Umsögn um frumvarp til laga um breytingu á ýmsum lögum á sviði fiskveiðistjórnunar (viðurlög, tengdir aðilar o.fl.)
Mál nr. 2021040881
Efni: Umsögn um frumvarp til laga um breytingu á ýmsum lögum á sviði fiskveiðistjórnunar (viðurlög, tengdir aðilar o.fl.)
Persónuvernd vísar til beiðni atvinnuveganefndar Alþingis frá 15. apríl 2021 um umsögn um frumvarp til laga um breytingu á ýmsum lögum á sviði fiskveiðistjórnunar (viðurlög, tengdir aðilar o.fl.) (þskj. 1183, 704. mál á 151. löggjafarþingi).
Með frumvarpinu eru lagðar til breytingar á framkvæmd og heimildum til eftirlits með fiskveiðum, með tilliti til skýrslu verkefnastjórnar skipaðri af sjávarútvegs- og landbúnaðarráðherra um bætt eftirlit með fiskveiðiauðlindinni frá júní 2020. Meðal þess sem lagt er til í frumvarpinu er að Fiskistofu verði veitt heimild til aðgangs að efni sem safnast í rafrænum vöktunarkerfum í löndunarhöfnum auk þess sem stofnunni verði veitt heimild til að notast við fjarstýrð loftför í þágu eftirlits með fiskveiðum.
1.
Úrlausnir Persónuverndar um heimildir til
rafrænnar vöktunar í þágu eftirlits með nytjastofnum sjávar
Persónuvernd hefur veitt Fiskistofu álit um notkun efnis sem safnast við rafræna vöktun í þágu eftirlits stofnunarinnar með fiskiveiðum og löndun afla með bréfum, dagsettum 31. júlí 2017, 7. september 2020 og 5. nóvember s.á., auk þess sem Persónuvernd sendi umsögn til atvinnuvega- og nýsköpunarráðuneytisins, dags. 26. október 2020, í máli nr. 2020102504, um drög að reglugerð um vigtun og skráningu sjávarafla. Þá hefur stofnunin kveðið upp úrskurð, dags. 18. september 2013, í máli nr. 2013/339 þar sem reyndi á rafræna vöktun á vegum Fiskistofu.
Í öllum framangreindum úrlausnum var komist að þeirri niðurstöðu að þrátt fyrir eftirlitsheimildir Fiskistofu samkvæmt lögum nr. 57/1996, um umgengni um nytjastofna sjávar, og reglugerð nr. 745/2016, um vigtun og skráningu sjávarafla, væru ekki til staðar sérstakar heimildir til rafrænnar vöktunar í tengslum við eftirlit Fiskistofu. Einnig kom fram í framangreindum úrlausnum að ef ætlunin væri að taka upp slíkt rafrænt eftirlit þyrftu að eiga sér stað breytingar á lögum, í því skyni að heimila slíka vinnslu með skýrum hætti og ákvarða fyrirkomulag hennar þannig að samrýmst geti m.a. lögum um persónuvernd og vinnslu persónuupplýsinga og reglum settum með stoð í þeim, en við slíkar lagabreytingar þyrfti, í ljósi 71. gr. stjórnarskrárinnar, að gæta meðalhófs þannig að ekki yrði gengið lengra en nauðsyn krefði.
Með hliðsjón af framangreindu gerir Persónuvernd athugasemdir við eftirfarandi atriði frumvarpsins:
2.
Í 1. gr. frumvarpsins er eftirlitsmönnum Fiskistofu veitt heimild til aðgangs að rafrænum vöktunarkerfum í löndunarhöfnum í þeim tilgangi að hafa eftirlit með löndun afla.
Athygli nefndarinnar er vakin á því að fyrir Alþingi liggur frumvarp til laga um breytingu á hafnalögum, nr. 61/2003 (þingskjal 855, 509. mál á 151. löggjafarþingi) þar sem stjórnum hafna er veitt heimild til að viðhafa rafræna vöktun á hafnarsvæðum. Í 1. gr. þess frumvarps er sérstaklega tekið fram að tilgangur vöktunarinnar skuli vera í öryggisskyni, en heimilt sé að miðla upplýsingum sem safnist með vöktuninni til tiltekinna aðila, þ. á m. lögreglu og Landhelgisgæslu Íslands. Í greinargerð með frumvarpinu kemur einnig fram að þörf sé á lagaheimild fyrir vöktuninni svo að sú vinnsla persónuupplýsinga sem fer fram með henni uppfylli kröfur laga um persónuvernd og vinnslu persónuupplýsinga.
Líkt og fram kemur hér að ofan er stjórnum hafna veitt heimild til rafrænnar vöktunar í öryggisskyni, auk þess sem nánar tilgreindum aðilum er veitt heimild til aðgangs að því efni. Fiskistofa er ekki á meðal þeirra aðila sem taldir eru upp í frumvarpinu. Hins vegar er gert ráð fyrir því í því frumvarpi sem hér er til skoðunar að umrædd vöktun skuli einnig fara fram í þágu eftirlits hjá Fiskistofu.
Persónuvernd áréttar að við alla vinnslu persónuupplýsinga þarf að gæta þess að persónuupplýsingar séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.
Það er því mat Persónuverndar að tilgangur þeirrar vinnslu persónuupplýsinga sem fyrirhuguð er samkvæmt frumvörpunum tveimur sé óskýr og framsetning frumvarpstexta til þess fallin að valda óvissu um beitingu ákvæðanna í framkvæmd. Þannig þurfi að huga betur að því hver tilgangur vöktunarinnar eigi að vera og gæta að því að þeir aðilar sem nauðsynlega þurfa á aðgangi að halda hafi hann lögum samkvæmt.
3.
Í 42. gr. frumvarpsins er eftirlitsmönnum Fiskistofu veitt heimild til notkunar á fjarstýrðum loftförum í eftirlitsstörfum sínum. Í athugasemdum við ákvæðið er vísað til skýringa við ákvæði persónuverndarlaga þar sem m.a. segir að rafrænt eftirlit megi fara fram með leynd ef það styðst við skýra lagaheimild eða dóm.
Í skýringum við 4. mgr. 14. gr. laga nr. 90/2018 segir meðal annars að vöktun með leynd sé óheimil nema hún styðjist við lagaheimild eða úrskurð dómara, og að sérreglur um þess háttar vöktun komi meðal annars fram í ákvæðum um rannsóknarheimildir lögreglu í XI. kafla laga um meðferð sakamála nr. 88/2008.
Að mati Persónuverndar er ekki æskilegt að stofnun sem fer ekki með lögregluvald, sbr. 9. gr. lögreglulaga nr. 90/1996, sé veitt heimild til vöktunar með leynd, sambærileg þeim heimildum sem lögregla beitir í þágu rannsóknar sakamála.
Ef vilji löggjafans stendur til að heimila Fiskistofu að viðhafa rafræna vöktun með leynd þá er það skoðun Persónuverndar að nauðsynlegt sé að framkvæmt sé mat á nauðsyn vöktunarinnar með hliðsjón af kröfum 71. gr. stjórnarskrár lýðveldisins Íslands og að niðurstöður þess mats séu skráðar í lögskýringargögn. Þá vísast einnig til umfjöllunar um mat á áhrifum á persónuvernd í 6. kafla hér að neðan.
4.
Í 43. gr. frumvarpsins segir að Fiskistofu sé heimil vinnsla persónuupplýsinga sem verða til við rafrænt eftirlit og um eignarhald útgerðarfélaga og annarra upplýsinga sem hinn skráði leggur í té, í þeim tilgangi að sinna lögbundnu hlutverki sínu samkvæmt lögum á sviði fiskveiðistjórnunar að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.
Að mati Persónuverndar verður að teljast líklegt að Fiskistofu muni berast persónuupplýsingar um einstaklinga frá fleirum en þeim sem persónuupplýsingarnar varða, hinum skráða, svo sem þegar útgerðarfélag miðlar upplýsingum til stofnunarinnar um starfsmenn fiskiskipa í þágu eftirlits á sviði fiskveiðistjórnunar. Leggur Persónuvernd til að ákvæðinu verði breytt á þann hátt að Fiskistofu verði heimil vinnsla þeirra persónuupplýsinga sem stofnuninni berast í tengslum við eftirlit sitt og að samhliða verði áréttað að einungis sé heimil vinnsla þeirra persónuupplýsinga sem nauðsynlegar eru í þágu eftirlitsins. Ákvæðið yrði þá svohljóðandi:
Fiskistofu er heimil vinnsla persónuupplýsinga, þar á meðal upplýsinga sem verða til við rafrænt eftirlit og um eignarhald útgerðarfélaga og annarra upplýsinga sem stofnuninni berast og eru nauðsynlegar í þágu lögbundins eftirlits stofnunarinnar, í þeim tilgangi að sinna lögbundnu hlutverki sínu samkvæmt lögum á sviði fiskveiðistjórnunar, að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.
5.
Í 45. gr. frumvarpsins er að finna ákvæði til bráðabirgða, þar sem Fiskistofu er veitt heimild til að fara í samstarf við útgerðaraðila um tímabundið verkefni um rafræna vöktun í fiskiskipum árin 2021 til 2022. Fram kemur að tilgangur verkefnisins skuli vera prófun á tæknibúnaði við hagnýtingu rafræns eftirlits um borð í fiskveiðiskipum, þ.e. notkunar, eiginleika og gæða myndefnis. Fram kemur að Fiskistofu skuli vera heimill aðgangur að þeim upplýsingum sem til verða við rafræna vöktun um borð og að upplýsingarnar sem verði til við framkvæmd verkefnisins skuli einungis nýttar í samræmi við framangreindan tilgang verkefnisins en ekki í eftirlitsskyni. Þá sé Fiskistofu ekki heimilt að afhenda öðrum aðilum þær upplýsingar sem safnast við framkvæmd verkefnisins nema það sé nauðsynlegt í þágu þess.
Með bréfi, dags. 28. ágúst 2020, óskaði Fiskistofa eftir áliti Persónuverndar á tilraunaverkefni sem fól í sér rafræna vöktun um borð í fiskiskipum í þeim tilgangi að tryggja eftirlit með fiskveiðiauðlindinni. Í svari Persónuverndar, dags. 5. nóvember s.á., í máli nr. 2020082242, eru fyrri svör stofnunarinnar ítrekuð, þess efnis að nauðsynlegt sé að lögfest verði heimild til slíkrar vöktunar í þágu opinbers eftirlits sem lýst var í erindi Fiskistofu. Í því ákvæði frumvarpsins sem hér er til meðferðar er ekki um að ræða vinnslu persónuupplýsinga í þágu opinbers eftirlits, heldur í þeim tilgangi að prófa tæknibúnað.
Að mati Persónuverndar er ekki nauðsynlegt að lögfesta ákvæði um framangreinda vinnslu persónuupplýsinga, ef tilgangur vinnslunnar er eingöngu að prófa þann tæknibúnað sem nota á við vinnsluna. Telja verður að vinnsla persónuupplýsinga í þeim tilgangi geti farið fram á grundvelli annarra heimilda í 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Áréttað er þó að ef nota á þær upplýsingar sem safnast við rafrænt eftirlit í þágu eftirlits Fiskistofu með fiskveiðum þá er nauðsynlegt að lögfesta heimild þess efnis.
6.
Persónuvernd bendir loks á að ef líklegt er að tiltekin tegund vinnslu persónuupplýsinga geti haft í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga, einkum þar sem beitt er nýrri tækni og með hliðsjón af eðli, umfangi, samhengi og tilgangi vinnslunnar, skal ábyrgðaraðili láta fara fram mat á áhrifum fyrirhugaðra vinnsluaðgerða á vernd persónuupplýsinga áður en vinnslan hefst samkvæmt nánari fyrirmælum 35. gr. reglugerðar (ESB) nr. 2016/679. Þá segir meðal annars í 10. mgr. 35. gr. reglugerðarinnar að ef mat á áhrifum á persónuvernd hefur þegar farið fram, sem hluti af almennu áhrifamati í tengslum við samþykkt laga, sé ekki nauðsynlegt að láta slíkt mat fara fram áður en vinnslustarfsemi hefst.
Persónuvernd bendir einnig á að í 1. tölul. 3. gr. auglýsingar nr. 828/2019, um skrá yfir vinnsluaðgerðir sem krefjast ávallt mats á áhrifum á persónuvernd, segir að slíkt mat skuli ávallt fara fram þegar um er að ræða gagnaöflun frá þriðja aðila í samhengi við einn af flokkum 2. gr. sömu auglýsingar, svo sem 2. tölul. um kerfisbundið eftirlit.
Að mati Persónuverndar er því ljóst að skylt er að framkvæma mat á áhrifum á persónuvernd vegna þeirrar vinnslu persónuupplýsinga sem lögð er til í frumvarpsdrögunum. Ákjósanlegt væri að það mat væri framkvæmt við undirbúning lagasetningar, til að tryggja að vinnsla persónuupplýsinga fullnægi kröfum laga nr. 90/2018 og reglugerð (ESB) 2016/679. Þá ætti að tilgreina forsendur matsins og niðurstöður þess í greinargerð með frumvarpsdrögunum.
Þá er, eins og að framan greinir, að mati Persónuverndar einnig nauðsynlegt að framkvæma mat á nauðsyn umrædds eftirlits með hliðsjón af kröfum 71. gr. stjórnarskrárinnar. Nánar tiltekið ætti það að fela í sér mat á nauðsyn þess að notast við rafræna vöktun með leynd í þágu opinbers eftirlits af hálfu aðila sem fer ekki með lögregluvald og hvort brýn nauðsyn sé til þeirrar skerðingar á friðhelgi einkalífs einstaklinga sem slíkt eftirlit myndi fela í sér vegna þeirra hagsmuna sem eftirlitinu er ætlað að tryggja, sbr. 3. mgr. 71. gr. stjórnarskrárinnar.
7.
Ekki eru að öðru leyti gerðar athugasemdir við efni frumvarpsins að svo stöddu. Verði frekari umsagnar óskað um einstök atriði verður hún fúslega veitt.
F.h. Persónuverndar,
Vigdís Eva Líndal Gunnar Ingi Ágústsson