Miðlun barnaverndarnefndar á persónuupplýsingum kvartanda til skóla- og frístundasviðs og eftirfarandi vinnsla þess ekki í samræmi við lög

Mál nr. 2020010642

30.9.2021

Úrskurður

Á fundi stjórnar Persónuverndar hinn 24. ágúst 2021 var kveðinn upp svohljóðandi úrskurð í máli nr. 2020010642 (áður 2019061248):

I.

Málsmeðferð

1.

Tildrög máls

Hinn 14. júní 2019 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur „kvartandi“) yfir miðlun barnaverndarnefndar [X] á persónuupplýsingum hans til skóla- og frístundasviðs [sveitarfélags Y] án þess að upplýsa hann eða fræða um áframsendinguna. Einnig er kvartað yfir eftirfarandi og íþyngjandi vinnslu á upplýsingunum af hálfu skóla- og frístundasviðs [sveitarfélagsins Y].

2.

Nánar um kvörtun

Í kvörtun kemur fram að kvartandi hafi tilkynnt barnaverndarnefnd [X] um óviðeigandi hegðum samstarfsmanns hans gagnvart börnum sem voru í umsjá þeirra beggja í Grunnskóla [Z]. Nokkrum dögum síðar sé kvartanda greint frá því að tilkynning hans til barnaverndarnefndar sé orðin að starfsmannamáli hjá mannauðsskrifstofu sveitarfélagsins. Telur kvartandi að sveitarfélagið hafi farið ógætilega með viðkvæmar persónuupplýsingar án samþykkis hans og hafið íþyngjandi vinnslu að honum forspurðum og án hans vitneskju.

Með kvörtun fylgdu nokkur fylgiskjöl. Annars vegar afrit af tveimur endurrituðum viðtölum við kvartanda, bæði dags. 21. nóvember 2016, og hins vegar tölvupóstsamskiptum milli hans og starfsmanna [sveitarfélagsins Y], þ. á m. bæjarstjóra, persónuverndarfulltrúa og bæjarritara.

3.

Bréfaskipti

Með bréfi, dags. 4. júlí 2019, var [sveitarfélaginu Y] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 9. ágúst s.á. Með bréfi, dags. 15. s.m., var kvartanda gefinn kostur á að koma að athugasemdum við fram komnar skýringar [sveitarfélagsins Y]. Bárust athugasemdir kvartanda með bréfi, dags. 20. s.m.

Auk [sveitarfélagsins Y] var talin ástæða til að veita barnaverndarnefnd [X] kost á andmælum vegna málsins og var það gert með bréfi, dags. 3. júní 2020. Svar nefndarinnar barst með bréfi, dags. 10. júlí s.á. 

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð máls þessa hefur dregist vegna mikilla anna hjá Persónuvernd.

4.

Sjónarmið kvartanda

Kvartandi byggir á því að haustið […] hafi hann með símtali til barnaverndarnefndar á [X] tilkynnt um ósæmilega hegðun samstarfsmanns síns hjá Grunnskólanum [Z] gagnvart nemendum sem voru í umsjá þeirra beggja. Aðilinn sem tekið hafi við tilkynningu hans símleiðis hafi kynnt sig sem starfsmann barnaverndarnefndarinnar og spurt kvartanda út í málavexti. Hafi kvartandi í símtalinu rakið nokkur atriði, þar á meðal samskipti við nafngreinda einstaklinga. Barnaverndarnefndin hafi í kjölfarið og án hans samþykkis eða vitundar sent tilkynninguna, ásamt persónuupplýsingum hans, til skóla- og frístundasviðs sveitarfélagsins. [Sveitarfélagið Y] hafi síðan, á grundvelli umræddrar tilkynningar kvartanda, hafið íþyngjandi vinnslu að honum forspurðum og án hans vitneskju. Hafi kvartandi áttað sig á fyrrgreindri vinnslu þegar hann lagði fram beiðni um aðgang að persónuupplýsingum um sig hjá [sveitarfélaginu Y] í apríl […]. Kvartandi byggir á því að persónuupplýsingar um hann, sem uppruna sinn áttu í tilkynningu hans til barnaverndarnefndarinnar, hafi verið sendar til skóla- og frístundasviðs sveitarfélagsins og nýttar til þess að hefja starfsmannamál. Kvartanda hafi hvorki verið tilkynnt formlega um að stofnað hafi verið stjórnsýslumál né að mál hans hafi verið til meðferðar hjá sveitarfélaginu og efast hann um lögmæti vinnslunnar. Honum hafi verið veittar upplýsingar um framhald málsins þegar sviðsstjóri velferðarsviðs [sveitarfélags Y] hafi hringt á kaffitíma á kennarastofu, þar sem kvartandi starfaði, og tjáð honum að hann tæki tilkynninguna alvarlega en hún væri nú orðin að starfsmannamáli. Þá telur kvartandi einkennilegt, í ljósi þess að könnun hafi ekki verið gerð á grundvelli tilkynningarinnar, að hún hafi verið talin gefa forsendur til að tilkynna málið til vinnuveitanda og til að hefja sjálfstæða könnun þar.

5.

Sjónarmið [sveitarfélags Y]

Í bréfi [sveitarfélags Y] kemur fram að tilkynning kvartanda, sem barst barnaverndarnefnd [X] í nóvember […], hafi verið lögð fyrir barnaverndarteymi, en í ljósi þess að kvartandi nafngreindi engin tiltekin börn í tilkynningu sinni til nefndarinnar, hafi verið tekin ákvörðun um að hefja ekki könnun máls á grundvelli barnaverndarlaga nr. 80/2002, heldur framsenda erindið þess í stað til skóla- og frístundasviðs sveitarfélagsins, með vísan til stjórnsýslulaga nr. 37/1993. Hafi af því tilefni verið stofnað mál í skjalakerfi sveitarfélagsins, meðal annars til að halda utan um þau gögn sem til urðu við meðferð málsins. Hafi málið farið þar í vinnslu sem starfsmannamál og mannauðsstjóri ásamt sviðsstjóra skóla- og frístundasviðs tekið viðtöl við báða aðila til að leitast við að upplýsa málið. Hafi málinu lokið þannig að ekki hafi verið talið tilefni til að aðhafast frekar. Í kjölfar frekari samskipta við kvartanda hafi honum verið send útskýring með bréfi, dags. 13. maí […], á því hvers vegna erindi, sem hann hafi litið á sem tilkynningu til barnaverndarnefndar, hefði verið sent til skóla- og frístundasviðs. Þar hafi meðal annars verið vísað til þess að þegar tilkynning hefur verið lögð fram á grundvelli 16., 17. eða 18. gr. barnaverndarlaga nr. 80/2002 eru engar upplýsingar veittar tilkynnanda um framhald málsins.

6.

Sjónarmið barnaverndarnefndar [X]

Í bréfi barnaverndarinnar er vísað til svarbréfs [sveitarfélags Y] frá 9. ágúst […] og byggir nefndin í megindráttum á sömu sjónarmiðum og þar koma fram og vísast til þeirra að því leyti. 

Í bréfi barnaverndarnefndarinnar er sérstaklega rakin skýring hennar á ákvörðuninni um að framsenda tilkynningu kvartanda til skóla- og frístundasviðs sveitarfélagsins. Vísar nefndin til þess að berist stjórnvaldi skriflegt erindi, sem ekki snerti starfssvið þess, beri því að framsenda erindið á réttan stað svo fljótt sem unnt er. Í ljósi þess að engin börn hafi verið nafngreind í umræddri tilkynningu hafi barnaverndarnefndin ályktað, að tilkynning kvartanda varðaði ábendingu hans um meinta óviðeigandi hegðun starfsmanns grunnskólans og það væri frekar starfsmannamál [sveitarfélags Y]. Nefndin hafi ekki getað hafið könnun á barnaverndarmáli þar sem engin börn hafi verið nafngreind í umræddri tilkynningu. Þá hafi verið talið rétt að rannsaka frekar fram komnar ávirðingar kvartanda í garð starfsmanns skólans vegna umræddrar meintrar hegðunar. Hafi málið í ljósi framangreinds farið í vinnslu hjá [sveitarfélagi Y] sem starfsmannamál. Vísar barnaverndarnefndin til þess að heimild 5. tölul. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga hafi átt við þar sem um hafi verið að ræða vinnslu upplýsinga á vegum stjórnvalds sem hafi sem slík tengst beitingu opinbers valds. Þá vísar nefndin til 3. tölul. sama ákvæðis í ljósi þess að stjórnvaldi sé skylt að áframsenda erindi á réttan stað, lögum samkvæmt.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili – Afmörkun máls

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur annars vegar að miðlun barnaverndarnefndar [X] til skóla- og frístundasviðs [sveitarfélags Y] á persónuupplýsingum kvartanda, en hins vegar að eftirfarandi vinnslu skóla- og frístundasviðs bæjarins á upplýsingunum. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst barnaverndarnefnd [X] vera ábyrgðaraðili að miðlun persónuupplýsinga um kvartanda til skóla- og frístundasviðs [sveitarfélags Y]. Bærinn telst hins vegar vera ábyrgðaraðili að eftirfarandi vinnslu upplýsinganna.

2.

Lögmæti vinnslu

2.1.

Um heimild til miðlunar persónuupplýsinga um kvartanda

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Má þar nefna að vinna má með persónuupplýsingar hafi hinn skráði gefið samþykki sitt fyrir vinnslunni í þágu eins eða fleiri tiltekinna markmiða, sbr. 1. tölul. ákvæðisins, það sé nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul., eða það sé nauðsynlegt vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. 

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Er þá helst að líta til barnaverndarlaga nr. 80/2002 (bvl.) og stjórnsýslulaga nr. 37/1993 (ssl.)

Samkvæmt 1. mgr. 17. gr. bvl. er hverjum þeim sem stöðu sinnar og starfa vegna hefur afskipti af málum barna, og verður var við aðstæður eins og lýst er í 16. gr. sömu laga, skylt að tilkynna það barnaverndarnefnd. Þá er í 2. mgr. sama ákvæðis lögð sérstök skylda á kennara í ljósi stöðu þeirra og starfa með börnum að fylgjast með hegðun, uppeldi og aðbúnaði barna eftir því sem við verður komið og gera barnaverndarnefnd viðvart ef ætla má að aðstæður barns séu með þeim hætti sem lýst er í 1. mgr. ákvæðisins.

Þegar barnaverndarnefnd fær tilkynningu eða henni berast upplýsingar með öðrum hætti um að líkamlegri eða andlegri heilsu barns eða þroska geti verið hætta búin vegna vanrækslu, vanhæfni eða framferðis foreldra, ofbeldis eða vanvirðandi háttsemi af hendi annarra eða eigin hegðunar þess skal hún taka afstöðu til þess án tafar, og eigi síðar en innan sjö daga frá því henni barst tilkynning eða upplýsingar, hvort ástæða sé til að hefja könnun á málinu, sbr. 1. mgr. 21. gr. bvl.

Í 35. gr. bvl. er fjallað um úrræði gagnvart þeim sem vinna með börnum. Þar kemur fram að ef barnaverndarnefnd fær ábendingu um að atferli manns, sem starfa sinna vegna hefur samskipti við börn, sé stórlega ábótavant skal nefndin, ef hún telur tilefni til, hefja könnun málsins í samræmi við ákvæði 21. gr. laganna. Ákvörðun um könnun skal tilkynna viðkomandi starfsmanni og vinnuveitanda hans ef við á. Nefndin skal tilkynna um niðurstöður könnunar til starfsmanns og vinnuveitanda hans og setja fram tillögur til úrbóta. Í athugasemdum í greinargerð í frumvarpi að bvl. segir meðal annars um 35. gr. að ákvæðið eigi einkum við um starfsmenn skóla og þess konar staði þar sem börn koma saman eða dveljast um lengri eða skemmri tíma. Einnig er í athugasemdunum vakin athygli á því að til álita geti komið að beita ákvæðinu þó svo að ekki liggi fyrir hvort eða hvaða einstök börn hafi orðið fyrir tjóni.

Þegar barnaverndarnefnd berst tilkynning ber nefndinni að staðfesta við tilkynnanda að tilkynning hafi borist og gefa almennar upplýsingar um málsmeðferð vegna tilkynningar, sbr. 4. málsl. 4. mgr. 21. gr. bvl. Þá kemur fram í lögskýringargögnum með bvl. að eigi mál sem tilkynnt sé til barnaverndarnefndar ekki undir barnaverndarnefnd taki nefndin ákvörðun um að hefja ekki könnun og fellur málið niður við svo búið. Einnig er þar áréttað að barnaverndarnefnd sé skylt að láta mál niður falla á síðari stigum um leið og í ljós kemur að nefndin muni ekki hefja könnun máls og ef ekki er ástæða til frekari afskipta. 

Í 40. gr. bvl. er sérstaklega fjallað um leiðbeiningarskyldu barnaverndarnefnda gagnvart foreldrum, barni og öðrum. Þá segir um ákvæðið í greinargerð með frumvarpi að bvl. að um sérstaka leiðbeiningarskyldu barnaverndarnefnda sé að ræða og að leiðbeiningarákvæði frumvarpsins sé sértækara en það sem finna megi í ssl. þar sem sérstök ástæða þyki til að leggja áherslu á leiðbeiningarskyldu barnaverndaryfirvalda.

Í 1. mgr. 7. gr. ssl. segir að stjórnvald skuli veita þeim sem til þess leita nauðsynlega aðstoð og leiðbeiningar varðandi þau mál sem snerta starfssvið þess. 

Í 2. mgr. 7. gr. gr. ssl. segir að berist stjórnvaldi skriflegt erindi, sem ekki snerti starfssvið þess, beri því að framsenda erindið á réttan stað svo fljótt sem unnt sé. Í greinargerð með frumvarpi að ssl. segir um ákvæðið að hafi aðili komið erindi sínu á framfæri munnlega og erindið á að lögum undir annað stjórnvald beri að leiðbeina aðila, eftir því sem tök eru á, um hvar hið rétta stjórnvald sé að finna svo að hann geti komið erindi sínu á framfæri milliliðalaust. 

Fyrir liggur að barnaverndarnefnd [X] barst tilkynning kvartanda munnlega, nánar tiltekið símleiðis haustið […]. Tilkynning kvartanda varðaði meinta ámælisverða háttsemi samstarfsmanns hans við Grunnskólann [Z]gagnvart börnum í umsjá þeirra beggja.

Einnig liggur fyrir að í ljósi þess að kvartandi tilgreindi engin tiltekin börn í grunnskólanum í tilkynningu sinni til barnaverndarnefndarinnar taldi hún sig ekki geta hafið könnun málsins. Þar sem nefndin taldi erindi kvartanda ekki snerta starfssvið sitt framsendi hún það jafnframt til skóla- og frístundarsviðs [sveitarfélags Y] á grundvelli 2. mgr. 7. gr. ssl. 

Þar sem erindi kvartanda barst barnaverndarnefnd munnlega með símtali til nefndarinnar haustið […] bar starfsmönnum barnaverndarnefndar, samkvæmt leiðbeiningarskyldu ssl. og sérstakri leiðbeiningarskyldu barnaverndaryfirvalda, að leiðbeina kvartanda, þ.e. í ljósi þeirrar forsendu sem byggt var á að erindi hans félli ekki undir valdsvið nefndarinnar. Hafi tilkynningu kvartanda verið áfátt hefði hann átt að fá upplýsingar um það ásamt upplýsingum um málsmeðferð vegna tilkynningarinnar, sbr. 4. málsl. 4. mgr. 21. gr. bvl. Hafi barnaverndarnefnd [X] ekki verið rétt stjórnvald til að veita umræddri tilkynningu viðtöku, svo sem vegna þess að hún varðaði ekki starfssvið nefndarinnar, bar henni að leiðbeina kvartanda um það hvar hið rétta stjórnvald væri að finna svo að kvartandi sjálfur gæti komið erindi sínu á framfæri milliliðalaust. 

Þá mælir 35. gr. bvl. ekki fyrir um að sá sem sendir ábendingu samkvæmt ákvæðinu verði að tilgreina tiltekin börn svo að könnun máls geti farið fram. Eins og fyrr segir er auk þess tekið fram í lögskýringargögnum að slík krafa sé ekki gerð vegna slíkra ábendinga. Segir jafnframt að heimild barnaverndarnefndar nái til þess að rannsaka málið og tilkynna um niðurstöður könnunar til vinnuveitanda sem taki síðan frekari ákvarðanir eftir því sem hann telur niðurstöður könnunar gefa tilefni til. Ekki kemur fram að það sé þáttur í rannsókn samkvæmt framangreindu og tilkynningu til vinnuveitanda að upplýsa um það hver hafi sent barnaverndarnefnd ábendingu. 

Að framangreindu virtu telur Persónuvernd ekki verða séð að umrædd vinnsla hafi uppfyllt skilyrði 3. eða 5. tölul. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

2.2.

Um gagnsæi, málefnalegan tilgang og meðalhóf

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Í gagnsæi samkvæmt framangreindu felast meðal annars kröfur til þess að hinn skráði viti um vinnsluna og fái um hana fræðslu. Af hálfu barnaverndarnefndar [X] liggur fyrir að nefndin sendi tilkynningu kvartanda áfram til annars stjórnvalds, án þess að leiðbeina kvartanda um mögulegar úrbætur á tilkynningu sinni eða upplýsa hann um málsmeðferð tilkynningarinnar að öðru leyti. Verður því ekki fallist á að skilyrði meginreglu um vinnslu persónuverndar um lögmæti, sanngirni og gagnsæi hafi verið gætt, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Þá verður ekki séð að miðlun persónuupplýsinga kvartanda til skóla- og frístundasviðs [sveitarfélags Y] hafi farið fram í málefnalegum tilgangi og hafi frekar verið miðlað í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Þá telur Persónuvernd að ekki hafi verið gætt að 3. tölul. sama ákvæðis um að við vinnslu persónuupplýsinga sé gætt að því að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.

2.3.

Eftirfarandi vinnsla á persónuupplýsingum um kvartanda hjá skóla- og frístundasviði [sveitarfélags Y]

Líkt og að framan greinir verður öll vinnsla persónuupplýsinga að fullnægja einhverju skilyrðanna sem fram koma í 9. gr. laga nr. 90/2018. Í 5. tölul. þeirrar greinar segir að vinnsla sé heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Af hálfu [sveitarfélagsins Y] hefur komið fram að eftirfarandi vinnsla á þeim upplýsingum sem bárust frá barnaverndarnefndinni, þ.e. upplýsingar um tilkynningu kvartanda til nefndarinnar, hafi farið fram í þeim tilgangi að rannsaka frekar fram komnar ávirðingar kvartanda í garð starfsmanns grunnskólans. 

Í ljósi þess að miðlun barnaverndarnefndar [X] á persónuupplýsingum kvartanda til skóla- og frístundasviðs [sveitarfélags Y] samræmdist ekki lögum nr. 90/2018 verður ekki séð að eftirfarandi vinnsla skóla- og frístundasviðs [sveitarfélags Y] á persónuupplýsingum kvartanda geti talist lögmæt.

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla barnaverndarnefndar [X] á persónuupplýsingum um kvartanda, svo og eftirfarandi vinnsla skóla- og frístundasviðs [sveitarfélags Y] á upplýsingum um hann, hafi ekki samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Ú r s k u r ð a r o r ð:

Vinnsla barnaverndarnefndar [X] á persónuupplýsingum [A], svo og eftirfarandi vinnsla skóla- og frístundasviðs [sveitarfélags Y] á upplýsingum um hann, samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 30. September 2021

Ólafur Garðarsson

settur formaður

Björn Geirsson                                               Vilhelmína Haraldsdóttir

Þorvarður Kári Ólafsson