Ríkið gleymir aldrei

Við setningu nýrra persónuverndarlaga sem öðluðust loks gildi um mitt ár 2018 var töluvert rætt um réttinn til að gleymast. Var það einkum í tengslum við rétt til að fá leitarniðurstöður afmáðar úr leitarvélinni Google. Nú er hægt að nálagst sérstakt eyðublað hjá því fyrirtæki til að óska eftir því að leitarniðurstöðum verði eytt. Á þetta aðallega við um tilvik þar sem talið er að persónuupplýsingar á Netinu hafi neikvæð áhrif á friðhelgi einkalífs þess sem um ræðir. Rétturinn til að gleymast gildir líka um persónuupplýsingar sem varðveittar eru í opinberri stjórnsýslu og hjá dómstólum, að minnsta kosti við fyrstu sýn. Í Evrópureglugerð sem var lögfest hér á landi með nýju persónuverndarlögunum segir að ábyrgðaraðilar, sem m.a. geta verið ýmsar stofnanir og fyrirtæki hins opinbera, skuli eyða persónuupplýsingum ef þær eru ekki lengur nauðsynlegar í þeim tilgangi sem lá að baki söfnun þeirra og annarri vinnslu þeirra. Með vinnslu er átt við næstum hvers konar aðgerðir eða aðgerðarleysi þar sem persónuupplýsingar koma við sögu. Þetta orðalag lofar strax mjög góðu fyrir þá sem vilja ekki að persónuupplýsingar þeirra séu varðveittar lengur en ástæða er til. Hið opinbera virðist samkvæmt þessu ekki eiga að geyma persónuupplýsingar til eilífðar.

Í tveimur nýlegum úrskurðum Persónuverndar reyndi á þetta. Annars vegar var um að ræða gögn um umsækjanda um starf hjá fyrirtæki í meirihlutaeigu hins opinbera sem innihéldu persónuupplýsingar. Umsækjandinn hlaut ekki stöðuna og annar maður var ráðinn. Umsækjandinn vildi að gögnum um sína umsókn yrði eytt. Hins vegar var um að ræða gögn með persónuupplýsingum um mann sem lagt hafði verið hald á í tengslum við stjórnsýslumál sem lauk mörgum árum áður. Maðurinn vildi að gögnunum yrði eytt. Stofnanirnar sem um ræddi vísuðu til þess að þeim væri skylt að varðveita skjöl vegna þess að þeim bæri síðar að afhenda þau Þjóðskjalasafni Íslands. Í hvorugu tilvikinu var fallist á að eyða bæri persónuupplýsingunum.

Í lögum um opinber skjalasöfn er mælt fyrir um að nær öllum opinberum aðilum og þ.m.t. sveitarfélögum og stofnunum þeirra sé skylt að afhenda Þjóðskjalasafni skjöl sín. Afhendingarskyldir aðilar sem heyra undir stjórnsýslu sveitarfélags geta þó afhent héraðsskjalasafni skjöl sín ef sveitarfélagið á aðild að slíku safni. Talið er upp um hverja þetta gildir en það eru forseti Íslands, allir dómstólar, allt stjórnarráðið og allt sem undir það heyrir, öll sveitarfélög og það sem þeim tengist, sjálfseignarstofnanir og sjóðir stofnaðir á grundvelli laga til að sinna opinberum verkefnum og félög sem hafa tekið að sér verkefni skv. sérstökum samningum við ríkið. Einnig lögaðilar sem eru 51% eða meira í eigu hins opinbera. Þarna er því nær allt talið með þó Alþingi, umboðsmaður Alþingis og ríkisendurskoðun séu undanskilin. Afhendingarskyld skjöl skal afhenda Þjóðskjalasafni eða eftir atvikum héraðsskjalasafni þegar þau hafa náð 30 ára aldri.

Í persónuverndarlögum er undantekning frá réttinum til að gleymast sem gildir ef vinnsla persónuupplýsinganna er nauðsynleg til að uppfylla lagaskyldu sem hvílir á ábyrgðaraðilanum samkvæmt lögum. Í þeim tveimur úrskurðum Persónuverndar sem minnst var á að framan var byggt á því að þessi undantekning ætti við vegna lagaskyldunnar sem kemur fram í lögunum um opinber skjalasöfn.

Þetta þýðir að nær allir opinberir aðilar munu geyma persónuupplýsingar sem komast í vörslu þeirra í 30 ár og afhenda þær svo Þjóðskjalasafni eða eftir atvikum héraðsskjalasafni. Hjá Þjóðskjalasafninu eru skjölin svo geymd á vörubrettum árum saman vegna plássleysis. Rétturinn til að gleymast er þess vegna orðinn að engu þegar hið opinbera á í hlut og það má ekki búast við því að opinberir aðilar setji eyðublað á netið fyrir beiðnir um eyðingu persónuupplýsinga eins og fyrirtækið Google hefur gert. Ríkið gleymir aldrei.