Úrskurður

um kvörtun yfir skráningu Keldunnar ehf. í gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla í máli nr. 2025010131 (áður 2023071176):

Málsmeðferð

1. Hinn 17. júlí 2023 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi), fyrir hönd ólögráða [barns] síns, [B], yfir því að Keldan ehf. (hér eftir Keldan) hefði safnað persónuupplýsingum um [barn] hans í þeim tilgangi að skrá hann í svokallaðan PEP-gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla.

2. Persónuvernd bauð Keldunni að tjá sig um kvörtunina með bréfi dags. 29. nóvember 2023 og bárust svör 14. desember s.á. Kvartanda var veittur kostur á að tjá sig um svör Keldunnar með bréfi 15. október 2024 og bárust svör kvartanda með tölvupósti 29. og 30. október s.á.

3. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Ágreiningsefni

4. Ágreiningur er um heimild Keldunnar til að safna persónuupplýsingum um [barn] kvartanda og skrá þær í PEP-gagnagrunn um einstaklinga í áhættuhóp vegna stjórnmálalegra tengsla, eins og þeir eru skilgreindir í lögum nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.

Sjónarmið aðila

Helstu sjónarmið kvartanda

5. Fyrir liggur að [barn] kvartanda var skráð í PEP-gagnagrunn Keldunnar um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla, á grundvelli þess að kvartandi gegndi stöðu staðgengils sendiherra í sendiráði Íslands í [staður] á þeim tíma sem kvörtun barst. Var [barn] kvartanda því talinn til nánustu fjölskyldu háttsetts einstaklings í opinberri þjónustu í skilningi laga nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.

6. Kvartandi telur að Keldunni sé óheimilt að safna persónuupplýsingum um [barn] hans og skrá [….] á PEP-lista yfir einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla á grundvelli stöðu kvartanda sem staðgengils sendiherra. Vísar kvartandi til þess að hann sé ekki, eða hafi verið, háttsettur í opinberri þjónustu samkvæmt þeim mælikvörðum sem er við hæfi að beita á Íslandi, ef litið er til íslenskra aðstæðna, stærðarhlutfalla og eðli fámennrar íslenskrar stjórnsýslu, auk þess sem [barn] hans sé ólögráða barn sem eigi rétt á friðhelgi og persónuvernd.

Helstu sjónarmið Keldunnar

7. Keldan byggir á því að sú vinnsla persónuupplýsinga sem um ræðir hafi verið nauðsynleg til að fullnægja lagaskyldu sem hvíli á ábyrgðaraðila, sbr. 3. tölul. 9. gr. laga nr. 90/2018 og c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Vísað er til þess að aðeins þeir aðilar sem eru tilkynningarskyldir samkvæmt lögum nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka geti fengið áskrift að PEP-gagnagrunninum. Samkvæmt 17. gr. laganna hvíli sú lagaskylda á tilkynningarskyldum aðilum að hafa viðeigandi kerfi, ferla og aðferðir til að meta hvort innlendir eða erlendir viðskiptamenn eða raunverulegir eigendur séu í áhættuhóp vegna stjórnmálalegra tengsla. Vísar Keldan einnig til þess að þeir tilkynningarskyldu aðilar sem gerist áskrifendur að umræddum gagnagrunni skoðist sem sameiginlegir ábyrgðaraðilar að vinnslu persónuupplýsinga með félaginu, sbr. 23. gr. laga nr. 90/2018 og 26. gr. reglugerðar (ESB) 2016/679.

8. Í svörum Keldunnar er einnig byggt á því að vinnslan hafi verið nauðsynleg vegna lögmætra hagsmuna félagsins, sbr. 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Keldan hafi lögmæta hagsmuni af veitingu þjónustunnar og vinnslan sé nauðsynleg í því skyni. Við mat á því hvort umrædd heimild geti átt við þurfi að vega hagsmuni félagsins af vinnslunni andspænis hagsmunum [barns] kvartanda af því að vinnslan fari ekki fram. Telur Keldan að grundvallarréttindi og frelsi hins skráða vegi ekki þyngra en hinir lögmætu hagsmunir sem Keldan hafi af vinnslunni við PEP-gagnagrunninn. Sem fyrr segir sé tilkynningarskyldum aðilum skylt að líta til upplýsinganna í starfsemi sinni og þeir einstaklingar sem hafi stjórnmálaleg tengsl geti búist við því að unnið sé með slíkar upplýsingar á grundvelli laganna.

9. Þá vísar Keldan til 6. tölul. 3. gr. laga nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, þess efnis meðal annars að í áhættuhópi vegna stjórnmálalegra tengsla séu einstaklingar, sem eru eða hafa verið háttsettir í opinberri þjónustu, ásamt nánustu fjölskyldu þeirra og nánum samstarfsmönnum. Til háttsettra einstaklinga í opinberri þjónustu teljist sendiherrar, staðgenglar sendiherra og háttsettir yfirmenn herja, sbr. f-lið 1. málsl. 6. tölul. lagaákvæðisins. Til nánustu fjölskyldu teljist börn, stjúpbörn og makar þeirra eða sambúðarmakar í skráðri sambúð, sbr. c-lið 3. málsl. 6. tölul. lagaákvæðisins. Það sé mat Keldunnar að samkvæmt orðanna hljóðan falli börn einstaklinga sem eru eða hafa verið háttsettir í opinberri þjónustu svo ekki verður um villst innan orðalags ákvæðisins. Byggt er á því að með lögum nr. 140/2018 hafi tilskipun Evrópuþingsins og ráðsins nr. 2015/849 verið innleidd í íslenskan rétt og lögin beri því að túlka í samræmi við tilskipunina. Í því sambandi vísar Keldan til ákvæðis a-liðar 10. mgr. 3. gr. tilskipunarinnar, sem innleidd var í 6. tölulið 3. gr. laga nr. 140/2018, þar sem segir eftirfarandi varðandi skilgreiningu á nánustu fjölskyldu: „börn og makar þeirra eða einstaklingar sem teljast vera jafngildir maka einstaklings í áhættuhópi vegna stjórnmálalegra tengsla“ (e.The children and their spouses, or persons considered to be equavalent to a spouse, of a politically exposed person). Efnislega samhljóða skilgreining sé notuð til að skilgreina einstaklinga tengda þeim sem gegna stjórnunarstörfum í reglugerð (ESB) nr. 2014/596 um markaðssvik, sbr. lög nr. 60/2021 um aðgerðir gegn markaðssvikum, eða: „barn á framfæri, í samræmi við landslög“ (e. A dependent child, in accordance with national law). Framangreint hugtak, Dependent child, hafi Evrópusambandið túlkað sem börn yngri en 17 ára.

10. Loks vísar Keldan til þess að sérstök vernd barna í lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga snúi einkum að notkun persónuupplýsinga barna í markaðssetningarskyni eða þegar búin eru til persónu- eða notendasnið, svo og um söfnun persónuupplýsinga er varða börn þegar þau nota þjónustu sem börnum er boðin beint.

Forsendur og niðurstaða

Lagaumhverfi

11. Mál þetta lýtur að söfnun og skráningu upplýsinga um [barn] kvartanda í svokallaðan PEP-gagnagrunn um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla. Varðar það því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 1. mgr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

12. Ábyrgðaraðili vinnslu er sá einstaklingur, lögaðili, stjórnvald eða annar aðili sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. almennu persónuverndarreglugerðarinnar (ESB) 2016/679.

13. Vinnsla persónuupplýsinga er aðeins heimil ef hún heyrir undir eitthvert heimildarákvæða 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Keldan hefur byggt á því að sú vinnsla persónuupplýsinga sem hér er til umfjöllunar sé heimil á grundvelli 3. tölul. 9. gr. laganna og c-liðar 1. mgr. 6. gr. reglugerðarinnar, þ.e. að hún sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Með úrskurði Persónuverndar frá 23. september 2024 í máli nr. 2023040746 var því hafnað að söfnun upplýsinga og skráning þeirra í PEP-gagnagrunninn af hálfu félagsins gæti stuðst við umrædda vinnsluheimild, sbr. umfjöllun í 19. efnisgrein úrskurðarins. Með vísan til þess sem þar er rakið kemur ekki til álita að sú vinnsla persónuupplýsinga sem hér er til umfjöllunar geti stuðst við umrædda heimild.

14. Hins vegar segir í 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar, að vinnsla persónuupplýsinga sé heimil ef hún er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn. Fram kemur í 38. lið formála reglugerðar (ESB) 2016/679 að persónuupplýsingar barna ættu að njóta sérstakrar verndar þar sem þau kunna að vera síður meðvituð um áhættu, afleiðingu og viðkomandi verndarráðstafanir og réttindi sín í tengslum við vinnslu persónuupplýsinga. Þessi sérstaka vernd ætti einkum að eiga við um notkun persónuupplýsinga barna í markaðssetningarskyni eða þegar búin eru til persónu- eða notendasnið og um söfnun persónuupplýsinga er varða börn þegar þau nota þjónustu sem börnum er boðin beint.

15. Líkt og rakið er í efnisgrein 15 í fyrrgreindum úrskurði Persónuverndar í máli nr. 2023040746 þarf þremur skilyrðum að vera fullnægt svo að vinnsla persónuupplýsinga geti talist heimil á grundvelli 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar. Í fyrsta lagi þarf vinnslan að fara fram í þágu lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir. Í öðru lagi þarf vinnslan að vera nauðsynleg í þágu hinna lögmætu hagsmuna og í þriðja lagi mega hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga ekki vega þyngra en hinir lögmætu hagsmunir sem um ræðir. Með þriðja skilyrðinu er gerður áskilnaður um hagsmunamat, þar sem hinir lögmætu hagsmunir ábyrgðaraðila af vinnslunni eru vegnir andspænis hagsmunum hins skráða. Í framkvæmd hefur einkum verið horft til fjögurra þátta í þessu mati. Í fyrsta lagi er litið til eðlis hinna lögmætu hagsmuna ábyrgðaraðila og getur þá meðal annars haft þýðingu hvort þeir varði atvinnuréttindi ábyrgðaraðila. Þá getur það ljáð hagsmunum ábyrgðaraðila meira vægi fari þeir saman við breiðari almannahagsmuni. Í öðru lagi er litið til áhrifa vinnslunnar á hinn skráða og grundvallast það á persónubundnu mati hverju sinni. Í því sambandi skiptir meðal annars máli hvaða upplýsingar eru unnar og hvort um viðkvæmar persónuupplýsingar sé að ræða. Þá kann vinnsluaðferðin sjálf að skipta máli, þ.m.t. hvort upplýsingarnar eru gerðar aðgengilegar almenningi, svo og hvort þær hafi verið opinberaðar af hinum skráða sjálfum. Einnig skipta réttmætar væntingar hins skráða máli í þessu sambandi, þ.m.t. með hliðsjón af ákvæðum laga. Þá ber jafnframt að líta til hugsanlegs aðstöðumunar milli hins skráða og ábyrgðaraðila. Við beitingu vinnsluheimildarinnar þarf einnig að líta til þess hvaða frekari afleiðingar vinnslan kann að hafa í för með sér fyrir hinn skráða en þó hefur ekki verið gerð krafa um að vinnslan hafi engar neikvæðar afleiðingar í för með sér. Í þriðja lagi er horft til þess hvort ábyrgðaraðili fylgi öðrum ákvæðum persónuverndarlaga, svo sem um meðalhóf, enda getur það gefið vísbendingu um áhrif vinnslunnar á hinn skráða. Í fjórða lagi geta viðbótaráðstafanir ábyrgðaraðila í tengslum við vinnsluna haft áhrif á hagsmunamatið.

16. Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar mæla meðal annars fyrir um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.

Niðurstaða

17. Samkvæmt fyrirliggjandi gögnum ákvað Keldan tilgang og aðferðir við þá vinnslu persónuupplýsinga sem hér eru til umfjöllunar, þ.e. söfnun og skráningu á upplýsingum um [barn] kvartanda í PEP-gagnagrunn félagsins. Eins og hér til háttar telst Keldan því vera sjálfstæður ábyrgðaraðili vinnslunnar, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679. Ekki er tekin afstaða til þess hvernig ábyrgð er háttað á öðrum vinnsluaðgerðum sem tengjast gagnagrunninum, svo sem notkun upplýsinganna af hálfu áskrifenda, í ljósi þess að sú kvörtun sem hér er til umfjöllunar tók ekki til þeirra.

18. Keldan hefur meðal annars byggt á því að umrædd vinnsla persónuupplýsinga hafi verið heimil á þeim grundvelli að hún hafi verið nauðsynleg vegna lögmætra hagsmuna félagsins, sem vegi þyngra en hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga, samkvæmt 6. tölul. 9. gr. laga nr. 90/2018 og f-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Til þess þarf þremur skilyrðum að vera fullnægt, sbr. umfjöllun í efnisgrein 15 hér að framan. Í fyrrgreindum úrskurði í máli nr. 2023040746 komst Persónuvernd að þeirri niðurstöðu að fullnægt hefði verið fyrsta skilyrði ákvæðisins að því er varðar söfnun og skráningu persónuupplýsinga í PEP-gagnagrunninn af hálfu Keldunnar. Var niðurstaða Persónuverndar sú að um viðskiptahagsmuni væri að ræða sem ekki yrði séð að væru andstæðir lögum, sbr. nánari umfjöllun í efnisgrein 20 í þeim úrskurði. Persónuvernd telur sömu sjónarmið eiga við í fyrirliggjandi máli og verður samkvæmt því lagt til grundvallar að Keldan hafi lögmæta hagsmuni af þeirri vinnslu persónuupplýsinga sem hér er til umfjöllunar, með fyrirvara um þau frekari skilyrði sem þessir hagsmunir þurfa að fullnægja.

19. Við mat á því hvort annað og þriðja skilyrði ákvæðisins teljist uppfyllt, þ.e. hvort vinnslan sé nauðsynleg vegna hagsmuna Keldunnar, þar sem hún sé grundvöllur þess að félagið geti veitt viðskiptavinum sínum þjónustu í tengslum við framkvæmd laga nr. 140/2018, og hvort þeir hagsmunir gangi framar hagsmunum eða grundvallarréttindum og frelsi [barns] kvartanda, er að mati Persónuverndar nauðsynlegt að líta til ákvæða laga nr. 140/2018 og þeirra almannahagsmuna sem þeim er ætlað að verja.

20. Lög nr. 140/2018 fela í sér innleiðingu á tilskipun (ESB) 2015/849, sbr. 57. gr. laganna. Markmið laganna og tilskipunarinnar er að koma í veg fyrir peningaþvætti og fjármögnun hryðjuverka með því að skylda aðila sem stunda starfsemi er kann að verða notuð til peningaþvættis eða fjármögnunar hryðjuverka til að þekkja deili á viðskiptamönnum sínum og starfsemi þeirra og tilkynna um það til lögbærra yfirvalda vakni grunur um eða verði þeir varir við slíka ólögmæta starfsemi, sbr. 1. gr. Samkvæmt 17. gr. laganna er tilkynningarskyldum aðilum skylt að hafa viðeigandi kerfi, ferla og aðferðir til að meta hvort innlendir eða erlendir viðskiptamenn eða raunverulegir eigendur séu í áhættuhópi vegna stjórnmálalegra tengsla. Fyrir liggur að Keldan starfrækir PEP-gagnagrunninn í þeim tilgangi að auðvelda tilkynningarskyldum aðilum að meta hvort viðskiptamenn eða raunverulegir eigendur lögaðila séu í áhættuhópi vegna stjórnmálalegra tengsla, í samræmi við framangreinda skyldu 17. gr. laganna.

21. Í 6. tölul. 3. gr. laganna eru einstaklingar í áhættuhópi vegna stjórnmálalegra tengsla skilgreindir sem „[e]instaklingar, innlendir og erlendir, sem eru eða hafa verið háttsettir í opinberri þjónustu, ásamt nánustu fjölskyldu þeirra og nánum samstarfsmönnum“. Til háttsettra einstaklinga í opinberri þjónustu teljast meðal annarra sendiherrar, staðgenglar sendiherra og háttsettir yfirmenn herja, sbr. f-lið 1. málsl. 6. tölul. sama lagaákvæðis. Til fyllingar framangreindu ákvæði er 1. mgr. 7. gr. reglugerðar 1420/2020 um einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla með tilliti til aðgerða gegn peningaþvætti og fjármögnun hryðjuverka, sem sett var á grundvelli laga nr. 140/2018. Í framangreindum réttarheimildum er það sérstaklega tekið fram þegar starfsheiti eiga einnig að ná til varamanna og staðgengla. Verður upptalning starfsheita, þar sem varamenn og staðgenglar eru sérstaklega tilgreindir, ekki skilin á annan veg en að þar hafi löggjafinn metið það svo að tilgreind starfsheiti skuli fortakslaust tilheyra áhættuhópi vegna stjórnmálalegra tengsla. Þá teljast börn einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla til nánustu fjölskyldu þeirra samkvæmt skilgreiningu c-liðar 3. málsl. 6. tölul. lagaákvæðisins. Með vísan þess telur Persónuvernd einsýnt að sú vinnsla persónuupplýsinga sem hér er til umfjöllunar sé grundvöllur þess að Keldan geti veitt viðskiptamönnum sínum þjónustu í tengslum við framkvæmd laga nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Samkvæmt því verður lagt til grundvallar að vinnslan sé nauðsynleg í þágu hinna lögmætu hagsmuna.

22. Við mat á lögmætum hagsmunum ábyrgðaraðila andspænis hagsmunum hins skráða, samkvæmt þriðja skilyrði beitingar vinnsluheimildarinnar, er einkum að líta til þess að umrædd vinnsla persónuupplýsinga um [barn] kvartanda fer fram í þágu viðskiptahagsmuna Keldunnar sem njóta verndar samkvæmt atvinnufrelsisákvæði 75. gr. stjórnarskrár lýðveldisins Íslands nr. 33/1994. Vinnslunni er enn fremur ætlað að styðja við framkvæmd laga nr. 140/2018 og þar af leiðandi að verja ríka almannahagsmuni sem felast í því að hindra peningaþvætti og fjármögnun hryðjuverka, sbr. 1. gr. laganna. Á hinn bóginn ber að líta til þess að vinnslan tekur til persónuupplýsinga um barn en persónuupplýsingar barna njóta sérstakrar verndar samkvæmt persónuverndarlöggjöfinni. Engu að síður er hér um að ræða upplýsingar sem tilkynningarskyldum aðilum er beinlínis skylt að líta til í starfsemi sinni. Þannig mega þeir einstaklingar, sem sérstaklega eru tilgreindir í ákvæði 6. tölul. 3. gr. laga nr. 140/2018, búast við að unnið sé með slíkar upplýsingar. Þá er ekki gerður áskilnaður um það, við mat á lögmætum hagsmunum samkvæmt þriðja skilyrði beitingar vinnsluheimildarinnar, að vinnslan megi ekki leiða til neinna neikvæðra afleiðinga fyrir hinn skráða. Jafnframt hefur ekkert komið fram í málinu sem bendir til þess að Keldan vinni aðrar persónuupplýsingar um [barn] kvartanda en nauðsynlegt er miðað við tilgang vinnslunnar eða að félagið hafi miðlað upplýsingunum til annarra en á þeim þurfa að halda á grundvelli laga nr. 140/2018. Auk þess leitaðist Keldan við að tryggja áreiðanleika persónuupplýsinga kvartanda með því að afla þeirra að meginstefnu til frá opinberum aðilum og veita kvartanda færi á að tjá sig um efni þeirra áður en af skráningu í gagnagrunninn varð. Að þessu virtu telur Persónuvernd verða að leggja til grundvallar að lögmætir hagsmunir Keldunnar af vinnslunni vegi þyngra en hagsmunir eða grundvallarréttindi og frelsi [barns] kvartanda sem krefjast verndar persónuupplýsinga.

23. Samkvæmt framangreindu er það mat Persónuverndar að söfnun og skráning Keldunnar á persónuupplýsingum um [barn] kvartanda í PEP-gagnagrunn félagsins hafi verið heimil á grundvelli vinnsluheimildar 6. tölul. 9. gr. laga nr. 90/2018 og f-liðar 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Einnig er það mat Persónuverndar, með vísan til framangreinds, að vinnslan hafi verið í samræmi við meginreglur 1. og 3. tölul. 1. mgr. 8. gr. laganna og a- og c-liðar 1. mgr. 5. gr. reglugerðarinnar.

24. Með vísan til alls þess sem að framan greinir er það niðurstaða Persónuverndar að Keldunni hafi verið heimilt að safna og skrá persónuupplýsingar [barns] kvartanda í PEP-gagnagrunn félagsins, samkvæmt lögum nr. 90/2018 og reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Söfnun og skráning Keldunnar ehf. á persónuupplýsingum um [B] í PEP-gagnagrunn félagsins var heimil samkvæmt lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðarinnar (ESB) 2016/679.

Persónuvernd, 2. október 2025

Árnína Steinunn Kristjánsdóttir

varaformaður

Gunnar Ingi Ágústsson

Thor Aspelund