Samþykkisyfirlýsing VIRK samrýmist lögum nr. 77/2000 - mál nr. 2012/1074

5.2.2013

Úrskurður

Á fundi stjórnar Persónuverndar hinn 25. janúar 2012 var kveðinn upp svohljóðandi úrskurður í máli nr. 2012/1074:

I.
Bréfaskipti
1.
Hinn 21. september 2012 barst Persónuvernd kvörtun frá A (hér eftir nefndur „kvartandi“), dags. 20. s.m., yfir VIRK – starfsendurhæfingarsjóði. Kvartað er yfir yfirlýsingu um samþykki fyrir gagnaöflun sem lögð er fyrir þá sem þangað leita, en hann álítur farið fram á of víðtækt umboð til upplýsingaöflunar. Með kvörtun fylgdi eintak af yfirlýsingunni sem ber þess merki að hann hafi byrjað að fylla hana út en snúist hugur og látið því ólokið.

Hinn 6. nóvember 2012 kom kvartandi á fund Persónuverndar og afhenti afrit af samþykkisyfirlýsingu sem komið hefur í stað þeirrar sem fylgdi kvörtun hans. Hann telur hina nýju samþykkisyfirlýsingu hins vegar haldna sömu ágöllum og sú eldri. Ber að líta svo á að kvörtunin lúti nú að þeirri yfirlýsingu.

Í kvörtun eru tilgreind þau ákvæði samþykkisyfirlýsingarinnar, sem þá var í notkun hjá VIRK, sem kvartandi telur einkum athugaverð. Þar er um að ræða ákvæði um annars vegar upplýsingar, sem aflað er frá þriðju aðilum, og hins vegar ákvæði um aðgang að upplýsingum. Samsvarandi ákvæði eru í hinni nýju yfirlýsingu. Samkvæmt c-lið 2. gr. þeirrar yfirlýsingar getur komið til þess að aflað verði upplýsinga frá sérfræðingum, endurhæfingaraðilum, s.s. vottorða, skýrslna, niðurstaðna mats og rannsókna og reikninga vegna starfsendurhæfingar hins skráða. Þá kemur fram í d-lið sömu greinar að upplýsinga kunni að verða aflað frá heimilislækni, trúnaðarlækni, Tryggingastofnun ríkisins (TR), Vinnumálastofnun, lífeyrissjóðum eða öðrum þeim sem koma að þjónustu í starfsendurhæfingu. Í 4. gr. er fjallað um aðgang að upplýsingum, en þar segir:

„Aðgangur að upplýsingum um hinn skráða, hvort heldur rafrænum eða á pappír verður takmarkaður við ráðgjafa hans og þá sérfræðinga sem koma að máli hans. Aðrir aðilar geta fengið upplýsingar með eftirfarandi hætti:
Heimilislæknir eða meðhöndlandi sérfræðingur hins skráða geta fengið upplýsingar um starfsendurhæfingarferli hans í formi samantektar eða staðlaðrar skýrslu.
Lífeyrissjóðir og TR geta, ef við á, fengið upplýsingar um starfsendurhæfingaráætlun einstaklingsins, tímabil þjónustunnar, ástundun og árangur. Þetta á einungis við ef lífeyrissjóðir og/eða TR gera kröfu til þessara upplýsinga vegna greiðslu endurhæfingar- eða örorkulífeyris.
Upplýsingar með markmiðum hins skráða vegna þátttöku í aðkeyptri þjónustu fer til þjónustuaðila/úrræðaaðila hans með tölvupósti úr upplýsingakerfi VIRK.“

2.
Með bréfi, dags. 6. nóvember 2012, veitti Persónuvernd VIRK færi á að tjá tjá sig um kvörtunina. VIRK svaraði með bréfi, dags. 15. s.m. Þar er vísað til þess lögboðna hlutverks starfsendurhæfingarsjóða að tryggja einstaklingum þjónustu á sviði atvinnutengdrar starfshendurhæfingar, sbr. 2. gr. laga nr. 60/2012 um atvinnutengda starfshendurhæfingu og starfsemi starfshendurhæfingarsjóða. Þá er vísað til 3. gr. þar sem segir m.a. að með atvinnutengdri starfsendurhæfingu sé átt við ferli sem felur í sér ráðgjöf og úrræði fyrir einstaklinga með skerta starfsgetu í kjölfar veikinda eða slysa til að auka starfsgetu þeirra og stuðla markvisst að endurkomu þeirra til vinnu að fullu eða hluta.

Einnig vísar VIRK til 3. mgr. 10. gr. umræddra laga, en þar segir að þegar tryggður einstaklingur hefur þörf fyrir þjónustu, sem veitt er innan þjónustukerfa á vegum ríkis og sveitarfélaga til að ná árangri við að bæta starfsgetu sína, skuli ráðgjafar starfsendurhæfingarsjóða leita eftir samstarfi við hlutaðeigandi þjónustuaðila í samráði við viðkomandi einstakling. Vitnað er til þess að samkvæmt almennum athugasemdum í greinargerð með því frumvarpi, sem varð að lögum nr. 60/2012, sé gert ráð fyrir því að atvinnutengd starfsendurhæfing verði einn þáttur í heildstæðu kerfi endurhæfingar þar sem starfsendurhæfingarsjóðir og stofnanir á vegum ríkis og sveitarfélaga starfi saman eins og kostur er. Allir hlutaðeigandi leitist jafnframt við að skilgreina og sinna hlutverkum sínum með þeim hætti að sem flestir eigi þess kost að vera virkir á vinnumarkaði.

Með vísan til framangreinds segir í bréfi VIRK:

„VIRK hefur því lögbundið hlutverk við að veita þjónustu á sviði atvinnutengdrar starfsendurhæfingar til einstaklinga í samvinnu við aðra aðila innan velferðarkerfisins og þetta hlutverk getur VIRK ekki innt af hendi nema að einstaklingur heimili það að nauðsynlegar upplýsingar fari á milli VIRK og annarra aðila sem koma að þjónustu við einstaklinginn. Að öðrum kosti getur þjónustan ekki orðið markviss og árangursrík þar sem starfsendurhæfing byggir á því að ólíkir fagaðilar vinni saman til að leita möguleika og lausna fyrir hvern og einn einstakling.“

Einnig segir í bréfi VIRK að umrætt samþykki sé ætlað öllum sem þiggja þjónustu VIRK og því þurfi allir að undirrita sama skjalið þó svo að þarfir hvers og eins séu mismunandi. Ómögulegt sé fyrir ráðgjafa VIRK að átta sig á þörfum viðkomandi í upphafi og mótist skjalið af því. Þá segir:

„Til þess að sú aðstoð sem VIRK veitir einstaklingum sé markviss og skili árangri þarf hún að byggja á þeirri greiningu sem áður hefur verið gerð og meðferð sem þegar hefur átt sér stað, að öðrum kosti getur VIRK ekki veitt viðeigandi og árangursríka þjónustu. Því er nauðsynlegt að ráðgjafi hvers einstaklings sem kemur í þjónustu til VIRK fái upplýsingar um viðkomandi einstakling, hvað það er sem veldur skertri vinnugetu og fyrri meðferð. Þau gögn sem leitað er eftir eru því yfirleitt af svipuðum toga, þ.e. gögn frá greiningaraðilum; heimilislækni, sérfræðingi og/eða endurhæfingaraðila.“

Fram kemur að frá heimilislækni er aflað vottorða eða skýrslna. Segir að vottorðin innihaldi oft niðurstöður mats og rannsókna sem geti skipt miklu máli um íhlutun og stefnu í starfsendurhæfingu, en án slíkra upplýsinga geti ráðgjöfum VIRK reynst erfitt að beina starfsendurhæfingarferlinu í árangursríkan farveg. Einnig geti þurft að leita til annarra sérfræðinga í heilbrigðiskerfinu, m.a. þegar niðurstöður frá þeim liggi ekki fyrir hjá heimilislækni. Þá geti þurft að leita til endurhæfingaraðila, en þeir hafi mikla þekkingu á getu og styrkleikum einstaklinga ásamt því hvað hafi verið reynt og hvað eigi eftir að reyna til að auka möguleika viðkomandi á að komast út á vinnumarkaðinn. Hvað varðar öflun upplýsinga um reikninga vegna starfsendurhæfingar segir að halda beri til haga og samþykkja reikninga sem VIRK greiði, en færa verði bókhald og hafa eftirlit með greiðslum.

Að auki segir í bréfi VIRK:

„Eins og minnst er á hér að ofan er þverfagleg nálgun í starfsendurhæfingu mikilvæg eigi hún að vera árangursrík. Í 4. […]grein, Upplýstu samþykki eru einstaklingar sem koma í þjónustu tl VIRK beðnir um að veita VIRK heimild til að upplýsa eftirfarandi aðila um ákveðinn hluta af starfsendurhæfingarferli einstaklingsins. Þessi heimild snýst um miðlun eftirfarandi upplýsinga:
Upplýsingar sem snúa að markmiðum einstaklinga eru sendar á þjónustuaðila og til úrræðaaðila til að tryggja að sú aðstoð sem þar er veitt t.d. sálfræðiþjónusta sé markviss út frá þörf hvers einstaklings.
Heimilislæknir eða aðrir meðhöndlandi sérfræðingar eru yfirleitt hluti af starfsendurhæfingarferli einstaklingsins. Mikilvægt er að þeir hafi upplýsingar um íhlutun og árangur úrræða og árangursmælingar tengdar því til að tryggja upplýsta ákvörðun þeirra vegna áframhaldandi íhlutunar og heildarsögu einstaklingsins.
Í viðbótartilfellum eins og tekið er fram í 4. gr. b í Upplýstu samþykki, Útgáfu 2.0 biður VIRK einnig um heimild frá einstaklingi til að láta lífeyrissjóðum og/eða Tryggingastofnun ríkisins í té upplýsingar um starfsendurhæfingaráætlun hans, tímabil þjónustunnar, ástundun og árangur vegna greiðslna endurhæfingarlífeyris eða örorkulífeyris þar sem þessar greiðslur eru oft skilyrtar við það að viðkomandi fylgi tilteknu endurhæfingarferli.“

3.
Með bréfi, dags. 19. nóvember 2012, veitti Persónuvernd kvartanda færi á að tjá sig um framangreint svar VIRK. Hann svaraði með bréfi, dags. 3. desember s.á. Samkvæmt því var honum sagt, þegar hann leitaði á fund VIRK til að fá starfsendurhæfingu, að hann þyrfti að undirrita þá samþykkisyfirlýsingu sem fylgdi með kvörtun hans. Honum hafi þótt hún víðfeðm. Þær breytingar, sem nú hafi verið gerðar, séu einungis orðatilfæringar. Þá segir að engan veginn sé ásættanlegt að ónefndir sérfræðingar og starfsmenn VIRK fái viðkvæm, persónuleg gögn í hendurnar. Spurt er hvernig unnið verði með gögnin og gerð athugasemd við að TR geti fengið upplýsingar í hendur, enda sé hún með alla pappíra nú þegar. Þá er spurt hversu margir sérfræðingar þurfi að koma að því að kvartandi þurfi að fara í þjálfun til þess að komast aftur á vinnumarkað og spurt hvað leyfi aðkomu sérfræðinganna. Enn er spurt hvort hvort reglur VIRK séu allar samþykktar af Persónuvernd.

Einnig segir í bréfi kvartanda að hann telji það ámælisvert hversu langt sé hægt að kafa í þau einkamál sem læknaskýrslur séu, en bæði hjá lífeyrissjóði og TR séu gögn um heilsufar hans. Honum finnist vegið að trúverðugleika sínum með því að kafa aftur í tímann og finna upplýsingar um heilsufar til að komast að því hvort hann sé að svíkjast um. Þannig virðist honum þetta „fargan“ vera sem VIRK hendi upp á blað.

II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að umrætt eyðublað, sem lagt er fyrir þá sem leita til VIRK, lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

2.
Svo að vinna megi með persónuupplýsingar þarf ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Þegar um ræðir viðkvæmar persónuupplýsingar þarf að auki að vera fullnægt einhverju viðbótarskilyrðanna í 9. gr. sömu laga. Upplýsingar um heilsuhagi eru viðkvæmar, sbr. b-lið 8. tölul. 2. gr. laganna.

Starfsemi starfsendurhæfingarsjóða er lögbundin, sbr. lög nr. 60/2012 um atvinnutengda starfsendurhæfingu og starfsemi starfsendurhæfingarsjóða. Þegar vinna þarf með persónuupplýsingar til að fara að þeim lögum getur vinnslan stuðst við 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000, þess efnis að vinnsla sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu. Líta ber til 3. mgr. 10. gr. laga nr. 60/2012 í því sambandi, en þar segir að þegar einstaklingur, sem tryggður er samkvæmt lögunum, hefur þörf fyrir þjónustu annarra þjónustukerfa á vegum ríkis og sveitarfélaga til að bæta starfsgetu sína skuli ráðgjafar starfsendurhæfingarsjóða leita eftir samstarfi við hlutaðeigandi þjónustuaðila í samráði við viðkomandi einstakling. Í ljósi þessa telur Persónuvernd umrædda vinnslu geta fallið undir framangreint ákvæði 8. gr. laga nr. 77/2000.

Samkvæmt 1. mgr. 13. gr. laga nr. 60/2012 skal starfsendurhæfingarsjóður starfa sem sjálfseignarstofnun sem stofnuð er af félögum á vegum einstaklinga eða samtaka á vinnumarkaði. Um aðild einstaklinga að starfsendurhæfingarsjóði fer eftir 2. mgr. 4. gr. laga nr. 60/2012 og er meginreglan sú að um hana fari eftir þeim kjarasamningi sem ákvarðar lágmarkskjör í viðkomandi starfsgrein. Í 5. tölul. 1. mgr. 9. gr. laga nr. 77/2000 er mælt fyrir um að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún framkvæmd af samtökum sem hafa stéttarfélagsleg markmið eða af öðrum samtökum sem ekki starfa í hagnaðarskyni, enda sé vinnslan liður í lögmætri starfsemi samtakanna og taki aðeins til félagsmanna þeirra eða einstaklinga sem samkvæmt markmiðum samtakanna eru, eða hafa verið, í reglubundnum tengslum við þau. Þegar litið er til framangreindra ákvæða laga nr. 60/2012 telur Persónuvernd vinnslu viðkvæmra persónuupplýsinga á vegum VIRK geta stuðst við þessa heimild.

Tekið er fram í ákvæði 5. tölul. 1. mgr. 9. gr. laga nr. 77/2000 að persónuupplýsingum, sem unnið er með á grundvelli þess, megi ekki miðla áfram án samþykkis hins skráða. Svo að samþykki teljist gilt verður einstaklingur að hafa veitt það sjálfviljugur. Þegar yfirlýsing um að upplýsingum megi miðla áfram er gerð að skilyrði fyrir tiltekinni þjónustu er því sérstakt álitaefni hvort um samþykki í skilningi þessa ákvæðis sé að ræða. Í því sambandi skiptir máli hvort um sé að ræða óhjákvæmilegan þátt í þjónustunni, þ.e. ekki sé unnt að veita hana nema miðlunin eigi sér stað. Þegar svo háttar til getur yfirlýsing talist fela í sér samþykki samkvæmt umræddu ákvæði. Við mat á því hvort þetta geti átt við um eyðublað með yfirlýsingu um samþykki fyrir vinnslu persónuupplýsinga hjá VIRK ber að líta til þess fyrirkomulags við starfsendurhæfingu sem lög gera ráð fyrir, sbr. m.a. fyrrgreint ákvæði 2. mgr. 10. gr. laga nr. 60/2012 um samstarf við aðila í öðrum þjónustukerfum. Í almennum athugsemdum í greinargerð með því frumvarpi, sem varð að þeim lögum, segir:

„Mikilvægt er að einstaklingar sem þurfa aðstoð til að verða virkir í samfélaginu fái þjónustu við hæfi hverju sinni og því er gert ráð fyrir að fagaðilar innan fleiri en eins þjónustukerfis, svo sem heilbrigðiskerfis og félagslega kerfisins, vinni mjög náið saman þegar þess gerist þörf. Frumvarp þetta gerir því ráð fyrir að atvinnutengd starfsendurhæfing verði einn þáttur í heildstæðu kerfi endurhæfingar þar sem starfsendurhæfingarsjóðir og stofnanir á vegum ríkis og sveitarfélaga starfi saman eins og kostur er. Allir hlutaðeigandi leitist jafnframt við að skilgreina og sinna hlutverkum sínum með þeim hætti að sem flestir eigi þess kost að vera virkir á vinnumarkaði.“

Af framangreindu verður ráðin sú afstaða löggjafans að starfsendurhæfing fari ekki alfarið fram hjá starfsendurhæfingarsjóði heldur sé aðkoma sérfræðinga og stofnana utan sjóðanna óhjákvæmilegur þáttur í henni. Ekki hefur komið fram að miðlun á grundvelli þeirrar yfirlýsingar, sem lögð er fyrir þá sem leita til VIRK, sé umfram það sem telja megi nauðsynlegan þátt í starfsemi sjóðsins. Af því leiðir jafnframt að líta má á yfirlýsinguna sem samþykki fyrir miðlun í skilningi 5. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Þar sem öðrum skilyrðum þess ákvæðis verður talið fullnægt telst umrædd vinnsla persónuupplýsinga eiga stoð í því ákvæði. Þá verður fyrrgreint ákvæði 3. tölul. 1. mgr. 8. gr. laga nr. 77/2000 einnig talið skjóta stoðum undir vinnsluna. Þegar af þeirri ástæðu þarf ekki að taka afstöðu til þess hvort kröfum annarra heimildarákvæða laga nr. 77/2000 sé fullnægt, s.s. 1. tölul. 1. mgr. 8. gr. og 1. tölul. 1. mgr. 9. gr., og telst vinnsla á vegum VIRK vera heimil. Í úrskurði þessum er hins vegar ekki tekin afstaða til vinnsluheimilda þeirra sem láta VIRK persónuupplýsingar í té.

Auk þess sem vinnsla persónuupplýsinga þarf að styðjast við heimild samkvæmt 8. og, eftir atvikum 9. gr., laga nr. 77/2000 þarf hún m.a. að samrýmast grunnkröfum 7. gr. laganna um sanngirni og meðalhóf. Ekki liggur fyrir að vinnsla á grundvelli framangreindrar yfirlýsingar brjóti gegn þeim kröfum né heldur öðrum kröfum sem leiddar verða af lögum. Þegar litið er til þess og alls framangreinds telur Persónuvernd umrædda vinnslu persónuupplýsinga samrýmast lögum nr. 77/2000.

Ú r s k u r ð a r o r ð:

Vinnsla persónuupplýsinga, sem fram fer á grundvelli eyðublaðs VIRK – starfsendurhæfingarsjóðs með yfirlýsingu um samþykki fyrir vinnslu slíkra upplýsinga í þágu starfsemi sjóðsins, samrýmist lögum nr. 77/2000.