Vinnsla persónuupplýsinga af hálfu Gæða- og eftirlitsstofnunar félagsþjónustu og barnaverndar og síðar Gæða- og eftirlitsstofnunar velferðarmála

Mál nr. 2022101805

21.12.2023

Úrskurður

Hinn 14. desember 2023 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2022101805:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 15. nóvember 2022 barst Persónuvernd kvörtun frá [C] lögmanni, f.h. [A] og [B] (hér eftir kvartendur), yfir vinnslu persónuupplýsinga af hálfu Gæða- og eftirlitsstofnunar velferðarmála (GEV). Nánar tiltekið lýtur kvörtunin að því að við rannsókn og birtingu greinargerðar um meðferðarheimilið [X], hafi GEV brotið gegn lögum um persónuvernd og rétti kvartenda til friðhelgi einkalífs.

Persónuvernd bauð GEV að tjá sig um kvörtunina með bréfi, dags. 20. febrúar 2023, og bárust svör stofnunarinnar 5. apríl s.á. Þá var kvartendum veittur kostur á að koma á framfæri athugasemdum við svör GEV með bréfi, dags. 17. s.m., og bárust þær með bréfi frá lögmanni kvartenda, dags. 5. maí s.á. Með tölvupósti, dags. 26. maí s.á., upplýsti Persónuvernd lögmann kvartenda um að með hliðsjón af efni svarbréfs GEV og athugasemda kvartenda teldi stofnunin geta komið til álita að félags- og barnamálaráðuneytið, nú félags- og vinnumarkaðsráðuneytið, teldist einnig ábyrgðaraðili þeirrar vinnslu persónuupplýsinga sem kvörtunin laut að. Með tölvupósti 30. maí s.á. staðfesti lögmaður kvartenda að kvörtuninni væri jafnframt beint að ráðuneytinu. Með bréfi, dags. 5. júní s.á., var félags- og vinnumarkaðsráðuneytinu tilkynnt um kvörtunina og boðið að tjá sig um hana. Svör ráðuneytisins bárust með bréfi, dags. 11. júlí s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör félags- og vinnumarkaðsráðuneytisins með bréfi, dags. 12. s.m., og bárust þær með bréfi frá lögmanni kvartenda, dags. 1. ágúst 2023.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

__________________

Ágreiningur er um heimild þáverandi ráðuneytisstofnunar, Gæða- og eftirlitsstofnun félagsþjónustu og barnaverndar (hér eftir GEF), og heimild GEV til rannsóknar og birtingar greinargerðar um meðferðarheimlið [X].

Hlutverk GEF var ekki skilgreint í lögum en henni var ætlað að sinna stjórnsýsluverkefnum og eftirliti á sviði félagsþjónustu sem veitt var af hálfu sveitarfélaga, opinberra stofnana eða á grundvelli samninga, auk afmarkaðs eftirlits á sviði barnaverndar. Með bréfi ráðuneytisstjóra félags- og barnamálaráðuneytis, [dags.], var GEF falið „að kanna hvort og þá í hvaða mæli börn, sem vistuð voru á meðferðarheimilinu [X] hefðu sætt illri meðferð, andlegu eða líkamlegu ofbeldi á meðan á dvöl þeirra stóð“. Tilefni rannsóknarinnar voru ásakanir kvenna, sem vistaðar voru af hálfu barnaverndaryfirvalda í lengri eða skemmri tíma á meðferðarheimilinu á tilgreindu tímabili, um illa meðferð og ofbeldi. Beindust ásakanirnar sérstaklega að kvartendum sem voru rekstraraðilar meðferðarheimilisins á þeim [ár] árum sem það var starfrækt. Niðurstöður rannsóknarinnar voru birtar í greinargerð þar sem farið er ítarlega yfir starfsemi meðferðarheimilisins á tímabilinu og hvort eftirlit með því hafi verið fullnægjandi. Rannsóknin var annars vegar byggð á fyrirliggjandi gögnum frá Barnaverndarstofu og þeim barnaverndarnefndum sem vistuðu börn á meðferðarheimilinu, dagbókum meðferðarheimilisins og fundargerðum og hins vegar á frumgögnum, sem eru afurð viðtala m.a. við kvartendur, fyrrum vistbörn og starfsmenn meðferðarheimilisins. Þann 1. janúar 2022 var ráðuneytisstofnunin GEF lögð niður og á grunni hennar sett á laggirnar ný stofnun, GEV, sbr. lög um Gæða- og eftirlitsstofnun velferðarmála, nr. 88/2021. Við gildistöku laganna tók GEV við þeim verkefnum sem áður hafði verið sinnt af GEF, þar á meðal við umræddri rannsókn. GEV sá einnig um birtingu greinargerðar með niðurstöðum rannsóknarinnar, en hún var birt opinberlega [dags.].

2.

Sjónarmið kvartenda

Kvartendur byggja á því að engin heimild hafi staðið til rannsóknar eða birtingar greinargerðar um meðferðarheimlið [X] samkvæmt 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Vísað er til þess að rannsóknarvinnan sem greinargerðin var byggð á hafi verið unnin árið 2021, eða áður en lög um Gæða- og eftirlitsstofnun velferðarmála, nr. 88/2021, tóku gildi. Vinnsla persónuupplýsinga verði því ekki byggð á þeim. Einnig er byggt á því að eftirlitsskylda sú sem GEV sé falin með lögum nr. 88/2021 geti ekki falið í sér skyldu eða heimild til eftirlits með starfsemi sem lögð hafi verið niður mörgum árum áður en stofnun varð til. Í því sambandi vísar lögmaður kvartenda til þess að stjórnvöld hafi áður talið þörf á að leita sérstakra lagaheimilda þegar ákvörðun hafi verið tekin um að rannsaka önnur vistheimili í fortíðinni, sbr. lög nr. 26/2007. Því liggi einnig fyrir að þegar ráðherra hafi falið GEF umrætt verkefni hafi enga almenna heimild verið að finna í lögum varðandi rannsóknir á starfsemi meðferðarheimila í fortíðinni og söfnun viðkvæmra persónuupplýsinga sem því fylgi.

Þá byggja kvartendur á því að við gerð greinargerðarinnar hafi verið safnað saman upplýsingum um heilsufar annars kvartenda án þess að skilyrði 11. gr. laganna væru uppfyllt. Kvartendur vísa til þess að enda þótt þau hafi ekki verið nafngreind í greinargerðinni sé einfalt að finna nöfn þeirra sem ráku meðferðarheimilið. Með birtingu skýrslunnar hafi því verið um vinnslu persónuupplýsinga að ræða í skilningi 2. tölul. 3. gr. laga nr. 90/2018. Þá vísa kvartendur enn fremur til þess að vinnslan hafi ekki verið sanngjörn eða gagnsæ, sbr. 1. tölul. 1. mgr. 8. gr. laganna, og að ekki hafi verið gætt meðalhófs sbr. 3. tölul. 1. mgr. 8. gr. laganna.

3.

Sjónarmið Gæða- og eftirlitsstofnunar velferðarmála

Í svarbréfi GEV kemur fram að við gildistöku laga um Gæða- og eftirlitsstofnun velferðarmála, nr. 88/2021, þann 1. janúar 2022, hafi GEV tekið við þeim verkefnum sem áður var sinnt af GEF. Þegar verkefnið fluttist til GEV hafi gagnaöflun vegna rannsóknar á meðferðarheimilinu [X] að mestu leyti verið lokið af hálfu GEF. GEV hafi hins vegar annast lokafrágang og birtingu greinargerðarinnar með aðkomu utanaðkomandi ráðgjafar. Byggir GEV á því að þessi vinnsla persónuupplýsinga hafi verið nauðsynleg til að uppfylla lagaskyldu, sbr. 3. tölul. 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, með vísan til hlutverks stofnunarinnar samkvæmt 3. gr. laga um Gæða- og eftirlitsstofnun velferðarmála, nr. 88/2021, sbr. 13-17. gr. sömu laga. Einnig byggir GEV á því að um hafi verið að ræða vinnslu persónuupplýsinga sem hafi verið nauðsynleg vegna lögbundins hlutverks stofnunarinnar, sbr. 5. tölul. 9. gr. laga nr. 90/2018, enda ljóst að ríkir almannahagsmunir eigi við um eftirlit og úttektir á starfsemi aðila sem falið er að reka meðferðarheimili fyrir ungmenni.

Hvað varðar vinnslu viðkvæmra persónuupplýsinga vísar GEV til þess að heilsufar annars kvartenda hafi verið nefnt af vistbörnum sem mögulegur orsakaþáttur í neikvæðri upplifun þeirra af dvöl á meðferðarheimilinu og af fyrrum starfsmönnum sem álagsþáttur. Samkvæmt 22. gr. laga nr. 88/2021 sé GEV heimil vinnsla viðkvæmra persónuupplýsinga vegna lögbundinna verkefna sinna og hafi vinnslan því grundvallast á 7. og 8. tölul. 11. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Viðkvæmar persónuupplýsingar um annan kvartenda hafi hins vegar verið fjarlægðar við birtingu greinargerðarinnar en samkvæmt 16. gr. laga nr. 88/2018, sbr. 4. gr. laganna, sé GEV skylt að ljúka frumkvæðisathugunum með birtingu skýrslna.

Þá tekur GEV fram að þeim aðilum sem reka slík meðferðarúrræði og hér um ræðir megi vera ljóst að starfsemi þeirra sé bundin lögbundnu eftirliti opinberra aðila og að ásakanir um ofbeldi eða aðra illa meðferð kunni að leiða til þess að úttekt eða rannsókn fari fram af hálfu eftirlitsaðila. Vinnslan hafi því verið gagnsæ og sanngjörn og í samræmi við aðrar meginreglur 8. gr. laga nr. 90/2018.

4.

Sjónarmið félags- og vinnumarkaðsráðuneytisins

Í svarbréfi félags- og vinnumarkaðsráðuneytisins kemur fram að GEF hafi hafið starfsemi 7. maí 2018 þegar sett var á fót ráðuneytisstofnun á grundvelli 17. gr. laga um Stjórnarráð Íslands, nr. 115/2011. Samkvæmt 17. gr. laganna eru ráðuneytisstofnanir hluti af ráðuneyti en slíkum starfseiningum stýri embættismaður undir yfirstjórn ráðuneytisstjóra. Þá séu stjórnvaldsákvarðanir sem teknar eru í ráðuneytisstofnunum teknar fyrir hönd ráðherra með sama hætti og stjórnvaldsákvarðanir sem teknar eru á aðalskrifstofu ráðuneytis. Vísað er til þess að þáverandi félags- og barnamálaráðherra fór með yfirstjórn barnaverndarmála, sbr. 5. gr. þágildandi barnaverndarlaga.

Fram kemur að meðferðarheimilið [X] hafi starfað á grundvelli samninga við Barnaverndarstofu sem hafði eftirlit með starfseminni. Byggt er á því að ráðherra fari með yfirstjórn stjórnvalda sem hafa á hendi framkvæmd stjórnarmálefna er undir hann heyra, sbr. 1. mgr. 12. gr. laga um Stjórnarráð Íslands, auk þess sem ráðherra skuli hafa eftirlit með starfrækslu, fjárreiðum og eigum á vegum stjórnvalda sem heyra undir almennar stjórnunarheimildir hans, sbr. 1. mgr. 13. gr. sömu laga. Þá geti ráðherra krafið stjórnvald, sem heyrir undir yfirstjórn hans, um hverjar þær upplýsingar og skýringar sem honum er þörf á til að sinna yfirstjórnunarhlutverki sínu, sbr. 1. mgr. 14. gr. laga um Stjórnarráð Íslands. Á grundvelli framangreinds eftirlits ráðuneytisins með Barnaverndarstofu hafi GEF verið falin rannsókn á meðferðarheimilinu [X].

Hvað varðar flutning á rannsókninni til GEV vísar félags- og vinnumarkaðsráðuneytið til þess að við setningu laga nr. 88/2021, um Gæða- og eftirlitsstofnun velferðarmála, hafi GEV verið sett á fót og tekið við hlutverki GEF ásamt tilteknum stjórnsýslu- og eftirlitsverkefnum frá öðrum stjórnvöldum á málefnasviðinu. Leiða megi af lögum um Gæða- og eftirlitsstofnun velferðarmála að stofnunin fari með eftirlit með gæðum þjónustu sem veitt sé á grundvelli barnaverndarlaga og þar af leiðandi hafi framangreint verkefni flust frá GEF og Barnaverndarstofu til hinnar nýju stofnunar.

II.

Niðurstaða

1.

Lagaumhverfi

Mál þetta lýtur að heimild GEF og GEV til rannsóknar og birtingar greinargerðar um meðferðarheimlið [X]. Fyrir liggur að við rannsóknina var unnið með persónuupplýsingar um kvartendur og persónulega hagi þeirra á framangreindu tímabili. Varðar málið því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Félags- og vinnumarkaðsráðuneytið telst vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem fram fór af hálfu GEF, á tímabilinu frá 23. febrúar 2021 til 1. janúar 2022, og GEV telst ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem fram fór hjá stofnuninni á tímabilinu frá 1. janúar 2022 til 14. september 2022, samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, eða ef það er nauðsynlegt vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins.

Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar viðkvæmar, en af kvörtun og skoðun þeirrar greinargerðar sem kvörtunin lýtur að verður ráðið að unnið hafi verið með upplýsingar um heilsuhagi annars kvartenda. Eins og hér háttar til kemur til skoðunar 7. tölul. 1. mgr. 11. gr. laganna, sbr. g-lið 2. mgr. 9. gr. reglugerðarinnar, sem vísar til þess að vinnslan sé nauðsynleg af ástæðum sem varða verulega almannahagsmuni og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða. Einnig kemur til skoðunar 8. tölul. lagaákvæðisins, sbr. h-lið reglugerðarákvæðisins, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil ef hún er nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni er sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu.

Til þess að vinnsla persónuupplýsinga teljist heimil verður hún enn fremur að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins, og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 1. mgr. 12. gr. laga nr. 115/2011, um Stjórnarráð Íslands, er mælt fyrir um að ráðherra fari með yfirstjórn stjórnvalda sem hafa á hendi framkvæmd stjórnarmálefna sem undir hann heyra, enda leiði ekki af lögum að stjórnvald skuli vera sjálfstætt gagnvart ráðherra. Þá skal ráðherra hafa eftirlit með starfrækslu, fjárreiðum og eigum á vegum stjórnvalda sem heyra undir almennar stjórnunarheimildir hans, sbr. 1. mgr. 13. gr. sömu laga. Samkvæmt 1. mgr. 14. gr. laganna getur ráðherra krafið stjórnvald, sem heyrir undir yfirstjórn hans, um hverjar þær upplýsingar og skýringar sem honum er þörf á til að sinna yfirstjórnarhlutverki sínu.

Með lögum nr. 88/2021 var GEV komið á fót en samkvæmt 2. mgr. 1. gr. laganna fer stofnunin með eftirlit með gæðum þjónustu sem er veitt á grundvelli barnaverndarlaga, laga um Barna- og fjölskyldustofu, laga um félagsþjónustu sveitarfélaga, laga um þjónustu við fatlað fólk með langvarandi stuðningsþarfir, laga um málefni aldraðra, laga um Ráðgjafar- og greiningarstöð, laga um þjónustu- og þekkingarmiðstöð fyrir blinda, sjónskerta og einstaklinga með samþætta sjón- og heyrnarskerðingu og laga um samþættingu þjónustu í þágu farsældar barna. Samkvæmt 2. mgr. 3. gr. laganna eru verkefni GEV meðal annars að hafa eftirlit með gæðum þjónustu, sbr. c-lið lagaákvæðisins, safna upplýsingum, halda skrár og vinna úr upplýsingum frá þeim sem lúta eftirliti stofnunarinnar, sbr. e-lið ákvæðisins, og sinna öðrum verkefnum sem stofnuninni eru falin samkvæmt ákvörðun ráðherra, sbr. f-lið ákvæðisins. Þá ber GEV að ljúka frumkvæðisathugunum sínum með skýrslu samkvæmt 16. gr. laga nr. 88/2018, og skal eftir því sem unnt er birta eftirlitsskýrslur, eða útdrætti úr þeim, á aðgengilegan og skipulegan hátt, sbr. 4. gr. laganna, en svo sem þar segir einnig skal þess þó gætt að engar persónugreinanlegar upplýsingar komi fram.

2.

Lögmæti vinnslu

Við mat á heimild GEF til vinnslu þeirra persónuupplýsinga sem kvörtunin lýtur að, þ.e. til að kanna hvort og þá í hvaða mæli börn, sem vistuð voru á meðferðarheimilinu [X] hefðu sætt illri meðferð, andlegu eða líkamlegu ofbeldi á meðan á dvöl þeirra stóð, reynir á framangreind ákvæði um stjórnunar- og eftirlitsheimildir ráðherra í lögum nr. 115/2011 um Stjórnarráð Íslands, þ. á m. 12. gr. laganna, þar sem fjallað er almennt um það hlutverk hans að hafa með höndum yfirstjórn stjórnvalda á sínu málefnasviði, og 13. gr. laganna, þess efnis að hann hafi virkt eftirlit með starfrækslu, fjárreiðum og eignum á vegum þeirra stjórnvalda.

Við mat á heimild GEV til þeirrar vinnslu persónuupplýsinga sem fólst í vinnu við lokafrágang greinargerðarinnar og birtingu hennar reynir helst á 2. mgr. 3. gr. laga nr. 88/2021. Samkvæmt lagaákvæðinu eru verkefni GEV meðal annars þau að hafa eftirlit með gæðum þeirrar þjónustu sem fellur undir valdsvið stofnunarinnar, halda skrár og vinna úr upplýsingum frá þeim sem lúta eftirliti hennar og sinna öðrum verkefnum sem henni eru falin samkvæmt ákvörðun ráðherra.

Til þess er að líta að rannsókn eins og hér um ræðir felur í sér umfangsmikla vinnslu persónuupplýsinga, oft viðkvæmra, og í einhverjum tilvikum upplýsinga um einstaklinga sem standa höllum fæti. Þá er slík rannsókn líkleg til að komast í opinbera umræðu. Á það einkum við um skýrslu um rannsóknarniðurstöður en ljóst er að hún gæti með einhverjum hætti snert tiltekna einstaklinga, lífshlaup þeirra eða aðkomu að málum sem til umfjöllunar eru. Af þeim sökum hefur Persónuvernd almennt talið þörf á sérstakri lagaumgjörð um störf nefnda sem skipa á til þess að kanna starfsemi vist- og meðferðarheimila sem ekki eru lengur starfandi. Hefur sú leið verið talin best til þess fallin að tryggja að fullnægjandi heimild, samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679, sé til staðar. Var það t.d. gert með lögum nr. 26/2007, um skipan nefndar til að kanna starfsemi vist- og meðferðarheimila fyrir börn, þar sem löggjafinn taldi nauðsynlegt að setja sérstök lagafyrirmæli til að unnt væri að mæla fyrir um slíka athugun, m.a. um stöðu nefndarinnar og valdheimildir. Tekið skal fram að Persónuvernd hefur áður lýst þeirri skoðun sinni að þörf sé á sérstakri lagaumgjörð um störf nefnda sem skipa á til þess að kanna starfsemi vist- og meðferðarheimila sem ekki eru lengur starfandi. Var það m.a. gert í aðdraganda að upphafi vinnu við skipun sérstakrar nefndar til að kanna starfsemi vöggustofa. Við þá vinnu veitti Persónuvernd forsætisráðuneytinu og Reykjavíkurborg álit sitt að afla ætti sérstakrar lagaheimildar fyrir skipun Reykjavíkurborgar á nefnd til að kanna starfsemi vöggustofa og fyrir vinnslu persónuupplýsinga í því skyni. Var það jafnframt niðurstaðan, sbr. lög nr. 45/2022, þar sem sérstaklega er mælt fyrir um hvert markmið könnunarinnar sé og hvernig nefndin hagi störfum sínum, þar á meðal um aðgang að gögnum í vörslu stjórnvalda sem varða starfsemi vöggustofanna, skýrslutökur fyrir nefndinni og aðra upplýsingaöflun hennar. Jafnframt veitti Persónuvernd sambærilega umsögn um þingsályktunartillögu um rannsókn á vinnuhælinu á Kleppjárnsreykjum (þskj. 30, 30. mál á 153. löggjafarþingi) en í þingsályktunartillögunni er lagt til að forsætisráðherra verði falið að skipa nefnd til að rannsaka starfsemi vinnuhælisins á Kleppjárnsreykjum á árunum 1942-1943.

Þá bendir Persónuvernd á að þegar vinnsla persónuupplýsinga fer fram á grundvelli 3. eða 5. tölul. 9. gr. laga nr. 90/2018, sbr. c- og e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, þarf vinnslan jafnframt að uppfylla kröfur 3. mgr. 6. gr. reglugerðarinnar. Þar segir m.a. að tilgangur vinnslu skuli ákvarðaður á þeim lagagrundvelli eða, að því er varðar vinnsluna sem um getur í e-lið 1. mgr., vera nauðsynlegur vegna framkvæmdar verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Lagagrundvöllurinn getur m.a. verið sértæk ákvæði til að aðlaga beitingu reglna reglugerðarinnar, m.a. um almenn skilyrði varðandi lögmæta vinnslu ábyrgðaraðilans, tegund gagna sem vinnslan varðar eða hlutaðeigandi skráða einstaklinga. Einnig almenn skilyrði varðandi hvaða stofnanir mega fá persónuupplýsingarnar í hendur og í hvaða tilgangi, takmörkun vegna tilgangs, varðveislutímabil og vinnsluaðgerðir og verklag við vinnslu, þ.m.t. ráðstafanir til að tryggja að vinnsla fari fram á lögmætan og sanngjarnan hátt. Þá er enn fremur kveðið á um það í g-lið 2. mgr. 9. gr. reglugerðar (ESB) 2016/679 að vinnsla viðkvæmra persónuupplýsinga sé aðeins heimil ef hún er nauðsynleg, af ástæðum sem varða verulega almannahagsmuni, á grundvelli laga sem skulu hæfa því markmiði sem stefnt er að, virða kjarna réttarins til persónuverndar og kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.

Með vísan til framangreinds, og í ljósi krafna 71. gr. stjórnarskrárinnar, þar sem mælt er fyrir um grunnregluna um friðhelgi einkalífs, er það mat Persónuverndar að rannsókn sem þessi, á meðferðarheimili sem ekki er lengur starfandi, verði að byggja á skýrum lagagrundvelli og verða almenn ákvæði um yfirstjórn ráðherra með stjórnvöldum sem heyra undir málefnasvið hans, svo og um gagnaöflun vegna beitingar yfirstjórnunarheimilda, ekki talin nægileg í því sambandi. Þá verða almenn ákvæði um hlutverk GEV samkvæmt lögum nr. 88/2021 ekki talin nægilega skýr lagaheimild fyrir vinnslu þeirra persónuupplýsinga sem hér um ræðir, sbr. ofangreinda umfjöllun.

Með vísan til framangreinds er það niðurstaða Persónuverndar að engin heimild hafi staðið til vinnslu persónuupplýsinga í þágu rannsóknar á meðferðarheimilinu [X] samkvæmt 9. gr. laga nr. 90/2018, sbr. einnig 6. gr. reglugerðar (ESB) 2016/679. Þegar af þeirri ástæðu fór vinnslan í bága við lögin.

Í ljósi þess að vinnsla persónuupplýsinga kvartenda í tengslum við umrædda rannsókn samrýmdist ekki lögum verður ekki séð að eftirfarandi vinnsla þeirra, þ.e. birting greinargerðar með niðurstöðum rannsóknarinnar af hálfu GEV, geti talist lögmæt. Engu að síður áréttar Persónuvernd að samkvæmt 4. gr. laga nr. 88/2021, um Gæða- og eftirlitsstofnun velferðarmála, skal gæta þess við birtingu eftirlitsskýrslna að engar persónugreinanlegar upplýsingar komi fram. Þrátt fyrir að nöfn kvartenda komi ekki fram í umræddri greinargerð verður fallist á það með kvartendum að einfalt hafi verið að persónugreina þau, enda liggur fyrir að nöfn þeirra voru komin í fjölmiðla sama dag og greinargerðin var birt opinberlega. Verður því að telja að birting greinargerðarinnar hafi ekki verið í samræmi við 4. gr. laga nr. 88/2021.

3.

Fyrirmæli

Í samræmi við þessa niðurstöðu, og með vísan til 6. tölul. 42. gr. laga nr. 90/2018, sbr. f-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679 beinir Persónuvernd þeim fyrirmælum til GEV að fjarlægja greinargerð um meðferðarheimilið [X] af vefsíðu sinni. Jafnframt leggur Persónuvernd bann við frekari notkun og dreifingu greinargerðarinnar. Með vísan til laga nr. 77/2014, um opinber skjalasöfn, er það hins vegar niðurstaða Persónuverndar að ekki sé unnt að mæla fyrir um eyðingu greinargerðarinnar.

Að virtum þeim niðurstöðum Persónuverndar sem raktar eru hér að ofan kemur til álita að leggja stjórnvaldssekt á félags- og vinnumarkaðsráðuneytið og GEV, samkvæmt 1. tölul. 3. mgr. 46. gr. laga nr. 90/2018 og a-lið 5. mgr. 83. gr. reglugerðar (ESB) 2016/679.

Í 47. gr. laganna, sbr. 2. og 3. mgr. 83. gr. reglugerðarinnar, er mælt fyrir um til hvers skal líta við ákvörðun um hvort beita skal stjórnvaldssekt og hver fjárhæð hennar skal vera.

Eins og atvikum öllum er hér háttað telur Persónuvernd ekki tilefni til að leggja stjórnvaldssekt á félags- og vinnumarkaðsráðuneytið eða GEV. Er þá fyrst og fremst að líta til tilgangs umræddrar vinnslu, fjölda skráðra einstaklinga sem urðu fyrir brotinu, þess að brotið virðist framið af gáleysi, sem og samskipta við Persónuvernd, sbr. 1., 2. og 6. tölul. 1. mgr. 47. gr. laganna og a-, b- og f-lið 2. mgr. 83. gr. reglugerðarinnar.

Ú r s k u r ð a r o r ð:

Vinnsla Gæða- og eftirlitsstofnunar félagsþjónustu og barnaverndar og Gæða- og eftirlitsstofnunar velferðarmála á persónuupplýsingum, í þágu rannsóknar á meðferðarheimilinu [X], samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Birting Gæða- og eftirlitsstofnunar velferðarmála á greinargerð um meðferðarheimilið [X] samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Lagt er fyrir Gæða- og eftirlitsstofnun velferðarmála að fjarlægja greinargerð um meðferðarheimilið [X] af vefsíðu sinni. Staðfesting á því að farið hafi verið að þessum fyrirmælum skal berast Persónuvernd eigi síðar en 15. janúar 2024. Jafnframt leggur Persónuvernd bann við frekari notkun og dreifingu greinargerðarinnar.

Persónuvernd, 14. desember 2023

Ólafur Garðarsson
formaður

Árnína Steinunn Kristjánsdóttir                               Björn Geirsson

Vilhelmína Haraldsdóttir