Skráning og vinnsla persónuupplýsinga hjá Kópavogsbæ

Mál nr. 2020010728

27.2.2020

Úrskurður

Hinn 27. febrúar 2020 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010728 (áður 2018091403):

I.

Málsmeðferð

1.

Tildrög máls

Hinn 12. september 2018 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir skráningu og vinnslu persónuupplýsinga um hann og [ættingja hans] hjá Kópavogsbæ í tengslum við greiningarferli [barns] hans og úrræði hjá Kópavogsbæ þar að lútandi. Nánar tiltekið segir að skráðar hafi verið rangar persónuupplýsingar um kvartanda í gögn hjá velferðarsviði og félagsþjónustu Kópavogsbæjar og hluta þeirra miðlað áfram til Tryggingastofnunar ríkisins. Þá er kvartað yfir því að Kópavogsbær hafi synjað beiðni kvartanda um leiðréttingu á fyrrgreindum gögnum en þess í stað boðið honum að skila inn greinargerð með athugasemdum sínum sem tengja skyldi við málsgögn. Fer kvartandi fram á að gögnin sem um ræðir verði leiðrétt og þeim leiðréttingum komið áfram til þeirra sem hafi fengið upphaflegu gögnin.

2.

Bréfaskipti

Með bréfi, dags. 13. mars 2019, var Kópavogsbæ boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 2. apríl 2019. Þar segir að niðurstöður frá Greiningar- og ráðgjafarstöð ríkisins um barn kvartanda og fyrrverandi sambýliskonu hans hafi verið sendar velferðarsviði Kópavogsbæjar, en barnsmóðir kvartanda hafi verið með lögheimili í Kópavogi. Í niðurstöðunum hafi verið mælt með aðstoð og fræðslu til foreldra og tilmælum þar að lútandi beint til félagsþjónustu Kópavogsbæjar. Persónuupplýsingar um kvartanda og hans aðstæður hafi tengst vinnslu í málum [barns] hans sem grundvallist á umsóknum um þjónustu frá móður barnsins. Í bréfinu eru tiltekin þau gögn sem víkja með einhverjum hætti að kvartanda og hans aðstæðum en nánar tiltekið er um að ræða tvær umsagnir með tillögum velferðarsviðs Kópavogsbæjar að umönnunarmati sem sendar voru til Tryggingastofnunar ríkisins vegna umsóknar móður barnsins um umönnunarbætur, umsókn hennar og afgreiðsla á umsókn um stuðningsfjölskyldu, umsókn hennar og afgreiðsla á umsókn um sérfræðiráðgjöf Áttunnar uppeldisráðgjafar og lokaskýrslu þeirrar ráðgjafar.

Þá segir að kvartandi vísi til þess að upplýsingar sem barnsmóðir hans hafi gefið séu ekki réttar eða áreiðanlegar. Í svarbréfinu segir að barnsmóðir kvartanda hafi undirritað yfirlýsingu um að allar upplýsingar sem hún hafi gefið séu réttar og hafi velferðarsvið því mátt ganga út frá því. Þá megi finna samsvörun á milli þeirra upplýsinga sem móðir hafi gefið velferðarsviði og þeirra upplýsinga sem borist hafi frá Greiningar- og ráðgjafarmiðstöð ríkisins eftir viðtal við báða foreldra. Einnig kemur fram í bréfinu að allar umsóknir barnsmóður kvartanda um þjónustu hafi verið samþykktar og hafi meintar rangfærslur eða mistök við skráningu upplýsinga því ekki haft áhrif á hagsmuni umsækjanda eða [barns] hennar og kvartanda. Því hafi afstaða velferðarsviðs verið sú að ekki væri tilefni til þess að leiðrétta eða breyta þeim skjölum sem um ræði en sjálfsagt og eðlilegt sé að athugasemdir kvartanda verði tengdar við málið. Að lokum segir að við vinnslu svarbréfsins til Persónuverndar hafi orðið ljóst að kvartanda hafi ekki verið veittur aðgangur að tveimur fundargerðum vegna misskráningar í skjalavistunarkerfi.

Meðfylgjandi svarbréfinu var bréf persónuverndarfulltrúa Kópavogsbæjar til kvartanda, dags. 30. ágúst 2018, þar sem fram kemur að sveitarfélaginu sé óheimilt samkvæmt lögum nr. 77/2014 um opinber skjalasöfn að eyða gögnum eða breyta þeim. Þá segir að kvartanda sé boðið að senda inn greinargerð um þau atriði sem hann telji að séu ranglega skráð í gögnum bæjarins og að hún verði tengd með dagsettri tilvísun við málsskjölin til leiðréttingar.

Með bréfi, dags. 15. apríl 2019, var kvartanda veitt færi á athugasemdum við framangreindar skýringar Kópavogsbæjar. Svarað var með bréfi, dags. 28. maí 2019. Þar segir að kvartandi hafi óskað eftir þeim gögnum sem fram hafi komið í svarbréfi Kópavogsbæjar, dags. 2. apríl 2019, að honum hefði ekki verið veittur aðgangur að. Þau gögn hafi borist honum 16. maí s.á. Í bréfinu segir að í hinum nýju gögnum komi fram upplýsingar sem séu rangar, ósannreyndar og særandi. Tilgangurinn með skráningu þeirra sé enginn og tengist með engum hætti barni kvartanda, greiningu barnsins né þjónustu vegna greiningarinnar. Í bréfinu rekur kvartandi upplýsingar úr fyrrgreindum gögnum og afstöðu sína til þess sem þar kemur fram. Þær upplýsingar sem kvartandi kvartar yfir að séu ranglega skráðar varða m.a. hvernig umgengni hans við barnið er háttað, atvik tengd sambandsslitum kvartanda og barnsmóður hans, hvernig félagslegum aðstæðum barnsmóður er háttað, ályktanir barnsmóður um heilsufar kvartanda og fleira.

Þykir óþarft að rekja frekar hér þær upplýsingar er fram koma í umræddum gögnum en öll málsgögn hafa verið höfð til hliðsjónar við úrlausn málsins.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili – Afmörkun máls

Þrátt fyrir að skráning þeirra upplýsinga sem um ræðir í þessu máli hafi farið fram í gildistíð eldri laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, barst ábyrgðaraðila beiðni kvartanda um leiðréttingu gagnanna eftir gildistöku núgildandi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Var svar ábyrgðaraðila við beiðni kvartanda jafnframt byggt á ákvæðum þeirra laga. Verður því leyst úr málinu á grundvelli þeirra.

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að skráningu og miðlun persónuupplýsinga um kvartanda hjá velferðarsviði Kópavogsbæjar. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Samkvæmt 2. mgr. 39. gr. laga nr. 90/2018 á skráður einstaklingur rétt á að leggja fram kvörtun hjá Persónuvernd ef hann telur að vinnsla persónuupplýsinga um hann brjóti í bága við lögin eða reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679. Í samræmi við það verður hér einungis fjallað um vinnslu persónuupplýsinga um kvartanda hjá Kópavogsbæ en ekki um [ættingja hans].

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst velferðarsvið Kópavogsbæjar vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu, sbr. 3. tölul. þeirrar greinar, eða sé vinnslan nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds, sbr. 5. tölul. sömu greinar. Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar viðkvæmar, en af gögnum málsins verður ráðið að unnið hafi verið með upplýsingar um heilsuhagi kvartanda. Eins og hér háttar til koma þá einkum til skoðunar 2. tölul. 1. mgr. 11. gr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf og löggjöf um almannatryggingar og félagslega vernd og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða, og 8. tölul. 1. mgr. 11. gr. sem heimilar vinnslu viðkvæmra persónuupplýsinga sé hún nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 1. gr. laga nr. 40/1991 um félagsþjónustu sveitarfélaga segir að markmið félagsþjónustu á vegum sveitarfélaga sé að tryggja fjárhagslegt og félagslegt öryggi og stuðla að velferð íbúa á grundvelli samhjálpar. Skuli það m.a. gert með því að tryggja þroskavænleg uppeldisskilyrði barna og ungmenna. Þá segir í 32. gr. sömu laga að félagsþjónustunni sé heimilt að fela teymi fagfólks samkvæmt lögum um þjónustu við fatlað fólk með langvarandi stuðningsþarfir að annast mat á umönnunarþörf fatlaðra og langveikra barna vegna umönnunargreiðslna samkvæmt lögum um félagslega aðstoð. Jafnframt segir í 56. gr. sömu laga að berist félagsmálanefnd umsókn um aðstoð samkvæmt lögum um félagsþjónustu sveitarfélaga skuli nefndin kanna aðstæður umsækjanda eins fljótt og unnt er og í 57. gr. segir að öflun gagna og upplýsinga skuli unnin í samvinnu við skjólstæðing og leitað eftir samþykki hans þar sem því verði komið við.

Í ljósi framangreinds er það mat Persónuverndar að sú skráning og vinnsla persónuupplýsinga um kvartanda hjá TR, sem kvörtun þessi tekur til, hafi getað stuðst við heimild í 3. tölul. 9. gr., sbr. einnig 2. og 8. tölul. 1. mgr. 11. gr. laga nr. 90/2018.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.) og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingum, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli eytt eða þær leiðréttar án tafar (4. tölul.).

Með vísan til framangreinds verður að ætla velferðarsviði Kópavogsbæjar nokkurt svigrúm til vinnslu og miðlunar á upplýsingum er varða lagaskyldur þess, sbr. 3. tölul. 1. mgr. 9. gr. laga nr. 90/2018. Hins vegar er til þess að líta að framangreind 1. mgr. 8. gr. laga nr. 90/2018 setur þeirri vinnslu viss mörk.

Hvað varðar kröfur um sanngjarna og málefnalega vinnslu og áreiðanleika persónuupplýsinga, samkvæmt 1. og 4. tölul. 8. gr. laga nr. 90/2018, verður að miða við að skráðar upplýsingar gefi sem réttasta mynd af hinum skráða. Af þeim sökum þarf ætíð að sýna sérstaka varúð við skráningu matskenndra upplýsinga og skrá ekki frekari upplýsingar en nauðsynlegar eru miðað við tilgang vinnslunnar.

Samkvæmt 20. gr. laga nr. 90/2018, sbr. 16. og 17. gr. reglugerðar ESB 679/2016 á einstaklingur rétt á því að fá óáreiðanlegar upplýsingar um sig leiðréttar. Að teknu tilliti til tilgangsins með vinnslunni á hann jafnframt rétt á að láta fullgera ófullkomnar persónuupplýsingar, þ.m.t. með því að leggja fram yfirlýsingu til viðbótar. Þá á hann, að uppfylltum vissum skilyrðum, rétt til að ábyrgðaraðili eyði persónuupplýsingum um hann án ótilhlýðilegrar tafar, sbr. 1. mgr. 17. gr. reglugerðarinnar. Í d-lið 3. mgr. 17. gr. reglugerðarinnar kemur fram að ákvæði 1. mgr. gildi ekki að því marki sem vinnsla er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna.

Á stjórnvöldum og sveitarfélögum hvíla auknar skyldur um varðveislu gagna sem þau fá í hendur, á grundvelli laga nr. 77/2014 um opinber skjalasöfn. Samkvæmt 14. gr. laga nr. 77/2014 er afhendingarskyldum aðilum, þar á meðal sveitarfélögum, skylt að afhenda opinberu skjalasafni skjöl sín í samræmi við ákvæði laganna. Þá segir í 24. gr. laganna að afhendingarskyldum aðilum sé óheimilt að ónýta eða farga nokkru skjali í skjalasöfnum sínum nema það sé gert á grundvelli samþykktar þjóðskjalavarðar, reglna Þjóðskjalasafns Íslands skv. 23. gr. eða 2. mgr. 24. gr. laga nr. 77/2014, eða á grundvelli sérstaks lagaákvæðis.

Í ljósi alls framangreinds, og í samræmi við úrskurð Persónuverndar, dags. 23. ágúst 2016, í máli nr. 266/2016, og úrskurð dags. 8. mars 2018 í máli nr. 81/2017, getur Persónuvernd ekki, í ljósi laga nr. 77/2014 um opinber skjalasöfn, mælt fyrir um eyðingu eða breytingu umræddra gagna hjá Kópavogsbæ. Hins vegar ber að líta svo á að þegar eyðing eða breyting gagna á grundvelli ákvæðisins er óheimil beri engu að síður að veita hinum skráða kost á að láta fullgera ófullkomnar persónuupplýsingar með því að leggja fram yfirlýsingu til viðbótar. Þá ber að líta svo á, í ljósi áðurgreindrar kröfu um sanngirni, að þegar um ræðir matskenndar upplýsingar eigi hinn skráði rétt á að fá færðar inn athugasemdir sínar til leiðréttingar, svo sem í bréfi sem varðveitt er með gögnunum.

Fyrir liggur að með bréfi, dags. 30. ágúst 2018, var kvartanda boðið að senda greinargerð til Kópavogsbæjar um þau atriði sem hann teldi ranglega skráð í gögnum bæjarins og hún yrði síðan tengd með dagsettri tilvísun við málsskjölin til leiðréttingar. Verður Kópavogsbær því talinn hafa uppfyllt skyldur sínar samkvæmt 20. gr. laga nr. 90/2018, sbr. 16. gr. reglugerðar ESB 679/2016.

Þá verður ekki talið að vinnslan sem um ræðir hafi farið í bága við ákvæði 1. mgr. 8. gr. laganna. Þó er rétt að árétta að við skráningu matskenndra upplýsinga í málsgögn stjórnvalda er sérstaklega mikilvægt að gæta að reglu 3. tölul. 1. mgr. 8. gr., um að við vinnslu persónuupplýsinga skuli þess gætt að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, ekki síst með hliðsjón af ákvæðum laga nr. 77/2014 um opinber skjalasöfn og þeim takmörkunum sem þau leggja við því að málsgögnum verði eytt eða breytt að skráningu lokinni, svo sem áður var rakið.

Mál þetta hefur tafist vegna mikilla anna hjá Persónuvernd. 

 

Ú r s k u r ð a r o r ð:

Vinnsla Kópavogsbæjar á persónuupplýsingum um [A] í tengslum við umsóknir barnsmóður hans um þjónustu vegna barns þeirra samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 27. febrúar 2020

Helga Þórisdóttir                         Helga Sigríður Þórhallsdóttir