Vinnsla persónuupplýsinga hjá heilbrigðisstofnun

Mál nr. 2021122445

15.6.2023

Úrskurður

um kvörtun yfir uppflettingu heilbrigðisstarfsmanns [heilbrigðisstofnunar] í sjúkraskrá kvartanda í máli nr. 2021122445:

I.
Málsmeðferð

Hinn 17. desember 2021 barst Persónuvernd kvörtun frá [B] lögmanni, fyrir hönd [A] (hér eftir kvartandi), yfir uppflettingu heilbrigðisstarfsmanns [heilbrigðisstofnunar] í sjúkraskrá kvartanda án heimildar.

Persónuvernd bauð [heilbrigðisstofnuninni] að tjá sig um kvörtunina með bréfi, dags. 28. september 2022, og bárust svör frá lögmanni [heilbrigðisstofnunarinnar]s með bréfi, dags. 7. nóvember s.á. Þá var kvartanda veittur kostur á að koma á framfæri athugasemdum við svör lögmanns [heilbrigðisstofnunarinnar] með bréfi, dags. 8. s.m., og bárust þær með með bréfi lögmanns kvartanda, dags. 21. s.m. Þá var lögmanni [heilbrigðisstofnunarinnar] veittur kostur á að koma á framfæri athugasemdum við svör lögmanns kvartanda með bréfi, dags. 2. desember s.á., og bárust þær með bréfi lögmanns [heilbrigðisstofnunarinnar], dags. 6. janúar 2023. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

___________________

Kvartandi telur að tiltekinn heilbrigðisstarfsmaður [heilbrigðisstofnunar] hafi ekki haft heimild til þess að fletta upp í sjúkraskrá hennar þann [dags.] 2019 þar sem hann hafi á þeim tíma ekki komið að meðferð hennar sem sjúklings. Hins vegar liggi fyrir að á þeim tíma sem uppflettingar heilbrigðisstarfsmannsins í sjúkraskrá hennar áttu sér stað hafi verið til meðferðar hjá [siðanefnd] tvö mál er vörðuðu samstarfsmenn hans á [heilbrigðisstofnuninni]. Vísar kvartandi til þess að heilbrigðisstarfsmaðurinn hafi gefið út yfirlýsingu, sem hafi fylgt greinargerð annars samstarfsmanns hans til siðanefndarinnar, stuttu eftir þær uppflettingar sem kvörtunin lýtur að áttu sér stað, eða þann [dags.] 2019. Kvartandi telur því að leggja beri til grundvallar að heilbrigðisstarfsmaðurinn hafi skoðað sjúkraskrá hennar vegna ágreiningsmáls sem þriðji aðili hafi átt aðild að og hafi þannig skoðað sjúkraskrá hennar af annarri ástæðu en vegna læknismeðferðar, að hennar beiðni eða vegna ágreiningsmáls sem hann átti persónulega aðild að. Með vísan til framangreinds byggir kvartandi á því að uppflettingar heilbrigðisstarfsmannsins í sjúkraskrá hennar, þann [dags.] 2019, hafi ekki verið í samræmi við ákvæði 13. gr. laga nr. 55/2009, um sjúkraskrár. Vinnsla persónuupplýsinga af hálfu [heilbrigðisstofnunarinnar] hafi því ekki verið í samræmi við ákvæði laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í svarbréfi lögmanns [heilbrigðisstofnunarinnar] kemur fram að kvartandi hafi gengist undir aðgerð á [heilbrigðisstofnuninni] [dags.] 2018 og hafi umræddur heilbrigðisstarfsmaður framkvæmt aðgerðina. Kvartandi hafi talið að aðgerðin hafi misheppnast og að ranglega hafi verið staðið að henni. Það hafi verið tilefni fjölmargra kvartana og kærumála af hálfu kvartanda á hendur [heilbrigðisstofnuninni], m.a. til embættis landlæknis. Vísað er til þess að kvartandi hafi með kvörtun til embættis landlæknis, [dags.] 2018, kvartað yfir ýmsum atriðum við framkvæmd framangreindrar aðgerðar, þ. á m. skorti á upplýsingagjöf. Máli vegna þeirrar kvörtunar hafi lokið með áliti embættis landlæknis þann [dags.] 2020. Þá hafi kvartandi með kvörtun til embættis landlæknis, [dags.] 2019, kvartað yfir aðgerðinni sjálfri en því máli hafi lokið með áliti embættis landlæknis þann [dags.] 2022. Loks hafi kvartandi með kvörtun til embættis landlæknis, [dags.] 2019, kvartað yfir meðferð starfsmanna [heilbrigðisstofnunarinnar] á viðkvæmum persónuupplýsingum og er mál vegna þeirrar kvörtunar enn til meðferðar hjá embættinu.

Lögmaður [heilbrigðisstofnunarinnar] vísar til þess að vegna framangreindra þriggja kvartana á hendur [heilbrigðisstofnuninni] til embættis landlæknis hafi starfsmenn og stjórnendur [heilbrigðisstofnunarinnar] þurft að leita til umrædds heilbrigðisstarfsmanns varðandi ýmsar staðreyndir sem varði sjúkrasögu kvartanda. Þá hafi heilbrigðisstarfsmaðurinn sjálfur þurft að skrifa greinargerðir og svara fyrirspurnum frá embætti landlæknis en meðfylgjandi svarbréfi lögmanns [heilbrigðisstofnunarinnar] fylgdi afrit greinargerða heilbrigðisstarfsmannsins til embættis landslæknis, [dags.] og [dags.] 2019. Fullyrt er af hálfu heilbrigðisstarfsmannsins að uppflettingar hans í sjúkraskrá kvartanda hafi allar tengst þeirri læknismeðferð sem hann hafi veitt kvartanda eða framangreindum kvörtunum kvartanda á hendur [heilbrigðisstofnuninni] til embætti landlæknis.

Byggir [heilbrigðisstofnunin] því á að umræddar uppflettingar hafi verið heimilar samkvæmt 13. og 16. gr. laga um sjúkraskrár, nr. 55/2009, og að heilbrigðisstarfsmaðurinn og [heilbrigðisstofnunin] hafi samhliða verið að sinna lagaskyldu sinni, sbr. 1. mgr. 7. gr. og 12. gr. laga nr. 41/2007, um landlækni og lýðheilsu. Útilokað sé hins vegar fyrir umræddan heilbrigðisstarfsmann að muna hvert hafi verið tilefni hverrar einustu uppflettingar en hann hafi flett upp í sjúkraskrá kvartanda í 168 skipti á tímabilinu frá [dags.] 2018 til [dags.] 2021. Meðfylgjandi svarbréfi lögmanns [heilbrigðisstofnunarinnar] fylgdi yfirlit yfir uppflettingar heilbrigðisstarfsmannsins í sjúkraskrá kvartanda. Þá er því hafnað af hálfu umrædds heilbrigðisstarfsmanns að uppflettingar hans í sjúkraskrá kvartanda hafi tengst yfirlýsingu hans vegna kæru kvartanda til [siðanefndar] á hendur samstarfsmönnum hans. Þá yfirlýsingu hafi hann einungis skrifað til staðfestingar því mati sínu að engar siðareglur hafi verið brotnar í tengslum við mál kvartanda. Við samningu bréfsins hafi því ekki verið þörf á að fletta upp í sjúkraskrá kvartanda enda hafi yfirlýsingin aðeins lotið að samskiptum heilbrigðisstarfsmanna [heilbrigðisstofnunarinnar] innbyrðis.

Í svarbréfi lögmanns kvartanda, dags. 21. nóvember 2022, kemur m.a. fram að það sé mat kvartanda að [heilbrigðisstofnunin] hafi ekki sýnt fram á að um nauðsynlega skoðun á sjúkraskrá hennar hafi verið að ræða í tengslum við mál hjá landlækni. Á þeim tímapunkti sem uppflettingarnar hafi átt sér stað hafi engin greinargerðarskil verið í gangi auk þess sem sumar færslur beri með sér að uppfletting hafi ekki verið í tengslum við kvörtunarmál sem til meðferðar voru hjá landlækni, t.d. færslur sem merktar eru sem skoðun á því hvort kvartandi væri í heimahjúkrun. Í svarbréfi lögmanns [heilbrigðisstofnunarinnar], dags. 6. janúar 2023, kemur fram að leitað hafi verið skýringa hjá Origo, umsjónaraðila sjúkraskrárkerfisins Sögu sem heldur utan um rafræna sjúkraskrá hér á landi, á því hvað einstaka textaskýringar við umræddar uppflettingar heilbrigðisstarfsmannsins þann [dags.] 2019 þýði. Í svari starfsmanns Origo komi fram að færsla merkt skýringunni „Er sjúklingur í heimahjúkrun“ sé ekki sjálfstæð uppfletting heldur athugi kerfið það sjálfkrafa með fyrirspurn í miðlægan gagnagrunn þegar kennitölu einstaklings er flett upp.

II.
Niðurstaða
1.
Lögmæti vinnslu

Mál þetta lýtur að tilteknum uppflettingum heilbrigðisstarfsmanns [heilbrigðisstofnunar] í sjúkraskrá kvartanda. Varðar það því vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.[Heilbrigðisstofnunin] telst vera ábyrgðaraðili að umræddri vinnslu samkvæmt lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins, eða nauðsynlegt vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra, einkum þegar hinn skráði er barn, sbr. 6. tölul. lagaákvæðisins og f-lið reglugerðarákvæðisins. Að auki verður vinnsla viðkvæmra persónuupplýsinga að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar, þ.e. persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, þ.m.t. heilbrigðisþjónustu sem hann hefur fengið, og upplýsingar um lyfja-, áfengis- og vímuefnanotkun viðkvæmar, en af kvörtun verður ráðið að unnið hafi verið með upplýsingar um heilsufar kvartanda. Eins og hér háttar til kemur þá einkum til skoðunar 6. tölul. 1. mgr. 11. gr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að stofna, hafa uppi eða verja réttarkröfur, sbr. f-lið 2. mgr. 9. gr. reglugerðarinnar, eða 8. tölul. 1. mgr. 11. gr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu, sbr. h-lið 2. mgr. 9. gr. reglugerðarinnar.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Meginreglurnar kveða meðal annars á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins, og að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins.

Við mat á heimild til vinnslu verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í lögum nr. 55/2009 um sjúkraskrár segir í 2. gr. að við færslu og varðveislu sjúkraskráa og aðgang að þeim skuli mannhelgi og sjálfsákvörðunarréttur sjúklinga virtur og þess gætt að sjúkraskrár hafa að geyma viðkvæmar persónuupplýsingar og að upplýsingar í þeim eru trúnaðarmál. Í 1. mgr. 13. gr. laganna segir að heilbrigðisstarfsmenn sem koma að meðferð sjúklings og þurfa á sjúkraskrárupplýsingum hans að halda vegna meðferðarinnar skuli hafa aðgang að sjúkraskrá sjúklingsins með takmörkunum samkvæmt ákvæðum laganna og reglna settra á grundvelli þeirra. Þá segir einnig í 16. gr. laganna að heilbrigðisyfirvöld sem lögum samkvæmt fá til umfjöllunar kvörtun eða kæru sjúklings eða umboðsmanns hans vegna meðferðar eiga rétt til aðgangs að sjúkraskrá viðkomandi með sama hætti og sjúklingur sjálfur.

Í lögum nr. 41/2007 um landlækni og lýðheilsu er að finna ákvæði um eftirlit landlæknis með veitingu heilbrigðisþjónustu og meðferð kvörtunarmála hjá embætti hans, sbr. 7. og 12. gr. þeirra laga.

Í því tilviki sem hér um ræðir er óumdeilt að umræddur heilbrigðisstarfsmaður á [heilbrigðisstofnun] fletti upp í sjúkraskrá kvartanda þann [dags.] 2019. Lýtur ágreiningur aðila að því hvort honum hafi verið heimilt að fletta upp í sjúkraskrá kvartanda þann dag og í hvaða tilgangi uppflettingarnar voru gerðar.

Fyrir liggur að kvartandi gekkst undir aðgerð á [heilbrigðisstofnun] í [dags.] 2018 og annaðist umræddur heilbrigðisstarfsmaður aðgerðina. Með kvörtun til embættis landlæknis, [dags.] 2018, kvartaði kvartandi yfir meintri vanrækslu, meintum mistökum og meintri ótilhlýðilegri framkomu við veitingu heilbrigðisþjónustu í tengslum við framangreinda aðgerð. Kvörtunin var byggð á 2. gr. mgr. 12. gr. laga um landlækni og lýðheilsu, nr. 41/2007, og beint að [heilbrigðisstofnuninni] og var nafn heilbrigðisstarfsmannsins tilgreint sérstaklega í kvörtuninni. Meðferð máls vegna framangreindrar kvörtunar lauk með áliti embættis landlæknis þann [dags.] 2020. Með kvörtun til embættis landlæknis, [dags.] 2019, kvartaði kvartandi yfir meintri vanrækslu og meintum mistökum við veitingu heilbrigðisþjónustu í tengslum við framangreinda aðgerð. Var kvörtuninni beint að [heilbrigðisstofnuninni] en enginn heilbrigðisstarfsmaður tilgreindur sérstaklega. Meðferð máls vegna þeirrar kvörtunar lauk með áliti embættis landlæknis þann [dags.] 2022.

Liggur því fyrir að á þeim tíma sem þær uppflettingar í sjúkraskrá sem kvörtunin lýtur að áttu sér stað voru til meðferðar hjá landlækni tvær kvartanir á hendur [heilbrigðisstofnuninni] sem byggðar voru á 2. mgr. 12. gr. laga nr. 41/2007. Samkvæmt 1. mgr. 7. gr. laganna hefur landlæknir heimild til að krefja heilbrigðisstarfsmenn, heilbrigðisstofnanir og aðra þá sem veita heilbrigðisþjónustu um upplýsingar og gögn sem hann telur nauðsynleg til að sinna eftirlitshlutverki sínu, en auk þess er tekið fram í ákvæðinu að þeim sé skylt að verða við slíkri kröfu. Líta verður svo á að skoðun á sjúkraskrá af hálfu heilbrigðisstarfsmanns, sem komið hefur að meðferð sjúklings, falli innan ramma fyrrgreinds ákvæðis 13. gr. laga nr. 55/2009 þegar skoðunin er nauðsynleg í tengslum við slík mál hjá landlækni og fyrr greinir.

Ekki liggur annað fyrir en að þær uppflettingar í sjúkraskrá sem kvörtunin lýtur að hafi verið liður í að veita landlækni skýringar vegna mála sem rekin voru á grundvelli laga nr. 41/2007, í tilefni af kvörtunum kvartanda til embættisins. Þá liggur ekki fyrir að skoðunin hafi verið gerð í öðrum tilgangi eða verið umfram það sem nauðsynlegt var til að veita þær skýringar, m.a. með hliðsjón af framlögðum skýringum starfsmanns Origo, umsjónaraðila sjúkraskrárkerfisins Sögu. Í því sambandi skal einnig tekið fram að mat á því hvað skoða þurfi í sjúkraskrá sjúklings, í tengslum við kvörtun til landslæknis samkvæmt 2. mgr. 12. gr. laganna, verður að telja að mestu læknisfræðilegt og tæki endurskoðun Persónuverndar ávallt mið af því.

Í tilvikum þar sem sjúklingur kvartar til landlæknis yfir meintri vanrækslu og meintum mistökum við veitingu heilbrigðisþjónustu verður að telja að nauðsynlegt geti verið fyrir viðkomandi heilbrigðisstarfsmann að fletta upp í sjúkraskrá sjúklingsins þegar stjórnendur viðkomandi heilbrigðisstofnunar óska skýringa frá honum um meðferð sjúklingsins. Þá geti einnig verið lögmæt og málefnaleg ástæða fyrir heilbrigðisstarfsmann að fletta upp í sjúkraskrá sjúklings við undirbúning og eftir ritun slíkra skýringa eða greinargerða til þess að ganga úr skugga um að öll nauðsynleg atriði hafi komið fram við meðferð slíkrar kvörtunar.

Með vísan til alls framangreinds er það niðurstaða Persónuverndar að ekki liggi annað fyrir en að umræddar uppflettingar tiltekins heilbrigðisstarfsmanns á [heilbrigðisstofnun] í sjúkraskrá kvartanda hafi verið heimilar með vísan til 3. tölul. 9. gr. og 6. tölul. 11. gr. laga nr. 90/2018, um persónuvernd og persónuupplýsingar. Jafnframt er það niðurstaða Persónuverndar að persónuupplýsingar kvartanda hafi verið unnar með lögmætum, sanngjörnum og gagnsæjum hætti og þær fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi, sbr. a- og b-lið 1. mgr. 8. gr. laganna.

Ú r s k u r ð a r o r ð:

Skoðun heilbrigðisstarfsmanns [heilbrigðisstofnunar] á sjúkraskrá [A], þann 15. ágúst 2019, samrýmdist ákvæðum laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd 15. júní 2023

Helga Sigríður Þórhallsdóttir                  Edda Þuríður Hauksdóttir