Svar við fyrirspurn um rétt til afrita af gögnum hjá vátryggingafélagi

Persónuvernd barst fyrirspurn varðandi rétt vátryggingartaka til afrita af gögnum sem tryggingafélag safnar um hann og hvort persónuupplýsingar geti talist vera eign trygggingafélags af þeirri ástæðu að félagið greiddi fyrir þær. Í svarbréfi Persónuverndar kom eftirfarandi fram:


Um skyldu vátryggingafélags til að veita vátryggðum vitneskju um vinnslu persónuupplýsinga, sem hann varða, á þess vegum, fer eftir hinu almenna ákvæði um upplýsingarétt hins skráða í 18. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þar er kveðið á um að hinn skráði eigi rétt á að fá frá ábyrgðaraðila, þ.e. þeim sem ákveður hvers vegna og hvernig skuli unnið með persónuupplýsingar, sbr. 4. tölul. 2. gr. laga nr. 77/2000, vitneskju um hvaða upplýsingar um hann er eða hefur verið unnið með; tilgang vinnslunnar; hver fær, hefur fengið eða mun fá upplýsingar um hann; hvaðan upplýsingarnar koma; og hvaða öryggisráðstafanir eru viðhafðar við vinnslu, enda skerði það ekki öryggi vinnslunnar. Fram kemur að veita skal vitneskju um þessi atriði skriflega, sé þess óskað.


Þetta ákvæði veitir hinum skráða rétt til að fá vitneskju um hvað sé skráð um hann í gögnum ábyrgðaraðila en hins vegar ekki til að fá aðgang að gögnunum sjálfum, s.s. með því að fá í hendur afrit. Hins vegar kann að hvíla ríkari skylda á vátryggingafélögum til að veita vátryggðum vitneskju um vinnslu persónuupplýsinga, sem hann varða, en leiðir af 18. gr. laga nr. 77/2000. Í slíkri ríkari skyldu fælist þá að vátryggingafélagi bæri að afhenda afrit af gögnum væri þess óskað. Ástæða þessa er sú að slíkt kann að vera nauðsynlegt til að fara að þeim skuldbindingum sem felast í samþykktum nr. 336/1996 fyrir úrskurðarnefnd í vátryggingamálum (sbr. 141. gr. laga nr. 30/2004 um vátryggingarsamninga sem taka gildi 1. janúar 2006, sbr. 146. gr.).


Í 1. gr. samþykktana kemur fram að nefndin starfar samkvæmt samkomulagi viðskiptaráðuneytisins, Neytendasamtakanna og Sambands íslenskra tryggingafélaga. Samkvæmt því samkomulagi, sbr. 5. mgr. 5. gr. samþykktana, eru úrskurðir nefndarinnar bindandi fyrir vátryggingafélög nema kæranda og nefndinni sé sannanlega tilkynnt innan tveggja vikna frá því að úrskurður barst viðkomandi félagi í hendur að það muni ekki hlíta honum.


Telja má ljóst að til þess að vátryggður geti nýtt rétt sinn samkvæmt þessum samþykktum og borið mál undir úrskurðarnefnd í vátryggingamálum kann honum að reynast nauðsynlegt að fá afrit af gögnum með persónuupplýsingum, sem hann varða, til að geta undirbúið kæruna. Samkvæmt því má líta svo á að vátryggingafélögum beri, eðli málsins samkvæmt, skylda til að afhenda vátryggðum slík afrit þrátt fyrir að 18. gr. laga nr. 77/2000 veiti hinum skráða aðeins rétt til að fá vitneskju um hvað um hann er skráð en ekki til að fá afrit gagnanna sjálfra. Í því felst hins vegar ekki að félagið verði sjálft að hafa frumkvæði að því að afhenda afrit, m.ö.o.: Ætla má að ekki stofnist skylda til afhendingar afrita nema vátryggður óski sjálfur eftir því að fá þau í hendur.


Tekið skal fram að það hvort upplýsingar, sem vátryggingafélag aflar um vátryggðan, skuli skoðast sem "eign" félagsins skiptir ekki máli. Reglur um vernd persónuupplýsinga hafa það markmið að tryggja að með þær sé farið í samræmi við grundvallarregluna um friðhelgi einkalífs. Þeim er þannig ætlað að standa vörð um persónufrelsi óháð eignarétti. Samkvæmt því er ekki unnt að víkja þeim til hliðar með yfirlýsingu í samningi um að annar samningsaðilinn "eigi" upplýsingarnar.