Álit 29. desember 2020 vegna öflunar símanúmera hjá Embætti landlæknis
Efni: Afstaða Persónuverndar til þess að aflað verði símanúmera frá fjarskiptafyrirtækjum og þau samkeyrð við skrár hjá Embætti landlæknis og sóttvarnalækni
Persónuvernd vísar til erindis Embættis landlæknis og sóttvarnalæknis frá 18. desember 2020 varðandi samkeyrslur í þágu bólusetninga við COVID-19, en í erindinu er óskað eftir afstöðu Persónuverndar til breytingar á verklagi við samkeyrslurnar. Í þeim felst að upplýsingar úr meðal annars smitsjúkdómaskrá samkvæmt 3. mgr. 3. gr. sóttvarnalaga nr. 19/1997, vistunarskrá heilbrigðisstofnana samkvæmt 6. tölul. 2. mgr. 8. gr. laga nr. 41/2007 um landlækni og lýðheilsu og samskiptaskrá heilsugæslustöðva samkvæmt 7. tölul. sömu málsgreinar, svo og aðrar skrár, eru samkeyrðar, þ. á m. við símanúmer sem ráðgert hefur verið að afla úr símaskrá Já Íslands ehf. Eins og greinir í umsókn um leyfi til samkeyrslnanna, dags. 9. desember 2020, er tilgangurinn með þeim sá að unnt sé að hafa samband við fólk vegna bólusetningar. Samkvæmt erindinu frá 18. s.m. eru upplýsingar frá Já Íslandi ehf. hins vegar ekki nægilega tæmandi og er því fyrirhugað að afla upplýsinga um símanúmer frá fjarskiptafyrirtækjunum sjálfum.
Stofnunin hefur veitt leyfi til umræddra samkeyrslna, dags. 16. desember 2020, með vísan til 1. tölul. 1. mgr. 4. gr. reglna nr. 811/2019 um leyfisskylda vinnslu persónuupplýsinga, sbr. 2. mgr. 31. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, og í samræmi við fyrirliggjandi umsókn er þar byggt á að upplýsingar um símanúmer séu fengnar frá Já Íslandi ehf. Í umræddu ákvæði reglnanna kemur fram að til samkeyrslu skrár, sem hefur að geyma viðkvæmar persónuupplýsingar, við aðra skrá, hvort sem sú hefur að geyma almennar eða viðkvæmar persónuupplýsingar, þarf leyfi stofnunarinnar. Samkvæmt a-lið ákvæðisins þarf ekki leyfi ef einvörðungu er samkeyrt við upplýsingar um símanúmer eða upplýsingar úr þjóðskrá um nafn, kennitölu, fyrirtækjanúmer, heimilisfang, aðsetur og póstnúmer. Jafnframt segir í b-lið ákvæðisins að ekki þurfi leyfi ef samkeyrðar eru skrár sama ábyrgðaraðila, þó að undanskildum miðlægum skrám sem innihalda viðkvæmar persónuupplýsingar. Við umræddar samkeyrslur er notast við slíkar skrár eins og fyrr greinir og einkum þess vegna er þörf á leyfi frá Persónuvernd til að þær geti farið fram.
Jafnframt er hins vegar ljóst að ekki þarf leyfi til þess þáttar samkeyrslnanna sem felur í sér samkeyrslu við símanúmer, sbr. það sem fyrr segir um efni a-liðar 1. mgr. 4. gr. reglna nr. 811/2019. Sem endranær þarf hins vegar að vera til staðar heimild til vinnslu persónuupplýsinga samkvæmt 9. gr. laga nr. 90/2018 og á það ekki aðeins við um samkeyrslurnar sjálfar heldur einnig öflun Embættis landlæknis á upplýsingum um símanúmer. Að því marki sem um ræðir viðkvæmar persónuupplýsingar, í þessu tilviki um heilsufar, sbr. b-lið 3. tölul. 3. gr. laga nr. 90/2018, þarf einnig að vera fullnægt einhverju viðbótarskilyrðanna fyrir vinnslu slíka upplýsinga.
Samkvæmt 5. tölul. 9. gr. laga nr. 90/2018 er vinnsla persónuupplýsinga heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Þá er meðal annars mælt svo fyrir í 9. tölul. 1. mgr. 11. gr. laganna að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg af ástæðum sem varða almannahagsmuni á sviði lýðheilsu, svo sem til að verjast alvarlegum heilsufarsógnum sem ná yfir landamæri, enda fari vinnslan fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða. Eins og hér háttar til reynir þar á lög nr. 41/2007 um landlækni og lýðheilsu, en í 8. gr. þeirra laga er fjallað um meðal annars vistunarskrá heilbrigðisstofnana og samskiptaskrá heilsugæslustöðva og ráðstafanir til að gæta öryggis þeirra skráa. Þá reynir á sóttvarnalög nr. 19/1997. Segir í 3. mgr. 3. gr. þeirra laga að sóttvarnalæknir sé ábyrgur fyrir því að haldin sé smitsjúkdómaskrá. Þá segir að gæta skuli fyllsta trúnaðar um allar einkaupplýsingar sem fram koma í skránni og að um hana gildi sömu reglur og um aðrar sjúkraskrár, en um slíkar skrár hafa verið sett sérstök lög, nr. 55/2009.
Að auki kemur meðal annars fram í lögum nr. 19/1997 að sóttvarnalæknir skipuleggur og samræmir sóttvarnir og ónæmisaðgerðir um land allt, sbr. 1. tölul. 5. gr. laganna, svo og að brjótist út hópsýking eða farsótt sem ógnar heilsu manna er sóttvarnalækni heimill aðgangur að nauðsynlegum gögnum og öllum stöðum sem hann telur nauðsynlegt að skoða og að hann getur fengið til þess aðstoð lögreglu ef með þarf, sbr. 3. mgr. 12. gr. og 2. mgr. 11. gr. laganna.
Í ljósi þess sem að framan er rakið telur Persónuvernd heimild standa til þess að Embætti landlæknis og sóttvarnalæknir afli símanúmera frá fjarskiptafyrirtækjum og vinni með þau að því marki sem nauðsynlegt er vegna bólusetninga við COVID-19. Öflun símanúmeranna fellur ekki undir reglur um leyfisskyldu hjá Persónuvernd, né heldur samkeyrsla þeirra við aðrar skrár eins og fyrr er rakið.
F.h. Persónuverndar,
Þórður Sveinsson Vigdís Eva Líndal