Úrskurður um vinnslu persónuupplýsinga hjá fyrrverandi vinnuveitanda

Mál nr. 2020010563

7.12.2021

Úrskurður

Á fundi stjórnar Persónuverndar hinn 23. nóvember 2021 var kveðinn upp svohljóðandi úrskurður í máli nr. 2020010563:

I.
Málsmeðferð

1.
Tildrög máls

Hinn 9. janúar 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga um hana af hálfu [menntastofnunarinnar X]. Nánar tiltekið var kvartað yfir öflun persónuupplýsinga um kvartanda frá fyrrverandi vinnuveitanda hennar og öflun umsagna nemenda og kennara um starfshætti kvartanda. Einnig var kvartað yfir miðlun persónuupplýsinga um kvartanda til mennta- og menningarmálaráðuneytis annars vegar og umboðsmanns Alþingis hins vegar og loks yfir upplýsingagjöf [stjórnanda X] um kvartanda til tiltekins starfsmanns skólans. 

Með bréfi, dags. 12. nóvember 2020, var [X] boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svaraði skólinn með bréfi, dags. 15. janúar 2021. Með bréfi, dags. 9. mars s.á., var kvartanda gefinn kostur á að koma að athugasemdum við sjónarmið [X]. Bárust athugasemdir kvartanda með tölvupósti þann 29. mars 2021. 

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna sem og fylgiskjala með þeim, þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartanda

Í kvörtun er lýst aðdraganda þeirrar vinnslu persónuupplýsinga sem kvartað er yfir. Meðal annars segir þar að kvartandi hafi starfað hjá [X] um árabil sem [...]kennari, að undanskildum vetrinum 2017-2018 þegar kvartandi hafi kennt við [menntastofnunina Y]. Kvartandi hafi komið til starfa aftur hjá [X] haustið 2018. Í upphafi skólaársins hafi hún leitað til [stjórnanda] skólans vegna eineltis sem hún hefði talið sig hafa orðið fyrir um langt skeið innan [ákveðinnar] deildar skólans. Tveimur mánuðum síðar hafi kvartandi verið boðuð á fund [stjórnanda] og [meðstjórnanda]. Að sögn kvartanda voru þar bornar á hana ósannaðar kvartanir frá nemendum skólans. Þá hafi [stjórnandi] vísað til niðurstaðna kennslukannana fyrri ára sem og til upplýsinga um frammistöðu kvartanda í [Y]. Síðar hafi [stjórnandi] einnig veitt þáverandi [deildarstjóra] [...]deildar viðkvæmar upplýsingar um kvartanda, meðal annars um frammistöðu hennar innan [X]. [Deildarstjórinn] fyrrverandi hafi svo veitt öðrum starfsmönnum skólans sömu upplýsingar um kvartanda og e.t.v. miðlað þeim víðar. 

Fram kemur að kvartandi hafi sent mennta- og menningarmálaráðuneytinu kvörtun vegna fyrrnefnds eineltismáls og meðferðar [X] á því um áramótin 2018-2019. Kvartanda hafi svo verið sagt upp störfum í apríl 2019. Í kjölfarið hafi hún óskað eftir rökstuðningi þeirrar ákvörðunar. Þá hafi hún kvartað yfir uppsögninni til umboðsmanns Alþingis. 

Kvartandi byggir á því að [stjórnandi X] hafi aflað upplýsinga frá [Y] um störf hennar þar án samþykkis hennar eða annarrar heimildar. Kveðst kvartandi hvorki hafa veitt munnlegt né skriflegt samþykki sitt fyrir upplýsingaöfluninni. Þá hafi [stjórnanda X] hvorki verið heimilt að miðla upplýsingum um kvartanda til mennta- og menningarmálaráðuneytis né til umboðsmanns Alþingis, í tengslum við meðferð kvartana hennar hjá síðastnefndum aðilum, enda hafi kvartandi hvorki samþykkt miðlunina né hafi henni verið gert viðvart um hana. Í báðum tilvikum hafi verið um að ræða niðurstöður kennslukannana, umsagnir samstarfsmanna kvartanda hjá [X], upplýsingar um frammistöðu kvartanda hjá [Y] og tölvupóstsamskipti náms- og starfsráðgjafa [X] við [stjórnanda] og þáverandi [deildarstjóra] [...]deildar skólans. Loks telur kvartandi [stjórnanda] ekki hafa haft heimild til að upplýsa [deildarstjórann] fyrrverandi um frammistöðu hennar og önnur atriði, í því hafi falist trúnaðarbrot gagnvart kvartanda.

3.

Sjónarmið [menntastofnunarinnar X]

Í erindi [menntastofnunarinnar X] segir að skólinn sé ríkisstofnun sem falli undir stjórnsýslu ríkisins. Skólinn starfi á grundvelli laga nr. 92/2008 um framhaldsskóla og sé undirstofnun mennta- og menningarmálaráðuneytisins og lúti eftirlits- og yfirstjórnunarheimildum þess á grundvelli laga nr. 115/2011, um Stjórnarráð Íslands. Jafnframt hvíli á skólanum lagaskylda til þess að tryggja starfsmönnum heilbrigt og öruggt starfsumhverfi á grundvelli laga nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, og til þess að grípa til aðgerða til þess að sporna gegn einelti á vinnustað, sbr. ákvæði reglugerðar nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum. Þá sé skólinn bundinn af lögmætisreglu stjórnsýsluréttar og ólögfestum meginreglum stjórnsýsluréttar í starfsemi sinni. 

Þá segir að á fundi með [stjórnanda] [X] í [...] 2018 hafi kvartandi greint frá þeirri upplifun sinni að samstarfsfólk hennar hefði um nokkra hríð lagt hana í einelti og sýnt af sér aðra vanvirðandi framkomu. Á fundinum hafi kvartandi upplýst að sér hefði gengið vel í kennslu og í samskiptum við nemendur í [menntastofnuninni Y]. [Stjórnandi] og kvartandi hafi sammælst um að [stjórnandi] aflaði staðfestingar frá [Y] um störf kvartanda, en ekki hafi verið rituð sérstök fundargerð vegna fundarins. [Stjórnandi] [X] hafi í kjölfarið rætt við [stjórnanda][Y] og fengið munnlegar upplýsingar um störf kvartanda. Að loknum síðari fundi með kvartanda þann [...] 2018 hafi [stjórnandi X] aftur haft samband við [stjórnanda Y] sem hafi þá sent umbeðnar upplýsingar um störf kvartanda hjá [Y] með tölvupósti. Tilgangur [X] með þessari upplýsingaöflun hafi verið að staðfesta fyrrnefnda staðhæfingu kvartanda um störf sín hjá [Y]. Skólinn hafi lagt til grundvallar að fyrir lægi munnlegt samþykki kvartanda fyrir öflun upplýsinga frá [Y], sbr. 1. tölul. 1. mgr. 9. gr. laga nr. 90/2018. [X] telji vinnsluna jafnframt geta stuðst við 5. tölul. sömu lagagreinar enda hafi ríkir almannahagsmunir verið í húfi, þ.m.t. að uppræta óheilbrigt starfsumhverfi í skólanum ef um slíkt væri að ræða. Minnisblað vegna [síðari] fundar þann [...] 2018 fylgdi svari [X] en þar er ekki fjallað sérstaklega um störf kvartanda hjá [Y] eða samskipti við [stjórnanda Y]. Þá kemur fram í svari [X] að kvartanda hafi ekki verið veitt frekari fræðsla en að framan greinir um upplýsingaöflunina. 

Af hálfu [X] er því hafnað að vísað hafi verið til umsagnar um störf kvartanda við [Y] í svörum til mennta- og menningarmálaráðuneytisins eða að tölvupóstur frá [Y] hafi verið látinn fylgja með. Ráðuneytið hafi óskað eftir upplýsingum um hvort kvörtun kvartanda vegna eineltis hefði hlotið afgreiðslu í samræmi við viðbragðsáætlun samkvæmt reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum. Jafnframt hafi verið óskað eftir umsögn [X] um erindið og öðrum upplýsingum sem ekki hefðu komið fram í gögnum málsins. Miðlun persónuupplýsinga um kvartanda til mennta- og menningarmálaráðuneytisins hafi farið fram samkvæmt beiðni ráðuneytisins vegna meðferðar máls sem hafi hafist með kvörtun kvartanda og því byggst á skýrri og ótvíræðri lagaskyldu [X], sbr. 3. tölul. 9. gr. laga nr. 90/2018, meðal annars samkvæmt 14. gr. laga nr. 115/2011, um Stjórnarráð Íslands. Samkvæmt ákvæðinu geti ráðherra krafið stjórnvald sem heyri undir yfirstjórn hans um hverjar þær upplýsingar eða skýringar sem honum er þörf á, takmarki almennar eða sérstakar þagnarskyldureglur ekki slíka upplýsingagjöf, sbr. 3. mgr. lagagreinarinnar. Erindi [X] fylgdu afrit bréfaskipta skólans við ráðuneytið ásamt afritum þeirra skjala sem skólinn afhenti ráðuneytinu. 

Í kjölfar kvörtunar kvartanda til umboðsmanns Alþingis hafi umboðsmaður óskað eftir umsögn [X] vegna kvörtunarinnar. Jafnframt hafi verið óskað eftir öllum gögnum málsins og öðrum gögnum sem vörðuðu ákvarðanir um að segja kvartanda upp störfum auk annarra nánar tiltekinna upplýsinga. Meðal þeirra gagna sem [X] hafi afhent hafi verið afrit niðurstaðna kennslumats um kvartanda frá [...] og upplýsingar frá [Y] um störf kvartanda þar. Umræddar niðurstöður hafi verið meðal þess sem byggt hafi verið á við ákvörðun um uppsögn kvartanda úr starfi hjá [X]. Tekið er fram í erindi [X] að umboðsmaður Alþingis hafi lokið athugun sinni á málinu, en hún hafi ekki leitt í ljós að uppsögn kvartanda hafi byggst á ólögmætum eða ómálefnalegum sjónarmiðum. [X] hafi borið, samkvæmt 7. gr. laga nr. 85/1997, um umboðsmann Alþingis, að veita umboðsmanni allar þær upplýsingar og skýringar sem hann hafi óskað eftir. Beiðni umboðsmanns hafi tekið til allra gagna málsins, þ.m.t. þeirra gagna sem til grundvallar lágu ákvörðun um uppsögn kvartanda. Miðlun persónuupplýsinga um kvartanda til umboðsmanns Alþingis hafi því byggst á lagaskyldu sem hvíldi á skólanum, sbr. 3. tölul. 1. mgr. 9. gr. laga nr. 90/2018 og eftir atvikum 3. tölul. 1. mgr. 11. gr. sömu laga að því er varðar viðkvæmar persónuupplýsingar, þ.e. um veikindaleyfi kvartanda. Erindi [X] fylgdu afrit bréfaskipta skólans við umboðsmann Alþingis ásamt lista yfir þau skjöl sem skólinn afhenti embættinu. 

Í erindi [X] er því hafnað að [stjórnandi] skólans hafi veitt þáverandi [deildarstjóra] [...] upplýsingar um kvartanda. Viðkomandi hafi hins vegar, ásamt öðrum kennurum, verið upplýstur um veikindaleyfi kvartanda meðal annars þar sem nauðsynlegt hafi verið að ganga frá afleysingu vegna kennslu kvartanda til skamms tíma.

II.
Forsendur og niðurstaða

1.
Lagaskil og afmörkun máls

Kvörtun þessi lýtur meðal annars að vinnslu persónuupplýsinga um kvartanda úr kennslukönnun fyrir skólaárið [...], en við gerð könnunarinnar voru í gildi lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þau voru leyst af hólmi með lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sem tóku gildi hinn 15. júlí 2018 og sem lögfestu persónuverndarreglugerðina, (ESB) 2016/679, eins og hún var aðlöguð og tekin upp í EES-samninginn.

Af kvörtuninni verður ekki ráðið að hún lúti að gerð kennslukannana sem slíkra heldur að miðlun þeirra persónuupplýsinga um kvartanda sem niðurstöður þeirra fólu í sér til mennta- og menningarmálaráðuneytisins og til umboðsmanns Alþingis. Þar sem umræddar vinnsluaðgerðir, ásamt öðrum þeim vinnsluaðgerðum sem kvörtunin lýtur að, áttu sér stað eftir gildistöku laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, verður leyst úr málinu á grundvelli þeirra laga.

Með bréfi til kvartanda, dags. 9. mars 2021, skýrði Persónuvernd frá skilningi stofnunarinnar á þeim atriðum sem kvartað væri yfir og sem fallið gætu undir valdsvið hennar. Var þar um að ræða öflun upplýsinga frá [Y], miðlun upplýsinga til mennta- og menningarmálaráðuneytis annars vegar og til umboðsmanns Alþingis hins vegar, og loks upplýsingagjöf [stjórnanda] [X] til fyrrverandi [deildarstjóra] innan skólans. Barst svar kvartanda þann 29. mars s.á. Í svarinu gerði kvartandi athugasemdir við svör [X] í tengslum við þessi fjögur atriði en gerði ekki athugasemdir við afmörkun Persónuverndar á efni kvörtunarinnar. Miðast úrskurður þessi því við framangreinda afmörkun.

2.
Gildissvið – Frávísun að hluta

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. 

Óumdeilt er að [X] hefur varðveitt, notað og miðlað persónuupplýsingum um kvartanda, ýmist bréflega eða með rafrænum hætti. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga. Kemur þá til skoðunar hvort allar þær vinnsluaðgerðir sem kvartað er yfir falli undir valdsvið Persónuverndar.

Samkvæmt 5. mgr. 4. gr. laga nr. 90/2018 gilda lögin og reglugerð (ESB) 2016/679 ekki um vinnslu persónuupplýsinga sem fram fer í tengslum við störf Alþingis og stofnana og rannsóknarnefnda þess. Samkvæmt 1. mgr. 1. gr. laga nr. 86/1997, um umboðsmann Alþingis, kýs Alþingi umboðsmann Alþingis til fjögurra ára. Þá er hlutverk umboðsmanns að hafa í umboði Alþingis eftirlit með stjórnsýslu ríkis og sveitarfélaga á þann hátt sem nánar greinir í lögunum. Af framangreindum lagaákvæðum er ljóst að vinnsla persónuupplýsinga sem fer fram í tengslum við störf umboðsmanns Alþingis fellur utan gildissviðs laga nr. 90/2018, sbr. 5. mgr. 4. gr. þeirra, og þar með utan valdsviðs Persónuverndar. Ljóst er að [X] afhenti umboðsmanni Alþingis persónuupplýsingar um kvartanda að beiðni umboðsmanns og í tengslum við meðferð erindis kvartanda til embættisins. Í ljósi þess að Persónuvernd er ekki bær til þess að úrskurða um lögmæti upplýsingaöflunar af hálfu umboðsmanns Alþingis, sbr. framangreint, er það mat stofnunarinnar að hún sé heldur ekki bær til þess að úrskurða um lögmæti miðlunar persónuupplýsinga sem fram fer á grundvelli lögmætrar beiðni embættisins um gögn og upplýsingar. Þegar af þeirri ástæðu er þeim hluta kvörtunarinnar, er lýtur að miðlun persónuupplýsinga til umboðsmanns Alþingis, vísað frá. 

Að öðru leyti lýtur kvörtunin að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar samkvæmt lögum nr. 90/2018.

3.
Ábyrgðaraðili

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst [X] vera ábyrgðaraðili að umræddum vinnsluaðgerðum, enda almennt litið svo á að ábyrgðaraðili sé hlutaðeigandi stofnun eða fyrirtæki en ekki einstaka starfsmenn, hvort sem um ræðir stjórnendur eða almenna starfsmenn.

4.
Lagaumhverfi

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, eða ef vinnslan er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins. 

Samkvæmt 3. mgr. 6. gr. reglugerðar (ESB) 2016/679 skal mæla fyrir um grundvöll vinnslu, sem um getur í c- og e-lið 1. mgr. ákvæðisins, í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir. Af því leiðir að skýra lagaheimild þarf til vinnslu persónuupplýsinga sem byggir á því að hún sé nauðsynleg vegna lagaskyldu sem hvílir á ábyrgðaraðila eða vegna verks sem nauðsynlegt er í þágu almannahagsmuna eða við beitingu opinbers valds. 

Í ljósi þess að kvartandi byggir einkum á því að vinnsla persónuupplýsinga um hana hefði þurft að byggja á samþykki hennar skal tekið fram að vinnuveitendur geta almennt ekki byggt vinnslu persónuupplýsinga um starfsmenn á samþykki þeirra, sbr. 1. tölul. 9. gr. laga nr. 90/2018 og a-lið 6. gr. reglugerðarinnar, enda sjaldnast um óþvingað samþykki að ræða vegna þess aðstöðumunar sem almennt er álitinn fyrir hendi milli vinnuveitanda og starfsmanna. Þarf vinnsla persónuupplýsinga í slíkum tilvikum því að geta stuðst við aðrar heimildir 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðarinnar.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Koma hér einkum til skoðunar lög nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum og lög nr. 115/2011, um Stjórnarráð Íslands. Verður hlutaðeigandi laga- og reglugerðarákvæða getið hér að neðan eftir því sem við á. 

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins og a-liður reglugerðarákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. lagaákvæðisins og b-liður reglugerðarákvæðisins); og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul. lagaákvæðisins og c-liður reglugerðarákvæðisins).

5.
Niðurstaða

5.1.
Öflun upplýsinga frá [menntastofnuninni Y]

Af gögnum málsins má ráða að upplýsinga um störf kvartanda hjá [Y] hafi í öndverðu verið aflað munnlega, en munnleg miðlun persónuupplýsinga sem slík fellur ekki undir gildissvið laga nr. 90/2018. Hins vegar liggja fyrir síðari tölvupóstsamskipti [stjórnanda X] og [stjórnanda Y] um störf kvartanda í síðarnefnda skólanum. Um slík samskipti fer eftir lögum nr. 90/2018. 

Eins og áður greinir getur vinnsla vinnuveitanda á persónuupplýsingum um starfsmenn almennt ekki byggst á samþykki samkvæmt 1. tölul. 9. gr. laga nr. 90/2018. [X] byggir hins vegar einnig á því að öflun upplýsinga um störf kvartanda hjá [Y] hafi verið mikilvægur liður í rannsókn þess hvort um óheilbrigt starfsumhverfi væri að ræða innan skólans og því hafi hún getað talist nauðsynleg í þágu almannahagsmuna, sbr. 5. tölul. sömu lagagreinar, sbr. e-lið 6. gr. reglugerðarinnar. Hér getur einnig reynt á hvort vinnslan hafi getað talist nauðsynleg við beitingu opinbers valds, sbr. sama tölul., eða vegna lagaskyldu sem hvíli á [X] og þannig stuðst við 3. tölul. lagagreinarinnar. 

Til þess að vinnsla persónuupplýsinga geti talist nauðsynleg í þágu almannahagsmuna þarf hún að þjóna hagsmunum breiðs hóps manna. Þar getur t.d. verið um að ræða vinnslu sem á sér stað í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi, eða vinnslu sem á sér stað í upplýsingakerfi réttarkerfisins og sem ætlað er að veita almenningi upplýsingar um löggjöf, dómaframkvæmd o.s.frv. Að mati Persónuverndar verður sú vinnsla persónuupplýsinga sem hér um ræðir ekki talin hafa haft þýðingu fyrir svo breiðan hóp manna að hún geti talist í þágu almannahagsmuna í skilningi 5. tölul. 9. gr. laga nr. 90/2018 og e-liðar 6. gr. reglugerðarinnar, enda þótt hún kunni að hafa farið fram í því augnamiði að gæta hagsmuna nemenda og kennara við [X]. 

Undir beitingu opinbers valds getur fallið þjónusta þeirra menntastofnana sem talist geta til opinberra aðila eða sem veita slíka þjónustu á grundvelli þjónustusamninga við hið opinbera. Þá fellur taka stjórnvaldsákvarðana og miðlun persónuupplýsinga í tengslum við slíka ákvarðanatöku undir beitingu opinbers valds. Af gögnum málsins verður ekki ráðið að upplýsingaöflun [X] um störf kvartanda hjá [Y] hafi verið liður í undirbúningi töku stjórnvaldsákvörðunar þó að þær upplýsingar sem þaðan fengust hafi síðar orðið hluti þeirra gagna sem nýtt voru við mat á kennurum skólans í aðdraganda uppsagna. Þá verður upplýsingaöflunin ekki talin nauðsynleg skólanum við beitingu opinbers valds sem honum er falið með lögum án skýrari tengsla hennar við þá þjónustu sem [X] er skylt að veita samkvæmt lögum nr. 92/2008, um framhaldsskóla. Í því sambandi skal einnig bent á að um aðgerðir gegn einelti, kynferðislegri áreitni o.fl. gilda sérreglur, sbr. umfjöllun hér að neðan. Í ljósi framangreinds gat öflun upplýsinga frá [Y] ekki stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 6. gr. reglugerðarinnar. Kemur þá til skoðunar hvort vinnslan geti talist hafa verið nauðsynleg vegna lagaskyldu sem hvíli á skólanum. 

Í e-lið 38. gr. laga nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustað, segir að ráðherra setji nánari reglur um hvaða kröfur skuli uppfylltar varðandi skipulag, tilhögun og framkvæmd vinnu, svo sem um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum. Á grundvelli ákvæðisins hefur verið sett reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum. Í III. kafla hennar er kveðið á um skyldur atvinnurekanda, en meðal þeirra er að bregðast við eins fljótt og kostur er þegar honum berst kvörtun eða ábending um einelti, sbr. 1. mgr. 7. gr. reglugerðarinnar. Samkvæmt 4. mgr. sömu greinar skal atvinnurekandi skrá niður allt sem tengist meðferð máls og halda hlutaðeigandi starfsmönnum sem og vinnuverndarfulltrúa vinnustaðarins upplýstum meðan á meðferðinni stendur, meðal annars með því að veita þeim aðgang að öllum upplýsingum og gögnum í málinu, að teknu tilliti til laga um persónuvernd og meðferð persónuupplýsinga. 

Samkvæmt framangreindu er ljóst að á atvinnurekendum hvíla ákveðnar skyldur í tengslum við meðferð kvartana yfir einelti á vinnustað. Að mati Persónuverndar getur nauðsynleg vinnsla persónuupplýsinga við meðferð slíkra kvartana, þ.m.t. öflun upplýsinga frá utanaðkomandi aðilum, því stuðst við 3. tölul. 9. gr. laga nr. 90/2018, að því gefnu að gætt sé að öðrum ákvæðum laganna sem og sérákvæðum um meðferð slíkra mála í reglugerð nr. 1009/2015. Kemur hér einkum til skoðunar 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um sanngirni og gagnsæi, með hliðsjón af fyrrnefndum kröfum 7. gr. reglugerðar nr. 1009/2015, en af ákvæðinu leiðir meðal annars fræðsluskylda ábyrgðaraðila gagnvart skráðum einstaklingi, sem nánar er útfærð í 13.-14. gr. reglugerðar (ESB) 2016/679, sbr. 17. gr. laga nr. 90/2018. 

Eins og áður greinir er ljóst að ekki var haldin fundargerð vegna fundar [stjórnanda] [X] og kvartanda í [...] 2018, en svarbréfi [X] fylgdu minnispunktar vegna [síðari] fundar [...]. Í minnispunktunum er ekki minnst á störf kvartanda hjá [Y] eða öflun upplýsinga um þau. Þá hefur komið fram af hálfu [X] að kvartanda hafi ekki verið veitt sérstök fræðsla um upplýsingaöflun frá [Y] umfram þær upplýsingar sem að sögn skólans voru veittar á fundinum. Þó að ekki hafi þurft samþykki kvartanda fyrir vinnslunni, sbr. það sem greinir hér að framan, verður að telja að upplýsa hefði þurft kvartanda um upplýsingaöflunina svo að hún hefði samrýmst sanngirnis- og gagnsæiskröfu 1. tölul. 8. gr. laga nr. 90/2018, með hliðsjón af fyrrnefndum kröfum 7. gr. reglugerðar nr. 1009/2015, sbr. einnig 14. gr. reglugerðar (ESB) 2016/679. Ekki verður séð að gætt hafi verið að þessum kröfum gagnvart kvartanda í tengslum við samskipti [stjórnanda] [X] við [stjórnanda] [Y]. Í þessu samhengi skal enn fremur bent á að samkvæmt 2. mgr. 8. gr. laga nr. 90/2018, sbr. 2. mgr. 5. gr. reglugerðarinnar, ber ábyrgðaraðili ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt ákvæði 1. mgr. lagagreinarinnar og skal geta sýnt fram á það. Verður [X] því að bera hallann af því að hafa ekki sýnt fram á með fullnægjandi hætti hvernig gætt var að kröfum 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, sbr. einnig 14. gr. reglugerðarinnar.

Í ljósi alls framangreinds er það niðurstaða Persónuverndar að öflun [X] á persónuupplýsingum um kvartanda frá [Y] hafi ekki samrýmst ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, um sanngjarna og gagnsæja vinnslu og fræðsluskyldu, sbr. einnig reglugerð (ESB) 2016/679.

Þar sem umrædd vinnsla er yfirstaðin telur Persónuvernd hins vegar ekki forsendur til þess að stofnunin beini fyrirmælum til [X] á grundvelli 42. gr. laga nr. 90/2018.

5.2.
Miðlun upplýsinga til mennta- og menningarmálaráðuneytis

Kvartandi beindi erindi til mennta- og menningarmálaráðuneytis þar sem óskað var rannsóknar á meintu einelti í hennar garð í samræmi við reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum. Í erindi ráðuneytisins til [X], dags. 6. febrúar 2019, var ekki vísað sérstaklega til lagaákvæða í tengslum við beiðni um umsögn skólans um erindi kvartanda. Af hálfu [X] hefur komið fram að miðlun persónuupplýsinga um kvartanda til ráðuneytisins hafi byggst á skýrri og ótvíræðri lagaskyldu skólans, sbr. 3. tölul. 9. gr. laga nr. 90/2018, meðal annars samkvæmt 14. gr. laga nr. 115/2011, um Stjórnarráð Íslands. Í 1. mgr. síðastnefndrar lagagreinar segir að ráðherra geti krafið stjórnvald, sem heyrir undir yfirstjórn hans, um hverjar þær upplýsingar og skýringar sem honum er þörf á til að sinna yfirstjórnarhlutverki sínu. 

Ákvæði 14. gr. laga nr. 115/2011 hefur að geyma víðtæka heimild ráðherra til að krefjast upplýsinga og skýringa. [X] starfar samkvæmt lögum nr. 92/2008, um framhaldsskóla, og heyrir undir yfirstjórn mennta- og menningarmálaráðherra. Eins og hér háttar til, og með vísan til þess að um var að ræða tiltekið mál sem var til meðferðar hjá ráðuneytinu, hvíldi því lagaskylda á [X] að afhenda ráðherra gögn í samræmi við beiðni þar að lútandi. Umrædd beiðni var almennt orðuð og lá mat á því hvaða gögn væri nauðsynlegt að afhenda því hjá [X]. Að mati Persónuverndar hefur stofnunin ekki forsendur til að endurskoða það mat. Gat vinnslan því stuðst við 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. 

Þau gögn sem [X] afhenti mennta- og menningarmálaráðuneytinu samkvæmt framangreindu voru ýmist gögn sem kvartandi hafði sjálf undir höndum þá þegar, t.a.m. tölvupóstsamskipti kvartanda við [stjórnanda], eða gögn sem til urðu hjá ábyrgðaraðila sjálfum, þ.m.t. tölvupóstsamskipti við aðra starfsmenn skólans. Í fyrra tilvikinu er um að ræða persónuupplýsingar sem kvartandi hafði sjálf frumkvæði að því að veita [X] og sem falla af þeim sökum ekki undir ákvæði 13. gr. reglugerðarinnar, en ákvæðið tekur til fræðslu um vinnslu persónuupplýsinga sem ábyrgðaraðili aflar hjá skráðum einstaklingi. Þá var í síðarnefnda tilvikinu ekki um að ræða gögn sem aflað var frá þriðja aðila í skilningi laga nr. 90/2018, en líkt og fram kemur í kafla II.2. hér að framan er ábyrgðaraðili vinnslu persónuupplýsinga sú stofnun eða fyrirtæki sem um ræðir en ekki einstaka starfsmenn, og teljast aðrir starfsmenn þannig ekki til þriðju aðila í þeim skilningi. Kemur 14. gr. reglugerðarinnar því ekki til skoðunar eins og hér háttar til. Þá telur Persónuvernd miðlun persónuupplýsinga um kvartanda til ráðuneytisins hafa samrýmst 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. reglugerðarinnar, að öðru leyti, enda hófst umrætt mál með erindi kvartanda sjálfrar til ráðuneytisins. Mátti kvartanda því vera ljóst, þ. á m. af bréfi ráðuneytisins til [X], dags. [...], að viðeigandi persónuupplýsingum um hana yrði miðlað til ráðuneytisins vegna málsins. 

Í ljósi framangreinds er það niðurstaða Persónuverndar að miðlun [X] á persónuupplýsingum um kvartanda til mennta- og menningarmálaráðuneytis hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

5.3.
Upplýsingagjöf til starfsmanns [menntastofnunarinnar X]

Kvartandi telur [stjórnanda] [X] hafa veitt þáverandi [deildarstjóra] [...]deildar skólans upplýsingar um kvartanda og frammistöðu hennar í starfi, og að [deildarstjórinn] hafi veitt fleiri starfsmönnum skólans sömu upplýsingar. Af hálfu [X] hefur því verið hafnað að slík upplýsingagjöf hafi átt sér stað. Ekki verður séð að kvörtunin lúti að því að [X] hafi upplýst umrædda aðila um veikindaleyfi kvartanda heldur að veitingu annarra upplýsinga um kvartanda. 

Samkvæmt framansögðu liggur ekki fyrir í gögnum málsins að [X] hafi veitt þáverandi [deildarstjóra] [...]deildar upplýsingar um kvartanda með þeim hætti sem greinir í kvörtun og sem brotið hafi gegn lögum nr. 90/2018, sbr. reglugerð (ESB) 2016/679. Eins og hér háttar til telur Persónuvernd ekki tilefni til að stofnunin beiti frekari valdheimildum, sem henni eru fengnar í lögum nr. 90/2018, til þess að rannsaka það nánar. Í því sambandi skal enn fremur bent á að munnleg miðlun persónuupplýsinga ein og sér fellur almennt utan gildissviðs laga nr. 90/2018.

Ú r s k u r ð a r o r ð:

Öflun [menntastofnunarinnar X] á persónuupplýsingum um [A] frá [menntastofnuninni Y] samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, um sanngjarna og gagnsæja vinnslu og fræðsluskyldu, sbr. reglugerð (ESB) 2016/679.

Miðlun [menntastofnunarinnar X] á persónuupplýsingum um [A] til mennta- og menningarmálaráðuneytis samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Vísað er frá þeim þætti kvörtunarinnar er lýtur að miðlun [menntastofnunarinnar X] á persónuupplýsingum um [A] til umboðsmanns Alþingis.

Ósannað er að [menntastofnunarinnar X] hafi veitt tilteknum starfsmönnum skólans persónuupplýsingar um [A].

Persónuvernd, 23. nóvember 2021

Ólafur Garðarsson

formaður

Björn Geirsson                            Sindri M. Stephensen

Vilhelmína Haraldsdóttir                 Þorvarður Kári Ólafsson