Virða réttindi einstaklinga

Að auki er kveðið á um  í persónuverndarreglugerðinni að fyrirtækið þitt veiti eftirfarandi upplýsingar til að tryggja sanngjarna og gagnsæja vinnslu:

Fyrirtækið þitt verður að veita upplýsingarnar í seinni töflunni aftur ef unnið er frekar með gögnin í nýjum, samrýmanlegum tilgangi sem er frábrugðinn upphaflegum tilgangi. Þessar upplýsingar skal veita áður en frekari vinnsla hefst. Í slíkum tilvikum verður þú einnig að útskýra fyrir viðkomandi hvernig hinn nýi tilgangur samræmist þeim fyrri.

Hvenær á að veita upplýsingarnar?

Ef fyrirtækið þitt safnar persónuupplýsingum beint frá skráðum einstaklingi verður það að veita nauðsynlegar upplýsingar þegar söfnunin á sér stað.

Ef um óbeina söfnun persónuupplýsinga er að ræða verður fyrirtækið að veita upplýsingarnar innan eins mánaðar að hámarki frá því að persónuupplýsingarnar voru fyrst fengnar. Þessi hámarkstími styttist hins vegar: 

• ef persónuupplýsingarnar eru notaðar til að hafa  samband við viðkomandi skal veita upplýsingarnar við fyrstu samskipti við hinn skráða.
• Ef áformað er að miðla upplýsingunum til annarra verður að veita upplýsingarnar í síðasta lagi þegar sú miðlun á sér stað.

Undir engum kringumstæðum má framlengja eins mánaðar hámarkstímabilið.

Ef breytingar verða síðar á vinnslunni (t.d. nýir viðtakendur, samrýmanlegur tilgangur, flutningur út fyrir EES o.s.frv.) verður fyrirtækið að upplýsa viðkomandi einstakling um breytingarnar áður en þær taka gildi og þú ættir að gera það með góðum fyrirvara. Því meiri sem breytingin er, því fyrr ætti fyrirtæki þitt að upplýsa einstaklinginn svo hann hafi hæfilegan tíma til að meta áhrif þess og nýta rétt sinn.

Hvenær er fyrirtæki þínu ekki skylt að miðla upplýsingum?

Fyrirtækinu þínu er ekki skylt að upplýsa skráðan einstakling ef viðkomandi hefur þegar fengið nauðsynlegar upplýsingar.

Ef um er að ræða óbeina söfnun persónuupplýsinga gilda fleiri undanþágur. Í því tilviki er ekki nauðsynlegt að veita upplýsingar ef:

• veiting slíkra upplýsinga reynist ómöguleg eða krefst ósanngjarns kostnaðar eða fyrirhafnar. Skilyrði fyrir þessari undantekningu eru þó mjög ströng, sem þýðir að ábyrgðaraðili getur aðeins vísað til þessarar forsendu í undantekningartilvikum,
• sérstaklega er kveðið á um öflun eða birtingu persónuupplýsinga í lögum,
• persónuupplýsingarnar eru háðar trúnaðarskyldu á grundvelli laga um  þagnarskyldu.

Dæmi

• Í sumum aðildarríkjum Evrópusambandsins geta landslög skyldað skattyfirvöld til að óska eftir tilteknum upplýsingar frá vinnuveitanda um starfsmenn. Skattyfirvöldum ber ekki skylda til að upplýsa starfsmanninn í slíku tilviki. Hins vegar skal vinnuveitandinn, vegna upplýsingaskyldu sinnar, upplýsa starfsmanninn um að skattyfirvöld séu meðal viðtakenda persónuupplýsinganna.

Hvernig á að veita skráðum einstaklingi upplýsingarnar?

Góð leið til að miðla upplýsingunum er að nota svokallað „lagskipt form“.. Með því er komið  í veg fyrir að of miklu magni upplýsinga sé deilt í einu, sem gæti rýrt gagnsæi og leitt til þess að hinn skráði drukkni í upplýsingum. Notkun lagskiptrar framsetningar uppfyllir bæði kröfuna um hnitmiðaða framsetningu og þá skyldu að veita allar nauðsynlegar upplýsingar. Þetta einfaldar einnig verkefni ábyrgðaraðila og gerir hinum skráða kleift að átta sig á nauðsynlegum upplýsingum á skjótan og skilvirkan hátt. Framsetning upplýsinganna gæti t.d. verið með eftirfaranmdi hætti:

• Fyrsta lag grunnupplýsinga
  • HVAÐ? Fyrirtækið veitir samantekt á grunnupplýsingum sem skráður aðili þarf til að meta áhrif og umfang vinnslunnar (þ.e. hver ábyrgðaraðilinn er, tilgang vinnslunnar, flokka viðtakenda, uppruna persónuupplýsinganna, réttindi skráðs einstaklings,...).
  • HVERNIG? T.d. á töflusniði, á áberandi stað með titlinum "Grunnupplýsingar um persónuvernd" eða í sprettiglugga sem veita skýringar þegar persónuupplýsingum er safnað. Ef vinnslan byggist á samþykki er æskilegt að veita þessar upplýsingar á sama stað og hinn skráði veitir samþykki sitt (nálægt samþykkishnappinum).
• Annað lag af ítarlegri viðbótarupplýsingum
  • HVAÐ? Þessi hluti veitir á skýran og einfaldan hátt þær viðbótaupplýsingar sem fyrirtækinu ber að veita samkvæmt 13. og 14. grein persónuverndarreglugerðarinnar
  • HVERNIG? Viðbótarupplýsingarnar má veita á ýmsa vegu, t.d. með hlekkjum sem eru hluti af grunnupplýsingunum, eða með því að hlaða niður skjali. Þessar viðbótarupplýsingar ættu að vera hnitmiðaðar, nákvæmar og tæmandi . Upplýsingarnar ættu að vera þannig fram settar að auðvelt sé að lesa þær. Ekki gleyma að laga upplýsingarnar að markhópnum (til dæmis: ef þjónustan miðar að börnum: skrifaðu upplýsingarnar þannig að þau skilja þær).

Með því að nýta sér aðgangsrétt sinn geta einstaklingar sannreynt hvort  vinnsla persónuupplýsinga um þá sé lögmæt.

Þegar einstaklingar nýta sér rétt sinn til aðgangs ættu þeir að fá staðfestingu frá ábyrgðaraðila um það hvort unnið sé með persónuupplýsingar um þá eða ekki. Ef svo er, eiga þeir rétt á aðgangi að persónuupplýsingum sínum og eftirfarandi upplýsingum:

• tilgangi vinnslunnar,
• flokkum persónuupplýsinga sem vinnslan nær til,
• viðtakendum (eða flokkum viðtakenda) persónuupplýsinganna,
• varðveislutíma persónuupplýsinganna eða viðmiðum sem notuð eru til að ákvarða þann tíma,
• að hinn skráði eigi rétt á að óska eftir því við ábyrgðaraðila að leiðrétta persónuupplýsingar, eyða þeim, takmarka vinnslu þeirra eða að hann geti andmælt slíkri vinnslu,
• að hinn skráði eigi rétt til að leggja fram kvörtun hjá persónuverndarstofnun,
• uppruna persónuupplýsinganna (ef persónuupplýsingarnar er ekki aflað beint frá hinum skráða),
• hvort um sé að ræða sjálfvirka ákvarðanatöku, þ.m.t. gerð persónusniðs, mikilvægar upplýsingar um aðferðafræðina þar að baki, sem og mikilvægi og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða,
• þegar persónuupplýsingar eru fluttar út fyrir EES-svæðið: hvaða viðeigandi verndarráðstafanir hafa verið gerðar (samkvæmt 46. gr. persónuverndarreglugerðarinnar um miðlun persónuupplýsinga).

Að auki á einstaklingurinn rétt á að fá (án endurgjalds) afrit af þeim persónuupplýsingum sem varða hann og sem fyrirtækið þitt vinnur með. Ef einstaklingurinn óskar eftir frekari afritum getur fyrirtækið rukkað sanngjarnt gjald sem miðast við raunverulegan  umsýslukostnaðar við gerð afritanna. Athugið að í flestum tilfellum má ekki krefjast greiðslu fyrir aðgang að eigin persónuupplýsingum.

Ef beiðni er lögð fram rafrænt ætti fyrirtækið að veita umbeðnar upplýsingar á rafrænu formi sem er almennt viðurkennt, nema einstaklingurinn óski sérstaklega eftir öðru.

Mikilvægt að hafa í huga

Áður en þú afhendir afrit af persónuupplýsingum verður þú að ganga úr skugga um að það hafi ekki neikvæð áhrif á réttindi og frelsi annarra (t.d. ef upplýsingar um fleiri en einn einstakling eru unnar í sömu skrá eða ef um er að ræða upplýsingar sem varða viðskiptaleyndarmál eða hugverkarétt).

Skráður einstaklingur á rétt á að óska eftir og fá óáreiðanlegar persónuupplýsingar um sig leiðréttar og einnig að láta fullgera ófullkomnar persónuupplýsingar. Ef fyrirtækið þitt hefur miðlað persónuupplýsingum til þriðja aðila verður þú að tilkynna þeim um leiðréttinguna, nema það reynist ómögulegt eða krefjist óhóflegrar fyrirhafnar.

Dæmi

• Viðskiptavinur upplýsir fyrirtækið þitt um að hann hafi flutt til annarrar borgar. Þér ber þá að uppfæra heimilisfang hans í gagnagrunni viðskiptavina fyrirtækisins.

Skráður einstaklingur getur óskað eftir að fyrirtæki eyði persónuupplýsingum um hann við eftirfarandi aðstæður:

• persónuupplýsingarnar eru ekki lengur nauðsynlegar í þeim tilgangi sem þeim var upphaflega safnað,
• fyrirtækið vinnur persónuupplýsingarnar með ólögmætum hætti,
• fyrirtækinu ber að eyða persónuupplýsingunum vegna lagaskyldu,
• hinn skráði dregur samþykki sitt til baka og enginn annar grundvöllur er fyrir vinnslunni, 
• skráður einstaklingur hefur náð að nýta sér andmælaréttinn,
• ólögráða börn sem hafa veitt samþykki sitt fyrir notkun á netþjónustu geta ávallt krafist þess að persónuupplýsingum þeirra sé eytt (óháð aldri þeirra þegar krafan er sett fram).

Þegar persónuupplýsingum, sem á að eyða, hefur áður verið miðlað til annarra aðila verður þú að tilkynna þeim að hinn skráði hafi óskað eftir eyðingu, nema það reynist ómögulegt eða myndi krefjast óhóflegrar fyrirhafnar.

Þegar fyrirtækinu þínu er skylt að eyða persónuupplýsingum sem það hefur gert opinberar, verður það að gera allar viðeigandi ráðstafanir til að upplýsa aðra ábyrgðaraðila, sem vinna með persónuupplýsingarnar, um að hinn skráði hafi óskað eftir að allir hlekkir séu afmáðir á  upplýsingarnar sem og afrit af þeim.

Fyrirtæki þitt getur aðeins neitað að eyða persónuupplýsingum í takmörkuðum tilvikum, svo sem:

• það er nauðsynlegt vegna beitingar réttar til tjáningar- og upplýsingafrelsis,
• það er nauðsynlegt til að stofna, hafa uppi eða verja réttarkröfur,
• það er nauðsynlegt til að uppfylla lagaskyldu sem hvílir á fyrirtækinu eða vegna framkvæmd verkefnis í þágu almannahagsmuna eða við beitingu opinbers valds sem fyrirtækið fer með,
• það er nauðsynlegt vegna almannahagsmuna á sviði lýðheilsu,
• það er nauðsynlegt vegna skjalavistunar í þágu almannahagsmuna, rannsókna á sviði vísinda eða sagnfræði eða í tölfræðilegum tilgangi (að uppfylltum ákveðnum skilyrðum).

Dæmi

• Starfsmanni fyrirtækis þíns hefur verið sagt upp. Starfsmaðurinn óskar eftir því að persónuupplýsingum hans verði eytt úr starfsmannaskrá. Vinnulöggjöfin krefst þess þó að þú geymir ákveðin skjöl tengd starfsmannamálum (skrá yfir starfsmenn, afrit af launayfirlitum o.s.frv.) í tiltekinn tíma. Þú verður því að hafna beiðni starfsmannsins um eyðingu persónuupplýsinga hans hvað þessi skjöl varðar..
• Fyrrverandi viðskiptavinur vill ekki lengur fá markpóst frá fyrirtækinu þínu og óskar eftir því að þú eyðir tengiliðaupplýsingum hans. Þar sem engar málefnalegar ástæður eru til að þú haldir áfram að vinna með upplýsingarnar ber fyrirtækinu að eyða þeim.

Við ákveðnar aðstæður geta skráðir einstaklingar óskað eftir að vinnsla persónuupplýsinga þeirra verði takmörkuð. Í slíkum tilvikum má fyrirtækið enn varðveita persónuupplýsingarnar, en verður að hætta allri annarri vinnslu þeirra.

Skráður einstaklingur á rétt á fá vinnslu persónuupplýsinga sinna takmarkaða þegar:

• hinn skráði véfengir að persónuupplýsingar séu réttar,
• vinnslan er ólögmæt: Í stað þess að eyða gögnum getur hinn skráði krafist takmörkunar á notkun persónuupplýsinganna, 
• fyrirtækið hefur ekki lengur þörf fyrir persónuupplýsingarnar, en þær eru enn nauðsynlegar fyrir hinn skráða til að stofna, hafa uppi eða verja réttarkröfu,
• hinn skráði hefur nýtt rétt sinn til að andmæla vinnslunni. Takmörkunin gildir þá á meðan verið er að meta hvort lögmætir hagsmunir fyrirtækisins af vinnslunni vega þyngra en hagsmunir hins skráða.

Ef hinn skráði nýtir rétt sinn til takmörkunar á vinnslu getur fyrirtækið eingöngu unnið persónuupplýsingar hans við ákveðnar aðstæður, t.d. með samþykki hins skráða eða til að verja réttarkröfur. Hafi fyrirtækið áður miðlað "takmörkuðum" persónuupplýsingum til annarra aðila ber því að upplýsa viðtakendur um takmörkun á vinnslunni nema það reynist ómögulegt eða krefst óhóflegrar fyrirhafnar.

Áður en takmörkuninni er aflétt skal fyrirtækið láta hinn skráða vita af fyrirætlun sinni um það.

Réttur til að flytja eigin gögn gerir skráðum einstaklingum kleift að afla persónuupplýsinga um sig á skipulegu, algengu og tölvulesanlegu sniði. Þannig geta þeir auðveldlega endurnýtt gögnin og, ef þeir kjósa, flutt þau til annars ábyrgðaraðila. Aðeins er hægt að nýta réttinn til að flytja gögn ef eftirfarandi þrjú skilyrði eru uppfyllt á samtímis:

• vinnslan byggir á samþykki eða samningi,
• vinnslan fer fram með sjálfvirkum hætti (þ.e. engin pappírsskjöl)
• og einstaklingurinn hefur sjálfur veitt persónuupplýsingarnar. Þetta á einnig við um allar persónuupplýsingar sem fyrirtækið þitt hefur aflað með því að fylgjast með hegðun einstaklingsins (t.d. í gegnum tengda tækni eða búnað).

Þessi réttur nær því ekki til gagna sem fyrirtækið sjálft býr til út frá ofangreindum upplýsingum.

Nánar tiltekið eiga skráðir einstaklingar rétt á:

• að fá persónuupplýsingar sínar á skipulögðu, algengu og tölvulesanlegu sniði. Sniðið verður að gera viðkomandi kleift að endurnýta persónuupplýsingarnar í annarri þjónustu.
  Dæmi: XML, JSON og CSV eru algeng snið sem uppfylla þetta skilyrði. Einnig þarf að afhenda lýsigögn (e. metadata) svo gögnin nýtist á öðrum vettvangi. PDF-snið er ekki nægjanlegt.
• að fá persónuupplýsingarnar fluttar beint til annars ábyrgðaraðila. Fyrirtækið þitt ætti einungis að framkvæma slíka beina yfirfærslu ef það er tæknilega mögulegt.

Dæmi

• Fyrirtækið þitt veitir tónlistarstreymisþjónustu á netinu. Viðskiptavinir geta óskað eftir að lagalistar þeirra verði fluttir yfir til annarrar tónlistarstreymisþjónustu.
• Þið eruð lítið eða meðalstórt fyrirtæki sem býður upp á vefpóstþjónustu. Ef viðskiptavinur sem notar pósthólfið sitt eingöngu í persónulegum tilgangi óskar þess, ber ykkur að flytja netfangaskrána hans og tölvupóstana yfir til annarrar vefpóstþjónustu, svo fremi sem að það sé tæknilega framkvæmanlegt. Ef þetta er ekki mögulegt, ber ykkur að afhenda netfangaskrána og tölvupóstana til viðskiptavinarins á endurnýtanlegu stafrænu formi.

Einstaklingar geta andmælt vinnslu persónuupplýsinga um sig „á grundvelli sérstakra aðstæðna þeirra“. Rétturinn til að andmæla gildir einungis ef vinnslan byggir á einum af eftirfarandi lagagrundvöllum:

• lögmætum hagsmunum fyrirtækisins eða þriðja aðila, eða 
• framkvæmd verkefnis sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds.

Í öðrum tilfellum getur hinn skráði ekki nýtt sér andmælarétt sinn, þar sem til eru önnur úrræði til að ná sama markmiði fyrir önnur lagaákvæði: í tilviki samþykkis getur hinn upplýsti einfaldlega afturkallað samþykki sitt. Þá hefur hinn skráði ekki rétt til að andmæla vinnslu sem lög kveða á um.

Þegar einstaklingar nýta rétt sinn til andmæla þarf fyrirtækið þitt að vega og meta hagsmuni beggja aðila. Fyrirtækið skal hætta allri vinnslu á persónuupplýsingunum nema hún geti sýnt fram á mikilvæga lögmæta hagsmuni fyrirtækisins sem ganga framar réttindum og frelsi hins skráða (t.d. til að höfða mál). Fyrirtækið þitt verður að skrá og miðla þessum ástæðum til hins skráða.

Mikilvægt að hafa í huga

Þegar persónuupplýsingar eru unnar í markaðslegum tilgangi hefur hinn skráði rétt til að andmæla vinnslunni án þess að tilgreina ástæður. Í slíku tilfelli skipta ástæður þess hvers vegna fyrirtækið þitt vinnur með upplýsingarnar ekki máli, heldur eiga andmælin að leiða til tafarlausrar stöðvunar vinnslunnar í þessum tilgangi.

Dæmi

• Þú ert lítið viðburðafyrirtæki. Þegar einstaklingur kaupir miða á tónleika hljómsveitar á netinu fær hann auglýsingar fyrir aðra svipaða tónleika. Ef viðkomandi vill hætta að fá slíkar auglýsingar andmælir, verður fyrirtækið að hætta beinni markaðssetningu til hans.
• Þú ert lítið eða meðalstórt fyrirtæki sem starfar í tryggingaþjónustu. Á þessu sviði eru persónuupplýsingar nauðsynlegar við vissar aðstæður í baráttunni gegn peningaþvætti. Sem tryggingamiðlari máttu neita að taka tillit til andmæla vegna þess að landslög um peningaþvætti skylda þig til að vinna með upplýsingarnar.