Álit um miðlun bólusetningar- og mótefnavottorða frá heilsugæslu til embættis ríkislögreglustjóra

Mál nr. 2021101969

21.12.2021

Álit

Hinn 16. desember 2021 samþykkti Persónuvernd svohljóðandi álit í máli nr. 2021101969:

I.

Álitsbeiðni

Hinn 11. október 2021 barst Persónuvernd erindi embættis ríkislögreglustjóra þar sem óskað var álits Persónuverndar á því hvort heilsugæslustöðvum sé heimilt að miðla mótefna- eða bólusetningarvottorðum einstaklinga sem fylgja á úr landi á grundvelli laga nr. 80/2016, um útlendinga, til lögreglu. Fyrir liggi ákvarðanir stjórnvalda um brottvísanir og frávísanir einstaklinga frá landinu, sbr. 2. og 10. tölul. 3. gr. laga nr. 80/2016, og annist stoðdeild embættis ríkislögreglustjóra lögreglufylgdir þeirra til móttökuríkis. Nú á tímum heimsfaraldurs krefjist móttökuríki í mörgum tilfellum þess að einstaklingur framvísi mótefna- eða bólusetningarvottorði á landamærum sem skilyrði fyrir inngöngu í hlutaðeigandi ríki. Neiti einstaklingur, sem fylgja á úr landi á grundvelli ákvörðunar stjórnvalds, að afhenda slíkt vottorð sé ákveðinn ómöguleiki til staðar þar sem heilsugæslan telji sér ekki heimilt að miðla slíkum vottorðum til lögreglu. Einungis sé átt við þau tilvik þar sem miðlun vottorðs til lögreglu sé nauðsynleg til að unnt sé að framfylgja ákvörðun um frávísun eða brottvísun úr landi.

Fram kemur að embætti ríkislögreglustjóra annist framkvæmd brottvísana og frávísana umsækjenda um alþjóðlega vernd, framsal og fangaflutninga á grundvelli sérstaks samnings við dómsmálaráðuneytið samkvæmt 23. reglugerðar nr. 325/2021 um starfsemi, hlutverk og ábyrgð embættis ríkislögreglustjóra, sbr. 3. mgr. 5. gr. lögreglulaga nr. 90/1996. Um framkvæmd frávísunar og brottvísunar, sem og þvingunar- og rannsóknarúrræði, fari samkvæmt XII. og XIII. kafla laga nr. 80/2016. Stoðdeild ríkislögreglustjóra beri að tryggja, áður en lögreglufylgd geti hafist, að ekki séu til staðar ástæður sem komi í veg fyrir framkvæmd flutnings, meðal annars á grundvelli heilbrigðisástæðna. Krefjist móttökuríki þess að mótefna- eða bólusetningarvottorði sé framvísað og einstaklingur neitar að afhenda slíkt vottorð til lögreglu geti fylgdin ekki átt sér stað þar sem viðkomandi einstaklingi yrði ekki heimiluð innganga í móttökuríkið.

Persónuvernd óskaði eftir viðbótarupplýsingum frá embætti ríkislögreglustjóra um grundvöll skyldu stoðdeildar embættisins til að tryggja að ekki séu til staðar ástæður sem komi í veg fyrir flutning. Barst svar embættis ríkislögreglustjóra með tölvupósti 3. nóvember 2021. Þar kemur fram að samkvæmt 1. tölul. E-liðar verklagsreglna og leiðbeininga ríkislögreglustjóra um frávísun og brottvísun frá 8. febrúar 2006 beri lögregla ábyrgð á að flutningur gangi snurðulaust alla leið til viðtökuríkis. Þá þurfi, samkvæmt leiðbeiningum Landamærastofnunar Evrópu, Frontex, að fylla út sérstök eyðublöð þegar um er að ræða flug á vegum stofnunarinnar. Meðal þess sem meta þurfi sé hvort einstaklingur geti ferðast með flugi (e. fit to fly). Slíkt mat sé enn fremur hluti af áhættumati einstaklings sem lögreglu beri að framkvæma áður en ferð er farin. Samkvæmt gildandi samningi Útlendingastofnunar og embættis ríkislögreglustjóra um verkefni stoðdeildar embættisins, dags. 25. nóvember 2019, skuli stoðdeild annast framkvæmd allra ákvarðana Útlendingastofnunar um frávísanir og brottvísanir í samræmi við verklagsreglur þar um.

II.

Álit Persónuverndar

1.

Lagaumhverfi – gildissvið laga nr. 75/2019 og laga nr. 90/2018

Mál þetta lýtur að miðlun mótefna- og bólusetningarvottorða einstaklinga frá heilsugæslu til embættis ríkislögreglustjóra án þess að fengið sé samþykki hlutaðeigandi einstaklinga eða sérstakrar heimildar aflað með dómsmeðferð, sbr. 16. gr. laga nr. 80/2016, um útlendinga. Að því virtu varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Ríkislögreglustjóri telst lögbært yfirvald í skilningi laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi, sbr. 11. tölul. 2. gr. laganna. Fer því samkvæmt þeim lögum um vinnslu persónuupplýsinga á vegum embættisins sem fram fer í löggæslutilgangi. Samkvæmt 8. tölul. 2. gr. laga nr. 75/2019 er löggæslutilgangur sá tilgangur að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda og koma í veg fyrir ógnir við almannaöryggi.

Samkvæmt 1. mgr. 1. gr. laga nr. 80/2016, um útlendinga, gilda ákvæði laganna um heimild útlendinga til að koma til landsins, dvöl þeirra hér og rétt til alþjóðlegrar verndar. Útlendingastofnun tekur ákvörðun um frávísun eftir komu til landsins, sem og aðrar ákvarðanir samkvæmt XII. kafla laga nr. 80/2016, sbr. 1. mgr. 106. gr. a þeirra. Þá annast Útlendingastofnun og lögregla framkvæmd ákvarðana um frávísun og brottvísun, sbr. 7. mgr. 104. gr. laganna. Refsiákvæði er að finna í 116. gr. laga nr. 80/2016 en hvorki verður ráðið af ákvæðinu né af lögunum að öðru leyti að líta skuli á frávísun eða brottvísun sem refsiviðurlög.

Með hliðsjón af framangreindum lagaákvæðum er það mat Persónuverndar að framkvæmd ákvarðana Útlendingastofnunar um frávísun eða brottvísun samkvæmt lögum nr. 80/2016 sé ekki þess eðlis að hún verði felld undir skilgreiningu laga nr. 75/2019 á hugtakinu löggæslutilgangur. Af því leiðir að um þá vinnslu embættis ríkislögreglustjóra sem hér um ræðir fer eftir lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

2.

Ábyrgðaraðilar

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölulið 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar.

Eins og hér háttar til telst embætti ríkislögreglustjóra vera ábyrgðaraðili móttöku mótefna- og bólusetningarvottorða og eftirfarandi vinnslu þeirra persónuupplýsinga sem þau hafa að geyma. Heilsugæslustöðvar sem miðla slíkum vottorðum til embættisins teljast ábyrgar fyrir þeirri miðlun. Með vísan til þessa er um tvo sjálfstæða ábyrgðaraðila að ræða.

3.

Lögmæti vinnslu

3.1.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, eða ef vinnslan er nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með, sbr. 5. tölul. lagaákvæðisins og e-lið reglugerðarákvæðisins.

Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laga nr. 90/2018, sbr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar viðkvæmar, en af erindi embættis ríkislögreglustjóra er ljóst að óskað er álits á miðlun heilsufarsupplýsinga, þ.e. mótefna- og bólusetningarvottorða. Hér kemur einkum til skoðunar 9. tölul. 1. mgr. 11. gr. laganna, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu, svo sem til að verjast alvarlegum heilsufarsógnum sem ná yfir landamæri, og fara fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skuli unnar með þeim hætti að viðeigandi öryggi persónuupplýsinganna sé tryggt (6. tölul.).

3.2.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Eins og hér háttar til koma þar einkum til skoðunar lög nr. 80/2016, um útlendinga, svo og lög nr. 34/2012, um heilbrigðisstarfsmenn. Samkvæmt 7. mgr. 104. gr. fyrrnefndu laganna annast Útlendingastofnun og lögregla framkvæmd ákvarðana um frávísun og brottvísun. Ríkislögreglustjóri annast framkvæmdina á grundvelli 23. gr. reglugerðar nr. 325/2021 um starfsemi, hlutverk og ábyrgð embættis ríkislögreglustjóra, sbr. 3. mgr. 5. gr. lögreglulaga nr. 90/1996. Samkvæmt 1. mgr. 17. gr. laga nr. 80/2016 er tilteknum stjórnvöldum, þ. á m. lögreglu, heimil vinnsla persónuupplýsinga útlendinga að fullnægðum heimildarákvæðum laga um persónuvernd og vinnslu persónuupplýsinga, sem og að því marki sem mælt er fyrir um heimildir til slíkrar vinnslu í lögunum.

Að mati Persónuverndar felur framkvæmd ákvarðana um frávísun og brottvísun samkvæmt lögum nr. 80/2016 í sér beitingu opinbers valds af hálfu Útlendingastofnunar og lögreglu í skilningi 5. tölul. 9. gr. laga nr. 90/2018, sbr. e-lið 6. gr. reglugerðar (ESB) 2016/679, enda er um að ræða verkefni sem þeim er falið með lögum. Mat á því hvort hlutaðeigandi ákvæði laga nr. 80/2016, um útlendinga, feli í sér fullnægjandi lagagrundvöll fyrir öflun mótefna- og bólusetningarvottorða einstaklinga sem fylgja á úr landi á grundvelli slíkra ákvarðana ræðst hins vegar af túlkun þeirra í samhengi við ákvæði laga nr. 34/2012, um heilbrigðisstarfsmenn.

Í 17. gr. laga nr. 34/2012 er mælt fyrir um trúnað og þagnarskyldu heilbrigðisstarfsmanna. Skulu þeir gæta fyllstu þagmælsku um allt það sem þeir komast að í starfi sínu. Þetta gildir þó ekki bjóði lög annað eða rökstudd ástæða er til að rjúfa þagnarskyldu vegna brýnnar nauðsynjar, sbr. 1. mgr. ákvæðisins. Í athugasemdum með 17. gr. frumvarpsins er varð að lögum nr. 34/2012 segir að dæmi um slík ákvæði sé að finna í IV. kafla barnaverndarlaga, nr. 80/2002, þar sem fjallað er um tilkynningarskyldu þeirra sem hafa afskipti af börnum. Í kaflanum komi jafnframt fram að tilkynningarskylda samkvæmt ákvæðinu gangi framar ákvæðum laga um þagnarskyldu hlutaðeigandi starfsstétta.

Í fyrrnefndri 1. mgr. 17. gr. laga nr. 80/2016, um útlendinga, eru taldir upp þeir aðilar sem er heimil vinnsla persónuupplýsinga á grundvelli laganna. Meðal þeirra eru Útlendingastofnun, Þjóðskrá Íslands, barnaverndaryfirvöld og lögregla. Hvorki heilbrigðisstofnanir né heilbrigðisstarfsmenn eru meðal þeirra aðila sem tilgreindir eru í ákvæðinu og því ekki kveðið á um samspil þess við ákvæði um trúnað og þagnarskyldu hinna síðarnefndu. Þá verður ekki annað ráðið af orðalagi 17. gr. laga nr. 80/2016 en að því sé ætlað að vera tæmandi að því er varðar þá aðila sem ákvæðið nær til.

Í ljósi framangreinds er það mat Persónuverndar að lög nr. 80/2016, um útlendinga, séu ekki orðuð með nægilega skýrum hætti til að víkja megi frá trúnaðar- og þagnarskyldu heilbrigðisstarfsmanna samkvæmt 17. gr. laga nr. 34/2012. Að óbreyttu er heilsugæslum og eftir atvikum öðrum heilbrigðisstofnunum því ekki heimilt að afhenda embætti ríkislögreglustjóra mótefna- eða bólusetningarvottorð án samþykkis hlutaðeigandi einstaklinga eða dómsmeðferðar, sbr. 16. gr. laga nr. 80/2016.

Á l i t s o r ð

Með hliðsjón af 17. gr. laga nr. 34/2012, um heilbrigðisstarfsmenn, fela lög nr. 80/2016, um útlendinga, að óbreyttu ekki í sér fullnægjandi heimild fyrir öflun embættis ríkislögreglustjóra á mótefna- og bólusetningarvottorðum frá heilsugæslum og öðrum heilbrigðisstofnunum án samþykkis þeirra einstaklinga sem í hlut eiga eða dómsmeðferðar.

Persónuvernd, 16. desember 2021

Ólafur Garðarsson
formaður

Björn Geirsson                                    Sindri M. Stephensen

Vilhelmína Haraldsdóttir                   Þorvarður Kári Ólafsson