Hagstofan, bankaleynd og Persónuvernd

Lagt hefur verið fram frumvarp á Alþingi (þingskjal 14 - 14. mál), þar sem veita á Hagstofunni auknar heimildir til að upplýsingaöflunar um fjárhagsstöðu einstaklinga.  Í athugasemdum með frumvarpinu segir að um sé að ræða sambærilegar heimildir og sé að finna í tvennum öðrum lögum.  Einnig segir að upplýsingarnar skuli nota til hagskýrslugerðar.

Nokkur umræða hefur orðið um þetta frumvarp, þar sem því er haldið fram að með því sé verið að afnema bankaleynd.  Við lestur athugasemda með frumvarpinu má m.a. finna:

Við flutning gagna og tölfræðivinnsluna verður ekki unnið með kennitölur heldur einkvæm einkenni og því verða persónuupplýsingar órekjanlegar þar sem persónuauðkenni verða afmáð (dulkóðuð).

Ekki verður séð með þessu, að ætlunin sé að afnema bankaleynd.  Afnám bankaleyndar getur aðeins orðið, þegar persónugreinanlegar bankaupplýsingar eru birtar þriðja aðila.  Svo er ekki.  Hér er verið að veita þriðja aðila, þ.e. Hagstofunni, aðgang að ópersónugreinanlegum bankaupplýsingum.  Nákvæmlega sambærilegum upplýsingum og bæði Skatturinn og Fjármálaeftirlit hafa aðgang að lögum samkvæmt.  Enginn hefur talað um afnám bankaleyndar í því samhengi.

Ég sé að settur forstjóri Persónuverndar tjáir sig um málið með þeim orðum að verið sé að afnema bankaleynd.  Er mér lífsins ómögulegt að skilja hvernig hann kemst að þessari niðurstöðu.  Þetta er sama Persónuvernd, sem veitti Seðlabanka Íslands aðgang að nákvæmlega sömu upplýsingum vorið 2009 í sambærilegum tilgangi.  Vissulega var núverandi forstjóri Persónuverndar ekki í því embætti þá heldur ráðgjafi um persónuverndarmál.  Ég man samt ekki eftir því að hann hafi tjáð sig á þessu nótum þegar sú heimild var veitt.  Ég á líka erfitt með að sjá Persónuvernd setja sig upp á móti aðgangi Hagstofunnar, þegar nokkrir hagfræðingar hjá Seðlabankanum fengu slíkan aðgang fyrir 4 árum.

Ég verð að lýsa yfir furðu minni á orðum setts forstjóra Persónuverndar.  Hlutverk stofnunarinnar í þessu tilfelli er ekki að tjá sig um hvort bankaleynd sé afnumin, enda ekki í hennar verkhring að fjalla um bankaleynd sem slíka.  Hlutverk stofnunarinnar er að tryggja, að við þennan flutning verði upplýsingarnar, sem flytja á, ekki rekjanlegar til þeirra einstaklinga sem þær eru tengdar hjá viðkomandi fjármálastofnun og öðrum fyrirtækjum.

Höfum í huga að fjárhagsupplýsingar teljast ekki viðkvæmar persónuupplýsingar.  Um vinnslu fjárhagsupplýsinga hljóta því að gilda rýmri reglur en um vinnslu viðkvæmra persónuupplýsinga.  Í tölulið 9 í gr. 9 í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga segir um vinnslu viðkvæmra persónuupplýsinga:

9. vinnslan sé nauðsynleg vegna tölfræði- eða vísindarannsókna, enda sé persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á.

Hér er vísað til tölfræðirannsókna, en líklegast getur vinnsla hagtalna fallið undir það.  A.m.k. er svo að væru fjárhagsupplýsingar viðkvæmar persónuupplýsingar, þá er það hlutverk Persónuverndar að sjá til þess að persónuvernd upplýsinganna sé tryggð, en ekki að hafa áhyggjur af því hvort í þessu felist afnám bankaleyndar.

Lítið mál er að ganga svo frá þeim gögnum, sem Hagstofan fær frá fjármálafyrirtækjum, að þau verði með öllum órekjanleg til einstaklinganna á bak við þau.  Íslensk erfðagreining hefur í mörg ár notað kerfi, sem Persónuvernd hefur samþykkt.  Fjárhagsupplýsingar eru ekkert flóknari upplýsingar til dulkóðunar en sjúkraskrárupplýsingarnar sem ÍE hefur unnið með.

Ég vona að þegar Persónuvernd sendir inn umsögn sína um mál 14 á þingskjali 14, þá muni stofnunin einbeita sér að hlutverki sínu, sem er að gera kröfu um öryggisráðstafanir til að tryggja að upplýsingarnar, sem Hagstofunni er ætlað að fá aðgang að, verði ópersónugreinanlegar.  Persónuvernd á að gera kröfu um að Hagstofan innleiði stjórnkerfi til verndar persónuupplýsingum, hafi það ekki þegar verið gert, að komið verði á fullnægjandi tæknilegum og stjórnunarlegum ráðstöfunum til að ná þessu marki og að fram fari úttekt á stjórnkerfinu og öryggisráðstöfunum þess áður en flutningur upplýsinganna hefst.  Ég ætla ekki að tjá mig um það hér hvaða kröfur Persónuvernd á að setja eða hvaða ráðstafanir Hagstofan á að innleiða.  Sem sérfræðingur á þessu sviði, þá er ég viss um að lítill vandi er að tryggja þessar upplýsingar á þann hátt, að minni hætti verði á rofi á trúnaði meðhöndlun Hagstofunnar á upplýsingunum, en er við daglega vinnslu þeirra í fjármálafyrirtækjum.

Í raun verið að afnema bankaleynd