Fræðsla í tengslum við spurningalista skólahjúkrunarfræðings
Úrskurður
Hinn 17. ágúst 2011 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2010/906:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 15. október 2010 barst Persónuvernd kvörtun G (hér eftir nefnd kvartandi) yfir vinnslu persónuupplýsinga um barnið sitt, nemanda við H. Umrædd upplýsingasöfnun fór þannig fram að foreldrar svöruðu spurningalistum um heilsuhagi barna sinna og var þeirri söfnun fylgt eftir í viðtali skólahjúkrunarfræðings við viðkomandi nemendur við skólann. Á listanum voru spurningar um sjúkdóma barnsins, sjón og heyrn, einelti o.þ.h. Gert var ráð fyrir að foreldrar fylltu listann út og skrifuðu undir. Kynningarbréf fylgdi þeim spurningalista sem foreldrar fengu.
Með framangreindri kvörtun til Persónuverndar fylgdu afrit, bæði af framangreindum spurningalista og kynningarbréfinu, og auk þess afrit af tölvupóstssamskiptum kvartanda og skólahjúkrunarfræðingsins.
2.
Bréfaskipti við landlækni
Persónuvernd sendi landlækni bréf, dags. 28. október 2010, til að fá skýringar á lögmæti þeirrar vinnslu sem kvartað var yfir, hvort framkvæmdin byggðist á fyrirmælum hans og hvaða reglur giltu um starf skólahjúkrunarfræðinga. Í svarbréfi Landlæknisembættisins, dags. 31. janúar 2011, segir m.a.:
„Landlæknisembættið óskaði eftir upplýsingum og sjónarmiðum forsvarsmanna skólaheilsugæslunnar í Hafnarfirði Sólvangi, þann 18. nóvember 2010. Svar barst frá forsvarsmönnum skólaheilsugæslunnar í Hafnarfirði Sólvangi, dags. 1. desember 2010 (sjá meðf. skjal).
Fram kemur í svarinu að um sé að ræða upplýsingaöflun frá nemendum sem hægt sé að nýta í fræðslu um almennt heilbrigði nemenda í 6. bekk. Tekið er fram að upplýsingar sem aflað er frá nemendum eru vistaðar sem hluti af sjúkraskrá og meðhöndlaðar sem trúnaðargögn og geymd í læstri hirslu í samræmi við lög um sjúkraskrár nr. 55/2009. Þessi hluti skólaheilsugæslunnar er ekki könnun og gögn eru ekki notuð nema í þágu nemandans og þá sem upplýsingar fyrir foreldri/forráðamenn nemendans til að aðstoða barn sitt.
Samkvæmt reglugerð um heilsugæslustöðvar nr. 787/2007, 15. gr., er það hlutverk heilsugæslu í grunnskólum að annast heilsugæslu í grunnskólum. Þjónustan skal að jafnaði veitt í skólanum. Heilsugæslustöðvar skulu, í samræmi við lög um grunnskóla, hafa samráð við skólanefnd og skólastjóra um skipulagningu og fyrirkomulag heilsugæslunnar.
Landlæknisembættið gaf út leiðbeiningar um skólaheilsugæslu árið 1992 (sjá meðf. skjal). Þar er lögð áhersla á heildræna sýn á heilsu og líðan skólabarna hvað varðar líkamlegt, andlegt og félagslegt heilbrigði. Áherslur þessara leiðbeininga eru enn í gildi en þær krefjast þess að þeir sem sinna heilsugæslu meti heilsu og líðan nemanda og leiti leiða til að bæta og efla heilsu hans.
Samkvæmt lögum um sjúkraskrár nr. 55/2009, er það skylda heilbrigðisstarfsmanns að færa sjúkraskrá. Ennfremur er kveðið á að færa skuli með skipulegum hætti þau atriði sem nauðsynleg eru vegna meðferðar sjúklings. Meðal þess sem kveðið er á um að færa skuli í sjúkraskrá að lágmarki er að skrá atriði heilsufars- og sjúkrasögu sem máli skipta fyrir meðferðina.
Landlæknisembættið telur að upplýsingaöflun hjúkrunarfræðinga heilsugæslu Hvaleyrarskóla í Hafnarfirði falli undir lög og reglugerðir sem kveða á um upplýsingaöflun til færslu sjúkraskráa. Einnig að þær séu í samræmi við leiðbeiningar Landlæknisembættisins um skólaheilsugæslu.“
Í dreifibréfi Landlæknisembættisins nr. 9/1992 sem fylgdi framangreindu svarbréfi, og vísað er til í bréfi embættisins, kemur eftirfarandi fram:
„[Starfshópur, skipaður af landlækni, til að gera áherslubreytingar í skólaheilsugæslu] leggur til að minni áhersla verði lögð á ýmsar líkamlegar skoðanir, en áhersla lögð frekar á aðra þætti, sem eru mikilvægari í því þjóðfélagi sem við búum við í dag. Það er meðal annars að hafa áhrif á lífsstíl barnanna í gegnum ýmiskonar fræðslu og heilbrigðishvatningu. Fylgjast með þeim börnum, sem eiga við einhver vandkvæði að stríða, hvort sem þau eru af líkamlegum, andlegum eða félagslegum toga og finna þau sem eru í áhættuhóp. [...] Starfshópurinn telur nauðsynlegt að aðrir þættir skólaheilsugæslu fái svipaða umfjöllun og reglubundnar skoðanir skólabarna hafi nú fengið. Er þar m.a. átt við heilbrigðisfræðslu og ráðgjöf, aðbúnað skólabarna o.fl. [...]. “
Með bréfi, dags. 8. febrúar 2011, voru kvartanda kynntar athugasemdir Landlæknisembættisins. Svarbréf kvartanda, dags. 10. febrúar 2011, barst Persónuvernd sama dag. Þar segir:
„Það sem ég hafði áhyggjur af varðandi þetta verkefni og varð tilefni til þess að ég snéri mér til Persónuverndar er eftirfarandi:
1. Kynning á verkefninu til foreldra tel ég vera ónóga. Okkur var ekki kynnt hver stóð bak við verkefnið, þ.e. hvort heilsugæslan sjálf, Landlæknir eða þá hjúkrunarfræðingurinn í eigin umboði með samþykki skólans, stæði á bak við verkefnið.
2. Foreldrum var ekki kynnt hvað yrði um gögn sem varðar börnin, hvort og hvernig þau væru skráð, hvernig geymd, til hvaða nota, og hvort foreldrarnir sjálfir hefðu aðgang að gögnunum.
3. Ég sem foreldri gerði fyrirspurn og óskaði eftir meiri upplýsingum frá skólahjúkrunarfræðingi, en fékk ekki nein fullnægjandi svör. Það var ekki fyrr en nokkru seinna, líklega eftir að Persónuvernd og Landlæknisembættið óskuðu eftir gögnum frá skólahjúkrunarfræðingi, að hún hringir í mig og gerir mér betur grein fyrir þessum atriðum sem ég hafði áhyggjur af.
4. Það var ekki rætt við foreldra hvort þátttaka í verkefninu væri skylda fyrir börnin eða VAL. Ég tel það mjög mikilvægt að börnin séu upplýst og alin upp við það að eiga val, og að fullorðna fólkið, kennarar, hjúkrunarfólk, leiðbeinendur o.s.frv., sem eru valdapersónur í lífum þeirra, geti ekki tekið þau í viðtöl eða sett þau í einhverskonar meðferð, höndlað þau eins og meðferðaraðila eða sjúklinga, án þess að þau séu spurð yfirleitt hvort þau vilji taka þátt. Þetta atriði finnst mér alvarlegt, bæði gagnvart börnunum og einnig foreldrunum, og það atriði sem ég mundi vilja vita afstöðu persónuverndar til. Auðvitað er tilgangurinn í verkefni sem þessu góður og gildur, en ég tel það mikilvægt að allir verkferlar séu vel kynntir og öllum augljósir, og ég hefði haldið að upplýst samþykki bæði barna og foreldra þyrfti fyrir að taka viðtöl við börn um persónulega hagi þeirra, skrá þá niður, og nota sem tæki til meðferðar síðar á börnunum, eins og lýst er í þeim gögnum sem mér voru send frá Persónuvernd.
5. Í svarbréfi landlæknis til persónuverndar varðandi málið, er vísað í lög um sjúkraskrár, og að það sé skylda heilbrigðisstarfsmanns að færa sjúkraskrá. „að færa skuli með skipulegum hætti þau atriði sem nauðsynleg eru vegna meðferðar sjúklings“. Telur Landlæknisembættið að upplýsingaöflun skólahjúkrunarfræðings í Hvaleyrarskóla falli undir lög og reglugerðir sem kveða á um upplýsingaöflun til færslu sjúkraskráa. Nú er ég ekki að draga í efa gildi þessara laga, en mín athugasemd er; HVENÆR VERÐUR BARN Í GRUNNSKÓLA SJÁLFKRAFA SJÚKLINGUR OG MEÐFERÐARAÐILI ? Vissulega hljóta þau að vera með stöðu sjúklinga þegar þau leita til hjúkrunarfræðings vegna meiðsla og annars, og eins þegar þau fá bólusetningar. En þegar seilst er lengra en það, og ákveðin „meðferð“ á börnunum er hafin í fræðslu og viðtalsformi, þá tel ég að það ætti að þurfa upplýst samþykki bæði barna og foreldra. Verkefnið var ekki kynnt okkur foreldrum á þann hátt að það væri verið að meðhöndla börnin okkar sem sjúklinga eða meðferðaraðila. Í öllu þessu tel ég það augljóst að upplýsingaöflun er ónóg til foreldra.
6. Ég tel mikilvægt að vanda alla meðferðarvinnu með börnum í skólum. Oftast er gott starf unnið, en við þurfum alltaf að vera á verði gagnvart misnotkun. Þess vegna tel ég brýnt að verkferlar séu skýrir og upplýsingar nægar, sem og samþykki þeirra sem málið varðar.
7. Að lokum vil ég árétta að ég tel rangt að setja upp verkefni sem þetta í skólum, án þess að hafa það sem sjálfsagt val að TAKA EKKI ÞÁTT. Það að gera ráð fyrir að allir EIGI að taka þátt í verkefninu, eins og það sé hluti af skólaskyldunni finnst mér siðferðilega rangt og gerræðislegt og bjóða upp á hugsanlega misnotkun og misbeitingu valds. (ég á ekki við að ég hafi áhyggjur af því í þessu ákveðna máli, en tala almennt hér og horfi til framtíðar) En þannig var verkefnið sem um ræðir sett fram. Það var ekki boðið að taka þátt , heldur ætlast til þess eins og það væri ekkert val.“
Með bréfi, dags. 18. febrúar 2011, óskaði Persónuvernd eftir frekari skýringum Landlæknis og afstöðu hans til þess hver teljist vera ábyrgðaraðili. Svarbréf hans er dags. 23. mars 2011. Þar segir:
„Landlæknisembættið telur að umrædd upplýsingaöflun byggi á lögum um heilbrigðisþjónustu nr. 50/2007 þar sem heilsugæsla er skilgreind m.a. sem heilsuvernd og forvarnir ásamt reglugerð um heilsugæslustöðvar nr. 787/2007 sem kveður á um að veita skuli heilsugæslu í grunnskólum. Einnig byggir hún á ákvæðum laga um sjúkraskrár nr. 55/2009 sem skylda heilbrigðisstarfsmann til að færa sjúkraskrá, m.a. heilsufars og sjúkrasögu. Þá telur embættið jafnframt að upplýsingaöflunin sé í samræmi við leiðbeiningar Landlæknisembættisins um skólaheilsugæslu.
[...]
Það er álit Landlæknisembættisins að landlæknir teljist ekki ábyrgðaraðili vinnslu samkvæmt 2. gr. laga um Persónuvernd lið 4. Ábyrgðarmaður vinnslu er að mati embættisins ábyrgðaraðili sjúkraskrár eða Heilsugæsla höfuðborgarsvæðisins, skv. lögum um sjúkraskrá. nr. 55/2009, 3. gr., liður 12.“
3.
Bréfaskipti við Heilsugæslu
höfuðborgarsvæðisins
Af tilefni ábendingar Landlæknis um að Heilsugæsla höfuðborgarsvæðisins væri ábyrgðaraðili þeirrar vinnslu sem mál þetta varðar var henni sent bréf hinn 26. maí 2011. Í svarbréfi Heilsugæslunnar, dags. 24. júní 2011, er staðfest að skólahjúkrunarfræðingur er hennar starfsmaður. Þar segir meðal annars:
„Vegna athugasemda foreldris við framkvæmd verkefnisins um kynningu og skráningu má taka undir það sjónarmið foreldris að kynna hefði mátt verkefnið betur. Þar sem skólahjúkrunarfræðingur er starfsmaður heilsugæslunnar með aðstöðu í skólanum er ekki óeðlilegt að upp geti komið misskilningur í hvers umboði hann starfar. Það er þó ljóst að skólahjúkrunarfræðingur starfar ávallt í umboði heilsugæslunnar. Hann er heilbrigðisstarfsmaður og því eru þeir sem njóta þjónustu hans skilgreindir sem sjúklingar í skilningi laga og því lýtur skráning skólahjúkrunarfræðings og varðveisla gagna lögum um sjúkraskrá.
Vegna athugasemda foreldris um mikilvægi þess að eiga val má taka heilshugar undir það sjónarmið enda er öll þjónusta heilsugæslunnar valkvæð fyrir íbúa þessa lands. Heilsugæslan hefur lagt sig fram um að kynna þá þjónustu sem í boði er fyrir barnshafandi konur og börn. Nánast allir landsmenn nýta sér þessa þjónustu sem er hornsteinn þess árangur sem náðst hefur hér á landi í heilsu þjóðar. Heilsugæslan leggur nú drög að því að efla upplýsingagjöf til foreldra um alla heilsuvernd skólabarna.“
Með bréfi, dags. 6. júlí 2011, voru kvartanda kynnt svör Heilsugæslunnar á höfuðborgarsvæðinu. Svarbréf kvartanda barst þann 1. ágúst 2011. Þar segir:
„Ég fagna að Heilsugæslan tekur jákvætt í athugasemdir mínar og hyggst laga upplýsingagjöf sína til foreldra og nemenda grunnskóla varðandi starfsemi sína.
Ekki er tekið fram hvort ákveðið hafi verið að óska eftir upplýstu samþykki foreldra og nemenda í sambærilegum verkefnum Heilsugæslunnar í framtíðinni, en það er það atriði sem ég óskaði eftir að fá álit Persónuverndar á í upphafi málsins.
[...]
Spurningin er hvort í verkefni sem þessu beri Heilsugæslunni að fá upplýst samþykki barna og foreldra?
Ef mat Persónuverndar er að Heilsugæslan þurfi þess ekki, þá er ég allavega ánægð að Heilsugæslan ætlar að upplýsa betur í verkefnum framtíðarinnar að þátttakendur hafi val og séu ekki skyldugir að taka þátt.
En ef Persónuvernd úrskurðar að upplýst samþykki þurfi fyrir umræddri og sambærilegri starfsemi Heilsugæslunnar með börnun í grunnskólum, þá mun ég að sjálfsögðu óska eftir að Heilsugæslan starfi samkvæmt því í framtíðinni.
Mín skoðun og mat er að upplýst samþykki ætti að vera skilyrði, og er því spennt að heyra úrskurð Persónuverndar varðandi það atriði. “
II.
Forsendur og niðurstaða
1.
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000. Af athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af því leiðir að söfnun upplýsinga um heilsufar nemenda við grunnskóla telst til vinnslu persónuupplýsinga í skilningi þeirra laga. Fellur mál þetta því undir úrskurðarvald Persónuverndar.
2.
Með ábyrgðaraðila er átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, sbr. 4. tölul. 2. gr. laga nr. 77/2000. Af hálfu Landlæknisembættisins og Heilsugæslu höfuðborgarsvæðisins hefur komið fram að umrædd vinnsla sé ekki á ábyrgð Landlæknisembættisins. Þá liggur fyrir að hún var unnin af starfsmanni heilsugæslunnar. Lítur Persónuvernd því á Heilsugæslu höfuðborgarsvæðisins sem ábyrgðaraðila vinnslunnar.
3.
Á ábyrgðaraðila hvílir sú skylda að tryggja að sú vinnsla persónuupplýsinga sem fram fer á hans vegum styðjist við skýra heimild. Það gerir vinnslan ef fullnægt er einhverju af skilyrðum 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og - sé um að ræða viðkvæmar persónuupplýsingar - einnig einhverju af sérskilyrðum 9. gr. laganna. Verður ráðið af gögnum málsins að umræddar upplýsingar um barn kvartanda lúta meðal annars að líðan þess og heilsu. Slíkar upplýsingar eru viðkvæmar í skilningi laganna, sbr. b-lið 8. tölul. 2. gr. sömu laga. Þarf sú vinnsla sem mál þetta varðar því bæði að uppfylla eitthvert af skilyrðum 1. mgr. 8. gr. og 1. mgr. 9. gr.
Í 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. er gert ráð fyrir að vinnsla sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Bæði Landlæknisembættið og Heilsugæsla höfuðborgarsvæðisins hafa haldið því fram að umrædd vinnsla sé nauðsynleg vegna heilbrigðisþjónustu og styðjist við ákvæði laga um sjúkraskrár nr. 55/2009. Í 2. tölulið 3. gr. þeirra laga er hugtakið heilbrigðisþjónusta skilgreint. Segir að undir það falli hvers kyns heilsugæsla, lækningar, hjúkrun, almenn og sérhæfð sjúkrahúsþjónusta, sjúkraflutningar, hjálpartækjaþjónusta og þjónusta heilbrigðisstarfsmanna innan og utan heilbrigðisstofnana sem veitt er í því skyni að efla heilbrigði, fyrirbyggja, greina eða meðhöndla sjúkdóma og endurhæfa sjúklinga.
Í 22. gr. laga nr. 55/2009 segir að Landlæknir hafi, eftir því sem við á, eftirlit með því að ákvæði þeirra séu virt en Persónuvernd hefur eftirlit með öryggi og vinnslu persónuupplýsinga í sjúkraskrám í samræmi við ákvæði laga um persónuvernd og meðferð persónuupplýsinga. Persónuvernd telur sig ekki bæra til að draga í efa það læknisfræðilega mat Landlæknis og Heilsugæslu höfuðborgarsvæðisins að umrædd söfnun persónuupplýsinga um barn kvartanda hafi verið nauðsynleg vegna heilbrigðisþjónustu í skilningi laga nr. 55/2009. Af þeirri ástæðu leggur hún til grundvallar það faglega mat þessara aðila að svo sé.
Sú vinnsla sem er nauðsynleg til þess að veita heilbrigðisþjónustu lýtur ákvæðum laga nr. 55/2009. Í 4. gr. þeirra er mælt fyrir um skyldu til að færa sjúkraskrár. Verður því að telja þá vinnslu, sem kvartað er yfir, hafa verið í samræmi við sbr. 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000.
Hins vegar verður öll vinnsla einnig að samrýmast 7. gr. Meðal annars þarf að virða fyrirmæli ákvæðisins um meðalhóf. Í því ljósi ber Heilsugæslu höfuðborgarsvæðisins að fara yfir það hvort allar þær upplýsingar sem safnað er um nemendur fyrir tilstilli skólahjúkrunarfræðinga séu nauðsynlegar í því skyni að rækja lögboðið hlutverk heilsugæslunnar.
4.
Þótt vinnsla teljist vera heimil þarf ábyrgðaraðili einnig að gæta upplýsingaréttar hins skráða svo hann geti gætt hagsmuna sinna. Samkvæmt 20. gr. laga nr. 77/2000 skal ábyrgðaraðili veita hinum skráða tiltekna fræðslu þegar hann aflar persónuupplýsinga hjá honum sjálfum. Veita ber fræðslu um nafn og heimilisfang ábyrgðaraðila. Þá skal upplýsa um önnur atriði sem hinn skráði þarf að vita um, með hliðsjón af þeim sérstöku aðstæðum sem ríkja við vinnslu upplýsinganna, til að geta gætt hagsmuna sinna. Meðal annars skal veita fræðslu um það hvort skylt sé eða valfrjálst að veita umbeðnar upplýsingar og hvaða afleiðingar það kunni að hafa séu þær ekki veittar.
Í því tilviki sem kvartað hefur verið yfir var kynningarbréf sent foreldrum ásamt framangreindum spurningalista. Ekki var veitt fræðsla um það hver var ábyrgðarmaður vinnslunnar eða hvort hinum skráða væri skylt eða valfrjálst að veita umbeðnar upplýsingar né hvaða afleiðingar það kynni að hafa ef hann veitti þær ekki. Fræðslan samrýmdist því ekki 20. gr. laga nr. 77/2000.
Ú r s k u r ð a r o r ð:
Söfnun skólahjúkrunarfræðings í H á upplýsingum um barn G var heimil.
Heilsugæsla höfuðborgarsvæðisins veitti G ófullnægjandi fræðslu varðandi söfnun viðkvæmra persónuupplýsinga um barn hennar, sem fram fór í tengslum við verkefni skólahjúkrunarfræðings við H.