Víðtækar heimildir um vinnslu persónuupplýsinga settar í lög

Vegna hertra reglna í nýjum persónuverndarlögum er unnið að breytingum á ýmsum lögum í fagráðuneytum til að tryggja opinberum stofnununum ótvíræða lagaheimild til vinnslu persónu­upplýsinga.

Þegar er komið til kynningar á vef Stjórnarráðsins frumvarp um heimildir nokkurra stofnana sem heyra undir samgöngu- og sveitarstjórnarráðuneytið.

Í drögunum er í nokkrum tilvikum um að ræða heimildir til vinnslu viðkvæmra persónuupplýsinga. Þannig hefur Þjóðskrá Íslands heimildir til vinnslu persónuupplýsinga um heilsufar fólks, þjóðernislegan uppruna, trúarbrögð, hjúskaparstöðu og fleira. Vegagerðin fær heimild til vinnslu fjárhagsupplýsinga og Samgöngustofa fær heimildir til vinnslu heilsufarsupplýsinga, upplýsinga um lyfja-, áfengis- og vímuefnanotkun og upplýsinga um refsiverða háttsemi. Í öllum tilvikum er um vinnslu viðkvæmra persónuupplýsinga að ræða.

„Í frumvarpinu er verið að leggja til þær lágmarksbreytingar sem gera þarf á lögum, sem heyra undir ráðuneytið, til að ná markmiðum sem felast í nýjum persónuverndarlögum,“ segir í svari ráðuneytisins við fyrirspurn Fréttablaðsins.

Sett eru stíf skilyrði fyrir vinnslu persónuupplýsinga og sérstaklega ef um vinnslu viðkvæmra persónuupplýsinga er að ræða. Í 11. gr. nýju persónuverndarlaganna kemur fram að vinnsla slíkra upplýsinga hjá opinberum stofnunum skuli fara fram á grundvelli laga sem kveði á um viðeigandi og sérstakar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.

Ekki er í frumvarpsdrögum samgöngu- og sveitarstjórnarráðuneytisins kveðið á um neinar ráðstafanir af framangreindum toga til að vernda grundvallarréttindi og hagsmuni hins skráða við vinnslu þeirra viðkvæmu persónuupplýsinga sem þar um ræðir.

„Það hvernig hver stofnun fyrir sig gerir viðeigandi og sérstakar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða er ekki til umfjöllunar í frumvarpinu sem slíku,“ segir meðal annars í svari ráðuneytisins við fyrirspurn blaðsins vegna þessa.

Í svarinu er hins vegar vísað til ýmissa ráðstafana sem stofnanir hafa nú þegar gripið til eða muni gera til að tryggja og vernda grundvallarréttindi fólks.

Í frumvarpinu er heldur ekki kveðið á um hver tilgangur vinnslunnar sé að öðru leyti en með tilvísun til lögbundins hlutverks viðkomandi stofnunar. Til að grennslast fyrir um hið lögbundna hlutverk sem geri vinnsluna nauðsynlega þarf eftir atvikum að leita í önnur sérlög.

Vinnsla persónuupplýsinga hjá Þjóðskrá Íslands fær lagastoð í 1. gr. laga um þjóðskrá og almannaskráningu. Stofnunin vinnur með ýmsar viðkvæmar persónuupplýsingar sem ekki lúta allar að skráningu í þjóðskrá heldur varða ýmis önnur verkefni stofnunarinnar samkvæmt sérlögum og leita þarf þangað eftir tilgangi vinnslunnar. Þannig gæti sá sem vill glöggva sig á lagagrundvelli, tilgangi, umfangi og verndarráðstöfunum vegna tiltekinnar vinnslu persónuupplýsinga þurft að lesa sér til í nokkrum ólíkum lagabálkum.

Tilgangur vinnslu heilsufarsupplýsinga hjá Þjóðskrá kemur fram í lögheimilislögum, segir Margrét Hauksdóttir, forstjóri Þjóðskrár Íslands. Fólki, sem búi lengi erlendis, beri að skrá lögheimili sitt þar. Undanþága er gerð vegna þeirra sem dvelja erlendis vegna veikinda og vinnslan lúti að skráningum þar að lútandi.

Aðspurð um hvort íslenskir ríkisborgarar séu skráðir eftir þjóðernislegum uppruna sínum, segir Margrét að fæðingarstaður sé meðal þeirra upplýsinga sem skráðar eru í þjóðskrá og það sé ástæðan fyrir því að heimild til vinnslu þessara upplýsinga er sett í lögin.