Umboð til upplýsingaöflunar of víðtækt
Úrskurður
Hinn 14. desember 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2015/586:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 30. mars 2015 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) varðandi umsóknareyðublað um ferðaþjónustu fatlaðra hjá Reykjavíkurborg. Í kvörtuninni segir m.a. að kvartandi telji erfitt að sjá samhengi milli þess að sækja um akstur frá ferðaþjónustu fatlaðra hjá Reykjavíkurborg og þeirra upplýsinga sem óskað er að umsækjendur skili inn frá Tryggingastofnun ríkisins (TR), Landspítala, hjúkrunarheimilum og dagvistum. Þá bendir kvartandi á að oftast sé hægt að fá upplýsingarnar frá einstaklingnum sjálfum. Rétt sé að hafa í huga að stjórnvald megi ekki í neinum tilvikum ganga lengra en nauðsynlegt sé til að ná fram lögmætu markmiði.
2.
Bréfaskipti
Með bréfi, dags. 7. apríl 2015, var velferðarsviði Reykjavíkurborgar boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi velferðarsviðs, dags. 27. maí 2015, segir m.a. að 11. desember 2014 hafi tekið gildi nýjar reglur um ferðaþjónustu fatlaðs fólks í Reykjavík og hafi umrætt umsóknareyðublað verið leifar frá gildistíma eldri reglna. Umsóknareyðublaðið fyrir ferðaþjónustuna hafi verið endurskoðað og umrædd skilyrði sé ekki lengur að finna í því. Í 4. mgr. 3. gr. núgildandi reglna um ferðaþjónustu fatlaðs fólks í Reykjavík, sem samþykktar hafi verið í velferðarráði 4. desember 2014 og í borgarráði 11. desember 2014, komi fram að þjónustumiðstöðvum sé heimilt að óska eftir læknisvottorði þegar þörf sé á nánari upplýsingum um fötlun umsækjanda. Ef Reykjavíkurborg telji að afla þurfi læknisfræðilegra gagna um fötlun umsækjanda muni sveitarfélagið óska eftir læknisvottorði frá honum líkt og reglurnar kveði á um.
Í bréfinu kemur fram að ástæða þess að velferðarsvið Reykjavíkurborgar hafi áskilið sér rétt til þess að afla upplýsinga frá Landspítala hafi verið að umsækjandi um ferðaþjónustu fatlaðs fólks þurfi að uppfylla skilyrði reglnanna um fötlun og að viðkomandi geti ekki nýtt sér almenningssamgöngur vegna fötlunar sinnar. Þegar umsækjandi hafi ekki fengið þjónustu frá Reykjavíkurborg áður eða hafi nýlega fatlast hafi verið mikilvægt fyrir Reykjavíkurborg, þegar þörf hans á ferðaþjónustu fatlaðs fólks var metin, að geta óskað eftir upplýsingum um eðli fötlunar umsækjanda og hvort hann hafi getað nýtt sér almenningssamgöngur. Í framkvæmd hafi þjónustumiðstöðvar Reykjavíkurborgar almennt ekki óskað eftir þessum upplýsingum beint frá Landspítala. Óskað hafi verið eftir læknisvottorði frá umsækjanda. Í undantekningartilfellum hafi umsækjendur gefið starfsmönnum þjónustumiðstöðvanna leyfi til að afla umræddra upplýsinga frá félagsráðgjöfum Landspítala.
Í bréfinu kemur fram að sama eyðublað sé notað þegar umsækjendur sæki um ferðaþjónustu fatlaðs fólks og akstursþjónustu aldraðra. Áskilnaður Reykjavíkurborgar um rétt til að að óska eftir upplýsingum frá hjúkrunarheimilum og dagvistum hafi verið leifar frá því að akstursþjónusta fatlaðra sinnti akstri fyrir hjúkrunarheimili og dagvistir aldraðra. Óskað hafi verið eftir umræddum upplýsingum til hagræðingar fyrir umsækjendur þar sem margir þeirra hafi farið í svokallaðar fastar ferðir þar sem þeir fari á sama stað á sama tíma reglulega. Þá hafi verið hægt að sameina farþega í bílana. Akstursþjónusta aldraðra hafi ekki sinnt þessum akstri í nokkur ár og hafi hjúkrunarheimilin og dagvistirnar sjálfar bíla til umráða og sinni akstrinum. Þjónustumiðstöðvarnar hafi ekki óskað eftir umræddum upplýsingum þar sem akstursþjónusta aldraðra sinni ekki lengur þessum akstri.
Í bréfinu kemur fram að velferðarsvið Reykjavíkurborgar muni áfram áskilja sér rétt til að afla upplýsinga frá TR þar sem í 4. mgr. 1. gr. reglnanna séu sett fram skilyrði fyrir ferðaþjónustu og þar segi m.a. að umsækjendur sem hafi fengið styrk til bifreiðakaupa eða bensínstyrk frá TR skuli ekki njóta réttar til ferðaþjónustu samkvæmt þeim reglum. Mikilvægt sé að Reykjavíkurborg sé heimilt að afla þessara upplýsinga enda sé það skilyrði fyrir ferðaþjónustu að umsækjandi hafi ekki fengið umrædda styrki. Það sé því mat velferðarsviðs Reykjavíkurborgar að Reykjavíkurborg sé ekki að brjóta gegn 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Vinnsla persónuupplýsinga velferðarsviðs Reykjavíkurborgar sé að mati sveitarfélagsins sanngjörn, málefnaleg og lögmæt og í samræmi við vandaða vinnsluhætti persónuupplýsinga og fari vinnslan ekki umfram það sem nauðsynlegt sé miðað við tilgang hennar.
Með bréfi, dags. 18. maí 2015, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar velferðarsviðs Reykjavíkurborgar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Með bréfi, dags. 29. júní 2015, barst svar frá kvartanda þar sem fram kom að hann féllist á skýringar velferðarsviðs Reykjavíkurborgar að einu undanskildu, það er að umsækjandi ætti að hafa val um hvort hann skilaði sjálfur inn upplýsingum um sig frá TR eða hvort hann veiti borginni heimild til slíkrar upplýsingaröflunar eins og áskilið væri í framangreindu eyðublaði, eins og það væri nú upp sett.
Með bréfi, dags. 3. september 2015, var velferðarsviði Reykjavíkurborgar boðið að koma á framfæri svörum við athugasemdum kvartanda. Þá var sérstaklega óskað eftir skýringum á því hvernig framangreind vinnsla samræmdist 7. gr. laga nr. 77/2000. Í svarbréfi velferðarsviðs Reykjavíkurborgar, dags. 6. október 2015, er ítrekað að ástæða þess að Reykjavíkurborg áskilur sér rétt til að afla upplýsinga frá TR sé að skilyrði fyrir ferðaþjónustu fatlaðs fólks sé að umsækjandi hafi ekki fengið styrk til bifreiðakaupa eða bensínstyrk frá TR. Mikilvægt sé að Reykjavíkurborg sé heimilt að afla þessara upplýsinga enda sé það skilyrði fyrir ferðaþjónustu að umsækjandi hafi ekki fengið umrædda styrki. Verklag um öflun upplýsinga í tengslum við umsókn um ferðaþjónustu frá TR sé í samræmi við margar aðrar umsóknir um þjónustu sem velferðarsvið Reykjavíkurborgar veitir samkvæmt lögum um félagsþjónustu nr. 40/1991 og lögum um málefni fatlaðs fólks nr. 59/1992. Það sé því mat velferðarsviðs Reykjavíkurborgar að með verklaginu brjóti Reykjavíkurborg ekki gegn 3. tölul. 7. gr. laga nr. 77/2000 hvað varðar meðferð persónuupplýsinga fatlaðs fólks. Vinnsla persónuupplýsinga hjá velferðarsviði Reykjavíkurborgar sé að mati sveitarfélagsins sanngjörn, málefnaleg og lögmæt og í samræmi við vandaða vinnsluhætti persónuupplýsinga og ekki umfram það sem nauðsynlegt sé miðað við tilgang vinnslunnar.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst velferðarsvið Reykjavíkurborgar vera ábyrgðaraðili að þeirri vinnslu sem kvartað er yfir.
Úrskurður þessi afmarkast við öflun upplýsinga frá Tryggingastofnun ríkisins (TR) þar sem af svörum velferðarsviðs má ráða að ekki sé lengur óskað upplýsinga frá Landspítala, hjúkrunarheimilum og dagvistum.
2.
Lögmæti vinnslu
Í 8. gr. laga nr. 77/2000 eru almennar reglur um heimildir fyrir vinnslu persónuupplýsinga. Er vinnsla persónuupplýsinga heimil ef einhver þeirra þátta sem þar eru taldir upp er fyrir hendi. Þegar stjórnvöld afla upplýsinga í tengslum við stjórnvaldseftirlit verður einkum talið að 5. og 6. og, eftir atvikum, 3. tölul. 1. mgr. 8. gr. laganna geti átt við um upplýsingaöflunina og eftirfarandi vinnslu upplýsinganna. Samkvæmt 3. tölul. er vinnsla heimil sé hún nauðsynleg til að fullnægja lagaskyldu, samkvæmt 5. tölul. er vinnsla heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna og samkvæmt 6. tölul. er vinnsla heimil sé hún nauðsynleg við beitingu opinbers valds.
Í 1. mgr. 21. gr. laga nr. 40/1991 um félagsþjónustu sveitarfélaga kemur fram að sveitarstjórnir skuli setja reglur um framkvæmd fjárhagsaðstoðar að fengnum tillögum félagsmálanefndar. Velferðarsvið Reykjavíkurborgar hefur vísað til 4. mgr. 1. gr. reglna um ferðaþjónustu fatlaðs fólks í Reykjavík, sem samþykktar voru af velferðarráði Reykjavíkurborgar 4. desember 2014 og í borgarráði 11. desember 2014. Þar eru talin upp þau skilyrði sem umsækjandi um ferðaþjónustu þarf að uppfylla. Kemur þar fram að þeir umsækjendur sem hafi fengið styrk til bifreiðakaupa frá TR og þeir sem njóti bensínstyrks skuli ekki njóta réttar til ferðaþjónustu samkvæmt reglunum. Verður því talið að velferðarsviði Reykjavíkurborgar sé heimilt að afla framangreindra upplýsinga frá kvartanda vegna umsóknar hans um ferðaþjónustu fatlaðs fólks.
3.
Gæði gagna og vinnslu
Við vinnslu persónuupplýsinga þarf jafnframt að gæta að skilyrðum 1. mgr. 7. gr. laga nr. 77/2000, þ. á m. um að upplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Verður því ávallt að gæta þess við meðferð persónuupplýsinga að þær séu m.a. unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga.
Í 14. gr. reglna um ferðaþjónustu fatlaðs fólks í Reykjavík segir að öflun gagna og upplýsinga skuli fara fram í samvinnu við umsækjanda. Þá segir jafnframt að við meðferð umsóknar og ákvarðanatöku skuli hafa samvinnu og samráð við umsækjanda eftir því sem unnt er en að öðrum kosti við talsmann hans eða umboðsmann hans ef við á. Vill Persónuvernd því árétta að upplýsinga skal aflað í samvinnu og með samráði við umsækjanda í eins miklum mæli og hægt er, þ.e. að virða skal ósk umsækjanda um að fá að skila inn upplýsingum sjálfur þegar því verður komið við í stað þess að heimila upplýsingaöflun samkvæmt umboði til velferðarsviðs Reykjavíkurborgar.
Í svörum velferðarsviðs Reykjavíkurborgar kemur fram að óskað er eftir umboði til öflunar upplýsinga frá TR í því skyni að ganga úr skugga um hvort umsækjandi hafi fengið styrk til bifreiðakaupa eða bensínstyrk. Umboðið sem umsækjendur eru látnir undirrita hefur hins vegar ekki að geyma neina afmörkun á því hvaða upplýsinga sé aflað frá TR. Að því leyti telur Persónuvernd umboðið ekki samrýmast fyrrgreindum meginreglum 1. mgr. 7. gr. laga nr. 77/2000. Er því hér með lagt fyrir TR að útbúa nýtt eyðublað sem hafi að geyma afmörkun samkvæmt framangreindu. Skulu drög að því send Persónuvernd eigi síðar en 1. febrúar 2016.
Ú r s k u r ð a r o r ð:
Umboð til upplýsingaöflunar frá Tryggingastofnun ríkisins (TR) á eyðublaði Reykjavíkurborgar fyrir umsóknir um akstur hjá ferðaþjónustu fatlaðra samrýmist ekki kröfum laga nr. 77/2000 um meðalhóf við vinnslu persónuupplýsinga. Eigi síðar en 1. febrúar 2016 skal velferðarsvið borgarinnar senda Persónuvernd drög að nýju eyðublaði sem hafi að geyma afmörkun á því hvaða upplýsinga geti verið aflað frá TR á grundvelli umboðsins.