Miðlun upplýsinga úr nemendaskrá Háskóla Íslands til Vinnumálastofnunar
Persónuvernd vísar til bréfs Nemendaskrár Háskóla Íslands, dags. 22. júlí 2009, varðandi það hvort verða megi við beiðni Vinnumálastofnunar um upplýsingar um nemendur skólans. Óskað hafði verið álits stofnunarinnar á þessu með bréfi, dags. 16. febrúar 2009. Persónuvernd svaraði með bréfi, dags. 26. mars s.á., og benti á að upptalning 9. gr. laga nr. 54/2006 á aðilum, sem afhenda eiga Vinnumálastofnun upplýsingar, tilgreindi ekki menntastofnanir. Taldi Persónuvernd því að á Vinnumálastofnun hvíldi ekki skylda til afhendingar upplýsinganna. Gæti afhendingin ekki talist heimil í ljósi 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
Í framangreindu bréfi Vinnumálastofnunar, dags. 22. júlí 2009, er vísað til breytinga sem síðan hafa verið gerðar á 9. gr. laga nr. 54/2006, sbr. lög nr. 37/2009, og spurt hvaða áhrif þær hafi á heimildir til umræddrar vinnslu persónuupplýsinga. Fram kemur að ef heimilt verði talið að afhenda umræddar upplýsingar verði þær afhentar á diski með þeim skilyrðum að þær verði aðeins notaðar í umræddum tilgangi, í þetta eina sinn og eytt að notkun lokinni.
Í 4. mgr. 9. gr. segir nú að m.a. skólar á háskólastigi skuli láta Vinnumálastofnun í té upplýsingar sem nauðsynlegar eru við framkvæmd laganna. Í athugasemdum í greinargerð með því frumvarpi, sem varð að lögum nr. 37/2009, segir um forsendur lagabreytingarinnar:
„Í ljósi þess að einstaklingar sem stunda nám, sbr. c-lið 3. gr. laganna, teljast ekki tryggðir samkvæmt lögunum á sama tímabili og þeir stunda nám sitt enda sé námið ekki hluti vinnumarkaðsaðgerða samkvæmt ákvörðun Vinnumálastofnunar, sbr. 1. mgr. 52. gr. laganna, er lagt til að skólum innan hins almenna menntakerfis á Íslandi og skólum á háskólastigi verði gert skylt að láta Vinnumálastofnun í té upplýsingar sem nauðsynlegar eru við eftirlit með framkvæmd laganna með sama hætti og öðrum þeim aðilum sem þegar eru taldir upp í lögunum. Er þetta einkum lagt til í því skyni að undirstrika tilgang Atvinnuleysistryggingasjóðs sem og mikilvægi þess að jafnræði ríki meðal nemenda í skólum landsins að þessu leyti. Megintilgangur Atvinnuleysistryggingasjóðs er einkum að tryggja einstaklingum, sem hafa tímabundið misst starf sitt, framfærslu þann tíma sem það tekur að finna nýtt starf enda áhersla lögð á að hinn tryggði sé í virkri atvinnuleit meðan hann nýtur greiðslna úr sjóðnum. Það hefur hins vegar ekki verið talið hlutverk sjóðsins að tryggja framfærslu þeirra sem stunda hefðbundið nám á framhaldsskólastigi eða í háskóla enda öðrum kerfum ætlað það hlutverk, svo sem Lánasjóði íslenskra námsmanna, með hliðsjón af því að þeir sem leggja stund á nám teljast ekki vera í virkri atvinnuleit á sama tíma."
Í 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er mælt fyrir um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu. Þá segir í 6. tölul. sömu málsgreinar að vinnsla sé heimil sé hún nauðsynleg við beitingu opinbers valds, sem sá sem upplýsingum er miðlað til, fer með. Í ljósi þessara ákvæða, 4. mgr. 9. gr. laga nr. 54/2006 og framangreindra skýringa við það ákvæði telur Persónuvernd að Háskóla Íslands sé heimilt að afhenda Vinnumálastofnun skrá með upplýsingum um þá sem sækja lánshæft nám við skólann.
Við þá afhendingu og eftirfarandi vinnslu Vinnumálastofnunar verður að fara að grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000. Þar segir m.a. að þess skuli gætt við vinnslu persónuupplýsinga að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (1. tölul.); að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).
Með vísan til þessa ber ekki að afhenda aðrar upplýsingar um nemendur skólans en þær sem Vinnumálastofnun eru nauðsynlegar til að sinna hlutverki sínu. Ætla má að kennitölur nemenda, sem stunda lánshæft nám, nægi í umræddu skyni. Upplýsingum ber að eyða hjá Vinnumálastofnun þegar samkeyrsla hefur farið fram. Í ljósi 11. gr. laga nr. 77/2000 um öryggi persónuupplýsinga ber að afhenda Vinnumálastofnun skrá með umræddum upplýsingum með öruggum hætti, s.s. á innsigluðum geisladiski.