Tímarit lögfræðinga - 01.04.2003, Síða 19

5. UPPLÝSINGASKYLDA PEGAR PERSÓNUUPPLÝSINGUM ER
SAFNAÐ FRÁ ÖÐRUM EN HINUM SKRÁÐA
5.1 Hvenær á ábyrgðaraðili að sinna upplýsingaskyldunni?
Samkvæmt orðalagi 21. gr. er meginreglan sú að gera skuli hinum skráða
viðvart um leið og upplýsinga er aflað frá þriðjamanni. Upplýsingaskyldan skv.
21. gr. pul. hvílir á ábyrgðaraðila.
Þegar stjómvald aflar upplýsinga frá öðru stjórnvaldi er það stjómvaldið,
sem móttekur upplýsingarnar, sem á að gera hinum skráða viðvart skv. 21. gr.
pul.18 í athugasemdum með 3. gr. frumvarps þess, er varð að lögum nr. 81/2002,
er tekið fram að sé komið að skráningu upplýsinganna, og fyrir liggur að hlut-
aðeigandi stjómvald muni senda hinum skráða gögn máls innan 10 daga eða
veita honum færi á að tjá sig um mál á grundvelli stjórnsýslulaga, megi almennt
bíða með veita upplýsingamar og láta þær fylgja með slíku bréfi.19 I greinar-
gerðinni er einnig áréttað að það geti þurft að túlka ákvæði 21. gr. í öðmm til-
vikum til samræmis við ákvæði stjómsýslulaga nr. 37/1993. °
í 2. málsl. 1. mgr. 21. gr. pul. er tekið fram að sé ætlunin að miðla upplýs-
ingum innan hæfilegra tímamarka frá söfnun þeirra megi fresta því að gera
hinum skráða viðvart þar til upplýsingunum er miðlað í fyrsta sinn. Svo þetta
ákvæði geti átt við verður að vera ljóst strax við söfnun upplýsinganna að
markmið hennar sé að miðla upplýsingunum aftur til þriðja aðila innan skamms
tíma. Samkvæmt ákvæðinu ber að gera hinum skráða viðvart í síðasta lagi þegar
upplýsingunum er miðlað í fyrsta sinn til þriðja aðila.
Ábyrgðaraðili hefur einvörðungu skyldu til þess að senda hinum skráða eina
tilkynningu. Þetta á við enda þótt sambærilegum upplýsingum verði safnað
með reglubundnu millibili frá þriðja aðila, enda hafi hinum skráða verið gerð
grein fyrir því. Svo lengi, sem upplýsingum frá öðrum en hinum skráða er
safnað í samræmi við upplýsingar um afmörkun á vinnslunni sem hinum skráða
voru veittar, þarf ekki að senda honum nýja tilkynningu. Þess vegna nægir að
gera hinum skráða viðvart skv. 21. gr. pul. í upphafi viðskiptasambands þar sem
persónuupplýsingum mun verða safnað með reglubundnum hætti. Þannig væri
almennt nægilegt að veita korthafa debet- og kreditkorta upplýsingar skv. 21.
gr. pul. við samningsgerð við korthafa. Ekki þyrfti því að fylgja ný tilkynning
sérhverju uppgjöri svo framarlega að söfnun og vinnsla upplýsinganna sé í
samræmi við hina upphaflegu upplýsingar sem hinum skráða voru veittar. Ef
vinnsla upplýsinganna fer aftur á móti út fyrir þá afmörkun vinnslu sem hinum
skráða var tilkynnt um í upphafi, eða um nýtt mál eða viðskiptasamning er að
ræða, þarf að gera hinum skráða viðvart og skýra honum frá þeim atriðum sem
fram koma í 3. mgr. 21. gr. pul.
18 Alþt. 2001-2002, A-deild, bls. 4530. Sjá einnig Peter Blume: Personoplysningsloven, bls. 121.
19 Alþt. 2001-2002, A-deiId, bls. 4530. Sjá hér einnig Kristian Korfits Nielsen og Henrik
Waaben: Lov om behandling af personoplysninger, bls. 306.
20 Alþt. 2001-2002, A-deild, bls. 4531.
13