Útdráttur úr ákvörðun

Mál nr. 2025020656

Persónuvernd hefur lokið frumkvæðisathugun á vinnslu persónuupplýsinga af hálfu læknis sem fólst í uppflettingum hans í sjúkraskrám tilgreindra einstaklinga og smáskilaboðasendingum til þeirra. Athugunina má rekja til ábendingar sem barst Persónuvernd, m.a. þess efnis að viðkomandi læknir hefði nýtt sér aðgang að sjúkraskrárkerfi Landspítalans til að afla sér fjárhagslegs ávinnings með því að beina sjúklingum í viðskipti við einkarekið fyrirtæki sem hann starfaði jafnframt hjá.

Viðkomandi læknir byggði á því að vinnslan hefði samrýmst persónuverndarlöggjöfinni og farið fram í umboði Landspítalans. Féllist Persónuvernd ekki á ábyrgð Landspítalans, á þeirri vinnslu persónuupplýsinga sem athugunin laut að, byggði viðkomandi læknir á því að vinnslan hefði engu að síður verið lögmæt, enda hefði hún verið nauðsynleg vegna lagaskyldu, sbr. 3. tölul. 9. gr. laga nr. 90/2018, og uppfyllt skilyrði 8. tölul. 1. mgr. 11. gr. laganna, þar sem hún hefði verið nauðsynleg til að veita umönnun og meðferð á sviði heilbrigðisþjónustu, á grundvelli sérstakrar lagaheimildar, og framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu.

Persónuvernd komst að niðurstöðu um að viðkomandi læknir væri ábyrgðaraðili vinnslunnar, sem fólst í uppflettingum hans í sjúkraskrám viðkomandi einstaklinga og sendingu skilaboða til þeirra, enda hefði hann notað persónuupplýsingarnar í eigin þágu, vegna verks sem féll ekki innan verksviðs Landspítalans. Með hliðsjón af niðurstöðu embættis landlæknis, um að lagaheimild hefði ekki staðið til umræddra uppflettinga í sjúkraskrám samkvæmt lögum nr. 55/2009, taldi Persónuvernd að vinnslan gæti ekki stuðst við tilvísaðar vinnsluheimildir, þ.e. 3. tölul. 9. gr. og 8. tölul. 1. mgr. 11. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. og h-lið 2. mgr. 9. gr. reglugerðar (ESB) 2016/679. Vinnslan var jafnframt ekki talin hafa farið fram með lögmætum hætti gagnvart hinum skráðu eða í málefnalegum tilgangi, sbr. 1. og 2. tölul. 1. mgr. 8. gr. laganna og a- og b-liði 1. mgr. 5. gr. reglugerðarinnar.