Birting spurningalista með upplýsingum um heilsuhagi
Úrskurður
Á fundi stjórnar Persónuverndar hinn 24. febrúar 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/1326:
I.
Bréfaskipti
1.
Persónuvernd hefur borist kvörtun, dags. 14. október 2015, sem [A] hdl. sendi stofnuninni fyrir hönd umbjóðenda sinna, [B] og [C], yfir að [D] hafi birt tiltekin gögn á vefsíðu sinni, […]. Nánar tiltekið er kvartað yfir að birtir hafi verið spurningalistar, dags. 5. júní og 2. október 2009, sem starfsmaður á Landspítala lagði fyrir [C], en í spurningunum er beðið um mat hennar sem aðstandanda á vitrænni getu [B]. Kemur fram að þessir spurningalistar voru á meðal gagna í dómsmáli sem eiginkona [D], [E], átti aðild að, en hún er systir fyrrnefnds kvartanda, [C]. Þá kemur fram að [E] höfðaði umrætt dómsmál á hendur [C] og [B] til ógildingar á þremur erfðaskrám sem [B] hafði útbúið. Spurningalistarnir eru birtir á umræddri vefsíðu í tengslum við gagnrýni [D] á niðurstöðuna í því dómsmáli.
Einnig barst Persónuvernd kvörtun frá áðurnefndum lögmanni fyrir hönd sömu umbjóðenda yfir að Landspítali hefði afhent lögmanni [E] í dómsmálinu spurningalistana. Leyst var úr þeirri kvörtun með úrskurði Persónuverndar, dags. 14. desember 2015 (mál nr. 2015/863), en þar var komist að þeirri niðurstöðu að afhendingin hefði verið óheimil og farið í bága við kröfur um upplýsingaöryggi.
Í kvörtun segir nánar:
„Meðal málsgagna fyrir Hæstarétti Íslands lagði [E] fram tvo spurningalista sem umbj. minn [C] fyllti út um heilsufar umbj. míns [B] vegna vísindarannsóknar [F] […]
Svo virðist sem [D] hafi með einhverjum hætti sem umbj. mínum er ekki kunnugur, fengið aðgang að greindum skjölum þegar málið var til meðferðar fyrir dómstólum.
Á heimasíðu [D], […], sem [D] virðist halda úti vegna starfa sinna sem sálfræðingur, er sérstakur tengill sem ber heitið: […] (fskj. 1).
Þegar farið er inn á tengilinn birtist umfjöllun [D] um dómsmál eiginkonu [D] gegn umbj. mínum. Þar eru umbj. mínir m.a. nafngreindir (fskj. 2) og þá birtast í umfjölluninni tenglar á spurningalista sem umbj. minn [C] fyllti út um umbj. minn [B] vegna vísindarannsóknar [F].“
Einnig segir að í umræddum spurningalistum, sem hafi að geyma nöfn bæði [C] og [B], séu viðkvæmar persónuupplýsingar. Vegna birtingar [D] á upplýsingunum, sem hann hefði þó ekki átt að hafa neinn aðgang að, standi þessar upplýsingar nú hverjum sem vill til skoðunar á Netinu. Með vísan til þessa segir:
„Umbj. mínir byggja á því að með birtingu hinna viðkvæmu persónugreinanlegu gagna á heimasíðu sinni hafi [D] brotið gegn friðhelgi einkalífs umbj. minna sem m.a. er varin af stjórnarskránni, sbr. lög nr. 33/1944, og lögum um persónuvernd og meðferð persónuupplýsinga nr. 77/2000. Þá telur umbj. minn að háttsemi [D] brjóti jafnframt gegn lögum um heilbrigðisstarfsmenn nr. 34/2012, lögum um réttindi sjúklinga nr. 74/1997 og eftir atvikum lögum um meðferð sjúkraskráa nr. 55/2009, enda eru gögn umbj. minna birt á heimasíðu [D] sem sálfræðings (fskj. 4).“
Nánar segir að engar ástæður eða undanþágur verði fundnar í íslenskum lögum sem heimili birtingu umræddra spurningalista, enda virðist tilgangurinn með birtingunni einskorðast við að byggja undir umfjöllun um persónulegar skoðanir [D] á niðurstöðu Hæstaréttar í fyrrgreindu dómsmáli. Þá segir að vinnslan eigi ekki stoð í 8. og 9. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, auk þess sem kröfum 7. gr. sömu laga hafi ekki verið fullnægt. Í því samhengi segir að gögnin hafi verið fengin með ólögmætum hætti og ekki í skýrum og málefnalegum tilgangi. Vinnslan sé þar að auki afar óviðeigandi og gangi út fyrir allt meðalhóf.
2.
Með bréfi, dags. 13. nóvember 2015, var [D] veitt færi á að tjá sig um framangreinda kvörtun. Hann svaraði með bréfi, dags. 27. nóvember 2015. Þar er birting umræddra spurningalista sett í samhengi við fyrrnefnt dómsmál, en hún sé tilkomin af því að nauðsynlegt sé að láta sannleikann koma fram sem sniðgenginn hafi verið. Nánar tiltekið er lýst þeirri afstöðu að svör [C] við vitnaleiðslur í fyrrnefndu dómsmáli um heilsufar [B], sem og um hvernig umræddir spurningalistar voru fylltir út, hafi ekki samrýmst svörum hennar á spurningalistunum sjálfum. Nánar tiltekið hafi hún í vitnaleiðslunum dregið til baka svör sín um minnisskerðingu og hugræna getu. Með þessu hafi hún ómerkt svör sín við spurningalistunum, en það hafi hún auk þess einnig verið búin að gera með orðsendingu hinn 9. desember 2009 til þess heilbrigðisstarfsmanns sem lagði spurningalistana fyrir. Hafi í þeirri orðsendingu verið gefið til kynna að hugræn geta væri minni samkvæmt svörunum við spurningalistunum.
Einnig segir meðal annars í bréfi [D] að hann hafi eingöngu haft afskipti af umræddu máli sem maki málsaðila. Hafi málið því ekkert með starfstitil hans eða störf að gera sem sálfræðings. Þá segir í niðurlagi bréfsins að samkvæmt vitnisburði [C] fyrir rétti hafi spurningalistarnir verið hreinn uppspuni hennar. Þeir geymi því engar viðkvæmar upplýsingar um [B] og því sjái hann enga ástæðu til að halda þeim leyndum.
3.
Með bréfi, dags. 7. janúar 2015, var [A] hdl. veitt færi á að tjá sig um framangreind svör [D]. Svarað var með bréfi, dags. 20. janúar 2016. Þar er meðal annars vísað til þess sem fram kemur af hálfu [D] að nauðsynlegt sé að láta sannleikann koma fram. Segir nánar tiltekið að þrátt fyrir þessa persónulegu skoðun hans skorti heimild samkvæmt lögum nr. 77/2000 til birtingar umræddra persónuupplýsinga og breyti efnisleg afstaða hans eða [C] á efni upplýsinganna engu um það. Segir einnig að staðhæfingar í bréfi hans um uppspuna [C] séu ómálefnalegar og samrýmist ekki gögnum málsins, en auk þess svari hann í engu erindi Persónuverndar. Sé öllum röksemdum hans við efni kvörtunar því mótmælt í heild sinni.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst [D] vera ábyrgðaraðili að þeirri vinnslu sem kvartað er yfir.
2.
Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverju skilyrðanna í 8. gr. laga nr. 77/2000. Sé um að ræða viðkvæmar persónuupplýsingar þarf að auki að vera fullnægt einhverju viðbótarskilyrðanna fyrir vinnslu slíkra upplýsinga sem mælt er fyrir um í 9. gr. sömu laga. Upplýsingar um heilsuhagi eru viðkvæmar persónuupplýsingar, sbr. c-lið 8. tölul. 2. gr. laganna.
Á þeim spurningalistum, sem um ræðir í máli þessu, er að finna svör [C] við spurningum þar sem óskað er mats á vitrænni getu [B]. Af hálfu [D] er því haldið fram að upplýsingarnar teljist ekki lúta að heilsuhögum [B], enda hafi [C] ómerkt svör sín við spurningunum með síðari ummælum. Af þessu tilefni skal tekið fram að slíkar upplýsingar sem hér um ræðir teljast til upplýsinga um heilsuhagi og þar með til viðkvæmra persónuupplýsinga. Engu breytir í því sambandi þótt upplýsingarnar byggist á mati sem síðar kunni að hafa breyst, enda hafa lög nr. 77/2000 ekki að geyma reglu þess efnis að upplýsingar um heilsuhagi hætti að teljast viðkvæmar þegar svo háttar til.
Hér er því lagt til grundvallar að umrædd vinnsla persónuupplýsinga þurfi að styðjast við heimild í bæði 8. gr. og 9. gr. laga nr. 77/2000. Vinnsla persónuupplýsinga í dómsmálum getur meðal annars byggst á 7. tölul. 1. mgr. 8. gr. laganna, þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Þá getur verið heimilt að vinna með viðkvæmar persónuupplýsinga í þágu slíkra mála á grundvelli 7. tölul. 1. mgr. 9. gr. laganna, þess efnis að vinnsla slíkra upplýsinga er heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.
Við mat á því hvort vinnslan sé heimil samkvæmt 8. og 9. gr. laga nr. 77/2000 getur þurft að líta til ákvæða í öðrum lögum eftir því sem við á. Eins og hér háttar til ber þá að líta þess hvernig umræddir spurningalistar urðu á meðal gagna í því dómsmáli sem hér um ræðir, þ.e. að lögmaður [E] fékk þá afhenta frá Landspítala í tengslum við meðferð málsins fyrir Hæstarétti, en um það er fjallað í úrskurði Persónuverndar, dags. 14. desember 2015, í máli nr. 2015/863.
Samkvæmt 1. mgr. 17. gr. laga nr. 34/2012 um heilbrigðisþjónustu hvílir rík þagnarskylda á starfsmönnum í slíkri þjónustu. Sá heilbrigðisstarfsmaður, sem lagt hafði umrædda spurningalista fyrir, hafði lesið upp svör við þeim með leyfi dómara samkvæmt 3. mgr. 53. gr. laga nr. 91/1991 um meðferð einkamála, en þar er mælt fyrir um heimild dómara til að leggja fyrir tiltekin vitni að svara spurningum um atriði sem háð eru þagnarskyldu, enda telji hann hagsmuni af því verulega meiri en af að leynd verði haldið. Í ljósi framangreinds segir í fyrrnefndum úrskurði Persónuverndar, dags. 14. desember 2015:
„Hér er um að ræða upplýsingar um heilsuhagi, en þær eru viðkvæmar, sbr. b-lið 8. tölul. 2. gr. laga nr. 77/2000. Þarf þá einnig að vera fullnægt einhverju af viðbótarskilyrðum 9. gr. laganna fyrir vinnslu slíkra upplýsinga. Afhending þeirra í þágu dómsmáls gæti einkum stuðst við 7. tölul. 1. mgr. þeirrar greinar, en þar segir að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja.
Gera verður ráð fyrir að vitnisburður [F], þar sem hún upplýsti Héraðsdóm Vesturlands um svör [C] við umræddum spurningalista, hafi verið skráður af dómnum, sbr. 3. mgr. 11. gr. laga nr. 91/1991 um meðferð einkamála. Þá verður að ætla að sú skráning hafi verið send Hæstarétti eftir að dómi héraðsdóms hafði verið áfrýjað, sbr. 1. mgr. 156. gr. sömu laga. Í ljósi þess telur Persónuvernd að skilyrðum fyrrgreindra ákvæða 8. og 9. gr. laga nr. 77/2000 um að vinnsla sé nauðsynleg í ákveðnu skyni hafi ekki verið fullnægt um afhendingu Landspítalans á svörum við spurningalistanum til fyrrgreinds lögmanns.“
Telja verður ljóst að umræddir spurningalistar, sem Landspítalinn afhenti, hafi verið undirorpnir þagnarskyldu samkvæmt fyrrgreindu ákvæði laga nr. 34/2012. Einnig er ljóst að sú undanþága, sem dómari veitti frá þagnarskyldunni vegna meðferðar umrædds dómsmáls, tók aðeins til þess að svarað væri til um efni spurningalistanna í þinghaldi. Jafnframt liggur fyrir, eins og að framan greinir, úrskurður þess efnis að óheimilt hafi verið að afhenda lögmanni [E], eiginkonu [D], spurningalistana. Þá verður að líta til þeirrar grunnreglu í 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 að við vinnslu persónuupplýsinga skal þess gætt að hún sé sanngjörn og samrýmist vönduðum vinnsluháttum.
Þegar litið er til alls framangreinds telur Persónuvernd birtingu [D] á umræddum spurningalistum, sem hafa að geyma svör [C] um mat hennar á vitrænni getu [B], ekki geta átt undir nokkurt ákvæða 8. og 9. gr. laga nr. 77/2000. Var birtingin því óheimil. Með vísan til 1. mgr. 40. gr. laganna er því hér með lagt fyrir [D] að senda Persónuvernd staðfestingu á því eigi síðar en 9. mars nk. að spurningalistarnir hafi verið fjarlægðir af Netinu.
Ú r s k u r ð a r o r ð:
Netbirting [D] á spurningalistum með upplýsingum um heilsuhagi [B], dags. 5. júní og 2. október 2009, er óheimil. Skal hann senda Persónuvernd staðfestingu á því eigi síðan en 9. mars 2016 að spurningalistarnir hafi verið fjarlægðir af Netinu.