Nafngreiningar í dagbókarfærslum grunnskólabarna

Persónuvernd barst dags. 31. janúar sl. fyrirspurn yðar um hvort heimilt sé, við færslur í dagbækur nemenda, að nafngreina fleiri en þann tiltekna nemanda sem dagbókin tilheyrir. Er sérstaklega vísað til þess að foreldrar eiga rétt á að sjá hvað skrifað er um börn þeirra. Persónuvernd leggur því þann skilningi í erindi yðar, að spurt sé hvort sú vinnsla persónuupplýsinga, sem felst í því að veita foreldrum aðgang að dagbókarfærslum þar sem önnur börn en þeirra eigin eru nafngreind, sé heimil og standist ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.


Með tölvubréfi, dags. 10. febrúar sl. óskaði Persónuvernd nánari upplýsinga um tilhögun og fyrirkomulag dagbókarfærslnanna. Svar barst 16. febrúar s.l. Þar kom m.a. fram að dagbækurnar eru á rafrænu formi á vefsvæði Mentors ehf. og að foreldrar geti farið inn á foreldrahluta vefsins með aðgangs- og leyniorði til að fylgjast með námsframvindu barna sinna. Hins vegar er ekki ljóst hvort þeir hafi aðgang að dagbókarfærslum barna sinna. Um það segir eftirfarandi:

Í svarbréfinu er síðan spurt hvort Mentor ehf. hafi verið í samstarfi við Persónuvernd vegna smíði Mentor vefsins.

Af tilefni framangreinds skal tekið fram að Mentor ehf. tilkynnti Persónuvernd, þann 22. nóvember 2002, um vinnslu persónuupplýsinga af sinni hálfu. Tilkynningin hlaut númerið S1057 og er aðgengileg á heimasíðu Persónuverndar, www.personuvernd.is, undir hnappnum ,,Tilkynningar". Persónuvernd sendi staðfestingu um móttöku tilkynningarinnar dags. 3. desember 2002 og var Mentor ehf. heimilt að hefja vinnsluna þegar staðfestingin barst eða í síðasta lagi 15 dögum eftir að tilkynningin var send til Persónuverndar, sbr. 4. gr. reglna nr. 698/2004 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Ekki hefur verið tekin afstaða til lögmætis vinnslunnar og verður slíkt ekki gert nema ágreiningur verði um hana.


Í tilkynningunni segir m.a.:

Þann 3. desember 2003 barst Persónuvernd tölvupóstur frá Mentor ehf. þar sem óskað var, með vísan til 5. tölul. 1. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, leiðbeininga og ráðgjafar vegna smíði og hýsingar á upplýsingakerfi fyrir skóla og sveitarfélög. Með fylgdu drög að öryggisstefnu, áhættumati og öryggisráðstöfunum fyrir kerfið, auk lýsingar á því. Persónuvernd rýndi þessi gögn og með bréfi dags. 4. mars 2004 voru gerðar nokkrar athugasemdir við þau til leiðbeiningar. Ekki var tekin afstaða til lögmætis vinnslunnar.


Árétta ber að það er A, en ekki Mentor ehf., sem er ábyrgðaraðili þeirra upplýsinga sem færðar eru í grunn Mentors. Í því felst að skólanum ber að tilkynna vinnsluna til Persónuverndar, sbr. 31. gr. laga nr. 77/2000, og má gera það á heimasíðu Persónuverndar, www.personuvernd.is, undir hnappnum ,,Tilkynningar". Einnig ber skólanum að gera sérstakan vinnslusamning við Mentor, þar sem m.a. skal koma fram að vinnsluaðila, þ.e. Mentor, sé einungis heimilt að starfa í samræmi við fyrirmæli ábyrgðaraðila, sbr. 13. gr. laganna.

Með því að veita foreldrum aðgang að dagbókarfærslum er verið að vinna persónuupplýsingar í skilningi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Vinnsla persónuupplýsinga er því aðeins heimil að eitthvert skilyrði 1. mgr. 8. gr. laga nr. 77/2000 sé uppfyllt. Ef um er að ræða viðkvæmar persónuupplýsingar í skilningi laganna þarf ennfremur eitthvert skilyrði 1. mgr. 9. gr. laganna að vera uppfyllt.


Ekki verður að svo stöddu tekin efnisleg afstaða til þess hvort eitthvert framangreindra skilyrða er uppfyllt, enda verður að meta það í hverju tilviki fyrir sig. Almennt séð virðist 7. tölul. 1. mgr. 8. gr. helst koma til greina, en þar er kveðið á um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili, hér A, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, þ.e. foreldrið, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Þeir hagsmunir sem hér vegast á eru annars vegar hagsmunir foreldris, fyrir hönd barns síns, af aðgangi að dagbókarfærslum um það og hins vegar hagsmunir annarra barna, sem nafngreind eru í dagbókinni, af friðhelgi einkalífs.


Réttur forsjárforeldris, fyrir hönd barns síns, til aðgangs að umræddum dagbókarfærslum getur ýmist farið eftir 15.-17. gr. stjórnsýslulaga nr. 37/1993, 9. gr. upplýsingalaga nr. 50/1996 eða 18. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Því er ljóst að forsjárforeldri hefur víðtækan rétt til aðgangs að dagbókarfærslum barns síns eða vitneskju um efni þeirra. Þessi ákvæði sæta þó öll takmörkunum ef gögn hafa að geyma upplýsingar um einkamálefni annarra, enda vegi þeir hagsmunir, sem mæla með því að upplýsingunum sé haldið leyndum, þyngra en hagsmunir þess sem fer fram á aðgang að gögnum. Einnig ber að líta til 32. gr. laga nr. 72/1996 um réttindi og skyldur kennara og skólastjórnenda grunnskóla, en þar er kveðið á um að hverjum starfsmanni sé skylt að gæta þagmælsku um atriði er hann fær vitneskju um í starfi sínu og leynt skulu fara samkvæmt lögum, fyrirmælum yfirboðara eða eðli málsins. Það er undir starfsmönnum og stjórnendum A komið að meta það hverju sinni hvort einkamálefni annars einstaklings en þess sem dagbókin tilheyrir vegi svo þungt að takmarka skuli rétt forsjárforeldris til aðgangs að gögnum, t.d. með því að sverta yfir nafn viðkomandi. Á þann hátt væri réttindum viðkomandi borgið þrátt fyrir að hann væri nafngreindur í dagbókinni.


Við framangreint ber að setja þann fyrirvara, að þegar um er að ræða mál þar sem tekin er stjórnvaldsákvörðun, þ.e. ákvörðun um réttindi eða skyldu barns, þarf sérstaklega að standa á til að hægt sé að takmarka aðgang aðila máls að gögnum þess. Ennfremur er ekki ljóst hvort foreldri hefur sjálft aðgang að dagbókarfærslunum í gegnum vef Mentors ehf. eða hvort atbeina starfsmanna A þarf til. Ef foreldri hefur beinan aðgang að dagbókarfærslunum í gegnum Internetið gefst starfsmönnum A ekki færi á að takmarka aðgang að þeim varðandi önnur börn sem kunna að vera nafngreind. Því er affarasælast að ígrunda það vel og vandlega hverju sinni hvort nauðsynlegt er að nafngreina önnur börn en það sem dagbókarfærslan snýr að. Slíkt mat verður að hvíla á herðum A og vera á hans ábyrgð, en hvert tilvik fyrir sig verður að meta út frá eðli upplýsinganna og því samhengi sem þær eru settar í. Einnig er rétt að benda á, að telji skólinn nauðsynlegt að foreldri fái upplýsingar um önnur börn en þeirra eigin, t.d. ef önnur börn hafa lagt það í einelti eða beitt það ofbeldi, má - að gættu þagnarskylduákvæði laga nr. 72/1996 - beita vægari úrræðum en að skrá það í dagbók, t.d. hafa samband við foreldrið símleiðis.


Að lokum er rétt að geta þess að með framangreindu hefur eingöngu verið veitt leiðbeinandi álit um það lagaumhverfi sem gildir um þetta álitamál. Ekki hefur verið tekin efnisleg afstaða til ágreinings sem kann að vakna um vinnslu persónuupplýsinga.