Ýmis bréf

Persónuvernd hefur svarað fyrirspurn frá Íslandsbanka um hvort honum sé heimilt að senda skattrannsóknarstjóra upptökur úr eftirlitsmyndavélum vegna rannsóknar máls. Í svari Persónuverndar er fjallað um heimild samkvæmt persónuverndarlögum og reglum um rafræna vöktun til að senda vöktunarefni til lögreglu. Vísað er til þess í því sambandi að skattrannsóknarstjóri er á meðal lögbærra yfirvalda samkvæmt lögum um vinnslu persónuupplýsinga í löggæslutilgangi og að rannsóknir hans eru sambærilegar lögreglurannsóknum. Með vísan til þess er talið að hann geti talist fyllilega sambærilegur lögreglu í tengslum við heimild til að fá afhent vöktunarefni. Af því megi jafnframt álykta að afhenda megi honum slíkt efni á grundvelli þeirra ákvæða laga og reglna sem hér á reynir.

Persónuvernd hefur veitt leiðbeinandi svar til barna- og menntamálaráðuneytisins, Miðstöðvar menntunar og skólaþjónustu og Advania Íslands um ábyrgð á vinnslu persónuupplýsinga í Innu, upplýsingakerfi fyrir framhaldsskóla. Tekið er fram að ráðuneytið sé ábyrgðaraðili kennslukerfis Innu hvað snertir miðlæga þætti en að einstakir framhaldsskólar beri ábyrgð á færslu upplýsinga í kerfið sem þeir taka ákvörðun um sjálfir. Miðstöð menntunar og skólaþjónustu er álitin ábyrgðaraðili innritunargáttar, en um svonefnt skólakerfi er niðurstaða um ábyrgð sú sama og hvað snertir kennslukerfið. Enn fremur teljast einstakir skólar vera ábyrgðaraðilar vinnslu í umsóknarkerfi vegna framhaldsnáms sem sótt er um eða greitt fyrir sérstaklega, auk þess sem Advania Ísland telst vera vinnsluaðili vegna allra kerfisþátta. Minnt er á skyldur hvað snertir samkomulag sameiginlegra ábyrgðaraðila og vinnslusamninga. Þá er svarleysi stjórnvalda á sviði menntamála átalið.

Í kjölfar nokkurra ábendinga hóf Persónuvernd frumkvæðisathugun á því hvort aðstæðum á bráðamóttökunni væri þannig háttað að öryggi persónuupplýsinga sjúklinga væri tryggt. Með hliðsjón af svörum bráðamóttökunnar þótti ekki tilefni til að halda athuguninni áfram að svo stöddu en það áréttað við Landspítalann að viðeigandi tæknilegar og skipulagslegar ráðstafanir á bráðamóttökunni, svo sem varðandi móttöku sjúklinga, aðgang að vaktherbergjum og fjarskiptaherbergjum og notkun skjáa, yrðu að taka mið af því að þar væri unnið með viðkvæmar persónuupplýsingar sjúklinga.

Þann 26. mars síðastliðinn barst Persónuvernd beiðni frá embætti landlæknis um fyrirframsamráð vegna uppfærslu smitrakningarforritsins Rakningar C-19 sem gefið hefur verið út fyrir farsíma. Með uppfærslunni er fyrirhugað að nýta Bluetooth-tækni í þágu rakningar Covid-19 smita í stað GPS-staðsetningarupplýsinga. Þann 14. apríl síðastliðinn veitti Persónuvernd embætti landlæknis ráðgjöf vegna þeirrar vinnslu persónuupplýsinga sem fyrirhuguð er með uppfærslunni. Stofnunin taldi hins vegar ekki ástæðu til að ætla að vinnslan, eins og henni var lýst erindi embættis landlæknis, myndi brjóta í bága í við ákvæði laga nr. 90/2018 eða reglugerðar (ESB) 2016/679. Sú afstaða væri þó háð því að embættið færi að þeim fyrirmælum sem stofnunin veitti, sem lutu meðal annars að því hvernig staðið yrði að fræðslu til notenda forritsins um vinnsluna.