Leiðbeinandi svar um ábyrgð á upplýsingakerfinu Innu

Reykjavík, 17. júlí 2024
Tilvísun: 2022061010/ÞS

Efni: Leiðbeinandi svar um ábyrgð á einstökum kerfisþáttum í upplýsingakerfinu Innu

1 Persónuvernd vísar til fyrri samskipta um ábyrgð á upplýsingakerfinu Innu. Hefur hún ekki að öllu leyti legið ljós fyrir og taldi Persónuvernd þörf á að bæta þar úr, m.a. í ljósi þess hversu margra einstaklinga upplýsingakerfið tekur til og hversu víðfeðm notkun þess er.

2 Í ljósi þessa sendi Persónuvernd mennta- og barnamálaráðuneytinu bréf, dags. 7. júní 2022, þar sem óskað var skýringa og gagna varðandi ábyrgð á kerfinu. Óskað var eftir framlengingum á svarfresti, síðast í tölvupósti frá ráðuneytinu 24. ágúst s.á., og var þá frestur veittur til 8. september s.á. Ekki hafði þá borist svar og var erindi Persónuverndar til ráðuneytisins því ítrekað með bréfi, dags. 30. júní 2023, en jafnframt var bréfinu beint til Menntamálastofnunar, nú Miðstöðvar menntunar og skólaþjónustu, og Advania Íslands ehf. Var þess óskað að þessir þrír aðilar veittu sundurliðað svar, þ.e. að fjallað yrði um:

1. Kennslukerfi Innu.
2. Innritunargátt framhaldsskóla sem fyrir liggur að hýst er í Innu.
3. Skólakerfi Innu.
4. Eftir atvikum aðrar kerfiseiningar sem kynnu að vera vistaðar í Innu.

3 Frá Advania Íslandi ehf. barst svar, dags. 15. ágúst 2023, en ekki bárust svör frá Menntamálastofnun og mennta- og barnamálaráðuneytinu. Var því erindi Persónuverndar til þessara aðila ítrekað með bréfum, dags. 2. nóvember og 21. desember s.á., svo og í tölvupósti 15. janúar 2024, en engin svör bárust. Persónuvernd telur ekki tilefni til frekari ítrekana og verður hér gefið leiðbeinandi svar um ábyrgð á einstökum hlutum tengdum Innu á grundvelli fyrirliggjandi gagna, þ. á m. áðurnefnds svars Advania Íslands ehf.

Um svar Advania Íslands ehf.

4 Í bréfi Advania Íslands ehf., dags. 15. ágúst 2023, segir um kennslukerfi Innu að þar sé haldið utan um einstaka þætti náms hjá nemendum, svo sem vitnisburði, einkunnir, ástundun, mætingu og námsferil. Um sé að ræða sveigjanlegt kennslukerfi sem kennarar geti sniðið að eigin kennslu í einföldu viðmóti, m.a. með flokkun á ítarefni og sendingu skilaboða til nemenda, t.d. áminninga um verkefnaskil. Jafnframt sé til staðar sveigjanlegt fyrirkomulag vegna verkefna og prófa og geti kennari lagt verkefni fyrir alla nemendur, staka nemendur eða smærri hópa. Einkunnaskráning sé tengd námsferli nemenda. Með vísan til framangreinds segir í bréfinu að viðkomandi skólar séu ábyrgðaraðilar vinnslu í kennslukerfi Innu en Advania Ísland ehf. vinnsluaðili.

5 Hvað varðar innritunargátt Menntamálastofnunar er tekið fram að hún sé aðskilin frá Innu og með annars konar aðgangsstýringu en hún. Einnig segir að við staðfestingu umsókna um skólavist séu nemendur fluttir yfir í Innu og skapist þá aðgengi að upplýsingum um þá hjá viðkomandi skóla. Innritunargáttin hafi verið hönnuð á vegum menntamálaráðuneytisins sem hafi verið ábyrgðaraðili hennar þar til Menntamálastofnun var stofnsett, þ.e. með lögum nr. 91/2015 um þá stofnun. Með vísan til framangreinds segir í bréfinu að Menntamálastofnun sé nú ábyrgðaraðili vinnslu í innritunargátt stofnunarinnar en Advania Ísland ehf. vinnsluaðili.

6 Í tengslum við skólakerfi Innu er það sagt vera grunnkerfi hennar án fyrrnefnds kennslukerfis. Innskráning og uppsetning á nemendum, þ.e. kennurum og nemendum, sé fyrirmynd þessara þátta í kennslukerfinu. Ekki séu skráðar aðrar upplýsingar í skólakerfið um námsframvindu nemenda en lokaeinkunnir í áföngum. Þá segir að Menntamálastofnun hafi ekki aðgang að skólakerfinu. Með vísan til framangreinds segir í bréfinu að viðkomandi skólar séu ábyrgðaraðilar vinnslu í skólakerfi Innu en Advania Ísland ehf. vinnsluaðili.

7 Hvað snertir aðra kerfishluta, sem kunna að vera vistaðir í Innu, er hún sögð búa yfir sérstöku umsóknarkerfi vegna náms sem þarf að sækja um sérstaklega eða greiða sérstaklega fyrir, svo sem kvöldnáms, fjarnáms og sértækra námsbrauta. Kerfið sé opið öllum skólum sem noti annaðhvort skóla- eða kennslukerfið. Með vísan til framangreinds segir í bréfinu að viðkomandi skólar séu ábyrgðaraðilar vinnslu í umræddu umsóknarkerfi Innu en Advania Ísland ehf. vinnsluaðili.

Aðkoma stjórnvalda að Innu og tengdum atriðum

8 Í 6. tölul. 3. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679, er að finna skilgreiningu á hver er ábyrgðaraðili vinnslu slíkra upplýsinga. Nánar tiltekið segir í umræddum ákvæðum að átt sé við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga.

9 Árið 2007 voru nokkur samskipti milli Persónuverndar annars vegar og þáverandi menntamálaráðuneytis hins vegar varðandi umrætt upplýsingakerfi og hvort renna þyrfti undir það sérstakri lagastoð (mál nr. 2007010003 hjá Persónuvernd og nr. MMR07010447/5.6.1 hjá ráðuneytinu). Málinu lyktaði ekki með skýrri niðurstöðu en gögn vegna málsins, sem Persónuvernd bárust frá ráðuneytinu með bréfi, dags. 30. janúar 2007, geta varpað nokkru ljósi á ábyrgð á vinnslu persónuupplýsinga innan kerfisins. Má þar nefna sameiginlegt minnisblað ráðuneytisins og Ríkiskaupa sem lokið var við 10. apríl 2000. Þar má finna ítarlega lýsingu á öryggisþáttum vegna kerfisins, auk þess sem fremst er fjallað um helstu markmið þess, þ. á m. að það nýtist við stundatöflugerð, utanumhald námsferils, skilgreiningu námsefnis og námsgreina og fjarvistaskráningu. Þá má nefna samninga sem ráðuneytið gerði við Skýrr hf. 28. desember 2000, 1. og 22. nóvember 2001 og 22. mars 2002 en þar var fyrirtækinu falin gerð, rekstur og hýsing kerfisins sem eins og fram kemur í síðasta samningnum hafði þá fengið heitið Inna.

10 Af framangreindu má sjá að Inna varð upphaflega til að frumkvæði hins opinbera, þ.e. menntamálaráðuneytisins, sem ákvað jafnframt tilgang vinnslu persónuupplýsinga innan kerfisins, svo og helstu vinnsluaðferðir. Má því telja ljóst að þá hafi ráðuneytið getað talist til ábyrgðaraðila að vinnslunni í samræmi við skilgreiningu ábyrgðaraðilahugtaksins í 4. tölul. 2. gr. þágildandi persónuverndarlaga nr. 77/2000, sem var í meginatriðum samhljóða fyrrnefndri skilgreiningu í núgildandi löggjöf.

11 Fyrir liggur að frá árinu 2012 hefur Inna verið hýst og rekin af fyrirtækinu Advania Ísland ehf. sem þá varð til með sameiningu SKÝRR hf. og fleiri fyrirtækja. Ekki verður hins vegar séð að það eitt hafi haft í för með sér breytingar á ábyrgð á vinnslu persónuupplýsinga innan kerfisins. Má í því sambandi nefna yfirlýsingu þáverandi mennta- og menningarmálaráðuneytis, dags. 27. október 2021, þar sem það samþykkti, sem væri það ábyrgðaraðili, að veita aðgang að tilteknum upplýsingum úr Innu í þágu rannsóknar sem fyrirhuguð var (tilvísun ráðuneytisins: MMR21090232/13.3-). Nánar tiltekið nefndi yfirlýsingin nöfn nemenda, kennitölur, heimilisföng, símanúmer og það hvort þeir væru skráðir í nám eða hefðu fallið úr eða hætt námi, en yfirlýsingin var á meðal fylgigagna með leyfisumsókn til Persónuverndar vegna rannsóknarinnar (mál nr. 2021112104 hjá stofnuninni).

12 Nokkru eftir að Advania Íslandi ehf. var komið á fót voru sett lög nr. 91/2015 um Menntamálastofnun. Tók sú stofnun við framkvæmd ýmissa verkefna á sviði menntamála, þ. á m. verkefna sem höfðu verið á hendi ráðuneytisins, svo sem tekið var fram í I. kafla almennra athugasemda við það frumvarp sem varð að lögunum. Jafnframt má nefna að í a-f-lið 5. gr. laganna voru talin upp ýmis verkefni stofnunarinnar og að því loknu nefnt í g-lið sömu greinar að hún annaðist önnur verkefni sem henni yrðu falin með lögum, reglugerðum eða samkvæmt ákvörðun ráðherra. Eins og tekið var fram í athugasemdum við þetta ákvæði í frumvarpinu (þar í 4. gr.) gat innritun í framhaldsskóla verið á meðal þessara verkefna. Þá var nýrri 5. gr. a bætt við lög nr. 91/2015 með 6. gr. laga nr. 89/2021, en í 1. mgr. hinnar nýju greinar var stofnuninni sérstaklega heimilað að vinna með heilsufarsupplýsingar nemenda vegna meðal annars innritunar í framhaldsskóla. Segir um það í greinargerð við ákvæðið í því frumvarpi sem varð að breytingalögunum að í þágu innritunar geti stofnuninni reynst nauðsynlegt að kalla eftir slíkum upplýsingum um nemendur sem þurfi á sérúrræðum að halda, þ. á m. upplýsingum um greiningar og fatlanir, þannig að þeim verði tryggður lögbundinn réttur til skólavistar.

13 Lög nr. 91/2015 hafa nú verið felld brott en í stað þeirra hafa verið sett lög nr. 91/2023 um Miðstöð menntunar og skólaþjónustu. Þau lög tóku gildi 1. apríl 2024 og verður af þeim ráðið að hinni nýju stofnun samkvæmt ákvæðum þeirra, þ.e. miðstöðinni sem heiti þeirra tilgreinir, sé ætlað að taka við hlutverki Menntamálastofnunar. Má þar nefna aðkomu að innritun nemenda í framhaldsskóla en miðstöðinni er veitt sambærileg heimild til vinnslu persónuupplýsinga í því sambandi og Menntamálstofnun hafði, sbr. 1. og 2. mgr. 5. gr. hinna nýju laga, sbr. einnig viðbót samkvæmt c-lið 7. tölul. 9. gr. laganna við 2. mgr. 32. gr. laga nr. 90/2008 um framhaldsskóla. Nánar tiltekið er þar um að ræða nýjan málslið, þess efnis að miðstöðin geti annast umsýslu með innritun nemenda í framhaldsskóla og haft milligöngu um innritun einstakra nemenda eftir atvikum. Þá getur ráðherra falið miðstöðinni verkefni með reglugerð, sbr. 7. gr. laga nr. 91/2023. Slík reglugerð hefur enn sem komið er ekki verið sett. Jafnframt er hins vegar gert ráð fyrir að verkefni, sem Menntamálastofnun sinnti áður, flytjist að hluta til ráðuneytisins en ekki til miðstöðvarinnar, sbr. m.a. 6. kafla almennra athugasemda í því frumvarpi sem varð að lögunum.

Leiðbeinandi svar Persónuverndar

14 Í ljósi þeirra atriða sem hér hafa verið rakin verður nú veitt leiðbeinandi svar um hver ber ábyrgð á hverjum þeirra fjögurra kerfiseininga sem vistaðar eru í Innu. Fallast má á það með Advania Íslandi ehf. að fyrirtækið sé vinnsluaðili vegna allra þessara eininga. Ber ábyrgðaraðilum því að gera vinnslusamning við fyrirtækið í samræmi við 3. mgr. 25. gr. laga nr. 90/2018, sbr. nánari ákvæði 28. gr. reglugerðar (ESB) 2016/679. Af gögnum máls verður ráðið að samið hafi verið á þessum grundvelli en hér er ekki tekin afstaða til þess hvort þeir samningar eru að öllu leyti í samræmi við áðurnefnd ákvæði.

Kennslukerfi Innu

15 Eins og fram kemur í skýringum Advania Íslands ehf. hefur kennslukerfi Innu að geyma upplýsingar um einstaka þætti náms hjá nemendum, svo sem um vitnisburði, einkunnir, ástundun, mætingu og námsferil. Er þar um að ræða þætti sem eru sambærilegir við þá sem nefndir voru í minnisblaði menntamálaráðuneytisins og Ríkiskaupa 10. apríl 2000 og fyrr er getið um, sbr. efnisgrein 9, m.a. utanumhald námsferils og fjarvistaskráningu.

16 Í ljósi aðkomu hins opinbera að tilurð Innu má líta svo á að menntamálaráðuneytið, nú mennta- og barnamálaráðuneytið, hafi á sínum tíma fengið stöðu ábyrgðaraðila vegna vinnslu persónuupplýsinga í kerfinu, sbr. umfjöllun í efnisgrein 10, þ.e. hvað snertir miðlægar ákvarðanir fyrir kerfið í heild sinni, sbr. nánar efnisgrein 19. Síðar var Menntamálastofnun komið á fót með sérstakri löggjöf um þá stofnun og nú nýlega Miðstöð menntunar- og skólaþjónustu sem samkvæmt lögum þar að lútandi tekur nú við og sinnir ýmsum þeirra verkefna sem áður voru á hendi Menntamálastofnunar. Eins og nefnt er í efnisgrein 12 hafði Menntamálastofnun meðal annars með höndum verkefni sem ráðuneytið hafði sinnt og í ljósi framangreinds verður að gera ráð fyrir að þau verkefni séu nú að einhverju leyti unnin hjá Miðstöð menntunar- og skólaþjónustu. Ekki liggur hins vegar fyrir að þeir þættir, sem fólgnir eru í kennslukerfi Innu, hafi færst til þessara stofnana, hvorrar um sig. Þá má nefna að ráðuneytið hefur, eins og greinir í efnisgrein 11, sjálft veitt aðgang að tilteknum upplýsingum úr Innu. Jafnframt skal þó tekið fram að þær upplýsingar bera með sér að koma úr skólakerfi Innu en einnig að það kerfi er nátengt kennslukerfinu eins og rakið er í efnisgreinum 23 og 24.

17 Að þessu virtu telur Persónuvernd verða að leggja til grundvallar að þáverandi menntamálaráðuneyti hafi í upphafi haft stöðu ábyrgðaraðila vegna vinnslu persónuupplýsinga í kennslukerfi Innu, sbr. afmörkun á þeirri ábyrgð í efnisgrein 19, og að samsvarandi ráðuneyti hafi svo verið það áfram, þ.e. nú mennta- og barnamálaráðuneytið.

18 Tekið skal fram að ábyrgðaraðilar vinnslu persónuupplýsinga geta verið fleiri en einn. Eins og fyrr er rakið lítur Advania Ísland ehf. á einstaka skóla, sem nota kennslukerfi Innu, sem ábyrgðaraðila þeirrar vinnslu sem fram fer í kerfinu. Telja má ljóst að svo sé hvað snertir ákvarðanir sem teknar eru innan einstakra skóla um færslu upplýsinga inn í kerfið um nemendur, þ.e. að þeir teljast þá ábyrgir fyrir að tilteknar upplýsingar hafi verið skráðar og séu varðveittar innan kerfisins, svo og að viðhlítandi heimildir standi til þeirrar vinnslu og að hún samrýmist grunnkröfum 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679, um meðalhóf, áreiðanleika o.fl.

19 Sú ábyrgð, sem nú telst vera hjá mennta- og barnamálaráðuneytinu, tekur á hinn bóginn til miðlægra ákvarðana fyrir kerfið í heild sinni, þ.e. ákvarðana sem eru sameiginlegar fyrir það allt, svo sem í tengslum við þær öryggisráðstafanir sem almennt eru þar gerðar til verndar upplýsingum.

20 Í þessu sambandi minnir Persónuvernd jafnframt á að þegar fleiri en einn aðili fara sameiginlega með ábyrgð á vinnslu persónuupplýsinga ber þeim að gera með sér skriflegt samkomulag um skiptingu ábyrgðarinnar eins og nánar er mælt fyrir um í 26. gr. reglugerðar (ESB) 2016/679, sbr. niðurlag 23. gr. laga nr. 90/2018. Þá verður að gæta þess að samið sé skriflega við vinnsluaðila í samræmi við 28. gr. reglugerðarinnar, sbr. 2. mgr. 25. gr. laganna.

Innritunargátt framhaldsskóla

21 Eins og rakið er efnisgrein 12 var gert ráð fyrir því, þegar Menntamálastofnun var komið á fót, að henni yrði falið það hlutverk sem ráðuneytið hafði áður haft í tengslum við innritun nemenda í framhaldsskóla. Þá voru henni síðar fengnar sérstakar lögbundnar heimildir til vinnslu persónuupplýsinga í því sambandi og hafa þær heimildir nú færst yfir til Miðstöðvar menntunar og skólaþjónustu, sbr. umfjöllun í efnisgrein 13. Viðmót innritunargáttar framhaldsskólanna, sem nálgast má á vefsíðunni innritun.is og sem fyrir liggur að vistuð er í Innu, er auk þess merkt stofnuninni með skýrum hætti.

22 Verður samkvæmt þessu að gera ráð fyrir að Miðstöð menntunar og skólaþjónustu sé ábyrgðaraðili vinnslu persónuupplýsinga í innritunargáttinni.

Skólakerfi Innu

23 Af skýringum Advania Íslands ehf. verður ráðið að skólakerfi Innu sé nátengt áðurnefndu kennslukerfi og sé í raun eins konar frumhluti þess með helstu grunnupplýsingum um nemendur sem frekari upplýsingar, skráðar í kennslukerfið, séu svo tengdar við. Svo sem fyrr er lýst, sbr. efnisgreinar 11 og 16, hefur ráðuneytið sjálft tekið ákvörðun um veitingu upplýsinga úr Innu og verður ráðið af gögnum, sem Persónuvernd hefur undir höndum í því sambandi, að þær upplýsingar hafi verið á meðal grunnupplýsinga úr skólakerfinu.

24 Telja verður að um skólakerfið gildi sömu sjónarmið varðandi miðlæga ábyrgð ráðuneytisins og sem rakin eru í tengslum við kennslukerfið í efnisgrein 19, þ. á m. hvað snertir almennar ráðstafanir til að tryggja öryggi persónuupplýsinga. Þá verður að telja sömu sjónarmið eiga við um þá ábyrgð sem einstakir skólar bera í tengslum við upplýsingar sem þeir færa sjálfir enn.

25 Að þessu virtu telur Persónuvernd um að ræða skipta ábyrgð ráðuneytisins og einstakra skóla og áréttar hún í því sambandi það sem áður greinir um skriflegt samkomulag um skiptingu ábyrgðar sem ber að gera þegar ábyrgðaraðilar vinnslu persónuupplýsinga eru fleiri en einn.

Umsóknarkerfi vegna framhaldsnáms

26 Því er lýst í svörum Advania Íslands ehf. að innan Innu sé vistað sérstakt umsóknarkerfi vegna framhaldsnáms sem sótt er um sérstaklega eða greitt sérstaklega fyrir. Af svörunum verður ráðið að miðlæg stjórnvöld á sviði menntamála, þ.e. mennta- og barnamálaráðuneytið og Miðstöð menntunar og skólaþjónustu, hafi ekki aðkomu að þessum kerfisþætti í Innu og að ákvörðun um notkun hans sé alfarið á ábyrgð einstakra framhaldsskóla. Telur Persónuvernd að samkvæmt því hafi þeir, hver fyrir sitt leyti, stöðu ábyrgðaraðila vegna vinnslu persónuupplýsinga í umsóknarkerfinu.

Samantekt

27 Með vísan til framangreinds, og í ljósi fyrirliggjandi gagna, eru niðurstöður Persónuverndar um ábyrgð á einstökum kerfisþáttum í Innu sem hér greinir, en þær eru settar fram til leiðbeiningar og með fyrirvara um að frá stjórnvöldum á sviði menntamála hafa ekki borist skýringar sem kynnu, eftir atvikum, að hafa haft áhrif á niðurstöðurnar:

1. Barna og menntamálaráðuneytið telst vera ábyrgðaraðili vinnslu persónuupplýsinga í kennslukerfi Innu hvað snertir miðlægar ákvarðanir fyrir kerfið í heild sinni, þ.e. ákvarðanir sem eru sameiginlegar fyrir það allt, þ. á m. í tengslum við öryggi. Einstakir framhaldsskólar teljast á hinn bóginn vera ábyrgðaraðilar hvað snertir ákvarðanir sem þeir sjálfir taka um færslu upplýsinga um einstaka nemendur í kerfið. Þeir teljast því ábyrgir fyrir að upplýsingarnar séu þar skráðar og varðveittar, svo og að viðhlítandi heimildir standi til þeirrar vinnslu og að hún samrýmist grunnkröfum um meðalhóf, áreiðanleika o.fl.
2. Miðstöð menntunar og skólaþjónustu telst vera ábyrgðaraðili vinnslu persónuupplýsinga í innritunargátt framhaldsskóla.
3. Barna- og menntamálaráðuneytið og einstakir framhaldsskólar teljast vera ábyrgðaraðilar vinnslu persónuupplýsinga í skólakerfi Innu. Skiptist ábyrgðin milli ráðuneytisins annars vegar og skólanna hins vegar með sama hætti og ábyrgð á vinnslu persónuupplýsinga í kennslukerfi Innu, sbr. 1. tölul. hér að framan.
4. Einstakir skólar teljast vera ábyrgðaraðilar vinnslu persónuupplýsinga í umsóknarkerfi vegna framhaldsnáms sem sótt er um sérstaklega eða greitt sérstaklega fyrir.
5. Advania Ísland ehf. telst vera vinnsluaðili vegna allra framangreindra kerfisþátta í Innu.
6. Ábyrgðaraðilum er skylt að gera vinnslusamninga við vinnsluaðila og sameiginlegum ábyrgðaraðilum er skylt að gera með sér skriflegt samkomulag um skiptingu ábyrgðar.

28 Að lokum skal tekið fram að svarleysi mennta- og barnamálaráðuneytisins og Menntamálastofnunar við beiðnum Persónuverndar um skýringar og gögn er að mati stofnunarinnar ámælisvert, en jafnframt verður að gera ráð fyrir að hinni nýju Miðstöð menntunar og skólaþjónustu hafi, sem arftaka Menntamálastofnunar, verið kunnugt um beiðnir Persónuverndar. Má í því sambandi nefna að forstjóri Menntamálastofnunar varð jafnframt forstjóri Miðstöðvar menntunar og skólaþjónustu á grundvelli 2. mgr. ákvæðis II til bráðabirgða í lögum um miðstöðina nr. 91/2023, auk þess sem miðstöðin tók við eignum, réttindum og skyldum Menntamálastofnunar, sbr. ákvæði III til bráðabirgða. Jafnframt skal hins vegar tekið fram að Persónuvernd telur ekki, eins og hér háttar til, að sérstakt tilefni gefist til að kanna beitingu viðurlagaheimilda stofnunarinnar vegna umrædds svarleysis, þ.e. einkum á grundvelli 4. tölul. 3. mgr. 46. gr. laga nr. 90/2018.

F.h. Persónuverndar,

Þórður Sveinsson                          Ingunn Elísabet Markúsdóttir