Umsögn um frumvarp til laga um sérhæfða þjónustumiðstöð á sviði heilbrigðis- og félagsþjónustu

9.2.2015

Reykjavík, 2. febrúar 2015

Umsögn Persónuverndar um frumvarp til laga um sérhæfða þjónustumiðstöð á sviði heilbrigðis- og félagsþjónustu, þingskjal 295 - 257. mál. 144. löggjafarþing 2014 - 2015

Persónuvernd hefur borist ofangreint lagafrumvarp til umsagnar. Beðist er velvirðingar á þeirri töf sem varð á afgreiðslu umsagnarinnar. Frestur til að skila inn umsögn er liðinn en stofnunin vill engu að síður koma eftirfarandi á framfæri.

Frumvarpinu er ætlað að sameina í eina stofnun þrjár stofnanir velferðarráðuneytisins sem hafa á hendi þjónustu við fatlað fólk. Mun hin nýja sérhæfða þjónustumiðstöð annast ráðgjöf, greiningu meðferð, hæfingu og endurhæfingu á sviði heilbrigðis- og félagsþjónustu. Hlutverk miðstöðvarinnar er einnig að vera þekkingarmiðstöð sem aflar og miðlar upplýsingum og þekkingu og stuðlar að nýsköpun og þróun tækni á starfssviði sínu auk þess sem hún skal sinna rannsóknum og fræðastarfi sbr. 1. gr. frumvarpsins.

Af framangreindu er ljóst að miðstöðin mun afla, vinna og skrá umfangsmiklar viðkvæmar persónuupplýsingar eins og þær eru skilgreindar í 8. tölul. 2. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Viðkvæmar persónuupplýsingar eru m.a. upplýsingar um uppruna, heilsuhagi og erfðaeiginleika einstaklinga.

Í 2. mgr. 6. gr. frumvarpsins segir m.a. að miðstöðin skuli annast öflun og miðlun upplýsinga og þekkingar, jafnt hérlendis sem erlendis, stunda fræðilegar rannsóknir og taka þátt í þróunarverkefnum og erlendu samstarfi sem m.a. hefur það að markmiði að auka skilning á orsökum, eðli og umfangi fatlana og sjaldgæfra sjúkdóma, meta aðstæður fólks og bæta stöðu þess. Persónuvernd bendir á að umrætt ákvæði er afar óljóst. Athugasemd við 2. mgr. 6. gr. frumvarpsins veitir ekki nánari skýringu um efni þess. Hvað varðar öflun og miðlun upplýsinga bendir Persónuvernd á að hvorki kemur fram hvaða upplýsingum geti verið miðlað, til hverra, né í hvaða tilgangi slík miðlun skuli fara fram. Þá er ekki unnt að ráða hvort um miðlun persónuupplýsinga geti verið að ræða eða hvort eingöngu sé átt við tölfræðiupplýsingar. Ef fyrirhugað er að miðla viðkvæmum persónugreinanlegum upplýsingum án samþykkis einstaklinga er nauðsynlegt að fullnægja einhverju heimildarákvæði 1. mgr. 8. og 1. mgr. 9. gr. persónuverndarlaga.

Telur Persónuvernd ástæðu til að löggjafinn mæli með skýrari hætti fyrir um hvers konar miðlun upplýsinga ákvæði 6. gr. frumvarpsins nái til og að ákvæði þar að lútandi verði afmarkað við tiltekin verkefni eða starfssvið miðstöðvarinnar, en ekki sé kveðið á um upplýsingagjöf í óskilgreindum tilgangi. Þá telur Persónuvernd jafnframt tilefni til að benda á að hvergi í frumvarpinu er fjallað um öryggi persónuupplýsinga sbr. 11. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Leggur stofnunin til að sett verði inn ákvæði sem tryggir öryggi viðkvæmra persónuupplýsinga, sé fyrirhugað að miðla slíkum upplýsingum til þriðja aðila, t.d. um að persónuauðkenni skuli vera dulkóðuð í flutningi. Einnig að upplýsingum verði eytt hjá viðtakendunum þegar þær eru ekki lengur nauðsynlegar í þágu tilgangsins með miðlun þeirra.  

Í 8. gr. frumvarpsins segir að miðstöðin skuli halda skrá yfir alla þá sem nota þjónustu hennar í þeim tilgangi að bæta þjónustu við þá, tryggja gæði þjónustunnar og hafa eftirlit með henni. Þá segir að um skráningu og meðferð upplýsinga fari samkvæmt lögum um sjúkraskrár og lögum um persónuvernd og meðferð persónuupplýsinga eftir því sem við á.

Vinnsla persónuupplýsinga er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort sem vinnslan er handvirk eða rafræn sbr. 2. tölul. 1. mgr. 2. gr. laga nr. 77/2000. Vinnsluhugtakið er ekki einungis bundið við öflun og skráningu persónuupplýsinga heldur nær það m.a. einnig til flokkunar, varðveislu, breytingar, leitar, miðlunar, samtengingar eða hverrar aðferðar sem nota má til að gera upplýsingar tiltækar, sbr. athugasemdir í greinargerð með frumvarpi því er varð síðar að lögum nr. 77/2000.  Telur Persónuvernd, í ljósi þeirrar víðtæku vinnslu viðkvæmra persónuupplýsinga sem hin nýja stofnun mun hafa með höndum, að betur fari á því að hafa ákvæði almenns eðlis í frumvarpinu sem kveður á um að lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gildi um alla vinnslu persónuupplýsinga hjá miðstöðinni.

Persónuvernd telur að gera þurfi eftirtaldar breytingar á frumvarpinu. Samandregnar eru ábendingar Persónuverndar þessar:

1. Að kveðið verði á um hvers konar miðlun upplýsinga frá þjónustumiðstöðinni er heimiluð og í hvaða tilgangi.
2. Að bætt verði við frumvarpið ákvæði er lúti að öryggi upplýsinga sem miðlað er til þriðja aðila og eyðingu þeirra þegar þær séu ekki lengur nauðsynlegar í þágu tilgangsins með miðlun þeirra.
3. Að bætt verði við frumvarpið almennu ákvæði um að lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, eigi við um alla vinnslu og meðferð persónuupplýsinga hjá þjónustumiðstöðinni.