Tilmæli frá Persónuvernd

Persónuvernd hefur gefið út tilmæli til leikskóla, grunnskóla, frístundaheimila og íþróttafélaga um notkun á samfélagsmiðlum. Um er að ræða álitaefni sem rætt hefur verið í lögfræðingahópi Sambands íslenskra sveitarfélaga í tengslum við nýju persónuverndarlögin nr. 90/2018. Ljóst er að tilmælin kalla á breytt verklag við miðlun upplýsinga um skólastarf í hverju sveitarfélagi ásamt umræðum um nánari útfærslu þess.

Tilmælin eru eftirfarandi:

Að gefnu tilefni bendir Persónuvernd á að sérhver skóli, frístundaheimili og íþróttafélag, sem vinnur persónuupplýsingar um börn í starfi sínu, ber ábyrgð á slíkri vinnslu. Það er ávallt hlutverk ábyrgðaraðila að gæta að því að öll vinnsla persónuupplýsinga sé í samræmi við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Miðlun persónuupplýsinga um börn í gegnum samfélagsmiðla, svo sem Facebook, telst til vinnslu persónuupplýsinga sem fellur undir gildissvið laganna. Í þessu samhengi er vert að árétta að ljósmyndir af einstaklingum teljast almennt til persónuupplýsinga.

Miðlun upplýsinga um tímasetningar eða viðburði á vegum skóla og félaga, starfsemi þeirra, t.d. fjáröflunarverkefni og tilkynningar þar um, teljast hins vegar ekki til vinnslu persónuupplýsinga og ekkert því til fyrirstöðu að nýta slíka miðla til að dreifa þeim upplýsingum. Þá verður almennt ekki gerð athugasemd við að þar séu birtar myndir af opnum viðburðum á vegum skóla og félaga sem ekki sýna neinar aðstæður viðkvæms eðlis.

Í skilmálum Facebook, sem notendur miðilsins samþykkja, kemur fram að Facebook safnar þeim upplýsingum sem miðlað er í gegnum síðuna. Þegar persónuupplýsingum er miðlað til foreldra í gegnum Facebook-hóp er þeim því samtímis miðlað til Facebook. Þá liggur fyrir að Facebook deilir persónuupplýsingum með fyrirtækjum sem tengjast Facebook, sem og öðrum aðilum (þ.e. þriðju aðilum), við nánar tilgreindar aðstæður. Þeir sem nota slíka samfélagsmiðla hafa því ekki fulla stjórn á því efni sem þar er sett inn.

Til þess að heimilt sé að vinna með persónuupplýsingar, svo sem með því að miðla þeim til annarra, þarf vinnslan að styðjast við heimild í persónuverndarlögum ( lögum nr. 90/2018). Sú heimild sem einkum kemur til greina í þessu tilviki er samþykki hins skráða, þ.e. þess einstaklings sem upplýsingarnar varða. Þegar um ólögráða einstaklinga er að ræða, eins og á við þegar börn eiga í hlut, fara foreldrar eða forsjáraðilar þeirra með hæfi til að veita samþykki fyrir vinnslu upplýsinga, sbr. 1. mgr. 51. gr. lögræðislaga . Áður en samþykki er veitt ber ábyrgðaraðila vinnslunnar að veita hinum skráða (hér foreldrum/forsjáraðilum hans) fullnægjandi fræðslu um vinnsluna, svo sem um tilgang hennar, viðtakendur upplýsinganna og fleira. Að öðrum kosti telst fræðsla ekki í samræmi við persónuverndarlög.

Með vísan til framangreinds, sem og 2. tölul. 43. gr. laga nr. 90/2018, beinir Persónuvernd þeim tilmælum til leikskóla, grunnskóla, frístundaheimila, íþróttafélaga og allra annarra opinberra aðila og einkaaðila, sem koma að starfi með börnum, að þeir noti ekki Facebook, eða sambærilega miðla, sem samskiptamiðla fyrir miðlun persónuupplýsinga um ólögráða börn, hvort heldur sem um almennar eða viðkvæmar persónuupplýsingar þeirra er að ræða.

Ef þörf er talin á að miðla upplýsingum um ólögráða börn með rafrænum hætti hjá framangreindum aðilum er æskilegt að til þess verði nýttur hugbúnaður sem tryggir ábyrgðaraðilum fulla stjórn yfir þeim persónuupplýsingum sem miðlað er. Tryggja þarf að upplýsingunum verði ekki miðlað til óviðkomandi aðila, þær verði ekki unnar í öðrum tilgangi en lagt var upp með, og að öryggis þeirra sé gætt með fullnægjandi hætti. Þá þarf alltaf að ganga úr skugga um það fyrirfram að heimild til vinnslunnar sé til staðar samkvæmt persónuverndarlögum.