Umsögn um frumvarp til laga um breytingu á ýmsum lögum á sviði fiskveiðistjórnunar (eftirlit Fiskistofu o.fl.)
Mál nr. 2022030479
Atvinnuveganefnd
Reykjavík, 16. mars 2022
Tilvísun: 2022030479/GIÁ
Efni: Umsögn um frumvarp til laga um breytingu á ýmsum lögum á sviði fiskveiðistjórnunar (eftirlit Fiskistofu o.fl.)
Persónuvernd vísar til beiðni atvinnuveganefndar Alþingis frá 1. mars 2022 um umsögn um frumvarp til laga um breytingu á ýmsum lögum á sviði fiskveiðistjórnunar (eftirlit Fiskistofu o.fl.) (þskj. 550, 386. mál á 152. löggjafarþingi).
Meðal þess sem lagt er til í frumvarpinu er að Fiskistofu verði veitt heimild til aðgangs að efni sem safnast í rafrænum vöktunarkerfum í löndunarhöfnum, auk þess sem stofnunni verði veitt heimild til að notast við fjarstýrð loftför í þágu eftirlits með fiskveiðum. Frumvarpið var lagt fyrir með breyttu sniði á 151. löggjafarþingi en hlaut ekki afgreiðslu.
Persónuvernd veitti umsögn um það frumvarp með bréfi, dags. 5. maí 2021, en ekki hefur verið orðið við athugasemdum stofnunarinnar nema að mjög takmörkuðu leyti og eru fyrri athugasemdir því ítrekaðar.
1.
Úrlausnir Persónuverndar um heimildir til
rafrænnar vöktunar í þágu eftirlits með nytjastofnum sjávar
Persónuvernd hefur veitt Fiskistofu álit um notkun efnis sem safnast við rafræna vöktun í þágu eftirlits stofnunarinnar með fiskveiðum og löndun afla með bréfum, dagsettum 31. júlí 2017, 7. september 2020 og 5. nóvember s.á., auk þess sem Persónuvernd sendi umsögn til atvinnuvega- og nýsköpunarráðuneytisins, dags. 26. október 2020, í máli nr. 2020102504, um drög að reglugerð um vigtun og skráningu sjávarafla. Þá hefur stofnunin kveðið upp úrskurð, dags. 18. september 2013, í máli nr. 2013/339, þar sem reyndi á rafræna vöktun á vegum Fiskistofu, en einnig vísast til fyrrnefndrar umsagnar stofnunarinnar, dags. 5. maí 2021, við frumvarp á 151. löggjafarþingi.
Í öllum framangreindum úrlausnum var komist að þeirri niðurstöðu að þrátt fyrir eftirlitsheimildir Fiskistofu samkvæmt lögum nr. 57/1996, um umgengni um nytjastofna sjávar, og reglugerð nr. 745/2016, um vigtun og skráningu sjávarafla, væru ekki til staðar sérstakar heimildir til rafrænnar vöktunar í tengslum við eftirlit Fiskistofu. Einnig kom fram í framangreindum úrlausnum að ef ætlunin væri að taka upp slíkt rafrænt eftirlit þyrftu að eiga sér stað breytingar á lögum, í því skyni að heimila slíka vinnslu með skýrum hætti og ákvarða fyrirkomulag hennar þannig að samrýmst gæti m.a. lögum um persónuvernd og vinnslu persónuupplýsinga og reglum settum með stoð í þeim, en við slíkar lagabreytingar þyrfti, í ljósi 71. gr. stjórnarskrárinnar, að gæta meðalhófs þannig að ekki yrði gengið lengra en nauðsyn krefði.
Með hliðsjón af framangreindu gerir Persónuvernd athugasemdir við eftirfarandi atriði frumvarpsins:
2.
Mat á nauðsyn vinnslu persónuupplýsinga
Í 1. gr. frumvarpsins er gert ráð fyrir heimild eftirlitsmanna Fiskistofu til aðgangs að rafrænum vöktunarkerfum í löndunarhöfnum í þeim tilgangi að hafa eftirlit með löndun afla.
Að mati Persónuverndar, og með hliðsjón af fyrri úrlausnum stofnunarinnar, er nauðsynlegt að framkvæmt sé mat á nauðsyn umrædds eftirlits í ljósi krafna 71. gr. stjórnarskrárinnar. Nánar tiltekið þyrfti að meta nauðsyn þess að notast við rafræna vöktun með leynd í þágu opinbers eftirlits af hálfu aðila sem fer ekki með lögregluvald (sbr. nánari umfjöllun í 3. kafla hér að neðan) og hvort brýn nauðsyn sé til þeirrar skerðingar á friðhelgi einkalífs einstaklinga sem slíkt eftirlit myndi fela í sér vegna þeirra hagsmuna sem eftirlitinu er ætlað að tryggja, sbr. 3. mgr. 71. gr. stjórnarskrárinnar.
Í greinargerð með frumvarpinu, nánar tiltekið 4. kafla, Samræmi við stjórnarskrá og alþjóðlegar skuldbindingar, er vísað almennt til 71. gr. stjórnarskrárinnar, laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglna nr. 837/2006 um rafræna vöktun og meðferð persónuupplýsinga sem verða til við rafræna vöktun, svo og eftirlitsskyldu Fiskistofu samkvæmt lögum nr. 36/1992 um Fiskistofu. Ekki er þó að finna mat á nauðsyn umrædds eftirlits og hvort sú nauðsyn réttlæti þá skerðingu á friðhelgi einkalífs einstaklinga sem eftirlitið myndi fela í sér. Það er afstaða Persónuverndar að nauðsynlegt sé að framkvæma mat á nauðsyn umrædds eftirlits með hliðsjón af kröfum 71. gr. stjórnarskrárinnar.
3.
Vöktun með leynd
Í 7. gr. frumvarpsins er gert ráð fyrir heimild eftirlitsmanna Fiskistofu til notkunar á fjarstýrðum loftförum í eftirlitsstörfum sínum. Í athugasemdum við ákvæðið er vísað til skýringa við ákvæði persónuverndarlaga þar sem m.a. segir að rafrænt eftirlit megi fara fram með leynd ef það styðst við skýra lagaheimild eða dóm. Í því frumvarpi sem lagt var fyrir á 151. löggjafarþingi var efnislega samhljóða ákvæði að finna í 42. gr. og gerði Persónuvernd athugasemd við ákvæðið í fyrri umsögn sinni frá 5. maí 2021. Ekki hefur verið brugðist við athugasemdum Persónuverndar og eru þær því ítrekaðar, sbr. eftirfarandi:
Í skýringum við 4. mgr. 14. gr. laga nr. 90/2018 segir meðal annars að vöktun með leynd sé óheimil nema hún styðjist við lagaheimild eða úrskurð dómara, og að sérreglur um þess háttar vöktun komi meðal annars fram í ákvæðum um rannsóknarheimildir lögreglu í XI. kafla laga um meðferð sakamála nr. 88/2008.
Að mati Persónuverndar er ekki æskilegt að stofnun sem fer ekki með lögregluvald, sbr. 9. gr. lögreglulaga nr. 90/1996, sé veitt heimild til vöktunar með leynd, sambærileg þeim heimildum sem lögregla beitir í þágu rannsóknar sakamála. Þá er það mat Persónuverndar að ríkar ástæður verði að vera fyrir því að veita Fiskistofu slíkt vald.
Ef vilji löggjafans stendur til að heimila Fiskistofu að viðhafa rafræna vöktun með leynd þá er það skoðun Persónuverndar að nauðsynlegt sé að framkvæmt sé mat á nauðsyn vöktunarinnar með hliðsjón af kröfum 71. gr. stjórnarskrár lýðveldisins Íslands og að niðurstöður þess mats séu skráðar í lögskýringargögn. Þá vísast einnig til umfjöllunar um mat á áhrifum á persónuvernd í 6. kafla hér að neðan.
4.
Vinnsla upplýsinga sem verða til við rafrænt eftirlit og eignarhald útgerðarfélaga
Í 8. gr. frumvarpsins segir að Fiskistofu sé heimil vinnsla persónuupplýsinga sem verða til við rafrænt eftirlit og um eignarhald útgerðarfélaga og annarra upplýsinga sem hinn skráði leggur í té, í þeim tilgangi að sinna lögbundnu hlutverki sínu samkvæmt lögum á sviði fiskveiðistjórnunar að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga. Í því frumvarpi sem lagt var fyrir á 151. löggjafarþingi var samhljóða ákvæði að finna í 43. gr. og gerði Persónuvernd athugasemdir við ákvæðið í umsögn sinni frá 5. maí 2021. Ekki hefur verið brugðist við athugasemdum Persónuverndar og eru þær því ítrekaðar, sbr. eftirfarandi:
Að mati Persónuverndar verður að teljast líklegt að Fiskistofu muni berast persónuupplýsingar um einstaklinga frá fleirum en þeim sem persónuupplýsingarnar varða, hinum skráða, svo sem úr rafrænni vöktun frá löndunarhöfnum og þegar útgerðarfélag miðlar upplýsingum til Fiskistofu um starfsmenn fiskiskipa í þágu eftirlits á sviði fiskveiðistjórnunar. Leggur Persónuvernd til að ákvæðinu verði breytt á þann hátt að Fiskistofu verði heimil vinnsla þeirra persónuupplýsinga sem stofnuninni berast í tengslum við eftirlit sitt og að samhliða verði áréttað að einungis sé heimil vinnsla þeirra persónuupplýsinga sem nauðsynlegar eru í þágu eftirlitsins. Ákvæðið yrði þá svohljóðandi:
Fiskistofu er heimil vinnsla persónuupplýsinga, þar á meðal upplýsinga sem verða til við rafrænt eftirlit og um eignarhald útgerðarfélaga og annarra upplýsinga sem stofnuninni berast og eru nauðsynlegar í þágu lögbundins eftirlits stofnunarinnar, í þeim tilgangi að sinna lögbundnu hlutverki sínu samkvæmt lögum á sviði fiskveiðistjórnunar, að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.
5.
Mat á áhrifum á persónuvernd
Persónuvernd bendir loks á að ef líklegt er að tiltekin tegund vinnslu persónuupplýsinga geti haft í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga, einkum þar sem beitt er nýrri tækni og með hliðsjón af eðli, umfangi, samhengi og tilgangi vinnslunnar, skal ábyrgðaraðili láta fara fram mat á áhrifum fyrirhugaðra vinnsluaðgerða á vernd persónuupplýsinga áður en vinnslan hefst samkvæmt nánari fyrirmælum 35. gr. reglugerðar (ESB) 2016/679. Þá segir meðal annars í 10. mgr. 35. gr. reglugerðarinnar að ef mat á áhrifum á persónuvernd hefur þegar farið fram, sem hluti af almennu áhrifamati í tengslum við samþykkt laga, sé ekki nauðsynlegt að láta slíkt mat fara fram áður en vinnslustarfsemi hefst.
Persónuvernd bendir einnig á að samkvæmt 1. tölul. 3. gr. auglýsingar nr. 828/2019, um skrá yfir vinnsluaðgerðir sem krefjast ávallt mats á áhrifum á persónuvernd, skal slíkt mat ávallt fara fram þegar um er að ræða gagnaöflun frá þriðja aðila í þágu kerfisbundins eftirlits.
Að mati Persónuverndar er því ljóst að framkvæma ber mat á áhrifum á persónuvernd vegna þeirrar vinnslu persónuupplýsinga sem lögð er til í frumvarpsdrögunum. Ákjósanlegt væri að það mat væri framkvæmt við undirbúning lagasetningar, til að tryggja að vinnsla persónuupplýsinga fullnægi kröfum laga nr. 90/2018 og reglugerðar (ESB) 2016/679. Þá ætti að tilgreina forsendur matsins og niðurstöður þess í greinargerð með frumvarpsdrögunum. Persónuvernd vekur í því sambandi athygli á að stofnunin hefur átt í samstarfi við forsætisráðuneytið um innleiðingu gátlista og leiðbeininga um gerð mats, en samkvæmt upplýsingum Persónuverndar hefur það ekki enn komist í gagnið innan Stjórnarráðsins.
Þá telur Persónuvernd, eins og að framan greinir, að nauðsynlegt að framkvæma mat á nauðsyn umrædds eftirlits með hliðsjón af kröfum 71. gr. stjórnarskrárinnar. Nánar tiltekið ætti það að fela í sér mat á nauðsyn þess að notast við rafræna vöktun með leynd í þágu opinbers eftirlits af hálfu aðila sem fer ekki með lögregluvald og hvort brýn nauðsyn sé til þeirrar skerðingar á friðhelgi einkalífs einstaklinga sem slíkt eftirlit myndi fela í sér vegna þeirra hagsmuna sem eftirlitinu er ætlað að tryggja, sbr. 3. mgr. 71. gr. stjórnarskrárinnar.
7.
Ekki eru að öðru leyti gerðar athugasemdir við efni frumvarpsins að svo stöddu. Verði frekari umsagnar óskað um einstök atriði verður hún fúslega veitt.F.h. Persónuverndar,
Vigdís Eva Líndal Gunnar Ingi Ágústsson
Hjálagt:
Umsögn Persónuverndar, dags. 5. maí 2021, til atvinnuveganefndar Alþingis.
Álit Persónuverndar, dags. 5. nóvember 2020, í máli nr. 2020082242.
Umsögn Persónuverndar, dags. 26. október 2020, til atvinnuvega- og nýsköpunarráðuneytisins um drög að reglugerð um vigtun og skráningu sjávarafla, í máli nr. 2020102504.
Álit Persónuverndar, dags. 7. september 2020, í máli nr. 2020010265.
Álit Persónuverndar, dags. 31. júlí 2017, í máli nr. 2017050756.
Úrskurður Persónuverndar, dags. 18. september 2013, í máli nr. 2013/339.