsstýringar væru í ólagi.

Persónuvernd benti á að Delve sýndi eingöngu skjöl sem notandinn sjálfur hefði aðgang að. Þannig sannaði myndin fyrst og fremst að konan sjálf hefði fengið aðgang að skjali samstarfskonunnar. Því hefði að líkindum verið deilt með henni.

Persónuvernd taldi ósannað að BL hefði viðhaft rafræna vöktun eða að samstarfsfólkið hefði séð persónuupplýsingar. Þá taldi stofnunin að BL hefði sýnt fram á að aðgangsstýringar hefðu tryggt viðunandi öryggi persónuupplýsinga í samræmi við lög um persónuvernd.