Miðlun persónuupplýsinga frá heilbrigðisstofnun til Embættis landlæknis
Mál nr. 2021061273
Persónuvernd úrskurðaði í máli þar sem kvartað var yfir miðlun persónuupplýsinga um kvartanda í erindi heilbrigðisstofnunar til Embættis landlæknis í tengslum við brot kvartanda í starfi. Niðurstaða Persónuverndar var sú að upplýsingarnar sem fram komu í erindi heilbrigðisstofnunarinnar til landlæknis hefðu staðið í svo nánum tengslum við brot kvartanda í starfi að heimilt væri að tiltaka þær sérstaklega í erindinu.
Úrskurður
um kvörtun yfir miðlun persónuupplýsinga til Embættis landlæknis af hálfu [heilbrigðisstofnunarinnar X] í máli nr. 2021061273:
I.
Málsmeðferð
Hinn 3. júní 2021 barst Persónuvernd kvörtun frá [lögmanni f.h. A] (hér eftir kvartandi) yfir miðlun viðkvæmra persónuupplýsinga um [kvartanda] til Embættis landlæknis. Nánar tiltekið laut kvörtunin að því að [heilbrigðisstofnunin X] hefði miðlað til Embættis landlæknis [heilsufarsupplýsingum um kvartanda].
Persónuvernd bauð [X] að tjá sig um kvörtunina með bréfi, dags. 28. júlí 2021, og bárust svör félagsins þann 12. ágúst s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör [X] með bréfi, dags. 3. september 2021, og bárust þær með tölvupósti 17. s.m. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.
Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.
Ágreiningur er um hvort [X] hafi haft heimild til þess að miðla persónuupplýsingum um kvartanda í erindi félagsins til Embættis landlæknis vegna [brots kvartanda í starfi].
Kvartandi telur að [X], þar sem kvartandi starfaði sem [heilbrigðisstarfsmaður], hafi miðlað viðkvæmum persónuupplýsingum um [kvartanda í tilkynningu X til Embættis landlæknis vegna meints brots kvartanda í starfi] . Nánar tiltekið hafi verið um að ræða [heilsufarsupplýsingar um kvartanda]. Telur kvartandi þær upplýsingar hafa verið algerlega óviðkomandi því máli sem var tilefni bréfsins til landlæknis. [Á fundi kvartanda með stjórnendum X vegna meints brots í starfi hafi kvartandi veitt stjórnendum tilteknar upplýsingar um heilsufar sitt].
[X] telur vafa leika á um hvort miðlunin sem um ræðir falli undir lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga þar sem upplýsingarnar séu ekki fengnar úr skrám [X] heldur hafi þær komið munnlega frá [kvartanda á fundi með stjórnendum X]. Verði talið að um sé að ræða vinnslu persónuupplýsinga sem falli undir lög nr. 90/2018 sé byggt á vinnsluheimild í 3. tölul. 9. gr. laganna, þ.e. um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu. Er vísað til þess að skýr lagaskylda hvíli á heilbrigðisstofnunum til að tilkynna atvik af því tagi sem hér um ræðir til Embættis landlæknis. [Að mati X hafi þær upplýsingar sem kvartandi hafi veitt um heilsufar sitt haft þýðingu í málinu]. Af hálfu [X] er bent á að engum upplýsingum um kvartanda hafi verið miðlað öðrum en þeim sem [kvartandi hafi sjálfur veitt á fundi með stjórnendum X þegar kvartandi hafi viðurkennt brot sitt]. Jafnframt er vísað til þess af hálfu [X] að hægt sé að heimfæra vinnsluna undir 5. og 6. tölul. 9. gr. laga nr. 90/2018, sem og 3., 7., 8., og 9. tölul. 1. mgr. 11. gr. sömu laga. Þá sé ekki talið að brotið hafi verið gegn meginreglum 8. gr. laganna.
II.
Niðurstaða
Mál þetta lýtur að miðlun persónuupplýsinga um kvartanda í erindi frá [X] til Embættis landlæknis. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.[1][X] telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.
Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Eins og hér háttar til kemur þar helst til skoðunar heimild til vinnslu persónuupplýsinga sem nauðsynlegt er til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins.
Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna, sbr. 15. tölul. 1. mgr. 4. gr. reglugerðar (ESB) 2016/679, eru heilsufarsupplýsingar viðkvæmar, en af kvörtun verður ráðið að unnið hafi verið með upplýsingar um heilsufar kvartanda. Í umræddu bréfi [X] til Embættis landlæknis [komu fram upplýsingar um kvartanda, sem að mati Persónuverndar teljast að hluta til vera heilsufarsupplýsingar í skilningi b-liðar 3. tölul. 3. gr. laga nr. 90/2018, sbr. 15. tölul. 1. mgr. 4. gr. reglugerðar (ESB) 2016/679. Hins vegar er það mat Persónuverndar að aðrar upplýsingar, sem miðlað var og kvörtunin tekur til, falli ekki undir sömu skilgreiningu og séu því ekki viðkvæmar persónuupplýsingar].
Hvað varðar miðlun viðkvæmra persónuupplýsinga um kvartanda kemur einkum til skoðunar, eins og hér háttar til, 9. tölul. 1. mgr. 11. gr. laga nr. 90/2018, þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu, svo sem til að tryggja gæði og öryggi heilbrigðisþjónustu, sbr. i-lið 2. mgr. 9. gr. reglugerðar (ESB) 2016/679.
Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).
Við mat á heimild til vinnslu og því hvort farið hafi verið að framangreindum meginreglum verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Kveðið er á um þagnarskyldu heilbrigðisstarfsmanna í lögum um réttindi sjúklinga nr. 74/1997 og lögum um heilbrigðisstarfsmenn nr. 34/2012. Samkvæmt e-lið 1. mgr. 4. gr. laga um landlækni og lýðheilsu nr. 41/2007 er það eitt meginhlutverka embættisins að hafa eftirlit með heilbrigðisþjónustu og heilbrigðisstarfsmönnum, sbr. ítarlegri ákvæði laganna þar um. Þá hvílir m.a. tilkynningarskylda á heilbrigðisstofnunum og öðrum sem veita heilbrigðisþjónustu til Embættis landlæknis um óvænt atvik sem valdið hafa eða hefðu getað valdið sjúklingi alvarlegu tjóni, svo sem dauða eða varanlegum örkumlum, sbr. 10. gr. laganna.
Sem fyrr segir hefur landlæknir eftirlit með störfum heilbrigðisstarfsmanna og fylgist með því að þeir fari að ákvæðum heilbrigðislöggjafar, sbr. m.a. e-lið 1. mgr. 4. gr. laga nr. 41/2007 um landlækni og lýðheilsu. Til þess að landlækni sé unnt að rækja skyldur sínar samkvæmt framangreindu getur verið nauðsynlegt að heilbrigðisstofnanir tilkynni embættinu um meint brot á starfsskyldum starfsmanna sinna, en að mati Persónuverndar verður ekki litið svo á að slíkar tilkynningar beri að einskorða við þau atvik sem 10. gr. laga nr. 41/2007 tekur til.
Fyrir liggur í þessu máli að kvartandi hafði viðurkennt [brot í starfi sínu] og var tilkynning þess efnis send til Embættis landlæknis. [Að mati Persónuverndar stóðu þær upplýsingar sem fram komu í erindi [X] til Embættis landlæknis í svo nánum tengslum við brot kvartanda í starfi að heimilt var að tiltaka þær sérstaklega í erindi [X] til landlæknis], sbr. þær heimildir til vinnslu persónuupplýsinga samkvæmt lögum nr. 90/2018 og reglugerð (ESB) 2016/679 sem fyrr eru nefndar. Þá verður ekki séð að miðlunin hafi brotið gegn meginreglum 1. mgr. 8. gr. laganna og 1. mgr. 5. gr. reglugerðarinnar.
Í samræmi við þetta telur Persónuvernd að miðlun [X] á viðkvæmum persónuupplýsingum um kvartanda til Embættis landlæknis hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.
Ú r s k u r ð a r o r ð:
Miðlun [X] á heilsufarsupplýsingum um [A] til Embættis landlæknis samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679.
Persónuvernd, 24. júní 2022
Helga Sigríður Þórhallsdóttir Steinunn Birna Magnúsdóttir
[1] Persónuvernd annast eftirlit með framkvæmd laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, reglugerðar (ESB) 2016/679 (almennu persónuverndarreglugerðarinnar) og laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi.