Miðlun persónuupplýsinga á milli Greiningar- og ráðgjafarstöðvar ríkisins og Varmárskóla

Mál nr. 2017/1596

28.6.2019

Úrskurður

Þann 11. júní 2019 komst Persónuvernd að svohljóðandi niðurstöðu í máli nr. 2017/1596:

I.

Málsmeðferð

1.

Tildrög máls

Þann 1. nóvember 2017 barst Persónuvernd kvörtun frá [A og B] (hér eftir nefnd kvartendur) vegna miðlunar persónuupplýsinga um son þeirra, [C], frá Greiningar- og ráðgjafarstöð ríkisins (GRR). Í kvörtuninni segir meðal annars að [D], deildarstjóri Brúarlands, sem er útibú frá grunnskólanum Varmárskóla í Mosfellsbæ, hafi haft samband við [E], barnalækni hjá GRR, án vitundar og samþykkis kvartenda, og aflað upplýsinga hjá henni um son þeirra. Læknirinn hafi, með því að veita [D], rofið trúnað við barn kvartenda og kvartendurna sjálfa.

2.

Nánar um kvörtun

Í kvörtun segir meðal annars að fimm dögum fyrir settan skilafund með þjónustuaðilum hafi [D] hringt í [E], barnalækni hjá GRR, og rætt við hana um son kvartenda. [E] hafi þótt það skrýtið þar sem stutt hafi verið í skilafund, þ.e. fund með foreldrum og þjónustuaðilum við lok greiningarferils, þar sem málin yrðu rædd. Þá hafi [D] upplýst [E] um að hún hygðist láta kvartendur vita hvað hefði farið fram þeirra í milli, en það hafi hún hins vegar ekki gert.

Þá kemur fram að [E] hafi látið kvartendur vita að [D] hefði hringt í hana og rætt málefni sonar kvartenda. Kvartendur hafi spurt sérstaklega að því hvernig það hafi mátt vera þar sem [E] hafi ekki haft sérstakt leyfi frá kvartendum til þess að ræða málefni barns þeirra án samþykkis þeirra eða vitneskju. Fátt hafi verið um svör en eðli málsins samkvæmt hefði [E] átt að óska eftir samþykki kvartenda þegar [D] hafði samband við hana, en ekki veita henni upplýsingar líkt hún gerði.

Þá kemur enn fremur fram að alvarlegur trúnaðarbrestur hafi átt sér stað. Kvartendur hafi ekki heimilað skólanum að hafa samband við sérfræðilækni sonar þeirra. Eðlilegt hefði verið að skólinn leitaði til þeirra og óskaði samþykkis þeirra. Þá beri lækni enn fremur að ganga úr skugga um að viðkomandi skóli hafi leyfi foreldra fyrir upplýsingaöflun.

3.

Bréfaskipti

Með bréfi, dags. 28. nóvember 2017, var GRR boðið að koma á framfæri skýringum vegna kvörtunarinnar. Í svarbréfi stöðvarinnar, dags. 11. desember 2017, kemur meðal annars fram að hún starfi samkvæmt lögum nr. 83/2003, um Greiningar- og ráðgjafarstöð ríkisins. Samkvæmt lögunum sé hlutverk stöðvarinnar meðal annars að annast greiningu barna og ungmenna með alvarlegar þroskaraskanir. Einnig sé það hlutverk stöðvarinnar að annast ráðgjöf og fræðslu til þess einstaklings sem í hlut eigi, foreldra eða annarra aðstandenda og þjónustuaðila varðandi viðeigandi meðferð, þjálfun og önnur úrræði sem þörf sé á.

Þá kemur fram að áður en til athugunar komi séu foreldrar eða aðrir forráðamenn barna beðnir um að undirrita eyðublað sem beri yfirskriftina „Heimild til upplýsingaöflunar og/eða upplýsingamiðlunar“. Í kjölfar athugunar sé mikilvægt að koma niðurstöðum og ráðleggingum um stuðningsþarfir sem fyrst til þeirra sem annist börnin, t.d. í leik- og grunnskólum.

Í bréfi GRR segir jafnframt að syni kvartenda hafi verið vísað á stöðina í nóvember 2012. Fyrrgreint eyðublað hafi verið undirritað af kvartendum þann 22. s.m. Þá er lýst samskiptum [D] og [E], nánar tiltekið samskiptum þeirra þann 21. og 28. september 2017. Í bréfinu kemur fram að þann 21. september hafi [D] hringt í [E] og borið upp spurningar um stuðningsþarfir sonar kvartenda. [D] hafi jafnframt gert grein fyrir aðstæðum hans í skólanum. [E] hafi tekið saman upplýsingar úr samtalinu og ritað í rafræna dagbók um drenginn í tölvukerfi stofnunarinnar. Þá hafi þær ákveðið að ræða saman aftur í síma þann 28. september til að skiptast á upplýsingum til undirbúnings skilafundar með þjónustuaðilum.

Þann 28. september 2017 hafi [E] hringt í [D] og rætt þær aðstæður og stuðningsúrræði sem drengurinn fengi í skólanum. Í kjölfar símtalsins hafi [E] meðal annars ritað eftirfarandi í rafræna dagbók: „[D] ætlar að nefna við foreldra að [skólinn] hafi haft samband við [GRR] til að fá nánari uppl. um stuðninginn sem mælt var með“. Sama dag hafi annar kvartenda hringt í [E] og lýst stöðu drengsins og þeim stuðningi sem hann fengi í skólanum.

Í bréfinu kemur enn fremur fram að það verklag sem þar er lýst sé hluti af hefðbundinni þjónustu GRR í kjölfar athugunar á þroska og færni barna. GRR geti ekki fallist á það sem komi fram í kvörtun að [E] hafi ekki haft leyfi frá kvartendum til að ræða málefni barnsins án þeirra samþykkis. Kvartendur hafi undirritað eyðublaðið „Heimild til upplýsingaöflunar og/eða upplýsingamiðlunar“ og auk þess samþykkt sendingu niðurstaðna á fundi, sem og að haldinn yrði upplýsingafundur með þjónustuaðilum. Þá segir að það sé mikilvægur liður í undirbúningi skilafundar að sérfræðingur GRR og þjónustuaðilar, þ.e. læknir og skólinn, ræði saman og skiptist á upplýsingum um úrræði og þjónustu við barn og að það geri fundinn skilvirkari og um leið gagnlegri fyrir alla aðila, með þarfir barnsins að leiðarljósi.

Að lokum kemur fram að það sé mat GRR að [E] hafi ekki rofið trúnað við kvartendur eða son þeirra, heldur fylgt verklagi og sinnt lagalegu hlutverki stofnunarinnar í samskiptum sínum við [D], deildarstjóra Brúarlands.

Með bréfi, dags. 14. desember 2017, ítrekuðu 26. janúar 2018, var kvartendum boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar GRR. Í svarbréfi kvartenda, dags. 30. janúar 2018, segir meðal annars að árið 2012 hafi [Sveitarfélag X] vísað máli sonar þeirra til GRR og hafi kvartendur skrifað undir eyðublað varðandi upplýsingaöflun þar að lútandi. Þá segir að óeðlilegt sé að ekki sé tilgreindur gildistími heimildar GRR til gagnaöflunar og að eðlilegra væri að stöðin endurnýjaði eyðublaðið ef barni væri vísað aftur til hennar.

Með bréfi, dags. 13. febrúar 2018, óskaði Persónuvernd eftir því að GRR sendi stofnuninni afrit af eyðublaðinu „Heimild til upplýsingaöflunar og/eða upplýsingamiðlunar“, sem samkvæmt skýringum stöðvarinnar hafði verið undirritað af kvartendum eins og fyrr segir. Svar Greiningar- og ráðgjafarstöðvarinnar, ásamt afriti af eyðublaðinu, barst Persónuvernd þann 20. febrúar 2018. Hafði eyðublaðið að geyma undirritun kvartenda, dags. 22. nóvember 2012, sem og staðlaðan texta þess efnis að GRR væri veitt leyfi til öflunar nauðsynlegra gagna og/eða upplýsinga er vörðuðu heilsufar og þroskastöðu barns frá skóla, heilsugæslu eða öðrum sérfræðingum vegna fyrirhugaðra þroskaathugana. Þá var tekið fram að miðla mætti upplýsingum til þeirra sem kæmu að þjónustu við barn vegna þroskafrávika, s.s. heilsugæslu, þjónustumiðstöðvar, skólaskrifstofa, leikskóla og skóla. Með bréfi GRR fylgdu, auk þessa eyðublaðs, tölvupóstsamskipti milli annars kvartenda og GRR dagana 8. til 11. september 2017 þar sem kvartandi óskar eftir að fá að sækja skýrslu um son þeirra til GRR, en fram kemur að annar kvartenda ætli að koma skýrslunum til skólans.

Með bréfi, dags. 1. mars 2018, var Varmárskóla boðið að koma á framfæri skýringum vegna kvörtunarinnar, en svarað var með bréfi, dags. 15. s.m. Í svarbréfinu segir m.a. að þegar umræddur nemandi hafi hafið nám við skólann […] hafi skólinn verið upplýstur um að nemandinn væri í greiningarferli hjá GRR. Þann 22. júní 2017 hafi GRR sent skólanum bréf með yfirskriftinni „Beiðni um skýrslu“. Í bréfinu hafi komið fram að sonur kvartenda myndi koma í þjónustuferli hjá GRR dagana 3. og 14. ágúst, en upplýsingar frá skólanum skiptu miklu við það ferli sem þá færi fram. Því hafi verið óskað eftir því að skólinn myndi senda GRR skýrslu og fylla út spurningalista sem fylgdi bréfinu. Einnig segir að þegar þetta bréf barst hafi sumarfrí verið hafin og enginn til taks til að bregðast við því. Um það leyti sem sumarfríum lauk hafi Varmárskóla borist bréf og tölvupóstar frá kvartendum þess efnis að þjónustuferlinu væri að ljúka og að tilteknar niðurstöður og greiningar lægju fyrir. Þá segir að kvartendur hafi sent skólanum tölvupóst með staðfestingu á niðurstöðum athugunar á fagsviði yngri barna, dags. 18. ágúst 2017; bréf um mjólkurlaust fæði, dags. 21. s.m.; og tölvupóst þar sem minnt var á skilafund til þjónustuaðila, dags. 4. október 2017. Skýrsla með niðurstöðum athugunar á fagsviði yngri barna, dags. 21. ágúst s.á., hafi borist með bréfpósti til Varmárskóla í september. Fram kemur að í bréfi, dags. 18. ágúst 2017, sem kvartendur hafi framsent til skólans, og bréfi, dags. 21. s.m., sem sent hafi verið beint til skólans, sem og í beiðni GRR frá 22. júní 2017, hafi verið tiltekið að hafa mætti samband eða koma upplýsingum til stöðvarinnar ef þörf væri á frekari upplýsingum.

Í bréfinu segir einnig að fyrir tilkynntan skilafund hafi verið ákveðið, í samráði við deildarstjóra Varmárskóla í Brúarlandi, skólastjóra og deildarstjóra sérkennslu, að deildarskóli Varmárskóla í Brúarlandi myndi hringja og fá nánari upplýsingar um tiltekin atriði þar sem gögn frá skólanum hefðu ekki verið til staðar við greiningu. Nauðsynlegt hafi verið talið að fá annars vegar upplýsingar um hvort ekki hefði verið eðlilegt að bíða eftir gögnum frá skólanum áður en skýrslan var gerð, í ljósi yfirlýsingar GRR um mikilvægi þeirra gagna, og í öðru lagi að fá nánari skýringar á þeim mörgu tillögum að aðgerðum sem fram hafi komið í skýrslunni, en skólanum hafi þótt slíkar skýringar líklegar til að gera fundinn skilvirkari.

Í bréfinu segir að auki að samráð og upplýsingagjöf milli skóla og GRR sé almennt hluti af greiningarferli barna, en í þessu tilfelli hafi greining farið fram án þess að slíkt ætti sér stað. Í ljósi þessa, og í ljósi þess að í bréfum GRR hafi verið tekið fram að frjálst væri að hafa samband væri þörf á frekari upplýsingum, hafi þótt rétt að hafa samband við GRR fyrir boðaðan skilafund.

Með bréfi, dags. 14. nóvember 2018, var kvartendum veittur kostur á að tjá sig um framkomin svör Varmárskóla. Í svari kvartenda, sem barst með tölvupósti þann 4. desember 2018, segir m.a. að í bréfi GRR til skólans, dags. 22. júní 2017, hafi einungis verið óskað eftir að skólinn svaraði spurningalistum sem sneru að hegðun, auk einkenna […] og […]. Kvartendur hafi greint GRR frá samskiptavandamálum þeirra við skólann og að ekki mætti miðla til hans upplýsingum. Þá segir að í byrjun september 2017 hafi verið haldinn skilafundur hjá GRR en á fundinum hafi kvartendur gert grein fyrir því að þau hefðu upplifað trúnaðarbrot í sinn garð og sonar síns og hafi þau afturkallað öll umboð sín til GRR þann 16. nóvember s.á.

Einnig er því mótmælt sem fram kemur í bréfi skólans að samráð milli GRR og skólans sé almennt hluti af greiningarferli barna. GRR óski eftir upplýsingum frá skóla varðandi nemendur en samráð sé ekki haft án aðkomu foreldra. Skólinn hafi því ekki verið beðinn um samráð vegna greiningar, utan þess að umsjónarkennari sonar kvartanda hafi verið beðinn um að fylla út spurningalista sem senda átti til GRR og að skólanum hafi verið boðið á skilafund með foreldrum. Þá er því mótmælt að fram hafi komið í bréfum GRR að frjálst væri að hafa samband ef frekari upplýsingar vantaði.

II.

Forsendur og niðurstaða

1.

Lagaskil

Mál þetta varðar kvörtun sem barst Persónuvernd þann 1. nóvember 2017 og lýtur að atvikum sem gerðust fyrir gildistöku núgildandi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga þann 15. júlí 2018. Umfjöllun og efni þessa úrskurðar verða því byggð á ákvæðum eldri laga, nr. 77/2000, en auknar kröfur eru gerðar í lögum nr. 90/2018, svo sem um skýrleika lagaákvæða.

2.

Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna.

Munnleg miðlun persónuupplýsinga ein og sér fellur, samkvæmt framangreindu, ekki undir gildissvið laga nr. 77/2000 heldur þurfa upplýsingar með einhverjum hætti að vera á skráðu formi. Hvað varðar miðlun upplýsinga í símtali frá Greiningar- og ráðgjafarmiðstöð ríkisins (GRR) til Varmárskóla, sem og miðlun skólans í sama símtali til stöðvarinnar, verður ráðið af gögnum málsins að upplýsingarnar hafi átt uppruna sinn í skráðum gögnum um son kvartenda. Af því verður ráðið að þau gögn hafi verið notuð við miðlunina, eða undirbúning hennar, og að miðlunin hafi verið þáttur í notkun þeirra. Telst því hér vera um að ræða vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000 eins og það er afmarkað í framangreindum ákvæðum. Er slík ályktun í samræmi við fyrri túlkun Persónuverndar um slíka miðlun upplýsinga, sbr. t.d. úrskurði í málum nr. 2015/692 og 2018/86. Sama máli gegnir um þá öflun Varmárskóla á persónuupplýsingum frá GRR sem kvartað er yfir, en ráðið verður af skýringum skólans að þær hafi verið skráðar. Nánar tiltekið er hér vísað til þeirra skýringa að tilefni símtalsins hafi verið þörf skólans á tilteknum upplýsingum, en þegar svo ber undir ætti að koma til skráningar upplýsinganna miðað við almennt verklag á vegum opinberra aðila.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst GRR vera ábyrgðaraðili vegna miðlunar upplýsinga um son kvartenda til Varmárskóla og skráningu upplýsinga frá skólanum í rafræna dagbók. Þá telst Varmárskóli vera ábyrgðaraðili vegna miðlunar upplýsinga um son kvartenda til GRR.

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þá verður vinnsla viðkvæmra persónuupplýsinga, s.s. um heilsuhagi, sbr. 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna.

Í bréfum GRR til Persónuverndar segir að vinnslan hafi farið fram á grundvelli 1. tölul. 1. mgr. 8. gr. og 1. tölul. 1. mgr. 9. gr. laga nr.77/2000, þess efnis að hinn skráði hafi samþykkt vinnsluna. Samþykki er í lögum nr. 77/2000 skilgreint sem sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv., sbr. 7. tölul. 1. mgr. 2. gr. laganna. Þegar um er að ræða vinnslu persónuupplýsinga á vegum opinberra aðila, sem fram fer í tengslum við lögbundið hlutverk þeirra, er þó til þess að líta að hinn skráði hefur almennt ekki raunverulegt val um það hvort vinnslan fari fram, hafi hann á annað borð þörf fyrir að nýta þjónustuna. Þá getur synjun samþykkis fyrir vinnslu persónuupplýsinga að öllu jöfnu ekki leyst stjórnvöld undan skyldu sinni til að sinna hlutverki sínu gagnvart borgurunum. Samkvæmt 1. gr. laga nr. 83/2003 um Greiningar- og ráðgjafarstöð ríkisins er stöðin starfrækt í þeim tilgangi að tryggja að börn með alvarlegar þroskaraskanir sem geta leitt til fötlunar fái greiningu, ráðgjöf og önnur úrræði sem miði að því að draga úr afleiðingum röskunarinnar, og enn fremur að tryggja öflun, viðhald og miðlun fræðilegrar þekkingar á þessu sviði. Með vísan til framangreinds verður ekki fallist á að samþykki geti talist fullnægjandi heimild til þeirrar vinnslu persónuupplýsinga sem hér um ræðir, enda ekki fært að líta svo á að það hafi verið veitt af fúsum og frjálsum vilja í skilningi framangreinds ákvæðis 7. tölul. 1. mgr. 2. gr. laga nr. 77/2000. Kemur þá til skoðunar hvort vinnslan geti farið fram á grundvelli annarra heimilda, sbr. 1. mgr. 8. gr. og 1. mgr. 9. gr. laganna.

Það ákvæði 1. mgr. 8. gr. laganna, sem kemur þá einkum til álita, er 3. tölul. 1. mgr., þess efnis að vinna megi með persónuupplýsingar sé vinnslan nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Þá kemur til skoðunar 2. tölul. 1. mgr. 9. gr. sem heimilar vinnslu viðkvæmra persónuupplýsinga ef sérstök heimild stendur til vinnslunnar samkvæmt öðrum lögum.

Í 2. tölul. 1. mgr. 4. gr. laga nr. 83/2003 kemur meðal annars fram að hlutverk GRR sé að annast ráðgjöf og fræðslu til þess einstaklings sem í hlut eigi, foreldra eða annarra aðstandenda og þjónustuaðila varðandi viðeigandi meðferð, þjálfun og önnur úrræði sem þörf sé á. Í athugasemdum við 4. gr. frumvarps þess sem varð að lögum nr. 83/2003 kemur meðal annars fram að lögð sé áhersla á að sem minnst bein þjálfun og meðferð fari fram á GRR heldur njóti börnin sem mestrar þjónustu í almennum stofnunum, t.d. leikskólum og skólum, sem fái leiðsögn sérfræðinga stöðvarinnar á grundvelli greiningar. Þá kemur fram í 3. mgr. ákvæðisins að stöðin skuli hafa samráð við aðra aðila um þjónustu, kennslu og rannsóknir á sviði fatlana og þroskaraskana, t.d. sérfræðiþjónustu grunnskóla, en í athugasemdum við ákvæðið er tiltekið að með því sé lögð áhersla á þörfina fyrir samráð og samvinnu fag- og þjónustuaðila. Með hliðsjón af framangreindu er það mat Persónuverndar að miðlun GRR á persónuupplýsingum um son kvartenda til Varmárskóla hafi verið heimil.

Hvað varðar miðlun Varmárskóla á persónuupplýsingum um son kvartenda til GRR þarf að líta til laga nr. 91/2008 um grunnskóla. Í 1. mgr. 17. gr. þeirra laga segir að nemendur eigi rétt á að komið sé til móts við námsþarfir þeirra í almennum grunnskólum án aðgreiningar, án tillits til líkamlegs eða andlegs atgervis. Þá segir í 2. mgr. ákvæðisins að nemendur sem eigi erfitt með nám sökum sértækra námsörðugleika, tilfinningalegra eða félagslegra örðugleika og/eða fötlunar, sem og aðrir nemendur með heilsutengdar sérþarfir, eigi rétt á sérstökum stuðningi í námi í samræmi við metnar þarfir.

Með hliðsjón af tilvitnuðu ákvæði grunnskólalaga, sem og áðurnefndum ákvæðum um samráð GRR við þjónustuaðila í lögum, verður talið að umrædd vinnsla Varmárskóla á persónuupplýsingum hafi verið heimil.

Einnig verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er m.a. mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt sé miðað við tilgang vinnslunnar (3. tölul.).

Forsenda þess að vinnsla teljist sanngjörn samkvæmt framangreindu er að hún sé gagnsæ gagnvart hinum skráða en í því felast m.a. kröfur til þess að hinn skráði viti um vinnsluna og fái um hana fræðslu, sbr. m.a. 20. og 21. gr. laga nr. 77/2000. Samkvæmt fyrrnefnda ákvæðinu ber að veita hinum skráða tiltekna fræðslu þegar upplýsinga er aflað hjá honum sjálfum, þ.e. um hver standi að vinnslunni, tilgang hennar og aðrar upplýsingar, að því marki sem þær eru nauðsynlegar svo að hinn skráði geti gætt hagsmuna sinna. Fyrir liggur að hinn 22. nóvember 2012 undirrituðu kvartendur eyðublað um heimild til upplýsingar og miðlunar upplýsinga vegna tilvísunar á syni þeirra til GRR. Með eyðublaðinu veittu þau ekki sjálf upplýsingar um son sinn. Í ljósi þess að þarna áttu sér stað bein samskipti þeirra og GRR má hins vegar hafa 20. gr. laga nr. 77/2000 til hliðsjónar við beitingu grunnreglunnar um sanngirni og gagnsæi við vinnslu. Eins og rakið hefur verið hafði eyðublaðið að geyma fræðslu um miðlun upplýsinga til þeirra sem kæmu að þjónustu við barn vegna þroskafrávika, s.s. heilsugæslu, þjónustumiðstöðvar, skólaskrifstofa, leikskóla og skóla. Í ljósi þessa telur Persónuvernd að við miðlun upplýsinga frá GRR til Varmárskóla hafi verið farið að grunnreglunni um sanngirni og gagnsæi, auk þess sem ekki verði séð að vinnslan hafi að öðru leyti farið í bága við 7. gr. laga nr. 77/2000.

Hvað varðar þær upplýsingar sem miðlað var frá Varmárskóla og GRR reynir á 21. gr. laga nr. 77/2000 þar sem sú skylda er lögð á ábyrgðaraðila að láta hinn skráða vita þegar hann aflar persónuupplýsinga frá honum og greina honum frá tilteknum atriðum sem talin eru upp í 3. mgr. ákvæðisins. Nánar tiltekið reynir þá á hvort GRR hafi borið að láta kvartendur vita af öflun upplýsinga frá Varmárskóla. Þar sem ekki er kvartað sérstaklega yfir þeirri upplýsingaöflun verður ekki fjallað frekar um það atriði hér. Hins vegar er ljóst að einnig reynir á 21. gr. laga nr. 77/2000 í tengslum við öflun Varmárskóla á upplýsingum frá GRR, en yfir þeirri upplýsingaöflun er sérstaklega kvartað. Telur Persónuvernd þar verða að líta til 2. tölul. 4. mgr. ákvæðisins, þess efnis að skylda til að láta hinn skráða vita af upplýsingaöflun eigi ekki við þegar ætla má að hinum skráða sé þegar kunnugt um vinnslu. Í ljósi þess sem fyrr segir um fræðslu á áðurnefndu eyðublaði, sem kvartendur undirrituðu hinn 22. nóvember 2019, telur Persónuvernd þessa undantekningu frá skyldu samkvæmt ákvæðinu hér eiga við. Verður því jafnframt talið að ekki hafi verið brotið gegn grunnreglu 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 um sanngirni og gagnsæi við umrædda upplýsingaöflun Varmárskóla, en auk þess verður ekki heldur séð að farið hafi verið gegn öðrum reglum sömu greinar.

Meðferð þessa máls hefur tafist vegna anna hjá Persónuvernd.

Ú r s k u r ð a r o r ð:

Vinnsla persónuupplýsinga um [C] hjá Greiningar- og ráðgjafarstöð ríkisins og Varmárskóla samrýmdist lögum nr. 77/2000.