Miðlun sveitarfélags á persónuupplýsingum til sáttamiðlara vegna samskiptavanda milli starfsfólks skóla og foreldra nemanda

Mál nr. nr. 2021020274

17.2.2022

Úrskurður

 

um kvörtun yfir miðlun persónuupplýsinga af hálfu [sveitarfélags] í máli nr. 2021020274:

I.
Málsmeðferð

Hinn 31. janúar 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi), ásamt fylgigögnum, yfir annars vegar mögulegri miðlun starfsmanna [sveitarfélags] á viðkvæmum upplýsingum um hann og fjölskyldu hans, í tengslum við eineltismál í [grunnskóla], til Kennarasambands Íslands og Skólastjórafélags Íslands og hins vegar miðlun starfsmanna sveitarfélagsins á viðkvæmum upplýsingum um hann og fjölskylduna, í tengslum við sama mál, til tilgreinds sáttamiðlara. Hafi framangreindum upplýsingum verið miðlað þvert á óskir kvartanda.

Persónuvernd bauð [sveitarfélaginu] að tjá sig um kvörtunina með bréfi 11. febrúar 2021 og bárust svör sveitarfélagsins 5. mars sama ár.

Þá sendi kvartandi Persónuvernd viðbótargögn 2. apríl 2021.

Persónuvernd fór í vettvangsathugun á [skrifstofu] [sveitarfélagsins] 14. apríl 2021 og skoðaði gögn tengd málinu. Sama dag sendi sveitarfélagið Persónuvernd afrit af tölvupóstsamskiptum sem tengjast málinu.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þótt ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

___________________

Kvörtun málsins lýtur að miðlun persónuupplýsinga kvartanda, barns hans og móður barnsins. Með hliðsjón af því að ekki liggur fyrir í málinu umboð móðurinnar fyrir kvartanda til að leggja fram kvörtun hjá Persónuvernd fyrir hennar hönd verður hér einungis úrskurðað um vinnslu persónuupplýsinga kvartanda og barnsins.

Sem fyrr segir er kvörtunin tvíþætt. Fyrri hluti kvörtunarinnar lýtur að því að starfsmenn [sveitarfélagsins] hafi miðlað persónuupplýsingum kvartanda og fjölskyldu hans til Kennarasambands Íslands og Skólastjórafélags Íslands, gegn óskum kvartanda. Samkvæmt svörum [sveitarfélagsins] leitaði þáverandi skólastjóri [grunnskólans] til Skólastjórafélags Íslands og Félags grunnskólakennara, sem hvort tveggja eru aðildarfélög Kennarasambands Íslands, um leiðbeiningar um samskipti við kvartanda og móður barns þeirra. Haldinn hafi verið fundur með formönnum framangreindra félaga í mars 2020 og í aðdraganda fundarins hafi frásögn þriggja starfsmanna skólans af samskiptum við foreldrana verið send formönnunum með tölvupósti. Hvorki foreldrarnir né barnið hafi verið persónugreinanleg í þeim frásögnum og því telji [sveitarfélagið] að miðlun gagnanna hafi ekki fallið undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Önnur gögn hafi ekki farið þar á milli.

Síðari hluti kvörtunarinnar lýtur að miðlun starfsmanna sveitarfélagsins á persónuupplýsingum kvartanda og fjölskyldu hans til tilgreinds sáttamiðlara. Samkvæmt fyrirliggjandi gögnum var sáttamiðlarinn fenginn til að koma að máli fjölskyldu kvartanda og starfsmanna [grunnskólans], að höfðu samráði við þau foreldrana, í kjölfar skýrslu fagráðs eineltismála frá febrúar 2020, þar sem fram kom að fyrrgreindir aðilar ættu að reyna að byggja upp traust sín á milli. Móðirin veitti leyfi sitt fyrir því að hlutaðeigandi sáttamiðlari fengi gögn um málið með tölvuskeyti 22. febrúar 2020, sem kvartandi fékk afrit af. Samkvæmt skjáskoti af tölvuskeyti frá 5. mars 2020 virðist starfsmaður [sveitarfélagsins] biðja annan starfsmann sveitarfélagsins að áframsenda sáttamiðlaranum tilteknar upplýsingar og er kvartandi þar tilgreindur aðili máls. Samkvæmt svörum [sveitarfélagsins] fékk sáttamiðlarinn meðal annars senda skýrslu fagráðsins, gögn sem fagráðið vann með við meðferð málsins, almenn forvarnarverkefni varðandi samskipti í skólanum, póst um aðgerðir [grunnskólans] í málinu, samantekt skólans vegna fyrirspurna […] og póst til annarra foreldra. Fram kemur í tölvuskeyti móðurinnar til starfsmanns sveitarfélagsins 10. mars 2020 að hún hafi 6. þess mánaðar farið fram á að sáttamiðlarinn fengi ekki frekari upplýsingar og gögn vegna málsins. Í svari starfsmannsins segir að sáttamiðlarinn hafi ekki fengið neina pósta eftir að móðirin hafi haft samband og að þau gögn sem sáttamiðlarinn hafi séu aðallega þau gögn sem hann hafi fengið í upphafi. Sáttamiðlarinn hafi fengið svör við spurningum en ekki fengið áframsenda pósta. Þá liggur fyrir í málinu tölvuskeyti sáttamiðlarans til starfsmanns [sveitarfélagsins] frá 19. apríl 2020 þar sem hann segist telja best að hann skrifi skýrslu um þróun mála sem þurfi að fara til fagráðsins og […]. Hann hafi verið að vinna í skýrslunni en áður en hann skili henni þurfi hann að heyra í skólastjóra og umsjónarkennara og öðrum foreldrum í síma. Loks liggur fyrir skjáskot af ótilgreindu skjali sem bendir til þess að sáttamiðlarinn hafi skilað umræddri skýrslu til […] [sveitarfélagsins] í maí sama ár og að starfsmaður sveitarfélagsins hafi dagana á undan afhent sáttamiðlaranum gögn vegna málsins.

Í svörum [sveitarfélagsins] segir að miðlun persónuupplýsinga til sáttamiðlarans byggist á því að hún hafi verið nauðsynleg vegna lagaskyldu, sbr. 3. tölul. 9. gr. laga nr. 90/2018, og vísar sveitarfélagið í því sambandi til laga nr. 91/2008 um grunnskóla, meðal annars 1. mgr. 5. gr. þeirra, og reglugerðar nr. 1040/2011 um ábyrgð og skyldur aðila skólasamfélagsins í grunnskólum. Loks telur [sveitarfélagið] vinnsluna geta byggst á því að hún hafi verið nauðsynleg við beitingu opinbers valds, sbr. 5. tölul. 9. gr. laga nr. 90/2018, með vísan til þess að samkvæmt 13. gr. laga nr. 91/2008 skuli grunnskóli í hvívetna haga störfum sínum þannig að nemendur finni til öryggis. Sáttamiðlarinn hafi ekki getað sinnt hlutverki sínu nema að fá nauðsynlegar upplýsingar um málið, sem voru að hluta til viðkvæmar persónuupplýsingar. Miðlun þeirra hafi byggst á samþykki samkvæmt 1. tölul. 1. mgr. 11. gr. laga nr. 90/2018. Þá er það áréttað að sáttamiðlarinn sé menntaður sáttamiðlari sem beri að fara að siðareglum sáttamiðlara þar sem meðal annars sé kveðið á um þagnarskyldu um allt sem komi fram í sáttamiðlun og í tengslum við hana, nema lög krefjist annars, og hafi hann því verið bundinn trúnaði. Hann hafi fengið gögnin afhent á pappírsformi og ekki önnur gögn en nauðsynlegt hafi verið að afhenda vegna verkefnis hans.

II.
Niðurstaða
1.
Fyrri hluti kvörtunarinnar -
Gildissvið persónuverndarlaga

Fyrri hluti kvörtunarinnar lýtur að miðlun frásagnar starfsmanna [sveitarfélagsins] af samskiptum sínum við kvartanda og móður barns þeirra til Skólastjórafélags Íslands og Félags grunnskólakennara, þegar leitað var til þessara félaga um leiðbeiningar um samskiptin.

Persónuvernd skoðaði umræddar frásagnir í vettvangsathugun sinni 14. apríl 2021. Að mati stofnunarinnar geta þeir sem þekkja til málsins greint hvaða einstaklinga þar um ræðir þótt þeir séu í frásögnunum eingöngu auðkenndir með einum bókstaf. Á hinn bóginn er til þess að líta að umrædd gögn fela í sér tjáningu starfsmanna [sveitarfélagsins] um þeirra upplifun af samskiptum við foreldra barns í [grunnskólanum]. Miðlun frásagnanna til fyrrgreindra félaga verður jafnframt að teljast til tjáningar þar sem starfsmennirnir voru með miðluninni að leita til sinna stéttarfélaga um aðstoð.

Réttur einstaklings til friðhelgi einkalífs, heimilis og fjölskyldu er verndaður í 71. gr. stjórnarskrár lýðveldisins Íslands nr. 33/1944 og 8. gr. mannréttindasáttmála Evrópu. Í lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, er kveðið nánar á um réttinn til friðhelgi einkalífs að því er varðar meðferð persónuupplýsinga.

Kveðið er á um vernd tjáningarfrelsis í 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu. Samkvæmt þeim ákvæðum á hver maður rétt á að láta í ljós hugsanir sínar en verður að ábyrgjast þær fyrir dómi. Sá réttur skal einnig ná yfir frelsi til að taka við og skila áfram upplýsingum og hugmyndum heima og erlendis án afskipta stjórnvalda. Í athugasemdum við 73. gr. stjórnarskrárinnar, í frumvarpi sem varð að stjórnarskipunarlögum nr. 97/1995, segir að tjáningarfrelsið sé óumdeilanlega ein af undirstöðum lýðræðisþjóðfélags en engu að síður meðal vandmeðförnustu mannréttinda, sem ekki sé hægt að njóta án ábyrgðar. Því megi setja tjáningarfrelsinu skorður með lögum, meðal annars vegna réttinda eða mannorðs annarra, enda teljist þær nauðsynlegar og samrýmist lýðræðishefðum.

Fyrri hluti kvörtunarinnar lýtur, sem fyrr segir, að tjáningu einstaklinga sem nýtur verndar 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu. Verkefnum Persónuverndar er lýst í 39. gr. laga nr. 90/2018 en þar segir meðal annars að stofnunin annist eftirlit með framkvæmd laganna, reglugerðar (ESB) 2016/679, sérákvæða í lögum sem fjalla um vinnslu persónuupplýsinga og annarra reglna um efnið. Þá segir að Persónuvernd úrskurði um hvort brot hafi átt sér stað, berist stofnuninni kvörtun frá skráðum einstaklingi eða fulltrúa hans. Í framkvæmd hefur Persónuvernd litið svo á að í umræddum lagaákvæðum felist ekki að stofnunin hafi vald til að taka bindandi ákvörðun um mörk réttinda samkvæmt ákvæðum stjórnarskrárinnar, t.a.m. tjáningarfrelsis samkvæmt 73. gr. og friðhelgi einkalífs samkvæmt 71. gr., heldur heyri slíkur ágreiningur undir dómstóla. Það skoðast í ljósi þess að samkvæmt 2. mgr. 73. gr. stjórnarskrárinnar á hver maður rétt á að láta í ljós hugsanir sínar, en ábyrgjast verður hann þær fyrir dómi. Af ákvæðinu verður sú ályktun dregin að dómstólar, en ekki stjórnvöld, taki afstöðu til þess hvort tjáning sé í andstöðu við lög. Í þessu sambandi vísast enn fremur til orðalags 1. mgr. 10. gr. mannréttindasáttmálans um að sérhver maður eigi rétt til tjáningarfrelsis „án afskipta stjórnvalda“. Af því leiðir að Persónuvernd er ekki bær til þess að úrskurða um hvort í tjáningu felist misnotkun á stjórnarskrárvörðum rétti til tjáningarfrelsis, sem enn fremur nýtur verndar síðastnefnds ákvæðis mannréttindasáttmálans.

Með vísan til framangreinds er fyrri hluta kvörtunarinnar vísað frá.

2.
Síðari hluti kvörtunarinnar -
Lögmæti vinnslu

Síðari hluti kvörtunarinnar lýtur að miðlun starfsmanna [sveitarfélagsins] á persónuupplýsingum kvartanda og barns hans til tilgreinds sáttamiðlara. Fyrir liggur að starfsmenn sveitarfélagsins sendu sáttamiðlaranum gögn vegna vinnu hans við mál [grunnskólans] og foreldranna og að í gögnunum voru meðal annars persónuupplýsingar um kvartanda og fjölskyldu hans, þar á meðal viðkvæmar persónuupplýsingar. Síðari hluti kvörtunarinnar varðar því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Með hliðsjón af því að það var grunnskólafulltrúi [sveitarfélagsins] sem leitaði til sáttamiðlarans verður [sveitarfélagið] [talið] vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Í því máli sem hér um ræðir liggur fyrir að móðir barns kvartanda veitti samþykki sitt fyrir því að tilteknum gögnum yrði miðlað til sáttamiðlarans vegna vinnu hans við mál þeirra, í tölvuskeyti 22. febrúar 2020.

Stjórnvöld geta almennt ekki byggt vinnslu persónuupplýsinga á samþykki skráðra einstaklinga samkvæmt 1. tölul. 9. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 6. gr. reglugerðarinnar, þar sem skýr aðstöðumunur er milli sveitarfélaga og íbúa þess og því ólíklegt að samþykki sé veitt af fúsum og frjálsum vilja í öllum tilvikum. Almennt byggist vinnsla persónuupplýsinga hjá stjórnvöldum á því að hún sé nauðsynleg til að fullnægja lagaskyldu sem á þeim hvílir, sbr. 3. tölul. 9. gr. laganna og c-lið 1. mgr. 6. gr. reglugerðarinnar, eða að hún sé nauðsynleg vegna verks sem sé unnið í þágu almannahagsmuna eða við beitingu opinbers valds, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins. Við mat á heimild til vinnslu samkvæmt þeim heimildarákvæðum verður að líta til ákvæða í öðrum lögum sem við eiga hverju sinni.

Um grunnskóla gilda lög nr. 91/2008. Samkvæmt 3. mgr. 2. gr. þeirra laga skulu grunnskólar stuðla að góðu samstarfi heimilis og skóla með það að markmiði að tryggja farsælt skólastarf, almenna velferð og öryggi nemenda. Þá segir í 2. mgr. 30. gr. laganna að skólastjórum og kennurum beri að eiga samráð við foreldra um hegðun, líðan og samskipti barna þeirra. Foreldrum og öðrum forsjáraðilum beri með sama hætti að eiga samráð við skólann um skólagöngu barna sinna. Samkvæmt 1. mgr. 5. gr. sömu laga er rekstur almennra grunnskóla á ábyrgð og kostnað sveitarfélaga og bera sveitarfélög ábyrgð á framkvæmd grunnskólastarfs.

Sjá má af framangreindum ákvæðum að [grunnskólinn] og kvartandi báru ríkar skyldur til samstarfs og samráðs á grundvelli laga nr. 91/2008 og að [sveitarfélagið] bar einnig ábyrgð þar að lútandi, sem lýtur að rekstri og framkvæmd grunnskólastarfsins. Vegna samskiptaörðugleika milli starfsfólks skólans og foreldranna ákvað sveitarfélagið að leita til tiltekins sáttamiðlara að höfðu samráði við foreldrana og var persónuupplýsingum þeirra og barns þeirra miðlað til hans til þess að hann gæti sinnt verkefninu. Að því leyti má segja að miðlun persónuupplýsinganna til sáttamiðlarans hafi verið nauðsynleg vegna lagaskyldu sem hvílir á sveitarfélaginu.

Vinnsla viðkvæmra persónuupplýsinga verður að styðjast við eitthvert af viðbótarskilyrðum 1. mgr. 11. gr. laga nr. 90/2018, sbr. 2. mgr. 9. gr. reglugerðar (ESB) 2016/679. Eins og hér háttar til getur miðlun viðkvæmra persónuupplýsinga í þágu betri samskipta og vellíðanar nemanda grunnskóla helst stuðst við 7. tölul. 1. mgr. 11. gr. laganna og g-lið 2. mgr. 9. gr. reglugerðarinnar um að vinnsla sé nauðsynleg af ástæðum sem varða verulega almannahagsmuni og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.

Til þess að vinnsla persónuupplýsinga teljist heimil samkvæmt framangreindu verður hún jafnframt að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018 og 1. mgr. 5. gr. reglugerðarinnar, sem kveða meðal annars á um að persónuupplýsingar skuli unnar með þeim hætti að viðeigandi öryggi þeirra sé tryggt, sbr. 6. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og f-lið 1. mgr. 5. gr. reglugerðarinnar.

Hvað varðar öryggi umræddra persónuupplýsinga er til þess að líta að gögnin voru send sáttamiðlaranum á pappírsformi. Í svörum [sveitarfélagsins] segir enn fremur að sáttamiðlarinn sé bundinn trúnaði í samræmi við siðareglur sáttamiðlara, sem kveða á um að þeir skuli bundnir þagnarskyldu um allt sem kemur fram í sáttamiðluninni og í tengslum við hana nema aðilar semji um annað eða lög krefjist. Að því virtu verður að telja að viðeigandi öryggi persónuupplýsinganna hafi verið tryggt. Á hinn bóginn telur Persónuvernd að þegar gögn sem varða nemendur grunnskóla eru afhent sjálfstætt starfandi sérfræðingum geti, eftir atvikum, verið rétt að leggja fyrir þá að undirrita trúnaðaryfirlýsingu og mæla fyrir um skil eða eyðingu gagna þegar starfi eða verkefni er lokið.

Með hliðsjón af öllu framangreindu er það niðurstaða Persónuverndar að miðlun persónuupplýsinga kvartanda og fjölskyldu hans til tilgreinds sáttamiðlara hafi samrýmst lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.

Til þess að tryggja öryggi umræddra persónuupplýsinga beinir Persónuvernd þeim tilmælum til [sveitarfélagsins] að sjá til þess að fyrrnefndur sáttamiðlari skili sveitarfélaginu umræddum gögnum þegar aðkomu hans að málinu er lokið eða staðfesti að hann hafi eytt þeim, hafi það ekki þegar verið gert.

Ú r s k u r ð a r o r ð:

Miðlun [sveitarfélagsins] á persónuupplýsingum kvartanda og fjölskyldu hans til tilgreinds sáttamiðlara samrýmdist lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679.

Persónuvernd, 17. febrúar 2022

Valborg Steingrímsdóttir              Helga Sigríður Þórhallsdóttir