Lög

um breyting á lögum um persónuvernd og meðferð persónuupplýsinga,

nr. 77 23. maí 2000.

1. gr.

Eftirfarandi breytingar verða á 9. gr. laganna:

a.	Á eftir 1. mgr. kemur ný málsgrein sem orðast svo:

Þrátt fyrir að skilyrði 1. mgr. séu ekki uppfyllt er heimilt, í tengslum við framkvæmd rafrænnar vöktunar, að safna efni sem verður til við vöktunina, svo sem hljóð- og myndefni, með viðkvæmum persónuupplýsingum ef eftirfarandi skilyrði eru uppfyllt:

1.	að vöktunin sé nauðsynleg og fari fram í öryggis- og eignavörsluskyni;

2.	að það efni sem til verður við vöktunina verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða samkvæmt ákvörðun Persónuverndar; heimilt er þó að afhenda lögreglu efni með upplýsingum um slys eða refsiverðan verknað en þá skal þess gætt að eyða öllum öðrum eintökum af efninu;

3.	að því efni sem safnast við vöktunina verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það, nema sérstök heimild Persónuverndar skv. 3. mgr. standi til frekari varðveislu.

b.	Í stað orðanna 1. mgr." í 2. mgr., sem verður 3. mgr., kemur: 1. og 2. mgr.

2. gr.

20. gr. laganna orðast svo:

Fræðsluskylda þegar persónuupplýsinga er aflað hjá hinum skráða.

Þegar ábyrgðaraðili aflar persónuupplýsinga hjá hinum skráða sjálfum skal hann upplýsa hinn skráða um eftirtalin atriði:

1.	nafn og heimilisfang ábyrgðaraðila og eftir atvikum fulltrúa hans skv. 6. gr.,

2.	tilgang vinnslunnar,

3.	aðrar upplýsingar, að því marki sem þær eru nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna, svo sem upplýsingar um:

a.	viðtakendur eða flokka viðtakenda upplýsinganna,

b.	hvort honum sé skylt eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa veiti hann þær ekki,

c.	ákvæði laganna um upplýsingarétt hins skráða, svo og rétt hins skráða til leiðréttingar og eyðingar rangra eða villandi persónuupplýsinga um hann.

Ákvæði 1. mgr. gilda ekki hafi hinn skráði þegar fengið vitneskju um þau atriði sem fram koma í 1.–3. tölul. 1. mgr.

3. gr.

21. gr. laganna orðast svo:

Skylda til að láta hinn skráða vita um vinnslu persónuupplýsinga

þegar þeirra er aflað hjá öðrum en honum sjálfum.

Þegar ábyrgðaraðili aflar persónuupplýsinga frá öðrum en hinum skráða skal hann samtímis láta hinn skráða vita af því og greina honum frá þeim atriðum sem talin eru í 3. mgr. Sé ætlun ábyrgðaraðila hins vegar að miðla upplýsingunum innan hæfilegra tímamarka frá öflun þeirra má hann þó fresta því þar til hann miðlar upplýsingunum í fyrsta sinn.

Þrátt fyrir 2. málsl. 1. mgr. skal ábyrgðaraðili sem annast miðlun upplýsinga um fjárhagsmálefni og lánstraust láta hinn skráða vita 14 dögum áður en slíkum upplýsingum er miðlað í fyrsta sinn.

Í tilkynningu til hins skráða skal veita upplýsingar um:

1.	nafn og heimilisfang ábyrgðaraðila og eftir atvikum fulltrúa hans skv. 6. gr.,

2.	tilgang vinnslunnar,

3.	aðrar upplýsingar, að því marki sem þær eru nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna, svo sem upplýsingar um:

a.	tegundir eða flokka þeirra upplýsinga sem unnið er með,

b.	hvaðan upplýsingarnar koma,

c.	viðtakendur eða flokka viðtakenda upplýsinganna,

d.	ákvæði laganna um upplýsingarétt hins skráða, svo og rétt hins skráða til leiðréttingar og eyðingar rangra eða villandi persónuupplýsinga um hann.

Ákvæði 1. mgr. gilda ekki ef:

1.	óframkvæmanlegt er að láta hinn skráða vita eða það leggur þyngri byrðar á ábyrgðaraðila en með sanngirni má krefjast,

2.	ætla má að hinum skráða sé þegar kunnugt um vinnsluna,

3.	lagaheimild stendur til skráningar eða miðlunar upplýsinganna eða

4.	hagsmunir hins skráða af því að fá vitneskju um upplýsingarnar þykja eiga að víkja fyrir veigamiklum almannahagsmunum eða einkahagsmunum, þ.m.t. hagsmunum hans sjálfs.

4. gr.

Við 1. mgr. 32. gr. laganna bætist nýr töluliður sem orðast svo: hvernig uppfyllt séu fyrirmæli 20. og 21. gr.

5. gr.

Við 37. gr. laganna bætist ný málsgrein sem orðast svo:

Persónuvernd setur reglur um rafræna vöktun og vinnslu efnis sem verður til við vöktunina, svo sem hljóð- og myndefnis, þar á meðal um öryggi, varðveislu og notkun þess. Þá getur hún gefið fyrirmæli um rétt þess sem myndaður hefur verið til að skoða myndir sem teknar hafa verið af honum. Persónuvernd setur jafnframt reglur og gefur fyrirmæli um eyðingu efnis sem til verður við framkvæmd rafrænnar vöktunar, ákveður varðveisluaðferð og varðveislutíma og heimilar afhendingu þess í öðrum tilvikum en þeim sem mælt er fyrir um í 2. mgr. 9. gr.

6. gr.

Lög þessi öðlast þegar gildi.

Samþykkt á Alþingi 29. apríl 2002.