Afgreiðsla mennta- og þjálfunarfyrirtækisins KVAN á aðgangsbeiðni

Mál nr. 2022050863

5.2.2024

Úrskurður

um kvörtun yfir afgreiðslu KVAN ehf. á beiðni um aðgang að persónuupplýsingum í máli nr. 2022050863:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 15. maí 2022 barst Persónuvernd kvörtun frá [A] og [B] (hér eftir kvartendur) yfir afgreiðslu mennta- og þjálfunarfyrirtækisins KVAN ehf. á beiðni þeirra um aðgang að persónuupplýsingum um þau og barn þeirra.

Persónuvernd bauð KVAN ehf. að tjá sig um kvörtunina með bréfi, dags. 3. nóvember 2022, og bárust svör frá lögmanni félagsins með bréfi, dags. 2 desember s.á. Kvartendum var í kjölfarið veittur kostur á að koma á framfæri athugasemdum við svör KVAN með bréfi, dags. 6. s.m., og bárust þær með tölvupósti 11. s.m. Persónuvernd óskaði eftir frekari upplýsingum frá KVAN með bréfi, dags. 12. júní 2023, og bárust svör KVAN 20. júlí s.á. Þá tilkynnti Persónuvernd lögmanni KVAN, með bréfi dags. 28. ágúst s.á., um fyrirhugaða vettvangsathugun stofnunarinnar í þeim tilgangi að að skoða gögn í fórum KVAN. Skoðun gagnanna fór fram á skrifstofu Persónuverndar þann 31. s.m. Með tölvupósti til lögmanns KVAN, dags. 9. janúar 2024, óskaði Persónuvernd loks eftir afriti af tölvupóstsamskiptum milli KVAN og Menntamálastofnunar frá 2. og 3. desember [ártal] og bárust umbeðin gögn með tölvupósti frá lögmanninum degi síðar.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

2.

Sjónarmið kvartenda

Kvartendur vísa til þess að þau hafi sent KVAN ehf. beiðni, dags. 15. apríl 2022, um afhendingu á öllum fyrirliggjandi gögnum sem lutu að eineltismáli sem varðaði þau og barn þeirra og KVAN hafði unnið að fyrir skóla barnsins. Þrátt fyrir ítrekanir hefðu þeim ekki borist svör né ástæður fyrir því hvers vegna gögnin hefðu ekki verið afhent, en meira en mánuður væri liðinn frá upphaflegri beiðni. Meðfylgjandi kvörtuninni var afrit af tölvupósti kvartenda til framkvæmdastjóra KVAN, dags. 15. apríl 2022, þar sem kvartendur óska eftir afriti af persónuupplýsingum sínum og barns síns.

Í athugasemdum kvartenda vísa þau einnig til þess að þau hafi átt fund 27. júní 2022 með framkvæmdastjóra KVAN þar sem þeim hafi verið meinaður aðgangur að persónuupplýsingum um barn þeirra nema með undirrituðu samþykki barnsins. Kvartendur hafi ekki verið sammála þeirri afstöðu og vísað til þess að þau hefðu fengið öll gögn varðandi barnið frá öðrum aðilum og stofnunum, í tengslum við umrætt eineltismál, án þess að krafist hefði verið samþykkis þess. Í framhaldinu hafi kvartendur engu að síður óskað eftir aðgangi að persónuupplýsingum sínum, með tölvupósti 27. júlí 2022, en hafi ekki enn borist svar við þeirri aðgangsbeiðni.

Með tölvupósti 25. júlí 2023 upplýstu kvartendur Persónuvernd um að KVAN hefði afhent gögn varðandi persónuupplýsingar þeirra 19. júlí s.á. Þau hefðu hins vegar ekki fengið skýringar á því hvers vegna gögnin hefðu ekki borist fyrr og ekki fengið afhent nein gögn með persónuupplýsingum barns þeirra.

3.

Sjónarmið KVAN

Í svarbréfi lögmanns KVAN segir að skrifleg gagnabeiðni frá kvartendum finnist ekki í fórum KVAN en mögulegt sé að hún hafi komið fram símleiðis. Vísað er til þess að kvartendur hafi óskað eftir „öllum gögnum“ sem lutu að ráðgjöf KVAN í eineltismáli er varðaði barn þeirra. Fram kemur að framkvæmdastjóri KVAN hafi, með tölvupósti 16. maí 2022, boðið kvartendum á fund og jafnframt tilgreint að markmið fundarins væri meðal annars að afhenda kvartendum umbeðin gögn. Hins vegar hafi gengið illa að finna fundartíma sem hafi hentað báðum aðilum en fundurinn hafi þó farið fram 27. júní s.á. Við afhendingu gagnanna hafi KVAN viljað vanda til verka og hafi því óskað eftir að samþykki barns þeirra fyrir afhendingu persónuupplýsinga lægi fyrir á fundinum. Í því sambandi hafi KVAN meðal annars litið til réttinda barns kvartanda, sem þá var á 16. ári, til að láta skoðanir sínar í ljós, í samræmi við 3. mgr. 1. gr. barnalaga, nr. 76/2003, og 2. mgr. 12. gr. samnings Sameinuðu þjóðanna um réttindi barnsins. Á umræddum fundi hafi kvartendur hins vegar ekki verið með samþykki barnsins og því hafi ekki orðið af afhendingu gagnanna. Þá er vísað til þess að beiðni kvartenda um afhendingu hafi aftur verið svarað með tölvupósti 27. júlí 2022, á þá leið að KVAN hygðist afhenda gögnin að fengnu samþykki barns þeirra og kvartendur jafnframt upplýstir um þau sjónarmið sem legið hafi að baki þeirri ákvörðun.

Fram kemur í svarbréfi KVAN, dags. 20. júlí 2023, að í kjölfar bréfs Persónuverndar, dags. 12. júní s.á., hafi KVAN yfirfarið á ný þau gögn sem fyrirtækið hafi verið reiðubúið að afhenda kvartendum á umræddum fundi í lok júní 2022. Í ljós hafi komið að meirihluti gagnanna hafi innihaldið tölvupóstsamskipti sem kvartendur hafi verið aðilar að á sínum tíma og upplýsingarnar stafað frá þeim sjálfum. Með vísan til þess hafi KVAN ekki lengur talið þörf fyrir samþykki barns kvartenda og hafi því afhent framangreind gögn 19. júlí 2023. Einnig hafi kvartendur nú fengið afhent öll önnur gögn sem KVAN telji þau eiga rétt á, þ.e. samskipti milli KVAN og [sveitarfélag] og samskipti KVAN við Sálstofuna og Menntamálastofnun. Við afgreiðslu aðgangsbeiðninnar hafi kvartendur hins vegar ekki fengið afhent þrjú skjöl sem varði umrætt eineltismál. Nánar tiltekið sé um að ræða; (1) tölvupóstsamskipti milli [sveitarfélags] og KVAN 26. ágúst [ártal], (2) tölvupóstsamskipti milli KVAN og [sveitarfélags] 16. september [ártal] og (3) tölvupóstsamskipti milli KVAN og Menntamálastofnunar 3. desember [ártal].

Byggir KVAN á því að heimilt hafi verið að takmarka rétt kvartenda til aðgangs að tölvupóstsamskiptum milli [sveitarfélags] og KVAN 26. ágúst [ártal] og tölvupóstsamskiptum milli KVAN og [sveitarfélags] 16. september [ártal] með vísan til 3. mgr. 17. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, þar sem þau hafi innihaldið persónuupplýsingar um aðra einstaklinga en kvartendur og barn þeirra. Um tölvupóstsamskipti milli KVAN og Menntamálastofnunar 3. desember [ártal] vísar KVAN einnig til undanþágu 3. mgr. 17. gr. laganna, þar sem í umræddum gögnum komi fram persónuupplýsingar um barn kvartenda og því sé nauðsynlegt, að mati KVAN, að fá samþykki barnsins áður en gögnin eru afhent kvartendum, en að öðrum kosti kynni hagsmunum barnsins að vera raskað með afhendingu skjalsins.

4.

Skoðun gagna af hálfu Persónuverndar

Persónuvernd tilkynnti lögmanni KVAN um fyrirhugaða vettvangsathugun stofnunarinnar á skrifstofu hans í þeim tilgangi að að skoða fyrrgreind gögn sem ekki hefðu verið afhent kvartendum við afgreiðslu aðgangsbeiðninnar 19. júlí 2023. Vegna aðstöðuleysis til fundarhalda óskaði lögmaður KVAN eftir því að koma með gögnin á skrifstofu Persónuverndar. Kom lögmaður kvartenda á skrifstofuna 31. ágúst 2023 þar sem tveir starfsmenn stofnunarinnar skoðuðu þau gögn sem undanskilin höfðu verið aðgangi kvartenda með vísan til takmörkunar á aðgangsrétti þeirra, sbr. 3. mgr. 17. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga

II.

Niðurstaða

1.

Lögmæti vinnslu og niðurstaða

Mál þetta lýtur að því hvort KVAN ehf. hafi afgreitt beiðni kvartenda um aðgang að persónuupplýsingum þeirra og barns þeirra í samræmi við ákvæði laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679. KVAN ehf. telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögunum og reglugerðinni.

Kvörtun í máli þessu barst Persónuvernd 15. maí 2022. Laut kvörtunin að því að beiðni kvartenda, frá 15. apríl s.á., um aðgang að persónuupplýsingum þeirra og barns þeirra frá KVAN hefði ekki verið afgreidd. Kvartendur upplýstu Persónuvernd um það, með tölvupósti 25. júlí 2023, að KVAN hefði afhent þeim gögn varðandi persónuupplýsingar þeirra 19. s.m. Þau hefðu hins vegar ekki fengið skýringar á því hvers vegna gögnin hefðu ekki borist fyrr og ekki fengið afhent gögn með persónuupplýsingum barns þeirra. Í bréfi lögmanns KVAN til Persónuverndar, dags. 20. júlí 2023, var greint frá því að kvartendum hefðu verið afhent öll gögn sem þau ættu rétt á, að undanskildum þremur nánar tilgreindum gögnum. Byggir KVAN á því að heimilt hafi verið að takmarka rétt kvartenda til aðgangs að þessum gögnum með vísan til 3. mgr. 17. gr. laga nr. 90/2018.

Krafa persónuverndarlöggjafarinnar um lögmæta, sanngjarna og gagnsæja vinnslu, samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, felur meðal annars í sér að einstaklingum á að vera það ljóst þegar persónuupplýsingum um þá er safnað eða þær notaðar, skoðaðar eða unnar á annan hátt, að hvaða marki þær eru eða munu vera unnar og í hvaða tilgangi. Aðgangsréttur samkvæmt 17. gr. laga nr. 90/2018 og 15. gr. reglugerðarinnar er þáttur í því að tryggja framangreint og verður að skoða í því ljósi. Samkvæmt 1. mgr. 15. gr. reglugerðarinnar, sbr. 2. mgr. 17. gr. laganna, skal skráður einstaklingur eiga rétt á að fá staðfestingu á því frá ábyrgðaraðila hvort unnar séu persónuupplýsingar um hann og, sé svo, rétt til aðgangs að persónuupplýsingunum. Samkvæmt 3. mgr. sömu greinar reglugerðarinnar skal ábyrgðaraðili láta hinum skráða í té afrit af þeim persónuupplýsingum sem eru í vinnslu. Samkvæmt 4. mgr. greinarinnar skal rétturinn til að fá afrit, sem um getur í 3. mgr., ekki skerða réttindi og frelsi annarra.

Enn fremur er mælt fyrir um það í 3. mgr. 17. gr. laga nr. 90/2018, sbr. 1. mgr. 23. gr. reglugerðar (ESB) 2016/679, að ákvæði 1.-3. mgr. 13. gr., 1.-4. mgr. 14. gr. og 15. gr. reglugerðarinnar, um réttindi hins skráða, gildi ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum, þar á meðal hins skráða sjálfs, vega þyngra.

Við skoðun starfsmanna Persónuverndar á þeim gögnum sem undanskilin voru aðgangi kvartenda kom fram að þau vörðuðu fyrst og fremst aðra einstaklinga en kvartendur og barn þeirra þótt til þeirra hafi verið vísað. Með því að undanskilja tölvupóstsamskipti KVAN við [sveitarfélag] aðgangi telst KVAN því hafa gætt að réttindum og frelsi annarra skráðra einstaklinga en kvartenda í samræmi við framangreind ákvæði. Hins vegar var, í tölvupóstsamskiptum KVAN við Menntamálastofnun 2. og 3. desember [ártal], aðallega að finna upplýsingar um barn kvartenda og upplýsingar sem vörðuðu eingöngu kvartendur. Þá teljast upplýsingar, sem þar má sjá um aðra einstaklinga og eru samofnar upplýsingum um barn kvartenda, vera almenns eðlis þannig að ekki séu af því brýnir hagsmunir að þeim sé haldið leyndum gagnvart kvartendum. Ljóst er því að kvartendur áttu rétt á að fá umrædd tölvupóstsamskipti í hendur og fór því mat og ákvörðun KVAN um hvaða gögn kvartendur skyldu fá afhent að þessu leyti í bága við ákvæði 2. og 3. mgr. 17. gr. laga nr. 90/2018, sbr. 15. gr. og 1. mgr. 23. gr. reglugerðar (ESB) 2016/679.

Að öðru leyti er það hins vegar niðurstaða Persónuverndar að kvartendur hafi fengið afhent öll gögn sem þau eiga rétt til aðgangs að á grundvelli umræddrar beiðni þeirra og að farið hefi verið að framangreindum ákvæðum sem því nemur.

Kemur þá til úrlausnar hvort beiðni kvartenda hafi verið afgreidd innan lögbundinna tímamarka.

Ábyrgðaraðila ber að gera viðeigandi ráðstafanir til að tryggja gagnsæi upplýsinga og tilkynninga til skráðs einstaklings samkvæmt fyrirmælum 12. gr. reglugerðar (ESB) 2016/679, sbr. 1. mgr. 17. gr. laga nr. 90/2018. Samkvæmt 3. mgr. 12. gr. reglugerðarinnar skal ábyrgðaraðili veita skráðum einstaklingi upplýsingar um aðgerðir, sem gripið er til vegna aðgangsbeiðni, án ótilhlýðilegrar tafar og hvað sem öðru líður innan mánaðar frá viðtöku beiðninnar. Lengja má frestinn um tvo mánuði til viðbótar sé á því þörf, með hliðsjón af fjölda beiðna og því hversu flóknar þær eru. Ábyrgðaraðila ber að tilkynna hinum skráða um slíkar framlengingar innan mánaðar frá viðtöku beiðninnar, ásamt ástæðum fyrir töfinni.

Að mati Persónuverndar ber að skýra ákvæði 3. mgr. 12. gr. reglugerðar (ESB) 2016/679, sbr. 17. gr. laga nr. 90/2018, svo að þegar um er að ræða aðgangsbeiðni einstaklings felist viðeigandi aðgerð ábyrgðaraðila í því að annaðhvort veita eða synja hinum skráða um aðgang, sbr. 4. mgr. 12. gr. reglugerðarinnar, þ.m.t. að taka efnislega afstöðu til réttarins til afrits af þeim persónuupplýsingum sem ábyrgðaraðili vinnur með. Samkvæmt því verður að leggja til grundvallar að þegar fallist er á beiðni einstaklings um aðgang að persónuupplýsingum, sbr. framangreint, beri ábyrgðaraðila að afgreiða beiðnina innan þeirra tímamarka sem tilgreind eru í 3. mgr. 12. gr. reglugerðarinnar, þ.e. að jafnaði innan mánaðar frá því að honum berst beiðnin eða þriggja mánaða frá sama tímamarki að því gefnu fullnægt sé skilyrðum ákvæðisins fyrir framlengingu frestsins. Ef beiðninni er synjað skal það hins vegar tilkynnt hinum skráða innan mánaðar, sbr. 4. mgr. 12. gr. reglugerðarinnar, og hann upplýstur um möguleikann á að leggja fram kvörtun hjá Persónuvernd. Reynt hefur á skýringu framangreindra ákvæða í framkvæmd Persónuverndar, sbr. úrskurð stofnunarinnar frá 28. nóvember 2019 í máli nr. 2018/1443 og úrskurð frá 23. júní 2021 í máli nr. 2020010681, þar sem komist var að sömu niðurstöðu.

Í samræmi við framangreint verður lagt til grundvallar að KVAN hafi borið að afhenda kvartendum þau gögn sem þau áttu rétt á innan mánaðar frá viðtöku aðgangsbeiðni þeirra, sbr. 3. mgr. 12. gr. reglugerðar (ESB) 2016/679. Samkvæmt fyrirliggjandi gögnum var það fyrst gert með bréfi til kvartenda 19. júlí 2023 eða rúmum 15 mánuðum eftir að kvartendur báðu um afhendingu gagnanna 15. apríl 2022. Í samræmi við 4. mgr. 12. gr. reglugerðarinnar bar KVAN jafnframt, án tafar og síðasta lagi innan mánaðar frá viðtöku beiðni kvartenda, að upplýsa þau um að tiltekin gögn yrðu ekki afhent með vísan til hagsmuna annarra einstaklinga en þeirra, svo og um möguleikann á að leggja fram kvörtun hjá Persónuvernd. Afgreiðsla KVAN á beiðni kvartenda var að þessu leyti ekki í samræmi við ákvæði 3. og 4. mgr. 12. gr. reglugerðarinnar, sbr. 1. og 2. mgr. 17. gr. laga nr. 90/2018.

Með vísan til 3. tölul. 42. gr. laga nr. 90/2018, sbr. c-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er jafnframt lagt fyrir KVAN að afhenda kvartendum afrit af tölvupóstsamskiptum KVAN við Menntamálastofnun 2. og 3. desember [ártal]. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 16. febrúar 2024.

Ú r s k u r ð a r o r ð:

Synjun KVAN ehf. á að afhenda [A] og [B] tölvupóstsamskipti við Menntamálastofnun dagana 2. og 3. desember [ártal] fór í bága við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.

Að öðru leyti hefur KVAN ehf. afhent [A] og [B] þau gögn sem félaginu bar að afhenda á grundvelli beiðni kvartenda um aðgang að persónuupplýsingum þeirra og barns þeirra, samkvæmt ákvæðum laga nr. 90/2018 og reglugerðar (ESB) 2016/679.

Afgreiðsla KVAN ehf. á aðgangsbeiðni [A] og [B] var ekki í samræmi við 3. og 4. mgr. 12. gr. reglugerðar (ESB) 2016/679, sbr. 1. og 2. mgr. 17. gr. laga nr. 90/2018.

Lagt er fyrir KVAN að afhenda [A] og [B] afrit af tölvupóstsamskiptum KVAN við Menntamálastofnun 2. og 3. desember [ártal]. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 16. febrúar 2024.

Persónuvernd, 19. janúar 2024

Þórður Sveinsson                    Edda Þuríður Hauksdóttir