Umsögn Persónuverndar um drög að frumvarpi til breytinga á lögum um greiðsluaðlögun einstaklinga
Mál nr. 2023101566
Efni: Umsögn Persónuverndar um drög að frumvarpi til breytinga á lögum um greiðsluaðlögun einstaklinga
Persónuvernd vísar til draga að frumvarpi til breytinga á lögum um greiðsluaðlögun einstaklinga, nr. 101/2010, sem birt voru í samráðsgátt stjórnvalda þann 28. september 2023 (mál nr. 175/2023).
1.
Nánari afmörkun viðkvæmra persónuupplýsinga sem miðla má og sjónarmið um nauðsyn og meðalhóf
Á meðal þeirra breytinga sem lagðar eru til á lögum um greiðsluaðlögun einstaklinga er að lögfesta heimildir embættis umboðsmanns skuldara til þess að vinna með viðkvæmar persónuupplýsingar um skuldara við tilteknar aðstæður.
Þannig er lagt til í b-lið 13. gr. frumvarpsdraganna að nýjum málslið verði bætt við 16. gr. gildandi laga þess efnis að heimilt verði, í frumvarpi til samnings um greiðsluaðlögun, að tilgreina nauðsynlegar viðkvæmar persónuupplýsingar, m.a. um heilsufar og félagslegar aðstæður, hafi þær þýðingu fyrir greiðsluaðlögunarumleitanir. Einnig eru lagðar til breytingar í b-lið 15. gr. frumvarpsdraganna á 18. gr. gildandi laga þess efnis að við 1. mgr. ákvæðisins bætist heimild til að tilgreina, í greinargerð umsjónarmanns um mögulegan nauðasamning eða greiðsluaðlögun fasteignaveðkrafna, nauðsynlegar viðkvæmar persónuupplýsingar, m.a. um heilsufar og félagslegar aðstæður, hafi þær þýðingu við mat umsjónarmannsins á því hvort mælt sé með því að nauðasamningur eða greiðsluaðlögun fasteignaveðkrafna komist á. Þá er lagt til í 16. gr. frumvarpsdraganna að nýr málsliður bætist við 1. mgr. 19. gr. gildandi laga þess efnis að í frumvarpi til nauðasamnings til greiðsluaðlögunar skuli tiltaka, eftir því sem við á, sömu upplýsingar og komu fram í frumvarpi til samnings um greiðsluaðlögun, sbr. 2. mgr. 16. gr. laganna.
Loks eru lagðar til ýmsar breytingar á 24. gr. gildandi laga. Meðal annars er lagt til að lögfest verði heimild embættis umboðsmanns skuldara til að tilgreina nauðsynlegar viðkvæmar persónuupplýsingar í tillögu um breytingu á samningi, hafi slíkar upplýsingar þýðingu í samningaviðræðum. Þá verður umboðsmanni skuldara einnig heimilt að tilgreina nauðsynlegar viðkvæmar persónuupplýsingar í ákvörðun um kröfu skuldara um breytingu á skilmálum samnings, hafi upplýsingarnar haft þýðingu við mat á því hvort samþykkja bæri kröfuna.
Í athugasemdum við 13. gr. frumvarpsdraganna kemur fram að skuldari hafi verulega hagsmuni af því að fá samning til greiðsluaðlögunar og mikilvægt sé af þeim sökum að geta veitt kröfuhöfum upplýsingar sem auka líkur á að þeir samþykki samning. Þá segir í athugasemdunum að reynsla umboðsmanns skuldara af samningaviðræðum við kröfuhafa hafi sýnt að nauðsynlegt geti reynst að upplýsa kröfuhafa um heilsufar og félagslegar aðstæður, upp að vissu marki, svo þeir hafi heildstæða mynd af aðstæðum skuldara, m.t.t. greiðslugetu og fjárhagslegra aðstæðna að öðru leyti. Þá geti slíkar upplýsingar veitt skýringar á ástæðum greiðsluerfiðleika. Vísað er í þessa umfjöllun til skýringar á öðrum sambærilegum ákvæðum í frumvarpsdrögunum. Einnig kemur fram í athugasemdum við 15. gr. frumvarpsdraganna að í þeim tilvikum sem greinargerð umsjónarmanns er lögð fyrir héraðsdóm, sem tekur afstöðu til kröfu um staðfestingu nauðasamnings, geti umræddar upplýsingar verið nauðsynlegar svo héraðsdómur geti lagt heildstætt mat á kröfuna. Staðfesting á slíkri kröfu geti verið lokatækifæri skuldara til að ná heildstæðum samningi við sína kröfuhafa og því séu oft miklir hagsmunir í húfi.
Loks kemur fram í athugasemdum við 14. gr. frumvarpsdraganna að samkvæmt 17. gr. gildandi laga beri umsjónarmanni að senda frumvarp til samnings um greiðsluaðlögun til allra kröfuhafa sem þekktir eru og málið varðar. Í frumvarpsdrögunum er lögð til breyting á umræddu ákvæði þess efnis að umsjónarmanni beri að senda frumvarp eingöngu til þeirra kröfuhafa sem lýst hafa kröfu skv. 10. gr. og málið varðar. Ástæða breytingarinnar er í athugasemdunum sögð sú að frumvarp til greiðsluaðlögunar hafi oft að geyma viðkvæmar persónuupplýsingar og teljist það því eðlilegri framkvæmd að senda eingöngu þeim kröfuhöfum frumvarpið sem geta mótmælt því.
________________
Af frumvarpsdrögunum má ráða að matskennt geti verið hvaða viðkvæmu persónuupplýsingum ábyrgðaraðili telji nauðsynlegt að miðla til þriðju aðila, líkt og kröfuhafa, hverju sinni. Þó kemur fram í athugasemdum við 13. gr. frumvarpsdraganna að unnið verði eftir ströngum vinnureglum við meðferð og miðlun umræddra upplýsinga og að frumvarp verði ávallt yfirlesið af skuldara áður en því verði miðlað til kröfuhafa. Einnig kemur fram að skuldari muni ávallt geta komið á framfæri athugasemdum um þær upplýsingar sem miðlað er til kröfuhafa. Ekki er þó fjallað um hvaða áhrif athugasemdir skuldara hafa í þessu samhengi.
Að mati Persónuverndar geta matskennd lagaákvæði sem heimila miðlun viðkvæmra persónuupplýsinga til þriðju aðila falið í sér ákveðna áhættu og því getur þurft að huga að því að setja fram skýr viðmið um túlkun þeirra. Í því samhengi vill Persónuvernd árétta mikilvægi þess að gætt sé að sjónarmiðum um meðalhóf, sbr. 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 við fyrirhugaða vinnslu persónuupplýsinga. Tryggja þarf að ekki séu skráðar meiri upplýsingar en nauðsynlegt er talið miðað við tilgang vinnslunnar hverju sinni og sú skylda hvílir á ábyrgðaraðila að velja viðaminnstu vinnslu persónuupplýsinga sem nær því markmiði sem að er stefnt.
Til þess að draga úr þeirri áhættu sem hér um ræðir er að mati Persónuverndar æskilegt að fjalla nánar um það, svo sem í greinargerð, hvernig best sé að slík miðlun fari fram til að tryggja meðalhóf. Til dæmis gæti að mati Persónuverndar komið til greina að embætti umboðsmanns skuldara miðli upplýsingum almenns eðlis til kröfuhafa um að skuldari glími við veikindi án þess að greina nánar frá eðli þeirra veikinda, nægi það til þess að markmiðinu verði náð. Þannig mætti verja hinn skráða eins mikið og unnt er frá því að viðkvæmum persónuupplýsingum um hann sé miðlað til margra mismunandi kröfuhafa. Sömu sjónarmið gætu verið uppi varðandi miðlun upplýsinga um félagslegar aðstæður skuldara. Óþarfi gæti verið í ljósi meðalhófs að greina kröfuhöfum nákvæmlega frá eðli þeirra í hverju tilviki. Í frumvarpinu er, sem áður segir, vísað til þess að unnið verði eftir ströngum vinnureglum við meðferð og miðlun umræddra upplýsinga og telur Persónuvernd æskilegt að efni þeirra vinnureglna verði unnt að ráða betur af frumvarpstextanum en nú er.
2.
Fræðsluskylda ábyrgðaraðila
Persónuvernd telur einnig mikilvægt að árétta að fræðsluskylda hvílir á þeim sem vinna persónuupplýsingar, sbr. 17. gr. laga nr. 90/2018, sbr. 12.-14. gr. reglugerðar (ESB) 2016/679, og þarf ábyrgðaraðili að tryggja að hinir skráðu fái fræðslu eftir því sem lög krefjast, nema þær undantekningar sem tilgreindar eru í ákvæðunum eigi við.
Í 13. gr. reglugerðar (ESB) 2016/679 er til að mynda fjallað um hvaða fræðslu beri að veita hinum skráða þegar persónuupplýsinga er aflað hjá honum sjálfum. Í 1. mgr. ákvæðisins kemur fram að ábyrgðaraðila beri meðal annars að greina hinum skráða að frá tilgangi hinnar fyrirhuguðu vinnslu persónuupplýsinganna, lagagrundvelli hennar og hverjir viðtakendur persónuupplýsinganna eru. Í 2. mgr. ákvæðisins kemur ennfremur fram að ábyrgðaraðila ber, á þeim tíma þegar persónuupplýsingunum er safnað, að veita hinum skráða upplýsingar sem nauðsynlegar eru til að tryggja sanngjarna og gagnsæja vinnslu.
Fræðslu samkvæmt 1.-3. mgr. 13. gr. þarf ekki að veita ef og að því marki sem hinn skráði hefur þegar fengið vitneskju um þessi atriði, sbr. 4. mgr. ákvæðisins. Þá er í 14. gr. reglugerðarinnar fjallað um fræðslu sem bera að veita þegar upplýsinga er aflað hjá öðrum en hinum skráða, en undanþágur frá þeirri fræðsluskyldu er að finna í 5. gr. ákvæðisins.
3.
Öryggi persónuupplýsinga
Í 27. gr. frumvarpsdraganna er lagt til að við bætist nýtt ákvæði, þ.e. í 34. gr. laganna, um meðferð persónuupplýsinga. Í ákvæðinu segir að embætti umboðsmanns skuldara beri að tryggja að fyllsta öryggis sé gætt við sendingu og meðferð upplýsinga og skuli setja öryggisstefnu, framkvæma áhættumat og gera aðrar öryggisráðstafanir til samræmis við lög um persónuvernd og vinnslu persónuupplýsinga og reglur sem settar hafa verið á grundvelli þeirra.
Persónuvernd áréttar mikilvægi þess að slíkar upplýsingar séu unnar með þeim hætti að viðeigandi öryggi þeirra sé tryggt, sbr. 6. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Er þar m.a. átt við að tryggt sé að upplýsingarnar komist ekki í rangar hendur og að viðtakendur þeirra eyði þeim þegar þær eru ekki lengur nauðsynlegar í þágu tilgangsins með miðlun þeirra.
Þá áréttar Persónuvernd einnig að huga þarf að innbyggðri og sjálfgefinni persónuvernd á öllum stigum vinnslunnar, ekki síst við notkun tæknilausna, svo sem við miðlun persónuupplýsinganna, og að gerðar verði viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja fullnægjandi öryggi þeirra.
4.
Mat á áhrifum á persónuvernd
Vegna viðkvæms eðlis þeirra persónuupplýsinga sem stendur til að miðla af hálfu ábyrgðaraðila til þriðju aðila og með hliðsjón af því að sú miðlun getur haft í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga minnir Persónuvernd á að hér getur þurft að huga að þörf fyrir mat á áhrifum á persónuvernd, sbr. 29. gr. laga nr. 90/2018 og 35. gr. reglugerðar (ESB) 2016/679, að teknu tilliti til umfangs og eðlis þeirrar vinnslu sem um ræðir.
________________
Ekki eru að öðru leyti gerðar athugasemdir við efni draganna. Persónuvernd áskilur sér rétt til að koma á framfæri frekari athugasemdum á síðari stigum málsins ef stofnunin telur þörf á. Verði frekari umsagnar óskað um einstök atriði verður hún fúslega veitt.
F.h. Persónuverndar,
Helga Sigríður Þórhallsdóttir Ína Bzowska Grétarsdóttir