Mál númer 2021051130

Álit

Hinn 24. febrúar 2022 samþykkti Persónuvernd svohljóðandi álit í máli nr. 2021051130:

1.

Bréfaskipti

Persónuvernd vísar til fyrri bréfaskipta vegna samnings Heilsugæslu höfuðborgarsvæðisins (HH) við Hvidovre-sjúkrahúsið í Kaupmannahöfn í Danmörku um að greina leghálssýni sem tekin eru vegna skimunar við leghálskrabbameini. Samkvæmt upplýsingum, sem Persónuvernd bárust frá Landlæknisembættinu í tölvupósti 17. maí 2021, eru sýnin send utan með strikamerkjum, dönskum gervikennitölum, íslenskum kennitölum svo að upplýsingar skili sér rétt til baka hingað til lands, svo og nauðsynlegum upplýsingum sem kunna að skipta máli, svo sem um hvort viðkomandi hafi áður greinst með krabbamein eða farið í keiluskurð.

Sama dag og Persónuvernd bárust framangreindar upplýsingar var HH sent bréf þar sem bent var á öryggisáhættu sem fylgt gæti notkun danskra gervikennitalna, þ.e. að ruglingur gæti orðið við endurmerkingu rannsóknarniðurstaðna með íslenskum kennitölum. Með vísan til þessa var óskað skýringa HH á því hvernig leitast væri við að tryggja öryggi við auðkenningu sýna sem send væru til Danmerkur og upplýsinga sem til yrðu við rannsóknir á þeim.

Svarað var með bréfi HH, dags. 31. maí 2021. Þar segir að leghálssýni séu tekin af ljósmæðrum og hjúkrunarfræðingum á öllum heilsugæslustöðvum landsins, rúmlega 50 talsins, auk tæplega 50 starfandi kvensjúkdómalækna og lækna kvennadeilda Landspítala og Sjúkrahússins á Akureyri. Við töku sýna skuli fylla út rafrænt eyðublað í lyfseðlagátt Embættis landlæknis eða eyðublað í sjúkraskrárkefinu Sögu og sé sýnatakan þá skráð með sjálfvirkjum hætti í skimunarskrá embættisins. Jafnframt skuli sýnaglas merkt með nafni og kennitölu hlutaðeigandi konu ásamt dagsetningu sýnatöku og starfsstéttarnúmeri starfsmanns áður en það sé sent til samstarfsvettvangsins Samhæfingarmiðstöð krabbameinsskimana (SKS).

Að auki er því lýst að þegar sýni berist SKS hefjist fimm skrefa vinnuferli. Í fyrsta skrefi sé athugað hvort sýni hafi verið réttilega skráð í skimunarskrá. Reynist svo ekki vera sé sýnatökuaðila gert viðvart um að skráningu vanti og sé sýni endursent honum ef merkingu sé svo ábótavant að ekki sé hægt að sannreyna upplýsingar. Þetta sé skrásett ásamt tímasetningu í skjal á svæði SKS hjá HH undir upphafsstöfum þess starfsmanns sem færir inn skráninguna. Jafnframt sé skráð dagsetning sýnatöku, hvenær sýni hafi verið móttekið hjá SKS, hvenær og hvar það hafi verið tekið og nafn og kennitala þess sem sýni var tekið úr. Þá sé skimunarsaga hlutaðeigandi skoðuð.

Í öðru skrefi sé nafn viðkomandi konu skráð í danska kerfið Sundhedsplatformen. Við skráninguna myndist dönsk gervikennitala úr tíu tölustöfum, en þeir sex fyrstu tákni fæðingardag, -mánuð og -ár, en þeir fjórir síðustu séu tilviljunarkenndir. Þessi gervikennitala fylgi konunni og sýninu og tryggi að skimunarsaga hennar þekkist innan Danmerkur til framtíðar þannig að sýni viðkomandi verði rannsökuð í samræmi við skimunarleiðbeiningar.

Í þriðja skrefi séu upplýsingar skráðar í rannsóknarkerfi Hvidovre-sjúkrahússins, Patoweb. Í kerfið sé skráð dönsk gervikennitala ásamt íslenskri kennitölu og klínískum upplýsingum viðkomandi sem máli skipti við mat á hvernig rannsaka skuli sýni. Þegar upplýsingar hafi verið skráðar í Patoweb-kerfið sé útbúinn og prentaður út límmiði með strikamerki og 14 tölustafa rannsóknarnúmeri. Strikamerkið sé tengt dönsku gervikennitölunni og íslensku kennitölunni í Patoweb-kerfinu. Það sé auk þess límt á sýnatökuglas yfir merkingu sýnatökuaðila.

Í fjórða skrefi sé strikamerkið skannað í skimunarskrá Embættis landlæknis, auk þess sem 14 tölustafa rannsóknarnúmerið sé þar skráð. Jafnframt sé athugað og staðfest að strikamerkið samrýmist kennitölu viðkomandi í skimunarskrá. Að þessu loknu sé sýni sent til rannsóknarstofu Hvidovre-sjúkrahússins.

Í fimmta og síðasta skrefi sé niðurstaða rannsóknar sótt af SKS úr dönsku pósthólfi. Niðurstöður séu sendar með gangnapósti (e. tunnel mail) frá rannsóknarstofu Hvidovre-sjúkrahússins í pósthólfið, en um sé að ræða öruggan og dulkóðaðan tölvupóst innan Kaupmannahafnarsvæðisins. SKS sé innri notandi póstkerfisins og geti því örugglega nálgast niðurstöðurnar. SKS sendi þær því næst með hugbúnaðinum „Signet transfer“ til Embættis landlæknis sem skrái þær í skimunarskrá.

2.

Álit Persónuverndar

Í 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018 er mælt fyrir um þá grunnreglu að persónuupplýsingar skuli vera áreiðanlegar og uppfærðar eftir þörfum. Jafnframt er slíkt þáttur í öryggi persónuupplýsinga, sbr. 6. tölul. sömu málsgreinar, sbr. einnig 1. mgr. 27. gr. laganna og nánari ákvæði í 32. gr. reglugerðar (ESB) 2016/679. Kemur fram í 2. mgr. þeirrar greinar reglugerðarinnar að með öryggisráðstöfunum á meðal annars að koma í veg fyrir að upplýsingar breytist fyrir slysni og er ljóst að slíkt er sérlega mikilvægt þegar um ræðir niðurstöður úr skimunum fyrir sjúkdómum.

Líta ber til þess að slíkar niðurstöður hafa bein áhrif á hagsmuni einstaklings eins og almennt er þegar upplýsingum er ætlað að nýtast við ákvarðanir tengdar heilbrigðisþjónustu við tiltekinn einstakling. Af því leiðir að einn þátturinn í öryggi þjónustunnar getur verið sá að notast við raunveruleg persónuauðkenni til merkingar á sýnum og niðurstöðum þeirra. Í því sambandi má nefna að samkvæmt 13. gr. laga nr. 90/2018 er notkun kennitölu heimil að því gefnu meðal annars að hún sé nauðsynleg til að tryggja örugga persónugreiningu. Þá má nefna að með framangreint öryggissjónarmið í huga var 1. mgr. 8. gr. laga nr. 110/2000 um lífsýnasöfn (nú lög um lífsýnasöfn og söfn heilbrigðisupplýsinga, sbr. lög nr. 45/2014) breytt með lögum nr. 48/2009 þannig að ekki yrði lengur gerð sú krafa að lífsýni, sem varðveitt eru vegna veitingar heilbrigðisþjónustu, þ.e. svonefnd þjónustusýni, væru varðveitt án persónuauðkenna. Segir í athugasemdum við 4. gr. í því frumvarpi sem varð að lögum nr. 48/2009 að slík krafa um þjónustusýni geti farið gegn hagsmunum sjúklings. Þjónustusýni séu í eðli sínu eins og hver önnur sjúkragögn og því geti verið nauðsynlegt að þau séu varðveitt með nafni og/eða kennitölu sjúklings til að koma í veg fyrir mistök. Sé því lagt til að krafa um að lífsýni séu varðveitt án persónuauðkenna taki einungis til vísindasýna.

Ljóst er að með því að nota danskar gervikennitölur til auðkenningar lífsýnum, sem send eru frá Íslandi til krabbameinsskimana í Danmörku, getur skapast öryggisáhætta eins og sú sem leitast var við að fyrirbyggja með framangreindri löggjöf. Samkvæmt þeim skýringum, sem borist hafa við meðferð máls þessa, er beitt ráðstöfunum sem eru til þess fallnar að sporna við þessari hættu. Nánar tiltekið liggur meðal annars fyrir að leitast er við að tryggja að íslensk kennitala sé ávallt notuð til auðkenningar ásamt hinni dönsku gervikennitölu þannig að komið sé í veg fyrir að tengslin við íslensk persónuauðkenni rofni.

Persónuvernd telur ekki tilefni til sérstakra athugasemda við þær ráðstafanir sem lýst er í fyrirliggjandi skýringum Heilsugæslu höfuðborgarsvæðisins og ætlað er fyrirbyggja að þessi tengsl rofni. Að öðru leyti leggur stofnunin áherslu á að við alla vinnslu persónuupplýsinga í tengslum við umrædd sýni sé farið að lögum nr. 90/2018 og reglugerð (ESB) 2016/679. Þá skal tekið fram að nánari afstaða kann að verða tekin til vinnslunnar síðar, svo sem ef kvörtun berst frá skráðum einstaklingi vegna hennar.

F.h. Persónuverndar,

Helga Þórisdóttir Þórður Sveinsson

Afrit:Arta lögmennHulda Katrín Stefánsdóttir, persónuverndarfulltrúi Heilsugæslu höfuðborgarsvæðisinsLaugavegi 182105 Reykjavík