Álit um gagnamóttöku sérfræðingateymis

3.7.2015

Álit

Hinn 26. júní 2015 samþykkti stjórn Persónuverndar, með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000, svohljóðandi álit í máli nr. 2015/748:

I.

Upphaflegt erindi og bréfaskipti

Persónuvernd hefur borist bréf velferðarráðuneytisins, dags. 27. apríl 2015, þar sem óskað er eftir áliti stofnunarinnar um lögmæti tiltekinnar vinnslu persónuupplýsinga. Í bréfinu segir:

„Með vísan til 6. tl. 3. mgr. 37. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, er þess óskað að Persónuvernd láti í ljós álit á því hvort sérfræðingateymi um þjónustu við börn með alvarlegar þroska- og geðraskanir sé heimilt að veita viðtöku gögnum frá lögheimilissveitarfélögum þeirra barna sem um ræðir og þá jafnframt hvort umræddum sveitarfélögum sé heimilt að miðla gögnum og upplýsingum um börnin til sérfræðingateymisins.“

Þá segir í bréfi ráðuneytisins að þann 14. ágúst 2014 hafi félags- og húsnæðismálaráðherra skipað sérfræðingateymi um þjónustu við börn með alvarlegar þroska- og geðraskanir, en um sé að ræða tilraunaverkefni til eins árs. Teymið sé sjálfstætt og óháð, en starfi í þágu sveitarfélaganna og í umboði félags- og húsnæðismálaráðherra, en málefni er varða félags- og fjölskyldumál, heyri undir velferðarráðuneytið.

Markmiðið með skipun teymisins sé að stuðla að samhæfðri þjónustu við börnin og fjölskyldur þeirra og tryggja og festa í sessi vandaða málsmeðferð við ákvörðun á því hvort barn þurfi að flytjast í sérútbúið úrræði. Sérfræðiteymið sé skipað þremur heilbrigðisstarfsmönnum og hafi teymið tvíþætt hlutverk, annars vegar að leggja mat á það hvort barn þurfi að flytjast að heiman í sérsniðið úrræði og hins vegar að veita ráðgjöf og leiðbeiningar um þjónustu og annan stuðning svo koma megi í veg fyrir að barn þurfi að flytjast að heiman. Annað markmið sé að veita börnunum þá faglegu og sérhæfðu þjónustu sem þau þurfa á að halda og eiga rétt á vegna síns mikla vanda og að þeim verði tryggð fullnægjandi og varanleg búsetuúrræði í þeim tilvikum þar sem það reynist nauðsynlegt.

Um málsmeðferð teymisins segir að lögheimilissveitarfélag barns sendi teyminu beiðni um ráðgjöf og mat. Gert sé ráð fyrir að fulltrúi barnaverndar eða velferðarþjónustu hjá viðkomandi sveitarfélagi tryggi skilvirka öflun og miðlun upplýsinga um barnið og aðstæður þess. Þá taki ráðuneytið við erindum sem berast teyminu, en það hafi fundarherbergi til afnota í húsnæði ráðuneytisins. Því sé ráðuneytið ábyrgðaraðili fyrir þeirri vinnslu persónuupplýsinga sem fari fram í tengslum við ráðgjöf teymisins.

Þá segir í bréfinu að ráðuneytið telji miðlunina fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 og að hún samrýmist 3. tölul. 1. mgr. 8. gr. sömu laga, sem liður í því að fullnægja þeirri lagaskyldu sem hvíli á sveitarfélögum, meðal annars um að veita þessum hópi barna þá sérhæfðu þjónustu sem þau eiga rétt á. Vísar ráðuneytið í þeim efnum til ákvæðis 4. gr. laga nr. 59/1992 um málefni fatlaðs fólks og 12. gr. barnaverndarlaga nr. 80/2002. Bendir ráðuneytið jafnframt á að vinnsla máls hjá sérfræðingateyminu fari fram á grundvelli samþykkis foreldra eða forsjáraðila viðkomandi barns skv. 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000 og að miðlunin sé nauðsynlegur liður í því að verja hagsmuni barnanna skv. 4. tölul. sama ákvæðis.

Loks bendir ráðuneytið á að vinnslan geti eftir atvikum varðað upplýsingar um fjölskylduaðstæður, niðurstöður greininga og aðra hagi barnsins og þá þjónustu sem barnaverndaryfirvöld eða þjónustuaðilar um framkvæmd þjónustu við fatlað fólk hafa veitt barninu og fjölskyldu þess.

Með tölvupósti, sendum þann 8. júní 2015 til velferðarráðuneytisins, óskaði Persónuvernd eftir frekari upplýsingum um hvort settar hefðu verið sérstakar reglur um sérfræðingateymið og störf þess. Jafnframt var þess óskað að stofnuninni myndu berast frekari skýringar um hvers vegna ráðuneytið teldi sig vera ábyrgðaraðila að þeirri vinnslu sem fram færi hjá sérfræðingateyminu, sbr. 4. tölul. 2. gr. laga nr. 77/2000. Einnig var þess óskað að fram kæmi hvort ráðuneytið teldi sérfræðingateymið sinna öðrum störfum en ráðgjöf við sveitarfélög og loks hvort teymið sinnti annarri þjónustu en þeirri sem sveitarfélög veita á grundvelli 5. gr. laga nr. 59/1992 um málefni fatlaðs fólks, þar sem segir að teymi fagfólks á vegum sveitarfélags skuli meta heildstætt þörf fatlaðs einstaklings fyrir þjónustu og hvernig koma megi til móts við óskir hans.

Svar ráðuneytisins barst Persónuvernd með tölvupósti þann 15. júní 2015. Í því segir að ekki sé fjallað um störf sérfræðingateymisins í ákvæðum laga eða reglugerða, að öðru leyti en að um störf teymisins gildi ákvæði um trúnaðar- og þagnarskyldu heilbrigðisstarfsmanna, samkvæmt lögum nr. 74/1997 um réttindi sjúklinga og lögum nr. 34/2012 um heilbrigðisstarfsmenn. Að liðnum skipunartíma teymisins í ágúst næstkomandi verði tekin ákvörðun um hvort festa eigi teymið í sessi til frambúðar. Muni ráðuneytið jafnframt taka til skoðunar hvort breyta þurfi lögum í því skyni að skjóta lagastoð undir starfsemi teymisins og yrði jafnframt litið til umbeðins álits Persónuverndar.

Þá segir einnig að engar formlegar starfsreglur gildi um störf teymisins. Hafi teymið aftur á móti sett viðmið um þau gögn sem þurfi að liggja fyrir áður en það tekur mál til skoðunar. Þá geri teymið einnig kröfu um að sveitarfélögin afli upplýsts og skriflegs samþykkis forsjáraðila viðkomandi barns fyrir miðlun gagna til þess. Bendir ráðuneytið sérstaklega á að teyminu sé ætlað að veita lögheimilissveitarfélögum umræddra barna ráðgjöf um hvernig best verði staðið að þjónustu við barn hverju sinni, en ekki taka ákvarðanir um veitingu þjónustu. Einnig segir að þjónusta teymisins sé annars eðlis en sú þjónusta sem sveitarfélög veita á grundvelli ákvæði 5. gr. laga nr. 59/1992 um málefni fatlaðs fólks, enda sé áskilið í þeim lögum að fyrir liggi að um fatlaðan einstakling sé að ræða, sbr. 2. gr. laganna. Ráðgjöf sérfræðiteymisins miði hins vegar meðal annars að því að skera úr um hvort barn þurfi á þjónustu að halda samkvæmt lögum um málefni fatlaðs fólks.

Grundvöllur að störfum teymisins hafi verið lagður með skipunarbréfi félags- og húsnæðismálaráðherra, en þar er meðal annars greint frá hlutverki teymisins og málsmeðferð þess. Telji ráðuneytið því að það ákveði tilgang með vinnslu persónuupplýsinga og verklag og aðferð við þá vinnslu, sbr. 4. tölul. 2. gr. laga nr. 77/2000. Einnig fari ráðuneytið með yfirstjórn verkefnisins og hlutverk sérfræðingateymisins, sem sjálfstætt starfandi sérfræðinga, sé að leggja til faglega sérfræðiþekkingu og veita sveitarfélögum ráðgjöf, en að þeirri vinnslu hafi hvorki ráðuneytið né sveitarfélög aðkomu. Sé teymið því faglega sjálfstætt og óháð.

II.

Álit Persónuverndar

1.

Gildissvið og ábyrgðaraðili

Þau lög, sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna.

Eins og hér háttar starfar sérfræðinganteymið á ábyrgð félags- og húsnæðismálaráðherra, á grundvelli skipunarbréfs. Þá hefur ráðuneytið vísað til þess að það hafi ákveðið hlutverk teymisins og málsmeðferð þess og því hafi það ákveðið tilgang með vinnslu persónuupplýsinganna sem og verklag og aðferð við þá vinnslu. Með vísan til framangreindra skýringa telur Persónuvernd að velferðarráðuneytið sé ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem fram fer hjá sérfræðingateyminu og varðar þjónustu við börn með alvarlegar þroska- og geðraskanir.

Að því er varðar miðlun persónuupplýsinga frá sveitarfélögum til sérfræðingateymisins telst hvert sveitarfélag fyrir sig vera ábyrgðaraðili að miðlun þeirra upplýsinga sem það varðveitir. Aftur á móti er formaður barnaverndarnefndar ábyrgðaraðili þeirra gagna sem þar eru varðveitt. Sé fyrirhugað að miðla viðkvæmum persónuupplýsingum frá barnaverndarnefndum ber að taka mið af framangreindu.

Með vísan til framangreinds er ljóst að vinnsla persónuupplýsinga á vegum sérfræðingateymisins fellur undir gildissvið laga nr. 77/2000.

2.

Almennt um lögmæti vinnslu persónuupplýsinga

Að því marki sem um er að ræða vinnslu almennra persónuupplýsinga um einstaklinga er tekið fram að hún verður að samrýmast einhverju af skilyrðum 8. gr. laga nr. 77/2000 svo hún sé heimil. Ef vinna á með viðkvæmar persónuupplýsingar verður að auki að vera fullnægt einhverju af skilyrðum 9. gr. sömu laga. Upplýsingar um heilsuhagi, þar á meðal um lyfjanotkun, eru viðkvæmar persónuupplýsingar, sbr. c-lið 8. tölul. 2. gr. laganna. Af framangreindu leiðir að miðlun upplýsinga frá sveitarfélögum og/eða barnaverndarnefndum til teymisins um heilsuhagi barna og meðferð þeirra, sem og eftirfarandi úrvinnsla þeirra gagna hjá teyminu, telst vera vinnsla viðkvæmra persónuupplýsinga.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er meðal annars mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

3.

Lögmæti miðlunar

frá sveitarfélögum og/eða barnaverndarnefndum

til sérfræðingateymisins

Þau ákvæði 8. gr. laga nr. 77/2000, sem einkum reynir á í tengslum við miðlun viðkvæmra persónuupplýsinga frá sveitarfélögum og/eða barnaverndarnefndum til sérfræðingateymis á vegum ráðuneytis eins og hér um ræðir, eru 3.og 6. tölul. 1. mgr. ákvæðisins, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu eða hún sé nauðsynleg við beitingu opinbers valds. Af ákvæðum 9. gr. getur reynt á 2. tölul. 1. mgr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil standi til hennar sérstök lagaheimild. Við mat á því hvort slík miðlun persónuupplýsinga til teymisins sé heimil verður að líta til þeirra lagareglna sem um málefnið gilda. Eins og hér háttar til gilda engin sérstök laga- eða reglugerðarákvæði um störf sérfræðingateymisins. Ber þá að líta til annarra lagaákvæða sem varða málefnin sem teymið sinnir. Þá verður einnig að líta til þess að samkvæmt hinni almennu lögmætisreglu stjórnsýsluréttarins ber stjórnvöldum að starfa innan þess ramma sem lög setja þeim.

Hefur velferðarráðuneytið í bréfi sínu til Persónuverndar bent á að sú miðlun sem hér um ræðir sé liður í því að fullnægja þeirri lagaskyldu sem hvílir á sveitarfélögum, m.a. um að veita þessum hópi barna þá sérhæfðu þjónustu sem þau eiga rétt á. Þá bera sveitarfélög ábyrgð á skipulagi og framkvæmd þjónustu við fatlað fólk skv. 4. gr. laga nr. 59/1992 um málefni fatlaðs fólks. Jafnframt vísar ráðuneytið til 12. gr. barnaverndarlaga nr. 80/2002 þar sem kveðið er á um að barnaverndarnefndir, sem starfa á vegum sveitarfélaga skv. 1. mgr. 10. gr. sömu laga, skulu beita þeim úrræðum samkvæmt lögunum til verndar börnum sem best eiga við hverju sinni og heppilegust þykja til að tryggja hagsmuni og velferð þeirra. Loks bendir velferðarráðuneytið á að miðlunin sé heimil skv. 4. tölul. 1. mgr. 9. gr. laga nr. 77/2000, enda sé miðlun gagnanna nauðsynlegur liður í því að verja hagsmuni umræddra barna með því að tryggja að þau fái þá faglegu og sérhæfðu þjónustu sem þau eiga rétt á að og þurfa á að halda.

Þá segir einnig í bréfinu að gert sé ráð fyrir að fulltrúi barnaverndar eða velferðarþjónustu hjá viðkomandi sveitarfélagi miðli upplýsingum um barnið og aðstæður þess til nefndarinnar.

Að mati Persónuverndar er í framangreindum ákvæðum laga um málefni fatlaðs fólks nr. 59/1992 og barnaverndarlögum nr. 80/2002 hvergi að finna heimild til handa sveitarfélögum, eða barnaverndarnefndum á vegum sveitarfélaga, fyrir miðlun viðkvæmra persónuupplýsinga til sérfræðingateymis á ábyrgð ráðherra. Þvert á móti er tekið fram í ákvæði 3. mgr. 5. gr. laga nr. 59/1992 um málefni fatlaðs fólks að sveitarfélög skulu starfrækja teymi fagfólks sem metur heildstætt þörf fatlaðs einstaklings fyrir þjónustu og hvernig koma megi til móts við óskir hans. Þá segir í 4. mgr. sama ákvæðis að sveitarfélögum sé heimilt að fela teymi fagfólks skv. 3. mgr. að annast mat á umönnunarþörf fatlaðra barna vegna umönnunargreiðslna samkvæmt lögum um félagslega aðstoð. Í athugasemdum við framangreint ákvæði 5. gr., í frumvarpi því er varð að lögum nr. 152/2010 um breytingu á lögum nr. 59/1992, segir að gert sé ráð fyrir að slík matsteymi starfi á vegum sveitarfélaganna eða eftir atvikum lögaðila sem annast þjónustuna fyrir þeirra hönd. Af framangreindu leiðir að lög um málefni fatlaðs fólks virðast einungis gera ráð fyrir að sérfræðiteymi á vegum sveitarfélags vinni með persónuupplýsingar um einstaklinga í þeim tilgangi að leggja mat á þá þjónustu sem þeir eiga rétt á. Hvergi er vikið að heimild fyrir miðlun persónuupplýsinga til sjálfstæðrar nefndar sem á að sinna, að sögn ráðuneytisins, öðru hlutverki en sérfræðiteymi á vegum sveitarfélags varðandi afmarkaðan hóp barna.

Þá er einnig vert að benda á að sérstakar reglur gilda um meðferð gagna hjá barnaverndarnefndum sem taka mið af sjálfstæði þeirra gagnvart sveitarstjórn í einstökum málum, en skv. ákvæði 2. mgr. 13. gr. barnaverndarlaga er sveitarstjórn meðal annars óheimill aðgangur að gögnum og upplýsingum um einstök barnaverndarmál. Einnig segir í ákvæði 1. mgr. 36. gr. reglugerðar nr. 56/2004 um málsmeðferð fyrir barnaverndarnefnd að barnaverndarnefnd og starfsmenn viðkomandi nefndar skulu einir hafa aðgang að upplýsingum og gögnum sem innihalda persónuupplýsingar í máli, auk aðila sem lögum samkvæmt eiga rétt til aðgangs.

Með vísun til framangreinds telur Persónuvernd að ekki sé unnt að byggja lögmæti miðlunar viðkvæmra persónuupplýsinga, hvorki frá sveitarfélögum né barnaverndarnefndum, til sérfræðingateymisins á ákvæði 3. tölul. 1. mgr. 8. gr., sbr. 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000.

Þrátt fyrir að miðlun þeirra upplýsinga sem hér um ræðir gæti verið talin heimil á grundvelli 7. tölul. 1. mgr. 8. gr. og 4. tölul. 1. mgr. 9. gr., þ.e. á grundvelli þess að vinnslan verði talin nauðsynleg til að gæta lögmætra hagsmuna þeirra barna sem upplýsingarnar varða, eða á grundvelli upplýsts samþykkis foreldri eða forsjármanns viðkomandi barns, skv. 1. tölul. 1. mgr. 8. og 9. gr., telur Persónuvernd að almennt verði að standa lagaheimild til vinnslu persónuupplýsinga sem fram fer á vegum stjórnvalda eða sveitarfélaga. Af ofangreindri umfjöllun verður ráðið að slík lagaheimild sé ekki nú til staðar og því telur Persónuvernd að kveða þyrfti á um slíka heimild til handa sveitarfélögum og/eða barnaverndarnefndum í lögum, í samræmi við lögmætisreglu stjórnsýsluréttar.

4.

Lögmæti vinnslu persónuupplýsinga

hjá sérfræðingateyminu

Varðandi úrvinnslu þeirra gagna sem sérfræðingateyminu berast, þ.e. þeirra viðkvæmu persónuupplýsinga sem munu berast teyminu frá sveitarfélögum og/eða barnaverndarnefndum í tengslum við beiðni sveitarfélags um mat og ráðgjöf, verður einkum talið að 3. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000 geti átt við um móttöku upplýsinganna og eftirfarandi vinnslu þeirra hjá sérfræðingateyminu, sbr. einnig 2. tölul. 1. mgr. 9. gr. laganna, enda starfi teymið á vegum og á ábyrgð velferðarráðuneytisins.

Ráðuneytið hefur aftur á móti í erindi sínu til Persónuverndar vísað til þess að öll vinnsla hjá teyminu fari ávallt fram á grundvelli samþykkis foreldra eða forsjáraðila viðkomandi barns skv. 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000.

Að mati Persónuverndar er í framangreindum ákvæðum laga um málefni fatlaðs fólks nr. 59/1992 eða barnaverndarlögum nr. 80/2002 hvergi að finna heimild fyrir sérfræðingateymi á vegum velferðarráðuneytisins til öflunar og úrvinnslu viðkvæmra persónuupplýsinga um börn með alvarlegar þroska- og geðraskanir, sbr. umfjöllun í kafla 3. Þvert á móti er fjallað um það í lögum nr. 59/1992 um málefni fatlaðs fólks að teymi fagfólks skuli starfa á vegum sveitarfélaga til þess að meta, að því er virðist, svipuð álitaefni og hér um ræðir - þ.e. þörf einstaklinga fyrir þjónustu og hvernig koma megi til móts við óskir þeirra.

Þrátt fyrir að forsjáraðili barns með alvarlegar þroska- og geðraskanir hafi veitt upplýst samþykki fyrir vinnslu viðkvæmra persónuupplýsinga um barn sitt skv. 1. tölul. 1. mgr. 8. og 9. gr. laga nr. 77/2000 telur Persónuvernd að slík heimild ein og sér geti ekki verið talin fullnægjandi með tilliti til áðurnefndra sjónarmiða um lögmætisreglu stjórnsýsluréttar. Þegar af þeirri ástæðu telur Persónuvernd að ekki séu til staðar fullnægjandi heimildir fyrir vinnslu viðkvæmra persónuupplýsinga hjá sérfræðingateyminu.

5.

Niðurlag

Loks vill Persónuvernd benda á að ef velferðarráðuneytið skyldi beita sér fyrir því að setja lög eða stjórnvaldsfyrirmæli um meðferð persónuupplýsinga á vegum sérfræðingateymisins lýsir stofnunin sig reiðubúna til að veita umsögn um slík drög. Meðal annars myndi Persónuvernd í slíkri umsögn líta til þess hver tilgangur vinnslunnar væri, hvaða persónuupplýsingum eða tegundum persónuupplýsinga mætti miðla til nefndarinnar og með hvaða hætti, hvernig hugað yrði að fræðslu til handa foreldrum og forráðamönnum barna, sem og hvernig öryggi persónuupplýsinga hjá nefndinni væri háttað.

Á l i t s o r ð:

Miðlun persónuupplýsinga um börn til sérfræðingateymis á vegum velferðarráðuneytisins um þjónustu við börn með alvarlegar þroska- og geðraskanir frá sveitarfélögum og/eða barnaverndarnefndum, sem og eftirfarandi vinnsla persónuupplýsinga um börnin hjá teyminu, samrýmist ekki lögum um persónuvernd nr. 77/2000.