Á fundi stjórnar Persónuverndar þann 16. ágúst komst hún að eftirfarandi niðurstöðu í máli nr. 2005/103:

Álit

I.Grundvöllur máls

Með bréfi, dags. 21 febrúar 2005, barst Persónuvernd fyrirspurn frá [A], þar sem óskað er álits stofnunarinnar á vinnslu persónuupplýsinga í tengslum við sölu á líf- og sjúkdómatryggingu hjá [B]. Er um að ræða þær persónuupplýsingar sem félagið aflar með sérstöku eyðublaði fyrir umsókn um slíkar tryggingar. Rétt er að taka fram að við kaup [D] á öllu hlutafé í [B] í apríl 2005 var nafni fyrirtækisins hins vegar breytt í [E] (hér eftir einnig nefnt félagið).

Í umræddri erindi er óskað eftir afstöðu Persónuverndar til ýmissa atriða er varða umsóknareyðublaðið og lögmæti þeirrar vinnslu persónuupplýsinga sem leiðir af notkun þess. Aðeins nokkur þeirra atriða þykja gefa tilefni til formlegs svars stjórnar stofnunarinnar og hefur skjal þetta að geyma afstöðu hennar til eftirfarandi atriða:

1. Lögmæti þess að afla heilsufarsupplýsinga um umsækjanda frá þriðju aðilum, s.s. læknum og sjúkrastofnunum.2. Lögmæti þess að afla heilsufarsupplýsinga um foreldra og systkini umsækjanda.3. Heimildar félagsins til að miðla persónuupplýsingum um vátryggingartaka til endurtryggjenda þess.4. Fyrirvara um eign félagsins á upplýsingum um vátryggingartaka.

Tekið skal fram að þegar Persónuvernd barst fyrirspurn [A] stóð yfir úttekt á öryggi og lögmæti vinnslu persónuupplýsinga í tengslum við sölu á líf- og sjúkdómatryggingum hjá þremur tryggingafélögum. [B] var ekki í hópi þeirra. Var ákveðið að afgreiða þetta mál samhliða afgreiðslu þessara úttektarmála, enda að mestu um að ræða sömu álitaefni.

II.Bréfaskipti og sjónarmið félagsins

Í bréfi Persónuverndar til félagsins, dags. 1. mars 2005, voru reifuð þau ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sem helst reynir á í sambandi við lögmæti vinnslu persónuupplýsinga. Var félaginu gefinn kostur á því að tjá sig um fram komið erindi [A], m.a. með tilliti til þessara lagaákvæða.

Barst Persónuvernd svar félagsins með bréfi, dags. 22. mars 2005. Í bréfinu segir að öflun upplýsinga um heilsufar umsækjanda sé forsenda fyrir gerð vátryggingarsamnings. Á grundvelli slíkra upplýsinga meti félagið áhættuna af því að selja viðkomandi tryggingu, þ.e. hvort hún skuli veitt og gegn hvaða gjaldi. Verður nú vikið nánar að efni bréfsins eftir því sem við á.

Varðandi öflun heilsufarsupplýsinga um foreldra og systkini umsækjanda (1. tölul.) segir eftirfarandi:

"Félagið biður umsækjendur og um upplýsingar er varða heilsufarssögu nánustu ættingja þeirra. Tilgangurinn með þeirri upplýsingaöflun er sem fyrr að leggja mat á áhættu félagsins af því að taka einstaklinga inn í tryggingu, en sjúkdómar í nánustu fjölskyldu geta haft áhrif við það mat. Umsækjanda er að sjálfsögðu í sjálfsvald sett hvort hann veitir svör við þeim spurningum sem lagðar eru fram, en neiti fólk að svara getur slíkt leitt til þess að félagið hafni að taka viðkomandi í tryggingu."

Um öflun heilsufarsupplýsinga um umsækjanda frá þriðju aðilum, s.s. læknum og sjúkrastofnunum (2. tölul.), eru m.a. gerðar svofelldar athugasemdir:

"Félagið vill ítreka það sem áður segir um nauðsyn þess að afla gagna um heilsufar umsækjenda um vátryggingu vegna þess grundvallar sem slíkar upplýsingar veita við samningsgerðina. Út frá þeim upplýsingum tekur vátryggingafélagið ákvörðun um hvort það veitir vátryggingu og metur áhættu sína. Komi fram við vátryggingatöku vísbendingar eða upplýsingar um veikindi eða veiklun kemur það í hlut trúnaðarlæknis félagsins að skoða umsækjanda og/eða afla frekari gagna um heilsufar hans til þess að unnt sé að leggja mat á áhættu félagsins af því að gera vátryggingasamning við viðkomandi [...]"

Að því er varðar skilmála félagsins um heimild til þess að miðla persónuupplýsingum um vátryggingartaka til endurtryggjenda félagsins (3. tölul) segir eftirfarandi:

"Varðandi heimild endurtryggjenda félagsins til þess að fá aðgang að gögnum um heilsufar vátryggingataka vill félagið koma því á framfæri að samningur þess við endurtryggjenda er forsenda fyrir starfsemi félagsins. Endurtryggjandi ber hluta áhættunnar með félaginu og ber því nauðsyn til þess að geta aflað gagna um heilsufar hins vátryggða á sömu forsendum og félaginu er nauðsynlegt að afla slíkra gagna."

Um þann skilmála að upplýsingar sem fengnar séu í tengslum við gerð vátryggingasamnings séu eign félagsins (4. tölul.) segir:

"Sjónarmið félagsins er það að upplýsingar og gögn sem aflað hefur verið af félaginu og á kostnað þess í tengslum við gerð vátryggingasamnings og við mat á bótakröfu, sé eign félagsins. Verður það leitt af framansögðu. Slíkt kemur þó ekki í veg fyrir að þeir sem sótt hafa um tryggingu hjá félaginu geti fengið aðgang að þeim gögnum sem eru í vörslu félagsins."

Þar sem meðferð þessa máls hafði orðið fyrir nokkrum töfum, m.a. vegna vinnu Persónuverndar við framangreindar úttektir hjá öðrum vátryggingafélögum, var ákveðið að veita félaginu frekara tækifæri á að tjá sig um það, ekki síst í ljósi þess að eigendaskipti höfðu orðið að félaginu. Var það gert með bréfi dags. 8. júlí 2005.

Í svarbréfi félagsins, dags. 19. júlí 2005, kemur fram sú skoðun félagsins að það hafi með fyrrgreindu bréfi sínu, dags. 22. mars 2005, svarað þeim athugasemdum [A] sem komu fram í áðurnefndu erindi hans til Persónuverndar.

III.Forsendur og niðurstaða

[E] starfar samkvæmt lögum nr. 20/1954 um vátryggingarsamninga og lögum nr. 60/1994 um vátryggingastarfsemi. Hafa þessi lög ekki að geyma sérstök ákvæði varðandi vinnslu persónuupplýsinga í tengslum við vátryggingastarfsemi. Slík ákvæði er aftur á móti að nokkru leyti að finna í XIII. kafla nýrra laga um vátryggingarsamninga nr. 30/2004, en sá kafli fjallar um almennar forsendur fyrir ábyrgð vátryggingafélaga. Lög þessi öðlast gildi 1. janúar 2006, en samkvæmt gildistökuákvæði í 146. gr. munu þau gilda um alla vátryggingarsamninga sem gerðir verða frá og með þeim degi, um alla vátryggingarsamninga sem verða endurnýjaðir eða framlengdir frá og með þeim degi, svo og um alla aðra vátryggingarsamninga sem eru í gildi á þeim degi. Munu lögin því hafa afturvirk áhrif varðandi þá vátryggingarsamninga sem undirritaðir eru fyrir gildistöku laganna.

Eins og fyrr greinir varðar álit þetta þær persónuupplýsingar sem félagið vinnur með í tengslum við sölu á líf-, slysa- og sjúkdómatryggingum. Til þess að geta fengið slíka tryggingu þarf sá sem sækir um hana að fylla út sérstakt eyðublað og þannig veita tilteknar upplýsingar um sig. Auk almennra upplýsinga um nafn, kennitölu, heimilisfang, og starf er fyrst og fremst óskað heilsufarsupplýsinga af ýmsum toga. Meðal þess sem óskað er upplýsinga um er hvort umsækjandi neyti áfengis eða lyfja, sé með eða hafi verið með sjúkdóm af ákveðnum flokki. Hafi umsækjandi fengið slíkan sjúkdóm, eða sé haldinn slíkum sjúkdómi, er farið fram á ítarlegri upplýsingar, s.s. um hvenær sjúkdómurinn byrjaði, hve lengi hann varaði, hvort bati varð alger eða að hluta, hverjar séu eða urðu afleiðingar hans og nafn þess læknis sem stundaði umsækjandann. Ennfremur er óskað eftir því að umsækjandi upplýsi hvort foreldrar hans eða systkini séu með eða hafi fengið hjarta- eða æðasjúkdóma, taugasjúkdóm, heilablóðfall, háan blóðþrýsting, sykursýki, nýrnasjúkdóm og krabbamein.

Að endingu hefur eyðublaðið að geyma yfirlýsingu sem ætlast er til að umsækjandi undirriti, þ.e. yfirlýsingu um að hann heimili vátryggingafélaginu að afla heilsufarsupplýsinga um sig hjá læknum og sjúkrastofnunum, sbr. svohljóðandi orðalag: "Ég heimila trúnaðarlæknum félagsins og endurtryggjanda þess að fá nauðsynlegar upplýsingar frá læknum, stofnunum og sjúkrahúsum um heilsufar mitt og sjúkrasögu, þar með talið afrit sjúkraskrár. Öll gögn sem aflað er í tengslum við samning þennan eru eign [E]. Félagið fer með allar upplýsingar sem trúnaðarmál."

Af framangreindu má ráða að aflað er upplýsinga um umsækjanda, bæði frá honum sjálfum og frá öðrum, og um foreldra hans og systkini. Þeirra síðarnefndu er aflað frá umsækjanda.

Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda lögin um sérhverja rafræna vinnslu persónuupplýsinga og einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu persónuupplýsingar er átt við allar "persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi," sbr. 1. tölul. 2. gr. laganna. Þá merkir hugtakið vinnsla "sérhver[ja] aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn." Með vinnslu er t.d. átt við söfnun og skráningu og undir það fellur m.a. flokkun, varðveisla, breyting, leit og miðlun. Af þessu leiðir að söfnun, úrvinnsla og varðveisla [E] á framangreindum upplýsingum felur í sér vinnslu persónuupplýsinga í skilningi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.

Öll framangreind vinnsla þarf, eins og önnur vinnsla persónuupplýsinga, að eiga sér stoð í einhverju af skilyrðum 8. og, eftir atvikum, 9. gr. laga nr. 77/2000. Vinnsla almennra persónuupplýsinga þarf aðeins að eiga sér stoð í einhverju af skilyrðum 8. gr. laganna, en vinnsla viðkvæmra persónuupplýsinga þarf að auki að eiga sér stoð í einhverju af skilyrðum 9. gr. laganna. Auk þess þarf vinnslan að vera í samræmi við meginreglur 1. mgr. 7. gr. laganna, m.a. um að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti (1. tölul.), fengnar í yfirlýstum, skýrum og málefnalegum tilgangi (2. tölul.) og vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Felur ákvæðið í sér þá meðalhófsreglu að ekki skal unnið með persónuupplýsingar nema það sé nauðsynlegt og málefnalegt.

Samkvæmt c.-lið 8. tölul. 2. gr. laganna teljast upplýsingar um "heilsuhagi, þar á meðal um erfðaeiginleika, lyfja-, áfengis- og vímuefnanotkun" til viðkvæmra persónuupplýsinga. Sé litið til þeirra persónuupplýsinga sem félagið safnar um umsækjendur um líf-, slysa- og sjúkdómatryggingar er ljóst að þær teljast til viðkvæmra persónuupplýsinga í skilningi laganna. Verður heimild til vinnslu þeirra þar með bæði að uppfylla eitthvert af skilyrðum 1. mgr. 8. gr. og 1. mgr. 9. gr. fyrrgreindra laga.

Af þeim skilyrðum er greinir í 1. mgr. 8. gr. kemur helst til skoðunar ákvæði 1. tölul. um að vinnsla sé heimil hafi hinn skráði ótvírætt samþykkt vinnsluna eða veitt samþykki skv. 7. tölul. 2. gr. Með samþykki í skilningi 7. tölul. 2. gr. laga nr. 77/2000 er átt við sérstaka, ótvíræða yfirlýsingu sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv. Ekkert liggur fyrir í gögnum málsins um að slíks samþykkis sé aflað frá þeim sem leggur inn beiðni um áhættulíftryggingu og/eða sjúkdómatryggingu. Til þess að samþykki teljist vera upplýst þarf honum að hafa verið veitt fræðsla í samræmi við ákvæði 20. gr. laga nr. 77/2000, sbr. kafla 3. hér að neðan. Þrátt fyrir það verður engu að síður að telja umsækjanda ótvírætt hafa samþykkt vinnsluna með útfyllingu beiðninnar og undirritun hennar, sbr. 1. tölul. 1. mgr. 8. gr. laganna.

Með vísun til framangreinds verður ekki fullyrt að vinnslan eigi sér stoð í 1. tölul. 1. mgr. 9. gr. sömu laga. Af skilyrðum 9. gr. kemur þá helst til álita 2. tölul. 1. mgr. um að vinna megi með viðkvæmar persónuupplýsingar standi til þess sérstök heimild samkvæmt öðrum lögum. Í 82. gr. laga nr. 30/2004 segir að á meðan vátryggingafélag hafi ekki samþykkt að veita vátryggingu geti það óskað eftir upplýsingum sem hafa þýðingu fyrir mat þess á áhættunni og er gert ráð fyrir því að slíkra upplýsinga sé aflað beint hjá vátryggingartaka, eða eftir atvikum vátryggðum, og að afla megi upplýsinga hjá öðrum en vátryggingartaka eða vátryggðum standi til þess skriflegt, upplýst samþykki þess sem aflað er upplýsinga um. Af framangreindu ákvæði má ráða að vilji löggjafans standi til þess að við öflun upplýsinga í tengslum við slíka starfsemi nægi samþykki samkvæmt 1. tölul. 1. mgr. 8. gr.

Öflun upplýsinga hjá vátryggingartaka eða vátryggða sjálfum telst þar með fullnægja skilyrðum þessa ákvæðis. Þegar litið er til þess á hún sér því bæði stoð í 1. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Verður í eftirfarandi köflum tekin afstaða til lögmætis einstakra þátta í vinnslunni, sbr. framangreind atriði sem álit þetta beinist að.

Þegar kemur að því að afla upplýsinga um umsækjanda frá öðrum en honum sjálfum verður að horfa til ákvæðis 82. gr. laga nr. 30/2004 um vátryggingarsamninga, en þar segir að á meðan vátryggingafélag hafi ekki samþykkt að veita vátryggingu geti það óskað eftir upplýsingum sem hafa þýðingu fyrir mat þess á áhættunni og er gert ráð fyrir því að slíkra upplýsinga sé aflað beint hjá vátryggingartaka, eða eftir atvikum vátryggðum, og að afla megi upplýsinga hjá öðrum en vátryggingartaka eða vátryggðum standi til þess skriflegt, upplýst samþykki þess sem aflað er upplýsinga um.

Við túlkun þessa ákvæðis verður að horfa til þeirra meginreglna sem gilda um vinnslu persónuupplýsinga samkvæmt 7. gr. laga 77/2000, auk ákvæðis um fræðslu gagnvart hinum skráða þegar upplýsinga er aflað um hann frá öðrum en honum sjálfum, sbr. 21. gr. laganna. Miklu máli skiptir að umsækjandi hljóti nauðsynlega og viðeigandi fræðslu um vinnsluna, s.s. hvaða tiltekinna upplýsinga um hann verður aflað, tilgang vinnslunnar, hvernig persónuvernd verði tryggð og hvort honum sé heimilt að afturkalla samþykkið, sbr. og inntak skilgreiningar hugtaksins samþykki samkvæmt 7. tl. 2. gr. Að öðrum kosti getur vinnslan vart talist vera sanngjörn, samkvæmt 1. tl. 1. mgr. 7. gr., sbr. eftirfarandi athugasemdir við ákvæðið í greinargerð frumvarpsins, en þar segir: "Í ljósi 38. liðar formála tilskipunarinnar getur vinnsla vart talist sanngjörn nema hinn skráði geti fengið vitneskju um hana og eigi, þegar söfnun upplýsinganna á sér stað, kost á fullnægjandi upplýsingum um vinnubrögð, vinnuferli og annað er lýtur að vinnslunni."

Með vísan til framangreinds telur Persónuvernd að framangreind yfirlýsing á umsóknareyðublaði [E] um líf- og sjúkdómatryggingu, sem ætlast er til að umsækjandi undirriti, og heimilar félaginu að afla upplýsinga um umsækjanda frá þriðju aðilum, fullnægi ekki kröfum 1. mgr. 82. gr. laga nr. 30/2004 til skriflegs upplýsts samþykkis, sbr. og fyrrgreind ákvæði 7. og 21. gr. laga nr. 77/2000.

Kemur þá til skoðunar lögmæti þess þegar umsækjandi um vátryggingu lætur tryggingafélagi í té viðkvæmar persónuupplýsingar um aðra en sjálfan sig, þ.e. um heilsufar foreldra og systkini. Enda þótt eyðublaðið geri ekki ráð fyrir því að umsækjandi nafngreini þessa ættingja eru þetta persónuupplýsingar, enda að jafnaði ljóst hverjir í hlut eiga. Almennt verður ekki talið að umsækjandi geti, án umboðs, samþykkt vinnslu persónuupplýsinga um aðra en sjálfan sig, nema til þess standi sérstök heimild. Má hér vísa til athugasemda við 1. tölul. 1. mgr. 9. gr. í greinargerð sem fylgdi frumvarpi því sem varð að lögum nr. 77/2000, en þar segir: "[Getur] komið til þess að ekki nægi að fá samþykki hins skráða, t.d. ef hann veitir með því upplýsingar um aðra menn en sjálfan sig, eða ef lögboðið er að fleira þurfi til, sbr. a-lið 2. mgr. 8. gr. tilskipunar ESB." Það heimildarákvæði sem hér kemur til álita er að finna í 2. mgr. 82. gr. laga nr. 30/2004 um vátryggingasamninga. Hún hljóðar svo:

"Þrátt fyrir ákvæði 1. mgr. er félaginu óheimilt, fyrir eða eftir gerð samnings um persónutryggingu, að óska eftir, afla með einhverjum öðrum hætti, taka við eða hagnýta sér upplýsingar um erfðaeiginleika manns og áhættu á því að hann þrói með sér eða fái sjúkdóma. Félaginu er einnig óheimilt að óska eftir rannsóknum sem teljast nauðsynlegar til þess að kostur sé á að fá slíkar upplýsingar. Framangreint bann gildir þó ekki um athugun á núverandi eða fyrra heilsufari mannsins eða annarra einstaklinga."

Af framangreindu ákvæði og skýringum við það í athugasemdum frumvarpsins má ráða að tryggingafélagi sé heimilt að afla upplýsinga um heilsufar skyldmenna til þess að meta hvort athuga þurfi heilsufar þess sem óskar vátryggingar. Vátryggjendum er m.ö.o. heimilt að spyrja um þessi atriði í þeim tilgangi að meta hvort rannsaka þurfi frekar núverandi eða fyrra heilsufar þess sem óskar vátryggingar. Enga heimild er hins vegar að finna fyrir vátryggjendur til að afla upplýsinga um hvort vátryggður sé líklegur til þess að fá eða þróa með sér tiltekna sjúkdóma í framtíðinni. Þvert á móti er vátryggjendum óheimilt, fyrir eða eftir gerð samnings um persónutryggingu, að óska eftir, afla með einhverjum öðrum hætti, taka við eða hagnýta sér upplýsingar um erfðaeiginleika manns og áhættu á því að hann þrói með sér eða fái sjúkdóma. Í ljósi þess banns verður að líta svo á að vátryggingafélagi sé óheimilt að afla upplýsinga um heilsufar skyldmenna sem eru til þess fallnar að veita vitneskju um erfðaeiginleika umsækjandans. Ber hér að hafa í huga að margir algengir sjúkdómar orsakast af samspili erfða- og umhverfisþátta. Verður því að líta svo á að öflun upplýsinga um arfgenga sjúkdóma foreldra og systkina jafngildi öflun upplýsinga um erfðaeiginleika umsækjandans sjálfs. Verður enda vart komið auga á það í hvaða tilgangi öðrum vátryggingafélag ætti að sækjast eftir upplýsingum um slíka sjúkdóma hjá einstaklingum. Að því er varðar öflun annarra heilsufarsupplýsinga um þessa einstaklinga verður hins vegar ekki fullyrt að hún sé óheimil, enda byggi hún á samþykki þeirra, sbr. 7. tl. 2. gr. laga 77/2000.

Má í þessu sambandi minna á dóm Hæstaréttar frá 27. nóvember 2003 í máli 151/2003. Þar er m.a. byggt á 1. mgr. 71. gr. stjórnarskrárinnar er veitir sérhverjum manni friðhelgi um einkalíf sitt og minnt á að til að tryggja þá friðhelgi verði meðal annars að gæta að því að lög leiði ekki af sér raunhæfa hættu á að upplýsingar um einkahagi tiltekins manns komist í hendur annarra. Því var í dóminum byggt á því að áfrýjandi gæti sjálfur haft hagsmuni af því að upplýsingar úr sjúkraskrám látins föður hans yrðu ekki fluttar í þann gagnagrunn, sem málið laut að, vegna hættu á að af þeim yrði ályktað um heilsuhagi hans sjálfs.

Með vísun til alls framangreinds og að því virtu að samkvæmt lögunum er vátryggjendum beinlínis bannað að afla eða hagnýta sér með nokkrum hætti erfðafræðilegar upplýsingar um umsækjandann eða óska eftir rannsóknum sem leitt geta slíkar upplýsingar í ljós, er það niðurstaða Persónuverndar að [E] sé óheimilt að afla upplýsinga um heilsufar sem að einhverju leyti fela í sér upplýsingar um arfgerð umsækjandans.

Á eyðublaði fyrir vátryggingarumsókn er gert ráð fyrir að umsækjandi samþykki að veita félaginu og endurtryggjendum þess aðgang að heilsufarsupplýsingum um sig. Líkt og önnur vinnsla viðkvæmra persónuupplýsinga verður miðlun þeirra til annarra aðila að eiga sér lagastoð samkvæmt einhverju af skilyrðum 1. mgr. 8. gr. laganna, auk einhvers skilyrðis 9. gr. þeirra. Enn fremur þarf, sé móttökuaðili upplýsinganna með staðfestu utan Íslands, að uppfylla ákvæði 29. eða 30. gr. gr. laganna.

Vísað er til þess sem áður segir varðandi þær kröfur sem gerðar eru til upplýsts samþykkis, sbr. 7. tölul. 2. gr. laganna. Þegar um er að ræða viðkvæmar persónuupplýsingar þarf _samþykki hins skráða_að fullnægja þeim kröfum sem þar koma fram. Þegar afstaða er tekin til þess hvort samþykki teljist vera upplýst verður m.a. að horfa til þess hvort hinum skráða hafi verið veitt sú fræðsla sem kveðið er á um í 20. gr. laga nr. 77/2000. Meðal þess sem upplýsa skal hinn skráða um er "nafn og heimilisfang ábyrgðaraðila og eftir atvikum fulltrúa hans skv. 6. gr.", sbr. 1. tölul. 1. mgr. ákvæðisins. Eins og fram kemur í athugasemdum við 20. gr. í frumvarpi því sem varð að lögum nr. 77/2000 er markmið fræðsluskyldunnar að veita hinum skráða möguleika á að nýta sér þann rétt sem hann á samkvæmt lögunum, t.d. til aðgangs, leiðréttingar o.s.frv. Fræðsla um nafn og heimilisfang allra viðtakenda upplýsinga um hinn skráða er þannig forsenda þess að honum sé unnt að nýta sér umrædd réttarúrræði.

Ef ekki liggur fyrir vitneskja um framangreind atriði þegar upplýsinga er aflað frá umsækjanda, s.s. vegna þess að breytilegt getur verið frá einum tíma til annars hver endurtryggjandinn er, getur aftur á móti nægt að veita fræðslu um flokka viðtakenda, sbr. 3. tl. 1. mgr. 20. gr. laganna. Engu að síður skal í öllum tilvikum veita hinum skráða fyrrnefnda fræðslu í síðasta lagi þegar upplýsingarnar eru látnar þriðja aðila í té í fyrsta sinn, sbr. 39. gr. formálsorða tilskipunar Evrópuþingsins og ráðsins nr. 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga.

Þegar litið er til þess að endurtryggjendur íslenskra vátryggingafélaga eru í flestum tilvikum erlendir er líklegt að reynt geti á framangreind ákvæði í starfsemi þeirra. Samkvæmt 29. gr. laga nr. 77/2000 er heimilt að flytja persónuupplýsingar til landa er veita þeim fullnægjandi vernd, að uppfylltum öðrum skilyrðum laganna. Er hér einkum átt við ríki á hinu evrópska efnahagssvæði og önnur ríki sem innleitt hafa fyrrnefnda tilskipun. Séu persónuupplýsingar á hinn bóginn fluttar til lands sem ekki veitir þeim fullnægjandi vernd, t.d. til Bandaríkjanna, þarf það að eiga sér stoð í einhverju af skilyrðum 1. mgr. 30. gr. laganna. Það á t.d. við ef flutningurinn byggist á samþykki hins skráða. Í athugasemdum við þetta ákvæði í frumvarpi því sem varð að lögum nr. 77/2000 er tekið fram að átt sé við samþykki í skilningi 7. tölul. 2. gr. laganna, jafnvel þótt ekki sé um að ræða viðkvæmar persónuupplýsingar. Sé byggt á slíku samþykki er nauðsynlegt að hinn skráði hafi fengið fræðslu um það til hvaða ríkis persónuupplýsingar um hann verði fluttar og hvaða aðili muni þar bera ábyrgð á þeim.

Með tilliti til framangreinds telur Persónuvernd að [E] sé óheimilt að miðla persónuupplýsingum um hann til annarra aðila, s.s. til endurtryggjenda félagsins, nema fyrir liggi slíkt samþykki hans eða önnur sérstök heimild.

Á eyðublaði [E] fyrir vátryggingarumsókn, sem ætlast er til að umsækjandi undirriti, er að finna yfirlýsingu um að öll gögn sem aflað er í tengslum við gerð vátryggingarsamnings séu eign félagsins.

Í athugasemdum félagsins er ekki útskýrt hvaða merking hér sé lögð í hugtakið "eign", þ.e. hvaða réttaráhrif þessi fyrirvari hafi, en þess þó getið að hann takmarki ekki rétt hins skráða til aðgangs að upplýsingum um sjálfan sig.

Almennt er, þegar í íslenskum rétti er fjallað um eign og eignarréttindi, átt við heimildir eiganda til að ráðstafa tilteknum verðmætum, þ.e. eignum sínum. Þótt ýmsir fjárhags- og viðskiptalegir hagsmunir geti tengst persónuupplýsingum eru þær, eðli sínu samkvæmt, svo nátengdar einkalífi og mannhelgi viðkomandi einstaklings, að eðlilegt hefur þótt að skipa lagareglum um meðferð þeirra meðal reglna um persónurétt en ekki fjármunarétt. Má í þessu sambandi minna á þá umræðu sem átti sér stað á vettvangi Alþingis þegar það fjallaði um frumvarp til laga um réttindi sjúklinga nr. 74/1997. Þar sem upplýsingar í sjúkraskrám voru ekki taldar geta verið andlag eignaréttinda var fellt brott úr frumvarpinu ákvæði 1. mgr. 14. gr. frumvarpsins um að sjúkraskrá væri eign heilbrigðisstofnunar eða annarra heilbrigðisstarfsmanna. Verður að telja vafa undirorpið hvort, og þá í hvaða lögskiptum, persónuupplýsingar geta talist eign. Hvað sem þessum vafa líður er þó ljóst að slíkur eignarréttur, sé um hann að ræða, víkur fyrir einkalífsrétti mannna á grundvelli laga nr. 77/2000 og 71. gr. stjórnarskrárinnar.

Er minnt á að um heimildir ábyrgðaraðila til vinnslu persónuupplýsinga fer samkvæmt lögum nr. 77/2000, og öðrum sérlagaákvæðum. Ber ábyrgðaraðila samkvæmt lögum m.a. að virða rétt hins skráða til þess að fá aðgang að persónuupplýsingum um sig og að fá breytt eða eytt röngum og villandi persónuupplýsingum. Getur hinn skráði ekki afsalað sér slíkum grundvallarmannréttindum með samningi við ábyrgðaraðila upplýsinganna.

Með vísan til framangreinds eru það tilmæli Persónuverndar til [E] að taka til athugunar hvort breyta eigi eyðublaði fyrir vátryggingarumsókn að því er varðar þann fyrirvara að persónuupplýsingar sem félagið fær verði eign félagsins, enda er hann til þess fallinn að valda hinum skráða misskilningi varðandi réttarstöðu sína.

N i ð u r s t ö ð u o r ð

1. Öflun upplýsinga hjá þriðja aðila, um mann sem sækir um líf- og sjúkdómatryggingu, er óheimil nema fyrir liggi skriflegt, upplýst samþykki hans og honum hafi verið veitt fræðsla í samræmi við ákvæði 21. gr. laga nr. 77/2000.

2. Öflun upplýsinga um arfgenga sjúkdóma foreldra og systkina umsækjenda er óheimil.

3. [E] er óheimilt, án samþykkis manns sem sækir um líf- og sjúkdómatryggingu, að miðla persónuupplýsingum um hann til annarra aðila.

4. [E] er leiðbeint um að fella brott af eyðublaði fyrir vátryggingarumsókn fyrirvara um eign [E] á þeim persónuupplýsingum sem það fær í tengslum við gerð vátryggingarsamninga.