Vinnsla og miðlun persónuupplýsinga um leikskólabarn

Mál nr. 2020010647

6.4.2022

Reykjavík, 6. apríl 2022

Úrskurður

Hinn 6. apríl 2022 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010647 (áður 2019071357):

I.
Málsmeðferð
1.
Tildrög máls 

Hinn 1. júlí 2019 barst Persónuvernd kvörtun frá [A] og [B] (hér eftir kvartendur) yfir vinnslu persónuupplýsinga um barn þeirra hjá skóla- og frístundasviði Reykjavíkurborgar, leikskólanum [X] og þjónustumiðstöð [Y]. 

Nánar tiltekið var í fyrsta lagi kvartað yfir lögmæti vinnslu persónuupplýsinga um barn kvartenda hjá leikskólanum [X] og því hversu ítarlegar upplýsingar væri unnið með. Í öðru lagi var kvartað yfir miðlun persónuupplýsinga barnsins frá leikskólanum til þjónustumiðstöðvarinnar [Y]. Í þriðja lagi laut kvörtunin að miðlun persónuupplýsinga um barnið frá leikskólanum, þjónustumiðstöðinni og skóla- og frístundasviði Reykjavíkurborgar til opinbers skjalasafns. Þá var í fjórða lagi kvartað yfir skorti á upplýsingum til kvartenda um vinnslu persónuupplýsinga um barnið hjá leikskólanum og þjónustumiðstöðinni og um fyrirhugaða miðlun persónuupplýsinganna til opinbers skjalasafns.

Kvörtunin var afmörkuð með bréfi Persónuverndar til kvartenda, dags. 22. apríl 2020, og tölvupóstum kvartenda til Persónuverndar 13. maí og 4. september 2020.

Með bréfum, dags. 20. október s.á., var skóla- og frístundasviði Reykjavíkurborgar, leikskólanum [X] og þjónustumiðstöðinni [Y] tilkynnt um framkomna kvörtun og boðið að tjá sig um hana. Svarað var af hálfu skóla- og frístundasviðs Reykjavíkurborgar og leikskólans [X] með bréfum, dags. 20. nóvember s.á. Svarað var af hálfu velferðarsviðs Reykjavíkurborgar, fyrir hönd þjónustumiðstöðvarinnar [Y], með ódagsettu bréfi sem barst Persónuvernd þann 20. s.m. Með símtölum og tölvupóstum þann 12. janúar 2021 óskaði Persónuvernd eftir frekari upplýsingum frá leikskólanum [X], sem svaraði samdægurs með tölvupósti, og þjónustumiðstöðinni [Y], sem svaraði með tölvupóstum 26. s.m. Með bréfi, dags. 29. september s.á. óskaði Persónuvernd eftir enn frekari upplýsingum frá leikskólanum [X] sem svaraði með bréfi, dags. 29. nóvember s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð þessa máls hefur dregist vegna anna hjá Persónuvernd.

2.
Sjónarmið kvartenda

Af máli kvartenda verður ráðið að þau hafi við lok leikskólagöngu barns þeirra óskað eftir upplýsingum frá leikskólanum [X] um hvað gert yrði við fundargerðir, skýrslur sérfræðinga, vinnugögn og önnur gögn tengd barninu sem til hafi orðið við leikskólagöngu þess. Meðal annars hafi verið um að ræða gögn varðandi þroska barnsins sem kvartendur hafi látið leikskólanum í té. Jafnframt hafi verið haldnir fundir varðandi barnið sem kvartendur sátu en á slíkum fundum hafi starfsmenn leikskólans tekið niður óformlega punkta sem ekki hafi verið samþykktir sem fundargerðir af kvartendum. Umræddir punktar hafi að auki verið sendir með tölvupósti til sérkennsluráðgjafa hjá þjónustumiðstöðinni, sem sé hluti af sérkennsluteymi barnsins, en kvartendur hafi verið upplýstir um þá miðlun þó ekki hafi verið leitað eftir samþykki þeirra.

Þegar eftir því hafi verið leitað hafi leikskólastjóri [X] upplýst kvartendur um að öllum gögnum um barnið bæri að skila til Borgarskjalasafns. Kvartendur hafi hins vegar hvorki verið upplýstir um þá skilaskyldu meðan á leikskólagöngu barnsins stóð né veitt samþykki sitt fyrir þeirri miðlun.

Barn kvartenda hafi ýmsar sérþarfir vegna fötlunar. Ýmis gögn verði til um fötluð börn umfram ófötluð, meðal annars um heilsufar, þroska, heimilislíf og félagsleg tengsl. Kvartendur telji að líta beri á allar upplýsingar um fötluð börn sem viðkvæmar persónuupplýsingar í skilningi laga nr. 90/2018. Upplýsa ætti foreldra fatlaðra barna sérstaklega á öllum stigum skólagöngu þeirra um hvaða upplýsingar, sem til verði um þau umfram upplýsingar sem til verði um ófötluð börn, muni verða varðveittar á skjalasöfnum. Þá þurfi jafnframt að gæta meðalhófs við skráningu og varðveislu þeirra upplýsinga sem til verði á skólagöngu fatlaðra barna.

3.
Sjónarmið skóla- og frístundasviðs Reykjavíkurborgar

Í svari skóla- og frístundasviðs Reykjavíkurborgar kemur meðal annars fram að sú vinnsla persónuupplýsinga sem fólgin hafi verið í miðlun persónuupplýsinga um barn kvartenda frá leikskólanum til Borgarskjalasafns, svo og skráning umræddra upplýsinga, hafi alfarið farið fram af hálfu leikskólans [X]. Þá segir í svarinu að umræddar persónuupplýsingar hafi ekki borist skóla- og frístundasviði Reykjavíkurborgar.

4.
Sjónarmið leikskólans [X] 

Í svari leikskólans [X], dags. 20. nóvember 2020, segir að barn kvartenda hafi fyrst komið þangað til skólavistar [2018] og verið þar í eitt ár, uns grunnskólavist þess hófst. Svokallaður skilafundur hafi verið haldinn þegar fyrir lá að barnið myndi hefja vist við leikskólann. Á umræddum fundi hafi leikskólinn [X] og sérfræðingur á vegum þjónustumiðstöðvarinnar [Y] fengið upplýsingar frá kvartendum, fyrri þjónustumiðstöð og leikskóla. Leikskólinn [X] hafi á fundinum fengið afhentar upplýsingar um greiningu barns kvartenda.

Málefni barnsins hafi síðan verið rædd á teymisfundum, sem kvartendur, starfsfólk [X] og sérkennsluráðgjafi frá þjónustumiðstöðinni [Y] hafi setið. Fundargerðir þessara funda hafi verið sendar á alla í teyminu, þ.m.t. starfsmann þjónustumiðstöðvarinnar sem haldi jafnframt utan um og sjái til þess að upplýsingar færist frá leikskóla til grunnskóla. Sú framkvæmd sé í samræmi við 1. mgr. 6. gr. reglugerðar nr. 896/2009 um skil og miðlun upplýsinga milli leik- og grunnskóla.

Þær persónuupplýsingar sem fyrir liggi um barn kvartenda sé meðal annars að finna í fundargerðum, tölvusamskiptum vegna þjónustu við barnið, matslistum, einstaklingsnámskrám, niðurstöðum frá Greiningar- og ráðgjafarstöð ríkisins og æfingastöð, svo og í gögnum frá fyrri leikskóla.

Varðandi lögmæti þeirrar vinnslu persónuupplýsinga sem hér er til umfjöllunar af hálfu leikskólans [X] er í svarinu vísað til þess að hún hafi stuðst við 3. tölul. 9. gr. og 8. tölul. 1. mgr. 11. gr. laga nr. 90/2018.

Jafnframt er vísað til 9. gr. og 2. mgr. 16. gr. laga nr. 90/2008 um leikskóla og 2. gr. reglugerðar nr. 896/2009 um skil og miðlun upplýsinga milli leik- og grunnskóla, sem mæli meðal annars fyrir um skyldu foreldra til að veita leikskóla upplýsingar um barn, svo og að persónuupplýsingar, sem fyrir liggja um hvert einstakt barn í leikskóla og nauðsynlegar eru fyrir velferð og aðlögun þess í grunnskóla, skuli fylgja barninu. Varðandi miðlun persónuupplýsinga frá leikskólanum til þjónustumiðstöðvar er jafnframt vísað til fyrrgreinds ákvæðis 9. gr. laganna, svo og 9. og 11. gr. reglugerðar nr. 444/2019 um skólaþjónustu sveitarfélaga við leik- og grunnskóla og nemendaverndarráð í grunnskólum. Enn fremur segir í svarinu að þegar barnið hafi hætt á leikskólanum [X] og byrjað í grunnskóla hafi afrit af skjölum verið send viðtökuskólanum með milligöngu þjónustumiðstöðvar. Sú framkvæmd sé í samræmi við fyrrgreint ákvæði 2. mgr. 16. gr. laganna og hún hafi jafnframt átt sér stoð í 21.-23. gr. þeirra, reglugerð nr. 896/2009 og reglugerð nr. 584/2010 um sérfræðiþjónustu sveitarfélaga við leik- og grunnskóla og nemendaverndarráð í grunnskólum (sem er nú brottfallin, sbr. 23. gr. reglugerðar nr. 444/2019 um skólaþjónustu sveitarfélaga við leik- og grunnskóla og nemendaverndarráð í grunnskólum, sem nánar er fjallað um í kafla II.3.1.2).

Í svarinu segir enn fremur að starfsmenn leikskólans [X] hafi aðeins skráð niður þær upplýsingar um barnið sem þeir töldu nauðsynlegar eða mikilvægar varðandi þroska og vist barnsins í leikskólanum. Leitast hafi verið við að gæta meðalhófs við þá skráningu.

Loks segir í svarinu að kvartendur hafi sótt fund með sérkennslustjóra leikskólans þann 25. júní 2019 þar sem meðal annars hafi verið rætt um skjalavörslu og persónuvernd. Jafnframt komi upplýsingar um umrædda vinnslu fram í persónuverndarstefnu Reykjavíkurborgar, sem samþykkt hafi verið í borgarstjórn þann 19. mars 2019 og verið aðgengileg á vefsíðu borgarinnar frá þeim tíma. Persónuverndarstefnan hafi jafnframt verið aðgengileg á vefsíðu leikskólans [X] frá því í maí 2020.

Í símtali við starfsmann Persónuverndar þann 12. janúar 2021 og með tölvupósti sama dag staðfesti leikskólastjóri [X] að persónuupplýsingar um barn kvartenda hefðu ekki verið sendar Borgarskjalasafni til varðveislu.

Í svari leikskólans [X], dags. 29. nóvember 2021, segir meðal annars að kvartendur hafi á fundum fengið upplýsingar um að persónuupplýsingum um barn þeirra yrði miðlað til annarra aðila. Í ljósi þess að kvartendur hafi fengið afrit fundargerða hafi þeim verið ljóst hvaða persónuupplýsingar um barnið voru til vinnslu. Fræðsla um persónuvernd og skjalavörslu hafi hins vegar ekki verið formfest og því geti leikskólinn ekki framvísað gögnum til staðfestingar á efni fræðslunnar. Hins vegar veiti persónuverndarstefna Reykjavíkurborgar nú upplýsingar um meginreglur varðandi vinnslu persónuupplýsinga hjá undirstofnunum sveitarfélagsins.

5.
Sjónarmið þjónustumiðstöðvarinnar [Y] 

Í svari þjónustumiðstöðvarinnar [Y] kemur meðal annars fram að hún miðli gögnum um börn til Borgarskjalasafns við útskrift þeirra úr grunnskóla eða þegar engin virkni hafi verið í máli barns í 10 ár.

II.
Forsendur og niðurstaða
1.
Afmörkun máls – Frávísun að hluta

Mál þetta lýtur í fyrsta lagi að lögmæti vinnslu persónuupplýsinga um barn kvartenda hjá leikskólanum [X] og því hvort unnið var með ítarlegri upplýsingar um barnið en heimilt var. Í öðru lagi lýtur málið að miðlun persónuupplýsinga barnsins frá leikskólanum [X] til þjónustumiðstöðvarinnar [Y]. Í þriðja lagi lýtur málið að miðlun persónuupplýsinga um barnið frá leikskólanum [X], þjónustumiðstöðinni [Y] og skóla- og frístundasviði Reykjavíkurborgar til opinbers skjalasafns. Í fjórða lagi lýtur málið að upplýsingagjöf til kvartenda um vinnslu persónuupplýsinga um barnið hjá leikskóla og þjónustumiðstöð og um fyrirhugaða miðlun persónuupplýsinganna til opinbers skjalasafns.

Samkvæmt 1. málsl. 2. mgr. 39. gr. laga nr. 90/2018 á sérhver skráður einstaklingur eða fulltrúi hans rétt til að leggja fram kvörtun hjá Persónuvernd ef hann telur að vinnsla persónuupplýsinga um hann brjóti í bága við reglugerð (ESB) 2016/679 eða ákvæði laganna. Úrskurðar Persónuvernd þá um hvort brot hafi átt sér stað. Tilvitnað ákvæði ber að skýra með hliðsjón af meginreglu stjórnsýsluréttar um að aðild manns að stjórnsýslumáli sé almennt háð því að hann eigi beinna, verulegra, sérstakra og lögvarinna hagsmuna að gæta af úrlausn stjórnvaldsins.

Af framangreindum reglum leiðir að réttur einstaklings til úrskurðar Persónuverndar um vinnslu persónuupplýsinga er í flestum tilvikum háður því að vinnslan hafi þá þegar farið fram og að viðkomandi fullnægi jafnframt skilyrðum [um aðild] samkvæmt meginreglu stjórnsýsluréttar.

Af svörum skóla- og frístundasviðs Reykjavíkurborgar verður ráðið að sviðið hafi hvorki móttekið persónuupplýsingar um barn kvartenda né afhent þær Borgarskjalasafni. Þá er til þess að líta að af svörum leikskólans [X] og þjónustumiðstöðvarinnar [Y] verður ráðið að Borgarskjalasafni hafi ekki verið afhent gögn til varðveislu sem geyma persónuupplýsingar um barn kvartenda. Sú vinnsla, sem þessi hluti kvörtunarinnar tekur til, hefur því ekki átt sér stað. Verður samkvæmt því ekki séð að persónuupplýsingar um barn kvartenda hafi verið unnar að þessu leyti á þann hátt sem kvartað er yfir. Þá verður ekki heldur séð að kvartendur hafi látið reyna á rétt sinn til eyðingar persónuupplýsinga, sbr. 20. gr. laga nr. 90/2018 og 17. gr. reglugerðar (ESB) 2016/679. Að öllu þessu gættu og að virtu framangreindu samspili aðildarreglu stjórnsýsluréttarins og ákvæðis 1. málsl. 2. mgr. 39. gr. laga nr. 90/2018 er þessum umkvörtunarefnum vísað frá.

Þá telur Persónuvernd að leggja verði til grundvallar að vísun til upplýsingaskorts af hálfu þjónustumiðstöðvarinnar [Y] í fjórða kvörtunarlið lúti aðeins að fyrirhugaðri afhendingu persónuupplýsinga um barn kvartenda til Borgarskjalasafns. Í ljósi framangreindar frávísunar þess umkvörtunarefnis gerist ekki þörf að fjalla frekar um ætlaðan skort á upplýsingum um þá vinnslu.

Þrátt fyrir frávísanir þeirra umkvörtunarefna sem lúta að miðlun persónuupplýsinga um barn kvartenda til Borgarskjalasafns þykir rétt að benda á að sveitarfélög og undirstofnanir þeirra teljast afhendingarskyldir aðilar samkvæmt lögum nr. 77/2014, sbr. 4. tölul. 1. mgr. 14. gr. þeirra. Er þeim aðilum almennt skylt að afhenda opinberu skjalasafni skjöl sín, í samræmi við það sem kveðið er á um í þeim lögum. Þá má benda á að þótt 3. mgr. 13. gr. og 4. mgr. 14. gr. reglugerðarinnar kveði á um að ábyrgðaraðili, sem hyggst vinna persónuupplýsingar frekar í öðrum tilgangi en þeim sem lá að baki söfnun þeirra, skuli veita hinum skráða upplýsingar um hinn nýja tilgang, ásamt öðru, áður en vinnslan hefst þá er sú skylda ekki án undantekninga. Nánar tiltekið gildir slík upplýsingaskylda ekki þegar stjórnvald miðlar persónuupplýsingum til annars stjórnvalds í þágu lögbundins hlutverks við framkvæmd laga og upplýsingum er miðlað aðeins að því marki sem nauðsynlegt er til að rækja lagaskyldu stjórnvalds, sbr. 19. gr. laga nr. 90/2018.

Af öllu framangreindu leiðir að eftirfarandi úrskurður tekur til lögmætis annarrar vinnslu persónuupplýsinga um barn kvartenda af hálfu leikskólans [X]. Fólst sú vinnsla sem kvartað var yfir meðal annars í öflun og skráningu upplýsinga um barnið af hálfu leikskólans, svo og miðlun þeirra frá leikskólanum til þjónustumiðstöðvarinnar [Y].

2.
Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Fyrir liggur að leikskólinn [X] aflaði, skráði og varðveitti upplýsingar um barn kvartenda, auk þess sem upplýsingum um barnið var miðlað til þjónustumiðstöðvarinnar [Y], meðal annars með rafrænum hætti.

Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Við mat á því hver telst ábyrgðaraðili að vinnslu persónuupplýsinga getur þurft að líta til ákvæða í öðrum lögum.

Samkvæmt 1. mgr. 4. gr. laga nr. 90/2008 um leikskóla bera sveitarfélög meðal annars ábyrgð á öflun og miðlun upplýsinga í tengslum við starfsemi leikskóla. Leikskólastjóri stjórnar daglegum rekstri og starfi leikskóla og gætir þess að leikskólastarf sé í samræmi við lög, reglugerðir, aðalnámskrá leikskóla, skólanámskrá og önnur gildandi fyrirmæli og stuðlar að samstarfi milli foreldra, starfsfólks leikskóla og annars fagfólks með velferð barna að markmiði, sbr. 1. mgr. 5. gr. laganna. Þá mælir 1. mgr. 7. gr. reglugerðar nr. 896/2009, um skil og miðlun upplýsinga milli leik- og grunnskóla, fyrir um að leikskólastjóri beri ábyrgð á meðferð og vörslu upplýsinga og að uppfylltar séu þær kröfur sem gerðar eru til ábyrgðaraðila samkvæmt persónuverndarlögum.

Í málinu liggur fyrir að leikskólinn [X] vann að nokkru leyti með þær persónuupplýsingar um barn kvartenda sem hér eru til umfjöllunar samkvæmt vinnuleiðbeiningum skóla- og frístundasviðs Reykjavíkurborgar og í samræmi við skjalavistunaráætlun borgarinnar. Þrátt fyrir það, og lögbundna stjórnunarábyrgð Reykjavíkurborgar á öflun og miðlun upplýsinga, telur Persónuvernd leiða af tilvitnuðum ákvæðum laga nr. 90/2008 og reglugerðar 896/2009 að leikskólum sé falið umtalsvert sjálfstæði varðandi vinnslu persónuupplýsinga í tengslum við starf þeirra. Þegar litið er til þess, svo og fyrri framkvæmdar Persónuverndar og orðalags áðurnefndrar skilgreiningar á ábyrgðaraðila í 6. tölul. 3. gr. laga nr. 90/2018, ber að leggja til grundvallar að leikskólinn [X] teljist sjálfstæður ábyrgðaraðili að þeirri vinnslu persónuupplýsinga um barn kvartenda sem hér er til umfjöllunar.

3.
Lögmæti vinnslu
3.1.
Lagaumhverfi
3.1.1
Ákvæði laga nr. 90/2018

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Hefur leikskólinn [X] byggt á því að vinnslan hafi stuðst við 3. tölul. lagaákvæðisins, sbr. c-lið reglugerðarákvæðisins, sem mælir fyrir um að heimilt sé að vinna með persónuupplýsingar sé vinnslan nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Þá er heimilt að vinna með persónuupplýsingar sé vinnslan nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins.

Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 1. og 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar viðkvæmar, en af kvörtuninni verður ráðið að meðal annars hafi verið unnið með slíkar upplýsingar um barn kvartenda. Telur Persónuvernd að leggja beri til grundvallar að þær upplýsingar sem fjallað er um í máli þessu teljist viðkvæmar persónuupplýsingar í skilningi framangreindra ákvæða.

Eins og hér háttar til kemur þá einkum til skoðunar 8. tölul. 1. mgr. 11. gr. laganna, sbr. h-lið 2. mgr. 9. gr. reglugerðarinnar, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu.

Framangreindu til viðbótar verður vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins. Samkvæmt 2. mgr. lagaákvæðisins, sbr. 2. mgr. reglugerðarákvæðisins, ber ábyrgðaraðli ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt ákvæði 1. mgr. þess og skal geta sýnt fram á það.

Við skýringu meginreglu 1. tölul. 8. gr. laga nr. 90/2018, sem lýtur að sanngjarnri og gagnsærri vinnslu persónuupplýsinga, er jafnframt nauðsynlegt að líta til ákvæða laganna og reglugerðar (ESB) 2016/679 um fræðsluskyldu ábyrgðaraðila gagnvart hinum skráðu.

Samkvæmt 2. mgr. 17. gr. laga nr. 90/2018 á hinn skráði rétt til upplýsinga um vinnslu, hvort sem persónuupplýsinga er aflað hjá honum sjálfum eða ekki, samkvæmt fyrirmælum 13.-14. gr. reglugerðarinnar. Í 1.-3. mgr. 13. gr. hennar er fjallað um þær upplýsingar sem ber að veita við öflun persónuupplýsinga hjá skráðum einstaklingi. Ákvæðin eiga þó ekki við ef og að því marki sem hinn skráði hefur þegar fengið vitneskju um þau atriði sem tilgreind eru í þeim, sbr. 4. mgr. 13. gr. reglugerðarinnar. Þá er í 1.-4. mgr. 14. gr. reglugerðarinnar fjallað um þær upplýsingar sem ber að veita þegar persónuupplýsingar hafa ekki fengist hjá skráðum einstaklingi. Þau ákvæði eiga þó ekki við ef og að því marki sem hinn skráði hefur þegar fengið upplýsingarnar, eða þegar skýrt er mælt fyrir um öflun og miðlun upplýsinganna í lögum sem kveða á um viðeigandi ráðstafanir til að vernda lögmæta hagsmuni hins skráða, sbr. a- og c-liði 5. mgr. ákvæðisins.

3.1.2.
Aðrar réttarheimildir 

Við mat á lögmæti vinnslu samkvæmt fyrrnefndum ákvæðum laga nr. 90/2018 og reglugerðar (ESB) 2016/679 getur einnig þurft að líta til ákvæða í öðrum lögum sem við eiga hverju sinni.

Samkvæmt 2. mgr. 2. gr. laga nr. 90/2008 um leikskóla er það meðal meginmarkmiða uppeldis og kennslu í leikskóla að fylgjast með og efla alhliða þroska barna í náinni samvinnu við foreldra, sbr. a-lið ákvæðisins, og hlúa að börnum andlega, vitsmunalega og líkamlega í samræmi við þarfir hvers og eins, sbr. c-lið ákvæðisins. Samkvæmt 1. mgr. 4. gr. laganna bera sveitarfélög ábyrgð á starfsemi leikskóla, þar á meðal á öflun og miðlun upplýsinga. Leikskólastjóri stjórnar daglegum rekstri og starfi leikskóla og gætir þess að leikskólastarf sé í samræmi við lög, reglugerðir, aðalnámskrá leikskóla, skólanámskrá og önnur gildandi fyrirmæli og stuðlar að samstarfi milli foreldra, starfsfólks leikskóla og annars fagfólks með velferð barna að markmiði, sbr. 1. mgr. 5. gr. laganna, svo sem áður greinir. Þá segir í 2. málsl. 1. mgr. 9. gr. laganna að foreldrar leikskólabarna skuli hafa náið samráð við starfsfólk leikskóla og fylgjast með skólagöngu barna sinna og veita þær upplýsingar sem kunni að skipta máli fyrir skólastarfið og velferð barna. Í 16. gr. laganna er kveðið á um tengsl leikskóla og grunnskóla. Þannig segir í 1. málsl. 1. mgr. ákvæðisins að sveitarstjórn skuli koma á gagnvirku samstarfi leikskóla og grunnskóla. Í 2. mgr. ákvæðisins er mælt fyrir um að persónuupplýsingar, sem fyrir liggi um hvert einstakt barn í leikskóla og nauðsynlegar eru fyrir velferð og aðlögun þess í grunnskóla, skuli fylgja barninu, enda sé krafist fullrar þagnarskyldu og málsmeðferðar í samræmi við gildandi lög um persónuvernd og vinnslu persónuupplýsinga. Foreldrum skuli gerð grein fyrir þessari upplýsingamiðlun. Meðferð upplýsinga skuli vera á hendi leikskólastjóra eða annarra sérfræðinga á vegum sveitarfélagsins samkvæmt nánari ákvörðun þess.

Í samræmi við 3. mgr. 16. gr. laga nr. 90/2008 hefur verið sett reglugerð nr. 896/2009 um skil og miðlun upplýsinga milli leik- og grunnskóla. Til nauðsynlegra upplýsinga samkvæmt ákvæðinu teljast samkvæmt 3. gr. reglugerðarinnar meðal annars persónuupplýsingar um heilsufar, sérþarfir, líkamlega og andlega getu til náms, leiks eða annars skólastarfs. Samkvæmt a-c-liðum ákvæðisins getur meðal annars verið um að ræða almennar upplýsingar félagslega stöðu og þroska barna, læknisfræðilegar greiningar og hvers kyns gögn varðandi velferð og skólagöngu barns. Í 1. mgr. 6. gr. reglugerðarinnar segir að við flutning barns milli leikskóla og úr leikskóla í grunnskóla beri leikskólastjóra að sjá til þess að nauðsynlegar persónuupplýsingar um barnið flytjist með tryggum og öruggum hætti til viðtökuskóla. Samkvæmt 2. mgr. sama ákvæðis leggur leikskólastjóri eða þar til bær sérfræðingur af hálfu sveitarfélags mat á nauðsyn upplýsinga vegna fyrirhugaðrar skólagöngu barns í grunnskóla og ber ábyrgð á miðlun þeirra til hlutaðeigandi grunnskóla. Samkvæmt 3. mgr. sama ákvæðis ber leikskólastjóra að gera foreldrum grein fyrir hvaða upplýsingar fylgja barni á milli leikskóla eða í grunnskóla og um rétt foreldra til að fá vitneskju um slíkar upplýsingar og að í skólanámskrá hvers leikskóla skuli tilgreina hvaða upplýsingar fylgja barni á milli leikskóla og grunnskóla.

Þá er til þess að líta að þegar barn kvartenda hóf skólavist við leikskólann [X] var í gildi reglugerð nr. 584/2010 um sérfræðiþjónustu sveitarfélaga við leik- og grunnskóla, sem hefur nú verið leyst af hólmi með reglugerð nr. 444/2019 um skólaþjónustu sveitarfélaga við leik- og grunnskóla og nemendaverndarráð í grunnskólum. Samkvæmt 1. mgr. 3. gr. reglugerðar 584/2010, sem í gildi var stærstan hluta námsvistar barns kvartenda við leikskólann [X], bar fræðsluyfirvöldum í hverju sveitarfélagi að fylgjast með og stuðla að því að nemendum og skólum yrði tryggður aðgangur að sérfræðiþjónustu. Bar sveitarfélögum meðal annars að tryggja að viðeigandi sérfræðiþjónusta yrði veitt og ákveða fyrirkomulag hennar, sbr. 2. mgr. ákvæðisins. Sveitarstjórn í samráði við skólastjórnendur bar að skipuleggja sérfræðiþjónustu og var heimilt að reka hana á eigin vegum sem sjálfstæða einingu, innan eða utan skóla, sbr. 1. og 2. mgr. 4. gr. reglugerðarinnar. Loks gátu foreldrar óskað eftir athugun, greiningu og ráðgjöf fyrir börn sín, auk þess sem starfsfólk leikskóla gat lagt fram ósk um slíka sérfræðiaðstoð í samráði við og með samþykki foreldra, sbr. 1. mgr. 11. gr. reglugerðarinnar. Sambærileg ákvæði er nú að finna í reglugerð nr. 444/2019.

3.2.
Lögmæti vinnslu
3.2.1.
Vinnsluheimild - Skilyrði fyrir vinnslu viðkvæmra persónuupplýsinga

Þegar litið er til þeirra ákvæða laga nr. 90/2008 og reglugerðar nr. 896/2009 sem rakin eru í kafla II.3.1. þykir verða að leggja til grundvallar að leikskólum geti verið nauðsynlegt að vinna með persónuupplýsingar um leikskólabörn í tengslum við framkvæmd lögbundins hlutverks þeirra, þ.m.t. upplýsingar varðandi sérþarfir sem börn hafa vegna fötlunar. Getur þetta meðal annars átt við upplýsingar sem aflað er frá foreldrum, sérfræðingum eða til verða í leikskólastarfinu almennt. Verður að líta svo á að leikskólar hafi umtalsvert svigrúm til að ákvarða hverju sinni hvers konar upplýsingar er þörf á að vinna með í þágu þeirrar lögbundnu þjónustu sem þeim er skylt að veita. Að mati Persónuverndar leiðir af tilvitnuðum lagaákvæðum að vinnslan getur meðal annars falist í að afla, skrá og miðla til grunnskóla slíkum upplýsingum, eftir atvikum með atbeina sérfræðinga á vegum sveitarfélaga.

Að auki getur reynst nauðsynlegt að miðla upplýsingum frá leikskóla til sérfræðinga á vegum skólaþjónustu í sama tilgangi en jafnframt er ljóst að sveitarfélögum er samkvæmt lögum falið umtalsvert sjálfstæði við útfærslu skipulags slíkrar starfsemi, svo sem með því að koma á fót sérstökum skipulagseiningum.

Með vísan til alls framangreinds er það niðurstaða Persónuverndar að sú vinnsla leikskólans sem hér er til umfjöllunar hafi getað stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, og að fullnægt hafi verið skilyrðum 8. tölul. 1. mgr. 11. gr. laganna, sbr. jafnframt h-lið 2. mgr. 9. gr. reglugerðar (ESB) 2016/679, að því leyti sem um vinnslu viðkvæmra persónuupplýsinga var að ræða.

3.2.2.
Meginreglur og ábyrgðarskylda 

Þegar metið er hvort vinnsla leikskólans [X] samrýmdist meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679, þarf sem áður segir meðal annars að líta til ákvæða löggjafarinnar um fræðsluskyldu gagnvart hinum skráða og annarra reglna sem þýðingu geta haft.

Fram hefur komið af hálfu leikskólans [X] að persónuupplýsinga um barn kvartenda hafi verið aflað frá þeim sjálfum og öðrum aðilum, þ.e. fyrri leikskóla barnsins og þjónustumiðstöð. Ber samkvæmt því að leggja til grundvallar að leikskólanum hafi ýmist borið að veita kvartendum fræðslu um vinnslu persónuupplýsinga til samræmis við 13. eða 14. gr. reglugerðar (ESB) 2016/679, allt eftir því hvaðan persónuupplýsingarnar voru fengnar hverju sinni.

Málatilbúnaður leikskólans [X] verður skilinn svo að kvartendur hafi á fundum fengið munnlegar upplýsingar um vinnslu persónuupplýsinga um barn þeirra. Hins vegar hefur leikskólinn ekki lagt fram gögn sem staðfesta það eða efni fræðslunnar. Þá hefur ekki verið staðfest að kvartendum hafi verið veittar upplýsingar á annan hátt. Verður leikskólinn að bera hallann af því. Samkvæmt þessu verður ekki lagt til grundvallar að upplýsingagjöfin hafi verið í samræmi við þær efnislegu kröfur sem til hennar eru gerðar í 13. og 14. gr. reglugerðar (ESB) 2016/679. Af þeirri ályktun leiðir jafnframt að leikskólinn hefur ekki sýnt fram á að kvartendur hafi fengið vitneskju um þau atriði sem veita ber fræðslu um samkvæmt reglugerð (ESB) 2016/679. Verður samkvæmt því ekki lagt til grundvallar að undanþágur 4. mgr. 13. gr. og a-liðar 5. mgr. 14. gr. reglugerðarinnar hafi átt við um vinnsluna.

Persónuvernd telur þó að líta megi svo á að þau ákvæði sem rakin eru í kafla II.3.1.2. kveði með skýrum hætti á um að persónuupplýsingum um barn kvartenda beri að miðla frá leikskóla til grunnskóla og á milli leikskóla við flutning barns, svo og um vinnslu persónuupplýsinga í tengslum við aðkomu sérfræðings á vegum þjónustumiðstöðvar að málefnum barnsins. Því hafi undanþága c-liðar 5. mgr. 14. gr. reglugerðar (ESB) 2016/679 átt við um miðlun þeirra persónuupplýsinga um barn kvartenda sem leikskólinn [X] aflaði frá öðrum en þeim sjálfum. Af því leiðir að leikskólanum bar ekki að veita kvartendum upplýsingar um þá vinnslu til samræmis við það ákvæði.

Þrátt fyrir framangreint er til þess að líta að samkvæmt 2. mgr. 16. gr. laga nr. 90/2008 og 3. mgr. 6. gr. reglugerðar nr. 896/2009 bar leikskólanum að gera kvartendum grein fyrir hvaða upplýsingar fylgdu barni á milli leikskóla eða í grunnskóla. Af svörum kvartenda er ljóst að þau fengu upplýsingar um miðlun persónuupplýsinga um barn þeirra frá leikskólanum [X] til þjónustumiðstöðvarinnar [Y] í tengslum við þá sérfræðiþjónustu sem barninu var veitt. Leikskólinn hefur hins vegar ekki sýnt fram á inntak þeirrar fræðslu, meðal annars varðandi það hvort og þá hvaða persónuupplýsingum um barnið yrði miðlað til grunnskóla. Af þessu leiðir að leikskólinn [X] verður ekki talinn hafa gætt að skyldu sinni til upplýsingagjafar samkvæmt tilvitnuðum ákvæðum.

Þegar litið er til alls framangreinds telur Persónuvernd að leikskólinn [X] hafi ekki sýnt fram á að hann hafi gætt að gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laganna gagnvart kvartendum við þá vinnslu persónuupplýsinga sem hér er til umfjöllunar, sbr. 2. mgr. sömu greinar.

Hins vegar telur Persónuvernd ekkert fram komið í málinu sem bendir til þess að leikskólinn [X] hafi brotið gegn meðalhófskröfu 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 við þá vinnslu persónuupplýsinga sem hér er til umfjöllunar. Í því sambandi ber sérstaklega að líta til þess að samkvæmt 3. gr. reglugerðar nr. 896/2009, um skil og miðlun upplýsinga milli leik- og grunnskóla, eru persónuupplýsingar um heilsufar, sérþarfir, líkamlega og andlega getu til náms, leiks eða annars skólastarfs taldar til nauðsynlegra upplýsinga. Samkvæmt því er vinnsla slíkra upplýsinga í starfi leik- og grunnskóla beinlínis áskilin en af eðli máls leiðir að þær eru misítarlegar milli barna, enda lúta þær að þáttum sem persónubundnir eru fyrir sérhvert barn.

3.3.
Niðurstaða og fyrirmæli

Með vísan til alls framangreinds er það niðurstaða Persónuverndar að sú vinnsla leikskólans sem hér er til umfjöllunar hafi getað stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, og að fullnægt hafi verið skilyrðum 8. tölul. 1. mgr. 11. gr. laganna, sbr. jafnframt g- og h-liði 2. mgr. 9. gr. reglugerðar (ESB) 2016/679, að því leyti sem um vinnslu viðkvæmra persónuupplýsinga var að ræða.

Hins vegar er það niðurstaða Persónuverndar að leikskólinn [X] hafi ekki sýnt fram á að hafa gætt að gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laganna gagnvart kvartendum við vinnslu persónuupplýsinga um barn þeirra, sbr. 2. mgr. sömu greinar.

Í samræmi við framangreinda niðurstöðu, og með vísan til 4. tölul. 42. gr. laga nr. 90/2018, er lagt fyrir leikskólann [X] að veita skráðum einstaklingum eftirleiðis fræðslu um vinnslu slíkra upplýsinga og upplýsa foreldra um hvaða upplýsingar fylgja leikskólabörnum í grunnskóla, til samræmis við þau ákvæði sem rakin voru í kafla II.3.1.2. Eigi síðar en 6. maí 2022 skal leikskólinn [X] senda Persónuvernd staðfestingu á að farið hafi verið að þessum fyrirmælum, ásamt lýsingu á framkvæmd fræðslunnar og upplýsingum um efni hennar.

Ú r s k u r ð a r o r ð:

Vísað er frá þeim þætti kvörtunarinnar sem lýtur að vinnslu persónuupplýsinga um barn [A] og [B] af hálfu skóla- og frístundasviðs Reykjavíkurborgar og þjónustumiðstöðvar [Y]

Vísað er frá þeim þætti kvörtunarinnar sem lýtur að afhendingu leikskólans [X] á gögnum sem geyma persónuupplýsingar um barn [A]og [B] til Borgarskjalasafns.

Vinnsla leikskólans [X] á persónuupplýsingum um barn [A]og [B], sem fólst í öflun, skráningu og miðlun til þjónustumiðstöðvar, samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679 um gagnsæi.

Lagt er fyrir leikskólann [X] að veita eftirleiðis fræðslu um vinnslu slíkra upplýsinga til samræmis við 2. mgr. 17. gr. laga nr. 90/2018 og 13. og 14. gr. reglugerðar (ESB) 2016/679 og upplýsa foreldra um hvaða upplýsingar fylgja leikskólabörnum í grunnskóla, sbr. 2. mgr. 16. gr. laga nr. 90/2008 og 3. mgr. 6. gr. reglugerðar nr. 896/2009, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Eigi síðar en 6. maí 2022 skal leikskólinn [X] senda Persónuvernd staðfestingu á að farið hafi verið að þessum fyrirmælum, ásamt lýsingu á framkvæmd fræðslunnar og upplýsingum um efni hennar.

Persónuvernd, 6. apríl 2022

               Helga Þórisdóttir                               Helga Sigríður Þórhallsdóttir