Sending tölvupósta frá grunnskóla til foreldra
Persónuvernd hefur úrskurðað að sending tölvupósts frá grunnskóla til foreldra nemenda í skólanum hafi verið í samræmi við lög nr. 77/2000. Í tölvupóstinum var að finna upplýsingar um forvarnarstarf á vegum þriðja aðila.
Úrskurður
Hinn 22. september 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2015/448:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 6. mars 2015 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) varðandi sendingu auglýsingapósta og meinta miðlun netfangalista úr Mentor-kerfi Öldutúnsskóla sem innihélt m.a. netfang kvartanda. Í kvörtuninni segir m.a. að áskilið sé að foreldrar nemenda í Öldutúnsskóla gefi upp heimilisföng, símanúmer og netföng vegna nauðsynlegra samskipta sem varða börn viðkomandi og skólagöngu þeirra. Þá telur kvartandi að netfangalisti Öldutúnsskóla sé misnotaður með útsendingu auglýsingapósta um alls óskylda starfsemi sem komi skólastarfinu ekki við. Meðfylgjandi kvörtuninni fylgdi auglýsingapóstur frá Glætunni, sem samkvæmt auglýsingunni er tómstundarmiðstöð fyrir börn og ungmenni sem eiga undir högg að sækja félagslega, eiga í samskiptaerfiðleikum, líða fyrir félagslega einangrun, afskiptleysi og einsemd af ýmsum ástæðum, s.s. vegna eineltis og skorts á félagsfærni.
2.
Bréfaskipti
Með bréfi, dags. 10. mars 2015, var Öldutúnsskóla boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi Öldutúns, dags. 16. mars 2015, segir m.a. að þann 6. mars 2014 hafi náms- og starfsráðgjafi Öldutúnsskóla sent, með samþykki skólastjórnenda skólans, tölvupóst á alla foreldra í 6.-10. bekk Öldutúnsskóla um forvarnarstarfsemi á vegum tómstundamiðstöðvarinnar Glætunnar. Tölvupóstinn hafi hann sent í gegnum Mentor sem skólinn stýri og engir utanaðkomandi aðilar hafi aðgang að eða fá upplýsingar úr. Þegar tölvupóstur sé sendur á foreldra, starfsmenn eða nemendur í gegnum Mentor sé það skólinn sem sé að senda upplýsingarnar þar sem engin miðlun persónuupplýsinga eigi sér stað og engum öðrum séu veittar slíkar upplýsingar. Öldutúnsskóli hafi því ekki verið að láta utanaðkomandi aðila fá persónuupplýsinagar heldur áframsendi upplýsingarnar um starfsemina til foreldra án þess að sá aðili hafi nokkuð að gera með framkvæmd þess eða fái persónuupplýsingar vegna þess. Hafi skólinn talið sér heimilt að miðla umræddum upplýsingum þar sem þær snéru að úrræði sem hann taldi að hefðu forvarnargildi. Forvarnir séu eitt af hlutverkum grunnskólans sem kveðið sé á um í lögum. Það sé svo foreldranna að leggja mat á það hvort þeir ætli að nýta sér þær upplýsingar sem finna mátti í umræddum tölvupósti.
Með bréfi, dags. 18. maí
2015, var kvartanda boðið að koma á framfæri athugasemdum sínum við
framkomnar skýringar Öldutúnsskólaen engin svör bárust.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.
Af málavöxtum og svörum ábyrgðaraðila verður ekki annað ráðið en að miðlun netfangalista til þriðja aðila hafi ekki farið fram og því telur stofnunin ekki tilefni til að fjalla frekar um þann þátt kvörtunarinnar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Öldutúnsskóli vera ábyrgaraðili að umræddri vinnslu.
Með vísan til framangreinds er ljóst að sending tölvupósta í gegnum Mentor kerfi Öldutúnsskóla er vinnsla persónuupplýsinga sem fellur undir gildissvið laga nr. 77/2000.
2.
Lögmæti vinnslu
Öll vinnsla persónuupplýsinga verður að eiga sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Í því felst meðal annars að ávallt verður að vera fullnægt einhverju af skilyrðum 8. gr. laganna.
Í lögum nr. 77/2000 er mælt fyrir um heimild til að vinna með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds, sbr. 3., 5. og 6. tölul. 1. mgr. 8. gr. laganna. Vinnsla stjórnvalda á persónuupplýsingum getur talist heimil samkvæmt þessum ákvæðum, en þó ávallt að því gefnu að hún samrýmist hlutverki viðkomandi stjórnvalds eins og það er skilgreint í lögum.
Í 24. gr. laga nr. 91/2008, um grunnskóla, er fjallað um aðalnámskrá grunnskóla. Þar segir að ráðherra setji aðalnámskrá grunnskóla sem kveði á um uppeldishlutverk grunnskólans og meginstefnu í kennslu og kennsluskipan í samræmi við hlutverk grunnskólans. Þá er talið upp í 12 stafliðum hvað almennur hluti aðalnámskrár skuli meðal annars leggja áherslu á en þar er m.a. fjallað um líkamlega og andlega velferð nemenda. Samkvæmt 2. mgr. 40. gr. laganna skulu grunnskólar auk þess vinna að forvarnastarfi með skimunum og athugunum á nemendum til að tryggja þeim kennslu og námsaðstoð við hæfi. Auk þess skal fara fram greining á nemendum sem eiga í sálrænum eða félagslegum erfiðleikum sem hafa áhrif á nám þeirra.
Í svari skólastjóra Öldutúnsskóla kemur fram skólinn hafi talið sér heimilt að senda umræddan tölvupóst um forvarnarstarfsemi tómstundamiðstöðvarinnar Glætunnará foreldra barna skólans, þar sem um sé að ræða úrræði sem hafi forvarnargildi en forvarnir séu eitt af hlutverkum skólans samkvæmt lögum.
Að mati Persónuverndar eru þær upplýsingar sem komið var áleiðis til foreldra barna í 6.-10. bekk Öldutúnsskóla til þess fallnar að nýtast foreldrum þeirra barna sem eiga undir högg að sækja félagslega. Þótt upplýsingarnar varði starfsemi aðila utan skólans varða þær forvarnarhlutverk grunnskóla eins og því er lýst í lögum um grunnskóla nr. 91/1981.
Er það mat Persónuverndar í ljósi framangreinds að ákvæði laga nr. 91/2008 hafi að geyma heimild til þeirrar vinnslu persónuupplýsinga sem kvörtun þessi lýtur að, þ.e. að senda tölvupóst um forvarnarstarf til foreldra barna í 6.-10. bekk Öldutúnsskóla.