Miðlun skólastjórnenda á upplýsingum um nemendur með sérþarfir
Álit
Á fundi sínum þann 13. september 2005 komst stjórn Persónuverndar að eftirfarandi niðurstöðu í máli nr. 2005/426:
Grundvöllur málsins og bréfaskipti
Hinn 7. nóvember 2004 barst Persónuvernd tilkynning A til Persónuverndar um rannsókn hennar á frammistöðu íslenskra barna á miðstigi grunnskóla sem njóta sérúrræða í skóla á grundvelli laga nr. 66/1995.
Tilkynningin var birt á vef Persónuverndar þann 15. nóvember í samræmi við 17. og 31. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Ábyrgðaraðila, A, var sent staðfestingarbréf þess efnis, sbr. bréf dags. 15. nóvember 2004. Þar segir m.a. að með móttöku og birtingu tilkynningarinnar hafi engin afstaða verið tekin um efni hennar.
Þann 25. febrúar 2005 hafði móðir barns, sem hafði verið valið til þátttöku í rannsókninni, samband við Persónuvernd. Var hún ósátt við að upplýsingar um nöfn og símanúmer fyrirhugaðra þátttakanda hefðu borist rannsakendum án þess að samþykki foreldra hefði legið fyrir. Viðkomandi móðir óskaði nafnleyndar og vildi ekki fylgja málinu eftir. Persónuvernd ákvað í framhaldinu að taka málið upp að eigin frumkvæði og veita álit sitt, sbr. 2. og. 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000.
Um meðferð persónuupplýsinga segir í framangreindri tilkynningu A:
Við val á úrtaki munu rannsakendur fá í hendur nöfn þeirra nemenda sem lentu í úrtakinu hjá skólayfirvöldum. Nöfn nemenda verða dulkóðuð og tengjast ekki gögnunum sjálfum."
Um samþykki segir síðan:
Í framhaldinu sendi Persónuvernd bréf til A, dags. 25. febrúar 2005, og óskaði eftir nánari upplýsingum um framkvæmd rannsóknarinnar, einkum hvað varðaði val þátttakenda og nálgun við þá.
Með bréfi, dags. 7. mars 2005, barst svar frá A þar sem gerð er frekari grein fyrir framkvæmd við val á úrtaki. Um það segir nánar:
Rannsakendur höfðu samband við deildarstjóra sérkennslu í hverjum skóla fyrir sig og báðu þá um að taka saman lista með nöfnum barna á miðstigi sem njóta sérúrræða. Sérkennarar gáfu börnunum síðan númer og voru dregin 12 númer af handahófi í hverjum skóla. Þegar lá fyrir hvaða númer höfðu verið dregin voru þau pöruð við nafnalistann. Rannsakendur fengu nöfn þessara 12 barna í hendur ásamt nafni annars foreldris barnsins og símanúmeri. Rannsakendur fengu ekki aðrar upplýsingar um barnið eins og t.d. það hvaða sérúrræði börnin fengju innan skólans.
Deildarstjórar sérkennslu fengu bekkjarkennara til að afhenda umræddum börnum umslag sem innihélt kynningarbréf til foreldra ásamt samþykkisyfirlýsingu. Börnin skiluðu bréfunum síðan aftur til bekkjarkennara. Eins og kom fram í kynningarbréfi fylgdu rannsakendur svörun eftir með símtali heim ef ekkert svar hafði borist innan viku. Í símtali var þá aðeins spurt hvort bréfið hefði borist og hvort afstaða hefði verið tekin til þátttöku."
Með bréfi dags. 15. mars 2005 var enn óskað eftir frekari upplýsingum frá A um það hvaða fimm grunnskólar hefðu verið í umræddu úrtaki. Með bréfi dags. 19. apríl 2005 var upplýst að B hefði verið einn þessara skóla.
Af því tilefni sendi Persónuvernd bréf til skólastjóra B, dags. 10. maí 2005, þar sem framangreind lýsing A á verkferlinu var kynnt og óskað eftir afstöðu hans til þess hvernig ákvæði 7. – 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga hafi verið uppfyllt við miðlun upplýsinga um umrædd börn.
Með bréfi dags. 17. maí 2005 barst svar frá D skólastjóra B. Í svarbréfinu sagði m.a.:
Við samþykkt heimildar til könnunarinnar í [B] taldi undirritaður víst að allar persónuupplýsingar væru unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skv. umsókn væri í samræmi við vandaða vinnsluhætti persónuupplýsinga – og með fyrirheit um eyðingu þeirra að viðtölum loknum væri ekki unnt að bera kennsl á þátttakendur lengur en þörf krefði miðað við tilgang úrvinnslunnar – sbr. 7. gr. laga nr. 77/2000.
Þá telur undirritaður að niðurstöður slíkrar rannsóknar sem hér um ræðir geti snert hagsmuni nemenda almennt og orðið til þess að bæta líðan þeirra í skóla og námsstöðu sbr. 4. lið 8. gr. laga nr. 77/2000.
Í þessu samhengi leyfir undirritaður sér ennfremur að vekja athygli á 2. mgr. 45. gr. laga nr. 66/1995 um grunnskóla þar sem heimilað er að veita tilteknar upplýsingar um nemendur vegna fræðilegra rannsókna enda sé krafist fullrar þagnarskyldu.
Undirritaður lítur svo á sbr. framanskráð og með vísan til skilyrða þeirra m.a. sem hann setti fyrir framkvæmd rannsóknarinnar í [B] hafi skólinn tryggt meðferð persónuupplýsinga gagnvart rannsóknaraðilum við umrædda miðlun þeirra – enda skyldi upplýst samþykki foreldra hlutaðeigandi nemenda liggja fyrir."
Forsendur og niðurstaða
Fyrir liggur að í tengslum við gerð rannsóknar á frammistöðu íslenskra barna á miðstigi grunnskóla sem njóta sérúrræða í skóla miðlaði B upplýsingum til rannsakenda um hluta þeirra barna sem þar njóta slíkra úrræða. Hefur verið óskað afstöðu Persónuverndar til þess hvort sú miðlun hafi verið heimil samkvæmt lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, skv. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, skv. 2. tölul. 2. gr. laganna. Miðlun persónuupplýsinga er ein tegund vinnslu, sbr. b-liður 2. gr. tilskipunar nr. 95/46/EB og athugasemdir í greinargerð með frumvarpi því er varð síðar að lögum nr. 77/2000.
Ábyrgðaraðili persónuupplýsinga telst sá aðili sem ákveður tilgang vinnslu þeirra, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, skv. 4. tölul. 2. gr. laga nr. 77/2000. Fyrir liggur að B hefur með höndum umsjá og ábyrgð gagna um þá nemendur sína sem njóta sérúrræða innan skólans og sérhverja meðferð slíkra gagna, þ.á m. miðlun þeirra. B telst því ábyrgðaraðili upplýsinganna í skilningi laga nr. 77/2000.
Vinnsla persónuupplýsinga, þ.m.t. miðlun þeirra, verður að fullnægja einhverju af skilyrðum 1. mgr. 8. gr. og eftir atvikum einnig 1. mgr. 9. gr. laga nr. 77/2000. Ákvæði 1. mgr. 8. gr. gilda um vinnslu almennra persónuupplýsinga en 1. mgr. 9. gr. gildir um vinnslu viðkvæmra persónuupplýsinga. Einnig þarf vinnsla persónuupplýsinga ávallt að samrýmast meginreglum um gæði gagna og vinnslu sem er að finna í 1. mgr. 7. gr. laga nr. 77/2000.
Í c-lið 2. tölul. 8. gr. laga nr. laga nr. 77/2000 er að finna skilgreiningu á því hvað séu viðkvæmar persónuupplýsingar. Tekur það m.a. til upplýsinga um heilsuhagi. Í ákvæði 1. mgr. 37. gr. laga nr. 66/1995 um grunnskóla segir að börn og unglingar, sem eigi erfitt með nám sökum sértækra námsörðugleika, tilfinningalegra eða félagslegra örðugleika og/eða fötlunar, sbr. 2. gr. laga nr. 59/1992, eigi rétt á sérstökum stuðningi í námi. Er m.a. átt við þá sem haldnir eru þroskahömlun, geðfötlun, hreyfihömlun, sjón- og heyrnarskerðingu, eða fötlun sem er afleiðing af langvarandi veikindum, svo og slysum. Með hliðsjón af þessu telst listi yfir nemendur sem njóta sérúrræða í skóla hafa að geyma viðkvæmar persónuupplýsingar í skilningi laga nr. 77/2000, sbr. 8. tölul. 2. gr. laganna.
Samkvæmt framangreindu varð miðlun upplýsinga um nöfn og símanúmer umræddra nemenda að uppfylla eitthvert af skilyrðum 1. mgr. 9. gr. laga nr. 77/2000. Hér koma einkum til álita 1., 2. og 9. tölul. 1. mgr. 9. gr. sem raktir verða nánar hér að neðan og tekin afstaða til þess hvort vinnslan hafi átt sér stoð í þeim.
a. Hinn skráði samþykki vinnsluna, skv. 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000
Samkvæmt 1. tölul. 1. mgr. 9. gr. er vinnsla viðkvæmra persónuupplýsinga óheimil nema hinn skráði samþykki vinnsluna. Þar sem hér er um að ræða upplýsingar um ólögráða börn þarf að liggja fyrir samþykki foreldra eða forsjáraðila viðkomandi barns sbr. 1. mgr. 51. gr. lögræðislaga nr. 71/1997 og 4. mgr. 28. gr. barnalaga nr. 76/2003. Einnig þarf að hafa samráð við barnið eftir því sem aldur og þroski þess gefur tilefni til, sbr. 6. mgr. 28. gr. barnalaga.
Við skoðun á því hvort framangreint skilyrði 1. tölul. 1. mgr. 9. gr. hafi verið uppfyllt er rétt að líta til lýsingar rannsakenda á þeirri aðferð sem viðhöfð var, en í bréfi A dags. 7. mars 2005, segir m.a.:
Af framangreindu verkferli má ráða að upplýsingar um nafn barns, annars foreldris og símanúmer hafi verið afhent rannsakendum án þess að samþykkis foreldra eða forráðamanna viðkomandi barna hafi áður verið aflað.
Um þetta segir síðan í bréfi skólastjóra B, dags. 17. maí 2005:
Í ljósi framangreindrar lýsingar verður ekki séð að fyrirfram hafi verið aflað samþykkis foreldra viðkomandi nemenda áður en upplýsingum um þá var miðlað. Ljóst þykir því að við miðlun umræddra upplýsinga hafi ekki verið uppfyllt skilyrði 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000 um samþykki hins skráða.
b. Lagaheimild skv. 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000
Af hálfu B verið bent á að heimild til miðlunar umræddra upplýsinga megi finna stoð í ákvæði 2. mgr. 45. gr. laga nr. 66/1995 um grunnskóla, sem er svohljóðandi:
Samkvæmt 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000 er vinnsla viðkvæmra persónuupplýsinga heimil standi sérstök heimild til hennar samkvæmt öðrum lögum. Mat á því hvort lagastoð er fyrir hendi ræðst hverju sinni af skýringu viðkomandi sérlagaákvæðis, en því meiri íhlutun í einkalíf einstaklingsins sem umrædd vinnsla hefur í för með sér þeim mun ótvíræðari þarf lagaheimildin að vera.
Af 1. mgr. 45. gr. grunnskólalaga er ljóst að með hugtakinu "vitnisburði" er átt við upplýsingar um niðurstöðu námsmats, þ.e. upplýsingar um námsárangur og framvindu náms tiltekins nemanda. Námsmat er að meginreglu til ekki samræmt, heldur misjafnt eftir hverjum skóla fyrir sig og getur t.d. verið í formi prófa eða verið einstaklingsmiðað. Hugsanlega kann vitnisburður því í einhverjum tilvikum að bera með sér upplýsingar um að sá nemandi sem í hlut á njóti sérúrræða, t.d. þegar um er að ræða nemanda sem víkur svo frá almennum þroska að honum henta ekki samræmd próf, en það er þó ekki markmið námsmats eða megininntak. Má því vænta þess að þeir sem vilja afla sér upplýsinga um hvort tilteknir nemendur njóti sérúrræða leiti þeirra annars staðar.
Í máli þessu liggur einmitt fyrir að ekki voru afhentar upplýsingar um vitnisburði einstakra nemenda, heldur var afhentur listi sem bar með sér að þeir sem á honum voru nytu sérúrræða. Þegar af þeirri ástæðu verður umrædd miðlun upplýsinga frá B ekki talin eiga sér heimild í 2. mgr. 45. gr. grunnskólalaga.
c. Nauðsyn vegna vísindarannsóknar, skv. 9. tölul. 1. mgr. 9. gr. laga nr. 77/2000
Að síðustu kemur til álita hvort umrædd vinnsla geti átt sér stoð í 9. tölul. 1. mgr. 9. gr., um að vinnsla sé heimil sé hún nauðsynleg vegna tölfræði- eða vísindarannsókna, enda sé persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á. Í framkvæmd Persónuverndar hafa vísindarannsóknir í skilningi þessa ákvæðis verið skilgreindar sem rannsóknir á mönnum eða háttsemi þeirra sem framkvæmdar eru til þess að skapa nýja þekkingu eða auka við þekkingu sem fyrir er. Sú rannsókn sem hér um ræðir er á sviði kennsluvísinda og verður talin geta fallið undir hugtakið vísindarannsókn.
Við mat á því hvort vinnsla upplýsinga er nauðsynleg í skilningi framangreinds lagaákvæðis verður m.a. að meta hvort hagsmunir rannsakanda af því að fá umræddar upplýsingar um nemendur með sérúrræði, vegi þyngra en hagsmunir nemendanna af því að upplýsingunum sé haldið leyndum. Þar sem vísindarannsóknir hafa ríka skírskotun til almannahagsmuna verður að kanna slík sjónarmið sérstaklega ásamt því að skoða eðli og efni þeirra upplýsinga sem miðlað er hverju sinni.
Samkvæmt 9. tölul. 1. mgr. 9. gr. laga nr. 77/2000 skal við vinnslu persónuupplýsinga vegna vísindarannsókna tryggja persónuvernd með tilteknum ráðstöfunum. Í athugasemdum greinargerðar með frumvarpi sem síðar varð að lögum nr. 77/2000, við 9. tölul. 1. mgr. 9. gr. segir að slíkar ráðstafanir geti verið fólgnar í dulkóðun eða eyðingu persónuauðkenna. Þá geta rannsóknir af þessu tagi verið háðar formlegu leyfi Persónuverndar. Í slíku leyfi eru áskilin ýmis öryggisatriði og aðrar ráðstafanir sem m.a. er ætlað að tryggja að óviðkomandi aðilar hafi ekki aðgang að viðkvæmum persónuupplýsingum manna, sbr. 5. tölul. 1. mgr. 7. gr. reglna nr. 698/2004 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga.
Í máli þessu liggur hins vegar fyrir að B var hvorki ábyrgðaraðili umræddrar rannsóknar, né heldur sótti skólinn um leyfi til Persónuverndar til miðlunar umræddra gagna, þannig að af megi ráða að uppfyllt hafi verið skilyrði 9. tölul. 1. mgr. 9 gr. laga nr. 77/2000.
Með vísan til þess sem rakið hefur verið hér að ofan telur Persónuvernd að miðlun B á upplýsingum um nöfn nemenda með sérþarfir, nöfn foreldra þeirra og símanúmer, hafi ekki uppfyllt nokkurt af skilyrðum 1. mgr. 9. gr. laga nr. 77/2000. Eru þegar af þeirri ástæðu ekki efni til að meta hvort uppfyllt hafi verið ákvæði 1. mgr. 7. og 8. gr. laga nr. 77/2000.
Miðlun B á upplýsingum um nöfn nemenda með sérþarfir, nöfn foreldra þeirra og símanúmer var óheimil.