Vinnsla persónuupplýsinga vegna umsóknar um fjárhagsaðstoð
Ákvörðun
I.
Málsmeðferð
1.
Tildrög máls
Þann 17. nóvember 2015 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) vegna vinnslu persónuupplýsinga um hana hjá Þjónustumiðstöð Grafarvogs og Kjalarness - Miðgarði (hér eftir þjónustumiðstöðin) í tengslum við ósk hennar um fjárhagsaðstoð. Í kvörtuninni segir m.a. að kvartandi hafi þegið fjárhagsaðstoð frá Reykjavíkurborg frá árinu 2005 og hafi þurft að afhenda afrit af launaseðlum og reikningum sem hún hafi greitt mánaðarlega. Auk þess telji hún eðlilegt að afhenda afrit af skattskýrslu sinni. Nýlega hafi henni þó verið stillt upp við vegg og sagt að hún ætti að ræða við fjármálaráðgjafa og hafa með sér auðkennislykil að heimabanka sínum. Gerði hún það ekki fengi hún ekki áframhaldandi aðstoð. Kvartandi telur óheimilt að gera það að skilyrði fyrir áframhaldandi aðstoð að hún opni heimabanka sinn.
2.
Bréfaskipti
Með bréfi, dags. 8. janúar 2016, var þjónustumiðstöðinni boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi þjónustumiðstöðvarinnar, dags. 26. janúar 2016, segir að kvartandi hafi sótt um styrk til greiðslu kostnaðar vegna skólamáltíða og íþrótta- og frístundastarfs dóttur sinnar, sbr. b-lið 16. gr. reglna nr. 1026/2010 um fjárhagsaðstoð frá Reykjavíkurborg. Í ákvæðinu komi fram að ætíð skuli liggja fyrir samkomulag um félagslega ráðgjöf. Kvartandi hafi undirritað slíkt samkomulag í október 2015 en samkvæmt því hafi það verið á ábyrgð hennar að mæta í viðtal til fjármálaráðgjafa og þiggja ráðgjöf. Ekki hafi verið gert að skilyrði fyrir fjárhagsaðstoðinni að kvartandi léti af hendi auðkennislykil fyrir heimabanka. Fjármálaráðgjöf sé ávallt í samvinnu við einstaklinginn og byggð á þeim gögnum sem hann kjósi að framvísa um tekjur sínar og útgjöld, hvort sem það séu útprentuð gögn eða auðkennislykill sem veitir aðgang að gögnum.
Fjármálaráðgjöfin sé í samræmi við 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Hún sé unnin í samvinnu við umsækjanda og líta verði svo á að umsækjandi veiti samþykki sitt með því að mæta til fjármálaráðgjafa og veita aðgang að þeim gögnum sem umsækjandi telur nauðsynleg til að fá heildarsýn yfir fjármál sín. Þá er vísað til þess að með undirritun umsóknar um fjárhagsaðstoð veiti umsækjandi starfsfólki fullt og ótakmarkað umboð til að afla nánar tiltekinna upplýsinga, sbr. 8. og 9. gr. reglna um fjárhagsaðstoð, ásamt því að skuldbinda sig til að tilkynna um breytingar er varða tekjur, eignir, hjúskaparstöðu, dvalarleyfi eða annað sem áhrif hefur á umsóknina.
Með bréfi, dags. 1. febrúar 2016, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar þjónustumiðstöðvarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi kvartanda, dags. 19. febrúar 2016, eru samskipti hennar við þjónustumiðstöðina ítarlega rakin. Segir meðal annars að kvartandi hafi skrifað undir áðurnefnt samkomulag um félagslega ráðgjöf á fundi 15. október 2015 og að félagsráðgjafi hjá þjónustumiðstöðinni hafi þá jafnframt bókað hana í viðtal hjá fjármálaráðgjafa. Í lok fundarins hafi félagsráðgjafinn sagt kvartanda að muna eftir viðtalinu og auðkennislyklinum ef hún vildi fá aðstoð áfram. Kvartandi hafi mætt í viðtal hjá fjármálaráðgjafa 5. nóvember 2015. Í símtali við starfsmann Persónuverndar 1. apríl 2016 staðfesti kvartandi að hún hefði afhent fjármálaráðgjafanum auðkennislykilinn og að ráðgjafinn hefði opnað heimabanka hennar og skoðað.
Þá kemur fram að kvartandi hafi komið því skýrt á framfæri við þjónustumiðstöðina á fundinum 15. október 2015, og í símtali og tölvupósti til félagsráðgjafa 20. og 22. s.m., að hún teldi sig ekki þurfa á fjármálaráðgjöf að halda og væri því mótfallin að þiggja hana og opna heimabanka sinn. Félagsráðgjafinn hafi þó ekki viljað gefa eftir þá kröfu að kvartandi hitti fjármálaráðgjafann. Hinn 2. nóvember 2015 hafi verið tekin ákvörðun um að synja umsókn kvartanda um fjárhagsaðstoð með vísan til þess að hún hefði lýst því yfir í tölvupósti að hún ætlaði ekki að þiggja frekari viðtöl hjá félagsráðgjafa eða fjármálaráðgjafa þjónustumiðstöðvarinnar, og þess að í áðurnefndu samkomulagi um félagslega aðstoð kæmi fram að hún bæri ábyrgð á því að mæta í slík viðtöl og þiggja ráðgjöf. Kvartandi bendir þó á að í tölvupóstinum hafi komið fram að þótt hún vildi ekki þiggja aðstoðina, þá yrði hún að gera það fyrir börnin sín, og að hún hafi viljað að samskipti færu fram í tölvupósti eða bréflega. Henni hafi ekki verið tilkynnt um synjunina fyrr en nokkru eftir að hún mætti í viðtalið hjá fjármálaráðgjafanum.
Með bréfi, dags. 11. apríl 2016, var þjónustumiðstöðinni veittur kostur á að tjá sig um framkomnar athugasemdir kvartanda, sbr. 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Þá var þess sérstaklega óskað að upplýst yrði hvort starfsfólki þjónustumiðstöðvarinnar hefði verið kunnugt um það, áður en kvartandi mætti í viðtal hjá fjármálaráðgjafa 5. nóvember 2015, að kvartandi teldi sig þurfa að sækja viðtalið og afhenda auðkennislykil sinn til þess að fá áframhaldandi fjárhagsaðstoð, og ef svo væri, hvort sá skilningur kvartanda hefði verið leiðréttur. Í svarbréfi þjónustumiðstöðvarinnar, dags. 28. apríl 2016, er ítrekað að þar sem kvartandi skrifaði undir samkomulag um félagslega ráðgjöf, þar sem kveðið var á um að hún skyldi mæta í viðtal hjá fjármálaráðgjafa, hafi hún þurft að mæta í viðtalið til þess að samkomulagið héldi gildi sínu. Samkomulagið hafi verið forsenda áframhaldandi fjárhagsaðstoðar. Við gerð slíks samkomulags sá ávallt lögð áhersla á að um samkomulag sé að ræða, og ef kvartandi hafi ekki talið sig þurfa fjárhagsaðstoð hefði hún ekki átt að skrifa undir samkomulag þar sem hún féllst á það. Þá hafi kvartandi aldrei verið beðinn um að afhenda félagsráðgjafa auðkennislykil sinn, en hún hafi verið upplýst um tilgang þess að hafa hann meðferðis í viðtal hjá fjármálaráðgjafa.
Með bréfi, dags. 17. maí 2016, var kvartanda veittur kostur á að tjá sig um svarbréf þjónustumiðstöðvarinnar, dags. 28. apríl 2016. Í svarbréfi kvartanda, dags. 6. júní 2016, eru áður tilgreind sjónarmið ítrekuð og áréttað að það hafi verið gert að skilyrði fyrir fjárhagsaðstoð að hún þægi fjármálaráðgjöf. Hún hafi haft val um að samþykkja það eða fá enga fjárhagsaðstoð. Þá segir að þjónustumiðstöðin hefði getað gert við hana nýtt samkomulag án skilyrðis um að hún þægi fjárhagsaðstoð, en það hafi ekki verið gert.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Ábyrgðaraðili
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Samkvæmt framangreindu fellur vinnsla upplýsinga um fjárhag einstaklinga undir gildissvið laga nr. 77/2000.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Þjónustumiðstöð Grafarvogs og Kjalarness - Miðgarður vera ábyrgðaraðili að umræddri vinnslu.
2.
Lögmæti vinnslu
Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Í 3. tölul. 1. mgr. þeirrar greinar kemur fram að vinnsla persónuupplýsinga er heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila.
Í 1. mgr. 21. gr. laga 40/1991 segir að sveitarstjórn skuli setja reglur um framkvæmd fjárhagsaðstoðar að fengnum tillögum félagsmálanefndar. Í 2. mgr. greinarinnar segir að félagsmálanefnd meti þörf og ákveði fjárhagsaðstoð til einstaklinga í samræmi við reglur sveitarstjórnar, sbr. 1. mgr. greinarinnar. Í 2. mgr. 8. gr. reglna um fjárhagsaðstoð frá Reykjavíkurborg, nr. 1026/2010, kemur fram að umsókn um fjárhagsaðstoð skuli fylgja yfirlit yfir eignir og tekjur vegna síðastliðins árs, yfirlit yfir allar tekjur og aðrar greiðslur til umsækjanda og maka hans þann mánuð sem umsókn er lögð fram og mánuðinn á undan, þar með taldar greiðslur frá Tryggingastofnun ríkisins, innlendum og erlendum lífeyrissjóðum, Atvinnuleysistryggingasjóði, sjúkrasjóðum stéttarfélaga, bönkum, sparisjóðum, lánastofnunum eða öðrum aðilum, barnabætur, mæðra- og feðralaun. Þá segir í 9. gr. reglnanna að þjónustumiðstöð geti, ef þörf krefur, aflað frekari upplýsinga um umsækjanda, m.a. hjá skattayfirvöldum, atvinnurekendum, Tryggingastofnun ríkisins, Atvinnuleysistryggingasjóði, Útlendingastofnun, innlendum og erlendum lífeyrissjóðum og nemendaskrám skóla þar sem boðið er upp á lánshæft nám. Skuli það gert í samráði við umsækjanda. Í 2. mgr. greinarinnar segir meðal annars að afgreiðsla umsókna stöðvist ef umsækjandi neitar að veita upplýsingar um fjárhag sinn eða aðrar upplýsingar, sbr. 2. mgr. 8. gr. og 1. mgr. 9. gr. reglnanna. Að lokum kemur það fram í 2. málsl. 3. mgr. 9. gr. reglnanna að skylt sé að veita þjónustumiðstöðinni upplýsingar úr skattframtölum þeirra sem leita fjárhagsaðstoðar.
Í 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000 segir að vinnsla persónuupplýsinga sé heimil ef hún er nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, fer með. Í athugasemdum við 8. gr. í frumvarpi því, er varð að lögum nr. 77/2000, kemur fram að ákvæðið taki m.a. til vinnslu upplýsinga á vegum stjórnvalda sem tengist meðferð opinbers valds. Með því sé fyrst og fremst átt við töku stjórnvaldsákvarðana. Jafnframt falli undir ákvæðið önnur vinnsla persónuupplýsinga sem telst til stjórnsýslu, svo sem við opinbera þjónustustarfsemi.
Í 76. gr. stjórnarskrár lýðveldisins Íslands segir að með lögum skuli tryggja öllum þeim sem þess þurfa aðstoð vegna sjúkleika, örorku, elli, atvinnuleysis, örbirgðar og sambærilegra atvika. Þá kemur það fram í 1. mgr. 4. gr. laga nr. 40/1991 að sveitarfélög beri ábyrgð á félagsþjónustu innan sinna marka. Hefur þjónustumiðstöðvum þannig með lögum verið falið þetta hlutverk og þar með það opinbera vald sem því tengist. Teljast ákvarðanir þeirra um veitingu eða synjun fjárhagsaðstoðar því til stjórnvaldsákvarðana í framangreindum skilningi.
Samkvæmt því sem að framan er rakið getur vinnsla á fjárhagsupplýsingum um kvartanda talist nauðsynleg til að fullnægja lagaskyldu sem á ábyrgðaraðila hvílir og við meðferð opinbers valds, sbr. 3. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000.
2.
Gæði gagna og vinnslu
Öll vinnsla persónuupplýsinga verður jafnframt að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu, en í 3. tölul. ákvæðisins er mælt fyrir um að persónuupplýsingar skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Það er mat Persónuverndar að þær upplýsingar, sem auðkennislykill fyrir heimabanka veitir aðgang að, séu umfram það sem nauðsynlegt getur talist vegna afgreiðslu umsóknar um fjárhagsaðstoð sveitarfélags.
Kvartandi heldur því fram í málinu að henni hafi verið gert að framvísa auðkennislykli fyrir heimabanka í viðtali við fjármálaráðgjafa, svo sem áður var greint frá. Í athugasemdum þjónustumiðstöðvarinnar kemur hins vegar fram að það hafi ekki verið gert að skilyrði fyrir fjárhagsaðstoð að kvartandi léti af hendi auðkennislykil að heimabanka sínum, og að hún hafi aldrei verið beðin um að gera það. Hér er því um að ræða ágreining um staðreyndir máls sem Persónuvernd hefur ekki úrræði að lögum til að greiða úr.
3.
Niðurstaða
Mál þetta var rætt á fundi stjórnar Persónuverndar hinn 22. júní 2016. Hún taldi ekki unnt að skera úr um hvort í máli þessu hefði verið brotið gegn lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þar sem Persónuvernd hefur ekki frekari úrræði að lögum til kanna staðreyndir málsins ákvað stjórn stofnunarinnar að fella mál þetta niður vegna sönnunarskorts og fela skrifstofu að senda aðilum málsins bréf þess efnis.