um breyting á lögum um persónuvernd og meðferð persónuupplýsinga, nr. 77 23. maí 2000,
með síðari breytingum.
(Lagt fyrir Alþingi á 128. löggjafarþingi 2002–2003.)
1. gr.
6. tölul. 2. gr. laganna orðast svo: Rafræn vöktun: Vöktun sem er viðvarandi eða endurtekin reglulega og felur í sér eftirlit með einstaklingum með fjarstýrðum eða sjálfvirkum
búnaði, og fer fram á almannafæri eða á svæði sem takmarkaður hópur fólks fer um að
jafnaði. Hugtakið tekur til:
a.
vöktunar sem leiðir, á að leiða eða getur leitt til vinnslu persónuupplýsinga, og
b.
sjónvarpsvöktunar sem fer fram með notkun sjónvarpsmyndavéla, vefmyndavéla eða
annars samsvarandi búnaðar, án þess að fram fari söfnun myndefnis eða aðrar aðgerðir
sem jafngilda vinnslu persónuupplýsinga.
2. gr.
4. gr. laganna orðast svo ásamt fyrirsögn:
Rafræn vöktun.
Rafræn vöktun er ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn
vöktun svæðis þar sem takmarkaður hópur fólks fer um að jafnaði er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.
Vinnsla persónuupplýsinga sem á sér stað í tengslum við rafræna vöktun skal uppfylla
ákvæði laga þessara.
Um sjónvarpsvöktun fer, auk ákvæðis 1. mgr., samkvæmt ákvæðum 24. gr. og 40. gr.
3. gr.
2. mgr. 8. gr. laganna orðast svo:
Vinnsla persónuupplýsinga í þágu gerðar ættfræðirita og æviskrárrita er heimil, enda taki
hún aðeins til þess þegar unnið er með almennar lýðskrárupplýsingar, svo sem nöfn einstaklinga, hvar og hvenær þeir eru fæddir og látnir, starf þeirra, hvar þeir hafa haft búsetu og
hvernig þeir eru skyldir og tengdir hver öðrum.
4. gr.
Á eftir 3. mgr. 9. gr. laganna kemur ný málsgrein er orðast svo:
Persónuvernd getur heimilað vinnslu viðkvæmra persónuupplýsinga þegar um er að ræða
vinnslu sem fellur undir 2. mgr. 8. gr., enda gangi það ekki gegn hagsmunum hins skráða eða
niðja hans.
5. gr.
Lög þessi öðlast þegar gildi.
Athugasemdir við lagafrumvarp þetta.
Frumvarp þetta er samið í dómsmálaráðuneytinu. Í fyrsta lagi hefur það að geyma skýrari
ákvæði um rafræna vöktun en eru í núgildandi lögum. Persónuvernd hefur talið að núgildandi
ákvæði séu villandi í lögunum, t.d. hafi ríkt nokkur óvissa um hvenær rafræn vöktun með
notkun myndbandstækni sé tilkynningarskyld. Er því lagt til að kveðið verði á um að rafræn
vöktun taki til vöktunar sem leiði, eigi að leiða eða geti leitt til vinnslu persónuupplýsinga.
Skuli slík vinnsla lúta ákvæðum laganna sem og önnur vinnsla persónuupplýsinga. Þá skuli
einnig teljast til rafrænnar vöktunar svonefnd sjónvarpsvöktun, þótt hún hvorki leiði né geti
leitt til vinnslu persónuupplýsinga. Þannig skuli slík vöktun lúta sömu skilyrðum og önnur
rafræn vöktun eftir því sem við á.
Í öðru lagi miðar frumvarpið að því að skapa ótvíræða lagastoð fyrir hefðbundna söfnun
og vinnslu ættfræðiupplýsinga hér á landi, en Persónuvernd hefur talið að slíka lagastoð
skorti. Rannsóknir í ættfræði eru vinsæl tómstundaiðja fjölda fólks hér á landi og hefur ættfræði öðlast nýtt og hagnýtt gildi á síðustu árum sem undirstaða læknisfræðilegra rannsókna.
Setningu laga um persónuvernd og meðferð persónuupplýsinga var ekki ætlað að koma í veg
fyrir ættfræðigrúsk almennings og er því með frumvarpi þessu lagt til að gerð verði bragarbót á.
Athugasemdir við einstakar greinar frumvarpsins.
Um 1. gr.
Persónuvernd hefur bent á að í framkvæmd gildandi laga um persónuvernd og meðferð
persónuupplýsinga hafi komið í ljós að 6. tölul. 2. gr. sé villandi og ekki í fullu samræmi við
önnur ákvæði laganna. Hafi t.d. ríkt nokkur óvissa um það hvenær rafræn vöktun með notkun
myndbandstækni sé tilkynningarskyld og hvenær svo sé ekki. Með greininni er lagt til að
hugtakið rafræn vöktun taki í fyrsta lagi til vöktunar sem leiðir, á að leiða eða getur leitt til
vinnslu persónuupplýsinga. Til dæmis er hér átt við það þegar myndefni er safnað með
aðferðum sem gera kleift að finna upplýsingar um tiltekna einstaklinga með skjótvirkum
hætti. Það gæti átt við ef skráð er með kerfisbundnum hætti hvar í myndbandasafni sé að
finna myndir af tilteknum einstaklingum. Með þessu er einnig átt við vöktun, sem í eðli sínu
getur leitt til vinnslu persónuupplýsinga, t.d. þegar myndefni er safnað með stafrænni aðferð.
Í öðru lagi er greininni ætlað að skýra betur en núverandi ákvæði gera, að undir hugtakið
„rafræn vöktun“ falli svonefnd sjónvarpsvöktun, þótt hún hvorki leiði né geti leitt til vinnslu
persónuupplýsinga. Undir hugtakið falla t.d. þau tilvik þar sem upplýsingar eru ekki geymdar
í skráningarkerfi með aðferð sem gerir kleift að finna með skjótvirkum hætti upplýsingar sem
tengjast tilteknum einstaklingum.
Til þess að skýra þann mun sem er á sjónvarpsvöktun og annarri rafrænni vöktun má
nefna það dæmi, að maður setji upp vefmyndavél og birti það sem ber fyrir linsu vélarinnar
beint á vefsíðu án þess að safna myndefninu. Er slíkt dæmi um sjónvarpsvöktun. Ef einhver
annar hleður hins vegar slíku myndefni á geymslumiðil, t.d. tölvudisk, getur hann talist hafa
framkvæmt vinnslu persónuupplýsinga. Slíkt hlýtur þó að velta á atvikum hverju sinni, einkum því hvort unnt sé að bera kennsl á þá sem birtast á myndunum.
Það sem hér að framan greinir er í samræmi við efni 14. og 15. liðar aðfaraorða tilskipunar
Evrópusambandsins um meðferð persónuupplýsinga nr. 95/46/EB, sem tekin hefur verið í
EES-samninginn. Þar segir m.a.:
„14. Í upplýsingaþjóðfélaginu á sér nú stað mikilvæg framþróun í þeirri tækni sem notuð
er til að taka upp, senda, meðhöndla, skrá, geyma upplýsingar eða miðla þeim í hljóði
og mynd um einstaklinga og því er rétt að þessi tilskipun gildi um vinnslu slíkra upp lýsinga.
15. Þessi tilskipun tekur aðeins til vinnslu slíkra upplýsinga ef vinnslan er með rafrænum
hætti eða ef hinar unnu upplýsingar eru geymdar, eða geyma á þær, í skráningarkerfi,
sem er byggt upp samkvæmt sérstökum viðmiðunum er tengjast einstaklingum þannig
að auðvelt sé að nálgast umræddar persónuupplýsingar.“
Orðin „með rafrænum hætti“ í 15. lið aðfaraorðanna er þýðing á orðunum „automatic processing“ í hinum enska texta tilskipunarinnar, en með því er átt við sjálfvirka, þ.e. stafræna
vinnslu. Til frekari skýringar er bent á að í dönskum texta tilskipunarinnar eru notuð orðin
„elektronisk behandling“. Af því leiðir að þegar hljóð- og myndbandsupptökur eru varðveittar í hliðrænu formi en ekki í „skráningarkerfi, sem er byggt upp samkvæmt sérstökum
viðmiðunum er tengjast einstaklingum þannig að auðvelt sé að nálgast umræddar persónuupplýsingar“ (sbr. framangreint orðalag 15. liðar), telst það ekki vera vinnsla persónuupplýsinga.
Um 2. gr.
Ákvæði 1. mgr. þessarar greinar er nú að finna í 2. mgr. 8. gr. gildandi laga. Hér er ekki
um efnisbreytingu að ræða, einungis er lagt til að ákvæðið verði flutt í 4. gr. laganna, þannig
að öllum ákvæðum um rafræna vöktun sé skipað saman í eina grein.
Ákvæði 2. mgr. er ætlað að hnykkja á því að um vinnslu persónuupplýsinga, sem verður
í tengslum við rafræna vöktun, skuli fara eftir ákvæðum laganna. Er þá til dæmis átt við að
skilyrðum 8. gr. og eftir atvikum 9. gr. sé fullnægt. Að öðru leyti er um efni greinarinnar
vísað til athugasemdar með því frumvarpi er varð á lögum nr. 81/2002, um breyting á lögum
nr. 77/2000.
Ákvæði 3. mgr. kemur í stað ákvæðis sem nú er að finna í 4. gr. laganna og er efni þess
að nokkru leyti sambærilegt. Þó er lögð til breyting á ákvæðinu í ljósi þess að almenn ákvæði
um vinnslu persónuupplýsinga geta eðli málsins samkvæmt ekki átt við um sjónvarpsvöktun
sem hvorki leiðir til né getur leitt til slíkrar vinnslu, sbr. 1. gr. frumvarpsins. Tekið er fram
í 3. mgr. að um þess konar vöktun gildi ákvæði 24. gr., um viðvaranir um að vöktun fari
fram, og 40. gr. um stöðvun ólögmætrar vöktunar. Það gæti t.d. átt við um notkun véla sem
með öflugum myndaðdrætti gerði kleift að fylgjast með einkalífi fólks, t.d. innan veggja
heimilis þess. Þá lýtur slík vöktun ávallt skilmálum um tilgang hennar, svo sem að tryggja
öryggi fólks og eigna og að ekki sé gengið lengra en þörf krefur til þess að ná því markmiði.
Um 3. mgr. vísast að öðru leyti til skýringa við 1. gr. frumvarpsins.
Um 3. gr.
Hér er lagt til að mælt verði fyrir um heimild til vinnslu ættfræðiupplýsinga og má um
aðdraganda þess vísa til almennu athugasemdanna hér að framan.
Í lögunum sem giltu um meðferð persónuupplýsinga fyrir setningu núgildandi laga, þ.e.
laga nr. 121/1989, var í 2. gr. tekið fram að skráning í þágu ættfræðirita og æviskrárrita félli
utan marka laganna. Í athugasemdum við frumvarp til þeirra laga kom hins vegar fram að við
ættfræðirannsóknir og samningu æviskrárrita yrði eigi að síður að gæta annarra reglna um
vernd einkalífs. Í ljósi þess lét tölvunefnd á sínum tíma það álit í ljós að hún teldi eðlilegt að
við vinnslu slíkra rita yrði sýnd tillitssemi og byggt á samþykki hlutaðeigandi fyrir birtingu
upplýsinga um einkalífsatriði, t.d. um hjúskaparstöðu annars fólks (svo sem foreldra), um
nöfn fyrri maka, barnsfeðra/mæðra, um einkunnir, ættleiðingar o.s.frv. Hins vegar var að
mati tölvunefndar talið hæpið að menn gætu varnað því að í slíkum ritum birtust um þá almennt aðgengilegar upplýsingar, en með því átti nefndin við upplýsingar um nafn, fæðingar dag, nöfn niðja, foreldra og núverandi maka, um menntun og opinberar stöður sem menn
hefðu gegnt.
Í frumvarpi þessu er að mestu byggt á þessu viðhorfi. Lagt er til að heimild til vinnslu
ættfræðiupplýsinga taki einungis til almennra lýðskrárupplýsinga og eru dæmi þeirra talin
upp í ákvæðinu, þ.e. nöfn einstaklinga, hvar og hvenær þeir eru fæddir og látnir, starf þeirra,
hvar þeir hafa haft búsetu og hvernig þeir eru skyldir hver öðrum. Tekið skal fram í þessu
sambandi að telja verður að upplýsingar um ættleiðingu geti tilheyrt síðastnefndum flokki.
Það þykir í samræmi við breyttan tíðaranda, breyttar aðstæður við ættleiðingar almennt og
aukinn aðgang að upplýsingum um ættleiðingar.
Um vinnslu annarra almennra persónuupplýsinga og viðkvæmra persónuupplýsinga fer
samkvæmt ákvæðum 8. og 9. gr. laganna eftir því sem við á. Enn fremur ber að hafa í huga
ákvæði 33. gr. laganna um leyfisskylda vinnslu. Þar er mælt fyrir um að vinnsla persónuupplýsinga geti verið háð sérstöku samþykki Persónuverndar eða skilmálum í reglum settum skv.
33. gr., sé sérstök hætta á að farið verði í bága við réttindi og frelsi skráðra aðila. Þetta gæti
t.d. átt við um birtingu ættfræðiupplýsinga á vefnum. Sem dæmi um tilvik sem hvorki falla
undir almennar lýðskrárupplýsingar né viðkvæmar persónuupplýsingar má nefna upplýsingar
um frammistöðu í námi eða starfi eða sambærileg atriði. Mundu þau tilvik falla undir viðeigandi ákvæði 8. gr. (t.d. vera háð samþykki hins skráða) eða vera leyfisskyld skv. 33. gr.
Að lokum skal tekið fram að samkvæmt lokamálslið 2. mgr. 3. gr. laga nr. 77/2000 gilda
þau ekki um meðferð einstaklings á persónuupplýsingum sem eingöngu varða einkahagi hans
eða eru einvörðungu ætlaðar til persónulegra nota. Við samningu frumvarps þessa hefur verið
litið svo á að undir hið síðarnefnda falli söfnun og vinnsla ættfræðiupplýsinga t.d. í sambandi
við svokölluð ættarmót fólks, þar sem venja er að leggja fram yfirlit um ættartengsl og ættingja í nokkrar kynslóðir. Hefur þá upplýsingum um það efni verið safnað og þeim raðað
saman til upplýsinga og ánægju fyrir þátttakendur.
Um 4. gr.
Hér er lögð til sú viðbót við 9. gr. laganna að Persónuvernd geti heimilað vinnslu viðkvæmra persónuupplýsinga við vinnslu ættfræði- eða æviskrárrita, enda gangi það ekki gegn
hagsmunum hins skráða eða niðja hans. Slík heimild þykir nauðsynleg þegar um er að ræða
persónuupplýsingar um látna menn, en torvelt er að sjá að önnur heimildarákvæði 9. gr. eigi
þá við.
Um 5. gr.
Greinin þarfnast ekki skýringa.
Fylgiskjal.
Fjármálaráðuneyti,
fjárlagaskrifstofa:
Umsögn um frumvarp til laga um breyting á lögum um persónuvernd og meðferð
persónuupplýsinga, nr. 77/2000, með síðari breytingum.
Með frumvarpinu eru lagðar til breytingar á ákvæðum laga um persónuvernd og meðferð
persónuupplýsinga sem miða annars vegar að því að gera ákvæði um rafræna vöktun skýrari og hins vegar að skjóta lagastoð undir hefðbundna vinnslu upplýsinga fyrir ættfræði- og æviskrárrit. Ekki er ástæða til að ætla að lögfesting frumvarpsins hafi áhrif á útgjöld ríkissjóðs.