Mál númer 2020061951

Ákvörðun

Hinn 23. nóvember 2021 tók Persónuvernd svohljóðandi ákvörðun í máli nr. 2020061951:

I.

Málsmeðferð1.
Tildrög máls – Ósk um skýringar og gögn

Persónuvernd [bárust ábendingar] um að 3. apríl 2020 hefðu þau fyrirmæli verið gefin á Landspítalanum að blóðsýni skyldu tekin úr öllum COVID-19-sjúklingum sem lágu inni eða kæmu á göngudeild Landspítalans vegna COVID-19 og þau send til erfðarannsóknarfyrirtækisins Íslenskrar erfðagreiningar.

Hinn 2. apríl 2020 hafði Persónuvernd borist til umsagnar frá Vísindasiðanefnd erindi Íslenskrar erfðagreiningar, dags. s.d., þar sem sótt var um leyfi nefndarinnar til viðbótar við rannsóknina Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur. Í umsókninni var tilgreint að […], forstjóri Íslenskrar erfðagreiningar, yrði ábyrgðarmaður rannsóknarinnar. Meðal meðrannsakenda yrðu […] sóttvarnalæknir, […] landlæknir, […] yfirlæknir sýkla- og veirufræðideildar Landspítala, […] verkefnastjóri rannsóknarinnar og aðrir vísindamenn hjá fyrirtækinu. Þá yrði […], yfirlæknir smitsjúkdómadeildar Landspítala, meðrannsakandi ásamt því að vera ábyrgðarlæknir rannsóknarinnar.

Með viðbótinni var óskað eftir leyfi til að taka serum- og plasma-sýni hjá einstaklingum sem hefðu greinst með COVID-19 og legðust inn eða kæmu á göngudeild Landspítala vegna sjúkdómsins til að mæla mótefni, að fengnu upplýstu samþykki þessara einstaklinga þegar þeir hefðu náð bata. Þá fyrst yrði þeim boðin þátttaka.

Persónuvernd veitti umsögn sína með tölvupósti 3. apríl 2020 þar sem fram kom að stofnunin gerði ekki athugasemdir við að Vísindasiðanefnd afgreiddi erindið efnislega. Þá sagði að Persónuvernd tæki ekki afstöðu til þess hvort skilyrði 24. gr. laga nr. 44/2014, um vísindarannsóknir á heilbrigðissviði, ættu við, varðandi öflun samþykkis í bráðatilvikum, heldur byggði stofnunin á því að Vísindasiðanefnd viðhefði það mat.

Erindi Íslenskrar erfðagreiningar var afgreitt af Vísindasiðanefnd 7. apríl 2020. Í bréfi Vísindasiðanefndar til Íslenskrar erfðagreiningar, dags. s.d., segir að nefndin hafi farið yfir erindið og setji það skilyrði að aflað verði afmarkaðs upplýsts samþykkis hjá þeim einstaklingum sem séu hæfir til að veita slíkt samþykki, sbr. 1. mgr. 22. gr. laga nr. 44/2014, áður en sýna verði aflað hjá þeim í vísindaskyni. Heimilt sé að afla sýna hjá þeim sem ekki séu hæfir til að taka upplýsta ákvörðun vegna veikinda að uppfylltum skilyrðum 1. mgr. 23. gr. laga nr. 44/2014.

Samkvæmt [ábendingunum sem bárust] Persónuvernd voru blóðsýnin sem tekin voru send Íslenskri erfðagreiningu áður en framangreind viðbót var samþykkt af Vísindasiðanefnd þann 7. apríl 2020 og samþykkis aflað hjá viðkomandi einstaklingum eftir á.

Með hliðsjón af framangreindu ákvað Persónuvernd að hefja frumkvæðisathugun á því hvort umrædd vinnsla persónuupplýsinga hefði verið með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráðu, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Var Íslenskri erfðagreiningu og Landspítala tilkynnt um þetta með bréfi, dags. 7. október 2020. Í bréfinu var einnig óskað tiltekinna skýringa eins og rakið er í kafla I.2.1 og I.2.2 hér á eftir. Persónuvernd bárust ekki svör frá Íslenskri erfðagreiningu innan tilskilins frests og var erindi stofnunarinnar því ítrekað með bréfi, dags. 26. nóvember 2020.

Meðal gagna sem liggja fyrir í málinu er vinnslusamningur sem sóttvarnalæknir gerði við Landspítala 21. desember 2015, svo og vinnslusamningur sem spítalinn gerði við Íslenska erfðagreiningu sem undirvinnsluaðila, dags. 12. mars 2020.

2.

Svör við erindi Persónuverndar
2.1.
Svör fyrir hönd Landspít ala

Í svarbréfi Landspítala til Persónuverndar, dags. 10. nóvember 2020, kom fram svar við eftirfarandi spurningu sem beint hafði verið til spítalans og Íslenskrar erfðagreiningar í bréfi Persónuverndar, dags. 7. október 2020:

Af tæknilegum ástæðum hafi síðan ekki reynst unnt að safna umræddum sýnum og af því hafi þar af leiðandi ekki orðið.

Í áðurnefndu bréfi Persónuverndar, dags. 7. október 2020, voru fjórar spurningar til viðbótar þeirri sem fyrr er rakin. Þeim var ekki svarað af hálfu Landspítala þar sem þær byggðu á því að spurningu nr. 1 væri svarað játandi. Samhljóða spurningar voru sendar Íslenskri erfðagreiningu og eru þær birtar á undan svörum fyrirtækisins við þeim í kafla I.2.2.

2.2.

_Svör fyrir hönd Íslenskrar erfðagreiningar

Í svarbréfi frá Íslenskri erfðagreiningu til Persónuverndar, dags. 11. desember 2020, komu fram svör við bréfi Persónuverndar, dags. 7. október s.á. Spurningarnar úr bréfinu eru raktar hér á eftir, svo og svör við hverri þeirra og einni:

Mótefnamælingar hafi verið framkvæmdar af Íslenskri erfðagreiningu og niðurstöður þeirra sendar Landspítala, enda hafi slíkar niðurstöður getað gagnast við mat á ástandi sjúklings og ákvörðun um meðferð. Auk þess hafi niðurstöður mótefnamælinga verið sendar sóttvarnalækni eins og niðurstöður mótefnamælinga úr öllum einstaklingum sem hafi verið skimaðir af Íslenskri erfðagreiningu fyrir mótefnum gegn SARS-CoV-2-veirunni. Þá er tekið fram að mörkin á milli klínískrar vinnu og vísindarannsókna séu alltaf nokkuð óljós þegar verið sé að kljást við óþekktan sjúkdóm. Loks segir að eftir að leyfi Vísindasiðanefndar fyrir viðbótinni hafi verið veitt 7. apríl 2020 hafi einungis sýni frá þeim COVID-19-sjúklingum, sem hafi undirritað upplýst samþykki fyrir þátttöku, verið unnin sérstaklega, skömmtuð og flutt til fyrirtækisins.

2. „Ef svo var [sem í 1. tölul. greinir], hvaða fræðsla var veitt og hvernig?“Í svari Íslenskrar erfðagreiningar segir að þar sem sýnanna, sem tekin hafi verið 3.-7. apríl 2020, hafi verið aflað vegna þjónustu hafi engin fræðsla verið veitt, fyrir utan þá fræðslu sem læknar veita sjúklingum sem þeir hlúa að.

3. „Ef svo var, sem í 1. tölul. greinir, voru einhver af þeim blóðsýnum notuð til vísindarannsóknarinnar og á hvaða grundvelli þá?“

Í svari Íslenskrar erfðagreiningar segir að eftir að leyfi Vísindasiðanefndar fyrir viðbót við rannsóknina hafi verið veitt 7. apríl 2020 hafi rannsóknin verið kynnt einstaklingum sem greinst höfðu með COVID-19-sjúkdóminn og lágu inni á Landspítala eða höfðu komið á COVID-19-göngudeildina. Þeir sem hafi ákveðið að taka þátt í rannsókninni og hafi undirritað upplýst samþykki hafi verið upplýstir af ábyrgðarlækni rannsóknarinnar um að sýna frá þeim kynni að hafa verið aflað dagana á undan vegna þjónustu í samræmi við fyrirmæli framkvæmdastjóra lækninga á Landspítala 3. apríl 2020. Allir hafi staðfest við hann að þeir vildu að sýni þeirra yrðu líka notuð í þágu vísindarannsókna.

Þá segir að 12. apríl 2020, eftir að borist hafi munnleg fyrirspurn frá framkvæmdastjóra Vísindasiðanefndar um sýnatökuna á Landspítalanum, hafi forsvarsmaður samskipta Íslenskrar erfðagreiningar við Vísindasiðanefnd og Persónuvernd sent honum svör um sýnatökuna í tölvupósti. Í tölvupóstinum spurðist Íslensk erfðagreining einnig fyrir um afstöðu nefndarinnar til varðveislu og notkunar sýna sem tekin höfðu verið áður en nefndin veitti leyfi 7. apríl 2020 fyrir viðbót við umrædda rannsókn. Jafnframt var tekið fram að ef Vísindasiðanefnd teldi að eyða skyldi sýnum, sem aflað hefði verið án samþykkis vegna þjónustu við Landspítalann og sóttvarnalækni (með möguleika á rannsóknarnotum síðar), yrði þeim eytt. Í tengslum við þetta segir í svari Íslenskrar erfðagreiningar til Persónuverndar að framkvæmdastjóri Vísindasiðanefndar hafi staðfest með tölvupósti 15. apríl 2020 að svörum fyrirtækisins við munnlegri fyrirspurn hans hefði verið komið áleiðis til nefndarinnar og þau vistuð með gögnum málsins. Hins vegar hafi ekkert svar borist frá nefndinni um þau atriði sem Íslensk erfðagreining hefði spurst fyrir um samhliða veitingu svaranna.

Í svari Íslenskrar erfðagreiningar kemur fram að ábyrgðarlæknir rannsóknarinnar hafi kynnt hana fyrir sjúklingum með COVID-19-sjúkdóminn sem hafi legið inni á Landspítalanum með kynningarbréfi og svarað spurningum þeirra. Hann hafi tekið við samþykkisyfirlýsingu þeirra sem kusu að undirrita hana. Umsjónarlæknir COVID-19-göngudeildar hafi aflað þátttakenda á sama hátt.

5. „Hafi þátttaka einhverra sjúklinganna grundvallast á 23. gr. laga nr. 44/2014, hvernig var gætt að skilyrðum þeirrar lagagreinar?“

Í svari Íslenskrar erfðagreiningar segir að ekki hafi komið til öflunar samþykkis á grundvelli fyrrgreinds ákvæðis.

Í niðurlagi bréfsins segir að öll aðkoma Íslenskrar erfðagreiningar að sýnatöku, greiningum og annarri aðstoð við Landspítala og heilbrigðisyfirvöld hafi fyrst og fremst verið í klínískum tilgangi til að aðstoða yfirvöld við sóttvarnaraðgerðir. Það að þessar aðgerðir myndu einnig gagnast í mögulegum vísindarannsóknum sem síðar yrði hrint í framkvæmd hafi verið hreint aukaatriði í þessu samhengi.

3.

_Frekari bréfaskipt_i

Með hliðsjón af framangreindu svari Íslenskrar erfðagreiningar þar sem fullyrt er að sýni hafi verið tekin á Landspítalanum dagana 3.-7. apríl 2020 þrátt fyrir fullyrðingu spítalans um annað sendi Persónuvernd á ný bréf til Landspítala, dags. 11. mars 2021, og óskaði frekari skýringa eins og rakið er í kafla I.3.2. Þá sendi stofnunin s.d. bréf til Vísindasiðanefndar og óskaði þeirra skýringa sem raktar eru í kafla I.3.1.

3.1.

Svör Vísindasiðanefnda r

Í svari Vísindasiðanefndar til Persónuverndar, dags. 16. mars 2021, komu fram svör nefndarinnar við eftirfarandi spurningum:

Í svari Vísindasiðanefndar kemur fram að sýni þau sem um ræðir og tekin voru 3.-7. apríl 2020 hafi verið tekin í meðferðarskyni og þau síðan notuð í vísindarannsókn sem fyrirliggjandi gögn. Því hafi ekki verið talin ástæða til að hafa frekara samband við Íslenska erfðagreiningu út af málinu. Það sé ekki á færi nefndarinnar að gefa fyrirmæli um eyðingu klínískra sýna.

Í svari Vísindasiðanefndar kemur fram að umsókn til nefndarinnar um umrædda rannsókn og allar viðbætur við hana hafi verið framsendar Persónuvernd á grundvelli laga nr. 44/2014 um vísindarannsóknir á heilbrigðissviði og hafi stofnunin ekki gert athugasemdir við að nefndin tæki erindin til efnislegrar umfjöllunar.

3.2.

Svör Landspítala

Í svari Landspítala til Persónuverndar, dags. 24. mars 2021, komu fram svör spítalans við eftirfarandi spurningum:

Í svari Landspítala segir að áformað hafi verið að taka sýni úr blóði COVID-19-smitaðra einstaklinga og þeirra sem grunur léki á um að væru smitaðir ef hægt væri og varðveita á vegum Landspítala. Af því hafi ekki orðið af tæknilegum ástæðum eins og áður hafi komið fram af hálfu spítalans.

Þá segir að við eftirgrennslan hafi komið í ljós að yfirlæknir smitsjúkdómadeildar og ábyrgðarlæknir rannsóknarinnar, hafi ákveðið, annars vegar með hliðsjón af tölvupósti framkvæmdastjóra lækninga til yfirlæknis á rannsóknardeild, og hins vegar vegna fyrirhugaðrar vísindarannsóknar með Íslenskri erfðagreiningu, að hefja blóðsöfnunina í samstarfi við fyrirtækið og senda því sýnin. Tekið er fram að endanleg afstaða yfirlæknis á rannsóknardeild til getu deildarinnar til að verða við fyrirmælum framkvæmdastjóra lækninga hafi ekki legið fyrir fyrr en 6. apríl 2020. Þessi sýni hafi því á endanum eingöngu verið nýtt vegna vísindarannsóknar.

Í svari Landspítalans kemur fram að í ljósi svara við spurningu nr. 1 telji spítalinn sig ekki vera ábyrgðaraðila að þeirri vinnslu persónuupplýsinga sem fram hafi farið á umræddum sýnum heldur séu þau varðveitt og unnin í þágu vísindarannsóknarinnar Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur.

3. „Hafi blóðsýni verið tekin umrædda daga, hvort persónuverndarfulltrúi Landspítalans hafi haft aðkomu að því?“

Í svari Landspítalans kemur fram að persónuverndarfulltrúi spítalans hafi ekki haft hér aðkomu.

Með hliðsjón af svari Landspítala við spurningu nr. 1 hér að framan sendi Persónuvernd enn á ný bréf til spítalans, dags. 22. júní 2021, þar sem spurningin er ítrekuð. Í svarbréfi Landspítalans til Persónuverndar, dags. 1. september s.á., kemur fram að spítalinn geti ekki upplýst um hvernig standi á misræmi milli svara spítalans og Íslenskrar erfðagreiningar. Landspítalinn viti ekki til þess að svör hafi borist til spítalans tengd kennitölum sjúklinga og viti ekki til þess að slík svör hafi verið færð inn í sjúkraskrá einstakra sjúklinga.

II.

Forsendur og niðurstaða

1.

Afmörkun máls – Gildissvið

Samkvæmt því sem að framan er rakið liggur fyrir að blóðsýni voru tekin dagana 3.-7. apríl 2020 á Landspítalanum og notuð í þágu vísindarannsóknarinnar Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur, áður en Vísindasiðanefnd veitti Íslenskri erfðagreiningu leyfi fyrir viðbót við rannsóknina 7. apríl 2020.

Að því virtu lýtur mál þetta að öflun samþykkis COVID-19-sjúklinga á Landspítala fyrir notkun blóðsýna þeirra í þágu viðbótar við fyrrgreinda vísindarannsókn og fellur það þar af leiðandi undir gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, eins og það er skilgreint í 1. mgr. 4. gr. laganna, sbr. 2. og 4. tölul. 3. gr. laganna og 1. og 2. tölul. 4. gr. reglugerðarinnar. Samkvæmt 1. mgr. 39. gr. laganna fellur málið jafnframt undir valdsvið Persónuverndar.

Samkvæmt 30. gr. laga nr. 44/2014 um vísindarannsóknir á heilbrigðissviði hefur Persónuvernd eftirlit með vinnslu persónuupplýsinga í slíkum rannsóknum.

2.

_Ábyrgðaraðili – Vinnsluaðili – Vinnslusamningar

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laga nr. 90/2018 er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679.

Vinnsluaðili er einstaklingur eða lögaðili, stjórnvald eða annar aðili sem vinnur með persónuupplýsingar á vegum ábyrgðaraðila, sbr. 7. tölul. 3. gr. laganna, sbr. 8. tölul. 4. gr. reglugerðarinnar.

Á ábyrgðaraðila hvílir skylda til þess að tryggja að vinnsla fari fram í samræmi við lög nr. 90/2018 og reglugerð (ESB) 2016/679. Hluti af því að tryggja það er að vinnsluaðili hagi vinnslu í samræmi við fyrirmæli ábyrgðaraðila. Þau fyrirmæli þarf, samkvæmt 3. mgr. 28. gr. reglugerðarinnar, að skrásetja í samningi þar sem tilgreina skal viðfangsefni og tímalengd vinnslunnar, eðli og tilgang hennar, tegund persónuupplýsinga, flokka skráðra einstaklinga og skyldur og réttindi ábyrgðaraðilans.

Fyrir liggur að sóttvarnalæknir gerði vinnslusamning við Landspítala 21. desember 2015, svo og að 12. mars 2020 gerði Landspítali vinnslusamning við Íslenska erfðagreiningu sem undirvinnsluaðila. Í síðarnefnda samningnum er kveðið á um að vinnsla Íslenskrar erfðagreiningar á persónuupplýsingum fyrir Landspítala felist í söfnun og skimun fyrir COVID-19-veirunni í lífsýnum sem fyrirtækið safni sjálft eða fái send frá spítalanum.

Af hálfu Landspítala og Íslenskrar erfðagreiningar er því haldið fram að blóðsýni þau sem tekin voru 3.-7. apríl 2020 á Landspítala hafi upphaflega verið tekin í klínískum tilgangi, enda þótt segi í svari spítalans að ábyrgðarlæknir rannsóknarinnar hafi einnig ákveðið blóðsýnatökuna með hliðsjón af fyrirhugaðri viðbót við vísindarannsóknina Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur. Í svari Íslenskrar erfðagreiningar segir að fyrirtækið hafi framkvæmt mótefnamælingar og sent niðurstöður þeirra til Landspítalans, enda gætu þær gagnast við mat á ástandi sjúklings og við ákvörðun um meðferð. Telja verður að slíkar mótefnamælingar af hálfu Íslenskrar erfðagreiningar fyrir Landspítala rúmist innan vinnslusamnings aðila, dags. 12. mars 2020.

Miðað við þær skýringar Landspítalans að sýnatakan hafi farið fram í þágu meðferðar er ljóst að skrá bar nauðsynlegar upplýsingar um sýnatökuna í sjúkraskrá hinna skráðu, sbr. 7. tölul. l. mgr. 6. gr. laga nr. 55/2009 um sjúkraskrár. Jafnframt er ljóst að við sendingu sýna, sem send eru til rannsókna, þarf að miðla nauðsynlegum upplýsingum til auðkenningar sýnanna. Telst Landspítali vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem í framangreindri skráningu fólst, svo og vinnslu umræddra auðkenningarupplýsinga. Á hinn bóginn telst Íslensk erfðagreining vera ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem fram fór í þágu framangreindrar viðbótar.Verða vinnslusamningar aðila ekki skoðaðir frekar í þessu samhengi en rétt er að taka fram að fjallað er um þá í ákvörðun Persónuverndar, dags. 23. nóvember 2021, um skimanir á Íslandi fyrir SARS-Cov-2-veirunni sem veldur COVID-19-sjúkdóminum (2020061954), sem og í ákvörðun stofnunarinnar, dags. s.d., um öryggi persónuupplýsinga hjá þeim hluta sýkla- og veirufræðideildar Landspítalans sem staðsettur var á starfsstöð Íslenskrar erfðagreiningar (2020112772).

Fram kemur í svörum Landspítala og Íslenskrar erfðagreiningar að blóðsýnin hafi einnig verið notuð í þágu viðbótar við fyrrgreinda vísindarannsókn. Verður því skoðað í 4. og 5. kafla hér á eftir hvernig það fyrirkomulag sem var viðhaft samrýmist lögum nr. 90/2018 og lögum nr. 44/2014 um vísindarannsóknir á heilbrigðissviði, sbr. reglugerð nr. 230/2018.

3.

_Lögmæti vinnslu

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Almennt hefur vinnsla persónuupplýsinga í þágu vísindarannsókna verið talin byggjast á samþykki hins skráða, sbr. 1. tölul. 9. gr. laganna, sbr. a-lið 1. mgr. 6. gr. reglugerðarinnar, eða almannahagsmunum, sbr. 5. tölul. sömu greinar laganna, sbr. e-lið sömu greinar reglugerðarinnar.

Að auki verður vinnsla viðkvæmra persónuupplýsinga, eins og þær eru skilgreindar skv. b-lið 3. tölul. 3. gr. laganna, sbr. 1. mgr. 9. gr. reglugerðarinnar, að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Má þar nefna að vinnsla viðkvæmra persónuupplýsinga er heimil fari hún fram á grundvelli afdráttarlauss samþykkis hins skráða fyrir vinnslunni í þágu eins eða fleiri tiltekinna verkefna, sbr. 1. tölul. 1. mgr. 11. gr. laganna og a-lið 2. mgr. 9. gr. reglugerðarinnar. Þá er vinnsla viðkvæmra persónuupplýsinga heimil sé hún nauðsynleg vegna vísindarannsókna, enda fari hún fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hinna skráðu, sbr. 10. tölul. 1. mgr. 11. gr. laganna, sbr. j-lið 2. mgr. 9. gr. reglugerðarinnar. Vísast í því sambandi til laga nr. 55/2009 um sjúkraskrár og laga nr. 44/2014 um vísindarannsóknir á heilbrigðissviði.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að samrýmast öllum meginreglum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 1. mgr. 5. gr. reglugerðar (ESB) 2016/679. Í máli þessu reynir á meginregluna um að persónuupplýsingar skulu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. 1. mgr. 8. gr. laganna, sbr. a-lið 1. mgr. 5. gr. reglugerðarinnar, en um þá reglu er nánar fjallað í 4. kafla hér á eftir. Þá reynir á meginregluna um skýra afmörkun tilgangs með vinnslu, sbr. 2. tölul. 1. mgr. 8. gr. laganna og b-lið 1. mgr. 5. gr. reglugerðarinnar, þess efnis m.a. að persónuupplýsingar skulu fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi.

4.

_Fræðsla til hinna skráðu og gagnsæi

Við vísindarannsóknir þarf, sem ávallt, að gæta að meginreglum persónuverndarlaga við vinnslu persónuupplýsinga. Meðal þeirra er reglan um að við vinnslu persónuupplýsinga skuli þess gætt að þær séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679.

Í kröfunni um gagnsæi felst fræðsluskylda ábyrgðaraðila gagnvart hinum skráða, sbr. 17. gr. laganna og 13.-14 gr. reglugerðarinnar, sem gæta skal í hvívetna, með ákveðnum undantekningum þó.

Í kröfunni um lögmæti og sanngirni felst m.a. að þegar vinnsla byggist á samþykki hins skráða skal samþykkið vera upplýst og óþvingað. Fræðsla samkvæmt framangreindu þarf því að vera viðunandi. Jafnframt verður samþykki að vera veitt af fúsum og frjálsum vilja, sem þýðir m.a. að ekki má vera skýr aðstöðumunur milli hins skráða og ábyrgðaraðilans.

Í 13. gr. reglugerðar (ESB) 2016/679, sbr. 17. gr. laga nr. 90/2018, eru lagðar ríkar skyldur á ábyrgðaraðila við öflun persónuupplýsinga hjá skráðum einstaklingi. Kemur annars vegar fram í 1. mgr. ákvæðisins að hinn skráði skuli upplýstur um m.a. heiti og samskiptaupplýsingar ábyrgðaraðila; um samskiptaupplýsingar persónuverndarfulltrúa, ef við á; og um tilganginn með fyrirhugaðri vinnslu persónuupplýsinga og um hver lagagrundvöllur hennar er.

Einnig skal ábyrgðaraðili, samkvæmt 2. mgr. 13. gr. reglugerðarinnar, veita hinum skráða frekari upplýsingar til að tryggja sanngjarna og gagnsæja vinnslu, þ. á m. um hversu lengi persónuupplýsingar verða geymdar eða, ef það er ekki mögulegt, þær viðmiðanir sem notaðar eru til að ákveða það; um að fyrir hendi sé réttur til að fara fram á það við ábyrgðaraðila að fá aðgang að persónuupplýsingum, láta leiðrétta þær, eyða þeim eða takmarka vinnslu þeirra hvað hinn skráða varðar eða til að andmæla vinnslu, auk réttarins til að flytja eigin gögn; um að fyrir hendi sé réttur til að draga samþykki sitt til baka hvenær sem er, án þess þó að það hafi áhrif á lögmæti vinnslu á grundvelli samþykkisins fram að afturkölluninni; og um réttinn til að leggja fram kvörtun hjá eftirlitsstofnun á sviði persónuverndar.

Til viðbótar við ákvæði laga nr. 90/2018 og reglugerðar (ESB) 2016/679 um fræðsluskyldu ábyrgðaraðila skal farið eftir V. kafla laga nr. 44/2014 um vísindarannsóknir á heilbrigðissviði þegar aflað er samþykkis fyrir vinnslu persónuupplýsinga í slíkri rannsókn. Þá ber að fara eftir reglum nr. 230/2018 sem settar eru á grundvelli þeirra laga um hvernig velja má og nálgast fólk til þátttöku í vísindarannsóknum á heilbrigðissviði og hvaða fræðslu skal veita því áður en samþykkis þess er leitað. Í 2. gr. reglnanna segir að markmið þeirra sé að tryggja að fylgt sé vandaðri málsmeðferð sem stuðlar að því að vernda friðhelgi einkalífs og virða sjálfsákvörðunarrétt manna þegar aflað er upplýsts samþykkis í vísindarannsóknum á heilbrigðissviði.

Samkvæmt 18. gr. laga nr. 44/2014 skal samþykki vera skriflegt og veitt af fúsum og frjálsum vilja eftir að þátttakandi hefur fengið fullnægjandi upplýsingar um rannsókn, áhættu sem henni kann að fylgja, hugsanlegan ávinning og í hverju þátttakan er fólgin. Þátttakanda skal gerð grein fyrir því að hann geti hafnað þátttöku í vísindarannsókn og hætt þátttöku hvenær sem er, án skýringa, eftir að hún er hafin.

Í 7. gr. reglna nr. 230/2018 segir að sá heilbrigðisstarfsmaður eða stofnun, sem veitt hefur viðkomandi meðferð eða gert greiningu, kanni vilja sjúklings til þátttöku í vísindarannsókn á heilbrigðissviði. Þá segir m.a. í 8. gr. reglugerðarinnar að kanna megi vilja sjúklinga til þátttöku í vísindarannsókn munnlega. Óheimilt sé að beita væntanlega þátttakendur beinum eða óbeinum þrýstingi til að fá þá til þátt­töku. Þessa skal sérstaklega gætt þegar heilbrigðisstarfsmaður sem sjúklingur getur talið sig skuld­bundinn kynnir rannsóknina fyrir sjúklingi sínum.

Samkvæmt 10. gr. reglna nr. 230/2018 skal, áður en þess er farið á leit við einstakling að hann samþykki þátttöku í vísindarannsókn á heil­brigðis­sviði, veita honum skriflega nánar tilteknar upplýsingar sem skulu miðast við þarfir og getu væntanlegs þátttakanda og skulu útskýrðar nánar munnlega ef þörf krefur. Meðal þeirra upplýsinga eru nafn, stöðuheiti og vinnustaður ábyrgðarmanns rannsóknar og nöfn meðrannsakenda (a-liður); hver tilgangur rannsóknar er, hvernig framkvæmd hennar verður háttað í grófum dráttum og hver möguleg gagnsemi hennar er (b-liður); hverjir eru í samstarfi við ábyrgðarmann um rannsóknina og hverjum upplýsingar verða afhentar (c-liður); hvaða upplýsingar verða notaðar við rannsóknina, þ.m.t. hvort notuð verða lífsýni eða hvort upplýsingum verður safnað úr sjúkraskrá eða öðrum opinberum skrám (e-liður); og hvaða leyfum vísindarannsóknin og söfnun upplýsinganna byggist á (i-liður).

5.

_Niðurstaða Persónuverndar

Eins og rakið er að framan kemur fram í svari Landspítala, dags. 24. mars 2021, að yfirlæknir smitsjúkdómadeildar hafi ákveðið, m.a. vegna fyrirhugaðrar viðbótar við vísindarannsóknina Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur, að hefja blóðsöfnunina í samstarfi við Íslenska erfðagreiningu sem ábyrgðarlæknir rannsóknarinnar og senda fyrirtækinu sýni. Taka sýna og sending þeirra hafi einnig þjónað klínískum tilgangi en þau hafi á endanum eingöngu verið nýtt vegna vísindarannsóknar.

Þá segir í svörum Íslenskrar erfðagreiningar að umrædd blóðsýni hafi verið notuð í þágu viðbótar við fyrrgreinda vísindarannsókn. Því er lýst að viðbótin hafi verið kynnt fyrir COVID-19-smituðum einstaklingum eftir að leyfi Vísindasiðanefndar hafi verið veitt 7. apríl 2020. Allir hafi staðfest við ábyrgðarlækni rannsóknarinnar að þeir vildu að sýnin yrðu notuð í þágu rannsóknarinnar og hafi undirritað upplýst samþykki þess efnis.

Af 1. mgr. 12. gr. laga nr. 44/2014 er ljóst að ekki er heimilt að hefja vinnslu persónuupplýsinga í þágu vísindarannsókna á heilbrigðissviði nema leyfi siðanefndar samkvæmt lögunum liggi fyrir, auk samþykkis hins skráða eftir því sem áskilið er í lögunum. Jafnframt er ljóst að hafi taka lífsýnis í upphafi þjónað klínískum tilgangi og síðar er ákveðið að nýta það í þágu vísindarannsóknar er slík notkun þess heimil með sömu skilyrðum. Þegar samþykki er áskilið skal það vera skriflegt og veitt af fúsum og frjálsum vilja eftir að þátttakandi hefur fengið fullnægjandi upplýsingar um rannsóknina. Í máli þessu liggur fyrir að rannsóknarviðbót sú sem hér um ræðir var samþykkt af Vísindasiðanefnd 7. apríl 2020 eða eftir að blóðsýni voru tekin í þágu viðbótarinnar.

Með hliðsjón af framangreindu, svo og því hvernig skýringar í tengslum við blóðsýnatökuna stangast hverjar á við aðrar, er það mat Persónuverndar að sú vinnsla persónuupplýsinga sem um ræðir hafi ekki fullnægt kröfunni um að persónuupplýsingar skulu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, svo og kröfunni um skýrt tilgreindan tilgang með vinnslu, sbr. 2. tölul. 1. mgr. 8. gr. laganna og b-lið 1. mgr. 5. gr. reglugerðarinnar.

Eins og rakið er að framan í ákvörðun þessari svaraði forstjóri Landspítalans því til í bréfi sínu til Persónuverndar, dags. 10. nóvember 2020, að hann hefði ekki getað komist að því að þau fyrirmæli hefðu verið gefin á spítalanum að blóðsýni skyldu tekin úr öllum COVID-19-sjúklingum sem lágu inni eða kæmu á göngudeild Landspítalans vegna COVID-19 og þau send til Íslenskrar erfðagreiningar. Það var ekki fyrr en eftir frekari eftirgrennslan hans innan spítalans og eftir að Persónuvernd hafði sent bréf öðru sinni þann 11. mars 2021 og óskað tiltekinna skýringa sem í ljós kom að umrædd fyrirmæli hefðu verið gefin og var stofnuninni tilkynnt um það með bréfi spítalans, dags. 24. s.m. Þá kom fram í sama bréfi Landspítala til Persónuverndar að persónuverndarfulltrúi spítalans hefði ekki haft aðkomu að málinu. Samkvæmt þessu er ljóst að yfirsýn skorti á Landspítalanum um hvað fór fram í tengslum við blóðsýni þau sem tekin voru dagana 3.-7. apríl 2020 á spítalanum og notuð í þágu viðbótar við vísindarannsóknina Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur.

Eins og að framan greinir má ekki vera skýr aðstöðumunur milli hins skráða og ábyrgðaraðila þegar aflað er samþykkis. Skal hér litið til 8. gr. reglna nr. 230/2018 þar sem segir að ekki skuli beita væntanlega þátttakendur í vísindarannsókn á heilbrigðissviði beinum eða óbeinum þrýstingi til að fá þá til þátt­töku í rannsókn og skal þess sérstaklega gætt þegar heilbrigðisstarfsmaður sem sjúklingur getur talið sig skuld­bundinn kynnir rannsóknina fyrir sjúklingi sínum. Fyrir liggur að yfirlæknir smitsjúkdómadeildar og ábyrgðarlæknir rannsóknarinnar kynnti hana fyrir COVID-19-sjúklingum og aflaði samþykkis þeirra sem lágu inni á Landspítalanum. Í 1. mgr. 10. gr. laga nr. 44/2014 er kveðið á um það hlutverk Vísindasiðanefndar að meta vísindarannsóknir á heilbrigðissviði í þeim tilgangi að tryggja að þær samrýmist vísindalegum og siðferðilegum sjónarmiðum. Samkvæmt þessu er hér um að ræða álitaefni sem heyrir undir nefndina.

Þá er rakið framar í ákvörðun þessari að forsvarsmaður samskipta Vísindasiðanefndar og Persónuverndar sendi tölvupóst til framkvæmdastjóra Vísindasiðanefndar og spurði um afstöðu nefndarinnar til varðveislu og notkunar sýna sem tekin höfðu verið áður en nefndin veitti leyfi þann 7. apríl 2020 fyrir viðbót við umrædda rannsókn. Persónuvernd bendir á að það hefði verið í samræmi við vandaða stjórnsýsluhætti að Vísindasiðanefnd hefði gert stofnuninni sérstaklega viðvart um fyrirspurn Íslenskrar erfðagreiningar í ljósi þess hlutverks sem stofnunin gegnir í þessum málaflokki.

Í svörum Íslenskrar erfðagreiningar hefur því verið haldið fram að mörkin á milli klínískrar vinnu og vísindarannsókna séu alltaf nokkuð óljós þegar verið sé að kljást við óþekktan sjúkdóm. Hvað þetta snertir bendir Persónuvernd á að um framkvæmd vísindarannsókna á heilbrigðissviði gilda lög nr. 44/2014 og að fara ber eftir slíkri löggjöf þrátt fyrir að heimsfaraldur geisi eins og fram kemur í leiðbeiningum Evrópska persónuverndarráðsins (EDPB) nr. 3/2020, um vinnslu persónuupplýsinga í þágu vísindarannsókna í tengslum við útbreiðslu COVID-19, sem voru gefnar út 21. apríl 2020.

Persónuvernd tekur þó einnig fram að stofnunin gerir sér grein fyrir þeirri ógn sem stafað hefur af COVID-19-sjúkdóminum í íslensku samfélagi frá upphafi faraldursins og því álagi sem íslensk heilbrigðisyfirvöld hafa verið undir. Með hliðsjón af þessum sérstöku aðstæðum hefur mál þetta ekki verið sett í sektarfarveg, sbr. 1. mgr. 47. gr. laga nr. 90/2018.

Á k ö r ð u n a r o r ð:

Vinnsla persónuupplýsinga Landspítala og Íslenskrar erfðagreiningar í aðdraganda viðbótar við rannsóknina Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur, sem samþykkt var af Vísindasiðanefnd 7. apríl 2020, samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.

Persónuvernd, 29. nóvember 2021

Ólafur Garðarsson

formaður

Björn Geirsson Sindri M. Stephensen

Vilhelmína Haraldsdóttir Þorvarður Kári Ólafsson