Útdráttur í máli Persónuverndar nr. 2020072069
Kvartað var yfir miðlun persónuupplýsinga um fatlaðan einstakling (hér eftir kvartandi) meðal annars frá Reykjavíkurborg til félagsmálaráðuneytisins án samþykkis eða vitundar kvartanda eða fulltrúa hans. Kvartandi dvaldi í búsetuúrræði á vegum borgarinnar og lutu upplýsingarnar sem miðlað var að atvikum og háttsemi kvartanda þar og var að hluta til um viðkvæmar persónuupplýsingar að ræða.
Í málinu lá fyrir að málefni kvartanda höfðu verið til skoðunar hjá velferðarsviði Reykjavíkurborgar í nokkurn tíma, m.a. sökum vaxandi vanda við dvöl hans í búsetuúrræði borgarinnar.
Í niðurstöðu Persónuverndar er vísað til þess að Reykjavíkurborg hafi veitt kvartanda þjónustu m.a. á grundvelli laga nr. 38/2018 um þjónustu við fatlað fólk með langvarandi stuðningsþarfir, laga nr. 40/1991 um félagsþjónustu sveitarfélaga og þjónustusamninga sem sveitarfélagið hafði gert við félagsmálaráðuneytið. Félags- og vinnumarkaðsráðherra (áður félagsmálaráðherra) fer með yfirstjórn málefna samkvæmt framangreindum lögum, sbr. 1. mgr. 4. gr. laga nr. 38/2018 og 1. mgr. 3. gr. laga nr. 40/1991. Í 2. mgr. 4. gr. laga nr. 38/2018 er mælt fyrir um eftirlit ráðherra með framkvæmd laganna og í 3. mgr. sömu greinar er kveðið á um það markmið eftirlitsins að safna og miðla upplýsingum til að tryggja fötluðum einstaklingum sambærilega þjónustu í ljósi ólíkra þarfa. Þá vísar Persónuvernd til nauðsynjar vegna skyldna sveitarfélagsins gagnvart kvartanda samkvæmt meðal annars 3. og 8. gr. laga nr. 38/2018 um stoðþjónustu svo og fyrrgreindum þjónustusamningum.
Í ljósi framangreinds var það mat Persónuverndar að miðlun Reykjavíkurborgar á persónuupplýsingum kvartanda til ráðuneytisins, hafi getað stuðst við 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, sem mæla fyrir um að vinnsla sé heimil ef hún er nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila.
Með hliðsjón af yfirstjórnunar- og eftirlitsheimildum ráðherra, sbr. 3. mgr. 4. gr. laga nr. 38/2018, taldi Persónuvernd að miðlunin hefði jafnframt fullnægt viðbótarskilyrðum bæði 2. og 7. tölul. 1. mgr. 11. gr. laga nr. 90/2018, sbr. b- og g-lið 2. mgr. 9. gr. reglugerðarinnar, sem kveða annars vegar á um að vinnsla viðkvæmra persónuupplýsinga sé heimil ef hún er nauðsynleg til að ábyrgðaraðili eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt meðal annars löggjöf um félagslega vernd og hins vegar af ástæðum sem varða verulega almannahagsmuni, enda fari vinnslan fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða. Var, um slíkar ráðstafanir, litið til 29. gr. laga nr. 38/2018 sem mælir fyrir um að meðferð persónuupplýsinga, sem unnið er með við framkvæmd laganna, skuli samrýmast persónuverndarlögum og að þess skuli gætt að aðgangur að þeim sé ekki umfram það sem nauðsyn krefur og að öryggi þeirra sé tryggt.
Við mat á nauðsyn umræddrar vinnslu samkvæmt framangreindum vinnsluheimildum og viðbótarskilyrðum, sbr. 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og c-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, vísar Persónuvernd m.a. til þess að mannhelgi einstaklinga beri að virða í lengstu lög. Við framkvæmd verkefna eins og þess sem hér er til umfjöllunar sé því brýnt að stjórnvöld vandi til verka, vegi og meti þá hagsmuni sem eru undir. Í ljósi framangreinds taldi Persónuvernd að umfang persónuupplýsinga kvartanda sem var miðlað hafi rúmast innan skilyrða fyrrgreindra ákvæða um nauðsyn og meðalhóf.
Þá var það niðurstaða Persónuverndar að í ljósi þess að miðlun persónuupplýsinga kvartanda hafi farið fram á grundvelli laga nr. 38/2018 um þjónustu við fatlað fólk með langvarandi stuðningsþarfir, hafi Reykjavíkurborg ekki borið að veita kvartanda fræðslu í samræmi við ákvæði 14. gr. reglugerðarinnar, sbr. c-lið 5. mgr. þeirrar greinar, sbr. og 17. gr. laga nr. 90/2018.
Niðurstaða Persónuverndar var því að miðlun Reykjavíkurborgar á persónuupplýsingum kvartanda til félagsmálaráðuneytisins samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.