Stutt svar
Einstaklingur sem telur persónuupplýsingar sínar rangar, birtar án heimildar, notaðar í markaðssetningu, óvarðar eða teknar upp með vöktun á fyrst að beina skýrri beiðni til þess sem ákveður tilgang og aðferðir vinnslunnar. Sá ábyrgðaraðili þarf almennt að svara innan mánaðar. Hann getur þurft að veita aðgang, leiðrétta, takmarka, eyða, stöðva markaðssetningu eða skýra heimild og öryggi vinnslunnar.
Ef svarið leysir ekki málið má kvarta til Persónuverndar. Stofnunin getur rannsakað, úrskurðað um brot, fyrirskipað leiðréttingu, eyðingu, tilkynningu eða stöðvun og lagt á stjórnvaldssekt. Hún dæmir hins vegar ekki einstaklingi skaðabætur. Bótakrafa og krafa um endurskoðun ákvörðunar Persónuverndar fara fyrir dómstóla.
Niðurstaðan ræðst alltaf af samhengi. Opinber birting getur varðað bæði persónuvernd og tjáningarfrelsi. Aðgangur má ekki raska réttindum annarra. Opinbert skjal verður stundum ekki eytt þótt það sé umdeilt, heldur tengist athugasemd við það. Lögmætir hagsmunir geta borið afmarkaða markaðssetningu, en sértæk andmæli gegn beinni markaðssetningu stöðva frekari notkun.
Rétt úrræði fer því eftir markmiðinu.
Þrjú stig úrræða
Fyrsta stigið er bein réttindabeiðni til ábyrgðaraðila. Beiðnin ætti að auðkenna einstaklinginn og vinnsluna og segja nákvæmlega hvað óskað er: aðgang, afrit, uppruna, leiðréttingu, eyðingu, takmörkun eða stöðvun. Svar skal almennt berast innan mánaðar. Vegna fjölda eða flækjustigs má framlengja um allt að tvo mánuði, en ábyrgðaraðili þarf að tilkynna framlenginguna og ástæðu hennar innan fyrsta mánaðarins.
Annað stigið er kvörtun til Persónuverndar. segja:
„Sérhver skráður einstaklingur eða fulltrúi hans hefur rétt til að leggja fram kvörtun hjá Persónuvernd ef hann telur að vinnsla persónuupplýsinga um hann [...] brjóti í bága við reglugerðina eða ákvæði laga þessara.“
—
Persónuvernd ákveður hvort kvörtun gefi nægar ástæður til rannsóknar og getur einnig tekið mál upp að eigin frumkvæði. Hún getur krafist gagna, gert úttekt, veitt áminningu, fyrirskipað að beiðni verði sinnt, takmarkað eða bannað vinnslu og fyrirskipað leiðréttingu eða eyðingu. Ákvörðun hennar og málsmeðferð má bera undir dómstóla.
Þriðja stigið er dómsmál. Dómstóll getur endurskoðað stjórnvaldsákvörðun og dæmt bætur. Þessi úrræði hafa ólíkan tilgang: fyrirmæli stöðva eða laga vinnslu, stjórnvaldssekt hefur varnaðar- og refsilegt hlutverk og rennur í ríkissjóð, en skaðabætur bæta sannað tjón einstaklings.
Opinber birting vegur friðhelgi gegn tjáningu
Að setja nafn, mynd, lögregluskjal, heilsugagn eða ásökun á opinn vef er vinnsla persónuupplýsinga. Birting þarf vinnsluheimild og að standast lögmæti, sanngirni, gagnsæi, gagnalágmörkun og meðalhóf. Viðkvæm gögn, svo sem heilsa, stjórnmálaskoðun eða kynlíf, þurfa auk þess sérstakt skilyrði samkvæmt 9. gr. GDPR.
Persónuvernd sker þó ekki sjálfkrafa úr öllum deilum um ummæli á netinu. Tjáningarfrelsi samkvæmt 73. gr. stjórnarskrár og 10. gr. mannréttindasáttmála Evrópu þarf að vega gegn friðhelgi samkvæmt 71. gr. og 8. gr. sáttmálans. Dómstólar skera almennt úr mörkum skoðana og friðhelgi, en Persónuvernd getur metið vinnslu hlutlægt sannreynanlegra gagna.
Í fylgdu ljósmyndir af lögregluskýrslum og bréfum opinni Facebook-færslu. Stofnunin vísaði frá þeim hluta sem laut að skoðunum í textanum, en tók afstöðu til skjalamyndanna. Birting viðkvæmra upplýsinga úr óopinberu sakamáli stóðst ekki hagsmunamat, og ábyrgðaraðilanum var fyrirskipað að fjarlægja myndirnar.
Birting hjá stjórnvaldi, fjölmiðli eða einstaklingi verður því ekki lögmæt bara vegna þess að málefnið vekur áhuga. Meta þarf tengsl birtanda við málið, hvort staðreyndirnar séu þegar opinberar, framlag til almennrar umræðu, eðli gagnanna, væntingar hins skráða og hvort hægt sé að ná markmiðinu með nafnleynd eða minni upplýsingum.
Aðgangur og leiðrétting eru ekki sami réttur
Aðgangsréttur samkvæmt 15. gr. GDPR veitir staðfestingu á því hvort gögn séu unnin, afrit af persónuupplýsingunum og upplýsingar um tilgang, flokka, viðtakendur, varðveislu, réttindi og uppruna. Hann er ekki sjálfkrafa réttur til allra frumskjala í heild. Afrit má ekki skerða réttindi og frelsi annarra; stundum þarf að afmá gögn þriðja manns eða veita persónuupplýsingarnar á öðru formi.
Leiðrétting samkvæmt 16. gr. tekur til rangra staðreynda og þess að fullgera ófullkomnar upplýsingar. Matskennd færsla verður ekki endilega „röng“ bara vegna þess að hinn skráði er ósammála, en ábyrgðaraðili þarf að skrá sjónarmið sanngjarnt og tryggja að gögn gefi ekki villandi mynd.
Í vildi maður leiðrétta matskenndar upplýsingar í gögnum sveitarfélags. Opinber skjalavarsla bannaði eyðingu eða breytingu frumskjalanna. Kópavogsbær bauð honum þess í stað að leggja fram dagsetta greinargerð sem yrði tengd gögnunum. Persónuvernd taldi þá leið uppfylla leiðréttingarskylduna. Rétturinn getur þannig tryggt heildstæða skrá án þess að sögulegu frumskjali sé eytt.
Bein markaðssetning stöðvast við sértæk andmæli
Vinnsla almennra samskiptaupplýsinga í markaðssetningu getur stundum byggst á lögmætum hagsmunum. Það þarf samt hagsmunamat, gagnsæi, gagnalágmörkun og auðvelda leið til andmæla. Fyrir tölvupóst, SMS og símasölu gilda líka sérreglur fjarskiptalaga; Fjarskiptastofa fer með þann hluta eftirlitsins.
GDPR veitir sérstaklega sterkan andmælarétt:
„Þegar persónuupplýsingar eru unnar í þágu beinnar markaðssetningar skal skráði einstaklingurinn hvenær sem er eiga rétt á að andmæla vinnslu [...] Ef hinn skráði andmælir [...] skal ekki vinna persónuupplýsingarnar frekar í slíkum tilgangi.“
—
Í taldi Persónuvernd afmarkaða kynningu gagnvart fyrirliggjandi viðskiptamanni geta byggst á lögmætum hagsmunum þrátt fyrir almenna bannmerkingu í símaskrá. Það er ekki heimild til að hunsa sértæk andmæli sem viðkomandi sendir ábyrgðaraðilanum sjálfum. Eftir slík andmæli má ekki halda áfram beinni markaðssetningu. Stofnunin framsendi jafnframt Fjarskiptastofu þann þátt sem laut að bannmerkingu símanúmers.
Fyrirtæki þarf því að samræma miðlæga bannskrá, símaskrármerkingu, eigin afskráningarlista og samþykki þar sem þess er krafist. Afskráning þarf að virka hjá söluaðilum og vinnsluaðilum, ekki aðeins í einu póstkerfi.
Vöktun þarf að vera þrengri en sjónsvið tækninnar
Myndavél, GPS eða önnur rafræn vöktun þarf skýran og málefnalegan tilgang, sérstaka þörf, vinnsluheimild, sýnilega viðvörun og ítarlegri fræðslu. krefjast þess að vægari raunhæf úrræði séu prófuð og að umfang, sjónsvið, gagnamagn, aðgangur og varðveisla fari ekki lengra en brýn nauðsyn ber til.
Í náðu myndavélar fyrirtækis yfir svæði annarra og almannafæri. Vægari lausnir eins og skygging eða breytt sjónarhorn höfðu ekki verið metnar og merkingar tilgreindu ekki ábyrgðaraðila nægilega. Persónuvernd fyrirskipaði að vöktun utan eigin svæðis yrði stöðvuð og merkingar lagaðar. Atvikin lutu að eldri reglum, en sömu kjarnakröfur um meðalhóf og fræðslu eru skýrari í núgildandi reglum nr. 50/2023.
Öryggisbrestur krefst áhættumats, ekki feluleiks
Öryggisbrestur er ekki aðeins tölvuinnbrot. Hann getur verið rangur viðtakandi, opinn hlekkur, glatað tæki, óheimill aðgangur, eyðing eða breyting gagna. Ábyrgðaraðili þarf að stöðva brest, varðveita staðreyndir, meta eðli gagna, fjölda fólks, líklegar afleiðingar og möguleika á misnotkun og skrá atvikið og viðbrögðin.
Persónuvernd skal tilkynnt án ótilhlýðilegrar tafar og, ef hægt er, innan 72 klukkustunda frá því ábyrgðaraðili verður brests var, nema ólíklegt sé að hann leiði til áhættu fyrir réttindi og frelsi. Ef mikil áhætta er líkleg þarf almennt einnig skýra tilkynningu til einstaklinganna sjálfra. Seinkun þarf að rökstyðja. Að tilkynna leysir ábyrgðaraðila ekki undan skyldunni til að hafa fyrirbyggjandi tæknilegar og skipulagslegar ráðstafanir.
Í voru upplýsingar um líðan, námsárangur og félagslegar aðstæður 18 barna ranglega sendar 57 viðtakendum. Skólinn tilkynnti samdægurs, óskaði eyðingar og hafði samband við forráðamenn. Þau góðu viðbrögð vógu til mildunar, en vörnin fyrirfram var ófullnægjandi og sektin varð 1,3 milljónir króna.
Skaðabætur þarf að sækja fyrir dómi
Samkvæmt 82. gr. GDPR á sá sem verður fyrir eignatjóni eða óefnislegu tjóni vegna brots rétt á bótum frá ábyrgðaraðila eða vinnsluaðila eftir ábyrgðarreglum greinarinnar. Brot eitt og sér, fyrirmæli Persónuverndar eða stjórnvaldssekt ákvarðar þó ekki sjálfkrafa bótafjárhæð. Stefnandi þarf að sýna tjón og orsakatengsl, og dómstóll metur sönnun og ábyrgð.
Í hafði læknir ólöglega notað upplýsingar úr sjúkraskrá. Hæstiréttur taldi óumdeilt að það hefði valdið ófjárhagslegu tjóni, en lagði áherslu á sönnun tjóns og að sama tjón yrði ekki tvíbætt. Bætur í því máli voru ákveðnar 200.000 krónur; 300.000 krónur höfðu áður verið dæmdar í öðru, óáfrýjuðu máli vegna birtingar sömu upplýsinga.
Dómurinn féll fyrir GDPR og byggði á eldri persónuverndarlögum og 26. gr. skaðabótalaga. Fjárhæðirnar eru því ekki núgildandi „taxti“. Málið sýnir hins vegar áfram mikilvægi þess að varðveita gögn um áhrif brots: hverjir fengu upplýsingarnar, hversu lengi þær voru aðgengilegar, hvaða misnotkun varð, útlagðan kostnað, tekjutap, heilsufarsleg áhrif og aðgerðir til að draga úr tjóni.
Hagnýt viðbragðsleið
Einstaklingur ætti að vista birtingu eða samskipti með dagsetningu, senda ábyrgðaraðila afmarkaða skriflega beiðni og varðveita svar og tæknilegar upplýsingar. Fyrirtæki ætti að staðfesta móttöku, stöðva eyðingu viðeigandi atvikagagna, greina kerfi og vinnsluaðila, virkja persónuverndarfulltrúa og svara hverjum lið með heimild, niðurstöðu og kæruleið.
Kvörtun til Persónuverndar ætti að innihalda beiðnina, svarið, tímalínu, skjáskot eða önnur gögn og skýra lýsingu á því hvaða réttur var ekki virtur. Ef krafist er bóta þarf að undirbúa sérstaka sönnun tjóns og leita eftir atvikum lögfræðiráðgjafar um dómsmál og fyrningu.
Niðurstaða
Íslenskt persónuverndarkerfi veitir bæði skjót réttindi gagnvart ábyrgðaraðila, öflugt stjórnsýslueftirlit og dómsúrræði. Rétta leiðin ræðst af markmiðinu: aðgangur og leiðrétting byrja hjá ábyrgðaraðila, stöðvun og sekt geta komið frá Persónuvernd, en bætur koma aðeins með samkomulagi eða dómi. Birting, markaðssetning, vöktun og öryggisbrestur lúta sömu grunnhugsun—skýrum tilgangi, minnstu nauðsynlegu vinnslu, gagnsæi og raunhæfri ábyrgð þegar eitthvað fer úrskeiðis.
Heimildir
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.