Tölvupóstsending frá grunnskóla til foreldra nemenda

Mál nr. 2019/533

22.11.2019

Úrskurður

Hinn 22. nóvember 2019 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2019/533:

I.

Málsmeðferð

1.

Kvörtun

Hinn 3. mars 2019 barst Persónuvernd kvörtun frá [A] lögmanni, f.h. [B] og [C], vegna tölvupósts sem sendur var [dags.] frá [D], [starfsmanni] [grunnskólans X], til foreldra nemenda í bekk […] við skólann. Tölvupósturinn var sendur út í kjölfar atviks sem átti sér stað [dags.].

2.

Aðild

Í lögum nr. 90/2018 er ekki að finna sérákvæði um aðild og fer því um hana eftir almennum meginreglum stjórnsýsluréttarins. Í því felst að til að eiga aðild að ágreiningsmáli fyrir Persónuvernd verður viðkomandi að hafa beina, einstaklega, verulega og lögvarða hagsmuni umfram aðra af úrlausn málsins. Enn fremur er lögum nr. 90/2018 ætlað að vernda réttindi, sem að meginstefnu til eru persónubundin, enda er persónuvernd og vinnsla persónuupplýsinga einn þáttur í friðhelgi einkalífs. Aðild að ágreiningsmálum er því fyrst og fremst bundin við hinn skráða og ábyrgðaraðila vinnslunnar í skilningi 4. tölul. 2. gr. laganna, en þó er ekki hægt að útiloka aðild annarra.

Kvörtunin sem hér er til meðferðar lýtur að meðferð persónuupplýsinga [B]. Ekki liggur hins vegar fyrir að [C] eigi beinna, einstaklegra, verulegra og lögvarinna hagsmuna að gæta af því að skorið verði úr um hvort vinnslan hafi samrýmst lögum nr. 90/2018. Verður úrlausn málsins því afmörkuð við aðild [B] (hér eftir kvartandi), sbr. framangreint.

3.

Nánar um kvörtun

Kvartandi telur [D] ekki hafa gætt að 7. og 8. gr. þágildandi laga um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000, þegar áðurnefndur tölvupóstur var sendur á alla foreldra nemenda í bekk […]. [D] hafi með því blásið upp ákveðið atvik sem auðveldlega hafi verið hægt að rekja til kvartanda. Tölvupósturinn hafi verið olía á eldinn hvað varðaði einelti [barns] kvartanda en það hafi versnað töluvert eftir að tölvupósturinn var sendur út.

Í fylgigögnum með kvörtuninni er að finna afrit af umræddum tölvupósti [en þar er meðal annars vísað til umrædds atviks, sem varðaði framkomu foreldris í kennslustofunni, og viðbragða barnanna við því. Að lokum er foreldrum bent á að ræða við börn sín vegna atviksins.]

Kvartandi telur að upplýsingarnar sem [D] sendi öðrum foreldrum hafi ekki verið unnar með sanngjörnum og málefnalegum hætti og að meðferð þeirra hafi ekki verið í samræmi við vandaða vinnsluhætti persónuupplýsinga. Þá hafi tölvupósturinn ekki verið viðeigandi og verið umfram það sem telja hafi mátt nauðsynlegt miðað við tilgang vinnslunnar. Í kvörtuninni segir að þrátt fyrir að [D] hafi ekki nafngreint kvartanda í tölvupóstinum hafi verið auðvelt að persónugreina upplýsingarnar og mjög auðveldlega hafi mátt rekja þær til kvartanda, sbr. skilgreiningu 1. tölul. 2. gr. þágildandi laga nr. 77/2000.

Í kvörtuninni er atvikinu lýst með þeim hætti að kvartandi hafi farið í skóla [barns] síns til að sækja eigur [barnsins] í kjölfar þess að [barnið] hafi ekki treyst sér til að vera lengur í skólanum þann daginn vegna viðvarandi og langvarandi eineltis sem hafi fengið að viðgangast í garð [barnsins] innan skólans. Eineltið hafi verið staðfest síðar með afgerandi hætti og hafi [barn] kvartanda neyðst til að skipta um skóla sökum andlegrar vanlíðunar.

Þá segir að kvartandi hafni því alfarið að […] líkt og fram hafi komið í tölvupóstinum. Telur kvartandi [D] í raun hafa dylgjað um persónu hans með mjög alvarlegum hætti. Í kvörtun segir í framhaldinu að tekið skuli fram að kvartandi hafi átt stuttan fund með [D] áður en hann hafi farið í kennslustofuna að sækja eigur [barns] síns, og því hafi vera kvartanda á skólalóðinni og erindið í kennslustofuna verið með vitneskju og samþykki [D]. Í kvörtuninni er gerð athugasemd við það að kvartandi hafi ekki fengið að tjá sig við [D] um atvikið eða koma á framfæri andmælum áður en tölvupósturinn var sendur út.

Að mati kvartanda hafi ekki verið tilefni til að senda tölvupóstinn á foreldra og telur hann að það hafi einungis verið gert til að koma óorði á hann og [maka] kvartanda. Sú hafi enda orðið raunin þar sem eineltið hafi stigmagnast í kjölfar tölvupóstsendingarinnar. Því geti meðferðin sem kvartandi fékk hjá [D] ekki talist málefnaleg og ekki í samræmi við vandaða vinnsluhætti persónuupplýsinga.

Í kvörtun er vísað til þess að aðdragandi að umræddum tölvupósti hafi þýðingu og í því sambandi kemur fram að samskipti kvartanda og skólayfirvalda vegna eineltis [barns] kvartanda hafi lengi verið erfið. Þó hafi samskiptin ávallt verið á milli kvartanda og skólayfirvalda, enda hafi kvartandi talið það nauðsynlegt sökum þess að ef upplýsingar um eineltið bærust til foreldra geranda með óformlegum hætti eða eftir öðrum leiðum gæti það haft í för með sér að eineltið myndi breytast til hins verra. Sú hafi orðið raunin sem hafi endað með því að [barn] kvartanda hafi þurft að skipta um skóla. Þá er tekið fram að það veki sérstaka athygli að [D] hafi séð ástæðu til að senda umræddan póst á alla foreldra í bekknum [dags.], en á þeim tímapunkti hafi skólayfirvöld ekki séð ástæðu til að tilkynna foreldrum með sambærilegum hætti um hið langvarandi áreiti og einelti sem [barn] kvartanda hafi sætt.

4.

Bréfaskipti

Með bréfi, dags. 20. maí 2019, var [grunnskólanum X] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 3. júní 2019. Þar segir að efni umræddrar kvörtunar falli ekki undir þágildandi persónuverndarlög, nr. 77/2000, þar sem þær upplýsingar sem fram komi í tölvupóstinum sem kvartað sé yfir séu ekki þess eðlis að þær teljist til persónugreinanlegra upplýsinga í skilningi laganna. Í bréfinu segir að í tölvupóstinum hafi aðeins verið veittar upplýsingar um að atvik hafi átt sér stað sem varðaði foreldri ótilgreinds nemanda í viðkomandi bekk […]. Ekki hafi verið farið nánar í málavexti en tekið fram að [einhverjum nemendum í bekknum hefði verið brugðið]. [Starfsmenn skólans] hefðu talið rétt að upplýsa um atvikið eftir að borist hefðu símtöl frá foreldrum annarra barna í bekknum vegna þess. Hvergi hefði verið minnst á um hvaða foreldri eða hvaða barn hefði verið að ræða. Foreldrar hefðu svo verið hvattir til að ræða atvikið frekar við börn sín ef þeir teldu þörf á því. [Starfsmenn skólans] hefðu talið rétt að upplýsa um þetta til að tryggja velferð nemenda í viðkomandi bekk.

Í bréfi [grunnskólans X] er vísað til þess að ekki hafi verið unnt að persónugreina einstaklinga á grundvelli þeirra upplýsinga sem fram komu í tölvupóstinum, þrátt fyrir að fáir foreldrar hafi komið í kennslustofuna á þessum tíma. Það væri enda almennt ekki á vitorði annarra foreldra hvenær foreldrar einstakra nemenda kæmu inn í skólastofuna. Í bréfinu segir að þau börn sem hafi orðið vitni að atvikinu hafi að sjálfsögðu getað upplýst foreldra um hvern hafi verið að ræða, en það hafi verið vitneskja sem börnin hafi búið yfir og ómögulegt fyrir skólann að koma í veg fyrir að henni yrði deilt. Óeðlilegt væri að gera þá kröfu til barnanna að þau deildu þeirri vitneskju ekki með foreldrum sínum.

Í bréfinu er einnig vísað í ummæli í kvörtun um að dylgjað hafi verið um persónu kvartanda í tölvupóstinum með því að segja að kvartandi hafi verið æstur og reiður og talað mjög hátt. Vísað er til þess að í tölvupóstinum sé engar slíkar lýsingar að finna, heldur hafi mátt finna nánari lýsingu á atvikinu í atvikaskráningu [grunnskólans X], en henni hafi ekki verið deilt með öðrum foreldrum.

Að lokum er vísað til þess að í ljósi framangreinds verði ekki séð að umrætt atvik gæti falið í sér brot gegn persónuverndarlögum og því sé ómögulegt og óþarft að rökstyðja hvernig umræddur tölvupóstur hafi samrýmst ákvæðum 7. og 8. gr. þágildandi persónuverndarlaga, nr. 77/2000.

Með bréfi, dags. 11. júní 2019, var kvartanda veitt færi á athugasemdum við framangreindar skýringar [grunnskólans X]. Svarað var með bréfi, dags. 19. júní 2019. Í bréfinu segir að kvörtunin sé í heild sinni ítrekuð. Er aftur vísað til þess að auðveldlega hafi mátt persónugreina kvartanda út frá þeim upplýsingum sem komu fram í tölvupóstinum og því veki það furðu að [grunnskólinn X] telji óþarft að rökstyðja hvernig umræddur tölvupóstur hafi samrýmst ákvæðum 7. og 8. gr. þágildandi persónuverndarlaga nr. 77/2000. Þá er í bréfinu vísað til þess að ekki verði séð hvernig umrædd tölvupóstsending samrýmist þeim skilyrðum sem uppfylla þurfi samkvæmt 8. gr. laga nr. 77/2000 til að vinnslan teljist heimil. Því er mótmælt að tölvupóstsendingin hafi verið réttlætanleg til að tryggja velferð nemenda í viðkomandi bekk. Þvert á móti megi fullyrða að sendingin hafi beinlínis skaðað velferð eins nemanda bekkjarins, þ.e. [barns] kvartanda, eins og lýst hafi verið í kvörtun.

II.

Forsendur og niðurstaða

1.

Lagaskil og afmörkun máls

Atvik máls þessa gerðust fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018. Umfjöllun og efni þessa úrskurðar byggjast því á ákvæðum eldri laga, nr. 77/2000, en með gildistöku laga nr. 90/2018 voru ekki gerðar efnislegar breytingar á þeim reglum sem hér reynir á.

Um valdheimildir Persónuverndar frá og með 15. júlí 2018 fer hins vegar eftir núgildandi lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

2.

Gildissvið – Ábyrgðaraðili

Lög nr. 77/2000 giltu um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem voru eða áttu að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar voru skilgreindar í 1. tölulið 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi, og vinnsla sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur vinnslan var handvirk eða rafræn, sbr. 2. tölulið sömu greinar. Í athugasemdum við það ákvæði í frumvarpi að lögum nr. 77/2000 kemur fram að hver sú aðferð, sem nota megi til að gera upplýsingar tiltækar, teljist til vinnslu. Athugun Persónuverndar í máli þessu lýtur að því hvort [grunnskólinn X] hafi með umræddri tölvupóstsendingu miðlað persónuupplýsingum eins og þær voru skilgreindar í þágildandi lögum nr. 77/2000 og, ef svo var, hvort tilskilin heimild hafi verið fyrir þeirri vinnslu samkvæmt 8. og eftir atvikum 9. gr. laganna og hvort vinnslan hafi að öðru leyti verið í samræmi við meginreglur 7. gr. sömu laga. Mál þetta fellur þar af leiðandi undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga hafi samrýmst lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákvað tilgang vinnslu persónuupplýsinga, þann búnað sem notaður var, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst [grunnskólinn X] vera ábyrgðaraðili að umræddri vinnslu.

3.

Persónuupplýsingar

Samkvæmt skilgreiningu í 1. tölul. 2. gr. þágildandi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, eru persónuupplýsingar sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, hins skráða. Í athugasemdum við ákvæðið í frumvarpi því er síðar varð að lögum nr. 77/2000 segir að hugtakið persónuupplýsingar skuli, samkvæmt lögunum, vera víðfeðmt og taka til allra upplýsinga, álita og umsagna, sem beint eða óbeint megi tengja tilteknum einstaklingi. Skilgreiningin byggðist á þágildandi tilskipun Evrópuþingsins og ráðsins 95/46/EB, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, og er sérstaklega vísað til 26. liðs í formála tilskipunarinnar. Þar segir:

„Meginreglur um vernd skulu gilda um allar persónugreindar eða persónugreinanlegar upplýsingar um einstakling. Til að ákveða hvort hægt sé að tengja upplýsingarnar við einstakling skal tekið mið af öllum aðferðum sem eðlilegt er að hugsa sér að ábyrgðaraðili eða annar aðili beiti til að bera kennsl á viðkomandi einstakling.“

Þá er í frumvarpinu einnig vísað til a-liðar 2. gr. tilskipunarinnar sem kvað á um að upplýsingar teldust persónugreinanlegar ef unnt væri að persónugreina þær beint eða óbeint með tilvísun í kennitölu eða einn eða fleiri þætti sem sérkenndu hinn skráða í líkamlegu, lífeðlisfræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti.

Einstaklinga kann að vera hægt að auðkenna á grundvelli breytna sem samanlagðar gefa til kynna hver á í hlut þó svo að engin ein þeirra nægi til þess, ein og sér. Að framangreindu virtu fela þær breytur þá í sér persónuupplýsingar samkvæmt lögum nr. 77/2000 að teknu tilliti til þeirra aðferða sem eðlilegt er að hugsa sér að notaðar séu til þess að bera kennsl á hlutaðeigandi einstakling. Að mati Persónuverndar geta upplýsingar því talist til persónuupplýsinga samkvæmt lögunum ef þeir sem þekkja til hlutaðeigandi geta borið kennsl á hann á grundvelli upplýsinganna, þótt það sé eftir atvikum ekki á allra færi.

Með hliðsjón af framansögðu, og þrátt fyrir að kvartandi hafi ekki verið nafngreindur í umræddum tölvupósti, verður að telja að þær upplýsingar sem þar var að finna hafi verið þess eðlis að viðtakendur tölvupóstsins, sem voru foreldrar annarra nemenda í bekk […], hefðu getað persónugreint kvartanda, til dæmis með einföldu samtali við börn sín. Það er því mat Persónuverndar að með sendingu tölvupóstsins til áðurnefndra viðtakenda hafi átt sér stað miðlun persónuupplýsinga um kvartanda í máli þessu.

4.

Lögmæti vinnslu

Samkvæmt lögum nr. 77/2000 þurfti öll vinnsla persónuupplýsinga að byggjast á einhverri þeirra heimilda sem greindi í 1. mgr. 8. gr. laganna. Kemur þar helst til skoðunar heimild samkvæmt 3. tölul. ákvæðisins, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila.

Í 2. gr. laga nr. 91/2008 um grunnskóla er markmiði og hlutverki grunnskóla lýst. Kemur þar m.a. fram að grunnskóli skuli stuðla að góðu samstarfi heimilis og skóla með það að markmiði að tryggja farsælt skólastarf, almenna velferð og öryggi nemenda. Í 7. gr. sömu laga kemur fram að skólastjóri sé forstöðumaður grunnskóla sem m.a. beri að stuðla að samstarfi allra aðila skólasamfélagsins. Þá er í 18. gr. laganna fjallað um foreldra og meðferð upplýsinga. Meðal þess sem fram kemur í ákvæðinu er að foreldrar eigi rétt á upplýsingum um skólastarfið og skólagöngu barna sinna, sbr. 1. mgr. þess. Í reglugerð nr. 1040/2011, um ábyrgð og skyldur aðila skólasamfélagsins í grunnskólum, er fjallað um réttindi og skyldur aðila skólasamfélagsins í allri starfsemi á vegum skóla, skólabrag, samskipti í skóla, skólareglur og málsmeðferð vegna brota á þeim. Í d-lið 2. gr. reglugerðarinnar kemur meðal annars fram að markmið hennar sé að stuðla að góðu samstarfi og samráði milli foreldra og skóla um nám, hegðun og samskipti nemenda og stuðla að gagnkvæmu trausti allra aðila í skólasamfélaginu. Í 3. gr. kemur meðal annars fram að skólastjórnendum beri að eiga samstarf við foreldra um hegðun, líðan og samskipti barna þeirra.

Líkt og að framan greinir hafa skólastjórnendur almennar heimildir samkvæmt lögum nr. 91/2008 um grunnskóla til að stuðla að góðu samstarfi heimilis og skóla með það að markmiði að tryggja farsælt skólastarf, almenna velferð og öryggi nemenda. Samkvæmt skýringum [grunnskólans X] var umræddur tölvupóstur sendur á aðra foreldra barna í bekk […], þar sem [starfsmenn skólans] töldu rétt að upplýsa um atvikið eftir að borist höfðu símtöl frá foreldrum annarra barna í bekknum og til að tryggja velferð nemenda í viðkomandi bekk.

Með vísan til framangreinds er það því mat Persónuverndar að miðlunin hafi getað stuðst við heimild í 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Öll vinnsla persónuupplýsinga þurfti jafnframt að samrýmast meginreglum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Í því fólst meðal annars að vinnsla skyldi vera sanngjörn, málefnaleg og lögmæt og samrýmast vönduðum vinnsluháttum (1. tölul. 1. mgr. 7. gr.), og að upplýsingar skyldu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt væri miðað við tilgang vinnslu (3. tölul. sömu málsgreinar).

Við mat á því hvort sú aðgerð að senda öllum foreldrum barna í bekk […] tölvupóst með persónugreinanlegum upplýsingum um kvartanda hafi uppfyllt framangreind skilyrði um sanngirni og meðalhóf skiptir meðal annars máli að telja verður, með hliðsjón af fyrrnefndum lögbundnum skyldum ábyrgðaraðila að stuðla að samstarfi við foreldra, að tilefni hafi verið til að senda umræddan tölvupóst í þeim tilgangi að upplýsa foreldra um hegðun og líðan barna þeirra. Þá verður ekki talið að efni tölvupóstsins hafi verið of ítarlegt, en í honum var því ekki lýst með ítarlegum hætti hvað hefði átt sér stað og hvers vegna, heldur var einungis vísað til atviks sem [einhverjum nemendum hafi verið brugðið yfir]. Þá voru foreldrar hvattir til að ræða við börn sín vegna þess. Verður því ekki talið að efni tölvupóstsins hafi verið umfram það sem nauðsynlegt var miðað við áðurnefndan tilgang.

Með vísan til framangreinds er það mat Persónuverndar að sú vinnsla persónuupplýsinga, sem kvörtunin tekur til, hafi ekki farið í bága við ákvæði 7. gr. laga nr. 77/2000, eins og hér háttar til.

Ú r s k u r ð a r o r ð:

Vinnsla [grunnskólans X] á persónuupplýsingum kvartanda samrýmdist ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Í Persónuvernd, 22. nóvember 2019

Helga Þórisdóttir                       Helga Sigríður Þórhallsdóttir