Ársskýrsla Persónuverndar 2021

Formáli forstjóra

HVERNIG HEIMI VILJUM VIÐ LIFA Í?

Árið 2021 er fjórða árið sem rennur sitt skeið síðan ný persónuverndarlöggjöf tók gildi. Sú löggjöf byggði á annarri eldri frá árinu 2000. Á þessum tíma hefur þekking á grundvallarreglum um persónuvernd og friðhelgi einkalífs aukist umtalsvert.

Nær allt í heiminum í dag varðar með einhverjum hætti meðhöndlun persónuupplýsinga – hvort sem um er að ræða heilsu okkar, vinnustaðinn eða snjalltengda heimilið. Við stöndum á barmi meiri samfélagslegra breytinga en nokkru sinni hafa orðið í iðnvæddum samfélögum.

Við búum í umhverfi þar sem unnt er að rýna um 52.000 mismunandi mannlega eiginleika til þess að skipta fólki í flokka eftir áhugamálum, venjum eða persónuleika. Við búum í umhverfi þar sem blæbrigði raddarinnar eru nýtt til að finna út hvort um lærðan mann sé að ræða eða ekki – hvort viðkomandi beiti gagnrýnni hugsun eða hvort hann stundi virka hlustun. Við búum í umhverfi þar sem innsláttur á lyklaborð tölvu getur gefið vísbendingar um sjálfsöryggi, kvíða, depurð og þreytu[1] og við búum í umhverfi þar sem staðsetningarupplýsingar okkar í smáforritum eru sífellt uppfærðar – jafnvel nokkrum sinnum á mínútu[2]. Við búum í umhverfi þar sem fyrirtæki og eftir atvikum aðrir vilja mæla okkur og meta, bæði sem neytendur og starfsmenn, og vilja fylgjast með svefni okkar og vöku, andardrætti og hrotum. Og við búum í umhverfi þar sem leit á Netinu getur gert okkur að viðfangsefni vísindarannsóknar. Því er spurningin orðin knýjandi: Í hvernig heimi viljum við lifa?

Allar þessar upplýsingar þarf að umgangast af virðingu.

Hjá Persónuvernd ríkir sterkur vilji til þess að öll möguleg framþróun tækni og samfélags geti átt sér stað með ábyrgri vinnslu persónuupplýsinga. Til þess að ná því markmiði er brýnt að almenningur sé vel upplýstur um það hvernig persónuupplýsingar eru notaðar og um það hvað er leyfilegt og hvað ekki. Persónuvernd er til staðar fyrir þá sem vilja vinna með persónuupplýsingar og leitast við að taka það samtal sem þarf til að tryggja rétta vinnslu persónuupplýsinga.

ALDREI FLEIRI MÁL AFGREIDD

Þrátt fyrir miklar samfélagslegar takmarkanir á árinu tókst að ljúka mörgum stórum málum hjá Persónuvernd. Nýskráð mál á árinu voru 2.479. Við þessa tölu bættust óafgreidd mál frá fyrri árum og heildarfjöldi mála til meðferðar hjá Persónuvernd árið 2021 var því 3.061. Á árinu lauk Persónuvernd 2.587 málum – fleirum en nokkru sinni áður - en opin og óafgreidd mál við árslok 2021 voru 571 talsins.

HELSTU VIÐFANGSEFNI PERSÓNUVERNDAR Á ÁRINU

Heilbrigðisupplýsingar og Covid-19

Ef litið er yfir þau mál sem voru fyrirferðarmest í starfsemi Persónuverndar á árinu má sjá að mál tengd vinnslu heilbrigðisupplýsinga voru áberandi og þá ekki síst mál tengd heimsfaraldri Covid-19. Persónuvernd átti gott samstarf við önnur stjórnvöld og veitti ýmiss konar ráðgjöf vegna viðbragða við faraldrinum, svo sem fyrirframsamráð vegna uppfærðrar útgáfu á smáforritinu Rakning C-19 og ráðgjöf vegna samkeyrslu gagna vegna bólusetningar barna. Þá voru þrjár ákvarðanir teknar í málum sem snertu starfsemi sóttvarnalæknis, Landspítala og Íslenskrar erfðagreiningar og tengdust þær allar vinnslu upplýsinga um faraldurinn.

Vinnsla heilbrigðisupplýsinga er ávallt stór þáttur í starfsemi Persónuverndar og á árinu voru fjölmörg önnur slík mál til afgreiðslu, ótengd faraldrinum. Þar má nefna álit á flutningi lífsýna vegna krabbameinsskimana til Danmerkur og á ráðstöfun lífsýnasafns Krabbameinsfélags Íslands vegna flutnings krabbameinsskimana frá félaginu til heilsugæslunnar. Þá var gefið út álit á miðlun heilsufarsupplýsinga frá embætti landlæknis og Sjúkratryggingum Íslands til heilbrigðisráðuneytis í tengslum við fjármögnunarkerfi.

PERSÓNUUPPLÝSINGAR BARNA

Málefni barna voru áfram í forgrunni hjá Persónuvernd og var fræðslubæklingurinn „Spurðu áður en þú sendir“ til að mynda sendur í alla grunnskóla landsins. Gefnar voru út leiðbeiningar til íþróttafélaga, tómstunda- og æskulýðsfélaga og annarra sem vinna með börnum. Þá má nefna ákvörðun um álagningu sektar vegna skorts á öryggi við vinnslu persónuupplýsinga í Mentor-kerfinu, sem notað er í grunnskólum, og frumkvæðisathugun á notkun nemendakerfisins Seesaw í grunnskólum Reykjavíkur, sem leiddi í ljós margvísleg brot á persónuverndarlöggjöfinni. Einnig hafði Persónuvernd til meðferðar mál tengd rafrænni vöktun með börnum, svo sem úrskurð og sektarálagningu vegna rafrænnar vöktunar í Ísbúð Huppu, þar sem starfsmenn undir lögaldri voru vaktaðir.

STJÓRNVÖLD

Persónuvernd hefur leitast við að eiga gott samstarf við ráðuneyti, stofnanir og aðra aðila um vinnslu persónuupplýsinga og má sem dæmi nefna reglulega fundi með embætti landlæknis, Stafrænu Íslandi og samráðshóp um vernd einstaklinga í tengslum við kosningar. Þá hefur stofnunin tekið þátt í margskonar samstarfi á innlendum og erlendum vettvangi, svo sem í Netöryggisráði og Evrópska persónuverndarráðinu og sérfræðingahópum á þess vegum. Einnig veitti Persónuvernd fjölmargar umsagnir á árinu, sem sumar voru mjög ítarlegar. Má þar nefna umsögn vegna breytinga á lögum um fjármál stjórnmálasamtaka, um stefnu Íslands um gervigreind, frumvarp til laga um stafrænt pósthólf og frumvörp tengd áformum félags- og barnamálaráðherra um samþættingu þjónustu í þágu velferðar barna.

Af öðrum málum tengdum stjórnvöldum má nefna frumkvæðisathugun á notkun lögreglunnar á höfuðborgarsvæðinu á samfélagsmiðlinum Facebook og álit á birtingu hluthafalista á vef Skattsins. Þá tók Persónuvernd ákvörðun um að leggja stjórnvaldssekt á atvinnuvega- og nýsköpunarráðuneytið og fyrirtækið YAY ehf. vegna vinnslu persónuupplýsinga í smáforritinu Ferðagjöf, sem ekki uppfyllti kröfur persónuverndarlöggjafarinnar.

INNRA STARF PERSÓNUVERNDAR

Í maí 2021 var opnuð ný starfsstöð Persónuverndar á Húsavík og er það í fyrsta skipti sem Persónuvernd opnar starfsstöð utan höfuðborgarsvæðisins. Uppsetning starfsstöðvarinnar fór fram í góðu samstarfi við embætti sýslumannsins á Norðurlandi eystra en útbúin hefur verið aðstaða fyrir starfsmenn Persónuverndar á aðalskrifstofu embættisins á Húsavík. Á árinu fór fram heildaryfirferð á verklagi og verkferlum hjá Persónuvernd og öðrum innri málefnum vegna hinna miklu breytinga sem urðu á starfsumhverfi stofnunarinnar árið 2018. Leitast var við að einfalda og hraða málsmeðferð, þar sem verkefnaálag hjá stofnuninni hefur verið afar mikið undanfarin ár. Þá voru nýjar málsmeðferðarreglur Persónuverndar samþykktar og unnið að uppsetningu rafræns kvörtunareyðublaðs í samstarfi við Stafrænt Ísland, ásamt gerð nýrra stofnanasamninga.

FJÁRMÁL PERSÓNUVERNDAR

Það hefur verið krefjandi undanfarin ár að reka stofnun þar sem inn koma mun fleiri mál en starfsmannafjöldinn ræður við. Þrátt fyrir samhentan hóp er lýjandi til lengdar að fleiri mál bíði við lok dags en við upphaf hans. Þá hefur opinber umræða um vinnustaðinn á tíðum verið hörð og óvægin.

Þegar þetta er ritað liggur fyrir Alþingi fjármálaáætlun fyrir árin 2023-2027, sem gerir ráð fyrir auknu fjármagni Persónuvernd til handa. Vonir eru bundnar við að þessi viðbót hjálpi til við þau gríðarmiklu verkefni sem bíða úrlausnar. Jafnframt er ljóst að hlúa þarf enn betur að fræðslu um persónuvernd til þess að auka þekkingu og skilning á þeim reglum sem helst geta hjálpað ef að okkur er vegið á tækniöld.

Persónuvernd, júní 2022

Helga Þórisdóttir

[1] European Data Protection Supervisor. Opinion 3/2018 on online manipulation and personal data.

[2] Forbrukerrådet. Deceived by design. How tech companies use dark patterns to discourage us from exercising our rights to privacy (2018).