Vinnsla persónuupplýsinga hjá stjórnvöldum

Á hvaða heimildum byggja stjórnvöld vinnslu persónuupplýsinga? 

Stjórnvöld þurfa eins og aðrir að hafa einhverja af þeim heimildum sem persónuverndarlög gera kröfu um til vinnslu persónuupplýsinga. Stjórnvald þarf ávallt að uppfylla eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018 fyrir vinnslu almennra persónuupplýsinga auk heimildar skv. 11. gr. sömu laga sé um að ræða viðkvæmar persónuupplýsingar. Þar að auki gilda ávallt meginreglur 8. gr. laganna um alla vinnslu persónuupplýsinga, m.a. að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða og þær séu nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.

Ólíklegt er að stjórnvöld geti byggt heimild til vinnslu persónuupplýsinga á samþykki þegar þau starfa innan valdheimilda sinna þar sem þar er til staðar valdaójafnvægi á milli ábyrgðaraðila og hins skráða. Þetta er einnig skýrt í tilvikum þegar hinn skráði á enga möguleika á að samþykkja skilmála ábyrgðaraðila. Auk þessa eru aðrar heimildir til vinnslu persónuupplýsinga betur til þess fallnar að heimila vinnslu persónuupplýsinga hjá stjórnvöldum. Þó er ekki þar með sagt að stjórnvöld geti aldrei unnið með persónuupplýsingar á grundvelli samþykkis hins skráða. 

Þær heimildir sem stjórnvöld byggja oftast sína vinnslu á eru annars vegar að vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á stjórnvaldinu og hins vegar að vinnslan sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem stjórnvaldið fer með. Þá koma aðrar heimildir einnig til greina eins og t.d. að vinnslan sé nauðsynleg til að efna samning sem hinn skráði er aðili að. 

Þá gera lögin einnig ráð fyrir því að ábyrgðaraðili, þ.e. hvert stjórnvald fyrir sig, gangi úr skugga um fullnægjandi heimildir standi til vinnslu persónuupplýsinga, 

Réttur til eyðingar persónuupplýsinga hjá stjórnvöldum (Rétturinn til að gleymast)

Rétturinn til eyðingar á almennt ekki við um vinnslu persónuupplýsinga hjá stjórnvöldum þar sem þau eru bundin að lögum að varðveita allar upplýsingar sem þeim berast. Í persónuverndarlögum er sérstaklega tekið fram að réttur til eyðingar eigi ekki við þegar lög mæla fyrir um að þau skuli varðveitt.