Personupplýsingar og dátuvernd - ein innleiðsla í dátuverndarrættin
Eftir John Nolsøe Olsen í miðnámsrit 20, oktober 2020
Dátuvernd í samfelagnum
Øll hava eina fatan av, at summar upplýsingar eru privatar, meðan aðrar kunnu nógv ella øll fáa atgongd til. Her verður skilt í millum alment og privat. Tað kann vera trupult at gera av, hvussu hesi bæði skulu skiljast at, tí vit hava ymiska fatan, og mørkini flyta seg við samfelagsligu og tøkniligu menningini. Modernaða kunningartøknin hevur skert ta privatu sferuna, har møguleiki er fyri at hava eftirlit og halda eyga við borgaranum. Privatlívið er hótt á sama hátt sum umhvørvið.[i] Charles Jennings lýsir hetta væl:
Privacy is a lot like clean air. There was plenty of both once, but technology has made each considerably less plentiful.[ii]
Dátuverndarrætturin ella persónupplýsingarrætturin inniheldur rættarligar reglur um persónupplýsing við atliti at privatlívi. Í Føroyum hevur persónupplýsingarlógin[iii] regulerað hetta økið síðani 1. januar 2002.
Tað eru ymiskar hugsanir um, hvat dátuvernd er. Sambært ognarhugtakinum “eigur” einstaklingurin upplýsingar um seg sjálvan. Hetta sjónarmið hevur tó ikki vunnið serligan frama í Evropa, har siðvenjan hevur lagt dent á ræðisrættin á persónupplýsingum. Í GDPR (General Data Protection Regulation)[iv], præambel nr. 2, stendur:
Principperne og reglerne for beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger bør, uanset deres nationalitet eller bopæl, respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.
Dátuvernd snýr seg um menniskju og upplýsingar um tey. Í Føroyum er sama siðvenja, sum sæst í verandi persónupplýsingarlóg, sum sigur, at lógin hevur til endamáls, at
tryggja persónsvernd hins einstaka, tá persónupplýsingar verða viðgjørdar, soleiðis at persónupplýsingar verða viðgjørdar við virðing fyri tí persónliga frælsinum og heimafriðinum og grundað á persónupplýsingar við høgari góðsku.[v]
Dátuverndarrætturin hevur til endamáls at verja upplýsingar um ein og hvønn likamligan persón. Einstaklingurin – persónurin – er í miðdeplinum.[vi] Hesin likamligi persónurin verður nevndur “tann skrásetti”. Endamálið við dátuverndini er at forða fyri, at persónupplýsingar verða misnýttar. Tann skrásetti kann vera ein næmingur, sum skúlin viðger upplýsingar um, ella ein umsøkjari til starv, sum ein stjóri viðger umsóknina hjá.
Dátuvernd hongur saman við rættinum til privatlív, sum vit kenna frá § 72 í grundlógini, sum ásetir, at bústaðurin er friðhalgaður, og at húsarannsókn (t.e. at leggja hald á ognir, kanna brøv og onnur pappír, bróta post-, telegraf- og telefonloyndarmál) bert kann fara fram sambært dómi. Rætturin til privatlív víkir bert fyri dómi ella serstøkum lógligum undantaki.
The European Convention on Human Rights, Article 8, sum eitur “Right to respect for private and family life, home and correspondence”, sum hevur privatlív í fokus, nevnir nágreiniliga “data protection”. Ofta verður tosað um data protection og right to privacy sum tað sama, tí í okkara modernaða samfelagi hanga hesi hugtøk nú óloysiliga saman.
Tann 4. juni 2020 samtykti løgtingið uppskot um lóg um vernd av persónupplýsingum, nevnd “dátuverndarlógin”, sum kemur í gildi 1. januar 2021 í staðin fyri verandi persónupplýsingarlóg. Dátuverndarlógin er eitt tillagað avrit av GDPR (General Data Protection Regulation), sum er ein evropeisk fyriskipan (forordning), sum kom í gildi í ES, 25. mai 2018. Dátuverndarlógin skal regulera hetta økið í Føroyum.[vii]
Henda grein er ætlað sum innleiðsla til dátuverndarrættin og komandi dátuverndarlóg, men er avmarkað til ávís grundhugtøk og dømi, sum eru ætlað at geva lesaranum eina praktiska fatan av grundhugtøkunum innan dátuverndarrættin.
Dátuábyrgdari og dátuviðgeri
Ein dátuábyrgdari kann vera ein likamligur ella løgfrøðiligur persónur (t.d. partafelag), ein almennur myndugleiki, ein stovnur ella ein onnur eind, sum eina ella saman við øðrum ger av, til hvørji endamál og við hvørjum hjálpitólum persónupplýsingar kunnu viðgerast. Dátuábyrgdarin er tann, sum hevur ábyrgdina av viðgerðini, sum ræður yvir persónupplýsingunum, og sum ger av, hvussu hesar skulu viðgerast. Dátuábyrgdarin hevur eisini ábyrgdina av at viðgera persónupplýsingar á rættan og tryggan hátt.
Ein dátuviðgeri er ein likamligur ella løgfrøðiligur persónur, ein almennur myndugleiki, ein stovnur ella ein onnur eind, sum viðger persónupplýsingar vegna dátuábyrgdaran. Ein dátuviðgeri viðger ikki persónupplýsingarnar egna vegna og til egið endamál, men fyri dátuábyrgdaran, sum eisini hevur ábyrgdina mótvegis tí skrásetta. Tað kann vera ein, sum veitir servarar til ein skúla, og sum vegna skúlan goymir persónupplýsingar. Veitarin hevur ikki eitt sjálvstøðugt endamál at goyma upplýsingarnar, men ger tað vegna skúlan.
Hvat eru persónupplýsingar?
Ein og hvør upplýsing og meting, sum kann verða knýtt at einum ávísum likamligum persóni, er persónupplýsing, eisini um hetta er treytað av kunnleika um p-tal, nummarplátu, teldupost ella tílíkt. Upplýsingar í eini mynd ella einum fingramerki eru eisini persónupplýsingar.
Hóast ein upplýsing er bronglað (krypterað), er hon framvegis ein persónupplýsing, um kodan (krypteraða endaúrslitið) kann føra aftur til upprunaligu persónupplýsingingarnar. Upplýsingar, sum eru bronglaðar, eru persónupplýsingar, um onkur hevur lykilin til at týða bronglingina og soleiðis eyðmerkja persónar, sum annars vóru fjaldir av bronglingini.
Um ein persónupplýsing er pseudonymiserað, er hon framvegis ein persónupplýsing eftir lógini, tí har finst ein lykil, sum kann týða bronglaðu koduna. Um ein persónupplýsing er anonymiserað, finst eingin koda at týða koduna, og tá dettur persónupplýsingin út um lógina. Tó er pseudonymisering vanliga eitt gagnligt amboð fyri at tryggja trygd og trúnað.
Dátuverndarlógin skilir í millum viðkvæmar og vanligar persónupplýsingar. Vanligar persónupplýsingar eru:
- Navn
- Bústaður
- Telefonnummar
- Teldupostur
- P-tal (kann bert vera uppi í viðgerð, um serligar treytir eru loknar)
- Ein mynd (um persónur kennist aftur í myndini)
- Ljóðupptøka (hóast eingi nøvn eru nevnd í upptøkuni)
- Biometri (so sum: fingramerki, lithinnumynstur og andlitsafturkenning)
- Dynamiskar IP-adressur[viii]
- Nummarpláta á bili
- Upplýsingar um atferðarmynstur (hvat og hvar tú keypir, hvørjum sjónvarpsrøðum tú hyggur at, hvar tú fysiskt ferðast, og hvørjum tú leitar eftir á netinum)
- Samansettar upplýsingar, sum til samans eyðmerkja ein ávísan persón
Viðkvæmar upplýsingar eru:
- Húðarlitur
- Ættarslag ella etniskur uppruni
- Politisk sannføring
- Átrúnaðarlig sannføring
- Heimspekilig sannføring
- Yrkisfelagsligt tilknýti
- Ílegudátur
- Biometriskar dátur við tí endamáli eintýtt at eyðmerkja ein persón
- Heilsuupplýsingar
- Upplýsingar um kynslig viðurskifti
- Revsiverd viðurskifti
- Upplýsingar um munandi sosialar trupulleikar
- Onnur heilt privat viðurskifti
Bæði tá ið vanligar persónupplýsingar og viðkvæmar persónupplýsingar verða viðgjørdar, skulu meginreglur og viðgerðarreglur í lógini um heimild, trygd og trúnað fylgjast. Tó eru viðgerðarreglurnar viðvíkjandi viðkvæmum persónupplýsingum strangari.
Hvat fevnir “viðgerð” av persónupplýsingum um?
Viðgerð skal skiljast breitt. Øll nýtsla, so sum at savna, skráseta, samkoyra, goyma, geva víðari, avhenda ella sameina hetta, um hon er automatisk ella ei, er viðgerð. Automatisk viðgerð er at skilja sum elektronisk viðgerð. Hetta fevnir um eina og hvørja viðgerð av persónupplýsingum, t.e. ein og hvønn aktivitet, við ella uttan automatiska viðgerð, har persónupplýsingar verða savnaðar, skrásettar, skipaðar, samskipaðar, goymdar, tillagaðar, broyttar, endurfunnar, gjøgnumleitaðar, nýttar, latnar víðari, útbreiddar ella á annan hátt gjørdar tøkar, samanbornar ella samankoyrdar, avmarkaðar, strikaðar ella fyribeindar.[ix]
Nær kunnu persónupplýsingar viðgerast?
Dátuverndarlógin ásetir seks meginreglur, sum altíð skulu fylgjast, tá ið viðgerð fer fram:
- Lógligheit, rímiligheit og gjøgnumskygni
- Endamálsavmarking
- Dátuavmarking
- Rættleiki
- Goymsluavmarking
- Sjálvræðisrættur (integritetur) og trúnaður
Ein sjeynda meginregla er um ábyrgd, sum skal hugsast inn í hinar seks meginreglurnar.
Lógligheit
Ein og hvør viðgerð av persónupplýsingum skal vera lóglig. Ein dátuábyrgdari skal hava heimild í dátuverndarlógini til at viðgera persónligar upplýsingar hjá kundum og borgarum, t.d. við at útvega sær samtykki frá kundunum.
Rímiligheit
Viðgerð av persónupplýsingum hava atlit at áhugamálum og rímiligari væntan hjá teimum skrásettu, og hon skal vera gjøgnumskygd og skillig. Hon skal ikki vera loyndarfull ella villleiðandi. Upplýsingar skulu viðgerast trygt og við góðum dátuviðgerðarsiði.
Gjøgnumskygni
Viðgerð av persónupplýsingum skal vera greið. Tann skrásetti, sum persónupplýsingarnar eru um, skal kunnast um viðgerðina. Gjøgnumskygni skapar álit og kunnar skrásetta um rættindi, hann hevur. Hervið kann skrásetti varða um síni áhugamál.
Dátuábyrgdarar skulu geva viðskiftafólki sínum gjøgnumskygda kunning um, hvussu fyritøkan viðger persónligar upplýsingar. Hetta skal gerast í einum greiðum og týðiligum málburði, sum er orðaður til málbólkin.
Endamálsavmarking
Persónupplýsingar skulu bara viðgerast í samband við nágreinilig, tilskilað og lóglig endamál. Endamálið skal sostatt avmarkast. Hvørt endamál í sambandi við at viðgera persónupplýsingar skal eyðmerkjast og lýsast. Øll endamál skulu verða lýst soleiðis, at allir persónar, sum viðgerðin er um, hava somu fatan av, hvat persónupplýsingarnar skulu brúkast til. At endamálið skal vera lógligt, merkir, at tað, umframt at hava heimild, eisini skal vera í samsvari við aðrar etiskar og rættarligar reglur.
Persónupplýsingar kunnu ikki endurnýtast til onnur endamál enn upprunaliga endamálið. Endurnýtsla av persónupplýsingum at goyma í savni, sum hevur almennan áhuga, vísindalig ella søgulig granskingarendamál ella hagfrøðilig endamál, stríðir ikki ímóti upprunaligum viðgerðarendamáli, um viðgerðin hevur sett hóskandi trygdartiltøk í verk.
Dátuavmarking
Meginreglan um dátuavmarking merkir, at mongdin av innsavnaðum persónupplýsingum skal avmarkast til tað, sum er neyðugt fyri at lúka endamálið við innsavningini. Um samleikaupplýsingar ella persónupplýsingar ikki eru neyðugar til endamálið, talar meginreglan um dátuavmarking fyri, at hesar upplýsingar ikki verða innsavnaðar.
Rættleiki
Persónupplýsingar, sum verða viðgjørdar, skulu vera rættar. Upplýsingarnar skulu eisini dagførast, um tað er neyðugt. Hetta merkir, at dátuábyrgdarin hevur ábyrgd av beinanvegin at strika ella dagføra persónupplýsingar, sum eru skeivar, í samband við tey endamál, sum upplýsingarnar verða viðgjørdar.
Goymsluavmarking
Meginreglan um goymsluavmarking er, at persónupplýsingar skulu goymast soleiðis, at tær verða strikaðar ella anonymiseraðar, tá ið tær ikki longur eru neyðugar til tað endamálið, sum tær vórðu innsavnaðar til.
Sjálvræðisrættur og trúnaður
Persónupplýsingar skulu viðgerast á slíkan hátt, at sjálvræðisrætturin og trúnaðurin, ið er tengdur at upplýsingunum, verða vardir.
Ábyrgd
Meginreglan um ábyrgd undirstrikar ábyrgdina hjá dátuviðgeranum at bera seg at í samsvar við reglurnar um viðgerð av persónupplýsingum og at virka eftir góðum dátuviðgerðarsiði. Dátuviðgerin má vera forvirkin og seta øll neyðug fyriskipanarlig og tøknilig tiltøk í gildi fyri at tryggja, at gjørt verður eftir regluverkinum.
Dátuábyrgdarin skal kunna prógva, at gjørt verður eftir dátuverndarlógini. Dátuábyrgdarin eigur sostatt at kunna skjalprógva sínar gerðir fyri at prógva, at viðkomandi ger eftir meginreglunum í dátuverndarlógini. Hetta er eitt umfatandi krav, og má havast í huga, tá ið ræður um áður nevndu meginreglur.
Viðgerðarheimild
Umframt meginreglurnar er treyt, at viðgerð í hvørjum einstøkum føri hevur heimildargrundarlag, t.e. eitt lógligt grundarlag undir viðgerðini. Hetta verður nevnt viðgerðarheimild og er galdandi fyri viðgerð av vanligum og viðkvæmum upplýsingum. Hetta kann vera samtykki frá tí skrásetta ella heimild í lóg. Samtykki kann vera viðkomandi í eini verkætlan, har samrøður um heilsustøðu skulu gerast við heimildarfólk. Avtalur kunnu eisini vera heimildargrundarlag, t.d. um tú keypir eina vøru, og veitarin má hava tínar kontaktupplýsingar og bústað, um hann skal veita tær vøruna.
Dátuviðgerin hevur skyldu at upplýsa skrásetta um, hvørjum grundarlagi, t.e. við hvørji viðgerðarheimild teirra persónlýsingar verða viðgjørdar á.
Dømi um viðgerðargrundarlag:
- Samtykki
- Neyðugt fyri at halda eina avtalu
- Neyðugt fyri at lúka eina rættarliga skyldu
- Neyðugt fyri at verja lívsneyðug endamál
- Neyðugt fyri at greiða eina uppgávu, sum hevur almennan áhuga
- Neyðugt fyri at røkja heimilað áhugamál
Tann skrásetti hevur rættindi móti dátuábyrgdaranum. Tað eru rættindi hjá tí skrásetta, sum skulu verjast, og dátuábyrgdarin skal virða hesi rættindi. Endamálið við rættindunum er at skapa gjøgnumskygni fyri skrásetta um, nær persónupplýsingar verða viðgjørdar, og hvørjar upplýsingar verða viðgjørdar. Harumframt geva rættindini tí skrásetta ræði yvir egnum persónupplýsingum.
Dátuverndarlógin inniheldur eina røð av rættindum til skrásetta: rætt til innlit, rætt at móttaka upplýsingar við savnan av persónupplýsingum, rætt at átala og rætt at krevja upplýsingar rættaðar, strikaðar ella stongdar, rætt til dátuflutning og reglur um individuellar avgerðir, undir hesum profilering. Í hesi grein draga vit trý rættindi fram, nevniliga rætt til innlit, rætt til rætting og rætt til striking.
Rættur til innlit
Sum útgangsstøði hevur tú rætt at síggja tær persónupplýsingar, ið verða viðgjørdar um teg. Á henda hátt verður gjøgnumskygni tryggjað. Eisini hevur tú rætt til at fáa eitt avrit av hesum upplýsingum útflýggjað frá dátuábyrgdaranum fyri einki. Afturat tí hevur tú rætt til innlit í, hvussu upplýsingarnar verða viðfarnar, undir hesum, hvat endamálið við viðgerðini er, hvaðani upplýsingarnar stava, og hvussu leingi tær verða goymdar. Endamálið er, at skrásetti kann tryggja sær, at viðgerðin er lóglig.
Rættur til rætting
Tú hevur rætt til at fáa rættað skeivar upplýsingar um teg. Eisini hevur tú rætt til at fáa lagt afturat upplýsingum um teg, sum eru ófullfíggjaðar.
Rætturin at verða strikaður ella rætturin at verða gloymdur
Rætturin at verða strikaður verður eisini nevndur rætturin at verða gloymdur. Sum útgangsstøði hevur tú rætt til at krevja, at upplýsingar verða strikaðar, um ein av treytunum fyri hesum er lokin. Hetta kann t.d. vera, at endamálið við at viðgera tínar upplýsingar er rokkið ella ikki longur er viðkomandi. Hetta kann eisini vera, um viðgerðin er grundað á eitt samtykki frá tær, sum tú hevur tikið aftur.
Kæra
Skrásetti kann kæra til Dátueftirlitið, um viðkomandi ikki er nøgdur við, hvussu persónupplýsingar hjá viðkomandi verða viðgjørdar.
Trygdartiltøk
Dátuábyrgdari skal altíð syrgja fyri at verja persónupplýsingar við hóskandi trygdartiltøkum innan fyriskipanarliga trygd (t.d. mannagongdir um atgongd til persónupplýsingar), tekniska trygd (t.d. mannagongdir um nýtslu av teldum, forritum og fartelefonum) og fysiska trygd (t.d. mannagongdir um trygdan av hølum og skipan av fjararbeiðsplássum).
Útgangur
Tað er týdningarmikið fyri dátuábyrgdarar at seta seg inn í lógarreglurnar á økinum, so at teir kunnu lúka øll krøv í lógini. Samstundis er týdningarmikið hjá skrásetta at vita, hvørji rættindi og hvørja verju viðkomandi hevur í lógini, so at viðkomandi um neyðugt kann krevja sín rætt.
Dátuverndarrættur kann møguliga tykjast turrisligur, men hetta økið innan løgfrøði kemur væntandi at fylla meira komandi árini, og fyri áhugað kann verða víst til heimasíðurnar hjá føroyska Dátueftirlitinum og danska Datatilsynet. Eftirlitini framleiða vegleiðingar og hava ymiskt tilfar á teirra heimasíðum. Um áhugi er fyri at kava niður í dátuverndarrættin, kann ein lesa bøkurnar Databeskyttelsesret frá 2018 og Personen i persondataretten frá 2019. Peter Blume hevur skrivað báðar bøkurnar, hann er professor, dr.jur. á Løgfrøðiliga Fakultetinum við Keypmannahavnar Universitet.
[i] Peter Blume, Databeskyttelsesret (Jurist- og Økonomforbundets Forlag, 5. udgave, 2018), s. 1.
[ii] Charles Jennings og Lori Fena, The hundredth window (2000), s. 22.
[iii] Løgtingslóg nr. 73 frá 8. mai 2001 um viðgerð av persónupplýsingum, sum broytt við løgtingslóg nr. 24 frá 17. mai 2004.
[iv] EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[v] Løgtingslóg nr. 73 frá 8. mai 2001 um viðgerð av persónupplýsingum, sum broytt við løgtingslóg nr. 24 frá 17. mai 2004 (persónupplýsingarlógin), § 1.
[vi] Peter Blume, Personen i persondataretten (Djøf Forlag, 1. udgave, 2019): s. 133f.
[vii] Løgtingslóg nr. 80 frá 7. juni 2020 um vernd av persónupplýsingum (dátuverndarlógin).
[viii] Court of Justice of the European Union, PRESS RELEASE No 112/16, Luxembourg, 19 October 2016, Judgment in Case C-582/14, Patrick Breyer v Bundesrepublik Deutschland: https://curia.europa.eu/jcms/upload/docs/application/pdf/2016-10/cp160112en.pdf
[ix] Viðmerkingar til løgtingslóg nr. 80 frá 7. juni 2020 um vernd av persónupplýsingum (dátuverndarlógin): https://logting.fo/files/casestate/27577/051.19%20U.t.%20ll.%20um%20vernd%20av%20personupplysingum%20-%20Datuverndarlogin.pdf