Úrskurður um miðlun mætingareinkunnar nemenda sem var orðinn 20 ára
Úrskurður
Hinn 23. febrúar 2009 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2008/881:
I.
Bréfaskipti
Persónuvernd vísar til kvörtunar H (hér eftir nefndur „kvartandi"), dags. 21. nóvember 2008. Hann er nemandi við Verzlunarskóla Íslands (hér eftir nefndur „VÍ") og kvartar yfir því, eins og 37 aðrir nemendur, að skólinn hafi miðlað upplýsingum um mætingareinkunn hans til foreldra hans. Nánar tiltekið sendi skólinn þeim afrit af bréfi til hans til áminningar um að bæta mætingu. Ella gæti hann átt von á brottrekstri úr skóla.
Af þessu tilefni sendi Persónuvernd VÍ bréf, dags. 5. desember 2008, þar sem óskað var skýringa. Var bent á að miðlun upplýsinga um skólasókn telst til vinnslu persónuupplýsinga sem þarf að uppfylla eitthvert þeirra skilyrða sem talin eru upp í 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
VÍ svaraði með bréfi, dags. 15. desember 2008. Þar segir m.a.:
„Það er rétt sem fram kemur í kvörtun nemenda skólans til Persónuverndar að skólinn sendir afrit af áminningarbréfum nemenda til forráðamanna þeirra. Í skólanum eru nemendur á aldrinum frá 16 til 20 ára, þ.e. bæði nemendur sem eru lögráða og ólögráða. Okkur ber skylda til að upplýsa foreldra ólögráða nemenda ef nemandinn fær áminningu frá skólanum. Framhaldsskólaaldur er mjög viðkvæmur aldur að því leytinu til að brottfall nemenda úr skólum er mikið. Það er skylda okkar að gera allt sem við getum til að koma nemendum okkar til mennta og þroska þá. Því miður er ákveðinn hópur sem misstígur sig og lendir í ýmsu misjöfnu, jafnvel áfengis- og vímuefnaneyslu. Fyrstu einkennin eru oftast þau að nemandinn hættir að rækja námið og mætir illa í skólann. Það eru til ótal dæmi þess úr framhaldsskólum landsins að foreldrar keyra börnin sín í skólann á hverjum morgni en þau mæta síðan ekki í tíma. Nemanda er síðan vísað úr skóla og foreldrar vita ekki af því fyrr en allt er orðið of seint. Við teljum okkur vera að hjálpa nemendum og vernda hagsmuni þeirra sjálfra. Með vísan í lið 4. í 1. mgr. 8. gr. laga nr. 77/2000 sendum við því forráðamönnum lögráða nemenda Verzlunarskólans afrit af áminningarbréfum sem nemendur fá vegna mætinga, það er í þeirra þágu."
Af tilefni vísunar skólans til 4. tölul. 1. mgr. 8. gr. laga nr. 77/2000 fór Persónuvernd þess á leit við skólann, með bréfi, dags. 22. desember 2008, að hann skýrði nánar nauðsyn vinnslunnar. Var spurt hvort áður hefði verið reynt að beita öðrum og vægari úrræðum. Í svarbréfi skólans, dags. 7. janúar 2009, segir m.a.:
„Það voru send út alls 211 bréf. Af þeim voru 52 til ólögráða nemenda og 159 til lögráða.
[...]
Almenn vinnuregla varðandi mætingar nemenda er sú að umsjónarkennari ræðir fyrst við nemendur þegar fer að bera á slæmri mætingu. Ef nemandinn lætur sér ekki segjast þá eru aðrir sem ræða við hann, misjafnt eftir „eðli" málsins. Ef grunur leikur á að nemandinn eigi við einhver vandamál að stríða þá er það gjarnan námsráðgjafi sem talar við viðkomandi, annars er það yfirkennari eða áfangastjóri. Hins vegar getur þetta misfarist vegna þess að sumir nemendur mæta það illa að erfitt er að ná í þá. Það eru sérstaklega eldri (lögráða) nemendur sem eru að mæta illa sem sést meðal annars af því að um 80% þeirra bréfa sem fóru út voru til nemenda í tveimur efstu bekkjardeildum skólans.
Við teljum það mjög brýna hagsmuni nemenda að hvergi sé slakað á aðhaldi í námi á meðan skólagöngu þeirra í Verzlunarskólanum stendur. Brottfall úr skóla er mjög alvarlegt mál að okkar mati og því teljum við eðlilegt að leitað sé allra leið við að sporna gegn því. Mjög mikilvægur þáttur í því er aðhald frá foreldrum og forráðamönnum, enda hefðum við aldrei sent þeim bréfið að öðrum kosti. Við erum hrædd um að ef við upplýsum ekki foreldra/forráðamenn þá verði mun meira um það að nemendum verði vikið úr skóla vegna mætinga. Það yrði mikið bakslag í þeirri vinnu starfsmanna skólans við að halda ákveðnum hópi nemenda í skóla. Við höfum einnig fengið góð viðbrögð frá foreldrum/forráðamönnum sem þakka okkur sérstaklega því þau höfðu þá engan veginn gert sér grein fyrir hver staða barnsins er."
Skýringar skólans voru kynntar kvartanda með bréfi dags. 3. febrúar 2009, og honum boðið að gera efnislegar athugasemdir. Engar athugasemdir bárust.
II.
Álit Persónuverndar
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
2.
Vinnsla almennra persónuupplýsinga telst lögmæt ef hún fullnægir einhverju af skilyrðum 8. gr. laga nr. 77/2000. Á meðal þeirra er að hinn skráði hafi samþykkt vinnsluna, sbr. 1. tölul. 1. mgr., og að vinnsla sé nauðsynleg til að vernda brýna hagsmuni hins skráða, sbr. 4. tölul. 1. mgr. Þá segir í 7. tölul. sömu málsgreinar að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna, m.a. slíkra hagsmuna þeirra sem upplýsingum er miðlað til, nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Í athugasemdum við ákvæðið í greinargerð með því frumvarpi, sem varð að lögum nr. 77/2000, segir að þessi vinnsluheimild eigi ekki við nema metið hafi verið hvort hagsmunir hins skráða af því að vinnslan fari ekki fram vegi þyngra en hagsmunir sem mæla með vinnslunni.
Mál þetta lýtur að vinnslu persónuupplýsinga í skólastofnun þar sem nemendur eru flestir nálægt þeim aldri sem lögræði miðast við, þ.e. 18 ár. Í ljósi þess er eðlilegt, við túlkun umrædds ákvæðis 8. gr. laga nr. 77/2000, að líta sérstaklega til þeirra ákvæða í lögum sem varða réttarstöðu ungs fólks. Samkvæmt 1. mgr. 1. gr. lögræðislaga nr. 71/1997 verður fólk lögráða 18 ára að aldri. Í samræmi við það lýkur þá framfærsluskyldu foreldra. Af löggjöf verður ráðið að engu að síður geti ákveðnar skyldur hvílt á foreldrum gagnvart börnum sínum eftir þetta tímamark. Í samræmi við það kemur fram í 62. gr. barnalaga nr. 76/2003 að sýslumaður geti úrskurðað foreldri til að greiða barni sínu framlag til menntunar eða starfsþjálfunar samkvæmt kröfu þess frá 18 ára aldri og allt til þess er það nær 20 ári aldri. Þegar litið er til þessa ákvæðis má telja ákveðnar skyldur geta hvílt á foreldrum fram að þeim aldri sem geti orðið grundvöllur þess að slíkum upplýsingum, sem hér um ræðir, sé miðlað til þeirra.
Þegar atvik máls þessa urðu var kvartandi orðinn tvítugur. Ekki verður því séð að lagasjónarmið, sem leidd verða af 62. gr. barnalaga, geti haft í för með sér að á foreldrum hans hvíli einhverjar þær skyldur sem kallað geti á miðlun umræddra upplýsinga. Þá verður ekki séð að til sé að dreifa öðrum lagaákvæðum sem geti leitt til slíkrar niðurstöðu. Með vísan til þess telur Persónuvernd framangreint ákvæði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 ekki geta heimilað umrædda vinnslu. Hvað 4. tölul. varðar, sem Verzlunarskóli Íslands hefur sérstaklega vísað til, ber að hafa í huga skýringar í greinargerð með því frumvarpi sem varð að framangreindum lögum. Í athugasemdum greinargerðarinnar við ákvæðið segir m.a.:
„Í 4. tölul. kemur fram að vinnsla persónuupplýsinga geti verið heimil sé hún nauðsynleg til að vernda brýna hagsmuna hins skráða. Um slíkt getur t.d. verið að ræða sé hinn skráði, vegna sjúkdóms, fjarveru eða af öðrum samsvarandi ástæðum, ófær um að veita samþykki sitt. Sama á við sé vinnsla upplýsinga um hinn skráða svo áríðandi að hún geti ekki beðið þann tíma sem það tekur að afla slíks samþykkis."
Af framangreindu verður ráðið að til að vinnsla geti talist heimil með stoð í 4. tölul. 1. mgr. 8. gr. laga nr. 77/2000 verði aðstæður að vera með þeim hætti að örðugt sé að afla samþykkis eða vinnslan það áríðandi að ekki sé unnt að bíða þess að samþykkis verði aflað. Persónuvernd telur aðstæður ekki hafa verið með þeim hætti í umræddu tilviki og getur umrædd vinnsla því ekki átt stoð í 4. tölul. 1. mgr. 8. gr.
Persónuvernd telur slíka vinnslu upplýsinga, sem hér um ræðir, ekki geta stuðst við önnur ákvæði 8. gr. en 1. tölul. 1. mgr. þegar viðkomandi einstaklingur er orðinn eldri en 20 ára. Samkvæmt því hefði orðið að afla samþykkis kvartanda. Þar sem það var ekki gert samrýmdist miðlun upplýsinga um mætingareinkunn hans til foreldra hans ekki lögum nr. 77/2000.
Ú r s k u r ð a r o r ð:
Miðlun Verzlunarskóla Íslands á upplýsingum um mætingareinkunn H til foreldra hans samrýmdist ekki lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.