Uppfletting í sjúkraskrá ólögmæt
Úrskurður
Á fundi sínum hinn 27. febrúar 2006 komst stjórn Persónuverndar að eftirfarandi niðurstöðu í máli nr. 2005/479:
Tildrög máls og bréfaskipti
Hinn 9. september 2005 barst Persónuvernd kvörtun A, dags. 8. september s.á., ásamt fylgigögnum. Kvörtunin beindist gegn yfirstjórn Landspítala Háskólasjúkrahúss (LSH) og B lækni. Í henni sagði eftirfarandi:
2. Þá falsaði [B] yfirlæknir á LSH og trúnaðarlæknir [D] í áliti er hann vann fyrir [D] lögregluskýrslu og gerði mig að tjónvaldi með því að setja mig [í] ranga bifreið. Þ.e.s. bifreiðina sem ekið var úr kyrrstöðu og beint framan á bifreið mína sem var á um 50 km. hraða.
3. [B] reynir síðan að breiða yfir fölsun sína með fleiri fölsunum í bréfi til [F] aðstoðarlækningaforstjóra og síðar falsar forstjórinn einnig með honum í bréfi til mín."
1. Forsaga málsins
A, hér eftir nefndur kvartandi, varð fyrir umferðarslysi árið 1999. Afleiðingar slyssins voru metnar af dómkvöddum matsmönnum og tjónið gert upp hinn 2. maí 2001 á grundvelli matsins. Hinn 16. ágúst 2004 óskaði kvartandi eftir endurupptöku málsins hjá D á grundvelli vottorða frá meðferðarlækni sínum, E, þar sem fram kom að líkur væru á að festingarjárn í hrygg kvartanda hefðu losnað við umrætt umferðarslys. D óskaði þann 2. maí 2005 eftir greinargerð B læknis um tiltekin álitaefni varðandi þetta. Álitsbeiðninni fylgdu 12 tilgreind gögn, en þar á meðal var ekki afrit af sjúkraskrá kvartanda. B skilaði álitsgerð hinn 14. júní 2005 og hin 18. ágúst s.á. var lögð fram beiðni í Héraðsdómi Reykjavíkur um dómkvaðningu matsmanna.
Hinn 18. júlí 2005 lagði kvartandi fram erindi til yfirstjórnar LSH. Kvartaði hann m.a. yfir því að B hefði farið í aðgerðarlýsingu án hans samþykkis og vitundar og notað upplýsingar úr henni í álitsgerð sína fyrir D. Vísaði hann til þess að í V. lið álitsgerðarinnar væri þrisvar sinnum vitnað í aðgerðarlýsinguna, en í henni segir m.a.:
F, aðstoðarlækningaforstjóri, leitaði eftir skýringum B hinn 19. júlí 2005. Í svarbréfi B, dags. 14. ágúst 2005, segir um þetta:
Í vottorði [E] dags. 13. maí 2004 (gagn nr. 2) segir; [. . .] Á tilvísun undirritaðs til aðgerðarlýsingar við þessu lýsingu en ekki aðrar."
Í bréfi aðstoðarlækningaforstjóra, dags. 23. ágúst 2005, til kvartanda segir um þetta:
Í framhaldi af þessu lagði kvartandi fram fyrrgreint erindi sitt til Persónuverndar.
2. Bréfaskipti
Persónuvernd óskaði, með bréfi dags. 27. september 2005, eftir að kvartandi upplýsti hvort málið væri efnislega til meðferðar hjá dómstólum, enda yrði það þá ekki tekið til afgreiðslu að svo stöddu. Þá var kvartanda tilkynnt að ekki yrði séð að álitaefni sem tilgreind voru í öðrum og þriðja lið kvörtunarinnar heyrðu undir Persónuvernd. Í svarbréfi kvartanda, dags. 12. október 2005, kom fram að ekki yrði fjallað um málið fyrir Héraðsdómi Reykjavíkur.
Með bréfi, dags. 14. október 2005, óskaði Persónuvernd eftir því að LSH léti stofnuninni í té upplýsingar um uppflettingar í sjúkraskrá kvartanda á tímabilinu 1. maí til 9. september 2005. Umbeðið yfirlit barst með bréfi F aðstoðarlækningaforstjóra, dags. 19. október 2005. Á yfirlitinu kom fram að B hafði opnað sjúkraskrá kvartanda hinn 30. maí 2005.
Í tilefni af þessu óskaði Persónuvernd, með bréfi dags. 25. október 2005, eftir afstöðu B til umræddrar kvörtunar og skýringar á því í hvaða tilgangi hann fór í sjúkraskrá kvartanda umræddan dag. Í svarbréfi B, dags. 7. nóvember 2005, sagði m.a. eftirfarandi:
Hvað snertir opnun undirritaðs á sjúkraskrá [A] 30. maí 2005 var þar um að ræða einfalda öryggisráðstöfun þar sem verið var að ganga úr skugga um að tilteknir atburðir og slys hefðu átt sér stað og [A] leitað á slysadeild. Upplýsingar voru hinsvegar ekki notaðar þótt undirritaður telji sig hafa haft fullan rétt til þess með hliðsjón af meðfylgjandi umboði [A]."
Með bréfinu fylgdu afrit af umræddri beiðni D um álitsgerð, áritaðri af I hrl. f.h. kvartanda, og afrit af umboði kvartanda til I, undirrituðu dags. 1.júlí 2004.
Í tilefni af svarbréfi þessu óskaði Persónuvernd, með bréfi dags. 29. nóvember 2005, eftir því að I hrl. upplýsti stofnunina um hvort hann hefði veitt B heimild til að fara í sjúkraskrá kvartanda. Í svarbréfi hans, dags. 19. desember 2005, segir:
Hvort ég hafi í krafti umboðs kvartanda dags. 1. júlí 2004 veitt [B] heimild til að fara í sjúkraskrá kvartanda, þá skal upplýst að heimildin var í raun ekki hugsuð lengra en til þeirra gagna sem aðilar sjálfir höfðu aflað og höfðu þá undir höndum sbr. upptalningu á beiðni til [B] dags 02.05.2005.
Enginn fyrirvari var h.v. um þetta gerður af minni hálfu við undirritun á beiðni [D] og ekki tekið sérstaklega fram að einhverjar takmarkanir væru á heimild þeirri sem ég veitti [B] til öflunar frekari gagna í krafti umboðsins."
Þá sendi Persónuvernd kvartanda afrit af bréfi B. Ritaði kvartandi Persónuvernd bréf, dags. 3. desember 2005, þar sem fram kom að hann hafi einungis veitt I heimild til að fá upplýsingar um sig úr sjúkraskrám, og tjáð honum að D og B væri einungis heimilt að notast við fyrirliggjandi gögn, sem tilgreind væru í beiðni D til B um álitsgerð, auk röntgenmynda.
Málið var rætt á fundi stjórnar Persónuverndar hinn 19. janúar sl. Í ljósi þess að Persónuvernd taldi felast í tilteknum ummælum í framangreindu bréfi kvartanda að hann liti svo á að lögmaður hans hafi farið út fyrir umboð sitt, var ákveðið að leiðbeina kvartanda um að bera það álitamál undir úrskurðarnefnd Lögmannafélags Íslands.Var það gert með bréfi dags. 25. janúar sl. Með yfirlýsingu, dags. 14. febrúar sl. lýsti kvartandi því hins vegar yfir að hann teldi I hrl. ekki hafa farið út fyrir umboð sitt, en jafnframt að umboðið hafi veitt I einum heimild til að fara út í sjúkraskrá sína, sbr. einnig yfirlýsing dags. 8. febrúar sl. Þá áréttaði kvartandi ósk sína um að Persónuvernd tæki til efnislegrar afgreiðslu hvort skoðun B á sjúkraskrá hans hinn 30. maí 2005 hafi verið í samræmi við ákvæði laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.
B var því ritað bréf, dags. 15. febrúar sl., þar sem honum var kynnt sú afstaða kvartanda að beiðni um álitsgerð, árituð af I hrl., og umboð kvartanda til I fæli ekki í sér heimild til B til að fara í sjúkraskrá kvartanda. Var honum veitt færi á að rökstyðja frekar hvort hann hefði haft viðhlítandi heimild til uppflettingarinnar samkvæmt ákvæðum laga nr. 77/2000 og einnig beðinn um að upplýsa hvort hann hefði óskað eftir heimild lækningaforstjóra Landspítala Háskólasjúkrahúss til þess að fá aðgang að sjúkraskránni. Svarfrestur var veittur til 24. febrúar.
Ekkert svarbréf hefur borist, en samkvæmt símtali starfsmanns Persónuverndar við þjónustuver Íslandspósts var ofangreint ábyrgðarbréf til B afhent hinn 20. febrúar sl.
Forsendur og niðurstaða
1. Gildissvið
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Með "persónuupplýsingum" er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. Með hugtakinu "vinnslu" er átt sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Þar undir falla m.a. skráning, leit, notkun, dreifing og aðrar aðferðir til að gera upplýsingarnar tiltækar. Persónuvernd úrskurðar í ágreiningsmálum sem upp kunna að koma um vinnslu persónuupplýsinga á Íslandi, sbr. 2. mgr. 37. gr. laga nr. 77/2000.
Í fyrsta lið kvörtunar sinnar, segir kvartandi að B hafa farið með ólögmætum hætti í sjúkraskrá sína. Af því sem að framan greinir er ljóst að uppfletting í sjúkraskrá telst til vinnslu persónuupplýsinga í skilningi laga nr. 77/2000. Ágreiningsmál um lögmæti umræddrar uppflettingar heyrir því undir Persónuvernd, sbr. 37. gr. laga nr. 77/2000.
Hins vegar verður ekki séð að Persónuvernd hafi úrlausnarvald um álitaefni þau sem tilgreind eru í öðrum og þriðja lið kvörtunarinnar, sbr. 37. gr. laga nr. 77/2000, og verður því ekki fjallað um þau frekar.
2. Lögmæti
Vinnsla persónuupplýsinga er því aðeins heimil að uppfyllt sé eitthvert skilyrða 1. mgr. 8. gr. laga nr. 77/2000. Þá þarf hún einnig, sé um viðkvæmar upplýsingar að ræða, einnig að uppfylla eitthvert af skilyrðum 1. mgr. 9. gr. Upplýsingar um heilsuhagi teljast til viðkvæmra persónuupplýsinga, sbr. c-lið 8. tölul. 2. gr. laganna, og verður því eitthvert skilyrða 1. mgr. 9. gr. laganna að vera uppfyllt.
Heimildir heilbrigðisstarfsmanna til aðgangs að heilsufarsupplýsingum í sjúkraskrám byggja, auk ákvæða í sérlögum, á ákvæðum hinna almennu laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, einkum 8. og 9. gr. Af þeim töluliðum í 1. mgr. 9. gr. sem helst koma til álita eru 1., 2. og 8. tölul.
Í 8. tölul. 1. mgr. 9. gr. er kveðið á um að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg vegna læknismeðferðar eða venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu, enda sé hún framkvæmd af starfsmanni heilbrigðisþjónustunnar. Ljóst er að kvartandi var ekki til meðferðar, rannsóknar eða þjónustu að öðru leyti hjá B í umrætt sinn, og að aðgangur B að sjúkraskránni var ekki í þágu venjubundinnar stjórnsýslu á LSH. Því er ekki unnt að byggja heimildir B til aðgangs að sjúkraskrá kvartanda á 8. tölul.
Í 2. tölul. 1. mgr. 9. gr. er kveðið á um að vinnsla viðkvæmra persónuupplýsinga sé heimil standi sérstök heimild til hennar samkvæmt öðrum lögum, og má þar nefna 3. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga sem kveður á um að Persónuvernd sé heimilt að veita aðgang að upplýsingum úr sjúkraskrá vegna vísindarannsókna. Þá er heimilt að sýna sjúkrakrá umboðsmanni sjúklings og opinberum aðilum sem lögum samkvæmt athuga kæru sjúklings eða umboðsmanns hans vegna meðferðar, sbr. 2. mgr. 14. gr. laga nr. 74/1997. Ekkert liggur fyrir um að sérstök lagaheimild hafi staðið til aðgangs B að sjúkraskrá kvartanda. Er því ekki unnt að byggja heimildir hans til aðgangs að sjúkraskránni á 2. tölul.
Í 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000 er kveðið á um að vinnsla viðkvæmra persónuupplýsinga sé heimil ef hinn skráði samþykkir vinnsluna. Í bréfi B, dags. 7. nóvember 2005, kemur fram að hann hafi talið sér heimilt að fara í sjúkraskrá kvartanda á grundvelli undirritaðs umboðs kvartanda, sem fylgdi með álitsbeiðni undirritaðri af H f.h. D og áritaðri af I hrl. f.h. kvartanda. Það er því ljóst að hann telur sig hafa haft samþykki þar til bærs aðila til aðgangs að sjúkraskránni.
Neðst í álitsbeiðni þeirri sem B vísar til segir hins vegar: "Heimild til [B] læknis til öflunar gagna vegna greinargerðar þessarar. Eu. [I] [sign]." Umboð kvartanda til I hrl. var svohljóðandi:
Jafnframt veiti ég umboðsmanni mínum fulla heimild til að fá allar upplýsingar úr sjúkraskrám mínum um afleiðingar slyss míns og úr sjúkraskrá mínum þau gögn sem lögmaður minn metur og telur nauðsynleg og skal þá ekkert undanskilið. Einnig nær umboð þetta til þess að afla tekjuupplýsinga frá skattstjórum.
Allt sem umboðsmaður minn gerir í mínu nafni skv. umboði þessu skal jafngilt og hefði ég sjálfur gert það."
Með samþykki í skilningi 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000 er átt við sérstaka, ótvíræða yfirlýsingu sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð og um að honum sé heimilt að afturkalla samþykki sitt, sbr. 7. tölul. 2. gr. laganna. Slíkt samþykki er persónubundið og því er ljóst að enginn getur gefið samþykki fyrir annars manns hönd nema hafa til þess sérstaka heimild, t.d. skýrt og afmarkað umboð.
Fyrir liggur að kvartandi veitti ekki slíkt samþykki fyrir því að B færi í sjúkraskrána. Hins vegar hefur B vísað til þess að I hafi veitt slíkt samþykki f.h. kvartanda. Kvartandi hefur lýst því yfir að hann telji I hrl. ekki hafa farið út fyrir umboð sitt með því að árita beiðni D um álitsgerð og að hann muni ekki bera ekki mál þar að lútandi undir úrskurðarnefnd Lögmannafélags Íslands. Verður því af hálfu Persónuverndar ekki tekin afstaða til þess hvort hvort I hafi verið bær til þess að veita slíkt samþykki. Hins vegar verður ekki talið að áritun hans á álitsbeiðni D hafi verið nægilega ótvíræð til að fullnægja kröfum laga nr. 77/2000 um samþykki fyrir vinnslu viðkvæmra persónuupplýsinga.
Þá kemur fram í gögnum málsins, sbr. bréf B til F aðstoðarlækningaforstjóra dags. 14. ágúst 2005, að B vann álit sitt sem sjálfstætt starfandi sérfræðingur, enda hafi D beint erindi sínu til hans sem slíks. Það hafi verið sent á læknastofu hans í . . . og hafi álitið verið unnið algerlega utan sjúkrahússins. Í ljósi þessa verður að líta svo á að B hafi farið í sjúkraskrána sem utanaðkomandi aðili, en ekki sem starfsmaður sjúkrahússins. Þrátt fyrir það fór hann í sjúkraskrá kvartanda hinn 30. maí 2005 og ekki liggur annað fyrir en að hann hafi notað til þess aðgang sem hann hefur að sjúkraskrám LSH vegna starfs síns þar. Þá liggur ekki fyrir að hann hafi óskað eftir heimild lækningaforstjóra, sem er ábyrgðaraðili að sjúkraskrám LSH og ber að tryggja að þeir sem óska eftir aðgangi að sjúkraskrám hafi til þess heimildir.
Ljóst er að tryggingafélög geta haft lögvarða hagsmuni af því að fá tilteknar heilsufarsupplýsingar um vátryggða einstaklinga, til þess að geta metið bótaskyldu sína, og að upplýsingaskylda þar að lútandi getur hvílt á vátryggðum samkvæmt lögum. Tryggingafélög og þeir sem starfa á þeirra vegum verða hins vegar að gæta þess að fara réttar leiðir að þessu marki, þ.e. óska eftir upplýstu samþykki frá hinum skráða.
Með vísan til framangreinds telur Persónuvernd að B hafi verið óheimill aðgangur að sjúkraskrá kvartanda hinn 30. maí 2005, enda lá ekki fyrir upplýst samþykki í skilningi 7. tölul. 2. gr. laga nr. 77/2000 til þess.
B var óheimilt að fara í sjúkraskrá A hinn 30. maí 2005.