Afhending á svörum um vitræna getu
Úrskurður
Hinn 14. desember 2015 kvað stjórn Persónuverndar upp svohljóðandi úrskurð í máli nr. 2015/863:
I.
Bréfaskipti
1.
Persónuvernd hefur borist kvörtun, dags. 4. júní 2015, frá lögmannsstofunni Rétti – ráðgjöf og málflutningi fyrir hönd umbjóðenda hennar, [A] og [B]. Kvartað er yfir því að [C], sérfræðingur í klínískri taugasálfræði á minnismóttöku Landspítala í Landakoti, hafi afhent lögmanni gagnaðila þeirra í dómsmáli afrit af svörum [B] við spurningalista um vitræna getu [A]. Spurningalistann fyllti [B] út tvisvar sem náinn aðstandandi [A], þ.e. […], og var notast við hin útfylltu svör í þágu vísindarannsóknarinnar „EEG-mynstur í vægri vitrænni skerðingu: tengsl við taugasálfræðileg mynstur“. [C] var annar af ábyrgðaraðilum þeirrar rannsóknar, en hún studdist meðal annars við leyfi Persónuverndar til aðgangs að sjúkraskrám, dags. 16. mars 2009 (mál nr. 2009/176), sem veitt var með vísan til þágildandi ákvæðis 3. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga.
Í kvörtun segir meðal annars:
„Með stefnu dagsettri […] höfðaði [D] mál á hendur umbj. mínum, [B] og [A], til ógildingar á þremur erfðaskrám sem [A] hafði útbúið. [D] er [náinn aðstandandi] umbj. míns [B].
Var málið rekið fyrir Héraðsdómi […] og síðar fyrir Hæstarétti Íslands […]. […]
Byggði [D] m.a. á því fyrir dómi að [A] hefði ekki verið nægilega heil heilsu til að ráðstafa eignum sínum með erfðaskrá. Til stuðnings þeirri staðhæfingu tók lögmaður [D] skýrslu af [C] fyrir héraðsdómi þar sem hún var m.a. beðin um að svara spurningum varðandi viðtöl [C] við [A]. Jafnframt svaraði [C] spurningum fyrir dómi sem vörðuðu IQCODE spurningalistann sem [B] hafði svarað vegna meðferðar [A].
Fyrir Héraðsdómi […] féll málið varnaraðilunum, [B] og [A], í vil. Í kjölfarið áfrýjaði [D] málinu til Hæstaréttar Íslands. Áður en málið kom fyrir Hæstarétt virðist lögmaður [D] hafa farið þess á leit við [C] að fá afhent afrit af fyrrgreindum spurningalistum sem [B] fyllti út í rannsóknarskyni vegna þátttöku [A] í vísindarannsókn á Landakoti (fskj. 2). Með bréfi dags. 8. janúar 2014 sendir [C] lögmanni [D] afrit af spurningalistanum ásamt svörum [B] um minni og hugræna getu [A]. Lagði lögmaður [D] skjölin fram í Hæstarétti Íslands sem ný skjöl í málinu.“
Einnig segir meðal annars að tilgangur svara við umræddum spurningalista hafi eingöngu verið sá að leggja mat á heilsufar [A] í tengslum við rannsókn og meðferð hennar á minnismóttöku Landakots, enda hefðu umbeðnar upplýsingar aldrei verið veittar í öðru skyni en til að geta aðstoðað við meðferð og fyrrnefnda vísindarannsókn. Þá er lýst þeirri afstöðu að afhending á svörunum til fyrrgreinds lögmanns hafi ekki samrýmst lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, enda hafi hún ekki átt heimild í 8. og 9. gr. þeirra laga. Þá hafi afhendingin ekki samrýmst 2. tölul. 1. mgr. 7. gr. sömu laga, þess efnis að persónuupplýsingar skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, en frekari vinnsla í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi teljist ekki ósamrýmanleg að því tilskildu að viðeigandi öryggis sé gætt.
Í niðurlagi kvörtunarinnar segir meðal annars:
„Telja umbj. mínir að á grundvelli alls framangreinds sé ljóst að [C] hafi brotið gegn persónuverndarlögum og jafnframt lögum um heilbrigðisstarfsmenn nr. 34/2012, lögum um réttindi sjúklinga nr. 74/1997 og lögum um meðferð sjúkraskráa nr. 55/2009 enda hafi hvorugur umbj. minna veitt [C] heimild til að fjalla um, afhenda eða með öðrum hætti lýsa heilsufari umbj. míns [A] eða mati umbj. míns [B] á því.“
2.
Með bréfi, dags. 2. júlí 2015, veitti Persónuvernd [C] færi á að tjá sig um framangreinda kvörtun. Landspítalinn svaraði fyrir hennar hönd með bréfi, dags. 31. ágúst 2015. Þar segir meðal annars:
„Gögn þau sem um ræðir eru IQCODE-spurningalistar sem [B] svaraði vegna meðferðar [A] á minnismóttöku Landspítala. Söfnun upplýsinga sem þessara er venjubundinn þáttur í meðferð einstaklinga sem leita til minnismóttökunnar og eru gögnin varðveitt í sjúkraskrá viðkomandi sjúklinga. Þessi gögn voru hins vegar jafnframt nýtt vegna rannsóknar sem [C] er ábyrgðarmaður á og framkvæmd var á spítalanum. Gögn þau sem [C] miðlaði voru sótt í sjúkraskrá sjúklingsins en persónugreinanlegar upplýsingar er ekki að finna í rannsóknargögnum.“
Einnig er því lýst í bréfi Landspítalans að árið 2013 hafi [C] verið boðuð fyrir Héraðsdóm […] til að gefa vitnaskýrslu í máli um gildi erfðaskrár annars kvartenda, þ.e. [A]. Sem sálfræðingur á Landspítalanum hafi [C] komið að meðferð hennar og hafi í ljósi þess verið spurð spurninga um heilsu hennar og hæfi. Hafi [C] einungis svarað þeim spurningum sem dómari heimilaði henni að svara og hafi hún meðal annars lesið upp svör við umræddum spurningalista með leyfi dómara. Einnig segir að með því að heimila þetta hafi dómari gefið til kynna að hagsmunir stefnanda í málinu væru verulega meiri af því að upplýst yrði um innihaldið en hagsmunir stefndu af því að leynd yrði haldið, sbr. 3. mgr. 53. gr. laga nr. 91/1991 um meðferð einkamála. Þá segir að niðurstaða héraðsdóms hafi orðið sú að hafna kröfu um ógildingu erfðaskrár, en þeirri niðurstöðu hafi verið áfrýjað til Hæstaréttar. Af því tilefni hafi lögmaður áfrýjanda haft samband við [C] og óskað eftir afriti af þeim svörum við spurningalistanum sem hún hafði lesið upp í héraðsdómi. Hafi hún rætt við lögmanninn sem hafi talið að afhending gagnanna stangaðist ekki á við lög. Auk þess segir:
„Ljóst er að ótvírætt samþykki skráðu fyrir vinnslu persónuupplýsinganna lá ekki fyrir í málinu. Hins vegar hafði dómari þegar aflétt þagnarskyldu fyrir dómi varðandi þau atriði er gögnin lutu að, þ.e. hann mat að lögmætir hagsmunir stefnanda í málinu vægju þyngra en grundvallarréttindi og frelsi skráðu skv. lögum. Vinnslan fær því stoð í 7. tl. 1. mgr. 8. gr. laga um pesónuvernd og meðferð persónuupplýsinga nr. 77/2000. Þá styðst vinnslan jafnframt við 7. tl. 1. mgr. 9. gr. sömu laga þar sem kveðið er á um að vinnsla sé heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.
Nauðsynlegt var að leggja umrædd gögn fram fyrir Hæstarétti svo rétturinn gæti staðfest að rétt hefði verið haft eftir vitninu fyrir dómi og jafnramt að þær upplýsingar sem hún gaf væru réttar og í samræmi við furmgögn.
Afhending gagnanna með þessum hætti var hins vegar ekki í samræmi við leiðbeiningar spítalans um afhendingu sjúkraskrárupplýsinga og var framkvæmdastjóra lækninga, sem er ábyrgðarmaður upplýsinganna, ekki ljóst um þessa miðlun. Farið hefur verið yfir málið með [C] og henni greint frá með hvaða hætti standa skal að afhendingu sjúkraskrárupplýsinga í þeim tilfellum sem slíkt er heimilt.“
3.
Með bréfi, dags. 14. september 2015, var Rétti – ráðgjöf og málflutningi veitt færi á að tjá sig um framangreint svar Landspítalans fyrir hönd kvartenda. Svarað var með bréfi, dags. 5. október s.á. Þar segir að kvartendur hafi talið að svör við umræddum spurningalista væru veitt vegna tiltekinnar vísindarannsóknar og yrðu ekki hluti af sjúkraskrá. Þá segir meðal annars að sjúkraskrá hafi að geyma viðkvæmar persónuupplýsingar og njóti meðal annars verndar samkvæmt lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga og lögum nr. 55/2009 um sjúkraskrár. [C] hafi afhent upplýsingar úr sjúkraskrá sem njóti slíkrar verndar, en jafnframt sé uppruni svara við umræddum spurningalista í svo nánu samhengi við söfnun til upplýsinga vegna vísindarannsóknar að ekki verði greint þar á milli. Þá segir meðal annars:
„Í öðru lagi byggja umbj. mínir á því að ákvörðun dómara um að heimila [C] að svara tilteknum, afmörkuðum spurningum í lokuðu þinghaldi fyrir Héraðsdómi […] renni engum stoðum undir lögmæti þess að afhenda ótengdum aðila persónugreinanleg gögn umbj. minna. Þvert á móti mátti [C] gera sér grein fyrir því enn frekar að um væri að ræða svo viðkvæm gögn að dómari þurfti að taka afstöðu til þess hvort og hvernig [C] væri heimilt að svara þeim spurningum sem fyrir hana voru lagðar í dóminum.“
Á grundvelli framangreinds er lýst þeirri afstöðu í bréfi Réttar – ráðgjafar og málflutnings að fyrrgreind ákvörðun dómara hafi ekki leitt til þess að 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000 heimilaði umrædda afhendingu. Þá hafi 7. tölul. 1. mgr. 9. gr. sömu laga ekki getað átt við um vinnsluna, en um það segir meðal annars:
„Þar að auki vekja umbj. mínir athygli á því að sú framkvæmd hefur verið viðhöfð fyrir íslenskum dómstólum um langa hríð að leggja endurrit aðalmeðferðar héraðsdómsmála fyrir Hæstarétt í áfrýjunarmálum. Í því áfrýjunarmáli þar sem hinar viðkvæmu persónuupplýsingar voru lagðar fram af hálfu lögmanns gagnaðila umbj. minna voru lögð fram endurrit af vitnisburði [C] sem hún hafði veitt fyrir Héraðsdómi […]. Afhending frumgagnanna var því ekki nauðsynleg „svo rétturinn gæti staðfest að rétt hefði verið haft eftir vitninu fyrir dómi“ eins og fram kemur í bréfi LSH. Þar að auki hefði Hæstiréttur getað kallað eftir gögnunum hefði rétturinn talið ástæðu til þess að ætla að þær upplýsingar sem [C] gaf fyrir Héraðsdómi […] væru ekki réttar eða í samræmi við frumgögn.“
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Líta verður svo á að beiðni lögmanns [D] um umrædd svör við spurningalista hafi falið í sér erindi til Landspítalans sem heilbrigðisstofnunar en ekki til [C] persónulega. Af því leiðir jafnframt að afhending á svörunum til lögmannsins telst hafa verið liður í starfsemi spítalans. Eins og hér háttar til telst hann því vera ábyrgaraðili að þeirri vinnslu sem fólst í afhendingunni.
2.
Svo að vinnsla persónuupplýsinga sé heimil verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Þegar gögn eru afhent í þágu dómsmála getur 7. tölul. 1. mgr. þeirrar greinar einkum átt við, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Hér er um að ræða upplýsingar um heilsuhagi, en þær eru viðkvæmar, sbr. b-lið 8. tölul. 2. gr. laga nr. 77/2000. Þarf þá einnig að vera fullnægt einhverju af viðbótarskilyrðum 9. gr. laganna fyrir vinnslu slíkra upplýsinga. Afhending þeirra í þágu dómsmáls gæti einkum stuðst við 7. tölul. 1. mgr. þeirrar greinar, en þar segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.
Gera verður ráð fyrir að vitnisburður [C], þar sem hún upplýsti Héraðsdóm […] um svör [B] við umræddum spurningalista, hafi verið skráður af dómnum, sbr. 3. mgr. 11. gr. laga nr. 91/1991 um meðferð einkamála. Þá verður að ætla að sú skráning hafi verið send Hæstarétti eftir að dómi héraðsdóms hafði verið áfrýjað, sbr. 1. mgr. 156. gr. sömu laga. Í ljósi þess telur Persónuvernd að skilyrði fyrrgreindra ákvæða 8. og 9. gr. laga nr. 77/2000 um að vinnsla sé nauðsynleg í ákveðnu skyni hafi ekki verið fullnægt um afhendingu Landspítalans á svörum við spurningalistanum til fyrrgreinds lögmanns.
Þegar af framangreindri ástæðu var umrædd afhending óheimil, en auk þess er ljóst að afhending á afriti af svörunum var til þess fallin að skerða öryggi þeirra persónuupplýsinga sem þar var að finna, enda voru svörin þá komin út fyrir varið umhverfi Landspítalans. Af því leiðir að afhendingin fór í bága við ákvæði 11. gr. laga nr. 77/2000 þar sem mælt er fyrir um skylduna til að gæta öryggis persónuupplýsinga.
Ú r s k u r ð a r o r ð:
Afhending Landspítalans á svörum [B] við spurningalista um vitræna getu móðursystur sinnar var óheimil og fór í bága við kröfur um upplýsingaöryggi.