Vinnsla persónuupplýsinga um barn hjá grunnskóla
Mál nr. 2021101909
Persónuvernd úrskurðaði í máli þar sem kvartað var yfir vinnslu persónuupplýsinga barns af hálfu skóla. Nánar tiltekið var kvartað yfir viðveruskráningu barns inn í tölvukerfið Mentor en kvartandi taldi að rangar upplýsingar hefðu verið færðar inn um barnið.
Niðurstaða Persónuverndar var sú að vinnsla skólans á persónuupplýsingum barnsins hefði ekki samrýmst ákvæðum laga um persónuvernd og vinnslu persónuupplýsinga.
Úrskurður
um kvörtun yfir vinnslu persónuupplýsinga barns af hálfu [skóla] í máli nr. 2021101909:
I.
Málsmeðferð
Hinn 1. október 2021 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga við viðveruskráningu barns hans af hálfu skólastjóra [skóla] (hér eftir skóli).
Persónuvernd bauð skólanum að tjá sig um kvörtunina með bréfi, dags. 21. febrúar 2022, og bárust svör skólans þann 24. mars 2022. Með bréfi, dags. 26. apríl 2022, voru kvartanda kynnt svör skólans. Hinn 17. maí 2022 barst Persónuvernd svarbréf kvartanda.
Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
___________________
Kvartandi byggir á því að hinn 22. september 2021, utan hefðbundins vinnutíma, hafi skólastjóri skólans fært ranga viðveruskráningu vegna barns hans inn í tölvukerfið Mentor. Kvartandi telur að hin ranga viðveruskráning hafi verið framkvæmd af ásetningi, í þeim tilgangi að hafa áhrif á opinber störf sýslumanns við meðferð umgengnismáls, en skólastjórinn tengist móður barnsins fjölskylduböndum. Þá telur kvartandi að hin ranga viðveruskráning hafi eingöngu verið leiðrétt vegna ábendingar frá honum sjálfum um skráninguna.
Skólinn telur að tilgreind viðveruskráning, sem framkvæmd var að kvöldi hins 22. september 2021, hafi átt sér stað fyrir mistök. Sú verklagsregla sé í gildi í skólanum að aðeins umsjónarkennarar, ásamt skrifstofustjóra, annist viðveruskráningu nemenda í Mentor. Skólastjóri hafi hins vegar aðgang að öllum nemendum skólans, enda sé skólastjóri ábyrgðaraðili skólans og beri ábyrgð á viðbrögðum við ófullnægjandi skólasókn samkvæmt reglum skólans um skólasókn. Umsjónarkennari barns kvartanda hafi orðið þess var, að morgni 23. september 2021, að röng viðveruskráning hafi verið framkvæmd vegna barnsins kvöldið áður og hafi skrifstofustjóri leiðrétt skráninguna tafarlaust, eða kl. 9.20 þann 23. september 2021. Skólinn byggir á því að viðveruskráningar barna séu framkvæmdar í samræmi við 19. og 3. mgr. 30. gr. laga nr. 91/2008 um grunnskóla, sem og reglugerð nr. 1040/2011 um ábyrgð og skyldur skólasamfélagsins í grunnskólum. Því hafi vinnsla persónuupplýsinga barnsins stuðst við 3. tölul. 9. gr. laga nr. 90/2018.
Í svari skólans segir einnig að aðgangur að upplýsingum í tölvukerfinu Mentor sé takmarkaður með aðgangsstýringu, þannig að hver starfsmaður skólans sem hafi aðgang að Mentor þurfi að skrá sig inn í kerfið með lykilorði og allar aðgerðir séu skráðar (loggaðar) í kerfinu. Í samræmi við reglur skólans um skólasókn sé ástundun nemenda sýnileg í Mentor og send foreldrum og forráðamönnum mánaðarlega og þeim gefinn kostur á að gera athugasemdir við viðveruskráningu. Þannig sé auðvelt að tryggja áreiðanleika persónuupplýsinga og eftir atvikum leiðrétta rangar upplýsingar.
II.
Niðurstaða
1.
Ábyrgðaraðili
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst skólinn vera ábyrgðaraðili að umræddri vinnsluaðgerð, enda almennt litið svo á að ábyrgðaraðili sé hlutaðeigandi stofnun eða fyrirtæki en ekki einstaka starfsmenn, hvort sem um ræðir stjórnendur eða almenna starfsmenn.
2.
Lögmæti vinnslu og niðurstaða
Kvartandi byggir einkum á því að hin ranga viðveruskráning af hálfu skólastjóra skólans hafi verið framkvæmd af ásetningi, í þeim tilgangi að hafa áhrif á opinber störf sýslumanns við meðferð umgengnismáls. Skólinn hefur hins vegar borið því við að viðveruskráningin hafi verið framkvæmd fyrir mistök af hálfu skólastjóra. Í ljósi þess skal tekið fram að Persónuvernd hefur ekki forsendur til að taka afstöðu til þess hvort skólastjóri skólans hafi framkvæmt ranga viðveruskráningu af ásetningi eða fyrir mistök. Ekki er því unnt að taka frekari afstöðu til þeirrar málsástæðu kvartanda.
Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Við mat á því hvort slík heimild er til staðar getur eftir atvikum þurft að líta til annarra laga.
Í 19. gr. laga nr. 91/2008 um grunnskóla segir að foreldrar beri ábyrgð á námi barna sinna og beri þeim að fylgjast með námsframvindu þeirra í samvinnu við þau og kennara þeirra. [...] Verði misbrestur á skólasókn skólaskylds barns, án þess að veikindi eða aðrar gildar ástæður hamli, skuli skólastjóri leita lausna og taka ákvörðun um úrbætur. Jafnframt skuli hann tilkynna barnaverndaryfirvöldum um málið. Í 3. mgr. 30. sömu laga segir að grunnskólar skuli hafa heildstæða stefnu um það hvernig fyrirbyggja eigi að líkamlegt, andlegt eða félagslegt ofbeldi eigi sér stað í skólastarfi. Skólar skuli einnig hafa áætlun um framkvæmd tilkynningarskyldu samkvæmt barnaverndarlögum, um hvernig brugðist sé við tilvikum um einelti, annað ofbeldi og félagslega einangrun. Áætlun skuli m.a. framfylgt með því að hver skóli setji sér skólareglur. Í skólareglum skuli m.a. kveðið á um almenna umgengni, samskipti, stundvísi, ástundun náms og heilbrigðar lífsvenjur. Þá skuli í skólareglum koma fram hvernig skólinn hyggist bregðast við brotum á þeim, sbr. einnig reglugerð nr. 1040/2011, um ábyrgð og skyldur aðila skólasamfélagsins í grunnskólum.
Samkvæmt framangreindu er ljóst að á skólastjórnendum og kennurum í grunnskóla hvíla ákveðnar skyldur, m.a. í tengslum við skólasókn, stundvísi og ástundun grunnskólabarna. Að mati Persónuverndar getur viðveruskráning barns í tölvukerfinu Mentor því stuðst við 3. tölul. 9. gr. laga nr. 90/2018, að því gefnu að gætt sé að öðrum ákvæðum laganna. Kemur hér einkum til skoðunar 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um að við vinnslu persónuupplýsinga skuli þess gætt að þær séu áreiðanlegar og uppfærðar eftir þörfum; persónuupplýsingum sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli eyða eða leiðrétta án tafar.
Eins og að framan greinir hefur skólinn gengist við því að tilgreind viðveruskráning vegna barns kvartanda, sem framkvæmd var að kvöldi hins 22. september 2021, hafi verið röng. Þegar af þeirri ástæðu verður að telja að sú viðveruskráning sem kvartað er yfir hafi ekki samrýmst áreiðanleikakröfu 4. tölul. 8. gr. laga nr. 90/2018. Samkvæmt 2. mgr. 8. gr. laga nr. 90/2018, sbr. 2. mgr. 5. gr. reglugerðar (ESB) 2016/679, ber ábyrgðaraðili ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt ákvæði 1. mgr. 8. gr. laganna.
Í ljósi framangreinds er það niðurstaða Persónuverndar að tilgreind skráning skólans á persónuupplýsingum um barn kvartanda hafi ekki samrýmst ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, um áreiðanlega vinnslu, sbr. einnig reglugerð (ESB) 2016/679. Til þess ber þó að líta að viðveruskráningin var leiðrétt um 12 klukkustundum síðar, óháð því hver átti frumkvæði að því að skráningin yrði leiðrétt. Ekki þykir því tilefni til þess, eins og hér háttar til, að beina fyrirmælum um úrbætur að skólanum.
Ú r s k u r ð a r o r ð:
Skráning skólans á persónuupplýsingum um barn [A] samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, um áreiðanleika við vinnslu persónuupplýsinga.
Persónuvernd, 21. september 2022
Helga Sigríður Þórhallsdóttir Edda Þuríður Hauksdóttir