1. Almennt
Ljósleiðarinn er fjarskiptafyrirtæki í eigu Orkuveitu Reykjavíkur og starfar skv. lögum nr. 81/2003 um fjarskipti. Hlutverk Ljósleiðarans er að veita íslenskum heimilum aðgengi að hágæða þjónustu á opnu aðgangsneti. Þessa þjónustu selur Ljósleiðarinn viðskiptavinum gegn greiðslu.
Á milli Ljósleiðarans og viðskiptavina er samningssamband um veitingu á vöru og eða þjónustu. Svo unnt sé að veita og afhenda hana þarf fyrirtækið að afla, skrá, vista og vinna persónuupplýsingar um viðskiptavini svo Ljósleiðarinn geti uppfyllt skyldur sínar gagnvart viðkomandi viðskiptavini. Ekki er um vinnslu viðkvæmra persónuupplýsinga að ræða.
Gagnvart viðskiptavini ábyrgist Ljósleiðarinn að öll vinnsla persónuupplýsinga af hálfu fyrirtækisins samræmist Upplýsingaöryggisstefnu Ljósleiðarans (STE-350), lögum um persónuvernd og vinnslu persónuupplýsinga og reglum sem settar eru samkvæmt þeim. Í greinargerð þessari sem sett er til fyllingar stefnunni er að finna upplýsingar og fræðslu um þau atriði sem Ljósleiðarinn ber að veita vegna öflunar og vinnslu persónuupplýsinga um viðskiptavini.
2. Tilgangur vinnslu persónuupplýsinga um viðskiptavini
Ljósleiðarinn safnar og vinnur tilgreindar persónuupplýsingar um viðskiptavini í þeim tilgangi að geta veitt honum þá vöru og þá þjónustu sem samið er um að Ljósleiðarinn veiti og innheimti fyrir þá þjónustu áskilið endurgjald. Einnig svo unnt sé að tryggja ætíð bæði bestu mögulegu gæði vöru og þjónustu.
Tilgangur með vinnslu persónuupplýsinga getur einnig verið annar en greint er frá hér að framan. Til dæmis heldur Ljósleiðarinn úti rafrænni vöktun þar sem tilgangurinn er sértækur hverju sinni en slík vinnsla fer einkum fram til að tryggja gæði þjónustu Ljósleiðarans og í öryggis- og eignavörsluskyni: Myndavélaeftirlit í og við mannvirki Ljósleiðarans, símavöktun í þjónustuveri, ökuritar í bifreiðum Ljósleiðarans og með talstöðvum á Tetra samskiptakerfinu. Um rafræna vöktun gilda reglur persónuverndar um rafræna vöktun og leiðbeiningarskjöl í rekstrarhandbók Ljósleiðarans, en þar er fjallað m.a. um tilgang vöktunar hverju sinni, hverjir sæti henni, hvar og hvenær henni er beitt, hverjar skyldur Ljósleiðarans eru í þeim efnum og hver réttindi starfsmanns eru.
Ljósleiðarinn ábyrgist að persónuupplýsingar um viðskiptavini verði ekki notaðar í öðrum tilgangi en þeim sem afmarkaður er hér að framan nema með fullri vitneskju og eða samþykki viðskiptavinar.
3. Á hvaða heimild byggir vinnsla persónuupplýsinga um viðskiptavini
Vinnsla persónuupplýsinga um viðskiptavini er einkum nauðsynleg vegna framkvæmdar á samningi milli Ljósleiðarans og viðkomandi einstaklings um veitingu fyrirtækisins á vöru og eða þjónustu. Að auki kann einhver vinnsla að byggjast á lögum, t.a.m. lögum um opinber skjalasöfn nr. 77/2014, lögum um bókhald nr. 145/1994 og lögum um ársreikninga nr. 3/2006.
Þar sem samþykki er grundvöllur vinnslu persónuupplýsinga um viðskiptavini, gilda um það sérstakir skilmálar sem viðskiptavinur hefur undirgengist þegar hann veitti samþykkið. Slíkum skilmálum verður ekki breytt nema að fengnu samþykki viðskiptavinar.
4. Tegund persónuupplýsinga sem unnið er með
Ljósleiðarinn safnar og vinnur einkum úr eftirfarandi upplýsingum um viðskiptavini:
a. Nafn
b. Kennitala
c. Heimilisfang
d. Símanúmer
e. Netfang
f. Bankareikninga
g. Greiðslukortaupplýsingar sem eru dulkóðaðar í sólarhring og svo eytt
h. Bilanasaga – rekstrartruflanir
i. Vanskilaupplýsingar
j. Samskiptaupplýsingar
k. Umsóknir um þjónustu/vöru
l. Hljóðritanir símtala í þjónustuver Ljósleiðarans
m. Gæslumyndavélar á almennum svæðum í og við starfsstöðvar
n. Upplýsingar varðandi fjarskiptasamband
Þegar viðskiptavinur á í samskiptum við Ljósleiðarann á samfélagsmiðlum, t.d. sendir inn upplýsingar og/eða fyrirspurnir, gilda reglur viðkomandi miðils um vernd og vistun persónuupplýsinga. Þar sem við á færir Ljósleiðarinn viðkomandi samskipti / upplýsingar yfir í sín kerfi og fer þar um vernd og vistun þeirra skv. persónuverndarstefnu Ljósleiðarans og reglum settum til innleiðingar á henni.
5. Vafrakökur
Ljósleiðarinn safnar upplýsingum með notkun á vafrakökum. Vafrakökur eru litlar textaskrár sem geymdar eru á vafra notenda. Við notum vafrakökur á vefsíðu okkar til að auðkenna notendur. Notkun á vafrakökum gerir okkur því kleift að veita notendum betri upplifun og stuðla að frekari þróun vefsíðunnar.
Ljósleiðarinn styðst við ýmsar tegundir vafrakakna á vefsíðu sinni, en þær er í fyrsta lagi nauðsynlegar vafrakökur sem tryggja rétta virkni vefsíðunnar. Í öðru og þriðja lagi tölfræði- og stillinga vafrakökur sem safna nafnlausum tölfræðiupplýsingum og muna stillingar notenda á vefsíðunni og í fjórða lagi vafrakökur sem notaðar eru í markaðslegum tilgangi, en þær safna upplýsingum um virkni notenda í þeim tilgangi að sníða auglýsingar og annað efni að hverjum notanda.
Fyrir nánari upplýsingar um vinnslu persónuupplýsinga hjá Ljósleiðaranum með vafrakökum vísast til fræðslu um vafrakökur á vefsíðu fyrirtækisins.
6. Viðtakendur persónuupplýsinga um viðskiptavini
Upplýsingar um viðskiptavini eru vistaðar hjá Ljósleiðaraum eða á vegum fyrirtækisins á Íslandi eða hjá samstarfsaðila innan EES-svæðisins þar sem reglur um meðferð persónuupplýsinga eru þær sömu og á Íslandi. Persónuupplýsingar verða ekki afhentar þriðja aðila nema á grundvelli lagaheimildar, stjórnvaldsfyrirmæla, dómsúrskurðar, vinnslusamnings eða samþykkis viðskiptavinar.
7. Varðveislutími – Hversu lengi persónuupplýsingar um viðskiptavini eru varðveittar
Ljósleiðarinn vistar persónuupplýsingar um viðskiptavini í þann tíma sem lög gera ráð fyrir og nauðsynlegt er m.v. tilgang vinnslunnar. Þar sem Ljósleiðarinn er í eigu opinberra aðila lýtur fyrirtækið lögum um opinber skjalasöfn og ber því varðveislu- og skilaskyldu samkvæmt þeim. Eru fyrirtækinu því ákveðnar hömlur settar hvað eyðingu gagna varðar. Þeim gögnum sem heimild stendur til að eytt verði skv. sérstöku leyfi Borgarskjalasafns verður eytt í samræmi við veitta heimild hverju sinni.
8. Réttur viðskiptavinar til andmæla, til aðgangs, leiðréttingar og eyðingar/takmörkunar vinnslu
Viðskiptavinur hefur rétt til að andmæla söfnun Ljósleiðarans á persónuupplýsingum telji hann að hún samræmist ekki tilgangi hennar, meðalhófs sé ekki gætt eða ef hann telur að ná megi sama tilgangi með vægari hætti.
Viðskiptavinur getur óskað eftir því að fá upplýsingar um þá vinnslu sem á sér stað hjá Ljósleiðaranum um hann enda standi hagsmunir annarra ekki í vegi fyrir því. Beiðni þar um skal afgreidd eins fljótt og auðið er og ekki síðar en innan mánaðar frá móttöku beiðni viðskiptavinar þar um.
Viðskiptavinur kann að eiga rétt á að krefjast þess að röngum, villandi eða ófullkomnum persónuupplýsingum um sig verði leiðréttar og eða þeim eytt.
9. Réttur viðskiptavinar til að leggja fram kvörtun og athugasemdir
Vilji viðskiptavinur koma andmælum, kvörtun eða athugasemdum á framfæri vegna vinnslu persónuupplýsinga skal henni beint að fyrirtækinu. Sé ekki brugðist við af hálfu viðkomandi einingar getur viðskiptavinur leitað til persónuverndarfulltrúa samstæðu OR, personuverndarfulltrui@or.is (sjá nánar hér að neðan).
Viðskiptavini er einnig heimilt að bera vinnslu persónuupplýsinga undir Persónuvernd (www.personuvernd.is).
10. Nákvæmni og áreiðanleiki upplýsinga
Ljósleiðarinn ber ábyrgð á áreiðanleika upplýsinga og að upplýsingar um viðskiptavin séu ávallt uppfærðar í samræmi við tilkynningar hans um breytingar og að teknu tilliti til tilgangs vinnslunnar.
Viðskiptavinur ber ábyrgð á að upplýsa Ljósleiðaranum um breytingar sem gera þarf á upplýsingum um hann.
11. Öryggi persónuupplýsinga um viðskiptavini
Ljósleiðarinn tryggir öryggi persónuupplýsinga með tæknilegum og skipulagslegum ráðstöfunum. Um þær ráðstafanir er fjallað nánar í upplýsingaöryggisstefnu Ljósleiðarans og viðeigandi leiðbeiningaskjölum í rekstrarhandbók Ljósleiðarans.
Aðgangur að persónuupplýsingum um viðskiptavini er takmarkaður við þá starfsmenn, sem nauðsynlega þurfa slíkan aðgang til að ná fram tilgangi vinnslunnar. Starfsmenn eru upplýstir og meðvitaðir um skyldu þeirra til að viðhalda trúnaði og öryggi persónuupplýsinga sem þeir hafa aðgang að. Trúnaður og þagnarskylda þeirra gildir áfram þótt látið sé af störfum.
Stjórnunarkerfi upplýsingaöryggis er byggt upp samkvæmt ÍST ISO/IEC 27001:2017 staðlinum. Öryggisráðstafanir í starfsemi Orkuveitunnar eru innleiddar í samræmi við staðalinn. Stjórnunarkerfið er vottað af faggiltum vottunaraðila (BSI).
Að öðru leyti en kveðið er á um hér að framan fer um meðferð persónuupplýsinga um starfsmenn skv. lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, og ráðstöfunum sem innleiddar eru af hálfu Ljósleiðarans á grundvelli þeirra.
Persónuverndarfulltrúi Orkuveitunnar, þar með talið Ljósleiðarinn, er Hörður Helgi Helgason, lögmaður á Landslögum, Borgartúni 26, 105 Reykjavík. Sími 520-2900, personuverndarfulltrui@or.is.