Af gefnu tilefni vill Persónuvernd vekja athygli á því að stofnuninni hefur borist fjöldi ábendinga bæði frá foreldrum barna og starfsmönnum skóla um breytta starfshætti í skólum vegna nýrra persónuverndarlaga. Svo virðist sem misskilnings gæti víða í skólasamfélaginu um til hvaða aðgerða þurfi að grípa til þess að skólastarf sé í samræmi við ný persónuverndarlög.

Persónuvernd bendir á að gera þarf skýran greinarmun á því hvort um sé að ræða breytingar sem eru tilkomnar vegna persónuverndarlaga og falla undir gildissvið þeirra eða hvort um sé að ræða breytt verklag vegna eðlilegra öryggisráðstafana eða annara starfsreglna sem ekki varða persónuverndarlögin.

Telur stofnunin rétt að vekja athygli á því að lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga gilda um vinnslu persónuupplýsinga, sem m.a. getur falið í sér söfnun, skráningu, varðveislu og miðlun persónuupplýsinga. Persónuupplýsingar eru allar upplýsingar sem hægt er að tengja við einstakling og gera hann persónugreinanlegan.

Þá er áréttað að það er ávallt hlutverk ábyrgðaraðila að gæta að því að öll vinnsla persónuupplýsinga sé í samræmi við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Sérhver skóli, sem ábyrgðaraðili sem vinnur persónuupplýsingar um börn, ber ábyrgð á slíkri vinnslu og ákveður hvaða verkferla skal viðhafa hverju sinni.

Persónuvernd býr ekki yfir tæmandi lista yfir þau atriði sem misskilnings gætir um en telur rétt að leiðrétta það sem stofnuninni er þegar kunnugt um. Ábendingar hafa í flestum tilfellum beinst að eftirfarandi atriðum:

Aðgangsstýring að skólum

Borið hefur á því að skólarnir séu margir hverjir búnir að tilkynna um aðgangsstýringu í skólana. Foreldrum og öðrum sem koma inn í skólana sé þannig ekki heimill beinn aðgangur inn í skólastofur, svo dæmi sé nefnt, og er þess þá óskað að þeir geri grein fyrir sér á skrifstofu skólans sem sjái um að koma erindi viðkomandi áfram eða veita þeim leyfi til að fara um skólann.

  • Persónuvernd bendir á að slík framkvæmd er ekki meðal þeirra krafna sem ný persónuverndarlöggjöf gerir. Það getur hins vegar talist eðlilegt að skólar, líkt og aðrar stofnanir, setji sér ákveðnar verklagsreglur og viðhafi aðgangsstýringar þar sem það á við, með öryggissjónarmið að leiðarljósi. Til dæmis er æskilegt að takmarka aðgang almennings að rýmum þar sem persónuupplýsingar eru geymdar, svo sem skjalageymslum eða vinnusvæði á skrifstofum. Takmörkun aðgangs foreldra að skólastofum telst hins vegar almennt ekki nauðsynleg á grundvelli persónuverndarlaganna.

Trúnaðaryfirlýsingar

Margir skólar hafa beðið, eða hyggjast biðja, foreldra um að undirrita trúnaðaryfirlýsingu um að allt það sem þeir verði vitni að innan veggja skólans og í skólastarfinu sé trúnaðarmál.

  • Persónuvernd bendir á að fyrrgreind framkvæmd á sér ekki stoð í persónuverndarlögum. Það sem einstaklingar verða vitni að, án þess að skráðar séu um það upplýsingar, felur ekki í sér vinnslu persónuupplýsinga samkvæmt persónuverndarlögum. Stofnunin telur þó eðlilegt að starfsmenn skólanna undirriti trúnaðar- eða þagnarskylduyfirlýsingar, enda er kveðið á um þagnarskyldu starfsfólks í lögum um grunnskóla og leikskóla. Persónuvernd telur það þó vart standast landslög að skólar geti, sem opinberar stofnanir, krafist þess að einstaklingar, svo sem foreldrar og forráðamenn barna sem eru gestkomandi í skólum, afsali sér rétti til að ræða þau mál sem tengjast skólastarfinu sín í milli eða við aðra, þar á meðal með því að leita til viðeigandi stofnana telji þeir þörf á vegna mála eða atburða sem þeir verða vitni að. Þá verður ekki séð að skólar geti haft eftirlit með því að slíkum trúnaðaryfirlýsingum sé framfylgt.

Ábyrgð á efni sem einstaklingar setja á Netið af skólavettvangi

Dæmi eru um að persónuverndarfulltrúar sveitarfélaga hafi kynnt starfsmönnum grunnskóla að skólinn sé ábyrgur fyrir öllu efni sem foreldrar og nemendur setja á Netið ef það er af skólavettvangi, t.d. myndir af foreldrafundum, úr frímínútum eða frá hátíðum.

  • Persónuvernd bendir á að skólar geta almennt ekki borið ábyrgð á efni sem einstaklingar setja á Netið í sínu nafni. Skólinn ber hins vegar ábyrgð á því sem hann sjálfur og starfsmenn hans setja á Netið.

Myndatökur

Persónuvernd hefur fengið vitneskju um að fjöldi skóla sé að undirbúa eða hafi þegar lokið við að afla samþykkis foreldra fyrir myndatökum af börnum. Persónuvernd fagnar því að sú framkvæmd sé hafin enda er það í samræmi við persónuverndarlög og tilmæli stofnunarinnar. Persónuvernd telur þó brýnt að koma eftirfarandi atriðum á framfæri.

  • Skólinn þarf að veita hinum skráða (hér foreldrum/forsjáraðilum barns) fullnægjandi fræðslu um vinnsluna, svo sem um tilgang hennar, viðtakendur upplýsinganna og fleira áður en samþykki er veitt. Að öðrum kosti telst fræðslan ekki í samræmi við persónuverndarlög
  • Gæta þarf meðalhófs þegar kemur að myndatökum. Réttur barna til friðhelgi einkalífs er tryggður í barnasáttmála Sameinuðu þjóðanna, stjórnarskránni og persónuverndarlögum og því mikilvægt að foreldrar, starfsmenn skóla og aðrir sem koma að starfi með börnum séu meðvitaðir um réttindi barna til persónuverndar.
  • Við mat á því hvort afla þurfi samþykkis fyrir myndatöku þarf að meta hvert tilvik sjálfstætt og í heild sinni út frá gildi umfjöllunarefnisins, eðli upplýsinganna og stöðu þess sem í hlut á og því samhengi sem myndefnið er sett í. Telja má að fremur rúmt svigrúm sé til birtingar þjóðlífs- og hversdagsmynda með almenna skírskotun án samþykkis viðkomandi einstaklinga, þ.e. mynda af opinberum viðburðum eða kringumstæðum á almannafæri þar sem tiltekinn einstaklingur er ekki aðalmyndefnið. Verður þannig almennt ekki gerð athugasemd við að það séu birtar myndir af opnum viðburðum á vegum skóla og félaga sem ekki sýna neinar aðstæður viðkvæms eðlis. Það sama getur átt við um bekkjarmyndir árganga. Það er hlutverk skólans að meta hvað teljist til opinna viðburða á hans vegum, en það mat getur þó sætt endurskoðun Persónuverndar berist henni kvörtun frá einstaklingi vegna myndbirtingar.
  • Í einhverjum tilvikum hefur foreldrum og forráðamönnum verið bönnuð myndataka á viðburðum á vegum skólans. Það er mat Persónuverndar að skólar, sem opinberar stofnanir, geti ekki lagt bann við því að einstaklingar taki ljósmyndir af börnum sínum enda skal það áréttað að persónuverndarlög gilda ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða fjölskyldu hans eða eru einvörðungu ætlaðar til persónulegra nota.

Notkun samfélagsmiðla

  • Persónuvernd minnir á tilmæli stofnunarinnar til leikskóla, grunnskóla, frístundaheimila, íþróttafélaga og annarra sem vinna með börnum um að þeir noti ekki Facebook, eða sambærilega miðla, sem samskiptamiðla fyrir miðlun persónuupplýsinga um ólögráða börn, hvort heldur sem um almennar eða viðkvæmar persónuupplýsingar þeirra er að ræða. Sé talin þörf á að miðla upplýsingum um ólögráða börn með rafrænum hætti hjá framangreindum aðilum er æskilegt að til þess verði nýttur hugbúnaður sem tryggir ábyrgðaraðilum fulla stjórn yfir þeim persónuupplýsingum sem miðlað er. Tryggja þarf að upplýsingunum verði ekki miðlað til óviðkomandi aðila, þær verði ekki unnar í öðrum tilgangi en lagt var upp með, og að öryggis þeirra sé gætt með fullnægjandi hætti. Þá þarf alltaf að ganga úr skugga um það fyrirfram að heimild til vinnslunnar sé til staðar samkvæmt persónuverndarlögum.
  • Börn geta þurft að samþykkja að rætt sé um þau á samfélagsmiðlum eða að birtar séu af þeim myndir opinberlega, að teknu tilliti til aldurs þeirra og þroska. Börn eiga rétt á að hafa skoðun á umfjöllun um þau eða birtingu mynda af þeim á Netinu. Taka þarf tillit til skoðana þeirra, jafnvel þó að þau séu ung. Það sem sett er á Netið getur farið víða. Sá möguleiki er alltaf fyrir hendi að myndum eða umfjöllun verði dreift, jafnvel af lokuðum síðum.
  • Í þessu samhengi má hafa í huga að miðlun upplýsinga um tímasetningar eða viðburði á vegum skóla og félaga, starfsemi þeirra, t.d. fjáröflunarverkefni og tilkynningar þar um, teljast ekki til vinnslu persónuupplýsinga og ekkert því til fyrirstöðu að nýta samfélagsmiðla til að dreifa þeim upplýsingum. Þá verður almennt ekki gerð athugasemd við að þar séu birtar myndir af opnum viðburðum á vegum skóla og félaga sem ekki sýna neinar aðstæður viðkvæms eðlis.

Afhending nemenda- og/eða foreldralista til foreldrafélaga

Í einhverjum tilvikum hefur foreldrafélögum verið neitað um að fá lista yfir foreldra barna í skólanum með kennitölum foreldranna í þeim tilgangi að innheimta félagsgjöld. Jafnframt hafa borist ábendingar þess efnis að foreldrafélög fái ekki afhenta nemendalista árganga, bekkja og/eða smærri hópa innan bekkjanna.

  • Foreldrafélög í grunnskólum eru lögbundin, sbr. 9. gr. laga nr. 91/2008 um grunnskóla. Hlutverk foreldrafélaga samkvæmt ákvæðinu er að styðja skólastarfið, stuðla að velferð nemenda og efla tengsl heimila og skóla. Í eldri lögum um grunnskóla var ákvæði sem heimilaði stofnun foreldrafélaga en með lögbindingu þeirra var lögð áhersla á mikilvægi samstarfs heimils og skóla og þess að foreldrar styðji við skólastarfið. Foreldrafélög hvetja þannig til virkrar þátttöku foreldra í skólastarfi barna sinna.
  • Persónuvernd bendir á að foreldrafélög geta haft lögmæta hagsmuni af því að fá afhentar tilteknar persónuupplýsingar til þess að rækja lögbundið hlutverk sitt og hvetja foreldra til þátttöku í skólastarfinu með eflingu samstarfs heimilis og skóla
  • Persónuvernd telur því að miðlun upplýsinga til foreldrafélaga, í þeim tilgangi að tryggja að þau geti rækt lögbundið hlutverk sitt, fari ekki í bága við persónuverndarlög, sé gætt meðalhófs og ekki afhentar ítarlegri upplýsingar en nauðsynlegt er

Afhending nemendalista til foreldra

Í einhverjum tilvikum hefur foreldrum verið neitað um að fá afhenta bekkjarlista með nöfnum bekkjarfélaga barna sinna ásamt tengiliðaupplýsingum, svo sem nöfnum foreldra, netföngum þeirra og símanúmerum. Hafa þessar ábendingar fyrst og fremst borist frá foreldrum grunnskólabarna en einnig foreldrum leikskólabarna.

  • Tilganginn með afhendingu slíkra bekkjarlista telur Persónuvernd meðal annars vera að efla tengsl og samstarf foreldra, gera þeim kleift að aðstoða börn sín við félagslega tengslamyndun við skólafélaga og tryggja öryggi barna með því að sjá til þess að foreldrar eigi auðvelt með að hafa samband við foreldra annarra barna ef þörf krefur, svo sem vegna slyss. Afhending bekkjarlista til foreldra getur talist eðlilegur hluti af starfsemi skóla, sé gætt meðalhófs og ekki afhentar ítarlegri upplýsingar en nauðsynlegar eru. Sem viðmið mætti telja að nægjanlegt væri að nafn barns, nöfn foreldra, heimilisfang, símanúmer, netfang og jafnvel afmælisdagur barnsins kæmu fram á tilteknum lista. Eðlilegt er að takmarka slíka lista við tiltekinn bekk eða árgang.
  • Mikilvægt er að gæta að því við gerð slíkra lista að einstaklingar geti nýtt andmælarétt sinn skv. 21. gr. persónuverndarlaga og óskað eftir að láta fjarlægja upplýsingar um sig af listanum, hvort sem er í heild eða að hluta
  • Sömu sjónarmið eiga hér við um afhendingu nafnalista barna á leikskólastigi en á síðari stigum leikskóla er algengt að börn fari að mynda sterkari félagsleg tengsl og nauðsynlegt er að foreldrum sé gert kleift að aðstoða börn sín í þeim efnum jafnframt því að tryggja öryggi barnanna.

Myndir af börnum og nöfn í fataklefum leikskóla.

Á leikskólum er oft og tíðum spjald við fatahólf hvers barns merkt með nafni barnsins og mynd af því og í sumum tilfellum einnig með nöfnum foreldra. Í einhverjum tilvikum hafa leikskólar þegar tekið niður slíkar upplýsingar eða boðað að slíkt verði gert. Hafa þessar ábendingar fyrst og fremst borist frá foreldrum leikskólabarna en einnig frá starfsfólki leikskóla.

  • Tilganginn með því að hafa slíkar merkingar hangandi á fatahólfi barns telur Persónuvernd meðal annars vera að efla tengsl og samstarf foreldra, þannig að þeir þekki nöfn annarra foreldra og greiða þannig fyrir að foreldrar geti aðstoðað börn sín við félagslega tengslamyndun við skólafélaga. Persónuvernd telur að upplýsingar um nöfn barna og foreldra á fatahólfum leikskóla geti talist eðlilegur hluti af starfsemi leikskóla, sé gætt meðalhófs og ekki birtar ítarlegri upplýsingar en þörf þykir á.

Rafræn vöktun innan sem utan skólahúsnæðis

Spurt hefur verið hvort heimilt sé að hafa eftirlitsmyndavélar í skólum, bæði innanhúss og á skólalóð. Einnig hefur verið spurt í hvaða tilfellum sé heimilt að skoða efni úr þeim. Borið hefur á því að foreldrum hafi verið tjáð að skólastjórnendur hafi ekki heimild til að skoða efni eftirlitsmyndavélanna í tengslum við þjófnaðarmál, t.d. ef vespu stolið á skólalóð eða fatnaði innan skólans.

  •  Um vöktun með eftirlitsmyndavélum er fjallað í 14. gr. persónuverndarlaga og jafnframt í reglum Persónuverndar nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem til verða við rafræna vöktun. Rafræn vöktun með eftirlitsmyndavélum verður að fara fram í yfirlýstum, skýrum og málefnalegum tilgangi, svo sem í þágu öryggis- og eignavörslu. Í 7. gr. reglnanna er m.a. fjallað um varðveislu og miðlun persónuupplýsinga en þar kemur fram að persónuupplýsingar sem til verða við rafræna vöktun megi aðeins nota í þágu tilgangs með söfnun þeirra og aðeins að því marki sem þess gerist þörf í þágu tilgangsins.
  • Þeim sem hafa aðgang að myndefni eftirlitsmyndavélanna, starfs síns vegna, er heimilt að skoða það myndefni sem verður til við vöktunina í þágu tilgangs söfnunarinnar. Ef tilgangur vöktunarinnar er öryggis- og eignavarsla er eðli máls samkvæmt heimilt að skoða efnið til að framfylgja tilgangnum. Áréttað er að ekki má vinna frekar með upplýsingarnar eða afhenda þær öðrum nema með samþykki hins skráða eða samkvæmt ákvörðun Persónuverndar en þó er heimilt að afhenda lögreglu upplýsingar um slys eða refsiverðan verknað
  • Persónuvernd ítrekar mikilvægi þess að fylgja fyrrgreindum reglum í hvívetna, m.a. hvað varðar fræðslu gagnvart þeim sem sæta vöktuninni, bæði starfsfólki, nemendum og eftir atvikum forráðamönnum þeirra, og að gæta meðalhófs við vöktun.

Persónuvernd bendir á að ekki á að nýta persónuverndarlöggjöfina til að koma í gagnið íþyngjandi reglum innan skólasamfélagsins, sem tengjast ekki vinnslu persónuupplýsinga eins og hún er skilgreind í lögum. Leiki vafi á því hvort þörf er á tilteknum ráðstöfunum til þess að uppfylla kröfur persónuverndarlaganna er hægt að hafa samband við Persónuvernd og óska leiðbeininga.

Hafa þarf í huga að rétturinn til persónuverndar er ekki algildur heldur þarf að vega hann og meta gagnvart öðrum réttindum, eins og almennum rétti barna til að umgangast aðra og eiga í samskiptum við skólafélaga sína á eðlilegan hátt. Því er mikilvægt að þeir sem koma að starfi með börnum hugi að þeim réttindum í öllu sínu starfi og hafi hagsmuni barnsins ætíð að leiðarljósi.

Persónuvernd áréttar að hér er um að ræða grundvallarréttindi barna og ítrekar stofnunin mikilvægi þess að viðfangsefnið sé nálgast með það í huga að ástæður þess að ríkari kröfur eru gerðar til vinnslu persónuupplýsinga barna eru fyrst og fremst þær að tryggja þarf réttindi þeirra – fremur en að áherslan sé á skyldur ábyrgðaraðila í þessum efnum.

Réttur barna til friðhelgi einkalífs er tryggður í barnasáttmála Sameinuðu þjóðanna, stjórnarskránni og persónuverndarlögum og því er mjög mikilvægt að foreldrar, starfsmenn skóla og aðrir sem koma að starfi með börnum séu meðvitaðir um réttindi barna til persónuverndar.