Fréttir

Þann 13. janúar síðastliðinn boðaði Vísindasiðanefnd til opins málþings um vísindarannsóknir á heilbrigðissviði á tímum Covid-19. Helga Þórisdóttir, forstjóri Persónuverndar, var meðal þeirra sem fluttu erindi á málþinginu.

EFTA-dómstóllinn komst nýlega að niðurstöðu þar sem reyndi í fyrsta skipti á túlkun ákvæða persónuverndarreglugerðarinnar.

Ísland, Evrópusambandið og Bretland hafa komist að samkomulagi um tímabundið óbreytt fyrirkomulag um miðlun persónuupplýsinga til Bretlands. Samkomulagið mun taka gildi um áramót en auglýsing þess efnis birtist í C-deild Stjórnartíðinda. Fyrst um sinn eftir 1. janúar 2021 þurfa stofnanir og fyrirtæki því ekki að grípa til ráðstafana varðandi miðlun persónuupplýsinga frá Íslandi til Bretlands.

43. fundur ráðsins fór fram 15. desember 2020 en vegna Covid-19 faraldursins hafa fundir Evrópska persónuverndarráðsins farið fram í gegnum fjarfundabúnað frá því í apríl.

Um áramót lýkur aðlögunartímabili vegna útgöngu Bretlands úr Evrópusambandinu (ESB). Það þýðir meðal annars að samningurinn um Evrópska efnahagssvæðið (EES) mun ekki gilda lengur um Bretland frá og með 1. janúar 2021. Á þessari stundu liggur ekki fyrir samkomulag um hvernig framtíðarsambandi Bretlands og ESB verður háttað en heimildir til flutnings persónuupplýsinga frá Íslandi til Bretlands ráðast meðal annars af því. Þess vegna þurfa ábyrgðaraðilar og vinnsluaðilar að grípa til viðeigandi ráðstafana varðandi flutning persónuupplýsinga frá Íslandi til Bretlands eftir áramót.

Á 41. fundi sínum þann 9. nóvember síðastliðinn tók Evrópska persónuverndarráðið (EDPB) sína fyrstu ákvörðun á grundvelli 65. gr. persónuverndarreglugerðarinnar (úrlausn deilumála). Ákvörðunin, sem er bindandi, lýtur að úrlausn deilumáls í kjölfar þess að lögð voru fram drög að ákvörðun írsku persónuverndarstofnunarinnar (DPC), sem forystustjórnvalds, í máli sem varðar Twitter International Company (TIC). DPC bárust andmæli hlutaðeigandi persónuverndarstofnana gegn drögunum sem hún taldi að ekki væri þörf á að bregðast við og fór málið því til ráðsins.

Vegna Covid-19 faraldursins hafa fundir Evrópska persónuverndarráðsins farið fram í gegnum fjarfundabúnað frá því í apríl. Hér að neðan má finna yfirlit yfir fundi ráðsins í október og nóvember.

Persónuvernd veitti embætti landlæknis álit um að heilbrigðisstarfsmönnum og heilbrigðisþjónustu hvers konar væri heimilt að miðla persónuupplýsingum um heilbrigðisstarfsmenn, þ.á.m. upplýsingum um refsiverða háttsemi og viðkvæmar persónuupplýsingar til embættisins þannig að það geti sinnt eftirlitshlutverki sínu með heilbrigðisstarfsmönnum og heilbrigðisþjónustu í almannaþágu. Í álitinu kemur annars vegar fram að miðlun lögbærra yfirvalda á persónuupplýsingum heilbrigðisstarfsmanna í fyrrgreindum tilgangi gæti samrýmst lögum nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi. Hins vegar gæti miðlun annarra embætta, stofnana og stjórnvalda á upplýsingum um heilbrigðisstarfsmenn samrýmst lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Þá þyrfti einnig að líta til vægis þagnarskyldu í X. kafla stjórnsýslulaga sem mælir fyrir um trúnaðar- og þagnarskyldu starfsmanna ríkis og sveitarfélaga. Tvær undanþágur eru að finna um fyrrgreinda þagnarskyldu. Annars vegar á þagnarskyldan ekki við þegar um er að ræða upplýsingar um lögbrot eða ámælisverða háttsemi starfsmanns stjórnvalda í tengslum við störf hans. Hins vegar þegar fyrir liggur samþykki hlutaðeigandi eða lagaheimild. Var það mat Persónuverndar að svo að miðlun aðila utan heilbrigðisþjónustu væri heimil yrði önnur tveggja undanþáganna að eiga við, að öðrum kosti væri miðlunin ekki heimil.

Persónuvernd telur að brýnt sé fyrir löggjafann að bregðast við skorti á skýrum lagaheimildum embættis landlæknis svo að það geti sinnt eftirlitshlutverki sínu eins og lög mæla fyrir um.