Ársskýrsla Persónuverndar 2019 – almenn þekking eykst en verulega aukið álag – rekstur í járnum

20.11.2020

 

Ársskýrsla 2019

Ath. Best er að skoða ársskýrsluna með flettimöguleika, þá þarf að fara í heilskjáham (e. Full Screen Mode) í Adobe Acrobat eða Adobe Reader. 

 

 

Formáli forstjóra

Almenn þekking á vernd einkalífs eykst á tímum tæknibyltingar – mikið, viðvarandi og verulega aukið álag á starfsemi Persónuverndar

Árið 2019 er fyrsta heila árið sem rennur sitt skeið síðan ný persónuverndarlög tóku gildi og 18. árið í röð er aukning á málafjölda Persónuverndar. Segja má að málastaða Persónuverndar hafi verið í járnum undanfarin ár, því hvorki hefur náðst að sinna nægilega vel innkomnum erindum né uppsöfnuðum málahala vegna undirmönnunar, sem fylgt hefur rekstri stofnunarinnar allt frá árinu 2012.

Fyrir liggur að ný persónuverndarlög sem tóku gildi í júlí 2018 hafa leitt af sér mikið, viðvarandi og verulega aukið álag á starfsemi Persónuverndar. Á hverjum degi hefur því þurft að forgangsraða málum rétt og ljóst er að ekki hefur verið unnt að sinna með ásættanlegum hætti þeim fjölmörgu aðilum sem leita til Persónuverndar með sín mikilvægu og oft og tíðum alvarlegu mál sem varða grundvallarmannréttindi. Við þessar aðstæður er Persónuvernd auk þess ekki gert kleift að sinna nægilega frumkvæðisskyldu sinni til eftirlits með vinnslu persónuupplýsinga hérlendis.

Á tímum mikilla tækniframfara á heimsvísu, oft á kostnað persónuverndar einstaklinga, verður að telja þessa stöðu mjög alvarlega.

Hvaða mál eru undir? Hver er fjöldi þeirra?

Málin sem berast spanna allt litrófið og bera með sér að almenn þekking er að aukast á vernd einkalífs á tímum tæknibyltingar. Áfram er Persónuvernd að kljást við kvartanir sem lúta að algengum tegundum vinnslu persónuupplýsinga, svo sem rafrænni vöktun - hvort sem er á vinnustöðum eða hjá nágrönnum. Vinnsla persónuupplýsinga um fjárhagsmálefni og lánstraust er fyrirferðarmikil á hverju ári, sem og mál sem varða óheimila birtingu eða miðlun persónuupplýsinga. Mörg málin varða hins vegar nýjar áskoranir tengdar tækninni. Má þar sem dæmi nefna mistök sem orðið hafa við að innleiða svokallað opið bókhald hjá sveitarfélögum, vinnslu persónuupplýsinga um börn í skólakerfinu, snjallúr sem geta ógnað öryggi barna, netbirtingu dóma hjá dómstólum og margvíslega vinnslu persónuupplýsinga á samfélagsmiðlum, meðal annars í tengslum við kosningar.

Að öðrum ólöstuðum má ætla að áhrifamesta álitið á árinu hafi verið kveðið upp í febrúar en það varðaði vinnslu persónuupplýsinga í tengslum við síðustu sveitarstjórnarkosningar í Reykjavík. Allar niðurstöður Persónuverndar eru aðgengilegar á vefsíðu stofnunarinnar. Þær eru fordæmisgefandi og eiga að koma aðilum í sambærilegri aðstöðu að notum.

Á árinu voru nýskráð 2.454 mál en óafgreidd mál frá fyrri árum voru 1.171. Til meðferðar voru því í heildina 3.625 mál. Á árinu tókst 17 starfsmönnum að afgreiða 2.984 mál. Mikil aukning varð því á afgreiddum málum hjá Persónuvernd árið 2019, því 1.758 mál voru afgreidd árið 2018 og 1.833 árið 2017. Óafgreidd mál við árslok 2019 voru hins vegar 641 talsins og 1. nóvember 2020 eru opin og óafgreidd mál um 800 talsins.

Tekið skal fram að ein af ástæðum þess að það náðist að ljúka svona mörgum málum á árinu 2019 er sú að Persónuvernd ákvað að ljúka afgreiðslu á léttari málum sem lágu fyrir. Eftir standa því mál sem taka lengri tíma í afgreiðslu, svo sem hefðbundnar kvartanir og eftir atvikum beiðnir um álit og fleira. Miðað við afgreiðslu mála undanfarin ár má gera ráð fyrir að það taki tæpt ár að afgreiða þann málahala sem nú liggur fyrir hjá Persónuvernd. Að sama skapi þarf að taka mið af því að ný mál bætast við á hverjum degi.

Álit og ráðgjöf

Undanfarin ár hefur Persónuvernd leitast við að sinna öflugri fræðslu í þeim tilgangi að efla almenna þekkingu á þeirri réttarbót fyrir alla einstaklinga sem finna má í lögum um persónuvernd og vinnslu persónuupplýsinga. Hafa sérfræðingar stofnunarinnar þannig gert sér far um að sinna fræðslubeiðnum ásamt beiðnum um ráðgjöf og umsagnir – sérstaklega frá opinberum aðilum sem telja má að eigi að vera í fararbroddi hvað varðar vandaða vinnslu persónuupplýsinga. Þessi ráðgjöf Persónuverndar á sér oft stað áður en mál eru lögð fram sem frumvörp á Alþingi. Telja verður að þessi vinna leiði til vandaðri lagasetningar um vernd persónuupplýsinga og er það vel. Í þessu sambandi skal einnig bent á að árið 2019 sinntu starfsmenn Persónuverndar 67 beiðnum um umsagnir frá Alþingi og ráðuneytum en þar af voru gerðar athugasemdir í 41 máli, í sumum tilfellum mjög veigamiklar.

Í tengslum við upplýsingabás Persónuverndar á UTmessunni gaf stofnunin út bæklinginn „Eftirlit eða njósnir? – Rafræn vöktun“ og á árinu var jafnframt birtur listi yfir vinnslu sem krefst mats á áhrifum á persónuvernd (MÁP-listinn), auk þess sem birtar voru nýjar reglur um öryggi við vinnslu persónuupplýsinga í söfnum heilbrigðisupplýsinga. Í maí sendi Persónuvernd bréf og fræðslubæklinga í alla grunnskóla landsins, þar sem finna mátti fræðslu um grunnatriði í persónuvernd barna fyrir kennara og aðra sem vinna með börnum. Vonir Persónuverndar standa til þess að slík fræðsla fái viðeigandi stað í menntun íslenskra grunnskólabarna. Á árinu 2019 tóku einnig gildi nýjar reglur um leyfisskylda vinnslu persónuupplýsinga.

Samstarf – íslenskt og erlent

Persónuvernd er í mun að eiga gott samstarf við helstu hagsmunaaðila. Með sumum hafa verið skipulagðir reglulegir fundir, en með öðrum er fundað eftir þörfum. Þannig varð Persónuvernd við um 40 beiðnum um fundi á árinu 2019 frá hinum ýmsu aðilum úr atvinnulífinu, stjórnvöldum og félagasamtökum. Þétt samvinna eykur skilning á kröfum löggjafarinnar og eyðir misskilningi, sem á stundum getur valdið hnökrum í starfi aðila.

Öflug þátttaka hefur verið í evrópsku samstarfi, enda þétt fundað í hinu Evrópska persónuverndarráði sem Persónuvernd á sæti í fyrir Íslands hönd. Þátttakan í starfi ráðsins skapar hornsteininn í allri vinnu Persónuverndar samkvæmt hinni evrópsku persónuverndarlöggjöf, enda skapast með því einsleitni við beitingu persónuverndarlaga í Evrópu. Til þess að þetta markmið náist skipta meðlimir með sér verkum, hvort sem er í ráðinu sjálfu eða undirhópum þess, og vinna þar að leiðbeiningum og lausn þeirra úrlausnarefna sem tækla þarf á starfssviði ráðsins. Fulltrúar Persónuverndar taka virkan þátt í þessari vinnu.

Norrænt samstarf er einnig með miklum ágætum og með sameiginlegri yfirlýsingu á fundi norrænna persónuverndarstofnana í Stokkhólmi í maí 2019 var ákveðið að þétta enn slíka samvinnu milli landanna. Samnorræn úttekt á tilnefningu persónuverndarfulltrúa hjá opinberum aðilum er dæmi um slíka samvinnu. Þá er mikilvægt að geta leitað í smiðju norrænna kollega við úrlausn krefjandi verkefna á sviði persónuverndar.

Hvert stefnum við?

Við lifum á breyttum tímum og það sem áður hefði talist vísindaskáldskapur er nú staðreynd. Æ fleiri heimili eru orðin snjöll, með öðrum orðum – heimilistækjum, leikföngum, myndavélum og öðru er fjarstýrt frá snjallsíma notanda. Sé öryggið ekki tryggt er hætta á að óprúttnir aðilar geti náð stjórn á tækjum og nýtt sér upplýsingar um notendur þeirra í annarlegum tilgangi. Heilu sjúkrahúsin og orkuveiturnar auk annarra mikilvægra innviða eru hér einnig undir. Hér ber einnig að nefna þá vinnslu persónuupplýsinga sem á sér stað á samfélagsmiðlum. Þar ber hæst hvernig upplýsingar á samfélagsmiðlum hafa verið nýttar til að hafa áhrif á niðurstöður kosninga. Margvísleg önnur virkni fólks á samfélagsmiðlum og annars staðar á Netinu gæti átt eftir að hafa ófyrirséðar afleiðingar í för með sér fyrir einstaklinga, svo sem þegar foreldrar ræða í „lokuðum“ hópum um læknisfræðilegar greiningar á börnum sínum, eða ef ekki er farið nægilega vel með gögn sem verða til með andlitsgreiningartækni eða með annarri vöktun á fólki. Þá vekur gervigreindin upp áleitnar spurningar um persónuvernd – nokkuð sem hver ráðstefnan á fætur annarri hefur tekið fyrir sem umræðuefni í Evrópu og víðar undanfarin ár.

Vægi persónuverndarmála mun áfram aukast og ekki er að undra að sum þessara mála séu rædd á vettvangi þjóðaröryggis. Ábyrgð á vinnslu persónuupplýsinga liggur ætíð hjá þeim sem ákveða slíka iðju en starfsmenn Persónuverndar munu jafnframt standa vaktina um þessi mikilvægu mannréttindi sem leidd eru af friðhelgi einkalífs.

Alvarlegar athugasemdir frá Persónuvernd vegna frumvarps til fjárlaga fyrir árið 2021

Við árslok 2019 lá fyrir mat á rekstri Persónuverndar, sem leiddi til þess að í 15. janúar 2020 voru í bréfi stofnunarinnar til dómsmálaráðuneytis gerðar alvarlegar athugasemdir við raunlækkun á fjárframlögum til Persónuverndar, sem fram kom í fjárlögum fyrir árið 2020 og í áformum um þriggja ára áætlun í ríkisfjármálum 2020-2022. Greint var frá því að aukið fjármagn til Persónuverndar á árunum 2017-2019 hefði ekki dugað til að leysa úr þeim auknu verkefnum sem stofnuninni berast og sem sinna þarf lögum samkvæmt. Þrátt fyrir heildarendurskoðun á allri starfsemi stofnunarinnar, nýtt skipurit og breytta verkferla hefði ekki verið unnt að sinna nauðsynlegum og lögbundnum verkefnum – svo sem sérstakri lögbundinni skyldu til að sinna úttektum með skipulögðum hætti. Þá hefði ekki verið unnt að sinna málum sem varða mikla hagsmuni, bæði fyrir einstaklinga og hið opinbera. Í bréfinu var greint frá því að ekki síðar en árið 2021 þyrfti að bæta við að lágmarki 10 starfsmönnum til að Persónuvernd gæti sinnt lágmarksskuldbindingum samkvæmt persónuverndarlögum. Ítarleg gögn, þessu til stuðnings, fylgdu erindi stofnunarinnar.

Nú er fyrirsjáanlegt að áform í fjárlagafrumvarpi fyrir árið 2021 munu setja allt starf úr skorðum hjá Persónuvernd. Stofnunin mun missa starfsmann þegar hún þyrfti 10 nýja starfsmenn. Með vísan til fyrrgreinds bréfs Persónuverndar til dómsmálaráðuneytis, dags. 15. janúar 2020, auk 13 bls. ítarefnis, þar sem nánari greining var gerð á aukinni fjárþörf stofnunarinnar, liggur ljóst fyrir að ný persónuverndarlög hafa ekki leitt til tímabundins aukins álags hjá Persónuvernd. Þvert á móti er álagið mikið, varanlegt og verulega aukið frá því sem áður hefur verið.

Frá því að fyrrgreint bréf var ritað hefur komið upp heimsfaraldur, sem áhrif hefur á allan opinberan rekstur. Fyrir liggur hins vegar að hjá Persónuvernd liggja ein helstu verkfærin sem beita má til verndar einstaklingum við þá innreið tækninnar sem á sér nú stað á heimsvísu. Sömu verkfærin nýtast til að leiðbeina fyrirtækjum, stjórnvöldum, sveitarfélögum og öðrum sem vinna með persónuupplýsingar.

Ljóst má vera að persónuverndarstofnanir hvers lands í Evrópu verða að geta veitt grunnþjónustu á tækniöld. Að öðrum kosti munu stafræn áform fyrirtækja og hins opinbera ekki ganga upp – enda samtal við Persónuvernd flestum ábyrgðaraðilum nauðsynlegt á einhverju stigi stafrænnar vegferðar þeirra. Þess vegna voru sett ákvæði í persónuverndarlöggjöfina, sem lög nr. 90/2018 lögfestu, sem kveða á um skyldu hérlendra stjórnvalda til að búa Persónuvernd ásættanleg starfsskilyrði, sbr. 4. mgr. 52. gr. almennu persónuverndarreglugerðarinnar.

Ég minni á að þegar aukið fjármagn var ákveðið Persónuvernd til handa á fjárlögum fyrir árið 2018 var sérstaklega tiltekið í álitum frá þeim þingnefndum sem um málið fjölluðu að fylgjast þyrfti vel með þróun mála hjá Persónuvernd, til að tryggja að stofnuninni væri búið ásættanlegt starfsumhverfi.

Persónuvernd þolir illa niðurskurð á sinni starfsemi nú. Slíkur niðurskurður mun koma niður á öllum sem til hennar leita. Staðan er slæm fyrir og ljóst er að núverandi starfsmannafjöldi ræður ekki við þann málafjölda sem hingað berst. Í þessu sambandi bendi ég einnig á að ný mál, sérstaklega tengd Covid19, eru nú þegar orðin um 175 talsins. Þar undir eru m.a. flóknar vísindarannsóknir, kvartanir og ábendingar tengdar því hvernig persónuupplýsingar hafa verið unnar hérlendis á tímum heimsfaraldurs.

Á bak við tölur um opin og óafgreidd mál hjá Persónuvernd, nú um 800 talsins, er fólk sem nú þegar þarf að bíða mánuðum eða jafnvel árum saman eftir niðurstöðu í sínum málum hjá stofnuninni. Við þessari stöðu verða stjórnvöld og /eða Alþingi að bregðast!

Persónuvernd, nóvember 2020

Helga Þórisdóttir