Rafrænt fingrafarakerfi
Persónuvernd hefur móttekið umsókn yðar, dags. 3. maí sl., þar sem óskað er eftir heimild til þess að fá að nota rafrænt greiðslukerfi þar sem fingrafar nemenda er skannað inn til að fá heimild fyrir matargjöf í grunnskólamötuneytum í [A]. Í umsókn yðar kemur fram að mynd af fingrafarinu verði ekki geymd í gagnagrunni heldur verði hverju fingrafari úthlutað eigin kóða (talnarunu).
Rétt er að taka fram að Persónuvernd úrskurðar í ágreiningsmálum sem upp kunna að koma um vinnslu persónuupplýsinga, skv. 2. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Af því leiðir að stofnunin má ekki, í almennu svari eins og þessu, taka bindandi afstöðu til álitaefnis sem þessa, þar sem hún kynni að verða vanhæf við afgreiðslu ágreiningsmáls sem upp kann að koma síðar meir.
Hér að neðan verður því leitast við að gefa mynd af því lagaumhverfi sem á reynir og þær reglur sem varða við erindi yðar.
Fyrst ber að nefna að lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Sú aðgerð sem felst í því að skanna inn fingrafar einstaklings og tengja saman við kóða (talnarunu) telst því vinnsla persónuupplýsinga í skilningi laganna.
Ofangreind vinnsla telst því aðeins heimil að uppfyllt séu skilyrði 8. gr. laganna. Hér kemur helst til álita að 1. tl. 1. mgr. 8. gr. laganna gildi um vinnsluna, þ.e. að hinn skráði (t.d. nemandi/forráðamaður) samþykki vinnsluna með ótvíræðum hætti.
Einnig þarf ávallt að gæta ákvæða 7. gr. laganna um gæði gagna og vinnslu. Í því felst m.a. að persónuupplýsingar séu unnar með sanngjörnum, málefnalegum og lögmætum hætti, að þær séu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi, að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.
Að auki getur við meðferð ofangreindra persónuupplýsinga þurft að uppfylla önnur ákvæði laga nr. 77/2000. Í þessu sambandi skal minnt á ákvæði 11. gr. um áhættumat, öryggi og gæði persónuupplýsinga, 12. gr. um innra eftirlit, ákvæði III. kafla um upplýsingarétt og upplýsingaskyldu og 31. og 32. gr. laganna um tilkynningarskylda vinnslu persónuupplýsinga. Meðal þeirra öryggisráðstafana sem t.d. yrði að gæta er notkun sérhannaðs reikniforrits (algóritma).
Persónuvernd ítrekar að hún hefur, með framangreindu, ekki tekið efnislega afstöðu til þeirrar vinnslu sem þér spyrjið um. Hún vill hins vegar greina yður frá því að systurstofnun hennar í Svíþjóð hefur úrskurðað í nokkrum málum varðandi skönnun fingrafara í skólum (sjá mál nr. 42-2004, 1601-2004 og1602-2004). Niðurstaða allra málanna varð sú að notkun fingrafaraskanna til að greiða fyrir mat í skólamötuneyti var talin brjóta gegn ákvæðum sænsku persónuverndarlaganna nr. 1998:204. Einkum er vísað til þess að vinnslan fari gegn e) og f) lið 9. gr. sænsku laganna. Samsvarandi ákvæði í íslensku lögunum er 3. tl. 1. mgr. 7. gr., þar sem segir að við meðferð persónuupplýsinga skuli þess gætt að upplýsingarnar séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt sé miðað við tilgang vinnslunnar. Til rökstuðnings er m.a. bent á að þrátt fyrir að einungis væri um útdrátt af fingrafarinu að ræða og að upplýsingarnar teldust ekki viðkvæmar persónuupplýsingar í skilningi laga, þá væri með skráningunni vegið að friðhelgi einstaklingsins. Eftirfylgni með því að nemendur hafi greitt fyrir mat í skólamötuneyti gæti farið fram án þess að skanna þyrfti fingraför nemenda. Einnig er vísað til álits hóps sem starfar samkvæmt 29. gr. tilskipunar 95/46/EB. Þar kemur fram að gjalda beri varhug við því að notast við lífkennisupplýsingar (t.d. fingraför) þar sem aukin notkun þeira geti leitt til þess að almenningur yrði ekki eins meðvitaður um áhrif slíkrar vinnslu. Í álitinu var m.a. nefnt að vinnsla lífkennisupplýsinga á skólabókasöfnun gæti aukið líkur á því að nemendur yrðu minna á varðbergi um hugsanlegar hættur sem slíkri vinnslu gætu fylgt seinna á lífsleiðinni.
Þess ber einnig að geta að eitt ofangreindra mála (nr. 1601-2004) fór í kærumeðferð og kom því fyrir dóm (Länsrätten í Stockholms Län, sbr. mál nr. 2458-05) þar sem hinn kærði úrskurður var staðfestur.
Að auki má nefna að fleiri systurstofnanir hafa fengið sams konar mál til afgreiðslu. Í Frakklandi hefur til að mynda verið talið að óheimilt sé að notast við fingraför til að nemendur geti fengið aðgang að skólamötuneyti. Franska persónuverndarstofnunin hefur hins vegar heimilað notkun "handlesara" í sama tilgangi. Breska persónuverndarstofnunin hefur aftur á móti talið heimilt að nota fingraför við sambærilegar aðstæður að því tilskildu að viðunandi öryggis sé gætt.