Ábending Persónuverndar til Tryggingastofnunar ríkisins vegna notkunar á upplýsingum um IP-tölur
Persónuvernd hefur sent Tryggingastofnun ríkisins erindi þar sem stofnuninni er leiðbeint um að taka til skoðunar núverandi verklag sitt, sem felur í sér skoðun á IP-tölum einstaklinga sem þiggja lífeyri frá stofnuninni í þeim tilgangi að fylgjast með staðsetningu þeirra. Í erindi Persónuverndar er meðal annars vísað til nýlegs úrskurðar stofnunarinnar í máli nr. 2018/1718, þar sem komist var að þeirri niðurstöðu að vinnsla upplýsinga um IP-tölur, í þeim tilgangi að upplýsa um staðsetningu einstaklinga, uppfyllti ekki kröfur persónuverndarlaga um áreiðanleika persónuupplýsinga.
Bréf Persónuverndar til Tryggingastofnunar ríkisins má sjá hér að neðan.
Reykjavík, 21. apríl 2020
Efni: Ábending varðandi notkun Tryggingastofnunar ríkisins á upplýsingum um IP-tölur
Persónuvernd vísar til fjölmiðlaumfjöllunar undanfarna daga þar sem fram hefur komið að Tryggingastofnun ríkisins (TR) telji sér heimilt að skoða IP-tölur einstaklinga sem þiggja lífeyri frá stofnuninni til þess að fylgjast með staðsetningu þeirra. Þetta sé gert í þágu reglubundins eftirlits.
Samkvæmt þeim upplýsingum sem birst hafa um málið í fjölmiðlum hefur TR vísað, framangreindu til stuðnings, til niðurstöðu Persónuverndar í máli nr. 2009/635 hjá stofnuninni, en í því máli gerði Persónuvernd ekki athugasemd við skoðun Vinnumálastofnunar á þeim hluta IP-tölu sem hafði að geyma auðkenni þess lands sem IP-talan stafaði frá, þ.e. í rafrænni tilkynningu til stofnunarinnar um atvinnuleysi.
Með vísan til þessa vill Persónuvernd koma ábendingu á framfæri við TR um niðurstöðu stofnunarinnar í nýlegu máli sem einnig varðaði notkun Vinnumálastofnunar á upplýsingum um IP-tölur þeirra sem þiggja atvinnuleysisbætur, en málið er nr. 2018/1718 og var úrskurður í því kveðinn upp 28. nóvember 2019.
Í forsendum úrskurðarins er meðal annars vísað til þess að virkni VPN-tenginga og aðgengileiki þeirra dragi verulega úr áreiðanleika upplýsinga um IP-tölur einstaklinga að því leyti sem slíkar upplýsingar séu nýttar til að staðreyna staðsetningu hlutaðeigandi einstaklings. Þá hafi notkun VPN-tenginga aukist verulega og þekking á þeim sé orðin mun meiri og útbreiddari en áður.
Í ljósi þessa var það mat Persónuverndar að þau sjónarmið, sem byggt var á í eldri niðurstöðum stofnunarinnar um skoðun IP-tölu, ættu ekki lengur við. Var það niðurstaða Persónuverndar að upplýsingar um IP-tölur uppfylltu ekki kröfur 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hvað varðar áreiðanleika persónuupplýsinga. Var jafnframt lagt fyrir Vinnumálastofnun að láta af notkun upplýsinga um IP-tölur umsækjenda um atvinnuleysisbætur, á meðan ekki væru til úrræði til að staðfesta áreiðanleika þeirra.
Með vísan til alls framangreinds er Tryggingastofnun ríkisins leiðbeint um að taka núverandi verklag sitt við könnun á búsetu einstaklinga til skoðunar með hliðsjón af fyrrgreindri niðurstöðu Persónuverndar.
Ef óskað er leiðbeininga eða álits Persónuverndar á tilteknum atriðum í tengslum við framangreint er Tryggingastofnun ríkisins hvött til þess að senda Persónuvernd erindi þar að lútandi.
Afrit af úrskurði Persónuverndar í máli nr. 2018/1718 er hjálagt.