Ákvörðun um afhendingu Barnaverndarstofu á gögnum til fjölmiðla

Mál nr. 2018/839

30.10.2018

Ákvörðun

 

Á fundi stjórnar Persónuverndar 15. október 2018 var tekin eftirfarandi ákvörðun í máli nr. 2018/839:

 

I.
Málsmeðferð

Ákvörðun þessi er niðurstaða Persónuverndar í frumkvæðisathugunarmáli stofnunarinnar á afhendingu Barnaverndarstofu á gögnum til fjölmiðla á vormánuðum 2018.

 

1.
Tildrög máls

Í frétt á vefmiðli Stundarinnar 3. maí 2018 undir fyrirsögninni „Barnaverndarstofa túlkar upplýsingalögin allt öðruvísi heldur en ráðuneytið og velferðarnefnd“ sagði meðal annars:

 

„Barnaverndarstofa hefur afhent RÚV og Stundinni hundruð blaðsíðna af gögnum, meðal annars um einstök barnaverndarmál og umgengnisdeilur foreldra, með nöfnum og ýmsum persónugreinanlegum atriðum afmáðum.

 

Í gagnapakkanum er til að mynda að finna fundargerð af fundi Barnaverndarstofu um mál […] sem hefur verið til umfjöllunar í fjölmiðlum.“

 

Með vísan til þessara ummæla ákvað Persónuvernd að hefja frumkvæðisathugun á afhendingu Barnaverndarstofu á gögnum til Ríkisútvarpsins og Stundarinnar. Með bréfi, dagsettu 4. maí 2018, var Barnaverndarstofu tilkynnt um að Persónuvernd hefði hafið frumkvæðisathugun sem beindist að vinnslu persónuupplýsinga á vegum Barnaverndarstofu, nánar tiltekið á afhendingu persónuupplýsinga, eins og þær væru skilgreindar í 1. tölulið 2. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Óskaði Persónuvernd jafnframt eftir upplýsingum um eftirfarandi:

 

1.  Hvort persónuupplýsingar hefðu verið afhentar fjölmiðlum í samræmi við það sem fram kemur í framangreindri frétt Stundarinnar.

2.  Við hvaða heimild sú vinnsla styddist, sbr. 8. og 9. gr. laga nr. 77/2000.

3.  Hvernig sú vinnsla samrýmdist ákvæðum 7. gr. laga nr. 77/2000.

4.  Hvort fræðsla hefði verið veitt hinum skráðu og hvers efnis sú fræðsla hefði verið, samkvæmt 20. og 21. gr. laga nr. 77/2000.

5.  Hvernig afhendingin samrýmdist 9. gr. upplýsingalaga nr. 140/2012.

 

2.
Meðferð málsins

2.1.
Svarbréf Barnaverndarstofu

Barnaverndarstofa svaraði með bréfi, dagsettu 7. júní 2018. Í bréfinu er farið yfir aðdraganda málsins. Barnaverndarstofu hafi borist upplýsingabeiðnir frá þremur fjölmiðlum í kjölfar fréttaumfjöllunar um umkvartanir barnaverndarnefnda til velferðarráðuneytisins vegna samskipta við Barnaverndarstofu og þáverandi forstjóra hennar.

 

Með tölvupósti 23. febrúar 2018 hafi aðgangs verið óskað af hálfu Eyjunnar að svörum Barnaverndarstofu við erindi velferðarráðuneytisins frá 21. nóvember 2017, ásamt fylgigögnum. Beiðninni hafi ekki verið fylgt eftir og engin gögn hafi verið afhent.

 

Með tölvupósti 10. apríl 2018 hafi aðgangs verið óskað af hálfu Ríkisútvarpsins að gögnum sem varðað hafi rannsókn á umkvörtunum þriggja barnaverndarnefnda vegna samskipta þeirra við Barnaverndarstofu og þáverandi forstjóra hennar. Einnig hafi verið óskað eftir öllum gögnum sem send hafi verið velferðarráðuneytinu vegna málsins. Beiðnin hafi verið ítrekuð með tölvupósti 27. sama mánaðar.

 

Með tölvupósti 30. apríl 2018 hafi aðgangs verið óskað af hálfu Stundarinnar að gögnum Barnaverndarstofu sem varðað hafi kvartanir barnaverndarnefnda á höfuðborgarsvæðinu til velferðarráðuneytisins vegna samskipta við Barnaverndarstofu, að því marki sem Barnaverndarstofa teldi sér heimilt að afhenda gögn með hliðsjón af viðkvæmum persónuupplýsingum sem í þeim kynnu að vera.

 

Barnaverndarstofa hafi tekið saman umbeðin gögn vegna framangreindrar beiðni Eyjunnar. Farið hafi verið yfir þau gögn þegar upplýsingabeiðnin hafi borist frá Ríkisútvarpinu og síðar Stundinni. Lokið hafi verið að fara yfir gögnin og afmá úr þeim persónugreinanlegar upplýsingar 27. apríl 2018. Gögnin hafi verið afhent Ríkisútvarpinu 30. sama mánaðar og Stundinni 2. maí 2018.

 

Í svarbréfi Barnaverndarstofu segir að við yfirferð gagnanna hafi meginregla 5. gr. upplýsingalaga nr. 140/2012 verið höfð til hliðsjónar, með þeim takmörkunum sem hún kveði á um. Lögfræðingur Barnaverndarstofu hafi farið yfir gögnin og tryggt að ekki kæmu fram persónuauðkenni aðila þeirra mála sem séu til umfjöllunar í þeim. Einnig hafi verið farið yfir hvort upplýsingar í gögnunum kynnu að vera persónugreinanlegar, það er, hvort mögulegt væri að rekja upplýsingarnar til tiltekins einstaklings, svo sem með öðrum upplýsingum um viðkomandi mál sem hægt væri að nálgast með leit í fjölmiðlum, á netinu eða með öðrum sambærilegum hætti. Barnaverndarstofa hafi reynt að tryggja að ekki yrðu afhentar persónuupplýsingar eins og þær hafi verið skilgreindar í þágildandi lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Einnig hafi verið haft til hliðsjónar að barnaverndarmál séu í eðli sínu viðkvæm mál sem fjalli um mikilvæga hagsmuni barna og fjölskyldna þeirra og að trúnaðarskyldur hvíli á þeim sem vinni á sviði barnaverndar, sbr. 8. mgr. 4. gr. barnaverndarlaga nr. 80/2002. Af þeim sökum hafi verið skyggt yfir tilteknar upplýsingar í gögnunum, svo sem kyn, aldur, dvalarstað og þess háttar, auk allra nafna, kennitalna og heimilisfanga.

 

Áður en gögnin hafi verið afhent hafi birst frétt í vefútgáfu og prentútgáfu Stundarinnar, 27. apríl 2018, um málefni tengd þáverandi forstjóra Barnaverndarstofu. Í fréttinni hafi meðal annars verið fjallað um kvartanir barnaverndarnefnda til velferðarráðuneytisins vegna afskipta forstjórans af einstökum málum. Að mati Barnaverndarstofu hafi mátt ráða af fréttinni að Stundin hefði undir höndum gögn tiltekins barnaverndarmáls enda hafi meðferð þess verið rakin. Í fréttinni hafi sagt að gögnin kæmu frá tilteknum barnaverndarnefndum en hefðu átt viðkomu á fleiri stigum stjórnsýslunnar, meðal annars hjá Barnaverndarstofu, sýslumanni, dómsmálaráðuneytinu og velferðarráðuneytinu.

 

Einnig segir í svarbréfinu að ætla megi að framangreind málsgögn hafi borist Stundinni frá málsaðilum sjálfum þar sem þau hafi tengst fleiri en einu máli innan stjórnsýslunnar hjá ólíkum og ótengdum stjórnvöldum.

 

Þá segir í svarbréfinu að Barnaverndarstofa hafi ekki vitað af frétt Stundarinnar frá 27. apríl 2018 þegar hún hafi afhent gögnin. Eftir að gögnin hafi verið afhent hafi fréttin, sem Persónuvernd vísaði til í erindi sínu, birst í vefmiðli Stundarinnar.

 

Í svarbréfinu er spurningum Persónuverndar svarað með eftirfarandi hætti:

 

1. Barnaverndarstofa kveðst hafa beitt tiltekinni aðferðafræði við að fara yfir gögnin til að tryggja að ekki yrðu afhentar persónuupplýsingar um aðila einstakra barnaverndarmála. Í kjölfar erindis Persónuverndar hafi aftur verið farið ítarlega yfir gögnin og þá aðferðafræði sem viðhöfð hafi verið við yfirferðina. Við endurskoðun Barnaverndarstofu hafi komið í ljós að umfjöllun í gögnunum geti í fjórum tilvikum leitt til þess, sé hún skoðuð með öðrum upplýsingum, að mögulegt geti verið að rekja upplýsingarnar til tiltekinna einstaklinga. Í þeim tilvikum geti því verið um persónuupplýsingar að ræða samkvæmt skilgreiningu 1. töluliðar 2. gr. laga nr. 77/2000. Við mat á því hvort upplýsingarnar séu persónugreinanlegar verði að líta til þess hversu sennilegt sé að unnt sé að rekja þær til tiltekins einstaklings og að það sé ekki háð svo mörgum skilyrðum að aðeins sé um fræðilegan möguleika að ræða.

 

Í fyrsta tilvikinu er greint nokkuð ítarlega frá aðstæðum annars foreldris. Vísar Barnaverndarstofa til umfjöllunar í fjölmiðlum og segir að þegar hún sé borin saman við upplýsingar úr gögnunum kunni upplýsingarnar í þeim að teljast persónugreinanlegar.

 

Í öðru tilvikinu er greint tiltölulega nákvæmlega frá fjölskylduaðstæðum og þeim atvikum sem leiddu til meðferðar máls hjá tiltekinni barnaverndarnefnd. Vísar Barnaverndarstofa til umfjöllunar í fjölmiðlum og segir að þegar hún sé borin saman við upplýsingar úr gögnunum kunni upplýsingarnar í þeim að teljast persónugreinanlegar.

 

Í þriðja tilvikinu er greint frá fjölskylduaðstæðum og úrræðum sem beitt var, sem og málsmeðferð fyrir tiltekinni barnaverndarnefnd. Vísar Barnaverndarstofa til umfjöllunar í fjölmiðlum og segir að með hliðsjón af henni geti upplýsingar í gögnunum talist persónugreinanlegar.

 

Í fjórða tilvikinu er greint frá atvikum máls og meðferð þess. Við nánari athugun virðist Barnaverndarstofu sem yfirstrikanir í texta gagnanna hafi ekki verið fullnægjandi. Einnig sé ljóst að umfjöllunin þrengi að einhverju leyti hringinn þannig að það kunni að vera mögulegt fyrir þá sem þekki til að greina þá einstaklinga sem upplýsingarnar varða.

 

Þá segir í bréfinu að Barnaverndarstofa telji þau fjögur tilvik sem að framan greini ekki þess eðlis að um persónugreinanlegar upplýsingar sé að ræða þar sem þau séu afmörkuð og háð því að viðkomandi afli sér viðbótarupplýsinga og/eða gagna til að geta hugsanlega greint hvaða aðila fjallað sé um. Við mat á því hvort um persónugreinanlegar upplýsingar sé að ræða telji Barnaverndarstofa rétt að benda á að í sjónvarpsfréttum Ríkisútvarpsins 14. maí 2018 og í samhljóða frétt sama miðils 15. sama mánaðar hafi meðal annars komið fram að fréttastofan hefði fengið gögnin afhent eftir að persónugreinanlegar upplýsingar hefðu verið fjarlægðar. Í fréttum á vef Stundarinnar 3. og 11. maí síðastliðinn hafi jafnframt verið tekið fram að gögn hafi verið afhent með nöfnum og ýmsum persónugreinanlegum atriðum afmáðum. Þeir fjölmiðlar sem hafi fengið gögn afhent hafi því ekki talið að upplýsingar í þeim væru persónugreinanlegar og styðji það framangreint mat Barnaverndarstofu.

 

2. Barnaverndarstofa kveðst hafa afhent umrædd gögn með þeim formerkjum að í þeim væru ekki persónuupplýsingar, eins og þær hafi verið skilgreindar í lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, um aðra en opinbera starfsmenn. Upplýsingar um opinbera starfsmenn verði ekki taldar lúta að einkamálefnum samkvæmt 9. gr. upplýsingalaga nr. 140/2012 og umfjöllun ekki þess efnis að hún eigi að teljast undanskilin aðgangi almennings samkvæmt 7. gr sömu laga. Að mati Barnaverndarstofu hafi afhending gagnanna því ekki brotið í bága við ákvæði 8. og 9. gr. laga nr. 77/2000 heldur eftir atvikum stuðst við 3. tölulið 8. gr. laganna enda hafi hún byggst á ákvæðum laga nr. 140/2012.

 

3. Í samræmi við svör í lið 2 hér að framan sé það mat Barnaverndarstofu að afhending gagnanna hafi samrýmst ákvæðum 7. gr. laga nr. 77/2000.

 

4. Með vísan til svara í lið 2 hér að framan telji Barnaverndarstofa að afhending gagnanna hafi ekki falið í sér vinnslu persónuupplýsinga, samkvæmt lögum nr. 77/2000, og að ákvæði 20. og 21. gr. laganna eigi því ekki við.

 

5. Um það hvernig afhending gagnanna hafi samrýmst 9. gr. upplýsingalaga nr. 140/2012 er í bréfi Barnaverndarstofu vísað til fyrrgreindrar aðferðafræði sem notuð hafi verið við yfirferð gagnanna og þeirra ráðstafana sem gerðar hafi verið til að tryggja að ekki yrðu afhentar persónugreinanlegar upplýsingar. Þá telur Barnaverndarstofa að henni hafi verið skylt að afhenda gögnin á grundvelli 1. mgr. 5. gr. laga nr. 140/2012. Beiðnir fjölmiðla um gögn hafi ekki varðað gögn í málum tiltekinna einstaklinga heldur gögn sem varðað hafi samskipti Barnaverndarstofu við velferðarráðuneytið vegna lögbundins eftirlits ráðuneytisins með stofnuninni. Hluti þeirra gagna hafi varðað samskipti Barnaverndarstofu og tiltekinna barnaverndarnefnda sem hafi verið í kastljósi fjölmiðla og hafi því átt erindi við almenning. Flest gögnin sem tengst hafi tilteknum barnaverndarmálum hafi verið niðurstöður eftirlitsmála. Niðurstöðurnar séu eðlislíkar úrskurðum eða dómum, sem séu almennt aðgengilegir. Þá hafi niðurstöðurnar fyrst og fremst verið um hvort formleg málsmeðferð tiltekinna nefnda hafi verið í samræmi við lög. Að sama skapi hafi það verið mat Barnaverndarstofu að almenningur eigi rétt á því að fá upplýsingar um það hvort vinnsla barnaverndarnefnda, sem séu opinber stjórnvöld, sé í samræmi við lög. Því hafi Barnaverndarstofu ekki verið annarra kosta völ en að afhenda umbeðnar upplýsingar. Eftirlitsaðilar, líkt og umboðsmaður Alþingis, hafi árum saman bent á að stjórnvöld hafi verið of treg til að veita upplýsingar. Barnaverndarstofa hafi með afhendingu gagnanna leitast við að sýna ábyrgð og afgreiða beiðnir fjölmiðla í samræmi við lagaskyldu þar að lútandi og góða stjórnsýsluhætti í samræmi við ábendingar eftirlitsaðila.

 

Loks segir í svarbréfi Barnaverndarstofu að framsetning Stundarinnar í frétt sinni 3. maí síðastliðinn hafi ekki gefið raunsanna mynd af afhendingu gagnanna. Fyrir liggi að Barnaverndarstofa sé bundin af upplýsingalögum líkt og aðrar opinberar stofnanir. Hins vegar sé einnig ljóst, með hliðsjón af eðli þeirra upplýsinga sem hún vinni með, lögbundnu hlutverki stofnunarinnar og trúnaðarskyldu, að stofnuninni beri að gæta sérstakrar varfærni við meðferð upplýsingabeiðna. Til framtíðar hafi verið settir frekari verkferlar til að treysta framkvæmd Barnaverndarstofu við meðferð upplýsingabeiðna. Breytt verklag feli meðal annars í sér tvöfalda skoðun þannig að tveir lögfræðingar fari yfir sömu gögn til að tryggja að í þeim séu ekki persónugreinanlegar upplýsingar. Einnig verði litið til þess hvort og hvernig skuli skyggja texta í gögnum fyrir afhendingu þeirra auk þess sem fylgt verði leiðbeiningum sem kunni að koma frá Persónuvernd. Það feli þó ekki í sér afstöðu Barnaverndarstofu um að það verklag, sem stofnunin hafi viðhaft við skoðun umræddra gagna, hafi verið ófullnægjandi eða að í gögnunum hafi verið persónugreinanlegar upplýsingar heldur vilja til þess að vanda eins vel til verka og mögulegt sé.

 

2.2.
Afrit gagnanna send Persónuvernd

Með bréfi, dagsettu 27. júní 2018, óskaði Persónuvernd eftir því að stofnuninni yrðu send afrit af öllum þeim gögnum sem afhent voru Ríkisútvarpinu 30. apríl 2018 og Stundinni 2. maí sama árs, eins og þau voru afhent framangreindum aðilum, þ.e. með yfirstrikunum eða skyggingu í samræmi við það sem fram hafi komið í svari Barnaverndarstofu.

 

Barnaverndarstofa sendi umbeðin gögn með bréfi, dagsettu 29. júní 2018. Í bréfinu er vísað til þess að gerð hafi verið úttekt af tveimur óháðum lögfræðingum, sem birst hafi á heimasíðu Stjórnarráðsins. Í henni sé umfjöllun um einstök mál sem athugun Persónuverndar lúti að. Birting úttektarinnar bendi til þess að umræddir lögfræðingar og/eða velferðarráðuneytið telji umrædd samskipti þess eðlis að skylt sé að veita aðgang að þeim á grundvelli upplýsingalaga.

 

Með bréfinu sendi Barnaverndarstofa Persónuvernd framangreinda úttekt á málsmeðferð og efnislegri athugun ráðuneytisins í kjölfar kvartana barnaverndarnefnda í Reykjavík, Hafnarfirði og Kópavogi vegna Barnaverndarstofu og forstjóra hennar, dagsetta 6. júní 2018, og bréf Barnaverndarstofu til velferðarráðuneytisins, dagsett 14. desember 2017, ásamt fylgiskjölum. Fylgiskjölin eru eftirfarandi:

 

1.    Minnisblað forstjóra Barnaverndarstofu vegna minnisblaðs formanns barnaverndarnefndar Reykjavíkur frá 10. nóvember 2017.

2.    Minnisblað forstjóra Barnaverndarstofu vegna samantektar formanns barnaverndarnefndar Reykjavíkur frá 22. nóvember 2017.

3.    Minnisblað forstjóra Barnaverndarstofu vegna samantektar formanns barnaverndarnefndar Hafnarfjarðar frá 16. nóvember 2017.

4.    Niðurstöður könnunar vegna námskeiðs fyrir barnaverndarstarfsmenn 11. og 12. október 2017.

5.    Niðurstöður könnunar vegna námskeiðs fyrir barnaverndarstarfsmenn 1. og 2. nóvember 2017.

6.    Niðurstöður könnunar vegna námskeiðs fyrir barnaverndarstarfsmenn 29. og 30. nóvember 2017.

7.    Útskrift viðtals í Kveik frá 7. nóvember 2017.

8.    Útskrift viðtals í Kastljósi frá 8. nóvember 2017.

9.    Niðurstöður í kvörtunarmálum gagnvart barnaverndarnefnd Reykjavíkur.

10.   Niðurstöður í kvörtunarmálum gagnvart barnaverndarnefnd Hafnarfjarðar.

11.   Skýrsla Ríkisendurskoðunar um stöðu barnaverndarmála á Íslandi frá maí 2015.

12.   Auglýsing um skrár Reykjavíkurborgar samkvæmt 2. mgr. 19. gr. laga nr. 94/1986, um kjarasamninga opinberra starfsmanna frá 23. janúar 2007.

13.   Auglýsing um skrá yfir þau störf hjá Reykjavíkurborg sem undanþegin eru verkfallsheimild frá 22. janúar 2014.

14.   Auglýsing um starf skrifstofustjóra á skrifstofu sviðsstjóra velferðarsviðs Reykjavíkurborgar, ódagsett.

15.   Samantekt frá fundi með starfsmönnum og formanni barnaverndarnefndar Reykjavíkur frá 31. mars 2017.

16.   Niðurstöður könnunar Gallup á ímynd Barnaverndarstofu, október og nóvember 2017.

17.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 8. ágúst 2017.

18.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 20. febrúar 2017.

19.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 4. nóvember 2017.

20.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 2. september 2013.

21.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 3. júlí 2013.

22.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 19. desember 2012.

23.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 10. desember 2010.

24.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 8. maí 2008.

25.   Dagáll frá Barnavernd Reykjavíkur, dagsettur 4. júlí 2002.

26.   Tölvupóstur frá Kópavogsbæ, dagsettur 13. desember 2017.

 

II.
Forsendur og niðurstaða

1.
Lagaskil, gildissvið persónuverndarlaga og afmörkun máls

Öll atvik þessa máls gerðust í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Verður því leyst úr þeim álitamálum sem uppi eru á grundvelli þeirra laga.

 

Um valdheimildir Persónuverndar frá og með 15. júlí 2018 fer hins vegar eftir núgildandi lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

 

Lög nr. 77/2000 giltu um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem voru eða áttu að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar voru skilgreindar í 1. tölulið 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi, og vinnsla sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur vinnslan var handvirk eða rafræn, sbr. 2. tölulið sömu greinar. Í athugasemdum við það ákvæði í frumvarpi að lögum nr. 77/2000 kemur fram að hver sú aðferð, sem nota mátti til að gera upplýsingar tiltækar, teldist til vinnslu.

 

Athugun Persónuverndar í máli þessu lýtur að því hvort Barnaverndarstofa hafi með afhendingu umræddra gagna til fjölmiðla miðlað persónuupplýsingum eins og þær voru skilgreindar í þágildandi lögum nr. 77/2000 og, ef svo var, hvort tilskilin heimild hafi verið fyrir þeirri vinnslu samkvæmt 8. og 9. gr. laganna og hvort vinnslan hafi að öðru leyti verið í samræmi við meginreglur 7. gr. sömu laga. Mál þetta fellur þar af leiðandi undir valdsvið Persónuverndar.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga hafi samrýmst lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölulið 2. gr. laganna er þar átt við þann sem ákvað tilgang vinnslu persónuupplýsinga, þann búnað sem notaður var, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Barnaverndarstofa vera ábyrgðaraðili að umræddri vinnslu.

 

Í samræmi við gildissvið laga nr. 77/2000, sbr. og núgildandi laga nr. 90/2018, og þar með valdsvið Persónuverndar verður ekki lagt mat á það hvort gætt hafi verið að trúnaðarskyldum barnaverndarlaga nr. 80/2002. Þá er að mati Persónuverndar ekki tilefni til að fjalla hér um upplýsingar um þá opinberu starfsmenn sem í gögnunum greinir.

 

2.
Persónuupplýsingar

Samkvæmt skilgreiningu 1. töluliðar 2. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, voru persónuupplýsingar sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, hins skráða. Í athugasemdum við ákvæðið í frumvarpi að lögum nr. 77/2000 segir að hugtakið persónuupplýsingar skyldi, samkvæmt lögunum, vera víðfeðmt og taka til allra upplýsinga, álita og umsagna, sem beint eða óbeint mætti tengja tilteknum einstaklingi. Skilgreiningin hafi byggst á þágildandi tilskipun Evrópuþingsins og ráðsins 95/46/EB, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, og er sérstaklega vísað til 26. liðs í formála tilskipunarinnar. Þar segir:

 

„Meginreglur um vernd skulu gilda um allar persónugreindar eða persónugreinanlegar upplýsingar um einstakling. Til að ákveða hvort hægt sé að tengja upplýsingarnar við einstakling skal tekið mið af öllum aðferðum sem eðlilegt er að hugsa sér að ábyrgðaraðili eða annar aðili beiti til að bera kennsl á viðkomandi einstakling.“

 

Þá er í frumvarpinu einnig vísað til a-liðs 2. gr. tilskipunarinnar sem kvað á um að upplýsingar teldust persónugreinanlegar ef unnt væri að persónugreina þær beint eða óbeint með tilvísun í kennitölu eða einn eða fleiri þætti sem sérkenna hinn skráða í líkamlegu, lífeðlisfræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti.

 

Einstaklingar geta verið auðkenndir á grundvelli breytna sem samanlagðar gefa til kynna hver á í hlut þó svo að engin ein þeirra nægi til þess, ein og sér. Að framangreindu virtu fela þær breytur þá í sér persónuupplýsingar samkvæmt lögum nr. 77/2000 án tillits til þeirra aðferða sem eðlilegt er að hugsa sér að notaðar séu til þess að bera kennsl á hlutaðeigandi einstakling. Að mati Persónuverndar geta upplýsingar því talist til persónuupplýsinga samkvæmt lögunum ef unnt er að nota þær ásamt upplýsingum sem finnast með einfaldri leit á Netinu til þess að bera kennsl á hinn skráða. Einnig verða upplýsingar að teljast persónugreinanlegar ef þeir sem þekkja til hlutaðeigandi geta borið kennsl á hann á grundvelli upplýsinganna, þótt það sé eftir atvikum ekki á allra færi.

 

Í þeim gögnum sem um ræðir eru upplýsingar um einstaklinga sem hafa átt aðild að málum hjá barnaverndarnefndum. Þrátt fyrir að nöfn og kennitölur komi ekki fram eru víða í gögnunum ítarlegar upplýsingar um fjölskylduaðstæður og félagslegar aðstæður þeirra barna sem mál barnaverndarnefnda varða, kyn barnanna, á hvaða aldri eða aldursbili þau eru á tilgreindum tíma, úrræði sem gripið hefur verið til og tímasetningar við meðferð málanna. Þá er yfirleitt ljóst af lestri gagnanna í hvaða sveitarfélagi viðkomandi börn eru. Að mati Persónuverndar eru þessar upplýsingar til þess fallnar að unnt sé að persónugreina viðkomandi börn og fjölskyldumeðlimi þeirra, meðal annars með því að fletta upp tilgreindum breytum um aðstæður viðkomandi á Netinu. Þá er umfjöllun í gögnunum í öðrum tilvikum það nákvæm að leiða þykir mega líkur að því að þeir sem þekki til viðkomandi einstaklinga geti almennt tengt upplýsingarnar við þá og upplýsingarnar þar með orðnar persónugreinanlegar.

 

Þau gögn sem hér um ræðir eru fylgiskjöl nr. […] með fyrrgreindu bréfi Barnaverndarstofu til velferðarráðuneytisins, dagsettu 14. desember 2017.

 

Það er því niðurstaða Persónuverndar að afhending Barnaverndarstofu á umræddum gögnum til Ríkisútvarpsins, 30. apríl 2018, og Stundarinnar, 2. maí sama árs, hafi falið í sér miðlun persónuupplýsinga.

 

Einnig er rétt að nefna að yfirstrikanir í gögnunum með svörtum penna eru ekki fullnægjandi enda er í mörgum tilvikum unnt að lesa hvaða orð er undir. Jafnframt virðist ekki vera samræmi í yfirstrikunum. Í umfjöllun um einstök mál er til dæmis strikað yfir tiltekin orð á sumum stöðun en ekki öðrum. Loks má í öðrum tilvikum lesa út frá samhengi textans hvaða orð hefur verið strikað yfir. Þess skal þó getið að hvergi er í gögnunum unnt að greina nöfn eða kennitölur hinna skráðu.

 

3.
Lögmæti vinnslu

Upplýsingar í umræddum gögnum eru mismunandi eðlis. Í umfjöllun um einstök mál, sem verið hafa til meðferðar hjá tilteknum barnaverndarnefndum, koma fram upplýsingar um heilsuhagi, áfengis- og vímuefnanotkun og upplýsingar um grun um refsiverða háttsemi. Samkvæmt 8. tölulið 2. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, voru viðkvæmar persónuupplýsingar meðal annars upplýsingar um hvort maður hefði verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað (b-liður) og upplýsingar um heilsuhagi, þar á meðal um lyfja-, áfengis- og vímuefnanotkun (c-liður).

 

Í umfjöllun um önnur mál er slíkum upplýsingum ekki fyrir að fara en upplýsingar um að mál barna og fjölskyldna þeirra séu til meðferðar hjá barnaverndarnefnd fela eðli málsins samkvæmt í sér upplýsingar um félagsleg vandamál. Upplýsingar um félagsleg vandamál töldust ekki til viðkvæmra persónuupplýsinga samkvæmt lögum nr. 77/2000 og kemur fram í athugasemdum frumvarps til laganna að það hafi verið í samræmi við skilgreiningu viðkvæmra persónuupplýsinga í þágildandi tilskipun Evrópuþingsins og ráðsins 95/46/EB, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga. Persónuupplýsingar sem vörðuðu félagsleg vandamál heyrðu því til almennra persónuupplýsinga.

 

Samkvæmt lögum nr. 77/2000 þurfti öll vinnsla persónuupplýsinga að byggjast á einhverri þeirra heimilda sem greindi í 8. gr. laganna. Vinnsla viðkvæmra persónuupplýsinga þurfti jafnframt að styðjast við eitthvert þeirra skilyrða sem kveðið var á um í 9. gr. sömu laga.

 

Hvað varðar heimild til vinnslu persónuupplýsinga samkvæmt 8. gr. laga nr. 77/2000 liggur fyrir að afhending Barnaverndarstofu á umræddum gögnum til fjölmiðla byggði ekki á samþykki viðkomandi einstaklinga samkvæmt 1. tölulið greinarinnar. Kemur þá helst til skoðunar heimild samkvæmt 3. tölulið sem kvað á um að vinnsla persónuupplýsinga væri heimil væri hún nauðsynleg til að fullnægja lagaskyldu sem hvíldi á ábyrgðaraðila. Er það jafnframt sú heimild sem vísað er til í svarbréfi Barnaverndarstofu, dagsettu 7. júní 2018.

 

Barnaverndarstofa byggði afhendingu umræddra gagna á ákvæðum upplýsingalaga nr. 140/2012. Samkvæmt 9. gr. þeirra laga er óheimilt að veita almenningi aðgang að gögnum um einkamálefni einstaklinga sem sanngjarnt er og eðlilegt að leynt fari nema sá samþykki sem í hlut á. Í athugasemdum við 9. gr. í frumvarpi til laganna segir að erfitt sé að tilgreina nákvæmlega þau sjónarmið sem stjórnvaldi sé rétt að leggja til grundvallar við mat á því hvaða einkamálefni einstaklinga séu þannig vaxin að þau réttlæti undanþágu frá upplýsingarétti í hverju tilviki. Hins vegar sé engum vafa undirorpið að viðkvæmar persónuupplýsingar samkvæmt lögum um persónuvernd séu allar undanþegnar aðgangi almennings samkvæmt 9. gr. Þar megi til dæmis nefna upplýsingar um litarhátt, kynþátt, stjórnmálaskoðanir og trúarbrögð, upplýsingar um hvort maður hafi verið grunaður, ákærður eða dæmdur fyrir refsiverðan verknað, upplýsingar um kynlíf manna og heilsuhagi og upplýsingar um lyfja-, áfengis- og vímuefnanotkun. Þá kemur fram að hið sama eigi við um upplýsingar um félagsleg vandamál.

 

Upplýsingalög nr. 140/2012 voru sett eftir gildistöku laga nr. 77/2000. Samkvæmt framangreindum athugasemdum þótti rétt að undanþiggja upplýsingarétti upplýsingar um félagsleg vandamál, þrátt fyrir að slíkar upplýsingar teldust ekki viðkvæmar persónuupplýsingar samkvæmt lögum nr. 77/2000. Með hliðsjón af þessum athugasemdum hvílir ekki lagaskylda á stjórnvöldum samkvæmt upplýsingalögum nr. 140/2012 til að veita aðgang að viðkvæmum persónuupplýsingum eins og þær eru skilgreindar í persónuverndarlögum eða upplýsingum um félagsleg vandamál heldur er þeim það óheimilt.

 

Er það því niðurstaða Persónuverndar að Barnaverndarstofu hafi ekki verið heimilt á grundvelli 3. töluliðar 8. gr. laga nr. 77/2000 að miðla til fjölmiðla viðkvæmum persónuupplýsingum og upplýsingum um félagsleg vandamál með afhendingu umræddra gagna. Þá verður ekki séð að vinnslan hafi getað byggst á öðrum heimildarákvæðum 8. gr. laga nr. 77/2000. Er þá jafnframt litið til þess að í athugasemdum við 8. gr. frumvarps að lögum nr. 77/2000 segir að mat á því hvort vinnsla sé nauðsynleg ráðist af eðli og efni þeirra upplýsinga sem unnið sé með. Skipti þá meðal annars máli hvort um sé að ræða upplýsingar um hrein einkamálefni einstaklinga, svo sem félagsleg vandamál, hjónaskilnaði og samvistarslit, ættleiðingar og annað sem sanngjarnt sé og eðlilegt að leynt fari. Í slíkum tilvikum beri að gera ríkar kröfur að því er varði nauðsyn vinnslunnar. Er það mat Persónuverndar að í því máli sem hér um ræðir hafi slík nauðsyn ekki verið fyrir hendi.

 

Þrátt fyrir að fallast megi á þau sjónarmið Barnaverndarstofu að upplýsingar um meðferð barnaverndarmála eigi erindi til almennings þá víkja þau sjónarmið, samkvæmt framangreindu, ekki til hliðar rétti þeirra einstaklinga, sem upplýsingarnar varða, til verndar samkvæmt lögum nr. 77/2000.

 

Loks er, framangreindri niðurstöðu til stuðnings, vísað til 5. töluliðar 1. mgr. 4. gr. reglna nr. 712/2008, sem kveður á um að vinnsla upplýsinga um félagsleg vandamál manna eða önnur einkalífsatriði, svo sem hjónaskilnaði, samvistarslit, ættleiðingar og fóstursamninga, sé háð skriflegri heimild Persónuverndar nema hún sé nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila. Í 2. mgr. sömu greinar segir að ekki þurfi að fá slíkt leyfi ef vinnsla byggist á upplýstu samþykki eða fyrirmælum laga. Í málinu liggur fyrir að ekkert framangreindra skilyrða er fyrir hendi.

 

Að framangreindri niðurstöðu virtri kemur ekki til skoðunar hvort eitthvert skilyrða 9. gr. laga nr. 77/2000 hafi verið fyrir hendi eða hvort vinnslan hafi verið í samræmi við meginreglur 7. gr. laganna.

 

4.
Fyrirmæli Persónuverndar til Barnaverndarstofu

Skilgreining á því hvað teljist vera persónuupplýsingar í 2. tölulið 3. gr. núgildandi laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, er ítarlegri en þó sambærileg skilgreiningu 1. töluliðar 2. gr. eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Í núgildandi lögum eru persónuupplýsingar nánar tiltekið skilgreindar sem upplýsingar um persónugreindan eða persónugreinanlegan einstakling og skal einstaklingur teljast persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Þá segir í 26. lið formála almennu persónuverndarreglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679 að til þess að ákvarða hvort einstaklingur sé persónugreinanlegur eigi að taka mið af öllum þeim aðferðum sem ástæða er til að ætla að annað hvort ábyrgðaraðili eða annar aðili geti beitt til að bera kennsl á viðkomandi einstakling með beinum eða óbeinum hætti. Til að ganga úr skugga um hvort fremur líklegt megi telja að aðferðum verði beitt til að bera kennsl á einstakling eigi að taka tillit til allra hlutlægra þátta, svo sem kostnaðar við það og þess tíma sem það tæki, að teknu tilliti til þeirrar tækni sem fyrir hendi er þegar vinnsla fer fram og til tækniþróunar.

 

Þá eru ákvæði 9. gr. laga nr. 90/2018 um heimildir til vinnslu persónuupplýsinga efnislega sambærileg ákvæðum 8. gr. eldri laga nr. 77/2000.

 

Um heimild Barnaverndarstofu til að afhenda gögn með viðkvæmum persónuupplýsingum eða upplýsingum um félagsleg vandamál gilda enn ákvæði 9. gr. upplýsingalaga nr. 140/2012.

 

Að framangreindu virtu er það mat Persónuverndar að núgildandi lög nr. 90/2018 gildi með sama hætti og eldri lög nr. 77/2000 um afhendingu Barnaverndarstofu á gögnum á grundvelli upplýsingalaga nr. 140/2012, hvað varðar viðkvæmar persónuupplýsingar og upplýsingar um félagsleg vandamál.

 

Í samræmi við 4. tölulið 42. gr. laga nr. 90/2018 beinir Persónuvernd þeim fyrirmælum til Barnaverndarstofu að stofnunin hugi að því framvegis að fyllstu varfærni sé gætt við vinnslu persónuupplýsinga þegar gögn eru afhent á grundvelli upplýsingalaga og að tryggt verði að í þeim gögnum verði ekki upplýsingar sem unnt sé að nota, beint eða óbeint, til þess að auðkenna einstaklinga þegar umfjöllun um þá felur jafnframt í sér viðkvæmar persónuupplýsingar um þá eða upplýsingar um félagsleg vandamál þeirra.

 

Við mat á því hvaða upplýsingar eru persónugreinanlegar ber Barnaverndarstofu að huga að öllum aðferðum, sem ástæða er til að ætla að unnt sé að beita til að bera kennsl á viðkomandi einstakling með beinum eða óbeinum hætti og að teknu tilliti til allra hlutlægra þátta, svo sem kostnaðar við það og þess tíma sem það tæki, að teknu tilliti til þeirrar tækni sem fyrir hendi er þegar vinnsla fer fram og til tækniþróunar.

 

Á k v ö r ð u n a r o r ð:

 

Afhending Barnaverndarstofu á gögnum til Ríkisútvarpsins 30. apríl 2018 og Stundarinnar 2. maí sama árs fól í sér miðlun persónuupplýsinga.

 

Miðlun Barnaverndarstofu á viðkvæmum persónuupplýsingum og upplýsingum um félagsleg vandamál einstaklinga til Ríkisútvarpsins 30. apríl 2018 og Stundarinnar 2. maí sama árs samrýmdist ekki þágildandi lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

 

Persónuvernd beinir þeim fyrirmælum til Barnaverndarstofu að stofnunin hugi að því framvegis að fyllstu varfærni sé gætt við vinnslu persónuupplýsinga þegar gögn eru afhent á grundvelli upplýsingalaga og að tryggt verði að í þeim gögnum verði ekki upplýsingar sem unnt sé að nota, beint eða óbeint, til þess að auðkenna einstaklinga þegar umfjöllun um þá felur jafnframt í sér viðkvæmar persónuupplýsingar eða upplýsingar um félagsleg vandamál þeirra.