Lögmæt vinnsla persónuupplýsinga

Hverjar eru mögulegar vinnsluheimildir samkvæmt persónuverndarreglugerðinni?

Ábyrgðaraðilar mega eingöngu vinna með persónuupplýsingar ef þeir uppfylla eitthvert af eftirfarandi skilyrðum:

• hlutaðeigandi einstaklingur hefur samþykkt vinnsluna,
• um er að ræða samningsbundna skyldu (samningur er á milli fyrirtækis þíns og einstaklings),
• vinnslan fer fram til að uppfylla lagaskyldu samkvæmt löggjöf ESB eða landslögum,
• vinnslan er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna samkvæmt löggjöf ESB eða landslögum,
• vinnslan fer fram til að vernda brýna hagsmuni einstaklings,
• vinnslan byggir á lögvörðum hagsmunum fyrirtækis þíns (og hagsmunir eða grundvallarréttindi einstaklinga vega ekki þyngra).

Að auki er að finna viðbótarskilyrði fyrir vinnslu viðkvæmra persónuupplýsinga í persónuverndarreglugerðinni.

Samþykki

Fyrirtækið þitt getur ákveðið að byggja á samþykki fyrir vinnslu persónuupplýsinga.

Ef ábyrgðaraðili byggir á samþykki sem heimild fyrir vinnslu persónuupplýsinga verður hann að tryggja að það sé veitt af fúsum og frjálsum vilja og sé upplýst, sértækt og ótvírætt. Það þýðir að einstaklingar verða að hafa raunverulegt frjálst val um hvort þeir samþykki vinnslu persónuupplýsinga sinna, þeir þurfa að vera nægilega upplýstir til að skilja hvaða gögn eru unnin, í hvaða tilgangi og hvernig það er gert – og þeir þurfa að geta afturkallað samþykki sitt af fúsum og frjálsum vilja (án neikvæðra afleiðinga) ef þeir skipta um skoðun síðar.

Ef fyrirtækið þarf að vinna með persónuupplýsingar en getur í raun ekki gert einstaklingum kleift að draga samþykki sitt til baka bendir það til þess að samþykki sé ekki réttur grundvöllur fyrir vinnslunni og þá er nauðsynlegt að meta hvort önnur vinnsluheimild geti átt við.

Skilyrði fyrir samþykki

Frjálst

Samþykki er veitt af fúsum og frjálsum vilja þegar einstaklingar geta hafnað og dregið samþykki sitt til baka án þess að hætta sé á ytri þrýstingi eða neikvæðum afleiðingum. Einstaklingar skulu einnig eiga rétt á að afturkalla samþykki sitt hvenær sem er; það þarf að vera auðvelt að gera (jafnauðvelt og það var að veita samþykkið). Afturköllun samþykkis má ekki hafa áhrif á vinnslu persónuupplýsinga sem gerð var fyrir afturköllunina, þegar samþykki var enn í gildi.

Til dæmis eru starfsmenn, að jafnaði, ekki í aðstöðu til að veita frjálst samþykki fyrir vinnslu sem vinnuveitandi þeirra framkvæmir, þar sem starfsmönnum kann að finnast að þeir séu ekki í aðstöðu til að hafna beiðni vinnuveitanda síns.

Sértækt

Til þess að samþykki sé gilt verður það að vera bundið við tilgang vinnslunnar. Þetta skilyrði er nátengt skilyrðum upplýsts samþykkis: einstaklingar verða að vera upplýstir um hinn sérstaka tilgang á einföldu og auðskiljanlegu máli svo að þeir hafi skýra hugmynd um í hvaða tilgangi upplýsingar þeirra eru unnar. Þetta þýðir einnig að ef tilgangur vinnsluaðgerðarinnar breytist eða ef vinnsluaðgerðum er bætt við ætti að óska eftir samþykki einstaklinganna aftur. Með sama hætti ef vinnsluaðgerð hefur fleiri en einn tilgang, ætti að veita samþykki fyrir hverjum og einum þeirra.

Til dæmis safnar streymisþjónusta persónuupplýsingum viðskiptavina sinna til að bjóða þeim sérsniðnar tillögur um efni til að horfa á. Eftir nokkurn tíma ákveður streymisþjónustan að deila persónuupplýsingum viðskiptavina sinna með þriðja aðila svo að þeir geti sent markvissar auglýsingar til viðskiptavina á grundvelli skoðunarvenja þeirra. Þar sem þetta er nýr tilgangur verður streymisþjónustan að óska eftir samþykki viðskiptavinar síns.

Upplýst

Þegar óskað er eftir samþykki frá einstaklingi verður fyrirtækið að tryggja að beiðnin sé send einstaklingnum á skiljanlegu og aðgengilegu formi og á skýru og einföldu máli. Veita ætti upplýsingar um tilgang vinnslunnar, hver sé ábyrgðaraðili, flokka persónuupplýsinga, viðtakendur og réttinn til að draga samþykki til baka.

Ótvírætt

Til að samþykki teljist ótvírætt þarf að liggja fyrir skýr og jákvæð athöfn (án fyrirfram hakaðra reita og vera aðskilin frá almennum skilmálum).

Mælt er með því að endurnýja samþykkið reglulega. Að auki verður þú að geta sýnt fram á að einstaklingurinn sem upplýsingarnar eru um hafi veitt samþykki sitt, t.d. með skriflegri eða undirritaðri yfirlýsingu, eða með vísvitandi aðgerð eins og að haka í reit.

Efndir samnings

Vinnsla persónuupplýsinga til að efna samning er gild vinnsluheimild, t.d. í eftirfarandi tilvikum:

• Þegar fyrirtækið þitt þarf að vinna úr persónuupplýsingum einstaklings til að veita þjónustu.
• Þegar væntanlegur viðskiptavinur eða skjólstæðingur biður þig um að gera eitthvað áður en hann gerir samning við fyrirtækið þitt. Til dæmis gæti hann óskað eftir að fá tilboð í þá þjónustu sem þú veitir, og þú gætir þurft að vinna úr einhverjum af persónuupplýsingum hans til að gera slíkt tilboð.

Vinnslan verður að vera nauðsynleg til að efna samning. Í raun þýðir það að fyrirtæki þitt getur ekki framkvæmt samninginn eða veitt þjónustuna án vinnslu viðkomandi persónuupplýsinga. Mælt er með því að fyrirtækið skrái ástæðurnar fyrir því að vinnsla persónuupplýsinga einstaklings er nauðsynleg til að efna samning.

Að auki ættir þú að reyna að safna sem minnstu af persónuupplýsingum sem nauðsynlegar eru til að veita samningsbundna þjónustu eða til að gera viðeigandi ráðstafanir áður en samningur er gerður. Þá má ekki nota samninginn til að útvíkka flokka persónuupplýsinga eða tegundir vinnsluaðgerða. Þess í stað ættir þú að tryggja að fyrir hendi sé raunverulegur gagnkvæmur skilningur á tilgangi samningsins, byggður á væntingum meðaleinstaklings við gerð samningsins.

Þessi vinnsluheimild getur einnig átt við um aðgerðir sem tengjast samningsbundinni ábyrgð og aðgerðir sem raunhæft er að sjá fyrir og eru nauðsynlegar innan eðlilegra samningssambanda, s.s. að senda áminningar um útistandandi greiðslur eða leiðrétta villur eða tafir á efndum samningsins.

Þessi vinnsluheimild á þó ekki við ef þú vilt vinna persónuupplýsingar einstaklings í markaðsskyni, til að koma í veg fyrir svik, fyrir einstaklingsmiðaðar auglýsingar eða í öðrum tilgangi sem tengist viðskiptamódeli fyrirtækis þíns. Í slíkum tilvikum getur önnur vinnsluheimild verið tiltæk, s.s. samþykki eða lögmætir hagsmunir, að því tilskildu að viðeigandi skilyrði séu uppfyllt.

Lög kunna einnig að kveða á um vinnslu persónuupplýsinga, jafnvel eftir lok samnings (t.d. til að halda skrár vegna bókhalds).

Að sjálfsögðu verður samningurinn einnig að gilda samkvæmt gildandi lögum.

Dæmi

• Þú rekur fyrirtæki sem selur föt, bæði á netinu og í verslun, og þú gætir þurft að vinna með persónuupplýsingar viðskiptavina þinna, svo sem greiðslukortaupplýsingar, til að geta afgreitt kaup viðskiptavina þinna. Í slíkum tilvikum getur vinnsla persónuupplýsinga viðskiptavina verið nauðsynleg til að efna samning.
• Þú rekur fyrirtæki sem býður upp á heimilistryggingar. Væntanlegur viðskiptavinur hefur óskað eftir tilboði í heimilistryggingu. Það kann að vera nauðsynlegt fyrir þig að afla persónuupplýsinga um hann til að geta gert nákvæmt verðtilboð fyrir heimilistrygginguna.
• Þú rekur fyrirtæki sem selur bækur, sem sumir viðskiptavina þinna hafa keypt. Þegar viðskiptavinirnir keyptu bækurnar gætir þú hafa safnað einhverjum af persónuupplýsingum þeirra, sem voru nauðsynlegar til að ljúka viðskiptunum. Nú hefur þú áhuga á að vinna með  þessar persónuupplýsingar viðskiptavina þinna, þ.m.t. upplýsingar um fyrri kaup þeirra, til að mæla með öðrum bókum sem þeim gæti líkað við. Þú getur þó ekki byggt á vinnslu persónuupplýsinga til að efna samning sem vinnsluheimild, þar sem vinnsla persónuupplýsinga í þeim tilgangi að auglýsa aðrar bækur er ekki nauðsynleg fyrir efndir samningsins. Því þarf fyrirtækið þitt annaðhvort að afla samþykkis viðskiptavina til að geta sent þeim auglýsingar um aðrar bækur eða, eftir atvikum, byggja á lögmætum hagsmunum.

Framfylgni lagaskyldu ábyrgðaraðila

Í persónuverndarreglugerðinni er að finna aðra vinnsluheimild, sem er að vinnsla persónuupplýsinga sé nauðsynleg til að ábyrgðaraðili geti uppfyllt lagaskyldu sem hvílir á honum.

Hægt er að reiða sig á þennan lagagrundvöll þegar stofnun leggur á vinnsluaðgerð samkvæmt löggjöf ESB eða landslöggjöf. Nánar tiltekið þarf að uppfylla fjögur skilyrði:

• lagaskyldan verður að vera skilgreind í löggjöf ESB eða landslögum sem ábyrgðaraðilinn fellur undir,
• Slík lagafyrirmæli verða að kveða á um skýra og afdráttarlausa skyldu til að vinna viðkomandi persónuupplýsingar.í ákvæðunum skal a.m.k. skilgreina tilgang vinnslunnar og
• skyldan skal hvíla á ábyrgðaraðilann en ekki á hinum skráða. 

Ef þessi skilyrði eru ekki uppfyllt er ekki hægt að byggja vinnsluaðgerðina á lagaskyldu og þarf þá að finna aðra vinnsluheimild.

Persónuverndarreglugerðin kveður á um margar mismunandi aðstæður þar sem ábyrgðaraðila er lagalega skylt að vinna með persónuupplýsingar viðskiptavina sinna eða skjólstæðinga. Til dæmis þurfa vinnuveitendur yfirleitt að vinna persónuupplýsingar starfsmanna sinna í þágu almannatrygginga og fyrirtæki þurfa að vinna með persónuupplýsingar viðskiptavina sinna eða skjólstæðinga í skattalegum tilgangi.

Brýnir hagsmunir einstaklings

Aðeins er hægt að byggja vinnslu persónuupplýsinga til að vernda brýna hagsmuni einstaklings í sérstökum eða undantekningartilvikum . Þetta getur t.d. átt við ef þú þarft að vinna persónuupplýsingar til að vernda líf einhvers. Samkvæmt persónuverndarreglugerðinni er þessi vinnsluheimild hins vegar mjög takmörkuð og aðeins er hægt að byggja á henni í neyðartilvikum.

Dæmi

Fyrirtækið þitt býður upp á flúðasiglingaferðir. Í ferð sem þú skipulagðir slasast þátttakandi alvarlega. Þátttakandinn er meðvitundarlaus og verður að fá bráða læknishjálp á sjúkrahúsi. Fyrir hönd fyrirtækisins gætir þú þurft að senda (= vinna) persónuupplýsingar einstaklingsins til sjúkrahússins sem þarf að meðhöndla hann til að bjarga lífi viðkomandi. Í þessu samhengi gæti þér verið heimilt að vinna persónuupplýsingar einstaklingsins til að vernda mikilvæga hagsmuni hans. 

Almannahagsmunir

Í ákveðnum tilvikum getur fyrirtæki þitt haft heimild til að vinna með persónuupplýsingar einstaklinga vegna verkefnis sem unnið er í þágu almannahagsmuna. Í slíkum tilvikum verður vinnslan að eiga sér stoð í löggjöf ESB eða landslögum. Tilgangur vinnslunnar þarf að vera skilgreindur í þeirri lagastoð eða vera nauðsynlegur fyrir framkvæmd verkefnis í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili hefur verið falið. Þessi vinnsluheimild getur því einkum skipt máli fyrir vinnsluaðgerðir opinberra yfirvalda í þeim tilgangi að sinna verkefnum sínum.

Dæmi

Fyrirtækið þitt er læknastofa, þar sem starfa bæði tannlæknir og heimilislæknir. Þú gætir þurft að vinna með persónuupplýsingar beggja til að tryggja að menntun þeirra, siðferðisleg hegðun og starfshættir uppfylli þau skilyrði og staðla sem gilda í því landi þar sem læknastofan starfar.

Lögmætir hagsmunir

Fyrirtæki þitt kann að hafa heimild til að vinna með persónuupplýsingar einstaklinga á grundvelli lögmætra hagsmuna, svo framarlega sem slíkir hagsmunir (svo sem fjárhagslegir, öryggi eigna o.s.frv.) valda ekki ójafnvægi sem skerðir réttindi og hagsmuni viðkomandi einstaklinga. 

Þó að í persónuverndarreglugerðinni og dómaframkvæmd Evrópudómstólsins (CJEU) sé að finna dæmi um lögmæta hagsmuni er ekki til tæmandi listi yfir slík tilvik.

Hins vegar verður þú að tryggja að þessi vinnsluheimild uppfylli ákveðin skilyrði:

• hún verður að vera lögmæt, skýr, raunveruleg og til staðar,
• vinnslan verður að vera nauðsynleg til að ná þessum hagsmunum fram,
• lögmætir hagsmunir verða að taka tillit til réttinda einstaklingsins til verndar persónuupplýsinga sem ekki má ganga gegn. Í því samhengi verður ábyrgðaraðilinn að vega lögmæta hagsmuni sína og hagsmuni eða grundvallarréttindi og frelsi einstaklinga og verður jafnframt að huga að því hverju einstaklingurinn getur með góðu móti búist við. Þetta mat  skal byggja á þeim raunverulegu aðstæðum sem vinnslan fer fram við.

Dæmi

Þú rekur fyrirtæki sem sinnir endurbótum. Einn af viðskiptavinum þínum ber brigður á gæði endurbóta á eldhúsi og neitar að greiða reikninginn að fullu. Í fyrsta kasti miðlar þú persónuupplýsingar  viðskiptavinarins til lögmanns þíns í því skyni að semja um uppgjör við viðskiptavininn.  Þar sem viðskiptavinurinn neitar að borga hefur þú samband við innheimtufyrirtæki. Þú miðlar eingöngu þeim persónuupplýsingum, sem nauðsynlegar eru vegna málsmeðferðar, til innheimtufyrirtækisins sem framkvæmir aðeins takmarkaðar athuganir til að staðfesta samskiptaupplýsingar viðskiptavinar og hefja málsmeðferð fyrir dómstólum.

Þó að fyrsta skrefið geti fallið undir þá vinnslu sem nauðsynleg er til að efna samning, má líta svo á að frekari ráðstafanir, s.s. aðgerðir  innheimtufyrirtækisins, teljist lögmætir hagsmunir ábyrgðaraðilans. Þar sem aðgerðir fyrirtækisins eru ekki of íþyngjandi og áhrifin á viðskiptavininn eru takmörkuð, gætu lögmætir hagsmunir verið viðeigandi vinnsluheimild.

Vinnsla viðkvæmra persónuupplýsinga

Sérstakar viðbótarkröfur gilda ef ætlunin er að vinna með persónuupplýsingar sem fela í sér upplýsingar um kynþátt eða þjóðernislegan uppruna, stjórnmálaskoðanir, trúarbrögð eða lífsskoðun eða aðild að stéttarfélagi og einnig vinnslu erfðafræðilegra upplýsinga, lífkennaupplýsinga í þeim tilgangi að auðkenna einstakling með einkvæmum hætti, heilsufarsupplýsingar eða upplýsingar um kynlíf einstaklings eða kynhneigð. Þessir sérstöku flokkar persónuupplýsinga teljast „viðkvæmar persónuupplýsingar".

Vinnsla viðkvæmra persónuupplýsinga er almennt bönnuð nema í eftirfarandi tilgreindum tilvikum:

• Einstaklingurinn hefur veitt afdráttarlaust samþykki sitt fyrir vinnslu á viðkvæmum persónuupplýsingum sínum.
• Vinnsla viðkvæmra persónuupplýsinga er nauðsynleg til að ábyrgðaraðili geti uppfyllt skyldur sínar, einkum í tengslum við vinnurétt, almannatryggingar og félagslega vernd. Til dæmis kann ábyrgðaraðili að þurfa að vinna með viðkvæmar persónuupplýsingar til að meta hvort einstaklingur eigi rétt á tilteknum bótum úr almannatryggingakerfi eða styrkjum vegna atvinnu.
• Vinnsla viðkvæmra persónuupplýsinga er nauðsynleg til að vernda brýna hagsmuni einstaklings ef einstaklingurinn er líkamlega eða í lagalegum skilningi ófær um að veita samþykki sitt. Til dæmis, ef einstaklingur er meðvitundarlaus eftir slys og þarfnast tafarlausrar læknishjálpar, kann að vera nauðsynlegt að vinna  með viðkvæmar persónuupplýsingar hans til að veita viðeigandi læknismeðferð.
• Vinnsla viðkvæmra persónuupplýsinga fer fram í tengslum við lögmæta starfsemi stofnunar, félagssamtaka eða annarra samtaka, sem eru ekki rekin í hagnaðarskyni og hefur stjórnmálaleg, heimspekileg, trúarleg eða stéttarfélagsleg markmið, og aðeins til vinnslu persónuupplýsinga félagsmanna sinna, fyrrverandi félagsmanna eða einstaklinga sem hafa reglulega samskipti við slíka aðila.
• Hinn skráði einstaklingur hefur augljóslega sjálfur gert viðkvæmar upplýsingar sínar opinberar.
• Vinnsla viðkvæmra persónuupplýsinga er nauðsynleg í tengslum við málarekstur.
• Vinnsla viðkvæmra persónuupplýsinga er nauðsynleg af ástæðum sem varða verulega almannahagsmuni.
• Vinnsla viðkvæmra persónuupplýsinga er nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga. Til dæmis getur verið nauðsynlegt að meta viðkvæmar persónuupplýsingar einstaklings, s.s. læknisfræðileg gögn, til að ákvarða vinnufærni hans.
• Vinnsla viðkvæmra persónuupplýsinga er nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu á grundvelli löggjafar ESB eða landslaga. Til dæmis getur slík vinnsla verið nauðsynleg til að tryggja gæði og öryggi heilbrigðisþjónustu og lyfja eða lækningatækja, eða til að bregðast við alvarlegum heilsufarsógnum, svo sem útbreiðslu smitsjúkdóma.
• Vinnsla viðkvæmra persónuupplýsinga er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi. Til dæmis getur verið nauðsynlegt að vinna viðkvæmar persónuupplýsingar til að afla nákvæmra tölfræðilegra upplýsinga um stöðu lands á tilteknu sviði.

Gátlisti vegna vinnslu viðkvæmra persónuupplýsinga

• Íhugaðu hvort nauðsynlegt sé að vinna með viðkvæmar  persónuupplýsingar einstaklings vegna fyrirhugaðrar vinnslu.
• Tilgreindu vinnsluheimild (= lagalegan grundvöll) fyrir vinnslu persónuupplýsinga einstaklings. Þú ættir að vísa til 6. gr. persónuverndarreglugerðarinnar.
• Leggðu mat á hvort viðbótarskilyrði fyrir vinnslu viðkvæmra persónuupplýsinga séu uppfyllt. Þú ættir að vísa til 9. gr. persónuverndarreglugerðarinnar.
• Greindu áhættu og öryggisráðstafanir, svo sem tæknilegar og skipulagslegar ráðstafanir, sem fyrirtækið þitt kann að þurfa að innleiða við vinnslu viðkvæmra persónuupplýsinga einstaklinga.
• Mundu að halda skrá yfir ástæður fyrir vinnslunni, yfir  áhættuna sem hún kann að fela í sér og þær ráðstafanir sem gripið hefur verið til, til að draga úr þeirri áhættu.