Vinnsla persónuupplýsinga á lögmætan hátt

Hver er mögulegur lagagrundvöllur undir GDPR?

Ábyrgðaraðilar geta aðeins unnið með persónuupplýsingar í einni af eftirfarandi aðstæðum:

• með samþykki hlutaðeigandi einstaklinga,
• ef um er að ræða samningsbundna skyldu (samning milli fyrirtækis þíns og einstaklings);
• að uppfylla lagaskyldu samkvæmt löggjöf ESB eða landslöggjöf,
• ef vinnsla er nauðsynleg vegna verkefnis sem unnið er í þágu almannahagsmuna samkvæmt löggjöf ESB eða landslöggjöf,
• að vernda brýna hagsmuni einstaklings,
• fyrir lögmæta hagsmuni fyrirtækis þíns (nema ef hagsmunir eða grundvallarréttindi einstaklinga ganga framar þeim).

Að auki setur GDPR viðbótarskilyrði fyrir vinnslu viðkvæmra gagna.

Samþykki

Fyrirtækið þitt getur ákveðið að treysta á samþykki fyrir vinnslu persónuupplýsinga.

Ef ábyrgðaraðili notar samþykki sem lagagrundvöll fyrir vinnslu persónuupplýsinga verður hann að tryggja að þetta samþykki sé veitt af fúsum og frjálsum vilja, upplýst, sértækt og ótvíræðt. Þetta þýðir að einstaklingar verða að hafa raunverulega frjálst val um hvort þeir séu sammála um vinnslu persónuupplýsinga um sig eða ekki, þeir þurfa nægar upplýsingar til að þeir geti skilið hvaða gögn eru unnin, í hvaða tilgangi og hvernig það er gert; og þeir þurfa að geta afturkallað samþykki sitt af fúsum og frjálsum vilja (án neikvæðra afleiðinga) ef þeir skipta um skoðun síðar.

Ef fyrirtækið þarf að vinna gögnin og getur ekki í raun gert einstaklingum kleift að draga samþykki sitt til baka er það vísbending um að samþykki sé ekki viðeigandi lagagrundvöllur vinnslunnar og nauðsynlegt sé að meta hvort annar lagagrundvöllur gæti átt við.

Skilyrði fyrir samþykki

Ókeypis

Samþykki er veitt af fúsum og frjálsum vilja þegar einstaklingar geta hafnað og dregið samþykki sitt til baka án þess að hætta sé á ytri þrýstingi eða neikvæðum afleiðingum. Einstaklingar skulu einnig eiga rétt á að afturkalla samþykki sitt hvenær sem er; þetta ferli verður að vera auðvelt fyrir einstaklinga að gera (eins auðveldlega og það var að veita það). Afturköllun samþykkis má ekki hafa áhrif á vinnslu persónuupplýsinga sem gerðar voru fyrir afturköllunina, þegar samþykki var enn í gildi.

Til dæmis, að jafnaði, munu starfsmenn ekki vera í aðstöðu til að veita frjálst samþykki fyrir vinnslu sem vinnuveitandi þeirra framkvæmir, þar sem starfsmenn kunna að telja að þeir séu ófærir um að hafna beiðni vinnuveitanda síns.

Sértæk

Til þess að samþykki sé gilt verður það einnig að vera sérstakt við tilgang vinnslunnar. Þetta skilyrði er nátengt skilyrðum upplýsts samþykkis: einstaklingar verða að vera upplýstir um hinn sérstaka tilgang á einföldu og auðskiljanlegu máli svo að þeir hafi skýra hugmynd um í hvaða tilgangi gögnin eru unnin. Þetta þýðir einnig að ef tilgangur vinnsluaðgerðarinnar breytist eða ef viðbótarvinnsluaðgerðum er bætt við ætti að biðja einstaklinga um samþykki sitt aftur. Á sama hátt, ef vinnsluaðgerð hefur margvíslegan tilgang, ætti að veita samþykki fyrir hverjum þeirra.

Til dæmis safnar streymisþjónusta persónuupplýsingum viðskiptavina sinna til að bjóða þeim sérsniðnar skoðunartillögur. Eftir nokkurn tíma ákveður streymisþjónustan að deila persónuupplýsingum viðskiptavina sinna með þriðja aðila svo að þeir geti sent markvissar auglýsingar til viðskiptavina á grundvelli skoðunarvenja þeirra. Þar sem þetta er nýr tilgangur verður streymisþjónustan að biðja um samþykki viðskiptavinar síns.

Upplýst

Þegar óskað er eftir samþykki frá einstaklingi verður fyrirtækið að tryggja að beiðnin sé send einstaklingnum á skiljanlegu og aðgengilegu formi og á skýru og einföldu máli. Veita ætti upplýsingar um tilgang, auðkenni ábyrgðaraðilans, flokka gagna, viðtakendur og rétt til að draga samþykki til baka.

Ótvíræð

Til þess að samþykki sé ótvíræðt ætti að grípa til skýrrar jáverkunar (án kassa sem eru formerktir og gerðir aðskilið frá gildandi almennum skilyrðum).

Mælt er með að endurnýja samþykkið með viðeigandi millibili. Að auki verður þú að geta sýnt fram á að einstaklingurinn sem gögnin eru unnin hafi gefið samþykki sitt, t.d. með skriflegri eða undirritaðri yfirlýsingu, eða með vísvitandi aðgerð eins og að haka í reit.

Framkvæmd samnings

Vinnsla persónuupplýsinga einstaklings vegna framkvæmdar samnings er gildur lagagrundvöllur, t.d. í eftirfarandi tilvikum:

• Fyrirtækið þitt þarf að vinna úr persónuupplýsingum einstaklings til að veita þjónustu.
• Hugsanlegur viðskiptavinur eða viðskiptavinur hefur beðið þig um að gera eitthvað áður en þú gerir samning við fyrirtækið þitt, til dæmis gæti hann óskað eftir að fá tilboð fyrir þá þjónustu sem þú veitir, sem þú gætir þurft að vinna úr einhverjum af persónuupplýsingum þeirra.

Vinnslan verður að vera nauðsynleg fyrir framkvæmd samnings. Í raun merkir þetta að fyrirtæki þitt getur ekki haldið áfram með framkvæmd samningsins eða þjónustunnar án viðkomandi persónugagna. Mælt er með því að fyrirtækið skrái ástæðurnar fyrir því að vinnsla gagna einstaklings er nauðsynleg fyrir framkvæmd samnings.

Að auki ættir þú að reyna að safna sem minnstum fjölda persónuupplýsinga sem nauðsynlegar eru til að framkvæma samningsbundna þjónustu eða til að gera viðeigandi ráðstafanir áður en samningur er gerður. Sérstaklega er ekki hægt að nota samninginn til að útvíkka flokka persónuupplýsinga eða tegundir vinnsluaðgerða. Þess í stað ættir þú að tryggja að fyrir hendi sé raunverulegur gagnkvæmur skilningur á samningsbundnum tilgangi, byggt á væntingum meðaleinstaklings við gerð samningsins.

Þessi lagagrundvöllur getur einnig átt við um tilteknar aðgerðir sem tengjast samningsbundinni ábyrgð og um tilteknar aðgerðir sem raunhæft er að sjá fyrir og nauðsynlegar innan eðlilegra samningssambanda, s.s. að senda formlega áminningu um útistandandi greiðslur eða leiðrétta villur eða tafir á framkvæmd samningsins.

Þessi lagagrundvöllur á þó ekki við ef þú vilt vinna persónuupplýsingar einstaklings í markaðsskyni, til að koma í veg fyrir svik, markvissar auglýsingar eða í öðrum tilgangi sem tengist viðskiptamódeli fyrirtækis þíns. Í slíkum tilvikum getur annar lagagrundvöllur verið tiltækur, s.s. samþykki eða lögmætir hagsmunir, að því tilskildu að viðeigandi viðmiðanir séu uppfylltar.

Löggjöf kann einnig að kveða á um vinnslu persónuupplýsinga, jafnvel eftir að samningnum er sagt upp (t.d. til að halda skrár vegna bókhalds).

Að sjálfsögðu verður samningurinn einnig að gilda samkvæmt gildandi lögum.

Í raun

• Þú ert fyrirtæki sem selur föt, bæði á netinu og í verslun, gætir þú þurft að vinna úr sumum af persónuupplýsingum viðskiptavina þinna, svo sem kreditkortaupplýsingar, til að geta unnið úr kaupum viðskiptavina þinna fyrir fötin þín. Í þessu tilviki getur vinnsla persónuupplýsinga viðskiptavina verið nauðsynleg fyrir framkvæmd samnings.
• Þú ert fyrirtæki sem býður upp á heimatryggingar. Hugsanlegur viðskiptavinur hefur óskað eftir verðtryggingu heima hjá sér. Eins og svo, sumir af persónulegum gögnum þeirra kann að vera nauðsynlegt fyrir þig að veita þeim með nákvæmu verði fyrir heimili tryggingar þeirra.
• Þú ert fyrirtæki sem selur bækur, sem sumir af viðskiptavinum þínum hafa keypt. Þegar þessir viðskiptavinir keyptu þessar bækur gætir þú hafa safnað einhverjum af persónuupplýsingum þeirra, sem voru nauðsynlegar til að vinna viðskiptin. Þú vilt nú vinna persónuupplýsingar þessara viðskiptavina, þ.m.t. upplýsingar um fyrri kaup, til að mæla með öðrum bókum sem þeir kunna að vilja. Þú getur ekki treyst á vinnslu persónuupplýsinga til að framfylgja samningi sem lagagrundvöllur vegna þess að vinna úr gögnum viðskiptavina í þeim tilgangi að auglýsa aðrar bækur er ekki nauðsynleg fyrir framkvæmd samnings.
  Sem slík verður fyrirtækið þitt að biðja um samþykki viðskiptavina til að geta auglýst aðrar bækur til þeirra eða, eftir aðstæðum, treyst á lögmæta hagsmuni þess.

Reglufylgni við lagaskyldu ábyrgðaraðila

GDPR kveður á um annan lagagrundvöll, þ.e.: nauðsynlegt er að uppfylla lagaskyldu sem hvílir á ábyrgðaraðila gagna.

Hægt er að reiða sig á þennan lagagrundvöll þegar stofnun leggur á vinnsluaðgerð samkvæmt löggjöf ESB eða landslöggjöf. Nánar tiltekið þarf að uppfylla fjögur skilyrði:

• lagaskyldan verður að vera skilgreind í lögum ESB eða landslögum sem ábyrgðaraðilinn heyrir undir,
• þessi lagaákvæði verða að koma á skýrri og sértækri skyldu til að vinna þær persónuupplýsingar;
• í þessum ákvæðum skal a.m.k. skilgreina tilgang vinnslunnar;
• þessa skyldu ætti að leggja á ábyrgðaraðilann en ekki skráða aðilann. 

Ef þessi skilyrði eru ekki uppfyllt er ekki hægt að byggja vinnsluaðgerðina á lagaskyldunni og leita eftir öðrum lagagrundvelli.

GDPR kveður á um margar mismunandi aðstæður þar sem ábyrgðaraðila gagna er lagalega skylt að vinna úr persónuupplýsingum viðskiptavina sinna eða viðskiptavina. Til dæmis þurfa vinnuveitendur yfirleitt að vinna persónuupplýsingar starfsmanna sinna í þágu almannatrygginga, eða fyrirtæki þarf oft að vinna úr persónuupplýsingum viðskiptavina sinna í skattalegum tilgangi.

Mikilvægir hagsmunir einstaklings

Einungis er hægt að treysta á vinnslu gagna til að vernda brýna hagsmuni einstaklings í sjaldgæfum og sérstökum tilvikum. Þetta getur t.d. átt við ef þú þarft að vinna persónuupplýsingar til að vernda líf einhvers. Hins vegar, miðað við GDPR, er þessi lagagrundvöllur mjög takmarkaður að umfangi og aðeins er hægt að treysta á í neyðartilvikum.

Í raun

Stofnunin býður upp á rafting ferðir. Í einni af þeim ferðum sem þú skipulagðir, einn af þátttakendum er alvarlega slasaður. Þar af leiðandi er þátttakandinn meðvitundarlaus og verður að fá bráða læknishjálp á sjúkrahúsi. Sem stofnun sem þú gætir þurft að senda (= ferli) persónuupplýsingar einstaklingsins til sjúkrahússins sem þarf að meðhöndla þá til að bjarga lífi viðkomandi. Í þessu samhengi gætir þú verið fær um að vinna úr gögnum þessa einstaklings til að vernda mikilvæga hagsmuni þeirra. 

Almannahagsmunir

Í sumum sérstökum tilvikum kann fyrirtæki þitt að geta unnið úr persónuupplýsingum einstaklinga vegna verkefnis sem unnið er í þágu almannahagsmuna. Í þessu tilviki verður vinnslan að vera grundvöllur í ESB eða landslögum. Tilgangur hennar skal ákveðinn í þessum lagagrundvelli eða vera nauðsynlegur vegna verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili gagna fer með. Þessi lagagrundvöllur getur því einkum skipt máli fyrir vinnsluaðgerðir opinberra yfirvalda í þeim tilgangi að sinna verkefnum sínum.

Í raun

Stofnunin er læknir, þar á meðal tannlæknir og heimilislæknir. Þú gætir þurft að vinna bæði úr persónuupplýsingum tannlæknis og heimilislæknis til að tryggja að hæfni þeirra, siðferðileg og siðferðileg hegðun uppfylli þær kröfur sem settar eru í því landi þar sem læknisstörf þín eru staðsett.

Lögmætir hagsmunir

Fyrirtæki þitt kann að geta unnið úr gögnum einstaklinga vegna lögmætra hagsmuna, að því tilskildu að þessir hagsmunir (auglýsingar, verndun eigna þinna o.s.frv.) skapi ekki ójafnvægi á réttindum og hagsmunum einstaklinga.

Þó að GDPR og viðeigandi dómaframkvæmd Evrópudómstólsins (CJEU) kveði á um dæmi um lögmæta hagsmuni, það er engin tæmandi listi.

Hins vegar verður þú að tryggja að þessi áhugi virði ákveðinn fjölda krafna:

• það verður að vera löglegt, skýrt, raunverulegt og til staðar,
• vinnslan verður að vera nauðsynleg til að framfylgja þessum hagsmunum,
• lögmætir hagsmunir verða að taka tillit til réttar einstaklingsins til gagnaverndar sem ekki er hægt að hnekkja. Í tengslum við þessa kröfu verður ábyrgðaraðilinn að meta lögmæta hagsmuni sína og hagsmuni eða grundvallarréttindi og frelsi einstaklinga og verður einnig að huga að því hverju hann getur með góðu móti búist við. Þessi jafnvægisæfing verður að fara fram í ljósi þeirra áþreifanlegu aðstæðna sem þessar aðgerðir eru framkvæmdar við.

Í raun

Þú rekur endurnýjunarfyrirtæki. Einn af viðskiptavinum þínum deila gæðum eldhús endurnýjun og neitar að greiða frumvarpið að fullu. Sem fyrsta skref, þú flytja gögn viðskiptavinarins til lögmanns þíns í því skyni að semja um uppgjör við viðskiptavininn.  Eins og viðskiptavinurinn neitar að borga, tekur þú þátt í innheimtufyrirtæki. Þú flytur aðeins persónuupplýsingar sem nauðsynlegar eru vegna málsmeðferðar til innheimtufyrirtækisins og stofnunin framkvæmir aðeins takmarkað eftirlit til að staðfesta samskiptaupplýsingar viðskiptavinar og hefja málsmeðferð fyrir dómstólum.

Þó að fyrsta skrefið geti enn fallið undir þá vinnslu sem nauðsynleg er fyrir framkvæmd samnings, má líta svo á að frekari ráðstafanir, s.s. verkefni innheimtustofnunar, séu lögmætir hagsmunir ábyrgðaraðilans. Þar sem aðgerðir stofnunarinnar eru ekki of uppáþrengjandi og áhrifin á viðskiptavininn eru takmörkuð, gætu lögmætir hagsmunir verið viðeigandi lagagrundvöllur.

Vinnsla viðkvæmra persónuupplýsinga

Viðbótarkröfur eiga við ef þú ætlar þér að vinna úr gögnum sem leiða í ljós kynþátt eða þjóðernislegan uppruna, stjórnmálaskoðanir, trúarbrögð eða heimspekilega sannfæringu eða aðild að stéttarfélagi og vinnslu erfðafræðilegra upplýsinga, lífkennaupplýsinga í þeim tilgangi að auðkenna einstakling með einkvæmum hætti, heilsufarsupplýsingar eða upplýsingar um kynlíf einstaklings eða kynhneigð. Þessir sérstöku flokkar gagna eru almennt nefndir "viðkvæm gögn".

Vinnsla viðkvæmra gagna er almennt bönnuð nema í eftirfarandi sérstökum tilvikum.

• Einstaklingurinn hefur veitt afdráttarlaust samþykki sitt fyrir vinnslu viðkvæmra gagna.
• Vinnsla viðkvæmra gagna er nauðsynleg til að ábyrgðaraðili geti uppfyllt skyldur sínar, einkum í tengslum við atvinnu, félagslegt öryggi og félagslega vernd. Til dæmis kann ábyrgðaraðilinn að þurfa að vinna úr viðkvæmum gögnum einstaklings til að geta ákvarðað hvort hann eigi rétt á tilteknum almannatryggingabótum eða atvinnuleysisbótum.
• Vinnsla viðkvæmra gagna er nauðsynleg til að vernda brýna hagsmuni einstaklings ef einstaklingurinn er líkamlega eða lagalega ófær um að veita samþykki sitt. Til dæmis, ef einstaklingur er skilinn eftir meðvitundarlaus vegna slyss og krefst tafarlausrar læknishjálpar, gæti þurft að vinna úr sérstökum flokkum persónuupplýsinga hans vegna viðeigandi læknishjálpar.
• Vinnsla viðkvæmra gagna fer fram í tengslum við lögmæta starfsemi stofnunar, samtaka eða annarra samtaka, sem eru ekki rekin í hagnaðarskyni, með pólitískt, heimspekilegt, trúarlegt eða stéttarfélag, og aðeins til vinnslu persónuupplýsinga félagsmanna sinna, fyrrverandi félagsmanna eða einstaklinga sem hafa reglulega samband við þá.
• Viðkvæmar upplýsingar voru augljóslega gerðar opinberar af einstaklingum.
• Vinnsla viðkvæmra upplýsinga er nauðsynleg í tengslum við málarekstur.
• Vinnsla viðkvæmra gagna er nauðsynleg í málum sem varða verulega hagsmuni almennings.
• Vinnsla viðkvæmra gagna er nauðsynleg í tengslum við forvarnar- eða atvinnusjúkdómafræði. Til dæmis getur verið nauðsynlegt að meta viðkvæm gögn einstaklings, s.s. læknisfræðileg gögn, til að ákvarða starfsgetu hans sem starfsmaður.
• Vinnsla viðkvæmra gagna er nauðsynleg vegna lýðheilsumála á grundvelli laga ESB eða landslaga. Til dæmis getur verið nauðsynlegt að vinna úr viðkvæmum gögnum einstaklinga til að tryggja hágæða heilbrigðisþjónustu og hágæða lækningavörur eða til að berjast gegn alvarlegum heilsufarsógnum, s.s. veirum.
• Vinnsla viðkvæmra gagna er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna eða vegna vísindalegra, tölfræðilegra, sögulegra eða rannsókna. Til dæmis getur verið nauðsynlegt að vinna viðkvæm gögn til að afla nákvæmra tölfræðilegra upplýsinga um stöðu lands á tilteknu sviði.

Gátlisti fyrir vinnslu viðkvæmra persónuupplýsinga

• Spurðu sjálfan þig hvort þú þurfir að vinna úr sérstökum flokkum persónuupplýsinga einstaklings fyrir fyrirhugaða vinnslu.
• Tilgreina lagagrundvöll (= lagalegur rökstuðningur) fyrir vinnslu persónuupplýsinga einstaklings. Þú ættir að vísa til Art.6 GDPR.
• Tilgreinið hvort viðbótarskilyrði fyrir vinnslu viðkvæmra gagna séu virt. Þú ættir að vísa til Art. 9 GDPR.
• Auðkenna áhættu og gagnaverndarráðstafanir, svo sem tæknilegar og skipulagslegar ráðstafanir, sem fyrirtækið þitt kann að þurfa að koma á þegar unnið er úr sérstökum flokkum persónuupplýsinga einstaklinga.
• Ekki gleyma að halda skrá yfir ástæður þínar fyrir vinnslu sérstakra flokka persónuupplýsinga einstaklings, um áhættuna sem það kann að hafa í för með sér og þær ráðstafanir sem þú hefur gert til að draga úr þeirri áhættu.