Andmæli við vinnslu í þágu vísindarannsókna
Úrskurður
Hinn 14. desember 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2015/259:
I.
Bréfaskipti
Hinn 20. febrúar 2015 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur „kvartandi“) vegna boðs um þátttöku í rannsókn Íslenskrar erfðagreiningar ehf. (ÍE) á erfðum einhverfu, en honum barst bréf þar sem óskað var eftir þátttöku ólögráða dóttur hans, sem greinst hefur með einhverfu, í þeirri rannsókn. Kvartað er yfir því að ekki sé unnt að segja sig úr öllum rannsóknum á vegum ÍE, bæði fyrir eigin hönd og fyrir hönd ólögráða barna sinna, og spurt hvort nægilegt sé að annað forsjárforeldri riti undir slíka úrsögn, sem og um rétt einstaklings til vitneskju um hvaða upplýsingar um hann séu skráðar hjá ÍE. Auk þess er spurt hvernig öryggis rannsóknargagna sé gætt og óskað álits Persónuverndar á því hvort lög nr. 44/2014 um vísindarannsóknir á heilbrigðissviði samrýmist stjórnarskrá. Þá er í kvörtun lýst þeirri afstöðu að fræðsla, sem kvartanda var veitt, hafi verið villandi. Í því sambandi vísar kvartandi nánar tiltekið til þess að í símtali við starfsmann Þjónustumiðstöðvar rannsóknarverkefna (ÞR), sem hefur með höndum innköllun þátttakenda og gagnaöflun vegna rannsókna ÍE, hafi verið tekið fram að með því að haka við tiltekinn reit í samþykkisgögnum væri verið að segja sig frá öllum rannsóknum á vegum ÍE. Þessi munnlega fræðsla hafi hins vegar stangast á við hin skriflegu samþykkisgögn sem einungis hafi gert ráð fyrir úrsögn úr rannsóknum sem viðkomandi einstaklingur kynni þegar að hafa samþykkt þátttöku í eða að öðrum kosti tilteknum rannsóknum sem hann tilgreindi sjálfur.
Með bréfi, dags. 28. apríl 2015, var ÍE veitt færi á að tjá sig um framangreinda kvörtun. ÍE svaraði með bréfi, dags. 29. maí s.á. Þar segir að sú meginforsenda kvartanda að unnt eigi að vera að segja sig frá öllum rannsóknum á vegum ÍE sé röng. Hvergi sé í lögum gert ráð fyrir allsherjarúrsögn úr vísindarannsóknum og sé ljóst að slíkt fyrirkomulag myndi ekki samrýmast gildandi löggjöf, auk þess sem það hefði mjög neikvæð áhrif á vísindastarf. Samkvæmt þessu sé ljóst að frásögn kvartanda af símtalinu við starfsmann ÞR sé byggð á misskilningi, en jafnframt er tekið fram að berist kvartanda þátttökuboð vegna tiltekinnar rannsóknar sé honum frjálst að hafna því eða svara því ekki. Einnig er tekið fram að kvartanda sé frjálst að leita upplýsinga um þær rannsóknir sem hann kunni að hafa tekið þátt í hjá ÍE, en þá þurfi hann að upplýsa um hvaða rannsóknir það séu, auk þess sem skrifleg heimild hans og Persónuverndar til afkóðunar á dulkóðaðri kennitölu hans, sem rannsóknargögn væru auðkennd með, þurfi að vera til staðar. Hvað varði öryggi persónuupplýsinga hjá ÍE gildi almennar reglur og skilmálar sem öllum séu aðgengilegir og hafi kvartandi ekki sýnt fram á að hann hafi lögvarða hagsmuni af að vera upplýstur sérstaklega um það efni. Sú afstaða hans að lög nr. 44/2014 brjóti gegn stjórnarskrá hafi ekki verið skýrð eða rökstudd með nokkrum hætti og lýsi hann ekki neinum atvikum sem gætu orðið til þess að hann teldist eiga aðild að stjórnsýslumáli þar að lútandi. Þá hafi hann ekki sýnt fram á að hann geti að öðru leyti átt aðild að slíku máli varðandi ÍE. Beri því að vísa kvörtuninni frá á grundvelli aðildarskorts.
Með bréfi, dags. 16. júlí 2015, ítrekuðu með bréfum, dags. 1. og 23. september s.á., var kvartanda veitt færi á að tjá sig um framangreint bréf ÍE. Ekki barst svar frá honum.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna, og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.
Fyrir liggur að óskað var eftir þátttöku ólögráða dóttur kvartanda í rannsókn Íslenskrar erfðagreiningar ehf. (ÍE) á erfðum einhverfu. Af því verður ráðið að upplýsingum um að hún hafi greinst með einhverfu hafi verið miðlað frá heilbrigðisstofnun til Þjónustumiðstöðvar rannsóknarverkefna (ÞR), sem eins og fyrr segir hefur með höndum innköllun þátttakenda og gagnaöflun vegna rannsókna ÍE, í því skyni að unnt væri að senda forráðamönnum hennar beiðni um þátttöku, sbr. það fyrirkomulag sem gert er ráð fyrir í meðal annars leyfi Persónuverndar, dags. 16. febrúar 2001 (mál nr. 2001/7), vegna rannsóknarinnar. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga um dóttur kvartanda sem fellur undir valdsvið Persónuverndar.
Svo að tekin sé stjórnvaldsákvörðun í kvörtunarmáli þarf kröfum stjórnsýsluréttar um aðild að vera fullnægt, þ.e. kvörtun þarf að stafa frá einhverjum sem hefur sérstaka og einstaklingsbundna hagsmuni af úrlausn í málinu. Að því marki, sem framkomin kvörtun lýtur að atriðum tengdum fyrrgreindri vinnslu á upplýsingum um dóttur kvartanda, telur Persónuvernd vera fullnægt skilyrðum fyrir aðild hans fyrir hennar hönd að máli þessu.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Íslensk erfðagreining ehf. vera ábyrgðaraðili að þeirri vinnslu sem kvartað er yfir.
2.
Í kvörtun er því haldið fram að í símtali við starfsmann ÞR hafi verið veitt misvísandi fræðsla. Af hálfu ÍE hefur þessu verið hafnað. Stendur því orð gegn orði um þetta atriði og er Persónuvernd ekki unnt, með þeim úrræðum sem henni eru búin að lögum, að skera úr um það.
Einnig er kvartað yfir því að ekki hafi verið veittur kostur á að segja sig úr öllum rannsóknum ÍE. Í 1. mgr. 28. gr. laga nr. 77/2000 er að finna ákvæði um rétt til andmæla við vinnslu persónuupplýsinga. Nánar tiltekið segir þar að hinum skráða sé heimilt að andmæla vinnslu upplýsinga um sig hafi hann til þess lögmætar og knýjandi ástæður vegna sérstakra aðstæðna sinna nema kveðið sé á um annað í öðrum lögum. Eigi andmælin rétt á sér sé ábyrgðaraðila óheimil frekari vinnsla upplýsinganna.
Framangreint ákvæði áskilur að tilteknum efnislegum skilyrðum sé fullnægt svo að fara skuli að andmælum. Þegar um ræðir gagnaöflun í þágu vísindarannsóknar, sem styðst við fullnægjandi heimildir, verður því ekki séð að rannsakanda beri skylda til að veita öllum kost á slíkum andmælum við gagnasöfnun sem hér um ræðir. Þess í stað reynir á ákvæðið þegar sérstaklega stendur á.
Í öðrum lögum er ekki að finna ákvæði um rétt til andmæla við gagnaöflun í þágu vísindarannsókna sem veita víðtækari rétt en að framan greinir. Þó skal tekið fram að réttur til andmæla við varðveislu viðkvæmra persónuupplýsinga til frambúðar er rúmur, en samkvæmt 17. gr. a í lögum nr. 55/2009 um sjúkraskrár, sbr. lög nr. 44/2014 um vísindarannsóknir á heilbrigðissviði, getur sjúklingur eða umboðsmaður hans lagt bann við því að sjúkraskrárupplýsingar hans séu varðveittar persónugreinanlegar í safni heilbrigðisupplýsinga til notkunar í vísindarannsóknum og skuli það þá skráð í sjúkraskrá hans. Í ljósi hinnar almennu grunnreglu um friðhelgi einkalífs, sbr. 71. gr. stjórnarskrárinnar, telur Persónuvernd að einnig sé til staðar réttur til andmæla við frambúðarvarðveislu viðkvæmra persónuupplýsinga í vísindagagnagrunnum sem aflað er annars staðar frá en úr sjúkraskrám.
Spurt er að því í kvörtun hvort annað forsjárforeldri geti með bindandi hætti komið andmælum vegna vísindarannsókna á framfæri. Það álitaefni réðist af 7. mgr. 28. gr. a í barnalögum nr. 76/2003, en þar segir að þegar foreldrar fara sameiginlega með forsjá barns skuli þeir taka sameiginlega allar meiri háttar ákvarðanir sem varða barn. Þar sem atvik málsins bera ekki með sér ágreining milli kvartanda og ÍE um þetta atriði verður ekki séð að tilefni sé til frekari umfjöllunar um það.
3.
Þau samþykkisgögn, sem kvartandi fékk í hendur vegna umræddrar rannsóknar, hafa ekki að geyma umfjöllun um slík andmæli við frambúðarvarðveislu sem að framan greinir. Til þess er hins vegar að líta að samþykkisgögnin varða tiltekna rannsókn, þ.e. rannsókn á erfðum einhverfu, og verður ekki talið að skylt hafi verið, samhliða sendingu þeirra, að fjalla með tæmandi hætti um andmælarétt vegna allra rannsókna á vegum ÍE og afmörkun hans.
Með vísan til framangreinds telur Persónuvernd það ekki hafa farið í bága við lög hvernig ÍE veitti kost á andmælum við vinnslu persónuupplýsinga í umræddum samþykkisgögnum. Að öðru leyti skal tekið fram að óski kvartandi eftir vitneskju um vinnslu persónuupplýsinga á vegum ÍE, þ. á m. öryggi þeirra, á hann kost á að beina fyrirspurn þar að lútandi til ÍE sem þá ber að yfirfara hana í ljósi 16. gr. eða, eftir atvikum, 18. gr. laga nr. 77/2000, en í umræddum ákvæðum er fjallað um skyldu ábyrgðaraðila til að veita vitneskju um vinnslu persónuupplýsinga á sínum vegum. Þá skal tekið fram að Persónuvernd telur þau málsatvik, sem urðu tilefni kvörtunar, ekki gefa ástæðu til umfjöllunar um það hvernig lög nr. 44/2014 horfa við ákvæði 71. gr. stjórnarskrárinnar um friðhelgi einkalífs.
Ú r s k u r ð a r o r ð:
Ekki fór í bága við lög hvernig Íslensk erfðagreining ehf. veitti kost á andmælum við vinnslu persónuupplýsinga í gögnum sem send voru [A] til að óska samþykkis hans fyrir hönd dóttur sinnar fyrir þátttöku í rannsókn á erfðum einhverfu.