Beiðni um að mál verði tekið upp að nýju hafnað - mál nr. 2014/952

29.9.2014

Ákvörðun

 

Hinn 17. september 2014 tók stjórn Persónuverndar eftirfarandi ákvörðun í máli nr. 2014/952:

 

I.

Forsaga málsins og

fyrirliggjandi erindi

Aðdragandi að ákvörðun þessari er sá að þann 19. september 2011 barst Persónuvernd kvörtun frá A (hér eftir nefndur „kvartandi“). Sú kvörtun var þríþætt. Í fyrsta lagi að B, læknir á Fjórðungssjúkrahúsnu á Neskaupsstað, hefði skoðað sjúkraskrá kvartanda í öðrum tilgangi en vegna meðferðar, í öðru lagi að B hefði miðlað upplýsingum úr sjúkraskránni til þriðja aðila, Siðanefndar Læknafélagsins og í þriðja lagi að siðanefndin hefði birt upplýsingar um kvartanda í úrskurði sínum, sem birtur var á heimasíðu nefndarinnar. Með úrskurði í máli nr. 2012/193, komst stjórn Persónuverndar að þeirri niðurstöðu að birting upplýsinga um kvartanda í úskurði siðnefndarinnar á heimasíðu hennar hefði verið ólögmæt. Ekki var fjallað um þann þátt málsins sem varðaði skoðun B á sjúkraskrá kvartanda né þátt Fjórðungssjúkrahússins á Neskaupsstað í því sambandi, enda taldi landlæknisembættið framangreind álitaefni falla innan sérviðs embættis síns, og hafði umrætt mál þá verið tekið til meðferðar hjá landlæknisembættinu. 

Hinn 7. febrúar 2012 kom kvartandi á skrifstofu Persónuverndar og lagði fram afrit af niðurstöðu landlæknis í málinu, dags. 28. nóvember 2011. Hann óskaði þess jafnframt að Persónuvernd endurskoðaði hina efnislegu afstöðu landlæknis og tæki málið til skoðunar á grundvelli laga nr. 77/2000. Var B tilkynnt um það að stofnunin hefði ákveðið að taka til efnislegrar meðferðar þann hluta kvörtunar kvartanda sem varðaði hann og laut að vinnslu viðkvæmra persónuupplýsinga um kvartanda með bréfi, dags. 28. febrúar 2012. Bauð Persónuvernd B jafnframt að koma á framfæri frekari skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Þá óskaði Persónuvernd jafnframt skýringa frá Heilbrigðisstofnun Austurlands (HSA), n.t.t. Fjórðungssjúkrahúsinu á Neskaupsstað, varðandi aðgang B að sjúkraskrá kvartanda. Í svarbréfi Fjórðungssjúkrahússins á Neskaupsstað, dags. 7. maí 2012, staðfesti HSA að B hefði tvívegis flett upp í sjúkraskrá kvartanda og að samkvæmt B hefðu þær uppflettingar verið vegna málareksturs hans fyrir siðanefnd Læknafélags Íslands. Niðurstaða ákvörðunar Persónuverndar í máli kvartanda nr. 2012/193, frá 30. maí 2012, var að heilbrigðisstarfsmönnum á HSA, þ.m.t. Fjórðungssjúkrahúsinu á Neskaupsstað, væri óheimilt að nota þann aðgang sem þeir hefðu að sjúkraskrám HSA vegna ágreiningsmála sem þeir ættu sjálfir persónulega aðild að og vörðuðu ekki starfsemi stofnunarinnar og að HSA bæri að beita þeim ráðstöfunum sem til þyrfti, að því er varðaði tækni, öryggi og skipulag vinnslu sjúkraskráa á stofnuninni, til að tryggja að eftir því yrði farið. Í forsendum ákvörðunarinnar, kafla 3.4., kemur fram að umrædd ákvörðun varði skoðun á sjúkraskrá á HSA í tengslum við tiltekið ágreiningsmál sem sá starfsmaður sem skoðaði skrána átti í persónulega en HSA var ekki aðili að.

Þann 22. október 2012 barst Persónuvernd bréf Umboðsmanns Alþingis en kvartandi hafði kvartað yfir ákvörðun Persónuverndar í máli nr. 2012/193 til hans. Í kvörtuninni til umboðsmanns kom fram að kvartandi væri ósáttur við að Persónuvernd hefði ekki talið unnt að endurskoða efnislega afstöðu landlæknis í máli B og að Persónuvernd hefði verið skylt að kæra málið til lögreglu en það hefði stofnunin ekki gert. Óskaði umboðsmaður eftir afriti af öllum gögnum í máli nr. 2012/193. Þá óskaði hann eftir upplýsingum um það hvort Persónuvernd hefði lagt mat á það hvort tilefni hefði verið fyrir stofnunina til þess að leggja fram kæru til lögreglu, sbr. 4. mgr. 22. gr. laga nr. 55/2009 um sjúkraskrár, og ef svo væri á hvaða grundvelli og á hvaða sjónarmiðum hefði verið byggt við þá ákvörðun. Loks óskaði umboðsmaður eftir upplýsingum um það hvort Persónuvernd hefði tekið afstöðu til valdmarka Persónuverndar og embættis landlæknis við beitingu 4. mgr. 22. gr. fyrrnefndra laga og ef svo væri, hver niðurstaða Persónuverndar í því efni hefði verið. Umboðsmaður veitti álit sitt þann 5. maí 2014 í máli nr. 7126/2012. Í áliti setts umboðsmanns, að því er Persónuverndar varðar, kom m.a. fram að kvartandi hefði ekki fengið skýra úrlausn um þann þátt kvörtunar sinnar er laut að uppflettingum í sjúkraskrá hans. Beindi umboðsmaður því til Persónuverndar að hún tæki afstöðu til þess, kæmi fram beiðni þess efnis frá kvartanda, hvort skilyrðum laga væri fullnægt til að stjórn Persónuverndar leysti úr því ágreiningsmáli sem kvartandi bar upp við stofnunina á grundvelli 2. mgr. 37. gr. laga nr. 77/2000.

Hinn 22. maí 2014 kom kvartandi á skrifstofu Persónuverndar og óskaði þess að stofnunin tæki kvörtun hans gegn B til meðferðar að nýju og að HSA, B og Landlæknisembættið yrðu kærð til lögreglu. Lýtur ákvörðun þessi að umræddri beiðni kvartanda. Var kvartanda gerð grein fyrir því að stjórn Persónuverndar myndi taka afstöðu til endurupptöku málsins og nánar leiðbeint um meðferð málsins.

Með bréfi, dags. 7. júlí 2014, bárust Persónuvernd frekari athugasemdir frá lögmanni kvartanda. Þar kom m.a. fram að kvartandi teldi lagaskilyrðum fullnægt til að Persónuvernd tæki tiltekna þætti erindis hans til athugunar, sem nýja kvörtun, og leysti úr því ágreiningsmáli sem laut að uppflettingum B í sjúkraskrá og miðlun þeirra upplýsinga á grundvelli 2. mgr. 37. gr. laga nr. 77/2000. Þá krafðist kvartandi þess að Persónuvernd afturkallaði ákvörðun sína, sbr. 1. mgr. 25. gr. stjórnsýslulaga nr. 37/1993, að því er varðaði þann þátt hennar sem laut að uppflettingum B og miðlun þeirra upplýsinga, nánar til tekið þá ákvörðun að kvörtunin hafi að hluta til fallið undir starfssvið landlæknis sbr. ákvörðun Persónuverndar í máli nr. 2013/1085. Loks kemur fram í bréfi kvartanda að hann teldi leiðbeiningar Persónuverndar sem veittar voru á fyrrnefndum fundi, þann 22. maí sl., hafa verið villandi þar sem honum var tilkynnt um að stjórn myndi taka afstöðu til endurupptöku málsins, kæmi fram beiðni um slíkt, en hvergi í áliti umboðsmanns Alþingis, frá 5. maí sl., væri vikið að því að kvartandi skyldi krefjast endurupptöku máls síns.

Með bréfi, dags. 11. júlí 2014, var B tilkynnt að stofnunin hefði tekið beiðni A til meðferðar og honum boðið að koma á framfæri andmælum eða frekari skýringum vegna málsins. Með tölvubréfi þann 4. september barst Persónuvernd svarbréf B. Þar sagði m.a. að hann hefði aldrei átt í ágreiningsmáli við kvartanda, siðanefnd Læknafélags Íslands né nokkurn annan. Einnig kom fram að B hefði flett upp í sjúkraskrá kvartanda af öðrum ástæðum en í þágu meðferðar hans á HSA, þ.e. í tengslum við málarekstur fyrir siðanefnd Læknafélagsins. Að öðru leyti varða athugasemdir B ekki þá beiðni kvartanda um að mál hans verði tekið upp að nýju hjá stofnuninni og er því óþarfi að rekja þær frekar.

 

II.

Ákvörðun Persónuverndar

1.

Forsendur

1.1.

Hugtakið ábyrgðaraðili

Eins og fyrr greinir kom fram í áliti umboðsmanns Alþingis að kvartandi hefði ekki fengið skýra úrlausn um þann þátt kvörtunar sinnar er laut að uppflettingum í sjúkraskrá hans. Þá sagði að kvartandi hefði fengið ákveðna afstöðu Persónuverndar enda kæmi fram í ákvörðun stofnunarinnar að ekki lægi fyrir að tiltekin skilyrði laga hefðu verið uppfyllt í umrætt sinn, þegar sjúkraskrá kvartanda var skoðuð á HSA í tengslum við tiltekið ágreiningsmál sem sá starfsmaður, sem skoðaði skrána, átti í persónulega en HSA var ekki aðili að. Þrátt fyrir það taldi umboðsmaður að málið hefði ekki, gagnvart kvartanda, verið sett í réttan farveg að lögum og þrátt fyrir að vikið hefði verið að umkvörtunarefni kvartanda í ákvörðun Persónuverndar laut hún með almennum hætti að ábyrgðaraðila vinnslunnar, HSA, en hvorki kvartandi né B hefðu verið aðilar að því máli.

Með ábyrgðaraðila er átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna, sbr. 4. tölul. 2. gr. laganna, sem byggist á d-lið 2. gr. persónuverndartilskipunarinnar nr. 95/46/EB. Á grundvelli 29. gr. framangreindrar tilskipunar starfar vinnuhópur, skipaður fulltrúum stofnana persónuverndarstofnana í aðildarríkjum, sem þjónar m.a. því hlutverki að stuðla að samræmdri túlkun á lykilhugtökum. Í áliti vinnuhópsins nr. 1/2010 (WP169) um hugtökin „ábyrgðaraðili“ og „vinnsluaðili“ er fjallað um ýmis sjónarmið sem líta verður til við afmörkun þeirra. Í umræddu áliti vinnuhópsins kemur m.a. fram að almenn ákvæði í löggjöf, geta gefið vísbendingu um það, hvaða einstaklinga eða lögaðila beri að líta á sem ábyrgðaraðila. Þá kemur einnig fram í álitinu að til að tryggja fyrirsjáanleika og stöðugleika fyrir hinn skráða, ætti fremur að leitast eftir því að beina eftirliti að lögaðila frekar en að tilteknum einstaklingi sem starfar fyrir viðkomandi lögaðila. Engu að síður segir jafnframt að ef einstaklingur, sem starfar fyrir lögaðila, vinni með persónuupplýsingar í eigin þágu og að sú vinnsla falli utan starfssviðs og ábyrgðar umrædds lögaðila, geti sá einstaklingur talist ábyrgðaraðili. Þrátt fyrir það geti upphaflegur lögaðili einnig borið ábyrgð á hluta vinnslunnar hafi vinnsla persónuupplýsinga komið til vegna skorts á öryggisráðstöfunum.

Í ákvörðun Persónuverndar frá 30. maí 2012, í máli nr. 2012/193, kemur fram að hugtakið ábyrgðaraðili sjúkraskrár er skilgreint í 12. tölul. 3. gr. laga nr. 55/2009 sem heilbrigðisstofnun eða starfsstofa heilbrigðisstarfsmanna þar sem sjúkraskrár eru færðar. Þótt starfsmenn hans kunni að hafa notað upplýsingar í eigin þágu, og geti þurft að svara til saka fyrir það, breytir það ekki stöðu ábyrgðaraðila að þessu leyti gagnvart hinum skráða. Í því máli sem hér um ræðir hafði ábyrgðaraðili, HSA, lýst því yfir að uppfletting B í sjúkraskrá kvartanda, í þágu persónulegs ágreiningsmáls hans, hefði ekki verið óeðlileg. Taldi Persónuvernd að HSA, með vísan til framangreinds, og álits 29. gr. starfshópsins nr. 1/2010, um hugtökin ábyrgðaraðili og vinnsluaðili, væri ábyrgðaraðili þeirrar vinnslu sem kvörtun kvartanda laut að.

 

1.2.

Kæra til lögreglu

Kvartandi hefur á fundi með stofnuninni þann 22. maí sl. óskað eftir því að Persónuvernd kæri HSA, B og Landlæknisembættið til lögreglu. Í 4. mgr. 22. gr. laga nr. 55/2009 um sjúkraskrár kemur fram að leiði eftirlit í ljós að verulegar líkur séu á að brotið hafi verið gegn persónuverndarhagsmunum sjúklings skuli brot kært til lögreglu. Ekki er nánar mælt fyrir um það hver skuli kæra slíkt brot en í öðrum ákvæðum greinarinnar er bæði vísað til eftirlits landlæknis og Persónuverndar, sbr. 2. og 3. mgr. Samkvæmt 2. mgr. þeirrar greinar er það landlæknir sem hefur eftirlit með því að ákvæði laganna séu virt en samkvæmt 3. mgr. hefur Persónuvernd eftirlit með öryggismálum o.þ.h. í samræmi við lög nr. 77/2000. Lög nr. 55/2009, um sjúkraskrár,  byggja á þeirri grunnhugsun að tiltekinn aðili beri ábyrgð á því að vinnsla uppfylli skilyrði laganna. Hann er í lögunum nefndur ábyrgðaraðili. Persónuvernd beinir eftirliti sínu og tilmælum til hans en ekki til einstakra starfsmanna hans.

Í fyrsta lagi telst HSA ábyrgðaraðili að sjúkraskrám á stofnuninni eins og áður hefur verið rakið. Af þeirri ástæðu taldi Persónuvernd ekki tilefni til þess að kæra umræddan ábyrgðaraðila til lögreglu, heldur voru lögð fyrir hann tiltekin tilmæli, um að yfirfara tækni-, öryggis- og skipulagslegar ráðstafanir sínar við vinnslu sjúkraskráa svo hún yrði eftirleiðis með lögmætum hætti, svo sem nánar greinir í ákvörðun Persónuverndar frá 30. maí 2012 í máli 2012/193. Í ljósi þess að ábyrgðaraðili sjúkraskráa á HSA hefur tekið tilmæli Persónuverndar til greina, auk þess sem frumkvæðisathugun Persónuverndar á öryggi persónuupplýsinga hjá HSA er á lokastigi, telur Persónuvernd að ekki séu fyrir hendi nægilega ríkir almannahagsmunir af því að kæra brot ábyrgðaraðila til lögreglu. Þá er ljóst að kvartandi hefur nú þegar kært B til lögreglu - fyrir brot á lögum um persónuvernd en með ákvörðun ríkissaksóknara, dags. 20. febrúar 2013, var fallið frá saksókn gegn B, með heimild í d-lið 3. mgr. 146. gr. laga nr. 88/2008, um meðferð sakamála. Í áliti umboðsmanns Alþingis í máli hans nr. 7126/2012 kemur fram að óvissa sé uppi í framkvæmd milli embættis landlæknis og Persónuverndar um hlutverk stofnananna samkvæmt 4. mgr. 22. gr. laga nr. 55/2009, varðandi það hvaða stjórnvaldi beri að kæra brot gegn ákvæðinu, til lögreglu. Auk þess bendir Persónuvernd á að í áliti umboðsmanns Alþingis nr. 7395/2013, er varðaði niðurfellingu ríkissaksóknara á saksókn gegn B, komi fram að ákvæði d.-liðar 3. mgr. 46. gr. laga nr. 88/2008 setji því skorður að bætt verði úr annmörkum á málsmeðferð ríkissaksóknara með því að hann taki ákvörðun á ný í málinu. Í ljósi framangreinds telur Persónuvernd að lagaskilyrðum sé ekki fullnægt til þess að stofnunin kæri B til lögreglu vegna meðferðar hans á sjúkraskrá kvartanda. 

Í þriðja lagi fellur það ekki innan valdsviðs Persónuverndar, eins og það er afmarkað í lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, að kæra hliðsett stjórnvöld til lögreglu, í þessu tilviki landlæknisembættið, fyrir meintar ávirðingar í störfum þess.

 

1.3.

Skilyrði til þess að taka ákvörðun Persónuverndar

í máli nr. 2012/193 til meðferðar á nýjan leik

Um endurupptöku mála er fjallað í 24. gr. stjórnsýslulaga nr. 37/1993. Samkvæmt henni má, að beiðni málsaðila, endurupptaka mál ef :

1.   ákvörðun hefur byggst á ófullnægjandi eða röngum upplýsingum um málsatvik, eða

2.   íþyngjandi ákvörðun um boð eða bann hefur byggst á atvikum sem breyst hafa verulega frá því að ákvörðun var tekin.

Ákvörðun Persónuverndar í máli nr. 2012/193 byggðist ekki á ófullnægjandi eða röngum upplýsingum um málsatvik né hafa atvik, sem íþyngjandi ákvörðun um boð eða bann hefur byggt á, breyst verulega frá því að ákvörðun var tekin. Er því hvorugu ofangreindra skilyrða 24. gr. stjórnsýslulaga fullnægt í máli þessu. Í athugasemdum við 24. gr. í því frumvarpi, sem varð að stjórnsýslulögum, kemur fram að stjórnvald geti í fleiri tilvikum endurupptekið mál, s.s. ef ákvörðun hefur verið tekin á ófullnægjandi lagagrundvelli eða ef ekki hefur verið gætt nægilega vel að málsmeðferðarreglum og slíkt hefur haft áhrif á efni ákvörðunar. Þá ber að líta svo á að stjórnvald hafi heimild til endurupptöku þegar umboðsmaður Alþingis hefur gefið tilmæli þess efnis, sbr. b-lið 2. mgr. 10. gr. laga nr. 85/1997 um umboðsmann Alþingis.

Með áliti sínu frá  5. maí 2014, sbr. mál nr. 7126/2012, beindi umboðsmaður Alþingis ekki þeim tilmælum til Persónuverndar að endurupptaka mál kvartanda nr. 2012/193. Umboðsmaður beindi því hins vegar til stofnunarinnar að taka afstöðu til þess hvort skilyrðum laga væri fullnægt til að stjórnin leysti úr því ágreiningsmáli sem kvartandi bar upp við stofnunina, á grundvelli 2. mgr. 37. gr. laga nr. 77/2000, kæmi fram beiðni þess efnis frá kvartanda.

Þótt skilyrðum 24. gr. stjórnsýslulaga sé ekki fullnægt hafa stjórnvöld heimild til þess að taka mál upp á nýjan leik á grundvelli óskráðra meginreglna stjórnsýsluréttar. Við mat á því, í ólögfestum tilvikum, hvort taka eigi mál upp á nýjan leik er eðlilegt að gera kröfu um að slík beiðni byggi á brýnum, málefnalegum ástæðum, s.s. ef fyrir liggur að niðurstaða stjórnvalds hafi verið efnisilega röng eða að ekki hafi verið tekin afstaða til tiltekins álitaefnis. Það að ákvörðun Persónuverndar, dags. 30. maí 2012, sé beint að HSA sem ábyrgðaraðila sjúkraskráa á heilbrigðisstofnuninni samkvæmt lögum nr. 55/2009 en ekki B, lækni, hefur ekki áhrif á efnislega niðurstöðu málsins. Slík nálgun er einnig í samræmi við álit 29. gr. starfshópsins um hugtökin ábyrgðaraðila og vinnsluaðila en þar kemur fram að almennt beri að leitast við því að beina eftirliti að lögaðilum frekar en að einstökum starfsmönnum lögaðila. HSA tók undir málstað B með bréfi sínu, dags. 4. október 2011, og taldi uppflettingar hans í sjúkraskrá kvartanda ekki óeðlilegar. Þrátt fyrir að með ákvörðun Persónuverndar frá 30. maí 2012, í máli nr. 2012/193 hafi beinst að HSA sem ábyrgðaraðila en ekki B var engu að síður komist að efnislegri niðurstöðu um að uppflettingar hans í sjúkraskrá kvartanda hefðu verið ólögmætar og samrýmdust ekki ákvæðum laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Í ljósi þess sem að framan er rakið telur Persónuvernd að kvartandi hafi ekki nægilega brýna og lögmæta hagsmuni af því að mál nr. 2012/193 um kvörtun vegna vinnslu persónuupplýsinga um hann verði tekið upp á nýjan leik hjá stofnuninni.

 

Á k v ö r ð u n a r o r ð:

 Synjað er um að taka mál A nr. 2012/193 til meðferðar á nýjan leik.