Úrskurður um skoðun sjúkraskrár vegna kvörtunar yfir meðferð
Mál nr. 2017/441
Úrskurður
Á fundi stjórnar Persónuverndar hinn 28. ágúst 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/441:
I.
Málsmeðferð
1.
Tildrög máls – Kvörtun
Persónuvernd hefur borist kvörtun, dags. 6. mars 2017, frá [A] (hér eftir nefnd „kvartandi“) yfir aðkomu framkvæmdastjóra lækninga hjá Heilbrigðisstofnun Suðurlands (HSu) að máli vegna kvörtunar til landlæknis yfir veitingu heilbrigðisþjónustu á stofnuninni, en hún var nánar tiltekið þess efnis að kvartandi hefði ekki fengið þar rétta meðhöndlun. Segir að við meðferð málsins hjá landlækni hafi hann leitað eftir umsögn frá HSu, auk afrita af gögnum málsins. Þá segir:
„Með greinargerð stofnunarinnar sem [B] forstjóri HSu skrifar undir voru lagðar fram greinargerðir vakthafandi hjúkrunarfræðings, yfirlæknis bráðamóttöku, yfirlæknis heilsugæslunnar og þess læknis sem sinnti [A] í umrætt sinn. Ekki er hægt að gera athugasemdir við aðkomu þessara aðila að málinu en með greinargerð HSu var einnig lögð fram greinargerð [C] framkvæmdastjóra lækninga þar sem hann fer yfir sjúkrasögu [A] sem og afleiðingar þeirrar röngu læknismeðhöndlunar sem hún fékk á HSu. Rétt er að taka fram að [C] hefur aldrei hitt [A] né hringt í hana en engu að síður skoðar hann sjúkraskrá hennar í að því er virðist algjöru tilgangsleysi enda var algjörlega óþarft og í raun óskiljanlegt hvers vegna leitað var álits hans. Þá leitaði hann ekki samþykkis hennar fyrir því að skoða sjúkraská hennar við vinnslu greinargerðar sinnar.“
Einnig segir meðal annars að sömu upplýsingar og fram koma í greinargerð framkvæmdastjóra lækninga hafi verið að finna í greinargerðum meðferðarlækna. Hafi framkvæmdastjórinn með háttsemi sinni brotið gegn 1. mgr. 13. gr. laga nr. 55/2009 um sjúkraskrár þar sem hann hafi hvorki komið að meðferð kvartanda né þurft að skoða sjúkraskrá hennar þar sem það væri nauðsynlegt vegna starfa hans í þágu hennar. Engin þörf hafi verið á greiningu hans á atvikum og afleiðingum, enda hafi legið fyrir greinargerðir þeirra aðila sem eðlilegt hafi verið að aflað væri skýringa frá. Þá hafi hann aldrei sinnt kvartanda sem sjúklingi og ekki fengið samþykki hennar fyrir vinnslu upplýsinga um hana.
Fram kemur í kvörtuninni að [D] hdl. hjá PACTA lögmönnum fer með umboð til að koma fram fyrir hönd kvartanda í málinu.
2.
Bréfaskipti
Með bréfi, dags. 18. júlí 2017, ítrekuðu með bréfi, dags. 26. september s.á., veitti Persónuvernd HSu færi á að tjá sig um framangreinda kvörtun. Framkvæmastjóri lækninga á HSu svaraði fyrir hönd stofnunarinnar í tölvupósti hinn 10. október 2017. Þar segir að hann sé þar ábyrgðarmaður rafrænnar sjúkraskár og hafi eftirlitsréttindi í því sambandi, en jafnframt sé hann þar yfirmaður læknisþjónustu. Svo til öll, ef ekki öll, erindi sem stofnuninni berist frá landlækni komi til umfjöllunar hans og svari hann þeim fyrir hönd stofnunarinnar, oft með greinargerðum starfsmanna sem að málinu komi eigi það við. Til þess að geta sinnt þessu hlutverki sé óhjákvæmilegt að hann fari yfir sjúkraskrár viðkomandi skjólstæðinga. Telja verði að stofnunin hafi rétt til umsagnar af tilefni kæru eða kvörtunar sem beinist að stofnuninni og starfsmönnum hennar, en í því felist réttur og heimild framkvæmdastjóra lækninga sem ábyrgðarmanns til að skoða gögn málsins án þess að leita þurfi sérstaklega samþykkis hjá skjólstæðingi fyrir því, enda hafi framkvæmdastjórinn eftirlitsréttindi með sjúkraskrárkerfi stofnunarinnar sem ábyrgðarmaður þess. Aukinheldur sé mikilvægt að skoða mál til að kanna hvernig í þeim liggi, hvort skráningar liggi fyrir um viðkomandi samskipti í sjúkraskrá og hvort ástæða sé til að endurskoða verklag og verkferla svo að dæmi séu nefnd. Framkvæmdastjóri lækninga hafi aldrei skoðað sjúkraskrár skjólstæðinga sér til skemmtunar eða vegna forvitni og í þessu tilfelli sem öðrum hafi hann eingöngu verið að sinna starfi sínu samkvæmt þeirri ábyrgð sem honum sé falin.
Með bréfi, dags. 29. desember 2017, var framangreindum lögmanni veitt færi á að tjá sig fyrir hönd kvartanda um þetta svar HSu. Svarað var í tölvupósti hinn 10. janúar 2018. Segir þar að ekki séu taldar ástæður til að koma að athugasemdum vegna svarsins en vísað til þess rökstuðnings sem fram kemur í kvörtun.
II.
Forsendur og niðurstaða
1.
Lagaskil
Mál þetta varðar kvörtun sem barst Persónuvernd í mars 2017 og lýtur að atvikum sem gerðust fyrir þann tíma og þar með gildistöku núgildandi laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Umfjöllun og efni þessa úrskurðar takmarkast því við ákvæði eldri laga, nr. 77/2000.
2.
Gildissvið laga nr. 77/2000
Ábyrgðaraðili
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Heilbrigðisstofnun Suðurlands vera ábyrgðaraðili að umræddri vinnslu.
3.
Lögmæti vinnslu
Upplýsingar í sjúkraskrám hafa að geyma upplýsingar um heilsuhagi, en slíkar upplýsingar eru viðkvæmar, sbr. c-lið 9. tölul. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Svo að vinna megi með viðkvæmar persónuupplýsingar þarf að vera fullnægt einhverri af kröfum 1. mgr. 9. gr. þeirra laga. Þá þarf vinnslan að samrýmast einhverju af hinum almennu skilyrðum fyrir vinnslu persónuupplýsinga, viðkvæmra sem annarra, sem mælt er fyrir um í 1. mgr. 8. gr. sömu laga.
Vinnsla sjúkraskrárupplýsinga vegna meðferðar getur átt stoð í 8. tölul. 1. mgr. 9. gr. laga nr. 77/2000, þess efnis að vinna megi með viðkvæmar persónuupplýsingar sé það nauðsynlegt vegna læknismeðferðar eða vegna venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu. Af ákvæðum 1. mgr. 8. gr. laganna getur auk þess átt við 7. tölul., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra.
Auk ákvæða um heimildir fyrir vinnslu samkvæmt 8. og 9. gr. laga nr. 77/2000, þarf ávallt að fara að öllum grunnkröfum 1. mgr. 7. gr. sömu laga þegar unnið er með persónuupplýsingar. Á meðal þeirra er að slíkar upplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skuli vera í samræmi við vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tölul. ákvæðisins. Við mat á því hvort unnið sé í samræmi við þá kröfu, sem og önnur ákvæði laga nr. 77/2000, getur þurft að líta til ákvæða í öðrum lögum sem á kann að reyna. Eins og hér háttar til reynir þá meðal annars á lög nr. 55/2009 um sjúkraskrár. Segir í 2. gr. þeirra laga að við færslu og varðveislu sjúkraskráa og aðgang að þeim skuli mannhelgi og sjálfsákvörðunarréttur sjúklinga virtur og þess gætt að sjúkraskrár hafa að geyma viðkvæmar persónuupplýsingar og að upplýsingar í þeim eru trúnaðarmál. Þá segir meðal annars í 1. mgr. 13. gr. laganna að heilbrigðisstarfsmenn, sem koma að meðferð sjúklings og þurfa á sjúkraskrárupplýsingum hans að halda vegna meðferðarinnar, skuli hafa aðgang að sjúkraskrá sjúklingsins með takmörkunum samkvæmt ákvæðum laganna og reglna settra á grundvelli þeirra.
Í lögum nr. 40/2007 um landlækni og lýðheilsu er að finna ákvæði um eftirlit landlæknis með veitingu heilbrigðisþjónustu og meðferð kvörtunarmála hjá embætti hans, sbr. 7. og 12. gr. þeirra laga. Eins og fram kemur í 1. mgr. fyrrnefndu greinarinnar hefur landlæknir heimild til að krefja heilbrigðisstarfsmenn, heilbrigðisstofnanir og aðra þá sem veita heilbrigðisþjónustu um upplýsingar og gögn sem hann telur nauðsynleg til að sinna eftirlitshlutverki sínu, en auk þess er tekið fram í ákvæðinu að þeim sé skylt að verða við slíkri kröfu. Líta verður svo á að skoðun á sjúkraskrá af hálfu heilbrigðisstarfsmanns, sem komið hefur að meðferð sjúklings, falli innan ramma fyrrgreinds ákvæðis 13. gr. laga nr. 55/2009 þegar skoðunin er nauðsynleg í tengslum við slík mál hjá landlækni og fyrr greinir. Ber auk þess að líta svo á að heilbrigðisstarfsmaður, sem ber faglega ábyrgð á þeirri meðferð sem sjúklingi er veitt, teljist koma að meðferð hans. Þá ber að telja ljóst að framkvæmdastjóri lækninga innan heilbrigðisstofnunar, sem falið er það hlutverk að hafa yfirumsjón með því að viðhöfð séu vönduð vinnubrögð við veitingu meðferðar, eigi ávallt hlutdeild í umræddri faglegri ábyrgð innan stofnunarinnar.
Ekki liggur annað fyrir en að skoðun framkvæmdastjóra lækninga á HSu á sjúkraskrá kvartanda hafi verið liður í að veita landlækni skýringar vegna máls sem rekið var á grundvelli laga nr. 40/2007, þ.e. af tilefni kvörtunar sem landlækni hafði borist frá kvartanda yfir meðferð á stofnuninni. Þá liggur ekki fyrir að skoðunin hafi verið umfram það sem nauðsynlegt var til að veita þær skýringar, en í því sambandi skal tekið fram að mat á því hvað skoða þurfti verður talið læknisfræðilegt og fellur það því að mestu utan verksviðs Persónuverndar að endurskoða það.
Þegar litið er til alls framangreinds er niðurstaða Persónuverndar sú að umrædd skoðun framkvæmdastjóra lækninga á HSu á sjúkraskrá kvartanda hafi samrýmst lögum.
Ú r s k u r ð a r o r ð:
Skoðun framkvæmdastjóra lækninga á Heilbrigðisstofnun Suðurlands á sjúkraskrá [A] samrýmdist lögum.