Synjun um leyfi til að nota gögn úr gamalli rannsókn - mál nr. 2012/660

Dags. 11. september 2012

Þann 10. maí 2012 barst Persónuvernd umsókn yðar, A, um leyfi fyrir vinnslu persónuupplýsinga til að geta framhaldið rannsókn sem ber heitið R. Í umsókninni segir m.a.:

„Nú hefur verið ákveðið að halda áfram með þessa rannsókn og prófa sjúklingana aftur á flestum sömu prófunum og þeir voru prófaðir á í fyrri hlutanum en einnig að viðbættum nokkrum prófum um tal- og hljóðskynjun. Ekki þarf að framkvæma segulómun aftur og ekki er nauðsynlegt að fara í sjúkraskrár. Haft verður samband við hvern sjúkling og honum boðið að taka þátt aftur. Kynningarbréf og upplýst samþykki hefur verið útbúið. Vísindasiðanefnd hefur samþykkt þennan hluta af rannsókninni. Ég óska eftir því að fá heimild til þess að halda áfram með þennan hluta.“

Forsaga málsins er sú að hinn 20. febrúar 2006 veitti Persónuvernd yður leyfi til aðgangs að sjúkraskrám vegna rannsóknarinnar. Það var veitt á grundvelli fyrirliggjandi gagna, m.a. samþykkisyfirlýsingar sem þátttakendur undirrituðu. Í henni sagði að rannsóknin myndi hefjast í febrúar 2006 og að öllum rannsóknargögnum yrði eytt að rannsókn lokinni. Í ljósi þess batt Persónuvernd leyfi sitt skilmála um eyðingu gagna. Þar segir að eigi síðar en við lok gildistíma leyfisins, þann 20. febrúar 2008, skuli gera rannsóknargögn ópersónugreinanleg - þ.e. með því að eyða greiningarlykli.
 
Hinn 13. júní 2012 óskaði Persónuvernd upplýsinga, m.a. um hvort rannsóknargögnum hefði ekki verið eytt til samræmis við skilmála leyfisins.

Í svari yðar, dags. 17. s.m., segir m.a. að rannsóknargögnum hafi ekki verið eytt. Enn séu til niðurstöður úr greiningarprófum og greingarlykill. Segir að nú viljið þér nýta skrána/upplýsingarnar til að geta borið þær saman við útkomu úr prófum til að endurmeta mállega getu einstaklinganna og framfarir þeirra.

Persónuvernd óskaði frekari skýringa og bað um að sér yrði sent afrit af þeim kynningarbréfum sem einstaklingunum höfðu verið send vegna rannsóknarinnar 2006 og af samþykkisyfirlýsingum þeirra frá þeim tíma. Þau gögn hafa borist. Hvorki í kynningarbréfinu né í samþykkisyfirlýsingum er vikið að varðveislu fram yfir 20. febrúar 2008.

Með bréfi dags. 2. ágúst 2012, var yður leiðbeint um að leita samþykkis hinna skráðu til vinnslunnar. Sagði að að öðrum kosti kæmi til skoðunar að mæla fyrir um tafarlausa eyðingu, m.v.t. 40. gr. laga nr. 77/2000. Með tölvubréfi, dags. 25. ágúst 2012, og símtali þann 27. s.m., staðfestuð þér að hinir skráðu hefðu ekki undirritað samþykki fyrir því að rannsóknargögn yrðu varðveitt með þeim hætti sem raun ber vitni að gert hefur verið.


Mál þetta varðar umsókn um leyfi til að nýta rafræna skrá / gagnagrunn sem til varð við gerð rannsóknarinnar [R]. Hann hefur að geyma viðkvæmar persónuupplýsingar í skilningi laga nr. 77/2000. Ekki er um það deilt hvort upphafleg vinnsla (söfnun og skráning) persónuupplýsinga vegna þeirrar rannsóknar hafi verið lögmæt, en þann 20. febrúar 2006 veitti Persónuvernd leyfi til aðgangs að sjúkraskrám vegna hennar.

Samkvæmt 1. mgr. 35. gr. laga nr. 77/2000 bindur Persónuvernd sín leyfi þeim skilyrðum, sem hún telur vera nauðsynleg hverju sinni, til að draga úr eða koma í veg fyrir hugsanlegt óhagræði hins skráða af vinnslunni. Ábyrgðaraðili vinnslu ber ábyrgð á því að haga allri vinnslu í samræmi við skilmála útgefins leyfis. Í því tilviki sem hér um ræðir var m.a. sett það skilyrði að gera skyldi öll rannsóknargögn ópersónugreinanleg eigi síðar en þegar leyfið rynni úr gildi, þ.e. hinn 20. febrúar 2008.

Með vísun til alls framangreinds, og þess að hvergi liggur fyrir að gerður hafi verið reki að því að afla samþykkis hinna skráðu, eða reyna með öðrum hætti að tryggja lögmæti vinnslunnar eftir 20. febrúar 2008, eru að mati Persónuverndar ekki forsendur til að þess að líta svo á að um lögmætan gagnagrunn sé að ræða. Þegar af þeirri ástæðu er ekki unnt að fallast á fyrirliggjandi umsókn yðar um leyfi til að nýta hann.

Með vísun til 1. tölul. 3. mgr. 37. gr., og 1. mgr. 40. gr. laga nr. 77/2000, beinir Persónuvernd fyrirmælum til yðar um að eyða öllum rannsóknargögnum er hafa að geyma þær persónuupplýsingar um einstaklinga, sem til urðu við gerð rannsóknarinnar [R].


Synjað er umsókn A, um leyfi til að nýta sér persónuupplýsingar sem til urðu við gerð rannsóknarinnar [R].