Vinnsla persónuupplýsinga af hálfu Kópavogsbæjar
Mál nr. 2020010726
Þegar um ræðir vinnslu persónuupplýsinga, sem fram fer á vegum stjórnvalda í tengslum við lögbundið hlutverk þeirra, hefur verið talið að hún geti einkum verið heimil á grundvelli þess að vinnsla sé nauðsynleg til að fullnægja lagaskyldu, vegna verks sem unnið er í þágu almannahagsmuna og við beitingu opinbers valds.
Í þessu tilfelli veitti Kópavogsbær félagsþjónustu sem m.a. var ætlað að leysa úr húsnæðisvanda. Talið var að Kópavogsbær hafi haft nokkuð ríkt svigrúm til að meta hvaða þjónusta væri nauðsynleg til að sinna þeim verkefnum sem sveitarfélaginu væru falin með lögunum, svo og hvernig þjónustan væri útfærð. Kópavogsbæ hafi því verið nauðsynlegt að vinna með upplýsingar um kvartanda í þeim tilgangi að ráða bót á húsnæðisvanda hans í samræmi lögbundið hlutverk sveitarfélagsins.
----
Persónuvernd úrskurðaði í máli þar sem kvartað var yfir vinnslu persónuupplýsinga hjá velferðasviði Kópavogsbæjar. Nánar tiltekið snéri kvörtunin að því að félagsráðgjafi Kópavogsbæjar hafi rætt mál kvartanda við aðila hjá velferðasviði Reykjavíkurborgar án vitundar og samþykkis kvartanda og án þess að sinna fræðsluskyldu. Kvörtunin laut jafnframt að því að erindum kvartanda sem beint hafi verið til félagsráðgjafans hafi verið svarað af yfirmanni félagsráðgjafans og þau svör hafi ekki verið í samræmi við svör félagsráðgjafans.
Niðurstaða Persónuverndar var sú að vinnsla Kópavogsbæjar á persónuupplýsingum kvartanda samrýmdist lögum um persónuvernd og meðferð persónuupplýsinga.
Úrskurður
um kvörtun yfir vinnslu persónuupplýsinga af hálfu Kópavogsbæjar í máli nr. 2020010726 (áður nr. 2018091445):
I.
Málsmeðferð
1.
Almennt
Hinn 12. september 2018 barst Persónuvernd kvörtun frá [A], f.h. [B] (hér eftir kvartandi), yfir vinnslu persónuupplýsinga um hann hjá velferðarsviði Kópavogsbæjar.
Persónuvernd bauð Kópavogsbæ að tjá sig um kvörtunina með bréfi, dags. 15. maí 2019. Svar barst með bréfi, dags. 18. júní s.á., Með bréfi, dags. 3. október s.á., óskaði Persónuvernd frekari upplýsinga frá Kópavogsbæ. Svar Kópavogsbæjar barst með bréfi, dags. 22. s.m. Með bréfi, dags. 14. apríl 2020, var kvartanda boðið að tjá sig um framkomin svör Kópavogsbæjar. Svarað var með tölvupósti, dags. 21. júní s.á.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
Beðist er velvirðingar á töfum sem orðið hafa á meðferð málsins, m.a. vegna mikilla anna hjá Persónuvernd.
2.
Sjónarmið kvartanda
Af hálfu kvartanda er byggt á því að félagsráðgjafi, sem annaðist mál hans hjá Kópavogsbæ, hafi rætt við deildarstjóra húsnæðis- og öldrunarmála hjá velferðarsviði Reykjavíkurborgar án heimildar og vitneskju kvartanda þar um. Þá er einnig byggt á því að félagsráðgjafinn hafi kannað þátttöku Kópavogsbæjar í niðurgreiðslu fyrir kvartanda vegna neyðarúrræðis í Víðinesi sem rekið var af velferðarsviði Reykjavíkurborgar, án vitundar og samþykkis kvartanda, og án þess að sinna fræðsluskyldu.
Kvörtunin lýtur jafnframt að því að yfirmaður félagsráðgjafans hjá Kópavogsbæ hafi svarað erindum kvartanda sem hann beindi til félagsráðgjafans og að þau svör séu ekki í samræmi við svör félagsráðgjafans um hvaða upplýsingum hafi verið miðlað til velferðarsviðs Reykjavíkurborgar. Þá er einnig kvartað yfir því að kvartanda hafi verið svarað af hálfu lögfræðisviðs Kópavogsbæjar fyrir hönd velferðarsviðs bæjarins.
Kvartandi byggir á því að þau umboð sem Kópavogsbær vísi til að hann hafi undirritað vegna umsóknar um fjárhagsaðstoð hafi eingöngu varðað þær tilteknu umsóknir og hafi þau ekki náð til neins annars. Kvartandi telur ljóst af þeim samskiptaskráningum frá Kópavogsbæ að upplýsinga hafi verið aflað hjá öðrum en honum sjálfum, þ.e. í símtali við starfsmann velferðarsviðs Reykjavíkurborgar.
Með kvörtun fylgdi afrit af samskiptaskráningu kvartanda og velferðarsviðs Kópavogsbæjar á tímabilinu desember 2017 til júní 2018. Eru þar skráð símtöl, fundir og tölvupóstsamskipti kvartanda við starfsmann velferðarsviðs Kópavogsbæjar. Samskiptin lutu aðallega að húsnæðisvanda kvartanda og þeim úrræðum sem í boði voru til að ráða bót á honum. Samskiptin vörðuðu einnig umsókn kvartanda um félagslegt leiguhúsnæði og stöðu hans á biðlista vegna þess.
3.
Sjónarmið Kópavogsbæjar
Velferðarsvið Kópavogsbæjar byggir á því að þær persónuupplýsingar sem unnið hafi verið með séu ópersónugreinanlegar upplýsingar eins og kyn, aldur og hjúskaparstaða og að auki upplýsingar sem kvartandi gefi ráðgjafa sínum sjálfur og um þá stöðu hans og félagssögu sem skipti máli við úrlausn mála. Upplýsinga hafi ekki verið aflað frá öðrum nema með samþykki kvartanda. Tilgangurinn með vinnslunni hafi verið að leita leiða við að leysa húsnæðisvanda og heimilisleysi kvartanda.
Þá er af hálfu Kópavogsbæjar byggt á því að heimildir fyrir framangreindri vinnslu hafi annars vegar verið samþykki hins skráða og jafnframt að vinnsla hafi verið nauðsynleg til að efna samning sem kvartandi var aðili að eða gera ráðstafanir að beiðni hans áður en samningur var gerður. Vísað er til þess að kvartandi hafi undirritað umboð til ráðgjafa árið 2016 tengd fjárhagsaðstoð þar sem heimild hafi verið veitt til þess að kanna stöðu hans hjá nokkrum aðilum, þ. á m. opinberum aðilum. Einnig hafi kvartandi undirritað umsókn um fjárhagsaðstoð árin 2017 og 2018 sem hafi veitt ráðgjöfum hans heimild til að skoða hans mál í tengslum við viðkomandi umsóknir um fjárhagsaðstoð. Þá segir að vinnsla persónuupplýsinga hafi samrýmst ákvæðum meginreglna persónuverndarlaganna þar sem vinnslan hafi verið hluti af lögbundinni starfsemi sveitarfélagsins sem tengist fjárhagsaðstoð samkvæmt lögum nr. 40/1991 og hafi verið á hendi sérmenntaðra starfsmanna sem bundnir séu þagnarskyldu. Starfsmenn velferðarsviðs vinni eftir reglum Félagsþjónustu Kópavogsbæjar um meðferð persónuupplýsinga frá 2004, sem taki mið af lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Eins sé unnið eftir öryggisstefnu frá maí 2006. Bæði öryggisstefnan og reglur um meðferð persónuupplýsinga taki mið af þeim meginreglum sem getið sé um í 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.
II.
Niðurstaða
1.
Lagaskil
Atvik máls þessa gerðust fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018. Umfjöllun og efni þessa úrskurðar verða því byggð á ákvæðum eldri laga, nr. 77/2000, en ekki er um efnislegar breytingar að ræða í lögum nr. 90/2018 á þeim reglum laganna sem hér reynir á.
2.Lagagrundvöllur og niðurstaða
Gildissvið eldri persónuverndarlaga, nr. 77/2000, sbr. 1. mgr. 3. gr. þeirra laga, náði til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem voru eða áttu að verða hluti af skrá. Persónuupplýsingar voru skilgreindar sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölulið 2. gr. laganna, og vinnsla var skilgreind sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur sem vinnslan var handvirk eða rafræn, sbr. 2. tölulið sömu greinar.
Mál þetta lýtur að því að velferðarsvið Kópavogsbæjar hafi aflað og miðlað upplýsingum um kvartanda til velferðarsviðs Reykjavíkurborgar. Málið varðar einnig meðferð á upplýsingum um kvartanda innan stjórnsýslu Kópavogsbæjar. Ekki verður annað ráðið af málsatvikum og gögnum málsins en að þær upplýsingar hafi átt uppruna sinn í einhvers konar skrá og að utan um þær hafi verið haldið með rafrænum hætti. Að mati Persónuverndar er ekki unnt að fallast á það með Kópavogsbæ að málið varði vinnslu ópersónugreinanlegra upplýsinga enda þykir ljóst að sveitarfélaginu hafi verið unnt að tengja allar þær upplýsingar sem hér eru til umfjöllunar við persónuauðkenni kvartanda. Varðar mál þetta því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Kópavogsbær telst vera ábyrgðaraðili að umræddri vinnslu í skilningi 4. tölul. 2. gr. laga nr. 77/2000
Samkvæmt lögum nr. 77/2000 varð öll vinnsla persónuupplýsinga að byggjast á einhverri þeirra heimilda sem greindi í 8. gr. laganna. Væri um viðkvæmar persónuupplýsingar að ræða þurfti vinnsla þeirra einnig að styðjast við eitt þeirra skilyrða sem í 9. gr. laganna greindi. Ekki verður séð að þær persónuupplýsingar sem á reynir í máli þessu hafi talist viðkvæmar persónuupplýsingar í skilningi laganna þrátt fyrir að sumar þeirra, líkt og upplýsingar um heimilisleysi, megi telja viðkvæms eðlis.
Af hálfu Kópavogsbæjar hefur verið vísað til þess að sú vinnsla persónuupplýsinga sem hér er til umfjöllunar hafi verið heimil á grundvelli samþykkis kvartanda, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Jafnframt hefur sveitarfélagið vísað til þess að vinnslan hafi verið heimil á grundvelli þess að hún hafi verið nauðsynleg til að efna samning við kvartanda eða gera ráðstafanir að hans beiðni áður en samningur komst á, sbr. 2. tölul. sömu málsgreinar. Að mati Persónuverndar er ekki unnt að fallast á að vinnslan hafi getað grundvallast á þessum ákvæðum, með hliðsjón af því að vinnslan varðaði lögbundið hlutverk sveitarfélagsins, svo sem nánar greinir hér á eftir, og gat samþykki kvartanda því ekki talist veitt af fúsum og frjálsum vilja í skilningi 7. tölul. 2. gr. laganna.
Þegar um ræðir vinnslu persónuupplýsinga, sem fram fer á vegum stjórnvalda í tengslum við lögbundið hlutverk þeirra, hefur hins vegar verið talið að hún geti einkum verið heimil á grundvelli 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 þess efnis að vinnsla sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu, 5. tölul. 1. mgr. sömu greinar, vegna verks sem unnið er í þágu almannahagsmuna, eða 6. tölul. 1. mgr. sömu greinar, við beitingu opinbers valds.
Við mat á heimild til þeirrar vinnslu persónuupplýsinga sem hér er til umfjöllunar af hálfu Kópavogsbæjar verður því að líta til ákvæða í öðrum lögum. Í 12. gr. laga nr. 40/1991 um félagsþjónustu sveitarfélaga segir meðal annars að sveitarfélag skuli veita íbúum þjónustu og aðstoð og jafnframt tryggja að þeir geti séð fyrir sér og sínum. Aðstoð og þjónusta skuli jöfnum höndum vera til þess fallin að bæta úr vanda og koma í veg fyrir að einstaklingar og fjölskyldur komist í þá aðstöðu að geta ekki ráðið fram úr málum sínum sjálf. Þá segir í 16. gr. laganna að félagsmálanefndir, sem skipaðar eru fulltrúum sem kjörnir eru af sveitarstjórn, sbr. 1. mgr. 5. gr. laganna, skuli bjóða upp á félagslega ráðgjöf, en í henni felist m.a. að veita stuðning vegna félagslegs og persónulegs vanda. Samkvæmt 17. gr. sömu laga tekur félagsleg ráðgjöf til ráðgjafar á sviði fjármála, húsnæðismála, uppeldismála, skilnaðarmála o.fl. Segir að henni skuli ætíð beitt í eðlilegu samhengi við aðra aðstoð samkvæmt lögunum og í samvinnu við aðra þá aðila sem bjóða upp á slíka þjónustu. Enn fremur er í 45. og 46. gr. sömu laga kveðið á um skyldu sveitarfélaga til að tryggja íbúum þess húsnæði. Nánar tiltekið segir í 46. gr. að félagsmálanefndir skuli sjá til þess að veita þeim fjölskyldum og einstaklingum sem ekki eru færir um það sjálfir, úrlausn í húsnæðismálum til að leysa úr bráðum vanda meðan unnið er að varanlegri lausn. Loks er gert ráð fyrir því að sveitarfélögum sé heimilt að hafa samvinnu um verkefni samkvæmt lögunum, sbr. 4. og 7. gr. laganna.
Hefur Kópavogsbæ þannig með lögum nr. 40/1991 verið falið hlutverk í tengslum við veitingu félagsþjónustu, sem meðal annars tekur til þess að leysa húsnæðisvanda, og þar með það opinbera vald sem því tengist. Af framangreindum ákvæðum laganna verður ekki annað ráðið en að Kópavogsbær hafi nokkuð ríkt svigrúm til að meta hvaða þjónusta sé nauðsynleg til að sinna þeim verkefnum sem sveitarfélaginu eru falin með lögunum, svo og hvernig þjónustan er útfærð.
Með hliðsjón af framangreindu telur Persónuvernd Kópavogsbæ hafa verið nauðsynlegt að vinna með upplýsingar um kvartanda í þeim tilgangi að ráða bót á húsnæðisvanda hans í samræmi lögbundið hlutverk sveitarfélagsins. Verður því að telja að Kópavogsbæ hafi, á grundvelli 3. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000, verið heimil öll sú vinnsla persónuupplýsinga um kvartanda sem hér er til umfjöllunar.
Auk heimildar samkvæmt framangreindu varð vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 7. gr. þágildandi laga nr. 77/2000. Var þar meðal annars kveðið á um að persónuupplýsingar skyldu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skyldi vera í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.) og að þær skyldu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.).
Forsenda þess að vinnsla teldist sanngjörn, í samræmi við kröfu 1. tölul. 1. mgr. 7. gr. þágildandi laga nr. 77/2000, var að hún væri gagnsæ gagnvart hinum skráða en í því fólust m.a. kröfur til þess að hinn skráði vissi um vinnsluna og fengi um hana fræðslu, sbr. m.a. 21. gr. laga nr. 77/2000. Þá leiddi meðal annars af kröfu ákvæðisins um vandaða vinnsluhætti að ábyrgðaraðila bar að huga að öryggi persónuupplýsinga við vinnslu þeirra, sbr. nánar 11. gr. laganna.
Eins og áður hefur komið fram lýtur sú kvörtun sem hér er til umfjöllunar meðal annars að því að velferðarsvið Kópavogsbæjar hafi skipst á persónuupplýsingum kvartanda við velferðarsvið Reykjavíkurborgar án heimildar og vitneskju kvartanda þar um. Af málsgögnum verður ráðið að kvartandi hafi verið í reglulegum samskiptum við velferðarsvið Kópavogsbæjar í tengslum við þátttöku sveitarfélagsins á niðurgreiðslu fyrir kvartanda vegna neyðarúrræðis í Víðinesi, sem rekið var af velferðarsviði Reykjavíkurborgar.
Í fyrirliggjandi máli reynir einkum á 21. gr. laga nr. 77/2000, sem kvað á um að þegar ábyrgðaraðili aflaði persónuupplýsinga um hinn skráða frá öðrum en honum sjálfum skyldi hann samtímis láta hinn skráða vita af því og greina honum frá tilteknum atriðum, sbr. upptalningu í 3. mgr. ákvæðisins. Þetta var hins vegar ekki skylt að gera ef lagaheimild stóð til skráningar eða miðlunar upplýsinganna, sbr. 3. tölul. sömu málsgreinar.
Líkt og að framan greinir heimila lög nr. 40/1991 sveitarfélögum að hafa samvinnu um verkefni samkvæmt lögunum, sbr. 4. og 7. gr. þeirra en Persónuvernd álítur það forsendu slíkrar samvinnu að sveitarfélög geti skipst á upplýsingum um skjólstæðinga sína. Með vísan til þess, og að teknu tilliti til þess sem að framan greinir um vinnsluheimild, er það niðurstaða Persónuverndar að Kópavogsbæ hafi ekki borið að fræða kvartanda sérstaklega um þá vinnslu persónuupplýsinga hans sem fólst í öflun upplýsinga um hann frá Reykjavíkurborg þar sem undanþáguákvæði 3. tölul. 4. mgr. 21. gr. laga nr. 70/2000 hafi átt við. Ekki verður því talið að Kópavogsbær hafi brotið gegn fræðsluskyldu sinni við vinnsluna.
Við mat á gagnsæi þykir einnig verða að líta til þess sem að framan greinir um að kvartandi hafi verið í miklum samskiptum við Kópavogsbæ í tengslum við vanda sinn og hafi meðal annars falið sveitarfélaginu að afla upplýsinga um sig. Þrátt fyrir að umboð, sem lá þeirri upplýsingaöflun til grundvallar, hafi ekki berum orðum tekið til húsnæðisvanda kvartanda, þykir verða að líta svo á að kvartanda hafi af umboðinu mátt vera ljóst að sveitarfélagið þyrfti að vinna með persónuupplýsingar hans í tengslum við veitingu félagsþjónustu, þ.m.t. varðandi lausn á húsnæðisvanda kvartanda.
Í kvörtun eru jafnframt gerðar athugasemdir við að yfirmaður félagsráðgjafa kvartanda hjá Kópavogsbæ hafi svarað erindum kvartanda sem hann hafi beint til félagsráðgjafa. Auk þess er kvartað yfir því að kvartanda hafi verið svarað af hálfu lögfræðisviðs Kópavogsbæjar fyrir hönd velferðarsviðs bæjarins. Varðandi framangreint er til þess að líta að ábyrgðaraðili vinnslunnar, þ.e. Kópavogsbær, ber ábyrgð á störfum og verkefnum stjórnenda og starfsmanna gagnvart hinum skráða. Eins og hér háttar til er því ekki um miðlun persónuupplýsinga að ræða heldur fólst vinnslan í aðgangi að persónuupplýsingum innan sama ábyrgðaraðila og reynir því ekki á ákvæði laga nr. 77/2000 um fræðsluskyldu vegna þessarar vinnslu.
Þá verður ekki ráðið af gögnum málsins að með þessu fyrirkomulagi hafi óviðkomandi starfsmenn Kópavogsbæjar fengið aðgang að persónuupplýsingum um kvartanda sem þeir þurftu ekki á að halda vegna starfa sinna hjá sveitarfélaginu. Verður samkvæmt því ekki talið að vinnslan hafi að þessu leyti gengið gegn ákvæðum 11. gr. laganna um upplýsingaöryggi.
Með hliðsjón af framangreindu er það niðurstaða Persónuverndar að vinnsla persónuupplýsinga um kvartanda af hálfu Kópavogsbæjar hafi verið sanngjörn og gagnsæ gagnvart kvartanda og persónuupplýsingar hans verið fengnar í yfirlýstum, skýrum og málefnalegum tilgangi, sbr. 1. og 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000.
Að öllu framangreindu gættu er niðurstaða Persónuverndar sú að vinnsla Kópavogsbæjar á persónuupplýsingum um kvartanda hafi samrýmst lögum nr. 77/2000.
Ú r s k u r ð a r o r ð:
Vinnsla Kópavogsbæjar á persónuupplýsingum um [B] samrýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.
Persónuvernd, 5. apríl 2023
Þórður Sveinsson Bjarni Freyr Rúnarsson