Leyfisskyld vinnsla persónuupplýsinga

Leyfisskyld vinnsla persónuupplýsinga

Þegar um er að ræða vinnslu persónuupplýsinga vegna verkefna í þágu almannahagsmuna sem geta falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi skráðra einstaklinga getur Persónuvernd ákveðið að vinnslan megi ekki hefjast fyrr en hún hefur verið athuguð af stofnuninni og samþykkt með útgáfu sérstakrar heimildar eða leyfis.

Það hvort vinnsla persónuupplýsinga sé háð leyfi Persónuverndar fer eftir atvikum hverju sinni. Það fyrsta sem líta þarf til er hvort um vinnslu persónuupplýsinga sé að ræða í skilningi laganna, þ.e. hvort unnið sé með persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, en persónugreinanlegar upplýsingar eru þær upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings. Sé um algjörlega ópersónugreinanlegar upplýsingar að ræða, svo sem ef ópersónugreinanlegur spurningalisti er lagður fyrir þátttakendur án þess að til sé dulkóðunarlykill, fellur vinnslan ekki undir gildissvið laganna.

 Hvenær er vinnsla persónuupplýsinga háð leyfi Persónuverndar?

Persónuvernd hefur sett reglur þar sem kveðið er á um að eftirfarandi vinnsla persónuupplýsinga sé háð skriflegri heimild Persónuverndar:

• Samkeyrsla skráar sem hefur að geyma viðkvæmar persónuupplýsingar við aðra skrá, hvort sem sú skrá hefur að geyma almennar eða viðkvæmar persónuupplýsingar. Samkeyrsla er ekki leyfisskyld ef eingöngu er samkeyrt við upplýsingar úr þjóðskrá um nafn, kennitölu, fyrirtækjanúmer, heimilisfang, aðsetur og póstnúmer, eða ef samkeyrðar eru skrár sama ábyrgðaraðila, að undanskildum miðlægum skrám sem innihalda viðkvæmar persónuupplýsingar.
• Vinnsla persónuupplýsinga sem tengist framkvæmd vísindarannsóknar þar sem unnið er með erfðaefni manns nema aðeins sé unnið með hluta af erfðaefni þannig að það verði ekki rakið til tiltekins manns.
• Vinnsla upplýsinga um refsiverðan verknað manns og sakaferil, upplýsingar um lyfja-, áfengis- og vímuefnanotkun, kynlíf og kynhegðan, nema vinnslan sé nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila.
• Söfnun persónuupplýsinga um fjárhagsmálefni og lánstraust einstaklinga í þeim tilgangi að miðla þeim til annarra.
• Vinnsla upplýsinga um félagsleg vandamál manna eða önnur einkalífsatriði, s.s. hjónaskilnaði, samvistarslit, ættleiðingar og fóstursamninga, nema vinnslan sé nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila.
• Vinnsla persónuupplýsinga sem felur í sér að nafn manns er fært á skrá eftir fyrirfram ákveðnum viðmiðum og upplýsingunum miðlað til þriðja aðila í því skyni að neita manninum um tiltekna fyrirgreiðslu eða þjónustu.
• Miðlun viðkvæmra persónuupplýsinga í þágu vísindarannsóknar, enda standi ábyrgðaraðili þeirra upplýsinga sem miðlað er ekki að framkvæmd rannsóknarinnar.
• Miðlun viðkvæmra persónuupplýsinga, sem varðveittar eru hjá stjórnvöldum, í þágu rannsókna. Hið sama á við ef miðlun felur í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi skráðra aðila. Persónuvernd getur ákveðið að leyfisskylda stjórnvalds falli brott þegar settar hafa verið almennar reglur og öryggisstaðlar sem fylgja skal við slíka miðlun.

 Hvenær er vinnsla persónuupplýsinga EKKI háð leyfi Persónuverndar?

Vinnsla persónuupplýsinga er EKKI háð heimild Persónuverndar byggi hún á upplýstu samþykki eða fyrirmælum laga. 

Þá þarf ekki leyfi til vinnslu persónuupplýsinga um látna menn í tengslum við framkvæmd vísindarannsókna þar sem unnið er með erfðaefni þeirra (DNA), enda sé:

• ekki um að ræða upplýsingar sem falla undir 2. tölul. 2. gr. reglna þessara.
• vinnslu hagað í samræmi við reglur nr. 1100/2008.
• ljóst að hinn skráði hafi hvergi með sannanlegum hætti andmælt vinnslu persónuupplýsinga um sig í þágu vísindarannsókna.

Hvernig sæki ég um leyfi?

Eyðublað vegna leyfisumsókna til Persónuverndar er að finna undir flipanum „Hafa samband“

Nauðsynlegt er að yfirlýsing skráarhaldara fylgi með þegar sótt er um leyfi til vinnslu persónuupplýsinga til Persónuverndar. Hér má sjá leiðbeiningar um afhendingu gagna.