Málið á rætur að rekja til ákvörðunar Persónuverndar frá 27. júní 2023, í máli nr. 2020061844, þar sem embætti landlæknis var gert að greiða 12 milljóna króna stjórnvaldssekt vegna öryggisveikleika í skilaboðahluta og mæðraverndarhluta Heilsuveru. Veikleikarnir gerðu notendum kleift að nálgast persónuupplýsingar annarra einstaklinga, meðal annars viðkvæmar heilsufarsupplýsingar.

Embætti landlæknis höfðaði mál til ógildingar ákvörðunarinnar. Með dómi Héraðsdóms Reykjavíkur 10. júní 2025 var niðurstaða Persónuverndar um brot gegn persónuverndarlöggjöfinni staðfest en sektin lækkuð í 8 milljónir króna. Málinu var í kjölfarið áfrýjað til Landsréttar.

Í dómi Landsréttar frá 22. október 2026 var áréttað að ábyrgðaraðilum persónuupplýsinga ber að tryggja viðeigandi öryggi þeirra, meðal annars með því að koma á ferlum til að prófa og meta reglulega skilvirkni öryggisráðstafana. Í málinu lá fyrir að slíkum ferlum hafði ekki verið komið á með fullnægjandi hætti og að sérstök úttekt á öryggi gagna hafði ekki farið fram þegar mæðraverndarhluta var bætt við Heilsuveru.

Landsréttur taldi að embætti landlæknis hefði sýnt af sér gáleysi með því að sinna ekki þessum skyldum og að brotin væru alvarleg í ljósi þess að um viðkvæmar heilsufarsupplýsingar var að ræða. Því hefði verið heimilt að leggja stjórnvaldssekt á embættið.

Við ákvörðun sektarfjárhæðar var hins vegar meðal annars litið til þess að ekki hefði verið sýnt fram á tjón vegna öryggisveikleikanna og að embættið hefði brugðist skjótt við þegar þeir komu í ljós. Með vísan til meðalhófsreglu stjórnsýslulaga lækkaði Landsréttur sektina í 4,5 milljónir króna.

Dómurinn undirstrikar mikilvægi þess að ábyrgðaraðilar tryggi öryggi persónuupplýsinga með virkum og reglubundnum ráðstöfunum, sérstaklega þegar unnið er með viðkvæmar persónuupplýsingar.

Dómur Landsréttar