Óheimil miðlun upplýsinga frá barnaverndarnefnd - mál nr. 2012/729

11.7.2013

Ú r s k u r ð u r

 

Hinn 25. júní 2013 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2012/729:

 

I.

Grundvöllur máls

Málavextir og bréfaskipti 

1.

Tildrög máls

Þann 30. maí 2012 barst Persónuvernd kvörtun frá Z, hdl., f.h. umbjóðanda síns, A, (hér eftir nefndur kvartandi), dags. 27. s.m., varðandi miðlun persónuupplýsinga um hann og börn hans frá barnaverndarnefnd Reykjavíkur til tveggja fræðimanna vegna rannsóknar sem bar heitið „[Y]“.  Í kvörtuninni kemur m.a. fram að ekki hafi verið leitað eftir samþykki kvartanda fyrir umræddri miðlun, auk þess sem hann og barnsmóðir hans fari með sameiginlegt forræði og lögheimili barnanna sé hjá honum. Þá er kvartandi ósáttur við að barnaverndarnefnd Reykjavíkur telji nægilegt að leita eingöngu eftir samþykki annars foreldris vegna rannsóknar er varðar börn þeirra.

2.

Bréfaskipti

Með bréfi, 11. júní 2012, var barnaverndarnefnd Reykjavíkur boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993.

Svarbréf barnaverndarnefndar Reykjavíkur, dags. 22. júní, barst Persónuvernd þann 25. s.m. en í því bréfi er vísað til þeirra sjónarmiða sem fram koma í bréfi barnaverndarnefndar Reykjavíkur, dags. 11. apríl 2012, sem sent var lögmanni kvartanda.

Í því bréfi segir m.a.:

„B, félagsráðgjafi, annar höfundur ritgerðarinnar, var starfsmaður Barnaverndar Reykjavíkur á þeim tíma sem ritgerðin var unnin og var hún ábyrgðaraðili verkefnisins samkvæmt tilkynningu til Persónuverndar. Vann hún að umræddu MSW verkefni samhliða vinnu og var rannsóknarverkefnið tengt nýju úrræði á vegum Velferðarsviðs og Barnaverndar Reykajvíkur. Leiðbeinandi var C, prófessor [...]. Í samræmi við þær leiðbeiningar sem B kveðst hafa fengið hjá leiðbeinanda sínum var send tilkynning um umrædda rannsókn til Persónuverndar [...] og var Barnavernd Reykjavíkur kynnt að rannsóknarvinna yrði í samræmi við lög nr. 77/2000, sbr. reglur nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Var veittur aðgangur að gögnum í trausti þess að svo yrði.“

Þá vísar barnaverndarnefnd Reykjavíkur til eldri úrskurðar Persónuverndar í máli nr. 2011/347 varðandi sömu rannsókn. Í þeim úrskurði komst stofnunin að þeirri niðurstöðu að barnaverndarnefnd Reykjavíkur hefði verið óheimilt að miðla persónuupplýsingum um félagsleg vandamál X til rannsakandans, þar sem ekki hafði verið fengið samþykki fyrir vinnslunni. Í bréfi barnaverndarnefndar kemur hins vegar fram að X hafi farið ein með forsjá barns síns en í því máli sem hér sé til úrlausnar hafi barnsmóðir kvartanda samþykkt þátttöku í rannsókninni og undirritað upplýst samþykki fyrir þátttökunni. Því sé ekki hægt að staðhæfa að mál kvartanda og mál X séu að öllu leyti sambærileg.

Með bréfi, dags. 9. ágúst 2012, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar barnaverndarnefndar Reykjavíkur til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf lögmanns kvartanda, dags. 6. september s.á. barst Persónuvernd þann 7. s.m. Í bréfi lögmannsins segir m.a. að þar sem umbjóðandi hans og fyrrverandi eiginkona hans fari með sameiginlega forsjá barna sinna geti samþykki hennar eitt og sér ekki nægt. Þá bendir lögmaðurinn enn fremur á að þó svo að foreldrar færu ekki með sameiginlega forsjá þyrfti engu að síður samþykki þeirra beggja þar sem þær viðkvæmu persónuupplýsingar sem um ræðir séu hvoru tveggja um föður og móður. Þá gerði lögmaðurinn  grein fyrir 4. mgr. 8. gr. barnaverndarlaga nr. 80/2002, s.k. trúnaðarreglu. Telur lögmaðurinn mikilvægt að sú regla sé virt í hvívetna þar sem um sé að ræða mikinn fjölda upplýsinga um einka- og fjölskyldumálefni. Trúnaðarreglan leggi þá skyldu á barnaverndaryfirvöld að gæta fyllsta trúnaðar um upplýsingar sem þau búa yfir varðandi aðila máls gagnvart utanaðkomandi. Þá vísar lögmaðurinn einnig til handbókar sem gefin er út af Barnaverndarstofu þar sem trúnaðarreglan er ítrekuð. Telur lögmaður kvartanda að enginn einn aðili geti gefið leyfi fyrir því að trúnaðarskyldan sé rofin fyrir alla aðila að barnaverndarmáli, án þess að hafa lögformlegt umboðs til slíks. Í umræddu máli sé ljóst að ekki hafi verið aflað leyfis frá kvartanda til að rjúfa trúnaðarskyldu og því hafi barnaverndarnefnd Reykjavíkur gerst brotleg við lög nr. 77/2000.

Með bréfi, dags. 3. október 2012, óskaði Persónuvernd upplýsinga frá fyrrverandi eiginkonu kvartanda um hvort hún hefði samþykkt þá vinnslu sem um ræðir í máli þessu. Var svarfrestur veittur til 19. október. Ekkert svar barst og var erindið ítrekað með bréfi, dags. 22. nóvember s.á. Var svarfrestur veittur til 12. desember s.á.

Þann 14. desember 2012 barst Persónuvernd bréf lögmanns D, fyrrverandi eiginkonu kvartanda, dags. 11. s.m. Þar kemur fram að D kannist ekki við að hafa heimilað neina miðlun persónuupplýsinga er varði börn hennar og að barnaverndarnefndar Reykjavíkur hafi aldrei leitað eftir samþykki hennar til þess, enda hefði hún ekki leyft slíkt.

Með bréfi, dags. 17. desember 2012, óskaði Persónuvernd eftir nánari skýringum frá Barnavernd Reykjavíkur, m.a. á hvaða grundvelli hún teldi að D hefði veitt samþykki sitt fyrir umræddri miðlun upplýsinga. Svarbréf barnaverndarnefndar Reykjavíkur, dags. 8. janúar 2013, barst Persónuvernd þann 9. s.m. Þar kemur fram að barnaverndarnefnd Reykjavíkur hafi leitað upplýsinga hjá rannsakanda, A, varðandi framangreint. Af hálfu rannsakanda hafi verið fullyrt að D hafi með undirritun sinni veitt samþykki fyrir þátttöku í rannsókninni og auk þess hafi hún komið til viðtals og svarað þar spurningum í þágu rannsóknarinnar.

Með bréfi, dags. 15. janúar 2013, óskaði Persónuvernd eftir afriti af framangreindu samþykki. Var svarfrestur veittur til 29. s.m. Ekkert svar barst og var erindið ítrekað með bréfi, dags. 26. febrúar s.á. Var svarfrestur veittur til 8. mars s.á. Svarbréf B, dags. 7. mars 2013, barst Persónuvernd þann 8. s.m. Þar kemur m.a. fram að D hafi samþykkt þáttöku í rannsókninni með undirskrift sinni auk þess sem hún hafi tekið þátt í viðtali á skrifstofu barnaverndarnefndar Reykjavíkur, þar sem hún hafi svarað spurningum vegna rannsóknarinnar. Hins vegar hafi, í ljósi þess tíma sem liðinn er frá því að rannsóknin var gerð, umrædd gögn glatast en spurningarlistum og öðru efni hafi verið eytt að rannsókn lokinni.

Svarbréf barnaverndarnefndar Reykjavíkur, dags. 13. mars 2013, barst Persónuvernd þann 14. s.m. Þar kemur fram að samþykkisyfirlýsingar hafi verið varðveittar af B, sem nú hafi upplýst að gögnunum hafi verið eytt. Þá kemur fram að afrit samþykkis liggi hins vegar ekki fyrir hjá barnaverndarnefnd Reykjavíkur.

Með bréfi, dags. 21. mars 2013, var kvartanda boðið að koma á framfæri athugasemdum við framkomnar skýringar barnaverndarnefnd Reykjavíkur og B. Svarbréf lögmanns kvartanda, dags. 29. s.m., barst Persónuvernd þann 3. apríl s.á. Þar áréttar lögmaður kvartanda fyrri sjónarmið sín um að samþykki beggja foreldra þurfi að koma til þegar um er að ræða vinnslu viðkvæmra persónuupplýsinga um börn þeirra. Þá gerir lögmaður kvartanda athugasemdir við að ekki sé ljóst hvað hafi orðið af umræddum gögnum, þ.e. hvort þeim hafi verið eytt eða þau glatast.

 Með bréfi, dags. 26. apríl 2013, óskaði Persónuvernd frekari skýringa frá barnaverndarnefnd Reykjavíkur. Í bréfi Persónuverndar segir:

„Skilningur Persónuverndar á málsatvikum er sá að Barnavernd Reykjavíkur hafi miðlað til rannsakandans, B, viðkvæmum persónuupplýsingum um kvartanda og börn hans í þágu framangreindrar rannsóknar árið 2008. Rannsóknin var tilkynnt til Persónuverndar [...]. Af tilkynningunni mátti ráða að samþykkis þátttakenda yrði aflað fyrir allri vinnslu upplýsinga um þá.

Samkvæmt bæði upplýsingum frá yður og rannsakanda virðist sem svo að rannsakandi hafi fengið samþykki barnsmóður kvartanda. Þá segir í bréfi frá rannsakanda, dags. 7. mars 2013, að gögnin hafi glatast en spurningalistum og öðru efni hafi verið eytt að rannsókn lokinni. Í bréfi yðar, dags. 9. janúar 2013, kemur enn fremur fram að afrit samþykkis liggi ekki fyrir hjá Barnavernd Reykjavíkur.

Í málinu er óumdeilt að ekki var aflað leyfis Persónuverndar fyrir miðlun viðkvæmra persónuupplýsinga um einstaklinga frá Barnavernd Reykjavíkur, en ábyrgðaraðilum er slíkt skylt samkvæmt 7. tölul. 1. mgr. 4. gr. reglna nr. 712/2008, nema að til komi samþykki hins skráða, sbr. 2. mgr. 4. gr. sömu reglna. Almennt er gert ráð fyrir því að ef byggja eigi á samþykki einstaklinga fyrir vinnslu persónuupplýsinga um þá verði slíkt samþykki að vera persónubundið. Í því felst að einstaklingur getur ekki veitt samþykki fyrir annars hönd nema hann hafi til þess sérstakt umboð eða hann veiti samþykki f.h. barna sinna sem séu undir lögaldri og viðkomandi fari með forræði barnanna.  Þá er einnig gert ráð fyrir því að það sé ábyrgðaraðili vinnslunnar, þ.e. miðlunar upplýsinga frá Barnavernd til rannsakenda, sem að leiti eftir samþykki hins skráða. Almennt er einnig gerð sú krafa að ábyrgðaraðilar varðveiti þau gögn sem nauðsynleg eru til sönnunar á málsatvikum, m.a. með því að merkja við í málaskrá að tiltekinn aðgangur hafi verið veittur að umræddum gögnum. Barnavernd Reykjavíkur er opinber stofnun sem fellur undir upplýsingalög nr. 140/2012. Þegar að umrædd vinnsla átti sér stað giltu upplýsingalög nr. 50/1996 en í 22. gr. þeirra laga kom fram að stjórnvöldum væri skylt að skrá mál, sem koma til meðferðar hjá þeim, á kerfisbundinn hátt og varðveita málsgögn þannig að þau séu aðgengileg.

Með vísan til framangreinds óskar Persónuvernd nánari upplýsinga um eftirfarandi:

1. Hvað rannsakandi eigi við með að gögn hafi glatast, sbr. bréf dags. 7. mars 2013.
2. Hvaða tegundum persónuupplýsinga um kvartanda og börn hans var miðlað til rannsakenda í þágu framangreindrar rannsóknar.
3. Hvort það sé réttur skilningur Persónuverndar að Barnavernd Reykjavíkur hafi ekki aflað samþykkis þátttakenda áður en að gögnum var miðlað til rannsakenda. Ef samþykkis var aflað af hálfu Barnaverndar er þess óskað að það komi skýrt fram, og skýring á því hvers vegna slíkt var ekki skráð í málaskrá stofnunarinnar í samræmi við þágildandi upplýsingalög nr. 50/1996.“

Svarbréf framkvæmdastjóra barnaverndarnefndar Reykjavíkur, dags. 22. maí 2013, barst Persónuvernd þann 23. s.m. Þar segir:

 

„1. Undirrituð fékk þær upplýsingar hjá B að hún hafi líklega eytt samþykkisyfirlýsingum þess fólks sem með undirritun sinni samþykkti að taka þátt í rannsókn hennar og E[...].

2. Undirrituð veitti ekki heimild til þess að önnur gögn yrðu nýtt í þágu rannsóknarinnar en þau sem að aðilar samþykktu með undirritun sinni að yrðu skoðuð. Um var að ræða bókanir meðferðarfunda og lokaskýrslur úrræðis þess sem til skoðunar var. B var á þessum tíma starfsmaður Barnaverndar Reykjavíkur með aðgang að málaskrá. [...]

3. Eftir því sem best er vitað tók B ekki gögn úr málaskrá af starfsstöð en það láðist því miður að kalla eftir samþykkisyfirlýsingum til varðveislu í skjalasafni Barnaverndar Reykjavíkur og er það mjög miður. Eins og rannsóknin var kynnt undirritaðri var það metið svo að nægjanlegt væri að senda tilkynningu til Persónuverndar og var samþykki undirritaðrar varðandi aðgang að gögnum Barnaverndar Reykjavíkur veitt í trausti þess að svo yrði[...].“

Þá óskaði Persónuvernd eftir nánari upplýsingum um hvaða upplýsingar væri að finna í bókunum meðferðarfunda og lokaskýrslum umrædds úrræðis, með símtali þann 31. maí 2013 við framkvæmdastjóra barnaverndarnefndar Reykjavíkur. Í símtalinu kom fram að í þeim skjölum koma m.a. fram upplýsingar um hvaða úrræða var gripið til varðandi börnin og foreldrana. Þá sé einnig að finna umfjöllun um frammistöðu beggja foreldra.

 

II.

Forsendur og niðurstaða

 

1.

Gildissvið laga nr. 77/2000

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.

Með vísun til framangreinds telst sú aðgerð barnaverndarnefndar Reykjavíkur sem hér er til úrlausnar vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000. Fellur málið því undir valdsvið Persónuverndar.

 

2.

Lögmæti vinnslu

Persónuvernd hefur áður úrskurðað að formaður barnaverndarnefndar Reykjavíkur beri ábyrgð á varðveisla og ráðstöfun persónuupplýsinga sé með lögmætum hætti, sbr. mál nr. 2011/347. Formaður nefndarinnar telst því ábyrgðaraðili þeirrar miðlunar sem hér um ræðir.

Í 33. gr. laga nr. 77/2000 segir að Persónuvernd geti ákveðið að vinnsla upplýsinga sé háð leyfi geti hún falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi einstaklinga. Með stoð í þessari lagagrein hefur stofnunin sett reglur nr. 712/2008, um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga.

Í 5. tölul. 1. mgr. 4. gr. reglna nr. 712/2008 segir að vinnsla upplýsinga um félagsleg vandamál manna eða önnur einkalífsatriði, s.s. hjónaskilnaði, samvistarslit, ættleiðingar og fóstursamninga, sé háð skriflegri heimild Persónuverndar, nema hún sé nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila. Í 2. mgr. sömu greinar segir hins vegar að ekki þurfi að fá slíkt leyfi ef vinnsla byggist á upplýstu samþykki eða fyrirmælum laga. Af innsendri tilkynningu rannsakenda til Persónuverndar, [...], mátti ráða að til stæði að afla samþykkis hinna skráðu.

Af hálfu barnaverndarnefndar Reykjavíkur og ábyrgðaraðila rannsóknarinnar hefur komið fram að samþykki barnsmóður kvartanda hafi verið aflað. Hins vegar hafi samþykkisyfirlýsingu hennar verið eytt að rannsókn lokinni. Ljóst er barnaverndarnefnd Reykjavíkur miðlaði upplýsingum um kvartanda til rannsakanda án þess að samþykkis hans hafi verið aflað, en ekki verður talið að barnsmóðir hans hafi getað veitt samþykki fyrir hans hönd. Þá hefur ábyrgðaraðili ekki lagt fram fullnægjandi gögn því til stuðnings að samþykkis foreldra hafi verið aflað fyrir miðlun upplýsinga um börn þeirra. Samkvæmt framangreindu bar því að afla leyfis Persónuverndar þar sem vinnslan byggðist hvorki á upplýstu samþykki né fyrirmælum laga. Það var þó ekki gert.

 

3.

Niðurstaða

Barnaverndarnefnd Reykjavíkur veitti aðgang að persónuupplýsingum í þágu nemaverkefnisins „[Y]“. Það var gert án þess að fyrir lægi leyfi Persónuverndar eða upplýst samþykki kvartanda í samræmi við ákvæði 1. og 2. mgr. 5. gr. reglna nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Með vísun til þess og annars er að framar greinir er það niðurstaða Persónuverndar að miðlun þessara upplýsinga hafi verið nefndinni óheimil.

Áréttað skal að ábyrgðaraðila ber ávallt að staðreyna að upplýst samþykki hins skráða eða gilt leyfi sé til staðar áður en veittur er aðgangur að þagnarskyldum persónuupplýsingum.

 

Ú r s k u r ð a r o r ð:

Barnaverndarnefnd Reykjavíkur var óheimilt að miðla persónuupplýsingum um kvartanda, A, til B vegna nemaverkefnis hennar: „[Y]“.