Birting úrskurðar siðanefndar

24.1.2012

Úrskurður

Á fundi stjórnar Persónuverndar hinn 17. janúar 2012 var kveðinn upp svohljóðandi úrskurður í máli nr. 2011/1005:

I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Upphaf og afmörkun máls
Hinn 19. september 2011 barst Persónuvernd kvörtun frá A(hér eftir nefndur „kvartandi“) yfir siðanefnd Læknafélags Íslands, þ.e. yfir því að nefndin hefði birt tiltekinn úrskurð í Læknablaðinu og á vef þess, en í honum hafi verið viðkvæmar persónuupplýsingar um sig. Tildrög þess að umræddur úrskurður var kveðinn upp eru þau að læknirinn X kærði lækninn Y til siðanefndarinnar vegna tiltekinna ummæla sem kvartandi hafði eftir Y þegar hann mætti til X. Hjá siðanefndinni hafði kvartandi stöðu eins konar vitnis en við meðferð málsins þar rötuðu í gögn þess sjúkraskrárupplýsingar um kvartanda. Mun Y hafa miðlað þeim til nefndarinnar og auk þess fullyrt að [...].

2.
Málavextir og bréfaskipti
Hin upphaflega kvörtun laut ekki aðeins að siðanefnd Læknafélags Íslands heldur einnig að Y, þ.e. yfir því að hann hefði skoðað sjúkraskrárgögn kvartanda í heimildarleysi og vitnað í þau í tengslum við meðferð málsins fyrir siðanefnd. Þá laut kvörtunin að Fjórðungssjúkrahúsinu á [...] fyrir að aðhafast ekkert í málinu þrátt fyrir vitneskju um skoðun Y á gögnum þess. Að loknum bréfaskiptum um málið, þ. á m. við landlækni, og þess með hvaða hætti hann hyggst fjalla um nokkra þætti þess, afmarkast úrlausnarefni Persónuverndar að svo stöddu við birtingu umrædds úrskurðar á vef Læknafélagsins og í Læknablaðinu. Tekur eftirfarandi reifun á bréfaskiptum mið af því.

2.1.
Með bréfi, dags. 22. september 2011, óskaði Persónuvernd skýringa siðanefndar Læknafélags Íslands. Hún svaraði með bréfi, dags. 6. október 2011. Þar segir m.a.:

Vegna úrskurðar siðanefndar […] var ákveðið að úrskurðinn skyldi birta í Læknablaðinu. Viðauki við lög LÍ gerir ráð fyrir að siðanefnd sé heimilt að taka slíka ákvörðun. það er ákvörðun nefndarinnar hverju sinni hvort nöfn málsaðila séu birt eða ekki.  A var ekki málsaðili að þessu máli og nafn hans kom því hvergi fram í úrskurðinum. Nöfn læknanna sem eru málsaðilar í málinu voru birt. […]
Við frágang úrskurðar […] urðu þau leiðu mistök að það láðist að afmá á einum stað af tveimur [...], en gögn um hann tengdust því máli sem til umfjöllunar var. Siðanefnd LÍ bað opinberlega afsökunar á þeim mistökum auk þess sem siðanefndin gerði það persónulega við A.
Siðanefnd LÍ mótmælir fullyrðingu A um það að af siðanefndarúrskurðinum, eins og hann birtist, hafi augljóst verið hver viðkomandi sjúklingur er. A kaus sjálfur að stíga fram í fjölmiðlum strax eftir að umfjöllun um hann hófst, sbr. frétt á DV […] á þessum tíma. Síðar hefur hann verið í viðtölum við fjölmiðla um þetta sama mál. Siðanefnd LÍ bendir í þessu sambandi á að oft kemur það fyrir, þegar birtir eru úrskurðir eða dómar, að einhverjir kunni að velta fyrir sér hvort sá sem nýtur verndar nafnleysis í viðkomandi úrskurði sé þessi eða hinn einstaklingurinn. Engin staðfesting fæst á slíkum vangaveltum nema sá sem nýtur nafnleyndarinnar stígi sjálfur fram. Það gerði A í þessu máli. Með þeirri ákvörðun sinni tengdi hann einnig [...], sem mistök voru að birta, við nafn sitt og tengdi þannig sjálfur viðkvæmar sjúkraskrárupplýsingar við nafn sitt og persónu.

Siðanefnd LÍ ber fulla ábyrgð á því að mistök urðu við frágang úrskurðarins varðandi það að það láðist að afmá s...] A á einum af tveimur stöðum þar sem hún var í tilvitnuðum ummælum. Siðanefnd LÍ telur sig hins vegar ekki geta borið ábyrgð á því að A sjálfur ákvað að stíga fram og með því staðfesta hverjar þær vangaveltur sem einhverjir kunna að hafa verið með um það hvort hann væri hinn nafnlausi sjúklingur í þessum úrskurði. Hefði hann sleppt því að stíga sjálfur fram hefði enginn vitað með vissu að hann er þessi sjúklingur sem um ræðir í þessu máli.“

2.2.
Með bréfi, dags. 14. október 2011, veitti Persónuvernd kvartanda færi á að tjá sig um framangreint bréf siðanefndar Læknafélags Íslands. Hinn 10. nóvember 2011 kom kvartandi á fund stofnuninnar og aftur hinn 15. s.m.  Þá gerði hann munnlegar athugasemdir. Hvað varðar bréf siðanefndar Læknafélags Íslands til Persónuverndar, dags. 6. október 2011, gerði kvartandi þær athugasemdir að:

1. Hann kæmi umræddu máli fyrir siðanefnd í raun ekkert við. Engu að síður væri allt birt um hann þrátt fyrir að í niðurlagi úrskurðar siðanefndarinnar væru tiltekin orð í bréfi frá Y um annan lækni sögð þess eðlis að þau væru ekki eftir hafandi. Spyrja mætti sig þess hvers vegna allt væri birt um hann en lækninum hlíft.
2. Þegar hefði verið búið að birta um hann persónugreinanlegar upplýsingar, þ.e. við netbirtingu úrskurðar siðanefndarinnar, þegar hann ræddi um mál sitt við fjölmiðla; athugasemd siðanefndar þess efnis að upplýsingar hefðu orðið persónugreinanlegar fyrir tilverknað hans ættu því ekki rétt á sér.
3. Birting upplýsinga um [...] hefði brotið gegn lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
4. Hann hefði undir höndum yfirlýsingu þess efnis að hann ætti enga aðild að umræddu máli hjá siðanefnd. Yfirlýsingin væri frá lækninum sem kvartaði undan Y til siðanefndarinnar.
5. Honum hefði borist tölvuskeyti hinn 4. september 2011 frá manni, sem ekki hefði átt að hafa vitneskju um [...], þar sem athygli hans hefði verið vakin á vefbirtingu úrskurðarins. Ljóst hefði verið að umræddur maður hefði áttað sig á að kvartandi ætti í hlut. Hefði kvartandi því talið sig verða að bregðast við strax en hefði þó ekki viljað reka málið í fjölmiðlum. Þeir hefðu hins vegar átt frumkvæði að umfjöllun. Hann hefði ekki fengið afsökunarbeiðni frá siðanefndinni fyrr en eftir að málið fór í fjölmiðla.

Hinn 22. nóvember 2011 barst Persónuvernd yfirlýsing frá þeim manni sem vakti athygli kvartanda á birtingu umrædds úrskurðar, þ.e. Z. Í yfirlýsingunni segir:

„Þann 4. september sl.  var ég að renna í gegnum helstu fréttir á vefmiðlinum Pressunni og rak ég augun í frétt þar um mann sem [...]. Vefmiðillinn vitnaði í Læknablaðið sem hafði greinilega sagt frá þessu og fyrir mann sem þekkir til var augljóst að hér var átt við vin minn A.
Ég brást við og sendi honum þegar link á þessa undarlegu umfjöllun sem Læknablaðið hafði hafið og hringdi til hans til að tryggja að hann sæi þessa umfjöllun sem allra fyrst svo hann gæti verið viðbúinn þeim glósum sem hann óhjákvæmilega yrði fyrir vegna þessa.
Það gat ekki dulist neinum sem A þekkir að þarna var átt við hann og engan annan eins og svo hefur berlega komið í ljós.“

2.3.
Með bréfi til Landlæknisembættisins, dags. 24. október 2011, óskaði Persónuvernd þess að það greindi frá því hvort það teldi umrætt mál – í heild eða að hluta – falla undir sérsvið sitt. Í svari landlæknis, dags. 1. nóvember 2011, segir:

„Þar sem Persónuvernd er nú með kvörtun A til meðferðar mun Landlæknisembættið ekki vinna frekar í málinu þar til álit Persónuverndar liggur fyrir. Hins vegar gerir landlæknir fyrirvara um það að þegar niðurstaða Persónuverndar liggur fyrir kunni hann að fylgja einhverjum þáttum málsins eftir, samkvæmt eftirlitshlutverki sínu.“

Persónuvernd taldi þörf á skýrari svörum um afstöðu landlæknis til þess hvaða þættir kvörtunarinnar hann teldi falla undir sitt eftirlitshlutverk og sérsvið. Spurt var hvort það ætti við um  einhvern eftirfarandi þátta:

1. Það að Y hafi skoðað sjúkraskrá kvartanda í öðrum tilgangi en vegna meðferðar.
2. Það að Y hafi miðlað viðkvæmum persónuupplýsingum um kvartanda úr sjúkraskránni til siðanefndar Læknafélagsins.
3. Það að siðanefnd Læknafélagsins hafi birt úrskurð með framangreindum upplýsingum um kvartanda.

Landlæknir svaraði með bréfi, dags. 24. nóvember 2011 og sagði að hann teldi liði 1 og 2 hér að framan falla undir sérsvið sitt.

2.4.
Í símtölum við lögmann kvartanda, hinn 21. og 27. desember 2011, sem og í símtali við kvartanda hinn 2. janúar 2012, kom fram að yfirstandandi væru sáttaumleitanir. Með bréfi til lögmannsins, dags. 3. janúar 2012, óskaði því Persónuvernd þess að upplýst yrði hvort fallið hefði verið frá umræddri kvörtun.

Hinn 6. janúar 2012 mætti A á skrifstofu Persónuverndar til að svara bréfi hennar dags. 3. janúar. Hann kvaðst ekki hafa fallið frá kvörtun sinni. Honum var greint frá því að þá myndi Persónuvernd halda málinu áfram – þ.e. þeim hluta þess sem lýtur að siðanefnd Læknafélagsins. Sá þáttur þess er lyti að þagnarskyldubrotum o.þ.h. væri hins vegar til meðferðar hjá landlækni og Persónuvernd myndi ekki fjalla um þann þátt á meðan hann væri þar til meðferðar. Þá sendi lögmaður kvartanda bréf, dags. 6. janúar 2012, þar sem segir að ekki hafi verið fallið frá kvörtuninni, auk þess sem hann greindi frá því í símtali hinn 11. s.m. að sátt næðist ekki.

II.
Forsendur og niðurstaða

1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000 gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.

Nafn kvartanda var ekki birt í umræddum úrskurði, né heldur kennitala, heimilisfang eða önnur persónuauðkenni. Hins vegar kemur fram í úrskurðinum að [...]. Þegar allar þessar upplýsingar koma saman verður að ætla að margir, sem eitthvað þekkja til kvartanda, hafi getað getið sér til um hver hann væri. Af því leiðir jafnframt að þeir fengu vitneskju um ýmis atriði úr sjúkrasögu hans, [...]

Af öllu framangreindu leiðir að birting siðanefndar Læknafélags Íslands á umræddum úrskurði felur í sér birtingu persónugreinanlegra upplýsinga um kvartanda. Hér er því um að ræða vinnslu persónuupplýsinga sem fellur undir lög nr. 77/2000 og þar með valdsvið Persónuverndar.

2.
Lögmæti vinnslu
Upplýsingar um heilsuhagi eru viðkvæmar, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000. Þá er sérstaklega tekið fram í 2. gr. laga nr. 55/2009 að sjúkraskrár hafa að geyma viðkvæmar persónuupplýsingar og að sjúkraskrár eru trúnaðarmál. Svo að vinna megi með viðkvæmar persónuupplýsingar þarf ávallt að vera fullnægt einhverju skilyrðanna í 1. mgr. 9. gr. laga nr. 77/2000.

Við mat á því hvort umrædd vinnsla viðkvæmra persónuupplýsinga um kvartanda, á vegum siðanefndar Læknafélags Íslands, hafi átt sér stoð í 1. mgr. 9. gr. er fyrst að líta til 5. töluliðar um vinnslu sem er framkvæmd af samtökum sem hafa stéttarfélagsleg markmið eða af öðrum samtökum sem ekki starfa í hagnaðarskyni, svo sem menningar-, líknar-, félagsmála- eða hugsjónasamtökum. Ákvæðið á hins vegar aðeins við um vinnslu sem tekur til félagsmanna þeirra eða einstaklinga sem samkvæmt markmiðum samtakanna eru, eða hafa verið, í reglubundnum tengslum við þau. Það á ekki við í þessu tilviki og verður vinnslan því ekki talin lögmæt með vísun í 5. tölul. 1. mgr. 9. gr.

Í öðru lagi er í 6. tölul. það ákvæði að heimil sé vinnsla viðkvæmra persónuupplýsinga hafi hinn skráði sjálfur gert þær opinberar. Siðanefnd Læknafélags Íslands segir að A hafi sjálfur kosið að stíga fram í fjölmiðlum strax eftir að umfjöllun um hann hófst, og hafi verið í viðtölum við fjölmiðla um þetta sama mál síðan. Af því tilefni er til þess að líta að heimildarákvæði 6. tölul. miðast við ákveðið tímamark, og gildir ekki nema upplýsingarnar hafi þegar verið gerðar opinberar af hinum skráða á þeim tíma þegar vinnsla samkvæmt ákvæðinu hefst, hér vinnsla siðanefndarinnar. Á ákvæði 6. tölul. þar af leiðandi ekki við.

Í þriðja lagi segir í 7. tölul. að heimil sé vinnsla sem sé nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Þetta ákvæði hefur ekki verið skilið svo að það eigi aðeins við um mál sem rekin eru fyrir dómstólum, heldur getur það t.d. einnig átt við þegar mál eru til meðferðar fyrir stjórnvaldi, gerðardómi eða siðanefnd. Öll vinnsla þarf hins vegar að samrýmast meginreglum 7. gr., þ. á m. reglu 1. tölul.  Haga þarf henni með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga. Í máli þessu liggur fyrir að kvartandi var ekki aðili að ágreiningsmáli um hvort Y læknir hefði viðhaft tiltekin ummæli um  X. Hann hafði aðeins stöðu einhvers konar vitnis um atvik málsins. Verður ekki séð að nauðsynlegt hafi verið eða sanngjarnt að fjalla um hann í úrskurðinum og birta um hann upplýsingar með þeim hætti sem gert var. Með vísun til framangreinds verður ekki litið svo á að vinnslan hafi verið heimil með vísun til 7. tölul. 1. mgr. 9. gr.

Úrskurðurinn birtist bæði í Læknablaðinu og á vef þess. Persónuvernd mælir ekki fyrir um eyðingu efnis í prentuðum, útgefnum tímaritum. Hvað varðar birtingu upplýsinga á vef Læknablaðsins, getur Persónuvernd hins vegar beitt ákvæði 1. mgr. 40. gr. laga nr. 77/2000. Nú liggur fyrir að úr umræddum úrskurði hefur þegar verið eytt upplýsingum um  [...]  kvartanda. Þar standa hins vegar áfram aðrar, persónugreinanlegar upplýsingar um sjúkrasögu hans og [...]. Hér með er lagt fyrir siðanefnd Læknafélags Íslands að eyða þessum upplýsingum úr vefútgáfu úrskurðarins á heimasíðu Læknablaðsins. Eigi síðar en hinn 27. janúar nk. skal Persónuvernd hafa borist bréfleg staðfesting siðanefndar á því að upplýsingunum hafi verið eytt.


Ú r s k u r ð a r o r ð:

Siðanefnd Læknafélags Íslands var óheimilt að birta persónugreinanlegar upplýsingar úr sjúkraskrá A, auk fullyrðingar um [...], í Læknablaðinu, sem og á heimasíðu þess. Nefndin skal eyða persónugreinanlegum upplýsingum um sjúkrasögu kvartanda úr vefútgáfu úrskurðarins og skal staðfesting um að það hafi verið gert berast Persónuvernd eigi síðan en hinn 27. janúar nk.