Vinnsla Útlendingastofunar á persónuupplýsingum frá Landspítala
Úrskurður
Á fundi stjórnar Persónuverndar hinn 24. febrúar 2016 var kveðinn upp svohljóðandi úrskurður í máli nr. 2015/1381:
I.
Bréfaskipti
1.
Persónuvernd hefur borist kvörtun frá [A] hdl. fyrir hönd [B] (hér eftir nefnd „kvartandi“), dags. 26. október 2015, yfir að Landspítalinn hafi miðlað upplýsingum um hana og eiginmann hennar til Útlendingastofnunar. Einnig er kvartað yfir því að Útlendingastofnun hafi skráð þessar upplýsingar og miðlað þeim til Lögreglunnar á höfuðborgarsvæðinu. Nánar tiltekið er um að ræða upplýsingar tengdar því þegar kvartandi fæddi barn á spítalanum hinn 3. september 2014.
Fram kemur í kvörtun að þegar atvik málsins áttu sér stað hafði Útlendingastofnun til umfjöllunar umsókn kvartanda um dvalarleyfi, en sótt hafði verið um slíkt leyfi á grundvelli fjölskyldutengsla, þ.e. hjúskapar, sbr. 13. gr. útlendingalaga nr. 96/2002. Þá kemur fram að Útlendingastofnun hafði til athugunar hvort stofnað hefði verið til hjónabandsins til málamynda. Segir að fyrrnefndur lögmaður hafi óskað eftir gögnum í því máli, en á meðal þeirra hafi verið bréf Útlendingastofnunar til Lögreglunnar á höfuðborgarsvæðinu, dags. 4. desember 2014. Í því bréfi, sem hjálagt var með kvörtuninni, segir meðal annars:
„Vegna eftirfarandi atriða telur Útlendingastofnun að hjúskapur [B] og [C] sé hugsanlega til málamynda.
[…]
Upplýsingar hafa borist frá Landspítala um að [B] væri mjög ung og barnaleg og maður hennar óframfærinn.“
Segir í kvörtun að af framangreindu megi ráða að einhver þeirra starfsmanna, sem komu að meðferð kvartanda og eftirliti með henni á meðgöngu og í kjölfar barnsburðar, hafi miðlað upplýsingum frá Landspítala til Útlendingastofnunar, sem og að stofnunin hafi miðlað upplýsingunum til Lögreglunnar á höfuðborgarsvæðinu. Um hafi verið að ræða viðkvæmar persónuupplýsingar og hafi vinnsla þeirra þurft að samrýmst ákvæðum II. kafla laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. einkum 7.–9. gr. og 11.–13. gr. laganna. Hvorki kvartandi né eiginmaður hennar hafi samþykkt miðlun upplýsinganna frá Landspítalanum og hafi hún því verið óheimil. Að auki hafi hlutaðeigandi starfsmaður spítalans verið bundinn þagnarskyldu um alla hagi kvartanda og meðferð, sbr. 17. gr. laga nr. 34/2012 um heilbrigðisstarfsmenn og 12. gr. laga nr. 74/1997 um réttindi sjúklinga. Þá hafi Útlendingastofnun verið óheimilt að dagbókarfæra upplýsingarnar með rafrænum hætti og miðla þeim áfram til lögreglu. Þar breyti engu skylda stofnunarinnar til að rannsaka hagi kvartanda, sbr. 3. mgr. 13. gr. útlendingalaga nr. 96/2002, né heldur heimildir stofnunarinnar til þess að miðla áfram gögnum um mál, sem hún hefur til meðferðar, til lögreglu. Upplýsingarnar hafi verið fengnar eftir ólögmætum leiðum og því óheimilt að byggja á þeim, skrá þær og miðla þeim áfram.
Með vísan til framangreinds er í kvörtuninni farið fram á að Persónuvernd láti málið til sín taka í samræmi við þær lagaheimildir sem stofnunin starfar eftir.
2.
Með bréfum, dags. 3. nóvember 2015, veitti Persónuvernd Útlendingastofnun og Landspítalanum færi á að tjá sig um framangreinda kvörtun. Útlendingastofnun svaraði með bréfi, dags. 9. s.m., en Landspítalinn með bréfi, dags. 10. s.m. Í bréfi Útlendingastofnunar er lýst þeirri afstöðu að ekki sé um viðkvæmar persónuupplýsingar að ræða samkvæmt 8. tölul. 2. gr. laga nr. 77/2000, s.s. upplýsingar um heilsuhagi, heldur eingöngu upplýsingar um persónuleika og aldur kvartanda og eiginmanns hennar og endurspegli þær í raun upplifun og viðhorf þess einstaklings sem veitti upplýsingarnar. Yrði niðurstaða Persónuverndar hins vegar sú að um væri að ræða viðkvæmar persónuupplýsingar teldist vinnsla þeirra heimil samkvæmt 55. gr. laga nr. 96/2002 um útlendinga, sbr. 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000.
Einnig er vísað til þess hlutverks stjórnvalda að komast að eins réttri niðurstöðu í hverju máli og unnt er. Segir að svo að því markmiði verði náð sé almennt litið til allra þeirra upplýsinga sem aðgengilegar séu í hverju einstöku máli. Útlendingastofnun hafi því verið heimilt að gera umræddar upplýsingar að hluta af gögnum máls vegna umsóknar kvartanda um dvalarleyfi, enda hvíli ekki sú skylda á henni að kanna vinnslu- og miðlunarheimildir annarra stofnana.
Fram kemur að samkvæmt skráningu Útlendingastofnunar hafi þrisvar verið hringt frá Landspítala til að spyrja um stöðu dvalarleyfisumsóknar kvartanda. Samkvæmt dagbókarfærslu hjá stofnuninni hafi umbeðnar upplýsingar verið veittar.
Vísað er til þess í bréfi Útlendingastofnunar að samkvæmt 8. gr. laga nr. 77/2000 er vinnsla persónuupplýsinga heimil sé hún nauðsynleg til að fullnægja lagaskyldu eða við beitingu opinbers valds, sbr. 3. og 6. tölul. 1. mgr. 8. gr. Einnig er vísað til þess að stofnunin er bundin af stjórnsýslulögum nr. 37/1993, þ. á m. 10. gr. laganna þar sem mælt er fyrir um skyldu stjórnvalda til að rannsaka mál áður en ákvörðun er tekin í því. Í ljósi þessa segir:
„Samkvæmt 3. mgr. 13. gr. laga um útlendinga nr. 96/2002 veitir það ekki rétt til dvalarleyfis ef rökstuddur grunur er uppi um að til hjúskapar hafi verið stofnað í þeim tilgangi einum að afla dvalarleyfis. Sama gildir ef rökstuddur grunur er um að ekki hafi verið stofnað til hjúskapar með vilja beggja hjóna eða ef stofnun hjúskapar brýtur í bága við allsherjarreglu og meginreglur íslenskra laga. Ef annar makinn er 24 ára eða yngri skal ávallt kanna hvort málsatvik eru með þessum hætti. Útlendingastofnun bar því lagaskylda til að rannsaka hvort málsatvik væru með þeim hætti sem um ræðir í 3. mgr. 13. gr. Metið er í hverju máli fyrir sig hvernig slík rannsókn fer fram, oft eru tekin viðtöl við umsækjanda og maka og ef mat stofnunarinnar er að þörf sé á aðstoð lögreglu er óskað eftir henni. Samkvæmt lögreglulögum nr. 90/1996 er það meðal hlutverka lögreglu að vinna með öðrum stjórnvöldum sem hafa með höndum verkefni sem tengist starfssviði lögreglu. Samkvæmt 55. gr. laga um útlendinga nr. 96/2002 er Útlendingastofnun og lögreglu heimil vinnsla persónuupplýsinga, þar á meðal þeirra sem viðkvæmar geta talist, að því marki sem slík vinnsla telst nauðsynleg við framkvæmd laganna.“
Með vísan til framangreinds segir í bréfi Útlendingastofnunar að vinnsla umræddra upplýsinga hafi samrýmst fyrrnefndum ákvæðum 3. og 5. tölul. 1. mgr. 8. gr. laga nr. 77/2000. Þá segir að fullnægt hafi verið kröfum 7. gr. laganna um sanngirni og meðalhóf við vinnslu persónuupplýsinga. Um það segir:
„Útlendingastofnun telur að vinnsla umræddra upplýsinga hafi ekki gengið lengra en heimilt er samkvæmt 7. gr. Upplýsingarnar voru sendar lögreglu með það í huga að rannsakað yrði hvort verið væri að brjóta gegn lögum um útlendinga og hvort verið væri að brjóta gegn réttindum einstaklings, þ.e. umsækjanda, í samræmi við ákvæði 55. gr. laga um útlendinga. Útlendingastofnun var fyrst og fremst að sinna skyldum skv. 3. mgr. 13. gr. útlendingalaga. Í lögskýringargögnum með ákvæðinu segir að vinnsla geti vart talist sanngjörn nema hinn skráði geti fengið vitneskju um hana og eigi, þegar söfnun upplýsinga á sér stað, kost á fullnægjandi upplýsingum um vinnsubrögð, vinnuferli og annað er lúti að vinnslunni. Er það mat Útlendingastofnunar að tilkynning til umsækjenda um upplýsingarnar og að þeim hafði verið miðlað hefði skaðað þá rannsóknarhagsmuni sem voru undir í málinu.“
Í fyrrgreindu bréfi Landspítala til Persónuverndar, dags. 10. nóvember 2015, segir að í gögnum hans séu hvergi skráðar þær upplýsingar sem vitnað er til í bréfi Útlendingastofnunar til Lögreglunnar á höfuðborgarsvæðinu. Hafi miðlun upplýsinganna átt sér stað hafi því hvorki verið um rafræna né handvirka vinnslu persónuupplýsinga að ræða. Meint miðlun falli því ekki undir gildissvið laga nr. 77/2000.
Tekið er þó fram í bréfinu að málið hafi verið skoðað gaumgæfilega innan spítalans og bendi ekkert til þess að ólögmæt miðlun hafi átt sér stað. Þeirri skoðun hafi þó ekki að fullu verið lokið og hafi spítalinn sent Útlendingastofnun erindi þar sem farið sé fram á nánari skýringar á með hvaða hætti stofnunin fékk þær upplýsingar sem fram koma í bréfi hennar til lögreglunnar á höfuðborgarsvæðinu.
3.
Með bréfi, dags. 19. nóvember 2015, veitti Persónuvernd lögmanni kvartanda færi á að tjá sig um framangreind svör Útlendingastofnunar og Landspítala. Lögmaðurinn svaraði með bréfi, dags. 3. desember 2015. Þar er þeirri afstöðu Útlendingastofnunar mótmælt að ekki hafi verið um að ræða viðkvæmar persónuupplýsingar. Nánar tiltekið segir að upplýsingar um að kvartandi hafi leitað til Landspítala vegna heilsufars síns á meðgöngu og vegna fæðingar barns hennar og eiginmanns hennar séu ótvírætt viðkvæmar, sbr. 8. tölul. 2. gr. laga nr. 77/2000. Það megi og sjá af því að miðlun upplýsinganna frá Landspítala hafi brotið gegn ákvæðum um þagnarskyldu, sbr. fyrrnefnd ákvæði þar að lútandi sem vísað er til í kvörtun.
Því er einnig mótmælt að á Útlendingastofnun hvíli ekki skylda til að kanna vinnslu- og miðlunarheimildir annarra stofnana. Þar sem hún sé opinber ríkisstofnun geti hún ekki skýlt sér á bak við vanþekkingu á lögum til réttlætingar á ólögmætri háttsemi sem brjóti gegn mannréttindum kvartanda.
Auk þess sé ótvírætt að dagbókarfærsla umræddra upplýsinga hjá Útlendingastofnun hafi fallið undir lög nr. 77/2000, sbr. 1. mgr. 3. gr. þeirra laga. Þegar af þeirri ástæðu að miðlun upplýsinganna frá Landspítalanum hafi verið óheimil, sbr. áðurnefnd þagnarskylduákvæði, hafi stofnuninni verið óheimilt að skrá upplýsingarnar og miðla þeim til þriðja aðila.
Hvað svar Landspítalans varðar segir:
„Umbj. minn hefur, þrátt fyrir fram komna kröfu þar að lútandi, ekki borist afrit af sjúkraskrá sinni á því tímabili sem hið umþrætta símtal frá Landspítala til Útlendingastofnunar á að hafa átt sér stað. Meðan svo stendur á getur umbj. minn ekki tekið afstöðu til röksemdafærslu Landspítala í bréfi dags. 10. nóvember 2015. Umbj. minn ítrekar þar af leiðandi málsástæður og lagarök sem fram koma í kvörtun umbj. míns þann 26. október 2015.
Skal þó tekið fram að meðfylgjandi dagbókarfærsla tiltekur tímasetningu hins umþrætta símtals og nafngreinir ennfremur þann starfsmann Landspítalans sem miðlaði með ólögmætum hætti viðkvæmum persónuupplýsingum um umbj. minn til Útlendingastofnunar.“
Afrit af dagbókarfærslunni var hjálagt með bréfi lögmanns kvartanda. Kemur þar fram að um hafi verið að ræða tiltekinn félagsráðgjafa á spítalanum.
4.
Með bréfi, dags. 19. janúar 2016, var Landspítalanum veitt færi á að tjá sig um framangreint bréf lögmanns kvartanda, dags. 3. desember 2015. Svarað var með bréfi, dags. 22. s.m. Í því voru ekki gerðar aðrar athugasemdir en að lögmanninum hefði verið greint frá því í tölvupósti hinn 9. desember 2015 að gögn úr sjúkraskrá kvartanda væru tilbúin til afhendingar. Í símtali starfsmanns Persónuverndar og [D], lögfræðings hjá Landspítala, kom fram af hálfu spítalans að sá starfsmaður spítalans, sem tilgreindur er í áðurnefndri dagbókarfærslu Útlendingastofnunar, væri þar ekki lengur við störf. Starfsmaðurinn hefði þrætt fyrir að hafa miðlað umræddum upplýsingum og hefði könnun spítalans á málinu ekki leitt neitt í ljós sem haggaði þeim andmælum.
Í tölvupósti hinn 16. febrúar 2016 var lögmanni kvartanda veitt færi á að tjá sig um framangreindar skýringar Landspítala. Í tölvupósti hinn 19. s.m. greindi lögmaðurinn Persónuvernd frá því að sér hefðu borist skilaboð um það frá spítalanum í byrjun desember 2015 að sjúkraskrá kvartanda væri tilbúin til afhendingar en að kvartandi hefði ekki getað sótt afritið fyrr en í janúar 2016. Einnig sendi lögmaðurinn Persónuvernd svar í tölvupósti sama dag þar sem segir að fyrir liggi að viðkomandi starfsmaður Landspítala hafi vanrækt að skrá niður upplýsingar um símtal sitt við Útlendingastofnun í sjúkraskrá. Þá segir að samkvæmt símtali við lögfræðing hjá Landspítala hafi viðkomandi starfsmaður greint spítalanum frá því að umfjöllun um málið sneri að öllum líkindum að sér. Þar sem hins vegar sé ljóst að hvorki spítalinn né starfsmaðurinn ætli að gangast við því að hafa lekið upplýsingunum verði kæra send lögreglu síðar um daginn.
II.
Forsendur og niðurstaða
1.
Gildissvið laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 3. gr. þeirra laga, og þar með valdsvið Persónuverndar, sbr. 1. og 2. mgr. 37. gr. laganna, nær til sérhverrar rafrænnar vinnslu persónuupplýsinga, sem og handvirkrar vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá. Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna; og vinnsla er sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar. Í athugasemdum við það ákvæði í því frumvarpi, sem varð að lögum nr. 77/2000, kemur fram að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.
Af þessu öllu er ljóst að skráning upplýsinga um kvartanda í málsskjöl hjá Útlendingastofnun fól í sér vinnslu persónuupplýsinga samkvæmt lögum nr. 77/2000. Miðlun upplýsinganna í bréfi til lögreglu fól einnig í sér slíka vinnslu. Öðru máli gegnir um það þegar Útlendingastofnun og starfsmaður Landspítala skiptust á upplýsingum símleiðis, enda var þar eingöngu um munnleg samskipti að ræða sem ekki falla undir áðurnefnt vinnsluhugtak. Hins vegar geta þau upplýsingaskipti fallið undir önnur lagaákvæði, sbr. einkum þagnarskylduákvæði 17. gr. laga nr. 34/2012 um heilbrigðisstarfsmenn, 12. gr. laga nr. 74/1997 um réttindi sjúklinga og 18. gr. laga nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins. Það fellur ekki í hlut Persónuverndar að fjalla um meint brot á þagnarskylduákvæðum og verður því hér ekki tekin afstaða til lögmætis umræddra upplýsingaskipta símleiðis. Tekið skal þó fram að höfð verður hliðsjón af slíkum ákvæðum eftir því sem við á í tengslum við lögmæti fyrrnefndrar skráningar og miðlunar Útlendingastofnunar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Útlendingastofnun vera ábyrgðaraðili að þeirri vinnslu sem fólst í skráningu upplýsinga um kvartanda frá Landspítala, sem og miðlun þeirra upplýsinga til Lögreglunnar á höfuðborgarsvæðinu.
2.
Svo að vinna megi með persónuupplýsingar verður ávallt að vera fullnægt kröfum einhvers af heimildarákvæðum 8. gr. laga nr. 77/2000. Svo að vinnsla viðkvæmra persónuupplýsinga sé heimil þarf einnig að vera fullnægt einhverri af viðbótarkröfum 9. gr. sömu laga þar sem er að finna heimildir til slíkrar vinnslu. Samkvæmt c-lið 8. tölul. 2. gr. laga nr. 77/2000 eru upplýsingar um heilsuhagi viðkvæmar. Líta verður svo á að þær upplýsingar, sem Útlendingastofnun aflaði frá viðkomandi félagsráðgjafa á Landspítalanum, hafi falið í sér staðfestingu á að kvartandi hafi leitað til spítalans til að fá þar heilbrigðisþjónustu, en af því leiðir að upplýsingarnar lutu að heilsuhögum. Voru upplýsingarnar því viðkvæmar.
Af heimildum 8. gr. laga nr. 77/2000 geta einkum 3., 5. og 6. tölul. 1. mgr. komið til greina þegar um ræðir vinnslu hjá stjórnvöldum, en þar er mælt fyrir um að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að fullnægja lagaskyldu, vegna verks sem unnið er í þágu almannahagsmuna eða við beitingu opinbers valds. Af heimildum 9. gr. laganna getur, eins og hér háttar til, einkum komið til greina 7. tölul. 1. mgr., þess efnis að vinnsla viðkvæmra persónuupplýsinga sé heimil sé hún nauðsynleg til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Útlendingastofnun hefur vísað til 2. tölul. 1. mgr. 9. gr. laganna, þess efnis að vinnsla persónuupplýsinga sé heimil standi til hennar sérstök lagaheimild, en hún sé fólgin í 55. gr. útlendingalaga nr. 96/2002. Af því tilefni skal minnt á að samkvæmt athugasemdum við umrætt ákvæði laga nr. 77/2000 í greinargerð með því frumvarpi, sem varð að lögunum, verður lagaheimild til vinnslu viðkvæmra persónuupplýsinga að fullnægja ströngum kröfum. Nánar tiltekið segir þar að því meiri íhlutun í einkalíf einstaklingsins sem vinnsla hafi í för með sér, þeim mun ótvíræðari þurfi lagaheimildin að vera. Sé þá litið til þess hvort löggjafinn hafi í raun tekið tillit til þeirra almennu persónuverndarsjónarmiða sem á reynir við meðferð viðkvæmra persónuupplýsinga. Verði að liggja fyrir að hann hafi skoðað slík sjónarmið en engu síður talið vinnsluna nauðsynlega vegna almannahagsmuna. Ekki verður séð að þetta geti átt við um skráningu Útlendingastofnunar á upplýsingum úr heilbrigðiskerfinu og miðlun þeirra til lögreglu, enda er hvorki í 55. gr. laga nr. nr. 96/2002 né öðrum lagaákvæðum fjallað um heimildir stofnunarinnar til slíkrar skráningar og miðlunar án samþykkis hlutaðeigandi einstaklings. Verður 2. tölul. 1. mgr. 9. gr. laga nr. 77/2000 því ekki talinn eiga við hér.
Auk fullnægjandi vinnsluheimildar ber ávallt að gæta að því við vinnslu persónuupplýsinga að fullnægt sé öllum kröfum 1. mgr. 7. gr. laga nr. 77/2000, en þar er meðal annars mælt fyrir um að persónuupplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skuli fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum, en persónuupplýsingar sem séu óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta.
Í löggjöf er lögð á það rík áhersla að fólk, sem leitar til heilbrigðiskerfisins, geti treyst því að það njóti trúnaðar um allt sem viðkemur þeirri þjónustu sem þar er veitt, sbr. meðal annars fyrrgreind þagnarskylduákvæði í heilbrigðislöggjöf, sbr. og grunnreglu 71. gr. stjórnarskrárinnar og 8. gr. mannréttindasáttmála Evrópu um friðhelgi einkalífs. Þegar litið er til þessarar megináherslu réttarins um upplýsingar í heilbrigðiskerfinu telur Persónuvernd ljóst að umrædd skráning Útlendingastofnunar á upplýsingum um kvartanda hafi ekki samrýmst ákvæðum 7. gr. laga nr. 77/2000, sbr. einkum ákvæði 1. tölul. 1. mgr. þeirrar greinar um sanngirni við vinnslu persónuupplýsinga. Þegar af þeirri ástæðu fór skráning upplýsinganna í bága við lögin, sem og öll síðari vinnsla þeirra, þ. á m. miðlun þeirra til lögreglu.
Ú r s k u r ð a r o r ð:
Skráning Útlendingastofnunar á upplýsingum fengnum frá Landspítala um [B], sem og öll síðari vinnsla þeirra upplýsinga, þ. á m. miðlun þeirra til Lögreglunnar á höfuðborgarsvæðinu, fór í bága við lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.