Úrskurður um vinnslu persónuupplýsinga hjá barnaverndarnefnd Hafnarfjarðar

Mál nr. 2017/1729

22.5.2018

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 30. apríl 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/1729:

 

I.
Málsmeðferð

 

1.
Tildrög máls

Þann 20. nóvember 2017 barst Persónuvernd kvörtun frá [X] (hér eftir nefnd kvartandi) yfir vinnslu persónuupplýsinga um hana hjá barnaverndarnefnd Hafnarfjarðar. Í kvörtuninni segir m.a. að kvartandi og barnsfaðir hennar deili forsjá yfir börnum þeirra, en umgengni sé þannig háttað að börnin séu viku í senn hjá hvoru foreldri. Þegar börnin hafi verið hjá barnsföður kvartanda hafi hún verið stöðvuð af lögreglu fyrir akstur undir áhrifum og hafi lögreglan tilkynnt barnaverndarnefnd Hafnarfjarðar um atvikið, þ. á m. um upplýsingar sem kvartandi hafi sjálf ekki fengið að sjá. Einnig segir að barnaverndarnefndin hafi hringt í maka barnsföður hennar og miðlað upplýsingum úr lögregluskýrslunni til hennar, sem hafi í kjölfarið miðlað þeim upplýsingum áfram munnlega til óviðkomandi. Þá segir í kvörtun að kvartandi hafi fengið tölvupóst frá nefndinni sem hún hafi ekki séð fyrr en eftir að hafa heyrt um atvikið frá þriðja aðila.

 

2.
Bréfaskipti

Með bréfi, dags, 20. desember 2017, var barnaverndarnefnd Hafnarfjarðarbæjar boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svar barst með bréfi, dags. 5. janúar 2018. Í svarbréfinu segir m.a. að nefndin byggi vinnslu persónuupplýsinga á 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, en vinnsla persónuupplýsinga sé nauðsynleg vegna lögbundins hlutverks barnaverndarnefndar skv. barnaverndarlögum nr. 80/2002.

Einnig segir að nefndin hafi um nokkurra mánaða skeið haft til umfjöllunar mál tveggja sona kvartanda. Í tilkynningu lögreglu til nefndarinnar þann 22. október 2017 hafi komið fram að kvartandi hafi verið tekin fyrir akstur undir áhrifum og með mikið magn fíkniefna í bílnum og hafi öll efnin verið tiltekin í lögregluskýrslunni. Í kjölfarið hafi ítrekað verið reynt að hafa samband við kvartanda, bæði símleiðis og með tölvupósti, en án árangurs. Starfsmaður nefndarinnar hafi haft samband við föður barnanna símleiðis þann 9. nóvember s.á., en þar sem um sé að ræða sameiginlega forsjá hafi verið skylt að upplýsa hann um efni tilkynningarinnar, sbr. 2. ml. 4. mgr. 21. gr. barnaverndarlaga. Hann sé í sambúð og gera megi ráð fyrir að hann hafi upplýst sambýliskonu sína um málið.

Jafnframt segir að kvartandi hafi sent nefndinni tölvupóst þann 26. nóvember 2017 sem hafi borið með sér að hún hefði fengið upplýsingar um tilkynninguna. Þann 27. s.m. hafi barnaverndarnefndin rætt við kvartanda um efni tilkynningarinnar í síma, auk þess sem haldinn hafi verið fundur með henni þann 11. desember, en við það tækifæri hafi kvartandi lagt fram beiðni um að fá afhent öll gögn málsins. Í bréfi nefndarinnar segir að unnið sé að því að afgreiða þá beiðni kvartanda.

Með bréfi, dags. 16. janúar 2018, ítrekuðu með bréfi, dags. 28. febrúar s.á., var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar nefndarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Ekkert svar barst frá henni.

 

 

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst barnaverndarnefnd Hafnarfjarðar vera ábyrgðaraðili að umræddri vinnslu.

 

2.
Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þá verður vinnsla viðkvæmra persónuupplýsinga, s.s. upplýsinga um hvort maður hafi verið grunaður um refsiverða háttsemi og upplýsinga um áfengis-, lyfja- og vímaefnanotkun, sbr. b. og c-liði 8. tölul. 2. gr. sömu laga, að samrýmast einhverju af viðbótarskilyrðum 9. gr. laganna. Eins og hér háttar til kemur einkum til skoðunar 3. tölul. 1. mgr. 8. gr. laganna, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu, og 2. tölul. 1. mgr. 9. gr. laganna, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil standi til hennar sérstök heimild samkvæmt öðrum lögum.

Í 18. gr. barnaverndarlaga nr. 80/2002 segir að  verði lögregla þess vör að barn búi við óviðunandi uppeldisaðstæður, verði fyrir ofbeldi eða annarri vanvirðandi háttsemi eða heilsu þess eða þroska sé stefnt í alvarlega hættu skuli hún tilkynna barnaverndarnefnd um það. Í 2. málsl. 4. mgr. 21. gr. sömu laga segir að barnaverndarnefnd skuli greina foreldrum frá því að tilkynning hafi borist og um ákvörðun sína í tilefni af henni innan viku frá töku ákvörðunar um hvort ástæða sé til að hefja könnun á málinu, sbr. 1. mgr. sama ákvæðis. Í svörum barnaverndar Hafnarfjarðar segir að nefndin hafi haft samband við barnsföður kvartanda símleiðis. Er það mat Persónuverndar að vinnsla barnaverndarnefndar Hafnarfjarðar á persónuupplýsingum um kvartanda eigi sér stoð í framangreindum ákvæðum barnaverndarlaga nr. 80/2002 og sé heimil á grundvelli 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.). Ekki hefur komið fram að umrædd vinnsla hafi verið andstæð þessari kröfu, né heldur öðrum kröfum laganna.

  

Ú r s k u r ð a r o r ð:

 

Vinnsla persónuupplýsinga um [X] hjá barnaverndarnefnd Hafnarfjarðar samrýmdist ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.