Grundvallaratriði persónuverndar
Hvað eru persónuupplýsingar?
Persónuupplýsingar eru allar upplýsingar sem tengjast persónugreindum eða persónugreinanlegum einstaklingi.
Dæmi um tegundir upplýsinga sem kunna að leiða til þess að unnt er að bera kennsl á einstakling beint eða óbeint og teljast því persónuupplýsingar eru:
- nafn, kenninafn, símanúmer viðskiptavina, hagsmunaaðila, starfsmanna, þjónustuveitenda,
- auðkennisnúmer, s.s. kennitala, viðskiptamannanúmer, starfsmannanúmer,
- bókunartilvísun,
- netföng, staðsetningargögn,
- vafrasaga einstaklings,
- viðskiptasaga og kvittanir einstaklings,
- myndir, myndbönd og hljóðupptökur sem innihalda myndir eða hljóð einstaklinga.
Hægt er að auðkenna einstakling beint eða óbeint á grundvelli þessara upplýsinga:
- ef fyrirtækið þitt vinnur til dæmis með nafn eða kenninafn einstaklings getur verið unnt að auðkenna einstaklinginn á grundvelli þeirra persónuupplýsinga,
- ef fyrirtækið þitt vinnur t.d. með viðskiptamannanúmer eða bókunarnúmer kunna þær persónuupplýsingar að leiða til óbeinnar auðkenningar einstaklings.
- Hvers kyns upplýsingar sem unnið er með og hægt er að tengja við tilgreindan einstakling með beinum eða óbeinum hætti (t.d. óskir eða venjur) teljast einnig persónuupplýsingar.
Sérstakir flokkar persónuupplýsinga
Sumar tegundir persónuupplýsinga, sem almennt kallast viðkvæmar persónuupplýsingar, tilheyra sérstökum flokki persónuupplýsinga sem krefjast aukinnar verndar. Samkvæmt 9. gr. persónuverndarreglugerðarinnar teljast eftirfarandi upplýsingar viðkvæmar persónuupplýsingar:
- heilsufarsupplýsingar einstaklings,
- upplýsingar um kynlíf eða kynhneigð,
- upplýsingar um kynþátt eða þjóðernislegan uppruna,
- stjórnmálaskoðanir, trúar- eða lífsskoðun,
- lífkennaupplýsingar og erfðafræðilegar upplýsingar einstaklings,
- aðild að stéttarfélagi.
Vinnsla viðkvæmra persónuupplýsinga einstaklings er óheimil nema við sérstakar aðstæður sem réttlæti vinnslu þeirra (s.s. afdráttarlaust samþykki hins skráða).
Sjá nánari upplýsingar um hvenær megi vinna með viðkvæmar persónuupplýsingar: Lögmæt vinnsla persónuupplýsinga
Persónuupplýsingar er varða sakfellingar í refsimálum og refsiverða háttsemi
Vinnsla persónuupplýsinga í tengslum við sakfellingar í refsimálum og refsiverða háttsemi einstaklinga er háð ströngum lagaskilyrðum. Eingöngu opinbert yfirvald. s.s. lögregla, undir eftirliti, má vinna með slíkar persónuupplýsingar nema vinnslan sé heimil samkvæmt landslögum.
Gátlisti yfir góða starfshætti, skv. persónuverndarreglugerðinni
- Spurðu sjálfan þig hvort tilgangur söfnunar persónuupplýsinganna sé réttlætanlegur.
- Safnaðu eingöngu þeim persónuupplýsingum sem eru nauðsynlegar í þeim tilgreinda tilgangi sem fyrirhugaður er.
- Upplýstu einstaklinga um hvernig og í hvaða tilgangi vinnsla persónuupplýsinga þeirra fer fram.
- Athugaðu hvort þú hafir viðeigandi heimild fyrir vinnslu persónuupplýsinganna. Ef þú ætlar að reiða þig á samþykki einstaklinga skaltu biðja um samþykki þeirra áður en vinnsla persónuupplýsingar þeirra hefst.
- Tryggðu að persónuupplýsingar einstaklinga séu meðhöndlaðar á öruggan hátt.
- Tryggðu að persónuupplýsingarnar séu áreiðanlegar og uppfærðar.
- Eyddu persónuupplýsingum einstaklinga þegar þeirra er ekki lengur þörf. Vinsamlegast hafðu í huga að landslög kunna að skylda þig til að varðveita tiltekin gögn (t.d. af skattalegum ástæðum).
Hvað þýðir vinnsla persónuupplýsinga?
Vinnsla persónuupplýsinga einstaklinga felur í sér hvers konar aðgerð (vinnsluaðgerð) þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki.
Dæmi um vinnslu er söfnun, skráning, flokkun, kerfisbinding, notkun, breyting, varðveisla og birting persónuupplýsinga einstaklinga.
Þótt persónuverndarreglugerðin fjalli aðallega um sjálfvirka vinnslu persónuupplýsinga fellur vinnsla sem fer fram handvirkt einnig undir persónuverndarreglugerðina um leið og pappírsskrár eru skipulagðar á kerfisbundinn hátt, t.d. raðað í stafrófsröð í skjalaskáp.
Gildir persónuverndarreglugerðin um fyrirtæki þitt?
Persónuverndarreglugerðin getur átt við um öll einkarekin og opinber fyrirtæki ef:
- viðkomandi fyrirtæki hafa staðfestu innan ESB eða á Evrópska efnahagssvæðinu (EES — ESB-lönd + Ísland, Liechtenstein og Noregur); eða
- stofnunin hefur ekki staðfestu á EES-svæðinu en vörur þess eða þjónusta eru í boði fyrir einstaklinga innan EES, eða stofnunin fylgist með hegðun einstaklinga innan EES.
Persónuverndarreglugerðin gildir einnig um undirverktaka sem vinnur persónuupplýsingar einstaklinga fyrir hönd einkaaðila eða opinberrar stofnunar.
Persónuverndarreglugerðin gildir um þig ef eitt af eftirfarandi skilyrðum á við
- Þú ert fyrirtæki sem hefur aðsetur í EES landi,
- Þú ert fyrirtæki, sem hefur aðsetur í landi utan EES, en býður einstaklingum í EES landi vörur eða þjónustu, jafnvel ókeypis,
- Þú ert upplýsingatæknifyrirtæki sem hefur aðsetur í landi utan EES en vinnur sem undirverktaki, við að stýra gagnagrunnum, s.s. viðskiptamannaganagrunni, einkafyrirtækis sem hefur aðsetur í EES-landi,
- Þú ert þjónustuveitandi með aðsetur í EES-landi sem vinnur með persónuupplýsingar fyrir hönd annars fyrirtækis.
Helstu meginreglur persónuverndarreglugerðarinnar
Þegar fyrirtækið þitt vinnur með persónuupplýsingar verður það að uppfylla skilyrði eftirfarandi sex meginreglna persónuverndarreglugerðarinnar. Að auki verður fyrirtækið að geta sýnt fram á að það uppfylli þessar meginreglur.
Lögmæti, sanngirni og gagnsæi
Öll vinnsla persónuupplýsinga verður að vera lögmæt, sanngjörn og gagnsæ.
Fyrirtæki þitt má aðeins vinna með persónuupplýsingar einstaklings ef fyrirhuguð vinnsla telst lögmæt; þ.e. ef heimild til vinnslunnar er byggð á samþykki einstaklingsins, vinnslan er nauðsynleg til að efna samning, eða vinnslan byggir á annarri lagaskyldu sem getið er í 6. gr. persónuverndarreglugerðarinnar.
Ef vinnslan byggist á samþykki verður fyrirtækið að tryggja að umrætt samþykki sé veitt af fúsum og frjálsum vilja, það sé upplýst, sértækt og ótvírætt. Með öðrum orðum má enginn vafi vera á því að einstaklingurinn sé meðvitaður um hvað hann er að samþykkja, í hvaða tilgangi vinnslan fer fram og að samþykkið hafi verið veitt með virkum hætti áður en vinnslan hófst. Enn fremur skulu einstaklingar geta afturkallað samþykki sitt hvenær sem er. Ef þú telur að vinnsla persónuupplýsinga þeirra sé engu að síður nauðsynleg (t.d. í tengslum við samning) þýðir það að samþykki er ekki réttur lagagrundvöllur fyrir vinnslunni.
Takmörkun tilgangs
Fyrirtækið þitt má aðeins safna persónuupplýsingum í skýrt tilgreindum og lögmætum tilgangi. Vinnsla persónuupplýsinganna verður að vera skýrt afmörkuð við upphaflegan tilgang og þær má ekki vinna frekar í öðrum og ósamrýmanlegum tilgangi.
Lágmörkun gagna
Persónuupplýsingarnar sem fyrirtæki þitt vinnur með þurfa að vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.
Áreiðanleiki
Persónuupplýsingar einstaklinga sem fyrirtækið þitt vinnur með verða að vera áreiðanlegar og uppfærðar eftir þörfum. Óáreiðanlegar persónuupplýsingum þarf að leiðrétta eða eyða.
Takmörkun á varðveislu
Varðveislutími persónuupplýsinga einstaklinga skal takmarka við upphaflegan tilgang söfnunar og vinnslu þeirra. Eyða skal persónuupplýsingunum eða þær gerðar ópersónugreinanlegar þegar þeirra er ekki lengur þörf. Þetta þýðir í raun að fyrirtækið þitt ætti að setja sér innri stefnu um varðveislutíma persónuupplýsinga á grundvelli tilgangs vinnslunnar, sem og verklag við eyðingu upplýsinganna.
Öryggi
Vinnsla persónuupplýsinga þarf að fara fram með öruggum hætti. Fyrirtækið þitt þarf því að setja upp viðeigandi verndarráðstafanir, s.s. netöryggisráðstafanir sem tryggja öryggi persónuupplýsinga. Þessar ráðstafanir verða að koma í veg fyrir óviljandi, óheimila eða ólöglega birtingu, að persónuupplýsingar einstaklinga glatist, þær eyðileggist eða skemmist.