Birting skýrslu á vef Stjórnarráðs Íslands

Mál nr. 2018/1514

11.3.2019

Ákvörðun

 

Á skrifstofu Persónuverndar 1. mars 2019 var tekin eftirfarandi ákvörðun í máli nr. 2018/1514:

I.

Málsmeðferð

Ákvörðun þessi er niðurstaða Persónuverndar í frumkvæðisathugunarmáli stofnunarinnar á birtingu skýrslu um úttekt á málsmeðferð og efnislegri athugun velferðarráðuneytisins í kjölfar kvartana tiltekinna barnaverndarnefnda vegna Barnaverndarstofu og forstjóra hennar á vef Stjórnarráðs Íslands.

1.

Tildrög máls

Við meðferð frumkvæðisathugunarmáls Persónuverndar á afhendingu Barnaverndarstofu á gögnum til fjölmiðla á vormánuðum 2018, nr. 2018/839 í málaskrá stofnunarinnar, var vakin athygli á birtingu skýrslu á vef Stjórnarráðs Íslands undir fyrirsögninni Úttekt á málsmeðferð og efnislegri athugun ráðuneytisins í kjölfar kvartana barnaverndarnefnda í Reykjavík, Hafnarfirði og Kópavogi vegna Barnaverndarstofu og forstjóra hennar. Ákvað Persónuvernd í kjölfarið að hefja frumkvæðisathugun á birtingu skýrslunnar.

Með bréfi, dagsettu 22. október 2018, var forsætisráðuneytinu og velferðarráðuneytinu tilkynnt um að Persónuvernd hefði hafið frumkvæðisathugun sem beindist að þeirri vinnslu persónuupplýsinga sem fælist í birtingu skýrslunnar á opnum vef Stjórnarráðsins. Í bréfi Persónuverndar er það rakið að í skýrslunni sé umfangsmikil umfjöllun um tiltekið mál sem hafi verið til meðferðar hjá barnaverndarnefnd [X]. Var í því sambandi vísað til þess að samkvæmt skilgreiningu persónuupplýsinga í 2. tölulið 3. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, féllu þar undir upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti.

Var ráðuneytunum boðið að koma á framfæri andmælum en jafnframt óskaði Persónuvernd eftir upplýsingum um eftirfarandi:

1. Hver væri ábyrgðaraðili þeirrar vinnslu persónuupplýsinga sem fælist í birtingu skýrslunnar á vef Stjórnarráðs Íslands.

2. Við hvaða heimild sú vinnsla styddist, sbr. 9. og 11. gr. laga nr. 90/2018.

3. Hvernig sú vinnsla samrýmdist ákvæðum 8. gr. laga nr. 90/2018.

2.

Meðferð málsins

2.1

Svarbréf forsætisráðuneytisins

Forsætisráðuneytið svaraði með bréfi, dagsettu 5. nóvember 2018. Í bréfinu segir að félags- og jafnréttismálaráðherra hafi ákveðið, samkvæmt tillögu forsætisráðherra, að fela utanaðkomandi aðilum að gera þá úttekt sem hér um ræðir. Aðkoma forsætisráðherra að málinu hafi eingöngu falist í framangreindri tillögu til félags- og jafnréttismálaráðherra á vettvangi ríkisstjórnar.

Úttektaraðilar hafi skilað skýrslu sinni til félags- og jafnréttisráðherra. Tilkynnt hafi verið um skýrsluna í fréttatilkynningu sem birtist á vef Stjórnarráðsins 8. júní 2018 og hafi hún verið lögð fram til kynningar í ríkisstjórn sama dag. Tilkynningunni hafi fylgt hlekkur á rafrænt skjal sem vistað hafi verið á vefþjóni Stjórnarráðsins.

Í bréfinu segir enn fremur að vefur Stjórnarráðsins sé sameiginlegt vefsvæði allra ráðuneyta í Stjórnarráði Íslands. Hvert ráðuneyti hafi sérgreint vefsvæði þar sem birtar séu upplýsingar sem varða stjórnarmálefni hvers ráðuneytis fyrir sig. Þótt framangreind tilkynning hafi verið flokkuð bæði undir velferðarráðuneytið og forsætisráðuneytið og því birst samhliða á sérgreindum vefsvæðum beggja ráðuneyta hafi verið um eina tilkynningu að ræða. Ástæða þess að tilkynningin hafi einnig verið birt á sérgreindu vefsvæði forsætisráðuneytisins skýrist af aðdraganda málsins, eins og honum hafi verið lýst hér að framan, og að fjallað hafi verið um kynningu úttektarinnar í ríkisstjórn en málefni ríkisstjórnar heyri undir forsætisráðuneytið.

Af hálfu forsætisráðuneytisins hafi efni skýrslunnar ekki verið skoðað og metið með hliðsjón af persónuverndarlögum enda hafi skýrslan ekki verið á forræði ráðuneytisins. Velferðarráðuneytið sé ábyrgðaraðili hvað varði gerð skýrslunnar, meðferð og vinnslu. Samkvæmt ákvörðun velferðarráðuneytisins, í samráði við forsætisráðuneytið, hafi skýrslan verið fjarlægð af vef Stjórnarráðsins 29. október 2018.

2.2

Svarbréf velferðarráðuneytisins

Velferðarráðuneytið svaraði með bréfi, dagsettu 12. nóvember 2018. Í bréfinu segir að samkvæmt tillögu forsætisráðherra hafi velferðarráðuneytið ákveðið að láta gera óháða úttekt á tilteknum málum á sviði barnaverndar, sem verið hefðu til umfjöllunar í velferðarráðuneytinu og hjá velferðarnefnd Alþingis. Úttektin hafi verið unnin að ósk félags- og jafnréttismálaráðherra. Skyldi hún liggja fyrir í byrjun júní 2018, vera skilað til ríkisstjórnarinnar og í kjölfarið birt opinberlega.

Niðurstöðu úttektarinnar hafi verið skilað formlega til félags- og jafnréttismálaráðherra og velferðarráðuneytisins og hún kynnt í ríkisstjórn 8. júní 2018. Sama dag hafi hún verið birt sem fylgiskjal með frétt forsætisráðuneytisins og velferðarráðuneytisins á vef Stjórnarráðsins. Þegar skýrslan hafi verið birt hafi lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, verið í gildi.

Skýrslan hafi verið fjarlægð af vef Stjórnarráðsins 29. október 2018 á meðan ákveðnir efnisþættir hennar væru skoðaðir með hliðsjón af lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem öðlast hefðu gildi 15. júlí 2018.

Um það hver sé ábyrgðaraðili þeirrar vinnslu persónuupplýsinga sem felst í birtingu skýrslunnar á vef Stjórnarráðsins segir í bréfinu að velferðarráðuneytið teljist ábyrgðaraðili birtingar efnis á sérgreindu vefsvæði þess ráðuneytis. Þá segir að niðurstaða úttektarinnar hafi verið birt í gildistíð eldri persónuverndarlaga nr. 77/2000. Á þeim tíma hafi ráðuneytið ekki talið að um ólögmæta birtingu persónuupplýsinga væri að ræða. Skýrslan hafi nú verið fjarlægð af vef Stjórnarráðsins líkt og að framan greini. Óskað sé eftir leiðbeiningum Persónuverndar um hvaða upplýsingar teljist persónugreinanlegar samkvæmt nýjum persónuverndarlögum nr. 90/2018.

II.

Forsendur og niðurstaða

1.

Lagaskil og gildissvið persónuverndarlaga

Í máli þessu er til skoðunar hvort birting skýrslu á vef Stjórnarráðs Íslands undir fyrirsögninni Úttekt á málsmeðferð og efnislegri athugun ráðuneytisins í kjölfar kvartana barnaverndarnefnda í Reykjavík, Hafnarfirði og Kópavogi vegna Barnaverndarstofu og forstjóra hennar hafi samrýmst persónuverndarlögum. Líkt og að framan greinir var skýrslan sett inn á vef Stjórnarráðsins til opinberrar birtingar í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, en var enn aðgengileg almenningi á vefsvæðinu þegar Persónuvernd hóf athugun þessa 22. október 2018.

Lög nr. 77/2000 voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi 15. júlí 2018. Þau lögfestu jafnframt reglugerð (ESB) 2016/679 um persónuvernd, eins og hún var aðlöguð og tekin upp í EES-samninginn. Eftir að lög nr. 90/2018 tóku gildi giltu þau um birtingu skýrslunnar á vef Stjórnarráðsins. Ekki voru gerðar neinar efnislegar breytingar með lögum nr. 90/2018 á þeim reglum sem gilda um þá vinnslu sem hér er til umfjöllunar. Þar af leiðandi verður leyst úr málinu á grundvelli þeirra laga en vísað í ákvæði eldri laga eftir því sem við á.

Gildissvið laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá, sbr. og 1. mgr. 3. gr. laga nr. 77/2000.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni, eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. 2. tölulið 3. gr. laga nr. 90/2018 og 1. tölulið 4. gr. reglugerðarinnar, sbr. og 1. tölulið 2. gr. laga nr. 77/2000.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, s.s. söfnun, skráningu, flokkun, kerfisbindingu, varðveislu, aðlögun eða breytingu, heimt, skoðun, notkun, miðlun með framsendingu, dreifingu eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtengingu eða samkeyrslu, aðgangstakmörkun, eyðingu eða eyðileggingu, sbr. 4. tölulið 3. gr. laga nr. 90/2018 og 2. tölulið 4. gr. reglugerðarinnar, sbr. og 2. tölulið 2. gr. laga nr. 77/2000.

Athugun Persónuverndar í máli þessu lýtur að því hvort persónuupplýsingar hafi verið gerðar aðgengilegar almenningi með birtingu umræddrar skýrslu á opnum vef Stjórnarráðsins og, ef svo var, hvort sú vinnsla persónuupplýsinga samrýmdist persónuverndarlögum. Mál þetta fellur þar af leiðandi undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölulið 4. gr. reglugerðarinnar, sbr. og sambærilegt ákvæði í 4. tölulið 2. gr. eldri laga nr. 77/2000. Eins og hér háttar til og að virtum svörum forsætisráðuneytisins og velferðarráðuneytisins telst velferðarráðuneytið vera ábyrgðaraðili að umræddri vinnslu.

2.

Persónuupplýsingar

Samkvæmt skilgreiningu 2. töluliðar 3. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, eru persónuupplýsingar upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti, sbr. skilgreiningu 1. töluliðar 4. gr. reglugerðarinnar.

Í athugasemdum við 3. gr. frumvarps að lögum nr. 90/2018 er áréttað að til þess að ákvarða hvort einstaklingur sé persónugreinanlegur eigi að taka mið af öllum þeim aðferðum sem ástæða sé til að ætla að ábyrgðaraðilar eða aðrir geti beitt til að bera kennsl á viðkomandi einstakling, með beinum eða óbeinum hætti.

Samkvæmt skilgreiningu 1. töluliðar 2. gr. eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, voru persónuupplýsingar sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, hins skráða. Í athugasemdum við ákvæðið í frumvarpi að lögum nr. 77/2000 segir að hugtakið persónuupplýsingar skyldi, samkvæmt lögunum, vera víðfeðmt og taka til allra upplýsinga, álita og umsagna, sem beint eða óbeint mætti tengja tilteknum einstaklingi. Skilgreiningin hafi byggst á þágildandi tilskipun Evrópuþingsins og ráðsins 95/46/EB, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, og er sérstaklega vísað til 26. liðs í formála tilskipunarinnar. Þar segir:

„Meginreglur um vernd skulu gilda um allar persónugreindar eða persónugreinanlegar upplýsingar um einstakling. Til að ákveða hvort hægt sé að tengja upplýsingarnar við einstakling skal tekið mið af öllum aðferðum sem eðlilegt er að hugsa sér að ábyrgðaraðili eða annar aðili beiti til að bera kennsl á viðkomandi einstakling.“

Þá er í frumvarpinu einnig vísað til a-liðs 2. gr. tilskipunarinnar sem kvað á um að upplýsingar teldust persónugreinanlegar ef unnt væri að persónugreina þær beint eða óbeint með tilvísun í kennitölu eða einn eða fleiri þætti sem sérkenna hinn skráða í líkamlegu, lífeðlisfræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti.

Einstaklingar geta verið auðkenndir á grundvelli breytna sem samanlagðar gefa til kynna hver á í hlut þó svo að engin ein þeirra nægi til þess, ein og sér. Að framangreindu virtu fela þær breytur þá í sér persónuupplýsingar samkvæmt lögum nr. 90/2018 og 77/2000 án tillits til þeirra aðferða sem eðlilegt er að hugsa sér að notaðar séu til þess að bera kennsl á hlutaðeigandi einstakling. Að mati Persónuverndar geta upplýsingar því talist til persónuupplýsinga samkvæmt lögunum ef unnt er að nota þær ásamt upplýsingum sem finnast með einfaldri leit á Netinu til þess að bera kennsl á hinn skráða. Einnig verða upplýsingar að teljast persónugreinanlegar ef þeir sem þekkja til hlutaðeigandi geta borið kennsl á hann á grundvelli upplýsinganna, þótt það sé eftir atvikum ekki á allra færi.

Í skýrslunni sem um ræðir er sem fyrr segir umfangsmikil umfjöllun um tiltekið mál sem var til meðferðar hjá barnaverndarnefnd [X]. Í umfjölluninni eru ítarlegar upplýsingar um aðstæður viðkomandi fjölskyldu, kyn […], í hvaða sveitarfélagi þau búa, […], um heilsufar […], starfsgrein […], svo og upplýsingar sem fela í sér að grunur leiki á um refsiverða háttsemi […]. Að mati Persónuverndar eru þessar upplýsingar til þess fallnar að unnt sé að persónugreina viðkomandi […], meðal annars með því að fletta upp tilgreindum breytum um aðstæður viðkomandi á Netinu. Þá er umfjöllun í skýrslunni í öðrum tilvikum það nákvæm að leiða þykir mega líkur að því að þeir sem þekki til viðkomandi einstaklinga geti almennt tengt upplýsingarnar við þá og upplýsingarnar þar með orðnar persónugreinanlegar.

Það er því niðurstaða Persónuverndar að birting skýrslunnar Úttekt á málsmeðferð og efnislegri athugun ráðuneytisins í kjölfar kvartana barnaverndarnefnda í Reykjavík, Hafnarfirði og Kópavogi vegna Barnaverndarstofu og forstjóra hennar á vef Stjórnarráðsins hafi falið í sér birtingu persónuupplýsinga.

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga þarf að byggjast á einhverri þeirra heimilda sem greinir í 9. gr. laga nr. 90/2018, sbr. áður 1. mgr. 8. gr. laga nr. 77/2000. Í bréfi velferðarráðuneytisins er ekki leitast við að svara því á hvaða heimild umrædd vinnsla byggðist. Ekki verður séð að vinnslan hafi verið nauðsynleg til að fullnægja lagaskyldu sem hvíldi á ábyrgðaraðila, samkvæmt 3. tölulið 9. gr. laga nr. 90/2018, sbr. áður 3. tölulið 1. mgr. 8. gr. laga nr. 77/2000, og kemur því helst til skoðunar hvort vinnslan hafi verið nauðsynleg vegna verks sem unnið hafi verið í þágu almannahagsmuna, samkvæmt 5. tölulið 9. gr. laga nr. 90/2018, sbr. áður 5. tölulið 1. mgr. 8. gr. laga nr. 77/2000.

Líkt og fram kemur í athugasemdum við 9. gr. frumvarps að lögum nr. 90/2018 endurspeglar krafan um að vinnsla sé nauðsynleg vegna nánar tilgreindra hagsmuna meginreglu laganna um meðalhóf. Þegar metið er hvort fullnægjandi heimild standi til vinnslu persónuupplýsinga þarf að líta til eðlis vinnslunnar og meta sjálfstætt hvort nauðsynlegt hafi verið að safna upplýsingum, skrá þær, miðla þeim, samkeyra þær o.s.frv. Þá ræðst matið einnig af eðli og efni þeirra upplýsinga sem unnið er með og skiptir þá máli hvort um sé að ræða upplýsingar um hrein einkamálefni einstaklinga, svo sem félagsleg vandamál, hjónaskilnaði og samvistaslit, sem sanngjarnt er og eðlilegt að leynt fari. Í slíkum tilvikum þarf að gera ríkar kröfur hvað varðar nauðsyn vinnslunnar. Sambærilegar athugasemdir eru við 8. gr. frumvarps að lögum nr. 77/2000.

Upplýsingar um að mál barna og fjölskyldna þeirra séu til meðferðar hjá barnaverndarnefnd fela eðli málsins samkvæmt í sér upplýsingar um félagsleg vandamál. Þrátt fyrir að slíkar upplýsingar teljist ekki vera viðkvæmar persónuupplýsingar þá hefur eðli þeirra, samkvæmt framangreindu, áhrif á mat á því hvort fullnægjandi heimild hafi verið til vinnslunnar.

Sú úttekt sem hér um ræðir lýtur að störfum þriggja barnaverndarnefnda og Barnaverndarstofu og samskiptum þeirra á milli. Við slíka úttekt getur verið rétt og eðlilegt að líta til meðferðar einstakra mála og þar með að safna og skrá persónuupplýsingar um aðila að þeim málum. Önnur sjónarmið gilda hins vegar um birtingu slíkra upplýsinga á opinberum vettvangi, svo sem á vef Stjórnarráðsins sem er opinn almenningi. Almennt verður fallist á að birting skýrslna sem fela í sér úttekt á störfum opinberra stjórnvalda geti verið til hagsmuna fyrir almenning. Hins vegar þarf að gæta að því þegar slíkar skýrslur eru birtar hvaða persónuupplýsingar rétt sé að afmá, þ.e. hvaða upplýsingar nauðsynlegt sé að birta í þágu þeirra almannahagsmuna sem stefnt er að með birtingunni, því þrátt fyrir að upplýsingar um meðferð barnaverndarmála eigi erindi við almenning þá víkur það ekki til hliðar rétti einstaklinga, sem upplýsingarnar varða, til verndar samkvæmt persónuverndarlögum.

Með hliðsjón af því sem að framan er rakið er það mat Persónuverndar að slík nauðsyn, sem krafa er gerð um til heimildar fyrir vinnslu samkvæmt 5. tölulið 9. gr. laga nr. 90/2018, hafi ekki verið fyrir hendi til að birta persónuupplýsingar um hina skráðu, sem fela í sér upplýsingar um félagsleg vandamál þeirra, á vef Stjórnarráðsins, sbr. áður 5. tölulið 1. mgr. 8. gr. laga nr. 77/2000.

Þá verður ekki séð að vinnslan hafi getað byggst á öðrum heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. áður 8. gr. laga nr. 77/2000.

Er það því niðurstaða Persónuverndar að velferðarráðuneytinu hafi ekki verið heimilt á grundvelli persónuverndarlaga að birta persónuupplýsingar um félagsleg vandamál hinna skráðu á vef Stjórnarráðsins.

Þrátt fyrir að þegar hafi verið komist að framangreindri niðurstöðu er rétt að taka fram að í umræddri skýrslu eru meðal annars upplýsingar um heilsufar hinna skráðu og tiltekin meðferðarúrræði sem notuð voru fyrir viðkomandi […]. Er því um að ræða viðkvæmar persónuupplýsingar samkvæmt skilgreiningu b-liðar 3. töluliðar 3. gr. laga nr. 90/2018, sbr. áður c-lið 8. töluliðar 2. gr. laga nr. 77/2000. Vinnsla viðkvæmra persónuupplýsinga þarf, auk þess að byggja á fullnægjandi heimild samkvæmt framangreindu, að styðjast við eitthvert þeirra skilyrða sem kveðið er á um í 11. gr. laga nr. 90/2018, sbr. áður 9. gr. laga nr. 77/2000. Ekki verður séð að sú vinnsla sem hér um ræðir geti stuðst við nokkurt þeirra skilyrða sem þar greinir enda fór hún ekki fram á grundvelli laga samkvæmt 7. tölulið 1. mgr. 11. gr. laga nr. 90/2018, sbr. áður 2. tölulið 1. mgr. 9. gr. laga nr. 77/2000.

Þá eru í skýrslunni upplýsingar sem fela í sér að grunur leiki á um refsiverða háttsemi […] og þarf miðlun slíkra upplýsinga að styðjast við eitthvert þeirra skilyrða sem greinir í 2. mgr. 12. gr. laga nr. 90/2018 en upplýsingar þess eðlis töldust til viðkvæmra persónuupplýsinga samkvæmt b-lið 8. töluliðar 2. gr. laga nr. 77/2000. Ekki verður heldur séð að sú vinnsla sem hér um ræðir geti stuðst við nokkurt skilyrðanna fyrir vinnslu slíkra upplýsinga.

Loks er, framangreindri niðurstöðu til stuðnings, vísað til 5. töluliðar 1. mgr. 4. gr. reglna nr. 712/2008, sem kveður á um að vinnsla upplýsinga um félagsleg vandamál manna eða önnur einkalífsatriði, svo sem hjónaskilnaði, samvistaslit, ættleiðingar og fóstursamninga, sé háð skriflegri heimild Persónuverndar nema hún sé nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila. Í 2. mgr. sömu greinar segir að ekki þurfi að fá slíkt leyfi ef vinnsla byggist á upplýstu samþykki eða fyrirmælum laga. Í málinu liggur fyrir að ekkert framangreindra skilyrða er fyrir hendi hvað varðar birtingu umræddra upplýsinga á vef Stjórnarráðsins.

4.

Fyrirmæli Persónuverndar

Í ljósi þess að skýrslan Úttekt á málsmeðferð og efnislegri athugun ráðuneytisins í kjölfar kvartana barnaverndarnefnda í Reykjavík, Hafnarfirði og Kópavogi vegna Barnaverndarstofu og forstjóra hennar hefur þegar verið tekin af vef Stjórnarráðsins þykir ekki tilefni til að beina fyrirmælum þar að lútandi til velferðarráðuneytisins.

Í samræmi við 4. tölulið 42. gr. laga nr. 90/2018 beinir Persónuvernd þeim fyrirmælum til velferðarráðuneytisins að það hugi að því framvegis að fyllstu varfærni sé gætt við vinnslu persónuupplýsinga þegar til stendur að birta eða veita almenningi með öðrum hætti aðgang að gögnum um viðkvæm einkamálefni fólks, sem eðlileg og sanngjarnt er að leynt fari, og að tryggt verði að í þeim gögnum verði ekki upplýsingar sem unnt sé að nota, beint eða óbeint, til þess að auðkenna einstaklinga þegar umfjöllun um þá felur jafnframt í sér viðkvæmar persónuupplýsingar um þá eða upplýsingar um félagsleg vandamál þeirra.

Við mat á því hvaða upplýsingar eru persónugreinanlegar ber að huga að öllum aðferðum, sem ástæða er til að ætla að unnt sé að beita til að bera kennsl á viðkomandi einstakling með beinum eða óbeinum hætti og að teknu tilliti til allra hlutlægra þátta, svo sem kostnaðar við það og þess tíma sem það tæki, að teknu tilliti til þeirrar tækni sem fyrir hendi er þegar vinnsla fer fram og til tækniþróunar.

Á k v ö r ð u n a r o r ð:

Birting skýrslunnar Úttekt á málsmeðferð og efnislegri athugun ráðuneytisins í kjölfar kvartana barnaverndarnefnda í Reykjavík, Hafnarfirði og Kópavogi vegna Barnaverndarstofu og forstjóra hennar á vef Stjórnarráðs Íslands fól í sér birtingu persónuupplýsinga.

Birting velferðarráðuneytisins á viðkvæmum persónuupplýsingum og upplýsingum um félagsleg vandamál einstaklinga á vef Stjórnarráðsins samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, eða eldri lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Persónuvernd beinir þeim fyrirmælum til velferðarráðuneytisins að það hugi að því framvegis að fyllstu varfærni sé gætt við vinnslu persónuupplýsinga þegar til stendur að birta eða veita almenningi með öðrum hætti aðgang að gögnum og að tryggt verði að í þeim séu ekki upplýsingar sem unnt sé að nota, beint eða óbeint, til þess að auðkenna einstaklinga þegar umfjöllun um þá felur jafnframt í sér viðkvæmar persónuupplýsingar um þá eða upplýsingar um félagsleg vandamál þeirra.