Úrskurður í Grundarmáli
Hinn 14. apríl 2008 komst stjórn Persónuverndar að eftirfarandi niðurstöðu í máli nr. 2007/870:
I.
Málavextir og bréfaskipti
1.
Kvörtun
Þann 29. nóvember 2007 barst Persónuvernd erindi frá A fyrir hönd dóttur sinnar, B, starfsmanns á elliheimilinu Grund. Var kvörtunarefnið tilgreint sem: „Óþörf skylduskráning og söfnun heilsufarsupplýsinga um ósjálfráða einstakling án samþykkis forráðamanns". Þann 31. janúar 2008 mætti A til Persónuverndar, skýrði erindi sitt nánar og óskaði þess að stofnunin skæri úr um hvort farið hafi verið að lögum þegar upplýsingar um fjarvistir og veikindi B voru skráðar hjá utanaðkomandi aðila, þ.e. InPro.
InPro hét áður Heilsuvernd. Í desember 2007 var nafni Inpro breytt í Heilsuverndarstöðin. Í gögnum málsins er þessi aðili ýmist nefndur InPro, Heilsuverndarstöðin eða Heilsuvernd. Þessi heiti vísa öll til sama aðila en hér eftir verður vísað til hans sem InPro, Heilsuverndar eða „vinnsluaðila". Til elliheimilisins er ýmist vísað sem vinnuveitanda, Grundar eða „ábyrgðaraðila", til A er vísað sem kvartanda en til B er ýmist vísað til sem stúlkunnar eða „hins skráða.".
2.
Meðferð máls
Bréfaskipti
Með bréfi Persónuverndar, dags. 13. desember 2007, var Grund boðið að tjá sig um erindið. Stefán Geir Þórisson, hrl., svaraði fyrir hönd Grundar með bréfi dags. 8. janúar 2008. Þar segir:
„Í erindi yðar er þess óskað að Persónuvernd verði upplýst um hver tilgangur vinnslunnar sé, hver sé tilgangur þess að skrá eðli veikinda starfsmanns eða barna hans, hvaða aðferðir verði nákvæmlega notaðar við vinnslu persónuupplýsinga og hvernig upplýsingunum verði ráðstafað. Jafnframt er þess óskað í erindinu að umbj. minn skýri frá því hvernig vinnsla samrýmist þeim kröfum sem gerðar eru til allrar vinnslu persónuupplýsinga. Þá er þess óskað að í svari komi fram hvaða heimildir umbj. minn telji sig hafa til þess að krefjast þess af starfsmönnum sínum að þeir skrái veikindi sín hjá öðrum aðila en Grund.
Umbj. minn vill byrja á því að svara síðustu spurningunni. Heimildir umbj. míns til að gera kröfu af þessu tagi byggir á vinnusambandi aðila þar sem umbj. minn sem vinnuveitandi hefur heimild til að gera um það kröfu að starfsmenn tilkynni veikindi ef þeir geta ekki mætt til vinnu. það er undir engum kringumstæðum meira íþyngjandi fyrir starfsmenn umbj. míns að tilkynna veikindin til annars fyrirtækis en umbj. mín sjálfs. Í kjarasamningum eru skýrar heimildir fyrir því að yfirmönnum stofnana er heimilt að krefjast læknisvottorðs vegna veikindafjarvista starfsmanna og yfirmanni er heimilt að það vottorð sé gefið út af trúnaðarlækni. Umbj. minn gerir ekki ráð fyrir að það heyri undir valdsvið Persónuverndar að skipta sér af því hvaða heimildir standi til þess að gera slíka kröfu.
Hvað hinar spurningarnar varðar, vill umbj. minn leyfa sér að vísa til meðfylgjandi verksamnings milli umbj. míns og Heilsuverndar ehf. (nú InPro ehf), en svör við mörgum af spurningunum koma fram í samningnum. Því til fyllingar sem þar kemur fram vill umbj. minn geta eftirfarandi atriða:
Fjarvistaskráningin InPro er hluti af trúnaðarlæknisþjónustu sem Grund hefur gert samning við lækna InPro um að veita stjórnendum og starfsfólki Grundar og kemur í stað læknisvottorða fyrir þá starfsmenn er kjósa að nota þjónustuna. Starfsmanni er skv. lögum skylt að leggja fram læknisvottorð, sé þess óskað, sem sanni óvinnufærni vegna sjúkdóms eða slyss. Fullur trúnaður ríkir ætíð í meðferð upplýsinga hjá InPro - allt starfsfólk sem vinnur við skráningu og meðhöndlun gagna eru heilbrigðisstarfsmenn sem hafa undirgengist faglega trúnaðareiða auk þess sem að vinnureglur InPro undirstrika trúnað við skjólstæðinga. Því er eðli þeirra gagna sem safnað er sambærilegt við sjúkraskrár. Það er hlutverk heilbrigðisstarfsmanna að staðfesta veikindi og veita starfsmönnum ráðgjöf um veikindi og sjúkdóma, og er vandséð hvernig það væri framkvæmanlegt ef ekki væri spurt um eðli veikindanna.
Um tilgang vinnslunnar má gefa eftirfarandi svör. Samkvæmt lögum nr. 46/1980 um aðbúnað, hollustuhætti og öryggi á vinnustöðum ber stofnunum að gera áætlun um öryggi og heilbrigði á vinustað. Skilvirk skráning er mikilvægur þáttur í greiningu á heilsufari starfsmanna og hugsanlegum áhrifum vinnuumhverfis á heilsu þeirra og er lykilatriði slíkrar áætlunar. Með skráningunni fæst yfirlit yfir fjarvistir starfsmanna, deilda og fyrirtækisins alls með samanburðarmöguleikum milli deilda við önnur fyrirtæki. Gott samstarf hefur verið með aðilum vinnumarkaðarins og InPro úr skrám félagsins notuð til að gera skýrslur um veikindafjarvistir á Íslandi. Skráningin getur þannig nýst sem tæki til greiningar á aðbúnaði og öryggi á vinnustaðnum og stuðlað að markvissri skipulagningu heilsuverndar starfsmanna. Allar veikindatengdar fjarvistir eru tilkynntar, þar með talin vinnuslys, slys utan vinnu og veikindi barna. Er þetta grundvallað á þeirri staðreynd að veikindaréttur er þrískiptur eftir því hvert tilefni fjarvistarinnar er. Ekki er unnin nein greining á eðli veikinda barna starfsmanna, einungis er skráð hvort fjarvist sé vegna eigin veikinda, veikinda barns eða vinnuslyss. Um vinnuslys gildir að nákvæm skráning þeirra er mikilvægur þáttur atvikaskráningar og öryggisstefnu um forvarnir og aðgerðir sem grípa þarf til í því skyni að draga úr atvinnutengdum sjúkdómum og slysum. Tilefni veikinda og tímalengd þeirra eru skráð í gagnasafn sem nefnt er "Heilbrigðisvísir" og er eingöngu notaður hjá InPro/Heilsuvernd. Launadeild Grundar fær yfirlit um tilkynntar fjarvistir (án þess að greint sé frá ástæðu fjarvistarinnar) með reglulegu millibili á þeim tímum sem stemma við launatímabil. Einungis trúnaðarlæknar InPro/Heilsuverndar hafa aðgang að Heilbrigðisvísinum. Veikindi eru einnig tilkynnt yfirmanni á vinnustað. Litið er svo á gögn þau er vistuð er í gagnasafni InPro/Heilsuverndar séu jafngild sjúkraskrá, líkt og aðrar heilsufarsupplýsingar sem geymdar eru á læknastofum og heilsugæslustöðvum.
Umbj. minn telur með vísan til þess sem að framan getur að verksamningurinn við InPro sé í fullu samræmi við lög nr. 77/2000, þ.á.m. 7., 8. og 9. gr. laganna. Sé Persónuvernd ósammála að einhverju leyti óskar umbj. minn eftir að fá að koma að frekari útskýringum og rökstuðningi."
Með bréfi Persónuverndar, dags. 15. janúar 2008, var kvartanda boðið að tjá sig um framangreint. Í bréfi Persónuverndar var jafnframt óskað frekari gagna er kynnu að hafa gildi - s.s. um hugsanlega fræðslu, væri þeim til að dreifa. Kvartandi skilaði ekki inn frekari gögnum en skýrði erindi sitt munnlega hjá Persónuvernd þann 31. janúar 2008, eins og áður segir.
Til að sjá til þess að málið væri nægjanlega upplýst áður en Persónuvernd leysti úr því fóru fulltrúar hennar í heimsókn til vinnsluaðila 24. og 26. janúar 2008. Kom í ljós að þar voru skráðar upplýsingar um fjarvistir hennar frá vinnu vegna veikinda og í sumum tilvikum einnig um eðli veikindanna. Til dæmis höfðu slíkar upplýsingar verið skráðar þann 27. ágúst 2007 og 11. desember 2007. Dagana 30. júlí 2007 og 11. desember 2007 hafði og m.a. verið skráð að yfirmaður hefði áhyggjur af henni og að deildarstjóri hafi beðið um aðhald vegna hennar.
Með bréfi, dags. 30. janúar 2008, óskaði Persónuvernd skýringa um hvernig ábyrgðaraðili hefði uppfyllt fræðsluskyldu sína samkvæmt 20. gr. laga nr. 77/2000. Stefán Geir Þórisson, hrl., svaraði með bréfi, dags. 14. febrúar 2008. Því fylgdi afrit af samningi Grundar við Heilsuvernd, dags. 14. apríl 2005, og afrit kynningarbréfs sem stúlkunni var afhent þegar hún var ráðin til starfa hjá Grund. Þar segir:
„Ágæti starfsmaður,
með þessu bréfi viljum við kynna fyrir þér helstu atriði í starfsemi InPro.
Hjá okkur starfa hjúkrunarfræðingar og læknir með það að markmiði að efla heilbrigði og vellíðann á vinnustöðum.
Hlutverk Inpro er að skrá veikindi og vera starfsmönnum innan handar við úrlausn heilsufarslegra vandamála. Við veitum ráðgjöf í veikindum og leiðbeinum innan heilbrigðiskerfisins en starfsmenn leita áfram til síns heimilislæknis ef þess gerist þörf.
Þegar um veikindi er að ræða eru þau tilkynnt til Inpro/Heilsuverndar í síma 510-6500, á milli 08:30-13:00, fyrsta virka dag veikinda. Starfsmaður þarf svo að hringja á hverjum degi veikinda nema um annað sé samið í samtalinu. Við óskum leyfis ykkar til að spyrja um eðli veikinda. Öll veikindi eru tilkynnt, þar með talin vinnuslys, slys utan vinnu og veikindi barna. Sé fjarvera vegna veikinda ekki tilkynnt samkvæmt ofangreindu getur greiðsla veikindalauna fallið niður fyrir þann tíma sem ótilkynntur er. Tilefni veikinda og tímalengd þeirra eru tölvuskráð. Veikindi eru einnig tilkynnt á vinnustað sem fyrr.
Fjarvistaskráningin kemur í stað læknisvottorða sem verða því með öllu óþörf.
Við erum eins og annað heilbrigðisstarfsfólk, bundin þagnareiði um samskipti okkar við starfsmenn önnur en tímalengd fjarvista.
Starfsmenn hafa ávallt aðgengi að þjónustuveri Inpro til ráðgjafar, á ofangreindum símatíma varðandi heilsufarsmál viðkomandi starfsmanns, maka og barna.
Með skráningunni fæst yfirlit yfir fjarvistir starfsmanna, deilda og fyrirtækisins alls með samanburðarmöguleikum milli deilda og við önnur fyrirtæki. Skráningin getur þannig nýst sem tæki til greiningar á aðbúnaði og öryggi á vinnustaðnum og stuðlað að markvissari skipulagningu annarrar heilsuverndar starfsmanna.
Starfsmaður getur fengið skráðum upplýsingum eytt, t.d. ef hann hættir störfum hjá fyrirtækinu.
Með von um gott samstarf, starfsfólk Inpro/Heilsuverndar."
Í framangreindum samningi, dags. 14. apríl 2005, segir m.a.:
„[...]
3. Verktaki tölvuskráir fjarvistir starfsmanna og orsakir þeirra sbr. 4 og 5.
4. Forfallist starfsmaður vegna veikinda eða slyss, þá tilkynnir hann verktaka það símleiðis á fyrsta virka fjarvistardegi. Starfsmaðurinn hefur aftur samband við verktaka síðar, skv. nánara samkomulagi þeirra, ef fjarvist er lengri en 1-2 dagar.
5. Samskipti eru með þeim hætti, að hjúkrunarfræðingur tölvuskráir nafn, kennitölu og síma viðkomandi ásamt nafni fyrirtækis og deild og fyrsta fjarvistadag. Hjúkrunarfræðingur óskar leyfis að fá að spyrja starfsmann um tilefni fjarvsitar og tölvuskráir tilefni fjarvistarinnar. Hjúkrunarfræðingurinn mun síðan í samráði við starfsmanninn ákveða hvort og hvenær hann lætur vita af sér aftur. Læknir mun tala við starfsmanninn ef þörf þykir eða ef starfsmaður óskar.
[...]
8. Undirstrikað er að í samskiptum starfsmanna og verktaka felst ekki læknismeðferð í veikindum þeirra heldur almennar ráðleggingar og hvatning um að hafa samband við heimilislækni, annan lækni eða faghópa ef þurfa þykir. ...
[...]
11. Verktaki kynnir þjónustu sína á kynningarfundum þar sem því verður við komið fyrir stjórnendum og starfsmönnum.
[...]
19. Gagnasafn það, sem til verður við áðurlýsta upplýsingaöflun er eign verktaka utan trúnaðarupplýsinga, sem starfsmaður kann að gefa og getur fengið eytt, ef hann óskar þess."
Með bréfi Persónuverndar, dags. 25. febrúar 2008, var kvartanda gefinn kostur á að tjá sig um framangreint. Engar athugasemdir bárust.
III.
Forsendur og niðurstaða
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, sbr. 1. tölul. 2. gr. laganna. Gerður er greinarmunur á almennum upplýsingum og þeim sem viðkvæmar teljast. Samkvæmt c lið 8. tölul. 2. gr. laganna teljast upplýsingar um heilsuhagi til viðkvæmra persónuupplýsinga. Vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr.
Af framangreindu er ljóst að efni máls þessa, skráning upplýsinga um fjarvistir einstaklings frá vinnu vegna veikinda og eðli þeirra veikinda, er „vinnsla persónuupplýsinga" í skilningi laga nr. 77/2000. Fellur úrlausn máls þessa þar með undir valdsvið Persónuverndar.
1.
Lögmæti vinnslunnar
Öll vinnsla persónuupplýsinga þarf að eiga sér stoð í einhverju af skilyrðum 1. mgr. 8. gr. og eftir atvikum 1. mgr. 9. gr. laga nr. 77/2000. Vinnsla almennra persónuupplýsinga þarf aðeins að eiga sér stoð í einhverju af skilyrðum 1. mgr. 8. gr. en vinnsla viðkvæmra persónuupplýsinga þarf að auki að eiga sér stoð í einhverju af skilyrðum 1. mgr. 9. gr. laganna. Heilsufarsupplýsingar teljast til viðkvæmra persónuupplýsinga, sbr. c-lið 8. tölul. 1. mgr. 2. gr. laga nr. 77/2000. Þarf vinnsla þeirra þar af leiðandi að eiga sér stoð í einhverju af heimildarákvæðum 1. mgr. 9. gr. laganna. Eigi vinnsla sér ekki stoð í nokkru þeirra eru þegar af þeirri ástæðu eigi efni til að meta hvort uppfyllt sé eitthvert af skilyrðum 1. mgr. 8. gr.
1.1.
Heimildarákvæði 3. tl. 1. mgr. 9. gr.
Aðkoma vinnsluaðila
Af hálfu ábyrgðaraðila hefur verið vísað til heimilda er leiði af vinnuréttarsambandi ábyrgðaraðila, Grundar, og stúlkunnar, en í bréfi lögmanns Grundar, dags. 8. janúar 2008, segir m.a.
„Umbj. minn vill byrja á því að svara síðustu spurningunni. Heimildir umbj. míns til að gera kröfu af þessu tagi byggir á vinnusambandi aðila þar sem umbj. minn sem vinnuveitandi hefur heimild til að gera um það kröfu að starfsmenn tilkynni veikindi ef þeir geta ekki mætt til vinnu. það er undir engum kringumstæðum meira íþyngjandi fyrir starfsmenn umbj. míns að tilkynna veikindin til annars fyrirtækis en umbj. mín sjálfs. Í kjarasamningum eru skýrar heimildir fyrir því að yfirmönnum stofnana er heimilt að krefjast læknisvottorðs vegna veikindafjarvista starfsmanna og yfirmanni er heimilt að það vottorð sé gefið út af trúnaðarlækni."
Samkvæmt 3. tl. 1. mgr. 9. gr. laga nr. 77/2000 er vinnsla heimil beri ábyrgðaraðila skylda til hennar samkvæmt samningi aðila vinnumarkaðarins. Af hálfu ábyrgðaraðila hefur ekki verið lagður fram ráðningarsamningur Grundar við stúlkuna því til staðfestingar að milli þeirra hafi verið sérstaklega samið um vinnslu veikindaupplýsinga með þeim hætti sem gert var. Hér ber hins vegar að líta til kjarasamnings Eflingar, stéttarfélags, og Grundar, þ.e. samnings sem gilti fyrir tímabilið 1. mars 2004 til 31. desember 2007. Í 12. kafla hans segir m.a. um rétt starfsmanna vegna veikinda og slysa:
„12.1 Tilkynningar, vottorð og útlagður kostnaður
12.1.1 Ef starfsmaður verður óvinnufær vegna veikinda eða slyss, skal hann þegar tilkynna það yfirmanni sínum sem ákveður hvort læknisvottorðs skuli krafist og hvort það skuli vera frá trúnaðarlækni hlutaðeigandi stofnunar. Krefjast má læknisvottorðs af starfsmanni vegna óvinnufærni hvenær sem forstöðumanni-/yfirmanni stofnunar þykir þörf á.
12.1.2 Ef starfsmaður kemur ekki til starfa vegna veikinda eða slyss í meira en 5 vinnudaga samfleytt, skal hann sanna óvinnufærni sína með læknisvottorði. Ef um er að ræða endurteknar fjarvistir starfsmanns, skal hann sanna óvinnufærni sína með læknisvottorði eftir nánari ákvörðun forstöðumanns-/yfirmanns.
12.1.3 Ef starfsmaður er óvinnufær vegna veikinda eða slyss um langan tíma, skal hann endurnýja læknisvottorð sitt eftir nánari ákvörðun forstöðumanns-/yfirmanns en þó ekki sjaldnar en mánaðarlega. Frá þessu má þó veita undanþágu eftir tillögu trúnaðarlæknis ef hann telur auðsætt að um lengri veikindafjarvist verði að ræða.
12.1.4 Skylt er starfsmanni sem er óvinnufær vegna veikinda eða slyss að gangast undir hverja þá venjulega og viðurkennda læknisrannsókn sem trúnaðarlæknir kann að telja nauðsynlega til þess að skorið verði úr því hvort forföll séu lögmæt, enda sé kostnaður vegna viðtals við lækni og nauðsynlegra læknisrannsókna greidd af vinnuveitanda."
Samkvæmt framanrituðu samningsákvæði er starfsmanni, sem verður óvinnufær vegna veikinda eða slyss, skylt að greina frá því og jafnvel afhenda læknisvottorð. Hefði skráning upplýsinga um fjarvistir vegna veikinda stúlkunnar því eðli málsins samkvæmt verið heimil á grundvelli 3. tölul. 1. mgr. 9. gr. laga nr. 77/2000.
Af framanrituðu leiðir að umrædd vinnsla, þ.e. skráning einvörðungu á upplýsingum um fjarvistir vegna veikinda en ekki eðli veikinda, hefði talist lögmæt að uppfylltum öðrum skilyrðum laganna. Fyrir liggur hins vegar að skráningin fór ekki fram hjá vinnuveitanda heldur hjá fyrirtækinu InPro. Samkvæmt 13. gr. laga nr. 77/2000 er ábyrgðaraðila heimilt að fela vinnsluaðila þá vinnslu sem honum sjálfum er heimil, að uppfylltum tilgreindum skilyrðum. Ákvæðið byggir á reglum 16. gr. og 2.–4. mgr. 17. gr. tilskipunar nr. 95/46/EB sem fela í sér tvo meginþætti, þ.e. (a) að vinnsluaðili megi eingöngu meðhöndla persónuupplýsingar í samræmi við lög og fyrirmæli ábyrgðaraðila og (b) að ábyrgðaraðili skuli gera við vinnsluaðila skriflegan samning - svonefndan vinnslusamning, þar sem afmarka skuli skyldur vinnsluaðila við meðferð umræddra persónuupplýsinga.
Ekki liggur fyrir að gerður hafi verið samningur sem uppfyllir fyrirmæli 13. gr. laga nr. 77/2000, en sá þjónustusamningur sem gerður var á milli Grundar og Heilsuverndar ehf. þann 14. apríl 2005 gerir það ekki. Telst umrædd skráning InPro á heilsufarsupplýsingum um stúlkuna því ekki hafa verið í samræmi við ákvæði laga nr. 77/2000.
1.2.
Heimildarákvæði 1. tl. 1. mgr. 9. gr.
Fræðsluskylda
Fyrir liggur að í vissum tilvikum veitti stúlkan InPro sjálf þær upplýsingar sem þar voru skráðar um veikindi hennar - þ. á m. um eðli veikindanna, en slíkar upplýsingar er starfsmanni ekki skylt að veita samkvæmt framanrituðum kjarasamningi Eflingar og Grundar.
Samkvæmt 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000 er vinnsla viðkvæmra persónuupplýsinga heimil byggi hún á samþykki hins skráða. Vinnsla almennra persónuupplýsinga skv. 1. tölul. 1. mgr. 8. gr. getur verið heimil hafi hinn skráði ótvírætt samþykkt hana, s.s. með athöfn eða eftir atvikum athafnaleysi. Ef um viðkvæmar upplýsingar er hins vegar gerður áskilnaður um yfirlýst samþykki, þ.e. samþykki í skilningi 7. tölul. 2. gr. laganna. Þar er það skilgreint sem: „Sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv."
Ekki liggur fyrir að slíkt samþykki hafi verið gefið, hvorki af stúlkunni sjálfri né þeim sem fór með forsjá hennar.
Í 20. gr. laga nr. 77/2000 er fjallað um fræðsluskyldu þegar persónuupplýsinga er aflað hjá hinum skráða. Kemur fram að þá skuli ábyrgðaraðili veita fræðslu um ýmis atriði, m.a. atriði sem hinn skráði þarf að vita til að geta gætt hagsmuna sinna. Það á t.d. við um það hvort honum sé skylt eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa veiti hann þær ekki. Af hálfu Grundar hefur komið fram að við ráðningu starfsmanna sé þeim veitt tiltekin fræðsla. Hefur Persónuvernd borist afrit kynningarbréfs sem afhent er í þeim tilgangi. Þar er að finna upplýsingar um fyrirtækið InPro og að það taki við veikindatilkynningum. Segir að tilefni veikinda og tímalengd séu tölvuskráð og að starfsmaður geti fengið skráðum upplýsingum eytt, t.d. ef hann hættir hjá fyrirtækinu Ekki liggur fyrir að veitt hafi verið fræðsla um aðra meðferð þess á skráðum upplýsingum eða hvort skylt hafi verið eða ekki að veita upplýsingar um eðli veikinda.
Við túlkun á ákvæði 20. gr. laga nr. 77/2000 ber m.a. að líta til þess hún byggir á 10. gr. tilskipunar Evrópusambandsins nr. 95/46/EB. Er þar sérstaklega tilgreint að við mat á því hvort og að hvaða marki skuli veita hinum skráða fræðslu skuli taka mið „af þeim sérstöku aðstæðum sem ríkja við söfnunina, til að tryggja hinum skráða að vinnslan fari fram á sanngjarnan hátt gagnvart honum". Í ljósi þessa, og að virtri meginreglu 7. gr. laga nr. 77/2000 um sanngirni við vinnslu persónuupplýsinga, er mikilvægt að veitt fræðsla sé skýr, sérstaklega um valfrelsi manns til að veita viðkvæmar persónuupplýsingar um sig. Er mikilvægi góðrar fræðslu mikið við slíkar aðstæður sem hér um ræðir, einkum vegna ungs aldurs stúlkunnar þegar hún réð sig til starfa hjá Grund og í ljósi viðkvæms eðlis umræddra upplýsinga. Að mati Persónuverndar verður ekki talið að Grund hafi veitt stúlkunni nægilega fræðslu til að uppfyllt teljist vera ákvæði 20. gr. laga nr. 77/2000.
Með vísun til alls framangreinds telst umrædd skráning ekki hafa verið heimil á grundvelli 1. tl. 1. mgr. 9. gr. laga nr. 77/2000.
Úrskurðarorð:
Vinnsla upplýsinga um fjarvistir B frá vinnu á elliheimilinu Grund vegna veikinda var ekki í samræmi við ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.