Úrskurður um miðlun persónuupplýsinga frá grunnskóla

Mál nr. 2015/1687

14.2.2017

Úrskurður

Á fundi stjórnar Persónuverndar þann 26. janúar 2017 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/1687:

I.

Málsmeðferð

1.

Tildrög máls

Þann 17. desember 2015 barst Persónuvernd kvörtun frá [A], f.h. dóttur hans, [B] (hér eftir nefnd kvartandi), yfir miðlun persónuupplýsinga um hana frá [grunnskólanum X] í [sveitarfélaginu Y] til utanaðkomandi aðila. Annars vegar er kvartað yfir að brotinn hafi verið trúnaður gagnvart henni með miðlun upplýsinga um meint einelti í hennar garð til foreldra [...] við skólann. Hins vegar er kvartað yfir miðlun persónuupplýsinga úr vefkerfinu Mentor til mennta- og menningarmálaráðuneytisins. Fer kvartandi fram á að Persónuvernd skoði hvort brotinn hafi verið trúnaður gagnvart henni og foreldrum hennar með söfnun undirskriftalista til stuðnings meintum geranda, [tiltekins kennara í grunnskólanum X], sem fyrir liggur í málinu.

Með bréfi, dags. 23. mars 2016, óskaði Persónuvernd eftir yfirlýsingu frá kvartanda um að faðir hennar hefði umboð til að koma fram fyrir hennar hönd í málinu þar sem hún væri lögráða. Með bréfi, dags. 12. apríl s.á., skilaði  kvartandi framangreindri yfirlýsingu til Persónuverndar. Tilefni kvörtunarinnar má rekja til þess að við lok grunnskólagöngu kvartanda árið [...] hafi vaknað grunsemdir um að hún hafi mátt þola einelti af hálfu [tiltekins kennara]. Málið var á þeim tíma m.a. tekið til skoðunar hjá barnaverndarnefnd og skólanefnd sveitarfélagsins. Í gögnum sveitarfélagsins vegna málsins mátti m.a. finna fyrrnefnda stuðningsyfirlýsingu við [tiltekinn kennara]. Af hálfu kvartanda var talið að í tengslum við stuðningsyfirlýsinguna hefðu umræddir foreldrar verið upplýstir um eineltismál kvartanda og þar með hefði verið brotinn trúnaður gagnvart henni.

2.

Skýringar ábyrgðaraðila

Með bréfi, dags. 6. júlí 2016, var skólastjóra [grunnskólans X] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Sérstaklega var óskað upplýsinga um hvort persónuupplýsingum um kvartanda, og eftir atvikum hvaða upplýsingum, hefði verið miðlað til tiltekinna foreldra í tengslum við undirritun yfirlýsingar um traust til [tiltekins kennara í skólanum]. Einnig óskaði Persónuvernd eftir að upplýst yrði með hvaða hætti slík miðlun hefði farið fram og á grundvelli hvaða heimildar í 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000, um persónuvernd og meðferð persónupplýsinga, miðlunin byggðist.

Lögmaður [sveitarfélagsins Y] svaraði með bréfi, dags. 22. ágúst 2016. Í bréfinu er aðdragandi málsins rakinn, m.a. að skólinn hafi lagt áherslu á að kvartandi næði góðu sambandi við nýja skólafélaga eftir að hafa sætt einelti í fyrri skóla auk þess sem unnið hafi verið að [...]. Þá er greint frá úrræðum sem gripið var til eftir að fram kom að kvartandi og faðir hennar væru ósátt við kennsluna og árangur hennar. Þá segir að kvartandi hafi vísað málinu til [fagaðila innan sveitarfélagsins] í maí [ártal]. Þar sem kvartandi hafi útskrifast úr grunnskólanum í lok þess mánaðar hafi skólinn ekki haft neina aðkomu að rekstri málsins hjá skólaþjónustu sveitarfélagsins.

Um stuðningsyfirlýsingu við [tiltekinn kennara] kvartanda segir í svarbréfinu að við undirbúning skólaársins [ártal] hafi skólastjóri haft samband við foreldra þeirra barna sem yrðu áfram hjá umræddum [kennara]. Þá segir að skólastjóri hafi tekið viðtöl við foreldra fyrrnefndra barna og spurt þá hvort þeir bæru traust til [viðkomandi] og hvort þeir væru sáttir við að hann [kenndi börnum þeirra] næsta skólavetur. Í því sambandi hafi foreldrar ritað undir umrædda yfirlýsingu.

Einnig segir að hluti starfsskyldna skólastjóra sé að tryggja að [kennari] njóti fullnægjandi trausts, bæði nemenda og foreldra þeirra, og kanna hvort foreldrar og börn þeirra beri traust til viðkomandi [kennara], sbr. 2., 7. og 18. gr. laga nr. 91/2008 um grunnskóla, sbr. einnig 2. og 3. gr. reglugerðar nr. 1040/2011 um ábyrgð og skyldur aðila skólasamfélagsins í grunnskólum. Þá segir jafnframt að hugsanlega kunni það að hafa verið misráðið að hafa sent ráðuneytinu umræddan undirskriftalista sem hluta málsgagna í máli kvartanda hjá ráðuneytinu, enda hafi slíkur listi í raun ekki verið hluti þeirra. Þrátt fyrir það er það mat lögmanns sveitarfélagsins að engin miðlun persónuupplýsinga um kvartanda hafi átt sér stað enda beri yfirlýsingin engar persónuupplýsingar með sér um hana. Þannig hafi verið haldinn fullur trúnaður um mál kvartanda, foreldra hennar og aðra þá þjónustu sem kvartanda hafði verið veitt innan skólans. 

Að því er varðar miðlun persónuupplýsinga úr vefumsjónarkerfinu Mentor frá [grunnskólanum X] til mennta- og menningarmálaráðuneytisins segir m.a. að faðir kvartanda hafi vísað málinu til ráðuneytisins í kjölfar þess að [fagaðili innan sveitarfélagsins] vísaði máli kvartanda frá. Þá hafi skólinn sent ráðuneytinu upplýsingar um málið samkvæmt beiðni, m.a. greinargerðir frá sálfræðingi og skólastjóra [grunnskólans X]. Ráðuneytið hafi í kjölfarið sent málið til meðferðar hjá fagráði eineltismála, sem starfar á ábyrgð ráðuneytisins, í samræmi við reglugerð nr. 1040/2011. Fagráðið hafi þá óskað eftir viðbótarupplýsingum frá [grunnskólanum X], þ.e. um hvort mál kvartanda hefði verið unnið sem eineltismál, hvernig eineltið hefði lýst sér ásamt því sem óskað hafi verið eftir nánari upplýsingum um kvartanir foreldra og viðbrögð skólans í hvert sinn. Í símtali hafi verkefnisstjóri fagráðsins greint skólastjóra [grunnskólans X] frá því að fagráðið vildi fá sem allra mestar upplýsingar um málið og helst dagbókarfærslur ef þær væru til. Skólastjórinn hafi orðið við þeirri beiðni fagráðsins og sent skráningar úr dagbókarfærslum fyrir tímabilið [...] til [...]. Í bréfinu er vísað til laga nr. 91/2008 um grunnskóla, en samkvæmt þeim fer ráðherra mennta- og menningarmála með yfirstjórn þeirra málefna sem lögin tilgreina, ásamt því sem ráðuneytið hefur úrskurðarvald í ágreiningsmálum. Einnig er vísað til reglugerðar nr. 1040/2011 um ábyrgð og skyldur aðila skólasamfélagsins í grunnskólum, en í 7. gr. reglugerðarinnar er fjallað um starf grunnskóla gegn einelti og segir í 5. mgr. að foreldrar og skólar geti óskað eftir aðstoð sérstaks fagráðs sem starfar á ábyrgð mennta- og menningarmálaráðuneytisins ef ekki tekst að finna viðunandi lausn innan skóla eða sveitarfélags. Að auki er bent á 6. gr. verklagsreglna um starfsemi fagráðsins, dags. 6. mars 2012, þar sem fram kemur að telji ráðið að ekki liggi fyrir nægilega greinargóðar upplýsingar skuli það leitast við að afla þeirra, annaðhvort með formlegum hætti eða með viðtölum við málsaðila. Þá er vísað til lagaákvæða sem við eiga um þagnarskyldu starfsmanna sveitarfélaga, sbr. 2. mgr. 57. gr. laga nr. 138/2011, sbr. einnig 12. gr. laga nr. 91/2008.

Að mati lögmanns sveitarfélagsins byggðist umrædd miðlun persónuupplýsinga á 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 og 2. tölul. 1. mgr. 9. gr. sömu laga, þar sem hún hafi hafi verið nauðsynleg til að fullnægja lagaskyldu sem hvílir á skólastjóra [grunnskólans X] sem ábyrgðaraðila vinnslunnar. Þá er einnig vísað til 6. og 7. tölul. 1. mgr. 8. gr. sem heimilda fyrir miðluninni.

3.

Frekari bréfaskipti

Með bréfi, dags. 29. ágúst 2016, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar [sveitarfélagsins Y] til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarbréf lögmanns kvartanda, dags. 20. október 2016, barst þann 24. s.m. Í bréfinu eru gerðar alvarlegar athugasemdir við það að umkvörtun kvartanda, vegna meints eineltis af hálfu [kennara], skuli vera komin á forræði og í hendur [sveitarfélagsins Y] í stað þess að skólayfirvöld hafi forræði á málinu. Telur kvartandi að með því sé viðkvæmt trúnaðarmál farið að fá umfjöllun og umtal [víða] með óheppilegum hætti.

Þá segir um stuðningsyfirlýsingu við [tiltekinn kennara] kvartanda að alls óljóst sé að hvers frumkvæði hún hafi verið unnin. Ekkert liggi fyrir um það undir hvaða formerkjum yfirlýsingin var kynnt eða af hverjum en bréfsefnið sé án hauss og engar skýringar með listanum aðrar en að hann sé dagsettur [...]. Þá liggi ekki fyrir minnisblöð eða fundargerðir sem geti varpað ljósi á framkvæmd þessa þáttar málsins. Að mati lögmanns kvartanda hafi skólayfirvöld með vísvitandi hætti tengt foreldra annarra barna í [grunnskólanum X] inn í mál kvartanda. Þá segir að ómögulegt hefði verið að afla undirritunar foreldra öðruvísi en með því að upplýsa þá um tilgang undirritunarinnar og öll atvik málsins.

Um miðlun persónuupplýsinga um kvartanda úr vefumsjónarkerfinu Mentor segir í bréfinu að kvartandi telji það ekki heimilt undir nokkrum kringumstæðum að senda trúnaðarupplýsingar og -færslur um nemanda úr kerfinu til þriðja aðila án samráðs eða samþykkis foreldra viðkomandi. Með miðlun dagbókarfærslna til mennta- og menningarmálaráðuneytisins hafi skólayfirvöld brotið trúnað sem þeim bar að virða gagnvart kvartanda. 

II.

Forsendur og niðurstaða

1.

Gildissvið - Ábyrgðaraðili – Afmörkun máls

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar.

Eins og fyrr greinir er í máli þessu annars vegar kvartað yfir miðlun persónuupplýsinga um kvartanda til foreldra [tiltekinna barna] við skólann og hins vegar yfir miðlun persónuupplýsinga um kvartanda úr vefumsjónarkerfinu Mentor til mennta- og menningarmálaráðuneytisins. Af framangreindu er ljóst að þessi atriði lúta að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar og gildissvið laga nr. 77/2000 eins og það er afmarkað í framangreindum ákvæðum.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Mælt er fyrir um það í 2. mgr. 18. laga nr.  91/2008 um grunnskóla að ráðherra setji reglugerð um miðlun og meðferð upplýsinga um nemendur í grunnskólum og rétt foreldra til aðgangs að upplýsingum um börn sín. Með stoð í þessu ákvæði hefur verið sett reglugerð nr. 897/2009, en samkvæmt 1. mgr. 9. þeirrar reglugerðar ber skólastjóri ábyrgð á meðferð og vörslu upplýsinga og að uppfylltar séu þær kröfur sem gerðar eru til ábyrgðaraðila samkvæmt lögum nr. 77/2000. Eins og hér háttar til og með hliðsjón af þessu ákvæði telur Persónuvernd [grunnskólann X] vera ábyrgðaraðila að umræddri vinnslu persónuupplýsinga.

Fyrir liggur að mál þetta, sem varðar meint einelti gegn kvartanda, hefur verið til skoðunar hjá öðrum aðilum innan stjórnsýslunnar. Það fellur ekki innan valdsviðs Persónuverndar að fjalla um málsmeðferð og afgreiðslu einstakra mála hjá hliðsettum stjórnvöldum. Afmarkast úrlausnarefni Persónuverndar af þeirri ástæðu við framangreinda miðlun persónuupplýsinga um kvartanda til tiltekinna foreldra annars vegar og mennta- og menningarmálaráðuneytisins hins vegar.

2.

Lagaumhverfi

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Má þar nefna að aflað sé samþykkis fyrir vinnslu, sbr. 1. tölul. 1. mgr. þeirrar greinar, vinnsla sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. 1. mgr. eða til að gæta lögmætra hagsmuna, enda vegi grundvallarréttindi og frelsi hins skráða ekki þyngra, sbr. 7. tölul. sömu málsgreinar. Þá verður vinnsla viðkvæmra persónuupplýsinga að auki að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna. Heilsufarsupplýsingar, þ.m.t. upplýsingar um andlega líðan, teljast til viðkvæmra persónuupplýsinga, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000.

Samkvæmt þessu reynir á heimild í 8. og 9. gr. laga nr. 77/2000. Af hálfu kvartanda hefur komið fram að [grunnskólinn X] hafi miðlað upplýsingum um kvartanda og með því brotið trúnað gagnvart henni. Í svarbréfi lögmanns [sveitarfélagsins Y], þar sem skólinn er starfræktur, segir að engum persónuupplýsingum hafi verið miðlað til foreldra annarra barna um kvartanda og að miðlun persónuupplýsinga um hana til mennta- og menningarmálaráðuneytisins hafi verið nauðsynleg á grundvelli 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000, til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Í því sambandi vísar lögmaðurinn til 2., 7. og 18. gr. laga nr. 91/2008 um grunnskóla, sbr. einnig 2. og 3. gr. reglugerðar nr. 1040/2011, um ábyrgð og skyldur aðila skólasamfélagsins í grunnskólum. Þá vísar lögmaðurinn jafnframt til 5. gr. reglugerðar nr. 897/2009.

Í 2. gr. laga nr. 91/2008 er markmiði og hlutverki grunnskóla lýst. Í 7. gr. sömu laga kemur fram að skólastjóri sé forstöðumaður grunnskóla sem m.a. beri ábyrgð á starfi skólans gagnvart sveitarstjórn og stuðli að samstarfi allra aðila skólasamfélagsins. Í 18. gr. laganna er fjallað um foreldra og meðferð upplýsinga. Meðal þess sem fram kemur í ákvæðinu er að foreldrar eiga rétt á upplýsingum um skólastarfið og skólagöngu barna sinna, sbr. 1. mgr. Einnig er foreldrum skylt að veita grunnskóla upplýsingar um barn sitt sem nauðsynlegar eru fyrir skólastarfið og skólagöngu barna sinna. Meðferð upplýsinga er á hendi skólastjóra í samræmi við reglugerð nr. 897/2009.

Í 5. gr. framangreindrar reglugerðar kemur fram að til nauðsynlegra upplýsinga um nemanda teljast m.a. persónuupplýsingar um heilsufar, sérþarfir, líkamlega og andlega getu til náms eða annars skólastarfs sem afla þarf við undirbúning ákvarðana um réttindi og skyldur nemenda samkvæmt lögum um grunnskóla eða til að sveitarstjórn, eða skólanefnd í umboði hennar, geti sinnt skyldum sínum samkvæmt þeim lögum. Þá er tekið fram að persónuupplýsingar geti m.a. verið af kennslufræðilegum, læknisfræðilegum eða sálfræðilegum toga og sérkennslufræðilegar greiningar og sérúrræði fyrir nemanda.

Í reglugerð nr. 1040/2011, um ábyrgð og skyldur aðila skólasamfélagsins í grunnskólum, er fjallað um réttindi og skyldur aðila skólasamfélagsins í allri starfsemi á vegum skóla, skólabrags, samskipta í skóla, skólareglna og málsmeðferðar vegna brota á þeim.  Í d-lið 2. gr. kemur m.a. fram að markmið reglugerðarinnar sé að stuðla að góðu samstarfi og samráði milli foreldra og skóla um nám, hegðun og samskipti nemenda og stuðla að gagnkvæmu trausti allra aðila í skólasamfélaginu. Í 3. gr. kemur m.a. fram að að skólastjórnendum beri að eiga samstarf við foreldra um hegðun, líðan og samskipti barna þeirra, auk þess sem starfsfólki ber að taka afstöðu gegn líkamlegu, andlegu og félagslegu ofbeldi í skólanum og bregðast við tilvikum um slíkt í samræmi við stefnu skólans. Loks segir í 7. gr. reglugerðarinnar að foreldrar eða skólar geti óskað eftir aðstoð sérstaks fagráðs, sem starfar á ábyrgð mennta- og menningarmálaráðuneytis, ef ekki tekst að finna viðunandi lausn innan skóla eða sveitarfélags í tilefni af eineltis.

Í verklagsreglum sem mennta- og menningarmálaráðuneytið hefur sett kemur fram að ef fagráðið telur að ekki liggi fyrir nægilega greinargóðar upplýsingar í málum skuli það leitast við að afla þeirra, annaðhvort með formlegum hætti eða með viðtölum við málsaðila.

Auk framangreinds ber að líta til grunnkrafnanna um gæði gagna og vinnslu sem mælt er fyrir um í 1. mgr. 7. gr. laga nr. 77/2000, en öll vinnsla persónuupplýsinga verður að fullnægja þeim kröfum. Í umræddu ákvæði er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

3.

Niðurstaða

Kvartandi telur að persónuupplýsingum um sig og [A], föður hennar, hafi verið miðlað til foreldra [...] sem einnig áttu börn í [grunnskólanum X] þegar þeir undirrituðu yfirlýsingu til stuðnings [tilteknum kennara]. Af hálfu ábyrgðaraðila hefur þessu verið hafnað. Ætla verður að óvenjulegt sé í skólastarfi að útbúin sé yfirlýsing sem þessi og undirskriftum safnað á hana. Á yfirlýsingunni er hins vegar hvorki að finna persónuupplýsingar sem rekja má til kvartanda né föður hennar og þá hefur ekki verið sýnt fram á aðra rafræna miðlun persónuupplýsinga um þau í tengslum við undirritun yfirlýsingarinnar. Stendur því orð gegn orði um þetta atriði og er Persónuvernd ekki unnt, með þeim úrræðum sem henni eru búin að lögum, að skera úr um það.

Einnig er kvartað yfir því að persónuupplýsingum um kvartanda, nánar til tekið dagbókarfærslum með viðkvæmum persónuupplýsingum um andlega líðan hennar sem fengnar voru í vefumsjónarkerfinu Mentor, hafi verið miðlað til mennta- og menningarmálaráðuneytisins. Mennta- og menningarmálaráðherra fer með yfirstjórn málefna grunnskóla og hefur eftirlit með því að sveitarfélög uppfylli þær skyldur sem lög um grunnskóla, reglugerðir og reglur settar samkvæmt þeim mæla fyrir um, sbr. 4. gr. laga nr. 91/2008, um grunnskóla. Fram hefur komið í málinu að kvartandi vísaði málinu til mennta- og menningarmálaráðuneytisins með bréfi, dags. [...], í kjölfar þess að félags- og skólaþjónusta sveitarfélagsins vísaði máli kvartanda frá. Málsmeðferð ráðuneytisins og fagráðs eineltismála byggist á fyrrnefndum ákvæðum í lögum nr. 91/2008, um grunnskóla og 7. gr. reglugerðar nr. 1040/2011, um ábyrgð og skyldur aðila skólasamfélagsins í grunnskólum. Í ljósi þeirra lagaaákvæða, sem fyrr eru rakin, er það mat Persónuverndar að miðlun persónuupplýsinga um kvartanda til ráðuneytisins hafi verið í samræmi við 3. og 6. tölul. 8. gr. og 2. tölul. 9. gr. laga nr. 77/2000, en auk þess telur stofnunin ekki hafa komið fram að farið hafi verið gegn kröfum 1. mgr. 7. gr. sömu laga um meðal annars sanngirni, meðalhóf og áreiðanleika við vinnslu persónuupplýsinga.

Þær dagbókarfærslur sem um ræðir í málinu voru skráðar í vefumsjónarkerfið Mentor á árinu [...].  [Vert er að minna á] álit Persónuverndar í máli nr. 2015/1203, frá 22. september 2015, þar sem fjallað var með ítarlegum hætti um þá vinnslu persónuupplýsinga sem fór fram í vefkerfinu Mentor á vegum grunnskóla. Í álitinu kemur m.a. fram að ekki sé málefnalegt eða lögmætt að skrá viðkvæmar persónuupplýsingar í slík kerfi nema að uppfylltum kröfum laga nr. 77/2000, einkum um öryggi persónuupplýsinga og gerð vinnslusamnings.

 Ú r s k u r ð a r o r ð:

Miðlun persónuupplýsinga um [B] frá [grunnskólanum X] til mennta- og menningarmálaráðuneytisins samrýmdist ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.