Umsögn um frumvarp til breytinga á lögum um fangelsi og fangavist (heimildir til vinnslu viðkvæmra persónuupplýsinga)
Umsögn til allsherjarnefndar Alþingis, dags. 17. apríl 2002
Vísað er til umfjöllunar sem fram fór á fundi allsherjarnefndar mánudaginn 15. apríl 2002 um frv. til laga um breyting á lögum um fangelsi og fangavist, nr. 48 19. maí 1988, með síðari breytingum, 639. mál. Á fundinum var óskað eftir skriflegri umsögn Persónuverndar um viðkomandi frumvarp, sbr. þskj. 1019.
Með frumvarpinu er lagt til að inn í lög um fangelsi og fangavist verði bætt nýju ákvæði. Með því verði veitt lagastoð, í skilningi 2. tl. 1. mgr. 9. gr. laga um persónuvernd og meðferð persónuupplýsinga nr. 77/2000 með áorðnum breytingum (pvl.), fyrir þeirri vinnslu viðkvæmra persónuupplýsinga sem Fangelsismálastofnun ríkisins og fangelsum er nauðsynleg til að gegna lögbundnu hlutverki sínu. Í umræddu ákvæði frumvarpsins er ekki að finna frekari afmörkun á þessari vinnslu en að þar sé um að ræða vinnslu persónuupplýsinga, "þar á meðal þeirra upplýsinga sem viðkvæmar geta talist, að því marki sem slík vinnsla telst nauðsynleg vegna starfsemi viðkomandi stofnunar", eins og segir í ákvæðinu.
Persónuvernd vill af þessu tilefni koma eftirfarandi atriðum á framfæri:
1. Að mati Persónuverndar liggur ekki ljóst fyrir að umrætt frumvarpsákvæði standist það skilyrði, skv. fyrrnefndu ákvæði pvl., að um sérstaka lagaheimild sé að ræða fyrir viðkomandi vinnslu. Í því sambandi er rétt að benda á að í athugasemdum með umræddu lagaákvæði segir m.a.:
Það ræðst af túlkun viðkomandi lagaákvæðis hvort skilyrðinu er fullnægt. Mat á því hvort lagastoð er fyrir hendi ræðst hverju sinni af skýringu viðkomandi sérlagaákvæðis, en því meiri íhlutun í einkalíf einstaklingsins sem umrædd vinnsla hefur í för með sér þeim mun ótvíræðari þarf lagaheimildin að vera. Skýring slíks ákvæðis ræðst þá m.a. af því hvort löggjafinn hafi í raun tekið tillit til þeirra almennu persónuverndarsjónarmiða sem á reynir við meðferð viðkvæmra persónuupplýsinga.
Ákvæði umrædds frumvarps eru afar almennt orðuð, hvað varðar þær upplýsingar sem ákvæðinu er ætlað að ná til og þeirra tegunda vinnslu sem stefnt er að því að veita lagastoð. Hér er því um eyðuákvæði að ræða sem sækir efni sitt til annarra ákvæða laga um fangelsi og fangavist, þ.e. þeirra ákvæða sem afmarka starfsvið og verkefni umræddra stofnana. Niðurstaða Persónuverndar er því sú að ekki sé ljóst að frumvarpsákvæðið myndi uppfylla það skilyrði fyrrgreinds ákvæðis pvl. að um skýra og afdráttarlausa lagaheimild skuli vera að ræða, sérstaklega í ljósi þess hve eðlileg framkvæmd laga um fangelsi og fangavist hefur mikla íhlutun í einkalíf einstaklinga í för með sér, og því óljóst hvort frumvarpið geti náð þeim tilgangi sínum að veita slíka lagastoð. Þá telur Persónuvernd heldur ekki vafalaust að fyrrgreind ákvæði laga um fangelsi og fangavist, þ.e. um starfsvið og verkefni fangelsa og Fangelsismálastofnunar, séu ekki nægilega skýr til þess að geta talist sérstakar lagaheimildir í skilningi 2. tl. 1. mgr. 9. gr. pvl., hvað þá að þau uppfylli ekki skilyrði 3. tl. 2. mgr. 8. gr. laganna.
2. Þá telur Persónuvernd hugsanlegt að setning umrædds lagaákvæðis kunni að skapa óheppilegt fordæmi fyrir aðrar ríkisstofnanir og stjórnvaldshafa í landinu sem nauðsynlegt er að vinna með viðkvæmar persónuupplýsingar til að fullnægja lögbundnu hlutverki sínu. Fordæmið væri fólgið í þeirri ályktun að þar sem nauðsynlegt hafi verið að setja umrætt frumvarpsákvæði í lög um fangelsi og fangavist, hljóti slíkt að leiða til þess að nauðsynlegt verði að setja sams konar ákvæði í velflest önnur lög sem veiti stjórnvaldshöfum opinbert vald eða feli þeim verkefni, þar sem viðkvæmar persónuupplýsingar kunna að koma við sögu. Í því sambandi er rétt að benda á að til slíkra upplýsinga teljast m.a. upplýsingar um lífsskoðanir manna og stéttarfélagsaðild, sbr. 2. gr. pvl. Hefur Persónuvernd áhuga á að skoða hvort eðlilegra kynni að vera að fyrrgreint ákvæði 9. gr. pvl. yrði breytt í þá veru að ná afdráttarlausar til lagaákvæða sem afmarka starfsvið stjórnvaldshafa og fela þeim nánar afmörkuð verkefni.
3. Hvað varðar niðurlag 1. gr. frumvarpsins skal bent á að óþarft er að tilgreina sérstaklega að um meðferð umræddra upplýsinga skuli fara samkvæmt lögum um persónuvernd og meðferð persónuupplýsinga, enda er slíka lagareglu þegar að finna í gildandi lögum, sbr. 1. mgr. 44. gr. pvl.
Með hliðsjón af framansögðu treystir Persónuvernd sér ekki til að mæla með því, að svo stöddu, að umrætt frumvarp verði samþykkt. Þar sem hér er um flókið lögfræðilegt úrlausnarefni að ræða, sem kann að hafa víðtækar afleiðingar, telur stofnunin rétt að fram fari ítarleg skoðun á þeim lagaheimildum sem þessir aðilar hafa og kunna að þarfnast til að fullnægja ákvæðum laga um persónuvernd og meðferð persónuupplýsinga. Þá telur stofnunin, eins og áður var minnst á, rétt að kanna hvort þörf geti verið á að breyta títtnefndu ákvæði 2. tl. 1. mgr. 9. gr. laganna. Enn fremur telur stofnunin rétt að afla sér ítarlegri upplýsinga en nú liggja fyrir um hvernig þessum málum er háttað í öðrum ríkjum á hinu Evrópska efnahagssvæði, einkum á hinum Norðurlöndunum. Hyggst Persónuvernd vinna að þessum verkefnum á næstunni þannig að niðurstaða geti legið fyrir að nokkrum mánuðum liðnum.