Umsögn um frumvarp til laga um nafnskírteini
Mál nr. 2023030523
Efni: Umsögn um frumvarp til laga um nafnskírteini.
1.
Persónuvernd vísar til beiðni allsherjar- og menntamálanefndar Alþingis frá 14. mars 2023 um umsögn um frumvarp til laga um nafnskírteini, (þskj. 1238, 803. mál á 153. löggjafarþingi). Persónuvernd hefur áður veitt umsögn um málið, dags. 2. desember 2022, þegar áform um lagasetningu um ný lög um nafnskírteini voru í samráðsgátt stjórnavalda og hinn 31. janúar 2023, þegar drög að frumvarpinu voru í samráðsgáttinni.
Í umsögn Persónuverndar, dags. 31. janúar 2023, voru gerðar ýmsar athugasemdir við efni frumvarpsdraganna. Í fyrsta lagi var það mat Persónuverndar að frekari rökstuðning skorti fyrir hinum fyrirhugaða tíu ára varðveislutíma lífkennaupplýsinga. Í öðru lagi var það mat Persónuverndar að ákvæði frumvarpsdraganna um heimildir Þjóðskrár Íslands um synjun á útgáfu nafnskírteina hafi verið óskýrt. Í þriðja lagi var það mat Persónuverndar að mat á áhrifum á persónuvernd þyrfti að vera framkvæmt við undirbúning lagasetningarinnar og að tilgreina þyrfti forsendur matsins og niðurstöður þess í greinargerð með frumvarpinu.
Að mati Persónuverndar hefur verið brugðist við athugasemdum sem stofnunin gerði í umsögn sinni, dags. 31. janúar 2023, að einhverju leyti en ekki öllu og gerir hún athugasemdir við eftirfarandi atriði:
2.
Varðveisla lífkennaupplýsinga
Í 4. gr. frumvarpsins er fjallað um söfnun og varðveislu lífkennaupplýsinga. Í greinargerð með frumvarpinu kemur fram í umfjöllun um 4. gr. að hinn fyrirhugaði tíu ára varðveislutími lífkennaupplýsinga sé nauðsynlegur til þess að tryggja öryggi við auðkenningu handhafa nafnskírteinisins, bæði við notkun þess, sem og við útgáfu nýs skírteinis. Enn fremur kemur fram í greinargerðinni að örugg auðkenning sé meðal annars til þess fallin að verja viðkomandi gegn auðkennaþjófnaði og koma í veg fyrir að fölsuð nafnskírteini fari í umferð. Varðveislan sé því hvoru tveggja til hagsbóta fyrir hinn skráða og í þágu almannahagsmuna. Fram kemur í greinargerðinni að til þess að tilgangi varðveislunnar verði náð þurfi hún að vara þann tíma sem nafnskírteini sé í gildi. Loks kemur fram í greinargerðinni að sá varðveislutími lífkennaupplýsinga, sem er lagður til í frumvarpinu, sé í samræmi við varðveislutíma lífkennaupplýsinga sem er aflað í tengslum við útgáfu vegabréfa, enda sé tilgangur varðveislunnar sá sami.
Það er mat Persónuverndar að þrátt fyrir umræddan rökstuðning sé það enn óskýrt hvers vegna tíu ára varðveislutími lífkennaupplýsinga í tengslum við útgáfu nafnskírteina sé nauðsynlegur og hvers vegna varðveislan þurfi að vara þann tíma sem nafnskírteini er í gildi. Að mati stofnunarinnar þarf að skýra betur með hvaða hætti það sé til hagsbóta fyrir hinn skráða og að hvaða leyti það sé í þágu almannahagsmuna að varðveita eigi lífkennaupplýsingar út gildistíma nafnskírteinis, þ.e. í tíu ár.
Að mati Persónuverndar þarf í fyrsta lagi að rökstyðja betur með hvaða hætti hinn langi varðveislutími gagnast hinum skráða. Fyrir liggur að lífkennaupplýsinga verður aflað við útgáfu nafnskírteinis. Glatist nafnskírteini eða renni út, þarf hinn skráði í báðum tilfellum að leggja inn nýja umsókn um nafnskírteini. Að mati Persónuverndar fæst ekki séð með hvaða hætti hinn fyrirhugaði tíu ára varðveislutími sé hinum skráða til hagsbóta hvað umrætt varðar, enda þarf umsækjandi um nafnskírteini að sanna á sér deili í hvert skipti sem hann sæki um nýtt skírteini, óháð því hvort eldri lífkennaupplýsingar um hann séu varðveittar eða ekki. Þá er það einnig mat Persónuverndar að óskýrt sé með hvaða hætti varðveisla lífkennaupplýsinga í tíu ár sé hinum skráða til hagsbóta við notkun nafnskírteinis.
Í öðru lagi er það mat Persónuverndar að rökstyðja þurfi betur með hvaða hætti hinn tíu ára varðveislutími lífkennaupplýsinga sem aflað sé við útgáfu nafnskírteina sé nauðsynlegur í þágu almannahagsmuna. Það athugast að Persónuvernd sér því ekkert til fyrirstöðu að haldin sé skrá án lífkennaupplýsinga, þegar nafnskírteini er gefið út með útgáfudegi, gildistíma og númeri þess sem unnt er að líta til þegar grunur leikur á að nafnskírteini sé falsað. Persónuvernd áréttar að réttur hins skráða til þess að persónuupplýsingar um hann séu ekki varðveittar lengur en nauðsyn ber til er afar ríkur. Það er mat stofnunarinnar að enn skorti orsakasamhengi á milli nauðsynjar hins tíu ára varðveislutíma lífkennaupplýsinga og almannahagsmuna. Það athugast einnig að hvorki í lögum nr. 136/1998 um vegabréf né reglugerð nr. 560/2009 um íslensk vegabréf er kveðið á um að varðveislutími lífkennaupplýsinga skuli vera tíu ár þó að vera megi að sú sé raunin í framkvæmd.
Persónuvernd áréttar að ábyrgðaraðila ber að gæta þess að persónuupplýsingar séu varðveittar í því formi að ekki sé unnt að bera kennsl á skráða einstaklinga lengur en þörf krefur miðað við tilgang vinnslu, sbr. 5. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og e-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Stofnunin áréttar einnig að reglugerð (ESB) 2019/1157, um aukið öryggi persónuskilríkja og dvalarleyfisskilríkja, tilgreinir sérstaklega að hún veiti aðildarríkjum ekki heimild til uppsetningar gagnagrunns með lífkennaupplýsingum, sbr. 31. lið formálsorða reglugerðarinnar, heldur skuli eyða öllum upplýsingum um lífkenni sem aflað hefur verið hjá því stjórnvaldi sem gaf út skírteinið þegar það hefur verið sótt af skírteinishafa og eigi síður en 90 dögum eftir útgáfu skírteinisins, sbr. 3. mgr. 10. gr. reglugerðarinnar. Þrátt fyrir að orðalag reglugerðarinnar girði ekki fyrir það að aðildarríki setji löggjöf um lengri varðveislutíma en 90 daga þarf rökstuðningur fyrir því að heimilt sé að varðveita lífkennaupplýsingar í tíu ár að vera þess eðlis að enginn vafi sé til staðar um tilgang varðveislunnar eða nauðsyn hennar.
Með vísan til framangreinds er það því mat Persónuverndar að rökstuðningur í frumvarpinu fyrir nauðsyn umrædds varðveislutíma sé ófullnægjandi og eru gerðar við það alvarlegar athugasemdir.
3.
Synjun útgáfu nafnskírteina
Í 1. mgr. 6. gr. frumvarpsins kemur fram að Þjóðskrá Íslands skuli synja um útgáfu nafnskírteinis, ef umsækjandi er eftirlýstur af lögreglu, gefin hefur verið út handtökuskipun á hendur honum eða lagt á hann farbann samkvæmt ákvæðum laga um meðferð sakamála. Í 2. mgr. 6. gr. frumvarpsins kemur fram að Þjóðskrá Íslands sé heimilt að afla upplýsinga skv. 1. mgr. frá lögreglu og öðrum stjórnvöldum.
Í greinargerð með frumvarpinu kemur fram að miðað sé við það að í framkvæmd geti Þjóðskrá Íslands gert vefkall í kerfi ríkislögreglustjóra og fengið jákvætt eða neikvætt svar við því hvort eitthvert skilyrða 1. mgr. 6. gr. frumvarpsins eigi við.
Það er mat Persónuverndar að enn sé óskýrt hvernig mat Þjóðskrár Íslands á því hvort kalla beri eftir upplýsingum frá ríkislögreglustjóra fari fram. Að mati Persónuverndar þarf að skýra betur hvort Þjóðskrá Íslands beri að kalla eftir upplýsingum frá ríkislögreglustjóra um alla umsækjendur um nafnskírteini eða einungis suma, og þá á grundvelli hvaða forsendna slík ákvörðun um upplýsingaöflun verði tekin. Þá er það mat Persónuverndar að einnig þurfi að tilgreina hvort og hve lengi Þjóðskrá Íslands muni varðveita persónuupplýsingar sem stofnunin aflar frá ríkislögreglustjóra.
__________________
Ekki eru að öðru leyti gerðar athugasemdir við efni frumvarpsins, en Persónuvernd áskilur sér rétt til að koma á framfæri frekari athugasemdum við þinglega meðferð málsins ef stofnunin telur þörf á. Verði frekari umsagnar óskað um einstök atriði verður hún fúslega veitt.
F.h. Persónuverndar,
Steinunn Birna Magnúsdóttir Ína Bzowska Grétarsdóttir