Umsögn Persónuverndar um frumvarp til laga um Hagstofu Íslands
Persónuvernd vísar til bréfs allsherjarnefndar Alþingis, dags. 22. október 2007, þar sem óskað er umsagnar stofnunarinnar um frumvarp til laga um Hagstofu Íslands og opinbera hagskýrslugerð (þskj. 129, 128. mál á 135. löggjafarþingi).
Athugasemdir stofnunarinnar birtast hér að neðan. Þær lúta annars vegar að ákvæðum frumvarpsins um heimildir Hagstofunnar til upplýsingasöfnunar og hins vegar að ákvæðum þess um trúnað við hagskýrslugerð.
1.
Í 5.–9. gr. frumvarpsins er mælt fyrir um heimildir Hagstofunnar til upplýsingasöfnunar frá stjórnvöldum, fyrirtækjum og einstaklingum. Í 8. gr. segir að nauðsynlegra hagskýrslugagna um einstaklinga og heimili skuli aflað úr opinberum skrám og á grundvelli stjórnsýslugagna eftir því sem kostur sé. Að öðru leyti sé Hagstofunni heimilt að afla persónubundinna upplýsinga beint frá einstaklingum. Af þessu ákvæði verður ráðið að almennt sé ekki ætlast til að aflað sé upplýsinga um einstaklinga, m.ö.o. persónuupplýsinga, frá fyrirtækjum í atvinnurekstri heldur fyrst og fremst tölfræðilegra upplýsinga. Samkvæmt 7. gr. geta hins vegar einstaklingar í atvinnurekstri orðið að veita um sig upplýsingar, en þær myndu teljast til persónuupplýsinga.
Í 6. gr. er mælt fyrir um fyrirkomulag upplýsingasöfnunar og kemur þar fram sú meginregla að ekki skuli aflað upplýsinga frá viðkomandi einstaklingum sjálfum (eða eftir atvikum fyrirtækjum í atvinnurekstri, en þrátt fyrir framangreint verður ekki séð að frumvarpið útiloki öflun upplýsinga þaðan) nema ekki sé kostur á að afla upplýsinganna hjá stjórnvöldum. Forsendur þessa eru útskýrðar með svofelldum hætti í athugasemdum frumvarpsins við 6. gr.:
„Á Norðurlöndunum er löng hefð fyrir því að hagnýta stjórnsýslugögn til hagskýrslugerðar. Þetta er gert í ríkum mæli hér á landi, ýmist á grundvelli hin[n]ar almennu heimildar Hagstofunnar til gagnaöflunar frá stjórnvöldum og á grundvelli sérstakra lagaákvæða þar að lútandi. Þannig er ákvæði um miðlun gagna og upplýsinga til Hagstofunnar að finna í lögum um þjóðskrá og almannaskráningu, í lögum um fyrirtækjaskrá, í skattalögum, tollalögum o.fl. Þessi aðferð til öflunar hagskýrslugagna er afar mikilvæg í litlum ríkjum. Hún er sérstaklega brýn hér á landi vegna smæðar þjóðfélagsins og mikils kostnaðar af því að afla upplýsinga með könnunum og fyrirspurnum meðal fyrirtækja og almennings. Nefna má þrjár meginástæður fyrir því að takmarka notkun beinna kannana meðal einstaklinga og fyrirtækja hér á landi:
Upplýsingagjöf krefst óhjákvæmilega vinnu og tíma af þeim sem láta upplýsingar í té. Það ætti því að vera keppikefli að hafa sem mest hóf á beinni gagnasöfnun og leita ekki eftir sömu eða svipuðum upplýsingum og hafa þegar verið látnar í té til stjórnvalda.
Fjöldi gagnaveitenda sem úrtaksathuganir og aðrar beinar kannanir beinast að verður hlutfallslega miklum mun meiri hér á landi en í stærri ríkjum. Kostnaðurinn við þessar aðferðir við gagnasöfnum er að sama skapi meiri.
Í litlum ríkjum verður miklum mun oftar að leita til sömu fyrirtækja og einstaklinga en í stórum ríkjum. Þetta eykur líkur á að fyrirtæki og almenningur þreytist á því að láta í té upplýsingar."
Í fylgiskjali II með frumvarpinu er að finna verklagsreglur í hagskýrslugerð sem framkvæmdastjórn ESB hefur gefið út sem tilmæli nr. 217/2005. Hafa tilmælin verið auglýst hér á landi, þ.e. með auglýsingu nr. 578/2006 sem einnig er að finna í fylgiskjalinu. Verklagsreglurnar hafa að geyma 15 meginreglur. Samkvæmt 9. meginreglunni skal svarbyrði vera í samræmi við þarfir notenda og ekki íþyngja svarendum óhóflega. Meginreglan er útfærð nánar með nokkrum svonefndum mælistikum, en samkvæmt einni þeirri skulu stjórnsýslugögn jafnan notuð þegar þau eru tiltæk til að koma í veg fyrir að beðið verði oft um sömu upplýsingarnar.
Af þessu verður ráðið að framangreind aðferð við upplýsingaöflun sé í samræmi við það sem almennt tíðkast. Af því má ráða að innan ESB og EES hafi orðið til venjubundin framkvæmd við öflun upplýsinga til hagskýrslugerðar. Persónuvernd gerir ekki athugasemdir við að sú viðtekna framkvæmd sé höfð að leiðarljósi í frumvarpinu og gerir því heldur ekki tillögur að breytingum á ákvæðum 5.–9.
2.
Í 10.–13. gr. er fjallað um trúnað við hagskýrslugerð. Þessi ákvæði mæla því fyrir um hvernig öryggi upplýsinga skuli tryggt og þess gætt að ekki sé gengið lengra við meðferð upplýsinganna en nauðsynlegt er í ljósi tilgangsins með öflun þeirra. Í 10. gr. er m.a. mælt fyrir um að við birtingu og miðlun hagskýrslna skuli svo sem frekast er unnt komið í veg fyrir að rekja megi upplýsingar til tilgreindra einstaklinga. Þetta á þó ekki við hafi hlutaðeigandi samþykkt birtingu persónugreindra upplýsinga eða um sé að ræða opinberar upplýsingar sem ekki þurfi að fara leynt.
Í 11. gr. er mælt fyrir um þagnarskyldu starfsfólks Hagstofunnar. Þá er í 12. gr. mælt fyrir um skyldu til að varðveita gögn tryggilega og beita viðeigandi ráðstöfunum til að tryggja öryggi þeirra, sbr. 1. mgr., sem og að Hagstofan skuli setja sérstakar öryggisreglur, þ. á m. um varðveislu og eyðingu pappírsgagna, um hvort eða hvenær eyða skuli tölvugögnum og um að afmá eða dylja skuli persónuauðkenni á slíkum gögnum, sbr. 4. mgr. Mikilvæg ákvæði eru í 2. og 3. mgr. Annars vegar er mælt fyrir um að trúnaðargögnum til hagskýrslugerðar skuli eytt að lokinni hagnýtingu þeirra nema ástæða þyki til að varðveita þau til frekari rannsókna, en þá skuli persónuauðkenni afmáð eða dulin. Hins vegar er mælt fyrir um að ekki skuli afhenda Þjóðskjalasafni Íslands trúnaðargögn til varðveislu.
Samkvæmt 13. gr. er heimilt að veita viðurkenndum eða trúverðugum rannsóknaraðilum aðgang að gögnum eða afhenda gögn úr gagnasafni með almennum persónuupplýsingum um m.a. einstaklinga. Skuli persónuauðkenni fyrst afmáð eða dulin og aðrar ráðstafanir gerðar sem tryggi eins og unnt sé að upplýsingar verði ekki persónugreinanlegar, sbr. 1. mgr. Sérstaklega er tekið fram að þegar um sé að ræða viðkvæmar persónuupplýsingar (s.s. um heilsuhagi, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000) verði skilyrðum 1. mgr. 9. gr. laga nr. 77/2000 að vera fullnægt og að rannsakandi heiti því að skila gögnum eða eyða persónuauðkennum að rannsókn lokinni, sbr. 2. mgr. Þá er tekið fram að Hagstofan setji nánari reglur um framangreint, sbr. 3. mgr.
Persónuvernd gerir ekki athugasemdir við framangreind ákvæði frumvarpsins að undanskilinni 13. gr. Lagt er til að á þeirri grein verði gerðar eftirfarandi breytingar:
Svo að vinnsla viðkvæmra persónuupplýsinga sé heimil nægir að einu af framangreindum skilyrðum 1. mgr. 9. gr. laga nr. 77/2000 sé fullnægt (t.d. að fengið sé upplýst samþykki). Þá er vinnsla viðkvæmra persónuupplýsinga heimil þó svo að einhverju þessara skilyrða sé ekki fullnægt ef Persónuvernd heimilar vinnsluna sérstaklega í ljósi brýnna almannahagsmuna, sbr. 3. mgr. 9. gr. laga nr. 77/2000. Persónuvernd leggur því til að orðunum „skilyrðum 1. mgr. 9. gr." í 2. mgr. 13. gr. frumvarpsins verði breytt í „einhverju skilyrða 9. gr."
Til að skerpa á því að gera beri gögn ópersónugreinanleg leggur Persónuvernd til að eftirfarandi orðum verði bætt við 3. mgr. 9. gr., þ.e. á eftir orðunum „hlutaðeigandi rannsóknaraðili heiti því að skila gögnum eða eyða persónuauðkennum að rannsókn lokinni": „en þó í síðasta lagi að tilteknum tíma liðnum. Hyggist rannsóknaraðili varðveita persónuauðkenni lengur skal hann tilkynna það Hagstofunni og óska eftir samþykki hennar fyrir frekari varðveislu."