Lög, reglur og stefnuskjöl

Persónuupplýsingar eru hvers kyns upplýsingar um persónugreindan eða persónugreinanlegan einstakling („skráðan einstakling“). Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, s.s. með tilvísun í auðkenni eins og nafn, kennitölu, netauðkenni, staðsetningargögn, o.s.frv.

Hlutverk lífeyrissjóða er að tryggja sjóðfélögum ellilífeyrir til æviloka og tryggja fjölskyldur þeirra fyrir tekjumissi vegna orkutaps og andláts. Til að tryggja réttindi sjóðfélaga höfum við á grundvelli laga um lífeyrissjóði nr. 129/1997 heimild til að vinna með persónugreinanlegar upplýsingar (iðgjaldaupplýsingar) í því skyni að halda utan um áunnin réttindi sjóðfélaga (eftirlaunalífeyrir, makalífeyrir og barnalífeyrir) og rétthafa í séreign.

Eigi sjóðfélagi rétt til örorkulífeyris samkvæmt lögum og samþykktum sjóðsins hefur sjóðurinn sömuleiðis heimild á grundvelli laga til vinnslu persónuupplýsinga í tengslum við umsókn um örorkulífeyri. Dæmi um persónuupplýsingar sem óskað er eftir eru: tekjuupplýsingar frá skattyfirvöldum, almannatryggingum, Atvinnuleysistryggingasjóði og sjúkrasjóði, upplýsingar um iðgjaldagreiðslur umsækjanda til annarra lífeyrissjóða, læknisvottorð og mat trúnaðarlæknis og upplýsingar frá VIRK eða eftir atvikum öðrum endurhæfingaraðila um framgang endurhæfingar.

Birta ávaxtar fjármuni sjóðfélaga sinna m.a. með lánveitingum til sjóðfélaga (sjóðfélagalánum) á grundvelli heimildar í lögum um lífeyrissjóði. Um slíkar lánveitingar gilda lög um fasteignalán til neytenda nr. 118/2016 og reglugerð með stoð í lögunum. Þau gögn sem unnið er með í tengslum við lánsumsókn hafa að geyma persónuupplýsingar af ýmsu tagi sem snerta fjárhag umsækjanda. Slíkra upplýsinga er ávallt aflað á grundvelli samþykkis viðkomandi.

Þegar lánsumsókn hefur verið afgreidd og veðskuldabréf hefur verið gefið út geta innheimtuaðgerðir og önnur umsýsla kallað á vinnslu persónuupplýsinga. Með annarri umsýslu er átt við greiningar sem sjóðnum ber að standa að á grundvelli laga og reglugerða, s.s. við mat á áhættu eða könnun á því hvort sjóðurinn er innan vikmarka fjárfestingarstefnu í fasteignaveðtryggðum skuldabréfum, eða með öðrum skýrsluskilum, s.s. til opinberra eftirlitsaðila. Slík vinnsla byggir á heimild í veðskuldabréfinu sjálfu, almennum reglum kröfuréttar, fasteignalánalögum, lögum um lífeyrissjóði og reglugerðum settum með stoð í lögunum. Hér er ekki um tæmandi talningu að ræða en öll vinnsla sjóðsins með persónuupplýsingar er þeim fyrirvara háð að upplýsingarnar séu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi.

Í daglegum rekstri lífeyrissjóðsins er að ýmsu að huga þegar kemur að vinnslu persónuupplýsinga. Almennu starfsmannahaldi fylgir t.a.m. vinnsla persónuupplýsinga sem byggir á lögum um lífeyrissjóði, kjarasamningum og ráðningarsamningum. Samskipti við utanaðkomandi aðila kann ennfremur að kalla á vinnslu persónuupplýsinga, s.s. samskipti við tryggingastærðfræðinga í tengslum við mat á tryggingafræðilegri stöðu sjóðsins, sem byggir á lögum um lífeyrissjóði. Hér er ekki um tæmandi talningu að ræða en öll vinnsla sjóðsins með persónuupplýsingar er þeim fyrirvara háð að upplýsingarnar séu fengnar í yfirlýstum, skýrum og málefnalegum tilgangi.

Birta lífeyrissjóður geymir ekki meiri upplýsingar og ekki yfir lengri tíma en nauðsynlegt er til að ná því lögmæta markmiði sem að er stefnt. Í því felst að svo lengi sem tiltekin réttindi eða skyldur verða leidd af persónuupplýsingunum, samkvæmt lögum eða samningi, eru upplýsingarnar varðveittar hjá sjóðnum. Að þeim tíma liðnum er upplýsingunum eytt eða þær gerðar ópersónugreinanlegar ef ómögulegt er að eyða upplýsingunum s.s. vegna tæknilegra annmarka eða af öðrum orsökum.

Sem dæmi um geymslutíma persónuupplýsinga má nefna að persónuupplýsingarnar tengdar lífeyrisréttindum eru geymdar svo lengi sem sjóðfélagi eða erfingjar hans eiga virk réttindi hjá sjóðnum eða geta haft uppi slíka kröfu að teknu tilliti til ákvæða fyrningarlaga.

Persónuupplýsingar vegna lánveitinga eru geymdar út líftíma lánsins að teknu tilliti til ákvæða fyrningarlaga.

Upplýsingar tengdar starfsmannahaldi eru geymdar út ráðningartíma starfsfólks að teknu tilliti til ákvæða fyrningarlaga.

Starfsumsóknir eru geymdar í sex mánuði eftir að þær berast eða ráðið hefur verið í auglýst starf.

Nánari upplýsingar um geymslu- og varðveislutíma gagna sjóðsins má nálgast hjá persónuverndarfulltrúa eða staðgengli hans.

Vinnsla persónuupplýsinga hjá Birtu byggir á lögmætum grunni, þ.e. ýmist lögbundinni heimild eða á grundvelli upplýsts samþykkis. Sem dæmi um hið fyrrnefnda eru iðgjaldaupplýsingar (nafn, kennitala, heimilisfang, vinnuveitandi, fjárhæð iðgjalds og mótframlags, o.s.frv.) sem sjóðurinn vinnur og varðveitir á grundvelli laga laga um lífeyrissjóði og á grundvelli kjarasamnings. Dæmi um hið síðarnefnda er umsókn um lífeyri eða lánsumsókn. Forsenda þess að sjóðurinn geti afgreitt umsókn um lífeyri eða lán er að sjóðnum berist þau gögn sem óskað er eftir á grundvelli upplýsts samþykkis. Í þeim tilvikum þar sem vinnsla persónuupplýsinga byggir á sjálfvirkri gagnavinnslu er slíkt ávallt gert á grundvelli upplýsts samþykkis eða heimildar í lögum.

Í þeim tilvikum þar sem vinnsla persónuupplýsinga grundvallast á samþykki hefur sá sem samþykkið veitti, heimild til að afturkalla samþykki sitt að gættum lögum og reglum sem gilda um starfsemi sjóðsins. Dæmi um slíkt væri afturköllun umsóknar um lán eða lífeyri. Við slíkar aðstæður ber sjóðnum að eyða persónuupplýsingum í vörslu sinni sem fylgdu umsókninni, að gættum lögum og reglum sem gilda um starfsemina.

Skráður einstaklingur, þ.e. sá sem persónuupplýsingarnar varðar getur óskað eftir aðgangi að persónuupplýsingum, óskað eftir að þær verði leiðréttar, þeim eytt eða vinnsla þeirra takmörkuð eða andmælt vinnslu þeirra eða óskað eftir flutningi gagnanna. Svo fremi sem lög sem gilda um skráningu og vinnslu persónuupplýsinga, lög og reglur um starfsemi lífeyrissjóðsins eða tæknilegir annmarkar standa því ekki í vegi, tekur sjóðurinn slíkar beiðnir til greina.