Inngangur

Eins og algengt er með íslensk lög er gjarnan vísað til þess í lagatextanum hvert gildissvið laganna á að vera, þ.e. hvenær þau eiga við og hvenær ekki. Í persónuverndarlögunum er bæði fjallað um efnislegt gildissvið og landfræðilegt gildissvið.

Erfitt er að fullyrða um öll tilfelli, eða gefa tæmandi talningu á þeim tilvikum sem falla undir persónuverndarlögin, en hér er að finna samantekt á því við hvaða aðstæður lögin eiga almennt við og hvenær þau gera það ekki.

Hvenær gilda lögin?

Þegar unnið er með upplýsingar um einstaklinga

Persónuverndarlögin gilda þegar unnið er með upplýsingar um einstaklinga.

Ekki skiptir máli hvort sá sem vinnur með upplýsingarnar er stjórnvald, einkaaðili eða einstaklingur (nema þegar einstaklingar vinna með upplýsingar til einkanota, en fjallað er um það undir liðnum Hvenær eiga þau ekki við?).

Hugtakið „einstaklingur“ getur einnig tekið til einyrkja þegar ekki er hægt að greina á milli upplýsinga um eiganda fyrirtækisins sem einstakling og upplýsinga um fyrirtækið.

Þegar upplýsingarnar eru unnar sjálfkrafa eða skráðar í skrá

Þegar persónuupplýsingar eru varðveittar á þann hátt að auðvelt og fljótlegt er að fletta þeim upp og leita að þeim, falla þær að jafnaði undir persónuverndarlögin.

Þetta þýðir að lögin taka til þess þegar persónuupplýsingar eru unnar að hluta eða öllu leyti sjálfkrafa eða þegar þær eru færðar í skrá.

Þegar vinnsla upplýsinganna fer fram á Íslandi eða innan yfirráðasvæðis Evrópusambandsins

Í langflestum tilfellum fellur sú vinnsla persónuupplýsinga sem fram fer hér á landi undir íslensk persónuverndarlög.

Meginreglan er sú að fyrirtækið sem vinnur með persónuupplýsingarnar, ábyrgðaraðilinn, sé með staðfestu á Íslandi og vinnsla persónuupplýsinga fari fram innan yfirráðasvæðis ESB. Þessi regla er hluti af landfræðilegu gildissviði persónuverndarlaganna.

• Það á einnig við ef erlendir aðilar vinna með upplýsingar um einstaklinga sem staðsettir eru á Íslandi, ef vinnslan tengist afhendingu vöru eða þjónustu til einstaklinga sem staðsettir eru á Íslandi eða ef fylgst er með hegðun einstaklinga á Íslandi.

• Hins vegar geta komið upp aðstæður þar sem ábyrgðaraðili hefur staðfestu í öðru ESB landi. Í því tilviki gilda lög þess lands.

• Sem dæmi má nefna að starfsemi Facebook fellur undir írsk lög vegna þess að Facebook er skráð með staðfestu á Írlandi.

Hvenær eiga þau ekki við?

Persónuverndarlögin gilda eingöngu um upplýsingar um einstaklinga og því eiga þau ekki við þegar:

• unnið er með upplýsingar um lögaðila (svo sem fyrirtæki og stjórnvöld),

• unnið er með upplýsingar sem ekki er hægt að rekja til einstaklinga, svo sem tölfræðiupplýsingar,

• dómstólar fara með dómsvald sitt,

• ríkið vinnur með persónuupplýsingar í þágu öryggis- og varnamála eða unnið er með persónuupplýsingar í löggæslutilgangi,

• einstaklingar vinna upplýsingar til einkanota (til dæmis bréfaskipti, utanumhald jólakortalista sem inniheldur nöfn og heimilisföng viðtakenda, og að vissu marki starfsemi á samfélagsmiðlum og netinu almennt).

Hvar finn ég reglurnar?

Markmið - 1. gr. persónuverndarlaganna

Efnislegt gildissvið - 4. gr. persónuverndarlaganna

Landfræðilegt gildissvið - 7. gr. persónuverndarlaganna