Tímarit lögfræðinga - 01.04.2003, Blaðsíða 14

og að hann verði að eiga kost á fullnægjandi upplýsingum um vinnubrögð,
vinnuferli og annað er lýtur að vinnslunni.'
Vegna framangreindra tengsla á milli 7. gr. pul. annars vegar og 20. og 21.
gr. hins vegar eru almennt líkur fyrir því að sé 20. eða 21. gr. laganna brotin hafi
meginreglan um sanngjarna vinnslu persónuupplýsinga í 1. tölul. 7. gr. laganna
einnig verið brotin.
3. ALMENNT UM SKYLDUR ÁBYRGÐARAÐILA
Samkvæmt 20. og 21. pul. gr. hvílir upplýsingaskyldan á ábyrgðaraðila3 4 5
vinnslu. Ef ábyrgðaraðili hefur staðfestu utan Evrópska efnahagssvæðisins skal
hann tilnefna fulltrúa sinn sem hefur staðfestu hér á landi. Hið sama gildir um
vinnslu upplýsinga um fjárhagsmálefni og lánstraust lögaðila ef ábyrgðaraðili
hefur ekki staðfestu hér á landi. Þegar svo stendur á fellur það í hlut fulltrúa
ábyrgðaraðila að uppfylla upplýsingaskylduna, sbr. 5. mgr. 6. gr. pul. svo og 1.
mgr. 10. gr. og I. mgr. 11. gr. tilskipunar 95/46/EB.
Upplýsingaskyldan skv. 20. og 21. gr. pul. felur í sér að ábyrgðaraðili verður
sjálfur að eiginfrumkvœði að upplýsa hinn skráða um ákveðin atriði. Hér er því ekki
um að ræða reglu af sama toga og fram kemur í upplýsingalögum þar sem aðili
verður sjálfur að hafa frumkvæði að því að biðja um aðgang að upplýsingunum.
Ákvæði 20. og 21. gr. pul. gilda bæði um stjómvöld og einkaaðila. Þess ber
þó að geta að skv. 2. mgr. 3. gr. pul. gildir upplýsingaskylda skv. 20. og 21. gr.
ekki um vinnslu persónuupplýsinga sem varða almannaöryggi, landvamir,
öryggi ríkisins og starfsemi ríkisins á sviði refsivörslu. Upplýsingaskyldan
gildir heldur ekki þegar persónuupplýsingar sem aflað hefur verið eru einvörð-
ungu ætlaðar til persónulegra nota, sbr. 2. málsl. 2. mgr. 3. gr. pul., en slík vinnsla
fellur utan gildissviðs laganna.
4. UPPLÝSINGASKYLDA ÞEGAR PERSÓNUUPPLÝSINGA ER
AFLAÐ HJÁ HINUM SKRÁÐA
4.1 Hvenær á ábyrgðaraðili að uppfylla uppiýsingaskyldu sína?
Samkvæmt orðalagi 20. gr. pul. skal veita hinum skráða fræðslu um tiltekin
atriði þegar persónuupplýsingunum er safnað frá honum. Samkvæmt þessu ber
því almennt að veita fræðsluna í síðasta lagi á því tímamarki þegar upplýsing-
unum er safnað. Söfnun upplýsinga er ein tegund af vinnslu' upplýsinga sem
3 Alþt. 1999-2000, A-deild, bls. 2722.
4 í 4. tölul. 2. gr. pul. er ábyrgðaraðili skilgreindur sem sá aðili sem ákveði tilgang vinnslu persónu-
upplýsinga, þann búnað sem notaður sé, aðferð við vinnsluna og aðra ráðstöfðun upplýsinganna.
5 í 2. tölul. 2. gr. laganna er vinnsla skýrð svo: „Sérhver aðgerð eða röð aðgerða þar sem unnið er
með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn". í b-lið 2. gr. tilskip-
unar 95/46/EB er hugtakið hins vegar skilgreint svo: „Aðgerð eða röð aðgerða, rafrænna eða
annarra en rafrænna, svo sem söfnun, skráning, kerfisbinding, geymsla, aðlögun eða breyting,
heimt, leit, notkun, miðlun með framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingamar
tiltækar, samantenging eða samkeyrsla, aðgangstakmörkun, afmáun eða eyðilegging".
8