Ársskýrsla Persónuverndar 2002

Formáli forstjóra

Þegar ég settist niður í mars síðastliðnum til að setja á blað nokkur formálsorð í ársskýrslu þessa varð á vegi mínum Krían, þá nýútgefið fréttabréf Landverndar. Þar er m.a. viðtal við norska heimspekinginn Arne Næss, sem nýlega hlaut verðlaun Norðurlandaráðs fyrir framlag til náttúru- og umhverfisverndar. Svör hans endurspegla vel hve margt er skylt með verndun mannréttinda og náttúru. Spurningu um það hvort tæknin sé orsök ýmiss vanda í umhverfismálum svaraði hann á þessa leið:

„Það er í sjálfu sér ekkert slæmt við tæknina. En við veitum tækninni of mikla athygli og aðdáun, eins og hún væri skemmtilegt leikfang. Ég get svo sannarlega séð fyrir mér að tæknin komi til með að leysa fjölmörg af þeim vandamálum sem við blasa í dag. Við eigum að þróa tækni sem er í jafnvægi við þá ábyrgð sem við berum á plánetu okkar. Við verðum þess vegna að taka á tækninni af meiri alvöru en við gerum í dag. Tæknin verður að leika stærra hlutverk svo að við getum leyst umhverfisvandann, með hennar hjálp. Við þurfum að beita tækni sem veldur sem minnstri mögulegri eyðileggingu.“

Þegar ég las þetta skildi ég betur en fyrr orð þeirra sem líkt hafa stöðu þeirra sem berjast fyrir umhverfisvernd saman við aðstöðu okkar sem teljumst til varðmanna einkalífsréttarins. Við stöndum stöðugt frammi fyrir þeirri spurningu hvort upplýsingatæknin hafi þrengt svo að einkalífsréttinum að hann sé í raun að engu orðinn. Mín svör hafa ávallt verið þau að svo sé ekki. Tæknin er í sjálfu sér ekki hættuleg, hún getur þvert á móti reynst ómetanlegt hjálpartæki við verndun einkalífsréttarins, ef við berum gæfu til þess að setja okkur skýrar leikreglur um notkun hennar. En okkur nægir ekki að hafa reglur heldur verðum við að fylgja þeim alltaf - en ekki bara þegar okkur hentar.

Sagan sýnir okkur mörg dæmi þess að slíkum reglum hafi verið vikið til hliðar af geðþótta. Dæmi eru þess að langtímaárangri á sviði mannréttindabaráttu hafi verið varpað fyrir róða af skammsýnum eða harðráðum valdamönnum – með skelfilegum afleiðingum. Slíkt hefur oft haldist í hendur við öfgar í notkun persónuupplýsinga, s.s. þegar þær hafa verið notaðar til að flokka menn eftir uppruna, litarhætti, kynþætti, stjórnmála-, trúar- eða öðrum lífsskoðunum. Aldrei má gleyma þeim hræðilegu mannréttindabrotum sem framin voru á gyðingum á síðustu öld, og við það nýttar ítarlegar skrár um ættir þeirra og uppruna. Okkur er ekki síður í fersku minni sú öfgafulla söfnun persónuupplýsinga sem átti sér stað í Austur-Þýskalandi þar til járntjaldið féll. En þar var, í þágu eftirlits með borgurunum, gengið svo langt í söfnun persónuupplýsinga að daglegt líf manna varð næstum óbærilegt. Við höfum fjölmörg önnur dæmi – sum gömul, önnur ný.

Við erum minnt á eitt af eldri dæmunum í nýlegri bók, Stund þín á jörðu, eftir sænska höfundinn Vilhelm Moberg, sem þekktur er fyrir ritverk sín um Vesturfarana. Þar segist hann hafa, við athugun á því hvers vegna ein milljón Svía flutti til Ameríku á miðri 19. öld, komist að raun um að trúarofsóknir áttu þar stóran hlut að máli. Þúsundum sænskra ríkisborgara var beinlínis vísað úr landi af trúarástæðum, einkum fólki af sértrúarflokki svokallaðra „lesara“.

Eitt af yngri dæmunum tengist atburðum 11. september 2001, árásinni á Tvíburaturnana í New York og bandaríska varnarmálaráðuneytið í Washington. Í formála síðustu ársskýrslu vék ég að þeim, taldi þá gefa ástæðu til að óttast að vikið yrði frá leikreglunum, mannréttindum ýtt til hliðar. Og nú hafa okkur borist fregnir af því að í Bandaríkjunum sé verið að stórauka allt eftirlit með fólki, m.a. með auknum heimildum til hlerana og annars konar njósna. Þá er mér minnisstæð frétt frá því í byrjun ársins um að í Bandaríkjunum hafi útlendingar frá 25 löndum, fólk ættað frá múslimaríkjum og Norður-Kóreu, fengið fyrirmæli um að mæta til útlendingaeftirlitsins þar sem þeir verði ítarlega skráðir, teknar af þeim myndir og fingraför. Í ritstjórnargrein úr Morgunblaðinu frá því í janúar sl. var fjallað um þessar reglur. Þar segir m.a.:

„Þörfin fyrir að fylgjast betur með þeim, sem koma í heimsókn til annarra landa er skiljanleg á þeim tímum, sem við nú lifum en ekki má mikið út af bera til þess að framkvæmdin snúist upp í andhverfu sína.“

Undir þessi orð vil ég taka. Til þess eru vítin að varast þau. Umdeild var sú ákvörðun okkar Íslendinga að bregðast við komu Kínaforseta hingað til lands á síðasta sumri með því að útiloka að fjöldi fólks kæmist til landsins. Skýringin tengdist einkum ætluðum lífsskoðunum þeirra, vegna aðildar þeirra að samtökunum Falun Gong. Það er auðvelt að kynda undir fordómum sem oft spretta af litlu tilefni. Ég held að aldrei verði um of brýnt fyrir mönnum að varast fordóma, vera víðsýnir og sýna umburðarlyndi – einkum með því að virða mannréttindi, virða þau lífsgildi að hver manneskja sé frjáls að eigin lífi og eigin skoðunum. Verndun einkalífsréttarins er grundvallarforsenda slíks frelsis.

Mig langar að lokum að vitna í bókina „Veröld sem var“ eftir Stefan Zweig. Þar lýsir hann París, eins og hann minnist hennar, sem „vöggu frelsis og glaðværðar“. Hann lýsir frelsinu m.a. svo:

„Á Signubökkum voru allir eins og heima hjá sér, hvort heldur voru Kínverjar, Skandinavar, Spánverjar, Brasilíumenn, Grikkir eða Kanadamenn. Hér voru engar hömlur, allir máttu tala, hugsa, hlæja eða skammast eins og þeim sýndist. Hver gat lifað eftir eigin höfði, einn saman eða í félagsskap, við óhóf eða sparsemi, sem fursti eða flakkari. Allir máttu vera í friði með sérvisku sína og þjóðareinkenni.“

23. apríl 2003

Sigrún Jóhannesdóttir

EFNISYFIRLIT

1. Stofnunin Persónuvernd 5

1.1. Almennt um hlutverk stofnunarinnar 5

1.2. Um starfið á árinu 2002 6

1.3. Um stjórn og starfsfólk stofnunarinnar 2002 6

1.2. Um fjárreiður stofnunarinnar árið 2002 6

2. Afgreidd erindi á árinu 2002 8

2.1. Almennt yfirlit yfir afgreidd erindi á árinu 8

2.2. Einstakar afgreiðslur 8

2.2.1. Veitt starfsleyfi og annars konar leyfi 8

2.2.2. Einstakar heimildir til vinnslu persónuupplýsinga í tengslum við framkvæmd vísindarannsókna á heilbrigðissviði 8

3. Öryggisathuganir og úttektarverkefni 12

3.1. Greinargerð um úttektarverkefni 13

3.2. Greinargerð um gagnagrunn á heilbrigðissviði 13

4. Nánari umfjöllun um nokkur mál, einstaka úrskurði, álit og aðrar afgreiðslur 22

4.1. Samtenging tölvupóstnetfanga hjá netfyrirtæki 22

4.2. Kvörtun yfir birtingu og skráningu upplýsinga í skrám hjá Lánstrausti 25

4.3. Kvörtun vegna myndar af fyrrverandi starfsmanni varnarliðsins sem hékk uppi í varðstöðvum varnarliðsins í Keflavík 28

4.4. Álit Persónuverndar varðandi notkun á málaskrá lögreglunnar 29

4.5. Lögmæti skráninga agabrota í skólum 36

4.6. Álit Persónuverndar á birtingu sjónvarpsþáttar hjá RÚV 37

4.7. SPRON krafðist stöðvunar vinnslu BÍ með skrá stofnfjáreigenda í SPRON 42

4.8. Auglýsingar sendar í farsíma með SMS-skilaboðum frá AAM ehf. 50

4.9. Lögmæti aðgangs að sjúkraskrám vegna „afturskyggnrar vefjameinafræðilegrar athugunar, með klínísku ívafi“ 52

4.10. Ökusíritar í bifreiðum Landssíma Íslands hf. 56

4.11. Samkeyrsla RÚV á viðskiptamannaskrá sinni við þjóðskrá Hagstofu Íslands 61

4.12. Krafa stéttarfélaga um aðgang að læknisvottorðum sem gefin eru út vegna sjúkraþjálfunar 67

4.13. Kvörtun yfir Ráðgjafarstofu um fjármál heimilanna og Landsbanka Íslands 71

4.14. Heimild/skylda SÁÁ til að afhenda TR lista yfir þá sem dvalist hafa á Vogi 77

5. Erlent samstarf 83

5.1. Samstarf norrænna persónuverndarstofnana 83

5.2. Samstarf evrópskra persónuverndarstofnana 83

5.3. Alþjóðlegt samstarf persónuverndarstofnana 83

5.4. Samstarf á vettvangi Evrópuráðsins 83

5.5. Annað erlent samstarf vegna ýmissa sérverkefna eða einstakra mála 84

5.6. Nánari umfjöllun um einstaka þætti erlends samstarfs sem fjallað er um hér að framan 84

5.6.1. Um starf sameiginlegu Eurodac-eftirlitsnefndarinnar 84

5.6.2. Um starf vinnuhóps samkvæmt 29. gr. tilskipunar 95/46/EB 85

5.6.3. Um starf sameiginlegu Schengen-eftirlitsstofnunarinnar – JSA 88

5.6.4. Fundur forstjóra norrænna persónuverndarstofnana 90

5.6.5. Fundur starfsmanna evrópskra persónuverndarstofnana, þ.e. stofnana sem innleitt hafa tilskipun 95/46/EB 91

5.6.6. Fundur starfsmanna norrænna persónuverndarstofnana 91

6. Lög og reglur 93

6.1. Lög nr. 77/2000 eins og þau voru eftir þær breytingar sem gerðar voru á lögunum á árinu 2001, sbr. lög nr. 90/2001, og á árinu 2002, sbr. lög nr. 81 93

6.2. Um stjórnvaldsreglur 109

6.3. Verklagsreglur Persónuverndar um afgreiðslu umsókna um aðgang að sjúkraskrám vegna aftursýnna vísindarannsókna 110

6.4. Tilskipun Evrópuþingsins og ráðsins 95/46/EB frá 24. október 1995 114

7. Rekstrarreikningur 2002 137

1. Stofnunin Persónuvernd

1.1. Almennt um hlutverk stofnunarinnar

Persónuvernd er opinber stofnun sem annast eftirlit með framkvæmd laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga (hér eftir nefnd pul.), og reglna sem settar hafa verið og settar verða samkvæmt þeim. Markmið laga þessara er að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og að tryggja áreiðanleika og gæði slíkra upplýsinga og frjálst flæði þeirra á innri markaði Evrópska efnahagssvæðisins.

Í lögunum eru talin upp helstu verkefni Persónuverndar. Þau eru að afgreiða leyfisumsóknir, taka við tilkynningum og gefa fyrirmæli varðandi tækni, öryggi og skipulag vinnslu persónuupplýsinga. Enn fremur er Persónuvernd ætlað að hafa eftirlit með því að farið sé að lögum og öðrum reglum um vinnslu persónuupplýsinga, fylgjast með þróun á sviði persónuupplýsingaverndar, jafnt á erlendum vettvangi sem innlendum, aðstoða við gerð starfs- og siðareglna og leiðbeina þeim sem ráðgera að vinna með persónuupplýsingar um persónuvernd og þróa kerfi fyrir slíka vinnslu.

Persónuvernd úrskurðar í ágreiningsmálum sem upp koma um vinnslu persónuupplýsinga. Hún getur fjallað um einstök mál að eigin frumkvæði eða samkvæmt erindi þess sem telur að ekki hafi verið unnið með persónuupplýsingar um hann í samræmi við pul., reglur settar samkvæmt þeim eða einstök fyrirmæli. Persónuvernd getur tjáð sig um álitamál varðandi meðferð persónuupplýsinga og veitt umsagnir við setningu laga og reglna er þýðingu hafa fyrir einkalífsrétt manna. Ef kostnaður hlýst af eftirliti Persónuverndar með því að ábyrgðaraðili uppfylli skilyrði pul. og reglna sem settar eru samkvæmt þeim, eða ef kostnaður hlýst af úttekt á öryggi vinnslu persónuupplýsinga, getur Persónuvernd ákveðið að ábyrgðaraðili greiði þann kostnað.

Persónuvernd hefur í eftirlitsstörfum sínum án dómsúrskurðar aðgang að húsnæði þar sem vinnsla persónuupplýsinga fer fram eða gögn eru varðveitt. Hún getur óskað liðveislu lögreglu ef einhver leitast við að hindra hana í eftirlitsstörfum sínum. Stofnunin getur mælt fyrir um stöðvun vinnslu persónuupplýsinga, að persónuupplýsingar verði afmáðar eða skrám eytt, í heild eða að hluta, bannað frekari notkun upplýsinga eða lagt fyrir ábyrgðaraðila að viðhafa ráðstafanir sem tryggja lögmæti vinnslunnar.

Ef fram fer vinnsla persónuupplýsinga sem brýtur í bága við ákvæði laganna eða reglna settra samkvæmt þeim getur Persónuvernd falið lögreglustjóra að stöðva til bráðabirgða starfsemi viðkomandi og innsigla starfsstöð hans þegar í stað.

Persónuvernd getur mælt fyrir um stöðvun vinnslu persónuupplýsinga, bann við notkun þeirra, þ. á m. kennitölu, eyðingu þeirra og ráðstafanir sem tryggja lögmæti vinnslu þeirra. Hún getur ákveðið að leggja dagsektir á þann sem ekki sinnir fyrirmælum hennar.

Brot á ákvæðum pul. og reglugerða settra samkvæmt þeim varða fésektum eða fangelsi allt að þremur árum nema þyngri refsing liggi við samkvæmt öðrum lögum. Sama refsing liggur við ef ekki er farið að fyrirmælum Persónuverndar. Ef brot er framið í starfsemi lögaðila má gera lögaðilanum fésekt samkvæmt II. kafla A almennra hegningarlaga.

Persónuvernd hefur skrifstofu að Rauðarárstíg 10, 105 Reykjavík. Símanúmer er: 510 9600. Faxnúmer: 510 9606. Netfang: postur[hjá]personuvernd.is.

Á heimasíðu stofnunarinnar, www.personuvernd.is, er m.a. að finna lög nr. 77/2000, upplýsingar um Persónuvernd, tilkynningareyðublað sem senda má beint af heimasíðunni, reglur sem stofnunin hefur sett, auk ýmislegs er lýtur að starfsemi hennar.

1.2. Um starfið á árinu 2002

Skýrsla þessi, sem er birt samkvæmt 7. tl. 1. mgr. 37. gr. laga nr. 77/2000, er önnur skýrsla Persónuverndar frá því að hún tók til starfa þann 1. janúar 2001.

Meðal helstu verkefna á fyrsta starfsári Persónuverndar hafði verið að kynna hin nýju lög og að semja ýmsar almennar stjórnvaldsreglur. Þegar í upphafi var hins vegar að því stefnt að byrja, strax á öðru starfsári stofnunarinnar að uppfylla eftirlitshlutverk hennar samkvæmt 2. tl. 3. mgr. 37. gr. pul. Það felst einkum í því að gera athuganir á því að hvaða marki einstakir ábyrgðaraðilar vinna í samræmi við ákvæði settra laga og reglna. Mörgum slíkum verkefnum var hleypt af stokkunum á árinu 2002 og mun þeim flestum væntanlega ljúka á árinu 2003. Auk slíkra hefðbundinna úttekta var áfram unnið að úttekt á öryggi gagnagrunns á heilbrigðissviði, en nokkrar tafir höfðu orðið á því verki vegna óska rekstrarleyfishafa um breytingar á gildandi öryggisskilmálum fyrir gagnagrunninn. Kostnaður vegna aðkeyptrar sérfræðiráðgjafar í tengslum við gerð úttekta var eftir atvikum innheimtur hjá ábyrgðaraðilum, en eðli málsins samkvæmt er slíkur kostnaður mismikill þar sem hann er jafnan í réttu hlutfalli við umfang vinnslunnar og eðli þeirra upplýsinga sem unnið er með. Við gerð úttekta hefur Persónuvernd unnið í anda staðalsins ÍST BS 7799 um stjórnun upplýsingaöryggis og reglur nr. 299/2001. Almennt má segja að vinna Persónuverndar við gerð öryggisúttekta hafi leitt í ljós að víðast hvar er öryggi persónuupplýsinga nokkuð vel tryggt og að menn taka ábendingum vel. Það hefur verið okkur hvatning til þess að leggja aukna áherslu á leiðbeiningarhlutverk okkar, þ. á m. að veita ráð um leiðir til úrbóta við vinnubrögð og ráðstafanir að því er varðar tækni, öryggi og skipulag vinnslu persónuupplýsinga.

1.3. Um stjórn og starfsfólk á árinu 2002

Formaður stjórnar Persónuverndar var Páll Hreinsson, prófessor. Varaformaður var Valtýr Sigurðsson, héraðsdómari. Auk þeirra sátu í stjórn Haraldur Briem, sóttvarnalæknir, Guðbjörg Sigurðardóttir, deildarstjóri, sem sat til 5. mars þegar Óskar B. Hauksson tók við af henni, og Anna Soffía Hauksdóttir, prófessor, sem sat til 1. september þegar Dagný Halldórsdóttir, verkfræðingur, tók við af henni. Varamenn voru Erla S. Árnadóttir, lögfræðingur, Gunnar Thoroddsen, lögfræðingur, Vilhelmína Haraldsdóttir, læknir, og Eggert Ólafsson, verkfræðingur, frá 5. mars þegar hann tók við af Óskari B. Haukssyni, verkfræðingi. Stjórnin hélt 19 fundi á árinu.

Forstjóri stofnunarinnar var Sigrún Jóhannesdóttir. Aðrir fastir starfsmenn voru Hörður H. Helgason, yfirlögfræðingur, Margrét Steinarsdóttir, Elsa S. Þorkelsdóttir, Bjarni Eiríksson og Þórður Sveinsson, lögfræðingar og Erla Björgvinsdóttir, fjármála- og skrifstofustjóri.

1.4. Um fjárreiður stofnunarinnar á árinu 2002

Fjárveitingar í fjárlögum til Persónuverndar námu samtals 48,6 millj. kr. en engar breytingar urðu á fjárheimildum á árinu 2002. Rekstrargjöld að frádregnum sértekjum á árinu námu samtals 48,2 millj. kr. og urðu liðlega 407 þús. kr. lægri en ríkisframlag ársins eða 0,8%. Á árinu 2001 hafði hins vegar orðið 699 þús. kr. tekjuhalli.

Kostnaður vegna launa og launatengdra gjalda var kr. 34.836 millj., ferða- og dvalarkostnaður erlendis var kr. 3.057.462 og kostnaður vegna sérfræðiþjónustu var kr. 13.355.010. Stofnunin er í húsnæði í eigu Fasteigna ríkissjóðs, og voru leigugjöld kr. 1.712.228.

Gjöld Persónuverndar umfram sértekjur hækkuðu um tæplega 4 millj. kr. milli áranna 2001 og 2002. Tekjur lækkuðu vegna útboðs á sérfræðiþjónustu vegna gagnagrunns. Laun og launatengd gjöld hækkuðu um 8,5 millj. kr. eða 32% vegna fjölgunar starfsmanna milli áranna 2001 og 2002. Lækkun annarra rekstrargjalda og eignakaupa milli ára skýrist af því að árið 2001 var fyrsta starfsár Persónuverndar og nokkur kostnaður því samfara.

2. Afgreidd erindi á árinu 2002

2.1. Almennt yfirlit yfir afgreidd mál

Á árinu 2002 tók stofnunin alls 606 ný erindi til meðferðar. Auk þess tók hún við 572 tilkynningum. Óafgreidd erindi, sem stofnunin tók við frá fyrra ári, voru 23. Alls hafði hún því til meðferðar 1201 mál á árinu og afgreiddi þar af 1110 mál.

Eftirfarandi tafla sýnir tegundir mála:

Tegundir mála	Fjöldi
Frumkvæðismál	26
Fyrirspurnir/umsagnir/álit	224
Kvartanir/kærur/úrskurðir	59
Kynningar/ námskeið/fyrirlestrar	10
Mál vegna leyfisumsókna	75
Mál vegna tilkynninga	96
Smíði stjórnvaldsreglna	3
Úttektarverkefni	32
Erlent samstarf Tilkynningar	42 572
Annað	39

2.2. Einstakar afgreiðslur

2.2.1. Starfsleyfi og annars konar leyfi

2002/371 – Lánstraust hf. fékk leyfi til að annast söfnun og skráningu upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga, í því skyni að miðla þeim til annarra, sbr. 2. gr. reglugerðar nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, og 4. tl. 1. mgr. 7. gr. reglna Persónuverndar nr. 90/2001, um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga.

2002/29 - Lánstraust hf. fékk leyfi til að annast söfnun og skráningu upplýsinga sem varða fjárhagsmálefni og lánstraust lögaðila, í því skyni að miðla þeim til annarra skv. 2. gr. reglugerðar nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust.

2002/399 – Verðbréfaskráning Íslands fékk leyfi til að veita Seðlabanka Íslands upplýsingar til hagtölugerðar.

2.2.2. Einstakar heimildir til vinnslu persónuupplýsinga í tengslum við framkvæmd vísindarannsókna á heilbrigðissviði.

Í 37. gr. pul. eru talin upp helstu verkefni Persónuverndar, en eitt af þeim er að afgreiða leyfisumsóknir.

Öll vinnsla persónuupplýsinga verður nú að styðjast við einhverjar þeirra heimilda sem taldar eru upp í pul., sbr. 8. og eftir atvikum 9. gr. Meðal þessara heimilda má nefna að hinn skráði hafi sjálfur samþykkt vinnsluna eða að sérstök lagaheimild sé fyrir vinnslunni. Ekki er gert ráð fyrir að Persónuvernd meti vinnslu í hverju, einstöku tilviki til þess að skera úr um hvort heimildir séu fyrir henni. Slíkt mat liggur alla jafna hjá ábyrgðarmönnum upplýsinganna, þ.e. þeim sem búa yfir viðkomandi upplýsingum, en rísi ágreiningur milli aðila um vinnsluna verður sá ágreiningur borinn undir Persónuvernd. Teljist heimildir vera fyrir vinnslunni og samþykki ábyrgðaraðili upplýsinganna vinnsluna skal Persónuvernd send tilkynning um vinnsluna. Hér er ekki um að ræða umsókn um leyfi Persónuverndar heldur einungis tilkynningu um að vinnslan muni fara fram. Tilkynningin er send rafrænt beint af heimasíðu Persónuverndar personuvernd.is (smellið á „Tilkynningar“) og vistast sjálfkrafa í opinberri skrá á vefsíðunni sem almenningur getur skoðað og leitað í.

Feli vinnsla í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi manna getur Persónuvernd ákveðið að hún skuli vera leyfisskyld, sbr. 33. gr. pul. Það hefur hún gert með setningu reglna nr. 170/2001. Í 7. gr. þeirra eru tæmandi taldar þær tegundir vinnslu sem eru leyfisskyldar samkvæmt ákvæðinu. Þá getur vinnsla verið háð leyfi sé mælt sé fyrir um það í öðrum lögum, sbr. til dæmis ákvæði í lífsýnalögum nr. 110/2000 og í lögum um réttindi sjúklinga nr. 74/1997.

Umsókn um leyfi Persónuverndar þarf að vera ítarlega rökstudd. Í henni skal m.a. tilgreina sérstaklega á grundvelli hvaða leyfisskyldu hún byggi og hvernig öryggi persónuupplýsinganna verði tryggt. Þá skal rökstyðja sérstaklega hvers vegna nauðsynlegt sé að vinna með upplýsingarnar á persónugreinanlegu formi. Í því sambandi skal bent á að afhending og móttaka upplýsinga telst til vinnslu þeirra. Umsókn skal skilað á þar til gerðu umsóknareyðublaði sem finna má á vefsíðu stofnunarinnar, personuvernd.is .

Persónuvernd hefur sett sér sérstakar verklagsreglur um afgreiðslu umsókna um aðgang að sjúkraskrám vegna aftursýnna vísindarannsókna. Meginreglan er sú að þegar unnið er með persónuupplýsingar við vísindarannsóknir á heilbrigðissviði skal vinnsla upplýsinganna byggjast á samþykki þátttakenda í rannsókninni. Þessar verklagsreglur gilda um nokkrar undantekningar frá framangreindri meginreglu sem byggjast á 3. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga. Þær gilda einvörðungu um umsóknir lækna, annarra heilbrigðisstarfsmanna og háskólanema á sviði heilbrigðisfræða um leyfi til aðgangs að sjúkraskrám vegna aftursýnna vísindarannsókna og um afgreiðslu Persónuverndar á þeim umsóknum, en með aftursýnni vísindarannsókn er hér átt við rannsókn þar sem ekki er gert ráð fyrir virkri þátttöku sjúklings, s.s. með því að hann gefi upplýsingar eða láti lífsýni í té, heldur aðeins vinnslu upplýsinga úr fyrirliggjandi skrám og sjúkraskrám sem færðar hafa verið í samræmi við fyrirmæli 14. gr. laga nr. 74/1997 um réttindi sjúklinga. Þessar verklagsreglur gilda ekki um aðgang að lífsýnum í þágu vísindarannsókna á heilbrigðissviði. Þær eru birtar í heild í kafla 6.2.

Persónuvernd veitti eftirfarandi leyfi til vinnslu persónuupplýsinga í vísindarannsóknum á heilbrigðissviði á árinu 2002:

2002/220 – Albert Páll Sigurðsson, Andrew A. Hicks, Íslensk erfðagreining ehf. og Þórður Sigmundsson fengu leyfi vegna rannsóknar á erfðum fótaóeirðar.

2002/38 – Arthur Löve, Helga Ögmundsdóttir og Vilmundur Guðnason fengu leyfi vegna samnorrænnar rannsóknar á papillomaveirum og öðrum mælanlegum áhættuþáttum fyrir leghálskrabbameini og forstigum þess.

2002/275 – Arthur Löve, Már Kristinsson og Sigurður B. Þorsteinsson fengu leyfi vegna rannsóknar á samspili HIV og lifrarbólguveiru G í sjúkdómsmyndun.

2002/723 – Árni Kristinsson, Guðmundur Þorgeirsson og Íslensk erfðagreining ehf. fengu leyfi vegna rannsóknar á erfðum hjartabilunar.

2002/491 – AstraZeneca R&D Lund, c/o PharmaNor og Gunnur Petra Þórsdóttir fengu leyfi vegna samanburðarrannsóknar á virkni meðferðar við astma hjá sjúklingum sem höfðu fengið sterameðferð og voru annaðhvort fullorðnir eða á unglingsaldri þegar einungis var notað lyfið Symbicort Turbuhaler og þegar notuð voru hvoru tveggja lyfin Seretide Diskus og Ventoline.

2002/522 - Árni V. Þórsson, Einar Þór Hafberg, Ísleifur Ólafsson og Sigurður Þ. Guðmundsson fengu leyfi vegna rannsóknar á nýgengi, einkennum og faraldsfræði sjúkdóms sem hefur ómeðhöndlaður í för með sér lost og dauða fáum vikum eftir fæðingu og veldur afmyndun á kynfærum stúlkubarna (CAH). Rannsóknin var miðuð við 35 ára tímabil, þ.e. 1966–2001.

2002/278 – Ásgeir Haraldsson, Bjarni Agnarsson, Helgi Sigurðsson, Íslensk erfðagreining ehf., Jakob Jóhannsson, Jón Hrafnkelsson, Óskar Þór Jóhannsson og Rósa Barkardóttir fengu leyfi vegna rannsóknar á erfðum mismunandi næmis fyrir geislameðferð við brjóstakrabbameini.

2002/388 – Bjarni V. Agnarsson, Guðmundur Vikar Einarsson, Jóhannes Björnsson, Íslensk erfðagreining ehf., Jón Þór Bergþórsson, Kjartan Magnússon, Laufey Þóra Ásmundsdóttir, Rósa B. Barkardóttir og Tómas Guðbjartsson fengu leyfi vegna viðbótar við rannsókn á erfðum eistnakrabbameins.

2002/256 – Bjarni Þjóðleifsson, Urður Verðandi Skuld og Þorvaldur Jónsson fengu leyfi vegna rannsóknar á forstigsbreytingum magakrabbameins (ÍKV áfangi II).

2002/596 – Eli Lilly Danmark A/S og Gunnar Sigurðsson fengu leyfi vegna lyfjarannsóknar á áhrifum þriggja mismunandi meðferða hjá konum eftir tíðahvörf, þ.e. konum með alvarlega beinþynningu.

2002/539 – Felix Valsson fékk leyfi vegna rannsóknar á áhrifum kælingar á einkenni frá heila eftir hjartastopp.

2002/348 – Finnbogi Jakobsson, Haukur Hjaltason og Sigurlaug Sveinbjörnsdóttir fengu leyfi vegna rannsóknar á dystoniu á Íslandi.

2002/543 – Guðmundur Geirsson fékk leyfi vegna rannsóknar á góðkynja stækkun á hvekk.

2002/163 – Guðmundur Ingi Eyjólfsson, Urður Verðandi Skuld og Þorvaldur Jónsson, fengu leyfi vegna rannsóknar á hárfrumuhvítblæði (ÍKV áfangi I og II).

2002/438 – Guðrún Kristjánsdóttir fékk leyfi vegna rannsóknar „á gagnsemi þess að nota snuð eða sykurlausn til að draga úr verkjum nýbura (>2500 gr.)“.

2002/471 – Gunnar Guðmundsson og Íslensk erfðagreining ehf. fengu leyfi vegna rannsóknar á erfðum lungnatrefjunar.

2002/241 – Helga Ögmundsdóttir, Vilhelmína Haraldsdóttir og Vilmundur Guðnason fengu leyfi vegna rannsóknar á sjúkdómsmyndun mergfrumuæxla.

2002/395 – Helgi Laxdal fékk leyfi til samkeyrslu á félagaskrá Vélstjórafélags Íslands og skrá Lífeyrissjóðs sjómanna.

2002/369 – Hrafn Tulinius fékk leyfi vegna framhaldsrannsóknar sem fólst í því að flokka brjóstakrabbameinstilvik og blöðruhálskrabbameinstilvik eftir tegundum BRCA.

2002/166 – Íslensk erfðagreining ehf. og Tryggvi B. Stefánsson fengu leyfi til samkeyrslu vegna rannsóknar á ristilsarpa.

2002/439 – Jón Snædal fékk leyfi vegna rannsóknar á aðstæðum fjölskyldna sjúklinga sem fengið höfðu heilabilun innan við 65 ára aldur (presenile dementia=reskiglöp).

2002/85 – Kristján Steinsson fékk leyfi vegna rannsóknar á erfðaþáttum sjúkdómsins rauðir úlfar.

2002/81 – Ólafur Gísli Jónsson, Urður Verðandi Skuld og Þorvaldur Jónsson, fengu leyfi vegna rannsóknar á illkynja æxlum í börnum (ÍKV áfangi I).

2002/81 – Ólafur Gísli Jónsson, Urður Verðandi Skuld og Þorvaldur Jónsson, fengu leyfi vegna rannsóknar á tjáningu gena í illkynja æxlum í börnum (ÍKV áfangi II).

2002/540 – Pálmi V. Jónsson fékk leyfi til vinnslu persónuupplýsinga í tengslum við vistunarmat aldraðra í Reykjavík og á Akureyri.

2002/463 – Rósa Björk Barkardóttir o.fl. fengu leyfi til flutnings lífsýna úr landi vegna rannsóknar á erfðavísum tengdum brjóstakrabbameini.

2002/162 – Sigrún Reykdal, Urður Verðandi Skuld og Þorvaldur Jónsson, fengu leyfi vegna rannsóknar á bráðamergfrumuhvítblæði og bráðaeitilfrumuhvítblæði (ÍKV áfangi I og II).

2002/164 – Sigrún Reykdal, Urður Verðandi Skuld og Þorvaldur Jónsson, fengu leyfi vegna rannsóknar á mergrangvaxtarheilkennum (ÍKV áfangi I og II).

2002/555 – Sigurður Ólafsson fékk leyfi vegna rannsóknar á faraldsfræði lifrarbólgu B og C meðal innflytjenda á Íslandi.

2002/68 – Valgarður Egilsson fékk leyfi vegna rannsóknar á hugsanlegum þætti veira/vírusa í tilurð Paget´s sjúkdóms í brjósti.

2002/336 – Valgerður Sigurðardóttir fékk leyfi til þátttöku í þróun alþjóðlegs spurningalista um andlega líðan og félagslegan stuðning, sérstaklega til nota innan líknarmeðferðar.

3. Öryggisathuganir og úttektarverkefni

3.1. Greinargerð um úttektarverkefni stofnunarinnar

Meðal helstu verkefna á fyrsta starfsári Persónuverndar, 2001, var að kynna hin nýju lög og þær breytingar sem í þeim fólust og að semja ýmsar almennar stjórnvaldsreglur. Þegar í upphafi var hins vegar að því stefnt að stofnunin myndi á öðru starfsári sínu byrja að uppfylla eftirlitshlutverk sitt samkvæmt 2. tl. 3. mgr. 37. gr. pul., en það felst einkum í athugunum á því að hvaða marki einstakir ábyrgðaraðilar vinna í samræmi við ákvæði settra laga og reglna. Mörgum þeirra öryggisúttekta, sem hófust á síðasta ári, er nú lokið en öðrum ekki, m.a. úttektarverkefnum sem snúa að Heilbrigðisstofnun Austurlands, Heilsuvernd, Lyfjastofnun, Lyfjum og Heilsu hf. og Lyfju hf. Loks má geta þess að á árinu var áfram unnið að úttekt á öryggi gagnagrunns á heilbrigðissviði, en nokkrar tafir höfðu orðið vegna óska rekstrarleyfishafa um breytingar á gildandi öryggisskilmálum fyrir gagnagrunninn. Um þetta verkefni er fjallað nánar í kafla 3.2. hér að neðan.

Kostnaður vegna aðkeyptrar sérfræðiráðgjafar var eftir atvikum innheimtur hjá ábyrgðaraðilum, en eðli málsins samkvæmt er slíkur kostnaður mismikill þar sem hann er jafnan í réttu hlutfalli við umfang vinnslunnar og eðli þeirra upplýsinga sem unnið er með, sbr. að skv. 2. mgr. 11. gr. pul. skal beita ráðstöfunum sem tryggja nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra.

Í stuttu máli sagt eru úttektir framkvæmdar þannig að ábyrgðaraðili, sem stefnt er að gerð úttektar hjá, er beðinn um að senda Persónuvernd skrifleg gögn um fyrirkomulag öryggismála. Að gagnaöflun lokinni og rýni á þeim, auk þeirra viðbótargagna sem Persónuvernd kann að kalla eftir, er farið í vettvangsskoðun til að sannreyna efni þeirra gagna sem ábyrgðaraðili hefur lagt fram. Síðan er unnin skýrsla um niðurstöðu athugunarinnar og að því búnu er málinu formlega lokað með stjórnvaldsákvörðun. Þessi verkferill er í anda staðalsins ÍST BS 7799 um stjórnun upplýsingaöryggis og reglna nr. 299/2001.

Þegar byrjað var að framkvæma slíkar úttektir, sem að framan er lýst, kom í ljós að í vissum tilvikum gæti hentað að hafa annan hátt á. Var því ákveðið að framkvæma líka einfaldari athuganir hjá nokkrum ábyrgðaraðilum, bæði með umfangsmikla og umfangslitla vinnslu. Þetta hafði m.a. þann kost að með auknum fjölda fékkst betri yfirsýn yfir hvernig staðið er að málum við vinnslu persónuupplýsinga. Í tengslum við gerð þessara athugana var farið í allmargar heimsóknir til ábyrgðaraðila. Markmið þeirra var að upplýsa ábyrgðaraðila um efni gildandi réttar um meðferð persónuupplýsinga og skoða hvernig þeim væri fylgt hjá viðkomandi. Þá var markmið heimsóknanna að veita ráð um leiðir til úrbóta og mæla, eftir því sem þurfa þótti, fyrir um ráðstafanir að því er varðar tækni, öryggi og skipulag vinnslu persónuupplýsinga. Var ávallt tekið fram að ekki bæri að líta á þessar heimsóknir sem úttektir eða vottanir af hálfu Persónuverndar

Sem dæmi um aðila, þar sem slíkar athuganir fóru fram, má nefna: Tryggingastofnun, Félagsþjónustuna í Reykjavík, Liðsauka, ráðningarþjónustu, Myndbandaleiguna Ríkið, Ferðaskrifstofuna Úrval-Útsýn, Barnaverndarstofu, Lífeyrissjóð starfsmanna ríkisins, Umferðarstofu, Vegagerðina, Myndmark, samtök myndbandaleiga, Borgarbókasafn Reykjavíkur, Hjúkrunarheimilið Skjól, Snyrtistofuna Dekurhornið, Tannlæknastofuna Valhöll, Félagsþjónustuna í Kópavogi, Valhúsaskóla, Háteigsskóla, Bifreiðastjórafélagið Frama og Ríkislögreglustjóra (vegna slysaskrár). Þá var skoðað húsnæði og aðstaða vegna öldrunarrannsóknar að Öldugötu í Reykjavík.

Ofangreindar athuganir leiddu í ljós að víðast hvar er öryggi persónuupplýsinga nokkuð tryggt og ágætlega fyrirkomið, þótt víða megi gera enn betur.

3.2. Greinargerð um gagnagrunn á heilbrigðissviði

3.2.1. Inngangur

Hér á eftir er lýst ferli gagnagrunnsmálsins. Er einkum lýst málsmeðferð við gerð skjalsins Security Target for an Icelandic Health Database (oft skammstafað ST), sem unnið var í samvinnu Persónuverndar (áður tölvunefndar) og hins breska ráðgjafarfyrirtækis CMG UK Lmt. (áður Admiral Ltd.). Íslensk erfðagreining ehf. hefur tekið virkan þátt í samningu skjalsins og gert tillögur að breytingum á því sem margar hafa verið samþykktar. Security Target er hluti af skipulags-, tækni- og öryggisskilmálum Persónuverndar sem samanstanda einkum af skjali, sem nefnt er almennir öryggisskilmálar (frá 19. janúar 2000), og Security Target (fyrsta útgáfa þess skjals, útgáfa 1.0, er frá 5. janúar 2000, en síðan hafa komið út fjórar nýjar útgáfur). Síðarnefnda skjalið er mun ítarlegra og við úttekt Persónuverndar á öryggi gagnagrunns á heilbrigðissviði er kannað hvort kröfum þess sé fullnægt. Þau skjöl, sem hér hafa verið nefnd, eru aðgengileg á heimasíðu Persónuverndar, personuvernd.is. Einnig er aðgengilegt skjalið Approval Process Methodology (frá janúar 2000) þar sem lýst er aðferðafræðinni við úttekt á öryggi gagnagrunnsins. Er það einnig hluti af skipulags-, tækni- og öryggisskilmálum Persónuverndar sem aftur eru hluti af rekstrarleyfi heilbrigðis- og tryggingamálaráðuneytisins til Íslenskrar erfðagreiningar ehf. frá 22. janúar 2000. Þar sem rætt er um öryggisskilmála hér á eftir er hins vegar ávallt átt við Security Target.

3.2.2. Ferli málsins þar til ÍE kynnti hugmynd sína um internetaðgang að gagnagrunninum, í febrúar 2002

Tölvunefnd fékk í upphafi það lögboðna hlutverk að setja tækni-, öryggis- og skipulagsskilmála fyrir gerð og starfrækslu gagnagrunns á heilbrigðissviði (GGH). Gerði tölvunefnd samninga við tvö fyrirtæki um sérfræðilega ráðgjöf við gerð fyrrnefndra skilmála, annars vegar við Verk- og kerfisfræðistofuna hf. og hins vegar við Admiral Management Services Limited, Camberley, Englandi. Öryggisskilmálar tölvunefndar, útgáfa 1.0, voru gefnir út hinn 5. janúar 2000 og urðu hluti af rekstrarleyfi heilbrigðis- og tryggingamálaráðuneytisins (htr.) til Íslenskrar erfðagreiningar ehf. (ÍE) sem gefið var út hinn 22. s.m.

Öryggisskilmálunum var breytt í þrígang á árinu 2000. Hinn 22. júní 2000 var útgáfa 1.1 gefin út, hinn 8. september útgáfa 1.2 og hinn 16. október útgáfa 1.3. Útgáfa 1.1 var gerð vegna tillagna Admiral um ýmsar breytingar sem ætlað var að eyða innbyrðis ósamræmi og bæta öryggi. Útgáfa 1.2 var gerð vegna tillagna ÍE og Admiral. Í bréfi ÍE, dags. 11. júlí 2000, kom fram að fyrirtækið væri sátt við þær breytingar sem gerðar hefðu verið á öryggisskilmálunum en teldi þó að nokkrum atriðum yrði að breyta. Var þá gefin út útgáfa 1.2. Ákvæði um að öllum upplýsingum um þá sem segðu sig úr GGH yrði eytt úr honum var breytt í þeirri útgáfu. Í staðinn var aðeins kveðið á um að frekari upplýsingar um þá skyldu ekki fluttar í GGH. Einnig var, meðal annars, breytt ákvæði um að þeir sem undirbyggju flutning sjúkragagna í GGH mættu ekki hafa aðgang að bæði persónuauðkennum og sjúkragögnum einstaklinga. Ástæða þótti til að breyta því þar sem persónuauðkenni og sjúkragögn eru ekki aðgreind inni á sjúkrahúsunum. Báðar þær breytingar, sem hér voru nefndar, voru gerðar að tillögu ÍE. Þær breytingar, sem gerðar voru með útgáfu 1.3, voru hins vegar flestar gerðar að tillögu tölvunefndar. Var þá meðal annars breytt skilgreiningu öryggisskilmálanna á GGH þannig að hún samrýmdist skilgreiningu laga nr. 139/1998. Þær breytingar, sem tölvunefnd lagði til, voru allar á ákvæðum sem verið höfðu óbreytt frá útgáfu 1.0 og var því ekki haggað við þeim breytingum sem gerðar voru með útgáfum 1.1 og 1.2.

Í ágúst 2000 var, af hálfu ÍE, lagt til að smíðaður yrði „tilraunagagnagrunnur“, svonefnt Aleph-kerfi, en að fengnum nánari upplýsingum í september og október og umsögn Admiral Ltd. Var horfið frá því.

Meðan á breytingum á öryggisskilmálunum stóð hófst eiginleg öryggisúttekt. Upphafsfundur við úttektina var haldinn hinn 27. apríl 2000. Þessari úttekt lauk aldrei vegna þess að þau gögn, sem fyrirhugað var að ÍE afhenti vegna úttektarinnar, bárust ekki.

Í nóvember 2000 kynnti ÍE hugmynd um beinlínutengingu við gagnagrunninn í gegnum símalínu. Fól þessi hugmynd í sér að þeir sem sendu GGH fyrirspurnir þyrftu ekki að vera tilteknir starfsmenn ÍE. Þá skyldi fella brott ákvæði um að aðgang mætti einungis veita um fyrirfram ákveðnar tölvur í öruggu rými í húsnæði fyrirtækisins. Þess í stað myndu viðskiptavinir ÍE senda fyrirspurnir milliliðalaust til fyrirtækisins í gegnum símalínu.

Á fundi hinn 23. nóvember 2000 var þetta rætt og kom þar fram sú afstaða Persónuverndar að jafn viðamikil breyting sem þessi myndi taka töluverðan tíma. Hafa þyrfti samráð við erlenda ráðgjafa um breytinguna. Þessu var mótmælt af hálfu ÍE. Þegar tölvunefnd var lögð niður í lok ársins 2000 hafði hún ekki komist að endanlegri niðurstöðu um það hvort beinlínutengja mætti GGH.

Hinn 1. janúar 2001 tók Persónuvernd til starfa og tók við verkefnum frá tölvunefnd, þ. á m. varðandi GGH. Hinn 31. s.m. var gefin út útgáfa 1.4 af öryggisskilmálunum. Breytingin frá útgáfu 1.3 var einkum sú að því var lýst með ítarlegri hætti hvernig nota skyldi GGH og koma gögnum þaðan til viðskiptavina. Þá voru ákvæði um varnir gegn því að hægt væri að persónugreina upplýsingar hertar umtalsvert.

Í febrúar og mars 2001 vann Persónuvernd, í samvinnu við Ríkiskaup, að undirbúningi opinbers útboðs á sérfræðiaðstoð fyrir stofnunina vegna fyrirhugaðrar, nýrrar úttektar á GGH. Lýsti ÍE sig sammála útboðslýsingu sem byggð var á öryggisskilmálum Persónuverndar (áður tölvunefndar), útgáfu 1.4. Ákveðið var að leggja þá skilmála til grundvallar.

Hinn 19. apríl 2001 birti Ríkiskaup auglýsingu um útboð á úttektarvinnu fyrir hönd Persónuverndar. Þá hófst formlegur útboðsferill. Voru frestir veittir, tilboð metin og gengið til samninga við CMG UK Ltd. (áður „Admiral Ltd.“).

Hinn 11. júní 2001 var enn haldinn upphafsfundur úttektar, en nú á grundvelli nýrra öryggisskilmála. Var hann haldinn á skrifstofu Persónuverndar undir fundarstjórn fulltrúa CMG. Var ákveðið að úttektin ætti að taka mið af staðlinum ISO 15408 og fara þannig fram að ÍE myndi afhenda gögn til úttektar Persónuverndar og CMG eftir tímaáætlun sem ákveðin hafði verið af ÍE og lögð fram á fundinum. Þar var gert ráð fyrir því að ÍE myndi ljúka afhendingu allra gagna til úttektar fyrir árslok 2001. Á þessa úttektaráætlun ÍE var fallist af hálfu Persónuverndar.

Á tímabilinu júní–nóvember 2001 afhenti ÍE gögn í samræmi við fyrrnefnda tímaáætlun. Litlar sem engar athugasemdir voru gerðar af hálfu Persónuverndar og CMG. Í ágúst og september skoðuðu fulltrúar Persónuverndar og CMG síðan aðstæður þar sem smíði GGH átti að fara fram. Þá prófaði CMG öryggi hönnunarumhverfisins.

Persónuvernd barst síðan, með bréfi ÍE, dags. 10. desember 2001, enn ósk um að gerðar yrðu breytingar á öryggisskilmálunum. Var nú farið fram á fimm breytingar. Persónuvernd gerði ÍE grein fyrir niðurstöðum sínum með bréfi, dags. 31. janúar 2002. Var þá orðið ljóst að tímaáætlun ÍE myndi ekki standast, enda enn ekki búið að afhenda töluverðan hluta af af þeim gögnum til úttektar sem fyrirhugað hafði verið að afhenda fyrir árslok.

Persónuvernd féllst á allar tillögur ÍE nema þá að fella út ákvæði um að fyrir hvern notanda skuli skilgreina leyfilegan innskráningartíma, leyfilega staðsetningu og leyfilegan athafnaleysistíma. Rétt er að taka fram að hér var ekki fjallað um hvort notendur kerfisins mættu vera erlendis eða utan nánar tiltekinna staða þar sem fyrirspurnir skyldu sendar inn í gagnagrunninn og fengnar úr honum. Persónuvernd leit svo á að átt væri við að allir notendur, þ.e. þeir sem samkvæmt öryggisskilmálunum hefðu aðgang að kerfinu (starfsmenn ÍE), hefðu sams konar aðgang að því hvað varðar þá þætti sem hér voru nefndir, m.a. staðsetningu.

Í samræmi við framangreindar niðurstöður voru útbúin af hálfu Persónuverndar fyrstu drög að nýrri útgáfu öryggisskilmálanna, útgáfu 1.5a. Var eintak af þeirri útgáfu sent ÍE og fyrirtækinu gefinn kostur á að tjá sig um hana.

3.2.3. Ferli málsins frá því að ÍE kynnti hugmynd sína um internetaðgang að gagnagrunninum (í febrúar 2002) og þar til Persónuvernd fékk svar heilbrigðis- og tryggingamálaráðuneytisins um lögmæti þess að veita slíkan aðgang að grunninum (í ágúst 2002)

Í febrúar 2002 gerði ÍE Persónuvernd grein fyrir því að fyrirtækið hefði hug á að hverfa frá fyrri áætlunum sínum um hönnun GGH og óskaði eftir að sýna fulltrúum stofnunarinnar og CMG hugmynd að nýrri hönnun. Persónuvernd kallaði ráðgjafa sína (frá CMG) til landsins og var kynning á hugmynd ÍE haldin í húsnæði ÍE hinn 28. febrúar 2002. Samkvæmt tillögunni áttu viðskiptavinir ÍE að geta sent fyrirspurnir sínar milliliðalaust á internetinu og tekið milliliðalaust við svörum frá fyrirspurnarlaginu. Á móti kæmi að úr gagnagrunninum yrðu veittar mun takmarkaðri upplýsingar heldur en gildandi skilmálar gerðu ráð fyrir. Hinn 7. mars 2002 lagði ÍE fram nýja afhendingaráætlun í stað fyrri áætlunar þar sem gert hafði verið ráð fyrir því að afhenda Persónuvernd gögn til úttektar fyrir árslok 2000. Í þessari nýju áætlun var gert ráð fyrir að afhendingu myndi ljúka fyrir 15. maí 2002, en úr því varð ekki. Með bréfi, dags. 13. mars 2002, barst Persónuvernd síðan bréfleg ósk ÍE um að sá búnaður, sem hafði verið kynntur á fundinum, yrði lagður til grundvallar í úttekt Persónverndar á öryggi gagnagrunnsins.

Áður en Persónuvernd tók afstöðu til þess hvort tæknilega væri hægt að tryggja öryggi GGH samkvæmt þessari breytingartillögu var talið nauðsynlegt að fá afstöðu heilbrigðis- og tryggingamálaráðherra til þess lagalega álitaefnis hvort þessi breyting færi í bága við rekstrarleyfi það sem ráðherra hafði gefið út fyrirtækinu til handa. Gert hafði verið ráð fyrir nettengingu gagnagrunnsins í frumvarpi því sem fyrst var lagt fyrir Alþingi. Í frumvarpi því sem lagt var fram á næsta löggjafarþingi og varð að lögum hafði hins vegar verið horfið frá því að mæla fyrir um heimild til nettengingar vegna þeirrar gagnrýni sem komið hafði fram á frumvarpið. Var því álitamál að mati Persónuverndar hvort nettenging gagnagrunnsins gæti rúmast innan rekstrarleyfisins í ljósi tilurðar laganna. Auk þess var álitamál hvort nettenging færi í bága við 5. mgr. 10. gr. laga nr. 139/1998 um GGH þar sem kveðið er á um að úrvinnsla úr gagnagrunninnum megi einungis fara fram hér á landi. Hinn 22. mars 2002 sendi Persónuvernd htr. bréf og óskaði m.a. afstöðu ráðuneytisins til framangreindra álitaefna.

Með bréfi, dags. 22. apríl 2002, ítrekaði Persónuvernd ósk sína um svör htr. og rökstuddi að æskilegt væri að ekki yrðu frekari tafir á málinu, en svör htr. væru forsendur þess að Persónuvernd gæti unnið frekar að úttekt sinni á GGH.

Hinn 15. maí 2002 barst Persónuvernd bréf htr. þar sem ráðuneytið lýsti því að það teldi það ekki vera sitt hlutverk að meta hvort breytingin bryti í bága við lög nr. 139/1998. Þá sagði ráðuneytið sig vanta skýringar á því hvað átt væri við með því að GGH yrði „nettengdur“.

Í tilefni af fyrrgreindum orðum í bréfi htr. benti Persónuvernd ráðuneytinu, með bréfi, dags. 22. maí 2002, á að stofnunin óskaði ekki tæknilegrar afstöðu ráðuneytisins til atriða er lytu að öryggi persónuupplýsinga í GGH heldur þyrfti hún aðeins að fá svör um lögmæti nettengingarinnar, þ. á m. hvort slík tenging væri í samræmi við það starfsleyfi sem htr. hafði veitt ÍE.

Var erindi Persónuverndar til htr. enn ítrekað með bréfum, dags. 24. júní og 12. ágúst 2002. Hafði það þá verið ítrekað alls fjórum sinnum.

3.2.4. Ferli málsins frá því að Persónvernd fékk svar heilbrigðis- og tryggingamálaráðuneytisins um það hvort ÍE væri heimilt að veita internetaðgang að gagnagrunninum (í ágúst 2002) og þar til Persónuvernd fékk lýsingu ÍE á hugbúnaðarlausn fyrir nýjustu hugmynd sína að hönnun gagnagrunnsins (í nóvember 2002)

Með bréfi, dags. 22. ágúst 2002, svaraði htr. bréfum Persónuverndar, dags. 22. mars, 22. apríl, 22. maí, 24. júní og 12. ágúst s.á.

Í bréfi htr. segir meðal annars:

„Eins og fram kemur í greinargerð með frumvarpi því sem varð að lögum nr. 139/1998 um gagnagrunn á heilbrigðissviði voru gerðar miklar breytingar frá fyrra frumvarpi…Ein af þeim breytingum var að ákvæði um beinlínutengingu var fellt brott, en inn kom svohljóðandi ákvæði: „Rekstrarleyfishafa skal heimil vinnsla í gagnagrunni á heilbrigðissviði úr þeim heilsufarsupplýsingum sem þar eru skráðar, enda sé þess gætt við úrvinnslu og samtengingu upplýsinga að ekki sé unnt að tengja þær persónugreinanlegum einstaklingum.“ (1. málsl. 2. mgr. 10. gr.)

Ráðuneytið telur ekki unnt að draga þá ályktun af þessari breytingu að beinlínutengingu hafi verið hafnað. Ef löggjafinn hefði viljað banna beinlínutengingu hefði hann væntanlega gert það. Eðlilegra er því að líta svo á að löggjafinn hafi ekki viljað binda í lög hvort beinlínutenging eða nettenging væri heimil heldur ætti tæknileg útfærsla gagnagrunnsins að miða við að hægt væri að tryggja öryggi upplýsinganna. Ráðuneytið telur því að heimild rekstrarleyfishafa til vinnslu úr gagnagrunninum sé háð mati Persónuverndar á því hvort þær aðferðir sem notaðar eru uppfylli skilyrði 1. málsl. 2. mgr. 10. gr. laganna um að þess sé gætt við úrvinnslu að ekki sé unnt að tengja upplýsingarnar persónugreinanlegum einstaklingum.“

Einnig segir í bréfinu:

„Fjallað er um úrvinnslu samkvæmt lögunum [í bréfi Persónuverndar til ráðuneytisins, dags. 24. júní 2002] og segir m.a. um það að ljóst virðist: „að fyrirmæli 5. mgr. 10. gr. laga nr. 139/1998 um gagnagrunn á heilbrigðissviði um að úrvinnsla úr gagnagrunninum megi einungis fara fram hér á landi þýði að þær vinnsluaðferðir, sem felldar verða undir hugtakið "úrvinnsla" séu þá óheimilar ef þeim er stjórnað úr öðru landi.“

…
Ráðuneytið bendir…á að í athugasemdum við 3. mgr. 10. gr. í greinargerð með frumvarpi því sem varð að lögum nr. 139/1998 segir m.a.: „Einungis er heimilt að svara spurningum en ekki væri t.d. heimilt að veita beinan aðgang að frumgögnum í gagnagrunninum eða afriti af þeim.“ Ávallt hefur því verið gert ráð fyrir að aðilar utan fyrirtækisins, erlendis sem hér á landi, gætu sent fyrirspurnir í gagnagrunninn og fengið svör við þeim, með þeim skilyrðum sem sett eru í lögunum. Í lögunum, reglugerð eða rekstrarleyfi er ekki tekin afstaða til aðferða við sendingu fyrirspurna og móttöku svara. Ráðuneytið er ekki sammála þeirri túlkun Persónuverndar að það að senda fyrirspurnir með rafrænum hætti beint í fyrirspurnarlag gagnagrunnsins og taka við svörum með sama hætti sé úrvinnsla í skilningi laga um gagnagrunn.“

Þá segir í bréfinu:

„Í bréfi sínu vitnar Persónuvernd í ákvæði 1. mgr. 13. gr. reglugerðar um gagnagrunn á heilbrigðissviði þar sem segir „óheimilt er að veita beinan aðgang að gagnagrunni á heilbrigðissviði“ og 3. mgr. 10. gr. laganna þar sem segir „óheimilt er að veita beinan aðgang að gögnum í gagnagrunninum“.

Eins og áður greinir hefur ávallt verið gert ráð fyrir að aðilar utan fyrirtækisins gætu sent fyrirspurnir í gagnagrunninn og fengið svör við þeim, með þeim skilyrðum sem sett eru í lögunum. Þar er ekki tekin afstaða til aðferða við sendingu fyrirspurna og móttöku svara. Ráðuneytið telur því að það að fyrirspurnir séu sendar með rafrænum hætti beint í fyrirspurnarlag og svörin fengin milliliðalaust brjóti ekki í bága við 1. mgr. 13. gr. reglugerðarinnar. Hins vegar sé heimild til slíks háð mati Persónuverndar á því hvort unnt sé að tryggja öryggi gagnagrunnsins, sbr. ákvæði 2. mgr. 10. gr.“

Í framhaldi af niðurstöðu ráðuneytisins ritaði Persónuvernd bréf til ÍE, dags. 2. september 2002, og kallaði eftir nákvæmum tillögum fyrirtækisins um breytingar á öryggisskilmálum GGH sem það teldi endurspegla með fullnægjandi hætti þá breyttu hönnun á gagnagrunninum sem lýst var í erindi þess, dags. 13. mars 2002. Umbeðnar upplýsingar bárust ekki frá ÍE.

Hinn 14. október 2002 ritaði ÍE hins vegar bréf og spurði hvort það kerfi, sem kynnt var fyrst hinn 28. febrúar 2002 og lýst nánar með formlegu bréfi hinn 13. mars 2002, fullnægði kröfum Persónuverndar. Í bréfi Persónuverndar til ÍE, dags. 17. október 2002, var á það bent að áður en hún gæti svarað þessum spurningum þyrfti hún á viðbótarupplýsingum að halda og lagði til að haldinn yrði fundur um málið.

Á fundinum, sem haldinn var hinn 24. október 2002 í húsakynnum ÍE að Sturlugötu 8, kom fram að fyrirtækið óskaði eftir að fá upplýsingar um hvort Persónuvernd teldi tillögu að hinni nýju hönnun GGH úttektarbæra. Töldu fyrirsvarsmenn fyrirtækisins nauðsynlegt að fá svör við eftirfarandi spurningum áður en lengra yrði haldið með vinnu að gerð gagnagrunnsins:

Er heimilt að afhenda viðskiptavinum ÍE þær upplýsingar sem gert er ráð fyrir að hægt verði að veita samkvæmt hinni nýju hönnun á upplýsingakerfinu? Með þessari spurningu kom fram að óskað væri „prinsippsvara“ við því hvort hin nýja hönnun gagnagrunnsins bryti í bága við ákvæði 2. mgr. 10. gr. laga nr. 139/1998 um GGH, en þar kemur fram að þess skuli gætt við úrvinnslu og samtengingu upplýsinga að ekki sé unnt að tengja þær persónugreinanlegum einstaklingum.
Fullnægir það vinnuferli og verklag, sem ÍE leggur til að notað verði við að tryggja persónuvernd við samtengingu upplýsinga úr GGH, ættfræðigagnagrunni og erfðafræðigagnagrunni, skilyrðum Persónuverndar?

Af hálfu fyrirsvarsmanna ÍE var lögð áhersla á að ekki væri verið að biðja um afstöðu til öryggis upplýsinga miðað við þessar tillögur heldur „prinsippafstöðu“ Persónuverndar til þess hvort þær féllu innan lagarammans að því leyti sem það heyrir undir stofnunina að skera úr því álitaefni. Af hálfu Persónuverndar var á það bent að ekkert stæði því í vegi að vinna áfram að öryggismálum GGH á meðan unnið væri að því að svara spurningum fyrirtækisins. Af hálfu ÍE kom hins vegar fram að fyrirtækið teldi ekki rétt að halda áfram vinnu að öryggismálunum fyrr en svör hefðu fengjust við framangreindum spurningum.

Á fundinum benti formaður stjórnar Persónuverndar á að tímafrekasti þátturinn í því að svara fyrirspurnum ÍE væri að fara yfir þau gögn sem fram hefðu verið lögð og afla viðbótarupplýsinga frá fyrirtækinu um hina nýju hönnun. Þegar allra nauðsynlegra gagna hefði verið aflað og staðreyndir málsins þannig kannaðar yrði spurningum fyrirtækisins svarað.

Í kjölfar fundarins sendi Persónuvernd ÍE bréf, dags. 30. október 2002, þar sem tekið var fram að stofnunin teldi einvörðungu vera óskað svara hennar við ofangreindum „prinsippspurningum“ um það hvort hin nýja hönnun félli innan ramma laganna, að því leyti sem htr. hefði ekki þegar tekið afstöðu til þess, og hvort á þessu stigi væri eitthvað sem mælti því í mót að fallist yrði á það vinnuferli og verklag við samtengingu gagnagrunnanna sem ÍE hefði lagt til.

Tekið var fram að þau svör Persónuverndar, sem veitt yrðu á þessu stigi málsins, yrðu í eðli sínu forákvarðanir þar sem ekki væri hægt að svara spurningum ÍE endanlega fyrr en endanleg hönnun og endanlegir öryggisskilmálar lægju fyrir og öryggisúttekt hefði farið fram á GGH. Á hinn bóginn féllst Persónuvernd á að veita svör við þessum spurningum að svo miklu leyti sem hægt væri á grundvelli þeirra gagna og tillagna sem fyrir lægju. Hefði verið ákveðið að fela Daða Erni Jónssyni, tæknilegum ráðgjafa stofnunarinnar, að taka saman skýrslu um allar nauðsynlegar upplýsingar sem þyrfti svo að hægt væri að svara spurningunum og var óskað eftir því að ÍE aðstoðaði Daða við samantektina og veitti honum allar nauðsynlegar upplýsingar um hina nýju hönnun GGH sem Persónuvernd teldi þörf á.

Til viðbótar við þau gögn, sem ÍE hafði þegar lagt fram, fór fram sérstök upplýsingaöflun vegna samantektar á skýrslunni. Daði Örn Jónsson sat fimm fundi með fulltrúum ÍE, eða dagana 7., 9., 11., 13. og 15. nóvember 2002, í þeim tilgangi að fá fyllri upplýsingar en fyrir lágu. Einnig var á fundunum fjallað um þær breytingar sem orðið höfðu á tillögum ÍE frá því þær voru fyrst kynntar. Daði skilaði Persónuvernd síðan drögum að skýrslunni hinn 19. nóvember 2002 og voru þau kynnt ÍE sama dag. Þá bárust einnig svör ÍE þar sem fyrirtækið lýsti því yfir að það hefði ekki efnislegar athugasemdir við skýrsluna. Tekið var tillit til tillagna fyrirtækisins að skýrara orðalagi á nokkrum stöðum í skýrslunni.

Hinn 20. nóvember var haldinn fundur í húsakynnum ÍE þar sem notendaviðmót hins nýja hugbúnaðar fyrirspurnarkerfisins var nánar kynnt fyrir Persónuvernd. Í framhaldi af því sendi Persónuvernd bréf til ÍE, dags. 22. nóvember 2002. Þar segir m.a.:

„Þær spurningar sem Íslensk erfðagreining hefur lagt fyrir Persónuvernd lúta að tveimur þáttum:

Fyrri spurningin lýtur að því hvort Íslenskri erfðagreiningu sé heimilt að afhenda viðskiptavinum sínum þær upplýsingar sem gert er ráð fyrir að veita skv. hinni nýju hönnun. Með þessari spurningu er óskað eftir afstöðu Persónuverndar til þess hvort hönnunin brjóti í bága við ákvæði 1. málsl. 2. mgr. 10. gr. laga nr. 139/1998 um gagnagrunn á heilbrigðissviði, en þar kemur fram að þess skuli gætt við úrvinnslu og samtengingu upplýsinga að ekki sé unnt að tengja þær persónugreinanlegum einstaklingum. Eftir að hafa farið yfir skýrslu Daða Arnar Jónssonar frá 19. nóvember 2002, um þær upplýsingar sem ætlunin er að afhenda viðskiptavinum, er það mat Persónuverndar, með tilliti til fyrirliggjandi gagna, að ekki verði annað séð en að hin nýja hönnun gagnagrunnsins falli lagalega séð innan ramma laganna. Þessi niðurstaða er hins vegar háð þeim forsendum að úttekt á hönnunartillögunni uppfylli öryggiskröfur Persónuverndar og að gripið verði til allra nauðsynlegra öryggisúrræða svo ekki verði unnt að persónugreina þær upplýsingar sem veittar verða viðskiptavinum.

Síðari spurningin lýtur að því hvort það vinnuferli og verklag sem Íslensk erfðagreining leggur til að notað verði til að tryggja persónuvernd við samtengingu upplýsinga uppfylli skilyrði Persónuverndar. Með þessari spurningu er óskað eftir afstöðu Persónuverndar til þess hvort hin nýja hönnun gagnagrunnsins brjóti í bága við ákvæði 2. málsl. 2. mgr. 10. gr. laga nr. 139/1998 um gagnagrunn á heilbrigðissviði, en þar kemur fram að rekstrarleyfishafi skuli móta verklag og vinnuferli sem uppfylli skilyrði Persónuverndar til að tryggja persónuvernd við samtengingu upplýsinga úr gagnagrunni á heilbrigðissviði, gagnagrunni með ættfræðiupplýsingum og gagnagrunni með erfðafræðilegum upplýsingum. Eftir að hafa farið yfir skýrslu Daða Arnar Jónssonar frá 19. nóvember 2002 um fyrirkomulag á samtengingu gagnagrunnanna er það mat Persónuverndar, með tilliti til fyrirliggjandi gagna, að ekki verði annað séð en að það fyrirkomulag falli lagalega séð innan ramma laganna. Þessi niðurstaða er einnig háð þeim forsendum að úttekt á hönnunartillögunni uppfylli öryggiskröfur Persónuverndar og að gripið verði til allra nauðsynlegra öryggisúrræða svo að ekki verði unnt að persónugreina þær upplýsingar sem veittar verða úr gagnagrunninum.“

Í lok bréfsins var þess síðan óskað af ÍE að fyrirtækið tilkynnti Persónuvernd um það með hæfilegum fyrirvara hvenær það hygðist halda áfram að vinna að öryggismálum GGH svo að Persónuvernd gæti gert ráðstafanir til þess að hafa þá tiltæka erlenda ráðgjafa sína til þess að vinna að verkefninu. Þessi ósk var ítrekuð með bréfi, dags. 4. desember 2002, og lögð áhersla á að ÍE greindi skriflega frá því ef fyrirtækið teldi fyrirsjáanlegt að frekari tafir kynnu að verða á gerð GGH og hversu langar vænta mætti að tafirnar yrðu. Ekki var orðið við þessari ósk Persónuverndar, en með bréfi, dags. 5. desember 2002, óskaði ÍE eftir skriflegri skilgreiningu á hugtakinu „persónugreinanleiki“ að því er GGH varðar og lýsti þeirri túlkun sinni á bréfi stofnunarinnar, dags. 20. nóvember 2002, að þar hefði hún lýst því yfir að birtingarform gagna í GGH, eins og það hefði verið kynnt fyrir Persónuvernd, væri ópersónugreinanlegt, enda væru viðhafðar ásættanlegar öryggisráðstafanir. Með bréfi, dags. 10. desember 2002, greindi ÍE síðan frá því að fyrirtækið gæti ekki svarað fyrirspurn Persónuverndar um mögulegar, frekari tafir fyrr en ljóst yrði hvernig stofnunin ætlaði að bregðast við bréfi þess, dags. 5. desember 2002. Persónuvernd svaraði því með bréfi, dags. 23. s.m. Þar segir m.a.:

„Eftir að hafa skoðað núverandi útgáfu af fyrirspurnarkerfi Íslenskrar erfðagreiningar er það mat stjórnar Persónuverndar að mesta áhætta varðandi persónugreinanleika liggi í þeirri útfærslu að birta hluta af ættartrjám við framsetningu niðurstaðna. Tekið skal fram að ekki hefur farið fram ítarleg skoðun á högun kerfisins og ekki verið lagt mat á aðra þætti, enda er sú vinna hluti af fyrirhugaðri öryggisúttekt. Framangreindur fyrirvari í svari Persónuverndar laut að því grípa yrði til allra nauðsynlegra tæknilegra úrræða til þess að koma í veg fyrir að hægt væri að bera kennsl á einstaklinga í ættartrjám. Þannig er það komið undir tæknilegri útfærslu kerfisins hvort niðurstöðurnar geti í einhverjum tilvikum orðið persónugreinanlegar eða ekki. Eftir viðræður við starfsmenn Íslenskrar erfðagreiningar á fundi hinn 20. nóvember 2002, var það mat stjórnar að miðað við þær hugmyndir sem þar voru settar fram ætti í langflestum tilvikum að vera unnt að komast hjá birtingu persónugreinanlegra ættartrjáa. Í viðræðum á fundinum kom og fram að í þeim örfáu undantekningartilvikum þar sem hins vegar hætta væri á því að ættartré væru persónugreinanleg, þrátt fyrir þessar ráðstafanir, væri hægt að sleppa birtingu þeirra.

Rétt er að taka fram að ekki liggur fyrir tæknilegt mat á því hversu miklar líkur eru á persónugreinanleika út frá þeim upplýsingum um ættartré sem kerfið birtir. Á framangreindum fundi kom fram að nauðsynlegt væri að gera úttekt á því hversu auðvelt væri að finna samsvörun á milli ættfræðiupplýsinga í Íslendingabók (og öðrum ættfræðigagnagrunnum sem eru aðgengilegir hér á landi) og þeirra bjöguðu búta úr ættartrjám sem fyrirspurnarkerfið birtir. Jafnframt var reifað á fundinum hvort nauðsynlegt væri yfir höfuð að birta slíkar upplýsingar út frá vísindalegu sjónarmiði þess sem hverju sinni nýtir sér fyrirspurnarkerfið. Takmarkað aðgengi að Íslendingabók kemur væntanlega til með að minnka líkur á samsvörun, en eftir stendur að ákveðnir starfsmenn Íslenskrar erfðagreiningar hafa aðgang að ættfræðiupplýsingum úr Íslendingabók. Því er mikilvægt að gera framangreinda úttekt sem fyrst þannig að unnt verði að svara spurningu yðar. Í þessu sambandi verður einnig að undirstrika að það ræðst vart af einum þætti öryggsráðstafana hvort niðurstöður sem birtar verða með ættartrjám teljist ópersónugreinanlegar, heldur af heildarmati og samþættingu þeirra öryggisráðstafana sem Íslensk erfðagreining hefur í hyggju að grípa til.“

Einnig sagði í bréfi Persónuverndar, dags. 23. desember 2002:

„Í bréfi Íslenskrar erfðagreiningar kemur fram að fyrirtækið telji nauðsynlegt að fyrir liggi skrifleg skilgreining Persónuverndar á hugtakinu persónugreinanleiki áður en ráðist verði í að ljúka öryggisúttekt gagnagrunnsins.

Persónuvernd lýsir sig reiðubúna til að vinna að nánari afmörkun á þeim viðmiðum sem notuð verða við úttektina. Annars vegar er hér um að ræða lögfræðilega afmörkun á inntaki 2. og 3. tölul. 3. gr. laga nr. 139/1998 um gagnagrunn á heilbrigðissviði. Hins vegar er um að ræða mat á því hvaða viðmið beri að leggja til grundvallar svo að ásættanlega litlar líkur séu á að hægt verði að persónugreina upplýsingar í þeim niðurstöðum sem afhentar verða viðskiptavinum.

Við vinnu að því að leita svara við framangreindri spurningu leggur Persónuverndar áherslu á nauðsyn þess að áfram verði góð samvinna á milli starfsmanna Íslenskrar erfðagreiningar og Persónuverndar svo verkið taki sem skemmstan tíma. Hér með er lagt til að haldinn verði fundur um málið þar sem farið verði yfir verkáætlun og verkþætti þessa verkefnis og skiptingu þeirra á milli Persónuverndar og Íslenskrar erfðagreiningar. Er óskað eftir því að fyrirsvarsmenn Íslenskrar erfðagreining veiti Persónuvernd svör um hvaða daga henti að halda fund um málið.“

4. Nánari umfjöllun um nokkur mál, einstaka úrskurði, álit og aðrar afgreiðslur

4.1. Samtenging tölvupóstnetfanga hjá netfyrirtæki

Með bréfi Persónuverndar, dags. 16. desember 2002, var kvartanda kynnt niðurstaða í máli nr. 2002/325. Í því bréfi segir:

Með bréfi, dags. 16. júlí sl., barst Persónuvernd erindi frá Gesti Jónssyni hrl. þar sem þess var óskað fyrir yðar hönd, að stofnunin kannaði atvik vegna samskipta yðar og netfyrirtækisins c.

Með bréfinu fylgdu minnispunktar yðar vegna samskipta við c, dags. 15. júlí sl., en þar segir meðal annars: "Eins og fram kemur hér á eftir hefur allur innkomandi póstur í pósthólf mitt a verið framsendur til pósthólfs á frísvæði c…b frá og með 9. nóvember s.l., án míns leyfis og vitundar." Í þessum minnispunktum er lýst samskiptum yðar við c vegna málsins. Segir að yður hafi verið tjáð að framsendingin hafi byggst á beiðni sem hafi borist í byrjun nóvember 2001 en ekki hafi verið haft samráð við yður né þér verið látinn vita. Eina ástæðan fyrir því að þér hafið fengið vitneskju um tenginguna hafi verið sú að pósthólfið b hafi fyllst og því tekið að senda þeim, er sendu yður póst, skeyti þess efnis að sendingar þeirra hefðu ekki komist til skila. Þá segist yður svo frá að þér hafið gert starfsmanni c grein fyrir því að yður bærust læknisfræðileg gögn í pósti, gögn tengd vísindalegum samstarfsverkefnum, gögn varðandi málarekstur auk annarra upplýsinga. Öll hafi þessi gögn að geyma upplýsingar sem séu trúnaðarmál.

II.

Með bréfi, dags. 31. júlí sl., óskaði Persónuvernd skýringa frá c. Var þess m.a. óskað að málsatvik yrðu skýrð og að fram kæmi hvaða öryggisráðstafanir væru viðhafðar þegar eitt póstfang væri tengt við annað.

Frá Erlendi Gíslasyni hrl. barst síðan svarbréf, dags. 15. ágúst sl., f.h. c. Þar segir m.a.

„…Þann 9. nóvember 2001 var stofnað póstfangið b (lénið mi.is er fríþjónusta hjá c). Þann sama dag er hringt og beðið um áframsendingu á öllum pósti sem berst í póstfangið a í b. Ekki er óalgengt að slíkar fyrirspurnir berist og fylgt er sama vinnuferli við afgreiðslu slíkra beiðna. Vinnureglur c eru þær að í þessu tilfelli er viðmælandi beðinn að staðfesta að hann sé rétthafi póstfangsins a með því að gefa upp gilt leyniorð fyrir póstfangið. Leyniorð eru geymd dulkóðuð í gagnagrunni og hafa starfsmenn c ekki aðgang að þeim, né heldur sjá þeir leyniorðin í vinnslukerfi sem c vinnur með. Kerfið býður starfsmönnum upp á að slá leyniorðið inn í vinnsluglugga fyrir viðkomandi póstfang og fá staðfestingu á því hvort leyniorðið sem slegið var inn sé rétt eða rangt. Ekkert bendir til þess að þessum vinnureglum hafi ekki verið fylgt í þessu tilfelli. Þegar staðfesting er komin á því að viðmælandi sé rétthafi póstfangsins, getur hann beðið um ýmsar viðbætur og þjónustu á viðkomandi viðskiptareikning, auka þjónustu, áframsendingu á tölvupósti, uppsögn, svo eitthvað sé nefnt.

Aðgerðarskrár (event log) eru haldnar yfir það sem gert er í kerfum c og eru vinnureglur þannig að þessar aðgerðaskrár eru geymdar í a.m.k. þrjá mánuði. Þannig vill til að nú eru til aðgerðarskrár fyrir tölvupóstföng í rúmlega 18 mánuði og því til hreyfingar og aðgerðir tengdar þessum tveimur póstföngum í þann tíma. Þar er hægt að sjá þær aðgerðir og hvenær þær voru framkvæmdar, m.a. stofnun póstfangsins b, áframsendingu tölvupóstskeyta frá a til b og athugun á áframsendingu á tölvupóstskeytum frá a til b.

Í aðgerðarskrám sem sýna tengingar við pósthólf, en þær skrár eru til fyrir síðustu 3 mánuði, eru geymdar upplýsingar um tengingar við pósthólf, hvaðan er tengst, símanúmer, IP-tala, tímasetningar o.fl.“

Með framangreindu bréfi Erlends fylgdi „viðauki“ saminn af c. Þar segir m.a. að í ferilskrá c hafi ekki verið skráð hver hafi beðið um áframsendingu á tölvupóstskeytum frá a til b.

Með bréfi, dags. 4. september sl., var Gesti Jónssyni boðið að tjá sig um framangreint svar. Barst Persónuvernd síðan svarbréf frá honum, dags. 15. s.m. Þar er m.a. lýst þeirri afstöðu að í svari Logos og svörum forsvarsmanna c. komi fram skýrar veilur í því öryggiskerfi sem c. hafi byggt upp. Segir m.a. að leynd leyniorða eigenda pósthólfa sé ekki fyllilega örugg og að „veilur“ séu í málsmeðferð, m.a. vegna þess að ekki sé beðið um nafn eða aðrar upplýsingar um þann aðila sem hringi og biðji um framsendingu tölvupósts. Þá hafi engar ráðstafanir verið gerðar þótt starfsmönnum c. hafi verið ljóst að verið væri að biðja um framsendingu pósts í pósthólf á frísvæði sem var skráð undir „bullkennitölu“, þ.e. að enginn lögmætur eigandi væri að því pósthólfi. Þá er talið mikilvægt að c. endurskoði vinnuferli sitt og öryggiskerfi í ljósi þessa máls og undirstrikað að allt verði að gera sem unnt sé til þess að upplýsa hvaða aðili það var sem bað um ofangreinda tengingu milli pósthólfa.

Með bréfi, dags. 18. september sl., bauð stofnunin Erlendi Gíslasyni að tjá sig um efni svarbréfsins og gerði hann það með bréfi, dags. 30. s.m. Þar er því hafnað að „skýrar veilur“ séu á öryggiskerfi c eða að verulegar brotalamir hafi verið á afgreiðslu fyrirtækisins, þegar umrædd framsending var heimiluð. Er bent á að þjónusta c sé hraðvirk og að það svari ákveðinni þörf í samfélaginu eftir slíkri þjónustu. Á móti komi að til að sporna við áhættunni á að misfarið sé með upplýsingar af hálfu óviðkomandi þriðju aðila séu viðhafðar ýmsar öryggisráðstafanir sem felist m.a. í gerð fyrirframákveðinna vinnuferla og kostgæfni í ráðningu starfsfólks. Segir að hvorki geti ein af þessum öryggisráðstöfunum né þær allar saman veitt fullkomið öryggi. Þá sé ljóst að hyggist menn notast við algerlega öruggt samskiptaform velji þeir annað samskiptaform en tölvupóst. Loks er bent á að það tilvik sem þér kvartið yfir sé hið fyrsta og eina sem komið hafi upp frá upphafi starfsemi fyrirtækisins á árinu 1994.

Í símtali við starfsmann c hinn 10. október sl. bað Persónuvernd um að fá sent eintak af öryggisreglum fyrirtækisins og bárust þær með tölvupósti hinn 29. s.m. Þessu næst óskaði Persónuvernd, með bréfi til c, dags. 4. nóvember sl., eftir því að fá send eintök af öryggisstefnu og áhættumati fyrirtækisins. Þá var spurt hvort fyrirtækið hefði gripið til frekari ráðstafana en áður tíðkuðust til að fyrirbyggja að slíkt atvik, sem hér um ræðir, endurtæki sig. Barst stofnuninni síðan bréf frá Erlendi Gíslasyni hrl., dags. 26. nóvember sl., þar sem fram kemur að við öryggisreglur fyrirtækisins hafi verið aukið svohljóðandi ákvæði: „Í hvert sinn sem framkvæmdar eru breytingar á viðskiptareikningum viðskiptavina c, er sendur tölvupóstur á rétthafa viðskiptareikningsins, þar sem allar breytingar sem gerðar voru, eru tilgreindar.“ Með bréfinu fylgdu eintök af öryggisstefnu og áhættumati c, en í símtali við starfsmann fyrirtækisins hinn 3. desember sl. var sá skilningur Persónuverndar staðfestur að öryggisstefna hefði verið samin og áhættumat gert eftir að stofnunin óskaði eftir að fá send eintök af þeim skjölum.

III.

Í 5. mgr. 11. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga segir að ábyrgðaraðili skuli móta öryggisstefnu, gera áhættumat og ákveða öryggisráðstafanir. Um það er síðan nánar fjallað í 3. gr. reglna nr. 299/2001 um öryggi persónuupplýsinga, sem settar eru með stoð í 11. og 12. gr. laga nr. 77/2000. Persónuvernd hefur nú fjallað um mál þetta og tekið afstöðu til þess hvort og að hvaða marki c hafi uppfyllt fyrirmæli framangreindra ákvæða.

Þegar netfang yðar, a, var tengt við netfang á frísvæði c, b var málum hagað þannig hjá c að vitneskja um leyniorð nægði til að fá netföng tengd saman, og virðist svo sem einhver óviðkomandi hafi komist yfir leyniorð yðar. Aðgerðarskrár eiga að sýna tengingar við pósthólf en í gögnum málsins, sbr. fskj. með bréfi Erlends Gíslasonar, dags. 15. ágúst sl., kemur fram að þótt slíkar skrár hafi þá verið til fyrir síðustu mánuði hafi þar ekki verið skráð hver það var sem bað um áframsendingu á tölvupósti frá a til b. Rannsókn á því hver þetta var er Persónuvernd ekki möguleg með þeim úrræðum sem henni eru búin að lögum.

Á þessum tíma munu ýmsar öryggisráðstafanir hafa verið viðhafðar hjá c. Tengingu netfanga var t.d. ekki unnt að koma á nema leyniorð væri gefið upp og voru leyniorðin geymd dulkóðuð í gagnagrunni. Starfsmenn c höfðu ekki aðgang að þeim. Ef viðskiptavinur hringdi og bað t.d. um að fá netföng tengd saman átti starfsmaður að slá leyniorðið inn í vinnsluglugga og fá staðfestingu á því hvort það væri rétt eða rangt. Jafnframt voru haldnar atburðaskrár (log-skrár) yfir aðgerðir starfsmanna í tölvukerfinu.

Þegar umrædd samtenging netfanga átti sér stað skorti engu að síður, að mati Persónuverndar, nokkuð á að c uppfyllti fyrirmæli 11. gr. laga nr. 77/2000, sbr. og ákvæði reglna nr. 299/2001 um öryggi persónuupplýsinga. Í fyrsta lagi lá þá hvorki fyrir öryggisstefna né skriflegt áhættumat. Í öðru lagi verður ekki litið svo á að viðhafðar hafi verið nægjanlegar öryggisráðstafanir. Í 1. mgr. 11. gr. laga nr. 77/2000 segir meðal annars að ábyrgðaraðili skuli gera tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. Í 2. mgr. segir að beita skuli ráðstöfunum sem tryggi nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra.

Ýmsar öryggisráðstafanir má viðhafa við afgreiðslu beiðna um samtengingu netfanga til að lágmarka hættuna á misferli og því að persónuupplýsingar berist óviðkomandi aðilum. Til dæmis má hafa skýrar verklagsreglur um það hvaða starfsmenn mega taka við slíkum beiðnum, hvenær og að beiðni hvers, hvernig starfsmenn skulu tryggja að réttur beiðandi sé á ferð, hvort/hvenær breyta skuli lykilorðum þegar viðskiptavinur hefur veitt starfsmanni upplýsingar um lykilorð o.s.frv.

Eins og að framan segir verður ekki fullyrt að c hafi uppfyllt fyrirmæli laga og reglna um öryggi persónuupplýsinga á þeim tíma þegar umrædd samtenging netfanga átti sér stað. Á móti kemur hins vegar sú veigamikla röksemd að almennt verður að telja óvarlegt að nýta ódulkóðuð tölvupóstkerfi við miðlun viðkvæmra gagna, en í minnispunktum yðar, dags. 15. júlí sl., segist þér m.a. hafa gert starfsmanni c grein fyrir því að yður bærust trúnaðarmál í tölvupósti (læknisfræðileg gögn, gögn tengd vísindalegum samstarfsverkefnum, gögn varðandi málarekstur auk annarra upplýsinga). Sama á við um alla þá sem óska að njóta leyndar um samskipti sín við aðra. Að sama skapi ber að taka tillit til þeirrar viðleitni sem c hefur sýnt til úrbóta, en fyrirtækið hefur nú m.a. sett öryggisstefnu, gert áhættumat og sett skriflegar verklagsreglur. Þá hefur það aukið við gerðar öryggisráðstafanir, sbr. að nú er það verklag viðhaft þegar framkvæmdar eru breytingar á viðskiptareikningum viðskiptavina c að tölvupóstur er sendur til rétthafa viðskiptareikningsins þar sem allar gerðar breytingar eru tilgreindar.

Samkvæmt lögum nr. 77/2000 er það eitt af hlutverkum Persónuverndar að hafa eftirlit með þeim aðilum sem bera ábyrgð á vinnslu persónuupplýsinga, sbr. 37. gr. laganna. Þar kemur m.a. fram að Persónuvernd getur ákveðið að ábyrgðaraðili skuli greiða þann kostnað sem hlýst af slíku eftirliti og kostnað við úttekt á starfsemi við undirbúning útgáfu vinnsluleyfis eða aðra afgreiðslu. Ákveðið hefur verið að öryggisráðstafanir c verði rýndar í ljósi öryggisstefnunnar og áhættumatsins og tekin afstaða til þess hvort öryggisráðstöfunum þurfi enn að breyta og hvort einhverjum ráðstöfunum þurfi að bæta við. Verður c gefinn hæfilegur fyrirvari og eftir atvikum gefinn kostur á að koma á framfæri athugasemdum við val Persónuverndar á sérfræðiráðgjafa og kostnaðaráætlun.

Í ljósi alls þess er að framan greinir telur Persónuvernd að ekki séu efni til þess að hún aðhafist frekar vegna erindis yðar fyrr en framangreind öryggisúttekt hefur farið fram nema henni berist sérstök og rökstudd ósk yðar þar að lútandi, sbr. 24. gr. stjórnsýslulaga nr. 37/1993.

4.2. Kvörtun yfir birtingu og skráningu upplýsinga í skrám hjá Lánstrausti hf.

Með bréfi Persónuverndar, dags. 13. desember 2002, var kvartanda kynnt niðurstaða í máli nr. 2002/325. Í því bréfi segir:

Hinn. 18. júlí 2002, barst Persónuvernd erindi yðar varðandi miðlun Lánstrausts hf. (LT) á upplýsingum um fjárhagsmálefni og lánstraust yðar og maka hans, a. Erindið er í raun þríþætt en það felur í sér eftirfarandi spurningar:

1. Mátti LT mátt skrá upplýsingar um stjórnarmann í hlutafélagi sem úrskurðað var gjaldþrota ef stjórnarmaðurinn hafði sagt sig úr stjórninni áður úrskurðurinn var kveðinn upp.

2. Má LT haga tilhögun svokallaðrar „VOG“ skráar, sem samsett er úr Vanskilaskrá, Rekstrarsöguskrá og skrá yfir kaupmála- og lögræðis-, fjárræðis- og sjálfræðissviptingar, þannig að slái notandi inn tiltekna kennitölu þá fái hann samtímis niðurstöður leitar úr öllum þessum þremur skrám.

3. Mátti LT miðla upplýsingum úr rekstrarsöguskrá án þess að liðinn væri áskilinn viðvörunarfrestur, sbr. nú 1. og 2. mgr. 21. gr. laga nr. 77/2000, með áorðnum breytingum.

II.

Nokkur bréfaskipti hafa þegar orðið um málið, en það eru bréf Persónuverndar til LT, dags. 8. ágúst sl., svarbréf LT dags 19. ágúst sl., bréf Persónuverndar til yðar dags. 27. ágúst sl. þar sem yður var veittur kostur á að tjá yður um svör LT, svarbréf yðar dags. 4. september sl., bréf Persónuverndar til yðar dags. 23. september sl. þar sem nánari skýringa var óskað, svarbréf yðar dags. 26. s.m., bréf Persónuverndar til LT 31. október sl. og svarbréf LT dags. 10. nóvember sl. og bréf LT dags. 12. þ.m.

Af hálfu Persónuverndar hefur nú verið farið yfir framangreindar spurningar og verða svör hennar, byggð á yfirferð yfir gögn málsins, rakin í III. kafla bréfs þessa.

Áður en lengra er haldið er þó rétt að reifa það regluverk sem gildir um starfsemi LT. Frá því að LT hóf starfsemi hefur hún verið starfsleyfisskyld og um hana hafa gilt skilmálar í þeim starfsleyfum sem í gildi hafa verið á hverjum tíma. Framanaf voru starfsleyfin veitt af Tölvunefnd á grundvelli 15. gr. laga nr. 121/1989 um skráningu og meðferð persónuupplýsinga og síðar af Persónuvernd á grundvelli laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Síðasta leyfið sem Tölvunefnd gaf út til handa LT, dags. 10. janúar 2000, var veitt samkvæmt ákvörðun nefndarinnar dags. 6. s.m. Hinn 1. janúar 2001 tóku síðan gildi lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, en samkvæmt 4. mgr. í ákvæði til bráðabirgða með þessum lögum héldu þau leyfi sem tölvunefnd hafði gefið út gildi sínu, enda færu þau ekki í bága við lögin. Í 2. mgr. 45. gr. l. 77/2000 segir að heimild til starfsemi sem felist í söfnum og miðlun upplýsinga um fjárhagsmálefni og lánstraust fyrirtækja, svo og annarra lögaðila, skuli háð leyfi frá Persónuvernd. Þá segir í 4. tl. 1. mgr. 7. gr. reglna Persónuverndar nr. 90/2001, um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, sem settar eru með heimild í 33. gr. laga nr. 77/2000, að söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust einstaklinga sé háð leyfi Persónuverndar. Þá má geta ákvæða reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust. Ennfremur gilda um starfsemi LT skilmálar þeirra leyfa sem Persónuvernd hefur veitt fyrirtækinu, en þann 17. október 2001 gaf hún út starfsleyfi fyrir LT til að safna og miðla upplýsingum um fjárhagsmálefni og lánstraust fyrirtækja og lögaðila og þann 17. október 2002 gaf hún síðan út starfsleyfi fyrir sambærilegri vinnslu varðandi einstaklinga. Loks má geta þess að auk ákvæða framangreindra laga, reglna og starfsleyfisskilmála gilda ákvæði annarra laga og reglna eftir því sem við á hverju sinni.

Fyrsta fyrirspurnin lýtur að því hvort LT hafi ekki verið óheimilt að skrá upplýsingar um yður og eiginkonu yðar sem stjórnarmenn í b. sem að var, þann 28.júní sl., úrskurðað að taka til gjaldþrotaskipta úr því að þér höfðuð, þann 25. júní sl., sagt yður úr stjórninni og sent tilkynningu þess efnis til Hlutafélagaskrár. Um þetta segir m.a. í bréfi yðar, dags. 23. júlí sl.:

„Málavextir eru þeir að þann 28. júní sl. var tekið til gjaldþrotaskipta félagið b. Ég var í stjórn þess félags og a, eiginkona mín í varastjórn, til 25. júní, en þá sögðum við okkur úr stjórninni og sendum tilkynningu til Hlutafélagaskrár þar um. Nokkrum dögum síðar barst okkur tilkynning Lánstrausts um að skráning um setu okkar í stjórn félagsins og annars félags, sem varð gjaldþrota í janúar, yrði birt í skránni.

...

Ég gerði [...] þá athugasemd að við hefðum ekki verið í stjórn félagsins þegar það varð gjaldþrota. Skv. lýsingu á heimasíðu Lánstrausts eru þar skráðir þeir sem voru í stjórn félags á úrskurðardegi.

Sendi ég í símbréfi afrit af tilkynningu okkar til hlutafélagaskrár þar um. [...]

Ég hafði samband við hlutafélagaskrá í gærmorgun, og kom þá í ljós að ekki hafði verið greitt fyrir birtingu tilkynningar okkar um úrsögn úr stjórn, og hún því ekki skráð. Ég bætti strax úr því, og fékk til baka móttökukvittun skrárinnar.

Ég sendi strax afrit með símbréfi til Lánstrausts, þannig að ekki færi á milli mála að upplýsingarnar væru réttar.

Lánstraust hf birtir því þessar upplýsingar nú vísvitandi og neitar að fella þær niður.

Þetta er alvarlegt brot á starfsleyfi Lánstrausts hf. frá Tölvunefnd, og fer ég þess á leit að Lánstraust hf. verði svipt starfsleyfinu, a.m.k. á meðan rannsókn málsins fer fram.“

Í þeim lögum, reglugerðarákvæðum og starfsleyfisskilmálum sem rakin eru hér að framan er ekki að finna svar við þessari fyrirspurn yðar. Hins vegar er svar við henni að finna í 3. mgr. 40. gr. laga nr. 138/1994 um einkahlutafélög en þar segir að verði félag án stjórnar skuli þeir sem síðast gegndu stjórnarstörfum formlega skoðast í fyrirsvari uns ný stjórn taki við. Könnun Persónuverndar hjá Hlutafélagaskrá hefur ekki leitt í ljós að ný stjórn hafi tekið við þegar þér sögðuð yður úr stjórninni. Verður því, á grundvelli framangreinds lagaákvæðis, að telja yður hafa verið í fyrirsvari fyrir félagið b þangað til þrotabúið tók við samhliða uppkvaðningu úrskurðar héraðsdómara þann 28. júní sl. um gjaldþrotaskipti, sbr. 72. gr. laga um gjaldþrotaskipti nr. 21/1991, og skiptastjóri skipaður á grundvelli 75. gr. sömu laga tók til starfa við þrotabúinu.

Önnur fyrirspurn yðar lýtur að því hvort LT megi haga tilhögun svokallaðrar "VOG" skráar, sem samsett er úr Vanskilaskrá, Rekstrarsöguskrá og skrá yfir kaupmála- og lögræðis-, fjárræðis- og sjálfræðissviptingar, þannig að slái notandi inn tiltekna kennitölu þá fái hann samtímis niðurstöður leitar úr öllum þessum þremur skrám, sbr. bréf yðar sem barst Persónuvernd þann 4. september sl. en þar segir m.a.:

„Lánstraust hf. sameinar skrárnar, vanskila og rekstrarsöguskrá í eina skrá sem þeir kalla VOG. Að auki er þar safnað á einn stað frekari persónuupplýsingum, svo sem um hvort viðkomandi hafi gert kaupmála eða verið sviptur fjárræði.

Allt tal um að rekstrarsöguskráin sé sérskrá og eingöngu notuð til að kanna hvort forsvarsmenn fyrirtækis sem leitað fyrirgreiðslu hafi áður rekið fyrirtæki sem hafi orðið gjaldþrota er þannig eingöngu til að blekkja Persónuvernd. [...]"

Í ljósi þess hvernig upplýsingarnar eru settar fram í VOG er hér augljóslega reynt að slá ryki í augu Persónuverndar. Öll brögð notuð ekkert heilagt.“

Af tilefni framangreinds skal tekið fram að í því starfsleyfi sem Tölvunefnd samþykkti að veita LT þann 6. janúar árið 2000 var ákvæði um að viðhafa bæri nauðsynlegar öryggisráðstafanir til að fyrirbyggja að áskrifendur gætu afritað skrána, samtengt hana við aðrar skrár eða unnið með hana á nokkurn hátt. Í því starfsleyfi sem Persónvernd gaf hins vegar út þann 17. október sl. er að finna svohljóðandi ákvæði í 5. mgr. 1. gr.: „Starfsleyfi þetta heimilar ekki samtengingu skráa sem falla undir ákvæði starfsleyfisins nema sérstök heimild frá Persónuvernd standi til þess.“ Á fundi sínum, þann 9. þ.m., fjallaði stjórn Persónuverndar um það hvernig túlka bæri þetta ákvæði. Var niðurstaðan sú að ekki bæri að skilja ákvæðið þannig að það bannaði framangreinda tilhögun VOG-skráarinnar. M.ö.o. ákvæðið stendur því ekki í vegi að notandi Vog-skráarinnar geti slegið inn tiltekna kennitölu og samtímis fengið niðurstöður leitar úr þeim skrám sem að baki Vog-skránni búa, enda birtist niðurstöður leitarinnar aðskildar svo fram komi úr hvaða skrá hvaða upplýsingar komi.

Þriðja fyrirspurn yðar lýtur að því hvort LT hafi mátt miðla upplýsingum um fjárhagsmálefni yðar án þess að liðinn væri áskilinn viðvörunarfrestur. Í bréfi yðar dags. 23. júlí 2002, segir m.a:

„Málavextir eru þeir að þann 28. júní sl. var tekið til gjaldþrotaskipta félagið b. [...] Nokkrum dögum síðar barst okkur tilkynning Lánstrausts um að skráning um setu okkar í stjórn félagsins og annars félags, sem varð gjaldþrota í janúar, yrði birt í skránni. Við skoðun á skránni kom í ljós, að skráningin var þá þegar komin inn, og 4ra vikna frestur skv. 6. grein starfsleyfis Tölvunefndar ekki virtur. [...]. Ég gerði strax athugasemd með tölvupósti, en eftir nokkur skeyti fram og til baka var mér tilkynnt að skráningin stæði áfram þótt fresturinn hefði ekki verið virtur. [...]

Lánstraust hf birtir því þessar upplýsingar nú vísvitandi og neitar að fella þær niður.

Þetta er alvarlegt brot á starfsleyfi Lánstrausts hf. frá Tölvunefnd, og fer ég þess á leit að Lánstraust hf. verði svipt starfsleyfinu, a.m.k. á meðan rannsókn málsins fer fram.“

Af tilefni þessa skal tekið fram að í því starfsleyfi sem Tölvunefnd samþykkti þann 6. janúar árið 2000 var að finna svohljóðandi ákvæði: „Starfsleyfishafa er óheimilt að birta nafn tiltekins aðila á skrá sinni eða miðla þeim með öðrum hætti nema hann hafi áður tilkynnt viðkomandi aðila um það skriflega og gefið honum a.m.k. fjögurra vikna frest til að koma að athugasemdum, sbr. 2. mgr. 19. gr. laga nr. 121/1989.“ Í því starfsleyfi sem Persónvernd gaf hins vegar út þann 17. október sl. er að finna svofellt ákvæði: „Þegar starfsleyfishafi safnar persónuupplýsingum í samræmi við ákvæði [...] leyfis þessa skal hann gera hinum skráða viðvart og skýra honum frá þeim atriðum sem talin eru í 2. mgr. 16. gr. laga nr. 77/2000, með áorðnum breytingum. Skal hann senda slíka viðvörun eigi síðar en14 dögum áður en hann miðlar upplýsingunum í fyrsta sinn.“ Er þetta ákvæði í samræmi við ákvæði 2. mgr. 21. gr. laga nr. 77/2000.

Í 4. mgr. í ákvæði til bráðabirgða með lögum nr. 77/2000 segir að þau leyfi sem tölvunefnd hafði gefið myndi áfram halda gildi sínu að því marki sem þau færu ekki í bága við lög þessi. Í ljósi þessa telst framangreind regla 2. mgr. 21. gr. laga nr. 77/2000 um 14 daga viðvörunarfrest hafa tekið gildi þann 1. janúar árið 2001 og gengur hún framar framangreindu starfsleyfisákvæði um 4ra vikna frest. Bar LT þar af leiðandi að láta yður vita 14 dögum áður en LT miðlaði upplýsingunum í fyrsta sinn.

Nokkur bréfaskipti hafa átt sér stað vegna ágreinings milli yðar og LT um framangreint atriði og hafa yður verið gerð grein fyrir þeim og gefinn kostur á að tjá yður um efni þeirra. Hins vegar hefur Persónuvernd nú borist bréf frá LT, dags 12. þ.m., þar sem segir:

„Vísað er til erindis yðar vegna kvörtunar c, dags. 18. júlí 2002, varðandi skráningu Lánstrausts hf, á upplýsingum um setu hans og maka hans í stjórn einkahlutafélags, sem tekið var til gjaldþrotaskipta hinn 28. júní sl., og annars félags, sem tekið var til gjaldþrotaskipta í janúar sl. Framangreindar upplýsingar voru skráðar í hina svonefndu Rekstrarsöguskrá Lánstrausts hf. Frá og með deginum í dag hafa færslur vegna ofangreinds verið afmáðar úr Rekstrarsöguskrá Lánstrausts. Af hálfu Lánstrausts hf. telst máli þessu þar með lokið“.

Í ljósi framangreindrar yfirlýsingar er ekki lengur til staðar ágreiningur milli yðar og LT um það hvort afmá skuli nöfn yðar og maka yðar af umræddri skrá. Eru því ekki efni til frekari umfjöllunar um þennan þátt erindis yðar.

III.

Hér að framan hefur verið leitast við að svara erindi yðar. Tekið skal fram að ef þér óskið frekari svara verða þau fúslega veitt, berist Persónuvernd ósk yðar þess efnis.

4.3. Kvörtun vegna myndar af fyrrverandi starfsmanni varnarliðsins sem hékk upp í varðstöðvum varnarliðsins í Keflavík

Með bréfi, dags. 27. nóvember 2002, var kvartanda kynnt niðurstaða í máli nr. 2002/279. Í því bréfi segir:

Persónuvernd hefur borist símskeyti frá a, dags. 13. júní sl., þar sem hann spyr hvort það samrýmist lögum að mynd af sér í A-4-stærð hafi verið hengd upp í varðstöðvum varnarliðsins á Keflavíkurflugvelli.

Með bréfi, dags. 5. júlí sl., sendi Persónuvernd fyrirspurn vegna þessa til varnarmálaskrifstofu utanríkisráðuneytisins. Fyrirspurnin var ítrekuð með bréfi, dags. 21. ágúst sl., en áður hafði stofnuninni borist símskeyti frá a, dags. 13. s.m., þar sem hann spurði um gang mála. Barst Persónuvernd síðan svarbréf frá varnarmálaskrifstofu, dags. 23. s.m. Með bréfi, dags. 4. september sl., var óskað eftir gögnum frá varnarmálaskrifstofu, þ.e. svari sýslumannsins á Keflavíkurflugvelli, sem vísað var til í bréfinu, við beiðni varnarmálaskrifstofu um að sýslumaður rannsakaði málið. Svar sýslumanns, sem er frá 23. ágúst sl., barst Persónuvernd með tölvupósti frá varnarmálaskrifstofu hinn 19. september sl. Með bréfi, ranglega dags. 28. ágúst sl., var a boðið að tjá sig um framkomin svör, og barst Persónuvernd síðan símskeyti frá honum, dags. 23. september sl. Þar var meðal annars vikið að kvörtun, sem a beindi eitt sinn til sýslumannsins á Keflavíkurflugvelli og varnarmálaskrifstofu utanríkisráðuneytisins vegna umræddrar myndar, og svars sýslumanns við henni. Óskaði stofnunin síðan eftir afstöðu sýslumannsins á Keflavíkurflugvelli til þessa símskeytis með bréfi, dags. 5. þ.m. Sýslumaður svaraði með bréfi, dags. 8. þ.m., og fylgdi því afrit af bréfi hans til utanríkisráðuneytisins, dags. 4. september 1995, vegna kvörtunar þeirrar sem a beindi til hans og varnarmálaskrifstofu. Bauð Persónuvernd a að tjá sig um þessi gögn með bréfi, dags. 11. þ.m., og hefur stofnuninni nú borist símskeyti frá honum, dags. 14. þ.m.

Í símskeyti a til Persónuverndar, dags. 13. júní sl., segir að fyrir nokkrum árum hafi varnarliðið látið hengja upp mynd af honum í stærðinni A-4 í hliðum varnarsvæðisins. Hann hafi starfað þar í 30 ár, þar af 20 ár hjá varnarliðinu. Nú sé mynd af honum í hliðum varnarsvæðisins sem allir sjái sem komi inn í varðhúsin ýmissa erinda, t.d. til skammtímadvalar á svæðinu og erinda sem varða viðskipti við varnarliðið og verktaka þess. Sýslumaðurinn á Keflavíkurflugvelli hafi sagt honum að hann hafi ekki heimild til að vera á svæðinu, og hafi hann kvartað yfir þessu við utanríkisráðuneytið og núverandi og fyrrverandi sýslumenn á flugvellinum. Hann telji að myndin sé komin úr ljósmyndasafni Morgunblaðsins. Að lokum bendir hann á að hann hafi deilt á varnarliðið eftir að hann lét af störfum á varnarsvæðinu vegna mikillar mengunar sem þar sé og „annars ósóma“ sem íslensk yfirvöld hafi látið viðgangast á þeim svæðum sem herinn hefur til afnota.

Í bréfi varnarmálaskrifstofu utanríkisráðuneytisins til Persónuverndar, dags. 23. ágúst sl., segir að hún hafi beðið sýslumann á Keflavíkurflugvelli um að rannsaka þetta mál. Sama dag og bréfið var ritað hafi borist svar frá sýslumanni. Þar komi fram að rannsókn hafi ekki leitt í ljós að mynd hafi verið af a í aðalhliði Keflavíkurflugvallar. Hafi samband verið haft við b, íslenskan starfsmann herlögreglunnar á flugvellinum, sem hafi ekki sagst vita til þess að myndir af a væru innan varnarstöðvarinnar. Með tölvupósti frá varnarmálskrifstofu hinn 19. september sl. barst Persónuvernd það svar sýslumanns sem vitnað er til í bréfi hennar, og kemur ekkert fleira þar fram en í bréfinu.

Í símskeyti a, dags. 23. september sl., segir að myndin hafi verið til, og hafi hann kvartað yfir henni á sínum tíma við varnarmálaskrifstofu og sýslumann. Í svari, sem hann hafi fengið frá sýslumanni, hafi komið fram að myndin hefði verið hengd upp. Fyrir um það bil þremur árum, þegar Íslenskir aðalverktakar hafi verið að endurbyggja innviði lögreglustöðvar varnarliðsins, hafi starfsmenn fyrirtækisins séð myndina. Hafi hún hangið þar í margar vikur og hafi allir sem erindi áttu á vegum fyrirtækisins í þetta hús séð hana.

Með bréfi sýslumannsins á Keflavíkurflugvelli, dags. 8. þ.m., fylgdi bréf frá honum til utanríkisráðuneytisins, dags. 4. september 1995, sem ritað var af tilefni þeirrar kvörtunar sem vikið er að í símskeyti Skarphéðins, dags. 23. september sl. Í bréfinu til utanríkisráðuneytisins kemur fram að myndin hafi komið frá stofnun innan varnarliðsins og verið hengd á korktöflu inni á skrifstofu herlögreglumanns en ekki verið dreift að öðru leyti. Tilefni þess að myndin hafi verið hengd upp hafi verið ýmis atvik, þ.á m. að a hefði hótað varnarliðsmanni, sem talin hafi verið gefa fulla ástæðu til að koma í veg fyrir að hann væri inni á varnarsvæðinu.

Í símskeyti a, dags. 14. þ.m., er efni bréfs sýslumannsins á Keflavíkurflugvelli til utanríkisráðuneytisins, dags. 4. september 1995, mótmælt. Þá segir að myndin hafi hangið uppi í aðalhliði varnarsvæðisins og svonefndu Grænáshliði svo vikum skipti og að herlögreglan eða menn á hennar vegum hafi komist yfir hana með því að "kópera" mynd úr Morgunblaðinu. Í niðurlagi símskeytis a kemur fram að hann hafi ekki hug á "að elta ólar við þessi vallarmál" lengur.

II.

Ágreiningur er um staðreyndir þessa máls. Af skýringum sýslumannsins á Keflavíkurflugvelli, sem fram koma í bréfi hans til utanríkisráðuneytisins, dags. 4. september 1995, má ráða að mynd af a hafi verið hengd upp vegna nota sem telja verður að falli undir löggæslustörf. Af því leiðir þegar að umrædd notkun myndarinnar fellur utan lögsögu íslenskra stjórnvalda, sbr. 10. mgr. 2. gr. fylgiskjals með lögum nr. 110/1951 um varnarsamning milli Íslands og Bandaríkjanna og um réttarstöðu liðs Bandaríkjanna og eignir þess sem ber titilinn „Viðbætir um réttarstöðu liðs Bandaríkjanna og eignir þess“. Að því virtu og í ljósi framangreindrar athugasemdar a um að hugur hans standi ekki til þess „að elta ólar við þessi vallarmál“ lengur telur Persónuvernd ekki lengur vera efni til frekari aðkomu hennar að málinu.

Samkvæmt framanrituðu tilkynnist hér með að lokið er afskiptum Persónuverndar af máli a, varðandi notkun myndar af honum í varðstöðvum varnarliðsins á Keflavíkurflugvelli, nema sérstök og rökstudd beiðni komi fram um annað.

4.4. Álit Persónuverndar varðandi notkun á málaskrá lögreglu

Hinn 9. desember 2002 samþykkti stjórn Persónuverndar svohljóðandi álit í máli nr. 2001/616:

Með bréfi, dags. 4. júlí 2001, óskaði a eftir áliti Persónuverndar á því hvort skráning persónuupplýsinga og notkun þeirra hjá lögreglunni í Kópavogi samrýmdist ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, með áorðnum breytingum. Óskaði a jafnframt eftir afstöðu Persónuverndar til þess hvort lögreglu væri heimilt að varðveita upplýsingar um kæru sem felld hafi verið niður og ef svo væri, þá hve lengi hún mætti varðveita þær upplýsingar. Þá óskaði hann afstöðu Persónuverndar til þess hvort honum bæri ætíð að svara spurningum lögreglu um slík atriði, s.s. þegar hann væri stöðvaður af lögreglu vegna hraðaaksturs eða minni háttar umferðarlagabrots.

Tilefni erindisins er að lögreglan í Kópavogi stöðvaði a þann 1. júlí 2001 vegna gruns um of hraðan akstur og fyrir að aka ljóslausri bifreið. Kom þá í ljós að hann var án ökuskírteinis eða annarra persónuskilríkja. Lögreglumaðurinn fékk staðfest með samtali við lögreglustöðina í Kópavogi að a hefði gilt ökuskírteini en til þess að staðreyna að a væri sá sem hann sagðist vera, var hann spurður um það hvort hann hefði „komið við sögu lögreglunnar“ áður. Svaraði a því neitandi. Lögreglumaðurinn leitaði frekari upplýsinga hjá lögreglustöðinni og fékk að vita að a hefði áður verið kærður fyrir líkamsárás á árinu 2000. Segist a þá hafa óskað skýringa á því hvaða máli umrædd kæra kæmi hraðaakstri við. Kæran hafi verið felld niður og sakavottorð sitt væri hreint. Lögreglumaðurinn hafi þá tilkynnt honum að hvenær sem hann væri spurður um fyrri afskipti sín við lögreglu, bæri honum að segja frá umræddri kæru. Í framhaldi af þessum atburði segist a hafa haft samband við lögregluna í Hafnarfirði, þar sem hann á lögheimili, og spurt hvar umrædd kæra væri skráð og honum verið tjáð að það væri á ákæruskrá lögreglu. Um frekari skýringar var honum bent á lögregluna í Keflavík. Þar fékk hann þær upplýsingar að varðveisla upplýsinga um kæruna byggði á vinnureglu lögreglu en engar reglur væri til um hve lengi mætti varðveita slíkar upplýsingar.

II.

Þegar framangreint erindi barst Persónvernd leit hún svo á að í fyrsta lagi væri óskað álits hennar á því hvort lögregla mætti varðveita upplýsingar um kærur sem felldar hafi verið niður og þá hve lengi. Í öðru lagi væri óskað álits á lögmæti þess að slíkum upplýsingum væri miðlað til lögreglumanns á vettvangi og að í þriðja lagi væri óskað álits á því hvort manni, sem grunaður væri um umferðarlagabrot, bæri á vettvangi að svara spurningum lögreglumanns um eldri mál, þ.á m. kærur á hendur sér sem felldar hefðu verið niður.

Ákvað Persónvernd að hefja rannsókn málsins með því að kynna það fyrir ríkislögreglustjóra og sýslumanninum í Kópavogi. Var það gert með bréfum, dags. 4. september 2001. Erindið var ítrekað með bréfum dags. 9. október 2001. Svarbréf ríkislögreglustjóra er dags. 19. október 2001. Með bréfi Persónuverndar, dags. 4. desember 2001 til sýslumannsins í Kópavogi var erindið enn á ný ítrekað og er svarbréf hans dags. 14. janúar 2002. Afrit af svarbréfum ríkislögreglustjóra og sýslumannsins í Kópavogi voru send a með bréfum dags. 25. október 2001 og 17. janúar 2002 og honum gefinn kostur á að koma að athugasemdum sínum. Með bréfi, dags. 21. mars 2002, bárust athugasemdir hans við þær skýringar sem fram komu í bréfi sýslumannsins í Kópavogi.

Í framangreindu svarbréfi Ríkislögreglustjóra, dags. 19. október 2001, segir m.a:

„Hvað varðar upplýsingaöflun lögreglumanna á vettvangi, þá miðast þær öllu jöfnu við að upplýsa brot og þess vegna eru ökumenn sem lögreglan hefur stöðvað, t.d. við hraðakstur, m.a. spurðir um nafn, kennitölu, heimili, vinnustað og símanúmer, vegna skýrslugerðar, svo hægt sé að ná sambandi við þá síðar ef þurfa þykir, t.d. bjóða þeim að ljúka málum með greiðslu sekta, boða þá til yfirheyrslu o.s.frv. Að öðru leyti vísast til svara b, aðstoðaryfirlögregluþjóns, í bréfi til Persónuverndar, dagsettu 28. júní 2000. Þá óska lögreglumenn á vettvangi oft eftir upplýsingum frá stjórnstöð um það hvort viðkomandi ökutæki hafi e.t.v. verið tilkynnt stolið, hvort ökumaðurinn sé á lista yfir þá sem eru eftirlýstir, eða upplýsingum um hvort viðkomandi sé sviptur ökuleyfi, vakni grunur um slíkt. [................] Eins og fram kemur í kvörtun a, tengist umrædd líkamsárásarkæra á hendur honum á engan hátt því broti sem hann var stöðvaður fyrir í umrætt sinn, þ.e. of hröðum akstri og því engin ástæða fyrir viðkomandi lögreglumann að taka umræðu um líkamsárásarmálið við hann.

Umrædd kæra á hendur a fyrir líkamsárás, sem hann minnist á í kvörtun sinni, hlaut mikla rannsókn á sínum tíma. [.............] þar sem það var fellt niður, þann 19. desember 2000, á grundvelli 112. gr. laga um meðferð opinberra mála, vegna ónógra sannana. Kæra var ekki dregin til baka, eins og fram kemur í erindi Persónuverndar, heldur var málið fellt niður eins og áður segir. Sú afgreiðsla er skilmerkilega skráð í málaskrá og átti því að vera þeim ljós sem flettu upp umræddu máli. Að öðru leyti þykir rétt að vísa til svars sýslumannsins í Kópavogi.

Í drögum að reglum um málaskrá lögreglunnar eru ákvæði um eyðingu kærðra aðila úr málaskránni. Þar kemur skýrt fram að ekki sé miðað við slíka eyðingu ef viðkomandi hefur verið formlega kærður til lögreglunnar eða ef tekin hefur verið af honum framburðarskýrsla samkvæmt ákvæðum um sakborninga í lögum um meðferð opinberra mála. Hvort tveggja á við um a í þessu tilviki. Upplýsingar um mál þessi og aðila sem þeim tengjast þarf lögreglan nauðsynlega að geta nálgast, starfa sinna vegna og ekki hvað síst vegna þeirra sem tengjast málinu og vilja síðar nálgast upplýsingar hjá lögreglunni um viðkomandi mál og vinnslu þess.“

Hinn 17. janúar 2002, barst Persónuvernd svarbréf sýslumannsins í Kópavogi. Þar segir m.a:

„Einkum ber að athuga hvers vegna lögreglumaðurinn sem afskipti hafði af a hafi kannað um fyrri brot hans, sem skráð eru í málaskrá lögreglunnar. Lögreglumaðurinn hefur gefið á þessu eftirfarandi skýringu. Hann segir að umræddur ökumaður hafi sagt að hann væri ekki með ökuskírteini meðferðis og ekki nein önnur persónuskilríki.

Lögreglumaðurinn segist hafa hringt inn á lögreglustöðina til að láta skoða ökuskírteinaskrá og hafi nafn og kennitala sem maðurinn gaf upp passað saman. Lögreglumaðurinn sagði jafnframt að það gerðist alloft að ökumenn, einkum þeir sem hafi verið sviptir ökuleyfi, noti nafn og kennitölu annars manns og gefi það upp hjá lögreglu. Til þess að staðreyna hið rétta þurfi því að fara með menn á lögreglustöð til þess að skoða mynd af viðkomandi í ökuskírteinaskrá eða eftir atvikum að fara með mann þangað sem hann getur náð í persónuskilríki eða með öðrum hætti að leiða í ljós að viðkomandi sé sá sem hann segist vera. Í þessu tilviki hafi lögreglumaðurinn spurt viðkomandi hvort hann hafi áður komið við sögu hjá lögreglu og hafi maðurinn neitað því. Lögreglumaðurinn hafi þá beðið um að kannað væri hvort mál væru á viðkomandi í málaskrá lögreglunnar í þeim tilgangi að staðreyna fullyrðingar mannsins og komast þannig hjá því að fara með hann á lögreglustöðina. Þá hafi komið í ljós að kæra var skráð á manninn fyrir líkamsárás er átti sér stað í öðru umdæmi. Hafi lögreglumaðurinn borið þetta undir ökumann sem hafi lýst atvikum svo passaði við málaskrána og hafi lögreglumaðurinn því verið fullviss um að ökumaður skýrði rétt frá um hver hann væri.

Lögreglan þarf mjög oft að hafa afskipti af ökumönnum sem hafa gerst brotlegir við umferðarlög. Þeir eru ætíð spurðir um nafn og nafnnúmer og jafnframt eru þeir beðnir að framvísa persónuskilríkjum til þess að staðreyna framburð viðkomandi að þessu leyti. Ef viðkomandi ökumaður hefur ekki á sér persónuskilríki verður að leita annarra leiða til þess að staðreyna fullyrðingar viðkomandi. Fyrirspurn til ökumanns í greindu tilfelli um fyrri mál hjá lögreglu laut að því að fullnægja þessari rannsóknarskyldu.“

Með bréfi dags. 25. október 2001, sendi Persónuvernd a svarbréf ríkislögreglustjórans til umsagnar og með bréfi dags. 17. janúar 2002 sendi Persónuvernd a svarbréf sýslumanns í Kópavogi. Í bréfi a er barst stofnuninni hinn 21. mars sl., segir m.a:

„Í bréfinu kemur fram að lögreglumaður sá er stöðvaði mig fyrir hraðaakstur hafi gefið þær skýringar á því hvers vegna hann óskaði upplýsinga um hvort ég hefði komið við sögu lögreglunnar, að hann hafi viljað staðreyna hver ég væri til að komast hjá því að fara með mig á lögreglustöðina, þar sem ég var skilríkjalaus.

Tekur sýslumaður undir orð lögreglumannsins og segir fyrirspurn hans um fyrri mál mín hjá lögreglu hafa lotið að því að fullnægja rannsóknarskyldu hans. Af þessu tilefni vil ég ítreka fyrri spurningu mína varðandi það hvort mér beri, ef ég er stöðvaður fyrir hraðakstur eða minni umferðarlagabrot, að tíunda framangreinda kæru verði ég spurður að því hvort ég hafi komið við sögu lögreglunnar áður. Það er, ber mér skylda til við aðstæður sem þessar, að greina frá því að ég hafi hlotið kæru fyrir líkamsárás. Vil ég jafnframt benda á svarbréf ríkislögreglustjórans til Persónuverndar dags, 19. október 2001, en þar segir m.a:

„Eins og fram kemur í kvörtun a tengist umrædd líkamsárásarkæra á hendur honum á engan hátt því broti sem hann var stöðvaður fyrir í umrætt sinn, þ.e. of hröðum akstri og því engin ástæða fyrir viðkomandi lögreglumann að taka um umræðu um líkamsárásarmálið við hann.“

Auk ofangreinds vísa ég til bréfs míns til Persónuverndar, dags. 4. júlí 2001, og eru þau sjónarmið sem þar koma fram ítrekuð.“

Að loknum framangreindum bréfaskiptum taldi Persónuvernd enn vera þörf frekari skýringa og sendi því Ríkislögreglustjóra og sýslumanninum í Kópavogi bréf dagsett 29. júlí 2002. Segir þar m.a. að í ljósi 1. mgr. 13. gr. reglugerðar nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu og stofnskrár hópaheimilda Ríkislögreglustjóra, dags. 7. mars 2001, þurfi nánari upplýsingar frá sýslumanninum í Kópavogi um það hvernig staðið hafi verið að uppflettingu og miðlun umræddra upplýsinga, þ.e. hver (stöðuheiti) það hafi verið sem fletti upplýsingunum upp og miðlaði þeim til lögreglumanns á vettvangi. Þá var þess óskað að sýslumaður og ríkislögreglustjóri gerðu grein fyrir afstöðu sinni til þess hvort þeir teldu að brotið hafi verið gegn 1. mgr. 13. gr. reglugerðarinnar og þeim fyrirmælum sem fram koma í hópaheimild Ríkislögreglustjóra. Loks var þess óskað að Ríkislögreglustjóri skýrði með hvaða hætti embættið myndi bregðast við ef í ljós kæmi að brotið hefði verið gegn framangreindum fyrirmælum.

Svarbréf sýslumannsins í Kópavogi er dags. 19. september 2002. Segir þar að í umræddu tilviki hafi vinnsla persónuupplýsinga og miðlun þeirra verið í höndum vakthafandi varðstjóra. Sá varðstjóri hafi haft aðgang að málaskrá lögreglu sem stjórnandi vaktar, en vaktstjóri fellur undir aðgangshóp nr. 4, samkvæmt skilgreiningu ríkislögreglustjóra. Hafi hann því mátt afla umræddra upplýsinga. Þá segir í bréfi sýslumanns:

„Í bréfi yðar er þess farið á leit að sýslumaður geri grein fyrir afstöðu sinni hvort í umræddu tilviki hafi verið brotið gegn 1. mgr. 13. gr. rgl. 322/2001. Í því sambandi er vísað til bréfs embættisins, dags. 14. janúar s.l., þar sem fram koma útskýringar þess lögreglumanns sem hafði afskipti af a á vettvangi í umrætt sinn. Með notkun upplýsinganna á þennan hátt var lögreglumaðurinn að fullnægja tiltekinni rannsóknarskyldu. Í ljósi þessa er það mat mitt að aðgangur og notkun upplýsinganna hafi ekki brotið í bága við fyrrnefnt ákvæði reglugerðarinnar.“

Svarbréf Ríkislögreglustjóra er dags. 22. október 2002. Segir þar að ríkislögreglustjórinn hafi ekki sett neina rannsókn í gang vegna þessa máls. Ríkislögreglustjóra sé ekki kunnugt um hvaða svör sýslumaðurinn í Kópavogi hafi gefið og hafi því ekki vitneskju um afstöðu og skýringar þess embættis til málsins. Síðan segir:

„Í 4. gr. áðurnefndar reglugerðar nr. 322/2001 er kveðið á um að ríkislögreglustjóri og lögreglustjórar hver í sínu umdæmi beri ábyrgð á vinnslu persónuupplýsinga og að meðferð samrýmist reglum og stöðlum sem Persónuvernd setur um hvernig tryggja skuli öryggi upplýsinga. Þetta er síðan áréttað í reglum ríkislögreglustjórans um aðgang að landskerfum lögreglu og almennt um notkun þeirra frá 29. janúar 2002. Ríkislögreglustjóri lítur því svo á að það sé á ábyrgð viðkomandi lögreglustjóra hvernig starfsmenn þess embættis meðhöndla persónuupplýsingar sem þeir hafa eða fá vitneskju um.

Ríkislögreglustjóri telur að verði starfsmenn uppvísir að brotum á reglum um málaskrá lögreglu og aðgang að landskerfum lögreglu, þá sé nauðsynlegt að forstöðumenn viðkomandi stofnana, í þessu tilviki viðkomandi lögreglustjórar, bregðist við í samræmi við alvarleika brots í hverju tilviki fyrir sig.“

Ríkislögreglustjóri var, þann 11. nóvember sl., símleiðis beðinn að útskýra hvað felist í heimild stjórnenda vakta til fyrirspurna um "kærða aðila í málaskrá" samkvæmt reglum Ríkislögreglustjóra um aðgang að landskerfum lögreglu; einkum í ljósi þess að samkvæmt þeim hafa stjórnendur vakta aðeins heimild til að leita í málaskrá eigin embættis en ekki annarra embætta. Í svarbréfi Ríkislögreglustjóra, sem barst með tölvupósti þann 14. nóvember 2002, segir:

„Þeir sem sinna rannsóknum mála hjá lögreglu, sem og þeir sem stjórna vöktum, eiga að hafa aðgang að því að sjá alla aðila sem skráðir eru í þeim málum sem eru í vinnslu hjá þeirra embættum og að auki til að sjá kærða aðila í málum annarra embætta.

Almennir lögreglumenn hafa ekki aðgang að öðrum en kærðum aðilum í málum eigin embætta.

Í þeim tilvikum sem almennir lögreglumenn eru að störfum úti á vettvangi og þurfa á upplýsingum að halda um mál eða aðila í þeim, hafa þeir ýmist samband við fjarskiptamiðstöð lögreglunnar eða við stjórnanda vaktar í sínu embætti. Viðkomandi lögreglumaður leggur mat á það á vettvangi hvaða upplýsingar hann telur sig þurfa og óskar eftir þeim.

Starfsfólk fjarskiptamiðstöðvarinnar og þeir sem stjórna vöktum hafa oft ekki tíma til að setja sig inn í aðstæður á vettvangi og treysta því á dómgreind lögreglumanna á vettvangi varðandi umbeðnar upplýsingar.“

III.

Niðurstaða Persónverndar

Tilgangur laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, með áorðnum breytingum, er m.a. að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs ásamt því að tryggja áreiðanleika og gæði slíkra upplýsinga. Til að svo megi verða ber að tryggja að öll notkun persónuupplýsinga sé með sanngjörnum, málefnalegum og lögmætum hætti, þær fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 7. gr. laganna. Er í lögunum nánar kveðið á um réttarstöðu hins skráða, skyldur ábyrgðaraðila og hvaða skilyrði uppfylla þurfi til að vinnsla persónuupplýsinga sé heimil.

Vinnsla persónuupplýsinga telst hver sú aðgerð sem nota má til að gera upplýsingar tiltækar, þ.m.t. söfnun, skráning, varðveisla, leit, breyting og miðlun. Í 8. gr. laganna er kveðið á um almennar reglur um heimildir fyrir vinnslu persónuupplýsinga og í 9. gr. um sérstök skilyrði sem uppfylla þarf þegar um er að ræða vinnslu viðkvæmra persónuupplýsinga. Til viðkvæmra upplýsinga teljast m.a. upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað, sbr. b-lið 8. tl. 2. gr. laganna.

Um starfsemi lögreglu gilda ýmsar sérreglur er ýmist ganga framar framangreindum ákvæðum eða standa þeim til fulltyngis. Hlutverk lögreglu er rakið í 1. gr. laga nr. 90/1996, um stofnanir löggæslu og lögreglumenn, með áorðnum breytingum. Skal lögregla m.a. vinna að uppljóstran brota, stöðva ólögmæta háttsemi og fylgja málum eftir í samræmi við það sem mælt er fyrir um í lögum nr. 19/1991, um meðferð opinberra mála, eða öðrum lögum, sbr. c-lið 2. mgr. 1. gr. laga nr. 90/1996. Ríkislögreglustjóri skal halda málaskrá um kærur sem lögreglu berast um afbrot með öllum nauðsynlegum upplýsingum sem mál varða og halda skrá yfir handtekna menn, sbr. i-lið 1. mgr. 5. gr. laga nr. 90/1996, sbr. lög. nr. 15/2000. Skal dómsmálaráðherra setja nánari reglur um þessar skrár. Ákvæði um skráningu persónuupplýsinga hjá lögreglu er jafnframt að finna í 3. mgr. 19. gr. laga nr. 19/1991, um meðferð opinberra mála. Segir þar að dómsmálaráðherra skuli setja fyrirmæli í reglugerð um kerfisbundna skráningu og varðveislu lögreglu á upplýsingum um brotaferil einstakra manna eða atriði sem varða einkahagi þeirra. Samkvæmt 3. mgr. 45. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, skal í reglugerð kveðið á um eftirlitshlutverk Persónuverndar með rafrænni vinnslu persónuupplýsinga hjá lögreglu, ráðstafanir til að tryggja öryggi þeirra og innra eftirlit með þeim ráðstöfunum. Gilda um þessi atriði reglugerð nr. 322/2001, frá 9. apríl 2001, um meðferð persónuupplýsinga hjá lögreglu.

a óskar í fyrsta lagi álits Persónuverndar á því hvort heimild standi til þess að lögum að lögregla varðveiti upplýsingar um kæru sem felld hafi verið niður og ef svo sé, hve lengi megi varðveita slíkar upplýsingar.

Í 1. tl. 2. gr. reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu, er tilgreint hvað skuli skrá í málaskrá lögreglu. Segir þar að upplýsingar um málsaðila og aðra þá sem mál varðar skuli skráðar, s.s. nöfn þeirra, kennitala, lögheimili og dvalarstaður, upplýsingar um vettvang brots eða atburðar, brotaflokk, lista yfir skýrslur málsins ásamt upplýsingum um rannsóknarferil. Í 1. mgr. 5. gr. segir að vinnsla lögreglu á persónuupplýsingum skuli takmörkuð við upplýsingar sem eru nauðsynlegar vegna lögreglustarfa. Segir ennfremur að eftir því sem frekast er unnt skuli vinnsla persónuupplýsinga bundin við sannreyndar upplýsingar. Í 6. gr. kemur fram að persónuupplýsingum skuli miðla innan lögreglu að því marki sem nauðsynlegt er vegna lögreglustarfa. Af framangreindu er ljóst að lögreglu ber lögum samkvæmt að halda skrár með tilgreindum persónuupplýsingum um þá sem grunaðir eru um refsiverð brot.

Ríkislögreglustjóri vísar til þess í bréfi sínu, dags. 19. október 2001, að í þeim drögum að reglum um málaskrá lögreglunnar sem unnið sé að, sé lögð til varðveisla þeirra upplýsinga sem byggja á formlegri kæru til lögreglu eða á framburðarskýrslu sem tekin hefur verið samkvæmt ákvæðum um sakborninga í lögum nr. 19/1991, um meðferð opinberra mála, en hvort tveggja eigi við í þessu máli. Rökin séu þau að lögregla verði að geta nálgast upplýsingar um slík mál og þá aðila sem þeim tengjast vegna starfa sinna en ekki síður vegna þeirra sem tengjast málinu og vilja síðar nálgast upplýsingar hjá lögreglunni um viðkomandi mál og vinnslu þess.

Sú meginregla laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, um eyðingu persónuupplýsinga þegar ekki telst lengur málefnaleg ástæða til að varðveita þær, sbr. 26. gr. laganna, tekur ekki til upplýsinga hjá lögreglu, sbr. 2. mgr. 3. gr. laganna. Mælt er fyrir um eyðingu slíkra upplýsinga hjá lögreglu í 2. mgr. 13. gr. reglugerðar nr. 322/2001 en þar segir að eyða skuli skráðum persónuupplýsingum sem ekki teljast lengur nauðsynlegar í þágu lögreglustarfa vegna aldurs þeirra eða af öðrum ástæðum. Verður að fallast á það með ríkislögreglustjóra að upplýsingar um mál, sem felld hafa verið niður vegna ónógra sannana, geti haft þýðingu síðar vegna rannsókna annarra mála. Upplýsingarnar séu því enn nauðsynlegar vegna lögreglustarfa, sbr. 1. mgr. 5. gr. reglugerðar nr. 322/2001. Þá er ljóst að slíkar upplýsingar geta haft þýðingu fyrir réttarstöðu annarra, svo sem brotaþola.

Með vísun til framangreinds, og að því virtu að telja verður að varðveisla upplýsinganna eiga sér málefnalegan tilgang í skilningi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, er það niðurstaða Persónuverndar að fullar heimildir lögreglu hafi staðið til að halda umrædda skrá og varðveita þær persónuupplýsingar sem um er rætt í máli þessu.

a óskar í öðru lagi álits Persónuverndar á lögmæti þess að ofangreindum upplýsingum um hann hafi verið miðlað úr málaskrá lögreglu til lögreglumanns á vettvangi vegna gruns um að hann hafi brotið ákvæði umferðarlaga. Óumdeilt er að a ók umrætt sinn bifreið án þess að hafa meðferðis ökuskírteini eða annað persónuskilríki.

Í bréfi sýslumannsins í Kópavogi, dags.19. september 2002, kemur fram að leit í málaskrá að upplýsingum um a og miðlun þeirra til lögreglumanns á vettvangi hafi verið í höndum vakthafandi varðstjóra. Samkvæmt 1. mgr. 13. gr. reglugerðar nr. 322/2001 skal aðgangur lögreglumanna að persónuupplýsingum ekki vera rýmri en nauðsynlegt er með hliðsjón af þeim verkefnum sem þeir hafa með höndum. Hefur ríkislögreglustjóri á grundvelli þessa samþykkt sérstaka stofnskrá hópaheimilda, sem flokkar starfsmenn lögreglu í hópa og skilgreinir aðgang hvers hóps að skrám lögreglu og hvaða tilgangur telst lögmætur. Þegar umræddur atburður átti sér stað var í gildi slík stofnskrá frá 7. mars 2001. Samkvæmt henni var heimild stjórnenda vakta og almennra lögreglumanna til aðgangs að gögnum í málaskrá takmörkuð við fyrirspurnir um gögn viðkomandi embættis en tilgreind heimild til fyrirspurna um kærða aðila. Samkvæmt þeirri stofnskrá sem fylgdi tölvupóstsbréfi Ríkislögreglustjóra frá 14. nóvember sl. eru tekin af öll tvímæli um að stjórnendur vakta hafi aðgang að gögnum í málaskrá annarra embætta um kærða aðila. Af framansögðu verður að telja ljóst að umræddur vaktstjóri hafði heimild til aðgangs að gögnum um kærða einstaklinga í málaskrá lögreglu skráðum hjá öðrum embættum samkvæmt skilgreiningu og flokkun embættis ríkislögreglustjóra. Af sömu heimildum má ráða að almennur lögreglumaður hefur ekki þennan aðgang.

Það að leita að persónuupplýsingum í landskerfinu telst vera vinnsla persónuupplýsinga í skilningi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Samkvæmt 5. gr. reglugerðar nr. 322/2001 skal vinnsla persónuupplýsinga hjá lögreglu takmörkuð við þær upplýsingar sem eru nauðsynlegar vegna lögreglustarfa. Eru fyrirspurnir um einstök mál og aðila þeirra færðar í sérstaka skrá (log-skrá), til að tryggja rekjanleika þeirra. Þá er og af gögnum málsins ljóst að starfsmaður sem gerir fyrirspurn í landskerfið getur búist við því síðar að vera spurður um ástæður fyrirspurnar. Er það því á ábyrgð hvers notanda og eftir atvikum yfirmanns hans að sjá til þess að sérhver fyrirspurn sem gerð er sé í samræmi við notendaheimild og þær reglur sem ríkislögreglustjóri hefur sett, þ.m.t. að sérhver fyrirspurn eigi sér yfirlýstan, skýran og málefnalegan tilgang sbr. 2. tl. 7. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Miðlun upplýsinga úr málaskrá lögreglu um a er ein tegund vinnslu í skilningi laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, með áorðnum breytingum og verður að eiga sér stoð í þeim sérlögum og reglum sem um starfsemi lögreglu gilda. Um miðlun upplýsinga innan lögreglu er fjallað í 1. mgr. 6. gr. reglugerðar nr. 322/2001 en þar segir að upplýsingum skuli einungis miðlað að því marki sem nauðsynlegt er vegna lögreglustarfa. Er ákvæðið í samræmi við ákvæði 7. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, um að sérhver vinnsla sé sanngjörn, málefnaleg og lögmæt og að öll meðferð upplýsinganna sé í samræmi við vandaða vinnsluhætti, sbr. 1. tl. og að þær séu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tl. 7. gr.

Ástæður þess að vaktstjóri miðlaði upplýsingum úr málaskrá lögreglu um a til lögreglumanns á vettvangi eru raktar í bréfi sýslumannsins í Kópavogi, dags. 14. janúar 2002. Af gögnum málsins er ljóst að tilgangur þess að takmarka aðgang að landskerfinu við tiltekna vinnuhópa er að tryggja öryggi upplýsinganna og skilgreina ábyrgð hvers og eins á að öll notkun, þ.m.t. miðlun, sé í samræmi við lög og þær reglur sem ríkislögreglustjóri hefur sett. Styðst framangreint sjónarmið við þau ákvæði reglna ríkislögreglustjóra um aðgang að landskerfum lögreglu og almennt um notkun þeirra frá 29. janúar 2002 er m.a. bannar notkun notendaheitis, sem öðrum hefur verið úthlutað, bannar að öðrum sé veittur aðgangur að landskerfunum með því að lána notandaheiti og lykilorð, kveður á um að starfsmaður sem gerir fyrirspurn geti búist við því síðar að verða spurður um ástæður fyrirspurnar og að allar fyrirspurnir eru rekjanlegar. Verður að telja að í framangreindum reglum felist skylda þess, sem aðgang hefur, til að staðreyna að lagastoð standi til miðlunar upplýsinga um einstök mál eða einstaka aðila úr landskerfinu.

Óumdeilt er að á lögreglunni hvílir skylda til að staðreyna að sá sem grunaður er um refsiverðan verknaði sé sá sem hann segist vera. Þrátt fyrir heimildir í lögum um skráningu persónuupplýsinga hjá lögreglu er ljóst að hún má ekki ganga lengra í vinnslu persónuupplýsinga en nauðsyn ber til starfs hennar vegna. Ber lögreglu að gæta þar meðalhófs, sbr. 7. gr. laga nr. 77/2000. Samkvæmt 12. gr. stjórnsýslulaga nr. 37/1993 skal stjórnvald því aðeins taka íþyngjandi ákvörðun þegar lögmætu markmiði, sem að er stefnt, verður ekki náð með öðru og vægara móti. Skal þess þá gætt að ekki sé farið strangar í sakirnar en nauðsyn ber til, en ljóst er að slík aðgerð að taka ökumann af vettvangi og flytja hann á lögreglustöðina til þess að skoða af honum mynd í ökuskírteinaskrá eða flytja hann á annan stað þar sem hann getur útvegað persónuskilríki jafngildir í raun tímabundinni frelsisskerðingu.

Að mati Persónuverndar er mikilvægt við slíkar aðstæður sem hér um ræðir að virða framangreinda meðalhófsreglu stjórnsýsluréttarins. Í þessu tilviki voru upplýsingar í málaskrá lögreglu notaðar til að bera kennsl á mann sem lögreglumaður á vettvangi hafði grun um að hefði framið umferðarlagabrot. Ekki hefur verið sýnt fram á að önnur, og eftir atvikum vægari, leið hafi ekki verið fær til þess að bera kennsl á hann. Í ljósi þess og að því virtu að þær upplýsingar sem vaktstjóri miðlaði úr málaskrá voru alls óviðkomandi þeirri rannsókn sem fram fór á vettvangi af tilefni meints umferðarlagabrots, er það mat Persónuverndar að miðlun þeirra til lögreglumanns á vettvangi hafi farið í bága við þær meginreglur um gæði gagna og vinnslu sem kveðið er á um í 1 og 2. tl. 7. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. og einnig 1. mgr. 5. gr. reglugerðar nr. 322/2001, um meðferð persónuupplýsinga hjá lögreglu.

a óskar að lokum álits Persónuverndar á því hvort honum beri skylda til að upplýsa lögreglu um framangreinda kæru ef spurður um fyrri afskipti lögreglu af honum. Úrlausn þessa máls fellur utan valdsviðs Persónuverndar og verður þegar af þeirri ástæðu ekki fjallað nánar um það af hennar hálfu.

Álitsorð

Það er álit Persónuverndar að lögreglu hafi verið heimilt að skrá og varðveita upplýsingar um kæru á hendur a vegna gruns um líkamsárás en að óheimilt hafi verið að miðla þeim til lögreglumanns á vettvangi í því skyni að staðreyna að a væri sá sem hann sagðist vera.

4.5. Lögmæti skráningar agabrota í skólum

Með bréfi Persónuverndar, dags. 13. nóvember 2002, var fyrirspyrjanda kynnt niðurstaða í máli nr. 2002/444. Í því bréfi segir:

Persónuvernd hefur borist erindi yðar, dags. 24. september sl., þar sem spurt er hvort ferilskráning agabrota stríði gegn lögum um persónuvernd. Með bréfi yðar fylgdu eftirfarandi gögn:

1. „Ferli við agabrotum í Setbergsskóla (8.-10. bekkir)“. Hér er um að ræða lista yfir tegundir agabrota og viðbrögð við þeim. Neðst á listanum er vísað til 8. gr. reglugerðar um skólareglur í grunnskóla nr. 385/1996, sem sett er með stoð í 41. gr. laga um grunnskóla nr. 66/1995. Þar segir:

„Gagnvart nemanda sem ekki lætur sér segjast, þrátt fyrir undangengnar aðvaranir og áminningar, má grípa til þeirra hámarksviðurlaga að taka nemanda úr kennslu og láta hann fást við önnur viðfangsefni það sem eftir lifir skóladags. Einnig er heimilt að vísa nemanda tímabundið úr kennslustundum í ákveðninni námsgrein.

Við beitingu þessara viðurlaga skal tryggt að nemandi sé í umsjá starfsmanns á vegum skólans. Ef allt um þrýtur og nemandi lætur sér enn ekki segjast, ef ítrekuð brot hans á skólareglum eru alvarleg, eða hann stefnir eigin eða annarra lífi eða heilsu í hættu innan skólans, má vísa nemanda um stundarsakir úr skóla á meðan reynt er að finna lausn á máli hans.“

2. „Skólareglur Setbergsskóla“. Meðal þeirra er þessi regla:

„Brjóti nemandi reglur skólans er unnið samkvæmt fyrirfram ákveðnu ferli sem byggt er á 41. gr. laga um grunnskóla og nánari ákvæðum reglugerðar um skólareglur og aga í grunnskólum.“

3. Sýnishorn af kynningarbréfi til „forráðamanna nemenda í 8.-10. bekkjum Setbergsskóla.“ Á því er gert ráð fyrir að forráðamaður kvitti fyrir því að hafa séð umrætt bréf og meðfylgjandi gögn.

II.

Skráning agabrota í skólum telst til vinnslu persónuupplýsinga samkvæmt lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga (hér eftir nefnd pul). Vinnsla persónuupplýsinga verður að eiga sér stoð í einhverju þeirra skilyrða sem kveðið er á um í 8. gr. og einnig 9. gr. pul ef um viðkvæmar persónuupplýsingar er að ræða, en með hliðsjón af b-lið 8. tl. 2. gr. pul lítur Persónuvernd svo á að upplýsingar um agabrot teljist til viðkvæmra persónuupplýsinga.

Að virtu ákvæði 2. mgr. 8. gr. rgl. nr. 385/1996, þar sem gert er ráð fyrir viðbrögðum við ítrekuðum agabrotum, telur Persónuvernd að uppfyllt sé skilyrði 3. tl. 8. gr. pul, enda leiðir af eðli máls að vart verða viðhöfð samræmd viðbrögð við ítrekuðum brotum nema viðhöfð sé einhvers konar skráning þeirra. Varðandi ákvæði 9. gr. pul hins vegar kemur helst til greina ákvæði 1. tl. um samþykki hins skráða. Í ljósi þess bendir Persónuvernd yður á þann möguleika að breyta texta kynningarbréfs þannig að þar komi ekki einungis fram að sá sem fer með forsjá barns staðfesti móttöku bréfsins heldur einnig hvort hann samþykki mögulega skráningu agabrota sem barnið fremur.

Tekið skal fram að öll vinnsla sem er heimil samkvæmt framangreindum ákvæðum 8. og 9. gr. pul þarf að uppfylla ákvæði 7. gr. sömu laga um gæði og vandaða vinnslu. Í því felst m.a. áskilnaður um að persónuupplýsingar séu unnar í skýrum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi og að þær séu ekki geymdar lengur en þörf krefur til að miðað við þennan tiltekna tilgang. Þá ber að gera viðeigandi ráðstafanir til að vernda upplýsingarnar gegn ólöglegmætum aðgangi og tryggja að ekki aðrir hafi aðgang að upplýsingunum en þeir sem þess þurfa nauðsynlega starfs síns vegna.

Að lokum skal tekið fram að skylt er að tilkynna ofangreinda vinnslu persónuupplýsinga til Persónuverndar, sbr. reglur 90/2001 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Það má gera með rafrænum hætti á heimasíðu Persónuverndar, www.personuvernd.is, með því að smella á hnappinn: „Tilkynna vinnslu“ og fylla út þar til gert eyðublað. Þar er jafnframt að finna lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, með áorðnum breytingum og þær reglur sem vísað er til hér að framan.

4.6. Álit Persónuverndar á birtingu sjónvarpsþáttar hjá RÚV

Með bréfi Persónuverndar, dags. 16. september 2002 var kvartanda kynnt álit í máli nr. 2002/129. Í því bréfi segir:

Með bréfi, dags. 27. febrúar sl., barst Persónuvernd erindi frá yður þar sem þér fóruð þess á leit við Persónuvernd, fyrir hönd umbjóðanda yðar, A, að stofnunin beitti sér fyrir því að þáttur um morð á eiginmanni hennar yrði ekki sýndur opinberlega eða sýningu hans að minnsta kosti frestað þar til niðurstaða stofnunarinnar lægi fyrir um það hvort sýning þáttarins stríddi gegn lögum. Senduð þér afrit af bréfi yðar til framleiðanda þáttarins, Hugsjónar, og Ríkisútvarpsins.

Persónuvernd sendi Ríkisútvarpinu bréf, dags. 4. mars, þar sem því var boðið að tjá sig. Bárust Persónuvernd síðan bréf frá Kristjáni Þorbergssyni hrl., dags. 5. mars, þar sem málstað Hugsjónar og Ríkisútvarpsins var lýst, og hinn 7. mars barst stofnuninni símbréf frá yður sem með fylgdi bréf frá Kristjáni Þorbergssyni til yðar, dags. 7. mars, þar sem því var hafnað að hætt yrði við sýningu umrædds þáttar, og bréf yðar til Kristjáns, dags. sama dag, þar sem tilmæli yðar um að hætt yrði við sýninguna voru ítrekuð. Með bréfi, dags. 8. mars, lýsti Persónuvernd þeirri afstöðu sinni að hún gæti ekki hindrað birtingu þáttarins þar sem um væri að ræða vinnslu sem félli undir 2. málsl. 5. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þar eru talin upp þau ákvæði sem geta átt við um slíka vinnslu sem hér um ræðir, og er 40. gr. laganna, sem veitir Persónuvernd það úrræði að stöðva vinnslu persónuupplýsinga, ekki eitt þeirra.

Hinn 19. mars barst Persónuvernd síðan bréf yðar, dags. 11. mars, þar sem þér óskuðuð þess að stofnunin tæki málið til skoðunar á nýjan leik og tæki afstöðu til þess hvort brotið hefði verið gegn ákvæðum II. kafla laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Vísuðuð þér einkum í þessu sambandi til 7. gr. laganna. Samtímis barst stofnuninni annað bréf frá yður, dags. 12. mars, en með því senduð þér Persónuvernd afrit af siðareglum Blaðamannafélags Íslands og lýstuð þeirri afstöðu yðar að Hugsjón hefði brotið gegn 3. gr. siðareglnanna; gæti fyrirtækið því ekki „skákað í skjóli“ 5. gr. laga nr. 77/2000. Með bréfi, dags. 11. apríl, bauð Persónuvernd Hugsjón að tjá sig um bréf yðar, dags. 11. og 12. mars, og barst Persónuvernd svar frá fyrirtækinu með tölvupósti hinn 24. apríl þar sem málstað þess var lýst. Með bréfi, dags. 29. apríl, bauð Persónuvernd yður síðan að tjá yður um svar Hugsjónar sem þér gerðuð með bréfi, dags. 2. maí.

Hefur Persónuvernd nú tekið málið til skoðunar að nýju og tekið afstöðu til þess hvort brotið hafi verið gegn ákvæðum laga nr. 77/2000 við sýningu umrædds þáttar.

II.

Sá sjónvarpsþáttur, sem hér um ræðir, var sýndur í Ríkissjónvarpinu hinn 10. mars sl. og er úr þáttaröðinni „Sönn íslensk sakamál“. Hann fjallar um morð sem framið var í Reykjavík árið 1990 og lýsir aðdraganda morðsins, morðinu sjálfu og rannsókn þess. Einkum er fjallað um þá sem frömdu morðið og það hvernig eiturlyfjaneysla þeirra átti þátt í að þeir gerðust sekir um verknaðinn. Ekki er fjallað mikið um hinn myrta en þó er dregin upp jákvæð mynd af honum í leiknum atriðum. Í þeim er einnig sýnt með allnákvæmum hætti hvernig hann var myrtur. Er þá sýnt hvernig hann var margsinnis sleginn í höfuðið með barefli, en eftir eitt höggið sést hann falla harkalega niður stiga, og stunginn. Sést hann síðan liggja í blóði sínu. Seint í þættinum er atburðarásin sýnd á tvo mismunandi vegu og kemur fram í þáttarlok að hin leiknu atriði eru ekki heimildir um atburðinn. Á milli þeirra eru sýndar beinar heimildir, t.d. viðtöl og jafnvel rannsóknargögn.

III.

Hér á eftir fer lýsing á málatilbúnaði yðar og Hugsjónar frá því að þér óskuðuð þess að málið yrði tekið til skoðunar á nýjan leik. Verður hér rakið efni bréfa sem málið varða og borist hafa Persónuvernd frá 19. mars sl., en þá bárust stofnuninni bréf yðar, dags. 11. og 12. mars, eins og áður segir.

Í bréfi yðar til Persónuverndar, dags. 11. mars, segir meðal annars:

„Til rökstuðnings framangreindum tilmælum er almennt vísað til efnismeðferðar sem viðhöfð var í nefndum þætti. Þar var atlaga að hinum myrta sviðsett og sömu ofbeldisatriðin margsýnd með einkar ýktum og blóðugum hætti. Þátturinn er sagður byggja á dómi Hæstaréttar sem birtur var í dómasafni árið 1991 bls. 1199 til 1233. Mörg atriðanna voru þess eðlis að vandséð er að hinn birti dómur gefi tilefni til þeirra. Sum atriðanna eiga sér ekki stoð í hinum birta dómi og önnur ganga mun lengra en lesa má úr dóminum. Þá voru birtar myndir af málsskjölum og að því er virðist hampað upplýsingum sem ekki eru aðgengilegar almenningi. Það er sérstakt rannsóknarefni. Ég lít svo á að þátturinn sé bæði í heild sinni og hvað varðar einstök efnisatriði harkaleg atlaga gegn friðhelgi einkalífs ekkju hins myrta og börnum þeirra og alvarlegt brot á lögum nr. 77/2000. Má í þessu sambandi benda á að eitt barnanna hefur allt frá þessum atburði átt við erfið geðræn vandamál að stríða og er gerð þáttarins, sýning hans og sennileg endursýning beinlínis til þess fallin að valda frekari skaða fyrir það og fjölskylduna alla. Þá tel ég sérstaklega ámælisvert að forsvarsmenn Hugsjónar…hafi fullunnið þáttinn og ríkissjónvarpið tekið hann til sýningar þrátt fyrir gefin fyrirheit um stöðvun á vinnslu og sýningu hans. Þar gengu forsvarsmenn Hugsjónar…á bak orða sinna og gáfu fjölskyldu hins myrta eða mér sem talsmanni hennar engan kost á að hafa áhrif á vinnsluna eða efnistökin þannig að þau yrðu sanngjörn, vönduð og málefnaleg. Efnistökin eru að mínu mati fjarri því að vera viðeigandi og langt umfram það sem telja má nauðsynlegt miðað við meintan tilgang þáttarins. Þá áttu umb. m. ekki kost á að stöðva sýningu þáttarins vegna skamms fyrirvara en þó einkum af fjárhagslegum ástæðum. Hvorki Hugsjón…né Ríkisútvarpið sáu ástæður til þess að sýna umbj. m. þá nærgætni og sjálfsögðu kurteisi að tilkynna sýningu þáttarins með góðum fyrirvara. Fréttu umbj. m. af málinu fyrir tilviljun.“

Einnig segir í bréfi yðar, dags. 11. mars: „Athugun Persónuverndar hlýtur að helgast af þeirri grundvallarreglu að mannréttindaákvæði eru sett til verndar einstaklingum en ekki ríkinu eða lögaðilum sem leiðir til þess að túlka verður ákvæði 5. gr. laga nr. 77/2000 þröngt.“

Í bréfi yðar til Persónuverndar, dags. 12. mars, segir: „Sérstök athygli er vakin á 3. gr. [siðareglna Blaðamannafélags Íslands]. Ég tel að þessa reglu hafi forsvarsmenn Hugsjónar…og Ríkisútvarpsins virt að vettugi og geti ekki skákað í skjóli 5. gr. laga nr. 77/2000.“

Í tölvupósti Hugsjónar til Persónuverndar frá 24. apríl segir meðal annars:

„Leiknu atriðin…eru sýn leikstjórans á þá atburði sem verkið fjallar um. Þar er ekki um heimild að ræða. Það er beinlínis tekið fram á skilti í lok þáttarins að þau atriði séu ekki heimildir um atburðinn. Þessi skáldaði hluti er byggður á lýsingum vitna og ýmsum upplýsingum um atburðarásina, en birta sýn leikstjórans á efninu. Þannig er til dæmis í umræddum þætti hluti atburðarásarinnar sýndur gerast á tvo mismunandi vegu. Leikstjórinn hefur eðlilegt skáldaleyfi til að segja söguna eins og hún kemur honum fyrir sjónir.

Rétt er að taka fram að umræddur þáttur fjallar ekki um fórnarlambið heldur um morðingjana. Fórnarlambið er hér í aukahlutverki og fókus myndarinnar er allur á ódæðismönnunum. Þeir voru eiturlyfjaætur í leit að peningum fyrir næsta skammti og hikuðu ekki við að myrða, á hrottafenginn hátt, saklausan mann sem varð fyrir þeim nánast af tilviljun.

Við höfum mikla samúð með aðstandendum fórnarlambsins en það er erfitt að ímynda sér að rétt sé að takmarka opinbera umfjöllun um ofbeldisverk eða slysfarir af þeim ástæðum.

Sagan sem þátturinn segir er sú að eiturlyfin geta haft skelfilegar afleiðingar í samfélagi okkar, ekki síður en í stærri þjóðfélögum. Hann er sterk viðvörun til fólks um þær afleiðingar sem eiturlyfjafíknin getur haft. Vegna þessa boðskapar sögunnar var ákveðið að sýna þáttinn nú í tengslum við þátt um Stóra fíkniefnamálið sem sýndur var viku seinna. Sá þáttur fjallaði um smygl á eiturlyfjum til Íslands og rakti hversu skipulögð og víðtæk slík starfsemi er orðin. Því þótti rétt að þáttur sem sýndi vel skelfilegar afleiðingar þessarar starfsemi fylgdi með í þáttaröðinni.

A segir í bréfi sínu að Hugsjón hafi gengið á bak orða sinna um að stöðva vinnslu og sýningu þáttarins…langar mig að leiðrétta þetta. Hið rétta er að fyrir fjórum árum höfðum við uppi áform um að gera þátt um þetta efni. Þá setti A sig í samband við okkur og bað um að ekki yrði ráðist í þáttagerðina af tillitssemi við aðstandendur fórnarlambsins. Við urðum við þessari beiðni. Bæði var að á þessum tíma hafði enginn þáttur í þáttaröðinni verið sýndur og fólk hafði því meiri ástæðu til að óttast efnistökin en nú þegar gerðir hafa verið 16 þættir um allar tegundir sakamála. Hins vegar sátu morðingjarnir enn inni og málinu þannig ekki endanlega lokið. Þegar við hættum við gerð þáttarins fyrir fjórum árum var ekki gefið neitt fyrirheit um að aldrei yrði gerður þáttur um þetta mál. Það hefði því verið sanngjarnara að virða það til betri vegar að fresta gerð þáttarins um fjögur ár fremur en að nota það okkur til hnjóðs.

Þegar hafa verið raktar ástæður þess að ákveðið var að ráðast í gerð þáttarins núna enda eru liðin tólf ár frá því að atburðurinn átti sér stað. Það er að mínu viti ekki hægt með nokkurri sanngirni að ætlast til þess að ekki sé fjallað um atburði eins og þennan svo löngu eftir að hann átti sér stað – nema setja á hann einhverskonar umfjöllunarbann um aldur og æfi.

A klikkir út í bréfi sínu með því að segja að umbjóðandi sinn hafi frétt af málinu fyrir tilviljun. Það þykja mér skrítnar fréttir í ljósi þess að ég hringdi í son hins myrta tveimur vikum fyrir sýningu þáttarins og bað hann láta fjölskyldu sína vita af sýningu hans.

Það er enginn vafi á að aðstandendur fórnarlambsins hafa orðið fyrir miklum og sárum missi. Þess heldur sem öllum ber saman um, eins og fram kemur í þættinum, að hann hafi verið einstaklega góður maður. Við höfum mikla samúð með aðstandendum hans og getum vel skilið að öll upprifjun þessa ljóta máls geti valdið þeim sársauka. Það er hins vegar ekki hægt að ætlast til þess að þessi saga verði aldrei sögð opinberlega.“

Í bréfi yðar til Persónuverndar, dags. 2. maí, segir meðal annars:

„Í bréfi [Hugsjónar] er gerð grein fyrir eðli myndarinnar og efnistökum. Þar segir meðal annars að byggt sé á beinum heimildum og leiknum, skálduðum, atriðum, fórnarlambið sé í aukahlutverki o.fl. Í þessu samhengi ítreka ég bréf mitt dags. 11. mars 2002 og þá gagnrýni sem þar er sett fram um efnistök, notkun heimildanna. Í myndinni er með skelfilegum hætti sýnt margsinnis hvernig hinn látni var barinn og stunginn og dreginn niður stiga. Að sögn B tekur leikstjórinn sér það "skáldaleyfi" að sýna atburðina á tvo vegu. Er vandséð hvernig þessi efnistök þjóna meintum tilgangi gerðar og sýningar myndarinnar. Efnismeðferðin er einfaldlega óásættanleg og gekk afar nærri persónum og einkalífi umbj. m. Hún var að mínu mati brot á friðhelgi einkalífs þeirra. Þá er rétt að taka það fram, að leitað var til a fyrir eða í upphafi gerðar myndarinnar í október 1998 og óskað eftir samstarfi við hana. Hún lagðist eindregið gegn gerð myndarinnar og fékk þau svör að hætt hefði verið við hana. Hún var aldrei upplýst um það að hér væri um tímabundna ákvörðun að ræða og aðstandendur myndarinnar létu hana eða fjölskyldu hennar aldrei vita af því að hafist hefði verið handa á nýjan leik. a vissi ekki af meintu símtali við son hennar.“

IV.

Álit Persónuverndar

Þær upplýsingar, sem unnið var með í umræddum þætti, eru persónuupplýsingar, sbr. 1. tölul. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga þar sem hugtakið persónuupplýsingar er skilgreint sem: „Sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi [skáletrun Persónuverndar].“ Liggur því fyrir að gerð og birting umrædds sjónvarpsþáttar fól í sér vinnslu persónuupplýsinga. Í 2. málsl. 5. gr. laga nr. 77/2000 segir: „Þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gilda aðeins ákvæði 4. gr., 1. og 4. tölul. [1. mgr.] 7. gr., 11.–13. gr. og 24., 28., 42. og 43. gr. laganna.“ Af þessu leiðir að framangreind vinnsla persónuupplýsinga lýtur ákvæðum laga nr. 77/2000 aðeins að takmörkuðu leyti.

Af þeim ákvæðum, sem vísað er til í 2. málsl. 5. gr., eru það einkum 1. og 4. tölul. 1. mgr. 7. gr. sem hér geta átt við eftir efni sínu. Samkvæmt 1. tölul. skal þess gætt við vinnslu persónuupplýsinga að þær séu, meðal annars, unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga. Samkvæmt 4. tölul. skal þess meðal annars gætt að þær persónuupplýsingar, sem unnið er með, séu áreiðanlegar.

Lögum nr. 77/2000 er hvorki ætlað að girða fyrir né banna gerð sjónvarpsþátta eða annars efnis um sakamál sem raunverulega hafa orðið og öllum er kunnugt um. Hins vegar leiða reglur laganna til þess að efnistök verða að samrýmast grundvallarsjónarmiðum um friðhelgi einkalífs. Í 1. mgr. 1. gr. laganna segir þannig, meðal annars, að markmið þeirra sé „að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs.“

Við úrlausn þessa máls reynir á mörk tjáningarfrelsis og einkalífsréttar. Skal því, áður en lengra er haldið, vikið nokkrum orðum að valdi Persónuverndar til að skera úr um hvort rétturinn til tjáningarfrelsis hafi verið misnotaður á kostnað réttarins til friðhelgi einkalífs.

Kveðið er á um grundvallarregluna um tjáningarfrelsi í 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu sem hefur lagagildi hér á landi, sbr. 1. gr. laga nr. 62/1994. Lög nr. 77/2000 verður að skýra með þeim hætti að þau brjóti ekki gegn þessari grundvallarreglu. Tjáningarfrelsið er þó ekki án undantekninga þar sem það getur skarast við grundvallarregluna um rétt manna til friðhelgi einkalífs, sem verndaður er af 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu, og getur það í vissum tilvikum þurft að víkja fyrir þeim rétti.

Verkefnum Persónuverndar er lýst í 37. gr. laga nr. 77/2000. Þar segir meðal annars að Persónuvernd skuli úrskurða í ágreiningsmálum sem upp kunna að koma um vinnslu persónuupplýsinga. Að mati Persónuverndar verður ekki litið svo á að í þessu felist að hún hafi vald til að taka bindandi ákvörðun um það hvort einhver hafi skapað sér ábyrgð að lögum með misnotkun á stjórnarskrárbundnum rétti til tjáningarfrelsis. Er þá sérstaklega litið til þess að samkvæmt 2. málsl. 5. gr. laga nr. 77/2000 fellur vinnsla, sem einvörðungu fer fram í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi, utan ramma flestra ákvæða laganna, þ.á m. ákvæða 40. og 41. gr. sem veita Persónuvernd valdheimildir vegna vinnslu persónuupplýsinga. Að mati Persónuverndar fellur úrlausn slíkra mála undir valdsvið dómstóla. Í ljósi 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000, þar sem segir að Persónuvernd skuli, samkvæmt beiðni eða að eigin frumkvæði, tjá sig um álitaefni varðandi meðferð persónuupplýsinga, lítur stofnunin hins vegar svo á að henni beri að tjá sig um hvort við gerð umrædds þáttar hafi verið brotið gegn þeim ákvæðum laga nr. 77/2000 sem fjalla um vinnslu persónuupplýsinga í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi. Fer það álit hennar hér á eftir:

Persónuvernd hefur aflað sér eintaks af umræddum þætti og kynnt sér efni hans. Þar er aðförin að hinum myrta sýnd mjög nákvæmlega. Er sýnt hvernig hann var margsinnis sleginn í höfuðið með barefli, en eftir eitt höggið sést hann falla harkalega niður stiga, og stunginn. Sést hann síðan liggja í blóði sínu.

Persónuvernd hefur, í fyrsta lagi, lagt mat á það hvort með þessum efnistökum hafi verið fullnægt kröfu 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 um að við vinnslu persónuupplýsinga skuli þess gætt að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga. Í ljósi markmiðsákvæðis 1. mgr. 1. gr. laganna verður að skilja þetta ákvæði 7. gr. þannig að í því felist að sýna verði hæfilega nærgætni þegar fjallað er um jafn viðkvæm mál og það sem hér um ræðir. Telur Persónuvernd grundvallarreglu 73. gr. stjórnarskrárinnar og 10. gr. mannréttindasáttmála Evrópu um tjáningarfrelsi ekki hamla því að gerð sé rík krafa til þess að sýna nærfærni í umfjöllun um látinn mann. Er ljóst að gerð og sýning slíks efnis, sem hér um ræðir, getur verið sérstaklega sársaukafull fyrir aðstandendur og aðra hlutaðeigandi, en tilefni þess að upplýsingar um látna menn eru skilgreindar sem persónuupplýsingar, sbr. 1. tölul. 2. gr. laga nr. 77/2000, hlýtur meðal annars að vera það að vernda aðstandendur látins manns fyrir umfjöllun um einkamálefni hans sem valdið gæti þeim óþarfa sársauka. Að mati Persónuverndar hefði mátt fjalla um umræddan atburð þannig að til skila kæmist það sem vitað er að raunverulega gerðist án þess að ganga svo langt við gerð leikinna atriða sem raun ber vitni og taka með því mikla áhættu á að valda eftirlifandi aðstandendum óþarfa sársauka. Er þá sérstaklega haft í huga það sem fram hefur komið um andstöðu aðstandenda hins látna við gerð þáttarins og að þáttagerðarmenn hefðu mátt gera sér grein fyrir því hvernig sýning þáttarins gæti raskað tilfinningum þeirra. Persónuvernd hefur hins vegar jafnframt skilning á því að breytt efnistök hefðu getað rýrt boðskap þáttarins og dregið úr þeim hughrifum sem honum var ætlað að kalla fram, þ.á m. varnaðaráhrifum gegn neyslu fíkniefna. Loks ber að hafa í huga að í þættinum er dregin upp jákvæð mynd af hinum látna og að leikin atriði verða ekki talin rýra minningu hans. Í ljósi alls framangreinds telur Persónuvernd að þótt efnistök þáttagerðarmanna orki tvímælis, einkum þegar tillit er tekið til tilfinninga aðstandenda hins látna, verði ekki fullyrt að við gerð þáttarins hafi verið brotið gegn 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

Persónuvernd hefur, í öðru lagi, lagt mat á það hvort fullnægt hafi verið þeirri kröfu 4. tölul. 1. mgr. 7. gr. laga nr. 77/2000 að þess skuli gætt við vinnslu persónuupplýsinga að þær séu áreiðanlegar. Það að í lok þáttarins komi fram að leikin atriði séu ekki heimildir um atburðinn breytir því ekki að af þeim hljóta áhorfendur að draga ályktanir um það sem gerðist, en þær geta aldrei samrýmst fullkomlega hinni raunverulegu atburðarás. Í umræddum þætti er atlagan að hinum myrta sýnd á tvo mismunandi vegu. Er ljóst að þessi leiknu atriði byggjast ekki á ótvíræðri vissu um atburðarásina og geta þar af leiðandi, eðli málsins samkvæmt, ekki endurspeglað hana með fullkomlega réttum hætti. Hins vegar verður að hafa í huga að sumt í atburðarásinni er enn óupplýst og þokukennt og verður af þeim sökum ekki gerð sú krafa til þeirra sem þáttinn gerðu að hann endurspegli aðeins raunverulega atburðarás. Þá ber og að líta til þess að við umfjöllun um mörk tjáningarfrelsis hefur í réttarframkvæmd hin síðari ár verið litið mjög til þess að vegna lýðræðishefða verði að tryggja að fram geti farið þjóðfélagsleg umræða, ekki síst um það sem miður fer. Með vísun til framangreinds verður, að mati Persónuverndar, ekki fullyrt að þáttagerðarmenn hafi, með því að velta upp tilgátum um það sem kunni að hafa gerst, brotið gegn 4. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

Samkvæmt framanrituðu er það því niðurstaða Persónuverndar að þótt efnistök við gerð umrædds þáttar kunni að orka tvímælis, einkum þegar litið er til tilfinninga aðstandenda hins látna, verði ekki fullyrt að brotið hafi verið gegn ákvæðum 1. og 4. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

4.7. SPRON krafðist stöðvun vinnslu BÍ með skrá stofnfjáreigenda í SPRON

Hinn 21. ágúst 2002 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2002/306:

Með bréfi, dags. 3. júlí sl., barst Persónuvernd erindi frá A. þar sem þess er krafist, fyrir hönd Sparisjóðs Reykjavíkur og nágrennis (SPRON), að Persónuvernd stöðvi þegar í stað vinnslu Búnaðarbanka Íslands hf. (BÍ) með skrá yfir stofnfjáreigendur í SPRON og neyti til þess sérhverra úrræða sem henni eru búin. Í bréfinu segir meðal annars:

„Búnaðarbankinn er kominn að skrá þessari með óheiðarlegum hætti. Skv. ákvæðum 8. gr. samþykkta SPRON á hver stofnfjáreigandi rétt á að kynna sér skrána en hún skal geymd á skrifstofu sparisjóðsins og er ekki afhent út af henni.

Einn stofnfjáreigandi, B, mætti í skjóli þessara ákvæða með diktafón, las skrána á band, sem hann afhenti síðan Búnaðarbanka Íslands hf. sem ekki hefur látið stofnfjáreigendur í SPRON í friði síðan. Hafa margir þeirra haft samband við skrifstofur SPRON og lýst furðu og megnri vanþóknun á því ónæði sem þeir hafa mátt þola af hálfu Búnaðarbankans. Bankinn er að þessum upplýsingum kominn fyrir brýnt brot á ákvæðum 2. tl. 1. mgr. 7. gr. tilvitnaðra laga, sbr. einnig 25. gr.“

Með bréfum, dags. 4. júlí sl., gaf Persónuvernd B og BÍ færi á að koma afstöðu sinni til efnis framangreinds bréfs á framfæri. Frá C. barst Persónuvernd síðan bréf, dags. 8. júlí sl., þar sem sjónarmiðum umbjóðanda hans, B, er lýst. Þá barst Persónuvernd bréf frá D, dags. 8. júlí sl., þar sem lýst er sjónarmiðum BÍ.

Með bréfi, dags. 9. júlí sl., gaf Persónuvernd SPRON færi á að koma afstöðu sinni til efnis bréfanna frá C og D á framfæri. Barst Persónuvernd bréf frá A, dags. 12. júlí sl., þar sem afstöðu SPRON í málinu er lýst nánar og röksemdum gagnaðila í málinu svarað. Er þar ítrekuð krafan í erindinu frá 3. júlí sl. og þess krafist að auki að BÍ eyði öllum skrám og gögnum um stofnfjáreigendur SPRON sem hann hefur komist yfir.

Með bréfum, dags. 12. ágúst sl., gaf Persónuvernd E, F, G, H og I, stofnfjáreigendum í SPRON, færi á að koma afstöðu sinni til málsins á framfæri, en vinnsla BÍ með skrá yfir stofnfjáreigendur sparisjóðsins fer fram samkvæmt samkomulagi við þá. Barst Persónuvernd bréf frá K, dags. 20. ágúst sl., þar sem afstöðu þeirra í málinu er lýst.

Með símbréfi, dags. 20. ágúst sl., gaf Persónuvernd SPRON færi á að lýsa afstöðu sinni til bréfs K. Tjáði stofnunin þá afstöðu sína að þeim málsrökum, sem þar koma fram, hefði þegar verið svarað af hálfu sparisjóðsins. Barst Persónuvernd símbréf frá L, dags. 21. ágúst, þar sem fram kemur að sparisjóðurinn telur þeim efnisatriðum, sem fram koma í bréfi K, hafa verið svarað með bréfum A til Persónuverndar, dags. 3. og 12. júlí sl.

II.

Tildrög þessa máls voru óánægja fimm stofnfjáreigenda í SPRON – E, F, G, H og I (í úrskurði þessum kallaðir „fimmmenningarnir“) – með fyrirætlanir stjórnar sparisjóðsins um að hlutafjárvæða hann, en fimmmenningarnir töldu þessar fyrirætlanir þjóna hagsmunum stofnfjáreigenda miður vel þar sem fá mætti meira fyrir stofnfjárhluti en það verð sem stjórnin hugðist selja þá á, nafnverð. Vildu fimmmenningarnir að gengið yrði að tilboði sem BÍ hafði gert um að kaupa stofnfjárhlutina á fjórföldu nafnverði, en þegar þeir kynntu þá hugmynd sína taldi stjórnin það ólöglegt að stofnfjárhlutir væru seldir hærra verði en nafnverði. Fimmmenningarnir vildu kanna hug annarra stofnfjáreigenda til málsins og óskuðu því eftir aðgangi að skrá SPRON yfir stofnfjáreigendur í sparisjóðnum. Þá vildu þeir afla stuðnings meðal stofnfjáreigenda við kröfu sína um að boðað yrði til stofnfjáreigendafundar, en stjórn SPRON afboðaði fund sem boðað hafði verið til. Þurftu fimmmenningarnir að fá stuðning hjá einum þriðja hluta stofnfjáreigenda svo að stjórninni yrði skylt að boða til fundar, sbr. 19. gr. samþykkta SPRON. Fimmmenningarnir komust ekki yfir alla skrána – sem hefur að geyma upplýsingar um nöfn stofnfjáreigenda, heimilisföng þeirra, kennitölur og stofnfjáreign – heldur einungis nöfn og heimilisföng hinna skráðu.

Þessar upplýsingar voru birtar á tölvuskjá á skrifstofu SPRON og ekki leyft að tekið væri af þeim afrit. Sá sem sendur var til að afla skrárinnar, stofnfjáreigandinn B – G, eins fimmmenninganna – las þá upplýsingarnar inn á segulband og voru þær síðan skráðar niður. Með þessar upplýsingar í höndunum hófust B og áðurnefndir fimmmenningar handa við að afla stuðnings annarra stofnfjáreigenda við skoðanir sínar á málefnum SPRON. Þetta gerðu þeir með bréfasendingum og símhringingum þar sem málstað þeirra var lýst. Eitt bréfið var sent til allra stofnfjáreigenda og var þar skorað á þá að krefjast fundar. Nutu fimmmenningarnir og B aðstoðar BÍ. Var samið svo um að fimmmenningarnir keyptu stofnfjárhluti í sparisjóðnum og endurseldu þá síðan BÍ. Til þess að bankinn gæti aðstoðað þá og B við að finna símanúmer stofnfjáreigenda og ná í þá afhentu þeir honum eintök af þeim hluta skrárinnar sem þeir komust yfir. Ekki voru allir stofnfjáreigendur sáttir við þennan framgang fimmmenningana, B og BÍ og bárust SPRON kvartanir vegna hans að sögn A.

Samkvæmt samkomulagi fimmmenningana, B og BÍ munu öll bréf hafa verið send í nafni fimmmenningana. Þá mun bankinn hafa lagt fyrir starfsfólk að þegar það hringdi fyrir fimmmenningana skyldi það ætíð geta þess að símtalið færi fram fyrir þeirra hönd en ekki bankans. Sá hluti skrárinnar, sem fimmmenningarnir og B komust yfir, mun ekki hafa verið geymdur í tölvukerfi bankans heldur að Túngötu 6, húsi sem fimmmenningarnir og B hafa yfir að ráða. Þá mun hafa verið samkomulag um að bankinn afhenti þeim öll eintök af listanum þegar notkun hans væri lokið og að hann skyldi ekki notaður í neinum öðrum tilgangi en þeim sem samkomulagið gerði ráð fyrir.

Mál þetta hefur ekki aðeins verið lagt fyrir Persónuvernd heldur einnig Samkeppnisstofnun og Fjármálaeftirlitið. Þá hefur B með aðfararbeiðni til Héraðsdóms Reykjavíkur, dags. 8. júlí sl., krafist innsetningar í skrá SPRON yfir stofnfjáreigendur, en hann og fimmmenningarnir hafa mjög sóst eftir því að fá afrit af henni allri. Hinn 24. júlí sl. úrskurðaði Héraðsdómur Reykjavíkur að stofnfjáreiganda í SPRON væri heimilt að fá fullan og ótakmarkaðan aðgang að skrá yfir nöfn allra stofnfjáreigenda og jafnframt að skrifa hjá sér upplýsingar úr skránni. Dómurinn féllst á hinn bóginn á þá kröfu SPRON að kæra til Hæstaréttar frestaði aðfarargerðinni. Hefur SPRON nú kært aðfarargerðina til Hæstaréttar.

III.

Í bréfi A, dags. 3. júlí sl., segir að vinnsla BÍ með upplýsingar í skrá yfir stofnfjáreigendur í sparisjóðnum brjóti gegn 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. einnig 25. gr.

Röksemdir SPRON eru raktar nánar í bréfi A, dags. 12. júlí sl. Segir þar að í bréfum B og BÍ til Persónuverndar sé ekki að finna gildan rökstuðning fyrir því að þeir hafi lagaheimild samkvæmt 8. gr. laga nr. 77/2000 til þeirrar vinnslu sem þeir hafa ráðist í. Ekki sé heimild til vinnslunnar í 4. og 7. tölul. 1. mgr. 8. gr., en til þeirra ákvæða vísa B og BÍ. Vinnslan sé þannig hvorki nauðsynleg til að vernda brýna hagsmuni hins skráða, sbr. 4. tölul., né til að ábyrgðaraðili geti gætt lögmætra hagsmuna sem vegi þyngra en grundvallarréttindi og frelsi hins skráða, sbr. 7. tölul.

Því er andmælt að stofnfjáreigendur eigi að geta tekið afrit af skrá sparisjóðsins yfir stofnfjáreigendur og unnið með hana til að ná sambandi við aðra stofnfjáreigendur. Skrá yfir stofnfjáreigendur sé lokuð skrá. Eingöngu stofnfjáreigendur hafi aðgang að henni, sbr. 2. mgr. 16. gr. laga nr. 113/1996 um viðskiptabanka og sparisjóði. Skráin hafi þann tilgang að vera skrá yfir stofnfjáreigendur og eignarhlut hvers þeirra og gera stjórninni kleift að boða þá á fundi um málefni sparisjóðsins. Skráin þjóni ekki þeim tilgangi að stofnfjáreigendur hafi aðgang að henni og geti unnið með hana í öðrum tilgangi en hér var nefndur enda dytti þá botninn úr reglu 2. mgr. 16. gr. laga nr. 113/1996 og 8. gr. samþykkta SPRON um að einungis tilteknir aðilar hafi aðgang að skránni. Fjölföldun skrárinnar geri þessa reglu að engu. Þetta sé í samræmi við reglur hlutafélagalaga um hlutaskrár og fráleitt að ætla að rýmri reglur gildi um aðgang að stofnfjáreigendaskrá í sparisjóði í þessu tilliti.

Þessu næst segir að eiginlegur vettvangur stofnfjáreigenda til að bera upp tillögur, skiptast á skoðunum og beita atkvæðisrétti sínum sé á fundum stofnfjáreigenda sem stjórn SPRON sé skylt, lögum samkvæmt, að boða til. Í samþykktum sparisjóðsins séu stofnfjáreigendum tryggð öll þau réttindi sem þeim beri, þ.á m. tillöguréttur og atkvæðisréttur á fundum sparisjóðsins. Þeir séu hinn eini rétti vettvangur til að bera undir aðra stofnfjáreigendur málefni er varði sparisjóðinn. Fimmmenningarnir hafi ekki sýnt fram á að þeir hafi beðið tjón sökum þess að einum fundi var frestað. Þeim sé í lófa lagið að bera erindi sitt upp á fundi í sparisjóðnum sem boða eigi til þegar réttaróvissu um grundvallaratriði um eðli sparisjóða hafi verið eytt, þ.e. þegar Fjármálaeftirlitið hefur komist að niðurstöðu um það erindi sem SPRON hefur sent til þess. Skilja megi á fimmmenningunum og BÍ að ætlunin sé að slá öllum fundum á frest ótiltekið og að af þeim sökum geti fimmmenningarnir ekki notið þeirra réttinda að bera tillögur og hugmyndir sínar undir aðra stofnfjáreigendur. Slíkur málflutningur sé fjarstæða og tilhæfulaus með öllu enda þekkt hvaða álitaefni Fjármálaeftirlitið hafi nú til úrlausnar að frumkvæði fimmmenninganna og BÍ.

Bent er á að unnið er með persónuupplýsingar úr stofnfjáreigendaskrá SPRON samkvæmt samningi fimmmenningana og BÍ. Fimmmenningarnir séu ekki ábyrgðaraðilar í skilningi laga nr. 77/2000, sbr. 4. tölul. 1. mgr. 8. gr., né heldur lögformlegir umráðamenn skrárinnar eins og ábyrgðaraðilar væru samkvæmt lögunum. Hafi þeir því enga heimild til að að vinna með skrána eða ráðstafa henni í heild eða að hluta til vinnsluaðila, sbr. 5. tölul. 1. mgr. 8. gr. Skýrt sé í lögum nr. 77/2000 að einstaklingur, sem skráður sé í skrá er falli undir gildissvið laganna, öðlist ekki með því einu að vera skráður í skrána rétt til að fá skrána afhenta og ráðstafa henni að eigin vild og þvert á tilgang hennar. Slíkt sé brot á lögum og trúnaðarbrot við aðra sem skráðir eru í skrána.

Þá segir að ef tekið væri undir sjónarmið fimmmenningana og BÍ væri verið að færa ákvörðunarvald um umræðu um málefni sparisjóðsins út af eiginlegum fundum stofnfjáreigenda yfir á vettvang þar sem einstakir stofnfjáreigendur hefðu sjálfdæmi um að ákveða hver yrði og hverjir tækju þátt í slíkri umræðu. Slíkt gangi þvert á skipulag sparisjóða og samþykktir þeirra.

Einnig segir að fimmmenningarnir hafi ekki á neinn hátt rökstutt að vinnsla þeirra styðjist við brýna hagsmuni. Þeir brýnu hagsmunir, sem svo hafi verið nefndir, snúist um ranghugmyndir fimmmenningana um viðskiptagildi stofnfjáreignar í sparisjóði og það að þeir í sjálfsauðgunarskyni hyggjist koma SPRON í hendur BÍ. Ljóst sé að í málatilbúnaði þeirra sé ekkert tillit tekið til þeirrar samfélagseignar, sem í sparisjóðnum sé, né þeirra hugmynda sem aðrir stofnfjáreigendur kunni að hafa um tilgang og stefnu sparisjóðsins. Ágirnd til peninga réttlæti alls ekki og á engan hátt þá ólögmætu vinnslu persónuupplýsinga sem þeir hafi ráðist í.

Í tengslum við að þar til fyrir sjö árum var stofnfjáreigendaskráin birt í ársskýrslu SPRON – en þetta hafa B og BÍ bent á – segir að löggjöf um persónuvernd hafi styrkst til muna. Hætt hafi verið að birta skrána með þessum hætti vegna athugasemda frá stofnfjáreigendum. BÍ geti því ekki réttlætt gjörðir sínar með vísan til þessa.

Í bréfi C, dags. 8. júlí sl., eru raktar röksemdir umbjóðanda hans, B, stofnfjáreiganda í SPRON. Er þar bent á að samkvæmt 8. gr. samþykkta SPRON skuli stofnfjáreigendur hafa aðgang að stofnfjáreigendaskrá sparisjóðsins, sbr. einnig 16. gr. laga nr. 113/1996 um viðskiptabanka og sparisjóði. Í skránni skuli tilgreina nöfn stofnfjáreigenda, heimilisföng og kennitölur auk stofnfjárhluta. Hins vegar hafi aðgangur einungis verið veittur á þann hátt að nöfn og heimilisföng stofnfjáreigenda hafi verið sýnd á tölvuskjá á skrifstofu sparisjóðsins. Hafi B lesið þessar upplýsingar inn á segulband til að hægt yrði að hafa samband við aðra stofnfjáreigendur, en þeir ættu sameiginlegra hagsmuna að gæta.

Þá segir að þegar stjórn SPRON hafi sent stofnfjáreigendum upplýsingar um hina fyrirhuguðu hlutafjárvæðingu hafi í engu verið greint frá samningi fimmmenningana og BÍ. Fimmmenningarnir og B hafi því talið að upplýsingagjöf SPRON til stofnfjáreigenda væri verulega ábótavant og að þeir gætu ekki tekið upplýsta ákvörðun á fyrirhuguðum stofnfjáreigendafundi. Til að vernda brýna hagsmuni og til að stofnfjáreigendum yrði unnt að gæta lögmætra hagsmuna sinna á fundinum hafi verið nauðsynlegt að senda þeim öllum fyllri upplýsingar um málið.

Þessu næst segir að eina leiðin fyrir stofnfjáreiganda til að nálgast aðra stofnfjáreigendur, hvort sem er til að kynna þeim einstök mál eða til að skora á stjórn að halda fund, sé að fá stofnfjáreigendaskrána afhenta hjá SPRON lögum samkvæmt. Þar sem ljóst hafi verið að villur væru í þeim lista, sem lesinn var inn á segulband, hafi ítrekað verið óskað eftir að fá stofnfjáreigendaskrána í hendur. Hafi þá meðal annars verið vísað til þess að tilgangur ákvæðisins um rétt stofnfjáreigenda til aðgangs að skránni hljóti að vera að auðvelda þeim að ná hver til annars vegna málefna sparisjóðsins, ekki síst til að undirbúa sig fyrir fundi stofnfjáreigenda. Í þessu sambandi er sérstaklega bent á 19. gr. samþykkta SPRON þar sem segir meðal annars: „Sparisjóðsstjórn er skylt að boða til fundar stofnfjáreigenda, ef þeir sem fara með minnst 1/3 hluta stofnfjár krefjast þess skriflega og greina fundarefni.“ Þurfi því óvenju stóran hluta heildaratkvæða til að knýja fram fund en til samanburðar þurfi einungis einn tíunda hluta í hlutafélögum og einkahlutafélögum. Með því að takmarka aðgang að skránni og afhenda ekki afrit af henni til þeirra sem þann rétt eiga sé stjórn sparisjóðsins í raun að gera þá kröfu að einum þriðja hluta stofnfjáreigenda detti samtímis í hug að skora á stjórnina að halda fund, en útilokað eigi að vera fyrir þá að tala saman og ráða ráðum sínum.

Tekið er fram að samkomulag sé um að BÍ noti ekki listann, sem B las inn á segulband, í neinum öðrum tilgangi en að aðstoða fimmmenningana og B við að finna símanúmer stofnfjáreigenda og ná í þá. Listinn sé ekki vistaður í tölvukerfi bankans heldur að Túngötu 6, en því húsi hafa fimmmenningarnir og B yfir að ráða.

Einnig segir að eftir að stjórn SPRON hafi afboðað fyrirhugaðan stofnfjáreigendafund án þess að til staðar væru nokkur þau atriði, sem hömluðu því að unnt væri að fjalla um mál er voru á dagskrá fundarins, hafi verið mjög áríðandi fyrir þá stofnfjáreigendur, er töldu rétt að fundur væri haldinn, að ná saman nægilegum fjölda stofnfjáreigenda til að krefjast slíks fundar, sbr. áðurnefnda 19. gr. samþykkta SPRON.

Bent er á að fimmmenningarnir og B hafi áfram krafist þess að stjórn SPRON afhenti þeim stofnfjáreigendaskrána í lögmætu formi. Þessu hafi stjórnin alfarið hafnað, síðast með bréfi til B, dags. 4. júlí sl., þar sem segi meðal annars: „Það stendur ekki til að verðlauna þennan umbjóðanda yðar fyrir þau trúnaðarbrot, sem hann hefur þegar framið, með því að koma honum í aðstöðu til að fremja ný trúnaðarbrot gagnvart sparisjóðnum og stofnfjáreigendum í honum. Meginreglan um aðgang að skránni hlýtur að víkja þegar tilgangurinn er óheiðarlegur.“ Af framangreindum orðum er það talið vera ljóst að stjórnin misbeiti gróflega því valdi sem henni sé falið og að hún brjóti jafnframt gegn skýrum ákvæðum laga um aðgang stofnfjáreigenda að skránni.

Einnig er bent á að listi yfir alla stofnfjáreigendur í SPRON var birtur í ársskýrslu sparisjóðsins allt til 1. mars 1995, en þá var birt ársskýrsla vegna ársins 1994. Fram hafi komið í skýrslunni nöfn og heimilisföng allra stofnfjáreigenda í SPRON hverju sinni. Hafi þessi venja verið eðlileg og sýni að sparisjóðurinn hafi ekki talið stofnfjáreigendalista sinn til upplýsinga er fara þyrfti með sem leyndarmál að því er varðar aðra stofnfjáreigendur eða aðra.

Tekið er fram að vinna við að ná í stofnfjáreigendur hafi öll verið í nafni fimmmenninganna og að beiðni þeirra. Vinnslan hafi þannig öll verið á vegum þeirra og bréf, sem send hafi verið út, hafi verið í þeirra nafni.

Að lokum segir að B telji SPRON brjóta freklega á rétti sínum með því að afhenda honum ekki gögn sem hann eigi rétt á þannig að hann verði að leita sér aðstoðar til að vinna sjálfur slíkan lista. Telja verði, með vísan til 4. og 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, að B, fimmmenningunum, og reyndar öllum öðrum stofnfjáreigendum SPRON, sé öll vinnslan heimil, með aðstoð BÍ, til að vernda brýna hagsmuni sína og svo að þeim sé unnt að gæta lögmætra hagsmuna sinna sem ella verði fyrir borð bornir. Önnur niðurstaða myndi leiða til þess að verulegar hömlur væru lagðar við því að einstaklingar gætu með nokkru móti gætt mikilvægra, lögvarinna hagsmuna sinna og myndi skapa möguleika á valdníðslu og átroðslu sem ekki væri ásættanlegur.

Í bréfi D, dags. 8. júlí sl., eru röksemdir BÍ í málinu raktar. Segir þar að er stjórn SPRON hafi sent stofnfjáreigendum í sparisjóðnum upplýsingar um fyrirhugaða hlutafjárvæðingu hafi í engu verið greint frá samningi fimmmenningana og BÍ. Hafi því legið fyrir að upplýsingagjöf til stofnfjáreigenda hafi verið verulega ábótavant og að þeir gætu ekki tekið upplýsta ákvörðun á fyrirhuguðum stofnfjáreigendafundi. Til að vernda brýna hagsmuni og svo að stofnfjáreigendum væri unnt að gæta lögmætra hagsmuna sinna á fundinum hafi verið nauðsynlegt að senda þeim öllum fyllri upplýsingar um málið. Í þessu sambandi er sérstaklega bent á 8. gr. samþykkta SPRON, en þar segir meðal annars: „Færð skal skrá yfir stofnfjáreigendur sparisjóðsins. Í skránni skal tilgreina nafn stofnfjáreiganda, heimilisfang og kennitölu, ásamt stofnfjáreign hans. Skrána skal ætíð geyma í skrifstofu sparisjóðsins og eiga allir stofnfjáreigendur aðgang að henni.“

Þessu næst segir að eina leiðin fyrir fimmmenningana til að nálgast aðra stofnfjáreigendur til þess að kynna þeim málið hafi verið að fá stofnfjáreigendaskrána afhenta hjá SPRON. Því hafi þeir óskað eftir að fá skrána í hendur, m.a. með vísan til þess að tilgangur ákvæðisins um rétt þeirra til aðgangs að skránni hljóti að vera sá að auðvelda stofnfjáreigendum að ná hver til annars vegna málefna sparisjóðsins, ekki síst til að undirbúa sig fyrir fundi stofnfjáreigenda. Í þessu sambandi er bent á 19. gr. samþykkta SPRON þar sem segir: „Sparisjóðsstjórn er skylt að boða til fundar stofnfjáreigenda, ef þeir sem fara með minnst 1/3 hluta stofnfjár krefjast þess skriflega og greina fundarefni.“ Í fyrstu hafi stjórn SPRON meinað fimmmenningunum að sjá skrána en loks hafi syni eins þeirra, B – sem eins og fyrr hefur komið fram er einn af stofnfjáreigendum SPRON – verið heimilað að sjá skrána á tölvuskjá, en í ólögmætu formi þar sem skráin hafi einungis innihaldið nöfn og heimillisföng stofnfjáreigenda.

Einnig segir að stjórn SPRON hafi einhliða ákveðið að afboða fyrirhugaðan stofnfjáreigendafund án þess að til staðar væru nokkur þau atriði sem hömluðu því að unnt væri að fjalla um þau mál sem voru á dagskrá fundarins. Vegna þessarar ólögmætu valdbeitingar SPRON hafi verið ljóst að fimmmenningarnir þyrftu að ná saman tilskildum fjölda stofnfjáreigenda svo að unnt væri að krefjast fundar sem tæki afstöðu til fyrirliggjandi dagskrártillagna, sbr. áðurnefnda 19. gr. samþykkta SPRON.

Bent er á að fimmmenningarnir hafi áfram krafist þess að stjórn SPRON afhenti þeim stofnfjáreigendaskrána í lögmætu formi. Þessu hafi stjórnin alfarið hafnað, síðast með bréfi, dags. 4. júlí sl., þar sem segi meðal annars: „Það stendur ekki til að verðlauna þennan umbjóðanda yðar fyrir þau trúnaðarbrot, sem hann hefur þegar framið, með því að koma honum í aðstöðu til að fremja ný trúnaðarbrot gagnvart sparisjóðnum og stofnfjáreigendum í honum. Meginreglan um aðgang að skránni hlýtur að víkja þegar tilgangurinn er óheiðarlegur.“ Af framangreindum orðum stjórnar SPRON verði ekki annað ráðið en að stjórnin misbeiti gróflega því valdi sem henni sé falið og að hún brjóti jafnframt gegn skýrum ákvæðum laga um aðgang stofnfjáreigenda að skránni.

Þá er bent á að listi yfir alla stofnfjáreigendur SPRON hafi verið birtur í ársskýrslu sparisjóðsins allt til 1. mars 1995, en þá var birt ársskýrsla vegna ársins 1994. Fram hafi komið í skýrslunni nöfn og heimilisföng allra stofnfjáreigenda SPRON hverju sinni. Þessi venja sé eðlileg og í samræmi við skýr ákvæði laga þar um. Horfið hafi verið frá birtingu skrárinnar þegar núverandi sparisjóðsstjóri SPRON hóf störf í sparisjóðnum.

Tekið er fram að öll vinnsla með listann, sem B las inn á segulband, hafi verið í nafni fimmmenninganna. Hún hafi þannig verið á þeirra vegum og öll bréf, sem send hafi verið til stofnfjáreigenda, hafi verið í þeirra nafni. Þá hafi jafnframt verið lagt fyrir það starfsfólk bankans, sem aðstoði þá við vinnsluna, að taka það fram í símtölum til stofnfjáreigenda að símtalið fari fram fyrir hönd fimmmenningana en ekki bankans. Telja verði, með vísan til 4. og 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, að fimmmenningunum sé vinnslan heimil, með aðstoð BÍ, til að vernda brýna hagsmuni sína og svo að þeim, og öðrum stofnfjáreigendum, sé unnt að gæta lögmætra hagsmuna sinna sem ella verði fyrir borð bornir.

Í bréfi K, dags. 20. ágúst sl., eru röksemdir fimmmenninganna í málinu raktar. Segir þar að samkvæmt 8. gr. samþykkta SPRON skuli fimmmenningarnir, sem allir séu stofnfjáreigendur í sparisjóðnum, hafa aðgang að skrá yfir stofnfjáreigendur í sjóðnum. Um það er einnig vísað til 2. mgr. 16. gr. laga nr. 113/1996 um viðskiptabanka og sparisjóði. Bent er á að það sé eindregin afstaða fimmmenninganna að þeir eigi kröfu um afhendingu á ljósriti stofnfjáreigendaskrár SPRON til að þeim sé unnt að gæta hagsmuna sinna og réttinda sem stofnfjáreigenda. Raunar geti tilgangurinn með því að kveða á um aðgang stofnfjáreigenda að skránni ekki verið annar en sá að þeir eigi þess raunhæfan kost að ná hver til annars vegna málefna sparisjóðsins. Samkvæmt 19. gr. samþykkta SPRON þurfi til dæmis minnst sá fjöldi stofnfjáreigenda, sem fer með einn þriðja hluta stofnfjár, að krefjast fundar stofnfjáreigenda svo að skylt sé að halda slíkan fund. Sé það vandséð hvernig unnt eigi að vera að koma fram slíkri kröfu sé eigendum stofnfjár ekki heimilt að vinna með skrána utan húsakynna sparisjóðsins.

Þessu næst segir að stjórn SPRON hafi sjálf ekki hikað við að nýta skrána til að ná til stofnfjáreigenda vegna þeirra deilna sem uppi hafa verið. Hafi meðal annars verið hringt í þá og þeim verið send bréfleg erindi. Það væri hrein mismunun milli stofnfjáreigenda ef aðrir hefðu ekki sama möguleika á nýtingu skrárinnar eins og aðstæður hafi verið að undanförnu.

Tekið er fram að allt starf við að ná sambandi við stofnfjáreigendur með bréfasendingum og símtölum hafi farið fram á vegum fimmmenninganna og í umboði þeirra. Listinn, sem B las inn á segulband, hafi ekki verið hafður til annarra nota.

IV.

Forsendur

Í máli þessu er deilt um lögmæti vinnslu upplýsinga sem fengnar voru úr stofnfjáreigendaskrá SPRON. Er deilt um hvort B, stofnfjáreiganda í SPRON, hafi verið heimilt að lesa upplýsingar úr stofnfjáreigendaskrá sparisjóðsins inn á segulband. Einnig er deilt um hvort B og fimmmenningunum, sem einnig eru stofnfjáreigendur, hafi síðan verið heimilt að afhenda BÍ upplýsingarnar og fá aðstoð bankans við vinnslu þeirra.

Við úrlausn þess hvort B hafi verið heimilt að lesa upplýsingar úr stofnfjáreigendaskrá SPRON inn á segulband verður að líta til þess að í 2. mgr. 16. gr. laga nr. 113/1996 um viðskiptabanka og sparisjóði er kveðið á um að færð skuli skrá yfir stofnfjáreigendur og að þeir allir skuli eiga aðgang að henni. Ljóst er því að skylt var að veita B aðgang að stofnfjáreigendaskránni sem stofnfjáreiganda. Í þessu lagaákvæði er á hinn bóginn ekki tekin nein afstaða til þess hvernig vinna megi með þær upplýsingar sem fram koma í skránni. Heimild til þess að lesa persónuupplýsingar úr skránni inn á segulband og vinna að öðru leyti með upplýsingarnar verður því að byggjast á annarri lagaheimild.

Í máli þessu er óumdeilt að stofnfjáreigendaskrá er haldin á tölvutæku formi. Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, með síðari breytingum, gilda lögin um sérhverja rafræna vinnslu persónuupplýsinga. Til að vinnsla teljist rafræn er nóg að einhver þáttur vinnslunnar sé rafrænn. Hugtakið „vinnsla“ er í lögunum skilgreint svo: „Sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn“, sbr. 2. tölul. 1. gr. laganna. Óumdeilt er einnig að í stofnfjáreigendaskrá SPRON koma fram nöfn þeirra einstaklinga sem eiga stofnfé í sparisjóðnum. Þessar upplýsingar teljast persónuupplýsingar í skilningi 1. tölul. 2. gr. laga nr. 77/2000, en þar segir að persónuupplýsingar séu sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Samkvæmt framansögðu virðist ljóst að vinnsla með persónuupplýsingar, sem fram koma í stofnfjáreigendaskrá, fellur undir lög nr. 77/2000, enda tilgreini önnur lög ekki annað sérstaklega, sbr. 1. mgr. 44. gr. laga nr. 77/2000.

Við mat á því hvort B hafi verið heimilt að lesa upplýsingar um stofnfjáreigendur úr stofnfjáreigendaskrá SPRON inn á segulband verður annars vegar að kanna hvort þessi vinnsla hafi verið í samræmi við ákvæði 7. gr. laga nr. 77/2000, er hefur að geyma meginreglur um gæði gagna og vinnslu, og hins vegar hvort hún hafi átt sér stoð í einhverju ákvæði 8. gr. laganna, er hefur að geyma almennar reglur um heimildir til vinnslu persónuupplýsinga. Í lögum nr. 77/2000 er byggt á því að vinnsla persónuupplýsinga verði að byggjast á lagaheimild, annað hvort ákvæðum 8. gr., og eftir atvikum 9. gr., eða ákvæðum annarra laga, enda sé ekki um að ræða meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagsmuni hans eða eru einvörðungu ætlaðar til persónulegra nota, sbr. 2. málsl. 2. mgr. 3. gr. laga nr. 77/2000.

Í 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000 er kveðið á um að persónuupplýsinga skuli aflað í yfirlýstum, skýrum og málefnalegum tilgangi og að þær skuli ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi. Af hálfu B er því borið við að tilgangur hans með því að lesa umræddar upplýsingar úr stofnfjáreigendaskrá SPRON inn á segulband hafi annars vegar verið að afla stuðnings við sjónarmið sín og fimmmenninganna í málefnum sparisjóðsins, m.a. um hvernig fjárhagslegir hagsmunir af kaupum og sölu á stofnfjárhlutum yrðu best tryggðir, og hins vegar að afla stuðnings við þá kröfu að haldinn yrði fundur stofnfjáreigenda. Í þessu sambandi verður að hafa í huga að samkvæmt 3. mgr. 32. gr. laga um viðskiptabanka og sparisjóði skal halda aukafund ef stofnfjáreigendur, sem fara með minnst einn þriðja hluta stofnfjár, krefjast þess skriflega og greina fundarefni. Ekki þarf að velkjast í vafa um að í stórum sparisjóði getur það reynst afar erfitt fyrir þá stofnfjáreigendur, sem halda vilja slíkan fund, að afla stuðnings hjá einum þriðja hluta stofnfjáreigenda hafi þeir engin úrræði til að taka með sér upplýsingar úr stofnfjáreigendaskránni. Þegar framangreint er virt verður að telja að tilgangur B með því að lesa umræddar upplýsingar inn á segulband hafi verið málefnalegur í skilningi 2. tölul. 1. mgr. 7. gr. laga nr. 77/2000.

Kemur þá næst til athugunar hvort framangreind vinnsla hafi átt sér stoð í einhverju ákvæði 8. gr. laganna, en sú grein hefur að geyma almennar reglur um heimildir til vinnslu persónuupplýsinga. Af hálfu B hefur meðal annars verið vísað til þess að umrædd vinnsla persónuupplýsinga hafi verið heimil þar sem hún hafi byggst á 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Þar er tekið fram að vinnsla persónuupplýsinga sé heimil sé vinnslan nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Í athugasemdum við 8. gr. frumvarps þess, er varð að lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, kemur fram að ákvæðið eigi ekki við nema ábyrgðaraðili hafi viðhaft ákveðið mat, þ.e. mat á því hvort hagsmunir hins skráða af því að vinnslan fari ekki fram vegi þyngra en þeir hagsmunir sem mæla með vinnslunni. Tekið er fram að ekki sé nauðsynlegt að um sé að ræða hagsmuni ábyrgðaraðila eða þess þriðja manns sem tekur við upplýsingunum og því geti ákvæðið átt við þótt um hagsmuni annarra sé að ræða. Ávallt sé þó skilyrði að hagsmunir séu lögvarðir (Alþt. 1999-2000, A-deild, bls. 2725). Telja verður að B og fimmmenningarnir eigi lögvarinna hagsmuna að gæta af því að geta náð sambandi við aðra stofnfjáreigendur til þess að freista þess að boða til fundar í samræmi við 3. mgr. 32. gr. laga um viðskiptabanka og sparisjóði og til þess að gera öðrum grein fyrir viðhorfum sínum um kaup og kjör á stofnfjárhlutum. Verður því að telja að það skilyrði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, að vinnslan hafi verið nauðsynleg svo að B og fimmenningarnir gætu gætt lögmætra hagsmuna sinna, hafi verið uppfyllt. Einvörðungu var um að ræða upplýsingar um nöfn og heimilisföng manna sem eru félagar í sama sparisjóði. Þegar litið er til eðlis þessara upplýsinga, tengslanna sem eru á milli hinna skráðu, sem félagsmanna í sama félagi, og síðast en ekki síst þess tilgangs sem unnið var með upplýsingarnar í, verður að telja að grundvallarréttindi og frelsi annarra stofnfjáreigenda hafi ekki vegið þyngra en hagsmunir B og fimmmenninganna. Verður því að telja að B hafi verið heimilt að fá upplýsingar úr stofnfjáreigendaskrá og að vinna með þær í þeim tilgangi sem hér að framan greinir.

Tekið skal fram að í þessum úrskurði er engin afstaða tekin til þess hvort B og fimmmenningunum sé heimilt að vinna með upplýsingarnar í öðrum tilgangi en hér að framan hefur verið fjallað um. Í þessum úrskurði Persónuverndar hefur heldur engin afstaða verið tekin til þess máls sem úrskurðað var í af Héraðsdómi Reykjavíkur hinn 24. júlí sl.

Í málinu er einnig deilt um hvort B og fimmmenningunum hafi verið heimilt að afhenda BÍ þær upplýsingar, sem B aflaði úr stofnfjáreigendaskrá SPRON, og fá aðstoð bankans við vinnslu þeirra.

Af hálfu B er bent á að samkomulag sé um að BÍ noti ekki listann, sem hann las inn á segulband, í neinum öðrum tilgangi en að aðstoða fimmmenningana og B við að finna símanúmer stofnfjáreigenda og ná í þá. Listinn sé ekki vistaður í tölvukerfi bankans heldur að Túngötu 6, en því húsi hafa fimmmenningarnir og B yfir að ráða.

Það efni sem BÍ hefur dreift til stofnfjárfesta um málið hefur verið í nafni fimmmenninganna. Þegar litið er til þeirra yfirlýsinga, sem fram hafa komið af hálfu aðila, verður að telja að B og fimmmenningarnir séu ábyrgðaraðilar þeirrar vinnslu, er hófst með lestri nafna og heimilisfanga stofnfjárfesta í stofnfjáreigendaskrá SPRON inn á segulband, og síðan fólst í notkun þeirra upplýsinga í því markmiði að hafa samband við aðra stofnfjáreigendur til þess að freista þess að boða til fundar í samræmi við 3. mgr. 32. gr. laga um viðskiptabanka og sparisjóði og til þess að gera þeim grein fyrir viðhorfum sínum um kaup og kjör á stofnfjárhlutum, enda er óumdeilt að B og fimmmenningarnir hafi ákveðið tilgang vinnslu upplýsinganna og hvaða aðferð skyldi viðhöfð við vinnsluna, sbr. 4. tölul. 2. gr. laga nr. 77/2000.

Samkvæmt 1. mgr. 13. gr. laga nr. 77/2000, sbr. 7. gr. laga nr. 90/2001, er ábyrgðaraðila heimilt að semja við tiltekinn aðila um að annast í heild eða að hluta þá vinnslu persónuupplýsinga sem hann ber ábyrgð á samkvæmt ákvæðum laganna. Slíkur aðili nefnist vinnsluaðili, sbr. 5. tölul. 2. gr. sömu laga. Eins og áður segir er því haldið fram af hálfu B að samkomulag sé á milli hans og fimmmenninganna annars vegar og BÍ hins vegar um að bankinn taki að sér að finna símanúmer stofnfjáreigenda og ná í þá og sé bankanum óheimilt að vinna á annan hátt með upplýsingarnar.

Að framansögðu athuguðu verður að telja að B og fimmmenningunum hafi verið heimilt að fá BÍ til þess að annast þá vinnslu persónuupplýsinga, sem hér að framan hefur verið fjallað um, á grundvelli 1. mgr. 13. gr. laga nr. 77/2000, sbr. 7. gr. laga nr. 90/2001, að fullnægðum öðrum ákvæðum laganna. Af því tilefni var B og fimmmenningunum heimilt að afhenda BÍ upplýsingar um stofnfjárfesta svo að vinna mætti með upplýsingarnar í þeim tilgangi sem hér að framan hefur verið tilgreindur. Hafði BÍ þá réttarstöðu sem vinnsluaðili.

Af ofangreindu er ljóst að B var heimilt að lesa upplýsingar úr stofnfjáreigendaskrá SPRON inn á segulband. Þá er einnig ljóst að B og fimmmenningunum var heimilt að fá aðstoð BÍ við vinnslu upplýsinganna og að afhenda þær bankanum. Vinnsla BÍ með upplýsingar úr stofnfjáreigendaskrá SPRON er því lögmæt að því tilskildu að farið hafi verið að öllum ákvæðum laga nr. 77/2000 og öðrum réttarreglum, skráðum sem óskráðum, er um meðferð og vinnslu upplýsinganna gilda. Er því ekki fallist á kröfu SPRON um að vinnsla BÍ á upplýsingunum verði þegar í stað stöðvuð. Er ekki heldur fallist á þá kröfu SPRON að BÍ eyði öllum skrám og gögnum um stofnfjáreigendur sparisjóðsins sem hann hefur komist yfir.

Úrskurðarorð:

B var heimilt sem stofnfjáreiganda að lesa inn á segulband nöfn og heimilisföng stofnfjáreigenda í stofnfjáreigendaskrá SPRON með það að markmiði að hafa samband við aðra stofnfjáreigendur til þess að freista þess að boða til fundar í samræmi við 3. mgr. 32. gr. laga um viðskiptabanka og sparisjóði og til þess að gera öðrum grein fyrir viðhorfum hans og fimm annarra stofnfjáreigenda um kaup og kjör á stofnfjárhlutum.

Framangreindum mönnum var heimilt, sem ábyrgðaraðilum þessarar vinnslu, að fá Búnaðarbanka Íslands sem vinnsluaðila til að aðstoða þá við þessa framkvæmd.

Eins og mál þetta hefur verið lagt fyrir gefur það ekki tilefni til sérstakra viðbragða af hálfu Persónuverndar.

4.8. Auglýsingar sendar í farsíma með SMS-skilaboðum frá AAM ehf.

Með bréfi Persónuverndar, dags. 26. júlí 2002, var kvartanda kynnt niðurstaða í máli nr. 2002/53. Í því bréfi segir:

Hinn 28. janúar sl. barst Persónuvernd tölvupóstur frá a þar sem hann kvartar yfir að Alþjóðlega auglýsingamiðlunin ehf. (AAM ehf.) hafi sent auglýsingar í farsíma hans með SMS-skilaboðum án þess að hann hafi samþykkt að fá sendar slíkar auglýsingar. AAM ehf. lýsti sjónarmiðum sínum vegna málsins í bréfi til Persónuverndar, dags. 5. mars sl., og hafnar því að ekki hafi legið fyrir samþykki a.

Málsatvik, eins og þeim er lýst í tölvupóstinum frá a, eru sem hér greinir: Í desember sl. tók hann þátt í SMS-leik sem haldinn var í þættinum „Með hausverk um helgar“ á sjónvarpsstöðinni Sýn. Var hann beðinn um að senda skilaboðin „hausverk“ í símanúmerið 1848. Gerði hann það og var þá orðinn þátttakandi í leik sem gekk út á að vinna farsíma. Hins vegar fékk hann aldrei skilaboð um hvernig honum hefði gengið heldur einungis auglýsingu um að 20% afsláttur væri af buxum í verslunum Herra Hafnarfjarðar. Um mánuði síðar var honum svo boðið að taka þátt í "Friends-leik" sem haldinn var í tilefni þess að á ný átti að fara að sýna sjónvarpsþáttinn Friends á Stöð 2.

Þegar hann fékk auglýsinguna frá Herra Hafnarfirði í farsímann sinn hringdi hann í fyrirtækið Hausverk, sem sá um framleiðslu á þættinum þar sem SMS-leikurinn var haldinn, og var tjáð að leikurinn væri skipulagður í samvinnu við AAM ehf. Þær upplýsingar, sem fengjust í SMS-leikjum, væru flokkaðar í gagnagrunn sem síðan væri fluttur til Noregs og keyrður saman við aðra gagnagrunna, e.t.v. símaskrána, og þannig væri „demógrafískum“ (lýðfræðilegum) upplýsingum safnað um þátttakendur. Þegar a fékk auglýsinguna um „Friends-leikinn“ í farsímann sinn hringdi hann í Íslenska útvarpsfélagið. Mun sá sem hann talaði við þar hafa vitað lítið um þann markhóp sem skilaboð, eins og þau sem a fékk, væru send á, en hafa vísað á þann sem sæi um SMS-leikinn.

a segist ekki hafa veitt samþykki sitt fyrir að sér yrðu sendar tilkynningar og auglýsingar. Þegar hann hefði tekið þátt í SMS-leiknum hafi hann talið sig vera að taka þátt í SMS-leik í kringum einn viðburð. Aldrei hefði neinn fyrirvari verið gerður þess efnis að honum yrðu sendar tilkynningar og auglýsingar um eitthvað annað en það sem tengdist þessum leik.

Af hálfu AAM ehf. er gerð sú athugasemd við lýsingu a á málsatvikum að hann hafi aldrei verið beðinn um að taka þátt í SMS-leik heldur hafi honum einungis verið boðið það. Þá er því haldið fram að alls staðar, þar sem boðið sé upp á símaþjónustu fyrirtækisins, sé fólki kennt hvernig hana megi afvirkja ef það felist í þjónustunni að sendar verði upplýsingar eða auglýsingar um hina ýmsu þjónustu. Frammi liggi leiðbeiningar, eins og hjá öllum símafyrirtækjum, notendum til afnota og þá hafi fyrirtækið neyðarnúmer fyrir notendur sem opið sé allan sólarhringinn alla daga vikunnar. Þegar tekinn sé þáttur í SMS-leikjum fyrirtækisins og samstarfsaðila þess sé símanúmer viðkomandi vistað í gagnagrunni til notkunar fyrir samstarfsaðila til að koma upplýsingum á framfæri. Númerin séu hins vegar ekki til sölu nema það sé sérstaklega og skilmerkilega tekið fram. Ávallt sé tekið fram að viðkomandi geti átt von á upplýsingum í símann sinn sé þjónustan þess eðlis en óski hann ekki eftir því sé honum kennt hvernig skrúfa megi fyrir slíkar upplýsingar. Þetta séu reglur sem símafyrirtækin hafi sett fyrirtækjum eins og AAM ehf. nýlega (18. janúar 2002).

Bent er á að a sé einn af forsvarsmönnum fyrirtækisins Kasts ehf. en það sé í samkeppni við AAM ehf. Að hann hafi vísað málinu til Persónuverndar sé liður í þeirri samkeppni og sé það vítavert.

II.

Persónuvernd tekur ekki afstöðu til þess hvort mál þetta sé liður í samkeppni Kasts ehf. og AAM ehf. eða hvaða afleiðingar það ætti að hafa. Er einungis tekin afstaða til þess hvort brotið hafi verið gegn ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

III.

Persónuvernd hefur fengið afrit af þættinum „Með hausverk um helgar“ frá 21. desember sl. Í þeim þætti var haldinn SMS-leikur sem er eins og sá sem a lýsir í bréfi sínu, dags. 28. janúar sl. Var áhorfendum þannig boðið að senda skilaboðin „hausverk Nokia“ í símanúmerið 1848 og var Nokia-farsími í verðlaun. Aldrei var tekið fram að símanúmer þátttakenda í leiknum yrðu notuð við markaðssetningu fyrir aðra síðar meir. Þá var ekki tekið fram hver stæði fyrir leiknum, þ.e. AAM ehf.

Í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er kveðið á um hvenær vinna má með persónuupplýsingar. Verður einhverju þeirra skilyrða, sem þar er kveðið á um, ávallt að vera fullnægt. Í 1. tölul. 1. mgr. 8. gr. er vinnsla heimiluð hafi hinn skráði samþykkt hana ótvírætt, en samþykki getur talist ótvírætt þótt það sé ekki veitt berum orðum heldur í verki.

Líta verður svo á að þeir sem tóku þátt í umræddum leik með því að senda SMS-skilaboð í símanúmerið 1848 hafi veitt ótvírætt samþykki sitt fyrir notkun símanúmers síns vegna leiksins. Ekki verður hins vegar litið svo á að ótvírætt samþykki hafi verið veitt fyrir notkun símanúmeranna við markaðssetningu fyrir aðra síðar meir, enda var ekki tekið fram að það væri ætlunin. Var þannig ekki heimild samkvæmt 8. gr. laga um persónuvernd og meðferð persónuupplýsinga fyrir þeirri vinnslu.

Vinnsla persónuupplýsinga verður ávallt að fullnægja ákvæðum 7. gr. laganna, en þar er kveðið á um hvernig vinna skal með persónuupplýsingar. Samkvæmt 2. tölul. 1. mgr. 7. gr. skal þess gætt að persónuupplýsingar séu fengnar í yfirlýstum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi. Hinn yfirlýsti tilgangur með öflun símanúmeranna var að nota þau vegna umrædds leiks. Notkun símanúmeranna síðar var hins vegar annar og ósamrýmanlegur tilgangur, en túlka verður þröngt það svigrúm, sem 2. tölul. 1. mgr. 7. gr. felur í sér, til að nota persónuupplýsingar í öðrum tilgangi en þeim sem upphaflega var ákveðinn.

Samkvæmt 1. tölul. 1. mgr. 7. gr. skal þess gætt að vinnsla persónuupplýsinga sé sanngjörn. Felur þetta skilyrði í sér að vinnsla verður að fullnægja ákveðnum lágmarkskröfum um gagnsæi og fyrirsjáanleika. Ekki verður gert ráð fyrir að þeir sem tóku þátt í umræddum hafi átt að geta séð það fyrir að nota ætti símanúmer þeirra við markaðssetningu fyrir aðra. Í þessu sambandi verður að nefna 1. mgr. 20. gr. Þar segir meðal annars að þegar safnað sé persónuupplýsingum hjá hinum skráða skuli fræða hann um hver sé ábyrgðaraðili, hvert sé markmið söfnunarinnar, hvernig hagað verði auðkenningu upplýsinga og hverjum upplýsingarnar verði afhentar. Einnig segir að veita skuli upplýsingar um hvort skylt sé eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa í för með sér að það sé ekki gert. Eðli málsins samkvæmt eiga þessi tvö síðastnefndu atriði ekki við. Hið sama gildir um að veita skuli upplýsingar um hvernig háttað verði auðkenningu upplýsinga. Hin atriðin eiga hins vegar án nokkurs vafa við, en ekki liggur fyrir að upplýsingar um þau hafi verið veittar.

Í 1. mgr. 28. gr. laga um persónuvernd og meðferð persónuupplýsinga segir að hinum skráða sé heimilt að andmæla vinnslu persónuupplýsinga um sjálfan sig hafi hann til þess lögmætar og knýjandi ástæður. Þá segir að eigi andmælin rétt á sér sé ábyrgðaraðila óheimil frekari vinnsla upplýsinganna. Svo að þetta ákvæði nái tilgangi sínum verður hinn skráði að vita hvert hann á að beina andmælunum. Ekki var hægt að gera ráð fyrir að þátttakendur í umræddum leik gætu vitað það.

III.

Af ofangreindu leiðir að sú vinnsla AAM ehf. að senda auglýsingar með SMS-skilaboðum til þeirra sem tekið höfðu þátt í umræddum SMS-leik samrýmdist ekki 1. og 2. tölul. 1. mgr. 7. gr., 8. gr. og 1. mgr. 20. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þá var ekki tryggt að þátttakendur í leiknum gætu andmælt vinnslunni, sbr. 1. mgr. 28. gr. laganna. Er þeim tilmælum beint til AAM ehf. að eyða símanúmerum þeirra sem tóku þátt í umræddum SMS-leik. Þess þarf þó ekki hafi þeir síðar tekið þátt í SMS-leik, þar sem tekið var fram að símanúmer þeirra yrðu notuð við markaðssetningu fyrir aðra seinna meir, eða skráð símanúmer sitt á heimasíðu AAM ehf. til þess að fá sendar auglýsingar í farsíma.

4.9. Lögmæti aðgangs að sjúkraskrám vegna „afturskyggnrar vefjameinafræðilegrar athugunar, með klínísku ívafi“

Hinn 6. ágúst 2002 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2001/443:

Með bréfi, dags. 9. apríl 2001, óskaði a, þá yfirlæknir Fjórðungssjúkrahússins á Akureyri (FSA), eftir að Persónuvernd tæki afstöðu til lögmætis aðgangs að sjúkraskrám vegna „afturskyggnrar, vefjameinafræðilegrar athugunar, með klínísku ívafi“, á afbrigðilegum sortublettum, greindum á sjúklingum FSA á tímabilinu 1988 til 1995. Tók Persónuvernd þá afstöðu í upphafi að túlka erindið sem umsókn um leyfi til aðgangs að sjúkraskrám vegna rannsóknarinnar. Síðar áréttaði a, í bréfi til Persónuverndar, dags. 28. maí 2001, „fyrri ósk“ sína „um álit Persónuverndar á umræddu rannsóknarverkefni“. Tók Persónuvernd þá lögmæti aðgangsins til athugunar.

II.

Aðdragandi máls þessa er að á árinu 1996 hófst rannsókn á afbrigðilegum sortublettum sem greinst höfðu á sjúklingum sem leitað höfðu til FSA á tímabilinu 1988 til 1995. Voru öll tilfelli af afbrigðilegum sortublettum, sem skráð höfðu verið á meinafræðideild FSA á umræddu tímabili, smásjárskoðuð og endurmetin á kerfisbundinn hátt, samtals 45 tilfelli hjá 41 sjúklingi. Í erindi a, yfirlæknis FSA, til Persónuverndar, dags. 9. apríl 2001, kemur fram að jafnframt þessu hafi á árinu 1996 farið fram skráning á „völdum klínískum einkennum samkvæmt upplýsingum á vefjarannsóknarbeiðnum með sérstöku tilliti til stærðar og staðsetningar meinanna, til útlitseinkenna þeirra og þar með útlitsbreytinga, sem þau kynnu að hafa tekið, ennfremur m.t.t. kynjaskiptingar og aldursdreifingar sjúklingahópsins.“ Í kjölfarið hafi hann kannað tilsvarandi frumgögn (sjúkraskár, „klínískar nótur“) þegar ástæða var til og „fylla þurfti í eyður – með góðfúslegu leyfi viðkomandi lækna hverju sinni.“ Í bréfinu kemur jafnframt fram að í ráði sé að fá niðurstöður rannsóknarinnar birtar í Læknablaðinu. Útilokað verði í rannsóknarniðurstöðum að bera kennsl á einstaka sjúklinga þar sem einungis verði greint frá fjölda sjúklinga, kynjahlutfalli, meðalaldri, fjölda bletta, meðalstærð og staðsetningu þeirra, fjölda „grunsamlegra“ bletta, fjölda óbreyttra bletta og fjölda breyttra bletta að því er varði litabreytingar og stækkun. Hvorki atvinna sjúklinganna, lífsvenjur – að frátöldum ljósaböðum – né skipting eftir búsetu innan fjórðungsins verði tilgreind.

Erindi a fylgdi afrit af umsögn siðanefndar læknaráðs FSA, dags. 12. ágúst 2000. Í umsögn siðanefndarinnar er sú eina athugasemd gerð við fyrirliggjandi rannsóknaráætlun að afla þurfi leyfis tölvunefndar til að nota upplýsingar úr sjúkraskrám, sbr. 5. gr. reglugerðar nr. 552/1999 um vísindarannsóknir á heilbrigðissviði. Rétt er að nefna hér að Læknablaðið gerir það að skilyrði fyrir birtingu niðurstaðna úr vísindarannsóknum, sem byggst hafa á upplýsingum úr sjúkraskrám, að leyfis hafi verið aflað hjá tölvunefnd eða Persónuvernd til aðgangs að sjúkraskránum.

Í bréfi Persónuverndar til a, dags. 18. maí 2001, er á það bent að af gögnum málsins verði ekki annað ráðið en að þegar hafi verið aflað upplýsinga úr sjúkraskrám og önnur gögn skoðuð sem rannsókninni við koma. Sjái stofnunin því ekki tilgang í því að gefa álit eða veita leyfi eftir á. Í bréfinu er þess hins vegar óskað að gerð verði grein fyrir heimildum fyrir framangreindri vinnslu persónuupplýsinga.

Í svarbréfi a, dags. 28. maí 2001, kemur fram að hann hafi ekki talið þörf á að fá álit Persónuverndar fyrr en upplýsingaöflun hans hafi verið vel á veg komin og vænlegt þótti að fá niðurstöður birtar í Læknablaðinu. Hann hafi því verið grunlaus um að tímasetningin væri óheppileg. Þá er á það bent að rannsóknir eins og sú sem til umfjöllunar sé í þessu máli séu alvanalegar og raunar sjálfsagður þáttur í starfsemi meinafræðideilda. Í reynd megi segja að um ótvíræða skyldu yfirlæknis sé að ræða sem hluta af almennu þróunarstarfi. Með rannsókninni fáist yfirsýn yfir vandamálin, eðli þeirra og þyngd, þ.e. nýgengi og algengi. Þá segir í bréfinu:

„Ekkert af framansögðu krefst í sjálfu sér víðtækari upplýsingaöflunar en viðgengst í daglegu starfi/greiningarvinnu, engar frekari rannsóknir eða sýnatökur eru á dagskrá, og siðanefndir eru ekki tilkvaddar.

Umrætt verkefni er af þessari gerð, en vefræn skilmerki afbrigðilegra sortubletta eru (enn) umdeild og upplýsingar um nýgengi þeirra hérlendis liggja ekki fyrir. Að undirritaður leyfði sér að kanna frumgögn þegar „fylla þurfti í eyður“, telst ekki til tíðinda enda alvanalegt vinnulag þegar rannsóknarbeiðnir þykja ófullnægjandi. Tekið skal fram að viðbótarupplýsingar og rannsóknarniðurstöður hafa ekki verið tölvufærðar.

Með hliðsjón af ofanrituðu er fyrri ósk undirritaðs dags. 9/4 2001 um álit Persónuverndar á umræddu rannsóknarverkefni hér með formlega endurnýjað, en þeirri túlkun hafnað að erindið sé ekki lengur tímabært.“

Persónuvernd taldi framangreindar skýringar gefa ástæðu til að skoða hvort um hafi verið að ræða gæðarannsókn, þ.e. rannsókn sem er þáttur í stjórnsýslu hlutaðeigandi stofnunar eða læknis, eða vísindarannsókn í skilningi 2. gr. laga nr. 74/1997, um réttindi sjúklinga. Var a, með bréfi dags. 2. janúar 2002, bent á að það gæti skipt máli til hvors flokksins rannsókn hans teldist að því er varðaði lagaheimildir og lagaskilyrði fyrir rannsókninni. Var því óskað eftir nánari upplýsingum um og afstöðu hans til þess hvort um hafi verið að ræða gæðarannsókn, sem hafi talist nauðsynleg vegna venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu, eða vísindarannsókn, þ.e. rannsókn sem gerð er til að auka við þekkingu sem m.a. gerir kleift að bæta heilsu og lækna sjúkdóma, sbr. 4. mgr. 2. gr. laga nr. 74/1997 um réttindi sjúklinga.

Í svarbréfi a, dags. 29. janúar 2002, segir meðal annars: „Hvað varðar almenna afstöðu mína til málavaxta, þá er því til að svara, að óvéfengjanlega er um gæðarannsókn að ræða, sem telst vera nauðsynleg vegna venjubundinnar stjórnsýslu o.sfrv., sem jafnframt er vísindalegs eðlis, gerð til að auka við þekkingu o.sfrv.“

Persónuvernd leit svo á að fyrst rannsóknin hefði verið unnin til að auka þekkingu yrði að líta á hana sem vísindarannsókn í skilningi 4. mgr. 2. gr. laga nr. 74/1997 um réttindi sjúklinga. Kemur þessi afstaða Persónuverndar fram í bréfi stofnunarinnar til a og b, forstjóra FSA, dags. 20 mars 2002. Í bréfinu var þeim báðum einnig boðið að neyta andmælaréttar áður en málið yrði tekið til úrskurðar. Var það ítrekað í bréfi, dags. 27. júní 2002.

Í bréfi b, forstjóra FSA, til Persónuverndar, dags. 5. júlí 2002, segir að hjá honum hafi vaknað sá grunur að ekki hafi verið tekið tillit til bréfs a til stofnunarinnar, dags. 29. janúar s.á. Í símtali 11. júlí sl., við c, framkvæmdastjóra lækninga á FSA, sem talaði fyrir hönd b, var bent á að tekið yrði tillit til allra gagna, sem borist hefðu, við úrlausn málsins.

Þá segir í bréfi b: „Ég ítreka einnig skoðun a að um gæðarannsókn var að ræða en að sjálfsögðu hlýtur gæðarannsókn að auka við þekkingu, annars væri hún ekki gerð og þar með skilaði gæðarannsókn engum árangri.“

Í svarbréfi a, dags. 19. júlí 2002, við bréfi Persónuverndar, dags. 27. júní s.á., segir að lagt hafi verið upp með venjulega gæðarannsókn. Bráðabirgðaniðurstöður hafi þótt athyglisverðar og hafi könnuninni verið gefið aukið vægi með breytingu í formlegt rannsóknarverkefni með það í huga, meðal annars, að birta lokaniðurstöður í Læknablaðinu. Þá segir í bréfinu:

„Lögð var ofuráhersla á að gæta trúnaðar við viðkomandi sjúklinga og hafa persónuvernd í heiðri. Þjónandi læknum var fljótlega skrifað og óskað eftir viðbótarupplýsingum um sjúklingana, þ.e. um tilurð og vaxtarhegðun blettanna, svo og framhaldsmeðferð, þ.e. hugsanlegt aukið brottnám. Raunar lágu þessar upplýsingar í stórum dráttum fyrir á rannsóknabeiðnum. Undirritaður kannaði hins vegar ekki sjúkraskýrslur í neinu tilviki. Skrásett atriði rannsóknarinnar (einkenni, teikn) voru valin með það í huga m.a., að þau væru ekki rekjanleg, jafnvel þótt kunnugir ættu í hlut, þess var vandlega gætt, sjá nánar fyrra bréf [erindi a til Persónuverndar, dags. 9. apríl 2001].

Allar upplýsingar voru handunnar (af undirrituðum), sem sagt ekki tölvufærðar. Aðrir aðilar komu þar ekki nærri, svo sem hjúkrunarfólk, meinatæknar, ritarar. Gögn voru varðveitt undir lás og slá og niðurstöður ekki kynntar á fundum. Enn má rifja upp, að ný lífsýni (til viðbótar) koma ekki við sögu.“

III.

Sú rannsókn sem hér um ræðir byggir m.a. á söfnun upplýsinga úr sjúkraskrám. Í bréfi a til Persónuverndar, dags. 19. júlí 2002, kemur fram að hann kannaði ekki sjúkraskrár í neinu tilviki. Ljóst er hins vegar að hann fékk upplýsingar úr sjúkraskrám. Að fá upplýsingar úr sjúkraskrám með milligöngu þeirra lækna sem færa þeir er sama eðlis og að fá upplýsingarnar með því að kynna sér sjúkraskrárnar sjálfur. Að a hafi ekki sjálfur kannað skrárnar hefur því ekki áhrif á niðurstöðu málsins.

Hluti þessarar upplýsingasöfnunar átti sér stað fyrir gildistöku laga um réttindi sjúklinga hinn 1. júlí 1997, en þá skorti sérákvæði í lög um aðgang að sjúkraskrám í þágu vísindarannsókna. Laut þá slíkur aðgangur almennum ákvæðum laga nr. 121/1989 um skráningu og meðferð persónuupplýsinga. Samkvæmt 3. gr. þeirra laga var kerfisbundin skráning persónuupplýsinga sem féllu undir gildissvið laganna – þ.e. upplýsinga sem sanngjarnt var og eðlilegt að leynt færu, sbr. 3. mgr. 1. gr. – því aðeins heimil að skráningin væri eðlilegur þáttur í starfsemi viðkomandi aðila og tæki einungis til þeirra er tengdust starfi hans eða verksviði. Í 1. mgr. 4. gr. var kveðið á um bann við skráningu ákveðinna tegunda af upplýsingum og voru heilsufarsupplýsingar þar á meðal, sbr. c-lið ákvæðisins. Frá þessu banni var kveðið á um þær undantekningar í 2. mgr. að skráning væri heimil stæði til hennar heimild í öðrum lögum eða ef hinn skráði hefði sjálfur látið upplýsingar í té eða upplýsinga hefði verið aflað með samþykki hans. Samkvæmt 1. mgr. 5. gr. var svo óheimilt án sérstakrar heimildar í öðrum lögum að skýra frá þeim upplýsingum sem nefndar voru í 1. mgr. 4. gr. nema með samþykki hins skráða eða einhvers er heimild hefði til að skuldbinda hann. Kveðið var á um undantekningu frá þessu banni í 2. mgr., en þar sagði að skýra mætti frá þessum upplýsingum ef sýnt væri fram á að brýnir almannahagsmunir eða hagsmunir einstaklinga, þ.m.t. hagsmunir hins skráða, krefðust þess. Þurfti þá leyfi tölvunefndar, en í 1. mgr. 31. gr. sagði að tölvunefnd veitti starfsleyfi, heimildir eða samþykki til einstakra athafna.

Um þann hluta söfnunarinnar sem átti sér stað eftir gildistöku laga nr. 74/1997 um réttindi sjúklinga fer samkvæmt ákvæðum þeirra laga eftir því sem við á. Í 3. mgr. 15. gr. laganna segir að Persónuvernd (áður tölvunefnd) geti heimilað aðgang að upplýsingum úr sjúkraskrám, þar með töldum lífsýnum, vegna vísindarannsókna, enda uppfylli rannsókn skilyrði vísindarannsóknar, sbr. 4. mgr. 2. gr. sömu laga. Segir og að unnt sé að binda slík leyfi þeim skilyrðum sem metin séu nauðsynleg hverju sinni. Þá segir að í hvert sinn sem sjúkraskrá sé skoðuð vegna vísindarannsóknar skuli það skráð í hana, sbr. 4. mgr. 15. gr. Í 12. gr. laga um réttindi sjúklinga nr. 74/1997 segir að starfsmaður í heilbrigðisþjónustu skuli gæta fyllstu þagmælsku um allt það sem hann kemst að í starfi sínu um heilsufar sjúklings, ástand, sjúkdómsgreiningu, horfur og meðferð ásamt öðrum persónulegum upplýsingum. Þagnarskyldan helst þótt sjúklingur andist og þó að starfsmaður láti af störfum. Samkvæmt 14. gr. laganna skal varðveita sjúkraskrá á heilbrigðisstofnun þar sem hún er færð eða hjá lækni eða öðrum heilbrigðisstarfsmanni sem hana færir á eigin starfsstofu.

Nánari ákvæði um sjúkraskrár er að finna í reglugerð nr. 227/1991 um sjúkraskrár og skýrslugerð varðandi heilbrigðismál. Í 1. mgr. 9. gr. segir að yfirlæknir á deild eða ódeildarskiptri heilbrigðisstofnun beri ábyrgð á vörslu og meðferð sjúkraskráa meðan sjúklingur dvelur þar og að forstöðumenn beri ábyrgð á skjalavörslu sjúkrastofnana. Þá segir í 15. gr. að hafi yfirlæknir eða læknaráð heilbrigðisstofnunar samþykkt rannsókn, sem krefst aðgangs að sjúkraskrám, sé þeim sem að rannsókn standa heimill aðgangur að skránni.

Um það hvað sé vísindarannsókn er ákvæði í 4. mgr. 2. gr. laga nr. 74/1997 um réttindi sjúklinga. Segir þar að vísindarannsókn sé rannsókn sem gerð er til að auka við þekkingu sem m.a. gerir kleift að bæta heilsu og lækna sjúkdóma. Eins og áður segir tóku lög um réttindi sjúklinga gildi hinn 1. júlí 1997. Fyrir þann tíma var engin skilgreining í lögum á því hvað væri vísindarannsókn. Tölvunefnd hafði hins vegar í störfum sínum lagt til grundvallar að vísindarannsókn væri rannsókn sem ætlað væri að skapa nýja þekkingu eða auka við þekkingu sem fyrir væri.

Samkvæmt 4. mgr. 2. gr. laga nr. 74/1997 um réttindi sjúklinga verður mat vísindasiðanefndar á rannsókninni – eða siðanefndar skv. 29. gr. laganna, þ.e. þverfaglegrar siðanefndir sjúkrahúss, sbr. 2. og 3. gr. reglugerðar nr. 552/1999 um vísindarannsóknir á heilbrigðissviði – að hafa leitt í ljós að vísindaleg og siðfræðileg sjónarmið mæli ekki gegn framkvæmd hennar. Rétt er að geta þess að eftir að reglugerð um vísindarannsóknir á heilbrigðissviði öðlaðist gildi, hinn 29. júlí 1999, voru siðanefndir sjúkrahúsa stofnaðar. Falla rannsóknir á þeim sjúkrahúsum, þar sem þær starfa, undir valdsvið þeirra en ekki vísindasiðanefndar, sbr. 2. og 3. gr. reglugerðarinnar.

Í bréfi sínu, dags. 9. apríl 2001, kveður a slíkar rannsóknir sem hér um ræðir vera alvanalegan þátt í starfsemi meinafræðideilda. Telur hann slíka vinnslu vera hluta af almennu þróunarstarfi og vera nauðsynlega til að fá yfirsýn yfir vandamál og eðli þeirra. Framangreind ummæli voru talin gefa ástæðu til að skoða hvort um væri að ræða gæðarannsókn eða þá vísindarannsókn í skilningi 4. mgr. 2. gr. laga nr. 74/1997 um réttindi sjúklinga og samkvæmt framkvæmd tölvunefndar fyrir gildistöku þeirra laga.

Ljóst er að rannsókn a var vísindaleg og til þess ætluð að auka við þekkingu. Þetta kemur skýrt fram í bréfi a, dags. 29. apríl 2002. Af þessu leiðir að rannsóknin er vísindarannsókn í skilningi 4. mgr. 2. gr. laga nr. 74/1997 og samkvæmt framkvæmd tölvunefndar fyrir gildistöku þeirra laga. Í bréfi b, dags. 5. júlí 2002, segir að gæðarannsókn hljóti að auka við þekkingu; annars væri hún ekki gerð og skilaði engum árangri. Þetta er vissulega rétt í ákveðnum skilningi, en hafa verður í huga að í löggjöf og lagaframkvæmd hefur verið gert ráð fyrir því að með vísindarannsókn væri raunverulega verið að auka við vísindalega þekkingu. Gæðarannsókn, sem leiðir til aukinnar vísindalegrar þekkingar, telst því vera vísindarannsókn og á því undir þær reglur sem um vísindarannsóknir gilda. Sem dæmi um gæðarannsókn, sem ekki er jafnframt vísindarannsókn, má nefna rannsókn á því hvort lækningar hafi farið fram með eðlilegum hætti, t.d. hvort um óeðlilega tíðni fylgikvilla hafi verið að ræða, enda er þá ekki aukið við vísindalega þekkingu heldur einungis þekkingu á gæðum þeirrar vinnu sem unnin er. Rétt er að nefna hér að það að birta eigi niðurstöður rannsóknar í fagtímariti getur veitt vísbendingu um hvort um er að ræða gæðarannsókn eða vísindarannsókn. Fyrirætlanir um slíka birtingu benda fremur til þess að um vísindarannsókn sé að ræða heldur en gæðarannsókn. Eins og fram hefur komið er það ætlun a að birta niðurstöður rannsóknar sinnar í Læknablaðinu.

Áður en rannsókn a hófst, árið 1996, var ekki aflað samþykkis tölvunefndar til aðgangs að sjúkraskrám eins og skylt var, sbr. 2. mgr. 5. gr., sbr. 1. mgr. 31. gr. þágildandi laga nr. 121/1989 um skráningu og meðferð persónuupplýsinga. Hinn 1. júlí 1997 tóku gildi lög um réttindi sjúklinga og var í þeim sérstaklega kveðið á um að leyfi tölvunefndar (nú Persónuverndar) þyrfti til að veita aðgang að sjúkraskrám vegna vísindarannsóknar, sbr. 3. mgr. 15. gr. Leyfis samkvæmt því ákvæði var heldur ekki aflað.

Samkvæmt framansögðu er ljóst að a var ekki heimill aðgangur að sjúkraskrám vegna umræddrar vísindarannsóknar enda aflaði hann ekki tilskilinna leyfa. Persónuvernd getur ekki veitt leyfi til rannsóknarinnar nú enda verður umsókn um leyfi til aðgangs að sjúkraskrám að berast áður en upplýsinga er aflað úr þeim.

Úrskurðarorð:

a var óheimill aðgangur að sjúkraskrám vegna „afturskyggnrar, vefjameinafræðilegrar athugunar“ hans, „með klínísku ívafi“, á afbrigðilegum sortublettum, greindum á sjúklingum FSA á tímabilinu 1988 til 1995.

4.10. Ökusíritar í bifreiðum Landssíma Íslands hf.

Með bréfi Persónuverndar, dags. 7. maí 2002, var kvartanda kynnt álit í máli nr. 2001/808. Í því bréfi segir:

Með bréfi, dags. 15. október 2001, tilkynnti Guðni Á Haraldsson, hrl., Persónuvernd að Rafiðnaðarsamband Íslands, hefði falið honum, vegna félagsmanna Félags ísl. símamanna, að afla álits stjórnar Persónuverndar á lögmæti notkunar ökusírita í bifreiðum Landssíma Íslands hf.

Með bréfi Persónuverndar, dags. 1. nóvember 2001, til Landssíma Íslands hf. var erindið kynnt og óskað upplýsinga um það á hvaða lagaheimild umrædd vinnsla persónuupplýsinga byggðist. Þá var óskað eftir því að Landssíminn skýrði á hvern hátt vinnslan uppfyllti skilyrði 7. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, og hvernig fræðslu til starfsmanna um tilvist og tilgang vinnslunnar hefði verið háttað, sbr. 20. og 21. gr. sömu laga. Að lokum var þess óskað að gerð yrði grein fyrir því hvort umræddur búnaður hefði verið settur upp í því skyni að fylgjast með vinnutíma og vinnuskilum starfsmanna. Svarbréf Landssímans hf. er dags. 9. nóvember 2001. Því fylgdi „Samantekt vegna tilraunaverkefnis með ökusírita í bifreiðum Símans“, ódagsett en undirrituð af a. Með bréfi, dags. 13. nóvember 2001, var Guðna Á Haraldssyni, hrl., kynnt svarbréf Landssímans hf. og honum gefinn kostur á að tjá sig um skýringar fyrirtækisins. Svarbréf hans er dags. 4. janúar 2002. Með bréfi, dags. 19. mars 2002, óskaði Persónuvernd eftir því að fá gögn er sýndu nákvæmlega hvernig staðið hafi verið að því að upplýsa viðkomandi starfsmenn eins og skylt er samkvæmt 20. gr. um persónuvernd og meðferð persónuupplýsinga. Svarbréf Landssímans er dags. 27. mars 2002. Því fylgdi afrit af þeim glærum sem notaðar voru á fræðslufundi fyrir starfsmenn og afrit af fréttatilkynningu frá 2. október 2001.

II.

Samkvæmt gögnum málsins eru málavextir þeir að 1. október 2001 hófst tilraunaverkefni hjá Landssíma Íslands hf. um notkun ökusírita í bifreiðum fyrirtækisins. Tilraunaverkefnið stendur til 1. október 2002, eða í eitt ár. Í samantekt Landssímans um verkefnið, kemur fram að um samvinnuverkefni Símans, Íslandspósts og ND á Íslandi sé að ræða - en ND hanni og smíði umrædda ökusírita. Verkefnið sé styrkt af Rannsóknarráði í umferðaröryggismálum. Ökusíritar verði settir í tuttugu bifreiðar Símans en aðrar tuttugu bifreiðar sömu tegundar verði án ökusírita. Íslandspóstur verði með ökusírita í fjörutíu bifreiðum á móti jafnmörgum bifreiðum án ökusírita. Tilgangur verkefnisins sé að bera saman rekstrarkostnað bifreiðanna með og án framangreinds búnaðar. Markmiðið sé einnig að fækka umferðaróhöppum og auka öryggi starfsmanna, lækka rekstrarkostnað bifreiða og bæta ímynd fyrirtækisins með betra aksturslagi í umferðinni. Fram kemur að ökusíriti sé tæki sem sett sé á mælaborð bifreiðar. Tækið sé með staðsetningarbúnaði sem sýni akstursleiðir ásamt búnaði sem sýni ökuhraða, hröðun, hemlun, hraðan akstur í beygjum og tíma sem bifreiðar séu í akstri. Upplýsingar úr tækjunum séu reglulega lesnar inn á tölvu.

Samkvæmt fyrirliggjandi gögnum var haldinn kynningarfundur fyrir starfsmenn þeirra deilda Landssímans sem hafa umræddar bifreiðar til umráða. Á þeim fundi var kynnt í hverju verkefnið fælist, markmið þess, hvers konar búnað um væri að ræða, hvað skráð væri og hvernig úrvinnslu gagna yrði háttað. Þá liggur fyrir að bifreiðarnar eru merktar sérstaklega á hliðarrúðu ökumannsmegin, að verkefnið var kynnt á „Upplýsingatorgi Símans“ sem er upplýsingavefur fyrir starfsfólk og að fréttatilkynning var send fjölmiðlum. Landssíminn tilkynnti Persónuvernd um framangreinda vinnslu persónuupplýsinga 13. ágúst 2001, tilkynning nr. 328.

III.

Guðni Á. Haraldsson, hrl., vísar í bréfum sínum, dags. 15. október 2001 og 4. janúar 2002, til þess að um rafræna vöktun sé að ræða í skilningi 6. tl. 1. mgr. 2. gr. um persónuvernd og meðferð persónuupplýsinga, sem feli í sér skerðingu á persónufrelsi starfsmanna. Ekki séu uppfyllt skilyrði fyrir slíkri vöktun samkv. 8. gr. laganna þar sem engin þeirra skilyrða sem kveðið sé á um í 1. mgr. 8. gr. eigi við. Vöktunin hafi ekki verið samþykkt af starfsmönnum, hún sé ekki nauðsynleg til þess að fyrirtækið geti efnt samninga þar um, hún sé ekki nauðsynleg til að efna lagaskyldu, ekki nauðsynleg til að vinna verk í þágu almannahagsmuna, hún sé ekki nauðsynleg til að beita opinberu valdi né sé hún nauðsynleg skv. 7. tl. sömu greinar. Þá segir í bréfi lögmannsins, dags. 4. janúar 2002:

„Skv. 3. mgr. 8. gr. er heimilt að veita leyfi fyrir rafrænni vöktun umfram það sem segir í 1. mgr. sömu greinar: „svo fremi sem brýnir almannahagsmunir eða hagsmunir einstaklinga, þar með taldir hagsmunir þess skráða krefjist þess. Skal þá ótvírætt að þörfin fyrir vinnsluna vegi þyngra en tillitið til þess að hún fari ekki fram.“

Hér er ekki um brýna almannahagsmuni að ræða enda væri þá öllum bifreiðaeigendum á landinu heimilt að setja upp slíka rafræna vöktun. Hagsmunirnir verða auk þess að vera brýnir. Þeir hagsmunir sem Landssími Íslands h.f. hefur talið fram teljast ekki brýnir heldur einungis rekstrarlegir hagsmunir fyrirtækisins og í engu óskyldir hagsmunum annarra fyrirtækja á landinu. Starfsmenn Landssíma Íslands h.f. teljast hinir skráðu. Þeir hafa engra hagsmuna að gæta af slíkri vöktun. Auk þess hefur Landssími Íslands hf. á engan hátt sýnt fram á að þörfin fyrir vöktun sé brýnni en þeir persónuhagsmunir sem starfsmenn hafa af því að hún fari ekki fram.“

Þá hafnar lögmaðurinn alfarið skýringu Landssímans um umhverfissjónarmið sem órökstuddri. Hann telur heimildarákvæði um rafræna vöktun vera undantekningarreglu sem túlka beri þröngt. Ljóst sé, að hans mati, að eini tilgangur vöktunarinnar sé að kanna vinnuskil starfsmanna en slík vöktun eigi ekki rétt á sér.

Landssíminn vísar í bréfi sínu, dags. 9. nóvember 2001, til þess að fyrirtækinu sé nauðsynlegt að halda úti allstórum og virkum bílaflota. Það sé stefna fyrirtækisins að stuðla að öryggi í umferðinni, gæta umhverfissjónarmiða og auka rekstrarhagkvæmni t.d. með því að minnka eldsneytis-, hjólbarða- og tryggingakostnað.

Eins og fram komi í tilkynningu Landssímans til Persónuverndar, dags. 13. ágúst 2001, þá eigi tilraunin/vöktunin sér málefnalegan tilgang, þ.e. öryggis- og eignavörslusjónarmið og uppfylli skilyrði laga um lögmæti rafrænnar vöktunar, sbr. 7. gr. og 8. gr. um persónuvernd og meðferð persónuupplýsinga. Starfsmenn hafi verið upplýstir um tilvist ökusíritanna en auk þess séu bifreiðarnar merktar sérstaklega til að minna á þá. Þær niðurstöður, sem dregnar verði af þeim upplýsingum sem fáist, verði bundnar ökutæki en ekki ökumanni. Upplýsingarnar verði hvorki notaðar til að fylgjast með vinnutíma né vinnuskilum starfsmanna. Þegar tilraunaverkefninu ljúki og lokaskýrsla liggi fyrir, verði öllum gögnum eytt. Þá verði árangur metinn og ákvörðun tekin um framhaldið. Í framangreindri tilkynningu Landssímans frá 13. ágúst 2001 um lögmæti þessa er vísað til 2. mgr. 8. gr. laga 77/2000.

Að lokum vísar Landssíminn til samantektarinnar um tilraunaverkefnið en þar komi fram í hverju það felist og hver séu meginmarkmið þess. Í samantektinni komi jafnframt fram að tjón vegna óhappa og slysa í umferðinni hjá bifreiðum Símans hafi verið umtalsvert á árinu 2000. Samkvæmt upplýsingum frá tryggingarfélagi fyrirtækisins hafi fjöldi tjóna þá verið alls 71, skemmdar bifreiðar alls 123, slasaðir verið 4 talsins, meðaltjón á hverja bifreið kr. 207.450 en greiddar heildarbætur á árinu kr. 14.728.995. Kveður Landssíminn kostnað þetta ár hafa numið kr. 4.213.618 vegna tjóns sem tryggingar greiða ekki, s.s. vegna umferðaróhappa þar sem ökumenn bifreiða Landssímans voru í órétti. Heildarkostnaður Landssímans og tryggingarfélags þess hafi því verið kr. 18.942.613 á árinu 2000.

IV.

Álit Persónuverndar

Rafræn vöktun er vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum búnaði, sbr. 6. tölul. 1. mgr. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Ferilvöktun ökutækja er ein tegund rafrænnar vöktunar. Í slíkri vöktun felst að jafnaði vinnsla persónuupplýsinga. „Vinnsla“ er skilgreind sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 1. mgr. 2. gr. laganna. Samkvæmt gögnum málsins safnar ökusíriti upplýsingum um aksturslag og þann tíma sem bifreið er ekki í akstri. Eru upplýsingarnar lesnar reglulega inn á tölvu.

Af hálfu Landssímans er áhersla lögð á að þær niðurstöður sem dregnar verði af tilraunaverkefninu miðist við bifreiðar en ekki ökumenn. Engu að síður verður ekki litið framhjá því að þau gögn sem unnið er með innihalda einnig upplýsingar um ökulag ökumanna. Verður því við það að miða að jafnan sé um vinnslu persónuupplýsinga að ræða, sbr. 1. og 2. tölul. 1. mgr. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Samkvæmt 4. tl. 2. gr. laganna er ábyrgðaraðili sá aðili sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Telst Landssíminn vera ábyrgðaraðili þeirrar vinnslu sem hér um ræðir. Í 7. gr. laganna eru tilgreindar þær meginreglur sem ábyrgðaraðila ber að hlíta um gæði gagna og vinnslu. Er m.a. kveðið á um að við meðferð persónuupplýsinga skuli þess gætt að þær séu unnar með lögmætum hætti og að þær séu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi.

Tilgangur þeirrar vinnslu sem hér um ræðir er, samkvæmt upplýsingum Landssímans, að bera rekstrarkostnað þeirra bifreiða sem eru með ökusírita saman við kostnað við bifreiðar sem eru án ökusírita. Auk þess er markmiðið að fækka umferðaróhöppum, auka öryggi starfsmanna, lækka rekstrarkostnað bifreiða og bæta ímynd fyrirtækisins með betra aksturslagi í umferðinni.

Umferðarlög nr. 50/1987 byggja á þeirri meginreglu að skráður eða skráningaskyldur eigandi bifreiðar beri á henni hlutlæga fébótaábyrgð, sbr. 90. gr. laganna. Hlutlæg ábyrgð skráðs eða skráningarskylds eiganda felur í sér að ábyrgðin er óháð því hvort eigandi sé jafnframt ökumaður bifreiðarinnar og óháð því hvort það tjón sem hlýst af notkun bifreiðarinnar megi rekja til bilunar, galla eða ógætni ökumanns, sbr. 88. gr. Er síðan í 2. og 3. mgr. 88. gr. kveðið á um heimildir til lækkunar eða niðurfellingar bóta í þeim tilvikum er sá sem verður fyrir tjóni, eða sá sem lést, var meðvaldur að tjóninu af ásetningi eða stórkostlegu gáleysi. Ljóst er því að ábyrgð skráðra eða skráningarskyldra eigenda bifreiða er mikil. Fyrir liggur að Landssíminn er eigandi fjölda bifreiða sem nýttar eru í þágu starfsemi fyrirtækisins og að kostnaður Landssímans og tryggingarfélags þess vegna umferðaróhappa getur orðið umtalsverður.

Engin gögn liggja fyrir um að tilgangur vöktunarinnar sé að fylgjast með vinnutíma og vinnuskilum starfsmanna. Hefur Landssíminn ítrekað áréttað að þær niðurstöður sem dregnar verða af þeim upplýsingum er fást við verkefnið, séu bundnar við ökutæki en ekki ökumann. Meðan annað hefur ekki komið í ljós verður miðað við að sú vöktun og vinnsla persónuupplýsinga sem um er deilt í máli þessu, eigi sér tilgang þann sem Landssíminn hf. hefur tilgreint.

Að öllu þessu virtu, er það álit Persónuverndar að umrædd vöktun bifreiða Landssíma Íslands hf. eigi sér lögmætan og málefnalegan tilgang, sbr. 2. tl. 7. gr. um persónuvernd og meðferð persónuupplýsinga.

Ágreiningur er jafnframt um það að hvaða marki úrvinnsla þeirra upplýsinga sem ökusíritinn safnar og færast inn á tölvu, sé heimil samkvæmt lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Lög nr. 77/2000 byggja á því almenna sjónarmiði að í einkalífsrétti felist m.a. réttur einstaklings til að hafa forræði á þeim upplýsingum sem varða hann sjálfan. Samþykki hans fyrir vinnslu persónuupplýsinga er því ein meginheimildin fyrir vinnslu samkvæmt lögunum.

Forsenda þess að einstaklingur geti veitt samþykki sitt er að hann hafi fengið vitneskju um þá vinnslu sem að fram fer. Í 1. mgr. 20. gr. laganna er því kveðið á um þá lágmarksfræðslu sem ábyrgðaraðila er skylt að veita þegar upplýsinga er aflað frá hinum skráða. Skal ábyrðaraðili fræða hann m.a. um hvert sé markmið söfnunar upplýsinganna, hvernig hagað verði auðkenningu þeirra, hverjum upplýsingarnar verði afhentar, hvort hinum skráða sé skylt eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa í för með sér sé það ekki gert. Þá er í 2. mgr. 20. gr. kveðið á um nánari fræðslu sem hinum skráða skal veitt ef slíkt er nauðsynlegt til að tryggja að hann geti gætt hagsmuna sinna. Eru tiltekin tvo dæmi um upplýsingar sem skylt getur verið að veita hinum skráða. Í fyrsta lagi getur verið skylt að gera hinum skráða grein fyrir upplýsingarétti hans samkvæmt 18. gr. laganna og í öðru lagi að gera honum grein fyrir rétti sínum til að krefjast leiðréttinga eða eyðingu upplýsinga, skv. 25. gr. laganna.

Með bréfi dags. 19. mars sl. óskaði Persónuvernd eftir því að fá gögn er sýndu nákvæmlega hvernig staðið hafi verið að því að upplýsa starfsmenn Landsímans. Var í bréfinu sérstök athygli vakin á ákvæði 20. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Í svarbréfi Landssímans, dags. 27. mars 2002, kemur fram að kynningarfundur hafi verið haldinn fyrir starfsmenn þeirra deilda sem höfðu þær bifreiðar til umráða sem tilraunin tekur til. Bréfi Landssímans fylgdi afrit af þeim glærum sem sýndar voru við kynninguna. Þá var verkefnið kynnt á „Upplýsingatorgi“ Símans sem er upplýsingarvefur fyrir starfsmenn og fréttatilkynning send fjölmiðlum.

Af þeim glærum sem notaðar voru við kynninguna og sendar hafa verið Persónuvernd, má ráða að starfsmenn hafi verið upplýstir um í hverju verkefnið fælist, markmið þess, hverjir stæðu að því, hvers konar búnað notaður væri, hvað yrði skráð og hvernig úrvinnslu gagna yrði háttað. Þá liggur fyrir að framrúður bifreiðanna ökumannsmegin eru merktar til að minna á tilvist ökusíritanna. Starfsmönnum var hins vegar ekki gerð grein fyrir réttarstöðu sinni, þ.e. hvort þeim væri skylt eða valfrjálst að taka þátt í verkefninu og hvaða afleiðingar það gæti haft tækju þeir ekki þátt. Liggur ekki fyrir að starfsmönnum hafi verið veitt fræðsla um þau atriði er greinir í 2. mgr. 20. gr. Af framangreindu er ekki ljóst að sú kynning sem fram fór á vegum Landssímans hafi ótvírætt uppfyllt þau lágmarksskilyrði sem kveðið er á um í 1. og 2. mgr. 20. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Eins og rakið er hér að framan þá skráir ökusíriti akstursleiðir bifreiðar, ökuhraða, hröðun, hemlun, hraðan akstur í beygjum og þann tíma sem bifreiðar eru í akstri. Skráning þessara upplýsinga felur í sér skráningu á hvert starfsmaður, sem bifreið stýrir, fer á vinnutíma og á gæði vinnu hans. Skráningin varðar því vinnuumhverfi hans og það vinnuréttarsamband sem er á milli hans og atvinnurekanda. Þá má ætla að fyrir flesta starfsmenn hafi verið um að ræða nýja og áður óþekkta tækni. Þegar svo stendur á er ítarleg fræðsla til þess fallin að auka traust og eyða mögulegri tortryggni um að vinnsla upplýsinganna sé ekki byggð á sanngirni gagnvart hinum skráðu.

Ákvæði 2. mgr. 20. gr. er byggt á 10. gr. tilskipunar Evrópusambandsins nr. 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga. Er þar sérstaklega tilgreint að við mat á því hvort og að hvaða marki skuli veita hinum skráða frekari fræðslu, skuli taka mið „af þeim sérstöku aðstæðum sem ríkja við söfnunina, til að tryggja hinum skráða að vinnslan fari fram á sanngjarnan hátt gagnvart honum.“ Með vísun til þess lítur Persónuvernd svo á, að þrátt fyrir þá annmarka sem mögulega kunna að hafa verið á veittri fræðslu, skv. því sem að framan greinir, hafi hinum skráðu, eins og hér stendur á, verið veitt sanngjörn og nauðsynleg fræðsla til að þeir gætu gert upp hug sinn til vinnslunnar.

Þegar lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, tóku að fullu gildi 1. janúar 2001, var með „samþykki hins skráða“ samkvæmt 1. tölul. 1. mgr. 8. gr. laganna, áskilið samþykki í skilningi 7. tölul. 2. gr. laganna. Samþykki er þar skilgreint sem: „Sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv.“ Með lögum nr. 90/2001, er breyttu lögum nr. 77/2000, var ákvæðið rýmkað. Vinnsla persónuupplýsinga skv. 1. tölul. 1. mgr. 8. gr. er nú heimil hafi hinn skráði ótvírætt samþykkt vinnsluna eða veitt samþykki sitt skv. 7. tölul. 2. gr. Með ótvíræðu samþykki er m.a. átt við þau tilvik þegar af athöfn einstaklings, eða eftir atvikum athafnaleysi, má ráða að hann hafi samþykkt tiltekna vinnslu upplýsinga um sig. Af gögnum málsins verður ekki annað séð en að þeir starfsmenn, sem málið varðar, hafi án athugasemda ekið umræddum bifreiðum. Verður því við það að miða að þeir hafi í verki sýnt ótvírætt samþykki sitt í skilningi 1. tl. 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Með vísan til þess sem að framan er rakið, er það álit Persónuverndar að tilraunaverkefni Landssímans hf. um notkun ökusírita í tilteknum, merktum bifreiðum í því skyni að fækka umferðaróhöppum og auka öryggi starfsmanna, lækka rekstarkostnað bifreiða og bæta ímynd fyrirtækisins með betra aksturslagi í umferðinni, sé heimil samkvæmt 7. gr. og 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

4.11. Samkeyrsla RÚV á viðskiptamannaskrá sinni við þjóðskrá Hagstofu Íslands

Hinn 9. apríl 2002 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2001/494:

Með tölvubréfi, dags. 4. maí 2001, óskaði a álits Persónuverndar á því hvort samkeyrsla Ríkisútvarpsins á viðskiptamannaskrá sinni við þjóðskrá Hagstofu Íslands bryti gegn ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Í erindi hans sagði m.a. svo:

„Svo virðist sem RÚV beri saman Þjóðskrá og viðskiptamannaskrá sína til að bera saman hverjir eru með sjónvarp og hverjir ekki. Það er skýrt tekið fram í bréfum frá RÚV til þeirra sem fá bréf um hvort þeir eigi viðtæki. Er þetta ekki skýrt brot á persónuverndarlögum að Þjóðskráin sé nýtt til viðskiptalegs eðlis?“

II.

Af framangreindu tilefni sendi Persónuvernd bréf til Ríkisútvarpsins, dags. 14. maí 2001, og gaf því kost á að koma afstöðu sinni á framfæri. Auk þess var farið fram á að greint yrði frá því á hvaða heimild umrædd vinnsla byggðist. Svör Ríkisútvarpsins bárust Persónuvernd með bréfi, dags. 28. maí 2001. Þar kemur fram að samkvæmt 12. gr. laga nr. 122/2000, um Ríkisútvarpið, skuli eigandi viðtækis, sem nýta megi til móttöku útsendinga Ríkisútvarpsins, greiða af því afnotagjald. Segir að samkvæmt 22. gr. reglugerðar 357/1986, með síðari breytingum, hafi Ríkisútvarpið eftirlit með því að fullnægt sé fyrirmælum útvarpslaga og reglugerðar um tilkynningar viðtækja. Skuli afnotadeild Ríkisútvarpsins halda skrá yfir öll viðtæki í landinu, þar sem fram komi nafn, kennitala og heimilisfang eiganda. Þeim sem annist sölu viðtækja sé skylt að tilkynna innheimtudeild stofnunarinnar um kaupendur. Þá skuli, þegar eigendaskipti verða að viðtæki, tilkynna það til innheimtudeildar þegar í stað, sbr. 20. gr. reglugerðarinnar. Í bréfi Ríkisútvarpsins segir síðan:

„Innheimtudeild Ríkisútvarpsins hagar samkeyrslu þjóðskrár og viðskiptamannaskrár þannig að öllum fjölskyldunúmerum þjóðskrár sem eiga lögheimili í tilteknu póstnúmeri er safnað í svokallaða vinnslutöflu fjölskyldunúmera. Ef einhver meðlimur fjölskyldu er skráður fyrir sjónvarpstæki er fjölskyldunúmeri eytt úr vinnslutöflu fjölskyldunúmera. Ef einhver meðlimur fjölskyldu er skráður án tækis í viðskiptamannaskrá Afnotadeildar, í skjóli annars viðskiptamanns sem er greiðandi af viðtæki, er því fjölskyldunúmeri eytt úr vinnslutöflu fjölskyldunúmera. Ef elsti meðlimur fjölskyldu er yngri en 22 ára eða 75 ára eða eldri, er fjölskyldunúmeri eytt úr vinnslutöflu fjölskyldunúmera. Elsti meðlimur fjölskyldna sem eftir er í vinnslutöflu fjölskyldunúmera fær fyrirspurn frá Afnotadeild vegna tækjaleitar.

Ríkisútvarpið telur að í lögum nr. 122/2000 og reglugerð nr. 357/1986 með síðari breytingum felist lagaheimild sú sem áskilin er í 3. tl. 1. mgr. 8. gr. laga nr. 77/2000 um skráningu og meðferð persónuupplýsinga. Samkvæmt lögum nr. 122/2000 og reglugerð nr. 357/1986 er lögð sú lagaskylda á Afnotadeild RÚV að kanna og fylgjast með, að allir þeir sem nota viðtæki, greiði af slíku viðtæki lögboðið afnotagjald. Ofangreind vinnsla er nauðsynleg til að fullnægja þeirri lagaskyldu.“

Í bréfinu kemur einnig fram að Ríkisútvarpið telji umrædda samkeyrslu vera nægilega, viðeigandi og ekki umfram það sem nauðsynlegt sé miðað við tilgang vinnslunnar, sbr. 3. tl. 1. mgr. 7. gr. laga nr. 77/2000, en tryggja verði að einstaklingar eða eftir atvikum fjölskyldur greiði lögboðin afnotagjöld í samræmi við lög nr. 122/2000. Þá vísar stofnunin til úrlausna tölvunefndar á grundvelli laga nr. 121/1989 í málum sem lutu að sams konar eða sambærilegum kvörtunum við samkeyrslur stofnunarinnar í þessu skyni, þ.e. úrlausna nr. 99/393, nr. 99/379, nr. 99/181, nr. 99/121 og nr. 98/502, en í öllum tilvikum hafi tölvunefnd talið sambærilega samkeyrslu skráa vera heimila skv. þágildandi lögum um meðferð persónuupplýsinga.

Með bréfi, dags. 12. júní 2001, var a kynnt svar Ríkisútvarpsins og honum gefinn kostur á að koma að athugasemdum sínum. Athugasemdir hans bárust með tölvubréfi, dags. 18. júní 2001, en þar segir m.a. svo:

„Ég nýti hér með mér þann kost sem mér var bent á í bréfi frá Persónuvernd um að tjá mig um efni bréfs þess sem ég fékk frá Persónuvernd tilvísun: 2001050494. Það sem ég er að leita eftir hjá Persónuvernd er svar eða viðbrögð við því hvort að henni finnist það eðlilegt að Ríkisútvarpið noti Þjóðskrá Hagstofu Íslands í viðskiptalegum tilgangi þ.e.a.s. beri saman Þjóðskrá og viðskiptamannaskrá sína. Mér finnst þetta mjög óeðlilegt í lýðræðislegu ríki að opinber stofnun láti upplýsingar um einstaklinga í té fyrirtækjum hvort sem er í einkaeigu eða í opinberri eigu. Ef Persónuvernd treystir sér virkilega ekki að taka afstöðu til þess hvort að hér sé um lögbrot að ræða eða um óeðlilega notkun á opinberum gögnum í viðskiptalegum tilgangi þá mun ég leita til Umboðsmanns Alþingis um svara um þetta mál og hvort Persónuvernd hafi veitt Ríkisútvarpinu einhverja undanþágu til notkunar á Þjóðskrá í viðskiptalegum tilgangi.“

a áréttaði álitsbeiðni sína með tölvubréfum, dags. 18. júlí 2001 og 14. ágúst 2001. Með vísun til 11. gr. upplýsingalaga nr. 50/1996, sbr. 3. mgr. 9. gr. stjórnsýslulaga nr. 37/1993, var a tilkynnt með bréfi, dags. 24. ágúst 2001, að fyrirsjáanleg væri töf á afgreiðslu erindis hans vegna mikilla anna hjá stofnuninni. Með bréfi, dags. 24. september 2001, var a svo tilkynnt að ákveðið hefði verið að taka erindi hans til afgreiðslu. a áréttaði enn álitsbeiðni sína með tölvubréfi, dags. 6. desember 2001, og með tölvubréfi, dags. 4. febrúar 2002, tilkynnti hann Persónuvernd að hann hefði ákveðið að kvarta undan málsmeðferð stofnunarinnar á erindinu til Umboðsmanns Alþingis. Þann 7. febrúar sl. gerði Persónuvernd a grein fyrir ástæðum tafar á afgreiðslu erindis þessa en greindi jafnframt frá því að niðurstöðu mætti vænta um miðjan mars mánuð 2002.

III.

Forsendur og niðurstaða

Hinn 1. janúar 2001 tóku gildi lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. 46. gr. laganna. Frá sama tíma voru felld úr gildi lög nr. 121/1989, um skráningu og meðferð persónuupplýsinga. Samkvæmt 2. mgr. 6. gr. síðar nefndu laganna var heimilt að tengja saman upplýsingar um nafn, kennitölu og heimilisfang við skrár, sem haldnar voru, þótt slíkar upplýsingar væru fengnar frá öðrum, þ.m.t. úr þjóðskrá. Á grundvelli þessa ákvæðis var Ríkisútvarpinu talið heimilt að samkeyra upplýsingar úr þjóðskrá við viðtækjaskrá sína.

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, eru byggð á tilskipun 95/46/EB. Þau lög eru byggð upp á öðrum grundvelli en eldri lög um sama efni og hafa nýju lögin t.d. ekki að geyma eðlislíka almenna heimild og eldri lög, sem leyfðu að samkeyrðar væru upplýsingar um nafn, kennitölu og heimilisfang við skrár.

Erindi a felur það í sér að óskað er eftir afstöðu Persónuverndar til þess hvort samkeyrsla Ríkisútvarpsins á eigin viðskiptamannaskrá við upplýsingar úr þjóðskrá sé heimil samkvæmt ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Samkvæmt 2. gr. laga nr. 122/2000 er Ríkisútvarpið sjálfstæð stofnun í eigu íslenska ríkisins. Samkvæmt 2. mgr. 10. gr. laganna eru gjöld fyrir útvarpsafnot einn af megintekjustofnum Ríkisútvarpsins, en skv. 1. mgr. 12. gr. laganna er sérhver eigandi viðtækis, sem nýta má til móttöku á útsendingum Ríkisútvarpsins, skyldur að greiða afnotagjald.

Þegar haft er í huga að Ríkisútvarpið telst opinber aðili og starfsemi þess er m.a. borin uppi af gjöldum sem sérhverjum viðtækjaeigandi er að lögum gert skylt að greiða, verður ráðið af lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, að eitt eftirfarandi skilyrða verði að vera fyrir hendi svo Ríkisútvarpinu sé heimilt að samkeyra fyrrnefndar upplýsingar: 1) Að í lögum sé að finna sérstaka lagaheimild sem ótvírætt heimilar samkeyrslu umræddra upplýsinga, 2) að sá, sem upplýsingarnar varðar, hafi samþykkt samkeyrsluna, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000, 3) að sú lagaskylda hvíli á Ríkisútvarpinu að hafa eftirlit með að greidd séu afnotagjöld af öllum viðtækjum eða önnur sú lagaskylda sem gerir Ríkisútvarpinu það nauðsynlegt að samkeyra umræddar upplýsingar til að hægt sé að framfylgja lagaskyldunni, sbr. 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 eða 4) að Ríkisútvarpinu sé fengið opinbert vald, og að samkeyrsla umræddra upplýsinga sé nauðsynleg svo hægt sé að beita því valdi, sbr. 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Af hálfu Ríkisútvarpsins er því ekki borið við að til staðar séu heimildir sem falla undir lið 1 og 2 hér að framan. Af hálfu Ríkisútvarpsins er heimild til vinnslunnar byggð á 3. tl. 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. lög nr. 122/2000 og reglugerð nr. 357/1986. Samkvæmt því ákvæði er vinnsla heimil ef hún er nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, eins og áður segir. Kemur þá til athugunar hvort á Ríkisútvarpinu hvílir lagaskylda, sem gerir það nauðsynlegt að samkeyra umræddar upplýsingar.

IV.

Með lögum nr. 62/1930, um heimild handa ríkisstjórninni til ríkisrekstrar á útvarpi, var Ríkisútvarpið gert að sjálfstæðri stofnun. Í 7. gr. þeirra laga var kveðið svo á, að eftir að lögin hefðu tekið gildi og útvarpið tekið til starfa, mætti enginn nota viðtæki fyrir útvarp, nema tilkynna það útvarpsstjórninni og greiða lögboðið gjald af tækinu, sbr. 7. gr. og 6. gr. laganna um greiðslu afnotagjalds. Samkvæmt 8. gr. hafði útvarpið sama rétt og Landssíminn til að leggja nauðsynlegar lagnir vegna starfsemi sinnar um lönd manna, lóðir og byggingar. Samkvæmt 9. gr. var útvarpinu heimilt að gera, á kostnað eiganda, nauðsynlegar ráðstafanir til að hindra truflanir sem hlotist gátu frá raflögnum, vélum eða tækjum einstakra manna, sveitarfélaga eða bæjarfélaga. Í því skyni að hindra slíkar truflanir, var starfsmönnum útvarpsins heimilað að fara tálmunarlaust um lönd manna og hús, bæri nauðsyn til, enda færu þeir ekki um híbýli fyrir kl. 8 að morgni né eftir kl. 10 að kvöldi, sbr. 2. mgr. 9. gr. laganna.

Fyrrnefnd lög nr. 62/1930 viku fyrir lögum nr. 68/1934, um útvarpsrekstur ríkisins. Við setningu þeirra var tilgreindum lagaákvæðum að mestu haldið óbreyttum. Sú breyting var þó gerð að starfsmönnum Ríkisútvarpsins var ekki einungis heimilt að fara tálmunarlaust um lönd manna og hús á ákveðnum tímum til að hindra truflanir sem raflagnir, vélar eða tæki á vegum einstakra manna, sveitarfélaga eða bæjarfélaga gátu valdið, heldur einnig til eftirlits með útvarpsnotum. 9. gr. laganna var svohljóðandi:

„Nú hafa einstakir menn, sveitarfélög eða bæjarfélög raflagnir, vélar eða tæki, hvers kyns sem eru, sem geta valdið truflunum á starfrækslu Ríkisútvarpsins, og er Ríkisútvarpinu þá heimilt að gera, á kostnað eiganda, nauðsynlegar ráðstafanir um þau tæki eða lagnir til þess að hindra truflanir, sem af þeim geta hlotist.

Mönnum sem eru í þjónustu Ríkisútvarpsins þessara erinda og til eftirlits með útvarpsnotum, skal heimilt að fara tálmunarlaust um lönd manna og hús, ef nauðsyn krefur vegna starfsins......“

Þetta ákvæði var nánar útfært í reglugerð nr. 129/1944 um útvarpsrekstur ríkisins en 19. gr. hennar hljóðaði svo:

„Útvarpsnotandi er á hverjum tíma háður ákvæðum laga og reglugerða um eftirlit með hagnýtingu raforku og útvarpsviðtækja. Eftirlitsmenn útvarpsins, landssímans og rafmagnsstjórnarinnar á hverjum stað skulu hafa óhindraðan aðgang til skráningar útvarpsviðtækja, eftirlits með slíkum tækjum og hlutum þeirra og allri hagnýtingu rafmagns í sambandi við útvarpsviðtæki, og skal þeim heimilt að fara tálmunarlaust þessara erinda um lönd manna og hús, enda fari þeir ekki um híbýli manna á helgum dögum og ekki fyrir kl. 8 að morgni né eftir kl. 10 að kvöldi virka daga.“

Í 3. mgr. 6. gr. laga 68/1934 var síðan kveðið svo á að óheimilt væri hverjum manni að hagnýta sér útvarp ríkisins nema viðtæki hans hefði verið skrásett og tilkynnt skrifstofu Ríkisútvarpsins. Hvert það viðtæki, sem ekki væri tilkynnt skrifstofu Ríkisútvarpsins, skyldi upptækt vera.

Reglugerð nr. 28/1958 um útvarpsrekstur ríkisins leysti framangreinda reglugerð af hólmi. Ákvæði 19. gr. hennar stóðu þó óbreytt svo og ákvæðið um sektir, sbr. 62. gr. reglugerðar nr. 28/1958. Nokkrar breytingar voru þó gerðar á reglugerð nr. 28/1958, m.a. þess efnis að Ríkisútvarpið skyldi á árinu 1967 bæta skrár sínar um eigendur viðtækja og gera könnun á árinu 1967 í því skyni að hafa upp á eigendum viðtækja sem ekki hefðu tilkynnt um tæki, og ef þörf þætti, að endurtaka þá könnun á árinu 1968, sbr. reglugerð nr. 280/1966 um breytingu á reglugerð 28/1958.

Lög nr. 68/1934 voru felld úr gildi með útvarpslögum nr. 19/1971. Með þeim lögum var m.a. gerð sú breyting að í 9. gr. kom nýr málsliður svohljóðandi: "Starfsmönnum Ríkisútvarpsins er heimilt að fara tálmunarlaust um lönd manna til eftirlits eða athugana á þessum efnum", þ.e. til eftirlits með tækjum og lögnum sem valda truflunum. Á hinn bóginn var fellt niður ákvæðið sem mælti fyrir um eftirlit Ríkisútvarpsins með útvarpsnotum. Vaknar því sú spurning hvort með þessu hafi það verið vilji löggjafans að fella niður umrætt eftirlit Ríkisútvarpsins.

Í athugasemdum við 9. gr. frumvarps þess, er varð að útvarsplögum nr. 19/1971, segir svo:

„Í þessari grein eru nauðsynlegar heimildir fyrir Ríkisútvarpið til að koma fyrir lögnum og verja það gegn ýmiss konar truflunum. Er þetta efnislega óbreytt frá ákvæðum í 8. gr. og 9. gr. gildandi laga, að undanteknu einu þýðingarmiklu atriði. Í gildandi lögum segir: "Mönnum, sem eru í þjónustu Ríkisútvarpsins þessara erinda og til eftirlits með útvarpsnotum, skal heimilt að fara tálmunarlaust um lönd manna og hús, ef nauðsyn krefur vegna starfsins, enda fari þeir ekki um híbýli manna fyrir kl. 8 að morgni né eftir kl. 10 að kvöldi.“

Með þessu 35 ára gamla lagaákvæði er Ríkisútvarpinu veitt óvenjuleg og mjög víðtæk heimild, m.a. til að senda starfsmenn inn á heimili manna. Hefur þessu ákvæði að vísu sjaldan eða aldrei verið beitt, en samt þykir rétt að fella það niður. Er rétt að Ríkisútvarpið þurfi, eins og aðrir aðilar framkvæmdarvaldsins, að fá dómsúrskurð, ef þörf er að raska heimilisfriði." (Alþt. 1970, A-deild, bls. 477).

Samkvæmt framansögðu virðist markmiðið með breytingunni ekki hafa verið að fella niður eftirlit ríkisútvarpsins með því að greitt væru afnotagjöld af öllum viðtækjum, heldur hitt að nú varð Ríkisútvarpinu skylt að fá dómsúrskurð ef ætlunin var að fara um híbýli manna og raska heimilisfriði. Það styður þessa niðurstöðu að í 21. gr. laga nr. 19/1971 voru lögfest nýmæli sem veittu innheimtustjóra Ríkisútvarpsins sérstakar lagaheimildir til valdbeitingar þegar hagnýtt voru óskráð útvarpstæki. 1. og 2. mgr. 21. gr. laganna hljóðaði svo:

„Innheimtustjóri getur framkvæmt eða látið framkvæma innsiglun á útvarpsviðtæki: 1. Ef það er hagnýtt til útvarpsmóttöku, án þess að það hafi verið tilkynnt til Ríkisútvarpsins. 2. Ef vanskil eru orðin á greiðslu afnotagjalds af því. 3. Ef hlutaðeigandi aðili hefur sagt upp útvarpsnotum.

Nú eru fyrir hendi skilyrði samkvæmt 1. tölulið 1. mgr., eða gert hefur verið lögtak í viðtæki fyrir vangreiddu afnotagjaldi, og getur þá innheimtustjóri tekið eða látið taka viðtækið úr vörslum eiganda eða annars vörslumanns.“

Í athugasemdum við 21. gr. frumvarps þess er varð að útvarpslögum nr. 19/1971 sagði m.a. svo um ákvæðið:

„Í 3. mgr. 6. gr. útvarpslaganna segir, að hvert það viðtæki, sem ekki er tilkynnt skrifstofu Ríkisútvarpsins, skuli upptækt vera. Telja verður ákvæði þetta óþarflega strangt, og er í þess stað lagt til í 1. tölul., að heimilt sé að innsigla ótilkynnt viðtæki, sem hagnýtt eru til útvarpsmóttöku. Heimilt er og samkvæmt 2. mgr. að taka slík tæki úr vörslum umráðamanns.“ (Alþt. 1970, A-deild, bls. 480).

Lög nr. 19/1971 voru felld úr gildi með útvarpslögum nr. 68/1985. Í nýju lögunum voru ákvæði er snertu gjaldskyldu eigenda viðtækja, skyldu til að tilkynna kaup, sölu og breytt not viðtækja, skyldu til að halda skrá yfir öll viðtæki svo og lagaheimildir til valdbeitingar þegar hagnýtt voru óskráð útvarpstæki, óbreytt frá eldri lögum.

Á grundvelli 35. gr. útvarpslaga nr. 68/1985 var sett reglugerð nr. 357/1986. Í 22. gr. hennar segir svo:

„Innheimtudeild Ríkisútvarpsins hefur með höndum innheimtu útvarpsgjalds af viðtækum. Innheimtudeildin hefur eftirlit með því að fullnægt sé fyrirmælum útvarpslaga og reglugerðar þessarar um tilkynningar viðtækja og annast könnun í skyni.

Innheimtudeild heldur skrá samkvæmt 21. gr. og aðrar nauðsynlegar skrár yfir viðtæki og gjaldendur.“

Í 21. gr. reglugerðarinnar segir að Ríkisútvarpið haldi skrá yfir öll viðtæki sem notuð eru hér að landi og í íslenskum skipum og flugvélum og nota megi til móttöku útvarpsefnis.

Þegar sett voru ný útvarpslög nr. 53/2000 var svo fyrir mælt í 36. gr. þeirra að útvarpslög nr. 68/1985 með síðari breytingum skyldu falla niður að undanteknum tilgreindum ákvæðum laganna sem vörðuðu Ríkisútvarpið. Skyldi heiti þeirra laga verða Lög um Ríkisútvarpið og skyldu lögin gefin út svo breytt með nýjum kafla- og greinanúmerum. Á þessum grundvelli voru lögin endurútgefin sem lög nr. 122/2000, um Ríkisútvarpið. Samkvæmt 12. gr. gildandi laga nr. 122/2000 er Ríkisútvarpinu skylt að innheimta sérstakt afnotagjald eða útvarpsgjald af sérhverjum eiganda viðtækis, sem nýta má til móttöku á útsendingum Ríkisútvarpsins. Er greiðsluskyldan nú sem fyrr óháð því hvort viðkomandi tæki er nýtt til móttöku útsendinga þess eða ekki. Einungis skal innheimt eitt útvarpsgjald fyrir einkaafnot fjölskyldu á heimili.

Í 14. gr. laganna segir að Ríkisútvarpið skuli halda skrá yfir öll viðtæki sem notuð eru hér á landi og í íslenskum skipum og flugvélum eða nota má til móttöku útvarpsefnis. Sú skylda er lögð á hvern þann sem fæst við sölu viðtækja að tilkynna innheimtudeild í fyrstu viku næsta sölumánaðar hverjir séu kaupendur. Þá er eiganda viðtækis, sem breytir afnotum sínum, sbr. 12. gr. útvarpslaga og 18. gr. reglugerðar nr. 357/1986 með síðari breytingum, skylt að tilkynna Ríkisútvarpinu um þá breytingu. Um tilkynningaskylduna er nánar kveðið í 20. gr. reglugerðarinnar. Er þar sérstaklega tekið fram að þegar eigendaskipti verði að viðtæki skuli bæði nýr eigandi og sá sem það lætur af hendi tilkynna það til innheimtudeildar Ríkisútvarpsins.

Í 18. gr. laga nr. 122/2000 um Ríkisútvarpið koma fram samhljóða ákvæði og voru í eldri lögum um lagaheimildir til valdbeitingar þegar hagnýtt eru óskráð útvarpstæki.

Í ákvæði laga til bráðabirgða í útvarpslögum nr. 53/2000, var tekið fram að þar til sett hefði verið reglugerð eða reglugerðir um framkvæmd laganna skyldu reglugerðir samkvæmt útvarpslögum, nr. 68/1985, með síðari breytingum, halda gildi sínu að svo miklu leyti sem við gæti átt.

Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, byggja á því meginsjónarmiði að vernda beri rétt einstaklinga til að njóta friðhelgi um einkamálefni sín. Til að svo megi verða ber að tryggja að öll notkun persónuupplýsinga sé með sanngjörnum, málefnalegum og lögmætum hætti, upplýsinganna aflað í yfirlýstum, skýrum og málefnalegum tilgangi og þær ekki notaðar í öðrum og ósamrýmanlegum tilgangi, sbr. 7. gr. laganna. Hugtakið persónuupplýsingar er skilgreint sem „sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi“, sbr. 1. tölul. 1. mgr. 2. gr. laganna og hugtakið skrá er skilgreint sem „sérhvert skipulagsbundið safn persónuupplýsinga þar sem finna má upplýsingar um einstaka menn“, sbr. 3. tölul. 1. mgr. sömu greinar. Samkvæmt 3. tölul. 8. gr. laganna er vinnsla persónuupplýsinga því aðeins heimil að hún sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Byggir Ríkisútvarpið á því í málinu að samkeyrsla eigin viðskiptamannaskrár við þjóðskrá Hagstofu Íslands sé í þeim tilgangi gerð að tryggja framkvæmd lagaskyldu stofnunarinnar. Óumdeilt er að þessi vinnsla Ríkisútvarpsins felur því í sér vinnslu með persónuupplýsingar í skilningi laga nr. 77/2000 og telst óheimil nema hún byggi á einhverju þeirra skilyrða sem tilgreind eru í 8. gr. laganna.

Í 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er svohljóðandi ákvæði:

„Vinnsla persónuupplýsinga er því aðeins heimil að einhverjir eftirfarandi þátta séu fyrir hendi ... 3. vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila.“

Í athugasemdum við 8. gr. frumvarps þess, er varð að lögum nr. 77/2000, segir svo um þetta ákvæði:

„Í 3. tölul. kemur fram að vinnsla persónuupplýsinga geti verið heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Þetta ákvæði byggist á c-lið 7. gr. tilskipunar ESB. Með lagaskyldu er átt við hvers konar skyldu sem leiðir af lagasetningu, m.a. skyldur samkvæmt reglugerðum eða öðrum stjórnvaldsfyrirmælum sem eiga sér stoð í lögum. Undir hugtakið falla einnig skyldur samkvæmt dómi eða stjórnvaldsúrskurði. Hins vegar falla samningsskyldur ekki hér undir.“

Í 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er svohljóðandi ákvæði:

„Vinnsla persónuupplýsinga er því aðeins heimil að einhverjir eftirfarandi þátta séu fyrir hendi ... 6. vinnslan sé nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili, eða þriðjimaður sem upplysingum er miðlað til, fer með“

Í athugasemdum við 8. gr. frumvarps þess, er varð að lögum nr. 77/2000, segir m.a. svo um þetta ákvæði:

„Í 6. tölul. kemur fram að vinnsla persónuupplýsinga geti verið heimil sé hún nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili eða þriðji maður, sem upplýsingum er miðlað til, fer með. Ákvæðið tekur meðal annars til vinnslu upplýsinga á vegum stjórnvalda sem tengist meðferð opinbers valds. Með því er fyrst og fremst átt við töku stjórnvaldsákvarðana. Jafnframt mundi önnur vinnsla sem telst til stjórnsýslu, svo sem við opinbera þjónustustarfsemi, alla jafna falla hér undir.“

Samkvæmt því sem hér að framan hefur verið rakið, liggur fyrir að frá og með gildistöku laga nr. 68/1934 var gert ráð fyrir mjög víðtæku eftirlitshlutverki starfsmanna Ríkisútvarpsins en löggjafinn fékk þeim heimildir til að fara tálmunarlaust um lönd manna og hús, teldu þeir nauðsyn krefja. Brottfall þessa heimilda úr lögum verður hins vegar með engum móti skilin svo að vilji löggjafans hafi ekki lengur staðið til þess að Ríkisútvarpið viðhafi eftirlit með útvarpsnotkun með framkvæmd leitar að óskráðum viðtækum.

Í 12. gr. laga nr. 122/2000 er kveðið á um að eigandi viðtækis, sem nýta megi til móttöku á útsendingum Ríkisútvarpsins, skuli greiða afnotagjald, útvarpsgjald, af hverju tæki. Þó skal aðeins greiða eitt útvarpsgjald fyrir einkaafnot fjölskyldu á heimili. Skylda er lögð á hvern þann, sbr. 13. gr., sem fæst við sölu viðtækja að tilkynna um kaupendur svo og skylda fyrir eiganda viðtækis að tilkynna um breytt afnot. Þá segir í 14 gr. laganna að Ríkisútvarpið skuli halda skrá yfir öll viðtæki sem notuð eru hér á landi og í íslenskum skipum og flugvélum og nota má til móttöku útvarpsefnis. Innheimtudeild stofnunarinnar hefur með höndum innheimtu útvarpsgjaldsins og eftirlit með því að fullnægt sé fyrirmælum útvarpslaga og reglugerðar um tilkynningar viðtækja og annast könnun í því skyni. Skal innheimtudeildin halda skrá yfir öll viðtæki sem nota má til móttöku útvarpsefnis og halda aðrar nauðsynlegar skrár yfir viðtæki og gjaldendur, eins og segir 2. mgr. 22. gr. reglugerðarinnar nr. 357/1986. Í ákvæði laga til bráðabirgða í útvarpslögum nr. 53/2000, var tekið fram að þar til sett hefði verið reglugerð eða reglugerðir um framkvæmd laganna skyldu reglugerðir samkvæmt útvarpslögum, nr. 68/1985, með síðari breytingum, halda gildi sínu að svo miklu leyti sem við gæti átt.

Í 1. tölul. 18. gr. laga nr. 122/2000, um Ríkisútvarpið, er innheimtustjóra Ríkisútvarpsins falið opinbert vald í tilefni af brotum á lögunum. Þar er tekið fram að Innheimtustjóri geti framkvæmt eða látið framkvæma innsiglun á viðtæki ef það er hagnýtt til móttöku án þess að það hafi verið tilkynnt til Ríkisútvarpsins. Í 2. mgr 18. gr. laganna er tekið fram að innheimtustjóri geti tekið eða látið taka slík viðtæki úr vörslu eiganda eða annars vörslumanns.

Samkvæmt því, sem hér hefur verið rakið, er ljóst að Ríkisútvarpinu ber lögum samkvæmt að halda skrá yfir öll útvarpsviðtæki sem nýta má til móttöku útvarpsefnis og gjaldendur þeirra. Í því felst, eðli málsins samkvæmt, að stofnuninni beri ekki einvörðungu skylda til að halda skrá um tilkynningar sem henni berast um sölu útvarpsviðtækja heldur einnig bein lagaskylda til halda skrá um öll viðtæki og eigendur þeirra til að tryggja að allir þeir sem eiga að greiða útvarpsgjald greiði slíkt gjald. Eins og að framan er rakið framkvæmir Ríkisútvarpið umrædda vinnslu með þeim hætti að eftir samtengingu viðskiptamannaskrár við þjóðskrá Hagstofu Íslands er tilteknum einstaklingum send fyrirspurn um tækjaeign þeirra og þar með um gjaldskyldu. Komi í ljós að viðkomandi einstaklingur er ekki gjaldskyldur er nafn hans afmáð en ella bætt á viðskiptamannaskrá.

Þegar til alls þess er litið, sem hér að framan hefur verið rakið, telst Ríkisútvarpið hafa heimild til þeirra vinnslu persónuupplýsinga sem felst í að samkeyra eigin viðskiptamannaskrá við þjóðskrá Hagstofu Íslands. Ber því að fallast á að vinnslan sé nauðsynleg til að fullnægja lagaskyldu stofnunarinnar og við meðferð opinbers valds skv. 18. gr. laganna nr. 122/2000, sbr. 3. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

VI.

Úrskurðarorð

Ríkisútvarpinu er heimilt að samkeyra eigin viðskiptamannaskrá yfir eigendur tilkynntra viðtækja við upplýsingar sem fengnar eru frá þjóðskrá Hagstofu Íslands.

4.12. Krafa stéttarfélaga um aðgang að læknisvottorðum sem gefin eru út vegna sjúkraþjálfunar

Með bréfi Persónuverndar, dags. 11. janúar 2002, var kvartanda kynnt niðurstaða í máli nr. 2001/325. Í því bréfi segir:

Með bréfi, dags. 7. mars 2001, óskaði Félag sjálfstætt starfandi sjúkraþjálfara álits Persónuverndar á því þegar stéttarfélög krefjast afrits af beiðni læknis um sjúkraþjálfun og gera það jafnvel að skilyrði fyrir endurgreiðslu kostnaðar. Með erindinu fylgdi eintak af eyðublaði Tryggingastofnunar ríkisins „Beiðni um þjálfun“ og listi yfir nokkur stéttarfélög og þau gögn sem þau krefjast vegna endurgreiðslna.

Í erindinu kemur fram að það tíðkist hjá mörgum stéttarfélögum að endurgreiða að hluta til eða að fullu kostnað félagsmanna sinna vegna sjúkraþjálfunar. Mörg stéttarfélög geri að skilyrði fyrir endurgreiðslu að lagt sé fram afrit af beiðni læknis. Á beiðnirnar séu hins vegar iðulega skráðar viðkvæmar persónuupplýsingar um viðkomandi sjúkling þótt í mismunandi mæli sé. Fram kemur að sjúklingur fái vottorð frá sjúkraþjálfaranum þar sem fram komi á hvaða sjúkraþjálfunarstöð hann hafi fengið meðferð. Vottorðið sé undirritað og dagsett af sjúkraþjálfara og stundum tilgreindar þær dagsetningar sem sjúklingur kom til meðferðar. Að mati félagsins er óþarft að krefja félagsmenn um afrit af beiðni læknis vegna þess að sjúkraþjálfurum er óheimilt samkvæmt 5. gr. laga nr. 58/1976 um sjúkraþjálfun, að taka sjúkling til meðferðar nema samkvæmt beiðni frá lækni. Því ætti vottorð sjúkraþjálfara að nægja stéttarfélaginu.

II.

Persónuvernd sendi nokkrum stéttarfélögum eða samtökum stéttarfélaga bréf, dags. 27. apríl 2001, þar sem framangreint erindi er kynnt og óskað afstöðu félagsins/samtakanna til þess.

Í svarbréfi Alþýðusambands Íslands (ASÍ), dags. 8. maí 2001, kemur fram að aðildarfélög ASÍ eigi og reki sjúkrasjóði til hagsbóta fyrir félagsmenn sína. Sjóðir þessir lúti ekki beinni stjórn ASÍ en þeim beri samkvæmt lögum ASÍ að leita staðfestingar miðstjórnar á reglugerðum sínum sem jafnframt beri að hafa nokkurt eftirlit með fjárreiðum þeirra. ASÍ hafi af þessu tilefni gefið út leiðbeinandi reglugerð fyrir sjúkrasjóði stéttarfélaga innan ASÍ. Svar sambandsins byggist á þeirri leiðbeinandi reglugerð. Samkvæmt gr. 12.3 sé stéttarfélögum heimilt að veita styrki vegna forvarna- og endurhæfingar en undir það falli sjúkraþjálfun. Ekki sé skylt samkvæmt 12. gr. reglugerðarinnar að krefjast gagna sem nákvæmlega greini frá eðli veikinda eða ástandi sjúklings. Sönnun um óvinnufærni eða tekjutap þurfi hins vegar að liggja fyrir. Þá sé í 14. gr. kveðið á um þá meginreglu að virða beri almennar reglur um meðferð upplýsinga. Einfalt vottorð læknis þar sem fram komi hvort og þá hve lengi viðkomandi er talinn óvinnufær, sé almennt talið duga sem sönnun um óvinnufærni. Sama regla gildi að mati ASÍ um rétt til annarra bóta eða styrkja. Að lokum segir:

„Það er afstaða ASÍ, að sjúkrasjóðum stéttarfélaga innan ASÍ sé bæði rétt og skylt að krefjast þess að vottorð lækna fylgi umsóknum um fjárhagsaðstoð, þ.m.t. umsóknum um styrki vegna sjúkraþjálfunar. Efni þeirra vottorða þarf þó ekki að vera ítarlegra en svo að byggja megi réttmæti greiðslna á þeim. Vottorð þjónustuaðila á heilbrigðissviði sem selur viðkomandi félagsmanni þjónustu gegn gjaldi sem síðan er að hluta endurkrafið af sjúkrasjóðunum, eins og á við um sjúkraþjálfara, verður ekki að jafnaði hægt að telja fullnægjandi vottorð sem hægt sé að byggja greiðsluskyldu á.“

Í svarbréfi Bandalags háskólamanna (BHM), dags. 20. júlí 2001, kemur fram að enn sem komið er reki hvorki BHM né þau 24 stéttarfélög sem aðilar eru að BHM, sjúkrasjóði. Á næstu mánuðum muni BHM væntanlega gera þjónustusamninga við Sjúkrasjóð BHM og nýjan Styrktarsjóð BHM en hvorugur þessara sjóða hafi enn afgreitt styrk. Tveir sjóðir séu starfandi vegna hinnar hefðbundnu skiptingu milli opinberra starfsmanna og starfsmanna á almennum vinnumarkaði. Atvinnurekendum á almennum vinnumarkaði beri samkvæmt lögum nr. 19/1979 að greiða 1% af heildarlaunum í Sjúkrasjóð BHM. Sá sjóður hafi tekið starfa árið 1999 og hafi Félag íslenskra náttúrufræðinga fram til þessa séð um rekstur hans. Ríki, sveitarfélögum og öðrum þeim sem miða kjör starfsmanna sinna við kjarasamninga aðildarfélaga BHM við þessa aðila, beri hins vegar samkvæmt samkomulagi BHM, BSRB og KÍ við ríki og sveitarfélög frá 24. október 2000, að greiða 0,3% af heildarlaunum í Styrktarsjóð BHM frá og með 1. janúar 2001. Sjóðnum hafi verið sett skipulagsskrá, stjórn skipuð en starfsemin að öðru leyti ekki komin lengra. BHM geti því ekki á þessu stigi tekið formlega afstöðu til erindis Persónuverndar fyrr en framangreindri undirbúningsvinnu ljúki og umræddir þjónustusamningar hafi verið gerðir. Þá segir:

„Á hinn bóginn er ljóst af hjálögðum úthlutunarreglum Sjúkrasjóðs BHM, sbr. einkum 10. og 12. tl., að meðal þeirra ganga sem liggja þurfa fyrir við afgreiðslu styrks er einhvers konar vottorð heilbrigðisstarfsmanns um ástæðu þess tekjutaps sem getur veitt rétt til dagpeninga samkvæmt úthlutunarreglunum. Væntanlega yrði þar oftast um að ræða lækni - sem staðfestir t.a.m. óvinnufærni vegna veikinda eða slysa. Tekjutap vegna óvinnufærninnar mætti væntanlega staðfesta með öðrum hætti. Aðrir heilbrigðisstarfsmenn gætu hins vegar staðfest tilefni þeirra útgjalda sem styrkhæf kunna að vera eða verða samkvæmt úthlutunarreglum á hverjum tíma.

Sömuleiðis gerir undirritaður, sem hefur samið drög að öllum ofangreindum reglum, ráð fyrir að vottorð heilbrigðisstarfsmanns verði meðal þeirra gagna sem sjóðfélagar í Styrktarsjóði BHM muni þurfa að leggja fram til þess að sýna fram á tilefni útgjalda, sem leitt geta til þess að sjóðfélagi eigi rétt á styrk úr sjóðnum, eða ástæðu tekjutaps, ..........“

Í bréfi BHM er ítrekuð sú afstaða að ólíklegt sé að gert verði upp á milli löggiltra heilbrigðisstétta hvað varðar staðfestingu á tilefni styrkhæfra útgjalda eða eftir atvikum ástæðu styrkhæfs tekjutaps. Þannig verði vottorð sjúkraþjálfara væntanlega látið nægja, verði slík útgjöld styrkhæf úr sjóðunum nema þá í undantekningartilvikum. Að lokum segir í bréfinu að erindi Persónuverndar ásamt svari BHM verði kynnt sjóðsstjórnum en sjóðsstjórnirnar taki afstöðu til þess hvaða reglur gildi um rekstur sjóðanna.

Í svarbréfi Bandalags starfsmanna ríkis og bæja, dags. 21. maí 2001, kemur fram að ekki hafi verið starfandi sjúkrasjóður á þeirra vegum. Frá og með 1. janúar 2001 gildi samkomulag milli BSRB, BHM og KÍ annars vegar og fjármálaráðherra f.h. ríkissjóðs, Reykjavíkurborgar og Launanefndar sveitarfélaga hins vegar um greiðslu ákveðins gjalds í svonefndan Fjölskyldu- og styrktarsjóð. Upplýst er að nokkur aðildarfélög BSRB kjósi að taka gjaldið til sín og annast sjálf rekstur sjóðs fyrir sína félagsmenn, en langflest aðildarfélög kanni nú rekstur á sameiginlegum sjóði og eigi í viðræðum um það samstarf. Er að lokum tekið fram að erindi Persónuverndar verði kynnt þeirri vinnunefnd sem að því máli vinni.

Í svarbréfi Starfsmannafélags Ríkisstofnana (SFR), dags. 25. maí 2001, kemur fram að á vegum félagsins starfi Styrktar- og sjúkrasjóður sem sé tiltölulega nýr sjóður. Er aðdraganda að stofnunum hans lýst með svipuðum hætti og fram kemur í svarbréfum BHM og BSRB hér að framan. Tekið er fram að við mótun úthlutunarreglna fyrir sjóðinn hafi verið horft til annarra sjúkrasjóða, m.a. sjóða sem starfað hafa í fjölda ára. Í bréfinu er vísað til tveggja ákvæða í reglum sjóðsins sem eru svohljóðandi:

„Sjóðfélagi sem hefur verið félagsmaður í þrjá mánuði fær styrk til sjúkraþjálfunar, sjúkranudds og hnykklækninga (kiropraktor) 500 kr. fyrir hvert skipti, allt að 25 skipti á ári. ....... Styrkur fyrir þessi tilfelli samanlagt skal þó að hámarki vera 12.500 kr. á ári. ... Vegna sjúkraþjálfunar, sjúkranudds og hnykklækninga skal fylgja ljósrit af tilvísun læknis ásamt frumriti reiknings sem ber með sér fjölda meðferða og dagsetningu þeirra.“

Í bréfi SFR segir síðan:

„Eins og sést af ofangreindum reglum, er megininntak þeirra í fyrsta lagi að sjúkraþjálfunin sé vegna sjúkdóms sem greindur hefur verið af lækni, þ.e.a.s. það sama og Tryggingastofnun fer fram á. Fallast má á að í beiðni þeirri frá lækni, sem sjóðurinn fær, þurfi alls ekki að koma fram um hvaða sjúkdóm sé að ræða, heldur einungis að læknir hafi vísað viðkomandi til meðferðar sjúkraþjálfara. Þetta gæti hins vegar kallað á tvenns konar beiðni fyrir viðkomandi hjá lækni.“

Í svarbréfi Verslunarmannafélags Reykjavíkur (VR), dags. 9. maí 2001, kemur fram að í eldri reglugerð/starfsreglum sjúkrasjóða VR hafi verið kveðið á um að félagsmenn ættu rétt til styrkja vegna sjúkraþjálfunar ef þörf væri á slíkri meðferð að mati læknis. Í samræmi við reglur Tryggingastofnunar ríkisins fyrir niðurgreiðslu stofnunarinnar hafi staðfesting læknis einnig verið skilyrði fyrir greiðslu úr sjúkrasjóði VR. Fram kemur í bréfinu að VR hafi talið sér heimilt að setja sömu skilyrði fyrir endurgreiðslu og Tryggingastofnun en aldrei hafi verið krafist gagna sem innihéldu viðkvæmar persónuupplýsingar. Þá segir:

„VR vinnur eftir þeirri meginreglu að óska ekki eftir frekari gögnum en nauðsynlegt er hverju sinni. Félagið telur sig hafa verið í fullum rétti til að óska eftir staðfestingu á að skilyrði reglugerðarinnar hafi verið uppfyllt rétt eins og að krafist er staðfestingar læknis á óvinnufærni er kemur að greiðslu sjúkradagpeninga skv. reglum sjóðsins.

Reglugerð Sjúkrasjóða VR var breytt í byrjun apríl mánaðar og er nú ekki lengur skilyrði endurgreiðslu að meðferð hjá sjúkraþjálfara sé samkvæmt læknisráði. Læknisvottorða er því ekki lengur krafist vegna þess.“

III.

Með bréfi, dags. 25. júlí 2001, kynnti Persónuvernd Félagi sjálfstætt starfandi sjúkraþjálfara svör framangreindra stéttarfélaga/samtaka og gaf félaginu kost á að tjá sig um afstöðu þeirra. Hefur félagið ekki nýtt sér þann rétt sinn en hefur óskað eftir afstöðu Persónuverndar til erindisins.

IV.

Álit Persónuverndar

Í 7. gr. laga nr. 77/2000 eru tilgreindar þær meginreglur sem ábyrgðaraðila ber að hlíta við vinnslu persónuupplýsinga. Með vinnslu er átt við söfnun, skráningu, miðlun, samtengingu, varðveislu o.s.frv. Í 1. tölul. er mælt fyrir um að haga skuli vinnslu persónuupplýsinga í samræmi við vandaða vinnsluhætti persónuupplýsinga. Einnig er tekið fram að vinnslan skuli vera sanngjörn, málefnaleg og lögmæt. Með áskilnaði um sanngirni er m.a. átt við að hinn skráði fái vitneskju um hana og eigi, þegar vinnsla upplýsinganna á sér stað, kost á fullnægjandi upplýsingum um vinnubrögð, vinnuferli og annað er lýtur að vinnslunni. Áskilnaður um lögmæti vinnslu felur ekki einungis í sér skírskotun til skráðra lagareglna heldur einnig til óskráðra grundvallarreglna um persónuvernd og friðhelgi einkalífs. Vinnsla telst t.d. ólögmæt ef tilgangur hennar fær ekki samrýmst almennum sjónarmiðum um einkalífsrétt. Í 2. tölul. segir að söfnun upplýsinga skuli vera í yfirlýstum, skýrum og málefnalegum tilgangi og þær ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi. Þessi krafa gildir óháð því hvort upplýsingarnar eru sóttar beint til hins skráða eða ekki. Í 3. tölul. segir að ekki megi vinna með aðrar persónuupplýsingar en þær sem eru nægilegar og viðeigandi og ekki umfram það sem nauðsynlegt er miðað við yfirlýstan tilgang vinnslunnar. Þessi regla felur í sér að ekki skal nota aðrar eða meiri upplýsingar en þær sem hafa þýðingu fyrir yfirlýstan tilgang, bæði að því er snertir þá aðila sem upplýsingarnar varða og þær upplýsingar sem unnið er með. Með því að áskilja að upplýsingarnar séu nægjanlegar og viðeigandi er átt við að eðli þeirra og efni skuli þjóna yfirlýstum tilgangi. Ákvæðið mælir í raun fyrir um að vinnsla ábyrgðaraðila sé háð hlutfallssjónarmiði en með því er átt við að ekki megi ganga lengra en þörf krefur til að ná því markmiði sem ábyrgðaraðila er heimilt að ná.

Með vísun til alls framanritaðs telur Persónuvernd mikilvægt að stéttarfélög gæti þess við afgreiðslu beiðna um endurgreiðslu kostnaðar vegna sjúkraþjálfunar að óska ekki eftir frekari gögnum en nauðsynlegt er hverju sinni. Telji stéttarfélag sér vera nauðsynlegt að fá, auk vottorðs sjúkraþjálfara, læknisvottorð er rétt að leiðbeina viðkomandi umsækjanda um að ekki sé nauðsynlegt að á læknisvottorði komi fram um hvaða sjúkdóm sé að ræða, heldur einungis að viðkomandi læknir hafi vísað viðkomandi til meðferðar sjúkraþjálfara.

Í þeim tilgangi að kynna tilgreindum stéttarfélögum framangreint álit verða afrit bréfs þessa send þeim. Samhliða er vakin athygli, bæði félaganna og starfandi sjúkraþjálfara, á því að samkvæmt 32. gr. laga nr. 77/2000 skal sérhver ábyrgðaraðili sem beitir rafrænni tækni við vinnslu persónuupplýsinga tilkynna það til Persónuverndar. Samkvæmt þessu ákvæði ber öllum stéttarfélögum/sjúkraþjálfurum sem vinna heilsufarsupplýsingar á tölvutæku formi að tilkynna Persónuvernd um þá vinnslu. Handhægt er að skila tilkynningum með þeim hætti að fylla út þar til gert tilkynningareyðublað sem finna má á heimasíðu stofnunarinnar personuvernd.is (smella á hnappinn „Tilkynna vinnslu“). Allar tilkynningar sem Persónuvernd berast mynda eina skrá sem er almenningi aðgengileg á heimasíðu Persónuverndar. Þar geta einstaklingar m.a. kannað öryggi þeirrar vinnslu sem t.d. fer fram hjá viðkomandi stéttarfélagi.

4.13. Kvörtun yfir Ráðgjafarstofu um fjármál heimilanna og Landsbanka Íslands

Hinn 11. janúar 2002 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 398/2001:

Með bréfi, dags. 23. apríl 2001, óskaði A eftir afstöðu Persónuverndar til þess hvort Ráðgjafarstofa um fjármál heimilanna og Landsbanki Íslands hefðu brotið á rétti hennar til einkalífs varðandi fjárhagsmálefni hennar.

Málavextir eru þeir að í mars 1999 leitaði A til Ráðgjafarstofu um fjármál heimilanna vegna húsaleiguskulda. Hún bjó þá í íbúð á vegum Félagsbústaða hf., fyrirtækis í eigu Reykjavíkurborgar. Var henni, að eigin sögn, vísað til Ráðgjafarstofunnar af formanni félagsmálaráðs Reykjavíkurborgar og það sett sem skilyrði fyrir mögulegri niðurfellingu húsaleiguskuldarinnar. Í bréfi formanns félagsmálaráðs til hennar, dags. 5. mars 2001, kemur fram að ástæða þess að henni og öðrum, sem leita eftir fjárhagsaðstoð hjá borginni, er bent á að leita til Ráðgjafarstofunnar sé mikilvægi þess að fyrir liggi greinargott yfirlit um fjárhagstöðu og tillögur að heildarlausnum þegar tekin er afstaða til þess hvort veita eigi styrk eða ekki. Á fundi hennar með ráðgjafa hjá Ráðgjafarstofu um fjármál heimilanna þann 8. mars 1999, undirritaði A umsóknareyðublað Ráðgjafarstofu um ráðgjöf. Tilgreint er á eyðublaðinu að með undirritun þess sé „Ráðgjafarstofu um fjármál heimilanna veitt heimild til að afla upplýsinga um skuldir umsækjenda“ og að með undirrituninni „staðfestist að viðlögðum drengskap að skýrsla þessi (sé) gefin út eftir bestu vitund.“ Á eyðublaðinu er jafnframt tilgreint að tiltekin gögn þurfi að fylgja umsókn um ráðgjöf. Þessi gögn eru m.a. afrit af tveimur síðustu skattaskýrslum, staðfestum af viðkomandi skattayfirvöldum eða löggiltum endurskoðanda, síðasti álagningarseðill skattstjóra, afrit af launaseðlum síðustu þriggja mánaða og afrit af síðasta greiðsluseðli allra lána umsækjenda. Fyrir liggur að hvorki þessi gögn né önnur fylgdu umsókn A.

Í framhaldi af fundi hennar með ráðgjafa á Ráðgjafarstofu um fjármál heimilanna, aflaði ráðgjafinn upplýsinga um eignir og skuldir A m.a. hjá Landsbanka Íslands þar sem hún er í viðskiptum. Upplýsti Landsbankinn um heildarstöðu hennar gagnvart bankanum, þ.m.t. að A ætti tiltekna fjárhæð inni á bankabók. Þar sem A mætti ekki í seinna viðtalið var henni, með bréfi dags. 16. mars 1999, sent fjárhagsyfirlit Ráðgjafarstofu miðað við stöðu hennar á komudegi. Tilgreint er í bréfinu að fjárhagsyfirlitið sé ekki byggt á gögnum frá henni sjálfri um tekjur og skuldir, heldur eingöngu þeim upplýsingum sem Ráðgjafarstofa hafi aflað sér frá bönkum og Félagsbústöðum h.f. Þá segir í bréfinu:

„Félagsbústaðir eru tilbúnir að fella niður dráttarvexti að fjárhæð 75.000 kr. ef að þú greiðir upp skuldina við þá innan viku frá dagsetningu þessa bréfs.

Til þess að það sé mögulegt þá þarft þú að nota þá fjárhæð sem þú átt í banka en jafnframt þarftu líklega að fá yfirdrátt fyrir því sem á vantar sbr. fjárhagsyfirlit. Ennfremur ættir þú að leggja inn umsókn um húsaleigubætur auk þess að ganga í greiðsluþjónustu bankanna og láta bankann annast greiðslur á öllum föstum reikningum vegna reksturs heimilis.“

Fyrir liggur að Ráðgjafarstofa um fjármál heimilanna fékk sent frá Landsbanka Íslands afrit af útprentun úr viðskiptamannaskrá Landsbankans, dags. 5. mars 1999, þar sem upplýst er m.a. um „bankainneign“ A, veltu hennar við bankann árið á undan og útlán. Umrædd bankainneign er hins vegar, að sögn A, eign barna hennar þótt bankabókin sé hennar á nafni. Ráðgjafarstofa um fjármál heimilanna sendi í símbréfi til Félagsþjónustunnar í Reykjavík, þann 16. apríl 1999, afrit af því fjárhagsyfirliti sem A hafði verið sent, ásamt útskýringum á þeim forsendum sem það byggðist á. Þá liggur fyrir í málinu afrit af símbréfi Ráðgjafarstofu um fjármál heimilanna til Landsbanka Íslands, dags. 3. maí 1999, þar sem tiltekið er að símbréfið sé sent samkvæmt símtali og að því fylgi afrit af undirskrift A þar sem hún veitir Ráðgjafarstofu heimild til að afla upplýsinga um skuldir hennar.

A féllst ekki á tillögur Ráðgjafarstofunnar um lausn á fjárhagsvanda hennar og var því að hennar sögn sagt upp leiguhúsnæðinu. Með bréfi, dags. 26. nóvember 1999, til bankastjóra Landsbanka Íslands kvartaði hún yfir þeim „mistökum bankans“ að upplýsa Ráðgjafarstofuna um annað en skuldastöðu hennar við bankann og krafðist þess að bankinn bætti henni þann skaða sem hún hefði orðið fyrir. Í svarbréfi Benedikts E. Guðbjartssonar, forstöðumanns lögfræðisviðs Landsbanka Íslands, dags. 30. nóvember 1999, kemur fram að bankinn telji sig hafa svarað með lögmætum hætti beiðni Ráðgjafarstofu um fjármál heimilanna frá 3. maí 1999, um upplýsingar sem lýsa skuldastöðu hennar þar sem beiðnin byggði á umsókn um ráðgjöf undirritaðri af henni. Var því alfarið hafnað að bankinn kynni að bera bótaábyrgð á því að henni var sagt upp leiguhúsnæði á vegum Félagsbústaða hf. og sú afstaða skýrð. Í bréfinu segir síðan:

„Með framangreint í huga, verður ekki annað séð en að þér hafið gefið Ráðgjafarstofu um fjármál heimilanna fulla heimild til þess að kanna hjá lánastofnunum og Félagsbústöðum hf. nettó skuldastöðu yðar. Yður var í lófa lagið að leggja sjálf fram nákvæmar upplýsingar um skuldastöðu yðar, s.s. með því að leggja fram nauðsynleg gögn skv. yfirlitslista á umsögn um ráðgjöf. Þér kusuð að láta Ráðgjafarstofunni eftir að afla þeirra gagna sem nauðsynlegt var til þess að hægt væri að veita þér nytsama ráðgjöf. Í samræmi við beiðni Ráðgjafarstofu um fjármál heimilanna bar okkur að veita fullnægjandi upplýsingar um fjármál yðar svo að hægt væri að sjá hverjar nettó skuldir yðar væru.“

Samhengisins vegna er rétt að geta þess að í maí 1997 barst Tölvunefnd erindi frá Ráðgjafarstofu um fjármál heimilanna þar sem spurt var um heimildir Ráðgjafarstofunnar til að fá upplýsingar frá bönkum um greiðslustöðu þeirra einstaklinga sem til hennar höfðu leitað. Var ætlunin að kanna árangur af starfi stofunnar með því að velja 100 manna úrtak til frekari skoðunar. Var í bréfinu vísað til samþykkistexta á eyðublaði Ráðgjafarstofunnar fyrir umsókn um ráðgjöf og spurt hvort sá texti nægði sem grundvöllur slíkar upplýsingasöfnunar. Í svarbréfi Tölvunefndar, dags. 5. júní 1997, kom fram að nefndin teldi staðlaða yfirlýsingu á umsókn einstaklings um ráðgjöf hjá Ráðgjafarstofu um fjármál heimilanna ekki nægan grundvöll fyrir síðari aðgangi stofunnar með því sniði sem hér um ræddi. Þá var jafnframt tekið fram að nefndin teldi Ráðgjafarstofunni ekki heimilt að krefja banka, sparisjóði eða aðrar lánastofnanir um upplýsingar um bankayfirlit þessara einstaklinga nema fyrir því lægi ótvírætt skriflegt samþykki viðkomandi, þar sem nákvæmlega væri tilgreint hvaða upplýsinga hann samþykkti að aflað yrði, frá hverjum og fyrir hvaða tímabil.

III

Í bréfi Persónuverndar, dags. 18. maí 2001, var Ráðgjafarstofu um fjármál heimilanna kynnt erindi A og framangreint álit tölvunefndar frá 5. júní 1997 rakið. Í bréfinu fór Persónuvernd þess síðan á leit við Ráðgjafarstofuna, í því skyni að staðreyna heimildir hennar til framangreindar upplýsingaöflunar, að lögð yrði fram skrifleg samþykkisyfirlýsing A þess efnis að Ráðgjafarstofan mætti afla upplýsinga um stöðu bankareikninga hennar og miðla þeim upplýsingum áfram til Félagsþjónustu Reykjavíkurborgar. Væri slík samþykkisyfirlýsing ekki fyrir hendi, var óskað upplýsinga um á grundvelli hvaða heimildar Ráðgjafarstofan aflaði framangreindra upplýsinga og miðlaði þeim áfram til Félagsþjónustunnar. Afrit bréfsins var sent bankastjóra Landsbanka Íslands.

Í svarbréfi Ráðgjafarstofunnar, dags. 25. maí 2001, er rakið vinnuferli stofunnar við fjárhagsráðgjöf. Tekið er fram að viðskiptayfirlit þeirra sem leita til stofunnar fáist send í gegnum tengilið í höfuðstöðvum hverrar bankastofnunar fyrir sig. Á yfirlitinu sjáist skuldir við bankastofnun jafnt sem inneignir, ef einhverjar eru, miðað við þá dagsetningu sem yfirlitið er prentað út. Síðan segir:

„Í tilfelli A, sem leitaði til Ráðgjafarstofu 8. mars 1999, fylgdu umsókninni engin gögn, en viðskiptayfirlit barst frá bönkum. Þar sem A mun ekki hafa mætt í seinna viðtalið, var henni sent bréf 16. mars 1999 ásamt fjárhagsyfirlitum. Ráðgjafa barst síðan símtal frá Félagsþjónustunni í Reykjavík þann 16. apríl 1999, þar sem óskað var eftir fjárhagsyfirlitum og fékk ráðgjafi þau svör að A hefði veitt félagsráðgjafa sem heitir (.......) skriflegt leyfi til að biðja um að þessi fjárhagsyfirlit yrðu send á faxi til Félagsþjónustunnar. Í því faxi útskýrir ráðgjafi hvaða forsendur voru notaðar við uppsetningu fjárhagsyfirlits.

Á umsóknareyðublaði því sem A undirritaði þann 8. mars 1999 stendur:

Með undirskrift þessari er Ráðgjafarstofu um fjármál heimilanna veitt heimild til að afla upplýsinga um skuldir umsækjenda.

Frá miðju ári 1999 hefur þessari setningu verið breytt, þannig að hún nái jafnt yfir eignir og skuldir. Eins og áður sagði fylgja á viðskiptayfirlitum ævinlega upplýsingar um inneignir ef einhverjar eru. Óhjákvæmilegt er að taka tillit bæði til eigna og skulda þegar fjárhagsstaða er sett fram.“

Í bréfi Persónuverndar, dags. 19. júní 2001, til bankastjóra Landsbanka Íslands var ofangreint svarbréf Ráðgjafarstofu rakið. Vísað var til bréfs tölvunefndar til stofunnar, dags. 5. júní 1997, þess efnis að tölvunefnd teldi Ráðgjafarstofunni óheimilt að krefja banka, sparisjóði eða aðrar lánastofnanir um upplýsingar um bankayfirlit einstaklinga sem til stofunnar leituðu, nema fyrir því lægi ótvírætt skriflegt samþykki þeirra, þar sem nákvæmlega væri tilgreint hvaða upplýsingar þeir samþykktu að Ráðgjafarstofan fengi, hjá hverjum og fyrir hvaða tímabil. Því væri viðtakendum slíkrar beiðni, þ.e. bönkum, sparisjóðum og öðrum lánastofnunum óheimilt að láta Ráðgjafarstofunni í té aðrar upplýsingar en þær sem ótvírætt skriflegt samþykki viðkomandi viðskiptamanns þeirra lægi fyrir um. Einnig var óskað afstöðu bankans til þessa og að sérstaklega yrði útskýrt hvaða heimild bankinn teldi sig hafa til að láta af hendi upplýsingar um stöðu reikninga A við bankann.

Svör Landsbanka Íslands bárust með bréfi, dags. 9. október 2001. Þar er vísað til bréfs bankans til A frá 30. nóvember 1999, sem rakið er hér að framan. Síðan segir:

„Til þess að gefa upp stöðu skulda viðskiptavinar við bankann er ekki hægt að komast hjá því að draga frá inneignir í bankanum. Viðskiptastaða er alltaf mismunur þessa.

Bankanum var kunnugt um efni umsóknareyðublaðs Ráðgjafarstofunnar þar sem fram kom vilji A til þess að skuldastaða hennar kæmi fram. Á 2. síðu eyðublaðsins er gert ráð fyrir nákvæmri skýrslu um eignir umsækjanda. Tekur þessi skýrsla yfir hálfa síðuna og þar stendur efst „Banka og sparisjóðsinnistæður, ríkisskuldabréf o.fl.“ A hafði ekki fyrir því að gefa upplýsingar um eignir sínar og fól þar með Ráðgjafarstofunni að afla þeirra til að fá rétta skuldastöðu umsækjandans.

Undirritun A undir umsókn um ráðgjöf er gerð að viðlögðum drengskap um að upplýsingar séu gefnar eftir bestu vitund. Þær upplýsingar eiga ekki aðeins við skuldastöðu hennar, heldur öll þau atriði sem fram eiga að koma í umsókninni, svo hægt sé að meta nettó skuldastöðu hennar og þá fjárþörf sem hún er í.

Hugtakið „skuldir umsækjanda“, sem umsækjandi ritar undir, verður ekki skýrt án samhengis við aðrar upplýsingar sem kallað er eftir á umsóknareyðublaðinu. Það eru þær upplýsingar sem umsækjandi á að veita að viðlögðum drengskap eftir bestu vitund.

Þegar Landsbanki Íslands hf., afgreiddi beiðni Ráðgjafarstofunnar um viðskiptaupplýsingar A, taldi bankinn sér skylt að senda viðskiptayfirlit á afgreiðsludeginum með upplýsingum um eignir og skuldir viðkomandi. Með öðrum hætti kæmi ekki fram hver fjárþörf umsækjanda væri.“

Samkvæmt 31. gr. laga nr. 121/1989, um skráningu og meðferð persónuupplýsinga, er í gildi voru fram til 1. janúar 2001, féll það í hlut tölvunefndar að úrskurða um hvort farið hefði verið með persónuupplýsingar hjá Ráðgjafarstofu um fjármál heimilanna og hjá Landsbanka Íslands í samræmi við fyrrgreind lög. Hinn 1. janúar 2001, tók Persónuvernd við hlutverki tölvunefndar þegar lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga tóku gildi. Persónuvernd úrskurðar því í máli þessu, sbr. 2. mgr. 37. gr. laga nr. 77/2000. Atvik máls þessa gerðust að öllu leyti í gildistíð laga nr. 121/1989, um skráningu og meðferð persónuupplýsinga. Fer því um efnisúrlausn málsins eftir þeim lögum.

Samkvæmt 3. gr. laga nr. 121/1989 um skráningu og meðferð persónuupplýsinga var kerfisbundin skráning persónuupplýsinga því aðeins heimil að skráningin væri eðlilegur þáttur í starfsemi viðkomandi aðila og tæki einungis til þeirra er tengdust starfi hans eða verksviði, svo sem viðskiptamanna, starfsmanna eða félagsmanna. Lögin byggja á meginreglunni um samþykki hins skráða fyrir söfnun og miðlun persónuupplýsinga er hann varðar.

Upplýsingar um fjárhag teljast persónuupplýsingar í skilningi laga nr. 121/1989, sbr. 3. mgr. 1. gr. laganna. Samkvæmt 4. gr. laga nr. 121/1989 var skráning tiltekinna persónuupplýsinga óheimil nema til hennar stæði heimild samkvæmt öðrum lögum eða tölvunefnd hefði heimilað hana sérstaklega. Um miðlun slíkra upplýsinga giltu ákvæði 1. mgr. 5. gr. laganna. Upplýsingar um fjárhag féllu ekki undir ákvæði 4. gr. laga nr. 121/1989. Fór því um miðlun þeirra upplýsinga samkvæmt 3. mgr. 5. gr. laganna. Samkvæmt því ákvæði var því aðeins heimilt að skýra frá slíkum persónuupplýsingum án samþykkis hins skráða að upplýsingamiðlun væri eðlilegur þáttur í venjubundinni starfsemi skráningaraðilans.

Framangreind ákvæði voru byggð á því grundvallarviðhorfi um persónuvernd að nota bæri persónuupplýsingar með sanngjörnum, málefnalegum og lögmætum hætti, afla þeirra í yfirlýstum, skýrum og málefnalegum tilgangi og ekki nota þær í öðrum og ósamrýmanlegum tilgangi, sbr. samning Evrópuráðsins nr. 108/1981, um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga, sem Ísland er aðili að, sbr. auglýsingu utanríkisráðuneytisins nr. 5 27. mars 1991, er birtist í Stj.tíð. C, 1991, en lög nr. 121/1989 voru m.a. byggð á þeim samningi, sbr. Alþt. 1988-1989, A-deild, bls. 17.

Samkvæmt framansögðu er bæði Ráðgjafarstofu um fjármál heimilanna og Landsbanka Íslands heimilt samkvæmt lögum nr. 121/1989 að halda skrá yfir viðskiptamenn sína. Þar sem upplýsingamiðlun er ekki eðlilegur þáttur í venjubundinni starfsemi hvorki Ráðgjafarstofu né Landsbanka, var þeim ekki heimilt að miðla upplýsingum um fjárhag viðskiptamanna án samþykkis hins skráða, sbr. 3. mgr. 5. gr. laganna.

Í 43. gr. laga nr. 113/1996 um viðskiptabanka og sparisjóði er kveðið á um þagnarskyldu bankaráðsmanna, stjórnarmanna sparisjóðs, bankastjóra, sparisjóðsstjóra, endurskoðenda og annarra starfsmanna viðskiptabanka og sparisjóða um allt það er varðar hagi viðskiptamanna hlutaðeigandi stofnunar og um önnur atriði sem þeir fá vitneskju um í starfi og leynt eiga að fara lögum samkvæmt eða eðli máls. Ber viðskiptabönkum og sparisjóðum því að afla samþykkis viðskiptamanns fyrir miðlun upplýsinga um hagi þeirra eða öðru því sem leynt skal fara samkvæmt ofangreindu ákvæði.

Kemur þá til skoðunar hvort fyrir liggi samþykki A fyrir þeirri miðlun upplýsinga um fjárhagsmálefni hennar sem um er deilt í máli þessu.

Í fræðslubæklingi Ráðgjafastofu um fjármál heimilanna sem ber heitið „Átt þú í fjárhagsvanda“ kemur fram að hlutverk Ráðgjafarstofu er fyrst og fremst að veita skuldsettum einstaklingum endurgjaldslausa fjárhagsráðgjöf. Markmið ráðgjafarinnar er að veita fólki yfirsýn yfir stöðu fjármála sinna og aðstoð við að gera greiðsluáætlanir, velja úrræði og semja við lánardrottna. Að Ráðgjafarstofunni standa félagsmálaráðuneytið, Íbúðalánasjóður, Reykjavíkurborg, Landsbanki Íslands, Búnaðarbanki Íslands hf., Íslandsbanki hf., Samband íslenskra sveitarfélaga, Samband íslenskra sparisjóða, Neytendasamtökin, Þjóðkirkjan, Landsamtök lífeyrissjóða, Alþýðusamband Íslands og Bandalag starfsmanna ríkis og bæja.

Ráðgjafarstofa um fjármál heimilanna var beðin um að leggja fram afrit af skriflegu samþykki A fyrir því að Ráðgjafarstofan aflaði framangreindra upplýsinga um fjárhagsmálefni hennar. Ef slík yfirlýsing væri ekki til staðar, þá var hún beðin um að útskýra á grundvelli hvaða heimildar stofan hefði talið sér vera heimilt að afla upplýsinga um stöðu bankareikninga hennar og miðla þeim upplýsingum áfram. Af hálfu Ráðgjafarstofunnar er vísað til hefðbundins vinnuferils hjá stofunni og þess að á umsóknareyðublaði, sem allir sem óska ráðgjafar undirrita, sé veitt heimild til að afla upplýsinga um skuldir viðkomandi. Við mat á fjárhagsstöðu einstaklings sé óhjákvæmilegt annað en að taka tillit til bæði eigna og skulda. Til að draga úr öllum vafa, hafi eyðublaðinu verið breytt og nú sé tilgreint að veitt sé „heimild til að afla upplýsinga um eignir og skuldir umsækjanda.“

Þótt fallast megi á það með Ráðgjafarstofu um fjármál heimilanna að almennt sé nauðsynlegt að fá upplýsingar um bæði eignir og skuldir þess einstaklings, sem veitt er ráðgjöf, tók sú heimild, sem aflað var frá A til að fá aðgang að fjárhagsupplýsingum, einvörðungu til skulda. Þar fyrir utan hafði samþykki A hvorki að geyma upplýsingar um nöfn þeirra aðila, sem veita máttu þessar upplýsingar, né afmörkun á því tímabili, sem heimildin tók til. Samþykkisyfirlýsing sú, sem Ráðgjafarstofa um fjármál heimilanna lét A undirrita, var því ónothæf til að afla viðhlítandi heimildar að lögum til að fá aðgang að fjárhagsupplýsingum um hana frá aðilum sem bundnir voru lögboðinni þagnarskyldu um efni þeirra. Þessi niðurstaða ætti ekki að koma fyrirsvarsmönnum Ráðgjafarstofu um fjármál heimilanna á óvart því þegar á árinu 1997 lýsti tölvunefnd þeirri skoðun sinni að Ráðgjafarstofunni væri ekki heimilt að krefja banka, sparisjóði eða aðrar lánastofnanir um upplýsingar um bankayfirlit viðskiptamanna sinna nema fyrir því lægi ótvírætt, skriflegt samþykki viðkomandi, þar sem nákvæmlega væri tilgreint hvaða upplýsingar afla mætti, frá hverjum og fyrir hvaða tímabil.

Í erindi A, dags. 23. apríl 2001, var þess ekki óskað að Persónuvernd tæki afstöðu til þess hvort Ráðgjafarstofu um fjármál heimilanna hefði verið heimilt að veita starfsmanni Félagsþjónustunnar í Reykjavík aðgang að upplýsingum um fjárhagsstöðu hennar. Af þessum sökum tekur Persónuvernd ekki afstöðu til þessa álitaefnis.

Á fundi stjórnar Persónuverndar hinn 11. janúar 2002 var samþykkt að taka til athugunar í sérstöku máli eyðublöð Ráðgjafarstofu um fjármál heimilanna miðað við þau skilyrði sem sett eru um vinnslu persónuupplýsinga og ábyrgð ábyrgðaraðila í núgildandi lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, með síðari breytingum.

Í málinu liggur fyrir afrit af símbréfi frá Ráðgjafarstofu til Landsbanka Íslands, dags. 3. maí 1999, þar sem tiltekið er að símbréfið sé sent samkvæmt símtali og að því fylgi afrit af undirskrift A þar sem hún veiti Ráðgjafarstofu heimild til að afla upplýsinga um skuldir hennar. Símbréfið er dagsett rúmum 6 vikum eftir að Ráðgjafarstofa sendi A ofangreindar tillögur sínar, byggðar á „upplýsingum sem Ráðgjafarstofa hefur aflað sér hjá bönkum og Félagsbústöðum h.f. eins og þar segir. Af gögnum málsins verður því ekki annað ráðið en að beiðni Ráðgjafarstofu um fjármál heimilanna til Landsbanka Íslands um upplýsingar um „skuldir“ A hafi verið sett fram símleiðis, sbr. einnig bréf bankans, dags. 30. nóvember 1999, til A þar sem vísað er til beiðni Ráðgjafarstofu, dagsett 3. maí 1999. Þá liggur ekki fyrir afrit af skriflegu svari bankans, einungis afrit af útprentun úr viðskiptamannaskrá Landsbankans, dags. 5. mars 1999, þar sem upplýst er m.a. um bankainneign, veltu við bankann árið á undan og útlán. Verður því ekki annað ráðið en að svar bankans til Ráðgjafarstofu hafi einnig verið með óformlegum hætti. Af framansögðu athuguðu virðast samskipti Ráðgjafarstofu um fjármál heimilanna og Landsbankans hafi verið með óformlegum hætti.

Samkvæmt 43. gr. laga nr. 113/1996 um viðskiptabanka og sparisjóði hvílir þagnarskylda á starfsmönnum viðskiptabanka og sparisjóða um allt það er varðar hagi viðskiptamanna hlutaðeigandi stofnunar og um önnur atriði sem þeir fá vitneskju um í starfi og leynt eiga að fara lögum samkvæmt eða eðli máls. Skrárhaldara, í þessu tilviki Landsbanka Íslands, bar að tryggja öryggi þeirra upplýsinga sem unnar voru á hans vegum. Honum bar að beita virkum ráðstöfunum til að koma í veg fyrir að upplýsingar væru misnotaðar eða kæmust til óviðkomandi manna, sbr. 1. mgr. 28. gr. laga nr. 121/1989. Ráðgjafarstofan er óviðkomandi aðili í skilningi laga nr. 121/1989 og 43. gr. laga nr. 113/1996 þó svo bankinn standi að Ráðgjafarstofunni. Þagnarskyldunni verður því einungis aflétt með samþykki þess er upplýsingarnar varða og verður samþykkið að uppfylla skilyrði laga nr. 121/1989 um skráningu og meðferð persónupplýsinga, sem í gildi voru er atvik máls þessa gerðust.

Þótt fallast megi á það með Landsbanka Íslands að ekki liggi skýrlega fyrir sé hver fjárþörf umsækjanda sem leitar til Ráðgjafarstofunnar, nema lagðar séu fram upplýsingar um eignir og skuldir hlutaðeigandi, haggar það ekki þeirri staðreynd að starfsmönnum Landsbankans var með öllu óheimilt vegna þagnarskyldu sinnar að veita Ráðgjafarstofunni fjárhagsupplýsingar nema fyrir lægi ótvírætt samþykki hlutaðeigandi til þess. Reyndist framlagt samþykki ekki nægilega skýrt eða efnislega settar of þröngar skorður, bar að bæta úr því fyrst, með því að afla nýs samþykkis frá hinum skráða, áður en fjárhagsupplýsingar voru látnar af hendi. Í þessu sambandi skal áréttað, að haldi þagnarskyldur bankastarfsmaður því fram, að honum hafi verið heimilt að miðla fjárhagsupplýsingum til þriðja manns á grundvelli samþykkis hins skráða, hvílir sönnunarbyrðin almennt á bankastarfsmanninum um tilvist og efni samþykkisins.

Sú skriflega yfirlýsing, sem Landsbanki Íslands byggir heimild sína á til að láta Ráðgjafarstofunni í té fjárhagsupplýsingar um A kveður svo á, að með undirritun eyðublaðsins sé „Ráðgjafarstofu um fjármál heimilanna veitt heimild til að afla upplýsinga um skuldir umsækjanda“. Í samþykkinu er ekki tiltekið frá hvaða tímabili umræddar upplýsingar megi vera. Þar eru hvorki Landsbanki Íslands né aðrir þeir aðilar, sem þessari yfirlýsingu er ætlað að aflétta þagnarskyldu af, tilgreindir. Yfirlýsingin er síðan efnislega afmörkuð við skuldir. Óumdeilt er í málinu að Landsbanki Íslands veitti Ráðgjafarstofunni bæði upplýsingar um eignir og skuldir A.

Af framansögðu athuguðu og í ljósi þeirrar þagnarskyldu sem á bankastarfsmönnum hvílir skv. 43. gr. laga nr. 113/1996 verður ekki séð að umrætt skriflegt samþykki A hafi efni sínu samkvæmt veitt Landsbanka Íslands heimild til að afhenda Ráðgjafarstofu um fjármál heimilanna upplýsingar um eignir og skuldir A, sbr. og 3. mgr. 5. gr. laga nr. 121/1989. Gegn eindregnum andmælum A hefur Landsbanka Íslands heldur ekki tekist að færa sönnur á, að þrátt fyrir annmarka á hinni skriflegu yfirlýsingu, hafi engu að síður legið fyrir samþykki frá A fyrir miðlun umræddra upplýsinga.

Þar sem Landsbanka Íslands hefur ekki tekist að færa sönnur á að hann hafi haft heimild frá A til þess að miðla upplýsingum um fjárhagsstöðu hennar til Ráðgjafarstofu um fjármál heimilanna, verður að telja að honum hafi verið það óheimilt að lögum.

Úrskurðarorð:

Ráðgjafarstofu um fjármál heimilanna var óheimilt að krefja banka, sparisjóði eða aðrar lánastofnanir um upplýsingar um bankayfirlit þessara einstaklinga nema fyrir lægi ótvírætt skriflegt samþykki viðkomandi, þar sem tilgreint væri hvaða upplýsingar hann samþykki að aflað verði, frá hverjum og fyrir hvaða tímabil.

Landsbanka Íslands var óheimilt að miðla upplýsingum um fjárhagsstöðu A til Ráðgjafarstofu um fjármál heimilanna.

4.14. Heimild/skylda SÁÁ til að afhenda TR lista yfir þá sem dvalist hafa á Vogi

Hinn 11. janúar 2002 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í málinu nr. 2001/83:

Með bréfi dags. 17. maí 2001 sendi forstjóri, f. h. Tryggingastofnunar ríkisins (TR), Persónuvernd beiðni um „formlegan úrskurð“ varðandi heimild/skyldu SÁÁ til að afhenda TR lista yfir þá sem hafa dvalist á Vogi. Tilefni erindisins er ágreiningur stofnunarinnar við SÁÁ, sem rekur Vog, og neitar að verða við beiðni TR um afhendingu lista yfir þá sem þar dveljast.

Forsaga málsins

Málavextir

Aðdragandi máls þessa nær aftur til ársins 1994 en þá fékk TR heimild Tölvunefndar til að mynda skrá með upplýsingum um legutíma á sjúkrastofnunum. Var heimilað að skráin hefði að geyma upplýsingar um kennitölu einstaklings á innlögn, kennitölu innlagnarstofnunar, innlagnardag (og tíma), brottfarardag (og tíma) og tegund deildar (legudeild, dagdeild, 5 daga deild).

Með bréfi, dags. 20. mars 1996, óskaði yfirlæknir á Sjúkrahúsinu Vogi eftir leiðbeiningum Tölvunefndar um hverjar væru lagalegar skyldur yfirlæknis varðandi upplýsingaskyldu til TR um innritaða sjúklinga og hvaða upplýsingar eðlilegt væri að láta stofnuninni í té. Var vísað til þess að varhugavert gæti verið fyrir ségreinda sjúkrastofnun að veita umbeðnar upplýsingar út frá sjónarmiðum um einkalífsvernd sjúklinga. Að fenginni afstöðu TR til þess hvort hægt væri að ná settum markmiðum með skránni án þess að skráð væru einkenni stofnunar önnur en kennitala hennar og að fengnum umsögnum frá heilbrigðis- og tryggingaráðuneyti og landlækni, ákvað nefndin að leggjast gegn því að TR héldi skrá með öðrum upplýsingum um einkenni sjúkrastofnunar en kennitölu hennar. Var með því staðfest fyrri afstaða Tölvunefndar, dags 21. júlí 1994, um hvaða persónuupplýsingar TR væri heimilt að fá og færa á leguskrá. Þessi niðurstaða var tilkynnt með bréfi Tölvunefndar, dags. 16. desember 1996.

Þann 17. janúar 2000 barst Tölvunefnd fyrirspurn um lögmæti fyrirmæla í dreifibréfi TR, dags. 13. desember 1999, til sjúkrahúsa, hjúkrunarheimila og vistheimila um að skrá og miðla til TR upplýsingum um sjúkrahúslegu og vistun á dvalarheimilum.

Af fenginni framangreindri fyrirspurn ritaði Tölvunefnd bréf til TR, dags. 8. mars 2000, þar sem óskað var upplýsinga um hvort TR væri nú að biðja um aðrar upplýsingar en henni var heimilað að skrá skv. fyrri ákvörðun Tölvunefndar. Í svarbréfi TR, dags. 14. mars 2000, kom fram að TR bæði sjúkrastofnanir um eftirfarandi upplýsingar:

* Kennitala stofnunar.

* Kennitala þess sem er vistaður og stundum nafn.

* Komudagur, komutími.

* Hvaðan viðkomandi kom samkvæmt sérstökum lista yfir kóða.

* Brottfarardagur og tími.

* Hvert viðkomandi fór samkvæmt sérstökum lista yfir kóða.

Tölvunefnd taldi framangreinda söfnun og skráningu vera í samræmi við þá heimild sem hún hafði áður veitt og því gæfi umrætt dreifibréf TR ekki ástæðu til frekari aðgerða.

Með bréfi, dags. 5. janúar 2001, óskaði yfirlæknir á Vogi, leiðbeininga Persónuverndar. Tilefnið var sem fyrr beiðni TR um að fá upplýsingar um þá sem dvalist hefðu á Vogi. Í umræddu bréfi er spurt hvort SÁÁ sé skylt eða heimilt að afhenda TR upplýsingar um það hverjir dveljast þar.

Af tilefni framangreindrar fyrirspurnar og gildistöku nýrra laga um meðferð persónuupplýsinga, l. nr. 77/200, fór Persónuvernd þess á leit við TR, með bréfi dags. 18. janúar sl., að útskýrt yrði hvaða heimild TR teldi standa til þess að SÁÁ afhenti TR lista yfir þá sem dvelja á Vogi. Jafnframt var TR beðin um að gera Persónuvernd grein fyrir því í hvaða tilgangi TR hyggðist nota upplýsingarnar og hvernig stofnunin sæi fyrir sér að tryggja mætti öryggi upplýsinganna.

Í svarbréfi TR, dags. 30. janúar sl., er talið að lagaheimild til vinnslunnar styðjist við 5. mgr. 43. gr. laga nr. 117/1993 um almannatryggingar en þar segir m.a.:

„Ef elli- eða örorkulífeyrisþegi dvelst lengur en í mánuð samfellt á stofnun eða vistheimili sem er á föstum fjárlögum eða þar sem sjúkratryggingar greiða fyrir hann fellur lífeyrir hans niður ef vistin hefur verið lengri en fjórir mánuðir undanfarna 24 mánuði.“

Þá er vísað til þess í bréfi TR að Vogur falli undir þetta ákvæði laganna og útskýrt að fái TR ekki upplýsingar um sjúklinga, sé TR gert ókleift að rækja lögbundið hlutverk sitt vegna þess að þá geti hún ekki fellt niður greiðslu bóta. Síðan segir:

„Á það hefur verið bent í fyrri bréfum þ.e. til Tölvunefndar að ofgreiðslur uppgötvast oft þegar frá líður. Þá er hafist handa við að leita uppi viðkomandi einstakling. Sú leit kostar einstaklinginn athygli, sem vissulega er óþörf sinni SÁÁ skyldu sinni að senda téðar upplýsingar.

TR mun tryggja öryggi téðra upplýsinga mjög vandlega. Geta má þess að stofnunin fær þegar leguupplýsingar frá öllum sjúkrastofnunum utan SÁÁ. Auðvelt er að fela einum starfsmanni persónulega að sjá alfarið um vinnslu upplýsinganna og að eyða þeim eftir að vinnslu lýkur.“

Með bréfi dags. 9. febrúar 2001 gerði Persónuvernd almennt grein fyrir breyttu lagaumhverfi um vinnslu viðkvæmra upplýsingar og skýrði hlutverk SÁÁ sem ábyrgðaraðila. Í maí sama ár barst Persónuvernd síðan beiðni TR um formlegan úrskurð Persónuverndar þar sem leyst verði úr ágreiningi TR og SÁÁ um skyldu/heimild SÁÁ til að „veita téðar upplýsingar“.

Rök SÁÁ

Að fenginni framangreindri beiðni TR, dags. 17. maí 2001, um formlegan úrskurð Persónuverndar um skyldu/heimild SÁÁ til að „veita téðar upplýsingar“ gaf Persónuvernd yfirlækni Vogs kost á að koma sínum sjónarmiðum á framfæri. Í svarbréfi SÁÁ, dags. 28. ágúst sl., er synjun um afhendingu umbeðinna upplýsinga skýrð með vísun til þess að um sé að ræða viðkvæmar persónuupplýsingar, skv. c-lið 8. tl. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Upplýsingar um lyfja, áfengis- og vímuefnanotkun teljist til viðkvæmra upplýsinga en þeir sem dveljast á sjúkrastofnunum SÁÁ hafi átt við áfengis- eða vímuefnavanda að etja. Samkvæmt 9. gr. sömu laga sé vinnsla slíkra upplýsinga einungis heimil ef einhver þeirra undantekninga, sem þar eru tilgreindar eigi við. Komi þar einkum til álita 2. tl. og 8. tl. 1. mgr. 9. gr. laganna. Samkvæmt 2. tl. sé vinnsla viðkvæmra persónuupplýsinga heimil standi sérstök heimild til vinnslunnar samkvæmt öðrum lögum. SÁÁ segir að í bréfi tryggingayfirlæknis til aðstoðarlandlæknis, dags. 18. desember 2000, komi fram að TR byggi mál sitt á tveimur lagaákvæðum, 12. gr. læknalaga nr. 53/1988 og 5. mgr. 43.gr. laga nr. 117/1993 um almannatryggingar. Af hálfu SÁÁ er ekki talið að í tilvitnaðri grein almannatryggingalaga felist heimild til vinnslu með viðkvæmar persónuupplýsingar og að í 12. gr. læknalaga sé aðeins kveðið á um skyldu læknis til að láta hinu opinbera í té vottorð um þá sjúklinga sem hann annist, þegar slíkra vottorða er krafist, vegna viðskipta sjúklinga við hið opinbera. Þá segir í bréfinu:

„Umbj. okkar telur, að af samræmisskýringu þessa ákvæðis og 11. gr. læknalaga leiði, að skylda læknis samkvæmt 12. gr. taki einungis til vottorða eins og þau eru skilgreind samkvæmt 11. gr. laganna, en geti ekki náð til þess að láta í té lista yfir sjúklinga eins og TR hefur óskað eftir. Umbj. okkar telur einnig að með vísan til ákvæðis 15. gr. læknalaga um þagnarskyldu beri að skýra ákvæði 12. gr. þröngri lögskýringu.“

Vísar SÁÁ til forsögu ákvæðis 12. gr. læknalaga, sem styrki framangreinda lögskýringu. Segir síðan:

„Yrði talið að umbj. okkar væri skylt að afhenda TR umbeðnar upplýsingar á grundvelli 12. gr. læknalaga telur hann, að lagaheimildin sé ekki nægilega skýr til þess að heimila vinnslu persónuupplýsinga í skilningi 2. tölul. 2. gr. persónuverndarlaga. Vísar hann í því sambandi til þess sem segir í athugasemdum við 2. tölul. 1. mgr. 9. gr. frumvarps þess er varð að persónuverndarlögum en þar segi m.a.: „Skýring slíks lagaákvæðis ræðst þá m.a. af því hvort löggjafinn hafi í raun tekið tillit til þeirra almennu persónuupplýsinga. Verður skilyrði 2. tölul. tæplega talið uppfyllt nema fyrir liggi að löggjafinn hafi skoðað slík sjónarmið en engu að síður talið vinnsluna nauðsynlega vegna almannahagsmuna.“ Af því sem rakið var hér að framan um forsögu ákvæðis 12. gr. læknalaga er ljóst, að engin afstaða hefur verið tekin til þess af hálfu löggjafans, hvort almannahagsmunir réttlæti vinnslu persónuupplýsinga í þessu tilfelli, s.s. ekki hafi verið tekið tillit til almennra persónuverndarsjónarmiða.“

SÁÁ telur að 8. tl. 1. mgr. 9. gr. laga 77/2000 nái til þeirra stofnana sem starfa á grundvelli laga nr. 97/1990, um heilbrigðisþjónustu en það eigi ekki við um TR. TR annist hins vegar greiðslu lífeyristrygginga, slysatrygginga og sjúkratrygginga, sbr. 1. mgr. 2. gr. almannatryggingalaga og sé lagaákvæði um stjórnsýslulega stöðu hennar að finna í þeim lögum. Stofnunin teljist því ekki til stofnana á sviði heilbrigðisþjónustu og verði vinnsla viðkvæmra persónuupplýsinga því ekki byggð á 8. tölul. 1. mgr. 9. gr. laga nr. 77/2000.

Rök TR

Með bréfi, dags. 4. október sl, var TR kynnt svarbréf SÁÁ og veittur kostur á að koma að sjónarmiðum sínum. Svar TR barst Persónuvernd með bréfi dags. 25. október sl. Þar kemur fram að stofnunin telji að þau ákvæði almannatryggingalaga sem einkum eigi við í málinu, séu annars vegar 34. og 36. gr. laganna og hins vegar 5. mgr. 43. gr. TR bendir á að samkvæmt 34. gr. almannatryggingalaga eigi inniliggjandi sjúklingar á sjúkrahúsum rétt á ókeypis þjónustu s.s. vegna lyfja, þjálfunar eða sérfræðiþjónustu sem TR greiði fyrir. Samkvæmt 36. gr. beri TR að greiða fyrir sjúkrahjálp utan sjúkrahúsa að uppfylltum ákveðnum skilyrðum. TR sé því nauðsynlegt að hafa upplýsingar um inniliggjandi sjúklinga til að geta fylgst með því hvort greiða beri fyrir tiltekna þjónustu. Er sérstaklega tekið fram að TR fái slíka lista frá öllum öðrum sjúkrastofnunum. Hið sama eigi við um ákvæði 5. mgr. 43. gr. laganna sem kveður á um hvenær beri að fella niður elli- og örorkustyrk vegna dvalar á stofnun eða á vistheimili. Þá segir í bréfinu:

„Fyrir liggur að Tryggingastofnun ríkisins hefur þörf fyrir upplýsingar um sjúklinga sem dvelja á stofnunum SÁÁ. Stofnunin bendir á að SÁÁ hefur um árabil athugasemdalaust veitt TR upplýsingar um þá elli- og örorkulífeyrisþega sem dvelja á áfangaheimilum SÁÁ og fá greidda 80% uppbót á lífeyri og telur TR að ekki eigi að gilda mismunandi reglur um slíka upplýsingagjöf eftir því hvort áhrif reynast hafa ívilnandi eða íþyngjandi áhrif fyrir bótaþega.“

Af hálfu TR er síðan talið að óumdeilt hljóti að teljast að meginreglur um þagnarskyldu og aðrar skyldur heilbrigðisstarfsmanna sem byggja á reglum læknalaga nr. 53/1988 taki til heilbrigðisstarfsmanna sem starfa á stofnunum SÁÁ á sama hátt og þeirra sem starfa á öðrum heilbrigðisstofnunum eða eru sjálfstætt starfandi. Þá kveði 12. gr. læknalaga skýrt á um skyldu læknis til að láta hinu opinbera í té vottorð um sjúklinga sem hann annast þegar slíkra vottorða sé krafist vegna viðskipta sjúklinga við hið opinbera. Í lögskýringagögnum komi fram mikilvæg vísbending um að löggjafinn hafi m.a. ætlast til þess að slík vottorð væru látin af hendi vegna greiðslna frá almannatryggingum. Bent er á að þær upplýsingar sem TR þarf á að halda séu ekki vottorð með efnislegum upplýsingum um sjúkling heldur einungis hvort tiltekinn aðili dveljist á sjúkrastofnun á vegum SÁÁ.

Þá kemur fram að TR telji ekki rétt að túlka einstök ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga en vilji þó vekja sérstaka athygli á sjálfstæðri heimild Persónuverndar til að leyfa vinnslu viðkvæmra persónuuuplýsinga í 2. mgr. 9. gr. laganna. Að lokum bendir TR á að ofgreiðslur valdi viðkomandi sjúklingum óþægindum. Þá telur TR að upplýsingar um að tiltekinn aðili dvelji á stofnun á vegum SÁÁ séu ekki viðkvæmari en aðrar persónuupplýsingar sem sendar eru frá öðrum heilbrigðisstofnunum og lyfsölum. Um starfsmenn TR gildi ákvæði 18. gr. laga nr. 70/1996 um réttindi og skyldur starfsmanna, en að auki og til fyllingar undirriti starfsmenn sérstakan trúnaðareið við ráðningu.

Með bréfi Persónuverndar, dags. 26. nóvember sl., var TR beðin um að skýra frekar hvaða brýnu almannahagsmunir stofnunin teldi til staðar sem leitt geti til þess að skilyrði 2. mgr. 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga verði talin uppfyllt. Í svarbréfi stofnunarinnar, dags. 13. desember sl., segir:

„TR er ætlað að deila út gríðarlegum fjármunum á hverju ári. Samkvæmt fjárlögum ársins 2002 munu útgjöld stofnunarinnar nema liðlega 29 milljörðum króna. Ætla má að hver einasti Íslendingur eigi fyrr eða síðar viðskipti við stofnunina. Hér eru því hagsmunaaðilar margir auk þess sem um mjög miklar fjárhæðir af almannafé er að ræða.

Það eru því augljóslega brýnir almannahagsmunir að því fé sé réttilega varið samkvæmt gildandi reglum og lögum á hverjum tíma. Brýnir almannahagsmunir eru því til þess að stofnunin geri allt sem í hennar valdi stendur til að tryggja rétta afgreiðslu við uppgjör krafna um bætur og alla þjónustu er stofnunin veitir. Til þess að gegna lögboðnu hlutverki sínu eins vel og kostur er er TR nauðsynlegt, eðli máls samkvæmt, að hafa aðgang að ákveðnum gögnum, m.a. tilteknum gögnum frá SÁÁ, til að geta sannreynt rétta afgreiðslu og réttmæti greiðslna.“

III

Forsendur og niðurstöður

Í máli þessu er deilt um hvort SÁÁ megi afhenda TR lista yfir þá sem dvelja á Vogi. SÁÁ hefur neitað að afhenda TR framangreindar upplýsingar á þeirri forsendu að um viðkvæmar persónuupplýsingar sé að ræða þar sem allir þeir sjúklingar sem dvelja á stofnunum á þeirra vegum hafi átt við áfengis- eða vímuefnavanda að etja og að SÁÁ sé hvorki heimilt né skylt að afhenda TR þær upplýsingar.

Í lögum nr. 77/2000 eru ítarleg ákvæði um verkefni og skyldur ábyrgðaraðila. Hugtakið ábyrgðaraðili er skilgreint í 4. tl. 2. gr. laganna sem: „Sá aðili sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna.“ Varðandi það hver er ábyrgðaraðili þeirra upplýsinga sem unnar eru á vegum SÁÁ ber að líta til 9. gr. reglugerðar nr. 227/1991, um sjúkraskrár og skýrslugerð varðandi heilbrigðismál. Samkvæmt henni ber yfirlæknir á deild eða ódeildaskiptri heilbrigðisstofnun ábyrgð á vörslu og meðferð sjúkraskráa meðan sjúklingur dvelur þar. Forstöðumenn bera ábyrgð á skjalavörslu sjúkrastofnana. Á grundvelli þessa reglugerðarákvæðis, meginreglu 2. mgr. 29. gr. laga nr. 97/1990, um heilbrigðisþjónustu, svo og 2. og 3. mgr. 14. gr. laga nr. 74/1997, um réttindi sjúklinga, hefur verið talið að yfirlæknir á deild eða ódeildaskiptri heilbrigðisstofnun og læknar sem starfa á eigin vegum séu bærir til þess að taka ákvörðun um hvort lagaskilyrði séu uppfyllt til að veita aðgang að sjúkraskrá sem þeir eru vörslumenn að, enda sé ekki á annan veg mælt í sérlögum. Þetta gildir jafnt um sjúklinga sem eru til meðferðar, hafa verið til meðferðar og þá sem látnir eru. Þeim sem skv. framanrituðu telst vera ábyrgðaraðili er skylt að beita ráðstöfunum til að tryggja öryggi þeirra upplýsinga sem hann ber ábyrgð á, m.a. að viðhafa viðeigandi ráðstafanir til að vernda þær gegn aðgangi óviðkomandi aðila.

Í 15. gr. læknalaga nr. 53/1988 er ákvæði um þagmælsku um upplýsingar um sjúkdóma og önnur einkamál, eða atriði sem hlutaðeigandi heilbrigðisstarfsmaður fær vitneskju um í starfi sínu og leynt skulu fara samkvæmt lögum eða eðli málsins. Í 12. gr. laga nr. 74/1997, um réttindi sjúklinga, er að finna ítarlegri reglur um þagnarskyldu en fyrrnefnd lög hafa að geyma. Þar er kveðið svo á að starfsmaður í heilbrigðisþjónustu skuli gæta fyllstu þagmælsku um allt það sem hann hefur komist að í starfi sínu um heilsufar sjúklings, ástand, sjúkdómsgreiningu, horfur og meðferð ásamt öðrum persónulegum upplýsingum. Þeir sem koma að meðferð, hjúkrun eða þjónusturannsóknum, sem ætlað er að fyrirbyggja, greina eða lækna sjúkdóm hjá tilteknum sjúklingi er almennt heimilt að vinna með nauðsynlegar heilsufarsupplýsingar um sjúklinginn. Aðgangur þessara heilbrigðis starfsmanna að nauðsynlegum heilsufarsupplýsingum um sjúkling undir lögmætri stjórn og eftirliti er ekki brot á þagnarskyldu. Þá er t.d. ekki heldur brot á þagnarskyldu að láta sjúkling sjálfan fá aðgang að sjúkraskrá sinni eða að veita öðrum aðilum aðgang að sjúkraskrá mæli lög svo skýrlega fyrir, sbr. 1. mgr. 13. gr. og 2. málsl. 2. mgr. 14. gr. laga nr. 74/1997, um réttindi sjúklinga, og 2. mgr. 15. gr. læknalaga nr. 53/1988 eða að veita aðgang að sjúkraskrá á grundvelli leyfis tölvunefndar, eða nú Persónuverndar sbr. 2. mgr. 9. gr. laga nr. 77/2000, og 3. mgr. 15. gr. laga nr. 74/1997, um réttindi sjúklinga.

Af framanrituðu leiðir að áður en ábyrgðaraðili veitir óviðkomandi aðila aðgang að sjúkraskrá verður hann að fullvissa sig um að hlutaðeigandi hafi fullnægjandi heimild til aðgangs að sjúkraskránni lögum samkvæmt. Verði afhending upplýsinganna ekki studd við slíka heimild er ábyrgðarðaila óheimilt að veita aðganginn. Veiti læknir eða annar heilbrigðisstarfsmaður einhverjum aðgang að sjúkraskrá án þess að slík heimild sé fyrir hendi hefur þagnarskylda verið rofin sem varðað getur viðurlögum.

Hugtakið viðkvæmar persónuupplýsingar er skilgreint í 8. tölul. 2 gr. laga nr. 77/2000. Fram kemur í c-lið að upplýsingar um heilsuhagi, þar á meðal um lyfja-, áfengis- og vímuefnanotkun, teljist viðkvæmar persónuupplýsingar. Á vegum SÁÁ fer einungis fram meðferð við tilgreindum sjúkdómum, þ.e. misnotkun áfengis- og vímuefna. Vegna þessa sérgreinda heilsufarssviðs, verður að fallast á það með SÁÁ að listi yfir þá sjúklinga sem hjá þeim dveljast, feli í sér viðkvæmar persónuupplýsingar í skilningi 8. tl. 2. gr. laga nr. 77/2000. Kveðið er á um heimildir fyrir vinnslu slíkra upplýsinga í 9. gr. laga nr. 77/2000. Þarf eitt þeirra skilyrða sem þar er rakið að vera fyrir hendi til að vinnsla teljist heimil, auk einhvers þeirra almennu skilyrða sem rakin eru í 8. gr. sömu laga. Ekki verður séð að nokkurt skilyrða 1. mgr. 9. gr. eigi við í því máli sem hér um ræðir. Samkvæmt 2. mgr. 9. gr. getur Persónuvernd hins vegar heimilað vinnslu viðkvæmra persónuupplýsinga í öðrum tilvikum en greinir í 1. mgr., ef skilyrðum ákvæðisins, m.a. um „brýna almannahagsmuni“ er fullnægt. Persónuvernd hefur ekki borist umsókn um slíkt leyfi. TR hefur hins vegar allt frá árinu 1994 haft heimild tölvunefndar til að halda skrá með tilteknum upplýsingum um sjúklinga og legutíma á sjúkrastofnunum. Samkvæmt þeirri ákvörðun tölvunefndar má skráin hafa að geyma upplýsingar um kennitölu einstaklings á innlögn, kennitölu innlagnarstofnunar, innlagnardag (og tíma), brottfarardag (og tíma) og tegund deildar (legudeild, dagdeild, 5 daga deild). Slík heimild felur þó ekki í sér skyldu fyrir skrárhaldara, í þessu tilviki SÁÁ, til að afhenda umræddar upplýsingar.

Samkvæmt ákvæði til bráðabirgða með lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga halda gildi sínu þau leyfi sem tölvunefnd veitti á starfstíma sínum. Umrædd heimild sem tölvunefnd gaf út þann 21. júlí 1994 hefur ekki verið felld úr gildi. Samkvæmt því verður að telja TR hafa fullnægjandi heimild lögum samkvæmt til aðgangs að eftirfarandi upplýsingum og að SÁÁ sé þ.a.l. heimilt að afhenda TR þær án þess að rjúfa þagnarskyldu:

* Kennitala stofnunar.

* Kennitala þess sem er vistaður og stundum nafn.

* Komudagur, komutími.

* Hvaðan viðkomandi kom samkvæmt sérstökum lista yfir kóða.

* Brottfarardagur og tími.

* Hvert viðkomandi fór samkvæmt sérstökum lista yfir kóða. ...

Persónuvernd bindur leyfi sín tilteknum skilyrðum. Hefur hún, og áður tölvunefnd, tekið mið af tilmælum ráðherraráðs Evrópuráðsins nr. R(97)5 um vernd læknisfræðilegra gagna. Í ljósi ákvæða 11. gr. laga nr. 77/2000, sbr. 5. gr. l. nr. 90/2001, skal ábyrgðaraðili gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. Í 7. gr. sömu laga er að finna fyrirmæli um að þess skuli gætt við meðferð persónuupplýsinga að nota aðeins viðeigandi upplýsingar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar. Í ljósi framangreinds er eðlilegt að sérstakar ráðstafanir verði viðhafðar til að tryggja að framangreindum ákvæðum verði fullnægt. Samkvæmt 37. gr. laganna er það meðal verkefna Persónuverndar að veita þeim sem vinna með persónuupplýsingar leiðsögn í þeim efnum. Mun hún, verði eftir því leitað, veita leiðbeiningar um hvernig lágmarka megi hættu á því að umrædd upplýsingamiðlun skerði friðhelgi einkalífs þeirra einstaklinga sem hlut eiga að máli.

Úrskurðarorð:

Yfirlækni SÁÁ er heimilt að afhenda TR lista yfir kennitölur þeirra sem dvelja á Vogi, í samræmi við ákvörðun tölvunefndar dags. 21. júlí 1994.

5. Erlent samstarf

5.1. Samstarf norrænna persónuverndarstofnana

Vorfundur forstjóra norrænna persónuverndarstofnana var haldinn í Gautaborg í Svíþjóð dagana 3.–6. júní. Fundurinn var sóttur af forstjóra og Elsu S. Þorkelsdóttur, lögfræðingi.

Nánari umfjöllun um fundinn er hér að neðan í kafla 5.6.4.

Fundur starfsmanna hjá persónuverndarstofnunum á Norðurlöndum var haldinn í Osló í Noregi dagana 14.–16. maí. Fundinn sótti Bjarni Eiríksson, lögfræðingur.

Nánari umfjöllun um fundinn er hér að neðan í kafla 5.6.6.

5.2. Samstarf evrópskra persónuverndarstofnana

Vorfundur forstjóra evrópskra persónuverndarstofnana var haldinn í Bonn dagana 24.– 26. apríl. Fundurinn var sóttur af forstjóra.

Fundur starfsmanna hjá evrópskum persónuverndarstofnunum, þ.e.a.s. í ríkjum sem innleitt hafa tilskipun 95/46/EB, var haldinn í Berlín í Þýskalandi dagana 25.–26. nóvember. Fundinn sótti Elsa S. Þorkelsdóttir, lögfræðingur.

Nánari umfjöllun um fundinn er hér að neðan í kafla 5.6.5.

Vinnuhópur samkvæmt 29. gr. tilskipunar 95/46/ESB.

Vinnuhópurinn hélt fimm fundi á árinu. Hörður H. Helgason, yfirlögfræðingur sótti fundi sem haldnir voru 21.– 22. febrúar og 1.– 2. júlí. Fundur sem haldinn var 29.– 30. maí var ekki sóttur. Fund sem haldinn var 2.– 3. október sóttu forstjóri og Þórður Sveinsson, lögfræðingur. Fund sem haldinn var 27.– 28. nóvember sótti Þórður Sveinsson, lögfræðingur.

Einnig hélt vinnuhópurinn einn fund í Washington í Bandaríkjunum dagana 13.–14. mars. Hann var sóttur af formanni stjórnar og Herði H. Helgasyni.

Nánari umfjöllun um starf þessa vinnuhóps er hér að neðan í kafla 5.6.2.

Sameiginlega Schengen-eftirlitsnefndin (JSA) hélt fimm fundi á árinu. Margrét Steinarsdóttir, lögfræðingur, sótti fundi sem haldnir voru 8. mars og 17. maí. Fundir sem haldnir voru 26. júní, 11. október og 13. desember voru ekki sóttir.

Nánari umfjöllun um starf þessara nefndar er hér að neðan í kafla 5.6.3.

5.3. Alþjóðlegt samstarf persónuverndarstofnana

24. alþjóðaráðstefna forstjóra persónuverndarstofnana var haldin í Cardiff á Englandi dagana 9.–11. september. Ráðstefnuna sóttu formaður stjórnar og forstjóri.

5.4. Samstarf á vettvangi Evrópuráðsins

Persónuvernd tekur fyrir Íslands hönd þátt í starfi tveggja nefnda á vegum Evrópuráðsins.

Annars vegar er um að ræða ráðgefandi nefnd um gagnavernd (Consultative Committee of the Convention for the protection of Individuals with regard to Automatic Processing of Personal Data (ETS 108) (T-PD)). Hún starfar á grundvelli 13. gr. Evrópusamnings um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga sem gerður var í Strassborg 28. janúar 1981 (CONVENTION nr. 108 for the Protection of Individuals with regard to Automatic Processing of Personal Data). Fullgildingarskjal Íslands vegna þessa samnings var afhent aðalframkvæmdastjóra Evrópuráðsins hinn 25. mars 1991 en hann hafði verið undirritaður fyrir Íslands hönd 27. september 1982 með fyrirvara um fullgildingu. Með ályktun 17. desember 1990 heimilaði Alþingi ríkisstjórninni að fullgilda samninginn og öðlaðist hann gildi að því er Ísland varðar 1. júlí 1991.

Hins vegar er um að ræða vinnunefnd Evrópuráðsins um persónuvernd (Project Group of Data Protection (CJ-PD)).

Á árinu 2002 var starfið sem hér segir:

T-PD fundur var haldinn í Strassborg dagana 9.-11. október . Fundinn sótti forstjóri.
CJ-TP fundur var haldinn í Strassborg dagana 7.-9. október. Fundinn sótti forstjóri.

Nánari umfjöllun um þetta starf er að finna á heimasíðu Evrópuráðsins. Tengil við hana er að finna á heimasíðu Persónuverndar undir hnappinum: „Áhugaverðar síður“.

5.5. Annað erlent samstarf vegna ýmissa sérverkefna eða einstakra mála.

Sameiginlega Eurodac-eftirlitsnefndin hélt einn fund á árinu. Þórður Sveinsson, lögfræðingur, sótti fundinn sem haldinn var 29. nóvember í Brussel.

Nánari umfjöllun um starf þessarar nefndar er hér að neðan í kafla 5.8.1.

Málþing um friðhelgi einkalífs og öryggi persónuupplýsinga var haldið í Zürich í Sviss dagana 30.–31. október. Málþingið var ekki sótt.

Ráðstefna um kostnað við einkalífsvernd var haldin í Róm á Ítalíu dagana 5.–6. desember. Ráðstefnan var ekki sótt.

Ráðstefna um lögleiðingu og beitingu ákvæða tilskipunar nr. 95/46/EB var haldin í Brussel dagana 30. september – 1. október. Ráðstefnan var ekki sótt.

5.6. Nánari umfjöllun um einstaka þætti erlends samstarfs sem tilgreint er hér að framan

5.6.1. Um starf sameiginlegu Eurodac-eftirlitsnefndarinnar

Hér er um að ræða sameiginlega eftirlitsnefnd sem starfar samkvæmt 20. gr. reglugerðar 00/2725/EB um Eurodac-fingrafaragagnagrunninn. Aðildarríkin að reglugerðinni eiga að skrá í þennan gagnagrunn fingraför tiltekinna útlendinga, þ. á m. hælisleitenda, og eiga síðan með rafrænum hætti að geta spurst fyrir um hvort fingraför útlendings hafi verið skráð í hann. Hlutverk eftirlitsnefndarinnar er að tryggja að ekki verði brotið gegn réttindum hinna skráðu við þessa vinnslu persónuupplýsinga og hafa eftirlit með lögmæti miðlunar upplýsinga úr gagnagrunninum til aðildarríkjanna, sbr. 2. mgr. 20. gr. reglugerðarinnar. Fyrsti fundur nefndarinnar var haldinn í Brussel hinn 20. nóvember sl. Fulltrúi Persónuverndar sótti fund hennar og hafði þar stöðu sem áheyrnarfulltrúi.

Með reglugerð 00/2725/EB á að stuðla að því að framfylgja megi Dyflinnarsamningnum frá 15. júní 1990 sem fjallar um í hvaða aðildarríki samningsins eigi að taka umsókn útlendings um hæli til meðferðar þegar vafi leikur á um hvar fjalla eigi um slíka umsókn. Tryggja á með samningnum að umsókn hljóti meðferð í einu aðildarríkjanna þannig að umsækjandi verði ekki sendur frá einu ríki til annars en ábyrgð á meðferð umsóknar hans hvergi viðurkennd.

Samkvæmt samningi við Evrópusambandið frá 19. janúar 2001 ber Íslandi að fara eftir Dyflinnarsamningnum og reglugerðinni og eru nú ákvæði um Eurodac í 63. og 68. gr. reglugerðar um útlendinga nr. 53/2003 sem sett er af dóms- og kirkjumálaráðuneytinu með stoð í lögum nr. 106/2002 um sama efni.

Þeir útlendingar, sem taka á af fingraför, eru í fyrsta lagi hælisleitendur, sbr. II. kafla reglugerðarinnar. Upplýsingum um þá á að eyða úr gagnagrunninum tíu árum eftir skráningu eða þegar hælisleitandi öðlast ríkisborgararétt í einhverju aðildarríkjanna, sbr. 6. og 7. gr. Í öðru lagi á að taka fingraför af útlendingum sem reyna að komast ólöglega yfir ytri landamæri Schengen-svæðisins, sbr. III. kafla. Upplýsingum um þá á að eyða úr gagnagrunninum tveimur árum eftir skráningu eða þegar útlendingur fær dvalarleyfi, hefur yfirgefið landsvæði aðildarríkjanna eða fengið ríkisborgararétt, sbr. 10. gr. Og í þriðja lagi á að taka fingraför af útlendingum sem dveljast ólöglega í einhverju aðildarríkjanna, sbr. IV. kafla. Bera á fingraförin saman við fingraför hælisleitenda í gagnagrunninum og þegar því er lokið á að eyða þeim úr honum.

Um vernd upplýsinga í gagnagrunninum er fjallað í IV. kafla. Kemur þar meðal annars fram að koma á í veg fyrir allan óleyfilegan aðgang að gagnagrunninum og aðra óleyfilega vinnslu, þ. á m. skráningu, sbr. 14. gr. Einnig kemur fram að skrá á allar aðgerðir í gagnagrunninum, en skráningin á að sýna tilganginn með notkun hans í hvert sinn, nákvæma tímasetningu aðgerða, hvaða upplýsingar hafa verið sendar í hann, hvaða upplýsingar hafa verið notaðar til að svara fyrirspurnum, hvaða stofnun hefur sent inn upplýsingar eða sótt þær og hvaða einstaklingur hefur verið ábyrgur, sbr. 16. gr. þar sem einnig segir að einungis megi nota upplýsingar um ofangreind atriði til að vernda persónuupplýsingar og að þeim skuli eyða ári eftir skráningu.

5.6.2. Um starf vinnuhóps samkvæmt 29. gr. tilskipunar 95/46/EB

Hér er um að ræða ráðgefandi vinnuhóp sem starfar samkvæmt 29. gr. tilskipunar 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálst flæði slíkra upplýsinga, en íslensk löggjöf verður að samrýmast þessari tilskipun.

Vinnuhópurinn er skipaður fulltrúum eftirlitsyfirvalda í aðildarríkjum að tilskipuninni. Ísland sendir áheyrnarfulltrúa á fundi hópsins, en þeir eru haldnir í Brussel. Á árinu 2002 voru haldnir fimm fundir: 32. fundur, 21. og 22. febrúar; 33. fundur, 29. og 30. maí; 34. fundur, 1. og 2. júlí; 35. fundur, 2. og 3. október; og 36. fundur, 27. og 28. nóvember. Persónuvernd sendi fulltrúa á alla fundina utan einn, þann 33., en það reyndist ekki unnt vegna anna stofnunarinnar.

Vinnuhópurinn tekur mál upp að frumkvæði formanns, eftirlitsyfirvalda í aðildarríkjum Evrópusambandsins eða framkvæmdastjórnar þess. Á fundunum eru síðan samþykkt, með einföldum meirihluta atkvæða, álit og tilmæli um þau efni sem þar eru rædd. Þau eru send framkvæmdastjórninni, sem tekur síðan bindandi ákvarðanir, m.a. um til hvaða landa utan EES-svæðisins senda megi persónuupplýsingar, og ráðgjafarnefnd hennar um málefni tengd vinnslu persónuupplýsinga. Ákvæði um þá nefnd eru í 31. gr. tilskipunar 95/46/EB. Hún er skipuð fulltrúum aðildarríkja Evrópusambandsins og á fundi hennar sendir Ísland ekki áheyrnarfulltrúa enda ekki gert ráð fyrir því.

Þau álit, sem vinnuhópurinn samþykkti á árinu 2002 (og finna má á vefslóðinni: http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wpdocs-2002.htm), eru sem hér segir:

1. Álit nr. 1/2002 um skýrslu CEN/ISSS um persónuverndarstaðla í Evrópu. – CEN/ISSS er deild í CEN, staðlaráði Evrópu, og fæst við gerð staðla sem tengjast upplýsingamálum. Í álitinu fagnar vinnuhópurinn skýrslu CEN/ISSS um persónuverndarstaðla í Evrópu (hún er á vefslóðinni: [ekki lengur aðgengilegt]) og leggur áherslu á hversu mikilvæga hann telur slíka staðla vera.

2. Álit nr. 2/2002 um notkun rafrænna skilríkja (e. unique identifiers) í samskiptatækjum: IPv6. – Í þessu áliti er fjallað um rafræn skilríki sem auðkenna internetnotendur þegar þeir vafra um heimasíður, óháð því hvort þeir tengjast internetinu frá einkatölvu, farsíma eða einhverju öðru samskiptatæki. Lögð er áhersla á að internetnotendur hafi kost á nafnleysi eða dulnefni þannig að ekki verði hægt að rekja hvaða heimasíður þeir hafa heimsótt. Sem leið til þess er bent á að gera mönnum mögulegt að skipta um rafræn skilríki. Að lokum er eindregið hvatt til að haft sé frumkvæði að því að finna tæknilausnir sem auka vernd persónuupplýsinga og því lýst yfir að hafa verði samskipti við þá sem þegar hafa haft frumkvæði í þessum efnum, einkum alþjóðleg samtök sem nefnast Vinnuhópur um internet-tækni (e. Internet Engineering Task Force), en þau vinna að gerð nýrrar tegundar rafrænna skilríkja sem nefnist IPv6 (Internet Protocol Version 6). Sú tegund kemur í stað IPv4 sem nú er notað í flestum tölvum.

3. Álit nr. 3/2002 um persónuverndarákvæði í frumvarpi framkvæmdastjórnar Evrópusambandsins að tilskipun um að lög aðildarríkja, sem varða lán til neytenda, verði samræmd. – Í þessu áliti lýsir vinnuhópurinn þeirri skoðun sinni að annaðhvort ætti að vísa með einföldum hætti til tilskipunar 95/46/EB í fyrirhugaðri tilskipun um lán til neytenda eða að hafa ætti þar ítarlegar reglur um vernd persónuupplýsinga. Minnt er á mikilvægi þess að vernd persónuupplýsinga verði tryggð og lýst yfir vilja til samstarfs í þeim efnum.

4. Álit nr. 4/2002 um vernd persónuupplýsinga í Argentínu. – Argentína hefur æskt þess af framkvæmdastjórn Evrópusambandsins að landið verði talið veita persónuupplýsingum nægilega vernd í skilningi tilskipunar 95/46/EB og að því skuli vera heimilt að flytja persónuupplýsingar þangað með sama hætti og milli aðildarríkja að tilskipuninni, en framkvæmdastjórnin ákveður hvaða lönd það séu sem þetta gildir um, sbr. 6. mgr. 25. gr. tilskipunarinnar. Hún óskaði eftir umsögn vinnuhópsins og birtist hún í álitinu. Er niðurstaða vinnuhópsins sú að Argentína veiti persónuupplýsingum nægilega vernd. Þó hvetur hann Argentínu til að gera nokkrar umbætur á persónuverndarlöggjöf, einkum með því að skapa sjálfstæð eftirlitsyfirvöld í þeim héruðum landsins þar sem þau eru enn ekki til og með því að bæta úr stjórnskipulegum atriðum, þ.e. því fyrirkomulagi að æðsta eftirlitsyfirvaldið skuli vera deild í dómsmálaráðuneyti landsins en ekki sjálfstæð stofnun.

5. Álit nr. 5/2002 um yfirlýsingu forstöðumanna persónuverndarstofnana á alþjóðlegri ráðstefnu í Cardiff dagana 9.–11. september 2002 um skyldubundna, kerfisbundna varðveislu upplýsinga um fjarskiptaumferð. – Í álitinu fellst vinnuhópurinn á allt það sem fram kemur í yfirlýsingu forstöðumannanna. Í yfirlýsingunni er þess getið að innan þriðju stoðar Evrópusambandsins, þ.e. á því sviði þar sem fengist er við löggæslu og annað þess háttar, sé verið að íhuga tillögur sem feli í sér skyldubundna, kerfisbundna varðveislu upplýsinga um allar tegundir fjarskipta, þ.e. upplýsingar um þann tíma sem símtöl, símbréfasendingar og tölvupóstsamskipti og önnur internetsamskipti fara fram á, auk staðsetningar notenda og þeirra númera sem notuð eru. Þeirri skoðun er lýst að mjög vafasamt sé að þetta sé lögmætt. Athygli er og vakin á þeim mikla kostnaði sem þetta myndi hafa í för með sér fyrir fjarskipta- og upplýsingaiðnaðinn, sem og að engar slíkar ráðstafanir eins og þær sem hér um ræðir eru viðhafðar í Bandaríkjunum. Þá er lýst yfir þeirri afstöðu að þetta brjóti gegn þeim rétti sem kveðið er á um í 8. gr. mannréttindasáttmála Evrópu, þ.e. réttinum til friðhelgi einkalífs, eins og hann hefur verið nánar útfærður í tilskipun 95/46/EB, auk tilskipunar 02/58/EB um friðhelgi einkalífs í fjarskiptum þar sem ströng skilyrði eru sett fyrir varðveislu upplýsinga um fjarskiptaumferð í löggæsluskyni, þ.e. þær skuli einungis varðveittar í afmarkaðan tíma og aðeins þegar varðveislan er nauðsynleg, viðeigandi og málefnaleg í lýðræðissamfélagi. Af þessu er sagt leiða að varðveislunnar þurfi að vera þörf, hún skuli vera svo skammvinn sem unnt er og um framkvæmd hennar skuli vera kveðið skýrlega í lögum á þann veg að komið sé í veg fyrir ólöglegan aðgang og aðra misnotkun upplýsinga. Kerfisbundin varðveisla upplýsinga um fjarskiptaumferð í meira en eitt ár er sögð vera ávallt ómálefnaleg og óásættanleg. Að lokum er mælst til þess að vinnuhópurinn verði hafður með í ráðum áður en gripið verði til nokkurra ráðstafana.

6. Álit nr. 6/2002 um miðlun upplýsinga um flugfarþega frá flugfélögum til Bandaríkjanna. – Í kjölfar hryðjuverkanna 11. september 2001 voru sett lög í Bandaríkjunum, hinn 19. nóvember s.á., um skyldu flugfélaga, sem fljúga til Bandaríkjanna, til að senda tollyfirvöldum þar í landi með rafrænum hætti upplýsingar um farþega og áhöfn, bæði til að auka flugöryggi og til að tryggja allsherjarreglu í Bandaríkjunum. Hinn 14. maí 2002 voru síðan sett lög um að flugfélögin skyldu senda upplýsingar um farþega og áhöfn til innflytjendaeftirlitsins. Samkvæmt lögunum fara upplýsingarnar í miðlægan gagnagrunn, sem rekinn er af tollyfirvöldum og innflytjendaeftirliti sameiginlega, og verða síðan aðgengilegar öllum alríkisyfirvöldum. Skrá skal upplýsingar um nöfn farþega, fæðingardag og símanúmer; flugbókanir, greiðslur og það sem þeim tengist, m.a. kreditkortanúmer; sætisnúmer; trúarskoðanir og uppruna, m.a. með skráningu á matarvenjum; vini, s.s. vinnustað þeirra; og heilsufar, en það er til að komast að því hvort farþegi geti lent í hættu við að fljúga. Skráningin skal ekki vera takmörkuð við þá sem fljúga til Bandaríkjanna. Brjóti flugfélög reglur um farþegaskráningu geta þau fengið háa sekt og verið synjað um lendingarleyfi. Fram kemur að önnur lönd, þ. á m. Kanada, Mexíkó, Ástralía, Nýja Sjáland, Suður-Afríka og Bretland, hafa í hyggju að hefja svipaða skráningu.

Vinnuhópurinn bendir á að skráningin fer upphaflega fram hjá flugfélögunum sjálfum og fellur þá undir tilskipun 95/46/EB. Verði þá að fara eftir ákvæðum hennar, m.a. um upplýsingagjöf til hins skráða og öryggi upplýsinga. Miðlun upplýsinganna samrýmist hins vegar ekki skilyrðunum um að vinnsla persónuupplýsinga skuli vera samrýmanleg hinum upphaflega tilgangi með öflun þeirra, sbr. b-lið 1. mgr. 6. gr. tilskipunarinnar, og nægileg, viðeigandi og ekki umfram það sem nauðsynlegt er, sbr. c-lið 1. mgr. 6. gr. Þá sé skilyrðum 26. gr. fyrir flutningi upplýsinga til þriðja lands, sem ekki veitir persónuupplýsingum nægilega vernd, en Bandaríkin teljast til slíks lands, ekki fullnægt. Sem stendur sé þannig ekki fullnægt skilyrðum þeirrar heimildar til flutnings upplýsinga að hinn skráði hafi veitt samþykki sitt. Ekki verði séð að hann sé nú beðinn um slíkt samþykki og flókið geti verið að afla samþykkis sem samrýmist tilskipun 95/46/EB. Þannig geti verið vandasamt að veita hinum skráða nauðsynlegar upplýsingar þegar hann kaupi flugmiða, enda fari slík kaup fram í alþjóðlegu bókunarkerfi sem gerir það mögulegt að kaupa miða hvar sem er í heiminum með margs kyns hætti, s.s. í gegnum flugfélög eða ferðaskrifstofur. Þá sé ekki fullnægt skilyrðum þeirrar heimildar að miðlun sé nauðsynleg til efnda á samningi, en það að miðla þurfi upplýsingunum þar sem annars geti flugfélag orðið af réttindum feli það ekki í sér að miðlunin sé nauðsynleg. Að auki sé ekki fullnægt skilyrðum þeirra heimilda að miðlun sé nauðsynleg vegna brýnna almannahagsmuna eða vegna brýnna hagsmuna hins skráða. Hins vegar geti verið heimilt að flytja upplýsingarnar til Bandaríkjanna þrátt fyrir að ofangreindar heimildir eigi ekki við séu veittar nægilegar tryggingar fyrir vernd upplýsinganna. Því gæti verið gagnlegt að hefja viðræður milli Evrópusambandsríkja og Bandaríkjanna um hvernig tryggja mætti nægilega vernd. Upplýsingum um þá sem ekki fara til Bandaríkjanna ætti þó ekki að vera heimilt að miðla nema samkvæmt sérsamningum um gagnkvæma réttaraðstoð.

Auk ofangreinds bendir vinnuhópurinn á að viðkvæmar persónuupplýsingar, s.s. um uppruna og trúarskoðanir, sbr. 8. gr. tilskipunar 95/46/EB, er almennt óheimilt að vinna með nema þær undantekningar, sem kveðið er á um í ákvæðinu, eigi við. Sú sem hér gæti átt við sé sú regla 4. mgr. 8. gr. að miðla megi upplýsingum til þriðja lands séu til þess brýnir almannahagsmunir, en þá þurfi þriðja land að veita nægilegar tryggingar fyrir því að ákvæðum tilskipunarinnar sé fylgt.

Einnig telur vinnuhópurinn að varðveisla umræddra upplýsinga í upplýsingakerfum flugfélaga eftir að þeim hefur verið miðlað fullnægi ekki því skilyrði að vinnsla persónuupplýsinga sé nægileg, viðeigandi og ekki umfram það sem nauðsynlegt er, sbr. c-lið 1. mgr. 6. gr. tilskipunar 95/46/EB, og að því sé flugfélögum óheimilt að vinna með þær að miðlun lokinni.

Niðurstöður vinnuhópsins eru sem hér greinir:

1. Þó að sjálfstæð ríki hafi rétt á að krefjast þeirra upplýsinga, sem þau telja sig þurfa, af þeim sem æskja landgöngu verði að hafa í huga, þrátt fyrir að vinnslan fari fram í tengslum við baráttu gegn hryðjuverkum, að hjá flugfélögum, sem verði að fara eftir tilskipuninni, verði unnið með persónuupplýsingar á ómálefnalegan hátt og að þær verði aðgengilegar öllum alríkisstjórnvöldum í Bandaríkjunum.

2. Það falli að mestu leyti utan hlutverks flugfélaga að meta hvernig leysa skuli vandamál sem tengjast því hvernig fara eigi eftir tilskipun 95/46/EB en sé verkefni aðildarríkja og, sé það nauðsynlegt, framkvæmdastjórnar Evrópusambandsins.

3. Miðlun upplýsinga um þá sem ekki eru á leið til Bandaríkjanna eigi að vera óheimil nema samkvæmt sérsamningum um gagnkvæma réttaraðstoð.

4. Önnur miðlun upplýsinga úr upplýsingakerfum flugfélaga en sem hér hefur verið rætt um verði ávallt að samrýmast reglum tilskipunar 95/46/EB.

Að lokum bendir vinnuhópurinn á að allar takmarkanir á ákvæðum tilskipunarinnar verða að samrýmast ákvæðum 13. gr. um hvenær slíkar takmarkanir eru heimilar og lýsir þeirri skoðun sinni að eðlilegt sé að um málið verði fjallað á vettvangi Evrópusambandsins.

5.6.3. Um starf sameiginlegu Schengen-eftirlitsstofnunarinnar – JSA

Hér er um að ræða sjálfstæða stofnun sem starfar samkvæmt 115. gr. samnings um framkvæmd Schengen-samkomulagsins frá 14. júní 1985 milli upphaflegra aðildarríkja samkomulagsins, þ.e. Belgíu, Hollands, Þýskalands, Lúxemborgar og Frakklands. Stofnunin hefur aðsetur í Brussel. Persónuvernd tekur þátt í starfsemi stofnunarinnar í samræmi við 18. gr. laga nr. 16/2000 um Schengen-upplýsingakerfið á Íslandi. Persónuvernd hefur eftirlit með Schengen-upplýsingakerfinu á Íslandi og á fulltrúa í JSA (Joint Supervisory Authority).

Upplýsingakerfum Schengen má skipta í 3 meginhluta, þ.e. „Schengen Information System“ (SIS), „Supplementary Information Request at National Entry“ (SIRENE) og „Visa Inquiry Open border Network“ (VISION).

SIS er byggt upp kringum miðlægan gagnagrunn, „Central SIS“ (C.SIS), sem staðsettur er í Strasbourg í Frakklandi. Í hverju Schengen-þátttökulandi eru síðan svokölluð „National SIS“ (N.SIS) sem hafa afrit af C.SIS-gagnagrunninum. Aðilar í hverju landi leita í sínu N.SIS. Nýjar upplýsingar eru færðar inn í C.SIS og uppfærðar þaðan í öll N.SIS, þ.e. skráningarupplýsingar þátttökulands eru ekki færðar beint í N.SIS viðkomandi lands. Schengen-upplýsingakerfið er þannig uppbyggt að aðildarlöndin geta ekki skipst á upplýsingum beint hvert til annars heldur einungis með skeytasendingum til C.SIS sem fullgildir skráningar og varpar þeim síðan til gagnagrunna þátttökulandanna. N.SIS þátttökulandanda eru borin saman við C.SIS með reglubundnu millibili til að tryggja samræmi í skráningu.

Framtíðaruppfærsla með algerlega nýrri högun fyrir C.SIS, svonefnt SIS II, er nú þegar á teikniborðinu þar sem núverandi útgáfa ræður ekki við fleiri en 18 aðildarlönd. Litið er til stækkunar ESB til austurs í þessu sambandi og reiknað með að lönd eins og Tékkland, Pólland o.fl. eigi eftir að bætast við síðar.

Helstu verkefni JSA-stofnunarinnar eru þessi:

• Persónuverndarmál í tengslum við Schengen.

• Eftirlit með öryggis-, aðgangs- og persónuverndarþáttum í rekstri C.SIS í Strasbourg.

• Ráðgefandi hlutverk varðandi öryggismál upplýsingakerfisins.

• Samstarf við persónuverndarstofnanir í þátttökulöndum samstarfsins.

• Að samræma innlenda lagaframkvæmd og lagatúlkun í málum er upp koma vegna Schengen-upplýsingakerfisins.

Á árinu 2002 voru haldnir fundir hinn 8. mars, 17. maí, 26. júní, 11. október og 13. desember. Vegna anna voru aðeins þeir tveir fyrstnefndu sóttir.

Af því helsta sem fram kom á þeim fundi sem haldinn var hinn 8. mars má nefna að:

Fulltrúar Írlands tóku sæti sem áheyrnarfulltrúar.
Rætt var mikilvægi þess að kynna stofnunina betur og vekja athygli fjölmiðla á starfsemi hennar.
Lögð var fram ársskýrsla JSA 2001 og handbók um rétt einstaklinga til aðgangs að upplýsingum sem skráðar eru um þá í Schengen-upplýsingakerfinu.
Rædd var aðild Bretlands og Norður Írlands að Schengen-samstarfinu. Efnislega var álit JSA að út frá sjónarmiði persónuupplýsingaverndar væri ekkert þátttöku þeirra í Schengen-samstarfinu til fyrirstöðu.
Rætt var hvernig JSA skyldi í framkvæmd fylgjast með þróun og framgangi SIS II, m.a. svo að hún gæti á skömmum tíma veitt forálit á ýmsum þáttum í þróun SIS. Ákveðið var að setja á stofn vinnuhóp með það verkefni að semja drög að áliti fyrir hönd JSA, hafa samband við yfirvöld sem þátt eiga í þróun/uppsetningu SIS II og gefa forálit þegar nauðsyn krefur og ekki er tími til að kalla saman fund JSA.
Tilkynnt var um tafir á fyrirhugaðri öryggisúttekt á C.SIS vorið 2002, af tveimur ástæðum: annars vegar nauðsyn þess að fulltrúar JSA færu fyrst í almenna heimsókn til C.SIS þar sem þeim yrðu kynnt tækniatriði varðandi þann gagnagrunn; hins vegar skorti á fjármagni til heimsóknarinnar, en á fundinum kynnti formaður fundarmönnum ákvörðun Evrópuráðsins um að bera kostnaðinn. Ákveðið var að hefja undirbúning að upplýsingaheimsókn til C.SIS.
Rætt var um að í sérstökum tilvikum, þar sem vænta má brota gegn allsherjarreglu (dæmi: stór fótboltamót, fundir þjóðarleiðtoga), fer fram kerfisbundin vinnsla persónuupplýsinga til að undirbúa stjórnvöld fyrir slíkt. Ef við slíkar samræmdar aðgerðir væri unnið með persónuupplýsingar, sem skráðar eru í Schengen-upplýsingakerfið, skyldu JSA og persónuverndarstofnanir í aðildarríkjunum hafa eftirlit með að allri meðferð þeirra væri háttað í samræmi við Schengen-samkomulagið.

Af því helsta sem fram kom á þeim fundi sem haldinn var hinn 17. maí má nefna að:

Ákveðið var að opna leið til óformlegra samskipta við formann nefndar skv. 36. gr. Schengen-samningsins, með það fyrir augum að geta komið á framfæri og fylgt eftir ýmsum atriðum er lúta að vernd persónuupplýsinga og starfi hópa sem vinna við þróun og uppsetningu SIS II, m.a. þróun tæknibúnaðar.
Vinna ætti að opnun nýrrar heimasíðu.
Samræma ætti aðgerðir JSA og JSB (eftirlitsstofnun sem hefur eftirlit með persónuupplýsingum skráðum hjá EUROPOL) á sviði almannatengsla.
Fram kom að tafir yrðu á öryggisúttekt, m.a. vegna þess að umfang hennar hefði ekki verið fyllilega afmarkað. Ákveðið var að halda sérstakan fund 25. júní með þeim fulltrúum JSA sem taka ættu þátt í úttektinni. Stefnt var að því að heimsækja C.SIS í október/nóvember.
Stefna ætti að því að halda málþing um þróun og uppsetningu SIS II. Þar gæti JSA rætt ýmsa þætti SIS II við meðlimi Evrópuþingsins og Framkvæmdastjórnar Evrópusambandsins.

5.6.4. Fundur forstjóra norrænna persónuverndarstofnana

Fundur forstjóra norrænu persónuverndarstofnanana var haldinn í Stenungsbaden í vesturhluta Svíþjóðar 3.–6. júní 2002. Fundinn sóttu af hálfu Íslands þær Sigrún Jóhannesdóttir, forstjóri og Elsa S. Þorkelsdóttir, lögfræðingur.

Á fundinum gerðu fulltrúar landanna grein fyrir þróun mála í sérhverju landi frá því síðasti fundur var haldinn, bæði að því er varðar setningu nýrra laga og breytinga á gildandi lögum ásamt því að rekja nokkur áhugaverð erindi sem stofnununum höfðu borist og kynna afgreiðslu þeirra.

Þá var einnig fjallað um tiltekin málefni, s.s. tjáningarfrelsi og notkun Netsins, meðferð persónuupplýsinga á vinnumarkaði og í skólum, en fulltrúi Íslands leiddi umræðuna um það mál, löggjöf um lífsýnabanka, en ekki hafa öll löndin sett sér slíka löggjöf, og rafræn viðskipti. Í erindi fulltrúa Íslands um meðferð persónuupplýsinga í skólum var m.a. vikið að hvaða persónuupplýsingar unnið væri með í skólum og þá lagastoð sem hún hvílir á. Vikið var sérstaklega að vinnslu viðkvæmra persónuupplýsinga og þá einkum hvers eðlis þær upplýsingar eru. Áhersla var lögð á mikilvægi þess að hver skóli eða fræðsluumdæmi setti sér reglur um meðferð og öryggi þessara upplýsinga, hvernig staðið er að fræðslu og kynningu til foreldra og forráðamanna og um rétt barnsins til að kynna sér upplýsingar um sjálft sig, til að andmæla skráningu og til leiðréttingar á röngum eða villandi persónuupplýsingum, um miðlun persónuupplýsinga, t.d. til annarra skóla og til barnaverndarnefnda, og að lokum um varðveislu þessara upplýsinga.

Þá var vikið að þeim námskeiðum og fræðsluerindum sem starfsmenn Persónuverndar hafa flutt fyrir starfsmenn grunnskóla og leikskóla. Að lokum var kynnt að á vegum Sambands íslenskra sveitarfélaga er unnið að gerð reglna um meðferð persónuupplýsinga á þeim tveimur skólastigum sem falla undir valdssvið sveitarfélaga, þ.e. grunnskóla og leikskóla, en Persónuvernd telur mikilvægt að slíkar samræmdar reglur séu settar.

5.6.5. Fundur starfsmanna evrópskra persónuverndarstofnana, þ.e. stofnana sem innleitt hafa tilskipun 95/46/EB

Dagana 25. og 26. nóvember 2002 var haldinn í Berlín í Þýskalandi 6. fundur vinnuhóps um meðferð mála og erinda sem persónuverndarstofnunum berast. Þessir fundir eru haldnir tvisvar á ári og hafa einungis einu sinni fyrr verið sóttir af hálfu Íslands. Aðild að vinnuhópnum eiga ríki Evrópusambandsins, auk Íslands og Noregs. Þá eiga aðild þau ríki Evrópu sem að mati Evrópusambandsins tryggja með viðunandi hætti vernd persónuupplýsinga. Er þar fyrst og fremst um að ræða þau ríki sem sótt hafa um og fengið samþykkta aðild að Evrópusambandinu. Fundinn í Berlín sóttu fulltrúar frá 23 ríkjum auk fulltrúa frá framkvæmdastjórn Evrópusambandsins. Tilgangur fundanna er að samræma vinnubrögð milli persónuverndarstofnana ásamt því að skiptast á skoðunum og miðla upplýsingum, einkum að því er varðar meðferð einstakra mála. Elsa S. Þorkelsdóttir, lögfræðingur, sótti fundinn af Íslands hálfu.

Á fundinum í Berlín var m.a. fjallað um ákvæði laga í löndunum er varða notkun eftirlitsmyndavéla og um vinnslu þeirra persónuupplýsinga sem til verða með þeirri notkun, hlutverk persónuverndarstofnana og hvaða afstöðu þær hafa tekið í einstökum málum á þessu sviði. Fjallað var um flutning persónuupplýsinga milli landa, einkum svo nefndra þriðju landa. Kynnt var skýrsla um hvernig ákvæði tilskipunar Evrópusambandsins 95/46/EB, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, að því er varðar flutning persónuupplýsinga milli landa, birtast í lögum einstakra ríkja og um framkvæmd lagaákvæðanna. Þá var fjallað um lagaákvæði og hlutverk persónuverndarstofnana að því er varðar söfnun og miðlun fjárhagsupplýsinga um einstaklinga, þ.e. notkun svokallaðra neikvæðra eða svartra lista. Kynnt var skýrsla um söfnun upplýsinga um neysluvenjur fólks í Bandaríkjunum, Bretlandi og Þýskalandi, þ.m.t. um tekjur, eignir, skuldir og notkun greiðslukorta, þ.e. notkun svokallaðra jákvæðra lista.

5.6.6. Fundur starfsmanna norrænna persónuverndarstofnana

Vinnufundur löglærðra starfsmanna norrænna persónuverndarstofnanna var haldinn í Osló 14.–16. maí 2001. Fundinn sótti f.h. Persónuverndar Bjarni Eiríksson, lögfræðingur.

Fyrir voru tekin eftirtalin álitaefni:

Lög og reglur hvaða ríkis gilda þegar norrænt fyrirtæki vinnur persónuupplýsingar (td. Við lyfjarannsónir) í fleiri en einu norrænu ríki? Eiga lög þess lands að gilda þar sem upplýsingunum er safnað, þar sem unnið úr er þeim eða þar sem fyrirtækið hefur höfuðstöðar
Eyðing persónuupplýsinga. Löggjöf um persónuvernd og meðferð persónuupplýsinga gerir kröfu um að upplýsingar séu varðveittar á því formi að að ekki sé unnt að bera kennsl á hinn skráða lengur en þörf krefur miðað við tilgang vinnslu. Reynt var að svara spurningunni um hvernig skilgreina ætti hvað felst í orðunum „ekki lengur en þörf krefur“.
Notkun persónugreinanlegra upplýsinga sem tengjast starfsmannahaldi í alþjóðlegum stórfyrirtækjum. Má t.d. geyma allar upplýsingar miðlægt fyrir öll lönd? Hvernig á að fara með birtingu mynda af starfsmönnum? Fyrirlesari: Ole Jarl Kvammen, starfsmannastjóri hjá Norsk Hydro.
Birting persónuupplýsinga á Netinu. M.a. var sérstaklega fjallað um birtingu ljósmynda en einnig um birtingu dóma á Netinu, þ. á m. um hvort taka eigi út persónuauðkenni þegar dómar eru birtir þar. Fyrirlesari: Kjetil Kolsrud, lögfræðingur og blaðamaður á Aftenposten.

6. Lög og reglur

6.1. Lög nr. 77/2000 eins og þau voru eftir þær breytingar sem gerðar voru á þeim á árinu 2001, sbr. lög nr. 90/2001, og á árinu 2002, sbr. lög nr. 81/2002

I. kafli.

Markmið, skilgreiningar og gildissvið.

1. gr.

Markmið.

Markmið laga þessara er að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs og að tryggja áreiðanleika og gæði slíkra upplýsinga og frjálst flæði þeirra á innri markaði Evrópska efnahagssvæðisins.

Sérstök stofnun, Persónuvernd, annast eftirlit með framkvæmd laga þessara og reglna sem settar verða samkvæmt þeim, sbr. nánar ákvæði 36. gr.

2. gr.

Skilgreiningar.

Merking orða og hugtaka í lögum þessum er sem hér segir:

1. Persónuupplýsingar: Sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi.

2. Vinnsla: Sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn.

3. Skrá: Sérhvert skipulagsbundið safn persónuupplýsinga þar sem finna má upplýsingar um einstaka menn.

4. Ábyrgðaraðili: Sá aðili sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna.

5. Vinnsluaðili: Sá sem vinnur persónuupplýsingar á vegum ábyrgðaraðila.

6. Rafræn vöktun: Vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum búnaði.

7. Samþykki: Sérstök, ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv.

8. Viðkvæmar persónuupplýsingar:

a. Upplýsingar um uppruna, litarhátt, kynþátt, stjórnmálaskoðanir, svo og trúar- eða aðrar lífsskoðanir.

b. Upplýsingar um hvort maður hafi verið grunaður, kærður, ákærður eða dæmdur fyrir refsiverðan verknað.

c. Upplýsingar um heilsuhagi, þar á meðal um erfðaeiginleika, lyfja-, áfengis- og vímuefnanotkun.

d. Upplýsingar um kynlíf manna og kynhegðan.

e. Upplýsingar um stéttarfélagsaðild.

9. Sértæk ákvörðun: Ákvörðun sem afmarkar rétt og/eða skyldur eins eða fleiri tilgreindra einstaklinga.

3. gr.

Efnislegt gildissvið.

Lögin gilda um sérhverja rafræna vinnslu persónuupplýsinga. Lögin gilda einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá.

Ákvæði 16., 18.–21., 24., 26., 31. og 32. gr. laganna gilda ekki um vinnslu persónuupplýsinga sem varða almannaöryggi, landvarnir, öryggi ríkisins og starfsemi ríkisins á sviði refsivörslu. Lögin gilda ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans eða eru einvörðungu ætlaðar til persónulegra nota.

4. gr.

Sjónvarpsvöktun og myndataka.

Um rafræna vöktun sem fer fram með notkun sjónvarpsmyndavéla, myndbandsbúnaðar, vefmyndavéla eða annars samsvarandi myndatökubúnaðar (sjónvarpsvöktun), og ekki telst vera rafræn vinnsla, fer samkvæmt eftirtöldum ákvæðum: 7. gr. um meðferð upplýsinga, 24. gr. um viðvaranir um rafræna vöktun, 40. gr. um stöðvun vinnslu o.fl. og 41. gr. um dagsektir, svo og, eftir því sem við á, ákvæðum 31. gr. um tilkynningarskyldu, 32. gr. um efni tilkynninga og 38. gr. um aðgang Persónuverndar að upplýsingum o.fl.

5. gr.

Tengsl við tjáningarfrelsi.

Að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar má víkja frá ákvæðum laganna í þágu fjölmiðlunar, lista eða bókmennta. Þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gilda aðeins ákvæði 4. gr., 1. og 4. tölul. 7. gr., 11.–13. gr. og 24., 28., 42. og 43. gr. laganna.

6. gr

Landfræðilegt gildissvið.

[Lögin gilda um vinnslu persónuupplýsinga á vegum ábyrgðaraðila sem hefur staðfestu hér á landi, enda fari vinnsla persónuupplýsinganna fram á Evrópska efnahagssvæðinu eða í landi eða á stöðum sem Persónuvernd auglýsir í Stjórnartíðindum.

Lögin gilda einnig um vinnslu persónuupplýsinga þótt ábyrgðaraðili hafi staðfestu í ríki utan Evrópska efnahagssvæðisins ef hann notar tæki og búnað sem er hér á landi.

Lögin gilda einnig um vinnslu upplýsinga um fjárhagsmálefni og lánstraust lögaðila, sbr. 45. gr. laganna, enda þótt ábyrgðaraðili hafi ekki staðfestu hér á landi, ef hann notar tæki og búnað sem er hér á landi.

Ákvæði 2. og 3. mgr. gilda ekki ef umræddur tækjabúnaður er einungis notaður til að flytja persónuupplýsingar um Ísland.

Þegar svo hagar til sem greinir í 2. og 3. mgr. skal ábyrgðaraðili tilnefna fulltrúa sinn sem hefur staðfestu hér á landi og gilda þá ákvæði laganna varðandi ábyrgðaraðila um þann fulltrúa eftir því sem við á.]1)

1)L. 90/2001, 1. gr.

II. kafli.

Almennar reglur um vinnslu persónuupplýsinga.

7. gr.

[Meginreglur um gæði gagna og vinnslu.]1)

Við meðferð persónuupplýsinga skal allra eftirfarandi þátta gætt:

1. að þær séu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga;

2. að þær séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, en frekari vinnsla í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi telst ekki ósamrýmanleg að því tilskildu að viðeigandi öryggis sé gætt;

3. að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar;

4. að þær séu áreiðanlegar og uppfærðar eftir þörfum, persónuupplýsingar sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skal afmá eða leiðrétta;

5. að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á skráða aðila lengur en þörf krefur miðað við tilgang vinnslu.

[Ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt ákvæði 1. mgr.]1)

1)L. 90/2001, 2. gr.

8. gr.

[Almennar reglur um heimildir fyrir vinnslu persónuupplýsinga.]1)

Vinnsla persónuupplýsinga er því aðeins heimil að einhverjir eftirfarandi þátta séu fyrir hendi:

1. [hinn skráði hafi ótvírætt samþykkt vinnsluna eða veitt samþykki skv. 7. tölul. 2. gr.]1)

2. vinnslan sé nauðsynleg til að efna samning sem hinn skráði er aðili að eða til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður;

3. vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila;

4. vinnslan sé nauðsynleg til að vernda brýna hagsmuni hins skráða;

5. vinnslan sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna;

6. vinnslan sé nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum er miðlað til, fer með;

7. vinnslan sé nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra.

Rafræn vöktun staðar þar sem takmarkaður hópur fólks fer að jafnaði um er heimil sé hennar sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.

[Persónuvernd getur heimilað vinnslu persónuupplýsinga í öðrum tilvikum en greinir í 1. og 2. mgr. ef sýnt þykir að brýnir almannahagsmunir eða hagsmunir einstaklinga, þar með taldir hagsmunir hins skráða, krefjist þess. Skal þá ótvírætt að þörfin fyrir vinnsluna vegi þyngra en tillitið til þess að hún fari ekki fram. Getur Persónuvernd bundið slík leyfi þeim skilyrðum sem hún metur nauðsynleg hverju sinni til að tryggja hagsmuni hins skráða.]1)

1)L. 90/2001, 3. gr.

9. gr.

[Sérstök skilyrði fyrir vinnslu viðkvæmra persónuupplýsinga.]1)

[Vinnsla viðkvæmra persónuupplýsinga er óheimil nema uppfyllt sé eitthvert af skilyrðum 1. mgr. 8. gr. og enn fremur eitthvert af eftirfarandi skilyrðum:]1)

1. hinn skráði samþykki vinnsluna;

2. sérstök heimild standi til vinnslunnar samkvæmt öðrum lögum;

3. ábyrgðaraðila beri skylda til vinnslunnar samkvæmt samningi aðila vinnumarkaðarins;

4. vinnslan sé nauðsynleg til að verja verulega hagsmuni hins skráða eða annars aðila sem ekki er sjálfur fær um að gefa samþykki sitt skv. 1. tölul.;

5. vinnslan sé framkvæmd af samtökum sem hafa stéttarfélagsleg markmið eða af öðrum samtökum sem ekki starfa í hagnaðarskyni, svo sem menningar-, líknar-, félagsmála- eða hugsjónasamtökum, enda sé vinnslan liður í lögmætri starfsemi samtakanna og taki aðeins til félagsmanna þeirra eða einstaklinga sem samkvæmt markmiðum samtakanna eru, eða hafa verið, í reglubundnum tengslum við þau; slíkum persónuupplýsingum má þó ekki miðla áfram án samþykkis hins skráða;

6. vinnslan taki einungis til upplýsinga sem hinn skráði hefur sjálfur gert opinberar;

7. vinnslan sé nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja;

8. vinnslan sé nauðsynleg vegna læknismeðferðar eða vegna venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu, enda sé hún framkvæmd af starfsmanni heilbrigðisþjónustunnar sem bundinn er þagnarskyldu;

9. vinnslan sé nauðsynleg vegna tölfræði- eða vísindarannsókna, enda sé persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á.

[Þrátt fyrir að skilyrði 1. mgr. séu ekki uppfyllt er heimilt, í tengslum við framkvæmd rafrænnar vöktunar, að safna efni sem verður til við vöktunina, svo sem hljóð- og myndefni, með viðkvæmum persónuupplýsingum ef eftirfarandi skilyrði eru uppfyllt:

1. að vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni;

2. að það efni sem til verður við vöktunina verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða samkvæmt ákvörðun Persónuverndar; heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað en þá skal þess gætt að eyða öllum öðrum eintökum af efninu;

3. að því efni sem safnast við vöktunina verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það, nema sérstök heimild Persónuverndar skv. 3. mgr. standi til frekari varðveislu.]2)

Persónuvernd getur heimilað vinnslu viðkvæmra persónuupplýsinga í öðrum tilvikum en greinir í [1. og 2. mgr.]2) telji hún brýna almannahagsmuni mæla með því. Persónuvernd bindur slíka heimild þeim skilyrðum sem hún telur nauðsynleg hverju sinni til að tryggja hagsmuni hinna skráðu.

Persónuvernd setur, að fenginni umsögn vísindasiðanefndar, reglur um hvernig velja má og nálgast fólk til þátttöku í vísindarannsóknum og hvaða fræðslu skuli veita því áður en samþykkis þess er óskað.

Persónuvernd leysir úr ágreiningi um hvort persónuupplýsingar skuli teljast viðkvæmar eða ekki.

1)L. 90/2001, 4. gr. 2)L. 81/2002, 1. gr.

10. gr.

Notkun kennitölu.

Notkun kennitölu er heimil eigi hún sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu. Persónuvernd getur bannað eða fyrirskipað notkun kennitölu.

11. gr.

[Áhættumat, öryggi og gæði persónuupplýsinga.

Ábyrgðaraðili skal gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi.

Beita skal ráðstöfunum sem tryggja nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra.

Ábyrgðaraðili ber ábyrgð á því að áhættumat og öryggisráðstafanir við vinnslu persónuupplýsinga séu í samræmi við lög, reglur1) og fyrirmæli Persónuverndar um hvernig tryggja skuli öryggi upplýsinga, þ.m.t. þá staðla sem hún ákveður að skuli fylgt.

Ábyrgðaraðili ber ábyrgð á því að áhættumat sé endurskoðað reglulega og öryggisráðstafanir endurbættar að því marki sem þörf krefur til að uppfylla ákvæði þessarar greinar.

Ábyrgðaraðili skal skrá með hvaða hætti hann mótar öryggisstefnu, gerir áhættumat og ákveður öryggisráðstafanir. Skal Persónuvernd hafa aðgang að upplýsingum um framangreind atriði hvenær sem hún óskar.]2)

1)Rgl. 299/2001. 2)L. 90/2001, 5. gr.

12. gr.

Innra eftirlit.

[Ábyrgðaraðili skal viðhafa innra eftirlit með vinnslu persónuupplýsinga til að ganga úr skugga um að unnið sé í samræmi við gildandi lög og reglur og þær öryggisráðstafanir sem ákveðnar hafa verið.

Innra eftirlit skal viðhaft með reglubundnum hætti. Tíðni eftirlitsins og umfang þess skal ákveðið með hliðsjón af áhættunni sem er samfara vinnslunni, eðli þeirra gagna sem unnið er með, þeirri tækni sem notuð er til að tryggja öryggi upplýsinganna og kostnaði af framkvæmd eftirlitsins. Það skal þó eigi fara fram sjaldnar en árlega.

Ábyrgðaraðili skal sjá til þess að gerð sé skýrsla um hverja aðgerð sem er liður í innra eftirliti. Í slíkri skýrslu skal lýsa niðurstöðu hvers þáttar eftirlitsins. Skýrslur um innra eftirlit skal varðveita tryggilega. Persónuvernd hefur rétt til að aðgangs að þeim hvenær sem er.

Persónuvernd getur sett frekari fyrirmæli1) um framkvæmd innra eftirlits og veitt undanþágu frá því að slíkt innra eftirlit skuli viðhaft eða takmarkað til hvaða þátta í vinnslunni það skuli taka.]2)

1)Rgl. 299/2001. 2)L. 90/2001, 6. gr.

13. gr.

[Trúnaðarskylda vinnsluaðila við meðferð persónuupplýsinga.

Ábyrgðaraðila er heimilt að semja við tiltekinn aðila um að annast, í heild eða að hluta, þá vinnslu persónuupplýsinga sem hann ber ábyrgð á samkvæmt ákvæðum laga þessara. Slíkt er þó háð því skilyrði að ábyrgðaraðili hafi áður sannreynt að umræddur vinnsluaðili geti framkvæmt viðeigandi öryggisráðstafanir og viðhaft innra eftirlit skv. 12. gr. laga þessara.

Samningur skv. 1. mgr. skal vera skriflegur og a.m.k. í tveimur eintökum. Þar skal m.a. koma fram að vinnsluaðila sé einungis heimilt að starfa í samræmi við fyrirmæli ábyrgðaraðila og að ákvæði laga þessara um skyldur ábyrgðaraðila gildi einnig um þá vinnslu sem vinnsluaðili annast. Ábyrgðaraðili og vinnsluaðili skulu hvor varðveita sitt eintak af samningnum.

Hverjum þeim er starfar í umboði ábyrgðaraðila eða vinnsluaðila, að vinnsluaðila sjálfum meðtöldum, og hefur aðgang að persónuupplýsingum, er aðeins heimilt að vinna með persónuupplýsingar í samræmi við fyrirmæli ábyrgðaraðila nema lög mæli fyrir á annan veg.

Hafi vinnsluaðili staðfestu í öðru ríki á Evrópska efnahagssvæðinu en ábyrgðaraðili, sbr. 1. mgr. 6. gr., skal jafnframt mælt svo fyrir í samningi að lög og reglur þess ríkis þar sem vinnsluaðili hefur staðfestu gildi um öryggisráðstafanir við vinnslu persónuupplýsinga. Getur Persónuvernd t.d. í auglýsingu í Stjórnartíðindum áskilið að slíkur samningur innihaldi stöðluð ákvæði sem séu í samræmi við ákvörðun framkvæmdastjórnar Evrópubandalagsins. Sama á við þegar ábyrgðaraðili hefur staðfestu í ríki á Evrópska efnahagssvæðinu en vinnsluaðili ekki fari vinnslan fram í landi eða á stöðum sem upp eru taldir í auglýsingu sem Persónuvernd gefur út.]1)

1)L. 90/2001, 7. gr.

14. gr.

Frestur til að fullnægja skyldum.

Ábyrgðaraðili skal afgreiða erindi samkvæmt ákvæðum 16., 18., 22., 25., 26., 27. og 28. gr. svo fljótt sem verða má og eigi síðar en innan eins mánaðar frá móttöku þess.

Ef sérstakar ástæður valda því að ómögulegt er fyrir ábyrgðaraðila að afgreiða erindi innan eins mánaðar er honum heimilt að gera það síðar. Þegar svo hagar til skal ábyrgðaraðili innan mánaðarfrestsins gefa hlutaðeigandi skriflegar skýringar á ástæðum tafarinnar og hvenær svars sé að vænta.

15. gr. Greiðsla kostnaðar.

Verða skal við erindi samkvæmt ákvæðum 16., 18., 22., 25., 26., 27. og 28. gr. án þess að taka fyrir það sérstakt gjald. Þó má, ef um er að ræða mikinn kostnað, svo sem vegna ljósritunar skjala, taka greiðslu fyrir samkvæmt gjaldskrá sem ákveðin er af dómsmálaráðherra með reglugerð.

III. kafli.

Upplýsingaréttur og upplýsingaskylda. Fræðslu- og viðvörunarskylda. Réttur til rökstuðnings.

16. gr.

Réttur til almennrar vitneskju um vinnslu persónuupplýsinga.

Ábyrgðaraðila er skylt að veita hverjum sem þess óskar almenna vitneskju um þá vinnslu persónuupplýsinga sem fram fer á hans vegum.

Þeim sem þess óskar skal enn fremur, að því er varðar tiltekna tegund vinnslu, veitt vitneskja um eftirtalin atriði:

1. nafn og heimilisfang ábyrgðaraðila og eftir atvikum fulltrúa hans skv. 6. gr.;

2. hver ber daglega ábyrgð á því að fullnægt sé skyldum ábyrgðaraðila samkvæmt lögum þessum;

3. tilgang vinnslunnar;

4. skilgreiningu og aðra lýsingu á þeim tegundum persónuupplýsinga sem unnið er með;

5. hvaðan upplýsingar koma;

6. viðtakendur upplýsinga, þar á meðal um hvort ætlunin sé að flytja upplýsingar úr landi og þá til hverra.

Kröfu skv. 1. mgr. skal beint til ábyrgðaraðila, eða fulltrúa hans skv. 6. gr., og má krefjast skriflegrar greinargerðar um þau atriði sem óskað er vitneskju um.

17. gr.

Opinber skrá um veittar heimildir og mótteknar tilkynningar.

Persónuvernd skal halda skrá yfir alla vinnslu sem henni er tilkynnt um í samræmi við 31. gr. og þá vinnslu sem hún heimilar skv. 33. gr. Þar skulu að lágmarki koma fram þau atriði sem talin eru í 2. mgr. 16. gr.

Skráin skal vera aðgengileg almenningi með þeirri aðferð sem Persónuvernd ákveður.

18. gr.

Upplýsingaréttur hins skráða.

Hinn skráði á rétt á að fá frá ábyrgðaraðila vitneskju um:

1. hvaða upplýsingar um hann er eða hefur verið unnið með;

2. tilgang vinnslunnar;

3. hver fær, hefur fengið eða mun fá upplýsingar um hann;

4. hvaðan upplýsingarnar koma;

5. hvaða öryggisráðstafanir eru viðhafðar við vinnslu, enda skerði það ekki öryggi vinnslunnar.

Kröfu um vitneskju skv. 1. mgr. skal beina til ábyrgðaraðila eða fulltrúa hans skv. 6. gr. Veita skal vitneskju skriflega sé þess óskað.

19. gr.

Takmarkanir á upplýsingarétti hins skráða.

Réttur hins skráða til að fá vitneskju skv. 18. gr. nær ekki til upplýsinga sem einvörðungu eru notaðar til tölfræðivinnslu eða vísindarannsókna, enda geti vinnsla þeirra ekki haft bein áhrif á hagsmuni hans.

Ákvæði 18. gr. eiga ekki við ef réttur hins skráða samkvæmt því ákvæði þykir eiga að víkja að nokkru eða öllu fyrir hagsmunum annarra eða hans eigin. Skal þá m.a. tekið tillit til heilsu hins skráða og hagsmuna venslamanna hans. Þó má samkvæmt beiðni veita umboðsmanni hins skráða vitneskjuna, enda mæli engar sérstakar ástæður gegn því.

Réttur hins skráða til að fá vitneskju samkvæmt ákvæðum 18. gr. nær ekki til upplýsinga sem eru undanþegnar aðgangi samkvæmt upplýsinga- eða stjórnsýslulögum. Þegar um er að ræða gögn í vörslu annarra ábyrgðaraðila en stjórnvalda ná ákvæði 18. gr. ekki til vitneskju um efni vinnuskjala eða annarra sambærilegra gagna sem unnin eru af ábyrgðaraðila sjálfum eða aðilum á hans vegum, t.d. sérstökum ráðgjöfum eða sérfræðingum.

Þótt gögn séu undanþegin upplýsingarétti hins skráða skv. 3. mgr. getur hann óskað greinargerðar um efnislegt innihald þeirra, útdráttar eða annars konar samantektar nema hann geti kynnt sér staðreyndir málsins með öðrum hætti.

Dragi veiting vitneskju um tilteknar upplýsingar úr möguleikum á að leiða til lykta mál sem er til meðferðar má fresta veitingu upplýsinganna þar til lokið er undirbúningi málsmeðferðar.

Persónuvernd getur sett skilmála um beitingu upplýsingaréttar hins skráða í reglum sem ráðherra staðfestir.

20. gr

. [Fræðsluskylda þegar persónuupplýsinga er aflað hjá hinum skráða.

Þegar ábyrgðaraðili aflar persónuupplýsinga hjá hinum skráða sjálfum skal hann upplýsa hinn skráða um eftirtalin atriði:

1. nafn og heimilisfang ábyrgðaraðila og eftir atvikum fulltrúa hans skv. 6. gr.,

2. tilgang vinnslunnar,

3. aðrar upplýsingar, að því marki sem þær eru nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna, svo sem upplýsingar um:

a. viðtakendur eða flokka viðtakenda upplýsinganna,

b. hvort honum sé skylt eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa veiti hann þær ekki,

c. ákvæði laganna um upplýsingarétt hins skráða, svo og rétt hins skráða til leiðréttingar og eyðingar rangra eða villandi persónuupplýsinga um hann.

Ákvæði 1. mgr. gilda ekki hafi hinn skráði þegar fengið vitneskju um þau atriði sem fram koma í 1.–3. tölul. 1. mgr.]1)

1)L. 81/2002, 2. gr.

21. gr.

[Skylda til að láta hinn skráða vita um vinnslu persónuupplýsinga þegar þeirra er aflað hjá öðrum en honum sjálfum.

Þegar ábyrgðaraðili aflar persónuupplýsinga frá öðrum en hinum skráða skal hann samtímis láta hinn skráða vita af því og greina honum frá þeim atriðum sem talin eru í 3. mgr. Sé ætlun ábyrgðaraðila hins vegar að miðla upplýsingunum innan hæfilegra tímamarka frá öflun þeirra má hann þó fresta því þar til hann miðlar upplýsingunum í fyrsta sinn.

Þrátt fyrir 2. málsl. 1. mgr. skal ábyrgðaraðili sem annast miðlun upplýsinga um fjárhagsmálefni og lánstraust láta hinn skráða vita 14 dögum áður en slíkum upplýsingum er miðlað í fyrsta sinn.

Í tilkynningu til hins skráða skal veita upplýsingar um:

1. nafn og heimilisfang ábyrgðaraðila og eftir atvikum fulltrúa hans skv. 6. gr.,

2. tilgang vinnslunnar,

a. tegundir eða flokka þeirra upplýsinga sem unnið er með,

b. hvaðan upplýsingarnar koma,

c. viðtakendur eða flokka viðtakenda upplýsinganna,

d. ákvæði laganna um upplýsingarétt hins skráða, svo og rétt hins skráða til leiðréttingar og eyðingar rangra eða villandi persónuupplýsinga um hann.

Ákvæði 1. mgr. gilda ekki ef:

1. óframkvæmanlegt er að láta hinn skráða vita eða það leggur þyngri byrðar á ábyrgðaraðila en með sanngirni má krefjast,

2. ætla má að hinum skráða sé þegar kunnugt um vinnsluna,

3. lagaheimild stendur til skráningar eða miðlunar upplýsinganna eða

4. hagsmunir hins skráða af því að fá vitneskju um upplýsingarnar þykja eiga að víkja fyrir veigamiklum almannahagsmunum eða einkahagsmunum, þ.m.t. hagsmunum hans sjálfs.]1)

1)L. 81/2002, 3. gr.

22. gr.

Rökstuðningur sértækra ákvarðana sem byggjast á sjálfvirkri upplýsingavinnslu.

Ef fyrir liggur sértæk ákvörðun sem að öllu leyti er byggð á rafrænni vinnslu persónuupplýsinga getur sá sem ákvörðunin beinist að krafist rökstuðnings fyrir niðurstöðunni. Í rökstuðningi skal ábyrgðaraðili gera grein fyrir þeim reglum sem hin rafræna vinnsla byggist á og liggja ákvörðuninni til grundvallar.

23. gr.

Viðvaranir um notkun persónusniða.

Þegar persónusnið sem skilgreinir tiltekið hátterni, smekk, hæfileika eða þarfir er lagt til grundvallar:

1. við sértæka ákvörðun skv. 9. tölul. 2. gr. eða

2. við að nálgast hinn skráða, velja úrtak, markhóp o.s.frv., getur Persónuvernd, þegar henni berst tilkynning um slíka vinnslu, ákveðið að ábyrgðaraðili geri hinum skráða viðvart og greini frá því hver sé ábyrgðaraðili vinnslunnar, hvaða upplýsingar hann noti og hvaðan þær komi.

Við ákvörðun skv. 1. mgr. skal Persónuvernd m.a. líta til þess hvort viðvörun er að hennar mati óframkvæmanleg eða leggi þyngri byrðar á ábyrgðaraðila en með sanngirni má krefjast.

24. gr.

Viðvaranir um rafræna vöktun.

Þegar rafræn vöktun fer fram á vinnustað eða á almannafæri skal með merki eða á annan áberandi hátt gera glögglega viðvart um þá vöktun og hver sé ábyrgðaraðili.

IV. kafli.

Leiðrétting, eyðing, lokun o.fl.

25. gr.

Leiðrétting og eyðing rangra og villandi persónuupplýsinga.

Ef skráðar hafa verið persónuupplýsingar sem eru rangar, villandi eða ófullkomnar, eða persónuupplýsingar hafa verið skráðar án tilskilinnar heimildar, skal ábyrgðaraðili sjá til þess að upplýsingarnar verði leiðréttar, þeim eytt eða við þær aukið ef umræddur annmarki getur haft áhrif á hagsmuni hins skráða. Hafi slíkum upplýsingum verið miðlað eða þær notaðar ber ábyrgðaraðila, eftir því sem honum er frekast unnt, að hindra að það hafi áhrif á hagsmuni hins skráða.

Ef eyðing eða breyting þeirra upplýsinga sem um ræðir í 1. mgr. er óheimil samkvæmt ákvæðum annarra laga getur Persónuvernd bannað notkun upplýsinganna.

26. gr.

Eyðing og bann við notkun persónuupplýsinga sem hvorki eru rangar né villandi.

Þegar ekki er lengur málefnaleg ástæða til að varðveita persónuupplýsingar skal ábyrgðaraðili eyða þeim. Málefnaleg ástæða til varðveislu upplýsinga getur m.a. byggst á fyrirmælum í lögum eða á því að ábyrgðaraðili vinni enn með upplýsingarnar í samræmi við upphaflegan tilgang með söfnun þeirra.

Ef ákvæði annarra laga standa því ekki í vegi getur skráður aðili engu síður krafist þess að upplýsingum um hann skv. 1. mgr. sé eytt eða notkun þeirra bönnuð ef slíkt telst réttlætanlegt út frá heildstæðu hagsmunamati. Við slíkt hagsmunamat skal taka tillit til hagsmuna annarra, almennra persónuverndarhagsmuna, almannahagsmuna og þeirra aðgerða sem þörf er á til að verða við kröfunni.

Persónuvernd getur, bæði í einstökum tilvikum eða með setningu almennra reglna, bannað notkun slíkra upplýsinga eða mælt fyrir um eyðingu þeirra.

27. gr.

Réttur til að fá ákvörðun sem byggist á handvirkri vinnslu upplýsinga.

Ef fyrir liggur sértæk ákvörðun í skilningi 9. tölul. 2. gr., sem að öllu leyti hefur byggst á sjálfvirkri vinnslu persónuupplýsinga, getur sá sem ákvörðun beinist að, eða mál varðar beinlínis með öðrum hætti, krafist þess að fá ákvörðunina handunna, enda sé um að ræða ákvörðun sem varðar persónulega hagi eða eiginleika hans og hefur verulega þýðingu fyrir hann.

Réttur skv. 1. mgr. er ekki til staðar ef beitt er viðhlítandi ráðstöfunum til að gæta persónuverndarhagsmuna viðkomandi og um er að ræða ákvörðun sem byggist á fyrirmælum laga eða tengist gerð eða efndum samnings.

28. gr.

[Um andmælarétt hins skráða og um bannskrá Hagstofunnar.

Hinum skráða er heimilt að andmæla vinnslu upplýsinga um sjálfan sig ef hann hefur til þess lögmætar og knýjandi ástæður vegna sérstakra aðstæðna sinna nema kveðið sé á um annað í öðrum lögum. Eigi andmælin rétt á sér er ábyrgðaraðila óheimil frekari vinnsla umræddra upplýsinga.

Hagstofa Íslands skal halda skrá yfir þá sem andmæla því að nöfn þeirra séu notuð í markaðssetningarstarfsemi, en Hagstofa Íslands setur nánari reglur um gerð og notkun slíkra skráa og hvaða upplýsingar skuli koma þar fram í samráði við Persónuvernd. Ábyrgðaraðilar sem starfa í beinni markaðssókn og þeir sem nota skrá með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar eða miðla þeim til þriðja aðila í tengslum við slíka starfsemi skulu, áður en slík skrá er notuð í slíkum tilgangi, bera hana saman við skrá Hagstofunnar til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku. Persónuvernd getur heimilað undanþágu frá þessari skyldu í sérstökum tilvikum.

Öll notkun bannskrár skv. 2. mgr. er óheimil í öðrum tilgangi en þar er lýst.

Skylt er að nafn ábyrgðaraðila komi fram á áberandi stað á útsendum markpósti og hvert þeir sem andmæla því að fá slíkan markpóst og marksímtöl geti snúið sér. Viðtakandi markpósts á rétt á að fá vitneskju um hvaðan þær upplýsingar koma sem liggja úthringingu eða útsendingu til grundvallar. Þetta gildir ekki um markaðssetningu ábyrgðaraðila á eigin vöru og þjónustu sem notar eigin viðskiptamannaskrár, enda beri útsent efni með sér hvaðan það kemur. [Ef markpóstur er sendur með rafrænum hætti er skylt að fram komi á ótvíræðan hátt um leið og hann er móttekinn að um slíkan póst sé að ræða.]1)

Ábyrgðaraðila er heimilt að afhenda félaga-, starfsmanna- eða viðskiptamannaskrár til nota í tengslum við markaðssetningarstarfsemi. Þetta á þó aðeins við ef:

1. ekki telst vera um afhendingu viðkvæmra persónuupplýsinga að ræða,

2. hinum skráðu hefur, áður en afhending fer fram, verið gefinn kostur á að andmæla því, hverjum fyrir sitt leyti, að upplýsingar um viðkomandi birtist á hinni afhentu skrá,

3. slíkt fer ekki gegn reglum eða samþykktum viðkomandi félags,

4. ábyrgðaraðili kannar hvort einhver hinna skráðu hefur komið andmælum á framfæri við Hagstofuna, sbr. 2. mgr., og eyðir upplýsingum um viðkomandi áður en hann lætur skrána af hendi.

Ákvæði 5. mgr. gildir ekki ef afhending félaga-, starfsmanna- eða viðskiptamannaskrár til nota við dreifingu markpósts byggist á samþykki hins skráða, sbr. 1. tölul. 1. mgr. 8. gr.

Ákvæði 1.–5. mgr. gilda, eftir því sem við á, einnig um markaðs-, neyslu- og skoðanakannanir. Persónuvernd er heimilt að undanþiggja vísindarannsóknir og hliðstæðar rannsóknir slíkum takmörkunum, enda þyki ljóst að slíkt geti skert til muna áreiðanleika niðurstöðu rannsóknarinnar.]2)

1)L. 30/2002, 23. gr. 2)L. 90/2001, 8. gr.

V. kafli.

Flutningur persónuupplýsinga úr landi.

29. gr.

Flutningur persónuupplýsinga til ríkis sem veitir

fullnægjandi persónuupplýsingavernd.

Heimill er flutningur persónuupplýsinga til annars ríkis ef lög þess veita persónuupplýsingum fullnægjandi vernd.

Ríki sem framfylgir tilskipun Evrópusambandsins 95/46/ESB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálst flæði slíkra upplýsinga telst fullnægja skilyrðum 1. mgr. [Sama á við um lönd eða staði sem Persónuvernd auglýsir í Stjórnartíðindum að virtum ákvörðunum framkvæmdastjórnar Evrópubandalagsins.]1)

Við mat á því hvort ríki sem ekki framfylgir tilskipun 95/46/ESB fullnægi skilyrðum 1. mgr. skal m.a. líta til reglna viðkomandi ríkis um meðferð persónuupplýsinga, reglna um góða viðskiptahætti og þeirra öryggisráðstafana sem viðhafðar eru hjá viðtakanda. Þá skal taka mið af því hvort viðkomandi ríki hafi fullgilt samning Evrópuráðsins nr. 108 frá 28. janúar 1981, um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga.

1)L. 90/2001, 9. gr.

30. gr.

Flutningur persónuupplýsinga til ríkis sem ekki

veitir fullnægjandi persónuupplýsingavernd.

Óheimill er flutningur persónuupplýsinga til ríkis sem ekki veitir fullnægjandi persónuupplýsingavernd nema:

1. hinn skráði hafi samþykkt flutninginn, eða

2. slíkt sé nauðsynlegt til efnda á þjóðréttarskuldbindingum eða vegna aðildar Íslands að alþjóðastofnun, eða

3. heimild standi til slíks flutnings í öðrum lögum, eða

4. afhendingin sé nauðsynleg til að gera eða efna samning milli hins skráða og ábyrgðaraðila, eða

5. flutningurinn sé nauðsynlegur til að gera eða efna samning í þágu hins skráða, eða

6. afhendingin sé nauðsynleg til að verja verulega hagsmuni hins skráða,

[7. ef miðlun er nauðsynleg eða fyrirskipuð samkvæmt lögum vegna þess að brýnir almannahagsmunir krefjast þess eða til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, eða

8. um sé að ræða upplýsingar sem almennur aðgangur er að].1)

Persónuvernd getur heimilað flutning upplýsinga til ríkis er greinir í 1. mgr. telji hún sérstök rök mæla með því, jafnvel þótt skilyrðum ákvæðisins sé ekki fullnægt. Í slíku tilviki skal m.a. taka tillit til eðlis upplýsinganna, fyrirhugaðs tilgangs vinnslunnar og hve lengi hún varir. [Persónuvernd getur heimilað miðlun persónuupplýsinga til þriðju landa þótt þau hafi ekki verið talin veita friðhelgi borgaranna nægilega einkalífsvernd. Slíkt er háð því að ábyrgðaraðili hafi, að mati stofnunarinnar, veitt nægilegar tryggingar fyrir slíku. Getur stofnunin t.d. áskilið að ábyrgðaraðili hafi gert við viðtökuaðila skriflegan samning sem hafi að geyma tiltekin stöðluð samningsákvæði í samræmi við ákvörðun sem Persónuvernd hefur auglýst í Stjórnartíðindum, að teknu tilliti til ákvarðana framkvæmdastjórnar Evrópubandalagsins, sbr. 2. mgr. 29. gr. laga þessara. Að öðru leyti getur Persónuvernd sett nánari fyrirmæli um flutning persónuupplýsinga úr landi.]1)

1)L. 90/2001, 10. gr.

VI. kafli.

Tilkynningarskylda, leyfisskylda o.fl.

31. gr.

Tilkynningarskylda.

Sérhver ábyrgðaraðili sem beitir rafrænni tækni við vinnslu persónuupplýsinga, sbr. 8. gr. og 1. mgr. 9. gr., skal á þar til gerðu formi tilkynna Persónuvernd um vinnsluna tímanlega áður en hún hefst. Tilkynna skal allar breytingar sem verða frá því sem greinir í upphaflegri tilkynningu.

Tilkynningarskyldan á ekki við ef einungis er unnið með upplýsingar sem gerðar hafa verið og eru aðgengilegar almenningi.

Persónuvernd getur ákveðið1) að vissar tegundir vinnslu almennra upplýsinga skuli vera undanþegnar tilkynningarskyldu eða að um þær gildi einfaldari tilkynningarskylda. Persónuvernd getur jafnframt ákveðið1) að vissar tegundir vinnslu skuli vera leyfisskyldar. Um vinnslu sem undanþegin er tilkynningarskyldu getur Persónuvernd sett fyrirmæli, þar á meðal um þau atriði sem talin eru í 2. mgr. 35. gr. Persónuvernd getur einnig mælt fyrir um ráðstafanir til að draga úr óhagræði sem slík vinnsla persónuupplýsinga kann að hafa í för með sér fyrir hinn skráða.

1)Rgl. 90/2001, sbr. 170/2001.

32. gr.

Efni tilkynninga.

Í tilkynningu til Persónuverndar skv. 31. gr. skal tilgreina eftirfarandi atriði:

1. nafn og heimilisfang ábyrgðaraðila og eftir atvikum fulltrúa hans, sbr. 6. gr.;

2. hver ber daglega ábyrgð á að uppfylla skyldur ábyrgðaraðila;

3. tilgang vinnslunnar;

4. skilgreiningu og aðra lýsingu á þeim tegundum upplýsinga sem notaðar verða við vinnslu;

5. hvert upplýsingarnar eru sóttar;

6. þá heimild sem stendur til söfnunar upplýsinganna;

7. hverjum upplýsingarnar verða afhentar;

8. hvort ráðgert sé að flytja persónuupplýsingarnar úr landi;

9. hvort ráðgert sé að birta upplýsingarnar á netinu;

10. hvaða öryggisráðstafanir verða viðhafðar í vinnslunni;

11. hvort og hvenær persónuupplýsingum eða persónuauðkennum verði eytt;

[12. hvernig uppfyllt séu fyrirmæli 20. og 21. gr.]1)

Persónuvernd getur sett nánari fyrirmæli2) um form og efni tilkynninga og um framkvæmd tilkynningarskyldunnar að öðru leyti.

Ábyrgðaraðili skal sjá til þess að Persónuvernd hafi á hverjum tíma undir höndum réttar upplýsingar um vinnsluna. Þegar liðin eru þrjú ár frá því að tilkynning var send Persónuvernd skal senda henni nýja tilkynningu með uppfærðum upplýsingum nema henni hafi áður verið tilkynnt um breytta vinnslu. Persónuvernd getur mælt fyrir um ráðstafanir til að tryggja gæði og áreiðanleika tilkynninga og ákveðið mismunandi tilkynningarfrest eftir tegund og eðli vinnslu.

1)L. 81/2002, 4. gr. 2)Rgl. 90/2001.

33. gr.

Leyfisskyld vinnsla.

Sé um að ræða vinnslu almennra eða viðkvæmra persónuupplýsinga sem getur falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi skráðra aðila getur Persónuvernd ákveðið1) að vinnslan megi ekki hefjast fyrr en hún hefur verið athuguð af stofnuninni og samþykkt með útgáfu sérstakrar heimildar. Persónuvernd getur ákveðið2) að slík leyfisskylda falli brott þegar settar hafa verið almennar reglur og öryggisstaðlar sem fylgja skuli við slíka vinnslu.

1)Rgl. 90/2001, sbr. 170/2001. 2)Rgl. 170/2001.

34. gr.

Forsendur leyfisveitingar o.fl.

Ábyrgðaraðila má aðeins veita leyfi skv. 33. gr., eða einstakar aðrar heimildir samkvæmt lögum þessum, ef líklegt er að hann geti fullnægt skyldum sínum samkvæmt lögunum eða fyrirmælum Persónuverndar.

Við afgreiðslu mála er tengjast vinnslu viðkvæmra persónuupplýsinga skal Persónuvernd, innan þeirra marka sem greinir í II. kafla laganna, meta hvort vinnslan geti valdið hinum skráða slíku óhagræði að ekki verði úr því bætt með forsvaranlegum hætti með skilyrðum sem sett eru skv. 35. gr. Ef slíkt óhagræði getur orðið skal Persónuvernd meta hvort hagsmunir sem mæla með vinnslunni vegi þyngra en hagsmunir hins skráða.

35. gr.

Skilmálar Persónuverndar um vinnslu persónuupplýsinga.

Þegar ábyrgðaraðila er veitt leyfi skv. 33. gr. skal Persónuvernd binda það skilyrðum, svo sem um dulkóðun persónuauðkenna og öðrum sem hún metur nauðsynleg hverju sinni, til að draga úr eða koma í veg fyrir hugsanlegt óhagræði hins skráða af vinnslunni. Sama gildir eftir því sem við á þegar Persónuvernd berst tilkynning um vinnslu viðkvæmra persónuupplýsinga sem fellur undir 1. mgr. 9. gr.

Við mat á því hvaða skilyrði skal setja fyrir vinnslu skal Persónuvernd m.a. athuga:

1. hvort tryggt sé að hinn skráði geti nýtt réttindi sín samkvæmt lögunum, þar á meðal til að hætta þátttöku í verkefni, og eftir atvikum fá eytt skráðum persónuupplýsingum, til að fá fræðslu um réttindi sín og beitingu þeirra;

2. hvort persónuupplýsingar verði nægjanlega öruggar, áreiðanlegar og uppfærðar í samræmi við tilgang vinnslunnar skv. 7. gr.;

3. hvort með persónuupplýsingarnar verði farið af þeirri varúð sem reglur um þagnarskyldu og tilgangur vinnslunnar krefst;

4. hvort skipulagt hafi verið hvernig hinum skráða verði veittar upplýsingar og leiðbeiningar, innan þeirra marka sem sanngjarnt er að ætlast til miðað við umfang vinnslunnar og aðrar öryggisráðstafanir sem viðhafðar eru;

5. hvort stofnað hafi verið til öryggisráðstafana sem séu eðlilegar miðað við tilgang vinnslunnar.

Persónuvernd getur ákveðið að ábyrgðaraðili og vinnsluaðili, svo og starfsmenn á vegum þeirra, skuli undirrita yfirlýsingu um að þeir lofi að gæta þagmælsku um viðkvæmar persónuupplýsingar sem þeir fá vitneskju um við vinnslu þeirra. Ábyrgðaraðili eða fulltrúi hans skal votta rétta undirskrift starfsmanns og dagsetningu slíkrar yfirlýsingar og koma til Persónuverndar innan tilskilins frests. Brot á slíkri þagnarskyldu varðar refsingu skv. 136. gr. almennra hegningarlaga. Þagnarskyldan helst þótt látið sé af starfi.

Persónuvernd getur afgreitt erindi er lýtur að vinnslu viðkvæmra persónuupplýsinga með skilyrði um að sérstakur tilsjónarmaður verði skipaður til að hafa eftirlit fyrir hönd Persónuverndar með því að vinnsla sé í samræmi við lög og að ábyrgðaraðili greiði allan kostnað sem af því hlýst.

VII. kafli.

Eftirlit og viðurlög.

36. gr.

Skipulag Persónuverndar og stjórnsýsla.

Persónuvernd er sjálfstæð stofnun með sérstaka stjórn og heyrir stjórnarfarslega undir dómsmálaráðherra.

Persónuvernd er sjálfstæð í störfum sínum og verður ákvörðunum hennar samkvæmt lögum þessum ekki skotið til annarra stjórnvalda.

Ráðherra skipar fimm menn í stjórn Persónuverndar og jafnmarga til vara til fjögurra ára í senn. Formann og varaformann stjórnarinnar skipar ráðherra án tilnefningar og skulu þeir vera lögfræðingar og fullnægja hæfisskilyrðum héraðsdómara. Hæstiréttur tilnefnir einn stjórnarmann og Skýrslutæknifélag Íslands annan og skal hann vera sérfróður á sviði tölvu- og tæknimála. Varamenn skulu fullnægja sömu skilyrðum og aðalmenn.

Ráðherra ákveður laun stjórnarmanna.

Þegar stjórnarmenn eru ekki sammála ræður meiri hluti niðurstöðu máls. Ef atkvæði eru jöfn ræður atkvæði formanns.

Ráðherra skipar forstjóra Persónuverndar til fimm ára í senn að fenginni tillögu stjórnar. Forstjóri situr fundi stjórnar með málfrelsi og tillögurétti.

Forstjóri Persónuverndar annast daglega stjórn og ræður annað starfsfólk Persónuverndar.

Forstjóri ber ábyrgð á fjárreiðum og starfsmannahaldi Persónuverndar. Stjórn Persónuverndar ákveður að öðru leyti skiptingu starfa á milli stjórnar og starfsmanna hennar.

37. gr.

Verkefni Persónuverndar.

Persónuvernd annast eftirlit með framkvæmd laga þessara og reglna settra samkvæmt þeim.

Persónuvernd úrskurðar í ágreiningsmálum sem upp kunna að koma um vinnslu persónuupplýsinga [á Íslandi, hvort sem íslensk lög eða lög annars ríkis gilda um vinnsluna].1) Persónuvernd getur fjallað um einstök mál að eigin frumkvæði eða samkvæmt erindi þess sem telur að ekki hafi verið unnið með persónuupplýsingar um hann í samræmi við lög þessi og reglur sem settar eru samkvæmt þeim eða einstökum fyrirmælum.

Verkefni Persónuverndar eru m.a. eftirfarandi:

1. að afgreiða leyfisumsóknir, taka við tilkynningum og mæla, eftir því sem þurfa þykir, fyrir um ráðstafanir að því er varðar tækni, öryggi og skipulag vinnslunnar þannig að hún verði í samræmi við ákvæði laganna,

2. að hafa eftirlit með því að farið sé að lögum og öðrum reglum um vinnslu persónuupplýsinga og að bætt sé úr annmörkum og mistökum,

3. að fylgjast með almennri þróun á sviði persónuupplýsingaverndar á innlendum og erlendum vettvangi og hafa yfirsýn yfir og kynna helstu álitaefni sem tengjast vinnslu persónuupplýsinga,

4. að skilgreina og afmarka hvar persónuvernd er hætta búin og veita ráð um leiðir til lausnar,

5. að leiðbeina þeim sem ráðgera að vinna með persónuupplýsingar, eða þróa kerfi fyrir slíka vinnslu, um persónuvernd, þar á meðal með því að aðstoða við gerð starfs- og siðareglna fyrir einstaka hópa og starfsstéttir,2)

6. að tjá sig, samkvæmt beiðni eða að eigin frumkvæði, um álitaefni varðandi meðferð persónuupplýsinga og veita umsagnir við setningu laga og annarra reglna sem þýðingu hafa fyrir persónuvernd,

7. að birta árlega skýrslu um starfsemi sína.

Persónuvernd getur ákveðið að ábyrgðaraðili skuli greiða þann kostnað sem hlýst af eftirliti með því að hann fullnægi skilyrðum laga þessara og reglna sem settar eru samkvæmt þeim eða einstökum fyrirmælum. Persónuvernd getur einnig ákveðið að ábyrgðaraðili greiði kostnað við úttekt á starfsemi við undirbúning útgáfu vinnsluleyfis og annarrar afgreiðslu.

[Persónuvernd setur reglur um rafræna vöktun og vinnslu efnis sem verður til við vöktunina, svo sem hljóð- og myndefnis, þar á meðal um öryggi, varðveislu og notkun þess. Þá getur hún gefið fyrirmæli um rétt þess sem myndaður hefur verið til að skoða myndir sem teknar hafa verið af honum. Persónuvernd setur jafnframt reglur og gefur fyrirmæli um eyðingu efnis sem til verður við framkvæmd rafrænnar vöktunar, ákveður varðveisluaðferð og varðveislutíma og heimilar afhendingu þess í öðrum tilvikum en þeim sem mælt er fyrir um í 2. mgr. 9. gr.]3)

1)L. 90/2001, 11. gr. 2)Augl. 1001/2001. 3)L. 81/2002, 5. gr.

38. gr.

Aðgangur Persónuverndar að upplýsingum o.fl.

Persónuvernd getur krafið ábyrgðaraðila, vinnsluaðila og þá sem starfa á þeirra vegum um allar þær upplýsingar og skriflegar skýringar sem henni eru nauðsynlegar til þess að rækja hlutverk sitt, þar á meðal þær upplýsingar sem hún þarf til að geta metið hvort tiltekin starfsemi eða vinnsla falli undir ákvæði laganna. Einnig getur Persónuvernd kvatt ábyrgðaraðila, vinnsluaðila og þá sem starfa á þeirra vegum á sinn fund til að veita munnlegar upplýsingar og skýringar varðandi ákveðna vinnslu persónuupplýsinga.

Persónuvernd hefur í eftirlitsstörfum sínum án dómsúrskurðar aðgang að húsnæði þar sem vinnsla persónuupplýsinga fer fram eða gögn eru varðveitt, þar á meðal stöðum þar sem varðveittar eru skrár, myndir, sbr. 4. gr., persónuupplýsingar sem lúta rafrænni vinnslu, og tæki til slíkrar vinnslu. Persónuvernd getur framkvæmt hverja þá prófun eða eftirlitsaðgerð sem hún telur nauðsynlega og krafist nauðsynlegrar aðstoðar starfsfólks á slíkum vettvangi til að framkvæma prófun eða eftirlit. Persónuvernd getur óskað liðveislu lögreglu ef einhver leitast við að hindra hana í eftirlitsstörfum sínum.

Réttur Persónuverndar til að krefjast upplýsinga eða aðgangs að starfsstöðvum og tækjabúnaði verður ekki takmarkaður með vísun til reglna um þagnarskyldu.

39. gr.

Undanþágur frá þagnarskyldu.

Ákvæði um þagnarskyldu standa því ekki í vegi að Persónuvernd veiti persónuverndarstofnunum erlendis upplýsingar þegar slíkt er nauðsynlegt til að hún eða hin erlenda persónuverndarstofnun geti ákveðið eða framkvæmt aðgerðir til að tryggja persónuvernd.

40. gr.

Stöðvun vinnslu o.fl.

Persónuvernd getur mælt fyrir um stöðvun vinnslu persónuupplýsinga, þar á meðal söfnunar, skráningar eða miðlunar, mælt fyrir um að persónuupplýsingar verði afmáðar eða skrám eytt, í heild eða að hluta, bannað frekari notkun upplýsinga eða lagt fyrir ábyrgðaraðila að viðhafa ráðstafanir sem tryggja lögmæti vinnslunnar. Við mat á því hvort og þá hvaða úrræðum skuli beitt skal Persónuvernd m.a. taka tillit til þeirra atriða sem greinir í 2. mgr. 35. gr.

Komi í ljós að fram fer vinnsla persónuupplýsinga sem brýtur í bága við ákvæði laga þessara eða reglur settar samkvæmt þeim er Persónuvernd heimilt að fela lögreglustjóra að stöðva til bráðabirgða starfsemi viðkomandi og innsigla starfsstöð hans þegar í stað.

Sinni aðili ekki fyrirmælum Persónuverndar skv. 1. mgr. getur hún afturkallað leyfi sem hún hefur veitt samkvæmt ákvæðum laga þessara þar til úr hefur verið bætt að hennar mati.

41. gr.

Dagsektir.

Ef ekki er farið að fyrirmælum Persónuverndar skv. 10., 25., 26. eða 40. gr. getur hún ákveðið að leggja dagsektir á þann sem fyrirmælin beinast að þar til úr hefur verið bætt að mati Persónuverndar. Sektir geta numið allt að 100.000 kr. fyrir hvern dag sem líður eða byrjar að líða án þess að fyrirmælum Persónuverndar sé fylgt.

Ef ákvörðun Persónuverndar um dagsektir er skotið til dómstóla byrja dagsektir ekki að falla á fyrr en dómur er endanlegur. Dagsektir renna í ríkissjóð og má án undangengins dóms gera aðför til fullnustu þeirra.

42. gr.

Refsingar.

Brot á ákvæðum laga þessara og reglugerða settra samkvæmt þeim varða fésektum eða fangelsi allt að þremur árum nema þyngri refsing liggi við samkvæmt öðrum lögum. Sama refsing liggur við ef ekki er farið að fyrirmælum Persónuverndar.

Nú er brot framið í starfsemi lögaðila og má þá gera lögaðilanum fésekt skv. II. kafla A almennra hegningarlaga.

43. gr.

Bætur.

Hafi ábyrgðaraðili eða vinnsluaðili unnið með persónuupplýsingar í andstöðu við ákvæði laga þessara, reglna eða fyrirmæla Persónuverndar skal ábyrgðaraðili bæta hinum skráða það fjárhagslega tjón sem hann hefur orðið fyrir af þeim völdum. Ábyrgðaraðila verður þó ekki gert að bæta tjón sem hann sannar að hvorki verður rakið til mistaka né vanrækslu af hans hálfu eða vinnsluaðila.

VIII. kafli.

Lagatengsl, gildistaka o.fl.

44. gr.

Tengsl við ákvæði annarra laga.

Lögin gilda um vinnslu og meðferð persónuupplýsinga sem fram fer samkvæmt öðrum lögum nema þau lög tilgreini annað sérstaklega.

Lög þessi takmarka ekki þann rétt til aðgangs að gögnum sem mælt er fyrir um í upplýsingalögum og stjórnsýslulögum.

45. gr.

Reglugerðir um einstaka flokka starfsemi.

Með reglugerð má mæla fyrir um meðferð persónuupplýsinga í tiltekinni starfsemi og hjá einstökum starfsstéttum.

Í reglugerð1) skal mælt fyrir um heimild til söfnunar og skráningar upplýsinga sem varða fjárhagsmálefni og lánstraust fyrirtækja, svo og annarra lögaðila, í því skyni að miðla til annarra upplýsingum um það efni. Heimild til slíkrar starfsemi skal bundin leyfi Persónuverndar og um hana gilda eftirfarandi ákvæði laganna: 11. gr. um öryggi og gæði upplýsinga, 12. gr. um innra eftirlit, 13. gr. um meðferð vinnsluaðila á upplýsingum, 18. gr. um upplýsingarétt hins skráða, 21. gr. um viðvörunarskyldu þegar upplýsingum er safnað frá öðrum en hinum skráða, 25. gr. um leiðréttingu og eyðingu rangra og villandi upplýsinga, 26. gr. um eyðingu og bann við notkun upplýsinga sem hvorki eru rangar né villandi, 33. gr. um leyfisskylda vinnslu, 34. gr. um forsendur leyfisveitingar, 35. gr. um skilmála, 38. gr. um aðgang Persónuverndar að upplýsingum o.fl., 40. gr. um stöðvun vinnslu o.fl., 41. gr. um dagsektir, 42. gr. um refsingar og 43. gr. um bætur.

Að fenginni umsögn Persónuverndar skal ráðherra í reglugerð2) mæla nánar fyrir um eftirlit Persónuverndar með rafrænni vinnslu persónuupplýsinga hjá lögreglu. Þar skal m.a. mælt fyrir um skyldu lögreglu til að tilkynna Persónuvernd um rafrænt unnar skrár sem hún heldur og efni slíkra tilkynninga. Þá skal mælt fyrir um í hvaða tilvikum og með hvaða hætti hinn skráði á rétt til aðgangs að persónuupplýsingum sem skráðar hafa verið um hann hjá lögreglu, svo og heimild lögreglu til miðlunar upplýsinga í öðrum tilvikum. Loks skal mælt fyrir um öryggi persónuupplýsinga og innra eftirlit lögreglu með því að vinnslu persónuupplýsinga sé hagað í samræmi við lög, svo og um tímalengd á varðveislu skráðra upplýsinga.

Þá skal í reglugerð kveða nánar á um starfsemi þeirra sem nota nafnalista, vinna nafnáritanir, þar á meðal við markaðssetningarstarfsemi, og við gerð markaðs- og skoðanakannana.

1)Rg. 246/2001. 2)Rg. 322/2001.

46. gr.

Gildistaka.

Lög þessi öðlast gildi 1. janúar 2001. …

Ákvæði til bráðabirgða.

Þegar er lög þessi hafa verið birt skal ráðherra skipa stjórn og auglýsa embætti forstjóra Persónuverndar laust til umsóknar. Eftir að forstjóri hefur verið skipaður ræður hann eftir þörfum annað starfsfólk til að annast undirbúning að gildistöku laganna og sinna stjórnsýslu skv. 2. mgr.

Þrátt fyrir 1. mgr. 46. gr. skal Persónuvernd þegar er stjórn hennar hefur verið skipuð taka að sér eftirlit með því að meðferð persónuupplýsinga í Schengen-upplýsingakerfinu á Íslandi sé í samræmi við lög nr. 16/2000, um Schengen-upplýsingakerfið á Íslandi.

Sérhver ábyrgðaraðili sem beitir rafrænni tækni við vinnslu persónuupplýsinga við gildistöku laganna skal á þar til gerðu eyðublaði tilkynna Persónuvernd um vinnsluna í samræmi við ákvæði 31. og 32. gr. innan sex mánaða frá gildistöku þeirra.

Leyfi sem tölvunefnd hefur gefið út skulu halda gildi, enda fari þau ekki í bága við lög þessi.

6.2. Um stjórnvaldsreglur

Meðal helstu verkefna á fyrsta starfsári Persónuverndar var að semja almennar stjórnvaldsreglur. Þá voru settar ýmsar almennar stjórnvaldsreglur sem lúta að meðferð persónuupplýsinga og starfi Persónuverndar, þ.á m. :

Reglur Persónuverndar nr. 90/2001 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga.
Reglur Persónuverndar nr. 170/2001 um það hvernig afla skal upplýsts samþykkis fyrir vinnslu persónuupplýsinga í vísindarannsókn á heilbrigðissviði.
Reglur Persónuverndar nr. 299/2001 um öryggi persónuupplýsinga.
Reglur Persónuverndar nr. 918/2001 um öryggi við meðferð og varðveislu lífsýna í lífsýnasöfnum.
Leiðbeiningar Persónuverndar nr. 1001/2001 um eftirlit vinnuveitenda með tölvupósts- og netnotkun starfsmanna.
Reglugerð nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust.
Reglugerð nr. 134/2001 um vörslu og nýtingu lífsýna í lífsýnasöfnum.
Reglugerð nr. 322/2001 um meðferð persónuupplýsinga hjá lögreglu.
Reglugerð nr. 112/2001 um Schengen-upplýsingakerfið á Íslandi.

Á árinu 2002 setti Persónuvernd til viðbótar verklagsreglur um afgreiðslu umsókna um aðgang að sjúkraskrám vegna aftursýnna vísindarannsókna. Sjá hér að neðan.

6.3. Verklagsreglur Persónuverndar um afgreiðslu umsókna um aðgang að sjúkraskrám vegna aftursýnna vísindarannsókna.

I. kafli

Gildissvið og leyfisumsókn

1. gr.

Gildissvið

Meginreglan er sú að þegar unnið er með persónuupplýsingar við vísindarannsóknir á heilbrigðissviði skal vinnsla upplýsinganna byggjast á samþykki þátttakenda í rannsókninni. Þessar verklagsreglur gilda um nokkrar undantekningar frá framangreindri meginreglu sem byggjast á 3. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga.

Þessar verklagsreglur gilda einvörðungu um umsóknir lækna, annarra heilbrigðis-starfsmanna og háskólanema á sviði heilbrigðisfræða um leyfi til aðgangs að sjúkraskrám vegna aftursýnna vísindarannsókna og um afgreiðslu Persónuverndar á þeim umsóknum.

Með aftursýnni vísindarannsókn er hér ekki átt við rannsókn þar sem gert er ráð fyrir virkri þátttöku sjúklings, s.s. með því að hann gefi upplýsingar eða láti lífsýni í té, heldur aðeins rannsókn sem uppfyllir bæði eftirfarandi skilyrði:

1. er vísindarannsókn í skilningi 4. mgr. 2. gr. laga nr. 74/1997 um réttindi sjúklinga,

2. byggist einungis á vinnslu upplýsinga úr fyrirliggjandi skrám og sjúkraskrám sem færðar hafa verið í samræmi við fyrirmæli 14. gr. laga nr. 74/1997 um réttindi sjúklinga.

Þessar verklagsreglur gilda ekki um aðgang að lífsýnum í þágu vísinda-rannsókna á heilbrigðissviði.

2. gr.

Umsókn

Ábyrgðaraðila aftursýnnar vísindarannsóknar ber að leggja fyrir Persónuvernd undirritaða umsókn þar sem sótt er um leyfi til þess að fá aðgang að sjúkraskrám vegna rannsóknarinnar.

Umsóknin skal vera á þar til gerðu eyðublaði sem er að finna á heimasíðu Persónuverndar (personuvernd.is). Skila ber útfylltri umsókn til skrifstofu stofnunarinnar.

Í umsókninni skal m.a. taka fram:

1. hvernig verður staðið að gerð vísindarannsóknarinnar (rannsóknaráætlun),

2. hvernig rannsóknarþýðið verður fundið,

3. hjá hvaða stofnun eða sjálfstætt starfandi heilbrigðisstarfsmanni óskað er eftir að fá aðgang að sjúkarskrám,

4. hvaða tegundum heilsufarsupplýsinga óskað er eftir að mega safna úr sjúkraskrám,

5. hvort fyrirhugað sé að skrá persónuauðkenni og þá hvaða,

6. hvernig fyrirhugað sé að vinna með heilsufarsupplýsingarnar.

3. gr.

Samþykki ábyrgðaraðila sjúkraskrár

Með umsókn, skv. 2. gr., skal fylgja undirrituð yfirlýsing ábyrgðaraðila þeirra sjúkraskráa sem óskað er aðgangs að. Þar skal koma fram hvort viðkomandi ábyrgðaraðili sé samþykkur því fyrir sitt leyti að veita aðgang að sjúkraskránum vegna viðkomandi vísindarannsóknar, fáist til þess leyfi Persónuverndar og siðanefndar, eða eftir atvikum vísindasiðanefndar.

4. gr.

Aðgangur að upplýsingum úr

öðrum skrám en sjúkraskrám

Ef óskað er aðgangs að persónuupplýsingum úr öðrum skrám en sjúkraskrám verður ábyrgðarmaður þeirra að veita sérstaka skriflega yfirlýsingu um að hann sé reiðubúinn að láta af hendi persónuupplýsingar í því skyni að unnið verði með þær vegna viðkomandi vísindarannsóknar, eins og henni er lýst í umsókn til Persónuverndar. Slík yfirlýsing verður að fylgja umsókninni til Persónuverndar. Þar verður að koma fram á hvaða lagaheimild ábyrgðaraðili byggir afstöðu sína.

1. mgr. gildir ekki um samkeyrslu við nöfn, kennitölur, heimilisföng eða aðrar slíkar almennar lýðskrárupplýsingar.

II. kafli

Leyfisskilmálar

5. gr.

Skilmálar sem Persónuvernd setur

Persónuvernd bindur þau samþykki sem hún veitir fyrir aðgangi að sjúkraskrám þeim skilyrðum sem hún metur nauðsynleg hverju sinni, sbr. 3. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga, enda uppfylli rannsóknin skilyrði vísindarannsóknar, sbr. 4. mgr. 2. gr. sömu laga. Þetta gildir hvort heldur sjúkraskrá er í vörslum heilbrigðisstofnunar, sjálfstætt starfandi heilbrigðisstarfsmanns eða Þjóðskjalasafns Íslands.

6. gr.

Lögbundnir leyfisskilmálar

Þegar ábyrgðaraðili rannsóknar fer þess á leit við ábyrgðarmann sjúkraskráa, sbr. reglugerð nr. 227/1991 um sjúkraskrár og skýrslugerð varðandi heilbrigðismál, að fá aðgang að sjúkraskrá skal hann framvísa leyfi Persónuverndar til slíks aðgangs.

Leyfi Persónuverndar eru bundin því skilyrði að ábyrgðarmaður sjúkraskráa veiti ekki aðgang að sjúkraskrá nema fyrir liggi að siðanefnd, eða eftir atvikum vísindasiðanefnd, hafi lagt mat á rannsóknina og látið í té skriflegt álit þess efnis að hvorki vísindaleg og siðfræðileg sjónarmið mæli gegn framkvæmd hennar, sbr. 3. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga, sbr. 4. mgr. 2. gr. sömu laga.

Þegar veittur er aðgangur að sjúkraskrá á grundvelli leyfis Persónuverndar ber að skrá það í sjúkraskrána, sbr. 4. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga.

7. gr

Söfnun og skráning persónuupplýsinga

úr sjúkraskrám

Einvörðungu er heimilt að safna úr sjúkraskrám þeim heilsufarsupplýsingum sem tilgreint er í leyfi Persónuverndar að nota megi við viðkomandi rannsókn.

Í rannsóknargögn má einungis skrá upplýsingar um fæðingarmánuð, fæðingarár og kyn hvers sjúklings. Persónuvernd getur þó heimilað skráningu og tímabundna varðveislu upplýsinga um kennitölur sjúklinga á meðan verið er að undirbúa rannsóknargögn.

Óheimilt er að skrá í rannsóknargögn upplýsingar um nöfn sjúklinga, nafnnúmer, heimilisfang, símanúmer, fax-númer, tölvupóstfang eða aðrar sambærilegar upplýsingar um sjúklinga.

8. gr.

Eyðing kennitalna

Þegar þær heilbrigðisupplýsingar sem leyfi Persónuverndar tekur til hafa verið skráðar í rannsóknargögn, og eftir atvikum verið staðreynt að þær séu réttar, og gögnin að öðru leyti verið fullgerð, skal eyða úr þeim öllum kennitölum og tryggja að ekki liggi fyrir auðkenning á því frá hvaða sjúklingi heilsufarsupplýsingarnar stafa. Þegar þetta hefur verið gert má hefja frekari úrvinnslu á heilbrigðisupplýsingum í þágu rannsóknarinnar, sbr. þó 2. mgr. 12. gr.

9. gr.

Dulritun kennitalna

Ef ábyrgðaraðili rannsóknar telur mikilvæga hagsmuni standa í vegi fyrir eyðingu kennitalna, skv. 8. gr., s.s. ef stefnt er að framhaldsrannsókn, getur hann sótt um það til Persónuverndar að kennitölur verði í þess stað dulritaðar. Persónuvernd setur þá sérstök öryggisskilyrði, þ. á m. um það hver skuli annast dulritunina og bera ábyrgð á tímabundinni varðveislu greiningarlykils.

10. gr.

Þagnarskylda aðstoðarfólks

Taki háskólanemar eða aðrir, sem ekki teljast til löggiltra heilbrigðisstétta, þátt í framkvæmd vísindarannsóknar skuli þeir undirrita þagnarskylduyfirlýsingu. Ábyrgðaraðili eða fulltrúi hans skal votta rétta undirskrift hlutaðeigandi og dagsetningu slíkrar yfirlýsingar og koma henni til Persónuverndar innan tilskilins frests frá útgáfu leyfis.

Þagnarskylduyfirlýsingin er byggð á 3. mgr. 35. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, með síðari breytingum. Á heimasíðu Persónuverndar (personuvernd.is) er að finna staðlað eyðublað fyrir slíka þagnarskylduyfirlýsingu.

Ef þagnarskyldu yfirlýsingunum er ekki skilað innan tilskilins frests getur Persónuvernd afturkallað útgefið leyfi til aðgangs að sjúkraskrám.

11. gr.

Tilsjónarmaður Persónuverndar

Persónuvernd getur afgreitt umsókn með skilyrði um að sérstakur tilsjónarmaður verði skipaður til að hafa eftirlit fyrir hönd Persónuverndar með því að vinnsla sé í samræmi við lög og að ábyrgðaraðili greiði allan kostnað sem af því hlýst, sbr. 3. mgr. 35. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

12. gr.

Sérákvæði um vísindarannsóknir

sem eru hluti af námi háskólanema

Háskólanemi í heilbrigðisfræðum getur því aðeins verið ábyrgðarmaður vísindarannsóknar að fyrir liggi staðfesting þess efnis að rannsóknin sé hluti af skipulögðu háskólanámi hans. Þeir sem veitt geta slíka staðfestingu eru leiðbeinandi nemans, formaður rannsóknarnámsnefndar deildar eða skorar, eða aðrir til þess bærir starfsmenn háskólans.

Ef ábyrgðaraðili er háskólanemi má úrvinnsla ekki hefjast fyrr en leiðbeinandi hans hefur staðreynt að rannsóknargögn hafi verið gerð ópersónugreinanleg í samræmi við ákvæði 8. gr.

Ákvæði 9. gr. gildir ekki um vísindarannsókn ef háskólanemi í heilbrigðisfræðum er ábyrgðaraðili hennar.

Leyfi sem Persónuvernd veitir háskólanema í heilbrigðisfræðum er bundið þeim skilmála að hann undirriti þagnarskylduyfirlýsingu, sem byggð er á 3. mgr. 35. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, með síðari breytingum. Þagnarskylduyfirlýsingin skal fylgja umsókninni, en á heimasíðu Persónuverndar (personuvernd.is) er að finna staðlað form fyrir slíka þagnarskylduyfirlýsingu.

III. kafli

Framkvæmd vísindarannsóknar

13. gr.

Eftirlits og stjórnunarskyldur

ábyrgðaraðila vísindarannsóknar

Hverjum þeim er starfar í umboði ábyrgðaraðila vísindarannsóknar eða vinnsluaðila, að vinnsluaðila sjálfum meðtöldum, og hefur aðgang að persónuupplýsingum, er aðeins heimilt að vinna með persónuupplýsingar í samræmi við fyrirmæli ábyrgðaraðila innan skilyrða leyfis Persónuverndar nema lög mæli fyrir á annan veg, sbr. 3. mgr. 13. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, með síðari breytingum.

Ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt ákvæði 1. mgr. 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónu-upplýsinga, með síðari breytingum.

14. gr.

Áhættumat og

öryggi persónuupplýsinga

Ábyrgðaraðili vísindarannsóknar skal gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn óleyfilegum aðgangi í samræmi við 11. og 12. gr. laga nr. 77/2000, með síðari breytingum. Þar er m.a. áskilið að:

1. beita skuli ráðstöfunum sem tryggja nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra og

2. að ábyrgðaraðili beri ábyrgð á því að áhættumat og öryggisráðstafanir við vinnslu persónuupplýsinga séu í samræmi við lög, reglur og fyrirmæli Persónuverndar um hvernig tryggja skuli öryggi upplýsinga, þ.m.t. þá staðla sem hún ákveður að skuli fylgt.

IV.

Eftirlit o.fl.

15. gr.

Eftirlit Persónuverndar

Á grundvelli 38. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, getur Persónuvernd fyrirvaralaust krafið ábyrgðaraðila rannsóknar um aðgang að rannsóknargögnum í því skyni að sannreyna að farið sé að settum skilmálum Persónuverndar.

16. gr.

Heimild

Verklagsreglur þessar eru settar á grundvelli 1. og 5. tölul. 3. mgr. 37. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

17. gr.

Endurskoðun

Verklagsreglur þessar verða næst endurskoðaðar hinn 1. mars 2003.

6.4. Tilskipun Evrópuþingsins og ráðsins 95/46/EB

Tilskipun Evrópuþingsins og ráðsins 95/46/EB frá 24. október 1995 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga

Evrópuþingið og ráð Evrópusambandsins hafa, með hliðsjón af stofnsáttmála Evrópubandalagsins, einkum 100 gr. a, með hliðsjón af tillögu framkvæmdastjórnarinnar ( ^¹ ),

með hliðsjón af áliti efnahags- og félagsmálanefndarinnar ( ^² ),

í samræmi við málsmeðferðina sem mælt er fyrir um í 189. gr. b í sáttmálanum ( ^³ ),

og að teknu tilliti til eftirfarandi:

Markmið bandalagsins, sem mælt er fyrir um í stofnsáttmálanum, eins og honum var breytt með sáttmálanum um Evrópusambandið, eru að skapa nánari einingu meðal þjóða Evrópu, stuðla að nánari samskiptum milli þeirra ríkja er bandalagið mynda, tryggja efnahagslegar og félagslegar framfarir með því að taka höndum saman um að ryðja úr vegi þeim tálmum sem skipta Evrópu, bæta stöðugt lífskjör þjóða sinna, varðveita og efla frið og frelsi og hefja á loft lýðræði sem byggist á grundvallarréttindum sem eru viðurkennd í stjórnarskrám og lögum aðildarríkjanna og í Evrópusáttmálanum um verndun mannréttinda og mannfrelsis.
Gagnavinnslukerfi eru hönnuð til að þjóna mönnum. Þau skulu því vera í samræmi við grundvallarréttindi manna, einkum réttinn til friðhelgi einkalífs, án tillits til ríkisfangs eða búsetu og stuðla að efnahagslegum og félagslegum framförum, auknum viðskiptum og velferð manna.
Tilkoma og starfsemi hins innri markaðar, sem felur í sér frjálsa vöruflutninga, frjálsa fólksflutninga, frjálsa þjónustustarfsemi og frjálsa fjármagnsflutninga samkvæmt 7. gr. a í sáttmálanum, útheimtir ekki einungis að miðla megi persónuupplýsingum óhindrað frá einu aðildarríki til annars heldur einnig að standa beri vörð um grundvallarréttindi manna.
Notkun persónuupplýsinga eykst stöðugt á ýmsum sviðum atvinnu- og þjóðlífs í bandalaginu. Framfarir í upplýsingatækni auðvelda mjög vinnslu og skipti á slíkum upplýsingum.
Sá efnahagslegi og félagslegi samruni, sem fylgir tilkomu og starfsemi innri markaðarins í skilningi 7. gr. a í sáttmálanum, leiðir óhjákvæmilega til verulega aukins flæðis persónuupplýsinga yfir landamæri milli allra sem taka þátt í atvinnu- og þjóðlífi í aðildarríkjunum, hvort heldur er í einkageiranum eða opinbera geiranum. Ekki verður komist hjá vaxandi skiptum á persónuupplýsingum milli fyrirtækja í aðildarríkjunum. Samkvæmt lögum bandalagsins ber yfirvöldum í aðildarríkjunum að starfa saman og skiptast á persónuupplýsingum til að þau geti rækt skyldur sínar og unnið verk fyrir hönd yfirvalds í öðru aðildarríki á innri markaðinum, sem er svæði án ytri landamæra.
Aukið samstarf í vísindum og tækni og samræmd stofnun nýrra fjarskiptakerfa í bandalaginu útheimtir enn fremur og auðveldar flæði persónuupplýsinga yfir landamæri.
Mannréttindi og mannfrelsi, einkum rétturinn til friðhelgi einkalífs, njóta mismikillar verndar í aðildarríkjunum í tengslum við vinnslu persónuupplýsinga og getur það hindrað miðlun þessara upplýsinga frá yfirráðasvæði eins aðildarríkis til yfirráðasvæðis annars aðildarríkis. Þessi munur getur því orðið hindrun í vegi ýmiss konar atvinnustarfsemi á vettvangi bandalagsins, raskað samkeppni og komið í veg fyrir að yfirvöld sinni skyldustörfum sínum samkvæmt lögum bandalagsins. Þennan mun á vernd má rekja til mikils munar á lögum og stjórnsýslufyrirmælum aðildarríkjanna.
Ef ryðja á úr vegi hindrunum á flæði persónuupplýsinga verður vernd mannréttinda og mannfrelsis í tengslum við vinnslu slíkra upplýsinga að vera sambærileg í öllum aðildarríkjunum. Þetta markmið er afar mikilvægt fyrir innri markaðinn en aðildarríkin geta ekki náð því ein og sér, einkum ef horft er til þess hve stórvægilegur munur er nú á viðeigandi lögum aðildarríkjanna og hve nauðsynlegt er að samræma lög aðildarríkjanna til að tryggja að flæði persónuupplýsinga yfir landamæri falli undir heildarreglur sem eru í samræmi við markmið innri markaðarins eins og kveðið er á um þau í 7. gr. a í sáttmálanum. Það er því nauðsynlegt að bandalagið geri gangskör að því að samræma þessi lög.
Sambærileg vernd, sem samræming innlendra laga hefur í för með sér, gerir það að verkum að aðildarríkin geta ekki lengur hindrað frjálsa miðlun persónuupplýsinga milli aðildarríkjanna með skírskotun í vernd mannréttinda og mannfrelsis, einkum vernd réttarins til friðhelgi einkalífs. Aðildarríkin munu fá svigrúm sem atvinnulífið og aðilar markaðarins geta nýtt sér í tengslum við framkvæmd tilskipunarinnar. Aðildarríkin geta þannig sett almenn skilyrði um löglega gagnavinnslu í löggjöf sína. Með því móti skulu aðildarríkin leitast við að auka þá vernd sem nú er kveðið á um í löggjöf þeirra. Komið getur upp ósamræmi við framkvæmd tilskipunarinnar innan marka þessa svigrúms og í samræmi við lög bandalagsins, sem getur haft áhrif á miðlun upplýsinga innan einstakra aðildarríkja svo og innan bandalagsins.
Löggjöf aðildarríkjanna um vinnslu persónuupplýsinga er ætlað að vernda grundvallarréttindi og mannfrelsi, ekki síst réttinn til friðhelgi einkalífs, sem eru viðurkennd bæði í 8. gr. Evrópusáttmálans um verndun mannréttinda og mannfrelsis og í almennum meginreglum laga bandalagsins. Samræming þessara laga má því ekki leiða til minni verndar en þau veita heldur skal þvert á móti leitast við að tryggja mikla vernd í bandalaginu.
Meginreglur þessarar tilskipunar um vernd mannréttinda og mannfrelsis, einkum vernd réttarins til friðhelgi einkalífs, eru nánari mótun og rýmkun á reglum í samningi Evrópuráðsins frá 28. janúar 1981 um vernd einstaklinga í tengslum við rafræna vinnslu persónuupplýsinga.
Reglurnar um vernd skulu gilda um alla vinnslu aðila, sem stunda starfsemi sem lög bandalagsins taka til, á persónuupplýsingum. Þó ber að undanskilja vinnslu einstaklings á upplýsingum ef hún er hluti af starfsemi sem er einungis í þágu hans sjálfs eða fjölskyldu hans, svo sem bréfaskriftir og skrár yfir heimilisföng.
Starfsemin, sem um getur í V. og VI. bálki sáttmálans um Evrópusambandið, er lýtur að almannaöryggi, landvörnum, öryggi ríkisins eða starfsemi ríkisins á sviði refsilaga, fellur utan lögsögu bandalagsins, samanber þó skuldbindingar aðildarríkjanna samkvæmt 2. mgr. 56. gr., 57. gr. eða 100. gr. a í sáttmálanum um Evrópusambandið. Tilskipun þessi tekur ekki til vinnslu persónuupplýsinga sem er nauðsynleg til að vernda efnahagslega farsæld ríkisins, ef slík vinnsla varðar öryggismál ríkisins.
Í upplýsingaþjóðfélaginu á sér nú stað mikilvæg framþróun í þeirri tækni sem notuð er til að taka upp, senda, meðhöndla, skrá, geyma upplýsingar eða miðla þeim í hljóði og mynd um einstaklinga og því er rétt að þessi tilskipun gildi um vinnslu slíkra upplýsinga.
Þessi tilskipun tekur aðeins til vinnslu slíkra upplýsinga ef vinnslan er með rafrænum hætti eða ef hinar unnu upplýsingar eru geymdar, eða geyma á þær, í skráningarkerfi sem er byggt upp samkvæmt sérstökum viðmiðunum er tengjast einstaklingum þannig að auðvelt sé að nálgast umræddar persónuupplýsingar.
Hljóð- og myndvinnsla upplýsinga, til dæmis við eftirlit með aðstoð eftirlitsmyndavéla, fellur ekki undir gildissvið þessarar tilskipunar ef eftirlitið fer fram vegna almannaöryggis, landvarna, öryggis ríkisins eða starfsemi ríkisins á sviði refsilaga eða vegna annarrar starfsemi sem fellur ekki undir lögsögu bandalagsins.
Að því er varðar hljóð- og myndvinnslu upplýsinga vegna fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi, einkum í hljóð- og myndmiðlun, gilda meginreglur tilskipunarinnar á takmarkaðan hátt samkvæmt ákvæðum sem sett eru í 9. gr.
Til að tryggja að einstaklingar séu ekki sviptir þeirri vernd sem þeir eiga rétt á samkvæmt þessari tilskipun verður öll vinnsla á persónuupplýsingum í bandalaginu að fara fram í samræmi við lög einhvers aðildarríkis. Í því sambandi verður vinnsla, sem fer fram á vegum ábyrgðaraðila sem hefur staðfestu í aðildarríki, að falla undir lög þess ríkis.
Með staðfestu á yfirráðasvæði aðildarríkis er átt við virka og raunverulega starfsemi með föstu fyrirkomulagi. Rekstrarform slíks fyrirtækis að lögum, hvort sem einungis er um að ræða útibú eða dótturfyrirtæki með réttarstöðu lögpersónu, hefur ekki úrslitaáhrif að því er þetta varðar. Ábyrgðaraðili, sem hefur staðfestu á yfirráðasvæði margra aðildarríkja, einkum gegnum dótturfyrirtæki, verður að sjá til þess að hvert fyrirtæki uppfylli þær kröfur, sem innlend lög gera til starfsemi þess, til að komast hjá því að innlendar lagareglur séu sniðgengnar.
Þótt vinnsla upplýsinga sé í höndum aðila sem hefur staðfestu í þriðja landi má það ekki koma í veg fyrir að einstaklingar fái þá vernd sem kveðið er á um í þessari tilskipun. Í slíkum tilvikum skal vinnslan falla undir lög aðildarríkisins þar sem tækin, sem notuð eru við vinnsluna, eru staðsett og skal leggja framábyrgðir fyrir því að virt verði réttindi þau og skyldur, sem kveðið er á um í þessari tilskipun.
Þessi tilskipun hefur ekki áhrif á ákvæði um lögsögu sem gilda í refsimálum.
Þegar aðildarríkin setja lög eða gera ráðstafanir á grundvelli þessarar tilskipunar skulu þau skilgreina nánar hvaða skilyrði þurfi að vera fyrir hendi til að vinnsla upplýsinga sé lögleg. Ákvæði 5. gr., í tengslum við ákvæði 7. og 8. gr., gera aðildarríkjunum kleift að setja sérstök skilyrði fyrir vinnslu upplýsinga á tilteknum sviðum og með tilliti til hinna ýmsu flokka upplýsinga sem fjallað er um í 8. gr.
Aðildarríkin hafa vald til að framfylgja vernd einstaklinga, bæði með almennum lögum um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og með sérlögum, til dæmis um hagstofur.
Þessi tilskipun hefur ekki áhrif á löggjöf um vernd lögpersóna í tengslum við vinnslu upplýsinga sem varða þær.
Meginreglur um vernd skulu annars vegar birtast í þeim skyldum sem lagðar eru á einstaklinga, opinber yfirvöld, fyrirtæki, stofnanir eða aðra aðila sem annast vinnslu upplýsinga, einkum að því er varðar gæði upplýsinganna, tæknilegt öryggi, tilkynningar til eftirlitsyfirvalds og hvaða skilyrði þurfi að vera fyrir hendi til að vinnslan megi fara fram, og hins vegar í rétti þeirra einstaklinga, sem upplýsingarnar fjalla um, til að fá vitneskju um að vinnsla upplýsinganna eigi sér stað, til að skoða upplýsingarnar, til að krefjast leiðréttinga á þeim og jafnvel til að mótmæla vinnslu þeirra við ákveðnar aðstæður.
Meginreglur um vernd skulu gilda um allar persónugreindar eða persónugreinanlegar upplýsingar um einstakling. Til að ákveða hvort hægt sé að tengja upplýsingarnar við einstakling skal tekið mið af öllum aðferðum sem eðlilegt er hugsa sér að ábyrgðaraðili eða annar aðili beiti til að bera kennsl á viðkomandi einstakling. Meginreglur um vernd skulu ekki gilda um upplýsingar sem hafa verið aftengdar persónuauðkennum þannig að ekki er lengur unnt að persónugreina upplýsingar um hina skráðu. Siðareglur, í skilningi 27. gr., geta verið hentugt tæki til að leiðbeina um hvernig megi aftengja upplýsingar persónuauðkennum og geyma þær í því formi að ekki sé lengur unnt að persónugreina upplýsingar um hina skráðu.
Vernda ber einstaklinga hvort sem um er að ræða rafræna eða handunna vinnslu upplýsinga. Umfang þessarar verndar má í reynd ekki vera háð þeirri tækni sem notuð er, þar eð við það skapast hætta á að lögin verði sniðgengin. Að því er viðvíkur handunninni vinnslu tekur þessi tilskipun þó aðeins til skráningarkerfa en ekki til óskipulagðra skráa. Einkum skal skipuleggja innihald skráningarkerfis samkvæmt sérstökum viðmiðunum viðvíkjandi einstaklingum til að auðvelda aðgang að persónuupplýsingunum. Í samræmi við skilgreiningu í c-lið 2. gr. er hverju aðildarríki heimilt að mæla fyrir um hinar ýmsu viðmiðanir sem gera það kleift að ákvarða efnisþætti skipulagsbundins safns persónuupplýsinga og hinar ýmsu viðmiðanir um aðgang að slíku safni. Skrár eða skráasöfn, sem eru ekki skipulögð samkvæmt tilteknum viðmiðunum, og forsíður þeirra skulu ekki falla undir gildissvið þessarar tilskipunar.
Öll vinnsla persónuupplýsinga verður að vera lögleg og sanngjörn gagnvart hinum skráðu. Einkum skulu upplýsingarnar vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við markmiðin með vinnslunni. Þessi markmið skulu vera nákvæmlega tilgreind og lögmæt og ákveðin við söfnun upplýsinganna. Vinnslumarkmið, sem eru sett að söfnun lokinni, mega ekki vera ósamrýmanleg þeim markmiðum sem voru tilgreind í upphafi.
Frekari vinnsla persónuupplýsinga í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi telst venjulega ekki ósamrýmanleg þeim markmiðum sem voru forsenda söfnunarinnar, að því tilskildu að aðildarríkin setji viðeigandi öryggisákvæði. Þessi öryggisákvæði verða einkum að útiloka notkun upplýsinga til stuðnings ráðstöfunum eða ákvörðunum viðvíkjandi tilteknum einstaklingi.
Ef vinnsla persónuupplýsinga á að teljast lögleg verður hún að auki að fara fram með samþykki hins skráða eða vera nauðsynleg fyrir gerð eða framkvæmd samnings sem er bindandi fyrir hinn skráða, eða byggjast á lagaskilyrði, eða fara fram vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds eða í þágu hagsmuna einstaklinga eða lögpersóna, nema hagsmunir, réttindi eða frelsi hins skráða gangi fyrir. Aðildarríkjum er heimilt, einkum til að gæta jafnt hagsmuna þeirra sem hlut eiga að máli og tryggja um leið virka samkeppni, að ákveða hvaða skilyrði skuli vera fyrir hendi til að nota megi persónuupplýsingar eða miðla þeim til þriðja aðila í tengslum við lögmæta venjubundna starfsemi fyrirtækja og annarra aðila. Aðildarríkjunum er einnig heimilt að tilgreina hvaða skilyrði þurfi að vera fyrir hendi til að miðla megi persónuupplýsingum til þriðja aðila vegna markaðssetningar, hvort sem hún er í atvinnuskyni eða á vegum góðgerðafélaga eða annarra samtaka eða stofnana, til dæmis stjórnmálalegs eðlis, samanber þó ákvæði sem heimila skráðum aðila að andmæla, sér að kostnaðarlausu og án rökstuðnings, vinnslu persónuupplýsinga sem lúta að honum.
Einnig verður að telja vinnslu persónuupplýsinga löglega ef tilgangurinn með henni er að vernda hagsmuni sem skipta sköpum fyrir líf hins skráða.
Aðildarríkin ákveða hvort ábyrgðaraðili, sem vinnur verk í þágu almannahagsmuna eða við beitingu opinbers valds skuli vera opinber stjórnsýsluaðili eða annar einstaklingur eða lögpersóna sem heyrir undir opinberan rétt, eða einkamálarétt, svo sem fagfélög.
Upplýsingar, sem geta eðli sínu samkvæmt verið brot gegn grundvallarfrelsi eða friðhelgi einkalífs, skulu ekki teknar til vinnslu nema hinn skráði veiti afdráttarlaust samþykki sitt til þess. Þó skal skýrt kveðið á um undanþágur frá þessu banni til að mæta tilteknum þörfum, einkum ef menn, sem eru þagnarskyldir, vinna upplýsingarnar með ákveðnu heilsufarslegu markmiði eða þær eru unnar í tengslum við lögmæta starfsemi tiltekinna samtaka eða stofnana sem hafa það að markmiði að tryggja grundvallarfrelsi.
Ef sýna má framá að brýnir almannahagsmunir krefjist þess skulu aðildarríkin einnig geta vikið frá banni um vinnslu viðkvæmra flokka upplýsinga, til dæmis á sviði almannaheilbrigðis og almannatrygginga, einkumtil að tryggja gæði og hagkvæmni málsmeðferðarreglna um uppgjör krafna um bætur og þjónustu í sjúkratryggingakerfi, á sviði vísindarannsókna og opinberra hagskýrslna. Þeim ber þó skylda til að setja sértæk og viðeigandi öryggisákvæði til að vernda grundvallarréttindi manna og rétt þeirra til friðhelgi einkalífs síns.
Ef brýnir almannahagsmunir krefjast þess fer auk þess fram vinnsla opinberra yfirvalda á persónuupplýsingum fyrir opinberlega viðurkennd trúarsamtök til að ná markmiðum samkvæmt stjórnskipunarlögum eða þjóðarétti.
Ef starfsemi vegna kosninga í ákveðnum aðildarríkjum útheimtir að stjórnmálaflokkar safni upplýsingum um stjórnmálaskoðanir manna til að lýðræðiskerfið geti þjónað hlutverki sínu er heimilt að leyfa vinnslu þessara upplýsinga ef sýnt er framá að brýnir almannahagsmunir krefjist þess, að því tilskildu að sett hafi verið viðeigandi öryggisákvæði.
Vinnslu persónuupplýsinga vegna fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi, einkum í hljóð- og myndmiðlun, ber að undanþiggja kröfum tiltekinna ákvæða þessarar tilskipunar að því marki sem þörf er á til að samræma grundvallarréttindi manna og réttinn til að láta í ljós álit sitt, að meðtöldum réttinum til að fá og miðla vitneskju, eins og meðal annars er kveðið á um í 10. gr. Evrópusáttmálans um verndun mannréttinda og mannfrelsis. Því ber aðildarríkjunum að mæla fyrir um nauðsynlegar undanþágur og takmarkanir til að halda jafnvægi milli grundvallarréttinda, að því er varðar almennar ráðstafanir viðvíkjandi lögmæti gagnavinnslu, ráðstafanir um miðlun upplýsinga til þriðju landa og vald eftirlitsyfirvaldsins. Þetta má þó ekki verða til þess að aðildarríkin mæli fyrir um undanþágur frá þeim ráðstöfunum sem gerðar eru til að tryggja öryggi gagnavinnslu. Einnig er rétt að kveða á um ákveðnar heimildir eftir á til handa eftirlitsyfirvaldinu sem ber ábyrgð á þessu sviði, t.d. heimild til að birta reglubundið skýrslu eða til að vísa málum til dómsyfirvalda.
Ef vinnsla upplýsinga á að vera með sanngjörnum hætti verður hinn skráði að geta fengið vitneskju um að vinnsla fari fram og, þegar upplýsingar eru fengnar hjá honum, fengið áreiðanlegar og fullar upplýsingar með hliðsjón af aðstæðum við söfnun.
Tilteknar vinnsluaðgerðir taka til upplýsinga sem ábyrgðaraðili hefur ekki fengið beint frá hinum skráða. Enn fremur er unnt að miðla upplýsingum á lögmætan hátt til þriðja aðila þótt það hafi ekki verið fyrirhugað á þeim tíma sem upplýsingarnar voru fengnar hjá hinum skráða. Í öllum þessum tilvikum skal skýra hinum skráða frá þessu þegar upplýsingarnar eru skráðar eða í síðasta lagi þegar upplýsingarnar eru látnar þriðja aðila í té í fyrsta sinn.
Ekki er þó nauðsynlegt að kveða á um slíka tilkynningarskyldu ef hinn skráði hefur þegar fengið vitneskju um upplýsingarnar sem skráðar voru eða ef skýrt er kveðið á um skráningu eða miðlun upplýsinganna í lögum eða ef sýnt er að ómögulegt er að veita hinum skráða upplýsingar eða að það kostaði óhóflega fyrirhöfn, sem kann að vera reyndin þegar vinnslan fer fram í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi. Í þessu sambandi er heimilt að taka tillit til fjölda skráðra, aldurs upplýsinganna og þeirra uppbótarráðstafana sem unnt er að gera.
Hver og einn skal hafa rétt til aðgangs að upplýsingum um sjálfan sig sem eru í vinnslu, einkum til að sannreyna áreiðanleika upplýsinganna og lögmæti vinnslunnar. Af sömu ástæðum skal sérhver skráður aðili einnig hafa rétt til vitneskju um fyrirkomulag rafrænnar vinnslu upplýsinga um sjálfan sig, að minnsta kosti þegar um er að ræða ákvarðanir sem byggjast á rafrænni gagnavinnslu eins og um getur í 1. mgr. 15. gr. Þessi réttur má ekki skerða viðskiptaleynd eða hugverkarétt, einkum höfundarrétt til verndar hugbúnaði. Þetta má þó ekki verða til þess að hinum skráða sé neitað um allar upplýsingar.
Aðildarríkjunum er heimilt, með tilliti til hagsmuna hins skráða eða til að vernda réttindi og frelsi annarra, að takmarka rétt til aðgangs og upplýsinga. Þeim er til dæmis heimilt að ákveða að einungis sé hægt að fá aðgang að heilsufarsupplýsingum fyrir atbeina sérfræðings á heilbrigðissviði.
Aðildarríkin geta einnig takmarkað rétt til aðgangs og upplýsinga og tilteknar skyldur ábyrgðaraðila ef það er nauðsynlegt, til dæmis vegna þjóðaröryggis, landvarna, almannaöryggis eða mikilvægra efnahagslegra eða fjárhagslegra hagsmuna aðildarríkis eða Evrópusambandsins sem og vegna rannsókna og lögsókna í refsimálum og aðgerða vegna brota á siðareglum í lögvernduðum atvinnugreinum. Undantekningar og takmarkanir skulu einnig ná til eftirlits-, skoðunar- og reglusetningarstarfa sem eru nauðsynleg á þremur síðastnefndu sviðum er varða almannaöryggi, efnahagslega eða fjárhagslega hagsmuni og forvarnastarf í glæpamálum. Þetta hefur þó ekki áhrif á lögmæti undantekninga eða takmarkana vegna öryggis ríkisins eða landvarna.
Aðildarríkin geta einnig neyðst til, vegna ákvæða í lögum bandalagsins, að víkja frá ákvæðum þessarar tilskipunar um rétt til aðgangs, tilkynningarskyldu gagnvart einstaklingum og gæði upplýsinganna, til að tryggja að ákveðin markmið, sem um getur hér að framan, nái fram að ganga.
Í tilvikum þar sem unnt er að vinna upplýsingar á lögmætan hátt með skírskotun í almannahagsmuni, beitingu opinbers valds eða lögmæta hagsmuni einstaklings eða lögpersónu skal sérhver skráður aðili eftir sem áður hafa rétt til að andmæla vinnslu upplýsinga um sjálfan sig ef hann hefur til þess lögmætar og knýjandi ástæður vegna sérstakra aðstæðna sinna. Aðildarríkin geta þó sett í löggjöf sína ákvæði um hið gagnstæða.
Vernd réttinda og frelsis skráðra aðila í tengslum við vinnslu persónuupplýsinga útheimtir að gerðar séu viðeigandi tæknilegar og skipulagslegar ráðstafanir, bæði við hönnun vinnslukerfisins og í vinnslunni sjálfri, einkum til að varðveita öryggi og koma þannig í veg fyrir óleyfilega vinnslu. Aðildarríkjunum ber að sjá til þess að ábyrgðaraðilar hlíti þessum ráðstöfunum. Ráðstafanirnar verða að tryggja nægilegt öryggi, að teknu tilliti til nýjustu tækni og kostnaðar við framkvæmd þeirra miðað við þá áhættu sem vinnslan felur í sér og hvers konar upplýsingar á að vernda.
Þegar send eru boð, sem innihalda persónuupplýsingar, með aðstoð fjarskipta- eða tölvupóstþjónustu sem gerir það eitt að senda slík boð, telst ábyrgðaraðili að venju til upphafsmaður boðanna, að því er varðar persónuupplýsingarnar í boðunum, fremur en sá sem annast sendingarþjónustuna. Þeir sem annast slíka þjónustu teljast þó að jafnaði ábyrgðaraðilar að því er varðar vinnslu þeirra persónuupplýsinga sem þarf til viðbótar til að unnt sé að inna þjónustuna af hendi.
Málsmeðferðarreglur um tilkynningu til eftirlitsyfirvalds eru samdar með það fyrir augum að tryggja að markmið og helstu einkenni vinnslunnar verði birt til að sannreyna að vinnslan sé í samræmi við innlend ákvæði sem samþykkt eru á grundvelli þessarar tilskipunar.
Til að unnt sé að komast hjá óhentugum formsatriðum í stjórnsýslunni er aðildarríkjunum heimilt að leyfa undanþágur frá og einföldun á tilkynningarskyldu um vinnslu sem ólíklegt er að brjóti í bága við réttindi og frelsi skráðra aðila, að því tilskildu að það sé í samræmi við ráðstöfun sem viðkomandi aðildarríki samþykkir þar sem takmörk vinnslunnar eru tilgreind. Aðildarríkjunum er einnig heimilt að kveða á um undanþágu frá tilkynningu eða um einföldun á tilkynningu ef aðili, sem ábyrgðaraðili útnefnir, sér til þess að ólíklegt sé að vinnslan, sem fram fer, fari í bága við réttindi og frelsi hinna skráðu. Þessi gagnaverndarfulltrúi, hvort sem hann er starfsmaður ábyrgðaraðila eða ekki, skal geta unnið starf sitt alveg sjálfstætt.
Unnt er að kveða á um undanþágu frá eða einföldun á tilkynningu þegar umer að ræða vinnslu í þeim tilgangi einum að halda skrá sem er gerð í samræmi við innlend lög í því skyni að veita almenningi upplýsingar og sem almenningur hefur aðgang að eða hver sá sem getur sýnt fram á að hann hafi lögmætra hagsmuna að gæta.
Þótt ábyrgðaraðili eigi kost á einföldun á eða undanþágu frá tilkynningarskyldu leysir það hann ekki undan öðrum skyldum samkvæmt þessari tilskipun.
Í þessu tilviki telst sannprófun lögbæru yfirvaldanna eftir á almennt nægja.
Sum vinnsla getur þó falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi hinna skráðu vegna eðlis hennar, umfangs eða markmiða, svo sem vinnsla í þeim tilgangi að útiloka einstaklinga frá því nýta sér rétt, fá bætur eða ná samningi, eða vegna notkunar nýrrar tækni. Aðildarríkjunum er í sjálfsvald sett að tilgreina slíkar hættur í löggjöf sinni.
Miðað við alla þá vinnslu sem fer fram í þjóðfélaginu ætti umfang þeirrar vinnslu sem skapar þessa sérstöku hættu að vera ákaflega takmarkað. Aðildarríkin skulu kveða á um að eftirlitsyfirvaldið eða gagnaverndarfulltrúi í samráði við eftirlitsyfirvaldið, skuli athuga slíka vinnslu áður en hún fer fram. Að lokinni slíkri forathugun er eftirlitsyfirvaldinu heimilt að leggja fram álit sitt á vinnslunni eða veita leyfi fyrir henni í samræmi við innlenda löggjöf. Forathugunin getur einnig verið liður í undirbúningi laga frá löggjafarþingi aðildarríkisins, eða undirbúningi annarrar ráðstöfunar sem heimild er fyrir í slíkum lögum, þar sem eðli vinnslunnar er skilgreint og viðeigandi öryggisákvæði sett.
Í löggjöf aðildarríkjanna skal kveðið á um réttarúrræði í þeim tilvikum þar sem ábyrgðaraðili virðir ekki réttindi hinna skráðu. Ábyrgðaraðila er skylt að bæta tjón sem aðili verður fyrir vegna ólöglegrar vinnslu, en heimilt er að undanþiggja hann skaðabótaábyrgð ef hann sannar að hann eigi ekki sök á tjóninu, einkum ef hann sýnir framá að hinn skráði hafi gert mistök eða aðstæður hafi verið óviðráðanlegar. Hver sá aðili sem brýtur gegn innlendum ákvæðum, sem eru samþykkt samkvæmt þessari tilskipun, skal sæta viðurlögum hvort sem hann heyrir undir einkamálarétt eða opinberan rétt.
Flæði upplýsinga yfir landamæri er nauðsynlegt vegna vaxandi alþjóðaviðskipta. Sú vernd einstaklinga, sem tryggð er í bandalaginu með þessari tilskipun, kemur ekki veg fyrir miðlun persónuupplýsinga til þriðju landa þar sem viðunandi vernd er tryggð. Meta verður hvort verndin, sem þriðja land veitir, er viðunandi með hliðsjón af öllum aðstæðum sem hafa áhrif á miðlunaraðgerðina eða viðkomandi tegund miðlunaraðgerða.
Leggja skal bann við miðlun persónuupplýsinga til þriðja lands sem tryggir ekki viðunandi vernd.
Rétt er að kveða á um undanþágur frá þessu banni við tilteknar aðstæður þar sem hinn skráði hefur veitt samþykki sitt, ef miðlun er nauðsynleg í tengslum við samning eða dómsmál, ef þörf er á því til að vernda brýna almannahagsmuni, til dæmis þegar umer að ræða alþjóðlega miðlun upplýsinga milli skatt- eða tollyfirvalda eða milli almannatryggingayfirvalda eða þegar miðlað er úr skrá sem er gerð í samræmi við lög og almenningur hefur aðgang að eða hver sá sem hefur lögmætra hagsmuna að gæta. Ekki er þó rétt að þessi miðlun taki til allra upplýsinga eða heilla flokka upplýsinga í viðkomandi skrá og ef fyrirhugað er að veita þeim aðgang að skránni sem hafa lögmætra hagsmuna að gæta skal miðlunin aðeins fara fram að beiðni þessara aðila eða ef þeir eru sjálfir viðtakendur.
Gera má sérstakar ráðstafanir til að bæta upp skort á vernd í þriðja landi ef ábyrgðaraðili leggur fram viðeigandi tryggingar. Enn fremur skulu sett ákvæði um málsmeðferð fyrir samningaviðræður milli bandalagsins og þessara þriðju ríkja.
Hvað sem öðru líður er miðlun upplýsinga til þriðju landa aðeins heimil ef hún er í fullu samræmi við ákvæði sem aðildarríkin samþykkja á grundvelli þessarar tilskipunar, einkum 8. gr.
Aðildarríkin og framkvæmdastjórnin skulu, hvert á sínu valdsviði, hvetja atvinnugreinasamtök og önnur fulltrúasamtök, sem hlut eiga að máli, til að semja siðareglur í því skyni að auðvelda beitingu þessarar tilskipunar, með hliðsjón af hinum sérstöku eiginleikum þeirrar vinnslu sem fer fram á tilteknum sviðum og í samræmi við innlend ákvæði sem samþykkt eru vegna framkvæmdar tilskipunarinnar.
Stofnun eftirlitsyfirvalda í aðildarríkjunum, sem vinna störf sín alveg sjálfstætt, er grunnþáttur í vernd einstaklinga í tengslum við vinnslu persónuupplýsinga.
Þessi yfirvöld skulu fá nauðsynlegar heimildir til að vinna skyldustörf sín, þar á meðal heimildir til rannsóknar og íhlutunar, einkum að því er varðar kærur frá einstaklingum, og heimild til að fara með mál fyrir dóm. Þessi yfirvöld skulu stuðla að því að gagnsæi vinnslunnar verði tryggt í því aðildarríki þar sem þau eiga lögsögu.
Yfirvöld í hinum ýmsu aðildarríkjum skulu skiptast á aðstoð við skyldustörf sín til að tryggja að verndarreglunum sé fylgt til hins ítrasta í öllu bandalaginu.
Á vettvangi bandalagsins skal stofna starfshóp um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og skal hópurinn starfa alveg sjálfstætt. Hann skal vera ráðgefandi fyrir framkvæmdastjórnina í krafti sjálfstæðis síns, og skal einkum stuðla að samræmdri beitingu innlendra reglna sem samþykktar eru á grundvelli þessarar tilskipunar.
Með hliðsjón af miðlun gagna til þriðju landa er nauðsynlegt, til að unnt sé að beita þessari tilskipun, að veita framkvæmdastjórninni heimildir til að koma henni í framkvæmd og koma á málsmeðferð eins og mælt er fyrir um í ákvörðun ráðsins 87/373/EBE ( ⁴).
Hinn 20. desember 1994 gerðu Evrópuþingið, ráðið og framkvæmdastjórnin bráðabirgðasamkomulag um framkvæmd lagagerða sem eru samþykktar í samræmi við málsmeðferðina í 189. gr. b í sáttmála EB.
Heimilt er að bæta við eða skýra nánar meginreglur þessarar tilskipunar um vernd mannréttinda og mannfrelsis, einkum vernd réttarins til friðhelgi einkalífs, í tengslum við vinnslu persónuupplýsinga, einkum að því er varðar tiltekin svið, með því að setja sérreglur sem skulu vera í samræmi við þessar meginreglur.
Eftir að innlend lagaákvæði, sem lögleiða tilskipunina, öðlast gildi hafa aðildarríkin þrjú ár til að byrja, í áföngum, að beita þessum nýju innlendu reglum við alla vinnslu sem þegar var hafin. Til að auðvelda kostnaðarhagkvæmni í framkvæmd þeirra skulu aðildarríkin ( ¹ ) fá viðbótarfrest, sem rennur út 12 árum eftir að tilskipun þessi var samþykkt, til að tryggja samræmi milli þeirra handunnu skráningarkerfa sem eru fyrir hendi og tiltekinna ákvæða tilskipunarinnar. Ef upplýsingar í slíkum skráningarkerfum eru handunnar á hinum framlengda aðlögunartíma skulu kerfin færð til samræmis við fyrrnefnd ákvæði tilskipunarinnar þegar sú vinnsla fer fram.
Ekki er nauðsynlegt að skráður aðili veiti samþykki sitt öðru sinni til að ábyrgðaraðila sé heimilt til að halda áfram að vinna viðkvæmar upplýsingar, eftir að innlend ákvæði sem samþykkt eru á grundvelli þessarar tilskipunar taka gildi, ef upplýsingarnar eru nauðsynlegar fyrir framkvæmd samnings sem gerður er með óþvinguðu og upplýstu samþykki áður en þessi ákvæði taka gildi.
Þessi tilskipun kemur ekki í veg fyrir að aðildarríki samþykki reglur um markaðssetningu sem miðast við neytendur sem búa á yfirráðasvæði þess, að því marki sem slíkar reglur lúta ekki að vernd einstaklinga í tengslum við vinnslu persónuupplýsinga.
Tilskipun þessi gerir kleift að taka mið af meginreglunni um aðgang almennings að opinberum skjölum við framkvæmd ákvæða hennar.

samþykkt tilskipun þessa:

I. KAFLI

Almenn ákvæði

1. gr.

Markmið tilskipunarinnar

1. Aðildarríkin skulu, í samræmi við þessa tilskipun, vernda grundvallarréttindi og -frelsi manna, einkum rétt þeirra til friðhelgi einkalífs síns, í tengslum við vinnslu persónuupplýsinga.

2. Aðildarríkin skulu hvorki takmarka né banna frjálst flæði persónuupplýsinga milli aðildarríkjanna með skírskotun í ástæður sem tengjast þeirri vernd sem veitt er samkvæmt 1. mgr.

2. gr.

Skilgreiningar

Í þessari tilskipun er merking eftirfarandi hugtaka sem hér segir:

a) „persónuupplýsingar“: allar persónugreindar eða persónugreinanlegar upplýsingar um einstakling („hinn skráða“). Upplýsingar teljast persónugreinanlegar ef unnt er að rekja þær til hins skráða, beint eða óbeint, svo sem með tilvísun í kennitölu eða einn eða fleiri þætti sem sérkenna hann í líkamlegu, lífeðlisfræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti;

b) „vinnsla persónuupplýsinga“ („vinnsla“): aðgerð eða röð aðgerða, rafrænna eða annarra en rafrænna, svo sem söfnun, skráning, kerfisbinding, geymsla, aðlögun eða breyting, heimt, leit, notkun, miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samantenging eða samkeyrsla, aðgangstakmörkun, afmáun eða eyðilegging;

c) „skráningarkerfi fyrir persónuupplýsingar“ („skráningarkerfi“): allar skipulagsbundnar persónuupplýsingar sem eru aðgengilegar samkvæmt tilteknum viðmiðunum, hvort sem þær eru miðlægar, dreifðar eða skipt upp eftir notkun eða staðsetningu;

d) „ábyrgðaraðili“: einstaklingur eða lögpersóna, opinbert yfirvald, stofnun eða annar aðili sem ákveður, einn og sér eða í samvinnu við aðra, markmið og aðferðir við vinnslu persónuupplýsinga. Ef markmið og aðferðir við vinnsluna eru ákveðin í innlendum lögum og reglugerðum eða lögum og reglugerðum bandalagsins er heimilt að tilgreina ábyrgðaraðila eða tilteknar viðmiðanir um útnefningu hans í lögum viðkomandi lands eða bandalagsins;

e) „vinnsluaðili“: einstaklingur eða lögpersóna, opinbert yfirvald, stofnun eða annar aðili sem vinnur persónuupplýsingar á vegum ábyrgðaraðila;

f) „þriðji aðili“: einstaklingur eða lögpersóna, opinbert yfirvald, stofnun eða aðrir aðilar, nema hinn skráði, ábyrgðaraðili, vinnsluaðili og einstaklingar sem hafa heimild til að vinna upplýsingar samkvæmt beinu umboði frá ábyrgðaraðila eða vinnsluaðila;

g) „viðtakandi“: einstaklingur eða lögpersóna, opinbert yfirvald, stofnun eða annar aðili sem fær upplýsingar, hvort sem hann er þriðji aðili eða ekki; yfirvöld, sem kunna að fá upplýsingar sem svar við einstökum fyrirspurnum, teljast þó ekki viðtakendur;

h) „samþykki skráðs aðila“: óþvinguð, sértæk og upplýst viljayfirlýsing skráðs aðila um að hann samþykki vinnslu persónuupplýsinga er varða hann sjálfan.

3. gr.

Gildissvið

1. Tilskipun þessi gildir um vinnslu persónuupplýsinga sem er með rafrænum hætti að hluta eða í heild, og um vinnslu með öðrum aðferðum en rafrænum, á persónuupplýsingum sem eru geymdar, eða geyma á, í skráningarkerfi.

2. Tilskipun þessi tekur ekki til vinnslu persónuupplýsinga:

— vegna starfsemi sem fellur utan gildissviðs laga bandalagsins, svo sem starfsemi sem kveðið er á um í V. og VI. bálki sáttmálans um Evrópusambandið, og alls ekki til vinnslu sem varðar almannaöryggi, landvarnir, öryggi ríkisins (þar á meðal efnahagslega farsæld ríkisins ef vinnslan tengist öryggismálum ríkisins) og starfsemi ríkisins á sviði refsilaga,

— af hálfu einstaklings ef vinnslan er hluti af starfsemi sem er einungis í þágu hans sjálfs eða fjölskyldu hans.

4. gr.

Gildandi innlend lög

1. Aðildarríkin skulu beita innlendum ákvæðum, sem þau samþykkja á grundvelli þessarar tilskipunar, þegar um er að ræða vinnslu persónuupplýsinga:

a) sem fer fram í tengslum við starfsemi fyrirtækis ábyrgðaraðila á yfirráðasvæði aðildarríkis; ef sami ábyrgðaraðili hefur staðfestu á yfirráðasvæði margra aðildarríkja verður hann að gera nauðsynlegar ráðstafanir til að hvert þessara fyrirtækja uppfylli þær skyldur sem mælt er fyrir um í gildandi innlendum lögum;

b) af hálfu ábyrgðaraðila sem hefur ekki staðfestu á yfirráðasvæði aðildarríkis heldur á stað þar sem innlend lög þess gilda í krafti þjóðaréttar;

c) af hálfu ábyrgðaraðila sem hefur ekki staðfestu á yfirráðasvæði bandalagsins og notar rafrænan búnað eða annan búnað, sem er staðsettur á yfirráðasvæði umrædds aðildarríkis, til vinnslu persónuupplýsinga, nema þessi búnaður sé aðeins notaður til umflutnings um yfirráðasvæði bandalagsins.

2. Í því tilviki sem um getur í c-lið 1. mgr. skal ábyrgðaraðili útnefna fulltrúa sem hefur staðfestu á yfirráðasvæði viðkomandi aðildarríkis, án þess að það hafi áhrif á hugsanlega lögsókn á hendur ábyrgðaraðila.

II. KAFLI

Almennar reglur um lögmæti vinnslu persónuupplýsinga

5. gr.

Aðildarríki skulu ákveða nánar, í samræmi við ákvæði þessa kafla, hvaða skilyrði þurfi að vera fyrir hendi til að vinnsla persónuupplýsinga sé lögleg.

I. ÞÁTTUR

Meginreglur um gæði

6. gr.

1. Aðildarríki skulu kveða á um að persónuupplýsingar skuli:

a) vinna með sanngjörnum og lögmætum hætti;

b) fengnar með skýrt tilgreindum og lögmætum markmiðum og að frekari vinnsla þeirra megi ekki vera ósamrýmanleg þessum markmiðum. Frekari vinnsla í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi telst ekki ósamrýmanleg, að því tilskildu að aðildarríkin setji viðeigandi öryggisákvæði;

c) vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við markmiðin með söfnuninni og/eða vinnslunni;

d) vera áreiðanlegar og, ef þörf krefur, uppfærðar; gera verður allar eðlilegar ráðstafanir til að tryggja að upplýsingar, sem eru óáreiðanlegar eða ófullkomnar, miðað við markmiðin með söfnun þeirra eða frekari vinnslu, verði afmáðar eða leiðréttar;

e) geymdar í því formi að ekki sé unnt að persónugreina upplýsingar um skráða aðila lengur en þörf er á miðað við markmiðin með söfnun upplýsinganna eða frekari vinnslu þeirra. Aðildarríkin skulu setja nauðsynleg öryggisákvæði um persónuupplýsingar sem eru geymdar í langan tíma í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi.

2. Ábyrgðaraðila ber skylda til að tryggja að farið sé að ákvæðum 1. mgr.

II. ÞÁTTUR

Viðmiðanir um lögmæta vinnslu upplýsinga

7. gr.

Aðildarríkin skulu kveða á um að vinnsla persónuupplýsinga sé aðeins heimil ef:

a) hinn skráði hefur gefið ótvírætt samþykki sitt; eða

b) vinnslan er nauðsynleg vegna framkvæmdar samnings sem hinn skráði er aðili að eða í því skyni að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður; eða

c) vinnslan er nauðsynleg til að uppfylla lögskyldu sem hvílir á ábyrgðaraðila; eða

d) vinnslan er nauðsynleg til að vernda brýna hagsmuni hins skráða; eða

e) vinnslan er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili eða þriðji aðili, sem upplýsingunum er miðlað til, fer með; eða

f) vinnslan er nauðsynleg til að ábyrgðaraðili eða þriðji aðili eða aðilar, sem upplýsingunum er miðlað til, geti gætt lögmætra hagsmuna sinna, nema grundvallarréttindi og -frelsi hins skráða, sem vernda ber samkvæmt 1. mgr. 1. gr., gangi fyrir.

III. ÞÁTTUR

Sérstakir flokkar vinnslu

8. gr.

Vinnsla sérstakra flokka upplýsinga

1. Aðildarríkin skulu banna vinnslu persónuupplýsinga er varða kynþátt eða uppruna, stjórnmálaskoðanir, trúar- eða heimspekiskoðanir og þátttöku í stéttarfélagi og vinnslu upplýsinga um heilsuhagi eða kynlíf.

2. Ákvæði 1. mgr. gildir ekki ef:

a) hinn skráði hefur veitt afdráttarlaust samþykki sitt fyrir vinnslu þessara upplýsinga, nema kveðið sé á um það í löggjöf aðildarríkisins að óheimilt sé að aflétta banninu, sem um getur í 1. mgr., þrátt fyrir samþykki hins skráða; eða

b) vinnslan er nauðsynleg til að ábyrgðaraðili geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöfinni, að því marki sem vinnslan er heimil samkvæmt innlendum lögum þar sem sett eru viðeigandi öryggisákvæði; eða

c) vinnslan er nauðsynleg til að vernda brýna hagsmuni hins skráða eða annars einstaklings ef hinn skráði er líkamlega eða í lagalegum skilningi ófær um að veita samþykki sitt; eða

d) vinnslan er þáttur í lögmætri starfsemi stofnunar, samtaka eða annarra aðila sem starfa ekki í hagnaðarskyni og hafa stjórnmálaleg, heimspekileg, trúarleg eða stéttarfélagsleg markmið og veita viðeigandi tryggingar, að því tilskildu að vinnslan taki einungis til meðlima stofnunarinnar eða manna sem eiga stöðug samskipti við hana sem varða markmið hennar og upplýsingarnar séu ekki látnar þriðja aðila í té án samþykkis hinna skráðu; eða

e) vinnslan tengist upplýsingum sem hinn skráði hefur skilmerkilega gert opinber eða er nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur.

3. Ákvæði 1. mgr. gilda ekki ef vinnsla upplýsinganna er nauðsynleg til að unnt sé að fyrirbyggja eða greina sjúkdóma, hjúkra eða veita meðferð eða stjórna heilsugæslu og ef upplýsingarnar eru unnar af starfsmanni á heilbrigðissviði sem fellur undir innlend lög eða reglur um þagnarskyldu, sem innlendir lögbærir aðilar hafa sett, eða af öðrum einstaklingi sem er einnig bundinn samsvarandi þagnarskyldu.

4. Með fyrirvara um setningu viðeigandi öryggisákvæða er aðildarríkjum heimilt, ef sýnt er fram á að brýnir almannahagsmunir krefjist þess, að mæla fyrir um undanþágur til viðbótar þeim sem mælt er fyrir um 2. mgr., annaðhvort í innlendum lögum eða með ákvörðun eftirlitsyfirvalds.

5. Vinnsla upplýsinga er varða lögbrot, refsidóma eða öryggisráðstafanir er því aðeins heimil að hún fari fram undir eftirliti opinbers yfirvalds eða ef sett eru viðeigandi sértæk öryggisákvæði í innlendumlögum, með fyrirvara um undanþágur sem aðildarríkinu er heimilt að veita samkvæmt innlendum ákvæðum þar sem sett eru viðeigandi sértæk öryggisákvæði. Þó er aðeins heimilt að færa heildarskrá yfir refsidóma undir eftirliti opinbers yfirvalds.

Aðildarríkjum er heimilt að kveða á um að vinnsla upplýsinga um viðurlög eða dóma í einkaréttarmálum skuli einnig vera undir eftirliti opinbers yfirvalds.

6. Undanþágur frá 1. mgr., sem kveðið er á um í 4. og 5. mgr., skulu tilkynntar framkvæmdastjórninni.

7. Aðildarríkin skulu ákvarða með hvaða skilyrðum vinnsla kennitalna eða annarra almennra auðkenna skuli vera leyfileg.

9. gr.

Vinnsla persónuupplýsinga og tjáningarfrelsi

Aðildarríkin skulu því aðeins kveða á um undanþágur eða frávik frá ákvæðum þessa kafla, IV. kafla og VI. kafla vegna vinnslu persónuupplýsinga sem fer einungis fram vegna fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi, að það sé nauðsynlegt til að samræma réttinn til friðhelgi einkalífs og reglur um tjáningarfrelsi.

IV. ÞÁTTUR

Upplýsingar sem ber að veita skráðum aðila

10. gr.

Upplýsingar sem ber að veita við öflun

upplýsinga hjá skráðum aðila

Aðildarríkin skulu kveða á um að ábyrgðaraðili eða fulltrúi hans skuli skýra skráðum aðila frá eftirfarandi atriðum, ef aflað er upplýsingum frá honum um hann sjálfan, nema hann hafi þegar fengið vitneskju um þau:

a) heiti ábyrgðaraðila og fulltrúa hans, ef einhver er;

b) markmiðum með vinnslu upplýsinganna;

c) öllum viðbótarupplýsingum, svo sem:

— viðtakendum eða flokkum viðtakenda upplýsinganna,

— hvort skylt sé eða valfrjálst að svara spurningunum og hvaða afleiðingar það kunni að hafa að svara ekki,

— hvort veittur sé réttur til aðgangs og réttur hins skráða til að leiðrétta upplýsingar um sig, að því marki sem þessar viðbótarupplýsingar eru nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við söfnunina, til að tryggja hinum skráða að vinnslan fari fram á sanngjarnan hátt gagnvart honum.

11. gr.

Upplýsingar sem ber að veita þegar gögn hafa

ekki verið fengin hjá skráðum aðila

1. Hafi upplýsingar ekki verið fengnar hjá skráðum aðila skulu aðildarríkin kveða á um að ábyrgðaraðili eða fulltrúi hans skuli, þegar skráning persónuupplýsinga fer fram eða, ef fyrirhugað er að láta þær þriðja aðila í té, í síðasta lagi þegar upplýsingunum er í fyrsta sinn miðlað til þriðja aðila, skýra hinum skráða að minnsta kosti frá eftirfarandi atriðum, nema hann hafi þegar fengið vitneskju um þau:

a) heiti ábyrgðaraðila og fulltrúa hans, ef einhver er;

b) markmiðum með vinnslunni;

c) öllum viðbótarupplýsingum, svo sem:

— flokkum viðkomandi upplýsinga,

— viðtakendum eða flokkum viðtakenda,

— hvort veittur sé réttur til aðgangs og réttur hins skráða til að leiðrétta upplýsingar um sig,

að því marki sem þessar viðbótarupplýsingar eru nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu persónuupplýsinganna, til að tryggja að vinnslan fari fram á þann hátt sem er sanngjarn gagnvart hinum skráða.

2. Ákvæði 1. mgr. gilda ekki, einkum ef um er að ræða vinnslu í tölfræðilegum tilgangi eða vegna sagnfræðilegra eða vísindalegra rannsókna, ef ekki er unnt að veita hinum skráða upplýsingar eða að það kostaði óhóflega fyrirhöfn eða ef skýrt er mælt fyrir um skráningu eða miðlun upplýsinganna í lögum. Í þeim tilvikum skulu aðildarríkin setja viðeigandi öryggisákvæði.

V. ÞÁTTUR

Réttur skráðs aðila til aðgangs að upplýsingum

12. gr.

Réttur til aðgangs

Aðildarríkin skulu tryggja öllum skráðum aðilum rétt til að krefjast af ábyrgðaraðila:

a) án nokkurra hafta, með eðlilegu millibili og án ástæðulausrar tafar eða kostnaðar:

— staðfestingar á því hvort verið sé að vinna upplýsingar er varða hann og vitneskju í það minnsta um markmið vinnslunnar, flokka viðkomandi upplýsinga og viðtakendur eða flokka viðtakenda upplýsinganna,

— tilkynningar á máli sem hann skilur um upplýsingar sem eru í vinnslu og alla fáanlega vitneskju um hvaðan þær eru komnar,

— vitneskju um fyrirkomulag rafrænnar vinnslu upplýsinga um sig, að minnsta kosti þegar um er að ræða ákvarðanir sem byggjast á rafrænni gagnavinnslu eins og um getur í 1. mgr. 15. gr.;

b) eftir því sem við á, leiðréttingar, afmáunar eða aðgangstakmarkana á upplýsingum ef vinnsla þeirra uppfyllir ekki ákvæði þessarar tilskipunar, einkum ef þær eru ófullkomnar eða óáreiðanlegar;

c) tilkynningar til þriðju aðila, sem hafa fengið upplýsingarnar, um allar leiðréttingar, afmáun eða aðgangstakmarkanir sem hafa farið fram í samræmi við b-lið, nema það sé ekki unnt eða kosti óhóflega fyrirhöfn.

VI. ÞÁTTUR

Undanþágur og takmarkanir

13. gr.

Undanþágur og takmarkanir

1. Aðildarríkjum er heimilt að samþykkja lagaákvæði til að takmarka gildissvið skyldna og réttinda sem kveðið er á um í 1. mgr. 6. gr., 10. gr., 1. mgr. 11. gr. og í 12. og 21. gr. ef slík takmörkun er nauðsynleg vegna:

a) þjóðaröryggis;

b) landvarna;

c) almannaöryggis;

d) forvarna, rannsókna, uppljóstrana og lögsóknar í refsimálum, eða vegna brota á siðareglum í lögvernduðum atvinnugreinum;

e) mikilvægra efnahagslegra eða fjármálalegra hagsmuna aðildarríkis eða Evrópusambandsins, þar með talin gjaldeyrismál, fjárlög og skattamál;

f) eftirlits-, skoðunar- eða reglusetningarstarfa sem tengjast, þótt aðeins sé endrum og eins, beitingu opinbers valds í þeim tilvikum sem um getur í c-, d- og e-lið;

g) verndar skráðs aðila eða mannréttinda og mannfrelsis annarra.

2. Með fyrirvara um viðunandi öryggisákvæði í lögum, einkum til að upplýsingar séu ekki notaðar til að gera ráðstafanir eða taka ákvarðanir er varða ákveðinn einstakling, er aðildarríkjum heimilt, þegar ljóst er að ekki er hætta á að brotið verði á rétti hins skráða til friðhelgi einkalífs síns, að takmarka með lagaákvæði réttinn, sem kveðið er á um í 12. gr., ef upplýsingarnar eru einungis unnar vegna vísindarannsóknar eða aðeins geymdar í formi persónuupplýsinga í þann tíma sem þarf til hagskýrslugerðar.

VII. ÞÁTTUR

Andmælaréttur skráðs aðila

14. gr.

Andmælaréttur skráðs aðila

Aðildarríkin skulu veita skráðum aðila rétt til:

a) að minnsta kosti í þeim tilvikum sem um getur í e- og f-lið 7. gr., að andmæla vinnslu upplýsinga um sjálfan sig ef hann hefur til þess lögmætar og knýjandi ástæður vegna sérstakra aðstæðna sinna, nema kveðið sé á um annað í innlendum lögum. Ef andmælin eiga rétt á sér er ekki lengur heimilt að nota þessar upplýsingar í vinnslu þeirri sem ábyrgðaraðili stofnaði til,

b) að andmæla, með beiðni og sér að kostnaðarlausu, vinnslu persónuupplýsinga um sig sem ábyrgðaraðili fyrirhugar vegna beinnar markaðssetningar, eða rétt til að honum sé skýrt frá því áður en persónuupplýsingarnar eru fyrst fengnar þriðja aðila eða notaðar fyrir þeirra hönd vegna beinnar markaðssetningar og að fá skýrt tilboð um að nýta rétt sinn til að andmæla slíkri miðlun eða notkun, sér að kostnaðarlausu.

Aðildarríkin skulu gera nauðsynlegar ráðstafanir til að tryggja að skráðir aðilar hafi vitneskju um réttinn sem um getur í fyrsta undirlið b-liðar.

15. gr.

Ákvarðanir er varða einstaklinga og

byggjast á rafrænni gagnavinnslu

1. Aðildarríkin skulu veita öllum aðilum rétt til að þurfa ekki að hlíta ákvörðunum sem hafa réttaráhrif er varða hann eða skipta verulegu máli fyrir hann og sem byggjast einungis á rafrænni gagnavinnslu í þeim tilgangi að meta ákveðna þætti er varða hagi hans, svo sem frammistöðu hans í starfi, lánshæfi, áreiðanleika, hegðun o.s.frv.

2. Með fyrirvara um aðrar greinar þessarar tilskipunar skulu aðildarríkin kveða á um að unnt sé að skylda menn til að hlíta ákvörðun af þeim toga sem um getur í 1. mgr., ef ákvörðunin:

a) er tekin við gerð eða framkvæmd samnings, að því tilskildu að ósk hins skráða um gerð eða framkvæmd samningsins hafi verið uppfyllt eða að til séu viðunandi ráðstafanir til að vernda lögmæta hagsmuni hans, svo sem fyrirkomulag sem gerir honum kleift að koma sjónarmiðum sínum á framfæri; eða

b) er heimil samkvæmt lögum þar sem einnig eru ákvæði til verndar lögmætum hagsmunum hins skráða aðila.

VIII. ÞÁTTUR

Trúnaður og öryggi vinnslunnar

16. gr.

Trúnaður við vinnsluna

Hverjum þeim er starfar í umboði ábyrgðaraðila eða vinnsluaðila, að vinnsluaðila sjálfum meðtöldum, og hefur aðgang að persónuupplýsingum er aðeins heimilt að vinna þær samkvæmt fyrirmælum ábyrgðaraðila, nema í tilvikum sem kveðið er á um í lögum.

17. gr.

Öryggi vinnslunnar

1. Aðildarríkin skulu kveða á um að ábyrgðaraðili skuli gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vernda persónuupplýsingar gegn eyðileggingu af slysni eða ólöglegri eyðileggingu, gegn glötun eða breytingum af slysni, gegn óleyfilegri miðlun eða aðgangi, einkum ef vinnslan felur í sér sendingu upplýsinga um net, og gegn allri annarri ólöglegri vinnslu.

Þessar ráðstafanir skulu tryggja nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á, með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra.

2. Aðildarríkin skulu kveða á um að ábyrgðaraðili skuli, ef vinnsla fer fram fyrir hans hönd, velja vinnsluaðila sem veitir nægilegar tryggingar að því er varðar þær tæknilegu öryggis- og skipulagsráðstafanir sem gera skal, og sjá til þess að þessum ráðstöfunum sé hlítt.

3. Vinnsla, sem fer fram með hjálp vinnsluaðila, skal falla undir ákvæði samnings eða annarrar bindandi réttargjörðar milli vinnsluaðila og ábyrgðaraðila þar sem einkum er kveðið á um:

— að vinnsluaðili skuli aðeins starfa samkvæmt fyrirmælum ábyrgðaraðila,

— að skyldur samkvæmt 1. mgr., eins og þær eru skilgreindar í lögum aðildarríkisins þar sem vinnsluaðili hefur staðfestu, skuli einnig hvíla á vinnsluaðila.

4. Til að varðveita sönnunargögn skulu þeir hlutar samnings eða réttargjörðar, sem varða vernd upplýsinga, og þær kröfur, sem varða ráðstafanirnar sem um getur í 1. mgr., vera skriflegar eða á sambærilegu formi.

IX. ÞÁTTUR

Tilkynningar

18. gr.

Tilkynningarskylda gagnvart eftirlitsyfirvaldi

1. Aðildarríkin skulu kveða á um að ábyrgðaraðili eða fulltrúi hans, ef einhver er, skuli tilkynna það eftirlitsyfirvaldinu sem um getur í 28. gr. áður en hann framkvæmir vinnsluaðgerð sem er rafræn, í heild eða að hluta, eða röð slíkra aðgerða sem hafa sama markmið eða markmið sem eru tengd innbyrðis.

2. Aðildarríkjunum er aðeins heimilt að kveða á um einföldun á eða undanþágu frá tilkynningarskyldu í eftirfarandi tilvikum og með eftirfarandi skilyrðum:

— þegar um er að ræða flokka vinnslu sem ólíklegt er, með hliðsjón af þeim upplýsingum sem vinna á, að fari í bága við réttindi og frelsi skráðra aðila, ef tilgreind eru markmiðin með vinnslunni, hvaða upplýsingar eða flokka upplýsinga eigi að vinna, hvaða viðtakendur eða flokkar viðtakenda eigi að fá upplýsingarnar og hversu lengi upplýsingarnar skuli geymdar, og/eða

— þegar ábyrgðaraðili útnefnir, í samræmi við innlend lög, gagnaverndarfulltrúa sem skal meðal annars sjá um:

— að tryggja á sjálfstæðan hátt innri beitingu innlendra ákvæða sem sett eru á grundvelli þessarar tilskipunar,

— að halda skrá yfir þær vinnsluaðgerðir sem ábyrgðaraðili framkvæmir og taka til þeirra upplýsinga sem um getur í 2. mgr. 21. gr.,

og tryggja þannig að ólíklegt sé að vinnslan fari í bága við réttindi og frelsi skráðra aðila.

3. Aðildarríkjunum er heimilt að kveða á um að 1. mgr. gildi ekki um vinnslu sem fer fram í þeim eina tilgangi að halda skrá er skuli, samkvæmt lögum og reglugerðum, veita almenningi upplýsingar og sem almenningur hefur aðgang að eða hver sá sem getur sýnt fram á að hann eigi lögmætra hagsmuna að gæta.

4. Aðildarríkjunum er heimilt að kveða á um undanþágu frá tilkynningarskyldu eða einföldun tilkynningar ef um er að ræða vinnslu samkvæmt d-lið 2. mgr. 8. gr.

5. Aðildarríkjunum er heimilt að mæla fyrir um að tiltekin eða öll vinnsla, sem er ekki með rafrænum hætti og tekur til persónuupplýsinga, skuli tilkynnt eða fyrirskipa einfalda tilkynningu um slíka vinnslu.

19. gr.

Efni tilkynninga

1. Aðildarríkin skulu tilgreina hvaða upplýsingar skuli gefa í tilkynningu. Þar skal að minnsta kosti koma fram:

a) heiti og heimilisfang ábyrgðaraðila og fulltrúa hans, ef einhver er;

b) markmið vinnslunnar;

c) lýsing á flokki eða flokkum skráðra aðila og upplýsingum eða flokkum upplýsinga þeim viðvíkjandi;

d) viðtakendur eða flokkar viðtakenda sem hugsanlegt er að upplýsingarnar verði látnar í té;

e) tillögur um miðlun upplýsinga til þriðju landa;

f) almenn lýsing sem gerir það kleift að meta til bráðabirgða hvort ráðstafanir, sem teknar eru samkvæmt 17. gr. til að tryggja öryggi vinnslunnar, séu viðeigandi.

2. Aðildarríkin skulu tilgreina hvaða málsmeðferð skuli nota við tilkynningu til eftirlitsyfirvaldsins um breytingar sem hafa áhrif á upplýsingarnar sem um getur í 1. mgr.

20. gr.

Forathugun

1. Aðildarríkin skulu ákvarða hvers konar vinnsla gæti falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi skráðra aðila og tryggja að vinnslan verði athuguð áður en hún hefst.

2. Eftirlitsyfirvaldið gerir þessar forathuganir, eftir að því hefur borist tilkynning frá ábyrgðaraðila, eða gagnaverndarfulltrúa, sem skal ráðfæra sig við eftirlitsyfirvaldið sé hann í vafa.

3. Aðildarríkjum er einnig heimilt að gera slíkar athuganir í tilefni af undirbúningi að setningu laga á löggjafarþingi eða vegna ráðstöfunar sem grundvallast á slíkri lagasetningu, þar sem eðli vinnslunnar er skilgreint og mælt fyrir um viðeigandi öryggisákvæði.

21. gr.

Aðgangur almennings að upplýsingum um vinnsluna

1. Aðildarríkin skulu gera ráðstafanir til að tryggja að almenningur hafi aðgang að upplýsingum um vinnsluna.

2. Aðildarríkin skulu kveða á um að eftirlitsyfirvaldið skuli halda skrá yfir þá vinnslu sem er tilkynnt í samræmi við 18. gr. Í skránni skulu að minnsta kosti vera upplýsingar samkvæmt a- til e-lið 1. mgr. 19. gr.

Öllum er heimilt að skoða skrána.

3. Ef um er að ræða vinnsluaðgerðir sem eru ekki tilkynningarskyldar skulu aðildarríkin kveða á um að ábyrgðaraðila, eða öðrum aðila sem aðildarríkin útnefna, beri að minnsta kosti að veita hverjum þeim sem þess æskir aðgang að upplýsingunum sem um getur í a- til e-lið 1. mgr. 19. gr.

Aðildarríkjunum er heimilt að kveða á um að þetta ákvæði gildi ekki þegar um er að ræða vinnslu í þeim eina tilgangi að halda skrá sem er gerð í samræmi við lög eða reglugerðir í því skyni að veita almenningi upplýsingar og almenningur hefur aðgang að eða hver sá sem hefur lögmætra hagsmuna að gæta.

III. KAFLI

Réttarúrræði, skaðabótaábyrgð og viðurlög

22. gr.

Úrræði

Með fyrirvara um ákvæði, sem kunna að verða sett, um möguleika á stjórnsýslukæru, til dæmis til eftirlitsyfirvaldsins sem um getur í 28. gr., áður en máli er skotið til dómsyfirvalda, skulu aðildarríkin kveða á um rétt hvers og eins til réttarúrræða ef brotið er gegn réttindum sem honum eru tryggð í innlendum lögum sem taka til viðkomandi vinnslu.

23. gr.

Skaðabótaábyrgð

1. Aðildarríkin skulu kveða á um að hver sá sem hefur orðið fyrir tjóni vegna ólöglegrar vinnslu eða athafna, sem samrýmast ekki innlendum ákvæðum sem samþykkt eru á grundvelli þessarar tilskipunar, eigi rétt á skaðabótum frá ábyrgðaraðila fyrir það tjón sem hann hefur orðið fyrir.

2. Heimilt er að undanþiggja ábyrgðaraðila þessari skaðabótaábyrgð, í heild eða að hluta, ef hann sannar að hann eigi ekki sök á þeim atburði sem olli tjóninu.

24. gr.

Viðurlög

Aðildarríkin skulu samþykkja viðeigandi ráðstafanir til að tryggja að þessi tilskipun komi að fullu til framkvæmda og skulu einkum mæla fyrir um viðurlög við brotum á ákvæðum sem samþykkt eru á grundvelli þessarar tilskipunar.

IV. KAFLI

Miðlun persónuupplýsinga til þriðju landa

25. gr.

Meginreglur

1. Aðildarríkin skulu kveða á um að miðlun til þriðju landa á persónuupplýsingum, sem eru í vinnslu eða eru ætluð til vinnslu að miðlun lokinni, skuli því aðeins heimil að viðkomandi þriðja land tryggi nægilega vernd og að því tilskildu að farið sé að innlendum ákvæðum sem samþykkt eru á grundvelli þessarar tilskipunar.

2. Meta skal hvort sú vernd, sem þriðja land veitir, sé nægileg með hliðsjón af öllum aðstæðum sem hafa áhrif á miðlunaraðgerðina eða viðkomandi tegund miðlunaraðgerða. Við matið skal einkum skoða eðli upplýsinganna, markmið og tímalengd fyrirhugaðrar vinnsluaðgerðar eða -aðgerða, upprunaland eða endanlegt viðtökuland, þær almennu eða sértæku lagareglur sem gilda í viðkomandi þriðja landi og reglur um góðar viðskiptavenjur og öryggisráðstafanir sem eru í gildi í landinu.

3. Telji aðildarríkin eða framkvæmdastjórnin að þriðja land tryggi ekki nægilega vernd í skilningi 2. mgr. skulu þau tilkynna það hvort öðru.

4. Komist framkvæmdastjórnin að þeirri niðurstöðu, við þá málsmeðferð sem kveðið er á um í 2. mgr. 31. gr., að þriðja land tryggi ekki nægilega vernd í skilningi 2. mgr. þessarar greinar skulu aðildarríkin gera nauðsynlegar ráðstafanir til að hindra alla miðlun sams konar upplýsinga til viðkomandi þriðja lands.

5. Framkvæmdastjórnin hefur samningaviðræður þegar tími er til kominn í því skyni að ráða bót á því ástandi sem skapast vegna niðurstaðna samkvæmt 4. mgr.

6. Framkvæmdastjórnin getur komist að þeirri niðurstöðu, í samræmi við málsmeðferðina sem um getur í 2. mgr. 31. gr., að þriðja land tryggi nægilega vernd í skilningi 2. mgr. þessarar greinar í krafti laga sinna eða alþjóðaskuldbindinga um vernd friðhelgi einkalífs og grundvallarfrelsis og -réttinda manna, þar með taldar skuldbindingar sem stofnað er til eftir samningaviðræðurnar sem um getur í 5.gr.

Aðildarríkin skulu gera nauðsynlegar ráðstafanir til að fara að ákvörðun framkvæmdastjórnarinnar.

26. gr.

Undanþágur

1. Þrátt fyrir ákvæði 25. gr. enda sé ekki mælt fyrir um annað í innlendum lögum er varða einstök tilvik, skulu aðildarríkin kveða á um að aðgerð eða tegund aðgerða er varða miðlun persónuupplýsinga til þriðju landa sem tryggja ekki næga vernd í skilningi 2. mgr. 25. gr., sé heimil:

a) ef hinn skráði hefur gefið ótvírætt samþykki sitt fyrir fyrirhugaðri miðlun; eða

b) ef miðlun er nauðsynleg vegna framkvæmdar samnings milli hins skráða og ábyrgðaraðila eða vegna ráðstafana sem gripið er til að beiðni hins skráða áður en samningur er gerður; eða

c) ef miðlun er nauðsynleg vegna gerðar eða framkvæmdar samnings, milli ábyrgðaraðila og þriðja aðila, sem gerður er í þágu hins skráða; eða

d) ef miðlun er nauðsynleg eða fyrirskipuð samkvæmt lögum vegna þess að brýnir almannahagsmunir krefjast þess eða til að unnt sé að stofna, hafa uppi eða verja réttarkröfur; eða

e) ef miðlun er nauðsynleg til að vernda brýna hagsmuni hins skráða; eða

f) ef miðlað er úr skrá sem ætlað er, samkvæmt lögum og reglugerðum, að veita almenningi upplýsingar og sem almenningur hefur aðgang að eða hver sá sem sannanlega hefur lögmætra hagsmuna að gæta, að því marki sem skilyrði í lögum um opinberan aðgang eru uppfyllt í hverju einstöku tilviki.

2. Með fyrirvara um 1. mgr. er aðildarríki heimilt að leyfa aðgerð eða tegund aðgerða er varða miðlun persónuupplýsinga til þriðju landa, sem tryggja ekki nægilega vernd í skilningi 2. mgr. 25. gr., ef ábyrgðaraðili veitir nægilegar tryggingar að því er varðar vernd á rétti til friðhelgi einkalífs og grundvallarréttindum og -frelsi manna og beitingu samsvarandi réttinda; þessar tryggingar geta einkum komið fram í viðeigandi samningsákvæðum.

3. Aðildarríkin skulu tilkynna framkvæmdastjórninni og öðrum aðildarríkjum um heimildir sem þau veita á grundvelli 2. mgr.

Andmæli aðildarríki eða framkvæmdastjórnin með fullnægjandi rökum er skírskota til verndar á rétti til friðhelgi einkalífs og á grundvallarréttindum og -frelsi manna, skal framkvæmdastjórnin gera viðeigandi ráðstafanir í samræmi við málsmeðferðina sem mælt er fyrir um í 2. mgr. 31. gr. Aðildarríkin skulu gera nauðsynlegar ráðstafanir til að fara að ákvörðun framkvæmdastjórnarinnar.

4. Ákveði framkvæmdastjórnin, í samræmi við málsmeðferðina sem um getur í 2. mgr. 31. gr., að tiltekin stöðluð samningsákvæði veiti nægilegar tryggingar samkvæmt 2. mgr. skulu aðildarríkin gera nauðsynlegar ráðstafanir til að fara að ákvörðun framkvæmdastjórnarinnar.

V. KAFLI

Siðareglur

27. gr.

1. Aðildarríkin og framkvæmdastjórnin skulu hvetja til þess að samdar verði siðareglur, sem eiga að stuðla að réttri framkvæmd innlendra ákvæða sem aðildarríkin samþykkja á grundvelli þessarar tilskipunar, að teknu tilliti til sérstakra aðstæðna á hinum ýmsu sviðum.

2. Aðildarríkin skulu setja ákvæði um að atvinnugreinasamtök og aðrir aðilar, sem eru fulltrúar annarra flokka ábyrgðaraðila, sem hafa samið drög að innlendum siðareglum eða hafa í hyggju að breyta gildandi innlendum siðareglum eða rýmka þær, skuli geta leitað álits á þeim hjá innlenda yfirvaldinu.

Aðildarríkin skulu kveða á um að þetta yfirvald gangi meðal annars úr skugga um hvort drögin, sem lögð eru fyrir það, séu í samræmi við innlend ákvæði sem samþykkt eru á grundvelli þessarar tilskipunar. Sjái yfirvaldið ástæðu til þess getur það óskað eftir umsögn skráðra aðila eða fulltrúa þeirra.

3. Heimilt er að leggja drög að siðareglum bandalagsins og breytingar eða rýmkun á gildandi siðareglum bandalagsins fyrir starfshópinn sem um getur í 29. gr. Þessi starfshópur skal meðal annars ákvarða hvort drögin, sem lögð eru fyrir hann, eru í samræmi við innlend ákvæði sem samþykkt eru á grundvelli þessarar tilskipunar. Sjái yfirvaldið ástæðu til þess getur það óskað eftir umsögn skráðra aðila eða fulltrúa þeirra. Framkvæmdastjórnin getur séð til þess að siðareglurnar, sem starfshópurinn hefur samþykkt, verði birtar á viðeigandi hátt.

VI. KAFLI

Eftirlitsyfirvald og starfshópur um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga

28. gr.

Eftirlitsyfirvald

1. Hvert aðildarríki skal sjá til þess að eitt eða fleiri opinber yfirvöld beri ábyrgð á eftirliti með beitingu ákvæða, sem aðildarríkin samþykkja á grundvelli þessarar tilskipunar, á yfirráðasvæði þess.

Þessi yfirvöld skulu starfa alveg sjálfstætt að þeim verkum sem þeim eru fengin.

2. Hvert aðildarríki skal sjá til þess að haft sé samráð við eftirlitsyfirvöld við samningu stjórnsýslulaga eða reglugerða um vernd mannréttinda og mannfrelsis í tengslum við vinnslu persónuupplýsinga.

3. Hvert yfirvald skal einkum:

— hafa heimildir til rannsókna, svo sem heimildir til aðgangs að upplýsingum sem eru í vinnslu og heimildir til að afla allra upplýsinga sem því er þörf á við eftirlitsstörf sín,

— hafa vald til að hlutast til um mál með skilvirkum hætti, til dæmis með því að leggja fram álit áður en vinnsluaðgerðir hefjast, í samræmi við 20. gr., og tryggja viðeigandi birtingu slíkra álitsgerða, með því að fyrirskipa aðgangstakmarkanir að upplýsingum eða afmáun eða eyðileggingu þeirra, með tímabundnu eða varanlegu banni á vinnslu, með viðvörun eða áminningu til ábyrgðaraðila eða með því að skjóta málinu til löggjafarþings eða annarra stjórnmálastofnana,

— hafa heimildir til að skjóta brotum á innlendum ákvæðum, sem samþykkt eru á grundvelli þessarar tilskipunar, til dómstóla eða vekja athygli dómsyfirvalda á þessum brotum.

Unnt er að áfrýja til dómstóla þeim ákvörðunum eftirlitsyfirvaldsins sem eru tilefni kæru.

4. Öllum aðilum, eða samtökum sem eru fulltrúar þeirra, er heimilt að leggja fram beiðni til eftirlitsyfirvalds um vernd réttinda þeirra og frelsis í tengslum við vinnslu persónuupplýsinga. Tilkynna skal viðkomandi aðila um niðurstöður málsins.

Öllum aðilum er einkum heimilt að leggja fram beiðni til eftirlitsyfirvalda um athugun á lögmæti gagnavinnslu þegar innlend ákvæði, sem samþykkt eru á grundvelli 13. gr. þessarar tilskipunar, eiga við. Aðilunum skal í öllum tilvikum gert viðvart um að athugun hafi farið fram.

5. Hvert eftirlitsyfirvald skal semja skýrslu um starfsemi sína með reglulegu millibili. Skýrslan skal gerð opinber.

6. Hvert eftirlitsyfirvald er bært á yfirráðasvæði eigin aðildarríkis til að beita þeim heimildum sem því hafa verið fengnar í samræmi við 3. mgr., án tillits til þess hvaða lög gilda um viðkomandi vinnslu. Hvert yfirvald getur farið þess á leit við yfirvald annars aðildarríkis að það beiti heimildum sínum.

Eftirlitsyfirvöld skulu starfa saman að því marki sem er nauðsynlegt til að þau geti gegnt skyldustörfum sínum, einkum með því að skiptast á öllum gagnlegum upplýsingum.

7. Aðildarríkin skulu kveða á um að aðilar að eftirlitsyfirvaldinu og starfsmenn þess skuli bundnir þagnarskyldu, einnig eftir að þeir hafa hætt störfum, um trúnaðarupplýsingar sem þeir hafa aðgang að.

29. gr.

Starfshópur um vernd einstaklinga í tengslum

við vinnslu persónuupplýsinga

1. Hér með er komið á fót starfshópi um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga, hér á eftir kallaður „starfshópur“.

Hann skal gegna ráðgjafarhlutverki og starfa sjálfstætt.

2. Starfshópurinn er skipaður fulltrúa þess eftirlitsyfirvalds eða eftirlitsyfirvalda sem tilnefnd eru af hverju aðildarríki og fulltrúa yfirvalds eða yfirvalda sem hefur verið komið á fót fyrir stofnanir og aðila bandalagins, og fulltrúa framkvæmdastjórnarinnar.

Hver meðlimur starfshóps skal tilnefndur af þeirri stofnun, yfirvaldi eða

yfirvöldum sem hann er fulltrúi fyrir. Hafi aðildarríki tilnefnt fleiri en eitt

eftirlitsyfirvald skulu þau tilnefna sameiginlegan fulltrúa. Það sama skal gilda um yfirvöldin sem komið er á fót fyrir stofnanir og aðila bandalagsins.

3. Starfshópurinn skal taka ákvarðanir með einföldum meirihluta fulltrúa eftirlitsyfirvalda.

4. Starfshópurinn kýs sér formann. Formaðurinn er kosinn til tveggja ára. Heimilt er að endurkjósa hann.

5. Framkvæmdastjórnin sér starfshópnum fyrir skrifstofuþjónustu.

6. Starfshópurinn setur sér starfsreglur.

7. Starfshópurinn fjallar um mál sem formaðurinn setur á dagskrá hans, annaðhvort að eigin frumkvæði eða að beiðni fulltrúa eftirlitsyfirvalda eða framkvæmdastjórnarinnar.

30. gr.

1. Starfshópurinn skal:

a) fjalla um öll mál, sem taka til beitingar innlendra ákvæða sem samþykkt eru á grundvelli þessarar tilskipunar, í því skyni að stuðla að samræmdri beitingu þessara ákvæða;

b) skila áliti til framkvæmdastjórnarinnar um umfang verndar í bandalaginu og þriðju löndum;

c) vera ráðgefandi fyrir framkvæmdastjórnina um allar tillögur að breytingum á þessari tilskipun, um viðbótar- eða sérráðstafanir sem ber að gera til að standa vörð um mannréttindi og mannfrelsi í tengslum við vinnslu persónuupplýsinga og um allar aðrar tillögur að bandalagsráðstöfunum sem hafa áhrif á þau réttindi og frelsi;

d) skila áliti um siðareglur sem samdar eru á vettvangi bandalagsins.

2. Komist starfshópurinn að þeirri niðurstöðu að munur sé á lögum og venjum aðildarríkjanna sem líklegt er að hafi áhrif á jafna vernd einstaklinga í tengslum við vinnslu persónuupplýsinga í bandalaginu skal hún tilkynna það framkvæmdastjórninni.

3. Starfshópur getur, að eigin frumkvæði, borið fram tilmæli í öllum málum er varða vernd einstaklinga í tengslum við vinnslu persónuupplýsinga í bandalaginu.

4. Álit og tilmæli starfshópsins skal senda áfram til framkvæmdastjórnarinnar og nefndarinnar sem um getur í 31. gr.

5. Framkvæmdastjórnin skal tilkynna starfshópnum til hvaða aðgerða hafi verið gripið í framhaldi af álitsgerð hans og tilmælum. Framkvæmdastjórnin semur í því tilefni skýrslu sem skal einnig send Evrópuþinginu og ráðinu. Skýrslan skal gerð opinber.

6. Starfshópurinn semur árlega skýrslu um ástand í málum er varða vernd einstaklinga í tengslum við vinnslu persónuupplýsinga í bandalaginu og í þriðju löndum og leggur hana fyrir framkvæmdastjórnina, Evrópuþingið og ráðið. Skýrslan skal gerð opinber.

VII. KAFLI

Framkvæmdaráðstafanir bandalagsins

31. gr.

Nefndin

1. Framkvæmdastjórnin skal njóta aðstoðar nefndar sem skipuð er fulltrúum aðildarríkjanna undir formennsku framkvæmdastjórnarinnar.

2. Fulltrúi framkvæmdastjórnarinnar leggur fyrir nefndina drög að þeim ráðstöfunum sem gera skal. Nefndin skilar áliti sínu á drögunum fyrir þau tímamörk sem formaðurinn setur eftir því hversu brýnt málið er.

Álitið skal samþykkt með þeim meirihluta sem mælt er fyrir um í 2. mgr. 148. gr. sáttmálans.

Atkvæði fulltrúa aðildarríkjanna í nefndinni vega eins og mælt er fyrir um í þeirri grein. Formaður greiðir ekki atkvæði.

Framkvæmdastjórnin skal samþykkja ráðstafanirnar sem öðlast gildi þegar í stað. Séu þessar ráðstafanir hins vegar ekki í samræmi við álit nefndarinnar skal framkvæmdastjórnin tilkynna ráðinu um þær án tafar. Ef svo ber undir:

— skal framkvæmdastjórnin fresta framkvæmd ráðstafananna, sem hún hefur tekið ákvörðun um, um þrjá mánuði frá dagsetningu tilkynningarinnar,

— ráðinu er heimilt að taka aðra ákvörðun með auknum meirihluta innan þeirra tímamarka sem um getur í undirgreininni hér að framan.

Lokaákvæði

32. gr.

1. Aðildarríkin skulu samþykkja nauðsynleg lög og stjórnsýslufyrirmæli til að fara að tilskipun þessari eigi síðar en þremur árum eftir að hún var samþykkt. Þegar aðildarríkin samþykkja þessar ráðstafanir skal vera í þeim tilvísun í þessa tilskipun eða fylgja þeim slík tilvísun þegar þær verða birtar opinberlega. Aðildarríkin skulu setja nánari reglur um slíka tilvísun.

2. Aðildarríkin skulu sjá til þess að vinnsla, sem var þegar hafin daginn sem innlend ákvæði, sem samþykkt eru á grundvelli þessarar tilskipunar, taka gildi, sé samræmd þessum ákvæðum innan þriggja ára frá þeim degi. Þrátt fyrir undirgreinina hér að framan geta aðildarríkin kveðið á um að vinnsla upplýsinga, sem eru þegar komnar í handunnið skráningarkerfi á gildistökudegi innlendra ákvæða sem samþykkt eru til framkvæmdar þessari tilskipun, skuli samræmd við 6., 7. og 8. gr. þessarar tilskipunar innan 12 ára frá samþykki hennar. Aðildarríkin skulu þó veita hinum skráða rétt til að fá fram, að beiðni hans og einkum í tengslum við beitingu réttar hans til aðgangs, leiðréttingu, afmáun eða aðgangstakmörkun að upplýsingum sem eru ófullkomnar, óáreiðanlegar eða geymdar á einhvern þann hátt sem er ósamrýmanlegur þeim lögmætu markmiðum sem ábyrgðaraðili stefnir að.

3. Þrátt fyrir 2. mgr. er aðildarríkjunum heimilt að kveða á um, með fyrirvara um viðeigandi öryggisákvæði, að ekki þurfi að samræma upplýsingar, sem eru aðeins geymdar til sagnfræðilegra rannsókna, við 6., 7. og 8. gr. þessarar tilskipunar.

4. Aðildarríkin skulu senda framkvæmdastjórninni ákvæði úr landslögum sem þau samþykkja um málefni sem tilskipun þessi nær til.

33. gr.

Framkvæmdastjórnin skal leggja skýrslu með reglubundnu millibili fyrir ráðið og Evrópuþingið, í fyrsta sinn eigi síðar en þremur árum eftir daginn sem um getur í 1. mgr. 32. gr., um framkvæmd þessarar tilskipunar ásamt, ef þörf krefur, viðeigandi breytingartillögum. Skýrslan skal gerð opinber.

Framkvæmdastjórnin skal einkum skoða beitingu þessarar tilskipunar varðandi hljóð- og myndvinnslu upplýsinga um einstaklinga og leggja fram viðeigandi tillögur, ef þörf er á þeim, með hliðsjón af þróun í upplýsingatækni og í upplýsingaþjóðfélaginu.

34. gr.

Tilskipun þessari er beint til aðildarríkjanna.

Gjört í Lúxemborg 24. október 1995

Fyrir hönd Evrópuþingsins,

K. HÄNSCH

Fyrir hönd ráðsins

L. ATIENZA SERNA

7. Rekstrarreikningur 2002

Hér að neðan er að finna rekstrarreikning Persónuverndar, sem unninn var af Ríkisendurskoðun.

Rekstrarreikningur ársins 2002


		2002	2001
	Tekjur

	Sértekjur.........................................................	11.358.692	24.820.157
		11.358.692	24.820.157

	Gjöld

	Launagjöld.....................................................	34.835.908	26.357.757
	Aðkeypt þjónusta...........................................	17.331.193	32.775.643
	Starfstengdur kostnaður.................................	3.567.280	4.237.529
	Húsnæðiskostnaður........................................	2.088.127	2.062.418
	Annar rekstrarkostnaður................................	1.386.845	2.255.364
		59.209.353	67.688.711
	Eignakaup......................................................	341.978	1.330.025
		59.551.331	69.018.736

	Tekjuafgangur (-halli) fyrir ríkisframlag	(48.192.639)	(44.198.579)

	Ríkisframlag..................................................	48.600.000	43.500.000

	Tekjuafgangur (tekjuhalli) ársins	407.361	(698.579)

1() Stjtíð. EB nr. C 277, 5. 11. 1990, bls. 3 og Stjtíð. EB nr. C 311, 27. 11. 1992, bls. 30.

2() Stjtíð. EB nr. C 159, 17. 6. 1991, bls. 38.

3() Álit Evrópuþingsins frá 11. mars 1992 (Stjtíð. EB nr. C 94, 13. 4. 1992, bls. 198), staðfest 2. desember 1993 (Stjtíð. EB nr. C 342, 20. 12. 1993, bls. 30); sameiginleg afstaða ráðsins frá 20. febrúar 1995 (Stjtíð. EB nr. C 93, 13. 4. 1995, bls. 1) og ákvörðun Evrópuþingsins frá 15. júní 1995 (Stjtíð. EB nr. C 166, 3. 7. 1995).

4() Stjtíð. EB nr. L 197, 18. 7. 1987, bls. 33.

Var efnið hjálplegt? Já Nei

Ársskýrsla Persónuverndar 2002

Formáli forstjóra

Fjöldi

Tilkynningar

Rök SÁÁ

Tekjur

Gjöld