Ábending stjórnar til heilbrigðisráðherra varðandi persónugreinanlegar heilbrigðisskrár landlæknis
Reykjavík, 22. apríl 2015
I.
Bréfaskipti við Embætti landlæknis
og Læknafélag Íslands
1. Persónuvernd hefur haft til meðferðar erindi frá Læknafélagi Íslands, dags. 2. maí 2014, varðandi kröfu Embættis landlæknis um persónugreinanlegar upplýsingar frá sérfræðilæknum með stofurekstur, m.a. um sjúkdómsgreiningar sjúklinga. Upplýsinganna hefur verið krafist svo að þær megi færa í samskiptaskrá sjálfstætt starfandi sérfræðinga, sbr. 8. tölul. 2. mgr. 8. gr. laga nr. 41/2007 um landlækni og lýðheilsu, sbr. og 21. og 22. gr. reglugerðar nr. 548/2008 um heilbrigðisskrár. Samkvæmt upphafi 2. mgr. 8. gr. laganna er heimilt að færa upplýsingar um persónuauðkenni á umrædda skrá, en þau skulu vera dulkóðuð, sbr. 4. mgr. 8. gr. Þá segir í 1. mgr. 21. gr. reglugerðarinnar að í skrána skuli færa nafn og kennitölu sjúklings, en eins og í lögunum er gert skilyrði um dulkóðun, sbr. 26. gr. Í erindi Læknafélagsins segir að meðal annars lýtalæknar og geðlæknar hafi lýst yfir áhyggjum af umræddri öflun Embættis landlæknis á persónugreindum upplýsingum um sjúklinga sína, en í fjölmörgum tilvikum hafi sjúklingar bannað miðlun upplýsinga um sig til Embættis landlæknis. Þá segir meðal annars:
„Þeir sérfræðilæknar, sem leitað hafa til LÍ, hafa eins og áður er vikið að, bent á að þeir telji umfang upplýsinganna of mikið. Þá telja þeir að það hafi ekki verið skilgreint nákvæmlega hver sé tilgangur þessarar upplýsingasöfnunar. Í bréfi embættis landlæknis, dags. 20. ágúst, til sérfræðilækna er vísað til 21. gr. reglugerðarinnar frá 2008, að tilgangur samskiptaskrárinnar sé að „afla þekkingar um starfsemi þeirra, hafa eftirlit með þjónustunni, tryggja gæði hennar og meta árangur“. Hvergi er reynt að rökstyðja hvað af þessu kalli á persónugreinanlegar upplýsingar um sjúklinga. Það verður því ekki betur séð en að það vanti alla markmiðssetningu af hálfu heilbrigðisyfirvalda varðandi það af hverju verið er að safna svo víðtækum persónugreinanlegum upplýsingum um sjúklinga sem leita til sérfræðilækna.“2. Með bréfi til Embættis landlæknis, dags. 8. júlí 2014, óskaði Persónuvernd skýringa á því hvers vegna nauðsynlegt væri talið að auðkenna upplýsingar um sjúklinga í samskiptaskrá sjálfstætt starfandi sérfræðinga með persónuauðkennum. Í svari embættisins, dags. 8. september s.á., er vísað til þess að það gefur fyrirmæli um lágmarksskráningu upplýsinga hjá heilbrigðisstofnunum og sjálfstætt starfandi heilbrigðisstarfsmönnum svo að unnt sé að safna upplýsingum í heilbrigðisskrár embættisins, sbr. 5. mgr. 8. gr. laga nr. 41/2007. Þá er vísað til þess að samkvæmt 1. tölul. 1. mgr. 6. gr. laga nr. 55/2009 um sjúkraskrár er kennitala á meðal þess sem að lágmarki skal skrá í sjúkraskrá. Í lögum nr. 55/2009 sé öflun hennar því skilgreind sem lágmarksupplýsingasöfnun í heilbrigðisþjónustu.
Einnig segir meðal annars í bréfi Embættis landlæknis:
„Landlæknir vekur athygli á að upplýsingar í heilbrigðisskrám landlæknis byggja á persónugreinanlegum gögnum sem safnað er á fjölbreyttum vettvangi heilbrigðisþjónustunnar. Það er ekki mögulegt að sinna lögbundnu hlutverki embættisins án þess að slíkar upplýsingar séu færðar á öruggan máta og með kóðuðum hætti inn í þær heilbrigðisskrár sem landlæknir ber ábyrgð á og ber að halda lögum samkvæmt. Til þess að fá yfirlit yfir umfang heilbrigðisþjónustunnar og hvernig hún skiptist milli þjónustuþátta er nauðsynlegt að vinna með gögn þar sem hver einstaklingur er auðkenndur með sama hætti. Einungis upplýsingar byggðar á kennitölu gera landlækni fært að tengja saman gögn um einstaklinga frá mismunandi tímum og frá mismunandi rekstraraðilum í heilbrigðisþjónustu. Sem dæmi má nefna þá getur sami einstaklingur átt mörg samskipti vegna sama vanda við sömu heilbrigðisstofnun eða aðrar stofnanir og starfsstöðvar sem veita heilbrigðisþjónustu, stundum sama daginn og á mismunandi stöðum.
Til þess að standa undir lögbundnu hlutverki sínu þarf landlæknir að hafa yfirsýn yfir öll samskipti sjúklings við alla þá sem veittu heilbrigðisþjónustu vegna þess heilsuvanda sem er til skoðunar hverju sinni. Þetta er gert á grunni einkvæmra auðkenna, en kennitala er alltaf dulkóðuð eins fyrir einstaklinginn. Því er aldrei unnið með svokölluð persónugreinanleg gögn við úrvinnslu heilbrigðisupplýsinga heldur gögn þar sem kennitala einstaklingsins er afmáð með dulkóðun. Eingöngu þannig er unnt að fá glögga mynd af því hvernig mismunandi einingar í heilbrigðiskerfinu vinna saman, hvernig flæði sjúklinga er á milli eininga og hvernig heimsóknarmynstur breytist í tíma. Slík greining á gögnum úr heilbrigðisskrám er meðal annars forsenda þess að hægt sé að gera spár um þörf fyrir mismunandi þjónustu fyrir mismunandi aldurshópa, sjúklingahópa, hópa eftir búsetusvæðum o.s.frv. og í fullu samræmi við athugasemdir við 8. gr. frumvarps sem varð að lögum um landlækni og lýðheilsu nr. 41/2007. Þannig er til dæmis hægt að greina samspil þjónustu hjá sjálfstætt starfandi heilbrigðisstarfsmönnum og annarri opinberri heilbrigðisþjónustu. Þar gæti til dæmis verið um að ræða eftirlit með sýkingum í kjölfar aðgerða eða aukaverkanir og eftirlit vegna ísetninga íhluta eins og hjartagangráðs, hjartaloka, nets vegna kviðslits eða brjóstapúða. Meðferð slíks vanda færist stundum frá einkastofum til sjúkrahúsa og frá sjúkrahúsum til sjálfstætt starfandi sérfræðinga. Án einkvæmra auðkenna væri slík eftirfylgd ekki framkvæmanleg.“
3. Með bréfi, dags. 4. febrúar 2015, veitti Persónuvernd Læknafélaginu kost á athugasemdum við framangreint. Læknafélagið svaraði með bréfi, dags. 20. s.m. Þar segir meðal annars:
„LÍ leyfir sér að mótmæla þeirri túlkun embættis landlæknis að þó svo að fyrirmæli séu í 6. gr. laga um sjúkraskrár nr. 55/2009 um lágmarksupplýsingar í sjúkraskrá og þar sé kennitala sjúklings upptalin þá leiði eðlilega af því að á kennitölu eigi að líta sem lágmarksupplýsingasöfnun í heilbrigðisþjónustu. Það er allt annar tilgangur með lágmarksskráningum í sjúkraskrá annars vegar og lágmarksupplýsingasöfnun í heilbrigðisþjónustu vegna gerðar heilbrigðisskýrslna hins vegar. Ekkert samhengi þarf eða er þar á milli. LÍ einfaldlega mótmælir þeirri túlkun embættisins að af lögboðinni skráningu kennitölu í sjúkraskrá eigi sjálfkrafa að leiða að kennitölum sjúklinga sé safnað í samskiptaskrár embættis landlæknis. Embætti landlæknis tilgreinir einnig í bréfi sínu að gagnasöfnun embættisins um heilbrigðisþjónustu og úrvinnsla slíkra gagna sé undirstaða eftirlits og ráðgjafarstarfa landlæknis. LÍ áréttar fyrri afstöðu sína um það að félagið telur embættinu kleift að framkvæma og sinna bæði eftirlits- og ráðgjafarhlutverki sínu án þess að safna í samskiptaskrár jafn víðtækum persónugreinanlegum upplýsingum og fyrir liggur að embættið kallar eftir. Söfnun persónugreinanlegra upplýsinga þarf að hafa skýran og afmarkaðan tilgang. Almennt eftirlits- og ráðgjafarhlutverk telst varla svo skýr og afmarkaður tilgangur að það réttlæti víðtæka söfnun viðkvæmra persónugreinanlegra upplýsinga.“
Einnig segir að Læknafélagið hafi fullan skilning á því að unnt þurfi að vera að rekja hvar sjúklingur hefur notið þjónustu til að fá heildarmynd af umfangi heilbrigðisþjónustunnar og notkun sjúklinga á henni. Jafnframt segir hins vegar:
„Eftir því sem LÍ veit best er embættið þó ekki að kanna notkun sjúklinga á öðrum þáttum heilbrigðiskerfisins en læknaþættinum. Í heilbrigðiskerfinu starfa þó 33 löggiltar heilbrigðisstéttir, sbr. 3. gr. laga um heilbrigðisstarfsmenn nr. 34/2012. Langmestur hluti læknisþjónustu heilbrigðiskerfisins er greiddur af Sjúkratryggingum Íslands. Embætti landlæknis fengi því mjög glögga mynd af notkun sjúklinga á læknisþjónustu heilbrigðiskerfisins með því að afla upplýsinga frá Sjúkratryggingum Íslands. Þær upplýsingar sýna allar „ferðir“ sjúklinga milli lækna auk þess sem lyfjanotkun sjúklinga má sjá í gegnum þær upplýsingar. Hvað varðar umfang læknisþjónustu sýnist því upplýsingasöfnunin í samskiptaskrár embættisins nokkuð óþörf.“
II.
Ábending til heilbrigðisráðherra Stjórn Persónuverndar fjallaði um mál þetta á fundi sínum í dag og ákvað að koma eftirfarandi athugasemdum og ábendingu á framfæri við heilbrigðisráðherra:
1. Af einkalífsverndarákvæði 71. gr. stjórnarskrárinnar leiðir að við setningu löggjafar, sem heimilar vinnslu persónuupplýsinga, ber að gæta meðalhófs þannig að persónuupplýsingum sé einungis safnað í skýrum og málefnalegum tilgangi og eingöngu að því marki sem söfnunin sé nauðsynleg. Á þessari grunnreglu um meðalhóf er og byggt í þeim lögum sem Persónuvernd framfylgir og starfar eftir, þ.e. lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga, sbr. meðal annars 1.–3. tölul. 1. mgr. 7. gr. þeirra laga, sbr. og a–c-lið 1. mgr. 6. gr. persónuverndartilskipunarinnar nr. 95/46/EB.
Hagsmuni af söfnun persónuupplýsinga til að halda utan um ýmiss konar tölfræði ber, í ljósi framangreinds, að vega og meta andspænis því grunnsjónarmiði að menn hafi sjálfsákvörðunarrétt um upplýsingar sem þá varða. Við setningu löggjafar um söfnun viðkvæmra persónuupplýsinga verður að gera ríkari kröfur til slíks hagsmunamats en ella, en upplýsingar um heilsuhagi eru viðkvæmar, sbr. c-lið 8. tölul. 2. gr. laga nr. 77/2000. Þegar unnið er á grundvelli löggjafar, sem sett er á grundvelli slíks mats, ber og að gæta þess að vinnslan samrýmist þeim tilgangi sem löggjöfin grundvallast á. Af hálfu Embættis landlæknis hefur meðal annars verið vísað til þess að upplýsingar um persónuauðkenni, sem færðar eru í skrár þess, geti nýst vegna eftirfylgdar með sjúklingum. Af því tilefni skal minnt á að í þeirri löggjöf, sem Embætti landlæknis starfar eftir, kemur ekki fram að það sinni slíkri eftirfylgd vegna einstakra sjúklinga. Verður að ætla að slík eftirfylgd heyri fyrst og fremst undir heilbrigðisstofnanir og sjálfstætt starfandi heilbrigðisstarfsmenn.
Einnig skal minnt á þá ríku grunnreglu að heilbrigðisstarfsmenn hafi trúnað við sjúklinga sína. Á síðustu árum hafa verið færð ákvæði í lög sem eiga að auka möguleika heilbrigðisstarfsmanna til samstarfs og til gagnkvæms upplýsingaaðgangs til að bæta meðferð og auka öryggi sjúklinga, sbr. einkum lög nr. 55/2009 um sjúkraskrár. Umræddum ákvæðum er þó ekki ætlað að veikja þennan trúnað, sbr. meðal annars þagnarskylduákvæði 17. gr. laga nr. 34/2012 um heilbrigðisstarfsmenn og 1. mgr. 7. gr., 2. og 4. mgr. 13. gr., 2. og 3. mgr. 19. gr. og 20. gr. laga nr. 55/2009 þar sem mælt er fyrir um rétt sjúklings til að takmarka þann gagnkvæma upplýsingaaðgang sem fyrr er nefndur. Í þessu sambandi vísast einkum til 1. mgr. 7. gr. laga nr. 55/2009, þess efnis að sjúklingur geti ákveðið að eingöngu sá heilbrigðisstarfsmaður sem skráir upplýsingar og umsjónarmaður sjúkraskrár hafi aðgang að upplýsingunum. Samkvæmt 13. tölul. 3. gr. laganna er með umsjónaraðila átt við þann sem hefur eftirlit með og sér um að skráning og meðferð sjúkraskrárupplýsinga sé í samræmi við ákvæði laganna. Þá segir að heilbrigðisstarfsmaður, sem starfar einn á stofu, teljist umsjónaraðili þeirra sjúkraskráa sem hann færir. Sjúkraskrárupplýsingar geta því í slíkum tilvikum eingöngu verið aðgengilegar einum starfsmanni.
Af þeim bréfaskiptum, sem fyrr eru rakin, verður ráðið að eftir atvikum kjósi sjálfstætt starfandi sérfræðingar að taka ekki þátt í þeim gagnkvæma upplýsingaaðgangi sem heimilaður er með lögum nr. 55/2009, enda telji þeir hann ógna trúnaði við sjúklinga sína. Í ljósi meðal annars fyrrnefnds grunnsjónarmiðs um sjálfsákvörðunarrétt manna ber að telja varasamt að girða fyrir möguleika sjúklinga á að njóta slíks trúnaðar. Það að hans sé gætt kann, eftir atvikum, að fela í sér að upplýsingar séu ekki sendar út fyrir starfsstofu sjálfstæðs starfandi heilbrigðisstarfsmanns til miðlægrar skráningar hjá stjórnvaldi. Í því sambandi skal minnt á að við setningu lagaákvæða um öflun persónauðkenna í þágu slíkrar skráningar ber að fullskoða þann möguleika að notast við algjörlega ópersónugreinanlegar upplýsingar, þ.e. þannig að ekki sé með neinu móti unnt að rekja þær til viðkomandi einstaklings. Slíkt gæti komið til greina jafnvel þótt við framkvæmd tiltekinna, afmarkaðra rannsókna á vegum stjórnvalds gæti verið þörf á slíku, enda mætti þá í hvert sinn afla nauðsynlegra upplýsinga vegna viðkomandi rannsóknar og gera þær ópersónugreinanlegar að henni lokinni.
Að auki áréttar Persónuvernd það sem fyrr greinir um nauðsyn hagsmunamats við setningu löggjafar um söfnun persónuupplýsinga, en eftir atvikum kunna hagsmunir viðkomandi einstaklings af vernd um friðhelgi einkalífs síns að vega þyngra heldur en hagsmunir samfélagsins af söfnuninni. Í 8. gr. laga nr. 41/2007, þar sem mælt er fyrir um skrár landlæknis, er gert ráð fyrir því sem meginreglu að upplýsingar í skránum séu með öllu ópersónugreinanlegar nema hinir skráðu samþykki annað, sbr. 1. mgr. þeirrar greinar. Það á þó ekki við um þær skrár sem taldar eru upp í 2. mgr. 8. gr., þ. á m. samskiptaskrá sjálfstætt starfandi sérfræðinga, sbr. 8. tölul. þeirrar málsgreinar. Engu að síður virðist þó gert ráð fyrir því í ákvæðinu að hagsmunamat geti haft í för með sér að persónauðkenni skuli ekki skráð, sbr. upphaf þess þar sem eingöngu segir að slík auðkenni megi skrá en ekki að slíkt sé skylt. Í reglugerð nr. 548/2008 um heilbrigðisskrár, þar sem er að finna nánari ákvæði um skrár landlæknis, sbr. 10. mgr. 8. gr. laga nr. 41/2007, er hins vegar hvergi gert ráð fyrir þeim möguleika, sbr. 8., 10. 12., 14., 16., 18., 20. og 22. gr. reglugerðarinnar. Þá er í síðastnefndu tveimur ákvæðunum, sem lúta að skráningu í samskiptaskrá heilsugæslustöðva annars vegar og samskiptaskrá sjálfstætt starfandi sérfræðinga hins vegar, beinlínis tekið fram að skrá skuli nafn og kennitölu sjúklings.
2. Samkvæmt 6. tölul. 3. mgr. 37. gr. laga nr. 77/2000 er það eitt af hlutverkum Persónuverndar að tjá sig, þ. á m. að eigin frumkvæði, um álitaefni varðandi meðferð persónuupplýsinga. Með vísan til þess ákvæðis, og í ljósi framangreindra bréfaskipta, vekur Persónuvernd hér með athygli á því að þörf getur verið á að fara yfir löggjöf um persónugreinanlegar heilbrigðisskrár landlæknis, þ.e. bæði 8. gr. laga nr. 41/2007 og reglugerð nr. 548/2008, í ljósi þeirra sjónarmiða sem hér hafa verið rakin og meta hvort breytinga er þörf. Við þá skoðun gæti meðal annars, eftir atvikum, gefist tilefni til endurmats á því hvort telja beri skráningu persónuauðkenna óhjákvæmilegan þátt í færslu allra fyrrgreindra, miðlægra skráa. Jafnframt því mætti taka afstöðu til þess hvort til dæmis gæti nægt að Embætti landlæknis aflaði upplýsinga til tímabundinnar vinnslu vegna afmarkaðra tölfræðirannsókna, en upplýsingarnar yrðu þá gerðar ópersónugreinanlegar að viðkomandi rannsókn lokinni.
Þess er vinsamlegast óskað að ráðuneytið svari því eigi síðar en 11. maí nk. hvernig ráðgert sé að bregðast við þessari ábendingu Persónuverndar.