Ákvörðun Persónuverndar um að synja ÍE um leyfi

12.12.2007

Á k v ö r ð u n

Þann 26. nóvember 2007 tók stjórn Persónuverndar svohljóðandi ákvörðun í máli nr. 2007/497:

I.

Tildrög máls og bréfaskipti

1.

Þann 6. júlí 2007 barst Persónuvernd umsókn Íslenskrar erfðagreiningar ehf. (ÍE) vegna „Víðtækrar erfðamengisleitar orsaka sjúkdóma og einkenna þeim tengdum á grundvelli B-samþykkja og gagna í lífsýnasafni ÍE". Þar sagði m.a.:

Samkvæmt umsókninni var um að ræða samkeyrsluverkefni þar sem nota átti gögn um u.þ.b. 85.000 einstaklinga er höfðu tekið þátt í u.þ.b. 70 rannsóknum og undirritað svonefnd B-samþykki. Ekki stóð til að afla sérstaks samþykkis þeirra vegna framangreinds verkefnis. Sagði að hvorki yrðu notuð gögn um þá sem undirritað hefðu svonefnd A-samþykki né um einstaklinga er hefðu tekið þátt í rannsóknum Urðar, Verðandi, Skuldar ehf. Um aðferðina sagði m.a. að ættfræðigrunnur ÍE yrði samtengdur við persónuupplýsingar um arfgerð umræddra einstaklinga. Þeir hefðu þegar verið arfgerðargreindir vegna þátttöku sinnar í einhverjum af framangreindum rannsóknum. Allar persónuupplýsingarnar væru og yrðu auðkenndar með dulkóðuðum auðkennum, PN-númerum. Í umsókninni sagði m.a.:

Um tilgang verkefnisins sagði að hann væri:

Þær rannsóknir sem um ræðir heita:

Í samkeyrsluverkefninu átti að felast að upplýsingar, sem safnað hefði verið vegna framangreindra erfðarannsókna um þá þátttakendur í rannsóknunum, er undirritað hefðu svonefnt B-samþykki, um 85.000 manns, yrðu tengdar við upplýsingar úr ættfræðigrunni ÍE. Í tölvubréfi, sem Persónuvernd barst frá ÍE þann 16. nóvember 2007, kom þó fram að þrátt fyrir að ættfræðigrunnurinn yrði enn notaður yrði það miklu minna en áður þar sem nú yrði fyrst og fremst byggt á einföldum samanburði á tíðni arfgerða í sjúklingahópi og samanburðarhópi. Í upplýsingasafninu yrði leitað að tölfræðilegum tengslum erfðaþátta við upplýsingar um sjúkdómsgreiningar, sjúkdómsmynd og/eða sjúkdómseinkenni og mælingar. Upplýsingar, sem hefðu vægi fyrir einhverja umræddra rannsókna, eina eða fleiri, yrðu síðan nýttar í þeirra þágu án þess að leitað yrði eftir samþykki einstaklinganna sem í hlut ættu.

2.

Með tölvubréfi þann 3. september 2007 innti ÍE eftir því hvað liði afgreiðslu málsins. Veittar voru skýringar, en í framhaldinu ræddi forstjóri Persónuverndar við [...], framkvæmdastjóra samstarfsverkefna hjá ÍE, um leiðir til að tryggja persónuvernd við framkvæmd umræddrar samtengingar. Var m.a. spurt um afstöðu ÍE til þess að dulkóða þau PN-númer sem eru á gögnunum, eyða númerunum eða gera aðrar áþekkar ráðstafanir. Að hans sögn var slíkt útilokað; við samtenginguna yrði að hafa gögnin með sömu auðkennum og þau væru merkt með nú, þ.e. með PN-númerum sem eru dulkóðaðar kennitölur. Gögn úr öllum rannsóknunum hafa verið auðkennd með sömu númerum þar sem ekki hefur verið notuð sérstök dulkóðunaraðferð eða lykill í hverri rannsókn. Með öðrum orðum: Kennitölu hvers þátttakanda hefur ávallt verið varpað yfir á sama PN-númer óháð því um hvaða rannsókn hefur verið að ræða.

Með tölvubréfi þann 5. nóvember 2007 óskaði Persónuvernd upplýsinga um hvort afstaða ÍE væri óbreytt. Svar barst samdægurs með tölvubréfi, en þar sagði að af mörgum ástæðum kæmu slíkar ráðstafanir ekki til greina. Með bréfi, dags. 7. nóvember 2007, óskaði Persónuvernd bréflegrar staðfestingar á afstöðu ÍE að því er þetta varðar. Hún barst með bréfi, dags. 22. s.m. Þar sagði:

3.

Með tölvubréfi þann 2. október 2007 óskaði Persónuvernd eftir því að ÍE afhenti sýnishorn umræddra samþykkisyfirlýsinga til að geta séð hvað viðkomandi einstaklingar hefðu í raun samþykkt. ÍE svaraði með bréfi, dags. 5. október 2007. Því fylgdu sýnishorn fjölmargra samþykkisyfirlýsinga. Í bréfinu sagði m.a.:

4.

Með bréfi, dags. 2. október 2007, óskaði Persónuvernd eftir afstöðu Vísindasiðanefndar. Í bréfinu sagði m.a.:

Vísindasiðanefnd svaraði með bréfi, dags. 10. október 2007, og greindi frá því að hún hefði þegar, þann 28. ágúst 2007, gefið samþykki sitt fyrir framkvæmd þessa verkefnis.

Persónuvernd hafði sent ÍE afrit af framangreindu bréfi sínu og með bréfi, dags. 16. október 2007, gerði ÍE ýmsar athugasemdir við efni þess. Var því m.a. andmælt að um væri að ræða vísindagagnagrunnsvinnslu; einungis yrði unnið með persónuupplýsingar sem fengnar hefðu verið með vísindarannsóknum sem samþykktar hefðu verið af Persónuvernd og Vísindasiðanefnd og nýjar rannsóknir myndu þarfnast samþykkis beggja þessara stofnana. Engin frekari viðbrögð bárust frá Vísindasiðanefnd.

5.

Hinn 10. október 2007 barst Persónuvernd bréf frá [...], forstöðulækni Hjartaverndar, dags. 8. s.m., en Hjartavernd hefur komið að þeim rannsóknum sem tilgreindar eru undir 2., 8., 9., 10., 14., 24., 31. og 43. tölul. í upptalningunni á rannsóknum í 1. kafla hér að ofan.

Í bréfinu segir m.a.

Persónuvernd svaraði með bréfi, dags. 18. október 2007, og óskaði gagna er staðfestu framangreint. Með tölvubréfi hinn 22. október 2007 bárust henni sýnishorn af þeim samþykkisyfirlýsingum sem notaðar höfðu verið í samvinnurannsóknum ÍE og Hjartaverndar.

Persónuvernd kynnti svar Hjartaverndar fyrir ÍE með tölvubréf,i dags. 23. október 2007, og óskaði þess m.a. að Persónuvernd bærist afrit þess samnings sem þessir aðilar gerðu um samstarf sín á milli. Svar barst samdægurs frá ÍE með tölvubréfi. Sagði þar :

Þann 25. október 2007 barst Persónuvernd tölvubréf frá Hjartavernd. Með því fylgdi hluti af rammasamningi ÍE og Hjartaverndar þar sem m.a. mátti sjá svohljóðandi ákvæði:

Þann 26. október 2007 barst Persónuvernd bréf frá ÍE. Var þess krafist að Persónuvernd vísaði frá kröfu Hjartaverndar og sagt að yrði fallist á að [forstöðulæknir Hjartaverndar] „teljist persónulega hafa öll ráð yfir þeim efnivið sem nú er notaður í þessum rannsóknum" gæti það talist brot á „jafnræðisreglu stjórnsýslulaga og stjórnarskrár" og jafnvel kollvarpað starfsemi lífsýnasafns ÍE. Sagði að „Principal Investigator", samkvæmt alþjóðlegum skilgreiningum, væri [forstjóri ÍE] en ekki [forstöðulæknir Hjartaverndar]. Hefðu flestar umræddar rannsóknir og verið kostaðar af ÍE og nánast að öllu leyti unnar af ÍE. Verkaskipting hefði verið skýr eins og m.a. kæmi fram á þeim upplýsingablöðum sem þátttakendur hefðu fengið. Þá var sagt að í leyfum Persónuverndar vegna umræddra rannsókna hefði verið gert ráð fyrir að ÍE myndi annast varðveislu gagna og vísað til umsagnar Vísindasiðanefndar frá árinu 2001 um það hvaða gögn sú nefnd hafði talið mega tilheyra lífsýnasafni ÍE. Þá var vikið að skilmála í samningi ÍE og Hjartaverndar, dags. 13. febrúar 1998, um að „við verklok [skuli] öllum gögnum [...] undir öllum kringumstæðum skilað til HV", og sagt að þessu hefði „að sjálfsögðu ekki verið ætlað að ná yfir lífsýni og klínísk gögn sem sérstaklega yrði safnað af aðilum vegna rannsóknarinnar". Þá sagði að samningurinn væri útrunninn því að lífsýnalög nr. 110/2000 hefðu tekið yfir „ákveðin efnisatriði" hans. Í bréfinu segir m.a.:

Að beiðni Hjartaverndar var samtökunum sent afrit af þessu bréfi. Í kjölfar þess barst Persónuvernd bréf frá Hjartavernd, dags. 9. nóvember 2007. Þar var því hafnað að það fæli í sér brot á jafnræðisreglu að líta svo á að forstöðulæknir Hjartaverndar væri ábyrgur fyrir síðari notum upplýsinga, þ. á m. lífsýna, úr umræddum rannsóknum. Í því sambandi var vísað til ákvæða framangreinds samnings Hjartaverndar og ÍE. Sagði m.a. að ÍE bæri ábyrgð á að varsla og meðferð lífsýna innan fyrirtækisins samrýmdist lögum. Það breytti því hins vegar ekki að forstöðulæknir Hjartaverndar væri ábyrgðarmaður gagnvart sínum skjólstæðingum og væru samþykkisyfirlýsingar umræddra þátttakenda varðveittar hjá Hjartavernd; ÍE hefði „engan rétt til að eigna sér trúnaðarsambandið" milli læknis og skjólstæðinga hans. Auk þess sagði að framlag Hjartaverndar til umræddra rannsókna væri umtalsvert og sem dæmi nefndur sá rannsóknarþáttur að mæla áhættuþætti hjarta- og æðasjúkdóma í blóði þegar þátttakendur hafa verið á fastandi maga. Varðandi varðveislu lífsýna í lífsýnasafni sagði að forstöðulæknir Hjartaverndar hefði ritað nafn sitt á upplýst samþykki sem sá aðili sem þátttakandi heimilaði að gera viðkomandi rannsókn. Þá væri það hornsteinn í orðalagi leyfa Persónuverndar og vísindasiðanefndar að persónuupplýsingar væru á ábyrgð ábyrgðaraðila. Hafnað var þeim skilningi sem fram kom í bréfi ÍE, dags. 26. október 2007, um hvað fælist í ákvæði samnings Hjartaverndar og ÍE, dags. 13. febrúar 1998, um skil á gögnum til Hjartaverndar, sem og því að samningurinn væri útrunninn.

Persónuvernd sendi framangreint bréf Hjartaverndar til ÍE. Svar barst frá ÍE þann 22. nóvember 2007 þar sem ítrekaðar voru fyrri kröfur og sjónarmið. Þá sagði, í tengslum við samning Hjartaverndar og ÍE, að hefði einhvern tímann átt að túlka hann í samræmi við það sem fram hefði komið af hálfu Hjartaverndar – en það væri andstætt skilningi ÍE allt frá upphafi – þá hefði síðara samþykki Hjartaverndar og forstöðulæknis hennar á efni rannsóknaráætlana, skriflegrar fræðslu til þátttakenda og samþykkisyfirlýsinga vikið samningnum til hliðar. Þá sagði m.a.:

Auk framangreinds var m.a. vikið að hugsanlegum áhrifum umræddra samkeyrslna á hagsmuni hinna skráðu. Sagði að þau yrðu engin, m.a. vegna þess að samkeyrslurnar færu alfarið fram undir dulkóðuðum kennitölum.

II.

Forsendur og niðurstaða

1.

Almennt

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.

Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. Hugtakið tekur m.a. til upplýsinga sem merktar eru með tilvísunarnúmerum en sem hægt er að rekja til einstaklings á grundvelli greiningarlykils. Allar upplýsingar sem erindi ÍE lýtur að eru merktar með slíkum númerum, þ.e.kennitölum sem hafa verið dulkóðaðar með því að varpa þeim yfir á svokölluð PN-númer. Í öllum rannsóknum hefur verið notuð sama dulkóðunaraðferð og kennitölur því alltaf orðið að sömu PN-númerum óháð því um hvaða rannsókn hefur verið að ræða. Þá er dulkóðun sú sem notast er við tvíátta og því mögulegt að afkóða PN-númerin í kennitölur. Þegar af þessari ástæðu verða umræddar upplýsingar ekki taldar ópersónugreinanlegar. Þær eru því persónuupplýsingar í skilningi laganna.

Með hugtakinu vinnsla er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Til vinnslu telst m.a. samkeyrsla persónuupplýsinga, sbr. b-lið 2. gr. tilskipunar 95/46/EB.

Er því um vinnslu persónuupplýsinga að ræða í skilningi laga nr. 77/2000 og fellur í verkahring Persónuverndar að taka afstöðu til lögmætis þeirrar vinnslu, sbr. 37. gr. laganna.

Til úrlausnar er ósk ÍE um að steypa saman í eitt safn persónuupplýsingum sem til hafa orðið við framkvæmd 66 vísindarannsókna. Meðal annars er um að ræða upplýsingar um arfgerð u.þ.b. 85.000 einstaklinga sem unnar hafa verið úr lífsýnum þeirra. Aðrir þættir máls þessa en umrædd samtenging eru ekki til úrlausnar í þessari ákvörðun.

Upplýsingar um arfgerð manna teljast til viðkvæmra persónuupplýsinga, sbr c-lið 8. tölul. 1. mgr. 2. gr. laga nr. 77/2000. Vinnsla slíkra upplýsinga verður að eiga sér heimild í 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000. Sé engu skilyrða 1. mgr. 9. gr. fullnægt eru ekki sérstök efni til athugunar að því er varðar skilyrði 1. mgr. 8. gr.

Þrátt fyrir að framangreind skilyrði séu uppfyllt getur Persónuvernd ákveðið að vinnsla megi ekki hefjast fyrr en hún hefur verið athuguð af stofnuninni og samþykkt með útgáfu sérstakrar heimildar. Það á við ef um er að ræða vinnslu persónuupplýsinga sem getur falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi skráðra aðila, sbr. 33. gr. laga nr. 77/2000, sbr. og reglur nr. 698/2004 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, en samkvæmt 2. tölul. 1. mgr. 7. gr. reglnanna er vinnsla persónuupplýsinga, sem tengist framkvæmd vísindarannsóknar, þar sem unnið er með erfðaefni manns, háð leyfi.

Enda þótt ekkert af skilyrðum 1. mgr. 9. gr. sé uppfyllt getur Persónuvernd heimilað vinnsluna að vissum skilyrðum uppfylltum, sbr. 3. mgr. 9. gr. laganna. Áður en tekin er afstaða til þess hvort á það reyni þarf þar af leiðandi að meta hvort uppfyllt sé eitthvert þeirra lögmætisskilyrða sem talin eru upp í 1. mgr. 9. gr. laganna.

2.

Lögmæti

1. mgr. 9. gr. laga nr. 77/2000

Af þeim lögmætisskilyrðum, sem talin eru upp í 1. mgr. 9. gr. laga nr. 77/2000, koma skilyrði 1. og 9. tölul. til athugunar. Samkvæmt 1. tölul. er vinnsla heimil hafi hún verið samþykkt af hinum skráða, en samkvæmt 9. tölul. getur vinnsla verið heimil sé hún nauðsynleg vegna tölfræði- eða vísindarannsókna, enda sé persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á.

2.1.

Upplýst samþykki

Vinnsla viðkvæmra persónuupplýsinga er heimil hafi hinn skráði samþykkt vinnsluna, sbr. 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Átt er við samþykki í skilningi 7. tölul. 2. gr. laganna, þ.e. sérstaka, ótvíræða yfirlýsingu sem einstaklingur gefur af fúsum og frjálsum vilja um að hann sé samþykkur vinnslu tiltekinna upplýsinga um sig og að honum sé kunnugt um tilgang hennar, hvernig hún fari fram, hvernig persónuvernd verði tryggð, um að honum sé heimilt að afturkalla samþykki sitt o.s.frv.

Þannig er það skilyrði að um ótvíræða yfirlýsingu sé að ræða, en í því felst að þögn verður ekki talin jafngilda samþykki. Einnig verður samþykkið að vera „upplýst" en með því er átt við að hinn skráði viti hvað hann er að samþykkja og hvaða afleiðingar meðferð upplýsinganna hefur eða getur haft fyrir hann. Þá er skilyrði að samþykkið sé persónubundið, en í því felst að enginn getur gefið samþykki fyrir annars hönd nema hafa til þess sérstaka heimild.

Af hálfu ÍE hefur verið vísað til þess að hinir skráðu hafi undirritað svonefnd B-samþykki þegar þeir féllust á að taka þátt í rannsókn á tilteknum sjúkdómi. Þessir einstaklingar höfðu jafnan val um að undirrita svonefnt A-samþykki eða svonefnt B-samþykki. Með því að undirrita A-samþykki heimiluðu þeir notkun gagna um sig í viðkomandi rannsókn; síðan skyldi gögnum hins vegar eytt. Þeir sem undirrituðu B-samþykki leyfðu hins vegar að gögnin yrðu varðveitt vegna hugsanlegra rannsókna síðar en aðeins notuð vegna slíkra rannsókna að fengnu leyfi Persónuverndar og Vísindasiðanefndar.

Erindi þetta lýtur að samnýtingu gagna sem orðið hafa til við framkvæmd margra rannsókna. Við mat á því að hvaða marki lögmæti hennar verði grundvallað á samþykki þeirra sem þátt tóku í umræddum rannsóknum verður m.a. að líta til þess hvort ætla megi að hún samrýmist þeim forsendum sem ætla má að hafi skipt máli við ákvörðun einstaklings um að taka þátt í rannsókn á tilteknum sjúkdómi. Máli skiptir að umræddra upplýsinga var að miklu leyti aflað með millgöngu lækna sem höfðu viðkomandi einstaklinga til læknismeðferðar og ef til vill hefur forsenda þátttöku oft á tíðum verið traust viðkomandi á þeim lækni sem kynnti honum rannsóknina og bað hann um að taka þátt í henni.

Í ljósi þessa, og að virtum athugasemdum umsækjanda um að hann hafi einn umráð yfir þeim gögnum sem stafa frá þátttakendum í umræddum rannsóknum, skal og tekið fram að sá aðili, sem ber ábyrgð á öryggi og lögmæti vinnslu persónuupplýsinga, og að hún standist að öðru leyti ákvæði laga nr. 77/2000, nefnist ábyrgðaraðili. Ábyrgðaraðili ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinga, sbr. 4. tölul. 2. gr. laga nr. 77/2000, þ. á m. að hún sé í samræmi við það sem þátttakendum í rannsókn var kynnt að yrði gert og þeir samþykktu. Í samþykkisyfirlýsingum hafa þátttakendur heimilað ábyrgðaraðilum rannsóknar, en ekki ÍE eingöngu, varðveislu persónuupplýsinga um sig. Þau leyfi sem Persónuvernd hefur gefið út vegna umræddra rannsókna tilgreina samstarfslækna nær undantekningarlaust sem ábyrgðaraðila og leyfishafa ásamt ÍE og bera þeir réttindi og skyldur í samræmi við það. Í þessu sambandi má vísa til bréfs ÍE til Persónuverndar, dags. 7. febrúar 2005, þar sem segir:

Í bréfi ÍE, dags. 22. nóvember 2007, er m.a. vísað til 2. og 3. tölul. 5. gr. reglna nr. 170/2001 um það hvernig standa skal að öflun upplýsts samþykkis. Segir ÍE að þar sé aðeins rætt um ábyrgðarmann í eintölu og dregur af því þá ályktun að ábyrgðarmaður geti aðeins verið einn. Telur ÍE að það sé ávallt einstaklingur á vegum ÍE. Vegna þessa bendir Persónuvernd á að ákvæði reglna nr. 170/2001 ganga ekki framar ákvæðum laga nr. 77/2000 og útiloka ekki þann skilning sem lagður hefur verið í hugtakið „ábyrgðaraðili" í 4. tölul. 2. gr. þeirra laga. Eins og áður segir tekur hugtakið til þess aðila sem m.a. ákveður tilgang vinnslu og ráðstöfun upplýsinga. Iðulega eru það fleiri persónur en ein. Á það sérstaklega við um vísindarannsóknir, en að þeim standa ósjaldan fleiri en einn læknir eða sérfræðingur á heilbrigðissviði sem eiga allir hlutdeild í umræddu ákvörðunarvaldi. Af því leiðir að þeir teljast þá sameiginlega vera ábyrgðaraðili í skilningi 4. tölul. 2. gr. laga nr. 77/2000.

Sú upplýsingavinnsla sem hér um ræðir myndi m.a. fela í sér breytingu á framkvæmd 66 erfðarannsókna og þeim leyfum sem hafa verið gefin út vegna þeirra. Í ljósi framangreindra sjónarmiða um efni veittra samþykkisyfirlýsinga og sameiginlega ábyrgð leyfishafa (ábyrgðaraðila) eru ekki skilyrði til að gera slíkar breytingar á skilmálum þeirra 66 leyfa, sem umsóknin lýtur að, nema fyrir liggi afstaða allra hlutaðeigandi leyfishafa. Eins og mál þetta liggur fyrir, og með tilliti til valdheimilda Persónuverndar, sem fjallað er um í kafla 3.3. hér að neðan, þarf ekki í þessari ákvörðun að taka afstöðu til þess hvernig með umsóknir um breytingar á leyfisskilmálum skuli fara greini leyfishafa (ábyrgðaraðila) á um hvort óska beri eftir slíkri breytingu.

Af tilefni tilvísunar umsækjanda til lífsýnalaga, nr. 110/2000, skal tekið fram að vandséð er hvernig þau hafa hér áhrif, enda eru hér aðeins til umfjöllunar heimildir til þess að tengja saman mikið magn upplýsinga um fjölda einstaklinga, án þeirra samþykkis. Minnt er á að samkvæmt 4. gr. reglna nr. 918/2001, um öryggi við meðferð og varðveislu í lífsýnasöfnum, sbr. 8. tölul. 1. mgr. 5. gr. laga nr. 110/2000, ber leyfishafa að halda rekstri lífsýnasafns aðskildum frá annarri starfsemi sem hann hefur með höndum og skal m.a. tryggja aðskilnað milli annars vegar þeirra er leyfa notkun á gögnum lífsýnasafns og hafa eftirlit með henni og hins vegar þeirra sem vilja fá að nota sýnin. Staða ÍE sem starfsleyfishafa lífsýnasafns er því önnur og ólík stöðu félagsins sem ábyrgðaraðila vinnslu vegna rannsókna. Þá er ekki sjálfgefið hver séu áhrif þeirra forsendna, sem byggt hefur verið á við leyfisveitingu vegna tiltekinnar vísindarannsóknar, reyni síðar á notkun sýna sem varðveitt eru á lífsýnasafni sem fellur undir ákvæði laga nr. 110/2000.

Með vísun til alls framangreinds – einkum þess að umrædd B-samþykki hafa aðeins að geyma yfirlýsingu um vilja til þátttöku í einni tilgreindri rannsókn og heimild fyrir varðveislu gagna, sem samkvæmt samþykkjunum má aðeins nota við frekari rannsóknir að fengnum tilskildum leyfum, en taka ekki til slíkrar samtengingar sem mál þetta lýtur að – telst skilyrði 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000 ekki vera uppfyllt.

2.2.

Nauðsyn vegna tölfræði- eða vísindarannsókna

Samkvæmt 9. tölul. 1. mgr. 9. gr. laga nr. 77/2000 er vinnsla viðkvæmra persónuupplýsinga heimil sé hún nauðsynleg vegna tölfræði- eða vísindarannsókna, enda verði persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á. Þarf því að uppfylla þrjú skilyrði til þess að unnt sé að grundvalla vinnslu viðkvæmra persónuupplýsinga á þessu ákvæði laganna. Í fyrsta lagi verður vinnslan að fara fram í þágu tölfræði- eða vísindarannsóknar; í öðru lagi verður hún að vera nauðsynleg, þ.e. ekki nægir að vinna með ópersónugreinanlegar upplýsingar til að ná markmiðum rannsóknarinnar; og í þriðja lagi verður að tryggja persónuvernd með tilteknum ráðstöfunum.

Við túlkun þessa ákvæðis ber að líta til 6. gr. Evrópusamnings frá 28. janúar 1981 um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga þar sem m.a. kemur fram að ekki má vinna vélrænt með persónuupplýsingar um heilsuhagi manna nema lög geri ráð fyrir viðeigandi verndarákvæðum. Sömuleiðis ber að líta til tilskipunar nr. 95/46/EB, sem lög nr. 77/2000 byggja á, en í 34. lið formálsorða hennar kemur fram að aðildarríkin megi víkja frá banni við vinnslu viðkvæmra flokka upplýsinga, t. d. á sviði vísindarannsókna, ef almannahagsmunir krefjast þess og sett sértæk og viðeigandi öryggisákvæði til verndar grundvallarréttindum manna og rétti þeirra til friðhelgi einkalífs. Í samræmi við þetta er, í 4. mgr. 8. gr. tilskipunarinnar, kveðið á um að aðildarríki megi, með fyrirvara um setningu viðeigandi öryggisákvæða, mæla fyrir um undanþágur frá banni við vinnslu viðkvæmra persónuupplýsinga annaðhvort í innlendum lögum eða með ákvörðun eftirlitsyfirvalds. Af þessu leiðir að lagaheimild eða heimild Persónuverndar er skilyrði fyrir vinnslu sem ekki á sér stoð í 1. mgr. 9. gr. laganna. Um þá vinnslu persónuupplýsinga sem umsókn ÍE lýtur að er hvergi kveðið í lögum, en í kafla 3 hér á eftir er sérstaklega fjallað um hvort lagaskilyrði séu fyrir hendi til að Persónuvernd geti heimilað hana.

Samkvæmt framanrituðu verður sá skilningur ekki lagður í ákvæði 9. tölul. að það geti eitt og sér talist fullnægjandi heimild fyrir vinnslu heilsufarsupplýsinga. Hefur ákvæðið hins vegar verið skilið sem vísiregla, þess efnis að með lögum sé unnt að veita Persónuvernd heimildir til þess að leyfa vinnslu viðkvæmra persónuupplýsinga í þágu tölfræði- og vísindarannsókna - og binda hana ákveðnum skilmálum um nauðsynlegar ráðstafanir. Slík lagaákvæði er t.d. að finna í 3. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga og 8. mgr. 8. gr. laga nr. 41/2007 um embætti landlæknis. Ákvæði 9. tölul. stendur þannig öðrum töluliðum 1. mgr. 9. gr. til fyllingar.

Í þessu sambandi er rétt að minna á að hér á landi hafa ekki verið sett sérstök lög sem gera ráð fyrir að samþykki einstaklinga nægi sem heimild til vinnslu persónuupplýsinga um erfðaeiginleika, heilsufar, lífsstíl o.fl. í gagnagrunni í mjög vítt skilgreindum vísindarannsóknum á heilbrigðissviði. Ekki má rugla slíkum gagnagrunni, þar sem söfnun og vinnsla upplýsinga byggist á sérstöku „gagnagrunnssamþykki" þátttakenda, saman við gagnagrunn á heilbrigðissviði skv. lögum nr. 139/1998, en þar var ekki gert ráð fyrir að söfnun og vinnsla upplýsinga í gagnagrunninum byggðist á samþykki þeirra sem upplýsingarnar vörðuðu.

Með vísun til framangreinds verða heimildir til vinnslunnar ekki byggðar á ákvæði 9. tölul. 1. mgr. 1. gr. laga nr. 77/2000.

2.3

Niðurstaða

Þar sem sú vinnsla persónuupplýsinga sem hér um ræðir á sér ekki stoð í neinu ákvæða 1. mgr. 9. gr. laga nr. 77/2000 verður heimild til vinnslunnar ekki gefin út á grundvelli 2. tölul. 1. mgr. 7. gr. reglna nr. 698/2004, sbr. 33. gr. laga nr. 77/2000.

3.

Sérstök heimild

3. mgr. 9. gr. laga nr. 77/2000

Samkvæmt framanrituðu er ekki heimild í 1. mgr. 9. gr. laga nr. 77/2000 fyrir þeirri vinnslu sem hér um ræðir. Í 3. mgr 9. gr. segir hins vegar að Persónuvernd geti heimilað vinnslu viðkvæmra persónuupplýsinga í öðrum tilvikum telji hún brýna hagsmuni mæla með því en bindi heimild sína þá þeim skilyrðum sem hún telji nauðsynleg hverju sinni. Ákvæðið ber að skýra með hliðsjón af markmiðsákvæðum 1. mgr. 1. gr. laga nr. 77/2000, en þar kemur fram að markmið þeirra sé m.a. að stuðla að því að með persónuupplýsingar sé farið í samræmi við grundvallarsjónarmið og reglur um persónuvernd og friðhelgi einkalífs. Þá ber að hafa hliðsjón af athugasemdum við ákvæði 3. mgr. 9. gr. í greinargerð með frumvarpi því er varð að lögum nr. 77/2000. Þar segir að skilyrði sé að ríkir almannahagsmunir krefjist þess að unnið sé með upplýsingarnar sem um ræðir og að viðhafðar séu ráðstafanir til að vernda hagsmuni hins skráða. Persónuvernd meti hvort þær ráðstafanir sem viðhafðar séu til að tryggja hagsmuni hins skráða séu viðhlítandi eða ekki. Telji Persónuvernd svo ekki vera verði undanþáguákvæðinu ekki beitt. Hér sé farið að ákvæðum 4. mgr. 8. gr. tilskipunar nr. 95/46/EB og bent á 34.–36. lið formála tilskipunarinnar varðandi dæmi um mikilvæga almannahagsmuni.

Í 34. lið formálsorða tilskipunarinnar kemur m.a. fram að ef brýnir almannahagsmunir krefjist þess megi víkja frá banni við vinnslu viðkvæmra flokka upplýsinga, til dæmis á sviði vísindarannsókna, en þá beri að setja sértæk og viðeigandi öryggisákvæði til að vernda grundvallarréttindi manna og rétt þeirra til friðhelgi einkalífs síns. Í samræmi við það segir í 1. mgr. 8. gr. tilskipunarinnar að vinnsla tiltekinna persónuupplýsinga, þ á m. upplýsinga um heilsuhagi einstaklinga, sé bönnuð nema að sérstökum skilyrðum uppfylltum, s.s. skilyrðum 4. mgr. um að brýnir almannahagsmunir krefji og annaðhvort sé kveðið á um vinnsluna í sérlögum eða í heimild persónuverndarstofununar, og sett viðhlítandi öryggisákvæði.

Auk framangreinds ber að hafa hliðsjón af þeim meginreglum sem uppfylla ber við alla vinnslu persónuupplýsinga og taldar eru upp í 7. gr. laganna, þ. á m. um sanngirni vinnslu og fyrirsjáanleika gagnvart hinum skráðu. Lögin leggja og áherslu á forræði einstaklings á upplýsingum sem varða hann sjálfan og eru túlkuð þannig að þeim mun viðkvæmari sem persónuupplýsingarnar eru, þeim mikilvægara sé að virða þennan rétt einstaklingsins

Af framangreindu leiðir því að til þess að Persónuvernd heimili vinnslu viðkvæmra persónuupplýsinga samkvæmt 3. mgr. 9. gr. laga nr. 77/2000 verða brýnir almannahagsmunir að mæla með því og ráðstafanir sem gerðar eru til verndar hagsmunum hins skráða að vera viðhlítandi að mati Persónuverndar. Það verður því að fara fram ákveðið hagsmunamat, sem aftur er óaðskiljanlegt og innbyrðis tengt skilyrði ákvæðisins um viðhlítandi öryggisráðstafanir, þ.e. því viðkvæmari sem upplýsingarnar eru, þeim mun strangari kröfur eru gerðar til ráðstafana til verndar hagsmunum einstaklingsins. Auk þess felur heimild samkvæmt 3. mgr. 9. gr. laga nr. 77/2000 í sér undantekningu frá meginreglu. Hana ber að túlka þröngt og til samræmis við ákvæði 8. gr. mannréttindasáttmála Evrópu, sbr. lög nr. 62/1994, og 71. gr. stjórnarskrár lýðveldisins Íslands nr. 33/1944. Slíkar undanþágur verða því að vera lögum samkvæmar, en í því felst m.a. að stjórnvald eins og Persónuvernd verður að halda sig innan lögbundinna valdheimilda sinna.

3.1.

Brýnir almannahagsmunir

Heimild Persónuverndar til að leyfa þá vinnslu persónuupplýsinga sem hér um ræðir án samþykkis hinna skráðu er háð því að brýnir almannahagsmunir mæli með vinnslunni. Almennt verður að telja ríka almannahagsmuni standa til vinnslu persónuupplýsinga sem þjónað getur vísindalegum tilgangi. Í umsókn ÍE kemur t.a.m. fram að tilgangur þeirrar vinnslu sem hér um ræðir er að leita erfðafræðilegra orsaka sjúkdóma og einkenna þeirra í þeim tilgangi að finna ný lyf eða önnur bætt meðferðarúrræði og fyrirbyggjandi aðgerðir. Við mat á því hvort þessir hagsmunir séu nægilega brýnir verður þó að vega þá og meta á móti beinum hagsmunum einstaklinganna sem í hlut eiga.

Upplýsingarnar sem um ræðir eru arfgerðarupplýsingar merktar einkvæmum PN-númerum sem unnt er að afkóða yfir á kennitölur. Erfðaupplýsingar geta borið með sér upplýsingar um heilsuhagi fólks og þjóðernisuppruna. Þær geta sagt til um faðerni, móðerni og önnur fjölskyldutengsl og að vissu leyti falið í sér upplýsingar um aðra einstaklinga en þann sem erfðaefni stafar frá, sbr. t.d. dóm Hæstaréttar frá 27. nóvember 2003 í máli nr. 151/2003. Á síðari árum, eftir því sem erfðatækni hefur fleygt fram, hefur þótt sérstök ástæða til þess að tryggja að fólki sé ekki mismunað eftir erfðum. Þannig er kveðið á um bann við mismunun á grundvelli erfðastofns í 6. gr. yfirlýsingar UNESCO um genamengi mannsins og mannréttindi og 11. gr. Evrópusamnings um mannréttindi og líflæknisfræði, nr. 164 frá 4. apríl 1997. Í íslenskri löggjöf er t.d. í 2. mgr. 82. gr. laga nr. 30/2004 um vátryggingarsamninga ákvæði sem leggur bann við því að vátryggingarfélag, fyrir eða eftir gerð samnings um persónutryggingu, óski eftir, afli með einhverjum öðrum hætti, taki við eða hagnýti sér upplýsingar um erfðaeiginleika manns og áhættu á því að hann þrói með sér eða fái sjúkdóm. Þá tengist vinnsla erfðaupplýsinga ýmiss konar álitaefnum er varða rétt einstaklingsins til að fá ekki upplýsingar um heilsufar sitt, svo sem kveðið er á um í 2. mgr. 10. gr. framangreinds Evrópusamnings frá 4. apríl 1997. Í samræmi við þessi viðhorf hefur vinnsla upplýsinga um erfðaefni manna verið talin fela í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi einstaklingsins, sbr. 33. gr. laga nr. 77/2000 og 2. tölul. 7. gr. reglna nr. 698/2004, um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Má hér og vísa til vinnuskjals starfshóps samkvæmt 29. gr. tilskipunar nr. 95/46/EB sem er framkvæmdastjórn Evrópusambandsins til ráðgjafar um persónuverndarmálefni, nr. WP91 frá 17. mars 2004 um erfðaupplýsingar.

Vinnslan sem um ræðir er afar umfangsmikil. Um er að ræða samkeyrslu upplýsinga um 85.000 manns sem hafa tekið þátt í á sjöunda tug ólíkra erfðarannsókna. Upplýsingunum er haldið aðskildum enda þótt þær séu varðveittar hjá einum og sama aðila, þ.e. ÍE, en eru upphaflega fengnar úr ýmsum áttum, s.s. úr heilbrigðisskrám, krabbameinsskrá KÍ og frá þátttakendum sjálfum, oft fyrir tilstilli fjölmargra lækna sem hafa haft viðkomandi einstaklinga til meðferðar.

Frá sjónarhóli einkalífsverndar ber að sýna aðgát við samkeyrslu persónuupplýsinga, einkum ef upplýsingarnar eru viðkvæmar. Tilurð persónuverndarlöggjafar má þannig m.a. rekja til aukinna möguleika til samkeyrslu og samtengingar upplýsinga með tilkomu tölvutækninnar. Í ahugasemdum í greinargerð með frumvarpi því er síðar varð að lögum nr. 63/1981 um kerfisbundna skráningu skráningu á upplýsingum er varða einkamálefni – fyrstu lögum um meðferð persónuupplýsinga á Íslandi – segir t.a.m. eftirfarandi um tildrög lagasetningarinnar:

Hafa í ljósi þessa löngum gilt sérstakar reglur um samkeyrslu. Í lögum nr. 121/1989 var t.d. sérstakt ákvæði um að ekki mætti tengja saman skrár, er féllu undir ákvæði laganna, nema um væri að ræða skrár sama skráningaraðila. Í greinargerð með því ákvæði er varð að 6. gr. laganna sagði m.a.:

Í samræmi við þetta hefur samkeyrsla viðkvæmra persónuupplýsinga verið talin til þeirrar vinnslu sem getur falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi einstaklingsins, sbr. 33. gr. laga nr. 77/2000, sbr. og 1. tölul. 7. gr. reglna nr. 698/2004 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga. Ný tækni sem felur í sér aukna samkeyrslumöguleika breytir þar engu um enda engar lagabreytingar orðið vegna tilkomu hennar.

Af öllu framangreindu er ljóst að þrátt fyrir að ríkir almannahagsmunir séu af samkeyrslunni og þær geti síðar nýst í þágu rannsókna, er eðli upplýsinganna þannig (arfgerðarupplýsinga) og vinnslutegundin slík, þ.e. umfang hennar, en hún lýtur að 85.000 einstaklingum eða tæplega þriðjungi íslensku þjóðarinnar, að einstaklingarnir hafa sérstaklega brýna hagsmuni af því að réttindi þeirra og frelsi séu tryggð með viðhlítandi hætti.

Eigi hagsmunir af því að upplýsingavinnslan fari fram að vega þyngra en hagsmunir einstaklinganna af því að vinnslan fari ekki fram án þeirra samþykkis, verður því að gera mjög ríkar kröfur til ráðstafana sem gerðar verða til að tryggja réttindi þeirra og hagsmuni.

3.2.

Viðhlítandi ráðstafanir

Eins og áður segir eru gerðar strangari kröfur til ráðstafana til verndar hagsmunum einstaklingsins eftir því sem upplýsingarnar sem um ræðir eru viðkvæmari. Á móti kemur að því meiri og strangari ráðstafanir sem gerðar eru, því meira svigrúm er til þess að nýta sveigjanleika laganna og heimila upplýsingavinnslu sem að öðrum kosti væri bönnuð. Þá er hægt að aftengja upplýsingarnar persónuauðkennum og fellur upplýsingavinnslan þá utan gildissviðs laga nr. 77/2000.

Í samtali forstjóra Persónuverndar við [...], framkvæmdastjóra samstarfsverkefna hjá ÍE, þann 6. september 2007, var rætt um leiðir til að tryggja persónuvernd við framkvæmd þessa verkefnis. Var m.a. spurt um afstöðu ÍE til þess að dulkóða þau PN-númer sem eru á gögnunum, eyða númerunum eða gera aðrar áþekkar ráðstafanir sem verulega myndu draga úr möguleikum á persónugreinanleika upplýsinganna. Hann kvað slíkt vera útilokað og vinna yrði með gögnin á þeim PN-númerum sem þau eru merkt með nú. Með tölvubréfi þann 5. nóvember 2007 óskaði Persónuvernd upplýsinga um hvort þessi afstaða ÍE væri óbreytt. Svar barst samdægurs með tölvubréfi þar sem fram kom að af mörgum ástæðum kæmi þetta ekki til greina. Með bréfi Persónuverndar, dags. 7. nóvember 2007, var óskað bréflegrar staðfestingar á framangreindu. Hún barst með bréfi þann 22. nóvember 2007. Var staðfest að fyrirtækið teldi slíkt hvorki raunhæft né mögulegt af ýmsum ástæðum. Var m.a. vísað til tæknilegra ástæðna og kostnaðar og bent á að eftir endurdulkóðun, þar sem tengslum við kennitölur þátttakenda yrði eytt, yrði ekki lengur mögulegt fyrir samstarfslækna ÍE að setja sig í samband við þátttakendur vegna þarfa á viðbótarupplýsingum, mælingum, lífsýnum o.þ.h. Þar með yrði hindrað að rannsóknirnar skiluðu þeim árangri sem að hefði verið stefnt. Endurdulkóðun væri því í andstöðu við yfirlýstan vilja þátttakenda sem birtist í undirritun þeirra á B (víðtæku) samþykki þar sem þeir heimiluðu að sýni og gögn um þá mætti nýta til þeirra rannsókna sem Persónuvernd og Vísindasiðanefnd samþykktu.

3.3.

Valdheimildir Persónuverndar

Upplýsingar um heilsuhagi, þ. á m. erfðaupplýsingar, eru viðkvæmar persónuupplýsingar sem varða einkamálefni manna. Þær njóta ótvíræðrar verndar 71. gr. stjórnarskrár lýðveldisins Íslands, nr. 33/1944, sem mælir fyrir um að allir skuli njóta friðhelgi einkalífs heimilis og fjölskyldu og að þann rétt megi einungis takmarka með sérstakri lagaheimild ef brýna nauðsyn ber til vegna réttinda annarra. Af því leiðir að handhöfum framkvæmdarvalds verður ekki falið óheft ákvörðunarvald um heimildir til vinnslu viðkvæmra persónuupplýsinga.

Persónuvernd er stjórnsýslustofnun sem fyrst og fremst hefur með höndum eftirlit með framkvæmd laga og úrlausn ágreiningsmála. Löggjafinn hefur þó framselt stofnuninni vald til þess að heimila, í undantekningartilvikum, vinnslu viðkvæmra persónuupplýsinga sem annars væri bönnuð. Við beitingu þess valds ber Persónuvernd að halda sig innan þeirra marka sem leiða af stjórnarskrá og mannréttindasamningum sem Ísland hefur fullgilt, s.s. mannréttindasáttmála Evrópu og Evrópusamningi frá 28. janúar 1981 um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga, einkum 6. gr. þess samnings. Í samræmi við þetta hefur Persónuvernd túlkað valdheimildir sínar fremur þröngt og talið að til þess að leyfi samkvæmt 3. mgr. 9. gr. teljist gefin út innan þeirra heimilda sem stofnuninni eru veittar að lögum þurfi vinnslan sem um ræðir að fullnægja ákveðnum kröfum um afmörkun og fyrirsjáanleika. Þar af leiðandi hafa leyfi, gefin út á grundvelli ákvæðisins, verið bundin við skýrlega afmarkaðar vísindarannsóknir á nánar tilgreindum þáttum eða atriðum. Umsókn ÍE, dags. 6. júlí 2007, lýtur hins vegar að samtengingu gagna úr á sjöunda tug umfangsmikilla rannsókna á margs konar og í mörgum tilvikum óskyldum sjúkdómum. Þá kemur ekki fram hvað í tengslum við umrædda sjúkdóma á að rannsaka hverju sinni, en þess í stað er almennt tekið fram að leita eigi erfðafræðilegra orsaka þeirra án nokkurrar frekari tilgreiningar.

3.4

Niðurstaða

Með vísan til eðlis upplýsinganna, fjölda þeirra einstaklinga sem þær varða og umfangs vinnslunnar sem um ræðir, þess að ÍE hefur ekki fallist á að endurdulkóða upplýsingarnar eða aftengja þær persónuauðkennum, og þess að valdheimildum Persónuverndar eru settar þröngar skorður sem skýra ber með hliðsjón af ákvæðum stjórnarskrár og mannréttindasamninga, sem íslenska ríkið er aðili að, sbr. og dóm Hæstaréttar frá 27. nóvember 2003 í máli nr. 151/2003, verður ekki talið að lagaskilyrði séu til þess að veita leyfi til þeirra vinnslu sem umsókn ÍE lýtur að á grundvelli 3. mgr. 9. gr. laga nr. 77/2000.

4.

Samandregin niðurstaða

Með vísan til þess að ÍE hefur ekki sýnt fram á að samráð hafi verið haft við aðra ábyrgðaraðila þeirra 66 rannsókna sem hér eru til umfjöllunar um breytingar á þeim, að vinnslan sem um ræðir byggir ekki á upplýstu samþykki einstaklinganna sem í hlut eiga, að í lögum er ekki að finna ákvæði sem heimila Persónuvernd sérstaklega útgáfu leyfa vegna vinnslu sem þessarar, að eðli bæði upplýsinganna og vinnslutegundarinnar er slíkt að sérstök þörf er á að tryggja hagsmunum einstaklingsins vernd, að ÍE hefur ekki fallist á að endurdulkóða upplýsingarnar eða aftengja þær persónuauðkennum, og að valdheimildum Persónuverndar eru dregin mörk með ákvæðum stjórnarskrár og mannréttindasamninga, er ekki unnt, á grundvelli gildandi laga, að fallast á umsókn ÍE um heimild til vinnslu persónuupplýsinga vegna „Víðtækrar erfðamengisleitar orsaka sjúkdóma og einkenna þeim tengdum á grundvelli B-samþykkja og gagna í lífsýnasafni ÍE".

Á k v ö r ð u n a r o r ð:

Synjað er um útgáfu leyfis til Íslenskrar erfðagreiningar ehf. til vinnslu persónuupplýsinga vegna „Víðtækrar erfðamengisleitar orsaka sjúkdóma og einkenna þeim tengdum á grundvelli B-samþykkja og gagna í lífsýnasafni ÍE", sbr. umsókn til Persónuverndar, dags. 6. júlí 2007.