Heimildir sóttvarnalæknis til gagnaöflunar í tengslum við COVID-19

26.2.2020

Efni: Heimildir sóttvarnalæknis við gagnaöflun og vinnslu persónuupplýsinga í tengslum við sóttvarnaráðstafanir vegna Covid-19-veirunnar.

1.

Persónuvernd vísar til erindis persónuverndarfulltrúa embættis landlæknis frá 12. febrúar 2020. Í erindinu er óskað eftir afstöðu Persónuverndar til túlkunar embættisins á heimildum sóttvarnarlæknis til gagnaöflunar og vinnslu persónuupplýsinga í tengslum við sóttvarnaráðstafanir vegna Covid-19-veirunnar[...]. Í erindi persónuverndarfulltrúans kemur fram að túlkun sóttvarnalæknis sé sú að skv. 2. mgr. 11. gr. laga um sóttvarnir, nr. 19/1997, sé honum heimil öflun allra gagna sem nauðsynleg teljast til að grípa til viðeigandi ráðstafana til að hamla útbreiðslu farsóttar, óháð því hvort um sé að ræða almennar eða viðkvæmar persónuupplýsingar.

2.

Samkvæmt 11. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga er vinnsla viðkvæmra persónuupplýsinga óheimil nema uppfyllt sé eitthvert af skilyrðum 9. gr. laganna og enn fremur eitthvert af þeim skilyrðum sem talin eru upp í 1. mgr. 11. gr., samkvæmt nánari fyrirmælum 9. gr. reglugerðarinnar. Sá töluliður sem einna helst kemur til skoðunar hér er 9. tölul. 1. mgr. 11. gr. en þar segir að vinnsla sé heimil sé hún nauðsynleg af ástæðum er varða almannahagsmuni á sviði lýðheilsu, svo sem til að verjast alvarlegum heilsufarsógnum sem ná yfir landamæri eða tryggja gæði og öryggi heilbrigðisþjónustu og lyfja eða lækningatækja, og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða. Þá þarf vinnsla persónuupplýsinga ávallt að styðjast við einhverja þeirra heimilda sem koma fram í 9. gr. laga nr. 90/2018. Koma þar einna helst til skoðunar 3. og 5. tölul. framangreinds ákvæðis um að vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila eða vinnslan sé nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með.

Við mat á því hvort fullnægjandi lagaheimildir standi til vinnslu persónuupplýsinga í tengslum við sóttvarnaráðstafanir er nauðsynlegt að líta til ákvæða í sóttvarnalögum, nr. 19/1997. Samkvæmt 1. mgr. 4. gr. sóttvarnalaga ber embætti landlæknis ábyrgð á framkvæmd sóttvarna undir yfirstjórn ráðherra og samkvæmt 2. mgr. sömu greinar skal sóttvarnalæknir starfa við embættið og ber hann ábyrgð á sóttvörnum. Þá segir í 3. mgr. 12. gr. sóttvarnarlaga að brjótist út hópsýking eða farsótt sem ógnar heilsu manna skuli sóttvarnalæknir gera faraldsfræðilega rannsókn á uppruna smits og hafi í slíkum tilvikum sama rétt til aðgangs að gögnum og til skoðunar og kveðið er á um í 2. mgr. 11. gr. laganna. Í 2. mgr. 11. gr. er fjallað um sérstaka samstarfsnefnd sem hefur það hlutverk að afla nauðsynlegra gagna og hafa yfirumsjón með nauðsynlegum aðgerðum til að meta og uppræta smithættu eða hættu sem stafar af dýrum, matvælum, starfsemi, vatni, skolplögnum, loftræstingu eða öðru í umhverfinu sem getur dreift smitnæmum sjúkdómsvöldum, eiturefnum eða geislavirkum efnum sem ógna heilsu manna. Samkvæmt ákvæðinu er nefndinni heimill aðgangur að nauðsynlegum gögnum og öllum stöðum sem hún telur nauðsynlegt að skoða og getur fengið til þess aðstoð lögreglu ef með þarf. Samkvæmt 3. mgr. 12. gr. hefur sóttvarnarlæknir því sömu heimildir og samstarfsnefndin þegar út brýst hópsýking eða farsótt sem ógnar heilsu manna.

3.

Með vísan til þess sem fram kemur í framangreindum ákvæðum sóttvarnarlaga er það mat Persónuverndar að sóttvarnarlækni sé heimilt að afla gagna frá öllum þeim aðilum, sem geta veitt upplýsingar þegar út brýst hópsýking eða farsótt sem ógnar heilsu manna, og vinna með þær upplýsingar að því marki sem nauðsynlegt er til þess að hann geti sinnt hlutverki sínu samkvæmt sóttvarnalögum nr. 19/1997, sbr. 9. tölul. 11. gr. og 3. eða 5. tölul. 9. gr. laga nr. 90/2018.

Þá minnir Persónuvernd á að sóttvarnalækni ber, eftir sem áður, jafnframt ábyrgð á því að gæta þess að farið sé að öðrum ákvæðum laga nr. 90/2018 og reglugerðar (ESB) 2016/679, og þá sérstaklega að meginreglum þeim sem fram koma í 8. gr. laganna sé fylgt við vinnsluna. Í því felst meðal annars að upplýsingarnar séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða; að þær séu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi; að þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar; að þær séu áreiðanlegar og uppfærðar eftir þörfum en að persónuupplýsingum sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, sé eytt eða þær leiðréttar án tafar; að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á skráða einstaklinga lengur en þörf krefur miðað við tilgang vinnslu; og að þær séu unnar með þeim hætti að viðeigandi öryggi persónuupplýsinga sé tryggt.

F.h. Persónuverndar,

Helga Þórisdóttir                                              Vigdís Eva Líndal