Vinnsla persónuupplýsinga hjá Tryggingastofnun ríkisins

Mál nr. 2020010721

27.2.2020

Úrskurður

Hinn 27. febrúar 2020 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010721 (áður 2018111600):

I.

Málsmeðferð

1.

Tildrög máls

Hinn 14. október 2018 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir vinnslu persónuupplýsinga hjá Tryggingastofnun ríkisins (hér eftir TR). Kvartað var yfir að beiðni kvartanda til TR frá 24. september 2018, um upplýsingar um hvernig söfnun og vinnslu persónuupplýsinga væri háttað, hefði verið hafnað. Jafnframt hefði kvartandi í sömu beiðni óskað eftir þeim persónuupplýsingum sem TR ynni um hann en þeirri beiðni hefði verið hafnað á þeirri forsendu að TR hefði engar persónuupplýsingar um kvartanda. Þá er einnig kvartað yfir því að upplýsingar um kvartanda í þeim gögnum sem TR hafi unnið með séu rangar og ósannreyndar, auk þess sem kvartandi hafi ekki verið upplýstur um vinnslu eða söfnun persónuupplýsinga hjá TR.

2.

Bréfaskipti

Með bréfi, dags. 20. febrúar 2019, var TR boðið að koma á framfæri skýringum vegna kvörtunarinnar. Svarað var með bréfi, dags. 6. mars 2019. Þar segir að TR hafi borist margir tölvupóstar frá kvartanda á árinu 2018 með ósk um upplýsingar og hafi stofnunin átt í ítrekuðum samskiptum við hann vegna þess. Beiðni kvartanda hafi snúist um aðgang að upplýsingum um [barn] hans en barnsmóðir hans fái greiddar umönnunargreiðslur með [barni] þeirra frá stofnuninni. Kvartandi hafi kært þau samskipti til úrskurðarnefndar um upplýsingamál. Niðurstaða nefndarinnar, í máli nr. […], hafi verið að fella ákvörðun TR úr gildi og leggja fyrir stofnunina að taka málið til nýrrar meðferðar. Það hafi verið gert og telji TR sig nú hafa veitt kvartanda aðgang að öllum upplýsingum sem varði [barn] hans en skerði ekki persónuvernd barnsmóður hans. Þar á meðal séu gögn frá sérfræðingum vegna umönnunarmats barnsins þar sem meðal annars sé minnst á kvartanda sem föður þess.

Í svarbréfi TR segir að í einum tölvupósti frá kvartanda hafi hann óskað upplýsinga sem TR hefði um hann og hafi honum verið svarað á þá leið að stofnunin hefði ekki upplýsingar um hann persónulega í kerfum sínum. Þau svör hafi kvartandi jafnframt kært til úrskurðarnefndar um upplýsingamál, í tveimur kærum. Hafi TR skilað inn greinargerð sinni vegna þeirra þann […]. Í bréfinu er þess getið að nefndin hafi ekki kveðið upp úrskurð sinn í þeim málum. Í greinargerð TR til nefndarinnar komi fram að kvartandi sjálfur hafi hvorki sótt um né þiggi bætur frá stofnunni og því sé stofnunin ekki með neinar upplýsingar um hann í kerfum sínum. Hins vegar séu tilvísanir til hans í gögnum er borist hafi TR vegna umsóknar barnsmóður hans um umönnunargreiðslur með [barni] þeirra og hafi kvartanda þegar verið veittur aðgangur að þeim gögnum. Þær upplýsingar séu ekki skráðar sjálfstætt í kerfum stofnunarinnar heldur eingöngu í gögnum sem stuðst sé við við gerð umönnunarmatsins. Þá segir í svarbréfi TR að kvartandi hafi gert athugasemdir við almennar upplýsingar sem komi fram um hann í tillögum sveitarfélags sem fyrir liggi hjá TR í tengslum við meðferð umsókna barnsmóður hans um umönnunarbætur vegna [barns] þeirra. Skýrslur sérfræðinga og tillögur sveitarfélags innihaldi meðal annars ýmsar upplýsingar um stöðu barnsins en það sé læknisfræðilega greiningin sjálf sem stofnunin styðjist við að mestu við gerð umönnunarmatsins. TR telji ekki ástæðu til að véfengja þau gögn er komi frá viðurkenndum fagaðilum á sínu sviði, enda byggi mat stofnunarinnar að mestu á tilteknum greiningum fagfólks. Í svarbréfinu er bent á að samkvæmt 3. gr. reglugerðar nr. 570/1997 um fjárhagslega aðstoð við framfærendur fatlaðra og langveikra barna beri TR meðal annars að fá tillögu um mat frá félagsmálastofnunum sveitarfélaga. Að lokum segir að engar upplýsingar séu unnar um kvartanda á hans kennitölu, en þær upplýsingar sem stofnunin hafi um hann séu óbeinar upplýsingar sem fram komi í gögnum er varða umsókn barnsmóður hans um umönnunarbætur fyrir [barn] þeirra. Um lögmæti þeirrar vinnslu vísar stofnunin til 4. gr. laga um félagslega aðstoð nr. 99/2007 og reglugerðar nr. 504/1997 um fjárhagslega aðstoð við framfærendur fatlaðra og langveikra barna, með síðari breytingum. Hvað varðar 1. mgr. 8. gr. laga nr. 90/2018 bendir TR á að skýrslur sérfræðinga séu unnar til að fá sem heildstæðasta mynd af aðstöðu, þroska og líðan barns ásamt læknisfræðilegum greiningum. Því uppfylli þær upplýsingar sem gefnar eru það skilyrði að nauðsynlegar upplýsingar séu veittar án þess að of langt sé gengið í þeim efnum.

Með bréfi, dags. 15. apríl 2019, var kvartanda veitt færi á athugasemdum við framangreindar skýringar TR. Svarað var með bréfi, dags. 28. maí 2019. Þar segir að allar persónuupplýsingar um kvartanda eða aðrar upplýsingar sem tengja megi við hann, með beinum eða óbeinum hætti, séu ósannreyndar og rangar. TR ætti að fjarlægja þær úr máli [barns] kvartanda og óska eftir nýjum og réttum gögnum. Þá segir að kvartandi mótmæli því að TR safni um hann persónuupplýsingum án þess að halda sérstaklega utan um þær eða óska eftir afstöðu hans til þeirra. Telur kvartandi að ljóst sé að ef TR hafi enga verkferla til að sannreyna söfnun og vinnslu þeirra persónuupplýsinga sem fram fari hjá stofnuninni sé ekki verið að vinna eftir lögum um persónuvernd. Bendir kvartandi á að í svörum TR segi að stofnunin eigi að fá heildstæða mynd af stöðu barns sem umsókn varði og ef TR sannreyni ekki sjálft þær upplýsingar sem stofnuninni berist þá sé ekki verið að vinna eftir lögum og nálgunin á viðfangsefnið sé ófagleg.

3.

Nánar um kærur kvartanda til úrskurðarnefndar um upplýsingamál

Líkt og að framan greinir lagði kvartandi fram kærur til úrskurðarnefndar um upplýsingamál vegna samskipta sinna við TR. Þegar svarbréf TR til Persónuverndar, dags. 6. mars 2019, var ritað var ekki búið að kveða upp úrskurði í þeim, að undanskildum þeim sem þegar er greint frá. Við meðferð máls þessa var kannað hvort úrskurðarnefnd um upplýsingamál hefði komist að niðurstöðu í málunum. Fyrir liggur að málum kvartanda var vísað frá nefndinni þar sem hún taldi sig ekki hafa forsendur til að rengja fullyrðingar TR um að stofnunin hefði þegar veitt kvartanda aðgang að þeim gögnum sem hann ætti rétt á aðgangi að.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda hjá Tryggingastofnun ríkisins. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Tryggingastofnun ríkisins vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu, sbr. 3. tölul. þeirrar greinar, eða ef vinnslan er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds, sbr. 5. tölul. sömu greinar. Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar viðkvæmar, en af gögnum málsins verður ráðið að unnið hafi verið með upplýsingar um heilsuhagi kvartanda í tengslum við umsóknir barnsmóður hans um þjónustu fyrir [barn] þeirra. Eins og hér háttar til koma þá einkum til skoðunar 2. tölul. 1. mgr. 11. gr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að ábyrgðaraðili eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf og löggjöf um almannatryggingar og félagslega vernd og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða, og 8. tölul. 1. mgr. 11. gr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 4. gr. laga nr. 99/2007 um félagslega aðstoð segir að Tryggingastofnun sé heimilt að inna af hendi umönnunargreiðslur til framfærenda fatlaðra og langveikra barna samkvæmt nánari skilyrðum. Þá segir að ráðherra setji reglugerð um nánari framkvæmd greinarinnar. Í 3. gr. reglugerðar nr. 504/1997 um fjárhagslega aðstoð við framfærendur fatlaðra og langveikra barna, með síðari breytingum, kemur fram að TR ákvarði og veiti aðstoð samkvæmt 4. gr. og meti læknisfræðilegar forsendur umsækjenda og fötlunar- og sjúkdómsstig, sbr. 5. gr. Svæðisskrifstofur um málefni fatlaðra og/eða félagsmálastofnanir sveitarfélaga geri tillögur um mat vegna fatlaðra barna, sem njóta þjónustu samkvæmt lögum um málefni fatlaðra. Í 6. gr. reglugerðarinnar segir svo að umsóknir framfærenda skuli sendar Tryggingastofnun ríkisins á þar til gerðum eyðublöðum með tillögum svæðisskrifstofu um málefni fatlaðra eða sveitarfélaga um flokkun og greiðsluviðmið ef um fatlað barn sé að ræða. Greiningaraðilar skuli senda læknisvottorð um læknisfræðilega greiningu og meðferð og umönnun barna til Tryggingastofnunar ríkisins.

Í ljósi framangreinds er það mat Persónuverndar að sú skráning og vinnsla persónuupplýsinga um kvartanda hjá TR, sem kvörtun þessi tekur til, hafi getað stuðst við heimild í 3. tölul. 9. gr., sbr. einnig 2. og 8. tölul. 1. mgr. 11. gr. laga nr. 90/2018.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.) og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingum, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli eytt eða þær leiðréttar án tafar (4. tölul.).

Samkvæmt skýringum TR eru skýrslur sérfræðinga unnar til að fá sem heildstæðasta mynd af aðstöðu, þroska og líðan barns ásamt læknisfræðilegum greiningum. Jafnframt kemur fram að TR telji ekki ástæðu til að véfengja þau gögn er komi frá viðurkenndum fagaðilum á sínu sviði, enda byggi mat stofnunarinnar að mestu á tilteknum greiningum fagfólks.

Að mati Persónuverndar verða stjórnvöld almennt að geta treyst því að þær upplýsingar sem önnur stjórnvöld láta þeim í té samkvæmt lagaskyldu séu áreiðanlegar. Ekki verður þannig séð að það sé almennt á færi stjórnvalda að sannreyna slíkar upplýsingar.

Á það er hins vegar að líta að aðgangsréttur skráðra einstaklinga, samkvæmt 2. mgr. 17. gr. laga nr. 90/2018, sbr. 15. gr. reglugerðar (ESB) 2016/679, er þýðingarmikill í því skyni að þeim sé gert kleift að neyta annarra réttinda sem þeim eru tryggð samkvæmt lögunum og reglugerðinni, svo sem réttarins til leiðréttingar, til að láta fullgera ófullkomnar persónuupplýsingar, til eyðingar persónuupplýsinga og réttarins til að andmæla vinnslu persónuupplýsinga um sig. Stuðlar aðgangsrétturinn þannig að því að framangreind markmið náist. Aðgangsrétturinn veitir stjórnvöldum aðhald við vinnslu persónuupplýsinga en það er hlutverk ábyrgðaraðila að leggja mat á hvaða gögn beri að afhenda og hvað skuli undanskilja, m.a. vegna einkahagsmuna annarra. Það mat getur sætt endurskoðun Persónuverndar.

Aðgangsréttur skráðs einstaklings samkvæmt 15. gr. reglugerðarinnar nær til persónuupplýsinga er varða einstaklinginn sjálfan. Eins og áður var rakið teljast þær upplýsingar um kvartanda, sem skráðar voru í gögn hjá TR tengd gerð umönnunarmats fyrir [barn] hans, vera persónuupplýsingar. Gildir það óháð því hvort upplýsingarnar eru skráðar á kennitölu kvartanda sjálfs eða ekki. Við slíkar aðstæður, þ.e. þegar ekki er unnt að finna persónuupplýsingar um hinn skráða út frá nafni hans, kennitölu eða öðru auðkenni, getur þó eftir atvikum reynt á að hinn skráði veiti ábyrgðaraðila viðbótarupplýsingar til þess að gera honum kleift að finna þær persónuupplýsingar sem um ræðir.

Í upphafi þessa máls, þ.e. þegar kvörtun barst, hafði kvartanda ekki verið veittur aðgangur að þeim gögnum hjá TR sem hann óskaði eftir. Hafði kvartandi lagt inn kærur til úrskurðarnefndar um upplýsingamál vegna þess. Nefndin felldi ákvörðun TR úr gildi og var stofnuninni gert að taka málið til nýrrar meðferðar, sem gert hefur verið. Í gögnum þessa máls kemur fram að kvartanda hafi nú verið veittur aðgangur að þeim upplýsingum um sig sem TR sé heimilt að afhenda. Að mati Persónuverndar er ekkert í gögnum þessa máls sem gefur annað til kynna en að TR hafi nú uppfyllt skyldu sína um að veita kvartanda aðgang að persónuupplýsingum sínum samkvæmt 2. mgr. 17. gr. laga nr. 90/2018 og 1. mgr. 15. gr. reglugerðar (ESB) 2016/679. Verða því ekki taldar forsendur til þess að rengja fullyrðingar TR um að stofnunin hafi þegar veitt kvartanda aðgang að þeim persónuupplýsingum sem kvartandi á rétt á.

Með hliðsjón af framangreindu verður ekki talið að vinnslan hafi farið í bága við ákvæði 3. og 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Þá verður ekki heldur talið að vinnslan hafi farið í bága við önnur ákvæði 1. mgr. 8. gr. laganna.

3.

Fræðsla

Samkvæmt 2. tölul. 17. gr. laga nr. 90/2018 á hinn skráði rétt til upplýsinga um vinnslu, hvort sem persónuupplýsinga er aflað hjá honum sjálfum eða ekki, samkvæmt fyrirmælum 13.-15. gr. reglugerðar (ESB) 2016/679. Þegar persónuupplýsinga er aflað frá öðrum en hinum skráða sjálfum ber almennt að veita honum fræðslu í samræmi við 14. gr. reglugerðarinnar. Þetta á hins vegar ekki við ef lagaheimild stendur til skráningar eða miðlunar upplýsinganna, sbr. c-lið 5. mgr. 14. gr. reglugerðarinnar. Með vísan til alls framangreinds verður því ekki talið að TR hafi brotið gegn lögum nr. 90/2018 með því að hafa ekki upplýst kvartanda sérstaklega um vinnslu eða söfnun persónuupplýsinga hjá TR í tengslum við umsóknir barnsmóður hans um umönnunarbætur fyrir [barn] þeirra.

4.

Niðurstaða

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla TR á persónuupplýsingum um kvartanda í tengslum við umsóknir barnsmóður hans um umönnunarbætur fyrir [barn] þeirra hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Mál þetta hefur tafist vegna mikilla anna hjá Persónuvernd.

Ú r s k u r ð a r o r ð:

Vinnsla Tryggingastofnunar ríkisins á persónuupplýsingum um [A] í tengslum við umsóknir barnsmóður hans um umönnunarbætur fyrir [barn] þeirra samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 27. febrúar 2020

Helga Þórisdóttir                      Helga Sigríður Þórhallsdóttir