Vinnsla persónuupplýsinga af hálfu menntastofnunar

Mál nr. 2021020294

23.11.2022

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu [menntastofnunarinnar X] í máli nr. 2021020294:

I.
Málsmeðferð
1.
Tildrög máls

Hinn 1. febrúar 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga um hana af hálfu [menntastofnunarinnar X] (hér eftir X). Nánar tiltekið var kvartað yfir öflun persónuupplýsinga um kvartanda frá samkennurum hennar og miðlun þeirra til mennta- og menningarmálaráðuneytisins og umboðsmanns Alþingis, án samþykkis kvartanda og án þess að hún hefði verið upplýst um tilvist framangreindra gagna.

Persónuvernd bauð [X] að tjá sig um kvörtunina með bréfi, dags. 10. maí 2022, og bárust svör skólans með bréfi, dags. 30. júní s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör [X] með bréfi, dags. 4. júlí s.á. Svör bárust frá lögmanni kvartanda með bréfi, dags. 22. júlí s.á. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartanda

Kvartandi byggir á því að [stjórnandi X] hafi hafið að safna upplýsingum um hana frá tilgreindum samkennurum hennar eftir að kvartandi sendi inn kvörtun til mennta- og menningarmálaráðuneytisins, vegna samskiptaörðugleika við yfirmenn skólans, þann 15. janúar 2019. Kvartandi telur [stjórnanda X] hafa safnað persónuupplýsingum um hana í þeim tilgangi að nota þær gegn henni bæði vegna andsvara sinna til mennta- og menningarmálaráðuneytisins og til að réttlæta brottrekstur hennar úr starfi í apríl 2019, en kvartandi taldi uppsögnina ólögmæta og beindi kvörtun til umboðsmanns Alþingis vegna þess. Kveðst kvartandi hvorki hafa veitt samþykki sitt fyrir slíkri upplýsingaöflun né hafi henni verið gert viðvart um hana. Kvartandi hafi því auk þess aldrei notið andmælaréttar gagnvart framangreindum gögnum þegar þeim var miðlað af hálfu [stjórnanda X] til mennta- og menningarmálaráðuneytisins og til umboðsmanns Alþingis.

3.
Sjónarmið [X]

Fram kemur í erindi [X] að skólinn sé ríkisstofnun sem falli undir stjórnsýslu ríkisins. Skólinn starfi, auk almennra laga sem gilda um stofnanir framkvæmdavaldsins, á grundvelli laga nr. 92/2008, um framhaldsskóla, og sé undirstofnun mennta- og menningarmálaráðuneytisins og lúti eftirlits- og yfirstjórnunarheimildum þess á grundvelli laga nr. 115/2011, um Stjórnarráð Íslands. Jafnframt hvíli á skólanum lagaskylda til þess að tryggja starfsmönnum heilbrigt og öruggt starfsumhverfi á grundvelli laga nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, og til þess að grípa til aðgerða til þess að sporna gegn einelti á vinnustað, sbr. ákvæði reglugerðar nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum.

Í erindi [X] segir að upptök málsins megi rekja til þess að kvartandi hafi óskað eftir fundi með samkennurum sínum og [stjórnanda X], í því skyni að ræða mál annars kennara (C) sem taldi sig hafa orðið fyrir einelti og vanvirðandi framkomu af hálfu samstarfsfólks síns. Fundurinn hafi farið fram í nóvember 2018 en þar hafi kvartandi staðhæft að samkennarar sínir og C hefðu beitt C einelti um árabil og krafist þess að nafngreindur sálfræðingur yrði fenginn til þess að leggja á það mat. Að mati [Stjórnanda X] og annarra stjórnenda sem sátu fundinn hafi framkoma kvartanda á framangreindum fundi einkennst af skorti á stillingu á skapsmunum, nærgætni og virðingu fyrir samstarfsfólki með hliðsjón af viðkvæmu og flóknu umræðuefni. Hafi orðið uppnám á fundinum eftir að kvartandi setti fram staðhæfingar sínar. Í kjölfar máls C og þeim ávirðingum sem kvartandi setti fram á fundinum í nóvember 2018 hafi [stjórnanda X] borist viðbrögð samkennara kvartanda við fundinum og upplýsingar um önnur atriði sem þeir höfðu orðið áskynja um, þar með talið samskipti og framkoma kvartanda gagnvart samkennurum sínum.

Í febrúar 2019 hafi skólanum borist bréf frá mennta- og menningarmálaráðuneytinu þar sem tilkynnt var um framkomna kvörtun kvartanda, þess efnis að hún teldi sig hafa verið beitta einelti og andlegu ofbeldi af hálfu annarra fundarmanna á framangreindum fundi í nóvember 2018. Við lok skólaársins 2018-2019 hafi stytting náms til stúdentsprófs komið til framkvæmda við [X] og til þess að bregðast við því hafi skólanum verið nauðsyn að hagræða, meðal annars með því að fækka fastráðnu starfsfólki. Á grundvelli samræmds og heildstæðs mats á starfsfólki, í þeim deildum þar sem fækka þurfti kennurum, hafi verið tekin ákvörðun um segja kvartanda upp störfum í apríl 2019. Í nóvember 2019 hafi skólanum borist bréf frá umboðsmanni Alþingis, þar sem óskað var eftir umsögn skólans vegna sameiginlegrar kvörtunar kvartanda og C, á grundvelli þess að uppsagnir þeirra hefðu verið ólögmætar.

Af hálfu [X] er því hafnað að [stjórnandi X] hafi safnað upplýsingum um kvartanda frá samkennurum hennar eftir að kvartandi sendi inn kvörtun til mennta- og menningarráðuneytisins eða til þess að nota sem réttlætingu fyrir uppsögn kvartanda. Fram kemur að [stjórnandi X] hafi hvorki haft frumkvæði að því að afla þessara upplýsinga né óskað eftir þeim. Um sé að ræða tölvupósta og greinargerð sem samkennarar kvartanda sendu [stjórnanda X], ásamt fundagerð [stjórnanda X] frá fundi sem samkennarar kvartanda óskuðu eftir, vegna áhyggja af framkomu kvartanda. Vísað er til þess að þau gögn sem hafa að geyma persónuupplýsingar um kvartanda og kvartandi byggir kvörtun sína á séu dagsett í janúar og 1. febrúar 2019, að undanskilinni ódagsettri greinargerð tiltekins kennara sem hafi borist [stjórnanda X] í framhaldi fundarins í nóvember 2018. [Stjórnandi X] hafi hins vegar fyrst fengið upplýsingar um kvörtun kvartanda til mennta- og menningarmálaráðuneytisins með bréfi frá ráðuneytinu sem barst skólanum þann 11. febrúar 2019, dags. 6. febrúar s.á. Afrit bréfsins frá ráðuneytinu fylgdi með erindi [X] til Persónuverndar. Þá er til þess vísað að uppsögn kvartanda úr starfi hafi verið vegna nauðsynlegrar hagræðingar í starfi skólans og hafi byggt á niðurstöðu samræmds og heildstæðs mats á starfsfólki ásamt eigin reynslu stjórnenda af samskiptum við kvartanda. Fram kemur að umboðsmaður Alþingis hafi lokið athugun máls vegna kvörtunar kvartanda með bréfi, dags. 22. september 2020, þar sem fram kom að athugun hans hefði ekki leitt í ljós að uppsögn kvartanda eða C hefði verið í andstöðu við lög eða byggt á ómálefnalegum sjónarmiðum.

Í kjölfar kvörtunar kvartanda til mennta- og menningarmálaráðuneytisins hafi ráðuneytið óskað eftir upplýsingum um hvort kvörtun kvartanda vegna eineltis hefði hlotið afgreiðslu í samræmi við viðbragðsáætlun samkvæmt reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum. Jafnframt hafi verið óskað eftir umsögn [X] um erindið og öðrum upplýsingum sem ekki hefðu komið fram í gögnum málsins. Miðlun persónuupplýsinga um kvartanda til mennta- og menningarmálaráðuneytisins hafi farið fram samkvæmt beiðni ráðuneytisins vegna meðferðar máls sem hafi hafist með kvörtun kvartanda og því byggst á skýrri og ótvíræðri lagaskyldu [X], sbr. 3. tölul. 9. gr. laga nr. 90/2018, meðal annars samkvæmt 14. gr. laga nr. 115/2011, um Stjórnarráð Íslands. Vísar [X] til úrskurðar Persónuverndar frá 7. desember 2021, í máli nr. 2020010563, framangreindu til stuðnings. Þá telur [X] heimild skólans til miðlunar á persónuupplýsingum um kvartanda til umboðsmanns Alþingis, í tilefni kvörtunar kvartanda til umboðsmanns, falla utan gildissviðs laga nr. 90/2018, sbr. 5. mgr. 4. gr. laganna, og þar með utan valdsviðs Persónuverndar með vísan til framangreinds úrskurðar stofnunarinnar frá 7. desember 2021.

[X] byggir jafnframt á því að þær persónuupplýsingar sem liggja til grundvallar kvörtun kvartanda hafi orðið til í starfsemi [X] og þeirra hafi því ekki verið aflað frá þriðja aðila. Af því leiði að ákvæði 13. og 14. gr. reglugerðar (ESB) 2016/679 eigi ekki við og því hafi skólanum ekki borið að kynna kvartanda sérstaklega um tilvist þeirra gagna sem kvartandi byggir kvörtun sína á eða borið að veita henni kost á að tjá sig um þau.

II.
Niðurstaða
1.
Gildissvið – Frávísun að hluta

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda hjá [X] og miðlun þeirra til mennta- og menningarmálaráðuneytisins og til umboðsmanns Alþingis. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. [X] telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679, enda almennt litið svo á að ábyrgðaraðili sé hlutaðeigandi stofnun eða fyrirtæki en ekki einstaka starfsmenn, hvort sem um ræðir stjórnendur eða almenna starfsmenn.

Samkvæmt 5. mgr. 4. gr. laga nr. 90/2018 gilda lögin og reglugerð (ESB) 2016/679 ekki um vinnslu persónuupplýsinga sem fram fer í tengslum við störf Alþingis og stofnana og rannsóknarnefnda þess. Samkvæmt 1. mgr. 1. gr. laga nr. 86/1997, um umboðsmann Alþingis, kýs Alþingis umboðsmann Alþingis til fjögurra ára. Þá er hlutverk umboðsmanns að hafa í umboði Alþingis eftirlit með stjórnsýslu ríkis og sveitarfélaga á þann hátt sem nánar greinir í lögunum. Af framangreindum lagaákvæðum er ljóst að vinnsla persónuupplýsinga sem fer fram í tengslum við störf umboðsmanns Alþingis fellur utan gildissviðs laga nr. 90/2018, sbr. 5. mgr. 4. gr. þeirra, og þar með utan valdsviðs Persónuverndar. Í ljósi þess að Persónuvernd er ekki bær til þess að úrskurða um lögmæti upplýsingaöflunar af hálfu umboðsmanns Alþingis, sbr. framangreint, er það mat stofnunarinnar að hún sé heldur ekki bær til þess að úrskurða um lögmæti miðlunar persónuupplýsinga sem fram fer á grundvelli lögmætrar beiðni embættisins um gögn og upplýsingar. Þegar af þeirri ástæðu er þeim hluta kvörtunarinnar, er lýtur að miðlun persónuupplýsinga til umboðsmanns Alþingis, vísað frá.

Að öðru leyti lýtur kvörtunin að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar samkvæmt lögum nr. 90/2018.

2.
Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins. Við mat á heimild til vinnslu verður þannig einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Koma hér einkum til skoðunar lög nr. 92/2008, um framhaldsskóla, og lög nr. 115/2011, um Stjórnarráð Íslands.

Í 6. gr. laga nr. 92/2008, um framhaldsskóla, segir að hlutverk skólameistara sé að stjórna daglegum rekstri og starfi framhaldsskóla og gæta þess að skólastarfið sé í samræmi við lög, reglugerðir, aðalnámskrá og önnur gildandi fyrirmæli á hverjum tíma. Að mati Persónuverndar verður að telja að það falli innan verkahrings stjórnenda skólastofnana að taka við tölvupóstum og erindum frá undirmönnum sínum, m.a. varðandi líðan þeirra í starfi og samskipti við annað starfsfólk, án tillits til þess hver eigi frumkvæði að slíkri upplýsingagjöf. Byggist slík vinnsla persónuupplýsinga á eðli vinnusambands yfirmanns og undirmanna. Þeirra gagna sem kvartandi leggur til grundvallar kvörtun sinni til Persónuverndar var ekki aflað frá þriðja aðila í skilningi laga nr. 90/2018, en líkt og fram kemur í kafla II.1. hér að framan er ábyrgðaraðili vinnslu persónuupplýsinga sú stofnun eða fyrirtæki sem um ræðir en ekki einstaka starfsmenn, og teljast aðrir starfsmenn þannig ekki til þriðju aðila í þeim skilningi. Kemur 14. gr. reglugerðarinnar því ekki til skoðunar eins og hér háttar til þannig að upplýsa hefði þurft kvartanda um upplýsingaöflunina svo að hún hefði samrýmst sanngirnis- og gagnsæiskröfu 1. tölul. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Þá verður af gögnum málsins ekki annað ráðið en að [stjórnanda X] hafi borist umrædd gögn áður en skólanum var tilkynnt um framkomna kvörtun kvartanda til mennta- og menningarmálaráðuneytisins. Samkvæmt öllu framansögðu verður að telja að persónuupplýsingar um kvartanda hafi verið fengnar í lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, í samræmi við 2. tölul. 8. gr. laga nr. 90/2018, sbr. b-lið 1. mgr. 5. gr. reglugerðarinnar.

Af hálfu [X] hefur komið fram að miðlun persónuupplýsinga um kvartanda til mennta- og menningarmálaráðuneytisins hafi byggst á skýrri og ótvíræðri lagaskyldu skólans, sbr. 3. tölul. 9. gr. laga nr. 90/2018, meðal annars samkvæmt 14. gr. laga nr. 115/2011, um Stjórnarráð Íslands, en kvartandi hafði beint erindi til ráðuneytisins þar sem óskað var rannsóknar á meintu einelti í hennar garð í samræmi við reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum. Í 1. mgr. 14. gr. laga nr. 115/2011 segir að ráðherra geti krafið stjórnvald, sem heyrir undir yfirstjórn hans, um hverjar þær upplýsingar og skýringar sem honum er þörf á til að sinna yfirstjórnarhlutverki sínu. Ákvæðið hefur að geyma víðtæka heimild ráðherra til að krefjast upplýsinga og skýringa. [X] starfar samkvæmt lögum nr. 92/2008, um framhaldsskóla, og heyrir undir yfirstjórn mennta- og menningarmálaráðherra. Eins og hér háttar til, og með vísan til þess að um var að ræða tiltekið mál sem var til meðferðar hjá ráðuneytinu, hvíldi því lagaskylda á [X] að afhenda ráðherra gögn í samræmi við beiðni þar að lútandi. Umrædd beiðni var almennt orðuð og lá mat á því hvaða gögn væri nauðsynlegt að afhenda því hjá [X]. Eins og hér háttar til telur Persónuvernd ekki ástæðu til að endurskoða það mat. Gat vinnslan því stuðst við 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þar sem umræddum gögnum var ekki aflað frá þriðja aðila í skilningi laga nr. 90/2018, sbr. framangreint, kemur 14. gr. reglugerðarinnar ekki til skoðunar varðandi miðlun persónuupplýsinga um kvartanda til ráðuneytisins og verður vinnsla persónuupplýsinganna því einnig talin hafa samrýmst 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. reglugerðarinnar, enda hófst umrætt mál með erindi kvartanda sjálfrar til ráðuneytisins. Er framangreind niðurstaða Persónuverndar í samræmi við úrskurð stofnunarinnar frá 7. desember 2021, í máli nr. 2020010563.

Að framangreindu virtu er það niðurstaða Persónuverndar að sú vinnsla sem hér er til úrlausnar hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Vinnsla [X] á persónuupplýsingum um [A] samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679. 

Persónuvernd, 23. nóvember 2022

Helga Sigríður Þórhallsdóttir            Edda Þuríður Hauksdóttir