Álit: Svar við beiðni landlæknis 17. desember 2020

Efni: Svar við beiðni Embættis landlæknis um álit á heimild til afhendingar upplýsinga til yfirlækna sóttvarna

1.

Erindi Embættis landlæknis

Persónuvernd vísar til erindis Embættis landlæknis frá 17. desember 2020. Þar er vísað til leyfis Persónuverndar frá 16. s.m. til samkeyrslna á skrám í þágu bólusetninga við COVID-19. Einnig er vísað til þess að í þágu samkeyrslna í því skyni þurfi yfirlæknar sóttvarna að fá í hendur upplýsingar frá meðal annars heilbrigðisstofnunum, lögreglu, slökkviliði, hjúkrunarheimilum og fleirum um starfsmenn þeirra og jafnframt frá félags- og öldrunarþjónustu sveitarfélaga um íbúa í búsetuúrræðum á þeirra vegum sem tilheyra forgangshópum vegna bólusetningar. Þá kemur fram að í einhverjum tilvikum hafa stofnanir verið í vafa um heimild til afhendingar upplýsinga.

Í framhaldi af þessu er lýst þeim skilningi Embættis landlæknis og sóttvarnalæknis að í ljósi tiltekinna ákvæða í sóttvarnalögum nr. 19/1997 um verksvið og valdheimildir sóttvarnalæknis, þ.e. 1. tölul. 5. gr., 6. mgr. 4. gr., 2. mgr. 11. gr. og 3. mgr. 12. gr. laganna, sé miðlun umræddra upplýsinga heimil til yfirlækna heilsugæslu vegna hlutverks þeirra við framkvæmd sóttvarna í sínu umdæmi. Er þess óskað að Persónuvernd staðfesti þessa túlkun.

2.

Svar Persónuverndar

Svo að vinna megi með persónuupplýsingar þarf vinnslan að falla undir heimild samkvæmt 9. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Sé um að ræða viðkvæmar persónuupplýsingar þarf auk þess að vera fullnægt einhverju viðbótarskilyrðanna fyrir vinnslu slíkra upplýsinga samkvæmt 11. gr. sömu laga. Í tengslum við bólusetningar við COVID-19 liggur fyrir að vinna þarf með heilsufarsupplýsingar, en slíkar upplýsingar eru viðkvæmar, sbr. b-lið 3. gr. laganna.

Mælt er fyrir um það í 3. tölul. 9. gr. laga nr. 90/2018, sbr. einnig e-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, að vinna megi með persónuupplýsingar sé það nauðsynlegt vegna verks sem unnið er í þágu almannahagsmuna. Þá segir í 9. tölul. 1. mgr. 11. gr. laganna, sbr. i-lið 1. mgr. 9. gr. reglugerðarinnar, að vinna megi með viðkvæmar persónuupplýsingar sé vinnslan nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu, svo sem til að verjast alvarlegum heilsufarsógnum sem ná yfir landamæri, og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.

Við beitingu laga nr. 90/2018, svo og reglugerðar (ESB) 2016/679, getur þurft að líta til ákvæða í öðrum lögum. Eins og hér háttar til reynir þar á sóttvarnalög nr. 19/1997. Samkvæmt 3. mgr. 3. gr. þeirra laga er sóttvarnalæknir ábyrgur fyrir því að halda sóttvarnaskrá. Einnig segir í ákvæðinu að sú skrá taki meðal annars til sjúkdóma, sjúkdómsvalda og ónæmisaðgerða, svo og að gæta skuli fyllsta trúnaðar um allar upplýsingar sem koma þar fram. Þá segir að um skrána gildi sömu reglur og um aðrar sjúkraskrár, en um slíkar skrár hafa verið sett sérstök lög, nr. 55/2009.

Að auki kemur meðal annars fram í lögum nr. 19/1997 að sóttvarnalæknir skipuleggur og samræmir sóttvarnir og ónæmisaðgerðir um land allt, sbr. 1. tölul. 5. gr. laganna, svo og að brjótist út hópsýking eða farsótt sem ógni heilsu manna sé sóttvarnalækni heimill aðgangur að nauðsynlegum gögnum og öllum stöðum sem hann telur nauðsynlegt að skoða og að hann geti fengið til þess aðstoð lögreglu ef með þurfi, sbr. 3. mgr. 12. gr. og 2. mgr. 11. gr. laganna. Þá segir í 5. mgr. 4. gr. laganna að yfirlæknar heilsugæslu og sóttvarnalæknir skuli hafa samstarf um framkvæmd nauðsynlegra sóttvarna og njóta aðstoðar lögregluyfirvalda ef með þurfi, en með yfirlæknum heilsugæslu er átt við yfirlækna sem tilgreindir eru í reglugerð sem ráðherra heilbrigðismála setur, sbr. 4. mgr. 4. gr. laganna, sbr. reglugerð nr. 387/2015 um tilnefningu yfirlækna heilsugæslustöðva til að sinna sóttvörnum.

Þegar litið er til framangreinds telur Persónuvernd heimild standa til þess að yfirlæknar sóttvarna í einstökum sóttvarnaumdæmum, sbr. 1. og 2. gr. reglugerðar nr. 387/2015, fái afhentar nauðsynlegar upplýsingar um þá sem tilheyra forgangshópum vegna ráðgerðrar bólusetningar við COVID-19 frá þeim aðilum sem yfir þeim búa. Samkvæmt því stendur meðal annars heimild til þess að heilbrigðisstofnanir, lögregla, slökkvilið, hjúkrunarheimili og fleiri afhendi yfirlæknum sóttvarna nauðsynlegar upplýsingar um starfsmenn sína sem tilheyra forgangshópum, sbr. 1., 2., 4., 5. og 8. tölul. 2. mgr. 4. gr. a í reglugerð nr. 221/2001 um bólusetningar á Íslandi. Hið sama gildir um afhendingu félags- og öldrunarþjónustna sveitarfélaga á nauðsynlegum upplýsingum um íbúa í búsetuúrræðum á þeirra vegum sem tengd eru hjúkrunar- og dvalarheimilum, sbr. 3. tölul. 2. mgr. sömu greinar reglugerðarinnar.

Minnt er á að við afhendingu upplýsinganna ber að gera nauðsynlegar ráðstafanir til að tryggja öryggi þeirra miðað við áhættu af vinnslunni og eðli upplýsinganna, sbr. 27. gr. laga nr. 90/2018, sbr. og 32. og 33. gr. reglugerðar (ESB) 2016/679. Er þess óskað að lýsing á slíkum ráðstöfunum vegna afhendingarinnar berist Persónuvernd eigi síðar en 20. desember nk. Þá skal tekið fram að sú samkeyrsla umræddra upplýsinga við smitsjúkdómaskrá, sem byggjast þarf á leyfi frá Persónuvernd, sbr. 1. tölul. 1. mgr. 4. gr. laga nr. 90/2018, fellur undir áðurnefnt leyfi stofnunarinnar, dags. 16. desember 2020.

F.h. Persónuverndar,

Helga Þórisdóttir                            Þórður Sveinsson