Umsögn um frumvarp til laga um breytingu á lögum um fjölmiðla, nr. 38/2011 (EES-reglur, hljóð og myndmiðlunarþjónusta, samfélagsmiðlar o.fl.)
Mál nr. 2021040889
Efni: Umsögn um frumvarp til laga um breytingu á lögum um fjölmiðla, nr. 38/2011 (EES-reglur, hljóð og myndmiðlunarþjónusta, samfélagsmiðlar o.fl.)
Persónuvernd vísar til beiðni allsherjar- og menntamálanefndar Alþingis frá 15. apríl 2021 um umsögn um frumvarp til laga um laga um breytingu á lögum um fjölmiðla, nr. 38/2011 (EES-reglur, hljóð og myndmiðlunarþjónusta, samfélagsmiðlar o.fl.) (þskj. 1196, 717. mál á 151. löggjafarþingi).
Með frumvarpinu eru lagðar til ýmsar breytingar á lögum nr. 38/2011, um fjölmiðla, til innleiðingar á tilskipun (ESB) 2018/1808. Í almennum athugasemdum sem fylgja frumvarpinu kemur fram að haft hafi verið samráð við Persónuvernd við undirbúning frumvarpsins. Persónuvernd telur rétt að árétta að hér var eingöngu um lágmarkssamráð að ræða sem fólst í því að mennta- og menningarmálaráðuneytið óskaði eftir ráðgjöf Persónuverndar um þýðingu ákvæða tilskipunarinnar er varða persónuvernd sem og um útfærslu ákvæða um eftirlit stofnunarinnar, sbr. umfjöllun síðar í umsögn þessari. Með bréfi, dags. 14. apríl 2020, veitti Persónuvernd umbeðna ráðgjöf. Afrit bréfsins fylgir umsögn þessari, en svo virðist sem ekki hafi verið tekið tillit til þeirra ábendinga sem þar voru settar fram.
Persónuvernd gerir athugasemdir við eftirfarandi atriði:
1.
Með fyrrnefndu bréfi lagði Persónuvernd til breytingu á orðalagi ákvæða sem nú er að finna í 2. mgr. 13. gr. frumvarpsins annars vegar og 3. mgr. d-liðar 19. gr. þess hins vegar. Til að tryggja betra samræmi við hugtakanotkun laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga áréttar Persónuvernd fyrri tillögu og leggur til að 2. mgr. 13. frumvarpsins orðist svo:
„Persónuupplýsingar barna, sem safnað er eða verða til við vinnslu fjölmiðlaveitna skv. 1-3. mgr., er óheimilt að vinna í viðskiptalegum tilgangi, svo sem í tengslum við beina markaðssetningu, gerð og notkun persónusniðs og einstaklingsmiðaðar auglýsingar.“
Þá leggur Persónuvernd til að 3. mgr. d-liðar 19. gr. frumvarpsins verði orðuð með eftirfarandi hætti:
„Persónuupplýsingar barna, sem safnað er eða verða til við vinnslu fjölmiðlaveitna skv. f-h-lið 1. mgr., er óheimilt að vinna í viðskiptalegum tilgangi, svo sem í tengslum við beina markaðssetningu, gerð og notkun persónusniðs og einstaklingsmiðaðar auglýsingar.“
2.
2.1.
Ákvæði um tilkynningar brota til Persónuverndar
Í tveimur ákvæðum frumvarpsins er fjallað um tilkynningar brota til Persónuverndar. Þannig segir í 3. mgr. 13. gr. frumvarpsins að brot gegn 6. mgr. [28. gr.] tilkynnist til Persónuverndar. Er þar átt við brot gegn ákvæði 2. mgr. 13. gr. frumvarpsins þar sem gert er ráð fyrir að óheimilt sé að nýta persónuupplýsingar barna, sem safnast eða myndast við vinnslu fjölmiðlaveitna samkvæmt 1.-3. mgr. 28. gr. laga nr. 38/2011, í viðskiptalegum tilgangi. Efnislega sambærilegt ákvæði um tilkynningu til Persónuverndar er að finna í 4. mgr. d-liðar 19. gr. frumvarpsins. Síðarnefnda ákvæðið er þó orðað á þann veg að tiltekin brot skuli tilkynna til Persónuverndar.
Að mati Persónuverndar er hvorki ljóst af orðalagi tilvitnaðra ákvæða frumvarpsins né af athugasemdum við þau hver skuli tilkynna meint brot til stofnunarinnar. Telur Persónuvernd nauðsynlegt að tekin séu af öll tvímæli um á hverjum slík skylda hvílir, t.d. á hvaða stjórnvaldi, ella munu ákvæðin litla þýðingu hafa í framkvæmd. Jafnframt er ekki ljóst af orðalagi 3. mgr. 13. gr. frumvarpsins hvort ákvæðið feli í sér eiginlega skyldu til að tilkynna brot.
Þá bendir Persónuvernd á að lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hafa ekki að geyma ákvæði um tilkynningar af því tagi sem gert er ráð fyrir í 3. mgr. 13. gr. og 4. mgr. d-liðar 19. gr. frumvarpsins. Af því leiðir að eftirlitshlutverk Persónuverndar samkvæmt umræddum ákvæðum er næsta óljóst, t.a.m. hvort stofnuninni er skylt að rannsaka mál sem henni er tilkynnt um með vísan til ákvæðanna eða hvort stofnuninni sé heimilt, en ekki skylt, að hefja rannsókn slíkra mála.
Í þessu sambandi bendir Persónuvernd einnig á að í lögum nr. 90/2018 er að finna ákvæði um tilkynningar af ýmsu tagi, t.a.m. tilkynningar um öryggisbresti sem ber samkvæmt 2. mgr. 27. gr. laganna að tilkynna innan tiltekins tíma frá því að öryggisbrests varð vart. Persónuvernd telur óheppilegt og til þess fallið að valda vandkvæðum í framkvæmd að notast við hugtakið tilkynning á þann hátt sem gert er í 3. mgr. 13. gr. og 4. mgr. d-liðar 19. gr. frumvarpsins.
2.2.
Ákvæði um álagningu stjórnvaldssekta
Í d-lið 25. gr. frumvarpsins segir að Persónuvernd leggi stjórnvaldssektir á þá sem brjóta gegn ákvæði 4. mgr. 28. gr. og/eða 2. mgr. 36. gr. d. Er þar átt við þau ákvæði sem fjallað er um í kafla 2.1. hér að framan.
Að mati Persónuverndar er orðalag d-liðar 25. gr. frumvarpsins sömu annmörkum háð og 3. mgr. 13. gr. að því leyti til að svo virðist sem gert sé ráð fyrir skyldu stofnunarinnar til að leggja á sektir án þess þó að það komi skýrt fram. Í því samhengi bendir Persónuvernd á að í 1. mgr. 46. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, kemur skýrt fram að stofnunin geti lagt stjórnvaldssektir á hvern þann ábyrgðaraðila eða vinnsluaðila sem brýtur gegn einhverju þeirra ákvæða laganna eða reglugerðar (ESB) 2016/679 sem tilgreind eru í 2.-3. mgr. sömu lagagreinar. Hefur stofnunin því heimild til að leggja á stjórnvaldssektir í tilvikum slíkra brota en ber ekki skylda til þess.
Í fyrirliggjandi frumvarpi er ekki að finna tilvísanir til laga nr. 90/2018 og því að óbreyttu ekki að fullu ljóst hvort ætlunin sé að ákvæðum þeirra um valdheimildir Persónuverndar við eftirlit, þ.m.t. ítarleg ákvæði laganna um álagningu stjórnvaldssekta, verði beitt í tengslum við brot gegn 2. mgr. 13. gr. og 3. mgr. d-liðar 19. gr. frumvarpsins. Hvorki almennar athugasemdir við frumvarpið né athugasemdir við síðastnefnd ákvæði hafa að geyma umfjöllun um þessi atriði eða rökstuðning fyrir því fyrirkomulagi sem frumvarpið gerir ráð fyrir að þessu leyti.
Í almennum athugasemdum við frumvarpið segir að samráð hafi verið haft við Persónuvernd um hlutverk stofnunarinnar við eftirlit með framkvæmd ákvæða 13. og 25. gr. d frumvarpsins. Mennta- og menningarmálaráðuneytið óskaði eftir ráðgjöf Persónuverndar um afmörkuð atriði við undirbúning frumvarpsins. Var sú beiðni send stofnuninni með tölvupósti 18. nóvember 2019. Tölvupóstinum fylgdu hins vegar ekki drög að frumvarpinu heldur tilvitnun í drög að þýðingu tilskipunar (ESB) 2018/1808 ásamt. Sem fyrr segir veitti Persónuvernd umbeðna ráðgjöf í bréfi, dags. 14. apríl 2020. Frekara samráð hefur hins vegar ekki verið haft við stofnunina um það eftirlit sem gert er ráð fyrir að hún sinni, verði frumvarp þetta að lögum.
3.
Persónuvernd telur slíka annmarka vera á þeim ákvæðum frumvarpsins er lúta að eftirliti stofnunarinnar og mæla fyrir um ný verkefni hennar að ótækt sé að þau verði að lögum í núverandi mynd. Sé vilji til þess að fela stofnuninni frekari verkefni en hún sinnir nú þegar á grundvelli laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, telur Persónuvernd nauðsynlegt að vanda betur til undirbúnings slíks en hér hefur verið gert, þ.m.t. með nánari skilgreiningu verkefnanna og með fullnægjandi samráði við stofnunina þar að lútandi.
Leggur Persónuvernd því til að 3. mgr. 13. gr., 4. mgr. d-liðar 19. gr. og d-liður 25. gr. frumvarpsins verði felld brott að svo stöddu.
____________
F.h. Persónuverndar,
Vigdís Eva Líndal Vigdís Sigurðardóttir