Vinnsla persónuupplýsinga af hálfu embættis landlæknis

Mál nr. 2023091436

29.2.2024

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu embættis landlæknis í máli nr. 2023091436:

I.

Málsmeðferð

1.

Tildrög máls

Hinn 2. nóvember [ártal] barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi). Laut kvörtunin að því að embætti landlæknis hefði upplýst, með bréfi til félagasamtakanna [X], að kvartandi væri kominn í ótímabundið leyfi í kjölfar ábendinga samtakanna til embættisins [varðandi] meðferð sjúklinga á [sviði] Landspítala, þar sem kvartandi [starfaði].

Persónuvernd bauð embætti landlæknis að tjá sig um kvörtunina með bréfi, dags. 17. ágúst 2022, og bárust svör embættisins með tölvupósti 19. september s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör embættis landlæknis með bréfi, dags. 21. s.m., og bárust þær með tölvupósti 13. október s.á.

Á grundvelli framangreindra gagna var kveðinn upp úrskurður í málinu (undir málsnúmeri 2021112113 hjá Persónuvernd) 22. desember 2022. Niðurstaða Persónuverndar var sú að vinnsla embættis landlæknis á persónuupplýsingum um kvartanda hefði samrýmst ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679. Var sú afstaða byggð á því að embætti landlæknis hefði játað félagasamtökunum [X] aðild að því eftirlitsmáli sem hófst í kjölfar ábendinga samtakanna til embættisins [varðandi] meðferð sjúklinga á [sviði] Landspítala sem kvartandi [starfaði á]. Með miðlun upplýsinganna hefði embætti landlæknis þannig leitast við að virða lögbundinn upplýsingarétt félagasamtakanna samkvæmt ákvæðum stjórnsýslulaga, nr. 37/1993. Taldi Persónuvernd ekki tilefni til að gera athugasemdir við þá afstöðu landlæknis. Var því niðurstaða Persónuverndar að miðlun persónuupplýsinga um kvartanda hefði verið heimil á grundvelli 3. tölul. 9. gr. laganna, sbr. c-lið 1. mgr. 6. gr. reglugerðarinnar, þar sem hún hefði verið nauðsynleg til að fullnægja lagaskyldu sem hvíldi á landlækni samkvæmt stjórnsýslulögum.

Kvartandi óskaði álits umboðsmanns Alþingis á þessari niðurstöðu Persónuverndar. Í áliti umboðsmanns, dags. 28. ágúst 2023 í máli nr. 12094/2023, var komist að þeirri niðurstöðu að hjá Persónuvernd hefðu ekki legið fyrir fullnægjandi upplýsingar til að slá því föstu að umrætt eftirlitsmál hjá embætti landlæknis, sem hófst í kjölfar ábendinga félagasamtakanna [X] [varðandi] meðferð sjúklinga á [sviði] Landspítala, hefði talist stjórnsýslumál eða mál sem lyti ákvæðum stjórnsýslulaga. Taldi umboðsmaður að þar sem Persónuvernd hefði ekki kannað á hvaða lagagrundvelli landlæknir fór með ábendingar félagasamtakanna, og þar með hvort málið hefði verið lagt í þann farveg að til greina hafi komið að ljúka því með stjórnvaldsákvörðun, hafi framangreindur úrskurður Persónuverndar í máli nr. 2021112113 ekki verið reistur á fullnægjandi grundvelli, með tilliti til rannsóknarskyldu stofnunarinnar samkvæmt 10. gr. stjórnsýslulaga nr. 37/1993. Beindi umboðsmaður þeim tilmælum til Persónuverndar að stofnunin tæki mál kvartanda til meðferðar að nýju, kæmi fram beiðni þess efnis frá honum, og leysti þá úr málinu í samræmi við þau sjónarmið sem rakin voru í álitinu.

Með bréfi, dags. 12. september 2023, fór lögmaður kvartanda fram á endurupptöku málsins fyrir hönd kvartanda. Persónuvernd bauð embætti landlæknis að tjá sig um beiðni kvartanda um endurupptöku málsins með bréfi, dags. 1. nóvember s.á., og bárust svör landlæknis með bréfi, dags. 28. s.m. Kvartanda var svo veitt færi á að gera athugasemdir við svör embættis landlæknis með bréfi til lögmanns kvartanda, dags. 29. s.m., og bárust svör kvartanda með bréfi, dags. 18. desember s.á. Með bréfi, dags. 11. janúar 2024, óskaði Persónuvernd eftir frekari upplýsingum og gögnum frá embætti landlæknis, m.a. um hvort samskipti embættisins við Landspítalann, varðandi leyfi kvartanda frá störfum, væru vistuð í málaskrá embættisins. Loks óskaði Persónuvernd, með tölvupósti 23. febrúar s.á, eftir upplýsingum frá embætti landlæknis um hvort bréf embættisins til [X], dags. [....], þar sem persónuupplýsingar um kvartanda komu fram hefði verið sent í tölvupósti eða með bréfpósti til félagasamtakanna.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í úrskurði þessum.

2.

Sjónarmið kvartanda

Kvartandi byggir á því að miðlun embættis landlæknis á persónuupplýsingum um hann til [X] hafi verið ólögmæt þar sem engin heimild hafi staðið fyrir vinnslunni samkvæmt 9. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Kvartandi telur að ummæli embættis landlæknis um ótímabundið leyfi hans hafi verið sett fram líkt og um væri að ræða tiltekin viðurlög vegna þess sem fram kom í ábendingum [X] til embættisins. Þá vísar kvartandi til þess að [X] hafi ekki átt aðild að því máli sem embætti landlæknis tók til meðferðar í kjölfar þeirra ábendinga enda hafi samtökin ekki haft neina lögvarða hagsmuni af úrlausn þess.

Einnig telur kvartandi að umræddar persónuupplýsingar hafi verið trúnaðarupplýsingar, en í því sambandi vísar hann til 1. mgr. 7. gr. upplýsingalaga nr. 140/2012, þess efnis að réttur almennings til aðgangs að gögnum samkvæmt þeim lögum nái ekki til mála um umsóknir um starf, framgang í starfi og starfssambandið að öðru leyti. Loks tekur kvartandi fram að hugsanlegt sé að þær upplýsingar sem kvörtun hans lýtur að teljist upplýsingar sem falli undir 9. gr. upplýsingalaga. Í því sambandi vísar kvartandi jafnframt til 17. gr. sömu laga sem gerir ráð fyrir að þeim aðila sem upplýsingarnar varða sé veitt færi á að taka afstöðu til þess hvort veita eigi upplýsingarnar eða ekki, en embætti landlæknis hafi ekki veitt honum færi á að taka afstöðu til upplýsinganna áður en þær voru sendar [X] í óþökk hans.

3.

Sjónarmið embættis landlæknis

Í svarbréfi embættis landlæknis, dags. 19. september 2022, er á því byggt að umrædd vinnsla hafi grundvallast á 3. og 5. tölul. 9. gr. laga nr. 90/2018, þar sem embættinu beri lagaskylda til að hafa eftirlit með heilbrigðisþjónustu og fari með opinbert vald í þeim tilgangi, sbr. II. kafla laga nr. 41/2007 um landlækni og lýðheilsu. Tekið er fram að brugðist hafi verið við ábendingum [X] með því að hefja eftirlitsmál og samskipti embættisins við [X] hafi byggst á reglum stjórnsýslulaga um upplýsingarétt og leiðbeiningarskyldu, en umrætt bréf hafi verið sent í kjölfar ítrekaðra fyrirspurna um stöðu málsins. Samtökin hafi komið fram í umboði félagsmanna sinna, þ.e. notenda [....] og starfsmanna á [sviði] Landspítala sem hefðu hagsmuna að gæta af úrlausn málsins, en jafnframt hafi embættið upplýst samtökin um að einstakir félagsmenn þeirra gætu borið fram kvörtun. Þá telur embættið að vinnslan hafi samrýmst meginreglum persónuverndarlaga þar sem vinnslan hafi verið lögmæt og gætt hafi verið sanngirnis og meðalhófs enda hafi takmarkaðar upplýsingar um kvartanda verið veittar. Loks byggir embætti landlæknis á því að óhjákvæmilegt hafi verið að vinna persónuupplýsingar um kvartanda við meðferð eftirlitsmálsins, þar sem ábendingar [X] hafi einkum beinst að stjórnun þeirrar deildar sem kvartandi stýrði.

Í svarbréfi embættis landlæknis, dags. 28. nóvember 2023, í tilefni af tilkynningu Persónuverndar um beiðni kvartanda um endurupptöku kvörtunarmáls 2021112113, er vísað til þess að ekki hafi verið litið á ábendingar [X] sem formlega kvörtun, samkvæmt 2. mgr. 12. gr. laga nr. 41/2007, heldur hafi málið verið rekið á grundvelli 7. gr. laganna um lögbundna skyldu embættisins til að hafa eftirlit með heilbrigðisþjónustu. Ekki hafi því verið um að ræða mál sem lýkur með stjórnvaldsákvörðun, þar sem teknar eru ákvarðanir um réttindi og skyldur einstaklings. Hins vegar hafi embættið talið rétt að upplýsa samtökin um stöðu eftirlitsmálsins, sérstaklega í ljósi þess að samtökin hafi komið fram fyrir hönd félagsmanna sinna sem erfitt geti átt með að leggja sjálfir fram kvörtun. Einnig er byggt á því að undir rekstri málsins hafi komið fram upplýsingar frá Landspítalanum um að kvartandi væri kominn í leyfi frá starfi sínu, en slík samskipti opinberra aðila kunni að vera aðgengileg á grundvelli upplýsingalaga nr. 140/2012. Þá vísar embætti landlæknis loks til hinnar óskráðu meginreglu stjórnsýsluréttar sem nefnd hefur verið svarreglan en samkvæmt henni á hver sá sem ber upp skriflegt erindi við stjórnvald rétt á að fá skriflegt svar.

4.

Athugasemdir kvartanda við svör landlæknis

Í athugasemdum kvartanda við svarbréf embættis landslæknis, í tilefni af beiðni hans um endurupptöku kvörtunarmálsins, vísar kvartandi til þess að miðlun persónuupplýsinga hans til [X] hafi ekki staðið í neinum tengslum við eftirlitshlutverk landlæknis samkvæmt 7. gr. laga nr. 41/2007. Telur kvartandi að embætti landlæknis hafi vel getað sinnt eftirlitshlutverki sínu samkvæmt framangreindu ákvæði laganna án þess að miðla persónuupplýsingum um hann. Þá vísar kvartandi jafnframt til þess að af sömu ástæðu geti hin óskráða svarregla stjórnsýsluréttar ekki átt við, enda hefði landlæknir með góðu móti getað svarað erindi [X] án þess að veita upplýsingar um ótímabundið leyfi hans frá störfum.

II.

Forsendur og niðurstaða

1.

Um endurupptöku

Í endurupptökubeiðni kvartanda, dags. 12. september 2023, er þess krafist að mál kvartanda verði tekið til meðferðar að nýju og úrskurður, dags. 22. desember 2022, verði endurupptekinn.

Samkvæmt 24. gr. stjórnsýslulaga, nr. 37/1993, á aðili máls rétt á því að mál sé tekið til meðferðar á ný að vissum skilyrðum uppfylltum, m.a. ef ákvörðun hefur byggst á ófullnægjandi eða röngum upplýsingum um málsatvik, sbr. a-lið lagaákvæðisins. Í athugasemdum við 24. gr. í frumvarpi til laganna kemur fram að stjórnvald hafi nokkuð víðtæka heimild til þess að endurupptaka mál komi fram beiðni um slíkt frá öllum aðilum að hlutaðeigandi máli. Af ólögfestum reglum stjórnsýsluréttarins má ráða að stjórnvald hafi heimild til endurupptöku máls ef niðurstaða hefur verið byggð á rangri lagatúlkun.

Líkt og að framan greinir kvað Persónuvernd upp úrskurð 22. desember 2022 þar sem á því var byggt að embætti landlæknis hefði hafið eftirlitsmál á grundvelli II. kafla laga nr. 41/2007 og að embættið hefði játað [X] aðild að því máli. Var í því sambandi einkum litið til þess að upplýsingaréttur samkvæmt 15. gr. stjórnsýslulaga nr. 37/1993, sem embættið vísaði til í svörum sínum, er bundinn við aðila stjórnsýslumáls, svo og þess mats embættisins að [X] hefði hagsmuni af úrlausn málsins. Í niðurstöðu Persónuverndar var því lagt til grundvallar að með miðlun upplýsinganna hefði verið leitast við að virða lögbundinn upplýsingarétt aðila máls samkvæmt stjórnsýslulögum.

Lögbundið hlutverk Persónuverndar er að annast eftirlit með framkvæmd laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerðar (ESB) 2016/679 og getur stofnunin þurft að líta til annarra laga og réttarreglna við mat á lögmæti vinnslu persónuupplýsinga, þ. á m. laga nr. 37/1993 og óskráðra meginreglna stjórnsýsluréttar um aðild. Getur Persónuvernd því þurft að taka afstöðu til aðildar að stjórnsýslumálum í þágu þess að leggja mat á það hvort vinnsla persónuupplýsinga samrýmist persónuverndarlöggjöfinni og rækja þannig lögbundið hlutverk sitt. Hins vegar fellur það utan valdsviðs Persónuverndar að fjalla um málsmeðferð annarra stjórnvalda að öðru leyti. Í ljósi þessa gætir Persónuvernd varfærni við endurskoðun ákvarðana um aðild að stjórnsýslumálum. Tók rannsókn Persónuverndar í málinu, sbr. 10. gr. stjórnsýslulaga nr. 37/1993, mið af þessu og þótti ekki ástæða til að kalla eftir frekari upplýsingum frá embætti landlæknis um aðild [X] umfram þau svör sem embættið hafði þegar veitt.

Í því máli sem hér um ræðir er hins vegar ljóst að Persónuvernd lagði annan skilning í valdsvið sitt samkvæmt lögum nr. 90/2018, til endurskoðunar á ákvörðunum annarra stjórnvalda varðandi aðild að stjórnsýslumálum og málsmeðferð þeirra að öðru leyti, en umboðsmaður Alþingis lagði til grundvallar í framangreindu áliti sínu, dags. 28. ágúst 2023 í máli nr. 12094/2023. Með vísan til alls framangreinds og álits umboðsmanns Alþingis er fallist á framkomna endurupptökubeiðni lögmanns kvartanda og eftirfarandi úrskurður kveðinn upp.

2.

Lögmæti vinnslu

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Bréf embættis landlæknis til félagasamtakanna [X] var sent rafrænt, það er með tölvupósti, og hafði meðal annars að geyma persónuupplýsingar um kvartanda varðandi ótímabundið leyfi hans frá störfum og um aðstæður er tengdust því að kvartandi fór í leyfi. Telst miðlun upplýsinganna því vinnsla persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Embætti landlæknis telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Eins og hér háttar til kemur þar helst til skoðunar 3. tölul. lagaákvæðisins, sbr. c-lið reglugerðarákvæðisins, þar sem kveðið er á um að vinna megi með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Við mat á lögmæti vinnslu samkvæmt þessari vinnsluheimild þarf að líta til ákvæða í sérlögum, sem við eiga hverju sinni.

Öll vinnsla persónuupplýsinga þarf enn fremur að samrýmast meginreglum um persónuvernd, sem mælt er fyrir um í 1. mgr. 8. gr. laganna og 1. mgr. 5. gr. reglugerðarinnar, og skal ábyrgðaraðili geta sýnt fram á að vinnslan uppfylli ávallt þessar meginreglur, sbr. 2. mgr. ákvæðanna. Í meginreglunum felst að persónuupplýsingar skulu unnar með lögmætum hætti, þ.e. að vinnslan skal byggjast á viðeigandi vinnsluheimild, og skal ábyrgðaraðili geta sýnt fram á það. Af þessu leiðir að vinnsluheimild skal liggja fyrir áður en vinnsla hefst.

Við rannsókn máls nr. 2021112113 hjá Persónuvernd byggði embætti landlæknis á því að miðlun upplýsinga um kvartanda til [X] hefði grundvallast á reglum stjórnsýslulaga um upplýsingarétt og leiðbeiningaskyldu og þannig var afhending gagnanna rökstudd í svari til Persónuverndar.

Í svarbréfi embættis landlæknis, dags. 28. nóvember 2023, segir að embættið hafi farið með málið, sem var stofnað í kjölfar ábendinga [X], samkvæmt 7. gr. laga nr. 41/2007, þ.e. sem hluta af lögbundinni skyldu embættisins til að hafa eftirlit með heilbrigðisþjónustu. Ekki hafi komið til álita að ljúka málinu með stjórnvaldsákvörðun og því verði [X] ekki talið hafa verið aðili að stjórnsýslumáli. Er því ljóst að stjórnsýslulög nr. 37/1993 geta ekki átt við um rétt [X] til upplýsinga, eins og hér háttar til.

Með hliðsjón af fyrrgreindu áliti umboðsmanns Alþingis telur embætti landlæknis nú að því hafi verið rétt að miðla umræddum upplýsingum um kvartanda til [X] í ljósi þess að samtökin hafi komið fram fyrir hönd félagsmanna sinna sem geta átt erfitt með að leggja sjálfir fram kvörtun, upplýsingarnar hafi byggst á samskiptum við Landspítalann, sem kunni að vera aðgengileg á grundvelli upplýsingalaga nr. 140/2012, og að samtökin hafi átt rétt á skriflegu svari á grundvelli óskráðrar svarreglu stjórnsýsluréttarins.

Sem fyrr segir áttu samtökin [X] ekki aðild að stjórnsýslumáli hjá embætti landlæknis og er því ekki hægt að byggja á því að þau hafi átt rétt á upplýsingum á grundvelli stjórnsýslulaga með vísan til þess að þau hafi komið fram fyrir hönd félagsmanna sinna. Enn fremur felur svarregla stjórnsýsluréttarins ekki í sér hvaða upplýsingum skuli miðlað og telst því ekki fela í sér lagaskyldu sem fullnægt getur skilyrðum 3. tölul. 9. gr. laga nr. 90/2018 og c-liðar 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

Kemur þá næst til skoðunar hvort ákvæði upplýsingalaga nr. 140/2012 eiga við, en samkvæmt 1. mgr. 2. gr. þeirra laga taka þau til allrar starfsemi stjórnvalda og því ljóst að þau eiga við um starfsemi embættis landlæknis. Samkvæmt 5. gr. laganna er stjórnvaldi skylt að veita almenningi aðgang að fyrirliggjandi gögnum sem varða tiltekið mál, með þeim takmörkunum sem greinir í 6.–10. gr., sé þess óskað. Sama gildir þegar óskað er aðgangs að tilteknum fyrirliggjandi gögnum. Í athugasemdum við 5. gr. í frumvarpi til laganna segir að þýðing þess að upplýsingarétturinn taki einvörðungu til „fyrirliggjandi“ gagna felist í því að hafi sá sem beiðni um upplýsingar er beint til ekki fengið viðkomandi gagn afhent við meðferð máls en einvörðungu haft aðgang að upplýsingum úr því í gagnagrunni sem ekki tilheyrir honum sjálfum, þá telst það að jafnaði ekki fyrirliggjandi í þessu sambandi. Réttur til aðgangs að gögnum hjá viðkomandi stjórnvaldi eða lögaðila myndi því ekki ná til þeirra upplýsinga sem fyrir liggja í gagnagrunni þriðja aðila.

Fyrir liggur að stjórnendur Landspítala upplýstu um leyfi kvartanda frá störfum á fundi með embætti landlæknis vegna málsins [dags.]. Formleg fundargerð frá þeim fundi liggur ekki fyrir í málaskrá embættisins. Upplýsingarnar sem embætti landlæknis veitti [X] voru að öðru leyti ekki hluti af málsgögnum embættisins vegna eftirlitsmálsins eða fyrirliggjandi í gagnagrunni embættisins.

Með vísan til framangreinds er það mat Persónuverndar að ekki hafi hvílt lagaskylda á embætti landlæknis samkvæmt upplýsingalögum nr. 140/2012 til að miðla persónuupplýsingum um kvartanda til [X].

Þá verður ekki séð að miðlun upplýsinganna hafi getað byggst á lagaskyldu embættis landlæknis að öðru leyti eða öðrum heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Er þá einnig til þess að líta að heimild til vinnslu skal almennt liggja fyrir í síðasta lagi þegar vinnsla hefst, sbr. 1. tölul. 1. mgr. og 2. mgr. 8. gr. laganna og a-liður 1. mgr. og 2. mgr. 5. gr. reglugerðarinnar.

Ú r s k u r ð a r o r ð:

Miðlun embættis landlæknis á persónuupplýsingum um [A], með bréfi til félagasamtakanna [X], sem sent var með tölvupósti, samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 29. febrúar 2024

Valborg Steingrímsdóttir                                   Edda Þuríður Hauksdóttir