Ársskýrsla 2020 – Covid-19 og persónuvernd – rekstur áfram í járnum

15.12.2021

Ársskýrsla Persónuverndar 2020

Ath. Best er að skoða ársskýrsluna með flettimöguleika, þá þarf að fara í heilskjáham (e. Full Screen Mode) í Adobe Acrobat eða Adobe Reader.

FORMÁLI FORSTJÓRA

FYRSTU SEKTIR FYRIR BROT Á PERSÓNUVERNDARLÖGGJÖFINNI                         

Vinnsla persónuupplýsinga hérlendis heyrir undir valdsvið Persónuverndar og málin sem stofnunin sinnir eru fjölbreytt. Málum fjölgaði 19. árið í röð, þar sem 2.518 mál voru í heildina nýskráð. Við þessa tölu bættust óafgreidd mál frá fyrri árum og heildarfjöldi mála til meðferðar hjá stofnuninni árið 2020 var því 3.156. Á árinu lauk Persónuvernd 2.574 málum og meðal annars litu tvær fyrstu sektarákvarðanir hennar dagsins ljós.

COVID-19 OG PERSÓNUVERND

Mál tengd Covid-19 leiddu til aukins álags á starfsemi Persónuverndar og urðu þau um 190 talsins á árinu 2020. Málin áttu það sammerkt að flest þeirra voru brýn og við þeim þurfti að bregðast með hraði. Álit Persónuverndar til handa sóttvarnalækni í lok febrúar um heimildir hans til gagnaöflunar og vinnslu persónuupplýsinga í tengslum við sóttvarnaráðstafanir vegna Covid-19 gaf tóninn um þessi viðfangsefni. Persónuvernd þurfti þannig að svara fjöldamörgum Covid19-tengdum fyrirspurnum einstaklinga og fyrirtækja um vinnslu persónuupplýsinga í heimsfaraldri ásamt því að sinna beiðnum um leiðbeiningar og umsagnar- og álitsbeiðnum, sem og rannsókn kvartana, frumkvæðismála og úttekta. 

Persónuvernd sinnti umfangsmikilli ráðgjöf til landlæknisembættisins við gerð smitrakningarforrits, varð við beiðni um fyrirframsamráð vegna sóttvarnaaðgerða á landamærum og gaf út leyfi til Embættis landlæknis og sóttvarnalæknis til samkeyrslna á skrám vegna forgangsröðunar í tengslum við bólusetningu við Covid-19. 

Þá voru unnar leiðbeiningar til fyrirtækja, skóla og hjúkrunarheimila vegna vinnslu persónuupplýsinga í faraldri, auk þess sem gefið var út álit vegna fyrirhugaðrar birtingar upplýsinga um fyrirtæki sem nýttu hlutabótaleið stjórnvalda. Aukið álag skapaðist einnig við afgreiðslu erinda frá Vísindasiðanefnd vegna vísindarannsókna. Árið 2019 voru slíkar rannsóknir 430 talsins en árið 2020 voru þær 564 talsins, þar af voru 63 rannsóknir sérstaklega tengdar Covid-19.

EVRÓPSKA PERSÓNUVERNDARRÁÐIÐ - VEL VAKANDI Í HEIMSFARALDRI

Aukið álag varð einnig á starfsemi Evrópska persónuverndarráðsins (EDPB), sem Persónuvernd
á sæti í fyrir Íslands hönd, og voru haldnir 22 fjarfundir árið 2020 í stað 11 funda í Brussel árið áður. Þar tóku starfsmenn stofnunarinnar þátt í starfi vinnuhópa ráðsins tengdu opnun landamæra, vísindarannsóknum og smitrakningarforritum. 

Í leiðbeiningum frá ráðinu um vísindarannsóknir á heilbrigðissviði í tengslum við Covid-19 var sérstaklega áréttað að ákvæði hinnar evrópsku persónuverndarreglugerðar – og þar af leiðandi einnig íslenskra persónuverndarlaga – um vinnslu heilsufarsupplýsinga í þágu vísindarannsókna ætti áfram við, óháð heimsfaraldri. Þá kom fram að heimsfaraldur skerti ekki réttindi einstaklinga á þessu sviði. Nauðsynlegt er að ítreka mikilvægi þess að eftir þessu sé unnið hérlendis, sem og annars staðar í Evrópu.

RÁÐGJÖF – OG ÝMIS ÖNNUR VERKEFNI                                                                          

Meðal annarra helstu verkefna á árinu var gerð álits um skrár Embættis landlæknis, þar sem bent var á að þörf væri á skýrari ákvæðum í settum lögum um skráningu persónuupplýsinga í samskiptaskrá sjálfstætt starfandi sérfræðinga, auk þess sem veitt voru álit um miðlun tiltekinna stjórnvalda á persónuupplýsingum um heilbrigðisstarfsmenn til Embættis landlæknis og veitt ráðgjöf og umsögn í tengslum við ýmis atriði tengd flutningi krabbameinsskimana frá Leitarstöð Krabbameinsfélags Íslands til Heilsugæslu höfuðborgarsvæðisins og fleiri opinberra aðila. 

Álit um persónuvernd og tjáningarfrelsi fjölmiðla leit dagsins ljós og ýmsum frumkvæðismálum var sinnt, svo sem um ferðagjöf stjórnvalda, birtingu persónuupplýsinga á vefsíðum dómstóla og notkun lögreglu á samfélagsmiðlum. Þá var utanríkisráðuneytinu bent á ætlaða umfangsmikla rafræna vöktun hjá kínverska sendiráðinu. 

Mikil vinna fór jafnframt fram vegna undirbúnings nýs starfsleyfis Creditinfo Lánstrausts hf., auk þess sem umfangsmikil ráðgjöf var veitt til ráðuneyta, m.a. til handa félags- og barnamálaráðuneyti vegna breytinga á stjórnsýslu barnaverndar, þ.á.m. nýrrar löggjafar um samþættingu þjónustu í þágu farsældar barna. Auk þessa urðu starfsmenn Persónuverndar við fjölmörgum fundarbeiðnum frá ýmsum fyrirtækjum, stofnunum og öðrum ásamt því að sérfræðingar hennar veittu ráðgjöf til margra vinnuhópa á vegum hins opinbera, m.a. til Stafræns Íslands. Á síðustu dögum ársins var ráðgjafar og aðkomu Persónuverndar óskað af hálfu ráðuneyta vegna loka aðlögunartímabils í tengslum við útgöngu Bretlands úr ESB.

STJÓRNMÁLAFLOKKAR, SAMFÉLAGSMIÐLAR OG KOSNINGAR                             

Veigamesta álit Persónuverndar á árinu varðaði vinnslu persónuupplýsinga hjá stjórnmálaflokkum í tengslum við alþingiskosningar 2017 og 2018. Greint var frá því hvernig íslensk stjórnmálasamtök unnu persónuupplýsingar um íslenska borgara á samfélagsmiðlum. Öll notuðu þau Facebook, og flest einnig aðra samfélagsmiðla, svo sem Instagram og YouTube. Sumar af þeim breytum sem þau notuðu fólu í sér nærgöngula rýni. Ekki verður séð að félagsmenn stjórnmálasamtakanna og kjósendur almennt hafi fengið nema takmarkaða fræðslu um það hvernig staðið var að þessari vinnslu samtakanna á persónuupplýsingum íslenskra kjósenda. Auk þessa var í álitinu fjallað um möguleg áhrif þess á íslenskar kosningar að sumum Facebook-notendum á Íslandi hefði birst hnappur með áminningu um að kjósa í alþingiskosningunum 28. október 2017.

REKSTUR PERSÓNUVERNDAR ÁFRAM Í JÁRNUM – BETUR MÁ EF DUGA SKAL

Send voru ítarlega rökstudd erindi til dómsmálaráðuneytis í upphafi ársins og síðar til Alþingis um þörf á 10 nýjum starfsmönnum til að sinna viðvarandi og verulega auknum verkefnum Persónuverndar með  tilkomu nýrra persónuverndarlaga. Engu að síður þá fól fjárlagafrumvarp fyrir árið 2021 í sér lækkun á fjárframlögum til stofnunarinnar sem nam launakostnaði fyrir eitt og hálft stöðugildi sérfræðings. Leiddi það til fækkunar fastráðinna starfsmanna Persónuverndar á árinu. 

Samþykkt fjárlög fólu síðan í sér tímabundið framlag til eins árs til ráðningar tveggja starfsmanna á nýrri starfsstöð á Húsavík. Um leið og þessu framlagi er fagnað þá liggur fyrir að stjórnvöld hafa ekki brugðist við ítrekuðum beiðnum stofnunarinnar um að hún verði fjármögnuð með fullnægjandi hætti svo að hún geti sinnt lögbundnum skyldum sínum. 

Þrátt fyrir heildarendurskoðun á öllum ferlum hjá Persónuvernd með það að markmiði að ná betur að sinna öllum þeim málum sem berast, þá nær núverandi starfsmannafjöldi ekki að afgreiða fyrirliggjandi verkefni með ásættanlegum hætti. Til þess eru málin sem berast of mörg og oft mjög umfangsmikil. Á sama tíma hafa stjórnvöld háleit og metnaðarfull markmið og  skrifa m.a. áherslur um persónuvernd inn í hverja stefnuyfirlýsinguna á fætur annarri, sbr. stefnu stjórnvalda í gervigreind, skýjastefnu og menntastefnu til 2030. Þessar stefnur virðast skrifaðar án þess að því sé gefinn gaumur að þær leggja auknar kvaðir á starfsemi Persónuverndar. 

Jafnframt má benda á að um þessar mundir stendur yfir innleiðing nýrra stafrænna lausna og uppbygging stafrænna innviða víða hjá hinu opinbera, sveitarfélögum og fleirum. Við þetta er að bæta að Persónuvernd er ein af grunnstoðum í netöryggismálum landsins. Enn virðist því ekki vera nægilegur skilningur á eðli hlutverks Persónuverndar í íslensku samfélagi, sem eftirlitsstofnunar, en einnig og ekki síður sem helsta ráðgjafar- og leiðbeiningaraðila hérlendis á því flókna og yfirgripsmikla sviði sem vinnsla persónuupplýsinga á tækniöld er. Í nágrannalöndum okkar hafa verið færðar fram röksemdir fyrir því að sterk persónuverndarstofnun leiði til styrkingar allra innviða og geti aukið samkeppnishæfni landsins, svo sem á sviði nýsköpunar og tækni. Íslensk stjórnvöld ættu að tileinka sér þessa sýn á mikilvægi persónuverndarmála.

Persónuvernd, nóvember 2021

Helga Þórisdóttir