Kvörtun vegna Reykjavíkurborgar.

27.11.2008

Ákvörðun

Þann 14. nóvember 2008 tók stjórn Persónuverndar eftirfarandi ákvörðun í máli nr. 2008/469:

I.

Tildrög máls og bréfaskipti

1.

Þann 18. júní 2008 barst Persónuvernd erindi K varðandi vinnslu persónuupplýsinga um hana á vegum Velferðarsviðs Reykjavíkurborgar og Þjónustumiðstöðvar Laugardals og Háaleitis. Erindið laut að því hvort vinnsla þessara aðila á tilteknum persónuupplýsinga um hana bryti gegn lögum nr. 77/2000, en þar var annars vegar átt við vinnslu upplýsinga um það hvernig hún hefði varið eigin fé og notkun úreltra upplýsinga um fjárhagsstöðu. Í erindinu sagði m.a.:

„Ég spyr hvort Velferðarráði sé stætt að biðja um allar þesar upplýsingar, og hvort þetta sé ekki meira en nauðsynlegt er til að afgreiða umsóknina. Er þetta ekki brot á lögum um persónuvernd?

Ég kvarta undan því, að verið er að vinna erindi með úreltar upplýsingar. Rökstuðningur fyrir kvörtun:

1. Beðið er um hreyfingar á bankareikningum, sem sagt hvernig ég hef notað fé mitt.

2. Verið er að vísa til upplýsinga á skattframtali 2007, og þar með bankainnistæður frá 31. desember 2006."

Með erindinu fylgdi ferilskrá og tvö tölvubréf frá L félagsráðgjafa Þjónustumiðstöðvar Laugardals og Háaleitis. Tölvubréfin voru dagsett 29. apríl og 3. júní 2008. Í tölvubréfi dags. 29. apríl segir m.a.:

„Ef þú vilt sækja formlega um fjárhagsaðstoð fyrir apríl og maí þá þarftu að koma og skrifa undir umsókn ásamt því þurfum við að fá yfirlit yfir stöðunnni þeirri inneign sem þú átt í dag og hreyfingum á reikningnum sem fram kemur á skattframtalinu. Þ.e. ef inneign þín hefur minnkað þá þurfum við að fá hver staðan er í dag og bankayfirlit með hreyfingum á reikningnum."

Í tölvubréfi dags. 3. júní segir m.a.:

„Við getum annars vegar farið þá leið að þú skilir inn til okkar yfirliti yfir hreyfingar á þeim þremur bankareikningum sem fram koma á skattframtali þínu fyrir árið 2007 sem og staðfestingu á því að vaxtareikingur þinn sé ekki til í dag. Hins vegar getum við farið þá leið að þú skilir inn til okkar staðfestingu frá banka um hver staða þín var 1. janúar sl. á þeim þremur bankareikningum sem fram koma á umræddu skattframtali. Í framhaldinu getum við reiknað út hversu lengi áætlað er að inneign þín ætti að duga þér til framfærslu miðað við 99.329,- grunnframfærslu á mánuði. Ef þú af einhverjum ástæðum sérð þér ekki fært um að skila þessum gögnum verður umsókn þinni um fjárhagsaðstoð synjað og þér bent á áfrýjunarleið."

Er K hér eftir nefnd kvartandi.

2.

Með bréfi, dags. 14. júlí 2008, óskaði Persónuvernd skýringa Reykjavíkurborgar, spurði um vinnsluheimildir og gaf henni kost á að tjá sig um framangreinda kvörtun. Í svarbréfi Reykjavíkurborgar, dags. 25. ágúst 2008, segir að kvartandi hafi sótt um fjárhagsaðstoð hjá Þjónustumiðstöð Laugardals og Háaleitis í lok desember 2007 fyrir tímabilið 1. janúar til 31. mars 2008. Segir að samkvæmt gögnum frá Ríkisskattstjóra hafi kvartandi átt innistæður á þremur innlendum bankareikningum að upphæð kr. 732.922,-. Þá segir að umsókn kvartanda hafi verið synjað á grundvelli 12 . gr. reglna Reykjavíkurborgar um fjárhagsaðstoð þar sem eignir hafi verið „yfir því marki að heimilt væri að samþykkja umsókn hennar". Þá kemur fram í bréfinu að kvartandi hafi áfrýjað synjuninni til áfrýjunarnefndar Velferðarráðs sem staðfesti synjunina.

Þá segir að kvartandi hafi aftur sótt um fjárhagsaðstoð til Þjónustumiðstöðvarinnar fyrir tímabilið 1. apríl til 30. júní 2008. Hún hafi þá skilað inn staðfestingu frá banka um að hún ætti u.þ.b. kr. 90.000,- á tveimur bankareikningum en hafi neitað að veita upplýsingar um stöðu þriðja bankareikningsins. Segir að henni hafi verið tjáð að umsókninni yrði að líkindum synjað nema hún sýndi fram á hver staða væri á öllum þremur bankareikningum sínum, enda heimili 12. gr. reglna Reykjavíkurborgar um fjárhagsaðstoð ekki að fjárhagsaðstoð til framfærslu sé veitt nema upplýsingar um eignir umsækjenda liggi fyrir.

Hvað varðar heimildir til að krefjast upplýsinga um hreyfingar á bankareikningum vísaði Reykjavíkurborg til laga nr. 40/1991 um félagsþjónustu sveitarfélaga en í 2. mgr. 21. gr. þeirra laga segir að félagsmálanefnd skuli meta þörf og ákveða fjárhagsaðstoð til einstaklinga í samræmi við reglur sveitastjórnar. Hafi Reykjavíkurborg sett slíkar reglur, þ.e. reglur nr. 485 frá 9. maí 2005. Í 9. gr. þeirra segi:

„Þjónustumiðstöð getur, ef þörf krefur, aflað frekari upplýsinga um tekjur og eignir umsækjanda, m.a. hjá skattayfirvöldum, atvinnurekendum, Tryggingastofnun ríkisins, Atvinnuleysistryggingasjóði og lífeyrissjóðum, innlendum og erlendum. Skal það gert í samráði við umsækjanda. Neiti umsækjandi að veita upplýsingar um fjárhag sinn eða maka stöðvast afgreiðsla umsóknar hans."

Þá segir að það sé mat Velferðarsviðs Reykjavíkur að ofangreind ákvæði séu fullnægjandi lagaheimild fyrir því að gera kröfu um upplýsingar um hreyfingar á bankareikningum. Ekki sé um tæmandi talningu að ræða og því verði að telja upplýsingar um bankareikninga rúmast innan orðalags ákvæðisins, enda leiði það af eðli máls.

Um nauðsyn þess að fá upplýsingar um hreyfingar á bankareikningi segir að veiting fjárhagsaðstoðar sé m.a. háð því skilyrði að umsækjendur sýni fram á það að þeir þurfi á henni að halda. Til þess að meta þörf einstaklinga fyrir fjárhagsaðstoð sé nauðsynlegt að fá réttar og ítarlegar upplýsingar um fjárhag þeirra, þ. á m. um hreyfingar á bankareikningum. Þá kemur fram að samhliða umsókn um fjárhagsaðstoð sé fyllt út samþykkiseyðublað í samræmi við 1. tl. 1. mgr. 8. gr. laga nr. 77/2000. Segir að Reykjavíkurborg sé þeirrar skoðunar að krafa um upplýsingar um bankahreyfingar brjóti á engan hátt í bága við 7. gr. laga nr. 77/2000 en samrýmist ákvæðinu fyllilega. Að lokum segir í umræddu bréfi að ákvarðanir um veitingu fjárhagsaðstoðar byggi á þeim upplýsingum sem fyrir liggi, enda séu þær til þess fallnar að gefa rétta mynd af fjárhagsstöðu. Augljóslega úreltar, ófullnægjandi, villandi eða rangar upplýsingar séu ekki notaðar.

Með bréfi, dags. 5. september 2008, var kvartanda gefinn kostur á að koma á framfæri athugasemdum við ofangreindar skýringar Reykjavíkurborgar. Hinn 18. september 2008 barst Persónuvernd tölvubréf frá henni ásamt viðhengi með athugasemdum. Þar er því andmælt að hún hafi neitað að gefa upplýsingar um stöðu þriðja reiknings. Segir að hið sanna sé að umræddur þriðji reikningur hafi ekki lengur verið til. Einnig kemur fram að hún hafi veitt allar þær upplýsingar sem hún hafi verið beðin um þar til hún hafi verið beðin um upplýsingar um allar hreyfingar á öllum bankareikningum sínum. Telur hún að þar hafi verið of langt gengið, upplýsingar um allar bankafærslur gefi of mikla innsýn í hennar einkalíf. Hún bendir á að þannig sé hægt að skoða hvernig hún noti fé sitt og hvar hún versli svo dæmi séu tekin. Einnig ítrekar kvartandi að upplýsingar sem notaðar hafi verið séu úreltar.

3.

Hinn 22. september 2008 lagði Persónuvernd til að mál þetta yrði rætt á fundi með fulltrúum Reykjavíkurborgar í þeim tilgangi að fá skýra mynd af því hvaða vinnsla hefði átt sér stað. Jafnframt var Reykjavíkurborg veittur kostur á að koma að frekari athugasemdum. Var haldinn fundur þann 29. september 2008. Af hálfu Reykjavíkurborgar sátu hann M, deildarstjóri hjá Þjónustumiðstöð Laugardals og Háaleitis og N, forstöðumaður lögfræðiskrifstofu Velferðarsviðs Reykjavíkurborgar. Fundurinn var haldinn í húsnæði Persónuverndar.

Á fundinum kom fram að Reykjavíkurborg hefði aldrei beðið um upplýsingar um bankahreyfingar við afgreiðslu mála tengdum fjárhagsaðstoð á vegum Reykjavíkurborgar, aðeins væri beðið um stöðu reikninga. Einnig kom fram að ef starfsmenn Reykjavíkurborgar hefðu beðið um slíkar upplýsingar væru það mistök. Var ákveðið að fulltrúar Reykjavíkurborgar myndu senda Persónuvernd öll sín gögn um málið, þ.á m. tölvubréf Reykjavíkurborgar til kvartanda.

Gögnin bárust Persónuvernd hinn 2. október 2008. Í þeim var að finna tölvubréf Reykjavíkurborgar til kvartanda þar sem ítrekað var beðið um yfirlit yfir stöðu reikninga hennar og hreyfingar á reikningum. Þar sem Persónuvernd taldi enn ekki fyllilega ráðið af fyrirliggjandi gögnum hvaða vinnsla hefði í raun átt sér stað var ákveðið að kanna það nánar og fara í heimsókn til Velferðarsviðs Reykjavíkurborgar og Þjónustumiðstöðvar Laugardals og Háaleitis.

Kvartandi kom á skrifstofu Persónuverndar þann 23. október 2008. Hún fékk upplýsingar um stöðu málsins og áréttaði óánægju sína með að Reykjavíkurborg ynni upplýsingar um einkaneyslu.

4.

Hinn 27. október 2008 heimsóttu fulltrúar Persónuverndar Velferðarsvið Reykjavíkurborgar að Borgartúni 10-12. Á móti þeim tóku O, lögfræðingur, og P, tæknimaður. P útskýrði almennt fyrirkomulag og uppsetningu gagnagrunna hjá Reykjavíkurborg. Ræddu fulltrúar Persónuverndar við O um verklag við afgreiðslu mála sem tengjast beiðni um fjárhagsaðstoð. Í máli hans kom fram að gögn um samskipti umsækjenda um fjárhagsaðstoð og félagsráðgjafa kæmu ekki í hús til Velferðarsviðs. Hann sagði að þar væri ekki unnið með frumgögn heldur skjöl sem væru unnin af viðkomandi þjónustumiðstöð. Þau hefðu að geyma samantekt þeirra persónupplýsinga sem fram kæmu á frumgögnum og lægju til grundvallar ákvörðunartöku um aðstoð. Frumgögn hefðu að geyma upplýsingar sem umsækjandi veitti, upplýsingar um fyrri aðstoð og upplýsingar frá öðrum aðilum, s.s. opinberum aðilum. Hann sagði að ef Persónuvernd vildi skoða undirgögn, þ.e.a.s frumgögn, í hverju máli yrði hún að snúa sér að viðkomandi þjónustumiðstöð. Fulltrúar Persónuverndar skoðuð möppu með gögnum um mál kvartanda. Þar voru engar upplýsingar um hvernig kvartandi hefði ráðstafað sínu fé. Fram kom að hún hefði áður fengið fjárhagsaðstoð.

Hinn 7. nóvember 2008 fór fulltrúi Persónuverndar í heimsókn til Þjónustumiðstöðvar Laugardals og Háaleitis. Á móti henni tóku M og L. Skoðuð var mappa með máli kvartanda og rafræn gögn. Engin gögn var þar að finna um bankahreyfingar kvartanda - aðeins upplýsingar sem hún hafði sjálf lagt fram. L staðfesti ennfremur að aldrei hefði staðið til að skoða bankahreyfingar - hvorki um innlagnir né útborganir. Samkvæmt M og L á ekki, við afgreiðslu umsókna um fjárhagsaðstoð, að biðja um upplýsingar um hvernig einstaklingar eyða sínu fé .

Hinn 10. nóvember 2008 sendi Persónuvernd Velferðarsviði Reykjavíkurborgar og Þjónustumiðstöð Laugardals og Háaleitis minnisblöð sín um ofangreindar vettvangsheimsóknir og óskaði eftir athugasemdum ef einhverjar væru.

Hinn 12. nóvember 2008, barst Persónuvernd svar frá O, lögfræðingi hjá Velferðarsviði Reykjavíkurborgar. Þar kemur fram að Velferðarsvið geri engar athugasemdir við efni minnisblaða en síðan segir:

„Ástæða þykir þó til að benda á að það er ekki hluti almenns verklags hjá þjónustumiðstöðvum að óska eftir hreyfingum bankareikninga hjá notendum fjárhagsaðstoðar. Í máli [K] var það gert fyrir misskilning að biðja um hreyfingar þar sem ljóst er að hægt hefði verið að afla upplýsinga um fjárhagsstöðu [K] með því að biðja einungis um stöðu bankareikninga á tilteknum tímum.

Í svarbréfi til Persónuverndar, dags. 25. ágúst 2008, sem ritað er af undirrituðum f.h. Velferðarsviðs kemur fram sú fullyrðing að meðal þeirra upplýsinga sem athuga þurfi séu upplýsingar um hreyfingar á bankareikningum. Sú fullyrðing er einnig á misskilningi byggð. Ekki er beðið um svo ítarlegar upplýsingar, enda eru þær ekki nauðsynlegar til að fjárhagsstaða umsækjenda verði metin, heldur er fullnægjandi að fá upplýsingar um eign á bankareikningi, þar sem slíka eign ber að nota sér til framfærslu samkvæmt fjárhagsaðstoðarreglum Reykjavíkurborgar.

[...]."

Í dag hefur síðan borist bréf frá Velferðarsviði þar sem segir:

„Vísað er til bréfs Velferðarsviðs dags. 25. ágúst 2008, varðandi fyrirspurn Persónuverndar frá 14. júlí 2008 í máli K.

Í tilvísuðu svarbréfi sem ritað er af undirrituðum f.h. Velferðarsviðs kemur fram sú fullyrðing að meðal þeirra upplýsinga sem athuga þurfi séu upplýsingar um hreyfingar á bankareikningum. Sú fullyrðing er á misskilningi byggð og hér með dregin til baka. Ekki er beðið um svo ítarlegar upplýsingar, enda eru þær ekki nauðsynlegar til að fjárhagsstaða umsækjenda verði metin, heldur er fullnægjandi að fá upplýsingar um eign á bankareikningum, þar sem slíka eign ber að nota sér til framfærslu samkvæmt fjárhagsaðstoðarreglum Reykjavíkurborgar.

Það er því ekki hluti almenns verklags hjá Reykjavíkurborg að óska eftir hreyfingum bankareikninga hjá notendum fjárhagsaðstoðar. Í máli K var það gert fyrir misskilning að biðja um hreyfingar þar sem ljóst er að hægt hefði verið að afla upplýsinga um fjárhagsstöðu K með því að biðja einungis um stöðu bankareikninga á tilteknum tímum.

Beðist er velvirðingar á þessum mistökum."

II.

Forsendur og niðurstaða

1.

Almennt

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá.

 

Í skilningi laganna eru persónuupplýsingar sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, sbr. 1. tölul. 2. gr. laganna. Er vinnsla sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna.

Samkvæmt framanrituðu fellur vinnsla upplýsinga um fjárhag einstaklinga undir gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þau lög gera greinarmun á viðkvæmum persónuupplýsingum og öðrum persónuupplýsingum. Til viðkvæmra upplýsinga teljast þær upplýsingar sem taldar eru upp í 8. tölul. 1. mgr. 2. gr. laganna, en upplýsingar um fjárhagsmálefni eru ekki þar á meðal. Þær teljast því til almennra persónuupplýsinga en vinnsla þeirra verður að eiga sér lagastoð í einhverju af skilyrðum 1. mgr. 8. gr. laga nr. 77/2000.

Í 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 kemur fram að vinnsla persónuupplýsinga er heimil sé hún nauðsynleg til að fullnægja lagaskyldusem hvílir á ábyrgðaraðila.

Í 1. mgr. 21. gr. laga segir að sveitarstjórn skuli setja reglur um framkvæmd fjárhagsaðstoðar að fengnum tillögum félagsmálanefndar. Í 2. mgr. greinarinnar segir að félagsmálanefnd meti þörf og ákveði fjárhagsaðstoð til einstaklinga í samræmi við reglur sveitastjórnar, sbr. 1. mgr. Í 9. gr. reglna um fjárhagsaðstoð Félagsþjónustunnar í Reykjavík segir að Félagsþjónustan geti, ef þörf krefur, aflað frekari upplýsinga um tekjur og eignir umsækjanda, m.a. hjá skattayfirvöldum, atvinnurekendum, Tryggingastofnun ríkisins, Atvinnuleysistryggingasjóði og lífeyrisjóðum, innlendum og erlendum. Jafnframt segir að það skuli gert í samráði við umsækjanda. Í 2. mgr. greinarinnar segir að neiti umsækjandi að veita upplýsingar um fjárhag sinn eða maka stöðvist afgreiðsla umsóknar hans. Að lokum segir í 3. mgr. að skylt sé að veita Félagsþjónustunni upplýsingar úr skattframtölum þeirra sem leita fjárhagsaðstoðar.

Framangreint ákvæði 3. tl. 1. mgr. 8. gr. byggist á c-lið 7. gr. tilskipunar 95/46/EB. Með lagaskyldu er átt við hvers konar skyldu sem leiðir af lagasetningu, m.a. skyldur samkvæmt reglugerðum eða öðrum stjórnvaldsfyrirmælum sem eiga sér stoð í lögum. Almennt er ekki gerð sú krafa að orðalag lagaákvæðis mæli beinlínis fyrir um skyldu heldur nægi að það hafi að geyma ótvíræða vinnsluheimild. Hins vegar verður að gera þá kröfu til lagaákvæðis sem vinnsluheimildar að þar sé með skýrum hætti afmarkað hvaða vinnslu persónuupplýsinga það heimilar. Ef slíkt lagaákvæði er ekki alveg skýrt varðandi heimild til vinnslu persónuupplýsinga koma önnur ákvæði til skoðunar.

Í 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000 segir að vinnsla persónuupplýsinga sé heimil ef hún er nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, fer með. Í athugasemdum við 8. gr. í frumvarpi því er varð að lögum nr. 77/2000 kemur fram, að ákvæðið taki m.a. til vinnslu upplýsinga á vegum stjórnvalda sem tengist meðferð opinbers valds. Með því sé fyrst og fremst átt við töku stjórnvaldsákvarðana. Jafnframt falli undir ákvæðið önnur vinnsla persónuupplýsinga sem telst til stjórnsýslu svo sem við opinbera þjónustustarfsemi.

Í 76. gr. stjórnarskrá lýðveldisins Íslands segir að með lögum skuli tryggja öllum þeim sem þess þurfa aðstoð vegna sjúkleika, örorku, elli, atvinnuleysis, örbirgðar og sambærilegra atvika. Í lögum nr. 40/1991 segir síðan að sveitarfélög heyri undir félagsmálaráðuneytið og beri ábyrgð á félagsþjónustu innan sinna marka. Hefur félagsþjónustum þannig með lögum verið falið þetta hlutverk og þar með það opinbera vald sem því tengist. Teljast ákvarðanir þeirra um veitingu eða synjun fjárhagsaðstoðar því til stjórnvaldsákvarðana í framangreindum skilningi.

2.

Mál þetta lýtur að því hvort vinnsla Þjónustumiðstöðvar Laugardals og Háaleitis og Velferðarsviðs / -ráðs Reykjavíkurborgar á tilteknum persónuupplýsingum um kvartanda hafi brotið gegn lögum nr. 77/2000. Samkvæmt því sem að framan er rakið hefur vinnsla framangreindra aðila á fjárhagsupplýsingum um hana verið nauðsynleg til að fullnægja lagaskyldu sem á þeim hvílir og við meðferð opinbers valds, sbr. 3. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

K hefur kvartað yfir vinnslu upplýsinga um það hvernig hún hafi varið eigin fé og yfir notkun úreltra upplýsinga um fjárhagsstöðu hennar. Athugun Persónuverndar hefur hins vegar ekki leitt í ljós að nokkur slík vinnsla hafi farið fram. Eru því ekki forsendur til efnislegrar úrlausnar um það hvort vinnslan hafi verið lögmæt eða ekki. Af þeirri ástæðu, og í ljósi þeirra skýringa Reykjavíkurborgar að ekki sé unnið með upplýsingar um einkaneyslu og misskilningur hafi ráðið orðanotkun í bréfaskiptum, þykja ekki efni til frekari meðferðar og verður mál þetta því fellt niður.