Synjað um afmörkun rannsóknarúrtaks á grundvelli nethegðunar
Mál nr. 2021122418
Í samræmi við lög um vísindarannsóknir á heilbrigðissviði var viðbót við rannsókn á vegum alþjóðlega lyfjafyrirtækisins Amgen og hérlends læknis send Persónuvernd til umfjöllunar frá Vísindasiðanefnd. Sótt var um heimild til notkunar breytna af samfélagsmiðlum til að senda fólki auglýsingu um rannsóknina sem lýtur að svörun við meðferð með lyfi við mígreni. Svarað var með bréfi til Vísindasiðanefndar, með afriti á umsækjendur, þar sem ekki voru gerðar athugasemdir við notkun breytna um aldur og búsetu á stórhöfuðborgarsvæðinu. Notkun upplýsinga um nethegðun, sem gæfi vísbendingu um að fólk væri með mígreni, var hins vegar álitin óheimil.
1.
Erindi vegna rannsóknarviðbótar
Persónuvernd vísar til fyrri samskipta vegna erindis Amgens AB og […] (ábyrgðarmanns) til Vísindasiðanefndar, dags. 12. desember 2021, en í erindinu er sótt um leyfi nefndarinnar fyrir viðbót við rannsóknina „Lífvísar og erfðafræðilegir forspárþættir svörunar við meðferð með erenumagi, opin fasa 4-vísindarannsókn“ (mál nr. 20-027 (viðbót 9) hjá nefndinni). Var erindið sent Persónuvernd á grundvelli 2. mgr. 13. gr. laga nr. 44/2014 um vísindarannsóknir á heilbrigðissviði, en þar kemur fram að Persónuvernd fær vinnslu persónuupplýsinga í þágu slíkra rannsókna til umfjöllunar í aðdraganda ákvörðunar nefndarinnar um leyfisveitingu.
Samkvæmt framangreindu erindi er nú ráðgert að senda fólki auglýsingu um rannsóknina á samfélagsmiðlum, þ.e. Facebook og Instagram. Í samskiptum Persónuverndar og ábyrgðarmanns hefur stofnunin óskaði nánari skýringa í því sambandi, þ.e. um hvaða breytur fyrirhugað sé að nota til að afmarka þann hóp sem auglýsinguna fær. Samkvæmt því sem fram kemur í tölvupósti frá ábyrgðarmanni hinn 5. apríl 2022 er þar annars vegar um að ræða einstaklinga á aldrinum 18-50 ára sem búa á stórhöfuðborgarsvæðinu þannig að ytri mörkin séu Suðurnes, Selfoss og Borgarnes. Hins vegar segir að um sé að ræða einstaklinga sem hafa flett upp síðum tengdum mígreni eða líkað við mígrenitengdar síður.
2.
Lagaumhverfi
Það að einstaklingur sé felldur inn í tiltekinn hóp á grundvelli vísbendinga um persónubundna þætti, sem falla undir upptalningu persónuverndarlöggjafarinnar á viðkvæmum persónuupplýsingum, er talið fela í sér vinnslu slíkra upplýsinga. Má í því sambandi vísa til 2. kafla V. hluta álits Persónuverndar, dags. 5. mars 2020, um notkun stjórnmálasamtaka á samfélagsmiðlum fyrir kosningar til Alþingis. Þá má vísa til kafla 8.1.2 í leiðbeiningum Evrópska persónuverndarráðsins (EDPB) nr. 8/2020 frá 13. apríl 2020 um nálgun gagnvart notendum samfélagsmiðla (e. Guidelines on the targeting of social media users).
Upplýsingar um heilsufar eru á meðal þeirra upplýsinga sem persónuverndarlöggjöfin skilgreinir sem viðkvæmar, sbr. b-lið 3. tölul. 3. gr. laga nr. 90/2018 og 1. mgr. 9. gr. reglugerðar (ESB) 2016/679. Fyrirhuguð sending auglýsingar um umrædda rannsókn til þeirra sem í ljósi nethegðunar kunna að vera með mígreni felur því í sér vinnslu viðkvæmra persónuupplýsinga. Þegar unnið er með persónuupplýsingar þarf ávallt að vera unnt að fella vinnsluna undir heimild samkvæmt persónuverndarlöggjöfinni og gilda auknar kröfur ef upplýsingar eru viðkvæmar. Þær kröfur koma fram í 11. gr. laga nr. 90/2018 og 9. gr. reglugerðar (ESB) 2016/679, en á meðal þeirra er að aflað sé afdráttarlauss samþykkis hins skráða, sbr. 1. tölul. 1. mgr. ákvæðis laganna og a-lið 2. mgr. 9. gr. ákvæðis reglugerðarinnar. Með hliðsjón af umfjöllun í 2. kafla V. hluta fyrrgreinds álits Persónuverndar, svo og 49. og 120. lið áðurnefndra leiðbeininga Evrópska persónuverndarráðsins, verður sú heimild einungis talin geta átt við vegna umræddrar vinnslu. Tekið skal fram að í ljósi umfjöllunar í umræddum kafla álitsins frá Persónuvernd og 123. lið leiðbeininganna frá Evrópska persónuverndarráðinu á þetta bæði við um notkun upplýsinga um uppflettingar á vefsíðum og það hvaða vefsíður líkað hefur verið við.
3.
Notkun upplýsinga um nethegðun
Í ljósi framangreinds telur Persónuvernd það vera forsendu fyrir að fallist sé á umrædda vinnslu upplýsinga um nethegðun í þágu rannsóknarinnar að samþykkis fyrir þeirri vinnslu sé aflað. Ekki liggur fyrir að unnt sé að tryggja slíkt, en í því sambandi má nefna að athugun á Facebook, sem írska persónuverndarstofnunin vinnur að og beinist meðal annars að vinnslu sem þessari, er ólokið. Er það því afstaða Persónuverndar að ekki séu forsendur fyrir að fallast á þann þátt erindis Amgens AB og […] sem lýtur að notkun upplýsinga um nethegðun.
4.
Notkun upplýsinga um aldur og búsetu á stórhöfuðborgarsvæðinu
Hvað snertir notkun upplýsinga um aldur og búsetu á stórhöfuðborgarsvæðinu skal hins vegar tekið fram að Persónuvernd telur hana geta rúmast innan heimildarákvæða persónuverndarlöggjafarinnar á grundvelli lögmætra hagsmuna, sbr. 6. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og f-lið 1. mgr. 8. gr. reglugerðar (ESB) 2016/679. Eru því ekki gerðar athugasemdir við Vísindasiðanefnd taki umrætt erindi til efnislegrar afgreiðslu hvað þessa tilteknu vinnslu varðar.
F.h. Persónuverndar,
Þórður Sveinsson Gyða Ragnheiður Bergsdóttir
Afrit:
Læknasetrið ehf.
[…]
Þönglabakka 1
109 Reykjavík
Amgen AB
[…]
Gustav III:s Boulevard 54
169 27 Solna, Svíþjóð