Tölvumál - 01.01.2017, Blaðsíða 22

22
Margir lesendur Tölvumála vita vafalaust af setningu nýrra persónu­
verndarreglna í Evrópu. Nánar tiltekið er um að ræða reglugerð ESB nr.
2016/679 um vernd einstaklinga í tengslum við vinnslu persónu upplýsinga
og um frjálsa miðlun slíkra upplýsinga og niður fellingu tilskipunar 95/46/
EB (almenna persónuverndarreglugerðin). Reglugerðin öðlaðist gildi 24.
maí 2016 og kemur til framkvæmda innan ESB frá og með 25. maí 2018.
Á Íslandi verður reglugerðin innleidd á grundvelli EES­samningsins og í
kjölfarið mun ný persónuverndarlöggjöf taka gildi, en áætlað er að það
verði á árinu 2018 [1].
Reglugerðin hefur í för með sér ýmsar breytingar sem meðal annars
snerta hina svonefndu vinnsluaðila og verður hér gerð grein fyrir helstu
breytingunum. Samantektin er byggð á greiningu á reglugerðinni sjálfri,
núgildandi lögum og þegar það á við á álitum hins svokallaða 29. gr.
starfshóps sem hefur að undanförnu látið í té nokkur álit á einstökum
efnisatriðum sem reglugerðin tekur til [2].
HVERJIR ERU VINNSLUAÐILAR?
Vinnsluaðili er skilgreindur sem einstaklingur eða lögaðili, opinbert yfirvald,
sérstofnun eða annar aðili sem vinnur persónuupplýsingar á vegum
ábyrgðaraðila, en ábyrgðaraðili er sá sem sem ákvarðar tilgang og aðferðir
við vinnslu persónuupplýsinga. Til að mynda teljast upplýsingatæknifyrirtæki
hvers konar sem varðveita persónuupplýsingar á vegum annarra eða
hafa aðgang að þeim með öðrum hætti til vinnsluaðila [3]. Líkt og
núgildandi lög gera ráð fyrir skal gerður vinnslusamningur milli ábyrgðar­
og vinnsluaðila, en almenna persónuverndarreglugerðin gerir nákvæmari
og ítarlegri lágmarkskröfur til efnis slíkra vinnslusamninga sem fara ætti
vel yfir við gerð þeirra. Rétt er að benda á að ekki er mælt fyrir um að
ákvæði eldri reglna skuli áfram gilda um vinnslusamninga sem nú þegar
eru í gildi og þurfa þeir því einnig að standast kröfur nýju reglugerðarinnar.
Yfirfara ætti því alla slíka samninga og eftir atvikum ganga frá uppfærðum
vinnslusamningum.
VIÐBÓTARVINNSLUAÐILAR
Vinnsluaðilar geta ráðið aðra aðila til að inna tiltekna vinnslustarfsemi af
hendi fyrir hönd ábyrgðaraðila, svonefnda viðbótarvinnsluaðila.
Viðbótarvinnsluaðilar þessir geta verið af ýmsu tagi, t.d. aðili sem starfrækir
gagnaver sem vinnsluaðili nýtir til hýsingar persónuupplýsinga sem hann
vinnur á vegum ábyrgðaraðila. Vinnsluaðilum er aðeins heimilt að nýta
viðbótarvinnsluaðila að fengnu skriflegu samþykki frá ábyrgðaraðila. Þá
er mælt fyrir um skyldu vinnsluaðila til að gera samninga við viðbótar­
vinnslu aðila og ganga úr skugga um að tæknilegar og skipulagslegar
ráðstaf anir standist kröfur reglugerðarinnar, en vinnsluaðilar bera fulla
ábyrgð gagnvart ábyrgðaraðilum á því að viðbótarvinnsluaðilar efni
skuldbindingar sínar.
INNBYGGÐ OG SJÁLFGEFIN
PERSÓNUVERND
Með innbyggðri persónuvernd er átt við að vernd persónuupplýsinga sé
innbyggð í vörur og þjónustu, t.a.m. að hugbúnaður sem notaður er við
vinnslu sé hannaður á þann hátt að aðeins þeim upplýsingum sem
nauðsynlegar eru til að uppfylla tilgang vinnslunnar sé safnað. Með
sjálfgefinni persónuvernd er átt við að það sé sjálfgefið að persónu­
upplýsingar verði ekki gerðar aðgengilegar almenningi án íhlutunar
einstaklingsins sem persónuupplýsingarnar varða. Ef notaðir eru
vinnsluaðilar við vinnslu persónuupplýsinga þarf ábyrgðaraðili að ganga
úr skugga um að vinnslan uppfylli þessar kröfur. Vinnsluaðilar sem eru
upplýsingatæknifyrirtæki og koma að hönnun og þróun hugbúnaðar
þurfa að hafa þessar reglur sérstaklega í huga [4].
SKRÁ YFIR VINNSLUSTARFSEMI
Vinnsluaðilar skulu halda skrá yfir alla flokka vinnslustarfsemi sem
framkvæmd er fyrir hönd ábyrgðaraðila og gera hana aðgengilega
eftirlitsyfirvaldi að beiðni þess, en skylda þessi er nýnæmi með tilkomu
reglugerðarinnar. Í reglugerðinni eru talin upp þau atriði sem skráin þarf að
innihalda. Þetta eru atriði á borð við samskiptaupplýsingar um vinnsluaðilann,
sérhvern ábyrgðaraðila sem hann starfar fyrir og almenna lýsingu á
öryggisráðstöfunum sem viðhafðar eru við vinnsluna [5]. Frá þessari skyldu
gildir sú undantekning að fyrirtæki eða stofnanir sem hafa færri en 250
starfsmenn þurfa ekki að halda skrá yfir vinnslustarfsemi nema vinnsla sé
líkleg til að hafa í för með sér áhættu fyrir réttindi og frelsi skráðra einstaklinga,
vinnslan sé ekki tilfallandi eða taki til viðkvæmra persónuupplýsinga. Það
má gera sér í hugarlund að undantekningin muni eiga óvíða við þar sem
skilyrðum þess að henni megi beita eru settar afar þröngar skorður.
ÖRYGGI PERSÓNUUPPLÝSINGA
Vinnsluaðilar skulu gera viðeigandi tæknilegar og skipulagslegar ráðstafanir
sem tryggja viðunandi öryggi persónuupplýsinga sem þeir hafa með
höndum. Með tilkomu reglugerðarinnar tekur skylda þessi nú beinlínis til
vinnsluaðila en ekki einungis í gegnum ábyrgðaraðila líkt og áður. Í
reglugerðinni eru sérstaklega nefndar nokkrar ráðstafanir sem notast
ætti við eftir því sem við á, t.a.m. notkun gerviauðkenna (e. pseudony­
misation) og dulkóðun persónuupplýsinga. Vinnsluaðilar ættu því að
ganga úr skugga um hvort núverandi tæknilegar og skipulagslegar
ráðstafanir veiti persónuupplýsingum viðeigandi vernd eða hvort gera
þurfi breytingar áður en ný löggjöf tekur gildi.
TILKYNNING UM ÖRYGGISBROT
Með öryggisbroti er átt við brot á öryggi sem leiðir til óviljandi eða ólögmætrar
eyðingar, glötunar, breytinga eða birtingar persónu upplýsinga eða aðgangur
að þeim veittur í leyfisleysi. Ef vinnsluaðili verður var við öryggisbrot við
HLUTVERK OG SKYLDUR
VINNSLU AÐILA Á
GRUNDVELLI NÝRRA
PERSÓNUVERNDAR REGLNA
Lena Markusdóttir, Ingvi Snær Einarsson og Erla S. Árnadóttir, sérfræðingar LEX á sviði
persónuverndar og upplýsingatækniréttar