Úrskurður um Skólapúlsinn
ÚRSKURÐUR
Þann 9. nóvember 2010 kvað stjórn Persónuverndar upp eftirfarandi úrskurð í máli nr. 2010/751:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 15. september 2010 barst Persónuvernd kvörtun K (hér eftir nefndur kvartandi) vegna vinnslu persónuupplýsinga um barn hans sem er nemandi í Grunnskólanum í Borgarnesi. Skólinn hafði tilkynnt honum um vinnsluna en sérstaks samþykkis hans var ekki óskað. Hins vegar kom fram að ef hann vildi ekki að upplýsingum um barnið yrði safnað gæti hann sent inn undirrituð skilaboð þess efnis.
2.
Bréfaskipti
Með bréfi, dags. 16. september 2010, var Grunnskólanum í Borgarnesi tilkynnt um kvörtunina. Var honum boðið að koma fram með andmæli sín og skýringa hans óskað. Svarbréf G, skólastjóra, barst stofnuninni þann 21. september 2010. Þar kom m.a. fram að um væri að ræða vinnslu tengda verkefni eða sjálfsmatskerfi sem nefnt er Skólapúlsinn. Hafi verið unnið að því í samvinnu við félag sem heiti Skólapúlsinn ehf. Þetta svar skólans var sent kvartanda með bréfi, dags. 29. september sl., og honum gefinn kostur á að koma á framfæri athugasemdum. Þær bárust með bréfi hans dags. 8. október 2010. Þar segir m.a.:
„Um þessar mundir eru skólar út um allt land að leggja spurningar frá Skólapúlsinum fyrir nemendur ef forráðamenn hafa ekki sent inn skriflega beiðni og ósk um að barnið eigi ekki að svara.
Ég ítreka því ósk mína að Persónuvernd fjalli um kjarna málsins. Getur Skólapúlsinn, með aðstoð grunnskóla landsins, lagt persónulegar spurningar fyrir börn á grunnskólaaldri svo fremi sem foreldrar hafi ekki sent inn sérstakt eyðublað um að Skólapúlsinn hafi ekki samþykki foreldra til verksins? Er ekki réttara og eðlilegra að fyrirtæki og stofnanir sem vilja spyrja persónulegra spurninga og safna svörum í gagnabanka til ýmislegra nota - afli sér leyfis hjá forráðamönnum frekar en að taka sér leyfið og láta forráðamenn hafa fyrir því að virkja persónuvernd barnsins?“
Persónuvernd óskaði þá enn nánari skýringa, og nú einnig frá Skólapúlsinum ehf. með bréfi, dags. 20. október 2010. Svarbréf Skólapúlsins ehf. barst með bréfi, dags. 25. október 2010. Þar segir m.a.
„Umsögn Persónuverndar um verkefnið Skólapúlsinn sent þann 20. október 2010 kom okkur á óvart í ljósi þess að sama verklags er gætt við tilkynningu til foreldra í Skólapúlsinum og gert hefur verið um áraraðir í menntarannsóknum þar sem grunnskólanemendur eru spurðir um viðhorf og hegðun og við færnimat.
Okkur er kunnugt um fjölmörg dæmi um umfangsmiklar þýðisrannsóknir þar sem heilir árgangar grunnskólanna eru valdir til þátttöku. [...]
Í ljósi þessa finnst okkur óréttlát athugasemd Persónuverndar, opinberum umsagnaraðila, að okkur sé ekki leyfilegt að beita sama verklagi og stofnanir á vegum hins opinbera hafa beitt í áraraðir í sínum rannsóknum á grunnskólanemendum.
Greinilegt er að umsögn Persónuverndar mismunar rannsakendum og um er að ræða mál sem leyfsa þarf fyrst gagnvart öðrum rannsóknum sem fjármagnaðar eru af hinu opinbera.
Eftir að hafa tilkynnt verklag okkar til Persónuverndar byrjuðum við að bjóða stærri grunnskólum landsins upp á þjónustu Skólapúlsins haustið 2008. Afrit af tilkynningu Persónuverndar nr. S3945 má sjá í viðauka 2 með þessu bréfi. Gengið var úr skugga um í samráði við lögfræðinga Persónuverndar að ekki væri um að ræða söfnun viðkvæmra persónuupplýsinga í skilningi laganna. [...] Ekki voru gerðar frekari athugasemdir af Persónuvernd við þá lýsingu.
Vefkerfið Skólapúlsinn hefur hlotið góðar viðtökur hjá skólum landsins og hafa nú 68 skólar sem til samans eru með 51% af nemendum landsins í 6.-10. bekk gerst áskrifendur að kerfinu.[...] Nemendum er jafnframt gert ljóst, á fyrstu síðu spurningalistans, að þeir þurfi ekki að svara könnuninni og geti fengið upplýsingum um sig eytt á hvaða tíma sem er með því að senda tölvupóst. [...]
Það er skilningur okkar að samþykki hins skráða í Skólapúlsinum hafi verið aflað með ótvíræðum hætti, sbr. 7. tölulið 2. gr. laga 77/2000, á samþykkissíðu Skólapúlsins sem nemendur þurfa að taka afstöðu til áður en þeir geta svarað könnuninni.
Í upphafi hvers skólaárs sendir tengiliður Skólapúlsins í hverjum skóla út upplýsingabréf til foreldra þar sem skýrt kemur fram hvað er mælt í Skólapúlsinum og foreldrar eru beðnir um að láta skólann vita ef að þeir kæri sig ekki um að þeirra barn taki þátt í einu af úrtökum Skólapúlsins. [...] Ef svo er fjarlægir tengiliðurinn upplýsingar um nemandann úr nemendalistanum sem sendur er inní kerfið að hausti. [...]
Nafnlausar upplýsingar úr kerfinu sem skólar hafa aðgang að í gegnum sitt vefsvæði hjá Skólapúlsinum eru nú mikilvægur hluti af sjálfsmatsáætlunum og þróunarverkefni í grunnskólum um allt land. Margir skólar birta niðurstöðurnar á heimasíðu sinni. Einnig hafa aðstandendur Skólapúlsins sem eru doktorsnemar við Menntavísindasvið Háskóla Íslands, aðgang að sjálfum gagnagrunni Skólapúlsins en upplýsingar þaðan hafa þegar nýst í rannsóknum á meistara- og doktorsstigi hjá Menntavísindasviði. Gögnin eru eingöngu notuð í akademískum tilgangi og eru niðurstöðurnar ópersónugreinanlegar.
[...]
Við viljum að lokum ítreka að í Skólapúlsinum er rík áhersla lögð á að foreldrar séu alltaf upplýstir um mælingarnar og að nemendur geti alltaf neitað þáttöku og fengið gögnum um sig eytt á hvaða tíma sem er ef þeir kjósa svo.“
Viðbótarskýringar bárust með bréfi frá Skólapúlsinum ehf., dags. 8. nóvember s.á. Þar sagði m.a.:
„Þátttökuskólar og Skólapúlsinn ehf. gera með sér samning um fyrirlögn á spurningarlista fyrir nemendur í 6.-10. bekk (sjá viðauka 1). Svörum nemenda er safnað með kennitölum í gagnagrunn sem hýstur er á læstum vefþjóni hjá Reiknistofnun HÍ. Skólastjórar fá svo aðgang að meðaltölum og flokkun niðurstaðna með að lágmarki 15 nemendum í hverjum hópi, þannig að ekki er mögulegt fyrir þá að greina persónueinkenni einstakra nemenda. Skólarnir hafa ekki aðgang að gögnum um hvern einstakling því gagnvart skólunum er könnunin nafnlaus til að vernda rétt nemenda til að svara undir nafnleynd. Foreldrar og nemendur eru upplýstir fyrirfram um tilgang, framkvæmd og innihald könnunarinnar.
Samkvæmt 7. tölulið 8. greinar laga nr. 77 frá 2000 um persónuvernd og meðferð persónuupplýsinga eru þátttökuskólar eigendur og ábyrgðaraðilar á gögnum nemenda sem vistuð eru. Skólapúlsinn ehf. eru vinnslu- og vörsluaðili gagnanna fyrri þátttökuskólana. Gögnunum er safnað í þeim tilgangi að skólar geti uppfyllt 36. grein grunnskólalaga nr. 91 frá 2008 um innra mat. Um er að ræða lögmæta hagsmuni skólans og vinnsla persónuupplýsinga því heimil samkvætm ofangreindum lögum um persónuvernd.
Í samningi milli þátttökuskóla og Skólapúlsins ehf. er [S] og [A], aðstandenda Skólapúlsins ehf., gefið almennt leyfi til notkunar gagna úr Skólapúlsinum í fræðilegum tilgangi svo lengi sem tryggt er að nöfn einstaklinga eða skóla komi hvergi fram.“
Fulltrúi Skólapúlsins ehf. mætti á skrifstofu Persónuverndar þann 8. nóvember sl. Hann vakti athygli á lagaheimild til vinnslu samkvæmt 36. gr. laga nr. 91/2008 um grunnskóla. Í viðtali við hann kom fram að á umræddum spurningalista væru m.a. spurningar um heilsufar - þ. á m. væri spurt um magaverk, höfuðverk o.s.frv. Sama dag var þess óskað símleiðis að sýnishorn spurningalistans bærist Persónuvernd. Þegar það barst var farið yfir spurningar á honum. Sú athugun leiddi í ljós að á honum eru m.a. spurningar um þunglyndi, höfuðverk, svima, ógleði, streitu o.s.frv.
Þann 9. nóvember 2010 hafði starfsmaður Persónuverndar samband við G, skólastjóra Grunnskólans í Borgarnesi, vegna málsins, en hann kvað frekari svara frá honum ekki vera að vænta.
II.
Forsendur og niðurstaða Persónuverndar
1.
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.
Persónuvernd hefur eftirlit með framangreindum lögum og framkvæmd þeirra og fellur mál þetta undir úrskurðarvald hennar.
2.
Svo að vinnsla viðkvæmra persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju skilyrðanna í 1. mgr. 9. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Til viðkvæmra persónuupplýsinga teljast m.a. upplýsingar um heilsuhagi. Fyrir liggur í máli þessu að við gerð könnunar vegna sjálfsmatskerfis sem nefnist Skólapúlsinn er safnað slíkum persónuupplýsingum þ. á m. upplýsingum um þunglyndi, höfuðverk, ógleði eða ólgu í maga. Þá er unnið með kvarða er varðar líðan nemanda, þ.e. sjálfsálit, stjórn á eigin líðan, kvíða og einelti. Með vísan til framangreinds er ljóst að umræddar upplýsingar falla undir c-lið 8. tölul. 2. gr. laga nr. 77/2000 og þess vegna er nauðsynlegt að uppfyllt hafi verið eitthvert af skilyrðum 1. mgr. 9. gr. laganna. Þeir töluliðir sem hér koma til álita er 1. og 2. töluliður.
2.1.
Í 1. tölul. 1. mgr. 9. gr. segir að vinnsla persónuupplýsinga sé heimil grundvallist hún á samþykki hins skráða. Hér er hins vegar um barn að ræða sem getur ekki veitt slík samþykki sjálft. Samkvæmt lögræðislögum nr. 71/1997 hefur lögráðamaður ólögráða einn lögformlega heimild til þess að skuldbinda ólögráða einstakling, s.s. með því að samþykkja vinnslu upplýsinga um hann. Í 51. gr. laganna er kveðið á um að foreldrar barns, sem ólögráða er fyrir æsku sakir, og þeir sem barni koma í foreldra stað, ráði persónulegum högum þess. Af þessu er ljóst að það er hlutverk foreldra eða forráðamanna ólögráða barns að ráða úr málefnum þess og fara með þau réttindi og skyldur sem ella hvíldu á barninu - þar á meðal því að veita eða veita ekki samþykki til vinnslu viðkvæmra persónuupplýsinga.
Þar sem hér er um viðkvæmar upplýsingar að ræða þarf það samþykki sem veitt er að uppfylla skilyrði 7. tölul. 2. gr. laganna. Þar er það skilgreint sem sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv. Af atvikum máls þessa verður ekki ráðið að slíks samþykkis sé óskað. Það samþykki skal vera yfirlýst og því verður þögn ekki virt sem samþykki í þessum skilningi. Þótt foreldri hafi fengið tækifæri til að andmæla söfnun viðkvæmra persónuupplýsinga um sitt barn telst það þ.a.l. ekki hafa með því veitt samþykki sitt í framangreindum skilningi. Verður því ekki talið að uppfyllt sé skilyrði 1. töluliðar 1. mgr. 9. gr. laga nr. 77/2000 fyrir vinnslu viðkvæmra persónuupplýsinga um ólögráða barn kvartanda sem er nemandi við Grunnskólann í Borgarnesi.
2.2.
Í 2. tölul. 1. mgr. 9. gr. segir að vinnsla persónuupplýsinga sé heimil standi til hennar sérstök heimild samkvæmt öðrum lögum. Skólapúlsinn ehf. hefur vakið athygli á 36. gr. laga nr. 91/2008 um grunnskóla. Þar segir að hver grunnskóli skuli meta með kerfisbundnum hætti árangur og gæði skólastarfs á grundvelli 35. gr. með virkri þátttöku starfsmanna, nemenda og foreldra eftir því sem við á og birta opinberlega upplýsingar um innra mat sitt, tengsl þess við skólanámskrá og áætlanir um umbætur. Við mat á því hvort hér sé um að ræða heimild til vinnslu viðkvæmra persónuupplýsinga um barn kvartanda þarf m.a. að líta til þess sem segir í athugasemdum við 9. gr. frumvarps þess er varð að lögum nr. 77/2000. Þar segir að við mat á því hvort lagaheimild standi til vinnslu þurfi m.a. að hafa í huga að því meiri íhlutun í einkalíf einstaklingsins sem vinnsla hefur í för með sér þeim mun ótvíræðari þurfi lagaheimildin að vera. Skýring slíks ákvæðis ráðist m.a. af því hvort löggjafinn hafi í raun tekið tillit til þeirra persónuverndarsjónarmiða sem á reynir en þó ákveðið að umrædd vinnsla viðkvæmra persónuupplýsinga skuli fara fram. Að mati Persónuverndar verður ekki af orðalagi 36. gr. laga nr. 91/2008, eða skýringum við það ákvæði, ráðið að löggjafinn hafi litið til persónuverndarsjónarmiða en ákveðið að heimila grunnskólum að vinna - án samþykkis foreldra - viðkvæmar persónuupplýsingar um nemendur í þágu sjálfsmatskerfis og athugunar á árangri og gæðum skólastarfs. Verður því ekki ráðið að uppfyllt sé skilyrði 2. töluliðar 1. mgr. 9. gr. laga nr. 77/2000 fyrir vinnslu viðkvæmra persónuupplýsinga um ólögráða barn kvartanda sem er nemandi við Grunnskólann í Borgarnesi.
Öflun upplýsinga í þágu sjálfsmatskerfis sem nefnist Skólapúlsinn verður samkvæmt framansögðu að byggja á upplýstu og yfirlýstu samþykki.
Ú r s k u r ð a r o r ð:
Án samþykkis kvartanda, K, er Grunnskólanum í Borgarnesi óheimil öflun viðkvæmra persónuupplýsinga um barn hans, nemanda við skólann, í þágu sjálfsmatskerfis sem nefnist Skólapúlsinn.