Persónuverndarstefna VIRK

Almennt

Markmið VIRK Starfsendurhæfingarsjóðs er að haga vinnslu persónuupplýsinga í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs. VIRK ber ábyrgð á því að vinnsla persónuupplýsinga sé í samræmi við lög og reglur og gerir viðeigandi ráðstafanir til að tryggja að svo sé.

Persónuverndarstefna þessi byggir á ákvæðum laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og á ákvæðum reglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679 frá 27. apríl 2016 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga. Stefnan gildir jafnt um persónuupplýsingar sem skjólstæðingar hafa sjálfir veitt VIRK og um persónuupplýsingar sem sjóðurinn hefur aflað frá þriðja aðila. Persónuupplýsingar um skjólstæðinga geta ýmist verið vistaðar rafrænt í tölvukerfum, hjá VIRK eða vinnsluaðila, eða á pappír. Þá gildir persónuverndarstefnan bæði um rafræna og handvirka vinnslu persónuupplýsinga.

VIRK endurskoðar stefnuna reglulega til þess að sjá til þess að hún sé í samræmi við gildandi lagakröfur og endurspegli þá vinnslu persónuupplýsinga sem á sér stað hjá sjóðnum á hverjum tíma.

Upplýsingar um ábyrgðaraðila

Ábyrgðaraðili er VIRK Starfsendurhæfingarsjóður ses., kt. 440608-0510, Borgartúni 18, 105 Reykjavík. VIRK er sjálfseignarstofnun sem starfar á samkvæmt lögum nr. 60/2012 um atvinnutengda starfsendurhæfingu og starfsemi starfsendurhæfingarsjóða. Hlutverk VIRK er að efla starfsgetu einstaklinga með heilsubrest sem stefna að aukinni þátttöku á vinnumarkaði.

Vinnsla persónuupplýsinga

VIRK leggur áherslu á að vanda til vinnslu persónuupplýsinga og að þær séu áreiðanlegar og réttar. VIRK ákveður tilgang og aðferðir við vinnslu persónuupplýsinga, þó í samráði við vinnsluaðila og sérfræðinga á sviði persónuverndar. Upplýsingar sem VIRK vinnur um einstaklinga flokkast bæði sem almennar og viðkvæmar persónuupplýsingar, s.s. upplýsingar varðandi heilsufar.

Vinnsla á persónuupplýsingum fer ýmist fram á grundvelli samþykkis skjólstæðinga, samnings- eða lagaákvæðis. Í því skyni að leggja mat á og veita sem besta þjónustu, skjólstæðingum okkar til hagsbóta, er nauðsynlegt að skoða sjúkrasögu viðkomandi sem og aðrar heilsufarsupplýsingar. VIRK aflar og vinnur einungis nauðsynlegar persónuupplýsingar í því skyni að mæta lögbundnu hlutverki sínu sem starfsendurhæfingarsjóður.

Eftir atvikum eru upplýsingar sendar til vinnsluaðila sem vinnur persónuupplýsingar á vegum VIRK eða sinnir tengdum verkefnum fyrir hönd sjóðsins. Slíkir vinnsluaðilar þurfa að fara að lögum nr. 90/2018. Þeir sem veita viðtöku persónuupplýsingum skjólstæðinga VIRK eru einnig bundnir þagnarskyldu með sama hætti og starfsmenn sjóðsins og starfa samkvæmt vinnslusamningum.

VIRK leggur sig fram um að gæta að meginreglum laga nr. 90/2018, þ.e. lögmætisreglunni, tilgangsreglunni, meðalhófsreglunni, áreiðanleikareglunni og varðveislureglunni. Þá skal sjóðurinn, sem ábyrgðaraðili, ávallt geta sýnt fram á að vinnsla persónuupplýsinga af hans hálfu uppfylli skilyrði laga.

Miðlun persónuupplýsinga

Til að sinna hlutverki sínu og veita skjólstæðingum einstaklingsmiðaða þjónustu þarf VIRK að miðla persónuupplýsingum til annarra fagaðila sem koma að starfsendurhæfingarferli viðkomandi. Skjólstæðingum er gert grein fyrir því í upphafi ferils þar sem leitað er eftir upplýstu samþykki þeirra vegna þessa.

VIRK mun að öðru leyti ekki afhenda persónuupplýsingar nema sjóðnum sé skylt eða heimilt samkvæmt lögum, t.d. til löggæsluyfirvalda, Tryggingastofnunar eða annarra aðila sem hafa skýra heimild að lögum til að móttaka umræddar upplýsingar. Þá getur VIRK verið skylt að afhenda persónuupplýsingar vegna dómsúrskurðar. Skjólstæðingur hjá VIRK getur þó heimilað sjóðnum að afhenda persónuupplýsingar til þriðja aðila.

Til að taka af allan vafa miðlar VIRK hvorki né selur persónuupplýsingar til þriðja aðila í markaðstengdum tilgangi.

Öryggi persónuupplýsinga og tæknilegar ráðstafanir

VIRK leggur ríka áherslu á öryggi við vinnslu persónuupplýsinga og gerir viðeigandi tæknilegar og rekstrartengdar ráðstafanir sem taka mið af eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu fyrir réttindi og frelsi skráðra einstaklinga til að tryggja og sýna fram á að vinnsla persónuupplýsinga uppfylli lagalegar kröfur. VIRK hefur sett sér og vinnur samkvæmt upplýsingaöryggisstefnu sem nálgast má hér.

Réttindi skjólstæðinga

VIRK gætir í hvívetna að réttindum skráðra einstaklinga, m.a. til fræðslu og upplýsinga um hvernig persónuupplýsingar um þá eru unnar. Skráður einstaklingur hefur m.a. rétt á að:

• draga samþykki sitt til baka hvenær sem er;
• fá tilteknar upplýsingar um vinnslu ábyrgðaraðila á persónuupplýsingum sínum;
• óska eftir aðgengi að þeim persónuupplýsingum sem við vinnum um hann;
• vera gert viðvart um öryggisbrot á vinnslu persónuupplýsinga, sem líklegt er að leiði af sér mikla hættu fyrir réttindi og frelsi hans;
• við ákveðnar aðstæður leiðrétta persónuupplýsingarnar, eyða þeim eða takmarka vinnslu þeirra;
• beina kvörtun til eftirlitsyfirvalda.

Allar beiðnir eru afgreiddar innan hæfilegs tíma eins og lög áskilja.

Geymslutími gagna og afhending til Þjóðskjalasafns

VIRK er sjálfseignarstofnun sem starfar m.a. á grundvelli samnings við félagsmálaráðuneytið og ber því að afhenda Þjóðskjalasafni skjöl sín í samræmi við ákvæði laga nr. 77/2014 um opinber skjalasöfn. Í því felst að VIRK afhendir Þjóðskjalasafni öll skjöl sem falla ekki undir grisjunarheimildir sem Þjóðskjalasafn veitir sérstaklega. Jafnframt ber VIRK skv. 2. mgr. 12. gr. laga nr. 60/2012 skylda til að varðveita gögn og afhenda þau Landlækni, sé rekstri starfsendurhæfingarsjóðsins hætt.

Trúnaðar- og þagnarskylda

VIRK leggur áherslu á að tryggja örugga og ábyrga meðferð persónuupplýsinga. Þagnarskylda á grundvelli laga nr. 60/2012 hvílir á öllum starfsmönnum sem koma að vinnslu persónuupplýsinga og eru þeir upplýstir um skyldu þeirra til að viðhalda trúnaði og öryggi svo tryggt sé að unnið sé með persónuupplýsingar á löglegan og ábyrgan hátt.

Persónuverndarfulltrúi

VIRK hefur skipað persónuverndarfulltrúa í samræmi við ákvæði laga nr. 90/2018. Persónuverndarfulltrúi er sjálfstæður og óháður í starfi sínu innan sjóðsins og fellur starf hans beint undir forstjóra. Hlutverk persónuverndarfulltrúa VIRK er m.a. að fylgjast með að farið sé eftir ákvæðum laga nr. 90/2018 í starfsemi sjóðsins, veita ráðgjöf varðandi mat á áhrifum á persónuvernd og vera tengiliður sjóðsins gagnvart Persónuvernd.

Persónuverndarfulltrúi VIRK er Arnar Kormákur Friðriksson lögmaður. Netfang hans er pvf@virk.is

Samvinna við Persónuvernd

Persónuvernd annast eftirlit með framkvæmd laga nr. 90/2018 og hefur sérhver skráður einstaklingur, eða fulltrúi hans, rétt til að leggja fram kvörtun ef hann telur að vinnsla persónuupplýsinga VIRK um hann brjóti í bága við lög. VIRK skal, að fenginni beiðni Persónuverndar, hafa samvinnu við stofnunina við framkvæmd verkefna hennar.

Fyrirspurnir, athugasemdir og ábendingar

Fyrirspurnum, athugasemdum og ábendingum um persónuverndarstefnu þessa eða vinnslu VIRK á persónuupplýsingum að öðru leyti skal beina til persónuverndarfulltrúa sjóðsins með bréfpósti til VIRK eða tölvupósti á netfangið pvf@virk.is.