Lífsýnasöfnun Íslenskrar erfðagreiningar - mál nr. 2014/796
Úrskurður
Á fundi stjórnar Persónuverndar þann 17. desember 2014 var kveðinn upp svohljóðandi úrskurður í máli nr. 2014/796:
I.
Grundvöllur máls
Málavextir og bréfaskipti
1.
Tildrög máls
Þann 8. maí 2014 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi), vegna framkvæmdar lífsýnasöfnunar Íslenskrar erfðagreiningar (hér eftir ÍE). Í kvörtuninni segir m.a. að kvartandi sé á bannskrá Þjóðskrár Íslands. Þá gerir kvartandi athugasemd við það hvernig leitað var eftir þátttakendum í samanburðarhópi fyrir rannsóknir ÍE, m.a. með aðkomu björgunarsveita að verkefninu, en björgunarsveitir gengu í hús og söfnuðu lífsýnum þeirra sem samþykktu að veita þau, auk þess sem kvartandi telur að söluhvetjandi aðferð hafi verið beitt, þar sem þátttakendum var boðinn kaupauki í formi klæðis.
2.
Bréfaskipti
Með bréfi, dags. 26. maí 2014, var ÍE að boðið að koma á framfæri skýringum vegna kvörtunarinnar til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Var erindi Persónuverndar ítrekað með bréfi, dags. 1. júlí 2014. Óskaði Persónuvernd sérstaklega eftir að upplýst yrði hvort ÍE teldi ákvæði 28. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga eiga við sem og hvort sú aðferð, sem ÍE viðhafði við öflun lífsýna frá þátttakendum, hefði samrýmst ákvæðum reglna nr. 170/2001, sérstaklega 5. gr. þeirra, um hvernig afla skuli upplýsts samþykkis fyrir vinnslu persónuupplýsinga í vísindarannsókn á heilbrigðissviði.
Svarbréf ÍE, dags. 18. júlí 2014, barst Persónuvernd þann 24 s.m. Þar kom m.a. fram að umrædd rannsókn, þ.e. öflun lífsýna í samanburðarhóp fyrir rannsóknir fyrirtækisins á sviði mannerfðafræði (hér eftir „rannsóknin“), hefði verið tilkynnt til Persónuverndar, enda væri ekki um leyfisskylda vinnslu að ræða þar sem hún byggði á upplýstu samþykki þátttakenda. Þá kom fram að ÍE teldi reglur um bannmerkingar ekki eiga við um vísindarannsóknir á heilbrigðissviði. Í því sambandi benti ÍE á að ákvæði 28. gr. laga nr. 77/2000 gilti um bannmerkingar í þjóðskrá en það ákvæði ætti samkvæmt efni sínu við um markaðssetningarstarfsemi, markaðssókn og þess háttað og ætti að koma í veg fyrir útsendingu s.k. markpósts. Taldi ÍE að póstsendingar í þágu rannsóknarinnar væri ekki markpóstur í skilningi ákvæðisins heldur væri um að ræða boð um þátttöku í vísindarannsókn á heilbrigðissviði samkvæmt 10. gr. laga nr. 74/1997, um réttindi sjúklinga. Til grundvallar því fyrirkomulagi lægju ríkir einstaklings- og almannahagsmunir sem lýstu sér í því að löggjafinn hefði sett sérstakan lagaramma um slíka vinnslu persónuupplýsinga til að tryggja framgang vísindarannsókna á heilbrigðissviði í samræmi við vísindafræðileg viðmið. Þá tók ÍE fram að ef ákvæði um bannskrár yrðu látnar ná yfir vísindarannsóknir á heilbrigðissviði yrði grundvelli slíkra rannsókna kollvarpað. Þá tók ÍE fram að Þjóðskrá Íslands hefði óskað eftir afstöðu félagsins til þess álitaefnis hvort bannmerkingar í þjóðskrá gætu átt við um rannsóknina. Hafi ÍE veitt efnislega sambærilegar útskýringar og hér voru raktar sem Þjóðskrá hafi fallist á.
Um öflun upplýsts samþykkis einstaklinga og það hvort söluhvetjandi aðferð hafi verið beitt við öflunina segir m.a. að 5. gr. reglna nr. 170/2001, um öflun upplýsts samþykkis fyrir þátttöku í vísindarannsókn á heilbrigðissviði, eigi ekki við um rannsóknina þar sem hún sé ekki framkvæmd með þátttöku sjúklinga. Þá sagði ÍE að markhópurinn væri þannig til kominn að öllum einstaklingum 18 ára og eldri, sem eru skráðir í Íslendingabók ÍE og hefðu ekki tekið þátt í rannsóknum ÍE, hafi verið boðin þátttaka, en fylgt hafi verið hefðbundnu verklagi settu af Persónuvernd um þá gagnavinnslu, m.a. hvað afkóðun persónuauðkenna fyrir útsendingu rannsóknargagna og upplýsts samþykkis með bréfpósti. Þá segir að farið hafi verið eftir ákvæði 4. gr. fyrrnefndra reglna.
Loks tekur ÍE fram að rannsóknin hafi verið framkvæmd í samræmi við lög og reglur og samþykkt af Vísindasiðanefnd, sem gætir þess að rannsóknir séu framkvæmdar í samræmi við siðfræðileg viðmið. Hverjum og einum hafi verið frjálst að hafna þátttöku. Þá tók ÍE fram að þakklætisvottur sem ÍE sýndi þátttakendum, þ.e. að gefa þeim stuttermabol, hefði ekki verið talið athugunarvert af hálfu Vísindasiðanefndar og telur ÍE ekki að um kaupauka sé að ræða.
Með bréfi, dags. 21. ágúst 2014, var kvartanda boðið að koma á framfæri athugasemdum sínum við framkomnar skýringar ÍE til samræmis við 10. og 13. gr. stjórnsýslulaga nr. 37/1993. Engin frekari svör bárust.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000
Lög nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Með hugtakinu „persónuupplýsingar“ er átt við sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laga nr. 77/2000. Með hugtakinu „vinnsla“ er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laga nr. 77/2000.
Af framangreindu er ljóst að boð til kvartanda um þátttöku í rannsókn ÍE fellur undir gildissvið laga nr. 77/2000.
2.
Lögmæti vinnslu
Öll vinnsla persónuupplýsinga verður að eiga sér stoð í lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þar er greint á milli almennra persónuupplýsinga og viðkvæmra. Talsvert strangari kröfur eru gerðar til lögmætis vinnslu persónuupplýsinga sem teljast viðkvæmar í skilningi laga nr. 77/2000 en til vinnslu annarra persónuupplýsinga. Svo að vinnsla viðkvæmra persónuupplýsinga sé heimil þarf hún að uppfylla eitthvert skilyrða 1. mgr. 8. gr. sem og eitthvert skilyrða 1. mgr. 9. gr. laganna.
Í máli því sem hér er til úrlausnar liggur fyrir að vinnsla persónuupplýsinga um einstaklinga grundvallast á upplýstu samþykki þeirra. Kvartandi veitti ekki samþykki sitt fyrir þátttöku í rannsókn ÍE og lýtur kvörtun hans ekki að heimild ÍE til vinnslu persónuupplýsinga um hann. Af þessum sökum þarf ekki að meta lögmæti vinnslunnar í ljósi 8. og 9. gr. laganna. Hins vegar er hér til úrlausnar hvort ÍE hafi borið að fylgja ákvæðum laga nr. 77/2000 um bannskrá þjóðskrár (og mögulega reglum 170/2001).
3.
Lagaákvæði um andmæli og bannskrá
Um andmæli gegn vinnslu persónuupplýsinga í markaðssetningarstarfsemi gildir ákvæði 2. mgr. 28. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Samkvæmt henni heldur Þjóðskrá Íslands skrá yfir þá sem ekki vilja að unnið sé með persónuupplýsingar um sig af aðilum sem stunda markaðssetningarstarfsemi. Hefur sú skrá verið kölluð bannskrá. Þeir sem nota skrár með nöfnum, heimilisföngum, netföngum, símanúmerum og þess háttar, eða miðla þeim til þriðja aðila í tengslum við slíka starfsemi, skulu, áður en slík skrá er notuð í slíkum tilgangi, bera hana saman við bannskrá til að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku.
Í 7. mgr. 28. gr. segir að ákvæði 1.-5. mgr. gildi einnig, eftir því sem við á, um markaðs-, neyslu- og skoðanakannanir. Persónuvernd sé heimilt að undanþiggja vísindarannsóknir og hliðstæðar rannsóknir slíkum takmörkunum, enda þyki ljóst að slík geti skert til muna áreiðanleika niðurstöðu rannsóknarinnar.
Lög nr. 77/2000 hafa ekki að geyma skilgreiningu á hugtakinu „markaðssetningarstarfsemi“. Í öðrum lögum má þó finna ákvæði sem unnt er að hafa hliðsjón af í því sambandi. Í 6. tölul. 3. gr. laga nr. 57/2005, um eftirlit með viðskiptaháttum og markaðssetningu, segir að viðskiptahættir séu „markaðssetning eða önnur athöfn, athafnaleysi eða hátterni sem tengist kynningu á vöru eða þjónustu eða viðskiptum með vöru og þjónustu.“. Í 2. mgr. 14. gr. laga nr. 46/2000, um húsgöngu- og fjarsölusamninga, vísar orðið „markaðssetning“ til kynningar á vegum seljenda á „vöru og þjónustu“. Að sama skapi segir er í 1. og 2. mgr. 18. laga nr. 50/2000 um lausafjárkaup, vísað til kynningar á „söluhlutum“. Loks er fjallað um markaðssetningu í 7. gr. laga nr. 30/2002, um rafræn viðskipti og aðra rafræna þjónustu, að orðið „markaðssetning“ er þar notað samhliða hugtakinu „rafræn þjónusta“ sem í 1. tölul. 2. gr. laganna er skilgreint sem þjónusta „sem almennt er veitt gegn greiðslu, úr fjarlægð, með rafrænum hætti að beiðni þjónustuþega.“
Í 4. mgr. 2. gr. laga nr. 74/1997, um réttindi sjúklinga, er hugtakið vísindarannsókn skilgreint sem rannsókn sem gerð er til að auka við þekkingu sem m.a. gerir kleift að bæta heilsu og lækna sjúkdóma. Auk þess sem mat vísindasiðanefndar eða siðanefndar á rannsókninni verði að hafa leitt í ljós að vísindaleg og siðfræðileg sjónarmið mæli ekki gegn framkvæmd hennar.
Af framangreindu má ráða að með markaðssetningu eða markaðssetningarstarfsemi er fyrst og fremst átt við einhvers konar viðskipti með, eða kynningu á, vörum og/eða þjónustu sem veitt er gegn greiðslu. Ákvæði 28. gr. á einungis við um vísindarannsóknir á heilbrigðissviði að því marki sem þær fela jafnframt í sér markaðs-, neyslu- eða skoðanakönnun. Sú rannsókn sem hér um ræðir fól einungis í sér öflun lífsýna frá einstaklingum á grundvelli upplýsts samþykkis þeirra í þeim tilgangi að notast við lífsýni í vísindarannsóknum á heilbrigðissviði. Af tilgangi vinnslunnar hjá ÍE má ráða að honum sé ætlað að auka við þekkingu sem m.a. geri það kleift að bæta heilsu og lækna sjúkdóma. Persónuvernd telur að í slíkri rannsókn felist hvorki markaðs-, neyslu- eða skoðanakönnun. Af þeirri ástæðu er það mat stofnunarinnar að ákvæði 2. mgr. 28. gr., um að ábyrgðaraðili skuli bera skrá sem hann notar í tengslum við markaðssetningarstarfsemi saman við bannskrá Þjóðskrár Íslands, eigi ekki við um rannsókn ÍE sem fól í sér öflun lífsýna í samanburðarhóp fyrir rannsóknir fyrirtækisins á sviði mannerfðafræði.
4.
Önnur umkvörtunarefni kvartanda
Í kvörtun kvartanda kemur einnig fram að framkvæmd rannsóknarinnar, og öflun lífsýna frá þátttakendum hafi farið fram með aðstoð björgunarsveita. Telur kvartandi að sú aðferð feli í sér að einstaklingum finnist þeir „svíkja“ björgunarsveitirnar og almannaheill með því að samþykkja ekki þátttöku í umræddri rannsókna, enda hafi mikið verið upp úr því lagt í kynningarherferð fyrir rannsóknina af björgunarsveitin fengi fjárhagslegan styrk frá ÍE fyrir hvern einstakling sem samþykkti þátttöku. Einnig segir kvartandi að annarri söluhvetjandi aðferð hafi verið beitt og loks nefnir kvartandi að það að óska eftir erfðaefnum frá heimilum fólks feli í sér grófa aðför að persónu einstaklinga. Framangreindum fullyrðingum kvartanda var hafnað af ÍE með bréfi félagsins, dags. 18. júlí sl., en þar kom fram að framkvæmd rannsóknarinnar hefði verið samþykkt af Vísindasiðanefnd, sem gætir þess að rannsóknir séu framkvæmdar í samræmi við siðfræðileg viðmið.
Samkvæmt 10. gr. laga nr. 44/2014, um vísindarannsóknir á heilbrigðissviði, er hlutverk Vísindasiðanefndar að meta vísindarannsóknir á heilbrigðissviði í þeim tilgangi að tryggja að þær samrýmist vísindalegum og siðfræðilegum sjónarmiðum. Á hinn bóginn hefur Persónuvernd eftirlit með því samkvæmt ákvæðum laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga hvernig framkvæmd er háttað við öflun lífsýna og upplýsts samþykkis fyrir vinnslu persónuupplýsinga vegna vísindarannsókna og hvort rannsakendur fylgi þeim skilyrðum sem stofnunin setur, s.s. um dulkóðun persónuauðkenna og öðrum sem hún metur nauðsynleg hverju sinni, sbr. 35. gr. laga nr. 77/2000. Það fellur ekki innan valdssviðs stofnunarinnar að meta hvort framkvæmd rannsóknar sé í samræmi við siðfræðileg sjónarmið, heldur er það mat Vísindasiðanefndar eins og áður sagði.
Ú r s k u r ð a r o r ð:
Ákvæði 28. gr. laga nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga, á ekki við um framkvæmd rannsóknar Íslenskrar erfðagreiningar ehf., um öflun lífsýna í samanburðarhóp fyrir rannsóknir fyrirtækisins á sviði mannerfðafræði. Var vinnsla persónuupplýsinga um [A] í samræmi við ákvæði laga nr. 77/2000.