Afgreiðsla sveitarfélags og skóla á aðgangsbeiðni

Mál nr. 2020031242

7.9.2021

Úrskurður

Hinn 1. september 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020031242:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 21. mars 2020 barst Persónuvernd kvörtun frá [A] og [B] (hér eftir kvartendur) yfir afgreiðslu [skóla] eða [sveitarfélags] á beiðnum þeirra um aðgang að persónuupplýsingum þeirra og dóttur þeirra sem unnið hafði verið með á tilteknum tíma. Kvartendur telja að þau hafi ekki fengið öll gögn sem þau eigi rétt á að fá afhent á grundvelli persónu­verndar­löggjafarinnar og gera athugasemd við að [skólinn] hafi ákveðið að halda eftir gögnum án þess að upplýsa kvartendur um það. Þá gera kvartendur athugasemd við að strikað hafi verið yfir upplýsingar í þeim gögnum sem þau fengu afhent og að ósamræmis gæti í yfirstrikunum. Loks telja kvartendur að ekki liggi skýrt fyrir hvar gögn um einstaklinga séu geymd hjá [skólanum] eða [sveitarfélaginu]. Kvörtuninni fylgdi tölvuskeyti persónuverndarfulltrúa [sveitarfélagsins] frá 23. janúar 2020.

Með bréfi Persónuverndar 5. október 2020 var [skólanum] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Af hálfu [skólans] og [sveitarfélagsins] var svarað með bréfi 6. nóvember 2020. Bréfinu fylgdi listi yfir beiðnir kvartenda um gögn og tölvupóstsamskipti og bréf í tengslum við gagnabeiðnir þeirra frá 18. október 2019 til 2. nóvember 2020. Meðal fylgiskjalanna eru tvö tölvuskeyti frá öðrum kvartanda til persónuverndarfulltrúa [sveitarfélagsins] 15. nóvember 2019 þar sem hann óskar eftir afriti af gögnum, sem varða kvartendur og dóttur þeirra, úr kerfum bæjarskrifstofu [sveitarfélagsins], […] og [skólans] frá maí 2019 til þess dags. Einnig er meðal fylgiskjalanna bréf persónuverndar­fulltrúa [sveitarfélagsins] 13. desember 2019 þar sem beiðni kvartenda er afgreidd. Þá kemur fram í tölvupóstsamskiptum kvartenda og persónuverndarfulltrúans frá janúar og febrúar 2020 að við afhendingu gagna í desember 2019 hafi kvartendur ekki fengið afhent tölvupóstsamskipti [skólans] og foreldra annarra nemenda með vísan til hagsmuna þeirra barna. Auk þess hafi vantað handskrifuð gögn sem persónuverndarfulltrúinn kvað sennilega teljast vinnugögn, samantekt námsráðgjafa á úrvinnslu vegna […] og einhverjar blaðsíður í […]skýrslu sem kvartendur höfðu fengið afhenta. Samkvæmt tölvuskeyti persónuverndarfulltrúans 6. mars 2020 voru viðbótargögn tilbúin til afhendingar 9. sama mánaðar og kvað hann þá öll gögn sem hann hefði fundið í málinu þar með vera afhent.

Með tölvuskeyti 12. desember 2020 upplýstu kvartendur Persónuvernd um að [sveitarfélagið] hefði ekki afhent þeim bréf sem starfsmaður sveitarfélagsins hefði sent fagráði […]. Mynd af bréfinu fylgdi erindi kvartenda.

Með tölvuskeyti 18. febrúar 2021 upplýstu kvartendur Persónuvernd um að hjá [sveitarfélaginu] fyndust ekki gögn sem unnin hefðu verið í tengslum við foreldrafund […] 2020. Erindinu fylgdu samskipti um beiðni kvartenda um upplýsingar um skjalið „Foreldrafundur […].20“ og um afhendingu handskrifaðra athugasemda um fundinn. Í meðfylgjandi svörum persónuverndarfulltrúa [sveitarfélagsins] kemur fram að handskrifaðir punktar teljist vinnugögn og verði því ekki afhentir, samkvæmt 8. gr. upplýsingalaga nr. 140/2012. Gögn sem séu á pappír séu geymd í nemendamöppum sem séu í læstum aðgangsstýrðum skjalaskáp. Þá fylgdi erindi kvartenda mynd af texta úrskurðar úrskurðarnefndar um upplýsingamál þar sem fram kemur að núverandi skólastjóri [skólans] hafi farið í gegnum möppur kvartenda og dóttur þeirra en ekki fundið neina handskrifaða punkta af foreldrafundinum.

Með bréfi Persónuverndar 26. mars 2021 var [sveitarfélaginu] boðið að koma á framfæri skýringum vegna framangreindra viðbóta við kvörtun málsins. Af hálfu [sveitarfélagsins] var svarað með bréfi 23. apríl sama ár. Bréfinu fylgdu tölvupóstsamskipti þáverandi skólastjóra [skólans] og fagráðs […] frá 25. mars og 8. apríl 2020, fundargerð foreldrafundar […] 2020 og úrskurðir úrskurðarnefndar um upplýsingamál í málum nr. […] og […].

Persónuvernd sendi kvartendum afrit af svarbréfum [skólans] og [sveitarfélagsins] 4. ágúst 2021 og upplýsti þá jafnframt um vettvangsathugun Persónuverndar á bæjarskrifstofu [sveitarfélagsins] 14. apríl sama ár.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði. 

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Kvartendur telja að afgreiðsla [skólans] og [sveitarfélagsins] á beiðni þeirra um gögn með persónuupplýsingum þeirra og dóttur þeirra hafi ekki samrýmst persónuverndarlöggjöfinni. Þegar gögnin hafi verið afhent hafi þau haft rökstuddan grun um að ekki hefðu öll gögn verið afhent og þau því haft samband við persónuverndarfulltrúa [sveitarfélagsins]. Í kjölfarið hafi þau fengið fleiri gögn afhent. Kvartendur telja að þau hafi enn ekki fengið öll þau gögn afhent sem þau eigi rétt á og vísa til þess að í svari persónuverndar­fulltrúans hafi komið fram að skólinn hafi ákveðið að halda eftir gögnum varðandi samskipti við foreldra [annarra nemenda] án þess að upplýsa kvartendur um það. Þá vanti blaðsíðutöl í þau gögn sem þau hafi fengið auk þess sem þau eigi tölvupóstsamskipti sem ekki hafi verið afhent. Sem fyrr segir gera kvartendur einnig athugasemdir við yfirstrikanir í þeim gögnum sem þau hafa fengið og að ekki liggi skýrt fyrir hvar gögn um einstaklinga séu geymd.

Auk framangreinds gera kvartendur athugasemdir við að [sveitarfélagið] hafi ekki afhent þeim bréf starfsmanns sveitarfélagsins til fagráðs […] og að hjá sveitarfélaginu finnist ekki handskrifaðar athugasemdir af foreldrafundi […] 2020.

3.

Sjónarmið [sveitarfélagsins] og [skólans]

Í skýringum [sveitarfélagsins] og [skólans] segir að gagnabeiðnir kvartenda hafi verið margar og umfangsmiklar og endurtekið hafi verið óskað eftir gögnum sem þegar hafi verið afhent, gögnum sem kvartendur hafi sjálf undir höndum og gögnum sem þau telji að séu til en séu það ekki. Fyrsta gagnabeiðni kvartenda hafi borist 29. mars 2019 og gögn afhent 26. apríl sama ár. Önnur beiðnin hafi komið fram 15. nóvember 2019 og gögn afhent 13. desember sama ár. Þá hafi verið staðfest 20. janúar 2020 að öll gögn vegna beiðninnar 15. nóvember árið áður hefðu verið afhent. Kvartendur hafi enn á ný óskað eftir aðgangi að öllum gögnum sem varði þau og dóttur þeirra 13. september 2020. Beiðnin hafi ekki verið byggð á sérstökum lagagrundvelli en skjalastjóri og persónuverndarfulltrúi sveitarfélagsins hafi svarað beiðninni á grundvelli persónuverndarlaga 7. október sama ár. Nánar tilgreind gögn hafi þá verið undanskilin afhendingu, annars vegar með vísan til b-liðar 5. mgr. 12. gr. reglugerðar (ESB) 2016/679 og hins vegar með vísan til þess að þau væru vinnugögn, sbr. 3. tölul. 1. mgr. 16. gr. stjórnsýslulaga. Þá hafi kvartendur beðið um afhendingu gagna 2. nóvember 2020. Fram kemur í svörum [sveitarfélagsins] og [skólans] að ekki sé fyrir hendi listi yfir þau gögn sem afhent hafi verið kvartendum.

Fram kemur í svörum [sveitarfélagsins] og [skólans] að leitast hafi verið við að afhenda kvartendum öll gögn sem þau eigi rétt á samkvæmt stjórnsýslu-, upplýsinga- og persónuverndarlögum án þess þó að afhenda gögn sem óheimilt sé að afhenda. Þá hafi kvartendur jafnvel fengið afhent vinnugögn, umfram skyldu sveitarfélagsins. Við afgreiðslu síðari gagnabeiðna hafi á hinn bóginn ekki verið afhent vinnugögn samkvæmt skilgreiningu 3. mgr. 8. gr. upplýsingalaga nr. 140/2012, 3. tölul. 1. mgr. 16. gr. stjórnsýslulaga nr. 37/1993 og 5. mgr. 17. gr. persónuverndarlaga nr. 90/2018.

Bréf starfsmanns sveitarfélagsins til fagráðs […], sem fylgdi erindi kvartenda 12. desember 2020, hafi verið tölvuskeyti þáverandi skólastjóra [skólans] til fagráðs […] frá 8. apríl 2020. Skeytið hafi því verið sent eftir að upphafleg kvörtun kvartenda barst Persónuvernd 21. mars sama ár. Ekki liggi fyrir á grundvelli hvaða beiðni afhenda hefði átt kvartendum skeytið eða hvort það hafi verið afhent. Á hinn bóginn sé í tölvuskeytinu fjallað um viðkvæm málefni kennara og annarra barna og byggja [sveitarfélagið] og [skólinn] á því að skeytið sé því undanþegið aðgangsrétti kvartenda á grundvelli stjórnsýslu- og upplýsingalaga og þar með á grundvelli persónuverndarlöggjafarinnar, sbr. 6. mgr. 17. gr. laga nr. 90/2018.

Um handskrifaða punkta af foreldrafundinum […] 2020 vísa [sveitarfélagið] og [skólinn] til þess sem fram kemur í úrskurðum úrskurðarnefndar um upplýsingamál nr. […] og […]. Sá aðili sem ritað hafi fundargerð foreldrafundarins hafi upplýst um að hún taki niður punkta í starfi sínu til eigin nota, t.d. við ritun fundargerða. Þessir punktar nýtist aðeins henni sjálfri og hún tæti þá reglulega, í síðasta lagi í lok skólaárs.

Þá kemur fram í bréfum [sveitarfélagsins] og [skólans] til Persónuverndar og fylgiskjölum með þeim að gögn skólans séu ýmist vistuð rafrænt í skjalakerfinu ONE eða í nemendamöppum sem geymdar séu í læstum skjalaskáp skólans.

4.
Vettvangsathugun Persónuverndar

Starfsmenn Persónuverndar fóru á bæjarskrifstofu [sveitarfélagsins] 14. apríl 2021 þar sem skjalastjóri sveitarfélagsins fór yfir gögn í ONE skjalakerfinu tengdum kvörtunum kvartenda gagnvart [sveitarfélaginu] og [skólanum]. Auk skjalastjórans voru viðstaddir fulltrúar [sveitarfélagsins] og [skólans].

Starfsmenn Persónuverndar voru upplýstir um að ekki lægi fyrir heildstæður listi yfir þau gögn sem hefðu verið afhent kvartendum eða yfir þau gögn sem hefðu verið undanskilin aðgangi þeirra. Með hliðsjón af því sem hafði komið fram í málinu um að tölvupóstsamskipti starfsmanna skólans við foreldra annarra nemenda hefðu verið undanskilin aðgangi kvartenda, með vísan til hagsmuna þessara nemenda, var málaskrá skólans skoðuð fyrir hvern umræddan nemanda. Umfang gagnanna var það mikið að ekki þóttu tök á að skoða hvert og eitt skjal en þau skjöl voru opnuð sem talin var ástæða til að skoða með vísan til framangreinds, þ.e. einkum tölvupóstsamskipti við foreldra annarra nemenda en dóttur kvartenda. Þar á meðal voru tölvuskeyti þar sem vísað var til dóttur kvartenda en meginefni skeytanna varðaði þó aðra nemendur. Auk þess voru önnur skjöl skoðuð af handahófi.

5.
Úrskurðir úrskurðarnefndar um upplýsingamál

Í úrskurði úrskurðarnefndar um upplýsingamál nr. […] frá […] er fjallað um afgreiðslu [sveitarfélagsins] á beiðni annars kvartanda þessa máls um öll gögn sem til hafi verið í kerfum sveitarfélagsins og [skólans] fram til 30. júní 2020 og vörðuðu kvartendur og dóttur þeirra. Í úrskurðinum segir að gögnin hafi verið afhent kvartanda 23. júní 2020. Daginn eftir hafi hinn kvartandi þessa máls tjáð sveitarfélaginu að tiltekin gögn hefðu ekki verið meðal þeirra gagna sem hefðu verið afhent. Þar á meðal væri bréf til fagráðs hjá Menntamálastofnun og handskrifaðir punktar af foreldrafundi frá því í […] 2020. Í svörum sveitarfélagsins hafi komið fram að handskrifaðir punktar af foreldrafundi í […] 2020 teldust vinnugögn samkvæmt 5. tölul. 6. gr., sbr. 8. gr. upplýsingalaga, og yrðu af þeirri ástæðu ekki afhentir. Þá hefðu öll gögn verið afhent samkvæmt beiðni kvartanda. Í niðurstöðu úrskurðarins segir meðal annars um bréfið til fagráðs hjá Menntamálastofnun að misskilnings virðist hafa gætt milli kvartanda og sveitarfélagsins og hafi kvartandi í reynd átt við tölvuskeyti milli starfsmanns sveitarfélagsins og fagráðsins frá 11. mars 2020. Samkvæmt sveitarfélaginu hefðu þau gögn, sem vísað hefði verið til í tölvuskeytinu sem sendibréf, þegar verið afhent kvartanda og taldi úrskurðarnefndin ekki forsendur til að draga þá staðhæfingu í efa. Þá segir um handskrifaða punkta af foreldrafundinum í […] 2020 að samkvæmt upplýsingum frá sveitarfélaginu liggi í reynd ekki fyrir punktar af foreldrafundinum samkvæmt 1. mgr. 5. gr. laga nr. 140/2012. Úrskurðarnefndin hafi ekki forsendur til að draga þá staðhæfingu í efa og því sé ekki um synjun um aðgang að gögnum að ræða. Niðurstaða úrskurðarins er á þá leið að kvartandi hafi ýmist fengið öll þau gögn sem beiðni hans hafi náð til og liggi fyrir hjá sveitarfélaginu eða að viðkomandi gögn liggi ekki fyrir samkvæmt 1. mgr. 5. gr. laga nr. 140/2012.

Í úrskurði úrskurðarnefndar um upplýsingamál nr. […] frá […] er fjallað um afgreiðslu [sveitarfélagsins] á beiðni annars kvartanda frá 22. ágúst 2020 um afrit af öllum gögnum frá C sem vörðuðu kvartendur og dóttur þeirra, bæði handskrifuð gögn og gögn úr kerfum sveitarfélagsins, þ.e. frá bæjarskrifstofu og [skólanum]. Í úrskurðinum segir að í svari sveitarfélagsins við beiðninni hafi komið fram að gögnin sem óskað hefði verið eftir væru tilbúin til afhendingar. Kvartandi hafi í kjölfarið tjáð sveitarfélaginu að ýmis gögn vantaði, svo sem fundargerðir, punkta sem C hefði tekið niður á foreldrafundi, samskipti við […] o.fl. Í svari [sveitarfélagsins] hafi komið fram að sjálfsagt væri að skoða hvort tilteknar fundargerðir vantaði en að önnur gögn væru ýmist vinnugögn eða þess eðlis að óheimilt væri að afhenda þau. Í niðurstöðu úrskurðarins er vísað til úrskurðar nefndarinnar nr. […] um að samkvæmt upplýsingum frá [sveitarfélaginu] liggi handskrifuð gögn af foreldrafundi ekki fyrir, samkvæmt 1. mgr. 5. gr. laga nr. 140/2012, og að ekkert hafi komið fram við meðferð málsins sem hafi gefið til kynna að úrskurðarnefndin hafi byggt á röngum upplýsingum í framangreindum úrskurði.

II.
Forsendur og niðurstaða

1.
Afmörkun máls, gildissvið og ábyrgðaraðili

Mál þetta lýtur að afgreiðslu [sveitarfélags] og [skóla] á beiðni kvartenda um aðgang að gögnum með persónuupplýsingum þeirra og dóttur þeirra auk þess sem kvartendur telja að ekki liggi skýrt fyrir hvar sveitarfélagið og skólinn geymi gögn einstaklinga. Við meðferð málsins hefur komið fram að um er að ræða gögn í rafrænu skjalakerfi [sveitarfélagsins], ONE, og gögn í nemendamöppu dóttur kvartenda, sem geymd er í skjalaskáp skólans. Enn fremur er um að ræða handskrifaða punkta sem fundaritari tók niður á foreldrafundi í […] 2020 og gera kvartendur einnig athugasemd við að svo virðist sem þeim hafi verið eytt eftir að þau báðu um að fá afrit þeirra afhent.

Gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Við meðferð málsins hefur ekkert komið fram sem bendir til þess að handskrifaðir punktar, sem fundaritari tók niður á foreldrafundi í […] 2020 til eigin nota við gerð fundargerðar, hafi verið gerðir hluti af skrá. Samkvæmt framangreindum ákvæðum falla þeir því utan gildissviðs persónuverndarlaganna og þar með valdsviðs Persónuverndar. Á hinn bóginn fellur vinnsla persónuupplýsinga í rafrænu skjalakerfi [sveitarfélagsins] og í nemendamöppum skólans undir gildissvið laganna og þar með valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til teljast [sveitarfélagið] og [skólinn] vera sameiginlegir ábyrgðaraðilar að vinnslu persónuupplýsinga í rafrænu skjalakerfi sveitarfélagsins en [skólinn] er einn ábyrgðaraðili að vinnslu persónuupplýsinga í nemendamöppum skólans.

2.
Lagaumhverfi

Í þessu máli reynir á hvort ábyrgðaraðilar hafi afgreitt beiðni kvartenda um aðgang að persónuupplýsingum þeirra og dóttur þeirra í samræmi við ákvæði laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.

Krafa persónuverndarlöggjafarinnar um lögmæta, sanngjarna og gagnsæja vinnslu, samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðarinnar, felur meðal annars í sér að einstaklingum á að vera það ljóst þegar persónuupplýsingum um þá er safnað eða þær notaðar, skoðaðar eða unnar á annan hátt, að hvaða marki þær eru eða munu vera unnar og í hvaða tilgangi. Aðgangsréttur samkvæmt 17. gr. laga nr. 90/2018 og 15. gr. reglugerðarinnar er þáttur í því að tryggja framangreint og verður að skoða í því ljósi.

Samkvæmt 2. mgr. 17. gr. laga nr. 90/2018 á hinn skráði rétt til aðgangs að persónuupplýsingum um sig samkvæmt fyrirmælum 15. gr. reglugerðarinnar, með þeirri undanþágu þó að réttindi hins skráða þurfa að víkja ef brýnir hagsmunir einstaklinga sem tengjast upplýsingunum, þar á meðal hins skráða sjálfs, vega þyngra, sbr. 3. mgr. 17. gr. laganna.

Í 1. mgr. 15. gr. reglugerðarinnar segir að skráður einstaklingur skuli eiga rétt á að fá staðfestingu á því frá ábyrgðaraðila hvort unnar séu persónuupplýsingar um hann og, sé svo, rétt til aðgangs að persónuupplýsingunum. Samkvæmt 3. mgr. sömu greinar skal ábyrgðaraðili láta hinum skráða í té afrit af þeim persónuupplýsingum sem eru í vinnslu en réttur hins skráða þar að lútandi skal ekki skerða réttindi og frelsi annarra, sbr. 4. mgr. greinarinnar.

Þá er í 6. mgr. 17. gr. laga nr. 90/2018 kveðið á um að upplýsingar í málum sem eru til meðferðar hjá stjórnvöldum megi undanþiggja réttinum til aðgangs samkvæmt 1. mgr. 15. gr. reglugerðarinnar að sama marki og gildir um undantekningar á upplýsingarétti samkvæmt stjórnsýslu- og upplýsingalögum. Í athugasemdum við ákvæðið segir að miðað sé við að réttur til aðgangs samkvæmt persónuverndarlögum verði sambærilegur við rétt aðila máls samkvæmt 15. gr. stjórnsýslulaga og rétt almennings samkvæmt 5. gr. upplýsingalaga. Af því leiði að aðili geti ekki krafist aðgangs að skjölum eða öðrum gögnum á grundvelli persónuverndarlaga sem séu undanþegin aðgangi samkvæmt stjórnsýslu- eða upplýsingalögum.

Séu aðgangsbeiðnir augljóslega tilefnislausar eða óhóflegar, einkum vegna endurtekningar, er ábyrgðaraðila heimilt að setja upp sanngjarnt gjald með tilliti til kostnaðar eða neita að verða við beiðninni en það skal þá vera ábyrgðaraðilans að sýna fram á að beiðni hafi verið tilefnislaus eða óhófleg, sbr. 5. mgr. 12. gr. reglugerðarinnar.

Verði ábyrgðaraðili ekki við beiðni skráðs einstaklings samkvæmt framangreindum ákvæðum skal hann tilkynna honum án tafar um ástæðurnar fyrir því að það var ekki gert og um möguleikann á að leggja fram kvörtun hjá eftirlitsyfirvaldi og leita réttarúrræðis, sbr. 4. mgr. 12. gr. reglugerðarinnar.

3.

Niðurstaða

Upphafleg kvörtun í þessu máli barst Persónuvernd 21. mars 2020 og töldu kvartendur þá að þau hefðu ekki fengið öll gögn afhent sem þau ættu rétt á samkvæmt persónuverndarlöggjöfinni. Þá upplýstu kvartendur Persónuvernd um það með tölvuskeyti 12. desember 2020 að þau hefðu ekki fengið afhent bréf sem starfsmaður sveitarfélagsins hefði sent fagráði […]. Upplýst hefur verið um að bréfið hafi verið tölvuskeyti þáverandi skólastjóra [skólans] sem sendur var fagráðinu 8. apríl 2020.

Í fyrrgreindum úrskurði úrskurðarnefndar um upplýsingamál nr. , sem kveðinn var upp […], var fjallað um afgreiðslu [sveitarfélagsins] á beiðni annars kvartanda þessa máls um öll gögn sem voru til í kerfum sveitarfélagsins og [skólans] fram til 30. júní 2020 og vörðuðu kvartendur og dóttur þeirra. Niðurstaða úrskurðarnefndarinnar er á þann veg að kvartandi hafi ýmist fengið öll þau gögn í hendur sem beiðni hans náði til og lágu fyrir hjá sveitarfélaginu eða að viðkomandi gögn teljist ekki hafa legið fyrir samkvæmt ákvæðum upplýsingalaga.

Samkvæmt 6. mgr. 17. gr. laga nr. 90/2018, sem rakin er hér að framan, geta kvartendur ekki átt ríkari rétt til aðgangs að gögnum á grundvelli laga nr. 90/2018 en þeir eiga samkvæmt upplýsingalögum nr. 140/2012. Með vísan til framangreinds úrskurðar verður því að telja að kvartendur hafi fengið öll þau gögn í hendur sem kvartanir þeirra lúta að og þau eiga rétt til samkvæmt persónuverndarlöggjöfinni.

Á hinn bóginn fjallaði úrskurðarnefndin í framangreindum úrskurðum ekki sérstaklega um tölvupóstsamskipti milli [skólans] og foreldra annarra barna í skólanum eða um yfirstrikanir í þeim gögnum sem voru afhent og þykir því rétt að fjalla um þau atriði hér. Þá þarf að taka til skoðunar hvort afgreiðsla aðgangsbeiðna kvartenda hafi að öðru leyti verið í samræmi við ákvæði reglugerðar (ESB) 2016/679 og laga nr. 90/2018.

Í bréfi persónuverndarfulltrúa [sveitarfélagsins] 13. desember 2019, þar sem aðgangsbeiðni kvartenda frá 15. nóvember sama ár var svarað, segir að strikað hafi verið yfir nöfn eða upplýsingar um aðra nemendur með vísan til m.a. 3. mgr. 17. gr. laga nr. 90/2018. Þá kemur fram í tölvuskeyti persónuverndarfulltrúans til kvartenda 23. janúar 2020 að ekki hafi verið afhent tölvupóstsamskipti við foreldra annarra nemenda þar sem þau hafi fyrst og fremst fjallað um aðra nemendur en dóttur þeirra og um hafi verið að ræða mjög viðkvæmar persónuupplýsingar um þau börn.

Skýrt er kveðið á um það í 4. mgr. 15. gr. reglugerðar (ESB) 2016/679 að rétturinn til að fá afrit af þeim persónuupplýsingum sem eru í vinnslu skuli ekki skerða réttindi og frelsi annarra. Niðurstaða vettvangsathugunar starfsmanna Persónuverndar á bæjarskrifstofu [sveitarfélagsins] var að við afhendingu gagna til kvartenda hafi sveitarfélagið og skólinn gætt að réttindum og frelsi annarra skráðra einstaklinga í samræmi við framangreint ákvæði. Til að mynda hafi umrædd tölvupóstsamskipti við foreldra annarra barna fyrst og fremst varðað aðra nemendur þótt þar hafi verið vísað til dóttur kvartenda og því hafi verið rétt að undanskilja þau aðgangi kvartenda. Er það því niðurstaða Persónuverndar að mat og ákvörðun sveitarfélagsins og skólans á því hvaða gögn kvartendur skyldu fá afhent og með hvaða hætti hafi samrýmst ákvæðum 1., 3. og 4. mgr. 15. gr. reglugerðarinnar, sbr. 2. mgr. 17. gr. laga nr. 90/2018. Kvartendur hafa þar af leiðandi fengið afhent öll þau gögn sem þau eiga rétt til aðgangs að á grundvelli umræddra beiðna þeirra um aðgang að persónuupplýsingum þeirra og dóttur þeirra, samkvæmt ákvæðum laga nr. 90/2018 og reglugerðar (ESB) 2016/679.

Í samræmi við 4. mgr. 12. gr. reglugerðar (ESB) 2016/679 bar [sveitarfélaginu] og [skólanum] án tafar og síðasta lagi innan mánaðar frá viðtöku beiðni kvartenda að upplýsa þá um að tiltekin gögn yrðu ekki afhent með vísan til hagsmuna annarra einstaklinga og um möguleikann á að leggja fram kvörtun hjá Persónuvernd. Samkvæmt fyrirliggjandi gögnum var það fyrst gert í tölvuskeyti persónuverndarfulltrúa [sveitarfélagsins] til kvartenda 23. janúar 2020 eða rúmum tveimur mánuðum eftir að kvartendur báðu um afhendingu gagnanna 15. nóvember 2019. Afgreiðsla [sveitarfélagsins] og [skólans] var að þessu leyti ekki í samræmi við ákvæði 4. mgr. 12. gr. reglugerðarinnar, sbr. 1. mgr. 17. gr. laga nr. 90/2018.

Samkvæmt því sem fram kemur í fyrirliggjandi tölvupóstsamskiptum kvartenda og persónuverndarfulltrúa [sveitarfélagsins] er enn fremur ljóst að kvartendur fengu ekki öll gögn afhent sem þau áttu rétt á að fá afhent þegar beiðni þeirra var afgreidd 13. desember 2019 og að kvartendur þurftu sjálf að eiga frumkvæði að því að frekari gögn yrðu afhent. Afgreiðsla [sveitarfélagsins] og [skólans] var að þessu leyti ekki í samræmi við ákvæði 3. mgr. 12. gr. og 3. mgr. 15. gr. reglugerðar (ESB) 2016/679, sbr. 2. mgr. 17. gr. laga nr. 90/2018.

Ú r s k u r ð a r o r ð:

[Sveitarfélagið] og [skólinn] hafa afhent [A] og [B] þau gögn sem þeim bar að afhenda á grundvelli beiðna kvartenda um aðgang að persónuupplýsingum þeirra og dóttur þeirra, samkvæmt ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerðar (ESB) 2016/679.
Afgreiðsla [sveitarfélagsins] og [skólans] á aðgangsbeiðnum kvartenda var ekki í samræmi við 3. og 4. mgr. 12. gr. og 3. mgr. 15. gr. reglugerðar (ESB) 2016/679, sbr. 1. og 2. mgr. 17. gr. laga nr. 90/2018.

Í Persónuvernd, 1. september 2021,

Helga Þórisdóttir                  Valborg Steingrímsdóttir