Miðlun launaseðlaupplýsinga
Álit
Hinn 29. maí 2015 samþykkti stjórn Persónuverndar, með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000, svohljóðandi álit í máli nr. 2014/1719:
1.
Erindi NPA miðstöðvarinnar
Persónuvernd vísar til bréfs [A], stjórnarformanns, f.h. stjórnar NPA miðstöðvarinnar svf., dags. 10. desember 2015. Í bréfinu sagði:
„Með þessu bréfi sendir NPA miðstöðin svf. fyrirspurn til Persónuverndar og óskar eftir áliti stofnunarinnar. Ástæðan er beiðni sveitarfélags til fyrirtækisins um að NPA miðstöðin afhendi listun launa, launaseðlaupplýsingar, mánaðarlega, þ.m.t. kennitölur og nöfn NPA aðstoðarfólks, upplýsingar sem eru í launabókhaldskerfi NPA miðstöðvarinnar. Beiðni sveitarfélagsins, sett fram í tölvupóstum til NPA miðstöðvarinnar, felur í sér að NPA miðstöðin svf. skuli afhenda upplýsingar um launþega hjá NPA miðstöðinni svf., en eigendur miðstöðvarinnar eru verkstjórnendur NPA aðstoðarfólks síns hver fyrir sig. NPA miðstöðin metur þessar launaseðlaupplýsingar sem trúnaðarmál milli launþegans og miðstöðvarinnar, er beri að fara með á sama hátt og almennt gildir hjá launþegum og vinnuveitendum á vinnumarkaði. “
Þá segir nánar í bréfinu um kröfu sveitarfélagsins:
„Til þess að geta fengið NPA samning þarf væntanlegur NPA notandi að byrja á því að sækja um og semja við sitt sveitarfélag um fjármagn og skilmála vegna notendastýrðrar persónulegrar aðstoðar. Það felur m.a. í sér að komast þarf að niðurstöðu um hve mikla aðstoð, mælt í klukkustundum og fjárþörf, viðkomandi fatlaður einstaklingur þarfnast. Þegar það er komið á hreint og ef notandinn velur að NPA miðstöðin svf. sjái um umsýslu á sínum samningi þarf NPA miðstöðin svf. að skrifa undir samstarfssamning við umrætt sveitarfélag. Í samstarfssamningum eru m.a. raktar skyldur beggja aðila o.fl. atriði. Samstarfssamningurinn er rammasamningur sem heimilar NPA notendum með lögheimili í viðkomandi sveitarfélagi að nota NPA miðstöðina sem umsýsluaðila með sínum NPA samningi við sveitarfélagið.
Kveðið er á um eftirlit með framkvæmd samningsins af hálfu sveitarfélagsins og hljómar ein þeirra greina á þennan hátt í flestum samstarfssamningum:
14.2
Umsýsluaðila er skylt að fenginni beiðni að veita sveitarfélagi upplýsingar um tímaskrár, vinnuáætlanir og ráðningarsamninga vegna hvers notanda fyrir sig.
Nú er svo komið að eitt sveitarfélag sem NPA miðstöðin hefur samið við fer fram á að við skilum til þess nöfnum og kennitölum starfsfólks sem notandi hefur ráðið til vinnu við að aðstoða sig ásamt öllum greiðslum til þess og því tengdu; launaseðlaupplýsingar. Sveitarfélagið fer fram á þessar upplýsingar og vísar í þessa gr. 14.2 úr samstarfssamningi sínum máli sínu til stuðnings. Í fylgiskjölum má sjá listun launa sundurliðað eftir starfsfólki þar sem nöfn og kennitölur hafa verið afmáð[ar], en umrætt sveitarfélag fer fram á að fá þetta skjal með nöfnum og kennitölum. Sveitarfélagið fer fram á að fá þessar upplýsingar sendar í tölvupósti mánaðarlega. Við teljum að þarna sé sveitarfélagið að ganga of langt í öflun persónuupplýsinga um starfsfólk NPA notandans án tilefnis og að upplýsinganna sé ekki óskað í yfirlýstum, skýrum og málefnalegum tilgangi, sbr. 1. tölul. 2. gr. og 1., 2., og 3. tölul. 7. gr. laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000 (hér eftir nefnd PVL).
Við skiljum vel þörf sveitarfélaga til þess að hafa eftirlit með framkvæmd samninga um notendastýrða persónulega aðstoð en við sjáum hvorki né fáum málefnaleg rök fyrir framangreindum kröfum. Önnur sveitarfélög hafa hingað til ekki talið sig þurfa slíkar persónugreinanlegar upplýsingar um starfsfólk notenda til að sinna slíku eftirliti. Þau hafa verið sátt við að fá reglulega sent heildarlistun launa (samtölur launa) og rekstraryfirlit (sjá fylgiskjöl) enda koma þar nægar upplýsingar fram til að þau geti haft eðlilegt eftirlit með framkvæmd þjónustunnar. Við teljum að þær upplýsingar sem við veitum þeim séu nægjanlegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.
[...]
Í 1. og 3. mgr. 71. gr. stjórnarskrár lýðveldisins Íslands kemur fram að allir skulu njóta friðhelgi einkalífs og að þann rétt megi ekki skerða nema með sérstakri lagaheimild. Af því leiðir að sérstaka varúð verður að vera viðhöfð þegar persónugreinanlegar upplýsingar með kennitölu eru afhentar á milli aðila. Allar hömlur á friðhelgi manna verða að koma skýrt fram í lögum og samningum sem einnig skulu vera í samræmi við lög og stjórnarskrá. Í þessu ljósi teljum við okkur ekki skyldug til þess að afhenda þessar upplýsingar á persónugreinanlegu formi skv. okkar túlkun á óskýru orðalagi í samstarfssamningnum og ennfremur að okkur sé það óheimilt á grundvelli laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000. Að afhenda þessar upplýsingar að okkar mati er það sama og að afhenda þriðja aðila launaseðla starfsfólksins án skilgreinds markmiðs, sbr. 7. gr. sömu laga og án vitneskju þeirra, sbr. 21 gr. sömu laga.
Einnig getur NPA miðstöðin ekki fallist á að senda skuli upplýsingarnar með tölvupósti. Slíkt getur aldrei talist í samræmi við eðli þeirra upplýsinga sem farið er fram á.
Jafnframt getur NPA miðstöðin ekki fallist á að senda upplýsingarnar þegar ekki liggur ljóst fyrir hvernig vinnslu þeirra og eyðingu verði háttað. Að auki getur NPA miðstöðin ekki fallist á að senda upplýsingarnar þegar ekkert hefur komið fram sem tryggir rétt þess sem tilkynntur er og hvernig tilhögun tilkynninga sem Kópavogsbæ er skylt að senda frá sér þar að lútandi er háttað, sbr. 21. gr. PVL. “
Með bréfi, dags. 19. janúar 2015, óskaði Persónuvernd eftir nánari skýringum Kópavogsbæjar á því í hvaða tilgangi umræddra upplýsinga væri óskað og hvort beiðni bæjarins byggðist á tiltekinni heimild í lögum eða reglugerðum, og þá hvaða heimild það væri.
Svarbréf Kópavogsbæjar, dags. 29. janúar 2015, barst Persónuvernd þann 5. febrúar 2015. Þar segir að um NPA-verkefnið sé fjallað í bráðabirgðaákvæði laga nr. 59/1992, um málefni fatlaðs fólks. Verkefnið hafi verið framlengt til ársloka 2016, eða þar til endurskoðun á lögum um félagsþjónustu er lokið. Kópavogur sé eitt þeirra sveitarfélaga sem ákveðið hafi að taka þátt í umræddu verkefni.
Þá segir að velferðarráðuneytið hafi birt leiðbeiningar fyrir sveitarfélög um NPA en þeim sé ætlað að nýtast einstökum sveitarfélögum til að móta eigin reglur um framkvæmd þjónustunnar. Kópavogsbær hafi í því skyni sett sér eigin reglur um þessa þjónustu sem samþykktar hafi verið í bæjarráði Kópavogs þann 17. janúar 2012. Því sé eiginlegum lagaákvæðum eða reglugerð um efnið ekki til að tefla. Hins vegar sé bæði í reglum Kópavogsbæjar og í samningi milli aðila lögð rík áhersla á skil á gögnum til sveitarfélagsins. Á grundvelli þeirra ákvæða hafi Kópavogsbær farið fram á upplýsingar til að varpa ljósi á vinnuframlag starfsmanna, þ.e. vinnustundir og heildarlaun hvers fyrir sig.
Einnig kemur fram í svari bæjarins að um umtalsverðar fjárhæðir sé að ræða, frá september 2014 hafi bærinn greitt mánaðarlega til NPA-miðstöðvarinnar því sem nemur kr. 2.044.000 á mánuði. Á árinu 2015 mun greiðslan hækka í rúmlega 2.200.000 á mánuði sem geri ríflega 26 milljónir á ári.
Í bréfinu vísar Kópavogsbær til 4. gr. laga nr. 59/1992 en þar segi m.a. að sveitarfélög beri ábyrgð á skipulagi og framkvæmd þjónustu við fatlað fólk, þar með talið gæðum þjónustunnar, sem og kostnaði vegna hennar samkvæmt lögunum nema annað sé tekið fram eða leiði af öðrum lögum. Þá kemur fram að þar sem um sé að ræða ráðstöfun á opinberu fé hafi Kópavogsbær ríka eftirlitsskyldu með því hvernig þessum fjármunum sé varið. NPA sé tilraunaverkefni og mikið hagsmunamál bæði fyrir notendur og sveitarfélagið að vel takist með framkvæmd þess. Enn fremur vísar bærinn til greinargerðar um endurskoðun á fjárhagslegri framkvæmd NPA í Svíþjóð þar sem greint er frá þeim vandkvæðum sem komið hafa upp í framkvæmdinni. Þar komi m.a. fram að síðustu ár hafi athyglin beinst að misnotkun fjármagns í NPA kerfinu og beinu meðvituðu svindli. Í greinargerðinni sé einnig að finna yfirlit yfir þá gagnrýni sem hafi komið fram um fjárhagslega framkvæmd NPA í Svíþjóð, m.a. að fjármunir séu ekki nýttir eins og reglur segja til um, misferli við launagreiðslur til starfsfólks, röng tímaskráning, að þjónustuþegi uppfylli ekki tilkynningarskyldu og að starfsfólk við NPA séu nákomnir ættingjar o.fl.
Í bréfinu segir einnig eftirfarandi um tilgang vinnslunnar:
„Farið er fram á launaseðla þeirra starfsmanna sem NPA miðstöðin hefur ráðið sem aðstoðarmenn í eftirlitsskyni ekki aðeins til að sjá hvernig fjármunum er varið heldur einnig til þess að sú þjónusta sem veitt er sé í samræmi við reglur sveitarfélagsins, s.s. um vinnuálag hvers starfsmanns, hvort viðkomandi uppfylli skilyrði til að starfa sem slíkur o.s.frv. Í reglum sem sveitarfélagið hefur sett sér um NPA er t.d. kveðið á um að aðstoðarmaður sé ekki á sakaskrá, sé ekki maki, náinn ættingi eða undir 18 ára aldri. Ekki er hægt að ganga úr skugga um framangreint nema með upplýsingum um starfsmenn og vinnuframlag hvers og eins sem síðan er borið saman við greidd laun.“
Með bréfi, dags. 28. apríl 2015, óskaði Persónuvernd enn fremur eftir áliti Ríkisendurskoðunar á því hvort að sú beiðni sveitarfélagsins, að óska eftir persónugreinanlegum launaseðlum starfsmanna miðstöðvarinnar, rúmist innan þeirra heimilda sem sveitarfélög hafa þegar kemur að eftirliti með ráðstöfun á opinberu fé. Svarbréf Ríkisendurskoðunar, dags. 15. maí, barst Persónuvernd þann 19. maí 2015. Þar kemur m.a. fram að stofnuninni sé að lögum almennt ekki ætlað að leysa úr eða taka afstöðu til lögfræðilegra álitaefna. Þá þekki stofnunin ekki til hlítar innri eftirlitsheimildir sveitarfélaga og því verði að taka álit stofnunarinnar með fyrirvara að því leyti. Að mati Ríkisendurskoðunar telji hún hins vegar að heildarlistun launa og rekstrayfirlit eigi að jafnaði að duga til þess að koma við eðlilegu og reglubundnu eftirliti. Upplýsingagjöf af þessu tagi sé ekki hægt að byggja á ákvæði 14.2 í samningi aðilanna. Þá komi einnig skýrt fram í bráðabirgðaákvæði IV í lögum um málefni fatlaðra að byggja þurfi á því sem ákveðið er í samningum á milli aðila.
2.
Forsendur og niðurstaða
2.1.
Þau lög, sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Með vísan til framangreinds er ljóst að miðlun upplýsinga um launþega hjá NPA-miðstöðinni til Kópavogsbæjar fellur undir gildissvið laga nr. 77/2000.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst NPA-miðstöðin vera ábyrgðaraðili á miðlun upplýsinga, sem fram koma á launaseðlum starfsfólks miðstöðvarinnar, til Kópavogsbæjar.
2.2.
Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverri af kröfum 8. gr. laga nr. 77/2000. Svo að vinnsla viðkvæmra persónuupplýsinga sé heimil þarf einnig að vera fullnægt einhverri af viðbótarkröfum 9. gr. sömu laga fyrir slíkri vinnslu. Á launaseðlum þeim, sem Kópavogsbær hefur gert kröfu um, birtast m.a. stéttarfélagsupplýsingar launþega, en slíkar upplýsingar teljast viðkvæmar, sbr. e-lið 8. tölul. 2. gr. laganna. Þarf því heimild til vinnslunnar í bæði 8. og 9. gr. framangreindra laga.
Þau ákvæði 8. gr. laga nr. 77/2000, sem einkum reynir á í tengslum við umrædda miðlun eru 3. og 6. tölul. 1. mgr., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu eða að vinnsla sé nauðsynleg við beitingu opinbers valds. Af ákvæðum 9. gr. getur reynt á 2. tölul. 1. mgr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil standi til hennar sérstök lagaheimild.
Þegar stjórnvöld afla upplýsinga í tengslum við eftirlit með fjármunum verður einkum talið að 3. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000 geti átt við um upplýsingaöflunina og eftirfarandi vinnslu upplýsinganna, sbr. einnig 2. tölul. 1. mgr. 9. gr. laganna. Samkvæmt 3. tölul. 8. gr. og 2. tölul. 9. gr. er vinnsla heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Í svari sínu hefur Kópavogsbær einkum vísað til laga um málefni fatlaðs fólks, reglna sem sveitarfélagið hefur sett sér um NPA og samnings sem gerður var við NPA-miðstöðina sem heimild fyrir framangreindri vinnslu. Við mat á því hvort á NPA-miðstöðinni hvíli sú skylda að afhenda launaseðla starfsfólks miðstöðvarinnar mánaðarlega til Kópavogsbæjar verður að líta til þeirra lagareglna sem um málefnið gilda. Eins og hér háttar til reynir einkum á ákvæði laga nr. 59/1992, um málefni fatlaðs fólks, reglna Kópavogsbæjar um NPA-aðstoð og þann samning sem NPA-miðstöðin hefur gert við sveitarfélagið. Þá verður einnig að líta til þess að samkvæmt hinni almennu lögmætisreglu stjórnsýsluréttarins ber stjórnvöldum að starfa innan þess ramma sem lög setja þeim.
Um notendastýrða persónulega aðstoð (NPA) er fjallað í IV. ákvæði til bráðabirgða með lögum nr. 59/1992, um málefni fatlaðs fólks. Þar segir m.a. í 4. mgr. að sveitarfélög geri notendasamninga um notendastýrða persónulega aðstoð við hvern notanda eða aðila sem kemur fram fyrir hönd hans. Sveitarfélagi sé heimilt að ráðstafa þeim fjármunum sem svara til kostnaðar vegna þjónustu hvers notanda sem veitt er á grundvelli notendasamnings um NPA til notandans með þeim hætti sem ákveðið er í notendasamningum. Þá segir í 5. mgr. að faglegt og fjárhagslegt mat á samstarfsverkefninu skuli fara fram í lok árs 2014 en þá skuli verkefninu formlega vera lokið. Samkvæmt frétt á heimasíðu velferðarráðuneytis, dags. 14. janúar 2015, hefur ráðherra tekið ákvörðun um að framlengja verkefnið til ársloka 2016 eða þar til endurskoðun á lögum um félagsþjónustu sveitarfélaga og málefni fatlaðs fólks er lokið. Frumvarp til breytinga á lögum um málefni fatlaðs fólks, þar sem lagt er til að gildistími IV. ákvæðis til bráðabirgða með lögunum verði framlengt til ársloka 2016, hefur nú verið lagt fram á Alþingi.
Þá segir í 4. gr. laga um málefni fatlaðs fólks að sveitarfélög beri ábyrgð á skipulagi og framkvæmd þjónustu við fatlað fólk, þar með talið gæðum þjónustunnar, sem og kostnaði vegna hennar samkvæmt framangreindum lögum nema annað sé tekið fram eða leiði af öðrum lögum. Enn fremur skuli sveitarfélögin hafa innra eftirlit með framkvæmd þjónustunnar, þar á meðal með framkvæmd samninga sem sveitarfélögin gera við rekstrar- eða þjónustuaðila um framkvæmd þjónustunnar, sbr. 6. gr. b. Í 6. gr. b. framangreindra laga segir að gerður skuli samningur við þjónustu- eða rekstraraðila, sem hlotið hafi starfsleyfi sveitarfélagsins. Í samningnum skuli mælt ítarlega fyrir um skyldur beggja aðila og hvernig eftirliti skuli háttað. Ákvæði þessi eru enn fremur í samræmi við það sem fram kemur í 100. og 101. gr. sveitarstjórnarlaga nr. 138/2011.
Þá samþykkti bæjarráð Kópavogsbæjar þann 17. janúar 2012 reglur um notendastýrða persónulega aðstoð fyrir fatlað fólk. Í reglunum er ekki sérstaklega fjallað um það þegar notandi ákveður að nýta sér þjónustuaðila á borð við NPA-miðstöðina. Þar segir hins vegar í 3. mgr. 10. gr. að notandi skuli sjá til þess að í bókhaldsgögnum hans séu, undirskrifaðar af báðum aðilum og tímasettar, kvittanir eða launamiðar fyrir öllum greiðslum hvort sem þær eru til persónulegra aðstoðarmanna eða sjálfstæðra aðila. Þá segir í 4. mgr. sömu greinar að notanda beri að skila reglulega yfirliti yfir bankareikninginn sem hann fær greiðslurnar inn á þar sem skilgreint er hvernig fjármagninu var ráðstafað. Þá ber notanda að skrá bókhald jöfnum höndum og skila því inn til velferðarsviðs til yfirferðar samkvæmt samningi.
Í samstarfssamningi milli
NPA miðstöðvarinnar og Kópavogsbæjar um framkvæmd á notendastýrðri
persónulegri aðstoð segir í grein 14.2 að umsýsluaðila, þ.e.
NPA-miðstöðinni, sé skylt að fenginni beiðni að veita sveitarfélagi
upplýsingar um tímaskrár, vinnuáætlanir og ráðningarsamninga vegna hvers
notanda fyrir sig. Einnig segir að fari sveitarfélagið fram á að það
skuli umsýsluaðili vinna sjálfsmat á framkvæmd og árangri þeirrar
þjónustu sem veitt er. Enn fremur segir í grein 14.3 að umsýsluaðila
beri að færa bókhald á ábyrgan hátt og í samræmi við gildandi lög og
reglugerðir. Löggiltur endurskoðandi skuli endurskoða bókhaldið. Þá
segir enn fremur að umsýsluaðili skuli senda sveitarfélagi eitt eintak
af ársreikningum fyrir fyrirtæki sitt fyrir 1. júlí ár hvert. Loks hafi
sveitarfélag heimild til að skoða beint stjórnunar- og fjárhagsþætti hjá
umsýsluaðila en umsýsluaðili skuli vera til aðstoðar við
endurskoðunina, þar með talið að leggja fram allar nauðsynlegar
upplýsingar í tengslum við skoðunina. Sé þess óskað má umsýsluaðili hafa
sinn eigin endurskoðanda viðstaddan skoðunina.
Að mati Persónuverndar er í framangreindum ákvæðum laga um málefni fatlaðs fólks, reglna Kópavogsbæjar um NPA eða samningsákvæðum samstarfssamningsins hvergi að finna heimild til öflunar persónugreinanlegra upplýsinga um laun starfsmanna NPA miðstöðvarinnar af hálfu sveitarfélagsins. Þvert á móti er tekið fram með tæmandi hætti hvaða upplýsingum sveitarfélagið getur óskað eftir, þ.e. tímaskrám, vinnuáætlunum og ráðningarsamningum hvers notanda fyrir sig. Þá á sveitarfélagið einnig rétt á að fara á starfsstöð viðkomandi umsýsluaðila og kanna stjórnunar- og fjárhagsþætti, mögulega að viðstöddum endurskoðanda umsýsluaðilans. Telur Persónuvernd því að ekki séu til staðar fullnægjandi heimildir fyrir beiðni Kópavogsbæjar um að fá afhentar persónugreinanlegar upplýsingar á launaseðlum starfsmanna NPA-miðstðvarinnar.
Að auki verður, eins og ávallt við vinnslu persónuupplýsinga, að vera fullnægt öllum grunnkröfum 7. gr. laga nr. 77/2000, m.a. að þess skuli gætt að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.)
Í bréfi sínu bendir Kópavogsbær á að beiðnin lúti ekki eingöngu að því að hafa eftirlit með fjármunum sveitarfélagsins heldur einnig til að tryggja að sú þjónusta sem veitt er sé í samræmi við reglur sveitarfélagsins. Í reglunum sé m.a. kveðið á um vinnuálag hvers starfsmanns, hvort viðkomandi uppfylli skilyrði til að starfa sem aðstoðarmaður o.þ.h. Ekki sé hægt að ganga úr skugga um framangreint að öðru leyti en því að bera saman upplýsingar um starfsmenn og vinnuframlag við greidd laun. Að mati Persónuverndar hefur Kópavogsbær ekki sýnt fram á að beiðni hans samrýmist meðalhófskröfum, sbr. 3. tölul. 1. mgr. 7. gr. Þá er það mat stofnunarinnar að ekki sé nauðsynlegt eða málefnalegt að sveitarfélagið fái umræddar upplýsingar sendar mánaðarlega í tölvupósti, sbr. 1. tölul. 1. mgr. 7. gr.
Rétt er þó að taka fram að upp geta komið tilvik þar sem gæti reynt á rannsóknarskyldu sveitarfélagsins, t.a.m. vegna rökstudds gruns um að misfarið sé með fjármuni þess. Í slíkum afmörkuðum tilvikum gæti sveitarfélaginu verið heimilt að óska eftir tilteknum upplýsingum á launaseðli starfsmanna til að kanna réttmæti slíks gruns.
Í ljósi framangreinds, með vísan til lögmætisreglu stjórnsýsluréttarins og þess að Kópavogsbær hefur ekki bent á aðra heimild fyrir umræddri vinnslu í 8. og 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er það mat Persónuverndar að umrædd vinnsla persónuupplýsinga um starfsmenn NPA-miðstöðvarinnar geti ekki verið byggð á þeim ákvæðum í lögum um málefni fatlaðs fólks sem Kópavogsbær hefur vísað til framangreindum ákvæðum. Þá telur Persónuvernd að það sé ekki í samræmi við 1. og 3. tölul. 1.mgr. 7. gr. laganna að óska eftir umræddum launaseðlum starfsmanna NPA-miðstöðvarinnar með reglubundnum hætti.
Á l i t s o r ð
NPA miðstöðinni svf. er ekki skylt að afhenda Kópavogsbæ mánaðarlega sérgreindar launaseðlaupplýsingar starfsfólks miðstöðvarinnar.