Álit um miðlun Útlendingastofnunar á persónuupplýsingum barns til Barnaverndar Kópavogs

Mál nr. 2020092272

11.3.2021

Álit

Efni: Beiðni Útlendingastofnunar um álit Persónuverndar á heimildum stofnunarinnar til miðlunar persónuupplýsinga til barnaverndar Kópavogs

1.

Erindi Útlendingastofnunar

Persónuvernd vísar til erindis Útlendingastofnunar, dags. 3. september 2020, þar sem óskað er eftir áliti Persónuverndar á heimildum stofnunarinnar til þess að miðla persónuupplýsingum barns, þar á meðal viðkvæmum persónuupplýsingum, til barnaverndar Kópavogs.

Í erindinu kemur fram að tilefni álitsbeiðni Útlendingastofnunar sé upplýsingabeiðni barnaverndar Kópavogs vegna vinnslu hagsmunamats barns sem hafi verið með mál til meðferðar hjá stofnuninni. Hafi barnavernd óskað eftir upplýsingum um vinnslu Útlendingastofnunar í máli forsjáraðila. Meðal upplýsinga sem óskað er eftir eru upplýsingar um ákvarðanir stofnunarinnar í málum forsjáraðila barnsins, upplýsingar um samskipti forsjáraðila við Útlendingastofnun og upplýsingar um þann tíma sem málið hefur verið til vinnslu hjá stofnuninni. Í erindinu óskar Útlendingastofnun upplýsinga um það hvort stofnunin hafi heimildir til að miðla auk framangreindra upplýsinga, viðkvæmum persónuupplýsingum til barnaverndar sem stofnunin kann að búa yfir en barnavernd hafi ekki óskað eftir sérstaklega.

Í erindi Útlendingastofnunar kemur fram að barnavernd veki athygli á upplýsingaskyldu gagnvart nefndinni skv. 44. gr. barnaverndarlaga nr. 80/2002, sem gangi framar ákvæðum laga eða siðareglna ákveðinna starfsstétta.

Einnig kemur fram að upplýsingaöflun barnaverndar sé liður í könnun máls sem fari fram á grundvelli barnaverndarlaga sem sé nauðsynleg til að varpa megi sem gleggstu ljósi á aðstæður barns. Þá segir að forsjáraðila sé kunnugt um að leitað sé upplýsinga hjá Útlendingastofnun.

Að lokum kemur fram í erindi Útlendingastofnunar að stofnunin telji að ákvæði 44. gr. barnaverndarlaga nr. 80/2002 nái ekki yfir miðlun persónuupplýsinga til barnaverndar af hálfu Útlendingastofnunar með nægjanlega skýrum hætti. Útlendingastofnun sé því ekki ljóst hvort að stofnunin hafi heimild til að miðla þeim persónuupplýsingum sem barnavernd óski eftir.

2.

Svar Persónuverndar

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölulið 3. gr. laganna og 1. tölulið 4. gr. reglugerðarinnar.

Í 3. tölul. 3. gr. laga nr. 90/2018 eru viðkvæmar persónuupplýsingar skilgreindar. Þar eru meðal annars eftirfarandi upplýsingar skilgreindar sem viðkvæmar persónuupplýsingar: Upplýsingar um kynþátt, þjóðernislegan uppruna, trúarbrögð (a-liður), heilsufarsupplýsingar, þ.e. persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, þ.m.t. heilbrigðisþjónustu sem hann hefur fengið, upplýsingar um lyfja-, áfengis- og vímuefnanotkun (b-liður), upplýsingar um kynlíf manna og kynhneigð (c-liður), erfðafræðilegar upplýsingar (d-liður), lífkennaupplýsingar, svo sem andlitsmyndir eða gögn um fingraför, enda sé unnið með upplýsingarnar í því skyni að persónugreina einstaklinga með einkvæmum hætti.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölulið 3. gr. laganna og 2. tölulið 4. gr. reglugerðarinnar.

Mál þetta lýtur að miðlun Útlendingastofnunar á persónuupplýsingum barns og forsjáraðila þess, eftir atvikum viðkvæmum persónuupplýsingum, til barnaverndar Kópavogs. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Útlendingastofnun vera ábyrgðaraðili að umræddri vinnslu.

2.1

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Má þar nefna að vinna má með persónuupplýsingar hafi hinn skráði, eða forsjáraðili hins skráða, sé um barn að ræða, gefið samþykki sitt fyrir vinnslu á persónuupplýsingum barns síns í þágu eins eða fleiri markmiða, sbr. 1. tölul. þeirrar greinar, sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. sömu greinar, eða vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. sömu greinar. Hvað varðar heimild skv. 5. tölul. skal tekið fram að miðlun upplýsinga frá einu stjórnvaldi til annars telst ekki fela í sér beitingu opinbers valds af hálfu hlutaðeigandi aðila. Þess í stað teldist það fela í sér beitingu opinbers valds af hálfu stjórnvaldsins að kalla eftir upplýsingum innan þess ramma sem viðeigandi lög heimila því. Að öðru leyti geta umræddir töluliðir átt við um miðlun á milli stjórnvaldanna. Við mat á því hvort vinnsla persónuupplýsinga byggir á 3. eða 5. tölul. er mikilvægt að hafa í huga að 3. tölul. 9. gr. gerir ráð fyrir að löggjafinn hafi ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram. Þegar byggt er á 5. tölul. er gert ráð fyrir að stjórnvöld hafi ákveðið svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum viðkomandi stjórnvalds með vísan til almannahagsmuna og beitingu opinbers valds.

Hvað varðar aðrar heimildir ákvæðisins má nefna að ólíklegt er að stjórnvöld geti byggt heimild til vinnslu persónuupplýsinga á samþykki þegar þau starfa innan valdheimilda sinna þar sem það er til staðar valdaójafnvægi á milli ábyrgðaraðila og hins skráða. Þó er ekki þar með sagt að stjórnvöld geti aldrei unnið með persónuupplýsingar á grundvelli samþykkis hins skráða.

Auk heimildar samkvæmt 9. gr. laga nr. 90/2018 verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna. Má þar nefna að vinnslan sé nauðsynleg til þess að ábyrgðaraðili eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf eða löggjöf um almannatryggingar eða félagslega vernd, sbr. 2. tölul. 1. mgr. 11. gr. laga nr. 90/2018; að vinnslan sé nauðsynleg af ástæðum sem varða verulega almannahagsmuni og fyrir henni sé sérstök lagaheimild, sbr. 7. tölul. eða að vinnslan sé nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu, sbr. 8. tölul.

Við mat stjórnvalda á heimild til vinnslu persónuupplýsinga, bæði almennra og viðkvæmra, getur þurft að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Eins og hér háttar til koma helst til greina barnaverndarlög nr. 80/2008 og lög um útlendinga nr. 80/2016. Í þeim lögum er mælt fyrir um skyldu til upplýsingagjafar af hálfu ýmissa aðila sem og miðlun upplýsinga til að hægt sé að beita opinberu valdi.

Í 44. gr. barnaverndarlaga nr. 80/2002 er mælt fyrir um upplýsingaskyldu gagnvart barnaverndarnefnd. Í 1. mgr. ákvæðisins kemur fram að öllum heilbrigðis- og sjúkrastofnunum, þar með töldum sjálfstætt starfandi heilbrigðisstarfsmönnum, sérfræðingum sem veita félagslega þjónustu, geðdeildum, meðferðardeildum og meðferðarstofnunum fyrir áfengissjúklinga og fíkniefnaneytendur, og stofnunum sem veita félagslega þjónustu eða aðstoð, sé skylt eftir að barnaverndarnefnd hefur tekið ákvörðun um könnun máls að láta nefndinni endurgjaldslaust í té upplýsingar og afrit af nauðsynlegum gögnum um heilsu barns, foreldra þess og annarra heimilismanna, þar á meðal upplýsingar um ástand viðkomandi og batahorfur, auk annarra upplýsinga sem nefndin telur að skipt geti máli fyrir úrlausn málsins. Af orðalagi ákvæðisins verður ekki séð að miðlun Útlendingastofnunar á persónuupplýsingum skjólstæðinga sinna falli þar undir.

Í 2. mgr. sama ákvæðis segir að með sama hætti er öllum stofnunum og öðrum aðilum þar sem barn hefur dvalist eða kemur reglulega, svo sem skólum, dagvistarheimilum og félagsmiðstöðvum fyrir börn og unglinga, skylt að láta nefndinni í té upplýsingar sem hún telur að skipt geti máli fyrir úrlausn málsins. Í 5. mgr. ákvæðisins segir að upplýsingaskylda samkvæmt þessari grein gangi framar ákvæðum laga eða siðareglna um þagnarskyldu einstakra starfsstétta.

Í erindi Útlendingastofnunar kemur ekki fram hvort umrætt barn njóti húsnæðisúrræðis á vegum stofnunarinnar. Það er mat Persónuverndar að miðlun stofnunarinnar á persónuupplýsingum barns til barnaverndaryfirvalda kunni að vera heimil á grundvelli 2. mgr. 44. gr. laga nr. 80/2002, hafi barn notið húsnæðisúrræðis á vegum Útlendingastofnunar að öðrum skilyrðum ákvæðisins uppfylltum.

Þá segir í 20. gr. barnaverndarlaga nr. 80/2002 að öllum þeim sem stöðu sinnar og starfa vegna hafi afskipti af málefnum barna sé skylt að hafa samstarf við barnaverndaryfirvöld. Í 4. mgr. ákvæðisins segir að ráðherra geti sett í reglugerð nánari reglur um samstarf barnaverndarnefnda við aðrar stofnanir. Slík reglugerð hefur ekki verið sett.

Loks er í 17. gr. sömu laga mælt fyrir um tilkynningarskyldu þeirra aðila sem sérstök afskipti hafa af börnum vegna starfa sinna. Í 1. mgr. er sett fram sú almenna regla að hver sem vegna starfa sinna hefur afskipti af málefnum barna, og verður í starfi sínu var við að barn búi við óviðunandi uppeldisskilyrði, barn stofni heilsu sinni og þroska í hættu eða verði fyrir áreitni eða ofbeldi, sé skylt að gera barnaverndarnefnd viðvart. Barnaverndarnefnd tekur ákvörðun um hvort tilkynning gefi tilefni til frekari könnunar á máli eða eftir atvikum ákveður að aðhafast ekki í máli eða fella mál niður á síðari stigum, ef í ljós kemur að ekki sé tilefni til aðgerða af hennar hálfu. Af framangreindu er ljóst að hafi Útlendingastofnun upplýsingar um að aðstæður barns séu eins og lýst er í 16. gr. laga nr. 80/2002, ber stofnuninni að tilkynna það til barnaverndaryfirvalda, sbr. 17. gr. sömu laga.

Við mat á því hvort framangreind lagaákvæði veiti nægilega skýrar heimildir til upplýsingaöflunar eða miðlunar persónuupplýsinga þarf að taka mið af 41. lið formálsorða reglugerðar (ESB) 2019/679 þar sem tekið er fram að þegar vísað sé til lagaheimildar í reglugerðinni sé ekki endilega gerð sú krafa að um ræði lög sett af þjóðþingum. Slíkur lagagrundvöllur eigi þó að vera skýr og nákvæmur og beitingin fyrirsjáanleg þeim sem falla þar undir. Hins vegar þarf að hafa hér í huga að í íslenskum rétti á grundvelli lögmætisreglu hafa verið gerðar allstrangar kröfur til þess að takmarkanir á réttindum manna, þ.m.t. friðhelgi einkalífs, verði að eiga stoð í settum lögum en ekki t.d. stjórnvaldsfyrirmælum. Þá er til þess að líta að í 38. lið formála reglugerðarinnar er bent á að persónuupplýsingar barna eigi að njóta sérstakrar verndar þar sem þau kunna að vera síður meðvituð um áhættu, afleiðingar og viðkomandi verndarráðstafanir og réttindi sín í tengslum við vinnslu persónuupplýsinga.

Að framangreindu virtu er það mat Persónuverndar að fyrrgreind ákvæði í barnaverndarlögum nr. 80/2002 og lögum um útlendinga nr. 80/2016 geti ekki talist skýr heimild til miðlunar Útlendingastofnunar á persónuupplýsingum um barn eða forsjáraðila þess til barnaverndarnefndar. Njóti barn húsnæðisúrræðis hjá Útlendingastofnun og uppfylli skilyrði 2. mgr. 44. gr. laga nr. 80/2002, kann miðlun stofnunarinnar á persónuupplýsingum barns til barnaverndaryfirvalda að vera heimil. Hafi Útlendingastofnun hins vegar upplýsingar um að barn búi við aðstæður, sbr. 16. gr. laga nr. 80/2002, er stofnuninni skylt, á grundvelli 17. gr. sömu laga, að tilkynna það til barnaverndaryfirvalda.

Leiði framangreind ákvæði laga til þess að hlutaðeigandi stjórnvöld geti ekki aflað nauðsynlegra upplýsinga eða sinnt lögbundnu hlutverki sínu með fullnægjandi hætti stendur það löggjafanum næst að tryggja því nauðsynlegar heimildir með ákvæðum settra laga. Þá er á það bent að almennt er talið að heimilt sé að mæla fyrir um miðlun á persónuupplýsingum einstaklinga á milli stjórnvalda með reglugerð, svo fremi að umrædd reglugerð eigi sér nægjanlega stoð í lögum.

__________________

Hvað varðar frekari upplýsingar um miðlun persónuupplýsinga á milli stjórnvalda er bent á nýleg álit Persónuverndar, í málum nr. 2020092340 og 2020102735. Í þeim er farið yfir heimildir til miðlunar persónuupplýsinga milli stjórnvalda, þ. á m. upplýsingum um refsiverða háttsemi og viðkvæmar persónuupplýsingar þannig að stjórnvöld geti sinnt eftirlitshlutverki sínu. Jafnframt er vikið að ákvæðum stjórnsýslulaga um trúnaðar- og þagnarskyldu starfsmanna ríkis og sveitarfélaga. Komist er að þeirri niðurstöðu að brýnt sé að löggjafinn bregðist við skorti á skýrum lagaheimildum svo að stjórnvöld geti sinnt eftirlitshlutverki sínu eins og lög mæla fyrir um. Álitin má nálgast á vefsíðu stofnunarinnar.

Í Persónuvernd, 10. mars 2021

Ólafur Garðarsson
starfandi formaður

Björn Geirsson                         Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson