Vinnsla persónuupplýsinga af hálfu Reykjavíkurborgar

Mál nr. 2020010725

5.4.2023

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu Reykjavíkurborgar í máli nr. 2020010725 (áður nr. 2018091446):

I.
Málsmeðferð
1.
Almennt

Hinn 25. september 2018 barst Persónuvernd kvörtun frá [A], f.h. [B] (hér eftir kvartandi), yfir vinnslu persónuupplýsinga um hann hjá Reykjavíkurborg. Laut kvörtunin nánar til tekið að því að forstöðumaður [....], sem rekið er af Reykjavíkurborg, hefði miðlað upplýsingum um kvartanda til þáverandi deildarstjóra öldrunar- og húsnæðismála hjá velferðarsviði Reykjavíkurborgar. Í kjölfar þess hefði upplýsingunum verið miðlað til Kópavogsbæjar.

Persónuvernd bauð Reykjavíkurborg að tjá sig um kvörtunina með bréfi, dags. 14. apríl 2020, og bárust svör borgarinnar með bréfi, dags. 29. maí s.á. Með bréfi, dags. 15. júní s.á., óskaði Persónuvernd frekari upplýsinga frá Reykjavíkurborg og barst svar með bréfi, dags. 18. ágúst s.á. Ekki var talin þörf á að veita kvartanda kost á að koma á framfæri athugasemdum við svör Reykjavíkurborgar í ljósi þess að afstaða hans til sambærilegra röksemda annars sveitarfélags lágu fyrir í máli nr. 2020010726.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Beðist er velvirðingar á töfum sem orðið hafa á meðferð málsins, m.a. vegna mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartanda

Af hálfu kvartanda er á því byggt að forstöðumanni [....] í Reykjavík hafi verið óheimilt að miðla persónuupplýsingum kvartanda til þáverandi deildarstjóra öldrunar- og húsnæðismála hjá velferðarsviði Reykjavíkurborgar. Fram kemur að deildarstjórinn hafi í framhaldinu miðlað persónuupplýsingum kvartanda til félagsráðgjafa hans hjá Kópavogsbæ, í símtali þann 20. desember 2017. Upplýsingarnar, sem skráðar hafi verið eftir forstöðumanni [....] af félagsráðgjafa kvartanda, hafi verið þess efnis að kvartandi hefði farið og skoðað húsnæði [....], litist vel á og væri fluttur inn. Einnig að kvartandi myndi skrifa undir dvalarsamning næstu daga. Kvartandi byggir á því að hann hafi aldrei rætt sjálfur við forstöðumann [....] eða veitt honum upplýsingar um sig eða sína hagi.

Af hálfu kvartanda er einnig vísað til þess að ummælin, sem höfð hafi verið eftir forstöðumanni [....], væru þess eðlis að hann hefði skilgreint kvartanda sem utangarðs og tengt hann við lýsingar á einstaklingum sem eigi í erfiðleikum sem aldrei hafi hrjáð kvartanda.

3.
Sjónarmið Reykjavíkurborgar

Af hálfu Reykjavíkurborgar er vísað til þess að [....], sem starfrækt var frá [....] til og með [....], hafi verið sett á fót í því skyni að veita einstaklingum, sem ekki hafi átt í nein hús að vernda, tímabundið húsnæði á meðan unnið var að varanlegri lausn á húsnæðisvanda þeirra. Fyrst og fremst hafi þeim einstaklingum sem hafi dvalið á tjaldsvæðinu í Laugardal verið boðið að dvelja í [....]. Vísað er til þess að í því skyni hafi vettvangs- og ráðgjafarteymi (VOR-teymi) þjónustumiðstöðvar Vesturbæjar, Miðborgar og Hlíða farið í vettvangsferð í Laugardal og rætt við þá einstaklinga sem þar hafi dvalið, en VOR-teymið hafi m.a. sinnt ráðgjöf og stuðningi við þá einstaklinga sem dvöldu í [....]. Byggir Reykjavíkurborg á því að í tilgreindri vettvangsrannsókn hafi þeir einstaklingar sem vildu þiggja dvöl í [....] gefið VOR-teyminu upp nafn sitt. Kvartandi hafi verið þar á meðal. Hins vegar liggi ekki ljóst fyrir hvort kvartandi hafi einnig gefið VOR-teyminu upp kennitölu sína og lögheimili, eða hvort VOR-teymið hafi sótt framangreindar upplýsingar í þjóðskrá. Byggt er á því að slíkra upplýsinga hafi þó ekki verið aflað úr þjóðskrá án þess að kvartandi hafi gefið teyminu upp nafn sitt og sýnt vilja til þess að þiggja boð um dvöl í [....]. Hafi framangreindar upplýsingar þá verið sóttar í þeim tilgangi að útbúa drög að dvalarsamningi fyrir kvartanda.

Fram kemur í svarbréfi Reykjavíkurborgar að forstöðumaður [....] hafi veitt deildarstjóra á skrifstofu velferðarsviðs Reykjavíkurborgar upplýsingar um kvartanda þar sem deildarstjórinn hafi farið með málefni er tengdust [....]. Byggt er á því að um hafi verið að ræða miðlun almennra persónuupplýsinga innan sama ábyrgðaraðila í því skyni að veita lögboðna þjónustu samkvæmt lögum um félagsþjónustu sveitarfélaga nr. 41/1991. Skylda sveitarfélagsins samkvæmt 45. og 46. gr. laganna sé að tryggja íbúum sveitarfélagsins húsnæði. Vísað er til þess að ákveðið hafi verið að [....] ætti að standa öllum dvalargestum tjaldsvæðisins í Laugardal til boða, óháð búsetu, en um samstarfsverkefni sveitarfélaga hafi verið að ræða með það að markmiði að uppfylla framangreind lagaákvæði. Heimild til framangreindrar vinnslu byggir Reykjavíkurborg á 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 um að vinnslan hafi verið nauðsynleg til að fullnægja lagaskyldu sem hvíldi á ábyrgðaraðila. Þá hafi upplýsingarnar sem miðlað hafi verið ekki verið taldar þess eðlis að gæta þyrfti að fræðsluskyldu á grundvelli 20. og 21. gr. sömu laga.

II.
Forsendur og niðurstaða
1.
Lagaskil

Atvik máls þessa gerðust fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018. Umfjöllun og efni þessa úrskurðar verða því byggð á ákvæðum eldri laga, nr. 77/2000, en ekki er um efnislegar breytingar að ræða í lögum nr. 90/2018 á þeim reglum laganna sem hér reynir á.

2.
Gildissvið – Ábyrgðaraðili – Afmörkun máls

Gildissvið eldri persónuverndarlaga, nr. 77/2000, sbr. 1. mgr. 3. gr. þeirra laga, náði til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem voru eða áttu að verða hluti af skrá. Persónuupplýsingar voru skilgreindar sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint mátti rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölulið 2. gr. laganna, og vinnsla var skilgreind sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur sem vinnslan var handvirk eða rafræn, sbr. 2. tölulið sömu greinar. Hugtakið vinnsla var skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið var með persónuupplýsingar, hvort heldur sem vinnslan var handvirk eða rafræn, sbr. 2. tölulið sömu greinar.

Af framangreindu má ráða að munnleg miðlun persónuupplýsinga, ein og sér, féll almennt ekki undir gildissvið laga nr. 77/2000 heldur þurftu upplýsingar með einhverjum hætti að vera á stafrænu eða skráðu formi. Af fyrri úrskurðum Persónuverndar í málum um munnlega miðlun, sbr. t.d. mál nr. 2018010086, 2016/911 og 2015/692, sem allir voru kveðnir upp í gildistíð eldri laga nr. 77/2000, má ráða að við úrlausn slíkra mála hafi þurft að fara fram atviksbundið mat á því hvort persónuupplýsingar, sem miðlað var munnlega, væru í beinum, sérstökum og nægjanlegum tengslum við skrá í skilningi 3. gr. laga nr. 77/2000.

Í málinu liggur fyrir að forstöðumaður [....] ræddi málefni kvartanda við deildarstjóra öldrunar- og húsnæðismála hjá velferðarsviði Reykjavíkurborgar og félagsráðgjafa hjá Kópavogsbæ. Verður ekki annað ráðið af málsatvikum en að upplýsingarnar hafi átt uppruna sinn í einhvers konar skrá, en með hugtakinu skrá er átt við gagnasafn eða upptalningu þar sem persónuupplýsingum er komið fyrir á þann hátt að þar megi finna upplýsingar um einstaka menn, sbr. 3. tölul. 2. gr. laga nr. 77/2000. Ætla má að forsenda þess að unnt hafi verið að vinna frekar með persónuupplýsingar kvartanda, svo sem í þeim tilgangi að útbúa dvalarsamning, væri að haldið væri utan um upplýsingarnar af ábyrgðaraðila með rafrænum hætti. Telst því hér vera um að ræða vinnslu persónuupplýsinga sem féll undir gildissvið laga nr. 77/2000 eins og það er afmarkað í framangreindum ákvæðum, og þar með undir valdsvið Persónuverndar.

Sá sem bar ábyrgð á að vinnsla persónuupplýsinga samrýmdist lögum nr. 77/2000 var nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna var þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður var, aðferð við vinnsluna og aðra ráðstöfun upplýsinga. [....] er rekið af Reykjavíkurborg og forstöðumaður þess var, á þeim tíma sem atvik þau er kvörtun þessi lýtur að urðu, jafnframt forstöðumaður VOR-teymis þjónustumiðstöðvar Vesturbæjar, Miðborgar og Hlíða. Eins og hér háttar til telst Reykjavíkurborg því vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem mál þetta varðar, enda verður almennt litið svo á að ábyrgðaraðili sé hlutaðeigandi stofnun eða fyrirtæki en ekki einstaka starfsmenn, hvort sem um ræðir stjórnendur eða almenna starfsmenn.

Í samræmi við framangreint verður hér einungis fjallað um vinnslu persónuupplýsinga um kvartanda. Ekki verður vikið að því hvort í þeim ummælum sem kvörtunin lýtur að birtist rétt mat á högum kvartanda, en eins og hér háttar til fellur úrlausn um það atriði utan valdsviðs Persónuverndar.

3. 
Lagaumhverfi

Samkvæmt lögum nr. 77/2000 varð öll vinnsla persónuupplýsinga að byggjast á einhverri þeirra heimilda sem greindi í 8. gr. laganna. Væri um viðkvæmar persónuupplýsingar að ræða þurfti vinnsla þeirra einnig að styðjast við eitt þeirra skilyrða sem í 9. gr. laganna greindi. Ekki verður séð að þær persónuupplýsingar sem á reynir í máli þessu hafi talist viðkvæmar persónuupplýsingar í skilningi laganna þrátt fyrir að sumar þeirra, líkt og upplýsingar um heimilisleysi, megi telja viðkvæms eðlis. Þegar um ræðir vinnslu persónuupplýsinga, sem fram fer á vegum stjórnvalda, hefur einkum verið talið að 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000, þess efnis að vinnsla sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu, 5. tölul. 1. mgr. sömu greinar, vegna verks sem unnið er í þágu almannahagsmuna, eða 6. tölul. 1. mgr. sömu greinar, við beitingu opinbers valds, geti átt við.

Við mat á heimild til vinnslu samkvæmt tilvitnuðum ákvæðum verður að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 12. gr. laga nr. 40/1991 um félagsþjónustu sveitarfélaga segir meðal annars að sveitarfélag skuli veita íbúum þjónustu og aðstoð og jafnframt tryggja að þeir geti séð fyrir sér og sínum. Aðstoð og þjónusta skuli jöfnum höndum vera til þess fallin að bæta úr vanda og koma í veg fyrir að einstaklingar og fjölskyldur komist í þá aðstöðu að geta ekki ráðið fram úr málum sínum sjálf. Þá segir í 16. gr. laganna að félagsmálanefndir, sem skipaðar eru fulltrúum sem kjörnir eru af sveitarstjórn, sbr. 1. mgr. 5. gr. laganna, skuli bjóða upp á félagslega ráðgjöf, en í henni felist m.a. að veita stuðning vegna félagslegs og persónulegs vanda. Samkvæmt 17. gr. sömu laga tekur félagsleg ráðgjöf til ráðgjafar á sviði fjármála, húsnæðismála, uppeldismála, skilnaðarmála o.fl. Segir að henni skuli ætíð beitt í eðlilegu samhengi við aðra aðstoð samkvæmt lögunum og í samvinnu við aðra þá aðila sem bjóða upp á slíka þjónustu. Enn fremur er í 45. og 46. gr. sömu laga kveðið á um skyldu sveitarfélaga til að tryggja íbúum sínum húsnæði. Nánar tiltekið segir í 46. gr. að félagsmálanefndir skuli veita þeim fjölskyldum og einstaklingum, sem ekki eru fær um það sjálf, úrlausn í húsnæðismálum til að leysa úr bráðum vanda meðan unnið er að varanlegri lausn. Loks er gert ráð fyrir því að sveitarfélögum sé heimilt að hafa samvinnu um verkefni samkvæmt lögunum, sbr. 4. og 7. gr. laganna.

Auk heimildar samkvæmt framangreindu varð vinnsla persónuupplýsinga að fullnægja öllum meginreglum 1. mgr. 7. gr. þágildandi laga nr. 77/2000. Var þar meðal annars kveðið á um að persónuupplýsingar skyldu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skyldi vera í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.) og að þær skyldu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.).

Af kröfu 1. tölu. 1. mgr. 7. gr. þágildandi laga nr. 77/2000 um vandaða vinnsluhætti leiddi meðal annars að ábyrgðaraðila bar að huga að öryggi persónuupplýsinga við vinnslu þeirra, sbr. nánar 11. gr. laganna.

4.
Niðurstaða

Ljóst er af umfjöllun í kafla II.3. hér að framan að Reykjavíkurborg er með lögum nr. 40/1991 falið hlutverk í tengslum við veitingu félagsþjónustu, sem meðal annars tekur til þess að leysa húsnæðisvanda, og þar með það opinbera vald sem því tengist. Af framangreindum ákvæðum laganna verður ekki annað ráðið en að Reykjavíkurborg hafi nokkuð ríkt svigrúm til að meta hvaða þjónusta sé nauðsynleg til að sinna þeim verkefnum sem sveitarfélaginu eru falin með lögunum, svo og hvernig þjónustan er útfærð. Sú staðreynd að kvartandi hafi ekki verið með lögheimili í Reykjavík á þeim tíma sem atvik þessa máls áttu sér stað girðir ekki fyrir að borginni hafi verið heimilt, í samvinnu við lögheimilissveitarfélag kvartanda, að vinna að úrræði í húsnæðismálum hans, enda gera lögin beinlínis ráð fyrir samvinnu sveitarfélaga í tengslum við veitingu félagsþjónustu.

Með hliðsjón af framangreindu telur Persónuvernd mega líta svo á að Reykjavíkurborg hafi verið nauðsynlegt að vinna með upplýsingar um kvartanda í þeim tilgangi að ráða bót á húsnæðisvanda hans í samræmi við lögbundið hlutverk sveitarfélagsins. Verður því að telja að Reykjavíkurborg hafi, á grundvelli 3. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000, verið heimil sú vinnsla persónuupplýsinga um kvartanda sem til umfjöllunar er í málinu

Líkt og að framan greinir varð vinnsla persónuupplýsinga einnig að samrýmast öllum meginreglum 1. mgr. 7. gr. þágildandi laga nr. 77/2000. Meðal annars var þar kveðið á um að persónuupplýsingar skyldu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. 1. mgr. 7. gr. Krafan um sanngjarna og gagnsæja vinnslu persónuupplýsinga fól m.a. í sér að hinn skráði fengi fræðslu um vinnsluna, sbr. m.a. 20. og 21. gr. laga nr. 77/2000, svo sem að framan greinir. Fjallað er um fræðsluskyldu Reykjavíkurborgar í tengslum við öflun þeirra persónuupplýsinga sem hér eru til umfjöllunar í úrskurði Persónuverndar í máli nr. 2020010736 sem lýtur sérstaklega að lögmæti þeirrar vinnslu. Kemur skyldan því ekki til skoðunar í fyrirliggjandi máli.

Hvað varðar miðlun forstöðumanns [....] á persónuupplýsingum kvartanda til deildarstjóra öldrunar- og húsnæðismála hjá velferðarsviði Reykjavíkurborgar skal tekið fram að ábyrgðaraðili vinnslunnar, í þessu tilviki Reykjavíkurborg, ber ábyrgð á störfum og verkefnum stjórnenda og starfsmanna gagnvart hinum skráða. Líkt og fram kemur í kafla II.2. hér að framan er ábyrgðaraðili vinnslu persónuupplýsinga sú stofnun eða fyrirtæki sem um ræðir en ekki einstaka starfsmenn, og teljast aðrir starfsmenn þannig ekki til þriðju aðila í þeim skilningi. Eins og hér háttar til er því ekki um miðlun persónuupplýsinga að ræða heldur fólst vinnslan í aðgangi að persónuupplýsingum innan sama ábyrgðaraðila. Reynir því ekki á ákvæði laga nr. 77/2000 um fræðsluskyldu vegna þeirrar vinnslu.

Við mat á gagnsæi telur Persónuvernd loks verða að líta til þess að kvartanda hafi mátt vera ljóst að Reykjavíkurborg hefði samstarf við Kópavogsbæ, sem var lögheimilissveitarfélag hans, við úrlausn á húsnæðisvanda hans og í þágu þess hafi sveitarfélögunum verið nauðsynlegt að skiptast á upplýsingum um kvartanda, sbr. einkum 4. og 7. gr. laga nr. 40/1991.

Þá verður ekki ráðið af gögnum málsins að með þessu fyrirkomulagi hafi óviðkomandi starfsmenn Reykjavíkurborgar fengið aðgang að persónuupplýsingum um kvartanda sem þeir þurftu ekki á að halda vegna starfa sinna hjá sveitarfélaginu. Verður samkvæmt því ekki talið að vinnslan hafi að þessu leyti gengið gegn ákvæðum 11. gr. laganna um upplýsingaöryggi.

Með hliðsjón af framangreindu telur Persónuvernd að sú vinnsla persónuupplýsinga sem hér er til umfjöllunar hafi verið sanngjörn og gagnsæ gagnvart kvartanda. Þá telur Persónuvernd að Reykjavíkurborg hafi gætt að kröfu um vandaða vinnsluhætti, auk þess sem persónuupplýsingar kvartanda hafi verið fengnar í yfirlýstum, skýrum og málefnalegum tilgangi, sbr. 1. og 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

Með vísan til alls framangreinds er niðurstaða Persónuverndar sú að vinnsla Reykjavíkurborgar á persónuupplýsingum kvartanda hafi samrýmst ákvæðum laga nr. 77/2000.

Ú r s k u r ð a r o r ð:

Vinnsla Reykjavíkurborgar á persónuupplýsingum um [B] samrýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Persónuvernd 5. apríl 2023

Þórður Sveinsson Bjarni Freyr Rúnarsson