Vinnsla Reykjavíkurborgar á persónuupplýsingum í tengslum við starfsleyfi og miðlun borgarlögmanns á hluta þeirra til lögmanns og matsmanna vegna dómsmáls

Mál nr. 2022050993

10.1.2024

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu Reykjavíkurborgar í máli nr. 2022050993:

I.

Málsmeðferð

Hinn 27. maí 2022 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi), yfir annars vegar afhendingu á viðkvæmum persónuupplýsingum um hana, sem unnið hafði verið með hjá skóla- og frístundasviði Reykjavíkurborgar, milli sviða borgarinnar og til borgarlögmanns í tengslum við endurnýjun starfsleyfis hennar fyrir daggæslu í heimahúsi. Hins vegar yfir miðlun borgarlögmanns á viðkvæmum persónuupplýsingum um hana til lögmanns hennar og dómkvaddra matsmanna í tengslum við skaðabótamál sem hún höfðaði gegn Reykjavíkurborg vegna vinnuslyss.

Persónuvernd bauð Reykjavíkurborg að tjá sig um kvörtunina með bréfi, dags. 13. apríl 2023, og bárust svör borgarinnar 11. júní s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Reykjavíkurborgar með bréfi, dags. 4. maí s.á., ítrekuðu 5. júlí s.á., og bárust þær með tölvupósti 19. s.m. Hinn 26. september 2023 hringdi kvartandi í Persónuvernd og óskaði eftir því að leggja fram frekari gögn í málinu. Með tölvupósti sama dag bárust frá kvartanda sex skjöl.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

___________________

Kvartandi byggir á að hún hafi skrifað undir samþykkiseyðublað, dags. 23. febrúar 2021, þar sem fram hafi komið að þau gögn sem aflað yrði á grundvelli þess yrðu ekki notuð frekar í öðrum tilgangi en þeim að afgreiða umsóknina, en við það hafi ekki verið staðið og hafi gögnin, þ. á m. læknisvottorð, dags. 18. mars s.á., verið afhent milli deilda og sviða borgarinnar, svo og til borgarlögmanns og þaðan til þriðju aðila, þ.e. áðurnefndra dómkvaddra matsmanna. Þagnarskylda hafi ekki verið virt og ekki hafi verið gætt að tæknilegum ráðstöfunum eins og aðgangsstýringu. Þá er því lýst að gagnaöflun í matsmálum ætti að fara fram af hálfu matsmanna, að borgarlögmaður hefði því ekki átt að afhenda umrædd gögn að fyrra bragði og að matsmenn hefðu átt að leita þeirra hjá lögmanni kvartanda.

Með svörum kvartanda á síðari stigum málsins fylgdi m.a. samþykktareyðublað frá Reykjavíkurborg vegna vinnslu persónuupplýsinga hennar við mat trúnaðarlæknis á starfshæfni, undirritað af kvartanda 23. febrúar 2021.Varðandi meðferð gagna innan Reykjavíkurborgar byggir borgin á að kvartandi hafi 29. maí 2020 lagt fram umsókn um endurnýjun á starfsleyfi fyrir daggæslu í heimahúsi. Í tengslum við umsóknina hafi kvartandi jafnframt lagt fram læknisvottorð, dags. 25. s.m., þar sem lýst var tilteknum heilsufarsvandamálum en jafnframt tekið fram að ekkert mælti gegn því að kvartandi starfaði með börnum. Þegar starfsleyfi kvartanda hafi runnið út 20. ágúst 2020 hafi skóla- og frístundasvið Reykjavíkurborgar óskað eftir ráðgefandi lögfræðiáliti borgarlögmanns vegna vottorðsins í ljósi þess að annað mál varðandi kvartanda hafi verið til meðferðar fyrir dómstólum, þ.e. áðurnefnt skaðabótamál. Einnig byggir Reykjavíkurborg á að ekki hafi verið um eiginlega miðlun að ræða þar sem borgarlögmaður sé í fyrirsvari vegna skaðabótakrafna sem beinist gegn Reykjavíkurborg og því hafi verið um einn og sama ábyrgðaraðilann að ræða. Þann 3. september 2020 hafi borgarlögmaður gefið álit sitt um að læknisvottorðið hafi ekki uppfyllt áskilnað reglugerðar nr. 907/2005 um daggæslu í heimahúsum, sbr. breytingareglugerð nr. 409/2023. Hafi kvartanda verið tilkynnt, með bréfi dags. 10. september 2020, um afstöðu borgarinnar og að ráðgert væri að synja beiðninni. Jafnframt hafi kvartanda verið boðið að koma á framfæri nýjum gögnum og sjónarmiðum áður en endanleg ákvörðun um afgreiðslu umsóknarinnar yrði tekin. Kvartandi hafi mótmælt afstöðu Reykjavíkurborgar, með vísan til þess að á vottorðinu væri sérstaklega tekið fram að ekkert kæmi í veg fyrir að kvartandi ynni með börnum, en kvartandi hafi ekki lagt fram nýtt læknisvottorð. Hinn 9. desember 2020 hafi kvartanda verið tilkynnt um synjun á beiðni hennar á endurnýjun starfsleyfisins. Með bréfi, dags. 21. janúar 2022, hafi skóla- og frístundasvið Reykjavíkurborgar boðið kvartanda að gangast undir mat á starfshæfni hjá trúnaðarlækni og með bréfinu hafi fylgt eyðublað vegna upplýsts samþykkis. Með tölvupósti 9. febrúar s.á. hafi lögmaður kvartanda komið á framfæri sjónarmiðum umbjóðanda síns vegna samþykkisins. Í bréfi Reykjavíkurborgar, dags. 18. s.m., hafi skýrlega verið tekið fram að ef kvartandi kysi að skila inn vottorði trúnaðarlæknis og hygðist byggja á því rétt yrðu starfsmenn Reykjavíkurborgar sem kæmu að ákvörðunartöku eða ráðgjöf að fá aðgang að umræddu vottorði ásamt öðrum gögnum er umsókninni fylgdu.

Varðandi afhendingu gagna til matsmanna byggir Reykjavíkurborg á því að með beiðni lögmanns kvartanda til Héraðsdóms Reykjavíkur, dags. 22. nóvember 2022, hafi hann, með vísan til 1. mgr. 77. gr. í XII. kafla laga nr. 91/1991 um meðferð einkamála, sbr. IX. kafla laganna, farið fram á að dómkvaddir yrðu tveir óvilhallir og sérfróðir menn, til að meta afleiðingar þess vinnuslyss sem varð tilefni fyrrnefnds skaðabótamáls sem kvartandi höfðaði. Því máli til grundvallar hafi kvartandi lagt fram yfir 40 gögn, m.a. læknisvottorð um að hún væri algerlega óvinnufær. Að mati Reykjavíkurborgar hafi það skotið skökku við að kvartandi hafi lýst því yfir að hún væri heil heilsu í einu máli en algerlega óvinnufær í öðru máli í málarekstri sínum gegn Reykjavíkurborg. Mikils ósamræmis hafi því gætt í veittum upplýsingum um vinnufærni hennar í málunum tveimur. Í ljósi þess að kvartandi hafi gert Reykjavíkurborg kunnugt um upplýsingarnar verði talið að kvartandi hefði mátt vita að þær yrðu notaðar til að verjast réttarkröfum hennar. Auk þess hafi lögmanni kvartanda verið samhliða send umrædd gögn.

Þá byggir Reykjavíkurborg á því að persónuupplýsingar séu varðveittar hjá borginni með öruggum hætti innan skjalavistunarkerfa borgarinnar og að varðveisla þeirra sé aðgangsstýrð. Upplýsingunum sé miðlað í læstum skjölum milli sviða og skrifstofa og svo hafi einnig verið þegar skóla- og frístundasviði sendi borgarlögmanni umrædd gögn. Persónuupplýsingar um kvartanda hafi aðeins verið sendar til þeirra sem nauðsynlega hafi þurft að fá aðgang að þeim og hafi meðalhófs þannig verið gætt við vinnsluna. Þá sé allt starfsfólk Reykjavíkurborgar bundið lögbundinni trúnaðar- og þagnarskyldu.

II.

Niðurstaða

1.

Afmörkun máls – Ábyrgðaraðili

Annars vegar lýtur mál þetta að afhendingu á læknisvottorðum um kvartanda, sem hún hafði lagt fram hjá skóla- og frístundasviði, til borgarlögmanns. Skal í því sambandi tekið fram að ekki verður ráðið af gögnum máls að vottorðin hafi að öðru leyti verið afhent milli sviða og deilda borgarinnar eins og kvörtun virðist gera ráð fyrir. Hins vegar varðar málið afhendingu borgarlögmanns á vottorðunum til lögmanns kvartanda og matsmanna í skaðabótamáli. Varðar málið því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist persónuverndarlögum er nefndur ábyrgðaraðili. Einstakar deildir og svið hjá lögaðila teljast ekki sjálfstæðir ábyrgðaraðilar að vinnslu persónuupplýsinga. Þá er ljóst að borgarlögmaður er í fyrirsvari fyrir Reykjavíkurborg og einstök svið og stofnanir hennar um lögfræðileg málefni og vegna skaðabótakrafna sem beint er gegn borginni. Telst því Reykjavíkurborg vera ábyrgðaraðili umræddrar vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Með vísan til framangreinds var ekki um að ræða miðlun persónuupplýsinga frá einum ábyrgðaraðila til annars, þegar upplýsingar um kvartanda voru afhentar borgarlögmanni í tengslum við starfsemi borgarinnar. Í því fólst hins vegar að persónuupplýsingar voru gerðar aðgengilegar starfsmönnum hjá borginni og var að því leytinu til um að ræða vinnslu persónuupplýsinga um kvartanda eins og hér háttar til.

Þá telst miðlun persónuupplýsinga kvartanda til lögmanns, sem er í fyrirsvari fyrir hana í ágreiningsmáli þar sem upplýsingarnar hafa þýðingu, vera miðlun til hennar sjálfrar.

2.

Lögmæti vinnslu

2.1

Lagaumhverfi

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar ef vinnslan er nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, svo og ef vinnslan er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða, sem krefjast verndar persónuupplýsinga, vegi þyngra, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins. Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar viðkvæmar, en af kvörtun verður ráðið að unnið hafi verið með upplýsingar um heilsu kvartanda. Eins og hér háttar til kemur þá einkum til skoðunar 8. tölul. 1. mgr. 11. gr. laganna, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni er sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu, sbr. h-lið 2. mgr. 9. gr. reglugerðarinnar, og 6. tölul. 1. mgr. 11. gr. laganna, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, sbr. f-lið 2. mgr. 9. gr. reglugerðarinnar.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Eins og hér háttar til reynir þá einkum á lög nr. 40/1991 um félagsþjónustu sveitarfélaga, lög nr. 91/1991 um meðferð einkamála og reglugerð nr. 907/2005 um daggæslu barna í heimahúsum. Verður fjallað um þessar réttarheimildir hér að neðan eftir því sem við á.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins, að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins, að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. Lagaákvæðisins, og að þær skuli unnar með þeim hætti að viðeigandi öryggi persónuupplýsinganna sé tryggt, sbr. 6. tölul. lagaákvæðisins.

2.2

Vinnsla Reykjavíkurborgar á persónuupplýsingum kvartanda í tengslum við umsókn hennar um starfsleyfi til daggæslu í heimahúsi

Leyfisveitingar til daggæslu barna í heimahúsum heyrðu undir skóla- og frístundasvið Reykjavíkurborgar frá 12. september 2011 þar til 1. janúar 2022 þegar gæða og eftirlitsstofnun velferðarmála tók við útgáfu slíkra leyfa. Samkvæmt því féllu leyfisveitingarnar sem hér um ræðir undir skóla- og frístundasvið.

Í málinu liggur fyrir að 29. maí 2020 sótti kvartandi um endurnýjun á starfsleyfi sínu fyrir daggæslu í heimahúsi. Í 13. gr. reglugerðar nr. 907/2005 um daggæslu barna í heimahúsum, sem sett var með heimild í 34. gr. laga nr. 40/1991 um félagsþjónustu sveitarfélaga, með síðari breytingum, er kveðið á um skilyrði fyrir slíkum leyfisveitingum. Í 3. tölul. 13. gr. reglugerðarinnar er áskilið að umsækjandi um starfsleyfi staðfesti með læknisvottorði að ekki hafi fundist merki um sjúkdóm sem hindrað geti að hann geti tekið að sér daggæslu barna í heimahúsi. Einnig að aðrir heimilismenn hafi verið skoðaðir og að ekkert athugavert hafi fundist við heilsufar þeirra sem hindri samvistir við börn.

Af framangreindu má ráða að samkvæmt umræddu reglugerðarákvæði felst skyldubundið mat Reykjavíkurborgar á vinnufærni umsækjenda um framangreint starfsleyfi, þ. á m. á grundvelli fram lagðra læknisvottorða.

Borgarlögmaður er í fyrirsvari fyrir Reykjavíkurborg og stofnanir hennar, m.a. um lögfræðileg málefni. Þá liggur fyrir að vegna vafa um orðalag í læknisvottorðum kvartanda óskaði skóla- og frístundasvið Reykjavíkurborgar eftir lögfræðilegu áliti borgarlögmanns á því hvort umrætt læknisvottorð uppfyllti framangreint skilyrði reglugerðarinnar um vinnufærni.

Í ljósi framangreinds telur Persónuvernd að vinnsla Reykjavíkurborgar á persónuupplýsingum um kvartanda hafi getað stuðst við heimild samkvæmt 3. tölul. 9. gr. laga nr. 90/2018, sbr. einnig c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þá telur Persónuvernd vinnslu Reykjavíkurborgar á viðkvæmum persónuupplýsingum kvartanda jafnframt hafa getað stuðst við 8. tölul. 1. mgr. 11. gr. laganna og h-lið 1. mgr. 9. gr. reglugerðarinnar.

3.2

Miðlun borgarlögmanns á persónuupplýsingum kvartanda til lögmanns hennar og dómkvaddra matsmanna

Samkvæmt fyrirliggjandi gögnum höfðaði kvartandi skaðabótamál gegn Reykjavíkurborg vegna vinnuslyss sem hún lenti í 21. mars 2020. Í málinu var lagt fram læknisvottorð af kvartanda hálfu um að hún væri algerlega óvinnufær. Einnig lá fyrir að borgarlögmaður, sem var í fyrirsvari fyrir Reykjavíkurborg í skaðabótamálinu, hafði veitt álit sitt á öðru læknisvottorði kvartanda vegna endurnýjunar umsóknar hennar 29. maí s.á. um starfsleyfi fyrir daggæslu í heimahúsi. Í því vottorði hafi komið fram að ekkert mælti gegn því að kvartandi starfaði með börnum. Hjá Reykjavíkurborg lágu því fyrir gögn með misvísandi upplýsingum um heilsufar kvartanda og vinnufærni. Að hálfu Reykjavíkurborgar er á því byggt að vinnsla persónuupplýsinga um kvartanda hafi verið nauðsynleg til þess að gæta lögmætra hagsmuna borgarinnar. Borgarlögmaður taldi að misræmi upplýsinganna gæti skipt máli við úrlausn réttarágreiningsins og miðlaði vottorðunum til lögmanns kvartanda og matsmanna sem kvartandi hefði sjálf óskað eftir að kvaddir yrðu til matsgerðar í málinu.

Persónuvernd hefur litið svo á að aðilar að einkamáli fyrir dómstólum eigi lögmætra hagsmuna að gæta af niðurstöðu þess. Þá hefur Persónuvernd talið að játa verði aðilum ágreiningsmála nokkurt svigrúm til mats á því hvaða persónuupplýsingar nauðsynlegt er að vinna með í þágu úrlausnar réttarágreinings og með hvaða hætti. Þá er málsforræðisreglan óskráð grundvallarregla í íslensku einkamálaréttarfari og byggir m.a. á því að aðilar afli sjálfir sönnunargagna.

Með hliðsjón af því að borgarlögmaður var í fyrirsvari fyrir Reykjavíkurborg í umræddu máli og fyrirliggjandi gögnum og skýringum aðila sem lúta að réttarágreiningi í skaðabótamálinu verður að telja að hagsmunir Reykjavíkurborgar af því að miðla gögnunum hafi hér vegið þyngra en hagsmunir og grundvallarréttindi og frelsi kvartanda af því að miðlunin færi ekki fram, sbr. 6. tölul. 9. gr. laga nr. 90/2018, sbr. f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

Hvað varðar miðlun borgarlögmanns á persónuupplýsingum um heilsufar kvartanda til lögmanns hennar og hinna dómkvöddu matsmanna er það jafnframt mat Persónuverndar að hún hafi getað stuðst við skilyrði 6. tölul. 1. mgr. 11. gr. laganna, sbr. f-lið 2. mgr. 9. gr. reglugerðarinnar, sem vísar til þess að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur.

3.3

Sanngjörn og gagnsæ vinnsla – Fræðsla – Öryggi upplýsinga

Kemur þá til skoðunar hvort vinnslan hafi samrýmst meginreglum 1. mgr. 8. gr. laga nr. 90/2018 og 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, m.a. hvort persónuupplýsingarnar hafi verið unnar með lögmætum, sanngjörnum og gagnsæjum hætti, hvort þær hafi verið fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, hvort gætt hafi verið meðalhófs og hvort viðeigandi öryggi upplýsinganna hafi verið tryggt, sbr. 1., 2., 3. og 6. tölul. 1. mgr. 8. gr. laganna og a-, b-, c- og f-lið 1. mgr. 5. gr. reglugerðarinnar.

Krafan um sanngjarna og gagnsæja vinnslu persónuupplýsinga felur m.a. í sér að einstaklingum á að vera það ljóst þegar persónuupplýsingum um þá er safnað, þær notaðar, skoðaðar eða unnar á annan hátt. Nánari reglur um gagnsæi og fræðslu eru í 12.-15. gr. reglugerðar (ESB) 2016/679, sbr. 17. gr. laga nr. 90/2018, þar sem mælt er fyrir um tilkynningar- og fræðsluskyldu ábyrgðaraðila og upplýsinga- og aðgangsrétt skráðra einstaklinga og takmarkanir þar á. Í 1.-3. mgr. 13. gr. reglugerðarinnar er fjallað um þær upplýsingar sem ber að veita við öflun persónuupplýsinga hjá skráðum einstaklingi. Samkvæmt 4. mgr. 17. gr. laganna og 1. mgr. 23. gr. reglugerðarinnar er þó heimilt að takmarka rétt hins skráða samkvæmt 13. gr. reglugerðarinnar virði slík takmörkun eðli grundvallarréttinda og mannfrelsis og teljist nauðsynleg og hófleg ráðstöfun í lýðræðisþjóðfélagi, m.a. til að tryggja það að einkaréttarlegum kröfum sé fullnægt, sbr. 7. tölul. 4. mgr. 17. gr. laganna og j-lið 1. mgr. 23. gr. reglugerðarinnar. Þá er auk þess heimilt að takmarka fræðsluskylduna til kvartanda að því marki sem hinn skráði hefur þegar fengið vitneskju um vinnsluna, sbr. 4. mgr. 13. gr. reglugerðarinnar.

Hvað varðar gagnsæiskröfuna í tengslum við endurnýjun starfsleyfis kvartanda er það mat Persónuverndar, m.a. í ljósi samþykkis kvartanda fyrir vinnslu starfshæfnimats trúnaðarlæknis Reykjavíkurborgar, að 4. mgr. 13. gr. reglugerðarinnar hafi átt við. Liggur því ekki fyrir brot gegn persónuverndarlöggjöfinni í því sambandi.

Hvað snertir vinnslu persónuupplýsinga kvartanda vegna réttarágreinings í skaðabótamáli er til þess að líta að það gæti skert réttinn til að gæta hagsmuna sinna með eðlilegum hætti í dómsmáli að þurfa að upplýsa um það fyrirfram hvernig málatilbúnaði verði háttað og á hvaða gögnum verði byggt. Jafnframt telur Persónuvernd að kvartanda hafi mátt vera ljóst að Reykjavíkurborg, sem aðili að því máli sem kvartandi hafði frumkvæði að, myndi vinna með þær persónuupplýsingar sem hér eru til umfjöllunar, en kvartandi lagði upplýsingarnar sjálf fram og byggði málatilbúnað sinn á hluta þeirra. Í ljósi þessara atriða telur Persónuvernd 7. tölul. 4. mgr. 17. gr. laga nr. 90/2018 og 4. mgr. 13. gr. reglugerðar (ESB) hafa átt við í málinu og að því hafi hér ekki þurft að veita sérstaka fræðslu.

Að auki verður ekki talið að þegar persónuupplýsingar eru nýttar vegna úrlausnar réttarágreinings, og þær hafa þýðingu í því sambandi, fari fram vinnsla í öðrum og ósamrýmanlegum tilgangi miðað við þann sem upphaflega var byggt á, sbr. 3. mgr. 13. gr. og b-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, sbr. einnig 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Ekki verður séð að upplýsingarnar í máli þessu hafi verið þýðingarlausar vegna þess réttarágreinings sem hér um ræðir og telst því ekki hafa verið brotið gegn framangreindum ákvæðum.

Þá kemur fram í skýringum Reykjavíkurborgar að skjalavistunarkerfi hennar séu aðgangsstýrð og að gögn kvartanda hafi verið send á milli sviða í læstum skjölum. Jafnframt hafi upplýsingarnar aðeins verið sendar þeim sem nauðsynlega þurftu að fá aðgang að þeim og að meðalhófs hafi verið gætt við vinnsluna. Auk þess sé allt starfsfólk Reykjavíkurborgar bundið lögbundinni trúnaðar- og þagnarskyldu.

Með vísan til alls framangreinds er það niðurstaða Persónuverndar að sú vinnsla persónuupplýsinga sem til úrlausnar er hafi samrýmst meginreglum 1. mgr. 8. gr. laga nr. 90/2018 og 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Þá er það mat Persónuverndar að Reykjavíkurborg hafi við vinnslu persónuupplýsinga kvartanda gert viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja viðunandi öryggi persónuupplýsinga kvartanda, sbr. 27. gr. laga nr. 90/2018, sbr. 32. gr. reglugerðar (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Vinnsla Reykjavíkurborgar á persónuupplýsingum [A], þ. á m. heilsufarsupplýsingum hennar, í tengslum við umsókn um leyfi til daggæslu í heimahúsi, samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Miðlun Reykjavíkurborgar á persónuupplýsingum [A], þ. á m. heilsufarsupplýsingum hennar, til dómkvaddra matsmanna og lögmanns hennar samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 22. desember 2023

Þórður Sveinsson                             Rebekka Rán Samper