Umsögn Persónuverndar vegna ákvörðunar framkvæmdastjórnar Evrópusambandsins nr. 2008/49/EB
Til athugunar er hjá dómsmálaráðuneytinu að gera breytingar á lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga vegna ákvörðunar framkvæmdastjórnar Evrópusambandsins nr. 2008/49/EB, en hún varðar IMI-upplýsingakerfið sem nota á til upplýsingaskipta.
Gert er ráð fyrir því að um kerfið verði m.a. sendar upplýsingar um hvort tiltekinn einstaklingur hafi hlotið löggildingu eða starfsleyfi og hvort hann hafi viðhlítandi starfsreynslu, en einnig upplýsingar um hvort hann hefur þurft að sæta agaviðurlögum, hafi verið sviptur starfsréttindum eða heimildum, hafi hlotið dóm fyrir refsivert athæfi, hvort hann hafi misst forræði á búi sínu og hvort hann hafi óflekkað mannorð. Sumar upplýsingarnar geta talist viðkvæmar. Persónuvernd telur ekki æskilegt að gera breytingu á lögum nr. 77/2000 en telur nauðsynlegt að gera annað hvort breytingu á gildandi lögum um viðurkenningu á menntun og prófskírteinum eða setja sérlög um notkun IMI-upplýsingakerfisins.
Umsögn Persónuverndar vegna ákvörðunar framkvæmdastjórnar Evrópusambandsins nr. 2008/49/EB
Persónuvernd vísar til bréfs dómsmálaráðuneytisins, dags. 28. maí sl., þar sem þess er óskað að Persónuvernd kanni hvort og þá hvaða breytingar sé nauðsynlegt að gera á lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga í tilefni af ákvörðun framkvæmdastjórnar Evrópusambandsins nr. 2008/49/EB.
Ákvörðunin sem um ræðir varðar IMI-upplýsingakerfið, sem nota á til upplýsingaskipta sem eru nauðsynleg vegna ákvæða nýrrar þjónustutilskipunar, nr. 2006/123/EB, og tilskipunar nr. 2005/36/EB um starfsmenntun og hæfi. Gert er ráð fyrir því að um kerfið verði sendar upplýsingar m.a. um hvort tiltekinn einstaklingur hafi hlotið löggildingu eða starfsleyfi og hvort hann hafi viðhlítandi starfsreynslu, en einnig upplýsingar um hvort hann hefur þurft að sæta agaviðurlögum, hafi verið sviptur starfsréttindum eða heimildum, hafi hlotið dóm fyrir refsivert athæfi, hvort hann hafi misst forræði á búi sínu og hvort hann hafi óflekkað mannorð. Sumar upplýsingarnar geta því talist viðkvæmar í skilningi 8. tölul. 2. gr. laga nr. 77/2000.
Persónuvernd telur ekki æskilegt að gera breytingu á lögum nr. 77/2000 vegna ákvörðunar framkvæmdastjórnarinnar, enda er í þeim lögum að finna almennar reglur um vinnslu og meðferð persónuupplýsinga. Að mati Persónuverndar er ekki æskilegt að gera breytingu á þessum almennu reglum vegna tiltekinnar, afmarkaðrar vinnslu persónuupplýsinga. Auk þess er takmarkað svigrúm til þess vegna skuldbindinga Íslands samkvæmt EES-samningnum, en tilskipun nr. 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga var innleidd í íslenskan rétt með setningu laga nr. 77/2000. Lögin eru því efnislega sambærileg við persónuverndarlöggjöf annarra aðildarríkja Evrópska efnahagssvæðisins.
Hins vegar verður sú vinnsla persónuupplýsinga sem fyrirhuguð er í IMI-upplýsingakerfinu að vera í samræmi við lög nr. 77/2000. Vinnsla persónuupplýsinga er því aðeins heimil að eitthvert skilyrða 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga sé uppfyllt. Ef upplýsingarnar teljast viðkvæmar verður enn fremur að uppfylla eitthvert af skilyrðum 1. mgr. 9. gr. laganna.
Í ljósi lögmætisreglu stjórnsýsluréttarins eru þau skilyrði sem helst koma til greina, önnur en samþykki hinna skráðu einstaklinga, 3. og 6. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr.
Samkvæmt 3. tölul. 1. mgr. 8. gr. er vinnsla persónuupplýsinga heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila.
Samkvæmt. 6. tölul. 1. mgr. 8. gr. er vinnsla persónuupplýsinga heimil sé hún nauðsynleg við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji aðili sem upplýsingunum er miðlað til, fer með. Þar er þó átt við skyldur að íslenskum lögum og þá aðila sem fara með opinbert vald í samræmi við íslenska stjórnarskrá og landslög, en ekki stjórnvöld annarra ríkja.
Samkvæmt 2. tölul. 1. mgr. 9. gr. er vinnsla viðkvæmra persónuupplýsinga heimil standi til hennar sérstök heimild samkvæmt öðrum lögum. Mat á því hvort lagastoð er fyrir hendi ræðst hverju sinni af skýringu viðkomandi sérlagaákvæðis, en því meiri íhlutun í einkalíf einstaklingsins sem umrædd vinnsla hefur í för með sér þeim mun ótvíræðari þarf lagaheimildin að vera.
Í samræmi við þetta kom fram í bréfi Persónuverndar til utanríkisráðuneytisins, dags. 18. mars sl., að í ljósi gildandi laga megi ætla að heimilt sé að miðla um IMI-upplýsingakerfið persónuupplýsingum sem skylt, eða eftir atvikum heimilt, sé að veita almenningi aðgang að á grundvelli 1. og 3. mgr. 3. gr. upplýsingalaga nr. 50/1996, og var þar átt við þær persónuupplýsingar sem þar til bærum stjórnvöldum er heimilt að afla í tengslum við löggildingar.
Að öðru leyti verður miðlun um kerfið að byggja á lagaheimild. Persónuvernd telur því nauðsynlegt að annað hvort verði gerð breyting á gildandi lögum um viðurkenningu á menntun og prófskírteinum eða sett verði sérlög um notkun IMI-upplýsingakerfisins.