Álit

Þann 17. september 2026 samþykkti Persónuvernd svohljóðandi álit í máli nr. 2025020567:

Álitsbeiðni – Bréfaskipti

Tildrög máls

1. Hinn 7. febrúar 2025 barst Persónuvernd beiðni NPA-miðstöðvarinnar, dags. 6. s.m., um álit á því hvort velferðarsvið Reykjavíkurborgar megi kalla eftir tilteknum gögnum sem innihalda persónuupplýsingar, en gögnin varða starfsmannakostnað vegna aðstoðarfólks félagsfólks miðstöðvarinnar með notendastýrða persónulega aðstoð (NPA). Nánar tiltekið er um að ræða bankayfirlit og kvittanir í fórum félagsfólksins vegna útlagðs kostnaðar af þjónustu aðstoðarfólks sem vinnur undir stjórn félagsfólksins en í umsjá sérstakra umsýsluaðila.

2. Í álitsbeiðninni er farið yfir löggjöf um NPA, þ.e. lög nr. 38/2018 um þjónustu við fatlað fólk með langvarandi þjónustuþarfir, sbr. einnig reglugerð með stoð í þeim lögum, nr. 1250/2018. Markmið NPA, sem byggi á 11. gr. laganna, sé að valdefla fatlað fólk til ábyrgðar yfir eigin lífi í samræmi við hugmyndafræði um sjálfstætt líf, sbr. 19. gr. samnings Sameinuðu þjóðanna um réttindi fatlaðs fólks. Eins og fram komi í lögunum sé NPA veitt á grundvelli samnings fatlaðs einstaklings við sveitarfélag og sé það einstaklingurinn sem stýri sjálfur þjónustu við sig. Þá sé gert ráð fyrir að sérstakir umsýsluaðilar sjái um veitingu NPA samkvæmt samningi við sveitarfélag.

3. Því er lýst í álitsbeiðninni að NPA-miðstöðin sé umsýsluaðili samkvæmt lögunum. Hún veiti verkstjórnendum, þ.e. fötluðu fólki með NPA, aðstoð við verkstjórnina, svo sem við að finna og ráða aðstoðarfólk, útbúa viðveruáætlanir og sjá til þess að lög og réttindi séu virt. Að auki segir að sérhver einstaklingur með samning um NPA geti gerst félagsmaður í NPA-miðstöðinni sem taki þá að sér umsýslu með samningnum. Taki þá miðstöðin við fjármagni frá viðkomandi sveitarfélagi og ráðstafi því í samræmi við samninginn og lög og reglur. Hinn fatlaði einstaklingur sé ávallt verkstjórnandi, en NPA-miðstöðin sé vinnuveitandi aðstoðarfólks einstaklingsins. Hún taki við vinnuskýrslum aðstoðarfólks hans og greiði á grundvelli skýrslnanna laun þess.

4. Farið er yfir að sveitarfélög endurgreiði kostnað vegna vinnu aðstoðarfólks í samræmi við nánari ákvæði reglugerðar nr. 1250/2018 og samning við NPA-miðstöðina, þ.e. samkvæmt mánaðarlegum skilagreinum. Jafnframt er því lýst að fram að þessu hafi öll sveitarfélög endurgreitt kostnaðinn án þess að krefjast sérstakrar sundurliðunar á honum, en hann geti verið margvíslegur svo sem lýst er á bls. 5 í álitsbeiðninni með svofelldum hætti:

5. Með vísan til þessa lýsir NPA-miðstöðin þeirri afstöðu sinni að með kröfu Reykjavíkurborgar um bankayfirlit og kvittanir sé farið út fyrir heimildir lögum samkvæmt, auk þess sem krafan sé hvorki nauðsynleg né sanngjörn. Þá sé um að ræða fordæmalausa gagnaöflun.

Skýringar Reykjavíkurborgar

6. Með bréfi, dags. 25. apríl 2025, leitaði Persónuvernd skýringa velferðarsviðs Reykjavíkurborgar í tilefni af framangreindri álitsbeiðni. Svarað var með bréfi, dags. 9. maí s.á. Þar er farið almennt yfir samskipti sviðsins við NPA-miðstöðina og hvaða lagareglur gilda um þá þjónustu sem hér um ræðir. Í niðurlagi bréfsins tók sviðið auk þess fram að fyrirspurnin varðaði bókhaldsgögn sem sneru að starfsmannakostnaði notenda, en í ljósi þess færi ekki fram vinnsla persónuupplýsinga. Gæfist því ekki tilefni til að veita Persónuvernd umbeðnar skýringar.

7. Að fengnu þessu svari sendi Persónuvernd velferðarsviði Reykjavíkurborgar bréf, dags. 13. maí 2025, þar sem rakin er sú afstaða stofnunarinnar að um ræði vinnslu persónuupplýsinga. Beiðni um skýringar var jafnframt ítrekuð og svaraði nú velferðarsvið með bréfi, dags. 16. júní 2025. Þar segir meðal annars að allt frá setningu reglugerðar nr. 1250/2018, útgáfu ráðuneytis umrædds málaflokks á handbók um NPA í apríl 2019, sem og útgáfu þess á leiðbeiningum um uppgjör og útfyllingu rekstrarskýrslu vegna NPA í janúar 2020, hafi umsýsluaðilum verið kunnug sú skylda sín að halda utan um greiðslukvittanir vegna starfsmannakostnaðar og skila þeim til viðeigandi sveitarfélags. Hins vegar hafi Reykjavíkurborg ekki farið fram á þau gögn fyrr, en nú hafi verið talin þörf á öflun gagnanna til nánari staðfestingar á nýtingu fjármuna í þágu starfsmannakostnaðar. Hafi enda komið í ljós við skoðun og eftirlit með framkvæmd þjónustunnar að safnast hafi upp háar fjárhæðir hjá notendum, sem gefi tilefni til rýni á umræddum kostnaði í þágu innra eftirlits borgarinnar.

8. Hvað snertir heimild til öflunar umræddra gagna er vísað til 21. gr. reglugerðar nr. 1250/2018, þess efnis meðal annars að í lok hvers almanaksárs skuli umsýsluaðili senda sveitarfélagi heildaruppgjör á NPA-samningi fyrir allt tímabilið, en þar skuli koma fram sundurliðun á ráðstöfun samningsfjárhæðar, yfirlit yfir launakostnað og launatengd gjöld, svo og yfirlit yfir ráðstöfun á framlagi til starfsmannakostnaðar og umsýslukostnaðar. Að auki segir að samkvæmt fyrrnefndri handbók sé miðað við að 5% af framlagi sveitarfélags til NPA renni til kostnaðar notenda þjónustunnar vegna starfsfólks og/eða aðstoðarmanns sem fylgi notendum í leik og starfi, en þetta sé áréttað í samningi Reykjavíkurborgar við NPA-miðstöðina. Þá segir meðal annars að samkvæmt áðurgreindum leiðbeiningum ráðuneytisins skuli umsýsluaðilar skila kvittunum vegna starfsmannakostnaðar til viðeigandi sveitarfélaga á rafrænu formi, svo sem með því að skanna þær inn eða ljósmynda og senda í tölvupósti.

9. Með vísan til framangreinds vísar Reykjavíkurborg til 3. og 5. tölul. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga sem heimilda fyrir ráðgerðri upplýsingaöflun, nánar tiltekið um að vinna megi með persónuupplýsingar vegna nauðsynjar í þágu lagaskyldu og beitingar opinbers valds. Almennt sé ekki um að ræða viðkvæmar persónuupplýsingar, en að því marki sem slíkar upplýsingar komi fyrir eigi við 2. tölul. 1. mgr. 11. gr. laganna, sbr. b-lið 2. mgr. 9. gr. reglugerðarinnar, um heimild til vinnslu slíkra upplýsinga sem nauðsynlegar eru til að standa við skuldbindingar og nýta sér réttindi samkvæmt löggjöf um félagslega vernd.

10. Hvað snertir grunnreglur 1. mgr. 8. gr. laga nr. 90/2018, þ. á m. um málefnalegan tilgang og meðalhóf, er mismunur sagður vera milli úthlutaðra fjármuna í þágu starfsmannakostnaðar og raunverulegrar nýtingar sem valdi því að fjármunir safnist upp á reikningum notenda, en tilefni gefist því til eftirlits með ráðstöfun þeirra. Þessir fjármunir séu skattfrjálsir og feli í sér ráðstöfun á opinberu fé, en ríkar eftirlitsskyldur skapist í því sambandi, nánar tiltekið með því að framlagi til notanda til að hafa starfsfólk í vinnu og aðstoðarmann í fylgd með sér sé ekki varið með öðrum hætti. Jafnframt geti notendur skilað inn reikningsyfirliti af sérgreindum reikningum fyrir starfsmannakostnað, en hafi þeir ekki slíkan reikning geti þeir skilað skjáskotum af færslum vegna þess kostnaðar eingöngu. Öflun reikningsyfirlita, skjáskota af reikningsfærslum og kvittana sé vægasta leiðin til að ná umræddum eftirlitstilgangi. Það sé ekki tilgangur Reykjavíkurborgar að óska eftir heildaryfirliti yfir bankareikninga NPA-notenda heldur einungis yfirliti yfir sértæka reikninga og/eða tilteknar færslur sem varða starfsmannakostnað vegna þjónustunnar.

11. Áður en málið yrði afgreitt taldi Persónuvernd frekari skýringa þörf frá Reykjavíkurborg og var þeirra óskað með bréfi til velferðarsviðs borgarinnar, dags. 3. febrúar 2026. Nánar tiltekið óskaði Persónuvernd skýringa um hvernig borgin teldi fyrirhugaða upplýsingaöflun falla innan heimilda samkvæmt áðurnefndu ákvæði 21. gr. reglugerðar nr. 1250/2018, svo og hvers vegna upplýsingaöflunin væri í raun talin nauðsynleg til að viðhafa viðeigandi eftirlit, þ.e. hvers vegna minni upplýsingar ættu ekki að nægja.

12. Svarað var með bréfi velferðarsviðs Reykjavíkurborgar, dags. 16. febrúar 2026. Þar er vísað til þess að auk reglugerðar nr. 1250/2018, settri með stoð í 4. mgr. 11. gr. laga nr. 38/2018, hafi ráðherra umrædds málaflokks gefið út fyrrnefnda handbók um NPA með heimild í sama lagaákvæði. Bent er á að samkvæmt kafla 2.2 í handbókinni er notanda óheimilt að ráðstafa framlagi vegna starfsmannakostnaðar með öðrum hætti en þar greinir nema samið sé um annað, sem og að í kafla 2.5 er notendum þjónustunnar ráðlagt að halda sérstakan bankareikning fyrir slíkan kostnað með sérstöku greiðslukorti. Í ljósi þessa teljist ráðgerð upplýsingaöflun frá NPA-miðstöðinni falla undir 21. gr. umræddrar reglugerðar.

13. Hvað snertir nauðsyn á umræddri upplýsingaöflun er þeirri afstöðu lýst að án hennar verði ekki sannreynt að uppgefnum starfsmannakostnaði hafi í raun verið ráðstafað til slíkra þarfa. Þessi kostnaður geti verið margvíslegur, t.d. vegna ferðalaga og samgangna; aðgöngumiða fyrir starfsmann á söfn, tónleika, íþróttaviðburði o.þ.h.; starfsmannaaðstöðu á heimili notanda; og hreinlætisvara fyrir aðstoðarfólk. Þá greinir meðal annars frá því að árið 2024 hafi komið í ljós, við afgreiðslu á umsókn eins NPA-notanda um félagslegt húsnæði hjá Reykjavíkurborg, að háar fjárhæðir hefðu safnast inn á reikninga viðkomandi sem við eftirgrennslan hefðu reynst vera uppsafnaður starfsmannakostnaður vegna NPA-samnings. Hafi þá gefist tilefni til að kanna hvort sambærileg staða væri uppi hjá öðrum notendum og því hafi verið óskað eftir þeim gögnum sem um ræðir í máli þessu, þ.e. bankayfirlitum og kvittunum vegna starfa aðstoðarfólks.

Athugasemdir NPA-miðstöðvarinnar

14. Með bréfi, dags. 3. mars 2026, veitti Persónuvernd NPA-miðstöðinni færi á að tjá sig um skýringar Reykjavíkurborgar. Svarað var með bréfi, dags. 17. s.m. Þar er vísað til þess að samkvæmt orðalagi 21. gr. reglugerðar nr. 1250/2018 eiga umsýsluaðilar að skila sveitarfélagi heildaruppgjöri með sundurliðun á ráðstöfun fjárhæðar samkvæmt samningi við sveitarfélagið, yfirliti yfir launakostnað og launatengd gjöld, svo og yfirliti yfir ráðstöfun á framlagi til starfsmannakostnaðar og umsýslukostnaðar. Jafnframt er vísað til þeirrar túlkunar Reykjavíkurborgar að samkvæmt ákvæðinu megi krefjast bankayfirlita notenda og kvittana frá þeim um ráðstöfun kostnaðar, en sú túlkun er sögð óhófleg og ganga lengra en orðalag og tilgangur umrædds ákvæðis gefi tilefni til. Ákvæðið gildi eingöngu um heildaruppgjör samninga við sveitarfélög, sem umsýsluaðilar eigi að standa skil á en ekki notendur, auk þess sem það feli ekki í sér skyldu umsýsluaðila eða notenda til að afhenda gögn í þeim mæli sem borgin fari fram á.

15. Þá tekur NPA-miðstöðin fram að með lögum nr. 38/2018 sé verið að leggja áherslu á mannhelgi, sjálfræði og sjálfstæði NPA-notenda. Þannig sé í 1. mgr. 1. gr. laganna lýst því markmiði að notendur þjónustunnar njóti fullra mannréttinda til jafns við aðra og búi við skilyrði til sjálfstæðs lífs á eigin forsendum, en jafnframt sé tekið fram að við framkvæmd þjónustu við fatlað fólk skuli virðing borin fyrir mannlegri reisn þess, sjálfræði og sjálfstæði. Þá segir meðal annars að í svörum Reykjavíkurborgar sé vísað til einnar tilviksbundinnar uppsöfnunar fjár á reikningi eins notanda og það tilvik notað til að alhæfa um þörf á víðtækri gagnasöfnun um alla NPA-notendur í sveitarfélaginu. Slíkt standist hvorki nauðsynjarpróf 8. gr. laga nr. 90/2018 né kröfur meðalhófsreglu stjórnsýsluréttar, enda séu vægari og markvissari úrræði tiltæk, svo sem staðlað ársyfirlit og sundurliðun eftir kostnaðarflokkum, stöðuyfirlit sérstaks starfsmannakostnaðarreiknings í upphafi eða við lok árs, vottorð endurskoðanda eða úrtaksskoðun og markviss gagnaöflun við rökstuddan grun um misnotkun.

Álit Persónuverndar

Gildissvið – Ábyrgðaraðili

16. Mál þetta lýtur að kröfu velferðarsviðs Reykjavíkurborgar um að NPA-miðstöðin, sem umsýsluaðili þjónustu samkvæmt lögum nr. 38/2018 um þjónustu við fatlað fólk með langvarandi þjónustuþarfir, afhendi því tilteknar upplýsingar. Nánar tiltekið er þar um að ræða bankayfirlit og kvittanir frá félagsfólki miðstöðvarinnar yfir útlagðan kostnað af þjónustu aðstoðarfólks síns sem sinnir notendastýrðri persónulegri aðstoð (NPA). Varðar málið því vinnslu persónuupplýsinga í skilningi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, svo og almennu persónuverndarreglugerðarinnar (ESB) 2016/679, sbr. 2. og 4. tölul. 3. gr. laganna og 1. og 2. tölul. 4. gr. reglugerðarinnar.

17. Af þessu leiðir einnig að málið fellur undir gildissvið persónuverndarlöggjafarinnar, sbr. 1. mgr. 4. gr. laganna og 1. mgr. 2. gr. reglugerðarinnar, og þar með valdsvið Persónuverndar, sbr. 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

18. Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 og reglugerð (ESB) 2016/679 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna og 7. tölul. 4. gr. reglugerðarinnar er þar átt við þann sem ákveður tilgang og aðferðir við vinnslu persónuupplýsinga. Telst Reykjavíkurborg vera ábyrgðaraðili þeirrar vinnslu sem felst í öflun velferðarsviðs borgarinnar á persónuupplýsingum einstaklinga með NPA frá umsýsluaðilum slíkrar þjónustu, í þessu tilviki NPA-miðstöðvarinnar.

Lagaumhverfi

19. Svo að vinna megi með persónuupplýsingar þarf vinnslan ávallt að falla undir einhverja af hinum almennu heimildum 9. gr. laga nr. 90/2018 og 6. gr. reglugerðar (ESB) 2016/679. Hér reynir á hvort stjórnvald megi afla tiltekinna gagna sem fela í sér upplýsingar um einstaklinga, en 3. og 5. tölul. 1. mgr. ákvæðis laganna og c- og e-liðir ákvæðis reglugerðarinnar koma þá einkum til greina sem vinnsluheimildir. Er þar annars vegar um að ræða heimild til vinnslu sem nauðsynleg er til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Hins vegar er um að ræða heimild til vinnslu sem nauðsynleg er vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með.

20. Þegar unnið er með viðkvæmar persónuupplýsingar þarf einnig að vera fullnægt einhverju viðbótarskilyrðanna fyrir vinnslu slíkra upplýsinga sem mælt er fyrir um í 1. mgr. 11. gr. laga nr. 90/2018 og 2. mgr. 9. gr. reglugerðar (ESB) 2016/679. Upplýsingar um NPA lúta að heilsufari einstaklings, en eins og fram kemur í b-lið 2. tölul. 3. gr. laganna og 1. mgr. 9. gr. reglugerðarinnar eru slíkar upplýsingar viðkvæmar. Jafnframt geta bankayfirlit og kvittanir vegna NPA haft að geyma frekari viðkvæmar persónuupplýsingar, en til dæmis má nefna að upplýsingar um fylgd aðstoðarmanns í tiltekið félagsstarf gætu jafnframt lotið að stjórnmálaskoðunum, trúarbrögðum og lífsskoðunum, sbr. a-lið 2. tölul. 3. gr. laganna og áðurnefnt ákvæði 1. mgr. 9. gr. reglugerðarinnar.

21. Þau viðbótarskilyrði fyrir vinnslu viðkvæmra persónuupplýsinga, sem einkum gætu átt við hér, er að finna í 2. og 8. tölul. 1. mgr. 11. gr. laganna og b- og h-liðum 2. mgr. 9. gr. reglugerðarinnar. Er þar annars vegar um að ræða heimild til slíkrar vinnslu sé hún nauðsynleg til að ábyrgðaraðili geti staðið við skuldbindingar sínar samkvæmt löggjöf um félagslega vernd. Hins vegar er um að ræða heimild þegar vinnslan er nauðsynleg til að unnt sé að veita umönnun á sviði félagsþjónustu. Í fyrra tilvikinu er gerð krafa um lagagrundvöll sem kveði á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og frelsi hins skráða. Þá er í hinu síðara gert ráð fyrir sérstakri lagaheimild, sem og að þjónusta sé framkvæmd af starfsmanni á viðkomandi sviði sem bundinn er þagnarskyldu.

22. Auk heimildar til vinnslu persónuupplýsinga samkvæmt framangreindu þarf hún ávallt að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018 og 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, þ. á m. um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. ákvæðis laganna og a-liður ákvæðis reglugerðarinnar); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul. lagaákvæðisins og b-liður reglugerðarákvæðisins); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul. lagaákvæðisins og c-liður reglugerðarákvæðisins); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á skráða einstaklinga lengur en þörf krefur miðað við tilgang vinnslu (5. tölul. ákvæðis laganna og e-liður ákvæðis reglugerðarinnar). Nefna má varðandi síðastnefndu grunnregluna að hún er bundin fyrirvara um skjalavistun hjá stjórnvöldum í þágu almannahagsmuna, sbr. og lög nr. 77/2014 um opinber skjalasöfn sem leggja miklar hömlur við eyðingu gagna hjá opinberum aðilum.

23. Við beitingu framangreindra ákvæða ber að líta til ákvæða í annarri löggjöf eftir því sem við á hverju sinni. Eins og hér háttar til reynir þá sérstaklega á lög nr. 38/2018 um þjónustu við fatlað fólk með langvarandi þjónustuþarfir, en þar er meðal annars fjallað um notendastýrða persónulega aðstoð (NPA). Eins og greinir í 6. tölul. 2. gr. laganna er þar átt við aðstoð sem stjórnað er af notanda þjónustunnar með þeim hætti að hann skipuleggur aðstoðina, ákveður hvenær hún er veitt, velur aðstoðarfólk og ákveður hver annast umsýslu með þjónustunni. Kveðið er á um skilyrði fyrir NPA í 1. mgr. 11. gr. laganna, þess efnis að einstaklingur eigi rétt á slíkri þjónustu hafi hann mikla og viðvarandi þörf fyrir aðstoð og þjónustu, svo sem við athafnir daglegs lífs, heimilishald og þátttöku í félagsstarfi, námi og atvinnulífi. Einnig segir meðal annars í 2. mgr. ákvæðisins að aðstoðin skuli vera skipulögð á forsendum notandans og undir verkstjórn hans, en að auki mælir 3. mgr. ákvæðisins fyrir um ábyrgð svonefndra umsýsluaðila sem koma að þjónustunni. Er þar nánar tiltekið um að ræða aðila, svo sem félagasamtök eða sjálfseignarstofnun, sem fengið hefur sérstakt rekstrarleyfi til veitingar þjónustunnar frá Gæða- og eftirlitsstofnun velferðarmála, sbr. 1. mgr. 7. gr. laganna, en jafnframt starfar umsýsluaðilinn á grundvelli samnings við viðkomandi sveitarfélag, sbr. 1. mgr. 5. gr. laganna.

24. Nánari ákvæði um NPA er að finna í reglugerð nr. 1250/2018 um notendastýrða persónulega aðstoð, en þar er meðal annars fjallað um samskipti umsýsluaðila og sveitarfélaga og eftirlit þeirra síðarnefndu með þeim fyrrnefndu. Má þar nefna 21. gr. reglugerðarinnar þar sem segir að umsýsluaðili skuli mánaðarlega senda sveitarfélagi skilagreinar. Í lok hvers almanaksárs skuli sveitarfélagi sent heildaruppgjör á NPA-samningi fyrir allt tímabilið. Í heildaruppgjöri skuli koma fram sundurliðun á ráðstöfun samningsfjárhæðar NPA-samnings, yfirlit yfir launakostnað og launatengd gjöld, svo og yfirlit yfir ráðstöfun á framlagi til starfsmannakostnaðar og umsýslukostnaðar. Alla jafna skuli umsýsluaðili endurgreiða sveitarfélagi það framlag sem ekki hefur verið ráðstafað í lok hvers almanaksárs og hefjist þá nýtt uppgjörstímabil.

25. Tilgangi löggjafar um þjónustu við fatlað fólk er lýst í 1. gr. laga nr. 38/2018. Er meðal annars tiltekið það markmið í 1. mgr. þeirrar greinar að fatlað fólk fái nauðsynlegan stuðning til þess að það geti notið fullra mannréttinda til jafns við aðra og öðlist skilyrði til sjálfstæðs lífs á eigin forsendum. Jafnframt segir í sömu málsgrein að við framkvæmd þjónustu við fatlað fólk skuli virðing borin fyrir mannlegri reisn þess, sjálfræði og sjálfstæði, en auk þess skal þjónustan miðast við einstaklingsbundnar þarfir og aðstæður viðkomandi, óskir og önnur atriði sem skipta máli, svo sem kyn, kynferði, aldur, þjóðernisuppruna, trúarbrögð o.fl., sbr. 2. mgr. 1. gr. laganna. Þá segir í 3. mgr. sömu greinar að við framkvæmd laganna skuli framfylgt þeim alþjóðlegu skuldbindingum sem íslensk stjórnvöld hafa gengist undir, einkum samningi Sameinuðu þjóðanna um réttindi fatlaðs fólks, en sá samningur hefur nú verið lögfestur hér á landi, sbr. 2. gr. laga nr. 80/2025. Sérstakt ákvæði um virðingu fyrir einkalífi er að finna í 22. gr. samningsins, en jafnframt má hér vísa til hinna almennu einkalífsverndarákvæða 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu. Í umræddu ákvæði samningsins um réttindi fatlaðs fólks segir:

Niðurstaða

26. Persónuvernd telur ljóst að velferðarsviði Reykjavíkurborgar geti verið heimil vinnsla persónuupplýsinga í tengslum við eftirlit með ráðstöfun þess fjár sem veitt er í þágu notendastýrðrar persónulegrar aðstoðar (NPA), þ.e. á grundvelli nauðsynjar vegna lagaskyldu, sbr. 3. tölul. 9. gr. laga nr. 90/2018 og c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þá telur Persónuvernd heimilt geta verið að vinna með viðkvæmar persónuupplýsingar í sama skyni, þ.e. á grundvelli nauðsynjar vegna skuldbindinga samkvæmt löggjöf um félagslega vernd og til að veita umönnun á sviði félagsþjónustu, sbr. 2. og 8. tölul. 1. mgr. 11. gr. laganna og b- og h-liði 2. mgr. 9. gr. reglugerðarinnar.

27. Jafnframt þarf vinnslan að samrýmast þeim gagnsæis- og meðalhófskröfum sem birtast í grunnreglum 1.-3. tölul. og 5. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-c-liðum og e-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Fyrir liggur að í einu tilviki reyndist notandi NPA hafa safnað inn á reikninga sína háum fjárhæðum sem ætlaðar voru til greiðslu starfsmannakostnaðar vegna NPA (sjá efnisgrein 13). Persónuvernd telur atvik sem þetta eftir atvikum geta haft í för með sér þörf á breyttu verklagi og aukinni aðgæslu við eftirlit. Það að hefja stóraukna og nákvæma upplýsingasöfnun frá öllum notendum NPA í ljósi eins afmarkaðs tilviks, án þess að vægari úrræði séu könnuð til þrautar, telst hins vegar brjóta gegn umræddum meðalhófskröfum.

28. Nefna má í þessu sambandi að könnun á heildarnýtingu fjárveitinga hvers notanda, án tillits til einstakra kostnaðarliða, gæti ein og sér leitt í ljós þau frávik sem tilefni gæfu til frekari skoðunar, en jafnframt gæti nákvæm upplýsingaöflun um hvern og einn NPA-notanda þá talist óþörf. Má telja það sérstaklega brýnt að möguleikinn á slíku verklagi sé vandlega kannaður í ljósi þeirrar nákvæmu myndar sem upplýsingar um veitingu NPA geta gefið af daglegu lífi viðkomandi einstaklings. Þannig geta þau gögn sem Reykjavíkurborg fer fram á, þ.e. reikningsyfirlit og kvittanir vegna fylgdar og annarrar þjónustu aðstoðarfólks, varpað ljósi á hinar margvíslegustu athafnir daglegs lífs, svo sem heimsóknir á söfn og hvers kyns viðburði, ferðir í sund og líkamsrækt, sálfræðiviðtöl og læknisheimsóknir, fundasókn hjá stjórnmálasamtökum, þátttöku í trúarathöfnum og starfsemi lífsskoðunarfélaga. Þá myndu gögnin falla undir varðveisluskyldu samkvæmt lögum nr. 77/2014 um opinber skjalasöfn.

29. Í ljósi framangreinds reynir hér sérstaklega á grunnregluna um friðhelgi einkalífs, sbr. 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu, sbr. og sérstaklega 22. gr. samnings Sameinuðu þjóðanna um réttindi fatlaðs fólks. Þá ber að öðru leyti að líta til þess lagaramma sem gildir um eftirlit með veitingu NPA, en við túlkun á honum ber meðal annars að líta til umræddrar grunnreglu. Víðtæk túlkun einstakra ákvæða, sem gerir ráð fyrir upplýsingaheimildum umfram það sem leitt verður skýrlega af orðalagi þeirra, kemur því vart til greina. Skal í því sambandi minnt á að 21. gr. reglugerðar nr. 1250/2018 tilgreinir einungis öflun sveitarfélags á heildaruppgjöri frá umsýsluaðilum NPA sem hafi að geyma sundurliðun á ráðstöfun samningsfjárhæðar og yfirlit yfir tiltekna þætti. Samkvæmt almennum málskilningi verður sú tilgreining vart talin fela í sér heimild til jafnnákvæmrar upplýsingaöflunar og Reykjavíkurborg fyrirhugar vegna eftirlits með NPA.

30. Þrátt fyrir þetta vill Persónuvernd taka fram að stofnunin telur eftir atvikum geta rúmast innan marka löggjafarinnar að sveitarfélag afli gagna, á borð við bankayfirlit eða kvittanir, til að sýna fram á útlagðan kostnað af þjónustu aðstoðarfólks tiltekinna NPA-notenda í einstaka tilfellum, enda séu fyrir því gildar ástæður í hverju tilviki fyrir sig. Það samrýmist hins vegar ekki meðalhófskröfu persónuverndarlaganna að afla slíkra gagna frá öllum notendum NPA-þjónustunnar innan sveitarfélagsins í þágu almenns eftirlits.

31. Þá er velferðarsviði Reykjavíkurborgar bent á, með hliðsjón af gagnsæiskröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 (sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679), að huga að því að notendur NPA-þjónustunnar séu nægilega vel upplýstir um að þeir geti þurft að afhenda umrædd gögn við tilteknar aðstæður. Slíkar upplýsingar mætti eftir atvikum veita með skýringum í útgefnu fræðsluefni um NPA.

32. Með vísan til framangreinds er niðurstaða Persónuverndar sú að ráðgerð upplýsingaöflun velferðarsviðs Reykjavíkurborgar frá NPA-miðstöðinni, þ.e. á bankayfirlitum og kvittunum frá félagsfólki miðstöðvarinnar vegna útlagðs kostnaðar af þjónustu aðstoðarfólks síns, samrýmist ekki lögum nr. 90/2018 og reglugerð (ESB) 2016/679.

Álitsorð:

Fyrirhuguð öflun velferðarsviðs Reykjavíkurborgar frá NPA-miðstöðinni á bankayfirlitum og kvittunum frá félagsfólki miðstöðvarinnar vegna þjónustu aðstoðarfólks samrýmist ekki lögum nr. 90/2018 og reglugerð (ESB) 2016/679.

Persónuvernd, 17. september 2026

Dóra Sif Tynes, formaður

Árnína Steinunn Kristjánsdóttir

Gunnar Ingi Ágústsson

Jónas Sturla Sverrisson

Thor Aspelund