Úrskurður um birtingu persónuupplýsinga á vefsíðu Embættis landlæknis

Mál nr. 2017/1183

27.6.2018

 

Úrskurður

 

Á fundi stjórnar Persónuverndar þann 31. maí 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/1183:

 

I.
Málsmeðferð

1.
Tildrög máls

Þann 25. ágúst 2017 barst Persónuvernd kvörtun frá [A] (hér eftir nefnd kvartandi) vegna birtingar persónuupplýsinga um hana á vefsíðu Embættis landlæknis. Í kvörtuninni segir að nafn kvartanda birtist á samfélagsmiðlum frá embættinu ásamt öðrum hjúkrunarfræðingum og vilji hún fá það fjarlægt. Með tölvupósti, dags. 10. október 2017, óskaði Persónuvernd eftir staðfestingu kvartanda á því að kvörtun hennar beindist að birtingu persónuupplýsinga, þ.e. nafns, upplýsinga um menntun og upphafstíma starfsleyfis, á hjúkrunarfræðingaskrá Embættis landlæknis, en umrædd skrá kemur upp þegar leitað er eftir nafni kvartanda á leitarvélum á Netinu. Með tölvupósti sama dag staðfesti kvartandi framangreindan skilning Persónuverndar á efni kvörtunar.

 

2.
Bréfaskipti

Með bréfi, dags. 10. október 2017, var Embætti landlæknis boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993.  Svarað var með tölvupósti, dags. 16. s.m., þar sem tilkynnt var að embættið teldi ekki tilefni til að koma að athugasemdum eða sjónarmiðum vegna kvörtunarinnar. Með bréfi, dags. 23. s.m. óskaði Persónuvernd eftir nánari upplýsingum frá Embætti landlæknis varðandi vinnsluna, auk þess sem vísað var til 38. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, varðandi heimildir Persónuverndar til að krefja ábyrgðaraðila um allar þær upplýsingar og skriflegar skýringar sem henni eru nauðsynlegar til að rækja hlutverk sitt.

 

Svarbréf Embættis landlæknis, dags. 14. nóvember s.á., barst Persónuvernd þann 16. s.m. Í bréfinu er vísað til þess að samkvæmt 6. gr. laga um heilbrigðisstarfsmenn nr. 34/2012 veiti landlæknir umsækjendum leyfi til að nota starfsheiti löggiltrar heilbrigðisstéttar og til að starfa sem heilbrigðisstarfsmaður hér á landi að uppfylltum nánar tilgreindum skilyrðum. Eitt af meginhlutverkum landlæknis sé að hafa eftirlit með heilbrigðisstarfsmönnum, sbr. e-lið 1. mgr. 4. gr. laga um landlækni og lýðheilsu nr. 41/2007, sbr. einnig III. kafla sömu laga. Embætti landlæknis haldi skrár yfir heilbrigðisstarfsmenn sem hafi gild starfsleyfi. Hin síðari ár hafi nafnalistar yfir alla sem hafi leyfi til að starfa á Íslandi sem læknar, hjúkrunarfræðingar, tannlæknar og ljósmæður verið aðgengilegir á heimasíðu embættisins. Fram komi frá hvaða dagsetningu leyfið gildi og sérgrein lækna ef við á. Með vísan til eftirlitshlutverks embættis landlæknis sé það mat landlæknis að nauðsynlegt sé að hafa aðgengilegar upplýsingar fyrir almenning um þá heilbrigðisstarfsmenn sem hafi leyfi til að starfa á Íslandi, eins og háttar til á öðrum Norðurlöndum. Séu framangreindar skrár mikilvæg tól í þeim tilgangi að stuðla að öryggi í veitingu heilbrigðisþjónustu og að mati landlæknis sé nauðsynlegt að miðla þeim innan heilbrigðisþjónustunnar í þeim tilgangi. Þá kemur fram að skrám sé jafnframt miðlað reglulega til aðila sem nauðsynlega þurfi upplýsingar um hvaða heilbrigðisstarfsmenn, sem tilheyri framangreindum stéttum, hafi gilt starfsleyfi, s.s. til apóteka og heilbrigðisstofnana sem og hugbúnaðarfyrirtækja sem sjái um uppfærslur á stoðskrám rafrænna skráningarkerfa fyrir heilbrigðisstofnanir. Skrám sem miðlað sé reglulega til veitenda heilbrigðisþjónustu innihaldi auk þess kennitölur og einkvæm starfsgreinarnúmer hvers einstaklings. Vísar embættið loks til heimildar í 5. og 6. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Þá gæti embættið þess við vinnsluna að meginreglum 7. gr. laganna sé gætt.

 

Með bréfi, dags. 24. nóvember 2017, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Embættis landlæknis til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Í svarbréfi kvartanda, dags. 10. desember s.á., kemur fram að hún hafi ekki verið spurð álits á því hvort nafn hennar kæmi þarna fram og óski hún því eftir því að það verði fjarlægt. Telji kvartandi vafa leika á því að heimilt sé að birta nafnalista með þeim hætti sem hér um ræðir á Netinu. Eðlilegra mætti telja að ef óskað væri eftir upplýsingum um réttindi einstaklinga væri haft samband við Embætti landlæknis, í stað þess að birta slíkan lista á Netinu.

 

II.
Forsendur og niðurstaða

 

1.
Gildissvið laga nr. 77/2000

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu. Af þessu öllu er ljóst að hér ræðir um meðferð persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

 

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Embætti landlæknis vera ábyrgðaraðili að umræddri vinnslu.

 

 

2.
Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að samrýmast einhverri af kröfum 8. gr. laga nr. 77/2000. Þegar um ræðir vinnslu persónuupplýsinga, sem fram fer á vegum stjórnvalda, hefur verið talið að einkum geti átt við 3. tölul., þess efnis að vinnsla sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu, 5. tölul., vegna verks sem unnið er í þágu almannahagsmuna, eða 6. tölul. 1. mgr. 8. gr., við beitingu opinbers valds.

 

Í máli þessu kemur til skoðunar hvort birting Embættis landlæknis á skrá yfir hjúkrunarfræðinga á vefsíðu embættisins samrýmist lögum nr. 77/2000. Fram kemur frá hvaða dagsetningu leyfið gildir og nafn viðkomandi. Ekki eru birtar upplýsingar um kennitölu. Samkvæmt 5. tölul. 1. mgr. 8. gr. laga nr. 77/2000 er vinnsla persónuupplýsinga, eins og áður segir, heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna. Kemur fram í athugasemdum við ákvæðið í greinargerð með því frumvarpi sem varð að lögunum að með þessu sé átt við verkefni sem hafi þýðingu fyrir breiðan hóp manna, en það geti til dæmis átt við um vinnslu í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi. Með hliðsjón af þessu telur Persónuvernd að ætla megi að hið sama geti átt við þegar stjórnvöld birta persónuupplýsingar, með þeim hætti sem hér um ræðir, í þeim tilgangi að veita almenningi upplýsingar um þá hjúkrunarfræðinga sem hafa gilt starfsleyfi. Telja verður að hagsmunir almennings af því að geta gengið úr skugga um hvort heilbrigðisstarfsmenn hafi tilskilda menntun og starfsleyfi vegi þyngra en hagsmunir hinna skráðu af því að upplýsingarnar birtist ekki á Netinu.  Telur Persónuvernd, í ljósi þess tilgangs að stuðla að öryggi í veitingu heilbrigðisþjónustu, umrædda vinnslu geta fallið undir 5. tölul. 1. mgr. 8. gr. laga nr. 77/2000.

 

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um sanngirni og meðalhóf. Ekki hefur komið fram að umrædd vinnsla hafi verið andstæð þessari kröfu, né heldur öðrum kröfum laganna.

 

Meðferð þessa máls hefur dregist vegna mikilla anna hjá stofnuninni.

 

Ú r s k u r ð a r o r ð:

 

Birting Embættis landlæknis á persónuupplýsingum um kvartanda á vefsíðu embættisins samrýmdist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.