Umsögn um frumvarp til laga um opinber skjalasöfn

18.3.2014

Reykjavík, 13. febrúar 2014

Umsögn um frumvarp til laga um opinber skjalasöfn

Persónuvernd vísar til beiðni allsherjar- og menntamálanefndar Alþingis frá 23. janúar 2014 um umsögn um frumvarp til laga um opinber skjalasöfn sem kæmu í stað laga nr. 66/1985 um Þjóðskjalasafn Íslands (þskj. 403, 246. mál á 143. löggjafarþingi). Gerðar eru eftirfarandi athugasemdir við frumvarpið:

1.
Förgun skjala
Í 3. tölul. 1. mgr. 7. gr. segir að Þjóðskjalasafnið setji reglur um varðveislu og förgun skjala sem staðfestar skuli af ráðherra. Þá segir í 20. gr. að afhendingarskyldum aðilum sé óheimilt að ónýta eða farga nokkru skjali í skjalasöfnum nema á grundvelli samþykktar þjóðskjalavarðar, reglna sem Þjóðskjalasafnið setur eða sérstaks lagaákvæðis. Skuli safnið setja sérstakar reglur um förgun skjala fyrir afhendingarskylda aðila eftir því sem við verði komið.

Framangreind ákvæði kæmu í stað 7. gr. gildandi laga nr. 66/1985, þess efnis að afhendingarskyldum aðilum sé óheimilt að ónýta skjöl nema samkvæmt heimild Þjóðskjalasafns eða sérstökum reglum sem settar verði. Ekki fremur en þar hafa ákvæði frumvarpsins að geyma nokkra leiðbeiningu um hvaða sjónarmið skuli ráða því hvenær farga má skjölum eður ei. Í athugasemdum við 7. gr. í greinargerð með frumvarpinu kemur fram að skipt geti máli hvort sömu upplýsingar eru til annars staðar, en að öðru leyti hefur greinargerðin ekki að geyma umfjöllun um umrætt atriði. Í almennum athugasemdum með því frumvarpi, sem varð að lögum nr. 66/1985, er hins vegar að finna umfjöllun um forsendur sem byggja má í þessu sambandi. Nánar tiltekið segir:

„Skjalasöfn gegna aðallega tvenns konar hlutverki í þjóðfélaginu. Að minnsta kosti annað þeirra hefur beinlínis hagnýtt gildi. Það er að halda til haga þeim embættisgögnum, sem um langan aldur varða stjórnsýslu hlutaðeigandi lands eða geta haft gildi fyrir dómstóla landsins í hvers kyns ágreiningsmálum, sem upp kunna að koma. Annað gildi skjalasafna felst í því, að skjöl eru hinar ákjósanlegustu sagnfræðilegar heimildir […].

Það er þó ljóst, að ekki er unnt að halda til haga öllum skjölum, sem falla til í stjórnkerfi hins opinbera, enda er upplýsingagildi skjala mismikið og mörgu má að skaðlausu eyða. Í nálægum löndum er víða að því stefnt að 60% og jafnvel meira sé eytt af skjölum, sem myndast í skjalasöfnum opinberra stofnana og embætta. En eigi er sama, hvernig að grisjun skjalasafna er staðið. Leitast verður við að meta skjölin með hliðsjón af heimildargildi þeirra og velja úr þau, sem bitastæð eru, og varðveita þau til frambúðar.“

Umfjöllun um umrætt atriði er einnig að finna í fylgiskjali I með umræddu lagafrumvarpi, þ.e. áliti svonefndrar skjalavörslunefndar frá september 1981. Í II. kafla þess álits er að finna drög hennar að lagafrumvarpi sem að efni og uppbyggingu er mjög áþekkt lögum nr. 66/1985. Þá er í III. kafla álitsins að finna drög að reglugerð um skjalavörslu opinberra stofnana, Þjóðskjalasafn og héraðsskjalasöfn. Í 2. mgr. 7. gr. reglugerðardraganna er fjallað um þau sjónarmið sem hafa beri í huga við eyðingu skjala með samþykki Þjóðskjalasafnsins eða samkvæmt reglugerð þar að lútandi. Í ákvæðinu segir:

„Við eyðingu skjala skal hafa tvö sjónarmið í huga: a) Stefnt skal að því að eyða skjölum ef þau geyma einungis upplýsingar sem eru varðveittar í öðrum skjölum, í sömu stofnun eða annarri. Þjóðskjalasafn sker úr um hvaða skjöl af þeim sem geyma sömu upplýsingar skuli varðveita. b) Af skjölum sem geyma svo einstaklingsbundnar og lítilvægar upplýsingar að ekki virðist líklegt að þær verði notaðar við fræðilegar rannsóknir skal einungis varðveita sýnishorn, valin eftir reglum sem Þjóðskjalasafn setur í samráði við viðkomandi stofnanir.“

Auk þessa ber að líta til 71. gr. stjórnarskrárinnar þar sem mælt er fyrir um grundvallarregluna um friðhelgi einkalífs. Í henni felst meðal annars að hjá stjórnvöldum eiga ekki að óþörfu að verða til gagnasöfn með upplýsingum um einkahagi fólks. Frá því að gildandi lög nr. 66/1985 tóku gildi hefur gagnasöfnun stjórnvalda stórlega aukist. Samfara tölvuvæðingu hafa orðið til gagnagrunnar með margvíslegum upplýsingum um einstaklinga. Þá má gera ráð fyrir að skráning upplýsinga hafi aukist óháð slíkum gagnagrunnum þar sem almennt séu skráðar viðameiri upplýsingar en áður tíðkaðist, enda skráning öll einfaldari en við gildistöku fyrrgreindra laga. Ætla má að í ljósi þessa geti komið til þess að á skjalasöfnum verði til mjög viðamikil söfn upplýsinga um tiltekna einstaklinga sem auðveldlega megi samkeyra til að útbúa heildstæða og ítarlega mynd af persónuleika og lífi manna. Í starfi opinberra skjalasafna hlýtur ávallt að felast varðveisla gagna sem að einhverju leyti hafa að geyma nærgöngular upplýsingar, m.a. þar sem slíkt geti talist nauðsynlegt ef upp kemur ágreiningur um hvort stjórnvöld hafi gætt nægilega að réttindum manna. Til þess er hins vegar einnig að líta að í ljósi fyrrgreinds stjórnarskrárákvæðis ber þar að gæta hófs þannig að varðveislan verði ekki umfram það sem málefnalegt getur talist í ljósi hlutverks slíkra safna, þ.e. einkum að varðveita embættisgögn og halda til haga skjölum sem hafa sagnfræðilegt gildi eins og fyrr er lýst. Í því felst meðal annars að stjórnvöldum verði ekki gert skylt að halda utan um upplýsingar um einkamálefni einstaklinga sem engin þörf er á að varðveittar séu til langframa.

Þegar litið er til alls framangreinds leggur Persónuvernd til að við 2. mgr. 20. gr. frumvarpsins verði bætt eftirfarandi orðum:

„Skulu þær reglur meðal annars hafa það að markmiði að upplýsingum um fjárhags- og einkamálefni einstaklinga, sem sanngjarnt er og eðlilegt að leynt fari og ekki eru til þess fallnar að hafa stjórnsýslulega þýðingu, sé eytt úr skjalasöfnum afhendingarskyldra aðila.“

2.
Leyfi Persónuverndar fyrir aðgangi
Í 2. mgr. 21. gr. og 22. gr. frumvarpsins er að finna ákvæði um bann við afhendingu tiltekinna gagna með upplýsingum um einstaklinga nema ákveðinn tími sé liðinn frá tilurð þeirra, en tilgangurinn með því er að koma í veg fyrir óréttmætar skerðingar á friðhelgi einkalífs. Þá hefur 2. mgr. 26. gr. að geyma undantekningu frá rétti til að fá aðgang að gögnum um sig sjálfan þegar gögnin hafa jafnframt að geyma upplýsingar um einkamálefni annarra, enda vegi þeir hagsmunir, sem mæla með því að upplýsingunum sé haldið leyndum, þyngra en hagsmunir þess sem fer fram á aðgang að skjölum. Í 27. gr. er hins vegar mælt fyrir um heimild skjalasafns til að veita undanþágu frá þessum bannreglum ef hægt er að verða við umsókn án þess að skerða þá hagsmuni sem framangreindum ákvæðum er ætlað að vernda. Þá segir í 28. gr.:

„Áður en veittur er aðgangur að skjali skv. 27. gr. skal afla samþykkis Persónuverndar ef skjalið hefur verið afhent af afhendingarskyldum aðila öðrum en þeim sem falla undir 2. tölul. 1. mgr. 11. gr. og hefur að geyma persónugreinanlegar upplýsingar og
1.    vinnsla með upplýsingarnar hefur fallið undir lög um persónuvernd og meðferð persónuupplýsinga eða
2.    upplýsingarnar eru úr skrá sem hefur verið haldin af opinberum aðila.

Afla ber samþykkis dómstólaráðs ef skjalið hefur verið afhent Þjóðskjalasafni af afhendingarskyldum aðila skv. 2. tölul. 1. mgr. 11. gr. og skjalið hefur að geyma persónugreinanlegar upplýsingar og vinnsla með upplýsingarnar hefur fallið undir lög um persónuvernd og meðferð persónuupplýsinga.“

Þegar litið er til hlutverks Persónuverndar telur stofnunin eðlilegt að henni sé falið það hlutverk að veita leyfi til aðgangs að upplýsingum þegar veita á undanþágu frá fyrrnefndu banni við afhendingu gagna. Í framangreindu ákvæði er hins vegar gert ráð fyrir að dómstólaráð hafi umræddar leyfisveitingar með höndum þegar um ræðir gögn samkvæmt 2. tölul. 1. mgr. 11. gr. frumvarpsins, þ.e. frá dómstólunum. Í frumvarpinu eru ekki færð rök fyrir því ákvæði. Ætla má að þar sé höfð í huga sérstaða dómstóla og sjónarmið sem gilda um upplýsingar sem koma fram í dómum og gögnum dómsmála  og því sé dómstólaráði falið umrætt hlutverk þegar gögn frá þeim eru annars vegar. Það að veita slíkt leyfi eins og hér um ræðir felur hins vegar ekki í sér meðferð dómsvalds og telst til stjórnvaldsákvörðunar í skilningi stjórnsýsluréttarins. Þegar litið er til þess telur Persónuvernd nærtækast að það sé alfarið á hennar hendi að veita umrædd leyfi fremur en að því hlutverki sé skipt milli tveggja aðila, en í því sambandi ber að líta til þess að síðarnefnda fyrirkomulagið getur stuðlað að ósamræmi í framkvæmd.

Umrætt ákvæði gerir ráð fyrir leyfisskyldu Persónuverndar þegar gögn hafa að geyma persónugreinanlegar upplýsingar og vinnsla með þær hefur fallið undir lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Í 2. mgr. 3. gr. og 5. gr. laganna er að finna tilteknar takmarkanir á efnislegu gildisviði þeirra. Samkvæmt fyrrnefnda ákvæðinu gilda lögin meðal annars ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða eru einvörðungu ætlaðar til persónulegra nota. Þessi undanþága á því aðeins við að upplýsingum sé aldrei ætlað að koma fyrir augu nokkurs annars en þess sem þau skráir og getur hún því ekki átt við um gögn sem send eru á skjalasafn. Aðrar undanþágur samkvæmt umræddum ákvæðum fella viðkomandi vinnslu persónuupplýsinga ekki alfarið undan reglum laga nr. 77/2000 og fellur hún því undir gildissvið laganna þó svo með takmörkuðum hætti sé. Samkvæmt 1. mgr. 3. gr. laganna gilda lögin ekki þegar um ræðir handvirka vinnslu upplýsinga (þ.e. vinnslu sem ekki er rafræn) sem hvorki eru né eiga að verða hluti af skrá. Með skrá í skilningi laganna er átt við sérhvert skipulagsbundið safn persónuupplýsinga þar sem finna má upplýsingar um einstaka menn, sbr. 3. tölul. 2. gr. laganna, en eins og fram kemur í athugasemdum við ákvæðið í greinargerð með því frumvarpi, sem varð að lögum nr. 77/2000, á það við hvort sem upplýsingar eru miðlægar eða dreifðar. Ljóst er að gögn á opinberum skjalasöfnum eru skráð með skipulegum hætti og má ætla að sú skráning geri gögn leitarbær þannig að þar megi finna upplýsingar um einstaka menn.

Í ljósi alls framangreinds leggur Persónuvernd til að 1. og 2. tölul. 1. mgr. og 2. mgr. 28. gr. frumvarpsins falli brott. Þá skal tekið fram að telja má æskilegt að leyfisskylda sé ekki umfram það sem nauðsynlegt er til að einkalífshagsmuna sé gætt. Í 6. mgr. 29. gr. frumvarpsins er gert ráð fyrir að ráðherra geti sett reglur um skilyrði fyrir notkun ákveðinna tegunda af þeim skjölum sem hér um ræðir, en setning slíkra reglna felur það í sér samkvæmt ákvæðinu að ekki þurfi að leita samþykkis Persónuverndar eða dómstólaráðs fyrir aðgangi að viðkomandi skjölum. Eins og fyrr er rakið leggur Persónuvernd til að veiting umræddra leyfa sé alfarið á hendi stofnunarinnar og leggur því til að heiti dómstólaráðs verði fellt brott úr umræddu ákvæði. Þá bendir stofnunin á að eitt helsta tilefni skyldu til öflunar leyfis fyrir vinnslu persónuupplýsinga hlýtur ávallt að vera að viðkomandi leyfisveitandi ákveði skilmála sem hlýtt skuli við vinnsluna. Setning umræddra reglna er í raun sambærileg við setningu slíkra skilmála og má telja eðlilegt, m.a. til að samræmi verði á milli skilmála í leyfum annars vegar og skilyrðum í reglum hins vegar, að Persónuvernd setji reglurnar. Er slík reglusetning og á meðal helstu hlutverka Persónuverndar, sbr. 4. mgr. 9. gr., 3. mgr. 11. gr., 4. mgr. 13. gr., 6. mgr. 19. gr., 3. mgr. 26. gr., 2. mgr. 29. gr., 2. mgr. 30. gr. og 5. mgr. 37. gr. laga nr. 77/2000. Með vísan til þess leggur stofnunin til að upphaf 6. mgr. 29. gr. frumvarpsins hljóði svo: „Persónuvernd getur sett reglur […].“

Auk framangreinds skal bent á að mikilvægt má telja að í lögum um opinber skjalasöfn sé afmarkað í þágu hvaða tilgangs veita megi undanþágur frá banni við afhendingu gagna á grundvelli einkalífsverndarsjónarmiða. Má einkum telja að vísindarannsóknir og réttindagæsla geti fallið þar undir. Er því lögð til svohljóðandi viðbót við 1. mgr. 26. gr. frumvarpsins: „sem nauðsynlegur er í þágu vísindarannsóknar, réttindagæslu eða af öðrum sambærilegum ástæðum“.

3.
Aðgangur að skjali á rafrænu formi
Í 41. gr. frumvarpsins segir að þegar upplýsingar séu varðveittar á rafrænu formi geti aðili valið á milli þess að fá þær á því formi eða útprentaðar á pappír þegar því verði við komið. Eins og fyrr hefur verið fjallað um geta gögn á opinberum skjalasöfnum haft að geyma nærgöngular upplýsingar um einstaklinga. Þegar veittur er rafrænn aðgangur getur þurft að beita sérstökum ráðstöfunum sem tryggja öryggi slíkra upplýsinga, þ. á m. að ekki sé unnt að taka af þeim afrit með óréttmætum hætti. Hið sama gildar raunar þegar veittur er aðgangur að slíkum upplýsingum á pappírsformi. Leggur Persónuvernd því til eftirfarandi viðbót við 41. gr.: „Beita skal ráðstöfunum við veitingu aðgangsins sem tryggja nægilegt öryggi miðað við eðli gagnanna.“

4.
Tillaga frumvarpsins að viðbót við lög nr. 77/2000
Í 1. tölul. 47. gr. frumvarpsins er lagt til að bætt verði við lög nr. 77/2000 svohljóðandi ákvæði sem yrði þá í 15. gr. a í lögunum:

„Heimilt er að afhenda opinberu skjalasafni upplýsingar, sem falla undir lög þessi, til varðveislu í samræmi við ákvæði laga um opinber skjalasöfn.“

Eins og fram kemur í athugasemdum við framangreint ákvæði er sambærilegt ákvæði að finna í dönsku persónuupplýsingalögunum (d. lov om behandling af personoplysninger nr. 429 af 31. maj 2000), þ.e. 14. gr. Frumvarpið hefur hins vegar ekki að geyma rökstuðning fyrir því hvers vegna taka ætti sambærilegt ákvæði upp í íslensk lög. Telur Persónuvernd það ekki æskilegt að fylgja því fordæmi sem hér um ræðir og er vafasamt að það samrýmist e-lið 1. mgr. 6. gr. persónuverndartilskipunarinnar nr. 95/46/EB sem felur í sér að í ákveðnum tilvikum skuli persónuupplýsingum eytt eða þær gerðar ópersónugreinanlegar. Verður ekki fullyrt að afhending persónuupplýsinga á opinbert skjalasafn geti talist jafngilda því. Leggur Persónuvernd því til að umrætt ákvæði frumvarpsins verði fellt brott.

-----------------

Að öðru leyti gerir Persónuvernd ekki athugasemdir við frumvarpið, en tekið skal fram að til þeirra kann að koma síðar.