Heimild til miðlunar upplýsinga frá Landspítala til Leitarstöðvarinnar - mál nr. 2014/1249

19.11.2014

Álit

Hinn 22. október 2014 samþykkti stjórn Persónuverndar, með vísun til 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000, svohljóðandi álit í máli nr. 2014/1249:


1.
Erindi Landspítalans

Persónuvernd vísar til bréfs A, [starfsmanns Landspítalans], dags. 12. september 2014. Í bréfinu sagði m.a.:

„Á Landspítala eru geymdar sjúkraskrár allra sjúklinga sem sótt hafa þjónustu á spítalanum og er framkvæmdastjóri lækninga á spítalanum ábyrgðarmaður þeirra. Eins og gefur að skilja er hér um að ræða mjög viðkvæmar persónuupplýsingar og um þær gilda lög um sjúkraskrár nr. 55/2009. Leitarstöðin ber ábyrgð á eftirliti með konum sem greinast með afbrigðilega niðurstöðu úr leghálsstroki. Þetta eftirlit er óháð því hvar þessu frumustrok eru tekin og hefur Leitarstöðin því um árabil haft rafrænan aðgang að öllum vefjasvörum kvenna á ákveðnum topographiu svæðum sem til eru á Landspítala.

Nú hefur Leitarstöðin óskað eftir að fá sendar upplýsingar frá Landspítala um þær konur sem hafa farið í fullkomið legnám á spítalanum óháð því hvort þær hafi fengið krabbamein eða ekki. Ástæðan er m.a. sú að konur sem hafa farið í fullkomið legnám en aldrei haft breytingar samsvarandi CIN2+ þurfa ekki að fara í reglubundna leghálskrabbameinsleit vegna lítillar áhættu á leghálskrabbameini. Leitarstöðin telur að með þessum upplýsingum mætti koma í veg fyrir sóun opinberra fjármuna og forða þessum hópi kvenna frá óþarfa rannsóknum. Þessari beiðni Leitarstöðvarinnar var hafnað nú í vor að Landspítala á þeim grundvelli að í lögum um sjúkraskrár væri ekki að finna heimild til þess að afhenda slíkar upplýsingar.

Landspítala barst annað erindi frá yfirlækni Leitarstöðvarinnar þar sem réttur til aðgangs að upplýsingunum var rökstuddur með vísan til 7. tölul. 8. gr. og 8. tölul. 9. gr. laga um persónuvernd nr. 77/2000.

Í 3. gr. laga um sjúkraskrár segir að, að svo miklu leyti sem ekki er mælt fyrir um á annan veg í lögum þessum gildi ákvæði laga um persónuvernd og meðferð persónuupplýsinga um sjúkraskrárupplýsingar og meðferð þeirra. Í IV. kafla sjúkraskárlaga er svo fjallað um aðgang að sjúkraskrárupplýsingum. Samkvæmt 12. gr. laganna er aðgangur að sjúkraskrárupplýsingum óheimill nema til hans standi lagaheimild samvæmt ákvæðum sjúkraskrárlaganna eða öðrum lögum.

Landspítali óskar eftir áliti Persónuverndar á því hvort almenn ákvæði persónuverndarlaga geti heimilað aðgang að sjúkraskrárupplýsingum á grundvelli 12. gr. sjúkraskrárlaga. Og jafnframt hvort vinnsla sú sem getið er hér að ofan fellur undir 8. tölul. 9. gr. persónuverndarlaga og teljist venjubundin stjórnsýsla á sviði heilbrigðisþjónustu.“

Þá kom fram í símtali starfsmanns Persónuverndar við [starfsmann] Landspítalans, þann 22. september 2014, að Leitarstöðin væri að óska eftir upplýsingum um konur sem hefðu farið í fullkomið legnám óháð því hvort þær hefðu fengið krabbamein eða ekki.

2.
Forsendur og niðurstaða

2.1.
Þau lög, sem Persónuvernd framfylgir og starfar eftir, þ.e. lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, gilda um vinnslu persónuupplýsinga, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. Í athugasemdum við 2. tölul. 2. gr. í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Með vísan til framangreinds er ljóst að miðlun sjúkraskrárupplýsinga um konur sem hafa farið í fullkomið legnám á Landspítalanum fellur undir gildissvið laga nr. 77/2000.

2.2.
Að því marki sem um er að ræða vinnslu almennra persónuupplýsinga um einstaklinga er tekið fram að hún verður að samrýmast einhverju af skilyrðum 8. gr. laga nr. 77/2000 svo hún sé heimil. Ef vinna á með viðkvæmar persónuupplýsingar verður að auki að vera fullnægt einhverju af skilyrðum 9. gr. sömu laga. Upplýsingar um heilsuhagi eru viðkvæmar persónuupplýsingar, sbr. c-lið 8. tölul. 2. gr. laganna. Upplýsingar um það að kona hafi farið í fullkomið legnám teljast upplýsingar um heilsuhagi og því þarf vinnsla slíkra upplýsinga, þ.m.t. miðlun þeirra til þriðja aðila, að byggja á heimild í 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000.

Að auki verður öll vinnsla persónuupplýsinga að fullnægja grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000 um gæði gagna og vinnslu. Þar er mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar, sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.); og að þær skuli varðveittar í því formi að ekki sé unnt að bera kennsl á hina skráðu lengur en þörf krefur miðað við tilgang vinnslu (5. tölul.).

2.3.
Landspítalinn hefur óskað eftir áliti stofnunarinnar á því hvort ákvæði laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, geti heimilað miðlun upplýsinga, um konur sem hafa farið í fullkomið legnám, frá Landspítalanum til Leitarstöðvar Krabbameinsfélags Íslands. Þá hefur Landspítalinn óskað eftir áliti á því hvort fyrrnefnd vinnsla falli undir 8. tölul. 9. gr. laga nr. 77/2000 og teljist til venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu.

Leitarstöð Krabbameinsfélags Íslands ber ábyrgð á framkvæmd legháls- og brjóstakrabbameinsleitar. Leitarstöð Krabbameinsfélags Íslands starfar eftir þjónustusamningi við heilbrigðisráðuneytið og um leitarstarfið gilda samræmdar starfsreglur sem unnar voru í samráði við Landlæknisembættið, en landlæknir er eftirlitsaðili leitarstarfsins. Tilgangur skipulegrar krabbameinsleitar er m.a. að koma í veg fyrir myndun krabbameina með því að finna þau á forstigi, áður en ífarandi krabbamein hefur myndast, skoðuð öll leghálsstrok sem tekin eru hérlendis. Á Leitarstöðinni eru framkvæmdar legháls- og brjóstaskoðanir, haldin er skrá yfir niðurstöður úr rannsóknum er tengjast leitarstarfinu og konur eru boðaðar í eftirlit og sérskoðanir í samræmi við starfsreglur.

Lög nr. 55/2009, um sjúkraskrár, fjalla m.a. um aðgang að sjúkraskrárupplýsingum.  Í 1. mgr. 12. gr. er að finna almennt ákvæðis þess efnis að aðgangur að sjúkraskrám sé óheimill nema til hans standi lagaheimild samkvæmt sjúkraskrárlögum eða öðrum lögum. Þá segir í 1. mgr. 13. gr. að heilbrigðisstarfsmenn sem komi að meðferð sjúklings og þurfi á sjúkraskrárupplýsingum að halda vegna meðferðarinnar skuli hafa aðgang að sjúkraskrá sjúklings með þeim takmörkunum sem leiða af ákvæðum sjúkraskrárlaga og reglum settum samkvæmt þeim.

Samkvæmt 8. tölul. 1. mgr. 9. gr. laga nr. 77/2000 er vinnsla viðkvæmra persónuupplýsinga heimil sé hún nauðsynleg vegna læknismeðferðar eða vegna venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu. Framkvæmd legháls- og brjóstakrabbameinsleitar  hefur verið talin hluti af hefðbundinni stjórnsýslu í skilningi 8. töluliðar. Hugtakið heilbrigðisþjónusta eru skilgreint í 1. tölul. 1. mgr. 4. gr. laga nr. 40/2007, um heilbrigðisþjónustu, sem hvers kyns heilsugæsla, lækningar, hjúkrun, almenn og sérhæfð sjúkrahúsþjónusta, sjúkraflutningar, hjálpartækjaþjónusta og þjónusta heilbrigðisstarfsmanna innan og utan heilbrigðisstofnana sem veitt er í því skyni að efla heilbrigði, fyrirbyggja, greina eða meðhöndla sjúkdóma og endurhæfa sjúklinga.

Af erindi Landspítalans má ráða að Leitarstöðin hefur óskað eftir að spítalinn miðli upplýsingum, um konur sem farið hafi í fullkomið legnám, til Leitarstöðvarinnar þar sem umræddar konur þurfi ekki að fara í reglubundna leghálskrabbameinsleit vegna lítillar áhættu á leghálskrabbameini. Þá segir í erindi spítalans að Leitarstöðin telji að með umræddum upplýsingum megi koma í veg fyrir sóun opinberra fjármuna og forða þessum hópi kvenna frá óþarfa rannsóknum. Af framangreindu má ráða að umrædd miðlun frá Landspítala til Leitarstöðvarinnar er liður í veitingu heilbrigðisþjónustu hjá Leitarstöðinni, þ.e. í þeim tilgangi að afmarka þá heilbrigðisþjónustu sem stöðin veitir, í þeirri viðleitni að fyrirbyggja og greina krabbamein, og hverjum nauðsynlegt er að veita slíka þjónustu.

Með vísan til framangreinds telur Persónuvernd að fyrirhuguð miðlun upplýsinga, um þær konur sem farið hafi í fullkomið legnám, til Leitarstöðvar Krabbameinsfélags Íslands, fari fram í málefnalegum tilgangi og að hún sé ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar og samrýmist hún því 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga. Þá er það mat stjórnar að vinnslan sé nauðsynleg vegna venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu og samræmist því 8. tölul. 9. gr. laga nr. 77/2000. Sú vinnsla persónuupplýsinga sem fellur undir 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000, hefur lagastoð í fyrrnefndum ákvæðum sbr. 1. mgr. 12. gr. laga nr. 55/2009, um sjúkraskrár.


Á l i t s o r ð
Miðlun upplýsingar um konur sem hafa farið í fullkomið legnám frá Landspítala til Leitarstöðvar Krabbameinsfélags Íslands samrýmist 7. tölul. 8. gr. og 8. tölul. 9. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, sbr. einnig 1. mgr. 12. gr. laga nr. 55/2009.