Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu Borgarholtsskóla í máli nr. 2025010364 (áður 2024020274):

Málsmeðferð

1. Hinn 4. febrúar 2024 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga af hálfu Borgarholtsskóla, í tengslum við nafnlausa ábendingu sem barst í gegnum ábendingarhnapp á vefsíðu skólans og varðaði hana og kennsluhætti hennar.

2. Persónuvernd bauð Borgarholtsskóla að tjá sig um kvörtunina með bréfi, dags. 31. október 2024, og bárust svör 5. desember s.á. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör Borgarholtsskóla með bréfi, dags. 16. s.m., og bárust þær með tölvupósti 5. janúar 2025. Með bréfi, dags. 21. s.m. var Borgarholtsskóla veittur kostur á að koma á framfæri frekari athugasemdum og bárust þær með bréfi, dags. 30. s.m.

3. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna.

Ágreiningsefni

4. Ágreiningur er um heimild Borgarholtsskóla til þess að taka við nafnlausri ábendingu sem beindist að kvartanda, í gegnum ábendingarhnapp á vefsíðu skólans, og vista hana í skjalakerfi. Einnig er ágreiningur um hvort Borgarholtsskóla beri að eyða umræddri ábendingu úr skjalakerfinu.

Atvik máls og fyrirliggjandi gögn

5. Fyrir liggur að á vefsíðu Borgarholtsskóla er hægt að senda inn annars vegar nafnlausa almenna ábendingu, kvörtun eða hrós til skólans og hins vegar nafnlausa ábendingu um einelti, áreitni eða ofbeldi. Gæðastjóri skólans tekur á móti ábendingunum og kemur þeim til viðeigandi stjórnanda til úrlausnar, í samræmi við verklagsreglur VKL-0032: Ábendingar, frábrigði, umbætur og forvarnir, sem meðfylgjandi voru svarbréfi Borgarholtsskóla, dags. 5. desember 2024. Samkvæmt verklagsreglunum eru allar ábendingar sem berast í gegnum ábendingarhnapp vefsíðunnar vistaðar í skjalakerfi skólans, ásamt viðbrögðum og úrvinnslu erindisins.

6. Þann [dags.] [ártal] barst gæða- og skjalastjóra Borgarholtsskólans nafnlaus ábending, í gegnum almenna ábendingarhnappinn, sem beindist að kvartanda og kennsluháttum hennar. Hefur kvartandi vísað til þess að ábendingin hafi innihaldið ósannindi, rangfærslur og rógburð um persónu hennar. Ábendingin var vistuð í skjalakerfi skólans og send sviðsstjóra kvartanda til úrlausnar í samræmi við verklagsreglur. Degi síðar hafði sviðsstjórinn samband við kvartanda símleiðis til þess að tilkynna henni um framkomna ábendingu og gefa henni færi á að bregðast við. Í kjölfarið voru athugasemdir og sjónarmið kvartanda, varðandi umrædda ábendingu, vistaðar sem minnisblað við málið í skjalakerfinu.

7. Meðal gagna málsins eru tölvupóstsamskipti kvartanda við stjórnendur Borgarholtsskóla og persónuverndarfulltrúa skólans, skjáskot af umræddum ábendingarhnapp eins og hann birtist á vefsíðu skólans þegar atvik máls áttu sér stað, verklagsregla VKL-0032, sbr. framangreint, og verklagsregla VKL-0045: Erindi, frávik, úrbætur og forvarnir um mál sem varða vinnslu persónuupplýsinga, og sá hluti vinnsluskrár Borgarholtsskóla sem varðar vinnslu persónuupplýsinga með notkun ábendingarhnappsins.

8. Tilgangur verklagsreglu VKL-0032 er að lýsa þeim aðgerðum sem beitt er við skoðun á hvers kyns ábendingum, frábrigðum, umbótum og forvörnum sem kunna að koma í starfsemi Borgarholtsskóla eða frá nemendum, starfsfólki, hagsmunaaðilum og öðrum samstarfsaðilum skólans. Því er lýst að tilgangur rafrænna ábendinga sé að skoða hvort hægt sé að gera úrbætur og tryggja að fram fari stöðugar umbætur og forvarnir á allri starfsemi skólans. Þá er ábyrgð stjórnenda lýst og til hvaða aðgerða á að grípa þegar ábendingar berast.

Sjónarmið aðila

Helstu sjónarmið kvartanda

9. Kvartandi byggir á því að Borgarholtsskóli hafi ekki unnið persónuupplýsingar hennar umrætt sinn með lögmætum, sanngjörnum og gagnsæjum hætti, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

10. Kvartandi krefst þess að ósannur og nafnlaus rógburður um hana í ábendingu frá nemanda sé fjarlægður úr skjalakerfi Borgarholtsskóla, í samræmi við rétt hennar samkvæmt 1. mgr. 20. gr. laga nr. 90/2018 og 1. mgr. 17. gr. reglugerðar (ESB) 2016/679. Að mati kvartanda hafi gæða- og skjalastjóra Borgarholtsskóla, sem jafnframt sé persónuverndarfulltrúi skólans, borið að rannsaka ábendinguna og kanna hvort hún ætti við rök að styðjast áður en persónuupplýsingar um hana væru skráðar inn í skjalakerfi skólans.

11. Þá gerir kvartandi athugasemd, með vísan til skjáskots af ábendingarforminu á vefsíðu skólans í [dags.] [ártal], um að hvergi hafi komið fram með skýrum hætti hver tilgangur og markmið ábendingarhnappsins væri fyrir skólann eða í hvaða farveg slík ábending myndi fara innanhús. Ábendingahnappurinn hafi ekki verið kynntur starfsfólki skólans og ekki verið vísað til verklagsreglu VKL-0032. Að mati kvartanda hafi fræðsla Borgarholtsskólans, vegna umræddrar vinnslu persónuupplýsinga, því ekki verið í samræmi við 1. og 2. mgr. 17. gr. laga nr. 90/2018 og 14. gr. reglugerðar (ESB) 2016/679.

Helstu sjónarmið Borgarholtsskóla

12. Í svörum sínum byggir Borgarholtsskóli á því að þegar um almenna ábendingu sé að ræða, þar sem viðkomandi gefur að eigin frumkvæði upp persónuupplýsingar sínar, grundvallist vinnslan á samþykki viðkomandi, sbr. 1. tölul. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og a-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Þegar unnið sé með nafnlausa ábendingu, sem inniheldur persónuupplýsingar um þriðja aðila, grundvallist vinnslan á því að hún sé nauðsynleg til þess að skólinn geti fullnægt lagaskyldu sem á honum hvílir, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.

13. Í því sambandi vísar Borgarholtsskóli til þess að samkvæmt VII. kafla laga nr. 92/2008 um framhaldsskóla beri skólanum að auka gæði náms og skólastarfs og stuðla að umbótum, sbr. meðal annars c-lið 1. mgr. 40. gr. laganna. Samkvæmt 1. mgr. 33. gr. laganna hafi nemendur rétt á að koma á framfæri sjónarmiðum sínum varðandi námsumhverfi, námstilhögun og fyrirkomulag skólastarfs. Þá vísar skólinn einnig til 4. gr. reglugerðar 326/2016, um ábyrgð og skyldur aðila skólasamfélagsins í framhaldsskólum, þar sem segir í 4. mgr. ákvæðisins að nemendur eigi rétt á að láta skoðanir sínar í ljós í málum sem þá varðar og tekið skuli réttmætt tillit til skoðana þeirra. Einnig sé í reglugerð nr. 1009/2015, um aðgerðir gegn einelti, kynferðislegri áreitni, kynbundinni áreitni og ofbeldi á vinnustöðum, kveðið á um að vinna eigi gegn einelti, kynferðislegu áreiti og kynferðisbundnu áreiti og grípa þurfi til aðgerða í samræmi við skriflega áætlun. Vísar skólinn enn fremur til þess að í þessu samhengi megi sömuleiðis hafa hliðsjón af 14. gr. laga nr. 150/2020 um jafna stöðu og jafnan rétt kynjanna. Þar sé fjallað um kynbundið ofbeldi, kynbundna áreitni og kynferðislega áreitni og sérstaklega vísað til starfsfólks, nemenda og notendur þjónustu. Notkun ábendingarhnapps sé því nauðsynlegur þáttur í starfsemi skólans og svo skólanum sé tækt að standa undir þeim skyldum sem lagðar eru á hann samkvæmt framangreindum lagaákvæðum.

14. Borgarholtsskóli vísar einnig til þess að nauðsynlegt sé að hægt sé að senda inn nafnlausa ábendingu á vefsíðu skólans vegna þess valdaójafnvægis sem ríkt geti innan skólans. Þekkt sé að í skólastofnunum sé almennt fyrir að fara gífurlegu valdaójafnvægi milli nemenda og starfsfólks, sem og á milli starfsfólks og stjórnenda. Afstaða skólans hafi þ.a.l. verið sú að nemendur og/eða starfsfólk þurfi að geta sent inn ábendingar, án þess að hafa af því áhyggjur að það geti með einhverjum hætti verið rakið til viðkomandi og komið niður á þeim síðar meir. Þá hafi sambærileg sjónarmið verið ráðandi að því er varðar tilkynningar um eineltis- og kynferðisáreitismál, þ.e. að nafnlausar ábendingar hafi verið taldar nauðsynlegar meintum þolendum í slíkum málum, svo þeir geti tilkynnt mál sín án þess að óttast meinta gerendur sína.

15. Þá byggir Borgarholtsskóli á því að vinnsla persónuupplýsinga um kvartanda umrætt sinn hafi samrýmst meginreglum 1. mgr. 8. gr. laga nr. 90/2018 og 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Persónuupplýsingar kvartanda hafi þannig verið unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins. Vísar skólinn í því sambandi til verklagsreglna VKL-0032 og VKL-0045, en með þeim sé einnig gætt að réttindum hins skráða samkvæmt 17. og 20. gr. laga nr. 90/2018. Persónuupplýsingar kvartanda hafi jafnframt verið fengnar í yfirlýstum, skýrum og málefnalegum tilgangi, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins, þ.e. svo nemendur og, eftir atvikum, starfsfólk geti komið á framfæri ábendingum við skólann um hvað megi betur fara, sem og tilkynningum um einelti og/eða kynferðislega áreitni. Einnig hafi persónuupplýsingar kvartanda sem unnið var með verið afmarkaðar og ekki umfram það sem nauðsynlegt var miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins. Í því sambandi er þó tekið fram að skólinn hafi ekki forræði á því hversu umfangsmiklar persónuupplýsingar séu veittar í gegnum ábendingarhnappinn, heldur sé það á forræði tilkynnandans.

16. Hvað varðar varðveislu persónuupplýsinga kvartanda í skjalakerfi skólans vísar Borgarholtsskóli til þess að skólinn sé skilaskyldur, samkvæmt lögum nr. 77/2014 um opinber skjalasöfn, og honum því óheimilt að eyða upplýsingunum nema að fengnu leyfi þjóðskjalavarðar, sbr. 24. gr. laganna. Persónuverndarfulltrúi skólans hafi jafnframt haft samband við Þjóðskjalasafn Íslands, þann 5. febrúar 2024, og fengið það álit að skólanum bæri að skrá öll erindi sem bærust, hvort sem þau væru nafnlaus eða ekki. Þá hafi athugasemdir kvartanda varðandi ábendinguna verið vistaðar í minnisblaði við málið í skjalakerfinu og þannig gætt að réttindum hennar samkvæmt 20. gr. laga nr. 90/2018.

17. Loks vísar Borgarholtsskóli til þess að kvartanda hafi verið veittar upplýsingar og fræðsla um vinnsluna símleiðis af sviðsstjóra skólans, daginn eftir að ábendingin barst. Í kjölfarið hafi henni verið veittar frekari upplýsingar, bæði munnlega og með tölvupóstum, um framgang málsins og skráningu þess hjá skólanum. Starfsfólki og kennurum sé ekki veitt eiginleg fræðsla um ábendingarhnappinn en stuttum skýringartexta hafi verið bætt við ábendingarhnapp á vefsíðu skólans, þar sem vísað sé til viðeigandi verklagsreglna og áætlana skólans. Þrátt fyrir að slíkur texti hafi ekki verið til staðar á þeim tíma þegar umrædd ábending um kvartanda barst séu öll skjöl í gæðakerfis skólans, þ. á m. verklagsreglur hans, áætlanir og stefnur aðgengilegar almenningi í gegnum vef skólans og hafi starfsfólk skólans verið sérstaklega hvatt til að skoða þau skjöl.

Forsendur og niðurstaða

Lagaumhverfi

18. Mál þetta lýtur að móttöku Borgarholtsskóla á nafnlausri ábendingu sem beindist að kvartanda og kennsluháttum hennar, í gegnum ábendingarform á vefsíðu skólans. Varðar það því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 1. mgr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

19. Ábyrgðaraðili vinnslu er sá einstaklingur, lögaðili, stjórnvald eða annar aðili sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

20. Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinnsla er heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, eða vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins.

21. Þegar vinnsla persónuupplýsinga fer fram á grundvelli heimildar samkvæmt 3. eða 5. tölul. 9. gr. laga nr. 90/2018, sbr. c- og e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, þarf vinnslan jafnframt að uppfylla kröfur 3. mgr. 6. gr. reglugerðarinnar. Þar segir að mæla skuli fyrir um grundvöll vinnslunnar í lögum Sambandsins eða lögum aðildarríkis sem ábyrgðaraðili heyrir undir og að tilgangur vinnslu skuli ákvarðaður á þeim lagagrundvelli. Í því felst, þegar byggt er á 3. tölul. 9. gr. laganna, líkt og gert er í fyrirliggjandi máli, að löggjafinn þarf að hafa ákveðið með skýrum hætti í lögum að tiltekin vinnsla skuli fara fram þannig að fyrir liggi lagaskylda í skilningi ákvæðisins. Þegar byggt er á 5. tölul. sömu greinar er einnig gert ráð fyrir að vinnsla sé nauðsynleg í ljósi gildandi löggjafar. Er þá ekki áskilið að vinnslan sé beinlínis lögákveðin heldur að stjórnvöld hafi svigrúm til að meta hvaða vinnsla er nauðsynleg til að framfylgja lögbundnum verkefnum með vísan til almannahagsmuna og beitingar opinbers valds.

22. Við mat á því hvort heimild standi til vinnslu samkvæmt framangreindu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 1. mgr. 41. gr. laga nr. 92/2008 um framhaldsskóla er kveðið á um skyldu framhaldsskóla til að meta með kerfisbundnum hætti árangur og gæði skólastarfs á grundvelli 40. gr. laganna með virkri þátttöku starfsmanna, nemenda og foreldra eftir því sem við á. Samkvæmt 40. gr. laganna er markmið mats og eftirlits með gæðum starfs í framhaldsskólum meðal annars að auka gæði náms og skólastarfs og stuðla að umbótum, sem og að tryggja að réttindi nemenda séu virt og að þeir fái þá þjónustu sem þeir eiga rétt á, sbr. c- og d-lið 1. mgr. ákvæðisins. Í 1. mgr. 33. gr. sömu laga segir að nemendur eiga rétt á að koma á framfæri sjónarmiðum sínum, varðandi námsumhverfi, námstilhögun, fyrirkomulag skólastarfs og aðrar ákvarðanir sem snerta þá og taka skal tillit til sjónarmiða þeirra eins og unnt er. Þá er í reglugerð nr. 326/2016 fjallað um ábyrgð og skyldur aðila skólasamfélagsins í framhaldsskólum. Kveðið er á um ábyrgð, réttindi og skyldur nemenda í 4. gr. reglugerðarinnar og segir þar meðal annars í 4. mgr. að nemendur eiga rétt á að láta skoðanir sínar í ljós í málum sem þá varðar og skal tekið réttmætt tillit til skoðana þeirra.

23. Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-liðar reglugerðarákvæðisins, að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins, að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, og að þær séu áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta, sbr. 4. tölul. lagaákvæðisins og d-lið reglugerðarákvæðisins. Ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt meginreglur persónuverndarlöggjafarinnar og þarf að geta sýnt fram á það, sbr. 2. mgr. 8. gr. laganna og 2. mgr. 5. gr. reglugerðarinnar.

24. Við mat á því hvort skilyrði um gagnsæi og sanngirni sé uppfyllt getur jafnframt þurft að líta til ákvæða um fræðsluskyldu ábyrgðaraðila gagnvart skráðum einstaklingi, sem nánar er útfærð meðal annars í 14. gr. reglugerðar (ESB) 2016/679, sbr. 17. gr. laga nr. 90/2018. Í f-lið 2. mgr. 14. gr. reglugerðarinnar segir að hafi persónuupplýsingar ekki fengist hjá skráðum einstaklingi skuli ábyrgðaraðili skýra honum frá hvaða persónuupplýsingarnar eru fengnar.

Niðurstaða

25. Borgarholtsskóli telst vera ábyrgðaraðili þeirrar vinnslu sem hér er til umfjöllunar, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

26. Borgarholtsskóli hefur byggt á því að sú vinnsla persónuupplýsinga, sem felst í því að taka á móti nafnlausum ábendingum í gegnum ábendingarhnapp á vefsíðu skólans, sé nauðsynleg til að fullnægja lagaskyldu, sbr. 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-liður 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

27. Ljóst er að á stjórnendum framhaldsskóla hvíla ýmsar skyldur til þess að tryggja gæði náms og skólastarfs, tryggja að réttindi nemenda séu virt og að þeir fái þá þjónustu sem þeir eiga rétt á, ásamt því að framkvæma reglulega innra mat á árangri og gæðum skólastarfs. Hins vegar er hvergi í þeim ákvæðum laga nr. 92/2008 um framhaldsskóla, og fjallað er um í efnisgrein 22 hér að framan, að finna beina lagaskyldu til þess að taka á móti nafnlausum ábendingum, kvörtunum eða hrósi frá nemendum til viðkomandi framhaldsskóla. Verður vinnslan því ekki talin geta grundvallast á 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

28. Hins vegar hefur Persónuvernd litið svo á að þegar vinnsla persónuupplýsinga fer fram af hálfu stjórnvalda í tengslum við lögbundin verkefni þeirra geti vinnslan einkum stuðst við 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Til þess að vinnsla geti byggst á þeirri heimild þarf ábyrgðaraðili á hinn bóginn að geta sýnt fram á að hún sé nauðsynleg í þeim tilgangi. Krafa vinnsluheimildarinnar um að vinnslan sé nauðsynleg í tilteknum tilgangi endurspeglar meginreglu persónuverndarlöggjafarinnar um meðalhóf. Þarf því að líta til hennar, svo og annarra meginregla, við mat á því hvort skilyrði ákvæðisins um nauðsyn sé uppfyllt.

29. Í því sambandi ber að líta til þess að meðalhófsreglan skarast nokkuð við tilgangsreglu 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og felur í sér að aðeins ætti að vinna persónuupplýsingar ef ekki er unnt að ná tilganginum með vinnslunni á annan aðgengilegan hátt. Með því að áskilja að upplýsingarnar séu nægjanlegar og viðeigandi er átt við að eðli þeirra og efni skuli þjóna yfirlýstum tilgangi. Að mati Persónuverndar hefur Borgarholtsskóli ekki sýnt fram á að þeim tilgangi sem umræddri vinnslu persónuupplýsinga er ætla að þjóna, þ.e. að auka gæði náms og skólastarfs, stuðla að umbótum og gæta að réttindum nemenda til að koma á framfæri sjónarmiðum sínum varðandi námsumhverfi, námstilhögun, fyrirkomulag skólastarfs og aðrar ákvarðanir sem snerta þá, verði ekki náð með öðrum og vægari hætti.

30. Meðalhófsreglan tengist einnig meginreglu 1. tölul. lagaákvæðisins sem mælir meðal annars fyrir um að vinnsla persónuupplýsinga skuli vera gagnsæ. Í þeim áskilnaði felst að hinn skráði á rétt á að vita um vinnsluna. Sú krafa endurspeglast meðal annars í 2. mgr. 17. gr. laganna og 14. gr. reglugerðar (ESB) 2016/679. Samkvæmt reglugerðarákvæðinu ber meðal annars að upplýsa hinn skráða um tilgang vinnslunnar, sbr. c-lið 1. mgr., svo og hvaðan upplýsingar um hann koma, sbr. f-lið 2. mgr. Ekki verður séð að Borgarholtsskóla hafi verið unnt að veita kvartanda fullnægjandi upplýsingar um vinnsluna til samræmis við þessi ákvæði, enda var um nafnlausa ábendingu að ræða.

31. Loks ber að skoða meðalhófsregluna í ljósi í meginreglu 4. tölul. 1. mgr. 8. gr. laganna sem áskilur að persónuupplýsingar skuli vera áreiðanlegar. Samkvæmt svörum Borgarholtsskóla og verklagsreglu VKL-0032 eru allar nafnlausar ábendingar sem berast í gegnum ábendingarformið vistaðar í skjalakerfi skólans, án þess að þær séu fyrst yfirfarnar. Að mati Persónuverndar verður ekki séð að með því fyrirkomulagi hafi verið tryggt að upplýsingar um kvartanda, sem bárust með nafnlausri ábendingu, hafi verið áreiðanlegar og að upplýsingarnar hafi þannig þjónað yfirlýstum tilgangi vinnslunnar, þ.e. að auka gæði náms og skólastarfs, stuðla að umbótum og gæta að réttindum nemenda til að koma á framfæri sjónarmiðum sínum varðandi námsumhverfi, námstilhögun, fyrirkomulag skólastarfs og aðrar ákvarðanir sem snerta þá.

32. Með hliðsjón af öllu framangreindu hefur Borgarholtsskóli ekki sýnt fram á að vinnslan hafi verið nauðsynleg í skilningi 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, og þannig verið heimil á grundvelli ákvæðanna. Þá verður ekki séð að Borgarholtsskóli hafi gætt að þeim þáttum sem mælt er fyrir um í 1.–4. tölul. 1. mgr. 8. gr. laganna, sbr. a- til d-lið 1. mgr. 5. gr. reglugerðarinnar.

33. Framangreind niðurstaða, um að Borgarholtsskóli hafi brotið gegn þeim ákvæðum laga nr. 90/2018 og reglugerðar (ESB) 2016/679 sem rakin eru í efnisgrein 32, felur hins vegar ekki í sér að Persónuvernd banni Borgarholtsskóla alfarið að taka við nafnlausum ábendingum, enda getur hvorki skólinn né aðrir ábyrgðaraðilar að vinnslu persónuupplýsinga komið í veg fyrir að sér berist skrifleg erindi ýmist frá þeim sem ekki vilja láta nafns síns getið eða aðilum sem reyna að villa á sér heimildir. Þrátt fyrir að ábyrgðaraðilar geti ekki varist því að þurfa að einhverju marki að taka við slíkum erindum ber þeim hins vegar að standa að meðferð þeirra persónuupplýsinga, sem þannig kunna að berast, í samræmi við ákvæði laga nr. 90/2018 og reglugerðar (ESB) 2016/679.

34. Í því sambandi er til þess að líta að samkvæmt 20. gr. laga nr. 90/2018, sbr. 16. og 17. gr. reglugerðar (ESB) 2016/679, á einstaklingur rétt á því að fá óáreiðanlegar upplýsingar um sig leiðréttar; láta fullgera ófullkomnar persónuupplýsingar, þ.m.t. með því að leggja fram yfirlýsingu til viðbótar, svo og rétt til að ábyrgðaraðili eyði persónuupplýsingum um hann án ótilhlýðilegrar tafar að uppfylltum vissum skilyrðum. Samkvæmt d-lið 3. mgr. 17. gr. reglugerðarinnar eiga hins vegar ákvæði 1. og 2. mgr. sömu greinar, sem kveða á um rétt hins skráða til að fá persónuupplýsingum um sig eytt, ekki við að því marki sem vinnsla er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna.

35. Samkvæmt 3. tölul. 1. mgr. 14. gr. laga nr. 77/2014, um opinber skjalasöfn, eru stjórnvöld og stofnanir sem heyra undir stjórnvöld afhendingarskyld í samræmi við ákvæði laganna. Borgarholtsskóli telst afhendingarskyldur aðili í skilningi ákvæðisins. Í því felst að skólanum ber að afhenda opinberu skjalasafni skjöl sín, að meginreglu þegar þau hafa náð 30 ára aldri, sbr. 4. mgr. 14. gr. og 1. mgr. 15. gr. laganna. Tekið er fram í 1. mgr. 24. gr. laganna að afhendingarskyldum aðilum sé óheimilt að ónýta eða farga nokkru skjali í skjalasöfnum sínum nema að fengnu samþykki þjóðskjalavarðar, reglna sem hann setur eða sérstaks lagaákvæðis.

36. Þegar litið er til alls framangreinds, og með vísan til umfjöllunar í efnisgrein 35, telur Persónuvernd ekki unnt að mæla fyrir um að umræddri ábendingu skuli eytt úr skjalakerfi Borgarholtsskóla, sbr. fyrrgreind ákvæði laga nr. 77/2014 og d-lið 3. mgr. 17. gr. reglugerðar (ESB) 2016/679. Í málinu liggur jafnframt fyrir að athugasemdir kvartanda varðandi ábendinguna og upplýsingar um úrlausn erindisins voru vistaðar í minnisblaði sviðsstjóra við málið í skjalakerfinu. Telur Persónuvernd að Borgarholtsskóli hafi þannig gætt að réttindum kvartanda til þess að fá persónuupplýsingar, sem hún telur óáreiðanlegar, leiðréttar í samræmi við 1. mgr. 20. gr. laga nr. 90/2018, sbr. 16. gr. reglugerðar (ESB) 2016/679.

Fyrirmæli

37. Í samræmi við þessa niðurstöðu, og með vísan til 4. tölul. 42. gr. laga nr. 90/2018, sbr. d-lið 2. mgr. 58. gr. reglugerðar (ESB) 2016/679, er hér með lagt fyrir Borgarholtsskóla að endurskoða fyrirkomulag söfnunar persónuupplýsinga með notkun ábendingarforms á vefsíðu sinni og færa vinnsluna til samræmis við ákvæði 1.–4. tölul. 1. mgr. 8. gr. og 9. gr. laga nr. 90/2018 og a- til d-liða 1. mgr. 5. gr. og 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

38. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 24. júlí 2026.

Ákvörðun um beitingu valdheimilda

39. Persónuvernd getur veitt ábyrgðaraðila eða vinnsluaðila áminningu ef vinnsluaðgerðir hafa brotið í bága við reglugerð (ESB) 2016/679, sbr. 2. tölul. 42. gr. laga nr. 90/2018, og getur lagt stjórnvaldssektir á þá sem brjóta, af ásetningi eða gáleysi, gegn einhverju þeirra ákvæða reglugerðarinnar sem talin eru upp í 2. og 3. mgr. 46. gr. laga nr. 90/2018, sbr. 1. og 5. mgr. þeirrar lagagreinar. Samkvæmt 1. tölul. 3. mgr. 46. gr. laganna eru þar á meðal ákvæði um grundvallarreglur vinnslu, meðal annars samkvæmt 1. mgr. 5. gr. og 1. mgr. 6. gr. reglugerðarinnar.

40. Við ákvörðun um hvort framangreindum ákvæðum um sektarheimild skal beitt, sem og um fjárhæð sektar, ber að líta til 1. mgr. 47. gr. laga nr. 90/2018 þar sem kveðið er á um þau atriði sem ýmist geta verið metin hlutaðeigandi til málsbóta eða honum í óhag. Þegar atvik málsins eru virt í ljósi þeirra sjónarmiða sem rakin eru í ákvæðinu, svo og að teknu tilliti til reglna um meðalhóf, sbr. 1. mgr. 83. gr. reglugerðar (ESB) 2016/679 og 12. gr. stjórnsýslulaga nr. 37/1993, þykja ekki næg efni til að leggja stjórnvaldssekt á Borgarholtsskóla vegna þeirra brota gegn persónuverndarlöggjöfinni sem rakin eru í efnisgrein 32 hér að framan. Rétt þykir þó að veita Borgarholtsskóla áminningu, sbr. 2. tölul. 42. gr. laganna, vegna fyrrgreindra brota.

Ú r s k u r ð a r o r ð:

Sú vinnsla persónuupplýsinga sem fór fram með því að taka á móti nafnlausri ábendingu um [A], í gegnum ábendingarhnapp á vefsíðu Borgarholtsskóla, samrýmdist ekki 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, um vinnsluheimild.

Framangreind vinnsla Borgarholtsskóla á persónuupplýsingum [A] samrýmdist ekki 1.–4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og a- til d-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Borgarholtsskóla er veitt áminning, sbr. 2. tölul. 42. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, vegna framangreindra brota.

Lagt er fyrir Borgarholtsskóla að endurskoða fyrirkomulag söfnunar persónuupplýsinga með notkun ábendingarforms á vefsíðu sinni og færa vinnsluna til samræmis við ákvæði 1.–4. tölul. 1. mgr. 8. gr. og 9. gr. laga nr. 90/2018 og a- til d-liða 1. mgr. 5. gr. og 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Skal staðfesting á því að farið hafi verið að þessum fyrirmælum berast Persónuvernd eigi síðar en 24. júlí 2026.

Persónuvernd, 24. júní 2026

Bjarni Freyr Rúnarsson Edda Þuríður Hauksdóttir