Vinnsla persónuupplýsinga hjá Tryggingastofnun ríkisins í tilefni af gerð örorkumats - mál nr. 2014/307

17.10.2014

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 17. september 2014 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/307:

 

I.

Málavextir og bréfaskipti

Hinn 13. febrúar 2014 barst Persónuvernd kvörtun frá A (hér eftir nefnd „kvartandi“), dags. 12. febrúar 2014, yfir meðferð persónuupplýsinga um hana hjá Tryggingastofnun ríkisins. Í kvörtuninni kemur fram að kvartað sé yfir aðgangi B, tryggingalæknis, að persónuupplýsingum og sjúkraskýrslum kvartanda auk þess sem kvartandi telur að upplýsingum hafi verið miðlað frá Tryggingastofnun ríkisins (TR) til Sjóvá-almennra trygginga hf. (Sjóvá) án heimildar. Í kvörtuninni tók kvartandi fram að hún lyti einnig að umboði Sjóvár til gagnaöflunar sem tjónþolar útfylla við umsókn um tryggingabætur og kvartandi hafi neitað að undirrita.

Með bréfi, dags. 25. mars 2014, veitti Persónuvernd TR færi á að tjá sig um framangreinda kvörtun. TR svaraði með bréfi, dags. 2. apríl 2014. Þar kemur m.a. fram að viðkomandi læknir hafi ekki aðgang að þeim upplýsingum hjá stofnuninni sem honum er gefið að sök að hafa miðlað til Sjóvá. Stofnunin hafi ekki samráð við Sjóvá né aðra aðila við gerð örorkumatsgerða. TR hafi gert samning við níu lækna um gerð á mati á færni umsækjenda um örorkubætur lífeyristrygginga almannatrygginga samkvæmt tilteknum örorkustaðli. Umræddur læknir hafi ekki aðgang að tölvukerfi stofnunarinnar heldur fái læknar gögn varðandi þann einstakling er þeim er falið að meta á pappír. Þess sé gætt að einungis gögn er varða matið séu afhent. Umræddur læknir hafi fengið afhentan spurningalista vegna færniskerðingar útfyllt af viðkomandi umsækjanda, [...], læknisvottorð vegna umsóknar um endurmat á örorkubótum lífeyristrygginga, [...], skýrslu vegna umsóknar um örorkubætur skv. skoðun [...]og skýrslu vegna umsóknar um örorkubætur skv. skoðun [...]. Umræddur læknir hafi unnið örorkumatsgerðina fyrir kvartanda skv. tilteknum staðli á grundvelli framangreindra upplýsinga, viðtals og skoðunar en hann hafi hvorki haft aðgang að upplýsingum úr sjúkraskrá eða bankareikningum kvartanda eins og kvörtunin tilgreinir að hann hafi miðlað til Sjóvár. Þá kemur fram að aðspurður segir umræddur læknir að hann sé hvorki starfsmaður TR né Sjóvár heldur sé hann sjálfstætt starfandi læknisfræðilegur ráðgjafi. Hann ítrekaði jafnframt að engin gögn hefðu farið á milli umræddra aðila fyrir hans tilstilli.

 Með bréfi, dags. 16. apríl 2014, veitti Persónuvernd kvartanda færi á að tjá sig um framkomnar skýringar TR. Kvartandi svaraði með bréfi, dags. 28. apríl 2014. Þar voru ítrekaðar fyrri athugasemdir auk þess sem kvartandi kom á framfæri nýjum athugasemdum varðandi heimild Sjóvár til gagnaöflunar sem kvartandi telur ekki vera fyrir hendi. Telur kvartandi jafnramt af þeim sökum hafi B ekki heldur haft heimild til gagnaöflunar vegna örorkumatsins. Loks kom fram að kvartandi telji að umræddur læknir hefði getað ljósritað gögnin og afhent Sjóvá. Þá telji kvartandi að villandi og rangar upplýsingar sé að finna í matinu sem umræddur læknir hafi gert fyrir TR og að þeim upplýsingum beri að eyða.

 Með bréfi, dags. 26. maí 2014, óskaði Persónuvernd eftir skýringum frá TR um það á grundvelli hvaða heimildar í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga framangreind vinnsla persónuupplýsinga hafi byggst. Svarað var með bréfi, dags. 3. júní 2014. Þar segir:

„[...]Umrætt mál snýst um umsókn kæranda til TR um örorkulífeyri. Örorkulífeyrir er byggður á læknisfræðilegu mati sbr. 2. mgr. 18. gr. almannatryggingalaga nr. 100/2007. Skv. 2. mgr. 53. gr. sömu laga ber umsækjanda að veita Tryggingastofnun allar nauðsynlegar upplýsingar til þess að hægt sé að taka ákvörðun um bótarétt, fjárhæð og hreiðslur bóta og endurskoðun þeirra. Með umræddum umsóknum kæranda lagði hún fram læknisvottorð og í framhaldi af því fylltu hún út spurningalista vegna færniskerðingar. Þau gögn eru auk skoðunar og viðtals grundvöllur matsgerða örorkumatslækna TR. Þegar um ítrekaðar örorkumatsbeiðnir er að ræða eins og hér er, fylgja eldri örorkumatsgerðir með enda eru þær eðli máls samkvæmt hlut af máli viðkomandi hjá stofnuninni. Örorkustyrkur sem kærandi hefur fengið gegnum árin er byggður á umræddum örorkumatsgerðum. TR aflar hins vegar ekki frekari gagna sjálfstætt.

Til þess að TR geti sinnt lögboðnu hlutverki sínu er stofnuninni nauðsyn á umræddum upplýsingum. Heimildin til gagnaöflunar og vinnslu þeirra er skv. almannatryggingalögum og heimfærsla til 8. gr. persónuverndarlaga er skv. 1. tl. 8. gr. því að með umsókn og tilheyrandi fylgigögnum hefur kærandi samþykkt nauðsynlega skoðun/vinnslu upplýsinga til að meta hvort hún uppfylli skilyrði laga og regl. um örorkulífeyri. Án gagnanna er ekki mögulegt að fá örorkumat.[...]“ 

Með bréfi, dags. 20. ágúst 2014, veitti Persónuvernd kvartanda færi á að koma með athugasemdir við framkomnar skýringar TR. Svarað var með bréfi, dags. 3. september 2014. Þar segir m.a.:

„[...] Þarna er TR að senda lækni Sjóvá, sem er kolvanhæfur til að vinna fyrir TR gögn um mig sem ég fékk ekki upplýsingar um eða andmælarétt um, eins og lög kveða á. Ég vissi ekki um að trúnaðarlæknir Sjóvá, B, væri með öll þessi ólöglegu persónuverndargögn um mig, fyrr en ég kom í viðtal til hans. Trúnaðarlæknir Sjóvá sem áður hafði komið að mínum málum, væri einnig að vinna fyrir Tryggingastofnun ríkisins í mínu máli er fáránlegt.

[...]Ég hafði neitað að skrifa upp á tjónablað sem tjónabifreið tryggingafélaganna er með og veitir þeim fullan aðgang að gögnum Tryggingastofnunar ríkisins og því fá þeir það ólöglega hjá TR í gegnum vanhæfan trúnaðarlækni Sjóvá upplýsingar um öll persónuverndarleg læknagögn um mig. “ 

 

II.

Afmörkun kvörtunarefnis

1.

Í máli þessu er kvartað yfir aðgangi B læknis, að persónuupplýsingum og sjúkraskrárupplýsingum kvartanda og miðlun hans á þeim upplýsingum. Þá er kvartað yfir umboði Sjóvár til gagnaöflunar og vísað í fyrra mál kvartanda því tengt. Persónuvernd hefur áður tekið ákvörðun um niðurfellingu máls að svo stöddu í umræddu máli og leiðbeint kvartanda að bera kvörtun yfir umboði tryggingarfélagsins undir úrskurðarnefnd um vátryggingarmál. Persónuvernd hefur heimild til að endurupptaka mál ef stofnuninni berst rökstudd beiðni þess efnis.

 

Í málinu er einnig kvartað yfir meintu vanhæfi B læknis, þar sem hann hafi komið að örorkumati TR og örorkumati Sjóvár. Þá var kvartað yfir því að upplýsingar í örorkumati TR séu rangar eða villandi. Í 1. mgr 3. gr. laga nr. 77/2000 er gildissvið laganna afmarkað, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, og nær það til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkar vinnslu slíkra upplýsinga sem eru eða eiga að vera hluti af skrá. Persónuvernd bendir á að það fellur ekki innan verksviðs stofnunarinnar að skera úr um hvort heilbrigðisstarfsmenn, eins og B, læknir, hafi verið vanhæfur við mat á umsókn á örorku kvartanda hjá TR.  Af þeirri ástæðu, telur stofnunin sér ekki fært að taka þann þátt kvörtunarinnar til meðferðar. Telji kvartandi að B hafi verið vanhæfur til að taka til meðferðar á umsókn kvartanda hjá TR er bent á að það er hlutverk landlæknis að hafa eftirlit, og eftir atvikum fjalla um kvartanir, því tengdu. Eftirfarandi umfjöllun miðast því við úrlausnarefni sem snúa að heimild B, læknis, til aðgangs og miðlunar á persónuupplýsingum kvartanda.

 

III.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst meðferð heilsufarsupplýsinga sem eru til umfjöllunar í málinu falla undir valdsvið Persónuverndar.

 

2.

Svo að heimilt sé að vinna með almennar persónuupplýsingar verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Svo að heimilt sé að vinna með viðkvæmar persónuupplýsingar verður að auki að vera fullnægt einhverju skilyrðanna í 9. gr. sömu laga. Upplýsingar um heilsufar kvartanda eru viðkvæmar persónuupplýsingar, sbr. c-lið 8 tölul. 2. gr. laga nr. 77/2000.

Þegar stjórnvöld afla upplýsinga í tengslum við lögbundið hlutverk sitt verður einkum talið að 3. og 6. tölul. 1. mgr. 8. gr. laganna geti átt við um upplýsingaöflunina og eftirfarandi vinnslu upplýsinganna. Samkvæmt 3. tölul. er vinnsla heimil sé hún nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila og samkvæmt 6. tölul. er vinnsla heimil sé hún nauðsynleg við beitingu opinbers valds. Við mat á því hvort slík skylda sé hér til staðar verður að líta til þeirra lagareglna sem TR starfar eftir. Þá kemur fram í 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000 að vinnsla persónuupplýsinga er heimil hafi hinn skráði ótvírætt samþykkt vinnsluna eða veitt samþykki sitt. Þá segir í 2. tölul. 1. mgr. 9. gr. að vinnsla sé heimil ef sérstök heimild standi til vinnslunnar samkvæmt öðrum lögum.

Af svari TR verður ráðið að stofnunin styðjist við heimildir í 2. mgr. 18. gr. og 2. mgr. 53. gr laga nr. 100/2007 við vinnslu persónuupplýsingar um kvartanda. Umsækjendum um bætur hjá TR er boðið að leggja fram læknisvottorð og fylla út spurningarlista vegna færniskerðingar. Þá vísar TR til lögboðins hlutverks síns og 2. mgr. 18. gr. laga nr. 100/2007 en þar segir að TR meti örorku þeirra sem sækja um örorkulífeyri samkvæmt sérstökum örorkustaðli, sem ráðherra setji reglugerð um.

Af gögnum málsins verður ekki annað ráðið en að kvartandi hafi lagt fram þau gögn sem nauðsynleg eru til að ákvarða bótarétt á grundvelli upplýsts samþykkis. Þá verður ekki séð af gögnum málsins að miðlun persónuupplýsinga hafi átt sér stað frá TR til Sjóvár. Af svörum TR verður ráðið að B, læknir hjá TR, hafi fengið aðgang að gögnum sem honum voru nauðsynleg svo unnt væri að framkvæma læknisfræðilegt mat á örorku í samræmi við beiðni kvartanda þar um, sbr. 2. mgr. 18. gr. laga nr. 100/2007.

Af framangreindu telur Persónuvernd að aðgangur og miðlun B, læknis, að persónuupplýsingum kvartanda hafi verið í samræmi við lög nr. 77/2000.

Ú r s k u r ð a r o r ð:

Vinnsla TR með persónuupplýsingar kvartanda var í samræmi við lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.