Vinnsla persónuupplýsinga af hálfu Landspítalans

Mál nr. 2020112920

8.9.2022

Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu Landspítalans í máli nr. 2020112920:

I.
Málsmeðferð
1.
Tildrög máls

Hinn 23. nóvember 2020 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnubrögðum Landspítalans við vinnslu persónuupplýsinga hennar. Nánar tiltekið laut kvörtunin að því að gerð hefði verið erfðarannsókn á blóðsýni kvartanda sem til var í lífsýnasafni Landspítalans, í kjölfar erfðarannsóknar á barni hennar, án hennar samþykkis, að niðurstöður rannsóknarinnar hefðu verið tilkynntar þriðja aðila án samþykkis kvartanda og að sömu niðurstöður hefðu verið nýttar áfram eftir að kvartandi hafði gert athugasemdir við framkvæmd rannsóknarinnar.

Persónuvernd bauð Landspítalanum að tjá sig um kvörtunina með bréfi, dags. 17. mars 2021, og bárust svör þann 21. apríl s.á. Með bréfi, dags. 6. maí 2021, óskaði Persónuvernd eftir frekari skýringum frá Landspítalanum og barst svar með bréfi, dags. 25. maí 2021. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör Landspítalans með bréfum, dags. 28. júní og 5. júlí 2021, og bárust þær með tölvupósti 21. júlí 2021. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð málsins hefur tafist vegna mikilla anna hjá Persónuvernd.

2.
Sjónarmið kvartanda

Kvartað er yfir því í fyrsta lagi að í kjölfar erfðarannsóknar sem gerð var á barni kvartanda hafi Landspítalinn gert erfðarannsókn á blóðsýni kvartanda sem til var í lífsýnasafni. Hafi rannsóknin verið gerð án hennar vitneskju og án þess að aflað hefði verið samþykkis fyrir henni. Kvartandi bendir á að í svörum Landspítalans til Persónuverndar komi fram að tilgangur erfðarannsóknarinnar á kvartanda hafi verið skýr, þ.e. að greina hvort barn hennar væri með sjúkdómsvaldandi erfðabreytingu eða ekki. Telur kvartandi þessa fullyrðingu ekki vera í samræmi við fyrirliggjandi gögn og vísar til þess að í niðurstöðu erfðarannsóknarinnar á barni hennar komi fram að erfðabrigðið sem barn hennar sé með sé flokkað sem meinvaldandi. Því hafi verið ljóst að ekki hafi verið þörf á rannsókn á henni sjálfri til að ákvarða hvort barn hennar væri með sjúkdómsvaldandi erfðabreytingu eða ekki. Í öðru lagi snýr kvörtunin að því að niðurstaða rannsóknarinnar hafi verið tilkynnt eiginmanni kvartanda símleiðis en ekki henni sjálfri. Þá er í þriðja lagi kvartað yfir því að niðurstöður rannsóknarinnar hafi verið notaðar áfram. Í kvörtuninni kemur fram að þegar kvartandi komst að því að eiginmanni hennar hefði verið tilkynnt um niðurstöður rannsóknarinnar hefði hún tilkynnt málið til persónuverndarfulltrúa Landspítalans og óskað eftir því að starfsmaðurinn sem hefði unnið við málið kæmi ekki lengur að því. Eftir það hefði kvartandi farið í viðtal með barn sitt vegna veikinda þess til læknis á erfða- og sameindalæknisfræðideild Landspítalans. Telur kvartandi að viðkomandi lækni hefði átt að vera ljóst að rannsóknin hefði verið framkvæmd án hennar samþykkis og að hún hafi ekki viljað gangast undir rannsóknina. Vísar kvartandi til réttar einstaklings til að fá ekki óumbeðnar erfðaupplýsingar um sig. Í viðtalinu hafi læknirinn hins vegar látið koma fram óbeint en með ótvíræðum hætti hver niðurstaða úr rannsókninni hefði verið.

Þá bendir kvartandi á að hún hafi óskað eftir leiðréttingu á færslu í sjúkraskrá sinni en spítalinn hafi hafnað þeirri beiðni í fyrstu. Kvartandi hafi þá lagt fram frekari gögn máli sínu til stuðnings og í kjölfarið hafi nefnd um aðgang að sjúkraskrárupplýsingum fallist á að gera umrædda leiðréttingu.

3.
Sjónarmið Landspítalans

Af hálfu Landspítalans er bent á að barn kvartanda hafi greinst með erfðabreytileika við rannsókn sem beðið hafi verið um af barnalækni. Í rannsóknarsvari hafi komið fram að mælt væri með prófun á foreldrum og í kjölfar rannsóknarinnar hafi barninu verið vísað til erfða- og sameindalæknisfræðideildar til að staðfesta greininguna. Byggt er á því að rannsóknin á blóðsýni kvartanda hafi verið nauðsynleg til þess að skilgreina hvort erfðabreytileiki sem barnið sjálft greindist með væri sjúkdómsvaldandi eða ekki, en það gæti skipt sköpum varðandi greiningu og meðferð barnsins í framhaldinu. Þá sé bent á að í ákveðnum tilvikum þyki rétt að tilkynna barnavernd um mál þar sem foreldrar komi í veg fyrir eðlilega uppvinnslu á erfðasjúkdómi með því að neita að prófa barn eða hafna því að gangast sjálfir undir greiningu á erfðabreytileika vegna greiningar barns þar sem slík háttsemi geti stefnt barninu í hættu

Vísað er til þess að rannsóknin hafi verði heimil á grundvelli 4. tölul. 1. mgr. 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sem heimilar vinnslu persónuupplýsinga sé hún nauðsynleg til að vernda brýna hagsmuni annars einstaklings, þ.e. barnsins í þessu tilviki. Jafnframt er vísað til þess að vinnslan hafi verið heimil til þess að greina sjúkdóma, sbr. 8. tölul. 11. gr. sömu laga. Þá hafi verið gætt að meginreglum 8. gr. laganna en vinnslan hafi verið lögmæt, tilgangur hennar skýr og ekki unnið frekar með upplýsingar kvartanda. Þá hafi verið gætt að viðeigandi öryggi upplýsinganna.

Í svari Landspítalans segir að í nótu frá starfsmanni erfðaráðgjafar hafi komið fram að foreldrarannsókn hafi verið ráðlögð í samtali við föður og haft hafi verið samband við foreldra varðandi erfðarannsókn. Þá hafi verið útbúin beiðni fyrir föður en ekki sé skýrt skráð í sjúkraskrá hvort rætt hafi verið við báða foreldra og ekki skráð hvort leitað hafi verið samþykkis móður fyrir rannsókn. Móðir barnsins hafi átt blóðsýni í lífsýnasafni og rannsókn verið gerð á því til að leita að þessum tiltekna erfðabreytileika. Faðir hafi fengið niðurstöðu úr sínu prófi og þá hafi einnig verið skráð að beðið væri niðurstöðu úr prófi móður og að þau óskuðu eftir að hitta erfðalækni þegar niðurstaðan lægi fyrir. Viðurkennt er af hálfu Landspítalans að láðst hafi að upplýsa kvartanda um vinnsluna og óska eftir afstöðu hennar. Kvartandi hafi því ekki fengið upplýsingar um eðli og tilgang vinnslunnar áður en hún fór fram. Ekki hafi verið rætt við báða foreldra til að útskýra hvert ferlið væri og mikilvægi þess að báðir foreldrar yrðu skoðaðir með tilliti til umrædds breytileika. Bendir Landspítalinn á að talið hafi verið að samþykki væri fyrir að greina alla fjölskylduna eftir samtal við föður. Harmar Landspítalinn að miðlun upplýsinga hafi ekki verið nægilega góð gagnvart báðum foreldrum í tengslum við erfðaráðgjöf á erfða- og sameindalæknisfræðideild spítalans.

Þá byggir Landspítalinn á því að sjúklingar eigi rétt á fullkomnustu heilbrigðisþjónustu sem völ sé á á hverjum tíma, sbr. 1. mgr. 3. gr. laga nr. 74/1997 um réttindi sjúklinga og 1. mgr. laga nr. 40/2007 um heilbrigðisþjónustu. Umræddar rannsóknir hafi verið nauðsynlegar til að ljúka greiningu barnsins og óhjákvæmilegt sé að ræða niðurstöður prófa sem tengist barni við báða foreldra. Upplýsingar varðandi erfðabreytileika móður hafi í þessu tilviki skipt sköpum varðandi greiningu og meðferð barnsins. Því hafi verið nauðsynlegt að skrá þær í sjúkraskrá barnsins. Af þeim sökum hafi Landspítalinn ekki talið sig hafa heimild til þess að eyða umræddum upplýsingum úr sjúkraskrá kvartanda, sbr. 2. mgr. 7. gr. laga nr. 55/2009 um sjúkraskrár. Landspítalanum hafi borist beiðni frá kvartanda um að tilteknar upplýsingar í sjúkraskrá hennar yrðu leiðréttar og fallist hafi verið á að gera umbeðna leiðréttingu.

Að lokum kemur fram í svörum Landspítalans að unnið sé að endurskoðun á verklagi á deildinni og muni nýtt verklag tryggja að fyrir liggi nauðsynlegt samþykki allra aðila, þannig að tryggt verði að sambærilegur atburður eigi sér ekki stað aftur.

II.
Forsendur og niðurstaða
1.
Lagaumhverfi

Kvörtun sú sem hér er til úrlausnar lýtur í fyrsta lagi að því að ekki hafi verið aflað samþykkis hjá kvartanda áður en Landspítalinn framkvæmdi erfðarannsókn á blóðsýni hennar í lífsýnasafni og í öðru lagi að því að niðurstöðum þeirrar rannsóknar hafi verið miðlað til eiginmanns hennar. Í þriðja lagi er kvartað yfir því að rannsóknarniðurstöður sem fengnar hafi verið með vafasömum hætti hafi verið notaðar áfram. Tilgreind vinnsla persónuupplýsinga fellur undir valdsvið Persónuverndar.^[1] Landspítalinn telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar hafi hinn skráði gefið samþykki sitt fyrir vinnslu á persónuupplýsingum um sig, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, eða að vinnslan sé nauðsynleg til að vernda brýna hagsmuni hins skráða eða annars einstaklings, sbr. 4. tölul. lagaákvæðisins og d-lið reglugerðarákvæðisins. Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Má þar nefna að vinnsla viðkvæmra persónuupplýsinga er heimil fari hún fram á grundvelli afdráttarlauss samþykkis hins skráða fyrir vinnslunni í þágu eins eða fleiri tiltekinna markmiða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins. Samkvæmt d-lið 3. tölul. 3. gr. laganna eru erfðafræðilegar upplýsingar viðkvæmar, en af kvörtun verður ráðið að unnið hafi verið með blóðsýni kvartanda.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul. lagaákvæðisins); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

2.
Lögmæti vinnslu

Hvað varðar þann þátt kvörtunarinnar er snýr að vinnslu persónuupplýsinga kvartanda í tengslum við rannsókn ábyrgðaraðila á blóðsýni hennar sem til var í lífsýnasafni byggir Landspítalinn á því að vinnslan hafi verið nauðsynleg til að vernda brýna hagsmuni annars einstaklings, þ.e. barns kvartanda, sbr. 4. tölul. 9. gr. laga nr. 90/2018. Í greinargerð með frumvarpi því er varð að lögum nr. 90/2018 segir um framangreint ákvæði að vinnsla persónuupplýsinga á grundvelli brýnna hagsmuna annars einstaklings ætti að meginreglu til aðeins að fara fram þegar greinilegt er að hún geti ekki byggt á öðrum lagagrundvelli. Að mati Persónuverndar verður talið að í því tilfelli sem hér um ræðir hefði helst komið til skoðunar heimild til vinnslu á grundvelli samþykkis hins skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins. Af gögnum málsins verður ráðið að ekki hafi verið reynt að útvega samþykki kvartanda fyrir rannsókn á blóðsýni hennar. Þvert á móti er viðurkennt af hálfu spítalans að láðst hafi að upplýsa kvartanda um vinnsluna og óska afstöðu hennar. Ekki nægir að Landspítalinn hafi talið að samþykki væri fyrir því að greina alla fjölskylduna eftir samtal við eiginmann kvartanda. Þá verður ekki talið að Landspítalinn hafi í gögnum málsins sýnt nægilega fram á að svo brýna nauðsyn hafi borið til að framkvæma umrædda rannsókn að heimilt hafi verið fyrir ábyrgðaraðila að afla ekki samþykkis kvartanda fyrir henni áður.

Með vísan til framangreinds er það niðurstaða Persónuverndar að engin heimild hafi staðið til vinnslunnar samkvæmt 9. gr. laga nr. 90/2018, sbr. einnig 6. gr. reglugerðar (ESB) 2016/679. Þegar af þeirri ástæðu fór vinnslan í bága við lögin.

Í ljósi þess að vinnsla persónuupplýsinga kvartanda í tengslum við umrædda rannsókn samrýmdist ekki lögum verður ekki séð að eftirfarandi vinnsla þeirra hjá spítalanum geti talist lögmæt.

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla Landspítalans á persónuupplýsingum um kvartanda í tengslum við rannsókn á blóðsýni hennar, sem og miðlun upplýsinga um niðurstöður til eiginmanns kvartanda og áframhaldandi notkun upplýsinganna, hafi ekki samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Ú r s k u r ð a r o r ð:

Vinnsla Landspítalans á persónuupplýsingum [A] samrýmdist ekki ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 8. september 2022

Ólafur Garðarsson

formaður

Björn Geirsson                    Sindri M. Stephensen

Þorvarður Kári Ólafsson

 

 

---

[1] Persónuvernd annast eftirlit með framkvæmd laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, reglugerðar (ESB) 2016/679 (almennu persónuverndarreglugerðarinnar) og laga nr. 75/2019, um vinnslu persónuupplýsinga í löggæslutilgangi.