Skráning og vinnsla persónuupplýsinga hjá embætti landlæknis

Mál nr. 2022111956

12.10.2023

Úrskurður

um kvörtun yfir miðlun embættis landlæknis á persónuupplýsingum um kvartanda í minnisblaði til velferðarráðuneytisins, sem og höfnun embættisins á eyðingu minnisblaðsins, í máli nr. 2022111956:

I.
Málsmeðferð

Hinn 23. nóvember 2022 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir miðlun embættis landlæknis á persónuupplýsingum um hana í minnisblaði til velferðarráðuneytisins (nú heilbrigðisráðuneytið), dags. 16. mars 2016, sem og höfnun landlæknis á að eyða minnisblaðinu úr málaskrá embættisins.

Persónuvernd bauð embætti landlæknis að tjá sig um kvörtunina með bréfi, dags. 12. september 2023, og bárust svör embættisins 3. október s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör landlæknis með bréfi, dags. 5. s.m., og bárust þær með tölvupósti sama dag. Þá sendi Persónuvernd embætti landlæknis tölvupóst, dags. 10. s.m., með beiðni um frekari upplýsingar og bárust svör landlæknis með tölvupósti, dags. 11. s.m.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Kvartandi vísar til þess að í minnisblaði, dags. 16. mars 2016, sem þáverandi sviðsstjóri hjá embætti landlæknis ritaði og sendi til velferðarráðuneytisins komi fram óhróður um rannsóknir hennar. Einnig komi þar fram ósannindi um hana þar sem embætti landlæknis fullyrði að hún hafi verið að fjalla opinberlega um mál sem hafi verið til meðferðar hjá embættinu þegar hún hafi verið þar að störfum. Hið rétta sé hins vegar að kvartandi hafi þegar lokið störfum þegar tilgreind mál hafi verið til meðferðar hjá embættinu. Byggir kvartandi á því að samskipti hennar við starfsfólk landlæknis frá árinu 2017 og 2021, þar á meðal verkefnastjóra og lögfræðing hjá embættinu, sýni fram á að upplýsingarnar sem komi fram í minnisblaðinu séu rangar. Kvartandi hafi óskað eftir því með tölvupósti til landlæknis, dags. 16. ágúst 2021, að minnisblaðinu yrði eytt úr málaskrá embættisins á þeim grundvelli að þar kæmu fram efnislega rangar upplýsingar en beiðninni hafi verið synjað.

Meðfylgjandi kvörtun var meðal annars afrit af samskiptum kvartanda við embætti landlæknis á árunum 2013, 2017 og 2021 sem að mati kvartanda sýna fram á ósannindi umræddra upplýsinga.

Í svarbréfi embættis landlæknis kemur fram að beiðni kvartanda um að minnisblaði landlæknis til velferðarráðuneytisins, dags. 16. mars 2016, yrði eytt úr málaskrá embættisins hafi verið synjað með bréfi til kvartanda, dags. 20. janúar 2022. Vísaði landlæknir til þess að í tilefni af beiðni kvartanda um eyðingu minnisblaðsins hafi málið verið rannsakað af hálfu embættisins og meðal annars hafi verið rætt við þáverandi sviðsstjóra, sem ritaði umrætt bréf, og þáverandi landlækni. Engar nýjar upplýsingar hafi komið fram í málinu og skýr afstaða sviðsstjórans og þáverandi landlæknis hafi verið sú að ekki væru forsendur til að afturkalla eða leiðrétta bréfið. Kvartanda hafi verið tilkynnt þessi afstaða með bréfi, dags. 20. janúar 2022.

Embætti landlæknis vísar einnig til þess að tilefni umrædds minnisblaðs, dags. 16. mars 2016, hafi verið að leiðrétta það sem starfsmenn embættisins hafi talið rangfærslur sem haldið væri á lofti af hálfu kvartanda á opinberum vettvangi. Taldi embættið rangfærslur kvartanda þess eðlis að þær gætu að ósekju grafið undan trausti á lyfjagagnagrunni sem landlækni er falið að reka samkvæmt lyfjalögum og hafi embættið því borið ábyrgð á gæðum og réttleika upplýsinganna. Þá hafi embættið jafnframt talið mikilvægt að koma á framfæri athugasemdum til velferðarráðuneytisins varðandi umfjöllun kvartanda á opinberum vettvangi um mál tilgreindra einstaklinga sem hafi verið til meðferðar hjá landlækni á meðan kvartandi hafi verið þar að störfum. Byggir landlæknir á því að umrædd upplýsingamiðlun til velferðarráðuneytisins hafi verið réttmæt miðlun frá undirstofnun til ráðuneytis sem fer með viðkomandi málaflokk.

Meðfylgjandi svarbréfi landlæknis var meðal annars afrit af samskiptum embættisins við kvartanda á árinu 2022, þ. á m. afrit af bréfi embættisins til kvartanda, dags. 20. janúar s.á.

II. 
Niðurstaða
1. 
Lagaskil

Hvað varðar þá vinnslu persónuupplýsinga um kvartanda sem lýtur að gerð og miðlun minnisblaðsins, dags. 16. mars 2016, átti sú vinnsla sér stað fyrir gildistöku núgildandi laga, nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, hinn 15. júlí 2018, sbr. einnig reglugerð (ESB) 2016/679. Umfjöllun og efni þessa úrskurðar hvað framangreint varðar og heimild embættis landslæknis til vinnslu persónuupplýsinga byggist því á ákvæðum eldri laga, nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, en þær reglur laga um persónuvernd sem á reynir hafa ekki breyst efnislega.

Kvartandi fór fram á það með tölvupósti til landlæknis, dags. 16. ágúst 2021, að minnisblaðinu yrði eytt úr málaskrá embættisins. Um rétt kvartanda til að fá óáreiðanlegar persónuupplýsingar um sig leiðréttar og rétt til að ábyrgðaraðili eyði persónuupplýsingum um hann án ótilhlýðilegrar tafar gilda því hins vegar núgildandi lög nr. 90/2018 og reglugerð (ESB) 2016/679.

2. 
Lögmæti vinnslu

Mál þetta lýtur að miðlun embættis landlæknis á persónuupplýsingum um kvartanda í minnisblaði til velferðarráðuneytisins, sem og höfnun landlæknis á beiðni kvartanda um eyðingu minnisblaðsins. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Embætti landlæknis telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt 4. tölul. 2. gr. laga nr. 77/2000, sbr. einnig 6. tölul. 3. gr. laga nr. 90/2018.

2.1

Öll vinnsla persónuupplýsinga varð að falla undir eitthvert af heimildarákvæðum 1. mgr. 8. gr. laga nr. 77/2000. Samkvæmt 3. tölul. 1. mgr. þeirrar greinar var heimilt að vinna með persónuupplýsingar væri það nauðsynlegt til að fullnægja lagaskyldu og samkvæmt 6. tölul. var heimilt að vinna með persónuupplýsingar væri það nauðsynlegt við beitingu opinbers valds sem ábyrgðaraðili, eða þriðji maður sem upplýsingum væri miðlað til, færi með.

Auk heimildar samkvæmt framangreindu varð vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 7. gr. laga nr. [77/2000], sbr. 1. mgr. 8. gr. laga nr. 90/2018. Var þar meðal annars kveðið á um að persónuupplýsingar skyldu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins (sbr. núgildandi 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679), og að þær skyldu vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingum, sem væru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skyldi eytt eða þær leiðréttar án tafar, sbr. 4.tölul. lagaákvæðisins (sbr. 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og d-lið 1. mgr. 5 gr. reglugerðarinnar).

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Samkvæmt a-lið 4. gr. laga nr. 41/2007, um landlækni og lýðheilsu, er eitt af meginhlutverkum landlæknis að veita ráðherra og öðrum stjórnvöldum, fagfólki og almenningi ráðgjöf og fræðslu um málefni á verksviði embættisins.

Embætti landlæknis hefur eftirlit með lyfjaávísunum og er lyfjagagnagrunnur notaður við það eftirlit. Embættið hefur borið því við að umrædd vinnsla persónuupplýsinga hafi verið í því skyni að leiðrétta það sem starfsmenn embættisins hafi talið rangfærslur um lyfjagagnagrunninn af hálfu kvartanda á opinberum vettvangi. Þá hafi embættið jafnframt talið mikilvægt að koma á framfæri athugasemdum til velferðarráðuneytisins varðandi umfjöllun kvartanda á opinberum vettvangi um mál tilgreindra einstaklinga sem hafi verið til meðferðar hjá landlækni.

Að mati Persónuverndar verður talið að umrædd vinnsla embættis landlæknis hafi verið nauðsynleg við beitingu opinbers valds sem embættið fer með og vinnslan því heimil á grundvelli þágildandi 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000 og í samræmi við 1. tölul. 1. mgr. 7. gr. laganna.

2.2

Samkvæmt 20. gr. laga nr. 90/2018, sbr. 16. og 17. gr. reglugerðar ESB 2016/679, á einstaklingur rétt á því að fá óáreiðanlegar upplýsingar um sig leiðréttar; láta fullgera ófullkomnar persónuupplýsingar, þ.m.t. með því að leggja fram yfirlýsingu til viðbótar, svo og rétt til að ábyrgðaraðili eyði persónuupplýsingum um hann án ótilhlýðilegrar tafar að uppfylltum vissum skilyrðum.

Samkvæmt d-lið 3. mgr. 17. gr. reglugerðarinnar eiga hins vegar ákvæði 1. og 2. mgr. sömu greinar, sem kveða á um rétt hins skráða til að fá persónuupplýsingum um sig eytt, ekki við að því marki sem vinnsla er nauðsynleg vegna skjalavistunar í þágu almannahagsmuna.

Samkvæmt 3. tölul. 1. mgr. 14. gr. laga nr. 77/2014, um opinber skjalasöfn, eru stjórnvöld og stofnanir sem heyra undir stjórnvöld afhendingarskyld í samræmi við ákvæði laganna. Embætti landlæknis telst afhendingarskyldur aðili í skilningi ákvæðisins. Í því felst að embættinu ber að afhenda opinberu skjalasafni skjöl sín, að meginreglu þegar þau hafa náð 30 ára aldri, sbr. 4. mgr. 14. gr. og 1. mgr. 15. gr. laganna. Tekið er fram í 1. mgr. 24. gr. laganna að afhendingarskyldum aðilum sé óheimilt að ónýta eða farga nokkru skjali í skjalasöfnum sínum nema að fengnu samþykki þjóðskjalavarðar, reglna sem hann setur eða sérstaks lagaákvæðis.

Þegar litið er til alls framangreinds telur Persónuvernd ekki unnt að mæla fyrir um að umræddu minnisblaði, dags. 16. mars 2016, skuli eytt úr málaskrá embættis landslæknis, sbr. fyrrgreind ákvæði laga nr. 77/2014 og d-lið 3. mgr. 17. gr. reglugerðar (ESB) 2016/679.

Hvað varðar kröfur um sanngjarna og málefnalega vinnslu og áreiðanleika persónuupplýsinga, samkvæmt 1. og 4. tölul. 8. gr. laga nr. 90/2018, sbr. a- og d-liði 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, verður að miða við að skráðar upplýsingar gefi sem réttasta mynd af hinum skráða. Eftir atvikum kynni Persónuvernd því, á grundvelli 1. mgr. 20. gr. laganna, sbr. 16. gr. reglugerðarinnar, að geta mælt fyrir um að með gögnum, sem óheimilt er að eyða eða breyta, skuli lagðar athugasemdir með leiðréttingum frá hinum skráða.

Í málinu liggur fyrir að kvartanda og embætti landlæknis greinir á um hvort þær upplýsingar sem fram komi í umræddu minnisblaði, dags. 16. mars 2016, séu rangar eða ekki. Samkvæmt upplýsingum frá embætti landlæknis er mál vegna svarbréfs embættisins til kvartanda, dags. 20. janúar 2022, tengt málsnúmeri vegna minnisblaðsins í málaskrá embættisins. Þá sendi landlæknir [heilbrigðisráðuneytinu] afrit af fyrrgreindu svarbréfi embættisins til kvartanda og óskaði eftir því að bréfið yrði tengt því málsnúmeri sem minnisblaðið frá 16. mars 2016 fékk hjá velferðarráðuneytinu. Í umræddu svarbréfi embættis landlæknis til kvartanda, dags. 20. janúar 2022, eru málsástæður og rök kvartanda fyrir beiðni um eyðingu eða leiðréttingu minnisblaðsins rakin. Þá er í bréfinu jafnframt rakin niðurstaða landlæknis fyrir synjun um eyðingu minnisblaðsins. Verður því talið að kvartandi hafi nú þegar fengið að leggja fram athugasemdir um þau atriði sem hann telur ranglega skráð í gögn í málaskrám embættis landlæknis og velferðarráðuneytisins.

Að framangreindu virtu er það niðurstaða Persónuverndar að vinnsla embættis landlæknis á persónuupplýsingum kvartanda hafi samrýmst lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Jafnframt er það niðurstaða Persónuverndar að kvartandi hafi fengið persónuupplýsingar, sem hann telur óáreiðanlegar, leiðréttar í samræmi við 1. mgr. 20. gr. laga nr. 90/2018, sbr. 16. gr. reglugerðar (ESB) 2016/679. Þá telur Persónuvernd að embætti landlæknis sé ekki skylt að verða við beiðni kvartanda um eyðingu minnisblaðsins úr málaskrá embættisins, með vísan til d-liðar 3. mgr. 17. gr. reglugerðarinnar.

Ú r s k u r ð a r o r ð:

 

Miðlun embættis landlæknis á persónuupplýsingum um [A] samrýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.

Synjun embættis landlæknis á beiðni [A] um eyðingu minnisblaðs, dags. 16. mars 2016, úr málaskrá embættisins samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

 

Persónuvernd 12. október 2023

 

Edda Þuríður Hauksdóttir                               Helga Sigríður Þórhallsdóttir