Miðlun persónuupplýsinga úr eineltisskýrslu

Mál nr. 2014/511

17.10.2014

 

Úrskurður

 

 

 

Á fundi stjórnar Persónuverndar hinn 17. september 2014 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/511:

 

 

I.

 

Grundvöllur máls

 

Málavextir og bréfaskipti

 

1.

 

Tildrög máls

 

Þann 14. mars 2014 barst Persónuvernd kvörtun frá A , B, C og D vegna miðlunar skýrslu til þriðju aðila, sem innihélt vitnisburð kvartenda, í tilefni af rannsókn eineltismáls á vinnustað þeirra. Í kvörtuninni kemur m.a. fram að hún beinist að X, móður nemanda sem kærði tiltekinn kennara fyrir einelti á vinnustað kvartenda. Óháður aðili hefði verið fenginn til að gera skýrslu um málið sem Xáframsendi með tölvupósti á valda samstarfsfélaga kvartenda, til að upplýsa þá um stöðu málsins. Telja kvartendur að X hafi verið bundin trúnaði um efni skýrslunnar og að þeir hefðu átt rétt á því að trúnaður ríkti um nöfn og efni vitnisburðar þeirra. Þá tóku kvartendur fram að yrðu efni og vitnisburður starfsmanna í slíkum viðkvæmum málum gerð opinber gæti slíkt haft þær afleiðingar að starfsmenn veigruðu sér við að veita slíkan vitnisburð.

 

 

 

2.

 

Bréfaskipti

 

Með tölvupósti þann 4. apríl 2014 staðfesti Persónuvernd móttöku kvörtunarinnar og óskaði staðfestingar þess efnis, að hún lyti einungis að miðlun X á umræddri skýrslu en ekki að efnislegu innihaldi skýrslunnar. Í tölvupósti frá A kom fram að kvörtunin beindist í fyrsta lagi að því að Z, sálfræðingur, sem vann umrædda skýrslu hefði upplýst kvartendur um að trúnaðar yrði gætt um vitnisburð kvartenda og enginn óháður aðili fengi þær í hendur. Í öðru lagi beindist kvörtunin að X sem hefði brotið trúnað við kvartendur með því að áframsenda skýrsluna til þriðju aðila, sem tengdust ekki málinu, án samþykkis eða vitundar kvartenda, en með því hefði hún vegið að kvartendum sem persónum og fagmönnum. Þá kom fram í svarbréfi A að kvartendur væru bundnir trúnaði og gætu því ekki svarað fyrir vitnisburð sinn né komið sjónarmiðum sínum á framfæri. Með því væru þeir settir í þá stöðu að þurfa að sætta sig við það umtal, viðhorf og áreiti sem af þessu kynni að verða.

 

 

Með bréfi, dags. 10. júní 2014, var X tilkynnt um kvörtunina og boðið að koma á framfæri andmælum sínum til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi Æ, hdl., fyrir hönd hennar, dags. 24. júní 2014, var tilurð málsins rakin til þess að Z, sálfræðingur, skilaði af sér álitsgerð um málið. Þá sagði jafnframt í bréfinu að Z hefði tekið viðtöl við kvartendur B, C og D. Ekki hafi verið tekið viðtal við A en nafn hans komi þá fyrir á nokkrum stöðum í álitsgerðinni, m.a. þar sem hann hefði setið fundi vegna málsins vegna stöðu sinnar sem trúnaðarmaður kennara. Þá bendir X á að fram komi í álitsgerðinni að fullorðnir viðmælendur hefðu farið yfir sinn hluta og staðfest að rétt væri haft eftir þeim. Þá kemur fram að skólastjóri [...]skóla [...] hafi afhent X eintak af álitsgerðinni, en það sé skólinn sem sé ábyrgðaraðili vinnslunnar samkvæmt lögum nr. 77/2000. Eintakið hafi ekki verið merkt sérstaklega sem trúnaðarskjal og X hafi ekki verið gerð grein fyrir því sérstaklega. Beri skólinn einn ábyrgð á því hvernig gögnin hafi verið afhent og hvaða tilmæli hafi fylgt þeirri afhendingu. Þá segir í bréfi lögmannsins að X hafi þótt mikilvægt að starfsmenn skólans hafi haft réttar upplýsingar hjá sér varðandi niðurstöðu álitsgerðarinnar og hafi hún talið sig í fullum rétti til að senda hana áfram.

 

 

Einnig kemur fram í svarbréfi X að hún telji að kvörtunin eigi ekki undir persónuverndarlög og því eigi málið ekki undir úrskurðarvald Persónuverndar, þar sem ekki sé um að ræða miðlun persónuupplýsinga um kvartendur í skilningi laganna. Þá segir að nöfn kvartenda komi fram í álitsgerðinni ásamt upplýsingum um skoðanir þeirra á tilteknum kennara og umfjöllunarefni álitsgerðarinnar, en þær upplýsingar telur X ekki vera persónuupplýsingar um kvartendur sjálfa. Loks kom fram að ekki væri hægt að telja X ábyrga fyrir umræddri miðlun þar sem hún teldist ekki ábyrgðaraðili að vinnslu persónuupplýsinganna heldur [...]skóli [...], þar sem álitsgerðin hafi verið unnin að frumkvæði skólastjórans. Þá segir enn fremur að ekki væri hægt að gera þá kröfu til X að hún færi yfir álitsgerðina og legði mat á hvað teldust persónuupplýsingar í skilningi persónuverndarlaga og sjá til þess að þær yrðu felldar á brott eða yfirstrikaðar, þegar skólinn sjálfur taldi ekki ástæðu til að gera það áður en að álitsgerðin var afhent X.

 

 

Með bréfi, dags. 1. júlí 2014, var kvartendum boðið að tjá sig um svarbréf lögmanns X. Kvartendur óskuðu eftir fresti til að koma á framfæri frekari athugasemdum og var sá frestur veittur til 15. ágúst sl. Svarbréf kvartanda A, dags. 14. ágúst sl., barst þann 19. s.m. Þar kom m.a. fram að útprentun, fjölföldun og dreifing skjals með persónuupplýsingum teljist vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000 og falli mál þetta því undir valdssvið Persónuverndar. Þá kom jafnframt fram að það væri hlutverk skólastjórnenda og fagaðila sem kæmu að málum innan skólakerfisins að meta hverjir færu með, og væru upplýstir um, tiltekin mál hverju sinni. X hafi sent tölvupóst með álitsgerðinni á fyrrverandi starfsmann skólans, aðila sem starfaði á annarri starfsstöð en dóttir hennar væri nemandi á sem og starfsmenn sem aldrei höfðu haft afskipti af dóttur hennar í skólastarfinu. Loks kemur fram að í umræddri skýrslu sé að finna umsögn kvartenda í viðkvæmu máli sem hægt sé að rekja beint til þeirra þar sem kvartendur séu nafngreindir. Slíkar umsagnir hljóti að teljast til viðkvæmra persónuupplýsinga og þeir sem veiti þær ættu að vera verndaðir gegn því að þeim sé dreift.

 

 

 

II.

 

Forsendur og niðurstaða

 

 

 

1.

 

Gildissvið laga nr. 77/2000

 

Efnislegt gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, og þar með valdsvið Persónuverndar, nær til vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. mgr. 37. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.

 

 

Af framangreindu er ljóst að í umræddri álitsgerð er að finna persónuupplýsingar sem falla undir valdsvið Persónuverndar. Ekki er þar eingöngu að finna upplýsingar um kvartendur heldur einnig aðra einstaklinga. Úrlausn Persónuverndar afmarkast hins vegar við það hvort sú meðferð á upplýsingum um kvartendur, sem fólst í sendingu X á álitsgerðinni, hafi samrýmst lögum nr. 77/2000.

 

 

 

2.

 

Forsendur og niðurstaða

 

Öll vinnsla persónuupplýsinga verður að fullnægja einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000, og einnig 1. mgr. 9. gr. laganna ef um viðkvæmar persónuupplýsingar er að ræða, svo hún teljist heimil. Ekki er gerð krafa um að öllum skilyrðum framangreindra ákvæða sé fullnægt heldur telst vinnsla persónuupplýsinga hafa fullnægjandi heimild ef eitthvert skilyrði þeirra töluliða sem taldir eru upp í 8., og eftir atvikum 9. gr., er fyrir hendi. Í 7. tölul. 1. mgr. 8. gr. segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna. Til að vinnsla geti átt sér stoð í ákvæðinu er skilyrði að grundvallarréttindi og frelsi hinna skráðu vegi ekki þyngra en slíkir hagsmunir. Eins og hér háttar til reynir einkum á sjónarmið tengd þessu ákvæði 8. gr.

 

 

Í 8. tölul. 2. gr. laga nr. 77/2000 er talið upp hvaða persónuupplýsingar teljist viðkvæmar persónuupplýsingar. Fram kemur í umræddri álitsgerð að viðtöl hafi verið tekin við þrjá af kvartendum, þau B, C og D. Eru kvartendur nafngreindir sem og ástæða þess hvers vegna leitað sé til þeirra um upplýsingar. Þær upplýsingar sem finna má um fyrrnefnda kvartendur eru um nöfn þeirra og stöðu ásamt kynnum þeirra af dóttur X og þeim kennara sem talinn var hafa sýnt framkomu og viðmót sem flokkaðist undir skilgreiningu og birtingarmynd eineltis. Um A  kemur það eitt fram að að hann sé trúnaðarmaður kennara í skólanum og hafi sem slíkur sinnt því lögbundna hlutverki við meðferð málsins innan skólans. Teljast framangreindar upplýsingar um kvartendur ekki viðkvæmar í skilningi umrædds ákvæðis.

 

 

Auk vinnsluheimildar samkvæmt framangreindu þarf vinnsla persónuupplýsinga að samrýmast öllum grunnkröfum 7. gr. laga nr. 77/2000,  þ. á m. að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti slíkra upplýsinga (1. tölul.); að persónuupplýsingar skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að persónuupplýsingar skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skulu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal afmá eða leiðrétta (4. tölul.).

 

 

Í máli þessu liggur fyrir að X hafi miðlað umræddri álitsgerð í tölvupósti til starfsmanna [...]skóla [...]enda hafi hvergi komið fram að um trúnaðarupplýsingar væri að ræða. Í svarbréfi X kemur jafnframt fram að hún hafi verið ósátt við það hvernig tekið hafði verið á máli dóttur hennar innan [...]skóla [...], eftir að niðurstaða álitsgerðarinnar lá fyrir. Taldi hún því mikilvægt að starfsmenn skólans hefðu réttar upplýsingar hjá sér um niðurstöðu álitsgerðarinnar. Af málsatvikalýsingu kvartenda og X er ljóst að umrædd álitsgerð er til komin vegna kvörtunar X og dóttur hennar til [...]skóla [...] vegna meints eineltis tiltekins starfsmanns skólans. Var X því aðili að stjórnsýslumáli í þeim tilgangi að gæta lögmætra hagsmuna dóttur sinnar gagnvart stjórnvöldum, í þessu tilviki [...]skóla [...]. Aðilar stjórnsýslumála eiga rétt á aðgangi að skjölum og öðrum gögnum er mál þeirra varða samkvæmt 15. gr. stjórnsýslulaga nr. 37/1993. Á X sem málsaðila að stjórnsýslumáli hvílir ekki sérstök þagnarskylda en þó eru ákveðin gögn undanþegin upplýsingarétti aðila, sbr. 16. gr. stjórnsýslulaga, auk þess sem stjórnvaldi er heimilt, þegar sérstaklega stendur á, að takmarka aðgang aðila máls að gögnum ef hagsmunir hans af því að notfæra sér vitneskju úr þeim þykja eiga að víkja fyrir mun ríkari almanna- eða einkahagsmunum. Slíkar takmarkanir höfðu ekki verið settar á efni þeirrar álitsgerðar sem kvörtun þessi varðar, hvorki af því stjórnvaldi sem í hlut á né þeim aðila sem útbjó álitsgerðina. Persónuvernd telur það vera á ábyrgð stjórnvalda, í þessu tilviki [...]skóla [...], að meta hvort, og eftir atvikum hvaða, upplýsingar geti þurft að afmá með vísan til umræddra ákvæða stjórnsýslulaga. 

 

 

Persónuvernd hafa borist afrit af tölvupóstum þeim er X sendi starfsmönnum [...]skóla [...]. Hefur hún tekið fram að álitsgerðin hafi einungis verið send öðrum starfsmönnum en kvartendum í þeim tilgangi að upplýsa þá um niðurstöðu málsins. Þá liggur fyrir að viðtakendur hafa allir netfang hjá sveitarfélaginu [...], þ.e. netföngin enda á [...]. Þrátt fyrir að fram komi í svarbréfi kvartenda, frá 14. ágúst sl., að umræddur tölvupóstur hafi verið sendur á fyrrverandi starfsmann skólans má því telja að X hafi haft réttmæta ástæðu til að ætla að tölvupóstur hennar bærist eingöngu starfsmönnum skólans. Teljast  viðtakendur tölvupóstsins því ekki, eins og málum er hér háttað og óháð því hvar þeir höfðu starfsstöð sína, til óviðkomandi aðila. Í því sambandi hefur stofnunin einnig litið til þess að af hálfu kvartenda hefur komið fram að skólastjóri [...]skólans hafi sjálfur miðlað tilteknum upplýsingum um niðurstöðu málsins til annarra starfsmanna og nemenda.

 

 

Í ljósi alls sem að framan er rakið er það mat Persónuverndar, eins og hér stendur á, að umrædd sending álitsgerðarinnar hafi verið X heimil sem liður í að gæta lögmætra hagsmuna dóttur sinnar. Þá liggur ekki fyrir að miðlunin hafi farið í bága við 7. gr. laga nr. 77/2000.

 

 

 

 

Ú r s k u r ð a r o r ð:

 

Miðlun X á persónuupplýsingum um kvartendur til annarra starfsmanna [...]skóla [...] fór ekki í bága við lög nr. 77/2000.