Lög um persónuvernd og meðferð persónuupplýsinga I. kafli . Skilgreiningar . Skrá : Sérhvert skipulagsbundið safn persónuupplýsinga þar sem finna má upplýsingar um einstaka menn . Vinnsluaðili : Sá sem vinnur persónuupplýsingar á vegum ábyrgðaraðila . Samþykki : Sérstök , ótvíræð yfirlýsing sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar , hvernig hún fari fram , hvernig persónuvernd verði tryggð , um að honum sé heimilt að afturkalla samþykki sitt o.s.frv. 8 . Upplýsingar um heilsuhagi , þar á meðal um erfðaeiginleika , lyfja - , áfengis - og vímuefnanotkun . 3. gr . 4. gr . Að því marki sem það er nauðsynlegt til að samræma sjónarmið um rétt til einkalífs annars vegar og tjáningarfrelsis hins vegar má víkja frá ákvæðum laganna í þágu fjölmiðlunar , lista eða bókmennta . Þegar persónuupplýsingar eru einvörðungu unnar í þágu fréttamennsku eða bókmenntalegrar eða listrænnar starfsemi gilda aðeins ákvæði 4. gr. , 1. og 4. tölul. 7. gr. , 11. – 13. gr. og 24. , 28. , 42. og 43. gr. laganna . 6. gr . Landfræðilegt gildissvið . [ Lögin gilda um vinnslu persónuupplýsinga á vegum ábyrgðaraðila sem hefur staðfestu hér á landi , enda fari vinnsla persónuupplýsinganna fram á Evrópska efnahagssvæðinu eða í landi eða á stöðum sem Persónuvernd auglýsir í Stjórnartíðindum . 1 ) 1 ) L. 90 / 2001 , 1. gr. II. kafli . Rafræn vöktun staðar þar sem takmarkaður hópur fólks fer að jafnaði um er heimil sé hennar sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram . [ Persónuvernd getur heimilað vinnslu persónuupplýsinga í öðrum tilvikum en greinir í 1. og 2. mgr. ef sýnt þykir að brýnir almannahagsmunir eða hagsmunir einstaklinga , þar með taldir hagsmunir hins skráða , krefjist þess . Skal þá ótvírætt að þörfin fyrir vinnsluna vegi þyngra en tillitið til þess að hún fari ekki fram . Getur Persónuvernd bundið slík leyfi þeim skilyrðum sem hún metur nauðsynleg hverju sinni til að tryggja hagsmuni hins skráða . ] 1 ) 1 ) L. 90 / 2001 , 3. gr. 9. gr. [ Sérstök skilyrði fyrir vinnslu viðkvæmra persónuupplýsinga . ] 1 ) [ Vinnsla viðkvæmra persónuupplýsinga er óheimil nema uppfyllt sé eitthvert af skilyrðum 1. mgr. 8. gr. og enn fremur eitthvert af eftirfarandi skilyrðum : ] 1 ) 1. hinn skráði samþykki vinnsluna ; 2. sérstök heimild standi til vinnslunnar samkvæmt öðrum lögum ; 3. ábyrgðaraðila beri skylda til vinnslunnar samkvæmt samningi aðila vinnumarkaðarins ; 4. vinnslan sé nauðsynleg til að verja verulega hagsmuni hins skráða eða annars aðila sem ekki er sjálfur fær um að gefa samþykki sitt skv. 1. tölul. ; 5. vinnslan sé framkvæmd af samtökum sem hafa stéttarfélagsleg markmið eða af öðrum samtökum sem ekki starfa í hagnaðarskyni , svo sem menningar - , líknar - , félagsmála - eða hugsjónasamtökum , enda sé vinnslan liður í lögmætri starfsemi samtakanna og taki aðeins til félagsmanna þeirra eða einstaklinga sem samkvæmt markmiðum samtakanna eru , eða hafa verið , í reglubundnum tengslum við þau ; slíkum persónuupplýsingum má þó ekki miðla áfram án samþykkis hins skráða ; 6. vinnslan taki einungis til upplýsinga sem hinn skráði hefur sjálfur gert opinberar ; 7. vinnslan sé nauðsynleg til að krafa verði afmörkuð , sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja ; 8. vinnslan sé nauðsynleg vegna læknismeðferðar eða vegna venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu , enda sé hún framkvæmd af starfsmanni heilbrigðisþjónustunnar sem bundinn er þagnarskyldu ; 9. vinnslan sé nauðsynleg vegna tölfræði - eða vísindarannsókna , enda sé persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á . Persónuvernd getur heimilað vinnslu viðkvæmra persónuupplýsinga í öðrum tilvikum en greinir í 1. mgr. telji hún brýna almannahagsmuni mæla með því . 1 ) L. 90 / 2001 , 4. gr. 10. gr . Beita skal ráðstöfunum sem tryggja nægilegt öryggi miðað við áhættu af vinnslunni og eðli þeirra gagna sem verja á , með hliðsjón af nýjustu tækni og kostnaði við framkvæmd þeirra . 299 / 2001 . Það skal þó eigi fara fram sjaldnar en árlega . 2 ) 1 ) Rgl . Þar skal m.a. koma fram að vinnsluaðila sé einungis heimilt að starfa í samræmi við fyrirmæli ábyrgðaraðila og að ákvæði laga þessara um skyldur ábyrgðaraðila gildi einnig um þá vinnslu sem vinnsluaðili annast . Getur Persónuvernd t.d. í auglýsingu í Stjórnartíðindum áskilið að slíkur samningur innihaldi stöðluð ákvæði sem séu í samræmi við ákvörðun framkvæmdastjórnar Evrópubandalagsins . Sama á við þegar ábyrgðaraðili hefur staðfestu í ríki á Evrópska efnahagssvæðinu en vinnsluaðili ekki fari vinnslan fram í landi eða á stöðum sem upp eru taldir í auglýsingu sem Persónuvernd gefur út . ] 1 ) 1 ) L. 90 / 2001 , 7. gr. 14. gr . Greiðsla kostnaðar . Réttur til rökstuðnings . 17. gr . Upplýsingaréttur hins skráða . Réttur hins skráða til að fá vitneskju skv. 18. gr. nær ekki til upplýsinga sem einvörðungu eru notaðar til tölfræðivinnslu eða vísindarannsókna , enda geti vinnsla þeirra ekki haft bein áhrif á hagsmuni hans . Þótt gögn séu undanþegin upplýsingarétti hins skráða skv. 3. mgr. getur hann óskað greinargerðar um efnislegt innihald þeirra , útdráttar eða annars konar samantektar nema hann geti kynnt sér staðreyndir málsins með öðrum hætti . Fræðsluskyldan hvílir á ábyrgðaraðila , eða eftir atvikum vinnsluaðila , en fellur brott hafi hinn skráði þegar fengið vitneskju um þessi atriði . Þegar persónuupplýsingum er safnað frá öðrum en hinum skráða skal ábyrgðaraðili samtímis gera hinum skráða viðvart og skýra honum frá þeim atriðum sem talin eru í 2. mgr. 16. gr . Ef fyrir liggur sértæk ákvörðun sem að öllu leyti er byggð á rafrænni vinnslu persónuupplýsinga getur sá sem ákvörðunin beinist að krafist rökstuðnings fyrir niðurstöðunni . 24. gr . Ef skráðar hafa verið persónuupplýsingar sem eru rangar , villandi eða ófullkomnar , eða persónuupplýsingar hafa verið skráðar án tilskilinnar heimildar , skal ábyrgðaraðili sjá til þess að upplýsingarnar verði leiðréttar , þeim eytt eða við þær aukið ef umræddur annmarki getur haft áhrif á hagsmuni hins skráða . Málefnaleg ástæða til varðveislu upplýsinga getur m.a. byggst á fyrirmælum í lögum eða á því að ábyrgðaraðili vinni enn með upplýsingarnar í samræmi við upphaflegan tilgang með söfnun þeirra . Ef fyrir liggur sértæk ákvörðun í skilningi 9. tölul. 2. gr. , sem að öllu leyti hefur byggst á sjálfvirkri vinnslu persónuupplýsinga , getur sá sem ákvörðun beinist að , eða mál varðar beinlínis með öðrum hætti , krafist þess að fá ákvörðunina handunna , enda sé um að ræða ákvörðun sem varðar persónulega hagi eða eiginleika hans og hefur verulega þýðingu fyrir hann . Eigi andmælin rétt á sér er ábyrgðaraðila óheimil frekari vinnsla umræddra upplýsinga . Skylt er að nafn ábyrgðaraðila komi fram á áberandi stað á útsendum markpósti og hvert þeir sem andmæla því að fá slíkan markpóst og marksímtöl geti snúið sér . Þetta á þó aðeins við ef : 1. ekki telst vera um afhendingu viðkvæmra persónuupplýsinga að ræða , 2. hinum skráðu hefur , áður en afhending fer fram , verið gefinn kostur á að andmæla því , hverjum fyrir sitt leyti , að upplýsingar um viðkomandi birtist á hinni afhentu skrá , 3. slíkt fer ekki gegn reglum eða samþykktum viðkomandi félags , 4. ábyrgðaraðili kannar hvort einhver hinna skráðu hefur komið andmælum á framfæri við Hagstofuna , sbr. 2. mgr. , og eyðir upplýsingum um viðkomandi áður en hann lætur skrána af hendi . 1 ) 1 ) L. 90 / 2001 , 8. gr. V. kafli . Ríki sem framfylgir tilskipun Evrópusambandsins 95 / 46 / ESB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálst flæði slíkra upplýsinga telst fullnægja skilyrðum 1. mgr. [ Sama á við um lönd eða staði sem Persónuvernd auglýsir í Stjórnartíðindum að virtum ákvörðunum framkvæmdastjórnar Evrópubandalagsins . ] 1 ) Við mat á því hvort ríki sem ekki framfylgir tilskipun 95 / 46 / ESB fullnægi skilyrðum 1. mgr. skal m.a. líta til reglna viðkomandi ríkis um meðferð persónuupplýsinga , reglna um góða viðskiptahætti og þeirra öryggisráðstafana sem viðhafðar eru hjá viðtakanda . Þá skal taka mið af því hvort viðkomandi ríki hafi fullgilt samning Evrópuráðsins nr. 108 frá 28. janúar 1981 , um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga . 1 ) L. 90 / 2001 , 9. gr. 30. gr . Slíkt er háð því að ábyrgðaraðili hafi , að mati stofnunarinnar , veitt nægilegar tryggingar fyrir slíku . Sérhver ábyrgðaraðili sem beitir rafrænni tækni við vinnslu persónuupplýsinga , sbr. 8. gr. og 1. mgr. 9. gr. , skal á þar til gerðu formi tilkynna Persónuvernd um vinnsluna tímanlega áður en hún hefst . Persónuvernd getur einnig mælt fyrir um ráðstafanir til að draga úr óhagræði sem slík vinnsla persónuupplýsinga kann að hafa í för með sér fyrir hinn skráða . 1 ) Rgl . 90 / 2001 , sbr. 170 / 2001 . 32. gr . Efni tilkynninga . Í tilkynningu til Persónuverndar skv. 31. gr. skal tilgreina eftirfarandi atriði : 1. nafn og heimilisfang ábyrgðaraðila og eftir atvikum fulltrúa hans , sbr. 6. gr. ; 2. hver ber daglega ábyrgð á að uppfylla skyldur ábyrgðaraðila ; 3. tilgang vinnslunnar ; 4. skilgreiningu og aðra lýsingu á þeim tegundum upplýsinga sem notaðar verða við vinnslu ; 5. hvert upplýsingarnar eru sóttar ; 6. þá heimild sem stendur til söfnunar upplýsinganna ; 7. hverjum upplýsingarnar verða afhentar ; 8. hvort ráðgert sé að flytja persónuupplýsingarnar úr landi ; 9. hvort ráðgert sé að birta upplýsingarnar á netinu ; 10. hvaða öryggisráðstafanir verða viðhafðar í vinnslunni ; 11. hvort og hvenær persónuupplýsingum eða persónuauðkennum verði eytt . Persónuvernd getur sett nánari fyrirmæli 1 ) um form og efni tilkynninga og um framkvæmd tilkynningarskyldunnar að öðru leyti . 1 ) Rgl . 90 / 2001 . 90 / 2001 , sbr. 170 / 2001 . 2 ) Rgl . 170 / 2001 . 35. gr . Ábyrgðaraðili eða fulltrúi hans skal votta rétta undirskrift starfsmanns og dagsetningu slíkrar yfirlýsingar og koma til Persónuverndar innan tilskilins frests . 36. gr . Hæstiréttur tilnefnir einn stjórnarmann og Skýrslutæknifélag Íslands annan og skal hann vera sérfróður á sviði tölvu - og tæknimála . Forstjóri situr fundi stjórnar með málfrelsi og tillögurétti . 37. gr . 1 ) Persónuvernd getur fjallað um einstök mál að eigin frumkvæði eða samkvæmt erindi þess sem telur að ekki hafi verið unnið með persónuupplýsingar um hann í samræmi við lög þessi og reglur sem settar eru samkvæmt þeim eða einstökum fyrirmælum . Verkefni Persónuverndar eru m.a. eftirfarandi : 1. að afgreiða leyfisumsóknir , taka við tilkynningum og mæla , eftir því sem þurfa þykir , fyrir um ráðstafanir að því er varðar tækni , öryggi og skipulag vinnslunnar þannig að hún verði í samræmi við ákvæði laganna , 2. að hafa eftirlit með því að farið sé að lögum og öðrum reglum um vinnslu persónuupplýsinga og að bætt sé úr annmörkum og mistökum , 3. að fylgjast með almennri þróun á sviði persónuupplýsingaverndar á innlendum og erlendum vettvangi og hafa yfirsýn yfir og kynna helstu álitaefni sem tengjast vinnslu persónuupplýsinga , 4. að skilgreina og afmarka hvar persónuvernd er hætta búin og veita ráð um leiðir til lausnar , 5. að leiðbeina þeim sem ráðgera að vinna með persónuupplýsingar , eða þróa kerfi fyrir slíka vinnslu , um persónuvernd , þar á meðal með því að aðstoða við gerð starfs - og siðareglna fyrir einstaka hópa og starfsstéttir , 2 ) 6. að tjá sig , samkvæmt beiðni eða að eigin frumkvæði , um álitaefni varðandi meðferð persónuupplýsinga og veita umsagnir við setningu laga og annarra reglna sem þýðingu hafa fyrir persónuvernd , 7. að birta árlega skýrslu um starfsemi sína . Persónuvernd getur ákveðið að ábyrgðaraðili skuli greiða þann kostnað sem hlýst af eftirliti með því að hann fullnægi skilyrðum laga þessara og reglna sem settar eru samkvæmt þeim eða einstökum fyrirmælum . Persónuvernd getur einnig ákveðið að ábyrgðaraðili greiði kostnað við úttekt á starfsemi við undirbúning útgáfu vinnsluleyfis og annarrar afgreiðslu . 1 ) L. 90 / 2001 , 11. gr. 2 ) Augl. 1001 / 2001 . Persónuvernd hefur í eftirlitsstörfum sínum án dómsúrskurðar aðgang að húsnæði þar sem vinnsla persónuupplýsinga fer fram eða gögn eru varðveitt , þar á meðal stöðum þar sem varðveittar eru skrár , myndir , sbr. 4. gr. , persónuupplýsingar sem lúta rafrænni vinnslu , og tæki til slíkrar vinnslu . Ákvæði um þagnarskyldu standa því ekki í vegi að Persónuvernd veiti persónuverndarstofnunum erlendis upplýsingar þegar slíkt er nauðsynlegt til að hún eða hin erlenda persónuverndarstofnun geti ákveðið eða framkvæmt aðgerðir til að tryggja persónuvernd . Sinni aðili ekki fyrirmælum Persónuverndar skv. 1. mgr. getur hún afturkallað leyfi sem hún hefur veitt samkvæmt ákvæðum laga þessara þar til úr hefur verið bætt að hennar mati . Dagsektir renna í ríkissjóð og má án undangengins dóms gera aðför til fullnustu þeirra . 43. gr . Lagatengsl , gildistaka o.fl. 44. gr . Reglugerðir um einstaka flokka starfsemi . Þá skal mælt fyrir um í hvaða tilvikum og með hvaða hætti hinn skráði á rétt til aðgangs að persónuupplýsingum sem skráðar hafa verið um hann hjá lögreglu , svo og heimild lögreglu til miðlunar upplýsinga í öðrum tilvikum . 2 ) Rg. 322 / 2001 . Ákvæði til bráðabirgða . Leyfi sem tölvunefnd hefur gefið út skulu halda gildi , enda fari þau ekki í bága við lög þessi .