Umsögn Persónuverndar um drög að frumvarpi til breytinga á hafnarlögum nr. 61/2003
Mál nr. 2020112873
Efni: Umsögn Persónuverndar um drög að frumvarpi til breytinga á hafnarlögum nr. 61/2003.
Persónuvernd vísar til frumvarpsdraga samgöngu- og sveitarstjórnarráðuneytisins sem birt var í samráðsgáttinni þann 10. nóvember 2020, en þar var óskað umsagnar um drög að frumvarpi um breytingu á hafnarlögum nr. 61/2003.
Í 1. gr. draganna segir að stjórn hafna sé heimilt að viðhafa rafræna vöktun á hafnarsvæði eða taka myndir með reglulegu millibili í öryggisskyni. Einnig segir að stjórn hafna verði gert heimilt að miðla upplýsingum sem þannig er safnað að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga. Þá segir að heimilt verði að miðla upplýsingum til Vaktstöðvar siglinga vegna verkefna hennar og til lögreglu, Landhelgisgæslu Íslands og rannsóknarnefndar samgönguslysa með rafrænum hætti þegar rannsökuð eru sakamál, mannshvörf eða samgönguslys. Í greinargerð með frumvarpsdrögunum segir meðal annars að það geti komið til miðlunar upplýsinga úr vöktuninni við rannsóknir slysa og rannsóknir á saknæmri háttsemi eða mannshvörfum.
Með hliðsjón af framangreindu gerir Persónuvernd eftirfarandi athugasemdir:
1.
Öll vinnsla persónuupplýsinga þarf að fara fram á grundvelli heimildar 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, s.s. ef lagaheimild stendur til vinnslunnar, sbr. 3. tölul. ákvæðisins. Í 3. mgr. 6. gr. reglugerðar (ESB) 2016/679 segir að þegar vinnsla fari fram á grundvelli lagaheimildar skuli í þeim lögum mæla fyrir um tilgang vinnslunnar. Einnig segir að í lögunum skuli m.a. tilgreina almenn skilyrði varðandi lögmæta vinnslu ábyrgðaraðilans, tegund gagna sem vinnslan varðar, hlutaðeigandi skráða einstaklinga, hvaða stofnanir megi fá persónuupplýsingar í hendur og í hvaða tilgangi. Í því samhengi er bent á að sem endranær gildir það viðmið að eftir því sem vinnslan hefur í för með sér meiri íhlutun í einkalíf hinna skráðu, þeim mun ótvíræðara verður slíkt lagaákvæði að vera, sbr. t.d. athugasemdir við 2. tölul. 11. gr. laganna í frumvarpi því sem varð að lögum nr. 90/2018. Auk þess skal þess gætt við alla vinnslu persónuupplýsinga að þær séu unnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018.
Í því tilviki sem hér um ræðir er tilgangur vöktunarinnar sagður vera öryggi á hafnarsvæðum, en auk þess er veitt heimild til miðlunar persónuupplýsinga að uppfylltum lögum um persónuvernd og vinnslu persónuupplýsinga, til Vaktstöðvar siglinga, lögreglu, Landhelgisgæslu og rannsóknarnefndar siglingaslysa.
Að mati Persónuverndar er nauðsynlegt að tilgangur vinnslu persónuupplýsinga sé skýrt tilgreindur í lagatexta, í samræmi við kröfur 3. mgr. 6. gr. reglugerðar (ESB) 2016/679. Með hliðsjón af framangreindu og þeim skilningi Persónuverndar að um sé að ræða tæmandi talningu þeirra aðila sem veita eigi heimild til aðgangs að því efni sem safnað verður með vöktuninni, leggur Persónuvernd til að 2. málsl. 1. mgr. 1. gr. frumvarpsdraga verði felldur brott. Yrði ákvæðið þá svohljóðandi:
„Stjórn hafnar er heimilt að viðhafa rafræna vöktun á hafnarsvæði eða taka myndir með reglulegu millibili í öryggisskyni. Heimilt er að miðla upplýsingum til Vaktstöðvar siglinga vegna verkefna hennar og til lögreglu, Landhelgisgæslu Íslands og rannsóknarnefndar samgönguslysa með rafrænum hætti þegar rannsakað er sakamál, mannshvarf eða samgönguslys.“
2.
Mat á áhrifum á persónuvernd
Persónuvernd bendir á að ef líklegt er að tiltekin tegund vinnslu persónuupplýsinga geti haft í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga, einkum þar sem beitt er nýrri tækni og með hliðsjón af eðli, umfangi, samhengi og tilgangi vinnslunnar, skal ábyrgðaraðili láta fara fram mat á áhrifum fyrirhugaðra vinnsluaðgerða á vernd persónuupplýsinga áður en vinnslan hefst samkvæmt nánari fyrirmælum 35. gr. reglugerðar (ESB) nr. 2016/679. Þá segir í 10. mgr. 35. gr. reglugerðarinnar m.a. að ef mat á áhrifum á persónuvernd hefur þegar farið fram, sem hluti af almennu áhrifamati í tengslum við samþykkt laga, sé ekki nauðsynlegt að láta slíkt mat fara fram áður en vinnslustarfsemi hefst.
Persónuvernd bendir einnig á að skv. 2. tölul. 3. gr. auglýsingar nr. 828/2019 um skrá yfir vinnsluaðgerðir sem krefjast ávallt mats á áhrifum á persónuvernd, segir að slíkt mat skuli ávallt fara fram þegar um er að ræða umfangsmikið kerfisbundið eftirlit, að meðtalinni myndavélavöktun, á svæðum opnum almenningi, en mögulegt er að hafnir geti í vissum tilvikum verið staðsettar á slíkum svæðum.
Að
mati Persónuverndar er því ljóst að skylt er að framkvæma mat á áhrifum á
persónuvernd vegna þeirrar vinnslu persónuupplýsinga sem lögð er til í
frumvarpsdrögunum. Ákjósanlegt væri að það mat væri framkvæmt við undirbúning
lagasetningar, til að tryggja að vinnsla persónuupplýsinga fullnægi kröfum laga
nr. 90/2018 og reglugerð (ESB) 2016/679. Þá ætti að tilgreina forsendur matsins
og niðurstöður þess í greinargerð með frumvarpsdrögunum.
F.h. Persónuverndar,
Þórður Sveinsson Inga Amal Hasan