Almennt
Persónuvernd getur ákveðið að vinnsla persónuupplýsinga vegna verkefna í þágu almannahagsmuna megi ekki hefjast fyrr en hún hefur verið athuguð og samþykkt með útgáfu sérstakrar heimildar eða leyfis.
Þetta á sérstaklega við um verkefni sem geta falið í sér hættu á að farið verði gegn réttindum og frelsi fólks. Það hvort vinnsla persónuupplýsinga sé háð leyfi Persónuverdnar fer eftir atvikum hverju sinni.
Það fyrsta sem líta þarf til er hvort um vinnslu persónuupplýsinga er að ræða í skilningi persónuverndarlaga.
Ef upplýsingar sem fyrirhugað er að vinna með eru algjörlega ópersónugreinanlegar, svo sem ef ópersónugreinanlegur spurningalisti er lagður fyrir þátttakendur án þess að til sé dulkóðunarlykill, fellur vinnslan ekki undir gildissvið laganna og er þar með ekki háð leyfi Persónuverndar.
Umsókn um leyfi
Persónuvernd bendir umsækjendum á að skila inn umsókn sinni tímanlega.
Með umsókn um leyfi til vinnslu persónuupplýsinga hjá Persónuvernd þarf að fylgja yfirlýsing skráarhaldara. Persónuvernd hefur útbúið leiðbeiningar til skárhaldara um afhendingu gagna.
Vinnsla er háð leyfi Persónuverndar
Persónuvernd hefur sett reglur þar sem kveðið er á um að eftirfarandi vinnsla persónuupplýsinga sé háð skriflegu leyfi Persónuverndar:
Samkeyrsla skráar sem hefur að geyma viðkvæmar persónuupplýsingar við aðra skrá, hvort sem sú skrá hefur að geyma almennar eða viðkvæmar persónuupplýsingar.
Vinnsla upplýsinga um refsiverðan verknað manns og sakaferil, upplýsingar um lyfja-, áfengis- og vímuefnanotkun, kynlíf og kynhegðan, nema vinnslan sé nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila.
Söfnun persónuupplýsinga um fjárhagsmálefni og lánstraust einstaklinga í þeim tilgangi að miðla þeim til annarra.
Vinnsla upplýsinga um félagsleg vandamál manna eða önnur einkalífsatriði, s.s. hjónaskilnaði, samvistarslit, ættleiðingar og fóstursamninga, nema vinnslan sé nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi aðila.
Vinnsla persónuupplýsinga sem felur í sér að nafn manns er fært á skrá eftir fyrirfram ákveðnum viðmiðum og upplýsingunum miðlað til þriðja aðila í því skyni að neita manninum um tiltekna fyrirgreiðslu eða þjónustu.
Miðlun viðkvæmra persónuupplýsinga í þágu vísindarannsóknar sem fellur utan gildissviðs laga um rannsóknir á heilbrigðissviði, nr. 44/2014, enda standi ábyrgðaraðili þeirra upplýsinga sem miðlað er ekki að framkvæmd rannsóknarinnar.
Miðlun viðkvæmra persónuupplýsinga, sem varðveittar eru hjá stjórnvöldum, í þágu rannsókna.
Miðlun almennra persónuupplýsinga, sem varðveittar eru hjá stjórnvöldum, í þágu rannsókna, þegar miðlunin felur í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi einstaklinga.
Afhending lífsýnasafna á þjónustusýnum með persónuauðkennum í þágu vísindarannsókna er ávallt háð leyfi Persónuverndar, sbr. 5. mgr. 9. gr. laga um lífsýnasöfn og söfn heilbrigðisupplýsinga, nr. 110/2000.
Vinnsla er ekki háð leyfi Persónuverndar
Í reglum Persónuverndar um leyfisskylda vinnslu persónuupplýsinga er kveðið á um að eftirfarandi vinnsla persónuupplýsinga sé ekki háð leyfi Persónuverndar:
Ef vinnsla persónuupplýsingana byggir á upplýstu samþykki eða fyrirmælum laga.
Samkeyrsla skráa er ekki leyfisskyld ef eingöngu er samkeyrt við upplýsingar um símanúmer eða úr þjóðskrá um nafn, kennitölu, fyrirtækjanúmer, heimilisfang, aðsetur og póstnúmer, eða ef samkeyrðar eru skrár sama ábyrgðaraðila, þó að undanskildum miðlægum skrám sem innihalda viðkvæmar persónuupplýsingar.
Vinnsla upplýsinga um refsiverðan verknað manns og sakaferil, upplýsingar um lyfja-, áfengis- og vímuefnanotkun, kynlíf og kynhegðun ef vinnslan er nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi.
Vinnsla upplýsinga um félagsleg vandamál manna eða önnur einkalífsatriði, svo sem hjónaskilnað, samvistaslit, ættleiðingar og fóstursamninga ef vinnslan er nauðsynlegur og eðlilegur þáttur í starfsemi viðkomandi.
Ef vinnsla persónuupplýsinga fer fram í samræmi við hátternisreglur sem samþykktar hafa verið af Persónuvernd, sbr. 5. mgr. 40. gr. reglugerðar (ESB) 2016/679.
Þjónustuaðili
Persónuvernd