Persónuverndastefna

Persónuverndarsamþykkt Kópavogsbæjar

Kópavogsbær, kt. 700169-3759, Digranesveg 1, 200 Kópavogur (einnig vísað til „sveitarfélagsins“) hefur
einsett sér að tryggja áreiðanleika, trúnað og öryggi persónuupplýsinga sem sveitarfélagið og allar
undirstofnanir þess vinna með. Sveitarfélagið hefur á þeim grundvelli sett sér svohljóðandi
persónuverndarsamþykkt og með því uppfyllt ákvæði laga nr. 90/2018 um persónuverndarstefnu:

1. Tilgangur og gildissvið

Kópavogsbær leitast við að uppfylla í hvívetna þá persónuverndarlöggjöf sem er í gildi hverju sinni og
er samþykkt þessi byggð á lögum nr. 90/2018 um persónuvernd og meðferð persónuupplýsinga
(„persónuverndarlög“), sbr. persónuverndarreglugerð Evrópusambandsins 2016/679.
Með samþykkt þessari leggur sveitarfélagið áherslu á mikilvægi þess að gætt sé að því að öll vinnsla
persónuupplýsinga innan sveitarfélagsins fari fram í samræmi við gildandi persónuverndarlöggjöf.
Samþykktin gildir um sérhverja vinnslu persónuupplýsinga innan Kópavogsbæjar. Þegar vísað er til
sveitarfélagsins í samþykkt þessari er einnig átt við stofnanir og nefndir og ráð á vegum þess.
Samþykktin gildir einnig þegar þriðja aðila hefur verið falin verkefni eða starfsemi á vegum
sveitarfélagsins.
Persónuverndarsamþykkt þessi lýsir vinnslu sveitarfélagsins á persónuupplýsingum. Sveitarfélagið mun
auk þess leitast við að veita þeim einstaklingum þar sem unnið er með persónuupplýsingar nánari
fræðslu um þá vinnslu sem sveitarfélagið hefur með höndum hverju sinni, eftir því sem við á. Ýmsar
stofnanir sveitarfélagsins hafa jafnframt sett sér sína eigin persónuverndarsamþykkt og vísast einnig til
þeirra þar sem það á við.

2. Vinnsla persónuupplýsinga

Persónuupplýsingar í skilningi samþykktar þessarar eru hvers kyns upplýsingar um persónugreindan
eða persónugreinanlegan einstakling, þ.e. upplýsingar sem hægt er að rekja beint eða óbeint til
ákveðins einstaklings, s.s. með tilvísun í auðkenni eins og nafn, kennitölu, netauðkenni eða einn eða
fleiri þætti sem einkenna einstaklinginn, sbr. 4. gr. persónuverndarlaga Upplýsingar sem eru
ópersónugreinanlegar teljast ekki persónuupplýsingar.
Undir hugtakið vinnsla fellur öll notkun og meðferð persónuupplýsinga, s.s. söfnun, skráning,
varðveisla, birting og eyðing.

3. Hvernig sveitarfélagið vinnur persónuupplýsingar

Öll vinnsla sveitarfélagsins á persónuupplýsingum fer fram í skýrum tilgangi og byggist á lögmætum
grundvelli samkvæmt persónuverndarlögum, upplýsingalögum nr. 140/2012, stjórnsýslulögum nr.
37/1993 og öðrum lögum sem eiga við starfsemi sveitarfélagsins. Gætt er að því að persónuupplýsingar
séu ekki unnar frekar á þann hátt að vinnslan sé ósamrýmanleg hinum upprunalega tilgangi
vinnslunnar. Kópavogsbær mun ekki nota þær persónuupplýsingar sem hann aflar og hefur undir
höndum í öðrum ósamrýmanlegum tilgangi en þeim sem upplýsinganna var aflað í fyrstu, án þess að
afla samþykki frá hinum skráðu.
Sveitarfélagið leggur áherslu á að ekki sé gengið lengra í vinnslu persónuupplýsinga en þörf krefur, til
að ná því markmiði sem stefnt er að með vinnslunni.
bls. 2 af 5
Til þess að tryggja að unnið sé með persónuupplýsingar í samræmi við meginreglur persónuverndarlaga
veitir sveitarfélagið starfsfólki sínu fræðslu og þjálfun í því skyni að skapa almenna og góða þekkingu á
því hvernig skuli umgangastslíkar upplýsingar, meðferð og vinnslu persónuupplýsinga, og hvernig gætt
skuli öryggis þeirra á vettvangi Kópavogsbæjar sem vinnustaðar sem og veitanda þjónustu.

4. Söfnun persónuupplýsinga

Við rekstur á sveitarfélagi safnast óhjákvæmilega ýmsar persónuupplýsingar um mismunandi hópa
einstaklinga og er vinnsla slíkra upplýsinga oft á tíðum nauðsynleg svo sveitarfélagið geti veitt lögbundna þjónustu.
Sveitarfélagið safnar og vinnur t.a.m. með persónuupplýsingar um:
• íbúa, þjónustuþega, umsækjendur og aðra skjólstæðinga sveitarfélagsins; • starfsfólk
sveitarfélagsins; • einstaklinga sem eru í samskiptum við sveitarfélagið; og • tengiliði viðskiptamanna,
birgja, verktaka, ráðgjafa, stofnana og annarra lögaðila sem sveitarfélagið er í samningssambandi við
svo og nemendur leik- og grunnskóla og foreldra/forráðamenn þeirra. Ekki er um tæmandi upptalningu
að ræða.
Kópavogsbær viðheldur vinnsluskrár í starfsemi sinni, en vinnsla sviða og stofnana Kópavogsbæjar á
persónuupplýsingum vegna veittrar þjónustu er skilgreind nánar í vinnsluskrá. Vinnsla gagna er hluti af
lögbundinni þjónustu sem sveitarfélög veita og annarri þjónustu sem Kópavogsbær hefur ákveðið að
veita og byggir á lögum, upplýstu samþykki skráðra aðila eða öðrum heimildum.

5. Eðli persónuupplýsinga sem sveitarfélagið safnar

Kópavogsbær safnar og varðveitir ýmsar persónuupplýsingar um framangreinda flokka einstaklinga
sem nefndir eru í kafla 4, en þó eingöngu upplýsingum sem eru nauðsynlegar og viðeigandi með
hliðsjón af tilgangi vinnslunnar hverju sinni. Þannig er ólíkum persónuupplýsingum safnað um ólíka
flokka einstaklinga og fer vinnsla og söfnun á persónuupplýsingum eftir eðli sambandsins sem er á milli
sveitarfélagsins og viðkomandi einstaklings. Þannig er umfangsmeiri upplýsingum t.d. safnað um
starfsmenn, íbúa, notendur þjónustu og aðra skjólstæðinga sveitarfélagsins, heldur en um aðra, svo
sem tengiliði lögaðila eða einstaklinga sem eru í einstökum og afmörkuðum samskiptum við
sveitarfélagið.
Undir tilteknum kringumstæðum safnar sveitarfélagið viðkvæmum persónuupplýsingum, t.d. við
veitingu félagsþjónustu, í barnaverndarstarfi, skólastarfi eða vegna starfsmannamála. Með
viðkvæmum persónuupplýsingum er átt við upplýsingar um heilsufar, kynhneigð, trúarbrögð, aðild að
stéttarfélagi, þjóðernislegan uppruna o.fl. Sérstök aðgát skal höfð við vinnslu slíkra upplýsinga með
hliðsjón af ákvæðum 11. gr. persónuverndarlaga. Kópavogsbær aflar að mestu persónuupplýsinga
beint frá þeim einstaklingi sem upplýsingarnar varða. Við tilteknar aðstæður geta upplýsingarnar þó
komið frá þriðja aðila, t.d. Þjóðskrá, heilbrigðisstofnun eða öðrum þriðja aðila. Þegar upplýsinga er
aflað frá þriðja aðila mun sveitarfélagið leitast við að upplýsa um slíkt, eftir því sem við á. Magn og eðli
upplýsinganna fer eftir sambandi sveitarfélagsins og þess aðila sem um ræðir. Einstaklingum er
valkvætt að veita persónuupplýsingar, en séu persónuupplýsingar ekki veittar í ákveðnum tilvikum
kann það þó að hafa áhrif á möguleika sveitarfélagsins til að veita þá þjónustu sem um ræðir hverju
sinni.

6. Grundvöllur fyrir söfnun persónuupplýsinga

Kópavogsbær safnar persónuupplýsingum fyrst og fremst til að geta uppfyllt skyldur sínar á grundvelli
laga sem gilda um rekstur og þjónustu sveitarfélaga í því skyni að sinna lögbundnu hlutverki og
bls. 3 af 5
verkefnum sem sveitarfélögum er falið. Sem opinber aðili getur vinnsla sveitarfélagsins verið
nauðsynleg við beitingu þess opinbera valds sem sveitarfélagið fer með. Þá safnar sveitarfélagið einnig
persónuupplýsingum vegna samningssambands sem sveitarfélagið er í, t.d. við starfsfólk eða verktaka,
eða til að koma slíku samningssambandi á. Við vinnslu upplýsinga um birgja og aðra sem eiga í
viðskiptum við Kópavogsbæ vegna kaupa á vöru eða þjónustu fer sú vinnsla fram til að geta efnt
samning við viðkomandi. Þá byggir sveitarfélagið suma vinnslu jafnframt á samþykki hinna skráðu, s.s.
vegna myndbirtingar í skólum og leikskólum, og á lögmætum hagsmunum sveitarfélagsins, s.s. vegna
eftirlits í öryggis- og eignavörsluskyni.
Kópavogsbær skal tryggja að heimild sé fyrir vinnslu persónuupplýsinga. Slík heimild getur verið byggð
á lögum, upplýstu samþykki, samningi eða lögmætum hagsmunum. Til þess að vinnsla sveitarfélagsins
á persónuupplýsingum teljist lögmæt þarf að minnsta kosti eitt eftirfarandi atriða að eiga við:
• hinn skráði einstaklingur hafi gefið sveitarfélaginu samþykki fyrir vinnslu persónuupplýsinga;
• vinnslan sé nauðsynleg vegna samningssambands sveitarfélagsins við tiltekinn aðila; • nauðsynleg til
að vernda brýna hagsmuni einstaklinga eða vegna verk sem unnið er í þágu almannahagsmuna; •
nauðsynleg vegna lögmætra hagsmuna sveitarfélagsins; • nauðsynleg til að stofna, hafa uppi eða verja
réttarkröfur sveitarfélagsins; • eða vinnsla persónuupplýsinga sé nauðsynleg vegna þeirra lögbundnu
skyldna sem hvíla á sveitarfélögum við starfsemi þeirra og rekstur, svo og við beitingu opinbers valds
sem sveitarfélagið fer með.

7. Varðveislutími

Þar sem Kópavogsbær er afhendingarskyldur aðili á grundvelli laga nr. 77/2014 um opinber skjalasöfn
er sveitarfélaginu óheimilt að ónýta eða farga nokkru skjali sem fellur undir gildissvið laganna, nema
með heimild þjóðskjalavarðar. Almennt eru þær persónuupplýsingar sem sveitarfélagið vinnur því
afhentar Héraðsskjalasafni Kópavogs að 30 árum liðnum í samræmi við 1. mgr. 15. gr. laga um opinber
skjalasöfn.

8. Öryggi persónuupplýsinga

Sveitarfélagið grípur til viðeigandi tæknilegra og skipulegra ráðstafana til að vernda
persónuupplýsingar, með sértöku tilliti til eðlis þeirra. Í því felst m.a. vernd gegn óleyfilegri eða
ólögmætri vinnslu sem og óheimilli miðlun, notkun, afritun, uppljóstrun, breytingu eða glötun auk
óheimils aðgangs.
Sveitarfélagið stuðlað að virkri öryggisvitund starfsmanna með viðeigandi fræðslu og þjálfun varðandi
öryggi við vinnslu persónuupplýsinga. Þá hefur Kópavogsbær innleitt viðeigandi ferla, sem og aðrar
persónuverndarráðstafanir sem eru hæfilegar. Þær taka jafnframt mið af eðli og magni
persónuupplýsinganna sem um ræðir og áhættu fyrir einstaklingana. Kópavogsbær gætir öryggis
persónuupplýsinga með viðeigandi tæknilegum og skipulagslegum ráðstöfunum, m.a. með það að
markmiði að koma í veg fyrir mannleg mistök, þjófnað, svik eða aðra misnotkun á upplýsingum.
Kópavogsbær leggur áherslu á að takmarka aðgang að upplýsingum við þá starfsmenn sem
nauðsynlega þurfa slíkan aðgang til að ná fram tilgangi vinnslunnar. Í tilviki tölvuskýjalausna hefur
Kópavogsbær gert skipulags- og tækniráðstafanir til að tryggja öryggi persónuupplýsinga, s.s. með
dulkóðun og aðgangsstýringu.
Komi upp öryggisbrestur sem varðar persónuupplýsingar einstaklinga og hefur í för með sér áhættu
mun sveitarfélagið tilkynna slíkt án tilhlýðilegrar tafar til eftirlitsyfirvalda. Skrá skal frábrigði í gæðakerfi
bæjarins og fylgja verkferlum um það hvernig meðhöndla skuli slíka öryggisbresti í samræmi við kröfur
persónuverndarlaganna.
bls. 4 af 5

9. Miðlun upplýsinga til þriðja aðila

Kópavogsbær kann að miðla persónuupplýsingum til þriðja aðila af mismunandi ástæðum. Þannig geta
þriðju aðilar sem veita sveitarfélaginu þjónustu á sviði upplýsingatækni og á öðrum sviðum haft aðgang
að persónuupplýsingum sem eru til vinnslu af hálfu Kópavogsbæjar í samræmi við gerða
þjónustusamninga og vinnslusamninga, en sveitarfélaginu kann einnig að vera skylt samkvæmt lögum
að afhenda þriðja aðila persónuupplýsingar.
Sveitarfélagið gerir kröfur til þriðja aðila sem hefur aðgang að persónuupplýsingum, um að fyllsta
trúnaðar sé gætt. Jafnframt gerir sveitarfélagið þær kröfur að öryggi og vernd upplýsinganna séu tryggð
í samræmi við reglur sveitarfélagins og persónuverndarlög. Að öðrum kosti verður persónuupplýsingum ekki miðlað til þriðja aðila. Kveða skal á um varðveislu og vistun persónuupplýsinga af
hálfu þriðja aðila í vinnslusamningum sem Kópavogsbær á aðild að.
Kópavogsbær mun ekki nota persónuupplýsingar í öðrum tilgangi eða afhenda þær þriðja aðila, nema
á grundvelli lagaheimildar, stjórnvaldsfyrirmæla, dómsúrskurðar eða skriflegs vinnslusamnings eða
samþykkis hins skráða. Kópavogsbær áskilur sér þó rétt til að afhenda þriðja aðila
ópersónugreinanlegar upplýsingar í vísinda- og rannsóknarskyni eftir því sem lög heimila. Þá mun
sveitarfélagið ekki miðla persónuupplýsingum utan Evrópska efnahagssvæðisins nema slíkt sé heimilt
á grundvelli viðeigandi persónuverndarlöggjafar.

10. Réttindi einstaklinga samkvæmt persónuverndarlögum

Einstaklingar hafa rétt til að vita hvaða persónuupplýsingar sveitarfélagið vinnur um þá og geta eftir
atvikum óskað eftir afriti af upplýsingunum. Þá geta einstaklingar fengið rangar persónuupplýsingar
um sig leiðréttar. Þessi réttur einstaklinga er þó takmörkunum háður þegar um er að ræða lagaskyldu
ábyrgðaraðila til að varðveita upplýsingar á grundvelli laga nr. 77/2014 um opinber skjalasöfn og gildir
því að litlu sem engu leyti um persónuupplýsingar sem sveitarfélög vinna. Þar sem sveitarfélög eru
afhendingarskyld skv. lögum um opinber skjalasöfn þykir rétt að ítreka að Kópavogsbæ er með öllu
óheimilt að eyða skjölum sem falla undir lögin nema með heimild þjóðskjalavarðar, sbr. umfjöllun í 7.
kafla.
Jafnframt geta einstaklingar í ákveðnum tilvikum mótmælt vinnslu persónuupplýsinga og óskað eftir
því að vinnsla þeirra verði takmörkuð.
Í þeim tilvikum er vinnsla sveitarfélagsins byggir á samþykki getur sá sem samþykkið veitti alltaf
afturkallað það. Afturköllun samþykkis skal ekki hafa áhrif á lögmæti vinnslu á grundvelli samþykkis
fram að afturkölluninni, sbr. 3. mgr. 10. gr. persónuverndarlaga. Sveitarfélagið virðir framangreind
réttindi einstaklinga samkvæmt persónuverndarlögum.
Beiðnir einstaklinga um að neyta réttar síns samkvæmt persónuverndarlögum skulu berast í gegnum
beiðnaform á mínum síðum í íbúagátt á heimasíðu Kópavogsbæjar, þó hægt sé að taka á móti beiðnum
með öðrum hætti. Nauðsynlegt er að sanna á sér deili til að geta neytt ofangreindra réttinda og þá geta
þau verið háð takmörkunum sem leiða m.a. af lögum eða hagsmunum annarra sem upplýsingarnar
varða. Beiðnir einstaklinga um afrit að persónuupplýsingum sem sveitarfélagið vinnur um þá skulu
afmarkaðar við tiltekin gögn eða tiltekin mál eins og kostur er. Leitast er við að svara öllum beiðnum
innan mánaðar frá viðtöku þeirra. Sé um að ræða umfangsmikla eða flókna beiðni mun sveitarfélagið
upplýsa um slíkar tafir innan mánaðar, ásamt ástæðum fyrir töfinni, og leitast við að svara í síðasta lagi
innan þriggja mánaða frá viðtöku á beiðni.
Upplýsingar sem veittar eru skulu vera án endurgjalds. Hafi beiðni í för með sér ljósritun/prentun í
miklu magni eða sé beiðni frá einstaklingi augljóslega tilefnislaus eða óhófleg, einkum vegna
bls. 5 af 5
endurtekningar, er Kópavogsbæ heimilt að innheimta gjald skv. gjaldskrá fyrir ljósritun og prentun nr.
306/2009 og/eða setja upp sanngjarnt gjald með tilliti til kostnaðs við upplýsingagjöfina eða að neita
að verða við beiðninni. Það skal vera sveitarfélagsins að sýna fram á að beiðni sé tilefnislaus eða óhófleg
samkvæmt 17. gr. persónuverndarlaga, og 12. gr. almennu persónuverndarreglugerðarinnar.

11. Ábyrgð á grundvelli persónuverndarlaga

Ábyrgð á þeirri vinnslu persónuupplýsinga sem fer fram innan sveitarfélagsins er mismunandi eftir því
hvort sveitarfélagið sjálft, einstök svið þess eða stofnanir á vegum þess ákveður tilgang og aðferð við
vinnsluna. Þannig eru grunnskólar sveitarfélagsins t.a.m. ábyrgðaraðilar þeirra persónuupplýsinga sem
þeir vinna.

12. Fyrirspurnir og kvörtun til Persónuverndar

Hafi einstaklingar spurningar um persónuverndarsamþykkt þessa eða hvernig sveitarfélagið varðveitir
eða vinnur persónuupplýsingar að öðru leyti, geta þeir ávallt haft samband við persónuverndarfulltrúa
Kópavogsbæjar, sjá kafla 13, sem mun leitast við að svara fyrirspurnum og leiðbeina einstaklingum um
réttindi þeirra samkvæmt persónuverndarsamþykkt þessari og persónuverndarlögum.
Telji einstaklingur vinnslu Kópavogsbæjar á persónuupplýsingum ekki vera í samræmi við lög eða
reglugerðir, getur hann lagt fram kvörtun hjá Persónuvernd (http://www.personuvernd.is) sem annast
eftirlit.

13. Persónuverndarfulltrúi

Persónuverndarfulltrúi Kópavogsbæjar hefur umsjón með eftirfylgni við persónuverndarsamþykkt
þessari og framfylgni við persónuverndarlög. Persónuverndarfulltrúi sinnir jafnframt því hlutverki að
fræða starfsmenn sveitarfélagsins um skyldur sínar samkvæmt persónuverndarlögunum og leysa úr
álitaefnum á sviði persónuverndar.
Hægt er að hafa samband við persónuverndarfulltrúa sveitarfélagsins með því að senda honum tölvupóst á netfangið personuvernd@kopavogur.is
Samskiptaupplýsingar sveitarfélagsins:
Skrifstofur Kópavogsbæjar, Digranesvegur 1, 200 Kópavogur. Sími 441-1000,
nánari upplýsingar á vef sveitarfélagins, www.kopavogur.is

14. Endurskoðun

Kópavogsbæ er heimilt að breyta samþykkt þessari án fyrirvara, í samræmi við breytingar á gildandi
lögum og reglugerðum. Allar breytingar verða birtar á vef sveitarfélagsins og taka gildi frá birtingu
þeirra.
Persónuverndarsamþykkt Kópavogsbæjar var samþykkt af bæjarstjórn Kópavogs þann 27. október
2021 og öðlast þegar gildi.