Miðlun sveitarfélags á persónuupplýsingum vegna umsóknar um húsaleigubætur í samræmi við lög
Mál nr. 2020051540
Persónuvernd hefur úrskurðað í máli þar sem kvartað var yfir því að sveitarfélag hefði miðlað persónuupplýsingum um kvartanda til Húsnæðis- og mannvirkjastofnunar í kjölfar umsóknar hans um húsaleigubætur. Kvartandi taldi að miðlunin hefði valdið honum fjárhagslegu tjóni þar sem hann varð af húsaleigubótum hennar vegna.
Niðurstaða Persónuverndar var að miðlun sveitarfélagsins á persónuupplýsingum kvartanda hefði verið nauðsynleg til að afgreiða umsókn hans um húsaleigubætur. Upplýsingarnar voru sendar að frumkvæði kvartanda og taldi Persónuvernd að ekki hefði verið hægt að undanskilja þær. Því leit Persónuvernd svo á að miðlunin hefði samrýmst lögum.
Úrskurður
Þann 24. júní 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020051540.
I.
Málsmeðferð
1.
Tildrög máls
Þann 3. maí 2020 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir miðlun [sveitarfélagsins X] á persónuupplýsingum um hann til Húsnæðis- og mannvirkjastofnunar.
Með bréfi, dags. 28. október 2020, var [sveitarfélaginu X] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 1. desember 2020. Með bréfi, dags. 17. desember 2020, var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið [sveitarfélagsins X]. Bárust athugasemdir kvartanda með tölvupósti þann 20. janúar 2021. Persónuvernd óskaði í kjölfarið skýringa á tilteknum atriðum frá [sveitarfélaginu X] með tölvupósti þann 19. febrúar 2021 og bárust skýringar með tölvupósti 3. mars 2021.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
2.
Sjónarmið kvartanda
Kvartandi kveðst hafa verið í samskiptum við [sveitarfélagið X] vegna vottorðs sem húsbótasvið Húsnæðis- og mannvirkjastofnunar hafi óskað eftir vegna umsóknar kvartanda um húsnæðisbætur. Kvartandi telur að [sveitarfélagið X] hafi að eigin frumkvæði miðlað upplýsingum til stofnunarinnar um félagslega stöðu hans hjá sveitarfélaginu, þ.e. upplýsingum um að hann hafi verið á biðlista eftir félagslegu húsnæði. Sú miðlun hafi verið umfram það sem hann hafi samþykkt munnlega. Þá kveður kvartandi að upplýsingarnar hafi valdið því að hann missti húsnæðisbætur. Kvartandi kveðst hafa orðið fyrir fjárhagslegu tjóni vegna hugsanlegra brota á persónuverndarlögum, sem hafi ekki verið bætt.
3.
Sjónarmið [sveitarfélagsins X]
[Sveitarfélagið X] kveður kvartanda hafa átt búsetu í frístundahúsi í sveitarfélaginu og að hann hafi óskað eftir að umsögn um félagslega stöðu hans yrði send Húsnæðis- og mannvirkjastofnun í samræmi við þær kröfur sem fram koma í lögum um húsnæðisbætur nr. 75/2016. Kvartandi hafi í kjölfarið upplýst sveitarfélagið um að umsókn hans um húsnæðisbætur hefði verið samþykkt hjá Húsnæðis- og mannvirkjastofnun og að samband yrði haft við [sveitarfélagið X] til þess að fá staðfestingu á búsetu hans í sveitarfélaginu. Kvartandi hafi í kjölfarið óskað að nýju eftir staðfestingu á búsetu vegna húsnæðisbóta, sem [sveitarfélagið X] hafi þá sent Húsnæðis- og mannvirkjastofnun að nýju. Í staðfestingunni hefði komið fram að kvartandi hefði hafnað félagslegu húsnæði hjá sveitarfélaginu. [Sveitarfélagið X] telur að í öllum tilvikum hafi kvartandi óskað eftir því að [sveitarfélagið X] veitti upplýsingar um félagslega stöðu hans og þá hvort hann ætti von á félagslegu húsnæði, sem hafi verið ástæða þess að hann fékk húsnæðisbætur þrátt fyrir […]. [Sveitarfélagið X] hefur upplýst að kvartanda hafi ekki verið kynnt sérstaklega efni bréfsins áður en það var sent Húsnæðis-og mannvirkjastofnun. Um slíkt hafi enginn beðið áður og því hafi það ekki verið venja hjá sveitarfélaginu.
[Sveitarfélagið X] kveður að sveitarfélaginu hafi verið skylt að upplýsa Húsnæðis- og mannvirkjastofnun um þær breytingar sem hafi orðið á stöðu kvartanda en upplýsingagjöfin hafi valdið því að kvartandi átti ekki lengur rétt til húsnæðisbóta. Þá telur [sveitarfélagið X] að vinnsla persónuupplýsinga í umrætt sinn hafi verið í skýrt tilgreindum, lögmætum og málefnalegum tilgangi. Jafnframt telur [sveitarfélagið X] að kvartandi hafi gert sér grein fyrir í hvaða tilgangi upplýsingarnar yrðu nýttar, enda hafi það verið að hans frumkvæði sem þær voru sendar til Húsnæðis- og mannvirkjastofnunar. [Sveitarfélagið X] hefði ekki getað sent umsögn til stofnunarinnar og undanskilið þær upplýsingar sem um ræðir.
II.
Forsendur og niðurstaða
1.
Gildissvið – Ábyrgðaraðili
Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.
Mál þetta lýtur að miðlun persónuupplýsinga um kvartanda af hálfu [sveitarfélagsins X] og fellur því undir valdsvið Persónuverndar.
Miðlun upplýsinganna fór fram af hálfu [sveitarfélagsins X] og verður [sveitarfélagið X því talið] ábyrgðaraðili að umræddri vinnslu, sbr. 6. tölul. 3. gr. laga nr. 90/2018, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.
2.
Niðurstaða
Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar á grundvelli samþykkis hins skráða, sbr. 1. tölul. 9. gr. laganna (sbr. a-lið 1. mgr. 6. gr. reglugerðarinnar), sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. ákvæðisins (sbr. c-lið reglugerðarákvæðisins), eða við beitingu opinbers valds, sbr. 5. tölul. lagaákvæðisins (sbr. e-lið reglugerðarákvæðisins). Samkvæmt 3. mgr. 6. gr. reglugerðarinnar skal mæla fyrir um grundvöll vinnslunnar, sem um getur í e-lið 1. mgr. ákvæðisins (sbr. 5. tölul. lagaákvæðisins), í lögum.
Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga ávallt að uppfylla allar grunnkröfur 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul. lagaákvæðisins), og að þær séu áreiðanlegar og uppfærðar eftir þörfum (4. tölul. lagaákvæðisins).
Í 43. lið formálsorða reglugerðar (ESB) 2016/679 segir að samþykki ætti ekki að teljast gildur lagagrundvöllur fyrir vinnslu persónuupplýsinga þegar skýr aðstöðumunur er á milli hins skráða og ábyrgðaraðilans, einkum þegar ábyrgðaraðilinn er opinbert yfirvald og því ólíklegt að samþykki hafi verið veitt af fúsum og frjálsum vilja við allar aðstæður í því tiltekna tilviki. Með vísan til þess, sbr. einnig ákvæði 10. gr. laga nr. 90/2018 og 7. gr. reglugerðarinnar um skilyrði fyrir samþykki, verður því ekki talið að samþykki hafi komið til greina sem vinnsluheimild í því tilviki sem hér um ræðir.
Við mat á því hvort heimild stendur til vinnslunnar verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Hér koma helst til skoðunar lög nr. 75/2016 um húsnæðisbætur og reglur settar samkvæmt þeim, t.d. reglugerð um húsnæðisbætur nr. 1200/2016 ásamt síðari breytingum.
Samkvæmt 1. mgr. 13. gr. laga nr. 75/2016 um húsnæðisbætur skal umsækjandi sækja um húsnæðisbætur til Húsnæðis- og mannvirkjastofnunar. Í ákvæðinu kemur fram að öll nauðsynleg gögn skuli fylgja umsókninni og að stofnuninni sé heimilt að kalla eftir frekari upplýsingum og gögnum sem hún telur þörf á til að staðreyna rétt umsækjanda til húsnæðisbóta. Þá segir í 1. mgr. 14. gr. að umsækjandi skuli veita stofnuninni allar þær upplýsingar og gögn þeim til staðfestingar sem óskað er eftir og nauðsynlegar eru til að staðreyna rétt hans til húsnæðisbóta. Samkvæmt 3. mgr. sama ákvæðis skal umsækjandi jafnframt upplýsa stofnunina um allar breytingar sem kunna að verða á högum hans eða heimilismanna eða öðrum þeim atriðum sem kunna að hafa áhrif á rétt hans til húsnæðisbóta samkvæmt lögunum á þeim tíma sem hann fær greiddar húsnæðisbætur. Að lokum er Húsnæðis- og mannvirkjastofnun heimilt að fengnu skriflegu umboði umsækjanda að afla upplýsinga frá sveitarfélögum, auk annarra aðila, sem nauðsynlegar eru til að unnt sé að framfylgja lögunum, sbr. 15. gr. þeirra.
Sem fyrr segir er heimilt að vinna með persónuupplýsingar sé það nauðsynlegt við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. 9. gr. laga nr. 90/2018 og e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Ákvæðið tekur meðal annars til vinnslu upplýsinga á vegum stjórnvalda sem tengist meðferð opinbers valds og getur því átt við þegar vinnsla persónuupplýsinga er nauðsynleg við undirbúning stjórnvaldsákvarðana. Að mati Persónuverndar gat miðlun [sveitarfélagsins X] á upplýsingum um kvartanda til Húsnæðis- og mannvirkjastofnunar, sem þýðingu höfðu við afgreiðslu umsóknar hans um húsnæðisbætur, stuðst við heimild í umræddu ákvæði.
Þá verður ekki séð að miðlunin hafi brotið gegn meginreglum laganna um sanngjarna og gagnsæja vinnslu, áreiðanleika og meðalhóf, sbr. 1., 3. og 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-, c- og d-lið 1. mgr. 5. gr. reglugerðarinnar.
Samkvæmt framangreindu er það niðurstaða Persónuverndar að vinnsla [sveitarfélagsins X] á persónuupplýsingum um kvartanda hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.
Ú r s k u r ð a r o r ð:
Miðlun [sveitarfélagsins X] á persónuupplýsingum um [A] til Húsnæðis- og mannvirkjastofnunar samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.
Persónuvernd, 24. júní 2021
Helga Þórisdóttir Helga Sigríður Þórhallsdóttir