Umsögn Persónuverndar um drög að frumvarpi til laga um nafnskírteini
Mál nr: 2023010110
Efni: Umsögn Persónuverndar um drög að frumvarpi til laga um nafnskírteini
1.
Persónuvernd vísar til draga að frumvarpi til nýrra laga um nafnskírteini, sem voru birt í samráðsgátt stjórnvalda þann 10. janúar 2023.
Í drögum að frumvarpinu eru lögð til ný heildarlög um nafnskírteini þar sem núgildandi lög nr. 25/1965 um nafnskírteini uppylla ekki þær kröfur sem gerðar séu til öruggra persónuskilríkja, sbr. meðal annars þær kröfur sem gerðar eru til slíkra skilríkja í reglugerð (ESB) 2019/1157 um aukið öryggi persónuskilríkja og dvalarleyfisskírteina. Með setningu nýrra laga um nafnskírteini er meðal annars stefnt að því að mögulegt verði að gefa út persónuskilríki sem uppfylli kröfur fyrrnefndrar reglugerðar hvað varðar form og öryggi og að skírteinið muni þá nýtast til öruggrar auðkenningar og sem ferðaskilríki á EES-svæðinu.
Persónuvernd veitti umsögn um áform um lagasetningu um ný lög um nafnskírteini, dags. 2. desember 2022, í samráðsgátt stjórnvalda. Í þeim frumvarpsdrögum sem nú liggja fyrir verður ekki séð að litið hafi verið til athugasemda Persónuverndar, m.a. hvað varðar skyldu til að framkvæma mat á áhrifum á persónuvernd og varðveislu lífkennaupplýsinga. Persónuvernd gerir því alvarlegar athugasemdir við frumvarpsdrögin.
Með fyrirvara um frekari skoðun vill Persónuvernd koma á framfæri eftirfarandi atriðum sem stofnunin telur að þarfnist frekari skoðunar, en ekki er um tæmandi talningu að ræða.
2.
Varðveisla lífkennaupplýsinga
Í 2. mgr. 4. gr. frumvarpsdraga segir að gæta skuli ítrustu öryggiskrafna við varðveislu lífkennaupplýsinga sem safna eigi vegna umsókna um nafnskírteini og að þær skuli ekki varðveittar lengur en þörf sé á til að bera kennsl á umsækjanda við næstu umsókn hans um nafnskírteini. Í athugasemdum við ákvæðið í greinargerð með frumvarpsdrögum segir að tilgangur framangreindrar varðveislu sé til að tryggja öryggi við útgáfu og notkun nafnskírteina, þ. á m. til að verja einstaklinga gegn auðkennaþjófnaði og koma í veg fyrir að fölsuð nafnskírteini fari í umferð. Einnig segir að þau sjónarmið gildi allan gildistíma nafnskírteinis og þar til handhafi þurfi að sanna á sér deili við umsókn um nýtt nafnskírteini. Í 7. gr. frumvarpsdraga er gert ráð fyrir að gildistími nafnskírteina verði almennt tíu ár frá útgáfudegi.
Við alla vinnslu persónuupplýsinga ber ábyrgðaraðila að gæta þess að persónuupplýsingar séu varðveittar í því formi að ekki sé unnt að bera kennsl á skráða einstaklinga lengur en þörf krefur miðað við tilgang vinnslu, sbr. 5. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og e-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Í því samhengi er vakin athygli á því að reglugerð (ESB) 2019/1157, um aukið öryggi persónuskilríkja og dvalarleyfisskilríkja, tilgreinir sérstaklega að hún veiti aðildarríkjum ekki heimild til uppsetningar gagnagrunns með lífkennaupplýsingum, sbr. 21. lið formálsorða reglugerðarinnar, heldur skuli eyða öllum upplýsingum um lífkenni sem aflað hafi verið hjá því stjórnvaldi sem gaf út skírteinið þegar það hefur verið sótt af skírteinishafa og eigi síðar en 90 dögum eftir útgáfu skírteinisins, sbr. 3. mgr. 10. gr. reglugerðarinnar.
Þrátt fyrir að orðalag reglugerðar (ESB) 2019/1157 girði þannig ekki fyrir að aðildarríki setji löggjöf um lengri varðveislutíma en 90 daga verður að mati Persónuverndar talið að 10 ár sé langur varðveislutími og að þörf sé á frekari rökstuðningi fyrir svo löngum varðveislutíma, sbr. meðal annars 3. og 5. tölul. 1. mgr. 8. gr. laga nr. 90/2018.
3.
Synjun útgáfu nafnskírteina
Í 1. mgr. 6. gr. frumvarpsdraga er gert ráð fyrir því að Þjóðskrá Íslands skuli synja umsókn um útgáfu nafnskírteinis sem teljist gilt ferðaskilríki, hafi umsækjandi verið eftirlýstur af lögreglu, gefin hafi verið út handtökuskipun á hendur honum eða lagt á hann farbann samkvæmt ákvæðum laga um meðferð sakamála. Í 2. mgr. sömu greinar segir að Þjóðskrá Íslands sé heimilt að synja um útgáfu nafnskírteinis, sem teljist gilt ferðaskilríki sé fram komin kæra á hendur umsækjanda fyrir refsivert brot sem ætla megi að varði fangelsisrefsingu og hætta sé talin á að hann muni reyna að komast undan refsiábyrgð með því að fara úr landi eða dveljast áfram erlendis, eða umsækjandi hafi verið dæmdur til fangelsisrefsingar sem ekki hafi verið afplánuð eða sætt sektarrefsingu fyrir dómi eða hjá stjórnvaldi sem hvorki hafi verið greidd né sett trygging fyrir og hætta sé á að hann muni reyna að komast hjá fullnustu refsingarinnar með því að fara úr landi eða dveljast áfram erlendis. Í 3. mgr. sömu greinar segir að Þjóðskrá Íslands sé heimilt að afla upplýsinga skv. 1. og 2. mgr. frá lögreglu og öðrum stjórnvöldum.
Í athugasemdum við ákvæði 6. gr. í greinargerð segir meðal annars að framangreindar heimildir til að synja umsókn um nafnskírteini séu reistar á sjónarmiðum um refsivörslu og byggi á mati Þjóðskrár Íslands. Einnig segir að þeim skuli einungis beitt í undantekningartilvikum, þegar rík ástæða þyki til með vísan til þeirra sjónarmiða sem tilgreind eru í ákvæðinu; enda sé mönnum almennt frjálst að fara úr landi, sbr. 3. mgr. 66. gr. stjórnarskrárinnar og 2. gr. samningsviðauka nr. 4 um samninginn um verndun mannréttinda og mannfrelsis um tiltekin önnur mannréttindi, sbr. lög um mannréttindasáttmála Evrópu, nr. 62/1994.
Persónuvernd vekur athygli á því að í umræddu ákvæði er ekki tilgreint í hvaða tilvikum Þjóðskrá Íslands sé heimilt að afla upplýsinga eða nánar tilgreint hvaða upplýsingum heimilt sé að afla svo stofnunin geti lagt mat á það hvort skilyrði séu til staðar til að synja umsókn um nafnskírteini. Með hliðsjón af framangreindu er því ekki skýrt hvort kalla eigi eftir upplýsingum um alla umsækjendur, eða einungis suma, og þá á grundvelli hvaða forsendna slík ákvörðun um upplýsingaöflun skuli tekin né hvaða upplýsinga heimilt sé að afla.
Sambærilegt ákvæði um skyldu og heimildir til að hafna útgáfu ferðaskilríkja, sbr. 1. og 2. mgr. 6. gr. frumvarpsdraga, er að finna í 5. gr. laga nr. 136/1998 um vegabréf. Í athugasemdum við ákvæðið í greinargerð segir að það sé Ríkislögreglustjóra að meta hvort synja skuli umsókn um útgáfu vegabréfs og að við það mat Ríkislögreglustjóra verði að gæta almennra reglna um ferðafrelsi. Í þeim frumvarpsdrögum sem hér um ræðir er fyrirhugað að fela Þjóðskrá Íslands að afla upplýsinga um umsækjendur um nafnskírteini og leggja mat á það hvort hætta sé talin á því að þeir muni reyna að komast undan refsiábyrgð eða fullnustu refsingar með því að komast úr landi eða dveljast áfram erlendis. Í frumvarpsdrögum er ekki tilgreint hvers vegna Þjóðskrá Íslands sé falið að afla upplýsinga um og vinna með upplýsingar um refsiverða háttsemi umsækjenda um nafnskírteini í framangreindum tilgangi, í stað stjórnvalda sem þegar er falin refsivarsla og fullnusta með lögum, t.d. Ríkislögreglustjóra.
Með hliðsjón af framangreindu er að mati Persónuverndar nauðsynlegt að skilgreint verðir nánar í hvaða tilvikum afla skuli upplýsinga um umsækjendur um nafnskírteini, hvaða upplýsinga heimilt verði að afla og hvernig Þjóðskrá Íslands skuli leggja mat á það hvort synja beri um umsókn um nafnskírteini.
4.
Mat á áhrifum á persónuvernd
Í umsögn Persónuverndar, dags. 2. desember 2022, kom fram það mat stofnunarinnar að skylt væri að framkvæma mat á áhrifum á persónuvernd vegna þeirrar vinnslu persónuupplýsinga sem lögð var til í áformum um lagasetningu. Þá sagði jafnframt að ákjósanlegt væri að það mat væri framkvæmt við undirbúning lagasetningar og tilgreina ætti forsendur matsins og niðurstöður þess í greinargerð með frumvarpi.
Í frumvarpi því sem hér er til skoðunar er getið um mat á áhrifum á persónuvernd í athugasemdum með 10. gr. í greinargerð. Þar segir að til að lágmarka þá áhættu sem fylgi vinnslunni sé nauðsynlegt að ítrustu öryggiskrafna sé gætt við alla meðferð lífkennaupplýsinga. Fyrir liggi að hjá Þjóðskrá Íslands sé þegar vistuð vegabréfaskrá, sem hafi meðal annars að geyma lífkennaupplýsingar á grundvelli vegabréfalaga. Í frumvarpinu sé gengið út frá því að sambærileg vinnsla sömu tegundar upplýsinga fari fram hjá sama ábyrgðaraðila og að sömu tækni verði beitt á sama hátt hvað varði upplýsingar sem unnar séu á grundvelli frumvarpsins. Þrátt fyrir það geti verið nauðsynlegt að framkvæma sérstakt mat á áhrifum á persónuvernd í tengslum við setningu reglugerðar samkvæmt 12. gr. frumvarpsins, að því leyti sem kveðið verði á um sérstök framkvæmdaratriði vegna vinnslu lífkennaupplýsinga, t.d. ef til standi að beita nýrri tækni við vinnsluna.
Af frumvarpsdrögum verður ekki ráðið að framkvæmt hafi verið mat á áhrifum frumvarpsins sem slíks á persónuvernd. Að mati Persónuverndar verður ekki talið fullnægjandi að mat á áhrifum á persónuvernd verði eingöngu framkvæmt við setningu reglugerðar heldur þarf slíkt mat að vera gert varðandi fyrirhugaða lagasetningu. Þá er á það bent að þrátt fyrir að um sambærilega vinnslu sé að ræða og fram fer í tengslum við vegabréfaskrá, samanber framangreint, þá liggur ekki fyrir að mat á áhrifum á persónuvernd hafi verið unnið vegna þeirrar vinnslu sem þar fer fram.
__________________
Persónuvernd áskilur sér rétt til að koma á framfæri frekari athugasemdum við meðferð málsins ef stofnunin telur þörf á. Verði frekari umsagnar óskað um einstök atriði verður hún fúslega veitt.
F.h. Persónuverndar,
Steinunn Birna Magnúsdóttir Helga Sigríður Þórhallsdóttir