Almennt álit um vímuefnapróf - mál nr. 2013/315
Reykjavík, 9. ágúst 2013
Álit
um vinnslu persónuupplýsinga
í tengslum við gerð vímuefnaprófana
1.
Upphaf máls
Á síðustu mánuðum hefur Persónuvernd borist allnokkur fjöldi ábendinga vegna vímuefnaprófana á vinnustöðum og skráningu persónuupplýsinga um starfsmenn. Af því tilefni hélt Persónuvernd fund með fulltrúum Vinnueftirlitsins þann 15. apríl 2013. Á þeim fundi kom m.a. fram að engin ákvæði eða reglur væri að finna í vinnuverndarlöggjöfinni um töku sýna hjá starfsmönnum fyrirtækja og stofnana í þeim tilgangi að kanna hvort þeir séu undir áhrifum ávana- og/eða fíkniefna. Enn fremur skorti Vinnueftirlitið heimildir að lögum til að geta brugðist við með fullnægjandi hætti. Þá hefðu starfsmenn Vinnueftirlitsins hvatt fyrirtæki og stofnanir til að fara varlega í þessum efnum, þar sem að slíkar prófanir gætu reynst óáreiðanlegar. Í því sambandi kom fram að á slíkum prófum getur komið fram að viðkomandi sé á tilteknum löglegum lyfjum, s.s. þunglyndislyfjum, þó að eingöngu sé verið að athuga hvort að viðkomandi sé undir áhrifum fíkniefna. Þá geti ýmiss konar matvæli haft áhrif á niðurstöður slíkra prófa, t.a m. birkifræ.
Á fundinum kom einnig fram að almennt sé það svo að heilbrigðisstarfsmaður hafi frumkvæði að sýnatöku vegna meðferðar sjúklings og um það gildi reglur heilbrigðislöggjafarinnar. Slíkt eigi ekki við í vímuefnaskimunum fyrirtækja þar sem sýnataka fer ekki fram í þágu meðferðar sjúklings heldur að frumkvæði vinnuveitanda.
Þá kom fram á fundinum að fjölmörg álitaefni hefðu komið upp í tengslum við þetta og af þeirri ástæðu hefði Vinnueftirlitið farið fram á það við velferðarráðherra að settar yrðu reglur um framkvæmd vímuefnaskimana. Slíkar reglur hefðu hins vegar enn sem komið er ekki verið settar. Vinnueftirlitið óskaði af þessu tilefni eftir að Persónuverndar kæmi að málinu, t.a m. með útgáfu almenns álits um þau atriði sem huga verði að vegna vinnslu persónuupplýsinga í tengslum við vímuefnaprófanir. Af hálfu Persónuverndar var fallist á þá málaleitan.
2.
Álit Persónuverndar
2.1
Ákvæði stjórnarskrár
Réttur einstaklings til friðhelgis einkalífs, heimilis og fjölskyldu er verndaður í 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu. Í lögum um persónuvernd og meðferð persónuupplýsinga nr. 77/2000, er svo kveðið nánar á um réttinn til friðhelgi einkalífs að því er meðferð persónuupplýsinga varðar. Þessi lög hafa að geyma ákvæði sem eiga að tryggja einkalífsrétt manna við meðferð persónuupplýsinga, m.a. með því að kveða á um skyldur þeirra sem vinna með slíkar upplýsingar.
Þá tekur 71. gr. stjórnarskrárinnar einnig af skarið um að óheimilt sé að gera líkamsrannsókn eða leit á manni nema samkvæmt dómsúrskurði eða sérstakri lagaheimild. Í lögum nr. 88/2008, um meðferð sakamála, telst taka blóð- og þvagsýna og annarra lífsýna til líkamsrannsóknar, sbr. ákvæði 77. gr. laganna. Í framkvæmd Mannréttindadómstóls Evrópu, n.t.t. ákvörðun dómstólsins í máli nr. 46210/99, hefur komið fram sú afstaða að kjarasamningar geti fullnægt þeim lagaáskilnaði sem gerður er í 8. gr. Mannréttindasáttmála Evrópu en hérlendis hefur ekki enn verið tekin afstaða til slíks.
2.2
Samþykki sem heimild fyrir vinnslu
Líkt og að framan greinir er kveðið nánar á um réttinn til friðhelgi einkalífs að því er varðar meðferð persónuupplýsinga í lögum nr. 77/2000. Lögin taka til allrar rafrænnar vinnslu persónuupplýsinga og handvirkrar vinnslu sem eru eða eiga að verða hluti af skrá, með þeim takmörkunum sem fram koma í 2. mgr. 3. gr. og 5. gr. laganna. Að því marki sem persónugreinanlegar niðurstöður vímuefnaprófana eru skráðar með rafrænum hætti eða handvirkum, sem hluti af skrá, fellur slík vinnsla undir valdsvið Persónuverndar. Þá má ætla að vinnsla upplýsinga úr blóð- og/eða þvagprufum teljist til vinnslu persónuupplýsinga, enda beri niðurstöðurnar með sér upplýsingar um heilsuhagi einstaklings.
Í lögum nr. 77/2000 er að finna grundvallarreglur um hvernig haga skuli vinnslu persónuupplýsinga. Frumskylda ábyrgðaraðila, þ.e. þess sem vinnur með upplýsingarnar, er að ganga úr skugga um að hann hafi fyrir því heimild samkvæmt framangreindum lögum. Til að heimilt sé að vinna með persónuupplýsingar verður ávallt að vera til staðar heimild í 8. gr. laga nr. 77/2000 og eftir atvikum 9. gr. sömu laga, ef um viðkvæmar persónuupplýsingar er að ræða. Upplýsingar um heilsuhagi, þ. á m. um erfðaeiginleika, lyfja-, áfengis- og vímuefnanotkun teljast til viðkvæmra persónuupplýsinga, sbr. 8. tölul. 2. gr. laga nr. 77/2000 og af þeirri ástæðu þarf bæði til að koma heimild í 8. og 9. gr. laga nr. 77/2000 þegar unnið er með persónuupplýsingar í tengslum við áfengis og vímuefnanotkun.
Þar sem um er að ræða viðkvæmar persónuupplýsingar er rétt að leita fyrst heimilda í 9. gr. laga nr. 77/2000. Meginheimildin í bæði 8. og 9. gr. laganna er samþykki hins skráða, sbr. 1. tölul. 1. mgr. 8. og 1. tölul. 1. mgr. 9. gr. laganna. Í þeirri heimild endurspeglast eitt af grundvallarsjónarmiðum persónuverndarlöggjafarinnar um að hinn skráði hafi sjálfsákvörðunarrétt um hvaða upplýsingar um hann er unnið með. Samþykki, í skilningi laga nr. 77/2000, er yfirlýsing sem einstaklingur gefur „af fúsum og frjálsum vilja“, sbr. 7. tölul. 1. mgr. 2. gr. laganna. Álitamál er hvort starfsmaður sé í slíkri aðstöðu gagnvart vinnuveitanda sínum að samþykki starfsmannsins, fyrir vinnslu upplýsinga sem fást úr vímuefnaprófum, verði talið veitt „af fúsum og frjálsum vilja“.
2.3
Lagaheimild eða kjarasamningar sem heimild fyrir vinnslu
Fyrir utan samþykki hins skráða kemur til skoðunar hvort að heimild sé til staðar í öðrum töluliðum 8. og 9. gr. laganna, s.s. vegna lagaskyldu, sbr. 3. tölul. 1. mgr. 8. gr. eða á grundvelli lagaheimildar, sbr. 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Þá getur verið að finna ákvæði í samningum aðila vinnumarkaðarins, þ.e. í ráðningarsamningum og/eða heildarkjarasamningum, sem kveða á um tiltekin vinnsla skuli fara fram, sbr. 3. tölul. 1. mgr. 9. gr. laganna.
Ekki er í íslenskum lögum fjallað sérstaklega um skyldu eða heimild til að framkvæma vímuefnapróf og vinna með persónuupplýsingar af því tilefni. Þó er í 2. mgr. 69. gr. laga nr. 46/1980, um aðbúnað, hollustuhætti og öryggi á vinnustöðum, kveðið á um að starfsmönnum „og fyrrverandi starfsmönnum“ beri skylda til að gangast undir „eftirlit, skoðanir, mælingar og rannsóknir samkvæmt reglum þeim, sem gilda á hverjum tíma.“ Í umræddu ákvæði er ekki tilgreint hvaða „reglur“ sé þar átt við en í öðrum ákvæðum sama kafla, þ.e. kaflanum „Áhættumat, heilsuvernd og heilsufarsskoðanir“, er mælt fyrir um að ráðherra setji ýmiss konar reglur um framkvæmd ákvæða kaflans, sbr. einkum 4. mgr. 65. gr., 3. mgr. 65. gr. a, 4. mgr. 66. gr., 6. mgr. 66. gr., 2. mgr. 67. gr. og 70. gr. laganna. Að svo miklu leyti sem þessi ákvæði kunna að veita stoð þeim reglum sem ráðherra setur um vímuefnapróf má telja að þau kunni einnig að veita lagastoð þeirri vinnslu persónuupplýsinga sem nauðsynleg reynist vegna slíkra prófa.
Könnun Persónuverndar á helstu kjarasamningum sem nú eru í gildi hefur ekki leitt í ljós að þar sé að finna grundvöll fyrir vímuefnaprófunum atvinnurekenda.
Með vísan til framangreinds virðist sem ráðherra kunni að hafa lagastoð fyrir setningu reglna um framkvæmd vímuefnaprófa og vinnslu persónuupplýsinga í tengslum við þau. Þá nær samningsforræði aðila vinnumarkaðarins augljóslega til þess að ráða málum hvað þetta álitaefni varðar með kjarasamningum. Verður að telja æskilegt að annað hvort eða hvort tveggja komi til til þess að lögmæti og mörk þessarar starfsemi verði afmörkuð skýrar en nú er.
Tekið skal fram að í áliti þessu er ekki tekin afstaða til þess hvort aðrir töluliðir framangreindra ákvæða 8. og 9. gr. laga nr. 77/2000 geti komið til skoðunar, þegar sérstakar aðstæður eru uppi.
3.
Meginreglur um vinnslu persónuupplýsinga
Við meðferð persónuupplýsinga skal allra þeirra þátta gætt sem tilteknir eru í 7. gr. laga nr. 77/2000, m.a. að persónuupplýsingar séu unnar með sanngjörnum, málefnalegum og lögmætum hætti (1. tölul.). Einnig, að persónuupplýsingar séu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.), þær séu nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.), þær séu áreiðanlegar og uppfærðar eftir þörfum (4. tölul.) og að þær séu varðveittar í því formi að ekki sé unnt að bera kennsl á hinn skráða lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).
Með vísan til þessa þarf að t.a.m. að huga að áreiðanleika vímuefnaprófana og þess að ekki sé aflað meiri upplýsinga en þörf er á, s.s. upplýsingum um lögmæta lyfjanotkun starfsmanns eða öðrum heilsufarslegum upplýsingum sem ekki hafa þýðingu fyrir störf viðkomandi.
Það er ábyrgðaraðili vinnslu sem ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt framangreind ákvæði, sbr. 2. mgr. 7. gr. laga nr. 77/2000.
4.
Niðurstaða
Með vísan til framangreinds er það niðurstaða Persónuverndar að álitamál sé hvort samþykki starfsmanns til vinnslu persónuupplýsinga um sig í tengslum við gerð vímuefnaprófana fullnægi þeim kröfum sem gerðar eru til samþykkis samkvæmt 1. tölul. 1. mgr. 9. gr., sbr. 7. tölul. 1. mgr. 2. gr. laga nr. 77/2000.
Þá er það niðurstaða Persónuverndar að æskilegt sé að nýttar verði heimildir í lögum til að setja reglur um vímuefnapróf og vinnslu persónuupplýsinga af því tilefni en best fari á að aðilar vinnumarkaðarins ráðstafi málefninu með kjarasamningum.