Ósk um leyfi til að nota ættfræðigagnagrunn til að rannsaka huganleg ættartengsl milli manna
Persónuvernd vísar til erindis þíns frá 4. desember sl., ítrekuðu í dag. Í erindi þínu segir:
"Óska hér með eftir leyfi til að rannsaka hugsanleg ættfræðitengsl milli manna úr ættfræðigrunni X ehf."
Ekki er útskýrt nánar í erindinu hvaða ættfræðitengsl fyrirhugað er að skoða, í hvaða tilgangi o.s.frv. Í öðrum samskiptum hefur hins vegar komið fram að rekja eigi ættir manna í skilanefndum, sbr. m.a. símtal við þig hinn 4. desember sl. og símtal við A, forstöðumann X ehf. hinn 5. s.m.
1.
Í framkvæmd Persónuverndar varðandi vinnslu ættfræðiupplýsinga hefur verið skilið á milli svonefndra almennra lýðskrárupplýsinga annars vegar og upplýsinga um einkalífsatriði hins vegar. Litið hefur verið svo á að ríkar heimildir standi til vinnslu með fyrrnefndu upplýsingarnar, þ. á m. upplýsingar um nöfn einstaklinga, nöfn niðja þeirra, foreldra og maka. Þegar um ræðir upplýsingar um einkalífsatriði, s.s. um ættleiðingar eða nafn fyrri maka í barnlausu hjónabandi, getur hins vegar oft þurft samþykki hlutaðeigandi einstaklinga fyrir birtingu. Er þá horft til þess fordæmis sem birtist í dómi Hæstaréttar í dómasafni ársins 1968, bls. 1007, en samkvæmt þeim dómi átti kjörfaðir rétt á að nöfn náttúrlegra foreldra kjörbarns hans yrðu ekki birt í æviskrárriti.
Samkvæmt 33. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga getur Persónuvernd ákveðið að vinnsla persónuupplýsinga, sem getur falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi hinna skráðu, skuli byggjast á leyfi stofnunarinnar. Með vísan til m.a. þessa ákvæðis hefur Persónuvernd sett reglur nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Í 4. gr. þeirra reglna eru taldar upp þær tegundir vinnslu sem byggjast þurfa á leyfi stofnunarinnar. Þegar unnið er með ættfræðiupplýsingar í vísindarannsóknum á heilbrigðissviði getur vinnslan í mörgum tilvikum þurft að byggjast á slíku leyfi, sbr. einkum 1. og 2. tölul. 1. mgr. 4. gr. um leyfisskyldu vegna samkeyrslna á viðkvæmum persónuupplýsingum og erfðarannsókna. Samkvæmt 5. tölul. sömu greinar þarf vinnsla upplýsinga um hjónaskilnaði, samvistarslit, ættleiðingar og fóstursamninga og önnur sambærileg einkalífsatriði auk þess að byggjast á slíku leyfi. Eins og tekið er fram í ákvæðinu á það þó ekki við ef vinnslan telst nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila. Þá þarf ekki leyfi ef aflað er samþykkis hinna skráðu eða ef vinnslan byggist á lagaheimild, sbr. 2. mgr. 4. gr.
Að öðru leyti en að framan greinir má almennt ætla að vinnsla ættfræðiupplýsinga þurfi ekki að byggjast á leyfi Persónuverndar. Að því gefnu að fyrirhuguð vinnsla þín taki ekki til einkalífsatriða á borð við ættleiðingar, fóstursamninga og þess háttar verður því ekki séð að þú þurfir leyfi stofnunarinnar til vinnslunnar. Hins vegar ber almennt að tilkynna rafræna vinnslu persónuupplýsinga, sbr. 31. og 32. gr. laga nr. 77/2000, sbr. nánari ákvæði í reglum nr. 712/2008. Í því felst að fyllt er út sérstakt eyðublað á heimasíðu stofnunarinnar sem sent er beint þaðan (sjá hér: http://www.personuvernd.is/tilkynning/tilkynna-vinnslu) og birtist í skrá sem aðgengileg er almenningi, sbr. 17. gr. laga nr. 77/2000. Bent skal á að vinnsla persónuupplýsinga er í ákveðnum tilvikum undanskilin tilkynningarskyldunni, sbr. 6. gr. reglna nr. 712/2008. Ætla má að vinnsla ættfræðiupplýsinga byggist oft á gögnum sem gerð hafa verið almenningi aðgengileg, en þá getur átt við undantekningin samkvæmt 5. tölul. 1. mgr. 6. gr. Þar er nánar tiltekið mælt fyrir um að ekki þurfi að senda tilkynningu þegar um ræðir upplýsingar sem gerðar hafa verið og eru almenningi aðgengilegar, enda sé ekki um að ræða vinnslu sem felst í því að tengja upplýsingar saman og nota almennt aðgengilegar upplýsingar með öðrum persónuupplýsingum sem ekki hafa verið gerðar aðgengilegar.
Samkvæmt 33. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga getur Persónuvernd ákveðið að vinnsla persónuupplýsinga, sem getur falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi hinna skráðu, skuli byggjast á leyfi stofnunarinnar. Með vísan til m.a. þessa ákvæðis hefur Persónuvernd sett reglur nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Í 4. gr. þeirra reglna eru taldar upp þær tegundir vinnslu sem byggjast þurfa á leyfi stofnunarinnar. Þegar unnið er með ættfræðiupplýsingar í vísindarannsóknum á heilbrigðissviði getur vinnslan í mörgum tilvikum þurft að byggjast á slíku leyfi, sbr. einkum 1. og 2. tölul. 1. mgr. 4. gr. um leyfisskyldu vegna samkeyrslna á viðkvæmum persónuupplýsingum og erfðarannsókna. Samkvæmt 5. tölul. sömu greinar þarf vinnsla upplýsinga um hjónaskilnaði, samvistarslit, ættleiðingar og fóstursamninga og önnur sambærileg einkalífsatriði auk þess að byggjast á slíku leyfi. Eins og tekið er fram í ákvæðinu á það þó ekki við ef vinnslan telst nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila. Þá þarf ekki leyfi ef aflað er samþykkis hinna skráðu eða ef vinnslan byggist á lagaheimild, sbr. 2. mgr. 4. gr.
Að öðru leyti en að framan greinir má almennt ætla að vinnsla ættfræðiupplýsinga þurfi ekki að byggjast á leyfi Persónuverndar. Að því gefnu að fyrirhuguð vinnsla þín taki ekki til einkalífsatriða á borð við ættleiðingar, fóstursamninga og þess háttar verður því ekki séð að þú þurfir leyfi stofnunarinnar til vinnslunnar. Hins vegar ber almennt að tilkynna rafræna vinnslu persónuupplýsinga, sbr. 31. og 32. gr. laga nr. 77/2000, sbr. nánari ákvæði í reglum nr. 712/2008. Í því felst að fyllt er út sérstakt eyðublað á heimasíðu stofnunarinnar sem sent er beint þaðan (sjá hér: http://www.personuvernd.is/tilkynning/tilkynna-vinnslu) og birtist í skrá sem aðgengileg er almenningi, sbr. 17. gr. laga nr. 77/2000. Bent skal á að vinnsla persónuupplýsinga er í ákveðnum tilvikum undanskilin tilkynningarskyldunni, sbr. 6. gr. reglna nr. 712/2008. Ætla má að vinnsla ættfræðiupplýsinga byggist oft á gögnum sem gerð hafa verið almenningi aðgengileg, en þá getur átt við undantekningin samkvæmt 5. tölul. 1. mgr. 6. gr. Þar er nánar tiltekið mælt fyrir um að ekki þurfi að senda tilkynningu þegar um ræðir upplýsingar sem gerðar hafa verið og eru almenningi aðgengilegar, enda sé ekki um að ræða vinnslu sem felst í því að tengja upplýsingar saman og nota almennt aðgengilegar upplýsingar með öðrum persónuupplýsingum sem ekki hafa verið gerðar aðgengilegar.
2.
Þegar litið er til framangreinds verður ekki, eins og á stendur, séð að um sé að ræða vinnslu persónuupplýsinga sem byggjast þurfi á leyfi Persónuverndar, enda hefur ekki komið fram að þú hyggist vinna með upplýsingar um einkalífsatriði á borð við ættleiðingar, fóstursamninga, samvistarslit og hjónaskilnaði. Ef svo ber undir - og hvorki er byggt á samþykki né unnt að fella vinnsluna undir sérstaka lagaheimild - þarf hins vegar slíkt leyfi. Er þér þá leiðbeint um að sækja um það sérstaklega með útfyllingu leyfisumsóknar (sjá hér: http://www.personuvernd.is/umsoknir-og-eydublod/) þar sem fram komi fyllri lýsing á vinnslunni en er í erindi þínu frá 4. desember sl.
Þegar ekki þarf leyfi Persónuverndar til vinnslu persónuupplýsinga getur engu að síður þurft að tilkynna vinnsluna til stofnunarinnar, eins og rakið er hér að framan. Er þér því leiðbeint um að gera það nema við eigi einhver af undantekningunum frá tilkynningarskyldunni, sbr. framangreint ákvæði 6. gr. reglna nr. 712/2008.
Að lokum er beðist velvirðingar á þeirri svartöf sem orðið hefur, en hún stafar af miklum önnum Persónuverndar.
Þegar ekki þarf leyfi Persónuverndar til vinnslu persónuupplýsinga getur engu að síður þurft að tilkynna vinnsluna til stofnunarinnar, eins og rakið er hér að framan. Er þér því leiðbeint um að gera það nema við eigi einhver af undantekningunum frá tilkynningarskyldunni, sbr. framangreint ákvæði 6. gr. reglna nr. 712/2008.
Að lokum er beðist velvirðingar á þeirri svartöf sem orðið hefur, en hún stafar af miklum önnum Persónuverndar.