breyting á ýmsum lögum vegna endurskoðunar örorkulífeyriskerfis almannatrygginga.
Forseti. Ég tel að í þessu frumvarpi felist margar góðar breytingar sem ég vona að nái í gegn. Eins og áður hefur komið fram er samt sem áður ýmislegt sem þarf að skoða betur. Það sem mig langar til að gera að umfjöllunarefni mínu í þessari 1. umræðu er mikilvægt atriði sem ég tæpti á í andsvörum mínum við hæstv. ráðherra hér rétt áðan, við hans framsöguræðu. Mig langar svolítið að taka upp þráðinn þar sem frá var horfið. Það sem mér er sérstaklega hugleikið við lestur þessa frumvarps og greinargerðarinnar með því er hvernig tekið er á persónuvernd.
Mig langar kannski að byrja á því að fara örstutt yfir það til hvers við erum með reglur um persónuvernd og hvað felst í þeim. Það hefur nefnilega borið á því, hefur mér þótt, hjá þingmönnum og jafnvel stjórnvöldum á ýmsum stigum, að það skorti skilning á tilgangi reglna um persónuvernd og stundum er eins og fólk telji að þeim sé eingöngu ætlað að vera til trafala. En svo er ekki. Reglur um persónuvernd og meðferð persónuupplýsinga ganga fyrst og fremst út á það að fólk, einstaklingar, persónur, hafi stjórn, forræði, á eigin persónuupplýsingum. Stundum er nauðsynlegt að persónuupplýsingum sé miðlað á milli aðila, t.d. stofnana og annarra stjórnvalda, og oft er það forsenda fyrir því að hinn skráði einstaklingur, persónan, njóti þeirrar þjónustu og þeirrar aðstoðar sem hann á rétt á. Og það er sannarlega það sem um ræðir í því frumvarpi sem við ræðum hér.
Eins og kemur fram í frumvarpinu er ákveðin miðlun persónuupplýsinga, eins og það er kallað, nauðsynleg til þess að markmið frumvarpsins náist. Reglur um persónuvernd og miðlun persónuupplýsinga og meðferð þeirra snúast ekki um að ekki megi miðla persónuupplýsingum. Þær snúast fyrst og fremst um það hvernig það er gert, hver ramminn er utan um það. Það sem skiptir máli við vinnslu persónuupplýsinga almennt er að einstaklingurinn sem á upplýsingarnar sé meðvitaður um vinnsluna, hann veiti samþykki sitt fyrir vinnslunni eftir því sem við á og að aðeins þeim upplýsingum sé miðlað sem nauðsynlegar eru til að ná markmiðum sem hafa verið skýrt skilgreint. Þetta er tilgangur laga um persónuvernd og miðlun persónuupplýsinga, þ.e. að vernda einstaklinga, þeirra persónu.
Ég beindi þeirri spurningu til hæstv. ráðherra, í andsvari mínu við framsöguræðu hans, hvers vegna ekki hefði verið gengið lengra í að svara athugasemdum Persónuverndar, embættisins, sem gerðar hafa verið við frumvarpið. Svör hæstv. ráðherra voru kannski eilítið óljós þannig að ég læt þau liggja á milli hluta. Ég hef áhyggjur af því að ekki hafi verið nægilega gætt að þessum sjónarmiðum við vinnslu frumvarpsins og tel ljóst að ekki hafi verið komið til móts við allar athugasemdir Persónuverndar. En Persónuvernd, embættið, stofnunin, hefur það hlutverk að gæta hagsmuna almennings þannig að mannréttindi séu ekki brotin við meðferð persónuupplýsinga.
Í greinargerð með frumvarpinu sem við ræðum hér segir, með leyfi forseta:
„Í umsögn Persónuverndar er m.a. bent á að mat á skertri starfsorku og samstarf þjónustukerfa sem kveðið er á um í frumvarpinu feli í sér skyldur til vinnslu persónuupplýsinga. Persónuvernd telur að vinnsla persónuupplýsinga samkvæmt frumvarpsdrögunum verði mjög umfangsmikil og kunni að fela í sér íhlutun í rétt einstaklinga til einkalífs.“ — Sem er sannarlega stjórnarskrárvarinn.
Síðan segir:
„Í ljósi ábendinga Persónuverndar var bætt við sérstakri umfjöllun um samræmi frumvarpsins við stjórnarskrá og alþjóðlegar skuldbindingar hvað varðar friðhelgi einkalífs í 4. kafla. Þá voru gerðar orðalagsbreytingar í kafla 6.5 um mat á áhrifum á persónuvernd svo að skýrt kæmi fram að við vinnslu frumvarpsins hefði verið gert mat á áhrifum á persónuvernd, sbr. 1. mgr. 29. gr. laga um persónuvernd og vinnslu persónuupplýsinga …“.
Í greinargerðinni verður svar hæstv. ráðherra við andsvari mínu hér áðan tiltölulega óljóst þar sem hann talaði um að mat á áhrifum á persónuvernd færi fram síðar þegar búið væri að hanna tölvukerfi sem ætlað væri að halda utan um þessi gögn. Hins vegar kemur fram í greinargerðinni, líkt og ég var að vísa til, að við vinnslu frumvarpsins hefði verið gert mat á áhrifum á persónuvernd.
Eins og kom fram í máli mínu áðan þá snýst mat á áhrifum á persónuvernd ekki um það að sleikja fingurinn og stinga honum upp í loftið og velta því fyrir sér hvort allt sé í lagi. Hins vegar er öllum athugasemdum Persónuverndar, sem hafa komið fram, ekki svarað. Þetta mat er ekki ítarlega skilgreint í greinargerð með frumvarpinu. Það vekur upp ákveðnar áhyggjur að þessu skuli ekki vera svarað. Það sem var gert í kjölfar athugasemda Persónuverndar var í raun einungis það að bætt var við mjög stuttum og almennt orðuðum kafla í greinargerð með lögunum sem er auðvitað ekki nóg. Og þá er ekki tekið á öðrum athugasemdum Persónuverndar varðandi það t.d. að vafi leiki á því hvort reglugerðarákvæði dugi til þess að víkja frá þagnarskyldu heilbrigðisstarfsfólks eða hvort lagaheimild þurfi til þess. Hvers vegna er þessu ekki svarað í greinargerð með frumvarpinu? Þessu er ekki svarað. Og enn fremur: Hvers vegna er ekki brugðist við þessari athugasemd með því einmitt að kanna hvort ástæða sé til að setja þessi viðmið, þessar heimildir, í lögin en ekki í reglugerð eins og gert er ráð fyrir. Þessi kafli sem bætt er við greinargerðina virkar mjög hraðsoðinn og einkennist af fullyrðingum um að allt sé í lagi án nánari skýringa. En kaflinn er svohljóðandi, með leyfi forseta, mjög stuttur:
„Við vinnslu frumvarpsins var litið til laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, og var gert mat á áhrifum sem er fyrirsjáanlegt að frumvarpið hafi á persónuvernd, sbr. 29. gr. þeirra laga. Vinnsla persónuupplýsinga sem leiðir af frumvarpinu er nauðsynleg, m.a. til að tryggja að hlutaðeigandi einstaklingar geti nýtt sér réttindi samkvæmt löggjöf um almannatryggingar og félagslega vernd, sem og til að tryggja heildræna nálgun við mat á þjónustuþörf einstaklinga í tengslum við endurhæfingu þar til endurhæfing telst fullreynd og til að unnt sé að greiða einstaklingi þær greiðslur almannatrygginga sem hann á rétt á miðað við stöðuna á hverjum tíma. Mat á áhrifum á persónuvernd leiddi í ljós að í þeim tilgangi að ná markmiðum frumvarpsins um snemmtæka íhlutun, samfellda þjónustu og trygga framfærslu er talið mikilvægt að heimila þá vinnslu persónuupplýsinga sem gert er ráð fyrir.“
Gott og vel. Ég held að ljóst sé að vinnsla ákveðinna persónuupplýsinga sé nauðsynleg til að markmiðum þessa frumvarps verði náð. Ég held að hægt sé að taka undir þetta.
Hins vegar segir svo í þessum stutta kafla:
„Áhætta af vinnslu persónuupplýsinga er ekki talin of mikil miðað við þann ávinning sem fengist við bætt kerfi.“
Þetta eru mjög almennar fullyrðingar um að ekki sé gengið lengra en þörf krefur, að mat hafi farið fram og að vinnsla þeirra upplýsinga sem á að miðla samkvæmt lögunum sé nauðsynleg. En lengri er umfjöllunin ekki.
Forseti. Þetta vekur upp áhyggjur af því annars vegar að athugasemdir Persónuverndar séu ekki teknar nógu alvarlega og að þessari almennu umfjöllun hafi verið skellt saman án mikillar ígrundunar. Þarna er þessum fullyrðingum og hraðsoðnum yfirlýsingum fleygt fram án frekari skýringa. Eins og ég sagði í upphafi ræðu minnar er tilgangur laga um persónuvernd alls ekki að skapa tregðu í kerfinu heldur tryggja að einstaklingar hafi ávallt forræði á sínum persónuupplýsingum og að ekki sé gengið of langt í miðlun persónuupplýsinga af hálfu stjórnvalda og annarra. Enn fremur að heimildir til miðlunar persónuupplýsinga séu ekki svo opnar og víðtækar og matskenndar að auðvelt sé að misnota þær í öðrum tilgangi en lögin gera ráð fyrir. Um það snýst þetta og út á það ganga athugasemdir Persónuverndar.
Miðlun persónuupplýsinga er mjög oft nauðsynleg og þá þarf að heimila hana. Það er ekki það sem Persónuvernd mótmælir né sú er hér stendur eða aðrir, en það þarf að gera það með réttum hætti til að tryggja réttindi einstaklinga, til að tryggja að kerfið, sem hefur mörg andlit, notfæri sér ekki of óljósar heimildir til slíkrar miðlunar í öðrum tilgangi en þær voru ætlaðar. Við megum því ekki, hæstv. ráðherra, líta á þetta sem eitthvað sem við getum skautað fram hjá í flýti með fullyrðingum um að miðlun persónuupplýsinga sé nauðsynleg til að gæta réttinda fólks. Það þarf að vera á hreinu að við séum að búa þannig um heimildirnar að þær séu að gæta réttinda fólks en ekki að skerða þau.
Forseti. Við erum löggjafinn. Við þurfum að vanda til verka. Við erum bundin af stjórnarskránni, þeim mannréttindum sem þar eru skráð, í okkar störfum. Fullyrt er í greinargerð, líkt og fram kom hér áðan, að mat á áhrifum á persónuvernd hafi farið fram. Engin frekari umfjöllun er hins vegar um það mat. Markmið með heimild til miðlunar persónuupplýsinga þarf að vera skýrt. Það er ekki nóg að þau séu góð og göfug heldur felast í slíku mati, í mati á áhrifum á persónuvernd, skýrir þættir sem betur hefði farið á að kæmu fram í greinargerðinni. Þessi almenna umfjöllun án skýringa vekur upp áhyggjur af því að henni sé slengt fram án þess að raunverulegt mat á áhrifum á persónuvernd hafi farið fram. Hvað felst í slíku mati? Persónuvernd hefur gefið út greinargóðar leiðbeiningar um það sem koma þarf fram í formlegu mati á áhrifum á persónuvernd en það er m.a. kerfisbundin lýsing á fyrirhugaðri vinnslu, lýsing á eðli vinnslunnar — er það miðlun upplýsinga, miðlun mynda eða annað slíkt — umfangið, hversu miklar upplýsingar, samhengið og tilgangurinn. Það þarf að koma nákvæmlega fram um hvaða persónuupplýsingar er að ræða, hverjir séu viðtakendur og hversu lengi eigi að varðveita upplýsingarnar. Það þarf að koma fram lýsing á þeim vélbúnaði, hugbúnaði, neti, fólki, pappír sem nota á til vinnslunnar. Þá þarf að koma fram hvort vinnsluaðgerðirnar séu nauðsynlegar og hóflegar miðað við tilganginn. Þar er ekki nóg að segja bara já eða nei, eins og gert er í greinargerðinni, það þarf að útskýra hvers vegna miðlun tiltekinna upplýsinga er nauðsynleg og hvers vegna ekki er hægt að ná settu markmiði með miðlun minni upplýsinga eða án miðlunar þeirra. Það þarf að koma fram rökstuðningur á nauðsyn og meðalhófi vinnslunnar. Er tilgangurinn skýrt skilgreindur og lögmætur? Er til staðar fullnægjandi heimild fyrir vinnslunni sem getur verið af ólíku tagi? Það getur verið samþykki, samningur, lagaskylda, almannahagsmunir, lögmætir hagsmunir o.s.frv. Þá þarf líka að koma fram hvort upplýsingarnar sem vinna á með séu nægilegar, hvort þær séu viðeigandi og enn og aftur hvort þær takmarkist við það sem nauðsynlegt er; meðalhófið er mjög ríkjandi í þessu öllu saman. Þá þarf að hafa verið tekin afstaða til þess hvenær eyða eigi upplýsingunum og í tilviki stjórnvalda þarf að taka tillit til ákveðinnar skilaskyldu en það er kannski út fyrir efnið hér. Ekkert af þessu kemur fram í greinargerðinni.
Virðulegi forseti. Ég hef áhyggjur af því að þessi ríkisstjórn sé ekki fullmeðvituð um þýðingu hugtaksins persónuvernd. Þetta skiptir máli. Persónuvernd er ekki einkaáhugamál embættisins Persónuverndar. Þetta snýst um réttindi einstaklinga og í þessu tilviki einstaklinga sem eiga sérstakra hagsmuna að gæta, eiga gjarnan undir högg að sækja og geta illa borið hönd fyrir höfuð sér. Þá skiptir enn meira máli að við, löggjafinn, sýnum ábyrgð við setningu reglna til að tryggja réttindi þeirra.
Í umsögn Öryrkjabandalags Íslands um frumvarpið segir, með leyfi forseta:
„Persónuverndarhlutar frumvarpsins almennt eru gríðarlega mikilvægir og verður að tryggja vernd einstaklinga, þar sem nýju kerfi er ætlað að halda utan um miklar persónugreinanlegar upplýsingar á fjölmörgum stöðum þjónustunnar.“
Forseti. Reglugerð Evrópusambandsins um persónuvernd og miðlun persónuupplýsinga var bylting í vernd réttinda einstaklinga í þeim heimi sem við búum í, með tækniþróun sem er örari en flest okkar hafa heila til að skilja sem gerir stjórnvöldum og öðrum aðilum auðvelt að miðla persónuupplýsingum okkar. Við verðum að taka þessar reglur (Forseti hringir.) og þessi viðmið alvarlega. Við erum löggjafinn, ekki einhver hobbíklúbbur úti í bæ og okkur ber að vanda til verka og tryggja rétt fólks til mannvirðingar og mannlegrar reisnar.
