Óheimil miðlun gagna frá Barnaverndarnefnd

Á fundi stjórnar Persónuverndar hinn 17. ágúst 2011 var kveðinn upp svohljóðandi úrskurður í máli nr. 2011/347:

Þann 8. mars 2011 barst Persónuvernd kvörtun frá Ó(hér eftir nefnd kvartandi) yfir því að Barnavernd Reykjavíkur hafi án heimildar unnið með persónuupplýsingar um sig og fjölskyldu sína. Um var að ræða vinnslu sem fór fram í þágu nemaverkefnis A og H. Það var unnið undir handleiðslu kennara við skólann. Verkefnið fólst í því að athuga árangur af tilteknu úrræði á vegum Velferðarsviðs og Barnaverndar Reykjavíkur.

Í kvörtuninni segir m.a.:

„[Kvartað er yfir] framkvæmd vinnslu með viðkvæmar persónuupplýsingar án þess að afla upplýst samþykkis eða þar til gerðs leyfis frá Persónuvernd. MSW -ritgerð sem ber heitið [X]
[...]
Að vera þátttakandi í þessari ritgerð/rannsókn [þar] sem unnið er með viðkvæmar upplýsingar án samþykkis né vitneskju þátttakenda, þrátt fyrir að það komi fram í tilkynningu til Persónuverndar [...] að upplýst og skriflegt samþykki hafi verið aflað.
Fram kemur í tilkynningu um vinnslu persónuupplýsinga nr. [X]:
1. Að unnið sé með upplýsingar með viðtölum við þátttakendur.
2. Að upplýsingar komi frá þátttakendum.
3. Að samkv. 8. gr. laga um persónuvernd fengist hafi samþykki hins skráða.
4. Að unnið sé með viðkvæmar persónuupplýsingar og aflað sé upplýsts og skriflegs samþykki hins skráða.
5. Að þátttakendum hafi verið kynnt nákvæmlega bæði með bréfi og munnlega, efni rannsóknarinnar, þar sem meðal annars kemur fram að fyllsta trúnaðar og nafnleyndar verður gætt og að þátttakandi ráði hvort hann taki þátt í rannsókninni eða ekki og geti hætt hvenær sem er í henni. Óskað verður eftir munnlegu samþykki þátttakenda.
6. Að ekki er ljóst hvernig fræðsluskylda var uppfyllt sbr. 20. gr. laganna og kemur fram að ekki sé aflað persónuupplýsinga frá öðrum en þátttakendum.
7. Að upplýsingarnar verði ekki birtar á netinu.
[...]
Ekkert af þessu samræmist rannsókninni/ritgerðinni sjálfri og lög um persónuvernd algjörlega virt að vettugi. Ekki er hægt að sýna fram á skriflegt samþykki mitt fyrir vinnslunni þar sem slíkt samþykki er ekki til.
Eftir að hafa kynnt mér efni ritgerðarinnar/rannsóknarinnar og efnistök hennar kom í ljós að fjölskylda mín er þátttakandi í ritgerðinni/rannsókninni án samþykkis né vitneskju fjölskyldunnar.
[...]
Auk þess er ritgerðin/rannsóknin birt á netinu þrátt fyrir að í tilkynningu til persónuverndar sé þess getið svo verði ekki.“

Með bréfi, dags. 14. mars 2011, gerði Persónuvernd H, sem skráð var sem ábyrgðarmaður rannsóknarinnar samkvæmt tilkynningu til Persónuverndar, [...],  grein fyrir framangreindri kvörtun og bauð henni að koma sínum andmælum á framfæri til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Svarbréf H er dags. 29. mars 2011. Þar segir m.a.:

„Undirrituð er annar höfunda að ritgerðinni/rannsókninni „[X]“ sem er MSW verkefni í námi okkar [...]. [...] Í september 2008 var ákveðið að rannsóknarverkefni okkar yrði tengt nýju úrræði á vegum Velferðarsviðs og Barnaverndar Reykjavíkur sem var verið að koma á laggirnar á þessum tíma. Leiðbeinandi okkar var S prófessor í félagsráðgjöf við Háskóla Íslands. Sem hluti af námi mínu var námskeið sem kallast „Eigindlegar rannsóknir“ sem ég tók á haustönn 2008. Eitt af verkefnum námskeiðsins var að senda inn tilkynningu til Persónuverndar um vinnslu persónuupplýsinga. Tilkynningin var send til Persónuverndar [...](fylgiskjal í ritgerðinni).
[...]
Áður en viðtölin fóru fram var hringt í alla þátttakendur og rannsóknin kynnt fyrir þeim og óskað eftir leyfi til að taka viðtöl við þá. Í flestum tilfellum fóru viðtölin fram á heimilum þátttakenda, í einu tilfelli var viðtalið í húsnæði Barnaverndar Reykjavíkur. Áður en viðtölin fóru fram var þátttakendum sent bréf um rannsóknina og sama dag og viðtölin fóru fram skrifuðu þátttakendur undir upplýst samþykki. Að síðustu var farið í gegnum skýrslur sem tengdust úrræðinu og unnið úr þeim.
[...]
Rannsóknin byggir m.a. á viðtölum við 7 fjölskyldur sem tóku þátt í úrræðinu, [...]. Þessar 7 fjölskyldur skrifuðu allar undir upplýst samþykki fyrir þátttöku í rannsókninni. Ef rannsakandi tók viðtal við kvartanda þá hlýtur hann að hafa skrifað undir upplýst samþykki þess efnis. Aftur á móti voru tveir aðilar, sem rannsakandi leitaði til og óskaði eftir að fá að taka viðtal við, sem neituðu því. Þessum tveimur aðilum var báðum kynnt í gegnum síma innihald rannsóknarinnar þar sem kom fram að fyllsta trúnaðar yrði gætt. Þar sem þessir tveir aðilar neituðu viðtali var ekki rætt frekar við þá. Undirrituð gerir ráð fyrir að kvartandi sé annar þessara aðila. Það er því ekki rétt sem kemur fram í kvörtun að aðilum hafi ekki verið kynnt innihald rannsóknarinnar, a.m.k. munnlega. Ef kvartandi kannast ekki við að [hafa] talað við undirritaða í síma um rannsóknina, þá eru kvartandi og fjölskylda hans ekki þátttakendur í rannsókninni.
[...]
Rannsakendur höfðu ekki vitneskju eða gerðu sér grein fyrir því þegar rannsókn fór fram að MSW rannsóknir væru birtar á netinu, enda komu rannsakendur ekki nærri því.
Í bréfi kvartanda kemur fram í „Rökstuðningur fyrir kvörtun“: „að til að nálgast þessar fjölskyldur fengust upplýsingar frá starfsmönnum úrræðisisns og tilvísunaraðila hjá Barnavernd Reykjavík“. Því er til að svara að til að geta kynnt rannsóknina og óskað eftir þátttöku þeirra fjölskyldna sem höfðu tekið þátt í úrræðinu var aflað upplýsinga frá starfsmönnum úrræðisins og tilvísunaraðila hjá Barnavernd Reykjavíkur.
[...]
Þá nefnir kvartandi að önnur gögn eins og bókanir starfsmanna Barnavendar Reykjavíkur hafi verið lesin og greind án samþykkis þátttakenda. Rannsakandi fór yfir bókanir meðferðarfunda þar sem starfsmenn höfðu samþykkt að sótt yrðu um í úrræðið. Þetta var gert svo rannsakandi gerði sér betur grein fyrir því ferli sem átti sér stað áður en sótt yrði um í úrræðið, en hvergi er unnið úr þeim bókunum í rannsókninni eða vitnað í þær að öðru leyti, heldur eingöngu fyrir rannsakanda til að glöggva sig betur á ferlinu.
Athugasemd kvartanda um að rannsakendur séu núverandi og fyrrverandi starfsmenn Barnaverndar Reykjavíkur þá má geta þess að rannsakendur skiptu með sér verkum, undirrituð sá alfarið um viðtöl og úrrvinnslu gagna, en A sem er fyrrverandi starfsmaður, sá um fræðilegan hluta ritgerðarinnar en hún býr og bjó erlendis þegar rannsóknin var gerð og fóru því gögnin aldrei um hennar hendur. Einnig er vert að taka fram að þau gögn sem unnið var með eins og lokaskýrslur og bókanir starfsmanna, voru unnin á skrifstofu Barnaverndar Reykjavíkur og fóru aldrei út úr húsi. Því er það ekki rétt að hver sem er geti gengið að því vísu að fá óheftan aðgang að viðkvæmum persónuupplýsingum hjá Barnavernd Reykjavíkur, eða farið með þau út fyrir starfsstöð, eins og kvartandi dregur ályktun um [...]“

Svarbréf H var borið undir kvartanda með bréfi, dags. 19. apríl 2011. Í svarbréfi kvartanda, sem barst þann 29. apríl s.á., segir m.a.:

„Í svari annars höfundar varðandi kvörtun mína er fullyrt að ég sé ekki þátttakandi í ritgerð/rannsókn ef ég kannast ekki við að hringt hafi verið í mig eða að ég sé umrædd kona sem svaraði neitandi erindi höfundar. Hvorug fullyrðingin á við, það var hvorki hringt né kynnt fyrir mér þátttaka í umræddri ritgerð/rannsókn. Hafna ég því alfarið að hafa haft vitneskju um þessa ritgerð eða mér gefinn kostur á að samþykkja eða neita að vera þátttakandi í ritgerð/rannsókn þessari.
Mín fjölskylda er í þessari ritgerð/rannsókn og er hún tilgreind sem fjölskylda [...] ber lokaskýrsla úrræðisins þess augljós merki
[...]
Í ritgerðinni/rannsókninni kemur hvergi fram um verkaskiptingu höfunda, heldur þvert á móti og vísað í bréf höfunda sem er fylgiskjal ritgerðar þar sem báðir höfundar eru nafngreindir og báðir kynntir sem rannsakendur. Í bréfi svaranda eru rannsakendur ýmist tilgreindir í eintölu eða fleirtölu og erfitt að átta sig á hvort á við. Þar sem svarandi gefur upp að annar höfundur ritgerðarinnar/rannsóknarinnar sé búsettur erlendis og hafi verið búsettur þegar rannsóknin fór fram, þá vaknar sú spurning hvort gögn hafi verið flutt á milli landa.

Einnig kemur fram í tilkynningu til Persónuverndar dags. [...] að öðrum verði afhentar upplýsingarnar og viðtakendur eru tilgreindir.

Varðandi birtingu upplýsinga á netinu er sú staðreynd augljós, höfundar ritgerðarinnar fyrra sig ábyrgð á birtingu á netinu og mun birting ritgerðarinnar/rannsóknarinnar vera á veraldarvefnum um ókomna tíð.[...].“

Með bréfi, dags. 14. mars 2011, ítrekuðu með bréfi, dags. 19. apríl s.á., gerði Persónuvernd Barnavernd Reykjavíkur grein fyrir kvörtuninni og bauð henni að koma sínum sjónarmiðum á framfæri til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Svarbréf H, framkvæmdastjóra Barnaverndar Reykjavíkur, dags. 20. apríl 2011, barst stofnuninni þann 26. apríl 2011. Þar segir m.a.:

„H, annar höfunda ritgerðarinnar, hefur í svari sínu til Persónuverndar dags. 29. mars, svarað flestu því er fram kemur í kvörtun [kvartanda] en undirritaðri þykir mikilvægt [að] fjalla hér um það sem sérstaklega snýr að Barnavernd Reykjavíkur. Nokkuð algengt er að háskólanemar óski eftir samstarfi við Barnavernd Reykjavíkur vegna verkefnavinnu. Slík vinna er mikilvæg allri framþróun í barnaverndarstarfi og mikilvægt að vinnuaðferðir séu gagnreyndar með vísindalegum hætti. Barnavernd Reykjavíkur hefur fagnað samstarfi við framhaldsdeildir háskóla að þessu leyti.

Gögn Barnaverndar Reykjavíkur eru í flestum tilfellum persónuleg og mikið um viðkvæmar persónuupplýsingar. Undirrituð hefur því lagt sérstaka áherslu á að farið sé að öllu eftir reglum Persónuverndar varðandi framkvæmd og verklag við rannsóknarvinnu. Undirrituð hefur einnig sett þá reglu að ekki sé farið með persónugreinanleg gögn úr húsi. Rannsakendum er boðin vinnuaðstaða á skrifstofu Barnaverndar Reykjavíkur og allir sem fá aðgang að gögnum undirrita sérstaka trúnaðaryfirlýsingu, auk þess að framvísa leyfi Persónuverndar þar sem það á við.

Varðandi verkefni H og A upplýstu þær undirritaða um að þær teldu sig uppfylla skilyrði Persónuverndar og fylgdu þær leiðbeiningum kennara Háskóla Íslands hvað það varðar. Sendu þær tilkynningu til Persónuverndar í september 2008. Að öðru leyti er vísað til hjálags afrits svarbréf H til Persónuverndar dags. 29. mars 2011. Undirrituð harmar að rannsóknarvinna þeirra H og A hafi gefið tilefni til kvörtunar til Persónuverndar.“

Með bréfi, dags. 31. maí 2011, óskaði Persónuvernd eftir frekari upplýsingum frá Barnavernd Reykjavíkur um hvernig gögn nefndin afhenti í þágu rannsóknarinnar. Svarbréf H, framkvæmdastjóra Barnaverndar Reykjavíkur, dags. 14. júní 2011, barst stofnuninni þann 16. júní s.á. Þar segir m.a.:

„Eins og kom fram í bréfi undirritaðrar til Persónuverndar, dags. 20. apríl 2011 upplýstu þær H og A undirritaða um að þær teldu sig uppfylla skilyrði Persónuverndar og fylgdu þær leiðbeiningum kennara [...] hvað það varðar. Sendu þær tilkynningu til Persónuverndar  [...].

Spurt er hvort gögn sem rannsakandi hafi fengið til úrvinnslu hafi haft að geyma persónugreinanlegar upplýsingar og þar vitnað til bókana meðferðarfunda. Svara verður þeirri spurningu játandi þar sem litið var svo á að notendur þjónustu hefðu gefið upplýst samþykki fyrir þátttöku í rannsókninni. Ekki var ætlast til þess að gögn annarra yrðu nýtt við rannsóknarvinnuna. Sú krafa var gerð að gögn yrðu lesin á vinnustað og eins og ávallt að persónugreinanleg gögn færu ekki úr húsi.

Eins og fram kom í fyrra bréfi undirritaðrar er mjög mikilvægt að nýta tækifæri sem gefast til þess að gagnreyna vinnuaðferðir og úrræði í Barnaverndarstarfi. Ekki er síður mikilvægt að starfsmenn sjálfir fái í daglegu starfi sínu tækifæri til að flétta saman starf og nám. Undirrituð vonar að ekki hafi verið brotið gegn reglum Persónuverndar við vinnslu þessa verkefnis og harmar enn og aftur að rannsókn þessi hafi gefið tilefni til kvörtunar.“

Svarbréf Barnaverndar Reykjavíkur, dags. 20. apríl 2011, var borið undir kvartanda með bréfi, dags. 26. apríl 2011. Í símtali við starfsmann Persónuverndar, dags. 10. júní 2011, tók kvartandi fram að hún hefði engar frekari athugasemdir við bréf Barnaverndar Reykjavíkur. Hún hefði komið á framfæri sínum sjónarmiðum.

Þann 4. ágúst 2011 sendi Persónuvernd bréf til kvartanda, rannsakenda og Barnaverndarnefndar Reykjavíkur. Þar var efni máls afmarkað. Í því segir:

„Persónuvernd vísar til fyrri bréfaskipta í tilefni af kvörtun Ó yfir vinnslu persónuupplýsinga um sig í tengslum við rannsókn sem ber heitið „[X]“. Að undangengum bréfaskiptum um málið er skilningur Persónuverndar á því að það sé þríþætt:

1. Flutningur persónuupplýsinga úr landi
Kvartandi hefur spurt hvort persónuupplýsingar um hann hafi verið fluttar úr landi. Er þess óskað að svar þar að lútandi berist Persónuvernd. Svar þarf að berast frá þeim sem fengu upplýsingarnar frá Barnaverndarnefnd. Frestur til þess er til 1. september nk.
2. Netbirting upplýsinga
Kvartað hefur verið yfir því að upplýsingarnar hafi verið birtar á Netinu. Telji kvartandi að utanaðkomandi aðilar (þeir sem ekki þekkja til) geti rakið upplýsingar í ritgerðinni til hans þarf hann að rökstyðja það nánar. Frestur til þess er til 1. september nk.
3. Miðlun án heimildar
Til úrlausnar er hvort Barnaverndarnefnd Reykjavíkur hafi án heimildar - þ.e. án samþykkis hins kvartanda eða leyfis Persónuverndar - miðlað persónuupplýsingum um félagsleg vandamál kvartanda til þeirra aðila sem nefndir eru í bréfi Persónuverndar til kvartanda, dags. 26. apríl 2011. Aðilum máls er hér með gefinn kostur á að koma á framfæri frekari athugasemdum um þetta atriði. Skulu þær þá hafa borist fyrir 10. þ.m. en málið er á dagskrá stjórnarfundar 17. ágúst nk.“

Sá rannsakandi sem býr erlendis, A, staðfesti símleiðis - hinn 11. ágúst sl. - að hún hafi aldrei fengið nokkur persónugreinanleg gögn í hendur.

H, framkvæmdastjóri Barnaverndarnefndar Reykjavíkur, hringdi hinn 11. ágúst sl.  Hún kvaðst hafa talið að öll leyfi hefðu legið fyrir og að hún hafi treyst sínum starfsmönnum, þ.e. rannsakendum. Hún sendi einnig bréf, dags. 11. ágúst 2011. Þar segir:

„Undirrituð vísar til fyrri svarbréfa, dags. 20. apríl 2011 og 14. júní 2011. Heimild Barnaverndar Reykjavíkur til aðgangs gagna við vinnslu verkefnis þeirra H og A var veitt í trausti þess að farið yrði að ákvæðum Persónuverndar. Í þessu tilfelli átti aðgangur að gögnum að takmarkast við upplýst samþykki viðkomandi foreldra. Undirritaðri er ekki kunnugt um annað en að eftir því hafi verið farið. Hafi verið farið út fyrir þær heimildir er það mjög harmað og mun verklag vegna heimilda af þessu tagi verða endurskoðað. Að öðru leyti er vísað til fyrri svarbréfa undirritaðrar.“

Þá barst hinn 12. ágúst bréf frá H. Þar er staðfest að engar persónuupplýsingar hafi verið fluttar úr landi. Einnig segir að þær bókanir sem vísað sé til í rannsókninni varði aðeins þá er gefið hafi samþykki. Stuðst hafi verið við skýrslur og í ritgerðinni komi ekki fram persónuupplýsingar heldur séu fjölskyldur aðeins merktar með númerum. Sama dag var haft samband við hana símleiðis til að spyrja hvort ekki væri rétt að hún hefði, í þágu umrædds námsverkefnis, fengið aðgang að persónuupplýsingum um kvartanda hjá Barnaverndarnefnd Reykjavíkur - án samþykkis kvartanda. Hún staðfesti að svo væri.


Að undangengnum bréfaskiptum um málið liggur fyrir að það er margþætt. Í úrskurði þessum er aðeins fjallað um einn þátt þess - þ.e. þá aðgerð Barnaverndarnefndar Reykjavíkur að veita aðgang að persónuupplýsingum um kvartanda í þágu nemaverkefnisins „[X]“ Verkefnið fólst í því að skoða persónuupplýsingar í vörslum barnaverndarnefnda til að gera athugun á tilteknu úrræði á vegum nefndarinnar og Velferðarsviðs Reykjavíkur.

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, skv. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið „vinnsla“ er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, skv. 2. tölul. 2. gr. laganna.

Með vísun til framangreinds telst sú aðgerð Barnaverndarnefndar Reykjavíkur sem hér er til úrlausnar vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Fellur málið því undir valdsvið Persónuverndar.

Í 33. gr. laga nr. 77/2000 segir að Persónuvernd geti ákveðið að vinnsla upplýsinga sé háð leyfi geti hún falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi einstaklinga. Með stoð í þessari lagagrein hefur stofnunin sett reglur nr. 712/2008, um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga.

Í 5. tölul. 1. mgr. 4. gr. reglna nr. 712/2008 segir að vinnsla upplýsinga um félagsleg vandamál manna eða önnur einkalífsatriði, s.s. hjónaskilnaði, samvistarslit, ættleiðingar og fóstursamninga, sé háð skriflegri heimild Persónuverndar, nema hún sé nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila. Í 2. mgr. sömu greinar segir hins vegar að ekki þurfi að fá slíkt leyfi ef vinnsla byggist á upplýstu samþykki eða fyrirmælum laga. Hér reynir ekki á síðara atriðið en að því er varðar samþykki er ljóst að þótt ráða megi af innsendri tilkynningu rannsakenda til Persónuverndar, dags. 17. september 2008, (nr. S4045), að staðið hafi til að afla samþykkis var það ekki gert að því er varðar aðgang að persónuupplýsingum um kvartanda.

Samkvæmt framangreindu bar að afla leyfis Persónuverndar þar sem vinnslan byggðist hvorki á upplýstu samþykki né fyrirmælum laga. Það var þó ekki gert. Við mat á því hver beri ábyrgð á því þarf að líta til þess hvernig hugtakið ábyrgðaraðili er skilgreint í 4. tölul. 2. gr. laga nr. 77/2000. Þar segir að það sé sá aðili sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferðir við vinnsluna og aðra ráðstöfun upplýsinganna.

Af barnaverndarlögum nr. 80/2002 leiðir að tiltekin vinnsla persónuupplýsinga er nauðsynleg til að barnaverndarnefndir geti rannsakað mál og rækt hlutverk sitt að öðru leyti með fullnægjandi hætti. Í 38. gr. segir að um könnun barnaverndarmáls og málsmeðferð fyrir barnaverndarnefnd gildi ákvæði stjórnsýslulaga - með vissum frávikum. Þá segir í 39. gr. að barnaverndarnefndum beri á kerfisbundinn hátt að skrá mál sem koma til meðferðar hjá þeim og varðveita öll gögn með tryggilegum hætti. Í reglugerð nr. 56/2004 eru reglur um málsmeðferð fyrir barnaverndarnefnd. Í 35. gr. hennar segir m.a. að fái barnaverndarnefnd aðra stofnun, eða ráði starfsmann til þess að sinna tilteknum verkefnum eða einstökum málum, skuli í skriflegum samningi skv. 4. gr. sérstaklega kveða á um skráningu, varðveislu og skil á gögnum sem innihalda persónuupplýsingar. Í 36. gr. segir að barnaverndarnefnd og starfsmenn viðkomandi nefndar skuli einir hafa aðgang að upplýsingum og gögnum sem innihaldi persónuupplýsingar í máli - auk aðila sem lögum samkvæmt eiga rétt til aðgangs. Aðgangur einstakra nefndarmanna og starfsmanna að persónuupplýsingum skuli ekki vera rýmri en nauðsynlegt sé með hliðsjón af þeim verkefnum sem viðkomandi hefur með höndum hverju sinni. Ber formaður barnaverndarnefndar ábyrgð á því að óviðkomandi eigi ekki aðgang að upplýsingum og gögnum barnaverndarmála.

Með vísun til framangreinds telst formaður Barnaverndar Reykjavíkur vera ábyrgðaraðili persónuupplýsinganna í skilningi laga nr. 77/2000 og ber samkvæmt ábyrgð á því að varðveisla og ráðstöfun persónuupplýsinga sé með lögmætum hætti.

Barnaverndarnefnd Reykjavíkur veitti aðgang að persónuupplýsingum í þágu nemaverkefnisins „[X]“. Það var gert án þess að fyrir lægi leyfi Persónuverndar eða upplýst samþykki kvartanda í samræmi við ákvæði 1. og 2. mgr. 4. gr. reglna nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Með vísun til þess og annars er að framar greinir er það niðurstaða Persónuverndar að miðlun þessara upplýsinga hafi verið nefndinni óheimil.

Áréttað skal að ábyrgðaraðila ber ávallt að staðreyna að upplýst samþykki hins skráða eða gilt leyfi sé til staðar áður en veittur er aðgangur að þagnarskyldum persónuupplýsingum.

Barnavernd Reykjavíkur var óheimilt að miðla persónuupplýsingum um félagsleg vandamál Ó til H vegna nemaverkefnisins: [X].