Aðgangur að sjúkraskrá í tengslum við rekstur matsmáls fyrir héraðsdómi

28.12.2011

Úrskurður


Hinn 22. nóvember 2011 kvað stjórn Persónuverndar upp úrskurð í málinu nr. 2011/873.

I.
Grundvöllur máls
og úrlausnarefni

Hinn 28. júní 2011 barst Persónuvernd erindi A, hrl., f.h. umbjóðanda síns B, um að Persónuvernd fjallaði efnislega um kvörtun Bjfrá því 15. september 2008. Þá hafði hann kvartað yfir því að „farið hafi verið í sjúkraskrá hans með ólögmætum hætti og án heimildar þegar upplýsingar úr sjúkraskránni voru teknar saman af starfsmönnum LSH, ályktanir dregnar af þeim og greinargerðir unnar, sem síðar voru afhentar dómkvöddum matsmönnum.“ Er B hér eftir nefndur kvartandi.

Eftir nokkur bréfaskipti liggur fyrir að kvartandi óskar þess að Persónuvernd skeri úr um eftirfarandi:
-  hvort læknana X, Y og Z, starfsmenn LSH, hafi skort heimild samkvæmt 8. og 9. gr. laga nr. 77/2000 til að skoða sjúkraskrá B í því skyni til að afla gagna til að leggja fyrir matsmenn sem áttu að meta tjón B.
og
- hvort C, staðgengil framkvæmdastjóra lækninga á LSH, hafi skort heimild samkvæmt 8. og 9. gr. laga nr. 77/2000 til að afhenda ríkislögmanni greinargerðir X, Y og Zsjúkraskrárupplýsingar um B í tengslum við rekstur matsmálsins.
 

II.
Mál nr. 2008/625

Við úrlausn máls þess þarf að líta til sjónarmiða málsaðila. Þau koma fram í bréfum sem send voru við meðferð máls nr. 2008/625. Því lauk með frávísun Persónuverndar þar sem málið var þá til meðferðar hjá dómstólum.

1.
Upphaflegt erindi - kvörtun dags. 15. september 2008

Framangreind bréfaskipti hófust með áðurnefndri kvörtun, dags. 15. september 2008, frá H hdl., f.h. Hhrl., f.h. kvartanda, vegna meðferðar starfsmanna Landspítala háskólasjúkrahúss (LSH) á persónuupplýsingum um hann. Þar segir m.a.

„[...] Telur umbjóðandi minn að farið hafi verið í sjúkraskrá hans með ólögmætum hætti og án heimildar þegar upplýsingar úr sjúkraskránni voru teknar saman af starfsmönnum LSH, ályktanir dregnar af þeim og greinargerði[r] unnar, sem síðar voru afhentar dómkvöddum matsmönnum.
Umbjóðandi minn kvartar yfir því að læknarnir X, Y og Z hafi brotið gegn skilyrðum laga nr. 77/2000 þegar þeir fóru inn í tölvukerfi LSH, sem hafði að geyma sjúkraskrá umbjóðanda míns, þrátt fyrir að hvorki lægi fyrir samþykki umbjóðanda míns né nauðsyn í samræmi við 8. og 9. gr. laga nr. 77/2000.
Hafi ofangreindir læknar hins vegar ekki farið inn í umrætt tölvukerfi telur umbjóðandi minn að C, staðgengill framkvæmdastjóra lækninga, hafi með ólögmætum hætti veitt ofangreindum læknum upplýsingar úr sjúkraskrá umbjóðanda míns og þannig brotið gegn áðurgreindum ákvæðum laga nr. 77/2000. Jafnframt telur umbjóðandi minn að C hafi brotið gegn ákvæðum sömu laga þegar hann afhenti lögmanni ríkisins samantektir og greinargerðir læknanna, auk þess að afhenda afrit úr sjúkraskrá umbjóðanda míns.
Aukinheldur kvartar umbjóðandi minn yfir því að allir ofangreindir læknar hafi fengið aðgang að upplýsingum um sjúkraskrá umbjóðanda míns vegna læknismeðferðar hans í Svíþjóð. [...]

Með dómi Héraðsdóms Reykjavíkur, dags. 16. nóvember 2007, í máli nr. E-3992/2006 var viðurkennt að íslenska ríkið bæri fulla skaðabótaábyrgð gagnvart umbjóðanda mínum vegna líkamstjóns sem hann hlaut í kjölfar bráðakransæðastíflu sem starfsfólki LSH yfirsást að greina og veita meðferð við [...]. Í kjölfar dóms þessa óskaði umbjóðandi minn þess að dómkvaddir yrðu tveir sérfróðir og óvilhallir matsmenn til að meta tjón umbjóðanda míns sem rekja mátti til mistaka starfsmanna LSH. [...] Þann 18. ágúst [2008] sendi lögmaður íslenska ríkisins matsmönnum bréf, ásamt tilteknum gögnum sem íslenska ríkið hafði ýmist aflað eða útbúið sjálf. Í áðurgreindum gögnum mátti finna margvíslega umfjöllun um heilsufar umbjóðanda míns og ályktanir dregnar þar um sem umbjóðandi minn telur með öllu rangar og hvað sem öllu öðru líður hafi þessara upplýsinga verið aflað með ólögmætum hætti, enda var þeirra ekki aflað á grundvelli heimildar umbjóðanda míns eða vegna læknismeðferðar eða venjubundinnar stjórnsýslu. [...] Umbjóðandi minn veitti ekki samþykki fyrir öflun og vinnslu ofangreindra gagna úr sjúkraskrá og á hann því ekki annan kost en þann að óska íhlutunar Persónuverndar. [...]

Samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er vinnsla persónuupplýsinga heimil hafi hinn skráði samþykkt hana ótvírætt eða veitt samþykki samkvæmt 7. tölul. 2. gr. laganna. Þá er í 1. tl. 1. mgr. 9. gr. laganna kveðið á um að vinnsla viðkvæmra persónuupplýsinga sé heimil meðal annars ef hinn skráði samþykkir hana. Ljóst er í máli því sem hér er til skoðunar að umbjóðandi minn veitti aldrei samþykki sitt fyrir því að umræddir læknar nálguðust upplýsingar um hann úr sjúkraskrá og þeir fengu því síður samþykki umbjóðanda míns til að vinna úr hlutaðeigandi gögnum nokkurs konar álit eða samantekts sbr. m.a. 1. tl. 1. mgr. 9. gr. laga nr. 77/2000. Verður því ekki á annan veg ráðið en að með því að nálgast og vinna úr  upplýsingum úr sjúkraskrá umbjóðanda míns brutu þeir læknar sem kvartað er undan gegn ákvæðum laga nr. 77/2000. [...]

Þá telur umbjóðandi minn það enn alvarlegra að staðgengill framkvæmdastjóra lækninga hafi jafnframt veitt lögmanni íslenskra ríkisins umræddar upplýsingar og að sá síðargreindi hafi aukinheldur veitt dómkvöddum matsmönnum sömu upplýsingar. Til slíkra ráðstafna höfðu þessir aðilar engar heimildir eða samþykki umbjóðanda míns.  [...]

Telji dómkvaddir matsmenn sig þurfa að nálgast nánari upplýsingar en umbjóðandi minn hefur þegar veitt, er það hlutverk hinna dómkvöddu matsmanna að óska þess að umbjóðandi minn veiti þeim heimild til að nálgast hlutaðeigandi upplýsingar í sjúkraskrá hans. Það er einfaldlega ekki hlutverk íslenska ríkisins að sjá til þess að viðkvæmar persónuupplýsingar um umbjóðanda minn komist í hendur þriðja aðila, án samþykkis umbjóðanda míns.“

2.
Svar Landspítalans

Með bréfi, dags. 16. september 2008, tilkynnti Persónuvernd Landspítalanum og ríkislögmanni, [...] um kvörtunina og bauð þeim að koma á framfæri andmælum sínum til samræmis við 13. og 14. gr. stjórnsýslulaga nr. 37/1993. Svarbréf spítalans er dags. 29. september 2008. Í því segir m.a.:

„Samkvæmt 10. gr. laga nr. 40/2007 um heilbrigðisþjónustu er framkvæmdastjóri lækninga yfirmaður og ábyrgðarmaður lækninga á sjúkrahúsi. Hann er jafnframt ábyrgðaraðili sjúkraskráa sjúkrahússins og samkvæmt 7. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga ber honum að gæta þess að sjúkraskrá sé samviskusamlega útfærð. Hann hefur því aðgang að sjúkraskrám sjúkrahússins til eftirlits með læknum. Þegar upp koma mál þar sem sjúklingur heldur því fram að læknir eða læknar sjúkrahússins hafi ekki sinnt störfum sínum sem skyldi þá er það skylda yfirmanna að kanna sjúkraskrárfærslur og fara yfir þau gögn sem til eru um málið. Slík gögn er að finna í sjúkraskrá.  [...]

Með dómi Héraðsdóms Reykjavíkur þann 16. nóvember 2007 var fallist á kröfu um að viðurkennd yrði bótaskylda vegna tafa á greiningu sjúkdóms B. Í kjölfar dómsins var óskað eftir dómkvaðningu matsmanna til þess að meta það tjón sem Bjhafði orðið fyrir vegna tafanna. Lögmaður B lagði fyrir matsmenn öll þau gögn sem áður höfðu verið lögð fyrir héraðsdóm. Framkvæmdastjóri lækninga LSH mat það svo að til þess að mögulegt væri fyrir matsmenn að meta réttilega það tjón sem B varð fyrir væri nauðsynlegt að leggja fram viðbótargögn.

Í sjúkraskrá B var að finna upplýsingar sem bentu til þess að starfsgeta hans væri ekki eins skert og hann hafði haldið fram. B hafði farið í viðamiklar rannsóknir á Sahlgrenska sjúkrahúsinu í Svíþjóð og höfðu niðurstöður um þær verið sendar til LSH. Þarna er um að ræða lífeðlisfræðilegar mælingar á starfsgetu hjartans og er það aðeins á færi sérfræðinga að túlka þau gögn og var því óskað eftir greinargerð sérfræðilæknanna X og Y um niðurstöðurnar. Greinargerð þeirra X og Y er unnin bæði úr upplýsingum sem B hafði þegar gert sjálfur opinberar með því að leggja þær fram í dómsmáli á hendur LSH en einnig úr sjúkraskrá hans. Landspítali telur sér hafa verið heimilt að vinna þær upplýsingar sem B hafði þegar látið Ríkislögmanni í hendur, sbr. 7. tölul. 8. gr. og 6. tölul. 9. gr. l. nr. 77/2000.

Í lögum um persónuvernd og meðferð persónuupplýsinga eru sett fram ákveðin skilyrði fyrir því að heimilt sé að vinna persónuupplýsingar. Upplýsingar úr sjúkraskrá flokkast sem viðkvæmar persónuupplýsingar og til að heimilt sé að vinna slíkar upplýsingar verða að vera uppfyllt einhver af skilyrðum 8. sem og 9. gr. l. nr. 77/2000. Framkvæmdastjóri lækninga taldi að lögmætir hagsmunir ábyrgðaraðila upplýsinganna vægju þyngra í þessu tilfelli heldur en friðhelgi einkalífs sjúklings, sbr. 7. tölul. 8. gr. l. nr. 77/2000. Hagsmunir ábyrgðaraðila felast í því að rétt mat sé lagt á það tjón sem B varð raunverulega fyrir vegna mistaka á LSH. Í 7. tölul. 9. gr. l. nr. 77/2000 er svo veitt heimild til að vinna viðkvæmar persónuupplýsingar þegar krafa er varin vegna dómsmáls eða annarra laganauðsynja. Þar af leiðandi telur LSH sig ekki hafa brotið ákvæði l. nr. 77/2000 þegar læknar notuðu upplýsingar úr sjúkraskrá B og voru til þess að vinna álit um heilsufar hans sem lagt var fyrir matsnefnd.

Í þeim tilvikum sem niðurstaða dómsmála veltur á upplýsingum um heilsufar sjúklings þá er mikilvægt að öll gögn sem er að finna í sjúkraskrá séu lögð fram svo unnt sé að fjalla efnislega um málið. Ekki er unnt að meta starfshæfni einstaklings ef völdum gögnum úr sjúkraskrá viðkomandi er haldið frá þeim sem eiga að framkvæma matið. Óhjákvæmilegt var að afla umræddra upplýsinga til þess að meta í fyrsta lagi hvort eðlilega hefði verið staðið að meðferð B á sínum tíma og jafnframt hvert endanlegt tjón hans hefur verið. Embætti Ríkislögmanns fer með málefni sjúkrahússins og er því nauðsynlegt að lögfræðingur embættisins fái afhent þau málsskjöl sem málið varðar.“

3.
Svar  ríkislögmanns

Svarbréf embættis ríkislögmanns, dags. 29. september 2008, barst stofnuninni þann 6. október s.m. Í bréfinu sagði:

„Samkvæmt 2. mgr. 14. gr. laga nr. 74/1997 um réttindi sjúklinga er lækni og öðrum sem færa sjúkraskrá skylt að sýna hana sjúklingi eða umboðsmanni hans, í heild eða að hluta, og afhenda þeim afrit skrárinnar sé þess óskað. Sama gildir gagnvart opinberum aðilum sem lögum samkvæmt athuga kæru sjúklings eða umboðsmanns vegna kæru sjúklings. Í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga er kveðið á um almennar reglur um heimildir fyrir vinnslu persónuupplýsinga. [...]Tildrög þeirrar vinnslu sem kvörtun lýtur að er samkvæmt því sem að framan er rakið að rekja til viðurkenningardóms í máli kvartanda, B, á hendur íslenska ríkinu þar sem viðurkennd var skaðabótaskylda ríkisins vegna þess líkamstjóns sem hlaust af mistökum læknismeðferð á Landspítala sbr. framangreind lagaákvæði. Í rekstri matsmálsins felst heimild til að aflað verði af hálfu íslenska ríkisins sem matsþola vegna Landspítala, gagna úr sjúkraskrá matsbeiðanda á Landspítala um það líkamstjón sem rakið verið til þeirra mistaka sem þar urðu og nauðsynleg úrvinnsla þeirra, þar á meðal um orsakasamband milli þess og núverandi umkvartana skv. læknisvottorðum sem matsbeiðandi lagði fram hjá matsmönnum. Enn fremur heimild fyrir lögmann íslenska ríkisins, sbr. lög nr. 51/1985 um embætti ríkislögmanns, til að leggja þau gögn fram hjá dómkvöddum matsmönnum sbr. til hliðsjónar hjálagðan úrskurð héraðsdóms Reykjavíkur frá 18. maí 2005.“

4.
Athugasemdir kvartanda við svör LSH og ríkislögmanns

Með bréfi, dags. 6. október 2008, gaf Persónuvernd kvartanda kost á að tjá sig um framangreind svör Landspítalans og ríkislögmanns. Í svarbréfi H hrl., dags. 22. október 2008, f.h. kvartanda segir m.a.:

„[...] Umbjóðandi minn telur þeim málsástæðum sem fram komu í kæru hans hvorki hafa verið hnekkt með athugasemdum LSH né athugasemdum ríkislögmanns. Báðir þessir aðilar styðja hina ólögmætu vinnslu umþrættra persónuupplýsinga aðallega við 7. tl. 8. gr. og 7. tl. 1. mgr. 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga (hér eftir nefnd PUL). Umbjóðandi minn telur hins vegar að í túlkun áðurgreindra aðila á ákvæðunum felist grundvallarmisskilningur og mótmælir hann því að vinnsla upplýsinganna fái [...] stoð í hlutaðeigandi ákvæðum.

Til að vinnsla sé heimil samkvæmt 7. tl. 1. mgr. 8. gr. PUL verður tillitið til lögmætra hagsmuna ábyrgðaraðila að vega þyngra en tillitið til grundvallarréttinda og friðhelgi hins skráða. Ákvæði 7. tl. byggir því á mati á tvenns konar og oft andstæðum sjónarmiðum, hagsmunum hins skráða annars vegar og hagsmunum ábyrgðaraðila, þriðja manns eða aðila sem upplýsingunum er miðlað til, hins vegar. Umbjóðandi minn telur því fara fjarri að hagsmunir LSH í þessu tilviki vegi þyngra en stjórnarskrárvarinn réttur umbjóðanda míns.

Með grundvallarréttindum og frelsi hins skráða er einkum verið að skírskota til þeirra réttinda sem hinn skráði nýtur skv. 71. gr. stjórnarskrárinnar, 8. gr. Mannréttindasáttmála Evrópu, og skráðra og óskráðra lagareglna er vernda friðhelgi einkalífs. Þessi réttur felur það í sér að einstaklingar eiga að hafa sjálfsákvörðunarrétt um persónuupplýsingar er þá varða. Umbjóðandi minn bendir þannig á að ákvæði 7. tl. 1. mgr. 8. gr. er einkum ætlað að veita heimild til vinnslu persónuupplýsinga þegar tilteknar aðstæður eru fyrir hendi sem taldar eru upphefja þann rétt. Mat á því ræðst öðru fremur af mikilvægi þeirra hagsmuna sem um ræðir í hverju einstöku tilviki. Við framkvæmd slíkt mats verður hins vegar að taka mið af eðli þeirra hagsmuna sem matið byggist á hverju sinni. Umbjóðandi minn telur að því veigameira inngrip í einkalíf fólks sem um er að ræða, því mikilvægari verða þeir lögmætu hagsmunir að vera sem réttlæta vinnslu í hverju tilviki. [...]

Hvað sem áðurgreindu líður og fari svo ólíklega að Persónuvernd telji vinnslu umþrættra persónuupplýsinga í samræmi við 7. tl. 1. mgr. 8. gr. PUL, þá telur umbjóðandi minn að vinnsla umþrættra persónuupplýsinga fái ekki stoð í ákvæði 7. tl. 1. mgr. 9. gr. PUL. [...] Grundvallarþáttur í því að vinnsla viðkvæmra persónuupplýsinga teljist hafa stoð í 7. tl. 1. mgr. 9. gr. PUL er að vinnsla sé nauðsynleg til að afmarka, setja fram eða verja kröfu. Mat á nauðsyn skv. ákvæðinu er þannig samofið mati á því hvort mögulega sé hægt að rökstyðja eða afmarka kröfu án þess að vinnsla fari fram. [...]

Líkt og umbjóðandi minn hefur áður vakið máls á í fyrra erindi sínu til Persónuverndar, telur hann að sú vinnsla sem fram fór á gögnum úr sjúkraskrá umbjóðands míns hafi hvorki verið sanngjörn né málefnaleg. Það var einfaldlega ekki innan verksviðs þeirra lækna sem kvartað er undan að nálgast umþrættar upplýsingar, taka þær saman og túlka þær á nokkurn hátt. Hafi dómkvaddir matsmenn talið nauðsynlegt að afla frekari gagna um heilsufar umbjóðanda míns, þá var það á þeirra ábyrgð að óska eftir slíkum upplýsingum frá umbjóðanda mínum. [...]“

5.
Frekari svör Landspítala;
sérfræðilæknanna X, Y og Z

Með bréfi, dags. 24. nóvember 2008, var umræddum starfsmönnum LSH, sérfræðilæknunum X, Y og Z veittur kostur á að tjá sig.

Í svarbréfi X, dags. 10. desember 2008, sagði m.a:

„[...] 1. Umfjöllun okkar Y var bundin við gögn sem framkvæmdastjóri lækninga sendi okkur og snerta lífeðlisfræðilegar mælingar á starfsgetu hjartans og samband þeirra og sjúkdómseinkenna. Við sóttum engin gögn í sjúkraskrá B og höfum aldrei augum litið þá sjúkraskrá.

2. Framkvæmdastjóri lækninga er samkvæmt 10. gr. laga um heilbrigðisþjónustu yfirmaður og ábyrgðarmaður lækninga og jafnframt ábyrgðaraðili sjúkraskráa sjúkrahússins. Hann óskaði bréflega eftir okkar áliti á umræddum gögnum. Okkar hlutverk var því hlutverk ráðgjafa (kolsultanta). Framkvæmdastjórinn taldi sig þurfa sérfræðilega ráðgjöf til að leggja mat á ákveðnar niðurstöður sem fyrir lágu, m.a. eftir ítarlegar rannsóknir sem í tvígang voru framkvæmdar í Gautaborg. Ráðgjöf varðandi einstaka sjúklinga, ákveðin gögn eða rannsóknarniðurstöðu og túlkun þeirra er daglegt viðfangsefni sérfræðilækna á sjúkrahúsi. Ég leit á það sem ótvíræða skyldu mína að sinna þeirri ráðgjöf sem um var beðið og í ljós lagalegrar stöðu og ábyrgðar framkvæmdastjóra lækninga tel ég að beiðni hans um ráðgjöf í þessu flókna tilfelli hafi verið eðlileg.[...]“

Í svarbréfi Y, dags. 12. desember 2008, sagði m.a.:

„ [...] C, settur framkvæmdastjóri lækninga á Landspítala, óskaði eftir því með bréfi dags. 16. júlí 2008 að undirritaður færi yfir sjúkragögn B á Landspítala í samvinnu við G hjartalækni. Ég taldi það skyldu mína að verða við þessari ósk. Að öðru leyti tel ég ekki ástæðu til að tjá mig um þetta mál en óski Persónuvernd eftir frekari upplýsingum þar að lútandi er við hæfi að stofnunin snúi sér til framkvæmdastjóra lækninga á landspítala.“

Í svarbréfi Z, dags. 12. september 2008, sagði m.a.:

„Framkvæmdastjóri lækninga á Landspítala óskaði eftir því við undirritaðan að hann skrifaði greinargerð um mál B í júlí síðastliðnum. Framkvæmdastjóri lækninga veitti mér aðgang að sjúkragögnum hans í þessum tilgangi. Þar sem framkvæmdastjóri lækninga er æðsti yfirmaður lækna á Landspítalanum taldi ég það skyldu mína að verða við þessari beiðni. Að öðru leyti vísa ég á framkvæmdastjóra lækninga á Landspítalanum.“

Einnig barst bréf frá Landspítala, dags. 12. desember 2008, þar sem segir:

„Landspítali vísar því á bug að misskilningur felist í túlkun sinni á 7. tl. 8. gr. og 7. tl. 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga (hér eftir nefnd persónuverndarlög), eins og haldið er fram í erindi lögmanns umrædds umbjóðanda.

Samkvæmt 7. tl. 8. gr. persónuverndarlaga er vinnsla persónuupplýsinga heimil til að m.a. ábyrgðaraðili geti gætt lögmætra hagsmuna sinna nema grundvallarréttindi og frelsi hins skráða sem vernda ber samkvæmt lögum vegi þyngra. Í ákvæðinu felst að framkvæma verður mat á hagsmunum ábyrgðaraðila og hins skráða. Samkvæmt athugasemdum með frumvarpi til laga um persónuvernd skal meta hvort hagsmunir vinnsluaðila af því að vinna upplýsingarnar vegi þyngra en hagsmunir hins skráða af því að upplýsingarnar verði ekki unnar.

Því er alfarið hafnað að hagsmunir Landspítala af vinnslunni séu óljósir eða órökstuddir. Landspítali hlýtur að hafa mikla hagsmuni af því að hið sanna komi í ljós um raunverulegt tjón B vegna læknamistaka sem spítalinn ber ábyrgð á. Auk þessa eru hagsmunir spítalans fjárhagslegs eðlis. Ekki verður séð hverjir hagsmunir B eru af því að ekki séu unnar greinargerðir úr sjúkraskrá hans vegna matsmáls sem hann sjálfur höfðaði.

Í erindi H hrl., dags. 22. október 2008, er því haldið fram að vinnsla Landspítala á persónuupplýsingum B fái ekki stoð í ákvæði 7. tl. 9. gr. persónuverndarlaga. Þessu hafnar Landspítali. Í ákvæðinu er kveðið skýrt á um að heimilt sé að vinna persónuupplýsingar ef vinnslan er nauðsynleg til þess að unnt sé að stofna, hafa uppi eða verja kröfu vegna dómsmáls eða annarra slíkra laganauðsynja. Ekki er gert að skilyrði að málið verði lagt fyrir dómstóla heldur nægir að vinnslan sé nauðsynleg til þess að styðja kröfu fullnægjandi gögnum. Á það skal bent að í athugasemdum með frumvarpi til persónuverndarlaga er tekið fram að vinnuveitanda geti t.d. verið nauðsynlegt að vinna upplýsignar um heilsufar starfsmanns til þess að geta sýnt fram á lögmætar forsendur fyrir uppsögn. Ljóst er því að vinnsla heilsufarsupplýsinga getur verið heimil samkvæmt ákvæðinu. Landspítali telur hafa verið nauðsynlegt að vinna umræddar heilsufarsupplýsingar til þess að krafan verði rétt afmörkuð og mögulegt sé að verjast henni.

Þá skal það tekið fram að flest þau sjúkraskrárgögn sem notuð voru við gerð greinargerðanna höfðu þegar verið afhent ríkislögmanni sem tók til varna f.h. Landspítala í máli B gegn spítalanum. Landspítala eins og öðrum hlýtur að vera heimilt að afla mats á gögnum sem honum hafa þegar verið afhent í dómsmáli svo lengi sem trúnaðar er gætt. Landspítali telur því að Persónuvernd skuli aðeins taka til umfjöllunar vinnslu þeirra sjúkraskrárgagna sem ekki höfðu þegar verið afhent spítalanum formlega.

Í fyrrnefndu erindi H er því jafnframt haldið fram að niðurstöður umræddra lækna um heilsufar B séu rangar. Er því mótmælt sem órökstuddu og ósönnuðu. Einnig segir að fjarstæðukennt sé að halda því fram að greinargerð sérfræðilæknanna X og Y um niðurstöðu rannsókna Sahlgrenska sjúkrahússins hafi verið nauðsynleg þar sem í matsnefnd sitji sérfræðingur á því sviði sem mál þetta varðar. Þarna er ekki rétt með staðreyndir farið. Sá læknir er situr í matsnefndinni er endurhæfingarlæknir en þeir X og Y eru sérfræðingar í hjartalækningum.

Loks skal á það bent að ef Landspítala verður ekki talið heimilt að vinna upplýsingar sem þessar í tengslum við málarekstur á hendur spítalanum hafa hendur hans verið bundnar og honum nánast gert ómögulegt að taka til varna í málum sem þessum. Auk þess munu dómstólar ekki geta byggt niðurstöðu sína á raunverulegum staðreyndum málsins ef slík vinnsla verður talin ólögmæt. Hagsmunir spítalans af því hvort vinnsla verði talin heimil eru mjög miklir.“

6.
Ákvörðun Persónuverndar
19. desember 2008

Þann 19. desember 2008 tók Persónuvernd þá ákvörðun að aðhafast ekki  frekar í málinu meðan það væri rekið fyrir dómstóli. Í ákvörðun hennar um að fella það niður segir:

„Ágreiningur er um hversu mikið tjón hafi hlotist af mistökum við læknisþjónustu á Landspítalanum en fyrir liggur viðurkenningardómur um að skaðabótaskylda hafi stofnast. Enn hefur hins vegar ekki verið dæmt um fjárhæð skaðabóta. Til að meta hver fjárhæðin sé hafa verið dómkvaddir matsmenn í samræmi við 1. mgr. 77. gr. og 1. mgr. 79. gr. laga nr. 91/1991 um meðferð einkamála, sbr. IX. kafla sömu laga.

Með vísan til þess að umrædd vinnsla persónuupplýsinga fór fram í tengslum við rekstur matsmáls sem rekið er fyrir dómstóli, og að ekki liggur fyrir hvort hann muni taka efnislega afstöðu til þess hvort meðferð umræddra gagna sé lögmæt sem liður í rekstri slíks máls, þykja ekki vera, að svo stöddu, efni til að aðhafast frekar í málinu. Úrskurðar dómari um atriði varðandi framkvæmd matsgerðar samkvæmt 1. mgr. 66. gr. laga nr. 91/1991, sbr. 1. mgr. 77. gr. og 1. mgr. 79. gr. sömu laga.“

Þann 27. maí 2009 barst Persónuvernd ósk um endurupptöku. Þar segir m.a.:

„[...] Mikilvægt er að greina hér á milli þess álitaefnis sem matsmálið lýtur að og þess álitaefnis sem lýtur að mögulegu broti gegn ákvæðum pvl. Það verður einfaldlega ekki umfjöllunarefni héraðsdóms hvort íslenska ríkið hafi með ólögmætum hætti aflað gagna sem lögð voru fyrir matsmann, heldur lýtur umfjöllunarefni fyrir dómi einvörðungu að kröfu umbjóðanda míns um greiðslu skaðabóta vegna þess tjóns sem rekja má til athafna og athafnaleysis starfsmanna Landspítala við meðhöndlun á umbjóðanda mínum þegar hann fékk hjartaáfall. Er það því eftir sem áður hlutverk Persónuverndar að skera úr um það álitaefni sem hér er til umfjöllunar.

Líkt og umbjóðandi minn rökstuddi í upphaflegri kvörtun sinni til Persónuverndar, þá var freklega vegið að stjórnarskrárvörðum rétti hans til friðhelgis einkalífs. hvergi er að finna í lögum heimild til handa starfsmönnum heilbrigðisstofnana að nálgast, safna saman og vinna úr upplýsingum af því tagi sem hér um ræðir og er Persónuvernd því að mati umbjóðanda míns ekki stætt á því að víkja sér undan því að taka efnislega afstöðu til umkvörtunarefnisins [...].“

Persónuvernd hafnaði óskinni. Í bréfi hennar um það, dags. 26. júní 2009, segir m.a.:

„Störf dómkvaddra matsmanna eru þáttur í málsmeðferð fyrir dómi. Í 2. gr. stjórnarskrárinnar er mælt fyrir um þrígreiningu ríkisvaldsins í löggjafarvald, framkvæmdarvald og dómsvald. Kemur fram að dómendur fara einir með dómsvaldið. Þá segir í 59. gr. stjórnarskrárinnar að skipun dómsvaldsins verði eigi ákveðin nema með lögum. Í þessu felst að handhöfum framkvæmdarvalds er óheimilt að hlutast til um meðferð mála sem eru fyrir dómi. Úrlausn Persónuverndar um það hvort heimilt sé, m.a. í ljósi framangreindra ákvæða laga nr. 77/2000, að afla tiltekinna gagna vegna máls sem er til meðferðar fyrir dómi, þ. á m. matsmáls, sbr. IX. kafla laga nr. 91/1991 um meðferð einkamála, myndi fela í sér slíka íhlutun.

Ein af grunnreglum einkamálaréttarfars er sú að dómari leysi úr þeim ágreiningi sem undir hann er borinn. Í samræmi við það er mælt fyrir um það í 1. mgr. 66. gr. laga nr. 91/1991 að dómari leysi úr ágreiningi sem varðar framkvæmd matsgerðar. Í bréfi  H hrl., dags. 27. maí 2009, segir að dómari úrskurði ekki um lögmæti gagnaöflunar vegna matsgerðar samkvæmt þessu ákvæði. Ef gagnaöflun á ekki undir ákvæðið má hins vegar ætla að hún falli undir 2. mgr. 66. gr. þar sem segir að dómari leggi mat á önnur atriði varðandi matsgerð en þau sem falla undir 1. mgr. sömu greinar þegar leyst sé að öðru leyti úr máli. Í því sambandi má geta þess að fyrir því eru fordæmi að dómarar átelji gagnaframlagningu sem talin hefur verið ómálefnaleg, sbr. m.a. dóm Héraðsdóms Reykjavíkur frá 5. júní 2002 í máli nr. E-7564/2001.

Með vísan til framangreinds telur Persónuvernd ekki ástæðu til að endurskoða þá afstöðu sem fram kemur í bréfi hennar, dags. 19. desember 2008, þ.e. að lögmæti umræddrar gagnaöflunar verði ekki tekið til endurskoðunar að svo stöddu. Ekki er því fallist á framkomna kröfu þar að lútandi, en sú niðurstaða er í samræmi við ákvörðun stjórnar Persónuverndar frá 9. júní 2009 í máli nr. 2008/819. Hjálögð er útprentun af þeirri ákvörðun af heimasíðu Persónuverndar.“

Af hálfu kvartanda var enn óskað endurupptöku með bréfi, dags. 1. október 2009. Krafan var rædd á fundi stjórnar Persónuverndar þann 13. október 2009 og í bréfi sem hún sendi sama dag segir m.a.:

„Persónuvernd hefur áður svarað yður um framangreint. Er hér með minnt á efni þeirra svara. Annars vegar svar sem er í bréfi dags. 19. desember 2008, um að Persónuvernd telur ekki efni til að fjalla um mál ef vinnsla tengist rekstri matsmáls sem rekið er fyrir dómstóli. Hins vegar bréf, dags. 26. júní 2009. Þar kemur sama afstaða Persónuverndar fram. Er útskýrt að umfjöllun hennar um málið kunni að fela í sér íhlutun af hálfu framkvæmdavaldsins í störf dómsvaldsins sem gangi gegn þrígreiningu ríkisvaldsins sbr. 2. gr. Stjórnarskrár lýðveldisins Íslands nr. 33/1944.

Stjórn Persónuverndar ræddi mál yðar aftur á fundi, dags. 13. október 2009. Fyrir liggur að mál þetta er enn til formlegrar meðferðar í samræmi IX. kafla laga nr. 91/1991, en nú mun vera leitað að yfirmatsmönnum. Með vísun til þess og þeirra sjónarmiða sem þegar hafa verið útskýrð í fyrri bréfum Persónuverndar til yðar hefur verið ákveðið að árétta fyrri svör Persónuverndar við málaleitan yðar. Til skýringar er enn sérstaklega minnt á 66. gr. laga nr. 91/1991 og að umfjöllun stjórnvalds um atriði sem tengst geta grundvelli matsgerðar sem sönnunargagns getur verið til þess fallin að grafa undan starfi dómstólsins. Mun Persónuvernd þ.a.l. ekki taka málið til efnislegrar meðferðar að svo stöddu.“

III.
Úrlausn um lögmæti
vinnslu persónuupplýsinga

1.
Ósk um efnislega úrslausn

Héraðsdómur í matsmáli kvartanda féll hinn 31. maí 2011 og með bréfi dags. 28. júní 2011 fór lögmaður kvartanda, A hrl., fram á það við Persónuvernd að hún tæki lögmæti umræddrar vinnslu persónuupplýsinga til efnislegrar úrlausnar. Í bréfinu segir m.a.:

„[...] þykir nú rétt að upplýsa að hinn 18. desember 2009 voru dómkvaddir yfirmatsmenn til að meta líkamstjón umbj. míns af völdum læknamistaka sem slegið var föstu með dómi Héraðsdóms Reykjavíkur 16. nóvember 2007 að gerð hefðu verið við meðferð á umbj. mínum á Landspítalanum hinn 9. febrúar 2003. Þeim dómi var ekki áfrýjað. Yfirmatsmenn skiluðu yfirmatsgerð sinni 21. mars 2010. Á grundvelli þeirrar yfirmatsgerðar var mál höfðað af umbj. mínum til heimtu skaðabóta úr hendi íslenska ríkisins með stefnu sem birt var íslenska ríkinu 1. september 2010, og var dómur kveðinn upp í málinu 31. maí 2011, en sá dómur er hjálagður bréfi þessu. Rétt er ennfremur að upplýsa að aðilar sammæltust um að hvorugur myndi áfrýja dóminum og hafa umbj. mínum því verið greiddar bætur á grundvelli hans, sbr. hjálagt bréf G hrl. hjá embætti ríkislögmanns, dags. 16. júní 2011.
Í málatilbúnaði umbj. míns í framangreindu dómsmáli voru höfð uppi sjónarmið um að brotið hefði verið gegn lögum nr. 77/2000 um persónuvernd af hálfu Landspítalans í tengslum við vinnu dómkvaddra matsmanna. Eru það sambærileg sjónarmið og komu fram í kvörtun umbj. míns til Persónuverndar, dags. 15. september 2008. Engar kröfur voru þó gerðar þar að lútandi í dómsmálinu á hendur íslenska ríkinu enda fæst vart séð hvernig þeim hefði með góðu móti verið komið við í þessu máli sem laut að heimtu skaðabóta úr hendi íslenska ríkisins. Um þetta efni er því fjallað svofelldum orðum í dómi héraðsdóms:
„Í stefnu og greinargerð er að finna sjónarmið varðandi gagnaöflun við matsþætti í máli þessu sem af hálfu stefnanda var talin fela í sér brot á lögum um persónuvernd en þar eð engar kröfur eru gerðar í því samhengi eru engin efni til að taka afstöðu til þessa í úrlausn þessari“
Dómurinn leysir því ekki úr þessum sjónarmiðum og röksemdum, en þessum dómi verður, eins og áður segir ekki áfrýjað til Hæstaréttar. Með vísan til framangreinds er þess nú óskað að Persónuvernd fjalli nú um kvörtun umbj. míns, dags. 15. september 2008, sbr. og síðari bréfaskipti vegna hennar. [...]“

Með bréfi, dags. 15. ágúst 2011, tilkynnti Persónuvernd Landspítalanum og ríkislögmanni um stöðu máls og bauð þeim að koma á framfæri frekari skýringum og sjónarmiðum.

Svarbréf Landspítalans, dags. 30. ágúst 2011, barst þann 2. september s.m. Þar segir m.a.:

„[...] Landspítali ítrekar fyrri sjónarmið sín sem fram koma í bréfum til Persónuverndar dags. 29. september 2008 og 12. desember 2008. Þá tekur Landspítali að öllu leyti undir þau sjónarmið er fram koma í erindi embættis ríkislögmanns til Persónuverndar dags. 29. september 2008. Að auki vill Landspítali koma eftirfarandi á framfæri.

Í erindi þáverandi lögmanna kvartanda er vísað til úrskurðar Persónuverndar í máli nr. 2005/479 og niðurstöðu Hæstaréttar í máli nr. 201/2007. Er því haldið fram að álykta megi út frá þessum úrskurði og dómi að ávallt þurfi upplýst samþykki fyrir vinnslu persónuupplýsinga úr sjúkraskrá. Landspítali mótmælir þessari tilvísun enda getur niðurstaðan ekki orðið fordæmi í máli því sem hér er til umfjöllunar.

Í máli kvartanda er um að ræða vinnslu persónuupplýsinga í þágu vörsluaðila. Þ.e. vörsluaðila var m.a. nauðsynlegt að vinna upplýsingarnar til þess að gæta lögmætra hagsmuna sinna og verja kröfu. Í því máli sem þáverandi lögmenn kvartanda vísa til er vörsluaðili þriðji aðili, þ.e. vinnslan er ekki í hans þágu.

Í upphaflegri kvörtun kvartanda frá 15. september 2008 er að finna umfjöllun um frumvarp til laga um sjúkraskrár. Umrætt frumvarp varð að lögum nr. 55/2009 og tilvitnuð ákvæði voru þar nánast að öllu leyti óbreytt. Af frumvarpsákvæðunum dregur lögmaður kvartanda þá ályktun að öll vinnsla persónuupplýsinga sé með öllu óheimil nema með samþykki þess einstaklings sem á í hlut eða ef nauðsyn krefst þess vegna þeirrar læknismeðferðar sem einstaklingur fær. Í 12. gr. laga um sjúkraskrár segir þó: „Aðgangur að sjúkraskrám er óheimill nema til hans standi lagaheimild samkvæmt ákvæðum laga þessara eða öðrum lögum“

Landspítali hefur þegar sýnt fram á, sbr. fyrri erindi, að skýr lagaheimild stendur fyrir vinnslu umræddra persónuupplýsinga. Skal í því sambandi sérstaklega vísað til 3., 6. og 7. tölul. 8. gr. og 2., 6., og 7. tl. 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, þáverandi 2. mgr. 14. gr. laga nr. 74/1997 um réttindi sjúklinga og 2. mgr. 62. gr. laga nr. 91/1991 um meðferð einkamála.

Í erindi þáverandi lögmanna kvartanda dags. 22. október 2008 er tilvísun ríkislögmanns til úrskurðar Héraðsdóms Reykjavíkur frá 18. maí 2005 mótmælt þar sem umræddur úrskurður geti ekki orðið fordæmi í máli þessu. Enginn rökstuðningur er veittur fyrir þessari yfirlýsingu. Landspítali telur fordæmisgildi úrskurðarins mikið. Um var að ræða skaðabótamál sem höfðað hafði verið á hendur Landspítala vegna skaða sem stefnandi taldi sig hafa orðið fyrir á spítalanum. Ríkislögmaður lagði fram fyrir hönd Landspítala gögn úr sjúkraskrá stefnanda til að sýna fram á ákveðin orsakatengsl. Með vísan til 2. máls. 2. mgr. 14. gr. laga nr. 74/1997 um réttindi sjúklinga, sbr. 2. mgr. 2. gr. laga nr. 51/1985 um ríkislögmann taldi dómari að stefnda hefði verið heimilt að afla umræddra gagna og leggja fram án sérstaks samþykkis stefnanda.

Þá skal á ný vakin athygli á því að í athugasemdum með frumvarpi til laga um persónuvernd kemur fram að vinnsla heilsufarsupplýsinga getur verið heimil samkvæmt 7. tl. 9. gr. persónuverndarlaga. Í athugasemdum með frumvarpi til laga um sjúkraskrár kemur hvergi fram að lögunum sé ætlað að koma í veg fyrir þessa framkvæmd. Að lokum ítrekar Landspítali öll fyrri sjónarmið og skýringar er fram hafa komið í máli þessu.“

Svarbréf Landspítalans var borið undir lögmann kvartanda með bréfi, dags. 7. september 2011. Í svarbréfi lögmanns kvartanda, dags. 12. september 2011, sagðist hann ekki hafa frekari efnislegar athugasemdir. Með bréfi, dags. 5. október 2011, óskaði Persónuvernd þess að hann afmarkaði umkvörtunarefnið nánar. Eftir bréfaskipti þar að lútandi liggur fyrir að kvartandi óskar þess að Persónuvernd skeri úr því:

-  hvort læknana X, Y og Z hafi skort heimild samkvæmt 8. og 9. gr. laga nr. 77/2000 til að skoða sjúkraskrá B í því skyni til að afla gagna til að leggja fyrir matsmenn sem áttu að meta tjón B.
og
- hvort C, staðgengil framkvæmdastjóra lækninga, hafi skort heimild samkvæmt 8. og 9. gr. laga nr. 77/2000 til að afhenda ríkislögmanni greinargerðir X, Y og Z og sjúkraskrárupplýsingar um B í tengslum við rekstur matsmálsins.

2.  
Gildissvið laga nr. 77/2000;
afmörkun úrlausnarefnis

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. Vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Mál þetta lýtur að því hvort sérfræðilæknana X, Y og Z, sem allir eru starfsmenn LSH, hafi skort heimild samkvæmt 8. og 9. gr. laga nr. 77/2000 til að skoða sjúkraskrárgögn LSH um B og hvort framkvæmdastjóri lækninga hafi haft heimild samkvæmt 8. og 9. gr. laga nr. 77/2000 til að afhenda ríkislögmanni greinargerðir sérfræðilæknanna til nota í tengslum við rekstur umrædds matsmáls. Telst það til vinnslu persónuupplýsinga í skilningi laga nr. 77/2000 sem fellur undir úrskurðarvald Persónuverndar.

Lögmaður kvartanda hefur haldið því fram að niðurstöður sérfræðilæknanna um heilsufar kvartanda hafi verið rangar og hann mótmæli þeim sem órökstuddum og ósönnuðum. Að því er þetta varðar er tekið fram að Persónuvernd telur sig ekki bæra til að taka afstöðu til réttmætis hins læknisfræðilega sérfræðimats læknanna. Er þeim þætti kvörtuninnar vísað frá. Þá er tekið fram að þegar atvik máls þessa gerðust höfðu lög nr. 55/2009, um sjúkraskrár, ekki öðlast gildi og koma ákvæði þeirra því ekki til skoðunar.

3.
Lögmæti og niðurstaða

Til úrlausnar er í fyrsta lagi hvort læknana X, Y og Z, sem allir eru starfsmenn LSH, hafi skort heimild samkvæmt lögum nr. 77/2000 til að skoða sjúkraskrár LSH um kvartanda, B. Á sjúkraskrám eru heilsufarsupplýsingar sem teljast til viðkvæmra persónuupplýsinga, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000. Svo að vinna megi með slíkar persónuupplýsingar verður ávallt bæði að vera fullnægt einhverju skilyrðanna í 1. mgr. 9. gr. laganna og einhverju af skilyrðum 1. mgr. 8. gr. laganna.

Í 7. tölul. 1. mgr. 9. gr. laga nr. 77/2000 kemur fram að heimil er vinnsla viðkvæmra persónuupplýsinga sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.  Fyrir liggur að tilefni þess að yfirstjórn Landspítala háskólasjúkrahúss (LSH) lagði fyrir starfsmenn sína, þá X, Y og Z, að skoða heilsufarsupplýsingar um kvartanda, var vörn spítalans í matsmáli sem kvartandi hafði höfðað gegn honum. Skoðunin fór fram fyrir tilstilli framkvæmdastjóra lækninga, sem þá var staðgengill forstjóra spítalans. Hún var liður í vörn spítalans í dómsmáli sem telst samrýmanleg 7. tölul. 1. mgr. 9. gr.

Auk þess sem vinnsla viðkvæmra persónuupplýsinga þarf að uppfylla eitthvert af skilyrðum 1. mgr. 9. gr. þarf hún að styðjast við eitthvert af heimildarákvæðum 1. mgr. 8. gr. Í 7. tölul.  8. gr. segir að vinnsla sé heimil sé hún nauðsynleg til að ábyrgðaraðili, eða þriðji maður eða aðilar sem upplýsingum er miðlað til, geti gætt lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða sem vernda beri samkvæmt lögum vegi þyngra. Að mati Persónuverndar fór umrædd vinnsla persónuupplýsinga fram í þágu lögmætra hagsmuna í þessum skilningi. Við mat á því hvort vinnslan hafi verið til þess fallin að ógna grundvallarréttindum eða frelsi kvartanda skiptir máli að hún fór fram vegna máls sem hann hafði höfðað gegn ábyrgðaraðila og þjónaði ekki því markmiði að raska einkalífi hans heldur að leiða hið sanna í ljós um raunverulegt tjón hans. Liggur enda ekki annað fyrir en að umrædd gögn hafi haft þýðingu við mat á tjóninu. Telst hún því hafa verið nauðsynleg svo unnt væri að fjalla efnislega um tjón kvartanda og þannig hafa samrýmst 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

Að því er varðar heimild framkvæmdastjóra lækninga hjá LSH til að afhenda ríkislögmanni umræddar greinargerðir sérfræðinganna í tengslum við rekstur matsmálsins er það mat Persónuverndar að hún hafi einnig, með vísun til sömu forsendna, samrýmst framangreindum ákvæðum.

Í lögum nr. 51/1985, um ríkislögmann, segir og að hann fari með uppgjör bótakrafna sem beint er að ríkissjóði og vörn þeirra einkamála fyrir dómstólum og gerðardómum sem höfðuð eru á hendur ríkinu. Að því leyti má einnig - að því er þetta atriði varðar - vísa til heimildarákvæða 3. tölul. 1. mgr. 8. gr. og 2. tölul. 1. mgr. 9. gr. laganna.

Í ljósi framangreinds er það niðurstaða Persónuverndar að sú vinnsla heilsufarsupplýsinga um kvartanda sem hann kvartar yfir hafi samrýmst heimildarákvæðum 7. tölul. 1. mgr. 8. gr. og 7. tölul. 1. mgr. 9. gr. laga nr. 77/2000.