Söfnun og vinnsla persónuupplýsinga um leikskólabarn af hálfu Reykjavíkurborgar

Mál nr. 2022061098

7.7.2023

Úrskurður

um kvörtun yfir söfnun og vinnslu persónuupplýsinga leikskólabarns af hálfu Reykjavíkurborgar í máli nr. 2022061098:

I.
Málsmeðferð

Hinn 15. júní 2022 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir söfnun og vinnslu upplýsinga um barn hans á leikskóla Reykjavíkurborgar án samþykkis hans eða vitneskju.

Nánar tiltekið er kvartað yfir söfnun persónuupplýsinga um barnið og gerð gátlista með 32 atriðum varðandi sjálfsmynd og félagsfærni þess fyrir hegðunarmat. Einnig er kvartað yfir því að vinnslan hafi farið fram án samþykkis, fræðslu eða vitundar forsjáraðila barnsins.

Persónuvernd bauð Reykjavíkurborg að tjá sig um kvörtunina með bréfi, dags. 27. febrúar 2023, og bárust svör sveitarfélagsins 5. apríl s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Reykjavíkurborgar með bréfi, dags. 11. s.m., og bárust þær með tölvupósti 28. s.m. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Ágreiningur er um hvort Reykjavíkurborg hafi verið heimilt, án samþykkis eða vitundar kvartanda, að safna og vinna með persónuupplýsingar barns hans er vörðuðu hegðun, sjálfsmynd og félagsfærni þess í gátlista við gerð hegðunarmats.

Kvartandi, sem er annar forsjáraðila barnsins, telur að söfnun persónuupplýsinga barnsins og gerð hegðunarmatsins hafi verið umfram það sem leikskólum er skylt að framkvæma lögum samkvæmt og ekki nauðsynleg til að veita barni hans lögbundna þjónustu. Forsjáraðilar barnsins hafi hvorki samþykkt vinnsluna né verið upplýstir um hana áður en hún fór fram. Þeir hafi fyrst fengið vitneskju um vinnsluna á foreldrafundi tveimur árum eftir að hún hófst. Á fundinum hafi deildarstjóri upplýst þau um að fyrrgreind skráning persónuupplýsinga um barn þeirra hefði farið fram frá upphafi skólagöngu barnsins. Kvartandi byggir einnig á upplýsingum í svari lögfræðings Reykjavíkurborgar sem honum barst þegar hann óskaði skýringa borgarinnar vegna málsins. Þar hefði m.a. komið fram að umrætt hegðunarmat félli utan þess mats sem leikskólum væri skylt að framkvæma lögum samkvæmt. Auk þess væri gert ráð fyrir að matslistinn væri unninn með samþykki foreldra sem leikskólar aflaði áður en matið færi fram. Foreldrar fylltu út samþykkiseyðublöð fyrir vinnslunni þegar börn þeirra byrjuðu í leikskóla. Hefðu foreldrar ekki veitt samþykki sitt fyrir slíkri upplýsingasöfnun ætti hegðunarmat ekki að fara fram nema samþykkis væri aflað sérstaklega.

Reykjavíkurborg byggir á að hegðunarmatið, sem framkvæmt hafi verið af deildarstjóra að beiðni leikskólastjóra, hafi falið í sér vinnslu sem fram hafi farið á grundvelli heimilda skólans til að vinna persónuupplýsingar leikskólabarna að því marki sem nauðsynlegt sé til að veita þeim lögbundna þjónustu. Gátlistinn hafi verið unninn af fagaðila og byggst á viðurkenndum fræðum auk þess sem gætt hafi verið að því að persónuupplýsingarnar sem aflað var væru nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt væri miðað við tilgang vinnslunnar. Samkvæmt lögum nr. 90/2008 hafi leikskólar umtalsvert svigrúm til að ákvarða hverju sinni hvers konar upplýsingar sé nauðsynlegt vinna með í þágu þeirrar lögbundnu þjónustu sem þeim sé skylt að veita. Umrætt hegðunarmat hafi það skýra hlutverk að styrkja sjálfsmynd og félagsfærni barna í samvinnu við foreldra og hafi gátlistinn verið notaður til hliðsjónar á foreldrafundi, í þeim tilgangi að ræða við foreldra um stöðu barnsins. Þá kemur fram í svörum Reykjavíkurborgar að foreldrar leikskólabarna skuli hafa náið samráð við starfsfólk leikskóla og fylgjast með skólagöngu barna sinna og veita þær upplýsingar sem kunna að skipta máli fyrir skólastarfið og velferð barnanna. Foreldrar skuli jafnframt eiga rétt á upplýsingum um skólastarfið og stöðu barna sinna. Einnig skuli leikskólastjóri, samkvæmt lögum nr. 90/2008 um leikskóla, stuðla að samstarfi milli foreldra og starfsfólks leikskóla með velferð barna að markmiði. Til að uppfylla framangreinda skyldu séu reglulega haldnir fundir með foreldrum barnanna.

Samkvæmt upplýsingum skóla- og frístundasviðs hafi kvartanda verið gert kunnugt um notkun gátlistans á foreldrafundi með deildarstjóra leikskólans. Listinn hafi síðan verið notaður til að útbúa samræðupunkta um barn hans í foreldrasamtalinu. Að ósk kvartanda hafi honum í kjölfar fundarins verið veittar skriflegar og ítarlegar upplýsingar um gerð, tilgang og markmið listans. Auk framangreinds byggir Reykjavíkurborg á að þegar upplýsinga sé aflað frá öðrum en hinum skráða sé ekki skylt að veita honum fræðslu ef skýrt er mælt fyrir um öflun eða miðlun upplýsinganna í lögum. Því til viðbótar sé ekki nauðsynlegt að upplýsa hina skráðu sérstaklega um skráningu helstu upplýsinga um mál þeirra, svo sem um fundi eða einstaka þætti málsmeðferðar þeirra.

Að lokum kemur fram í svörum borgarinnar að skóla- og frístundasvið hafi veitt umræddum leikskóla þær leiðbeiningar að ef nota ætti gátlistann sem lið í undirbúningi fyrir foreldraviðtöl skyldi tryggja í hvívetna að foreldrar fengju upplýsingar um notkun hans áður en til skráningar persónuupplýsinganna kæmi.

II.
Niðurstaða
1.
Lagaumhverfi

Mál þetta lýtur að vinnslu persónuupplýsinga leikskólabarns. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.Reykjavíkurborg telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Aðila greinir á um hvort vinnsla leikskólans á persónuupplýsingum barns kvartanda, í 32 atriða gátlista sem hafður var til hliðsjónar við gerð hegðunarmats, hafi verið nauðsynleg til að veita barninu lögbundna þjónustu. Einnig er ágreiningur um hvort Reykjavíkurborg hafi uppfyllt fræðsluskyldu sína vegna vinnslunnar.

Öll vinnsla persónuupplýsinga verður að samrýmast einhverju heimildarákvæða 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinnsla er heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. þeirrar greinar og c-lið 1. mgr. 6. gr. reglugerðarinnar, eða vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. sömu lagagreinar og e-lið 1. mgr. 6. gr. reglugerðarinnar. Við mat á því hvort vinnsla persónuupplýsinga getur stuðst við 3. eða 5. tölul. er mikilvægt að hafa í huga að 3. tölul. 9. gr. gerir almennt ráð fyrir að löggjafinn hafi ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram. Þegar byggt er á 5. tölul. er gert ráð fyrir að stjórnvöld hafi ákveðið svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum viðkomandi stjórnvalds með vísan til almannahagsmuna og beitingar opinbers valds.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 30. gr. a laga nr. 90/2008 um leikskóla er sérstaklega fjallað um vinnslu persónuupplýsinga leikskólabarna. Þar segir m.a. að leikskólum, skólaþjónustu og þeim aðilum sem hafi lögbundið hlutverk samkvæmt lögunum sé heimil vinnsla persónuupplýsinga að því marki sem nauðsynlegt er til að veita börnum í leikskóla lögbundna þjónustu. Einnig að leikskólum, skólaþjónustu og þeim aðilum sem hafi lögbundið hlutverk samkvæmt lögunum sé heimilt að afla og miðla persónuupplýsingum frá og til stofnana og fagaðila sem veita börnum lögbundna þjónustu, þ.m.t. ráðgjafar- og greiningarstöðvar, félagsþjónustu sveitarfélaga, grunnskóla, frístundaheimila, stofnana og fagaðila sem tilgreindir séu í reglugerð sem ráðherra setji, enda sé slík miðlun nauðsynleg til þess að þeir aðilar geti gegnt hlutverkum sínum. Í reglugerðinni skuli koma fram nánari skilyrði um vinnsluna, svo sem hvaða persónuupplýsingar heimilt sé að vinna með og í hvaða tilgangi vinnsla þeirra sé heimil, verklag við vinnslu persónuupplýsinga, auk tilgreiningar þeirra fagaðila og stofnana sem sé heimil vinnslan (4. mgr.). Leikskólum, skólaþjónustu og þeim aðilum sem hafi lögbundið hlutverk samkvæmt lögunum beri að upplýsa foreldra og forsjáraðila í skilningi barnalaga um vinnsluna í samræmi við lög um persónuvernd og vinnslu persónuupplýsinga (3. mgr.).

Í greinargerð með frumvarpi að breytingatillögu við lög nr. 90/2008 um leikskóla, sem varð að lögum nr. 89/2021, kemur fram að tilgangurinn með breytingatillögunni sé að tryggja að vinnsla persónuupplýsinga eigi sér fullnægjandi lagastoð í samræmi við lög um persónuvernd og vinnslu persónuupplýsinga. Í greinargerðinni segir að lagt sé til að leikskólum, skólaþjónustu og þeim aðilum sem lögbundið hlutverk hafi verði veitt heimild til að afla og miðla persónuupplýsingum að því marki sem nauðsynlegt sé til að veita börnum lögbundna þjónustu en nánari skilyrði verði sett í reglugerð. Um ólíka sérfræðinga geti verið að ræða, svo sem talmeinafræðinga, sálfræðinga, táknmálstúlka eða aðra fagaðila. Sérfræðingarnir geti verið starfandi hjá félagsþjónustu sveitarfélags, barnavernd, Greiningar- og ráðgjafarstöð ríkisins, heilsugæslu eða öðrum sambærilegum stofnunum. Með ákvæðinu sé stuðlað að samþættri og heildstæðri þjónustu við börn á fyrsta skólastigi til samræmis við lög um leikskóla og önnur lög en börn geti nauðsynlega þurft á ólíkri þjónustu að halda svo þau fái notið sín í samræmi við þroska og aldur. Vinnslan geti falið í sér íhlutun í einkalíf barna og skuli forsjáraðilum í skilningi barnalaga tilkynnt um vinnsluna í samræmi við lög um persónuvernd og vinnslu persónuupplýsinga.

Ráðherra hefur ekki sett reglugerð á grundvelli 30. gr. a laga nr. 90/2008 um leikskóla.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins).

Til að meta hvort skilyrði um gagnsæi hafi verið uppfyllt við vinnslu persónuupplýsinga getur þurft að líta til ákvæða um fræðsluskyldu, sbr. 17. gr. laga nr. 90/2018 og 12.-14. gr. reglugerðar (ESB) 2016/679, og eftir atvikum til ákvæða annarra laga. Fræðsluskylda ábyrgðaraðila, þ.e. skyldan til að veita upplýsingar um vinnslu persónuupplýsinga hins skráða, á við óháð þeim lagagrundvelli sem vinnslan byggist á. Í 1. mgr. 17. gr. laga nr. 90/2018 segir að ábyrgðaraðili skuli gera viðeigandi ráðstafanir til að tryggja gagnsæi upplýsinga og tilkynningar til skráðs einstaklings samkvæmt fyrirmælum 12. gr. reglugerðar (ESB) 2016/679 svo að hann geti neytt upplýsingaréttar síns og réttar til aðgangs. Í 2. mgr. sömu greinar, sbr. einnig 12. og 13. gr. reglugerðarinnar, kemur fram að hinn skráði á rétt til upplýsinga um vinnslu, hvort sem persónuupplýsinga er aflað hjá honum sjálfum eða ekki. Eins og hér háttar til fer um fræðslu vegna vinnslunnar samkvæmt 13. gr. reglugerðarinnar.

2.
Heimild til vinnslu persónuupplýsinga

Sem fyrr segir lýtur kvörtunin að því hvort leikskóla á vegum Reykjavíkurborgar hafi verið heimilt að vinna 32 atriða gátlista við gerð hegðunarmats barns kvartanda án hans samþykkis eða vitundar. Af umfjöllun í kafla II.1. hér að framan er ljóst að löggjafinn hefur veitt leikskólum nokkuð rúmar heimildir til vinnslu persónuupplýsinga leikskólabarna sé hún nauðsynleg til að veita þeim lögbundna þjónustu. Þá var 30. gr. a í lögum nr. 90/2008 sérstaklega sett í þeim tilgangi að tryggja fullnægjandi lagastoð í samræmi við lög um persónuvernd og vinnslu persónuupplýsinga og stuðla að samþættri og heildstæðri þjónustu við börn á fyrsta skólastigi þegar þörf er á aðkomu sérfræðinga sem veita börnum lögbundna þjónustu. Ekki er í lögunum mælt fyrir um söfnun persónuupplýsinga leikskólabarna er lúta að hegðun, sjálfsmynd og félagsfærni þeirra við gerð hegðunarmats. Þá hefur ráðherra ekki sett reglugerð þar sem mælt er fyrir um nánari skilyrði vinnslu persónuupplýsinga leiksólabarna, sbr. 4. mgr. 30. gr. a laga nr. 90/2008 um leikskóla.

Auk framangreinds kemur fram í svörum Reykjavíkurborgar að við upphaf skólagöngu leikskólabarns sé foreldrum þess gert að fylla út eyðublað þar sem þeim gefist meðal annars kostur á að samþykkja vinnslu persónuupplýsinga barns síns til gerðar hegðunarmats með því að haka við reit á eyðublaðinu. Haki foreldrar ekki við reitinn fari vinnslan ekki fram nema samþykkis sé sérstaklega aflað. Einnig kom fram í svörum borgarinnar að tilgangur hegðunarmatsins væri að undirbúa samræðupunkta fyrir foreldrafund.

Í lögum nr. 90/2008 er ekki mælt fyrir um söfnun upplýsinga um hegðun, sjálfsmynd og félagsfærni leikskólabarns og gerð hegðunarmats. Vinnslan fór auk þess ekki fram í þeim tilgangi að miðla persónuupplýsingum barns til sérhæfðs fagaðila. Þá átti vinnslan að vera valkvæð, samkvæmt Reykjavíkurborg, og því undir forsjáraðilum barnsins komið hvort hún færi fram eða ekki. Vinnslan var því ekki nauðsynleg til að veita barni kvartanda lögbundna þjónustu, sbr. 30. gr. a laga nr. 90/2008. Auk þess verður ekki á það fallist með Reykjavíkurborg að gerð slíks hegðunarmats fyrir 3-6 ára leikskólabörn varði almannahagsmuni eða að matið sé liður í stjórnvaldsákvörðun.

Að öllu framangreindu virtu er það mat Persónuverndar að vinnsla leikskólans á persónuupplýsingum barns kvartanda við gerð hegðunarmats hafi ekki getað stuðst við 3. eða 5. tölul. 9. gr. laga nr. 90/2018, sbr. einnig c- og e-liði 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þá verður ekki heldur séð að vinnslan hafi getað stuðst við aðrar vinnsluheimildir samkvæmt lögunum og reglugerðinni. Þegar af þeirri ástæðu telst vinnslan ekki hafa samrýmst lögunum og reglugerðinni.

Í samræmi við þessa niðurstöðu, og með vísan til 6. tölul. 42. gr. laga nr. 90/2018, sbr. g tölul. 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er hér með lagt fyrir Reykjavíkurborg að eyða umræddum gátlista og hegðunarmati er varðar barn kvartanda. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 8. ágúst 2023.

Ú r s k u r ð a r o r ð:

Vinnsla Reykjavíkurborgar á persónuupplýsingum við gerð hegðunarmats fyrir barn [A] samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, um vinnsluheimildir.

Með vísan til 6. tölul. 42. gr. laga nr. 90/2018 er lagt fyrir Reykjavíkurborg að eyða umræddum gátlista og hegðunarmati er varðar barn kvartanda. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 8. ágúst 2023.

Persónuvernd, 7. júlí 2023

Helga Sigríður Þórhallsdóttir             Rebekka Rán Samper