Umsögn um frumvarp til breytinga á lögum um Schengen-upplýsingakerfið
Reykjavík, 26. mars 2015
Umsögn um frumvarp til laga um breytingu á lögum nr. 16/2000 um Schengen-upplýsingakerfið á Íslandi
Persónuvernd vísar til beiðni allsherjar- og menntamálanefndar Alþingis frá 28. janúar 2015 um umsögn um frumvarp til laga um breytingu á lögum nr. 16/2000 um Schengen-upplýsingakerfið á Íslandi (þskj. 505, 376. mál á 141. löggjafarþingi). Meginefni frumvarpsins skiptist í tvennt. Í fyrsta lagi er þar um að ræða nokkur ákvæði, þ.e. 1.–3. gr., sem ætla má að byggist meðal annars á c-lið 3. gr. reglugerðar 2006/1987/EB; e-, f-, k- og m-liðum 2. mgr. 20. gr. sömu reglugerðar; 36. og 37. gr. sömu reglugerðar; e-, f-, k- og m-liðum 3. mgr. 20. gr. ákvörðunar 2007/533/EB; og 27., 51. og 52. gr. sömu ákvörðunar. Lúta þessi ákvæði að því hvaða upplýsingar skrá má í Schengen-upplýsingakerfið, því sem í frumvarpinu er nefnt viðbótargögn og heimildum til að tengja saman skráningar sem færðar eru inn í upplýsingakerfið. Í öðru lagi er um að ræða ákvæði um valdheimildir Persónuverndar, þ.e. í 5. gr. frumvarpsins.
1.
Hvað þann þátt frumvarpsins varðar, sem lýtur að innleiðingu fyrrnefndra Evrópureglna, telur Persónuvernd tilefni til athugasemda í tengslum við svonefnd viðbótargögn. Í því sambandi skal bent á að í Evrópureglunum er tilgreint sérstaklega hvaða upplýsingar falli þar undir. Annars vegar kemur fram í 36. gr. reglugerðar 2006/1987/EB og 51. gr. ákvörðunar 2007/533/EB að færa megi inn nánar tilteknar upplýsingar um þá sem gætu átt á hættu að vera skráðir í upplýsingakerfið vegna misnotkunar persónuauðkenna (e. misused identity), en þá skal byggt á samþykki þeirra sem orðið hafa fyrir slíkri misnotkun og upplýsingarnar einungis nýttar til að fyrirbyggja hana, sbr. niðurlag áðurnefndra ákvæða. Hins vegar kemur fram í 27. gr. framangreindar ákvörðunar að skrá má tilteknar viðbótarupplýsingar um einstaklinga sem sæta skulu handtöku samkvæmt evrópskri handtökuskipun (e. European Arrest Warrant), þ.e. handtökuskipunina sjálfa.
Ákvæði frumvarpsins um viðbótargögn, þ.e. tillaga c-liðar 1. gr. að viðbót við 5. gr. laga nr. 16/2000, tilgreinir ekki hvaða viðbótargögn megi skrá. Þá telur Persónuvernd það samrýmast betur orðnotkun í lögum nr. 16/2000 að nota orðið „upplýsingar“ en „gögn“. Stofnunin leggur því til að fyrrnefnda orðinu verði skipt út fyrir hið síðarnefnda í umræddri frumvarpstillögu (ásamt viðeigandi breytingum á kyni annarra orða). Auk þess leggur stofnunin til breytingar á ákvæðinu þannig að afmörkun fyrrgreinda Evrópureglna á hvaða viðbótarupplýsingar má skrá endurspeglist í lögunum. Nánar tiltekið er lagt til að fyrsta málslið ákvæðisins verði skipt út fyrir tvo nýja, en auk þess verði upphafi núverandi 2. málsliðar breytt svo að hann falli að hinum nýjum málsliðum. Upphaf ákvæðisins myndi þá hljóða svo:
„Innan ramma Evrópureglna um upplýsingakerfið má skrá þar viðbótarupplýsingar um einstaklinga sem sæta skulu handtöku samkvæmt evrópskri handtökuskipun. Einnig má, innan ramma sömu reglna, færa inn upplýsingar um þá sem gætu átt á hættu skráningu í upplýsingakerfið þar sem persónuauðkenni þeirra hafi verið misnotuð, enda sé þá fengið samþykki viðkomandi einstaklings til færslu upplýsinganna og upplýsingarnar eingöngu nýttar til að fyrirbyggja umrædda misnotkun. Upplýsingar samkvæmt þessari málsgrein eru vistaðar…“
2.
Sá þáttur frumvarpsins, sem varðar valdsvið Persónuverndar, felur í sér viðbrögð við skýrslu um niðurstöður úttektar samevrópskrar eftirlitsnefndar, sem fram fór í nóvember 2011, á því hvernig Ísland fer að skyldum sínum í Schengen-samstarfinu. Á bls. 8 í skýrslunni, sem gefin var út í desember s.á., er meðal annars gerð athugasemd við að ákvarðanir Persónuverndar varðandi Schengen-upplýsingakerfið séu ekki bindandi og mælst til þess, sbr. einnig bls. 12, að stofnuninni verði fengnar nauðsynlegar valdheimildir til tryggja nægilega vernd persónuupplýsinga í kerfinu. Nánar tiltekið er hér haft í huga ákvæði 3. mgr. 18. gr. laga nr. 16/2000 þar sem segir að geri Persónuvernd athugasemdir við starfrækslu upplýsingakerfisins skuli hún koma þeim og tillögum um úrbætur á framfæri við ríkislögreglustjóra og ráðuneytið. Í a-lið 5. gr. frumvarpsins er brugðist við þessu með því að skipta út orðinu „athugasemdum“ í ákvæðinu fyrir orðið „fyrirmælum“. Þá er lögð til sú viðbót að ríkislögreglustjóra beri að bregðast við athugasemdum og fyrirmælum Persónuverndar um úrbætur þegar í stað og eigi síðar en innan þriggja mánaða.
Einnig gerir úttektarnefndin athugasemd við það í skýrslunni hvernig æskja má endurskoðunar ákvarðana þar sem hinum skráða er synjað um aðgang að upplýsingum um sjálfan sig eða til að neyta annarra réttinda sinna, sbr. 13.–15. gr. laga nr. 16/2000. Nánar tiltekið leit nefndin til þess að þar sem Persónuvernd getur ekki tekið bindandi ákvarðanir varðandi Schengen-upplýsingakerfið getur eingöngu ráðuneytið, samkvæmt almennum stjórnsýslureglum, endurskoðað slíkar synjanir að fenginni kæru. Eins og fram kemur á bls. 8 og 12 í skýrslunni telur úttektarnefndin að breyta þurfi þessu fyrirkomulagi þannig að synjanir megi bera undir úrskurð Persónuverndar. Í b-lið 5. gr. frumvarpsins er, í ljósi þessa, lögð til ný 4. málsgrein sem bætist við 18. gr. laga nr. 16/2000, þess efnis að ákvarðanir ríkislögreglustjóra á grundvelli 13.–15. gr. laganna sæti kæru til stofnunarinnar.
Persónuvernd telur ekki tilefni til athugasemda við b-lið 5. gr. frumvarpsins. Hins vegar vekur telur stofnunin tilefni til athugasemda við framangreinda tillögu a-liðar sömu greinar að viðbót við 3. mgr. 18. gr. laga nr. 16/2000. Nánar tiltekið gerir Persónuvernd athugasemd við það orðalag í tillögunni að ríkislögreglustjóri skuli „bregðast við“ athugasemdum og fyrirmælum innan tiltekins frests. Persónuvernd telur það orðalag ekki bera fyllilega með sér að athugasemdir og fyrirmæli stofnunarinnar eigi að vera bindandi fyrir ríkislögreglustjóra. Í því sambandi er vakin athygli á 1. mgr. 23. gr. hinna norsku laga um Schengen-upplýsingakerfið þar í landi nr. 1999-07-16-66, en það ákvæði hljóðar svo: „Datatilsynet kan gi den registeransvarlige pålegg om at behandling av opplysninger i strid med denne loven skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med loven.“
Með vísan til framangreinds leggur Persónuvernd til að orðunum „bregðast við“ í tillögu b-liðar 5. gr. frumvarpsins verði skipt út fyrir orðin „fara að“.
- - - - - - - - - -
Að öðru leyti en að framan greinir gerir Persónuvernd ekki athugasemdir við frumvarpið eins og á stendur.