Vinnsla persónuupplýsinga vegna mats á umsókn sjúklinga um fyrirbyggjandi meðferð við HIV

Mál nr. 2018/1317

19.6.2019

Úrskurður

Hinn 23. apríl 2019 var kveðinn upp svohljóðandi úrskurður í máli nr. 2018/1317:

I.

Málsmeðferð

1.

Tildrög máls

Þann 16. ágúst 2018 barst Persónuvernd kvörtun frá A (hér eftir nefndur kvartandi) vegna kröfu sóttvarnadeildar Landspítalans um að hann svaraði ítarlegum spurningalista um kynlíf og kynhegðun sína vegna umsóknar hans um fyrirbyggjandi meðferð við HIV. Í kvörtuninni segir m.a. að kvartandi telji spurningalistann vera mjög persónulegan og að hann eigi ekki að þurfa að gefa starfsfólki Landspítalans ítarlegar upplýsingar um kynlíf sitt. Jafnframt kemur fram að kvartandi telur spurningarnar og ferlið sem hann þarf að ganga í gegnum til að fá afhent lyfið vera meiðandi.

2.

Bréfaskipti

Með bréfi, dags. 23. október 2018, var Landspítalanum boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarað var með bréfi, dags. 5. nóvember 2018. Þar segir að sjúklingar geti óskað eftir tilteknu lyfi, Emtricitabine/Tenefovir, sem veiti fyrirbyggjandi meðferð gegn HIV fyrir einstaklinga í áhættuhópi. Þá segir að Lyfjaafgreiðslunefnd setji takmarkanir á ávísun lyfsins og sé hún bundin við smitsjúkdómalækna Landspítala. Aðeins sé heimilt að ávísa lyfinu á þá einstaklinga sem séu í raunverulegri hættu á að fá HIV. Áhættan sé metin með spurningalista sem lagður sé fyrir sjúklinginn og aðeins þeir sem skori meira en 10 stig fái meðferð samþykkta. Í bréfinu segir að sjúklingar séu upplýstir um þetta verklag áður en spurningalistinn sé lagður fyrir þá. Þá kemur fram að spurningalistarnir séu ópersónugreinanlegir og meðfylgjandi umsókn um ávísun lyfsins til Lyfjaafgreiðslunefndar séu aðeins sendar upplýsingar um stigafjölda úr spurningalistanum en ekki listinn sjálfur. Spurningalistinn sé svo geymdur án allra persónuauðkenna í læstum skáp á sóttvarnadeild. Spurningalistinn sem notast sé við sé fenginn frá CDC (amerísku sóttvarnamiðstöðinni) og sé notaður víða erlendis þar sem fylgt sé sama verklagi. Meðfylgjandi svarbréfi Landspítala var óútfylltur spurningalisti samskonar og hér um ræðir. Á honum eru sex spurningar með nokkrum mismunandi svarmöguleikum. Fyrir aftan hvern svarmöguleika er uppgefið hversu mörg stig hvert svar veiti. Á eyðublaðinu kemur jafnframt fram að ef stigafjöldi sé 10 stig eða meiri skuli íhuga umfangsmeiri HIV-forvarnir, þ.m.t. fyrirbyggjandi lyfjameðferð með FTC/TDF, og að ef stigafjöldi sé minni en 10 skuli notast við hefðbundnar HIV-forvarnir.

Með bréfi, dags. 21. nóvember 2018, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar Landspítalans til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Svarað var með bréfi, dags. 29. nóvember 2018. Þar segir m.a. að aðalatriði kvörtunar snúi að því hvort kvartanda sé skylt að svara spurningalistanum til að fá ávísuðu lyfi gegn HIV-sýkingu. Að mati kvartanda séu spurningarnar á spurningalistanum mjög nærgöngular og telur kvartandi að hann eigi ekki að þurfa að gefa upp nánar upplýsingar um kynlífshegðun sína. Kvartandi hafi kosið að svara ekki spurningalistanum og fái því ekki ávísað lyfinu. Þá gerir kvartandi einnig athugasemdir við að þegar komið sé í viðtal til hjúkrunarfræðings sjái viðkomandi hjúkrunarfræðingur hvernig listanum sé svarað og fái þannig vitneskju um kynlífshegðun sjúklings. Í bréfi kvartanda kemur einnig fram að til þess að fá lyfið þurfi jafnframt að gangast undir ýmiss konar rannsóknir fyrir og eftir lyfjatöku.

Með bréfi, dags. 6. mars 2019, var óskað eftir frekari skýringum frá Landspítala um hvernig umsóknarferli þegar sótt væri um fyrirbyggjandi meðferð gegn HIV fyrir einstaklinga í áhættuhóp væri háttað. Sérstaklega var spurt hvernig viðtal hjá hjúkrunarfræðingi færi fram og hverjir hefðu aðgang að svörum umsækjanda. Svarað var með bréfi, dags. 20. mars 2019. Í bréfinu kemur fram að einstaklingur hafi samband við göngudeild smitsjúkdóma og fái tíma hjá hjúkrunarfræðingi til að fara í áhættumat. Hjúkrunarfræðingur taki síðan á móti umsækjanda og farið sé í lokað herbergi þar sem byrjað sé á að útskýra og veita fræðslu um hvernig umsóknarferlið gangi fyrir sig og þær takmarkanir sem Lyfjaafgreiðslunefnd geri varðandi afgreiðslu lyfsins. Að því loknu fái einstaklingurinn afhentan staðlaðan spurningalista sem hann fylli út, en ekki sé um formlegt viðtal að ræða. Segir í bréfinu að yfirleitt sé hjúkrunarfræðingurinn inni í herberginu á meðan einstaklingurinn svari spurningunum og veiti aðstoð sé þess óskað. Að því loknu sé hjúkrunarfræðingnum afhentur spurningalistinn og reikni hann ásamt einstaklingnum út stigafjöldann. Heildarstigafjöldi sé skráður í sjúkraskrá viðkomandi einstaklings. Einstaklingnum sé svo gefinn tími í viðtal hjá lækni 1-2 vikum síðar þar sem lyfi sé eftir atvikum ávísað að viðtali loknu. Ítrekað er í bréfinu það sem áður hafði komið fram í svörum Landspítala um að spurningalistarnir séu geymdir án allra persónuauðkenna og að hjúkrunarfræðingurinn sem taki á móti einstaklingnum í áhættumat sé sá eini sem hafi aðgang að svörum umsækjanda. Útfylltir spurningalistar séu geymdir í læstum skáp á göngudeild smitsjúkdóma. Viðtal hjá lækni eigi sér síðan stað í lokuðu herbergi og sé hjúkrunarfræðingur ekki viðstaddur.

II.

Forsendur og niðurstaða

1.

Gildissvið laga nr. 90/2018

Gildissvið laga nr. 90/2018 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 4. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling, en einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, sbr. 2. tölulið 3. gr. laganna. Þá er með vinnslu átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölulið sömu greinar.

Mál þetta lýtur að vinnslu Landspítalans á upplýsingum um sjúklinga sem þangað leita og óska eftir fyrirbyggjandi meðferð við HIV. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga. Eins og hér háttar til telst Landspítalinn vera ábyrgðaraðili að umræddri vinnslu.

2.

Lögmæti vinnslu

Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt einhverju af skilyrðum 9. gr. laga nr. 90/2018. Þá þarf ávallt að vera fullnægt einhverju af viðbótarskilyrðum 1. mgr. 11. gr. sömu laga svo að vinna megi með viðkvæmar persónuupplýsingar, en þar undir falla heilsufarsupplýsingar, sbr. b-lið 3. tölul. 3. gr. laganna, og upplýsingar um kynlíf manna og kynhneigð, sbr. c-lið sama töluliðar. Af heimildum 9. gr. laganna telur Persónuvernd að einkum geti átt við 3. tölul., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu, þ.e. á grundvelli 20. gr. laga nr. 40/2007 um heilbrigðisþjónustu þar sem fjallað er um veitingu sérhæfðrar heilbrigðisþjónustu hjá Landspítalanum. Þá telur Persónuvernd að af heimildum 11. gr. laganna komi einkum til greina 8. tölul. 1. mgr. ákvæðisins um að vinna megi með persónuupplýsingar sé það nauðsynlegt m.a. til að unnt sé að fyrirbyggja og greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu.

Auk heimilda samkvæmt framangreindu er áskilið í 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679, að öll vinnsla persónuupplýsinga skuli fullnægja þeim grunnkröfum sem þar eru tilgreindar. Er þar m.a. kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum (4. tölul.).

Við mat á því hvort heimild til vinnslu persónuupplýsinga sé til staðar getur eftir atvikum þurft að líta til ákvæða í öðrum lögum. Eins og hér háttar til reynir þá einkum á lög nr. 40/2007 um heilbrigðisþjónustu og lög nr. 34/2012 um heilbrigðisstarfsmenn.

Samkvæmt 2. mgr. 20. gr. laga nr. 40/2007 er hlutverk Landspítala m.a. að veita heilbrigðisþjónustu sem á hverjum tíma samrýmist skyldu slíks sjúkrahúss, m.a. sérfræðiþjónustu í nær öllum viðurkenndum greinum læknisfræði, hjúkrunarfræði og eftir atvikum öðrum greinum heilbrigðisvísinda. Verður að ætla Landspítalanum nokkurt svigrúm til vinnslu upplýsinga er varða lagaskyldur spítalans í ljósi þessa ákvæðis, sbr. 3. tölul. 1. mgr. 9. gr. og 8. tölul. 11. gr. laga nr. 90/2018. Ekki er á færi Persónuverndar að endurskoða það læknisfræðilega mat sem sérfræðingar á Landspítalanum viðhafa um áhættugreiningu sjúklinga og viðeigandi meðferð þeirra sem þangað leita. Persónuvernd gerir því ekki athugasemdir við að þeim, sem óska eftir fyrirbyggjandi meðferð við HIV, sé gert að svara umræddum spurningalista í því skyni að meta megi hættu á því að viðkomandi einstaklingur smitist af veirunni. Þó ber að árétta að við framangreinda vinnslu ber sem fyrr að fara að framangreindri grunnkröfu 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um að persónuupplýsingar skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.

Í tengslum við þann hluta kvörtunarinnar er lýtur að því að hjúkrunarfræðingur sem sinni viðtali við sjúkling sjái svör sjúklings við spurningalista er til þess að líta að ákvörðun um hvort umrædd fyrirbyggjandi meðferð skuli veitt ræðst af svörum sjúklings, þ.e. hvaða stigafjölda hlutaðeigandi fær. Verður því talið óhjákvæmilegt að einhver heilbrigðisstarfsmaður yfirfari svörin til að reikna út stigafjöldann en í því sambandi skal nefnt að samkvæmt 1. mgr. 17. gr. laga nr. 32/2012 um heilbrigðisstarfsmenn skulu starfsmenn í heilbrigðisþjónustu gæta fyllstu þagmælsku um allt sem þeir komast að í starfi sínu um heilsufar sjúklings, ástand, sjúkdómsgreiningu, horfur og meðferð ásamt öðrum nauðsynlegum upplýsingum.

Í 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 er kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða. Af svörum Landspítalans má greina að einstaklingur sé upplýstur um verklag við umsóknarferli í upphafi og verða því ekki gerðar athugasemdir við gagnsæi og fræðslu gagnvart umsækjanda. Þá þykir ekki tilefni til að gera athugasemdir við vinnsluna á þeim grundvelli að hún teljist ósanngjörn gagnvart kvartanda. Engu að síður vill Persónuvernd árétta að með hliðsjón af því hversu viðkvæm málefni eru hér til umfjöllunar kann að vera æskilegt að einstaklingur sem fyllir út fyrrgreindan spurningalista hafi val um það hvort hjúkrunarfræðingur er viðstaddur í sama herbergi eða ekki á meðan hann fyllir listann út.

Í ljósi framangreinds verður ekki talin ástæða til athugasemda við að hjúkrunarfræðingur sem sinnir áhættumati sjúklings sé upplýstur um svör sjúklings enda sé öryggi þeirra upplýsinga tryggt.

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla Landspítalans á persónuupplýsingum vegna mats á umsóknum sjúklinga um fyrirbyggjandi meðferð við HIV samrýmist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Ú r s k u r ð a r o r ð:

Vinnsla Landspítalans á persónuupplýsingum vegna mats á umsókn sjúklinga um fyrirbyggjandi meðferð við HIV samrýmist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

F.h. Persónuverndar,

Helga Þórisdóttir                                     Helga Sigríður Þórhallsdóttir