Upplýsingar um innbústryggingar til Viðlagatryggingar

13.9.2011

Efni:
Svar við fyrirspurn um lögmæti söfnunar Viðlagatryggingar Íslands (VTÍ)
á persónuupplýsingum frá tryggingafélögum, sbr. 24. gr. laga nr. 55/1992.


1.
Fyrirspurn um lögmæti vinnslu

Persónuvernd vísar til bréfs Vátryggingafélags Íslands hf. (VÍS), dags. 30. maí 2011. Þar segir:

„Vátryggingafélag Íslands hf. („VÍS“) átti fund með Verkís (sem sat fund í umboði VTÍ) [...]  þann 16. desember 2010. Þann 17. jaúar 2011 fengu vátryggingafélög þessi minnisblað um fundinn og var þar orðað hvaða upplýsinga óskað var frá félögunum.

Á fundinum var kynnt reiknimódel sem Verkís hefur unnið að fyrir VTÍ sem getur áætlað mögulegan kostnað vegna skemmda á byggingum vegna jarðskjálfta á ákveðnum stað og af ákveðinni stærð. VTÍ vilja nú að Verkís kanni tjónnæmi vegna innbússkemmda á sambærilegan hátt.

Af því tilefni hefur Verkís farið fram á að fá lista yfir innbústryggingar á öllu landinu ásamt hámarksbótafjárhæð í hverju tilfelli. Listinn þarf að vera tengdur við viðkomandi fasteignir en þá er um persónugreinanlegar upplýsingar að ræða.

Samkvæmt 7. gr. laga um [persónuvernd og meðferð persónuupplýsinga] nr. 77/2000 skal ábyrgðaraðili (VÍS í þessu tilfelli) gæta þess að upplýsingar séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, en frekari vinnsla í sagnfræðilegum, tölfræðilegum og vísindalegum tilgangi telst ekki ósamrýmanleg að því tilskildu að viðeigandi öryggis sé gætt.

Að mati VÍS hefur fyrirhuguð vinnsla Verkís vísindalegan og tölfræðilegan tilgang og fellur einna helst undir 5. tl. 1. mgr. áðurnefndra laga, sem tiltekur almannahagsmuni. Þá hefur VTÍ heimildir til að fá upplýsingar frá vátryggingafélögum í samræmi við lög um Viðlagatryggingu Íslands nr. 55/1992.

Óskað er leiðbeiningar frá Persónuvernd vegna framangreinds. Það skal tekið fram að þessar upplýsingar hafa ekki verið gefnar. Óskað er svara við því hvort Persónuvernd telji eitthvað því til fyrirstöðu að upplýsingar þessar verði afhentar? Þarf VÍS að tilkynna það formlega til Persónuverndar?“

Verkís, sem er vinnsluaðili fyrir VTI, sendi tilkynningu um vinnsluna til Persónuverndar. Sú tilkynning fékk númerið S5215/2011. Þar kemur fram að tilgangur vinnslunnar sé að áætla hugsanlegar bótagreiðslur Viðlagatryggingar Íslands vegna tjóns á vátryggðu lausafé (innbúum á Íslandi af völdum jarðskjálfta). Jafnframt segir að niðurstöður áhættugreiningar verði á engan hátt hægt að rekja til einstaklinga. Persónuvernd barst að auki tölvubréf, dags. 28. júní 2011, frá J, f.h. Verkís, í kjölfar símtals við starfsmann stofnunarinnar. Þar segir m.a.:

„Eftir að upplýsingar um vátryggð innbú og lausafé frá öllum tryggingarfélögunum hafa borist, verða gögnin unnin þannig að fyrir hverja vátryggingu verða aðeins til upplýsingar um landfræðilega staðsetningu (x og y hnit) og vátryggingarfjárhæð. Öllum öðrum upplýsingum verður eytt.  
Vinnugögnin eru geymd á læstu svæði og aðeins 1-2 starfsmenn hafa aðgang að gögnunum. Fyrirhugað áhættulíkan sækir landfræðileg hnit og vátryggingarfjárhæðir og skilar mati á fjárhagslegu heildartjóni vegna hamfaraatburðar. Útilokað er að rekja niðurstöður útreikninga til einstaklinga.“

2.
Svar Persónuverndar
Þau lög, sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. og 1. og 2. tölul. 2. gr. laganna. Hér ræðir um vinnslu slíkra upplýsinga og verður hún því að fullnægja þeim skilyrðum sem fram koma í lögunum.

2.1.
Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju skilyrðanna í 1. mgr. 8. gr. laga nr. 77/2000 og eftir atvikum 1. mgr. 9. gr., ef um viðkvæmar persónuupplýsingar er að ræða. Af bréfi VÍS má ráða að um sé að ræða almennar persónuupplýsingar og er því nægilegt að einhverju skilyrðanna í 1. mgr. 8. gr. laganna sé fullnægt.

Þar sem VTÍ er stjórnvald er það bundið af lögmætisreglu stjórnsýsluréttar. Af reglunni leiðir að ákvarðanir, s.s. um vinnslu persónuupplýsinga, verða að vera í samræmi við lög og eiga sér viðhlítandi stoð í þeim. Samkvæmt 3. tölul. 8. gr. er vinnsla almennra persónuupplýsinga heimil sé hún nauðsynleg til þess að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Í því sambandi þarf að líta til laga nr. 55/1992 um Viðlagatryggingu Íslands. Samkvæmt 1. gr. laganna er það hlutverk VTÍ að vátryggja gegn tjóni af völdum náttúruhamfara sem nefndar eru í 4. gr. sömu laga. Í 24. gr. laganna segir jafnframt:

Viðlagatrygging Íslands getur krafið vátryggingafélög um hvers konar gögn og upplýsingar er varða störf þeirra fyrir stofnunina. Stofnunin á einnig rétt á að fá á venjulegum skrifstofutíma óhindraðan og tafarlausan aðgang að bókhaldi félaganna og öðrum gögnum varðandi iðgjöld af viðlagatryggingu.

2.2.
Með vísun til framangreinds má leiða af 24. gr. laga nr. 55/1992 um Viðlagatryggingu Íslands að henni sé heimilt að fá afhent umrædd gögn frá VÍS. Persónuvernd bendir hins vegar á að fylgja ber öðrum ákvæðum laganna, þ. á m. reglum 7. gr. um gæði vinnslu og reglum 11. gr. um öryggi. Þá ber að gæta þess að samningur VTÍ og VÍS uppfylli skilyrði 13. gr. laga nr. 77/2000.