Umsögn um frumvarp til laga um breytingu á lögum um samskiptaráðgjafa íþrótta- og æskulýðsstarfs, nr. 45/2019
Mál nr. 2022050947
31. maí 2022
Umsögn
Efni: Umsögn um frumvarp til laga um breytingu á lögum um samskiptaráðgjafa íþrótta- og æskulýðsstarfs, nr. 45/2019
1.
Persónuvernd vísar til beiðni allsherjar- og menntamálanefndar Alþingis frá 20. maí 2022 um umsögn um frumvarp til laga um breytingu á lögum um samskiptaráðgjafa íþrótta- og æskulýðsstarfs, nr. 45/2019 (þskj. 822, 581. mál á 152. löggjafarþingi).
2.
Í 2. gr. frumvarpsins segir að við 6. gr. laganna bætist við tvær nýjar málsgreinar. Í 1. mgr. segir að samskiptaráðgjafa íþrótta- og æskulýðsstarfs sé heimilt að vinna með persónuupplýsingar, þar á meðal viðkvæmar persónuupplýsingar og upplýsingar sem séu viðkvæms eðlis, að því marki sem vinnslan telst nauðsynleg við framkvæmd laganna. Í 2. mgr. segir að samskiptaráðgjafa sé heimilt að miðla upplýsingum til þeirra sem sjái um starfsemi sem falli undir gildissvið laganna skv. 1. gr. þeirra að því leyti sem slíkt teljist nauðsynlegt við framkvæmd laganna.
Í athugasemdum við 2. mgr. ákvæðisins segir að í samræmi við gildissvið laganna sé miðlunin bundin við þá sem sjái um starfsemi sem lúti gildissviði laganna. Þá er einnig tekið fram að frekari vinnsla upplýsinga hjá þeim aðilum sem taki við upplýsingunum sé bundin heimildum sem þeir aðilar hafi til vinnslu persónuupplýsinga.
Um gildissvið laga nr. 45/2019 segir 1. gr. að starfssvið samskiptaráðgjafa íþrótta- og æskulýðsstarfs nái til skipulagðrar starfsemi eða starfsemi í tengslum við hana á vegum Íþrótta- og Ólympíusambands Íslands, Ungmennafélags Íslands, æskulýðssamtaka sem starfi á grundvelli æskulýðslaga og aðila sem geri samning við það ráðuneyti sem fari með íþrótta- og æskulýðsmál um rekstrarframlag vegna sambærilegrar starfsemi.
Persónuvernd gerir margvíslegar athugasemdir við ákvæði 2. mgr. 2. gr. frumvarpsins hvað varðar heimild til miðlunar persónuupplýsinga.
Í fyrsta lagi er að mati Persónuverndar hvorki nægilega skýrt í ákvæðinu né greinargerð hver sé tilgangur þess að miðlun fari fram né til hvaða persónuupplýsinga miðlunin taki. Þá er sú starfsemi sem 1. gr. laganna vísar til afar víðtæk og ljóst að mikill fjöldi aðila getur fallið undir heimild 2. mgr. ákvæðisins til miðlunar. Er því um að ræða víðtæka heimild til miðlunar án þess að það sé afmarkað með frekari hætti.
Í öðru lagi gerir Persónuvernd alvarlegar athugasemdir við að ekki virðist vera gert ráð fyrir aðkomu hins skráða (þess sem leitar til samskiptafulltrúans) að miðlun umræddra upplýsinga, svo sem með umboði eða staðfestingu hans. Er hvorki gert ráð fyrir því að hinn skráði hafi aðkomu að því til þess hvaða upplýsinga miðlunin taki né til þess hvaða aðila þeim skuli miðlað og í hvaða tilgangi. Í því sambandi bendir Persónuvernd á að þegar vinnsla persónuupplýsinga byggist á annars konar heimild en samþykki verður ekki litið svo á að yfirlýsing hins skráða um að hann fallist á vinnsluna þurfi að liggja fyrir. Eftir atvikum getur þó ástæða talin vera til þess að fyrir liggi umboð eða beiðni frá hinum skráða þó svo að ekki sé þar um eiginlegt samþykki að ræða, einkum ef vinnslan getur haft íþyngjandi réttaráhrif eða tekur til viðkvæmra einkalífshagsmuna. Er í því tilliti byggt á þeirri grunnkröfu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 að vinnsla persónuupplýsinga skuli vera gagnsæ gagnvart hinum skráða.
Að mati Persónuverndar þarfnast ákvæðið því töluverðra breytinga þannig að friðhelgi einkalífs þeirra einstaklinga sem leita til samskiptaráðgjafans sé tryggð með fullnægjandi hætti, sem og þeirra aðila sem ásakanir eða athugasemdir beinast að. Ákvæðið þarfnast að mati Persónuverndar frekari skýringa á tilgangi, mati á nauðsyn og hvernig aðkomu hins skráða að vinnslu og miðlun persónuupplýsinga skuli háttað.
3.
Persónuvernd áréttar að fræðsluskylda hvílir á þeim sem vinna persónuupplýsingar samkvæmt 17. gr. laga nr. 90/2018, sbr. 12. – 14. gr. reglugerðar (ESB) 2016/679, og þarf ábyrgðaraðili að tryggja að hinir skráðu fái fræðslu eftir því sem lög krefjast.
4.
Í 3. gr. frumvarpsins er kveðið á um að þagnarskylda samskiptaráðgjafa gangi framar upplýsingarétti samkvæmt upplýsingalögum. Persónuvernd bendir á að þrátt fyrir að girt sé fyrir aðgang aðila að gögnum samskiptaráðgjafa sem verða til hjá aðilum sem falla undir gildissvið upplýsingalaga nr. 140/2012, skv. 2. gr. þeirra laga, getur einstaklingur átt rétt til aðgangs að upplýsingum um sjálfan sig hjá ábyrgðaraðila á grundvelli persónuverndarlaga nr. 90/2018.
Kveðið er á um rétt hins skráða til aðgangs að persónuupplýsingum um sig og rétt til upplýsinga um vinnslu í 17. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. einnig ákvæði 15. gr. reglugerðar (ESB) 2016/679. Samkvæmt 1. mgr. 15. gr. reglugerðarinnar á hinn skráði rétt á að fá staðfestingu á því frá ábyrgðaraðila hvort unnið sé með persónuupplýsingar um hann og, ef svo er, rétt til aðgangs að þeim. Þá segir í 3. mgr. 17. gr. laga nr. 90/2018, sbr. i-lið 1. mgr. 23. gr. reglugerðar (ESB) 2016/679, upplýsingaréttur hins skráða, samkvæmt 1. mgr. 15. gr. reglugerðarinnar, gildi ekki ef brýnir hagsmunir einstaklinga tengdir upplýsingunum vegi þyngra. Í athugasemdum við 3. mgr. 17. gr. í frumvarpi því sem varð að lögum nr. 90/2018 segir að við beitingu ákvæðisins þurfi að fara fram mat á þeim hagsmunum sem í ákvæðinu eru nefndir. Vega verði hagsmuni hins skráða af því að fá upplýsingar andspænis hagsmunum annarra einstaklinga. Þá sé mikilvægt að hafa í huga að gerð sé krafa um brýna hagsmuni einstaklinga sem sýna þurfi fram á til að réttlæta undantekningu frá upplýsingarétti hins skráða.
Persónuvernd áréttar að það er ábyrgðaraðila að láta slíkt hagsmunamat fara fram í hvert sinn sem aðgangsbeiðni einstaklings berst, þar sem matið þarf að taka mið að aðstæðum og þeim gögnum sem eru undir hverju sinni. Ábyrgðaraðili þarf að leggja mat á það hvort og þá hvaða hluti persónuupplýsinga um hinn skráða skuli vera undanskilinn aðgangsrétti hans. Það mat getur sætt endurskoðun Persónuverndar berist stofnuninni kvörtun vegna þess.
__________________
Ekki eru að öðru leyti gerðar athugasemdir við efni frumvarpsins að svo stöddu. Persónuvernd áskilur sér jafnframt rétt til að koma á framfæri frekari athugasemdum á síðari stigum málsins ef stofnunin telur þörf á. Verði frekari umsagnar óskað um einstök atriði verður hún fúslega veitt.
F.h. Persónuverndar,
Vigdís Eva Líndal Steinunn Birna Magnúsdóttir