Personvernnemndas vedtak 14. oktober 2019 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Ellen Økland Blinkenberg, Hans Marius Tessem)
Saken gjelder klage fra A på Datatilsynets vedtak 21. desember 2018 om å avslutte behandlingen av en sak om X kommunes behandling av personopplysninger, uten å gi pålegg.
Sakens bakgrunn
Saken har sin opprinnelse i en bekymringsmelding som ble sendt fra Y skole til barnevernet i X kommune i mars 2012. Bekymringen var knyttet til en av skolens elever som på det tidspunktet var 9 år gammel. Skolen var bekymret over konfliktnivået som preget foreldrenes forhold til skole og lokalmiljø. Barneverntjenesten fant ingen grunn til å iverksette tiltak og saken ble avsluttet. Guttens foreldre følte seg dårlig behandlet og saken ble omtalt og behandlet i ulike organ: FAU, Kontrollutvalget i kommunen og Fylkesmannen. Foreldrene kontaktet også mediene og saken ble omtalt i lokalavisen og i riksdekkende medier.
Etter et fjernsynsinnslag hvor gutten og hans foreldre deltok, publiserte kommunen følgende innlegg på sin Facebook-side i februar 2015:
«X kommune syner til innslag i [en TV-kanal], søndag 22. februar 2015:
X kommune vil understreke at [TV-kanalen] sitt innslag om bekymringsmelding til barnevernet inneheld fleire faktafeil, og vil vurdere å melde [TV-kanalen] inn for pressas faglege utval.
Det var ikkje konflikt kring manglande tilpassa undervisning som var bakgrunnen for bekymringsmeldinga til barnevernet, og det er sjølvsagt ikkje riktig at rådmannen har stilt diagnose på noko tidspunkt. Det vart ikkje gjeve høve til motsegn av desse to påstandane frå [TV-kanalen]. Det kommunen fekk høve til å gje motsegn på, vart i tillegg kutta mykje ned.
Både Sivilombudsmannen og fylkesmannen har i fleire omgangar godkjent X kommune si sakshandsaming, noko Kontrollutvalet ser bort frå.
Kontrollutvalet har tatt feil både når det gjeld det mandatet dei har, forståinga av lova, samt at dei har teke feil av fakta i saka.»
A, som er guttens mor, tok 22. mai 2017 kontakt med Datatilsynet. Hun klaget over kommunens publisering av personopplysninger på kommunens Facebook-side og ba om at Datatilsynet tok tak i dette.
Datatilsynet sendte kommunen varsel om pålegg 16. juni 2017. Det fremkommer at varselet at kommunen vil bli pålagt å fjerne innlegget på kommunens Facebook-side som omhandler [TV-kanalens] innslag om den aktuelle bekymringsmeldingen til barnevernet, idet publiseringen ble ansett å mangle behandlingsgrunnlag i personopplysningsloven 2000 §§ 11 a, jf. §§ 8 og 9.
I brev til Datatilsynet 10. oktober 2017 opplyste kommunen at det aktuelle Facebook-innlegget var fjernet. Datatilsynet avsluttet deretter saken.
A sendte 6. april 2018 en ny klage på kommunen og anførte at de har brutt lov og regelverk ved flere anledninger. Dette dreide seg om opplysninger gitt i ranselpost, uttalelser i lokalavis, internt skriv til kommunalt ansatte, ordfører og andre kommunerepresentanters uttalelser på Facebook og i andre media.
A sendte Datatilsynet e-post med tilleggsopplysninger 15. juni og 28. september 2018. I vedtak 21. desember 2018 avsluttet Datatilsynet saken. Det fremgår av vedtaket at Datatilsynet oppfattet As klage til å gjelde særlig to forhold:
a) Om X kommune hadde opplysningsplikt til barnevernet da de sendte bekymringsmelding om As sønn.
b) Hvorvidt X kommune og Y skole har brutt personopplysningsregelverket i sin interne og eksterne kommunikasjon rundt bekymringsmeldingen.
Vedrørende a) viste Datatilsynet til at dette lå utenfor deres kompetanse å ta stilling til. Når det gjaldt b) viste Datatilsynet til at tilsynet, med sine ressurser, må foreta en streng prioritering av hvilke henvendelser de følger opp og at de ikke fant grunn til å se nærmere på hvorvidt kommunens kommunikasjon i saken var i tråd med gjeldende personvernprinsipper. Datatilsynet henviste A til kommunens personvernombud.
A klaget på vedtaket 15. januar 2019. A henvendte seg også til kommunens personvernombud, som ga sin vurdering i saken 31. januar 2019.
Datatilsynet vurderte As klage, men fant ikke grunn til å endre sitt vedtak. Saken ble oversendt Personvernnemnda 9. mai 2019. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A i brev til nemnda 3. juni 2019 gitt sine merknader. Kommunen har opplyst at de ikke har noen merknader til Datatilsynets oversendelsesbrev.
Saken ble behandlet i nemndas møte 14. oktober 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Hans Marius Tessem og Ellen Økland Blinkenberg. Nemndas sekretær, Anette Klem Funderud var også tilstede.
As syn på saken i korte trekk
Saken gjelder en grunnløs bekymringsmelding fra skolen til barnevernet og spredning av en stor mengde personopplysninger på grunn av dette. Datatilsynet har allerede pålagt X kommune å fjerne en Facebookstatus på kommunens offisielle Facebookside fordi innholdet bryter med personopplysningsloven. Når det som skrives i nevnte Facebookstatus er brudd på personopplysningsloven, vil selvsagt samme og lignende påstander i andre fora og medier også være brudd på personopplysningsloven. Slik vi ser det har kommunen brutt personopplysningsloven i blant annet interne skriv til alle ansatte i kommunen, i ranselpost til alle foreldre, i andre delinger på Facebook og i intervju med media. Kommunen har på denne måten bidratt til ryktespredning og negative holdninger til familien.
Sakspapirene dokumenterer at kommunen hverken mistenkte eller fremmet påstander om alvorlig omsorgssvikt. Det er derfor umulig å forsvare kommunens bekymringsmelding med at det for eksempel er «vid skjønnsmargin» ved meldinger til barnevernstjenesten siden kommunen altså ikke var bekymret for alvorlig omsorgssvikt hjemme. Det var «konfliktnivået som pregar foreldra til [sønnen]» som «danner grunnlaget for denne meldinga», slik det står i rektors bekymringsmelding til barnevernet.
Meldingen ble sendt etter at foreldrene stilte spørsmål om tilpasset opplæring i matematikk etter at lærer visket bort arbeid elevene hadde gjort «for mye» i boka si.
Da kommunen sendte bekymringsmeldingen til barnevernet ble personopplysningsloven brutt. Kommunens ansatte hadde ikke opplysningsplikt til barnevernet i denne saken. Saken handlet om kommunikasjon skole og hjem, som altså ikke er barnevernets anliggende.
Det er mulig kommunen ikke kjente til lovens krav, men alle ansatte i skole og kommune har et personlig ansvar for å overholde taushetsplikten. Vi er nå kjent med at taushetsplikten, som gjelder i all offentlig forvaltning, skal beskytte mot unødig spredning av personopplysninger. Kommunes saksbehandling har ført til massiv spredning av personopplysninger om oss. Vi har krav på en beskyttet sfære rundt vårt privatliv og vern om personlig integritet. Taushetsplikten til offentlig ansatte er med på å gi et slikt vern. Brudd på taushetsplikten er et brudd på rettssikkerheten til foreldre og barn, og vi opplever oss maktesløse i den situasjonen vi har havnet i.
Vår sak er viktig for flere enn oss. I dag sendes det flere bekymringsmeldinger til barnevernet per år enn det fødes barn per år, og økningen av meldinger fra skolen er eksplosiv. Mange av disse meldingene er grunnløse.
Kommunens syn på saken
Kommunen har ingen merknader til klagen eller Datatilsynets oversendelsesbrev. Varselet fra Datatilsynet 16. juni 2017 er tatt til etterretning og det aktuelle Facebook-innlegget er fjernet.
Datatilsynets vurdering
Tema for klagen er Datatilsynet forpliktelse til å gjøre sine oppgaver og bruke sin myndighet gitt i personvernforordningens artikler 57-58 for å sørge for etterlevelse av forordningen. A har bedt Datatilsynet om å ta stilling til følgende:
a) Om X kommune hadde opplysningsplikt til barnevernet da de sendte bekymringsmelding knyttet til klagers familie
b) Hvorvidt X kommune og Y skole har brutt personopplysningsregelverket i sin interne og eksterne kommunikasjon rundt bekymringsmeldingen som ble sendt
Vedrørende meldeplikten til barnevernet
Datatilsynets har ikke myndighet til å vurdere hvorvidt skolen hadde meldeplikt til barnevernet i denne saken, da spørsmålet beror på en tolkning av lover som faller utenfor Datatilsynets myndighetsområde, jf. barnevernloven § 6-4, opplæringsloven § 15-3 og friskolelova § 7-4. Datatilsynet har ikke kompetanse til å tolke dette regelverket, men det er klart at både kommunen og barnevernet har hjemmel til å behandle meldinger til barnevernet innenfor rammene av disse bestemmelsene, jf. EUs personvernforordning 2016/679 artikkel artikkel 9 nr. 2 g (forordningen eller GDPR).
Vedrørende kommunens, herunder skolens, kommunikasjon i saken
De oppgaver tilsynet er pliktig til å utføre følger av GDPR artikkel 57. Etter GDPR artikkel 57 nr. 1 bokstav f skal Datatilsynet «behandle klager som er inngitt av en registrert (…), og undersøke, i den grad det er hensiktsmessig, klagens gjenstand (…)».
Datatilsynet har altså en plikt til å behandle klager som kommer inn til tilsynet, og som gjelder manglende etterlevelse av personvernforordningen. Undersøkelsesplikten gjelder imidlertid «i den grad det er hensiktsmessig». Ordlyden i artikkel 57 nr. 1 bokstav f betyr at Datatilsynet har anledning til å forta en viss prioritering av saker i form av at ikke alle henvendelser behandles like grundig. En slik prioritering forutsetter at Datatilsynet har oppfylt sin utrednings- og informasjonsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17. Skjønnsutøvelsen med hensyn til hvor grundig tilsynet vurderer lovligheten av den aktuelle behandlingen av personopplysninger må også fremstå som forsvarlig.
Etter at GDPR trådte i kraft har Datatilsynet hatt en stor økning i antall klager på brudd på personopplysningsloven. Med de ressursene vi har til rådighet må vi foreta en streng prioritering av hvilke henvendelser vi skal følge opp. Momenter i vurderingen av hvilke saker som skal undersøkes nærmere er blant annet hendelsens karakter, hva som eventuelt kan fattes vedtak om for å rette opp i saken, risikopotensiale, etc.
Når det gjelder hendelsens karakter er det i denne saken ikke direkte identifiserende personopplysninger som er kommunisert, men omtale av saken generelt. Grunnen til at saken ble gjenstand for saksbehandling i forrige omgang var at det er relativt små forhold i kommunen dette har skjedd, og at familien det gjelder dermed må anses for å være indirekte gjenkjennbar for de som har mottatt informasjonen.
Vurderingen som ble gjort da den ble avsluttet var at kommunen, gjennom det varsel om vedtak som ble fattet tidligere i saken, hadde rettet seg etter dette, og vi vurderer det slik at kommunen har tatt lærdom av saken.
Datatilsynet mener det ikke er behov for ytterligere undersøkelser i saken.
Personvernnemndas vurdering
Personvernnemnda legger, som Datatilsynet, til grunn at klagen gjelder to forhold:
1) Om X kommune brøt personopplysningsloven da de sendte bekymringsmelding til barnevernet, og
2) Om X kommune (herunder Y skole) brøt personopplysningsloven i sin interne og eksterne kommunikasjon rundt bekymringsmeldingen som ble sendt.
I tillegg vil Personvernnemnda vurdere:
3) om Datatilsynet, ved sin behandling av saken, har oppfylt sine plikter etter GDPR artikkel 57.
Når det gjelder kommunens eller skolen behandling av personopplysninger i anledning bekymringsmeldingen som ble sendt til barneverntjenesten, legger nemnda til grunn at kommunen har behandlingsgrunnlag i GDPR artikkel 6 nr. 1 bokstav e, jf. barnevernloven § 6-4 og opplæringslova § 15-3, eventuelt GDPR artikkel 9 nr. 2 bokstav g jf. de samme bestemmelsene, i den grad det dreier seg om sensitive personopplysninger. Nemnda er enig med Datatilsynet i at det ligger utenfor tilsynets kompetanse, og dermed også utenfor nemndas kompetanse, å ta stilling til hvorvidt det var grunnlag for å sende en bekymringsmelding til barnevernet eller ikke.
Når det gjelder den konkrete publiseringen på kommunens Facebookside, foranlediget av at familien hadde latt seg intervjue på TV, kom Datatilsynet til at kommunen manglet behandlingsgrunnlag for dette og varslet pålegg om sletting. Da Facebookinnlegget umiddelbart ble slettet, bla saken avsluttet fra Datatilsynets side. Dette forholdet foranlediger derfor ingen ytterligere kommentarer og er ikke en del av klagesaken for nemnda.
Nemnda vil i det følgende vurdere hvorvidt kommunen for øvrig har brutt personopplysningsloven gjennom sin kommunikasjon om saken, både internt og eksternt, samt vurdere om de undersøkelser Datatilsynet har gjort er tilstrekkelige etter GDPR artikkel 57. Nemnda vil særlig kommentere enkelte av de eksemplene A har vist til, dvs. opplysninger gitt i ranselpost til de øvrige elevene, i informasjonsskriv til de ansatte i kommunen, samt opplysninger gitt i intervju med medier.
Den som behandler personopplysninger må ha et behandlingsgrunnlag jf. GDPR artikkel 6 og eventuelt i artikkel 9, dersom det dreier seg om sensitive personopplysninger.
Kommunes informasjonsskriv i ranselpost til foreldre og foresatte i september 2013 er en generell orientering om et kommende innslag [i TV-kanalen] der det settes et kritisk søkelys på skolen og kommunen. Det samme gjelder kommunens «Informasjonsskriv til tilsette i X kommune», som er en generell orientering om tilpasset undervisning, sikring av barns skolemiljø og om skolens meldeplikt. Ettersom familiemedlemmenes navn ikke fremgår ikke i noen av disse skrivene, eller inneholder identifikatorer som identifiserer familien, inneholder ikke skrivene «personopplysninger», slik dette defineres i GDPR artikkel 4 nr. 1:
«personopplysninger» enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet.»
Selv om mottakerne forstår at informasjonen er foranlediget av en konkret sak, så er ikke kommunen forhindret fra å gi generell informasjon om saken og utsendelse av informasjonen representerer, etter nemndas vurdering, ikke en behandling av personopplysninger om As sønn eller familien for øvrig.
Når det gjelder kommunens uttalelser til media, for eksempel til lokalavisen i artikkelen «Innrømmer ikkje feil, og teier om saka», kan heller ikke nemnda se at det foreligger noe brudd på personopplysningsloven. Avisartikkelen er omfattet av journalistunntaket i personopplysningsloven § 3. Hvorvidt kommuneansattes uttalelser til journalisten er lovlig eller ikke, vil avhenge av om det gis ut taushetsbelagt informasjon. Generell informasjon om hvordan kommunen behandler denne typen saker, vil ikke være taushetsbelagt og vil heller ikke representere en utlevering av personopplysninger. Den konkrete vurderingen av rekkevidden av kommuneansattes taushetsplikt har ikke nemnda kompetanse til å vurdere.
Datatilsynet har ikke funnet det hensiktsmessig å foreta en vurdering av hver enkelt uttalelse: om det behandles personopplysninger og hva som er det aktuelle behandlingsgrunnlaget. Tilsynet har ved sin vurdering sett hen til hvilke personvernhensyn som gjør seg gjeldende i saken og har lagt vekt på at dreier seg om omtale av saken generelt og ikke en utlevering av direkte identifiserende personopplysninger.
Etter nemndas vurdering har Datatilsynet foretatt tilstrekkelige undersøkelser i saken og oppfylt sin plikt etter GDPR artikkel 57.
GDPR artikkel 57 bestemmer hva som er Datatilsynets oppgaver. Etter GDPR artikkel 57 nr. 1 bokstav f skal Datatilsynet:
«behandle klager som er inngitt av en registrert [...] og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist [...].»
Bestemmelsen fastslår at Datatilsynet har en viss frihet til å avgjøre hvor omfattende undersøkelser den enkelte sak krever. Dette er også lagt til grunn av nemnda, blant annet i nemndas sak PVN-2017-9, hvor det uttales:
«Personvernnemnda legger til grunn at Datatilsynet som tilsynsmyndighet etter personopplysningsloven, har anledning til å foreta en viss prioritering av saker i form av at ikke alle henvendelser behandles like grundig. En slik prioritering forutsetter at Datatilsynet i det aktuelle tilfellet har oppfylt sin utrednings- og informasjonsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17, samt at tilsynets skjønnsutøvelse med hensyn til hvor grundig de vurderer lovligheten av den aktuelle behandlingen av personopplysninger framstår forsvarlig. Ved denne forsvarlighetsvurderingen vil personvernhensyn være sentralt jf. lovens formål i § 1.»
Det foreligger ikke opplysninger i denne saken som tilsier at Datatilsynet skal foreta mer detaljerte undersøkelser og det er ingen holdepunkter for at det er skjedd brudd på personopplysningsloven som foranlediger tiltak fra Datatilsynets side.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Klagen tas ikke til følge og Datatilsynets vedtak opprettholdes.
Oslo, 14. oktober 2019
Mari Bø Haugstad
Leder