Vinnsla félagsþjónustu á persónuupplýsingum

Mál nr. 2020061965

5.12.2022

Úrskurður

um kvörtun yfir vinnslu á persónuupplýsingum af hálfu félagsþjónustu [F] í máli nr. 2020061965:

I.
Málsmeðferð

Hinn 22. júní 2020 barst Persónuvernd kvörtun frá [L], f.h. [A] (hér eftir kvartandi) yfir miðlun sveitarfélagsins [C] (nú félagsþjónusta [F]) á persónuupplýsingum um hana og börn hennar til föður elsta barns hennar.

Persónuvernd bauð félagsþjónustu [F] að tjá sig um kvörtunina með bréfi, dags. 8. október 2021, og bárust svör stofnunarinnar 26. nóvember s.á. Í ljósi svara sveitarfélagsins var óskað frekari upplýsinga með tölvupósti 2. desember s.á. Bárust svör sveitarfélagsins með bréfi dags. 8. s.m. Með bréfi 13. júní 2022 var kvartanda gefinn kostur á að tjá sig um fram komnar skýringar félagsþjónustu [F] og bárust svör kvartanda með tölvupósti 16. s.m.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

___________________

Ágreiningur er um hvort félagsþjónustu [F] hafi verið heimilt að senda með bréfi, dags. 17. apríl 2020, í ábyrgðarpósti persónuupplýsingar um kvartanda og þrjú barna hennar til föður fjórða og elsta barns hennar sem fór með sameiginlega forsjá þess með kvartanda.

Kvartandi telur að félagsþjónusta [F] hafi brotið á henni með því að senda umrætt bréf sem hafi innihaldið viðkvæmar persónuupplýsingar um hana, þ. á m. upplýsingar um sjálfsvígstilraun og fíknivanda, en í bréfinu komu einnig fram full nöfn allra barna kvartanda ásamt kennitölum þeirra.

Félagsþjónusta [F] telur að vinnslan hafi samrýmst 3. tölul. 9 gr. laga nr. 90/2018. Lagastoð fyrir miðlun umræddra persónuupplýsinga sé að finna í 2. málslið 3. mgr. 21. gr. barnaverndarlaga nr. 80/2002. Samkvæmt ákvæðinu beri barnaverndarþjónustu að tilkynna foreldrum um að tilkynning skv. 1. mgr. 21. gr. laganna hafi borist varðandi barn þeirra. Framangreint ákvæði barnaverndarlaga fjalli ekki um efni tilkynningarinnar, en í handbók um vinnslu barnaverndarmála sé gengið út frá því að foreldrum sé skýrt frá innihaldi tilkynningar. Kvartandi og barnsfaðir hennar hafi deilt forsjá sonar þeirra og því hafi föðurnum, sem málsaðila, verið send umrædd tilkynning í ábyrgðarpósti. Tilkynning um könnun máls hafi verið í samræmi við 14. gr. stjórnsýslulaga nr. 37/1993 og borið með sér um hvaða mál væri að ræða og að hverju athugun stjórnvaldsins beindist. Þá geri upplýsingaréttur 45. gr. laga nr. 80/2002 ráð fyrir að umræddar upplýsingar séu aðgengilegar foreldrum. Miðlun viðkvæmra persónuupplýsinga kvartanda hafi stuðst við 2. og 8. tölul. 1. mgr. 11. gr. laga nr. 90/2018.

Félagsþjónusta [F] telur að miðlun nafna og kennitala annarra barna kvartanda í tilkynningu til föður elsta barnsins hafi ekki verið í samræmi við persónuverndarlög, en um sé að ræða almennar persónuupplýsingar sem fyrrgreindur aðili hafi getað nálgast í gegnum son sinn, sem hálfsystkini barnanna, eða þjóðskrá.

II.
Niðurstaða
1.
Lögmæti vinnslu

Mál þetta lýtur annars vegar að hvort félagsþjónustu [F] hafi verið heimilt að miðla viðkvæmum persónuupplýsingum um kvartanda til barnsföður hennar við þær aðstæður sem uppi voru. Hins vegar lýtur málið að því hvort félagsþjónustu [F] hafi verið heimilt að miðla almennum persónuupplýsingum annarra barna kvartanda til sama aðila. Varðar það því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 og reglugerð (ESB) 2016/679 og þar með valdsvið Persónuverndar. Sveitarfélagið [F] sem fer fyrir félagsþjónustu sveitarfélagsins telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins. Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna teljast heilsufarsupplýsingar til viðkvæmra persónuupplýsinga, þ.m.t. upplýsingar um lyfja-, áfengis- og vímuefnanotkun. Af kvörtun verður ráðið að unnið hafi verið með upplýsingar um heilsufar og fíknivanda kvartanda. Varðar málið samkvæmt þessu vinnslu viðkvæmra persónuupplýsinga um kvartanda. Eins og hér háttar til kemur þá einkum til skoðunar 8. tölul. 1. mgr. 11. gr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundin er þagnarskyldu, sbr. h-lið 2. mgr. 9. gr. reglugerðar (ESB) 2016/679.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Við mat á lögmæti vinnslu samkvæmt framangreindum ákvæðum verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 1. mgr. 21. gr. laga nr. 80/2002 segir meðal annars að þegar barnaverndarþjónusta fær tilkynningu eða berast upplýsingar með öðrum hætti um að líkamlegri eða andlegri heilsu barns eða þroska geti verið hætta búin vegna vanrækslu, vanhæfni eða framferðis foreldra, ofbeldis eða vanvirðandi háttsemi af hendi annarra skuli hún taka afstöðu til þess án tafar, og eigi síðar en innan sjö daga frá því henni barst tilkynning eða upplýsingar, hvort ástæða sé til að hefja könnun á málinu. Þá kemur fram í 3. mgr. sömu greinar laganna að barnaverndarþjónusta skuli tilkynna foreldrum um að tilkynning hafi borist og um ákvörðun sína í tilefni af henni innan viku frá því að ákvörðunin var tekin.

Þá hefur félagsþjónusta [F] vísað til þess að henni hafi borið að tilkynna barnsföður kvartanda um málið í samræmi við 14. gr. stjórnsýslulaga nr. 37/1993, sem í ljósi málsaðildar hans eigi rétt á upplýsingum um málið. Í 14. gr. kemur m.a. fram að aðili máls eigi rétt á að tjá sig um efni þess og að stjórnvald skuli, svo fljótt sem því verður við komið, vekja athygli aðila á því að mál hans sé til meðferðar. Í framangreindu ákvæði er að finna kjarna andmælaréttarins þar sem málsaðila er tryggður réttur til þess að tjá sig um mál áður en ákvörðun er tekin í því enda liggi ekki fyrir í gögnum máls afstaða hans eða augljóslega sé óþarft að hann tjái sig. Þannig getur málsaðili komið athugasemdum sínum á framfæri, bent á misskilning eða ónákvæmni í gögnum máls og jafnframt bent á heimildir sem séu betri grundvöllur að ákvörðun máls.

Framangreind ákvæði kveða ekki berum orðum að því hvert efni tilkynninga til foreldris skuli vera. Hins vegar er að mati Persónuverndar ljóst að slíkar tilkynningar þurfa meðal annars að innihalda nægilegar upplýsingar um það efni sem rannsókn barnaverndarþjónustu tekur til. Vísast í þessu sambandi til álita umboðsmanns Alþingis í málum nr. 2896/1999 og nr. 2954/2000.

Að mati Persónuverndar verður ekki annað ráðið af gögnum málsins en að umrædd tilkynning hafi snert barnaverndarmál hjá félagsþjónustu [F] sem hafi beinlínis varðað fíknivanda kvartanda að einhverju marki. Að því gættu og með hliðsjón af öllu framangreindu er það mat Persónuverndar að sú vinnsla persónuupplýsinga um kvartanda sem hér er til umfjöllunar hafi stuðst við 3. tölul. 9. gr. og 8. tölul. 1. mgr. 11. gr. laga nr. 90/2018, sbr. c-lið 6. gr. og h-lið 2. mgr. 9. gr. reglugerðar (ESB) 2016/679. Þá verður ekki séð að vinnslan hafi verið ósanngjörn, sbr. 1. tölul. 1. mgr. 8. gr. laganna og a-lið 1. mgr. 5. gr. reglugerðarinnar, gengið gegn meðalhófsreglu, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins eða öðrum meginreglum um vinnslu persónuupplýsinga, að teknu tilliti til efnis tilkynningarinnar og athugunar félagsþjónustunnar.

Hvað varðar miðlun félagsþjónustu [F] á nöfnum og kennitölum annarra barna kvartanda til sama aðila, sem ekki fer með forsjá þeirra, liggur fyrir sú afstaða félagsþjónustunnar að hún hafi gengið gegn ákvæðum persónuverndarlaga.

Að mati Persónuverndar stóð engin heimild samkvæmt 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679 til þeirrar vinnslu. Þegar af þeirri ástæðu er það niðurstaða Persónuverndar að vinnslan hafi ekki samrýmst lögunum og reglugerðinni.

Ú r s k u r ð a r o r ð:

Miðlun félagsþjónustu [F] á viðkvæmum persónuupplýsingum um [A] samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Miðlun félagsþjónustu [F] á almennum persónuupplýsingum um önnur börn [A] en [B] til föður hans samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, um heimild fyrir vinnslu persónuupplýsinga.

Persónuvernd, 5. desember 2022

Bjarni Freyr Rúnarsson                          Rebekka Rán Samper