Heimildir atvinnurekenda til vinnslu persónuupplýsinga um starfsfólk sitt

Abstract

Í kjölfar mikillar og ört vaxandi tæknivæðingar, þar sem nánast allt sem venjulegt fólk gerir á Internetinu er skráð og rakið til persónu þess, hefur þörfin fyrir persónuvernd aldrei verið meiri. Til samræmis við ógnina sem í slíku kann að felast réðst Evrópusambandið í gagngerar breytingar á regluverkinu um persónuvernd og setti árið 2016, reglugerð um persónuverndarlöggjöf, sem vísað er til í daglegu tali sem GDPR-reglugerðarinnar (e. General Data Protection Regulation). Í kjölfar innleiðingar reglugerðarinnar, vegna aðildar Íslands að hinu Evrópska efnahagssvæði, sbr. lög um Evrópska efnahagssvæðið nr. 2/1993, setti Alþingi ný lög um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018. Markmið ritgerðar þessarar er að fjalla um heimildir atvinnurekenda til vinnslu persónuupplýsinga um starfsfólk sitt, með tilliti til persónuverndarlaganna. Með því mætti eftir atvikum auka skilning á þeim skyldum og ábyrgð sem atvinnurekendur almennt bera gagnvart þeim skráðu. Farið verður yfir úrlausnir Persónuverndar sem gengið hafa í málum tengdum vinnslu atvinnurekenda á persónuupplýsingum starfsmanna sinna.

In the wake of the massive and rapidly growing technology, where almost everything that ordinary people do on the internet is recorded and traced to their person, the need for privacy protection has never been greater. In accordance with the threat that may be contained in such a situation, the European Union embarked on comprehensive changes to the regulation of personal protection and in 2016, it introduced a regulation on personal protection legislation, which is referred to in everyday speech as the GDPR regulation or General Data Protection Regulation. Following the introduction of the regulation, due to Iceland's membership in the European Economic Area, cf. Act on the European Economic Area no. 2/1993, Alþingi enacted a new law on personal protection and processing of personal information no. 90/2018. The aim of this thesis is to discuss the authorizations of employers to process personal information about their employees, with regard to the Personal Protection Act. This could increase the understanding of the duties and responsibilities that employers generally have towards the registered. Rulings of the Personal protection institution that have been made in cases related to employers' processing of their employees' personal information will be reviewed.