Úrskurður

um kvörtun yfir vinnslu persónuupplýsinga af hálfu starfsmanns Landspítala, í máli nr. 2025020534 (áður 2024111747):

Málsmeðferð

1. Hinn 20. nóvember 2024 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir uppflettingum [B], starfsmanns Landspítala, í sjúkraskrá hennar án heimildar. Með kvörtuninni fylgdi yfirlit yfir uppflettingar í sjúkraskrá kvartanda, þar sem meðal annars kemur fram að umræddur starfsmaður hafi framkvæmt fimm uppflettingar dagana 17. janúar 2024 og 21. febrúar s.á. í Heilsugátt og Sögukerfi spítalans.

2. Með bréfi, dags. 10. apríl 2025, var Landspítala boðið að koma á framfæri skýringum vegna kvörtunarinnar og bárust svör með tölvupósti 22 s.m. Að auki var [B] boðið að koma á framfæri skýringum, með bréfi, dags. 29. s.m., og bárust svör með tölvupósti 14. maí s.á. Kvartanda var gefinn kostur á að koma að athugasemdum við framkomnar skýringar Landspítala og [B], með bréfi, dags. 28. s.m. og bárust svör með tölvupósti 10. júní s.á. Loks var Landspítali beðinn um nánari skýringar, með bréfi, dags. 15. júlí s.á. og bárust svör, dags. 2. október s.á. ásamt fylgigögnum.

3. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna.

Ágreiningsefni

4. Ágreiningur er um lögmæti uppflettinga [B] í sjúkraskrá kvartanda, sem framkvæmdar voru dagana 17. janúar 2024 og 21. febrúar s.á. í Heilsugátt og Sögukerfi Landspítala.

Atvik máls og fyrirliggjandi gögn

5. Yfirlit yfir uppflettingar í sjúkraskrá kvartanda sýna fimm uppflettingar framkvæmdar af [B] í Heilsugátt og Sögukerfi Landspítala. Fjórar uppflettingar voru framkvæmdar 17. janúar 2024, en kvartandi átti bókaðan tíma hjá lækni þann dag. Fimmta uppflettingin var framkvæmd 21. febrúar s.á., þegar kvartandi var inniliggjandi á Landspítala.

6. Eftirlitsnefnd um rafræna sjúkraskrá á Landspítala tók umræddar uppflettingar til skoðunar samkvæmt beiðni kvartanda, dags. 24. september 2024. Nefndin rannsakaði hvort uppflettingarnar tengdust komum, tilvísunum, beiðnum, rannsóknum eða öðru á vegum þeirrar starfseiningar sem [B] starfaði á. Samkvæmt niðurstöðu nefndarinnar, dags. 30. desember s.á., sýndi [B] ekki fram á, við rannsókn málsins, að hún hefði átt lögmætt erindi í sjúkraskrá kvartanda í umrædd skipti, og því var [B] talin hafa brotið gegn ákvæðum laga nr. 55/2009 um sjúkraskrár og 21. gr. laga nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins. Háttsemi [B] var tilkynnt til embættis landlæknis og Persónuverndar, í samræmi við 2. og 3. mgr. 22. gr. sjúkraskrárlaga.

Sjónarmið aðila

Sjónarmið kvartanda

7. Kvartandi heldur því fram að [B] hafi ekki haft lögmæta ástæðu til að fletta upp og skoða sjúkraskrá hennar, enda hafi [B] ekki komið að meðferð hennar á nokkurn hátt. [...].Vegna fyrrum kynna þeirra, hefði kvartandi óskað eftir öðrum starfsmanni, ef sú staða hefði komið upp að [B] ætti að koma að meðferð hennar.

8. Í skýringum kvartanda er tekið fram að [B] hafi verið í móttöku Landspítalans 17. janúar 2024 þegar kvartandi tilkynnti komu sína til læknis. Að auki hafi kvartandi orðið vör við [B] þegar hún var inniliggjandi á [...]-deild spítalans, dags. 21. febrúar s.á.

Sjónarmið Landspítala

9. Landspítali byggir á því að [B] hafi ekki verið í meðferðarsambandi við kvartanda þegar umræddar uppflettingar voru framkvæmdar. Ekki sé ætlast til þess að starfsmenn fletti upp í sjúkraskrám einstaklinga við komu þeirra á spítalann, í þeim tilgangi að leiðbeina þeim hvert þeir eigi að mæta. [B] hafi fengið fræðslu um umgengni sjúkraskrárupplýsinga líkt og aðrir starfsmenn spítalans.

10. Landspítali vísar jafnframt til niðurstöðu eftirlitsnefndar um rafræna sjúkraskrá, sbr. umfjöllun í efnisgrein 6. Þar sem [B] hafi farið út fyrir aðgangsheimildir sínar samkvæmt lögum nr. 55/2009 um sjúkraskrár, beri hún sjálf ábyrgð á uppflettingum í sjúkraskrá kvartanda. Er í því sambandi vísað til fyrri framkvæmdar Persónuverndar, m.a. úrskurðar stofnunarinnar frá 29. apríl 2021 í máli nr. 2020010658.
Sjónarmið [B].

11. [B] heldur því fram að umræddar uppflettingar eigi sér eðlilegar skýringar. Uppflettingarnar hafi verið liður í starfi hennar, [...].

12. Í skýringum [B] segir að það sé ekki rétt sem kvartandi haldi fram, að hún hafi komið við í móttökunni í því tilviki er hún átti tíma hjá lækni. Kvartandi hafi hins vegar komið inn ganginn á […]og óskað eftir aðstoð þar sem hún hafi ekki vitað hvert hún ætti að mæta og hvort hún væri að koma í rannsókn eða viðtal. [B] hafi kannast við kvartanda og því tekið skref til baka. […]. Þá hafi kvartandi viljað vita hvern hún væri að fara að hitta og því hafi [B] þurft að fletta aftur upp í sjúkraskránni. [...].

13. Í því tilviki sem kvartandi var inniliggjandi á Landspítala, hafi [B] ekki séð kvartanda. [B] þurfi hins vegar oft að fara inn á þá deild sem kvartandi var inniliggjandi á, vegna starfa sinna. Uppflettingar í sjúkraskrá kvartanda eigi sér eðlilegar skýringar, en í starfi [B] felist pappírsvinna auk þess sem hún þurfi að fletta upp mörgum kennitölum á dag [...].

Forsendur og niðurstaða

Lagaumhverfi

14. Mál þetta lýtur að uppflettingum starfsmanns Landspítala, [B], í sjúkraskrá kvartanda. Varðar það því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 1. mgr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

15. Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679. Almennt er litið svo á að ábyrgðaraðili sé hlutaðeigandi stofnun eða fyrirtæki en ekki einstaka starfsmenn, hvort sem um ræðir stjórnendur eða almenna starfsmenn. Hafi starfsmaður stofnunar eða fyrirtækis hins vegar notað persónuupplýsingar í eigin þágu, eða vegna einhvers verks sem ekki fellur innan verksviðs ábyrgðaraðila, ber hann sjálfur ábyrgð á þeirri aðgerð.

16. Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að heimilt er að vinna með persónuupplýsingar ef vinnslan er nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins. Mæla skal fyrir um grundvöll slíkrar vinnslu í lögum, sbr. 3. mgr. 6. gr. reglugerðarinnar.

17. Vinnsla viðkvæmra persónuupplýsinga, þ.m.t. heilsufarsupplýsinga, sbr. b-lið 3. tölul. 3. gr. laganna og 1. mgr. 9. gr. reglugerðarinnar, þarf jafnframt að samrýmast einhverju viðbótarskilyrða 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Eins og hér háttar til kemur til skoðunar 8. tölul. lagaákvæðisins og h-liður reglugerðarákvæðisins, um að vinnslan sé nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu.

18. Vinnsla persónuupplýsinga verður jafnframt að samrýmast öllum meginreglum 1. mgr. 8. gr. laganna, sbr. 1. mgr. 5. gr. reglugerðarinnar. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, og að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum eða ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins.

19. Við mat á því hvort farið sé að þeim lagaákvæðum sem rakin eru hér að framan þarf að líta til ákvæða annarra laga sem við eiga hverju sinni. Í fyrirliggjandi máli koma til skoðunar lög nr. 55/2009 um sjúkraskrár.

20. Í lögum nr. 55/2009 segir í 2. gr. að við færslu og varðveislu sjúkraskráa og aðgang að þeim skuli mannhelgi og sjálfsákvörðunarréttur sjúklinga virtur og þess gætt að sjúkraskrár hafa að geyma viðkvæmar persónuupplýsingar og að upplýsingar í þeim eru trúnaðarmál. Samkvæmt 12. gr. laganna er aðgangur að sjúkraskrám óheimill nema til hans standi lagaheimild samkvæmt ákvæðum laganna eða öðrum lögum. Í 1. mgr. 13. gr. laganna er kveðið á um að heilbrigðisstarfsmenn sem koma að meðferð sjúklings og þurfa á sjúkraskrárupplýsingum hans að halda vegna meðferðarinnar skuli hafa aðgang að sjúkraskrá sjúklingsins með takmörkunum samkvæmt ákvæðum laganna og reglna settra á grundvelli þeirra. Samkvæmt 3. tölul. 3. gr. sömu laga felst í hugtakinu meðferð rannsókn, aðgerð eða önnur heilbrigðisþjónusta sem læknir eða annar heilbrigðisstarfsmaður veitir til að greina, lækna, endurhæfa, hjúkra eða annast sjúkling.

Niðurstaða

21. Persónuvernd hefur almennt litið svo á að Landspítali teljist ábyrgðaraðili að uppflettingum starfsmanna sinna í sjúkraskrám, þegar þær eru framkvæmdar af þeim heilbrigðisstarfsmönnum sem koma að meðferð sjúklings og þurfa á sjúkraskrárupplýsingum hans að halda vegna meðferðarinnar, sbr. 13. gr. laga nr. 55/2009 um sjúkraskrár. Fari starfsmaður hins vegar út fyrir aðgangsheimildir sínar samkvæmt fyrrgreindum lögum ber hann sjálfur ábyrgð á því, sbr. einnig umfjöllun í efnisgrein 15. Er í þessu sambandi jafnframt vísað til úrskurðar stofnunarinnar frá 29. apríl 2021 í máli nr. 2020010658. Í því tilviki sem hér um ræðir þarf því að taka afstöðu til þess hvort [B] var heimil sú vinnsla persónuupplýsinga sem kvörtunin lýtur að.

22. Fyrir liggur að [B] fletti upp í sjúkraskrá kvartanda 17. janúar 2024 og 21. febrúar s.á. Líkt og vikið er að í efnisgrein 6 athugaði eftirlitsnefnd um rafræna sjúkraskrá Landspítala hvort uppflettingarnar tengdust komum, tilvísunum, beiðnum, rannsóknum eða öðru á vegum þeirrar starfseiningar sem [B] starfaði á. Komst nefndin að niðurstöðu um að [B] hefði opnað sjúkraskrá kvartanda án þess að fyrir lægi meðferðarsamband, sbr. 1. mgr. 13. gr. laga nr. 55/2009 um sjúkraskrár. Persónuvernd hefur ekki forsendur til að endurskoða mat á því hvenær aðgangur að sjúkraskrárupplýsingum er nauðsynlegur í þágu meðferðar og takmarkast eftirlit stofnunarinnar því við skoðun á því hvort sú vinnsla persónuupplýsinga, sem felst í uppflettingu í sjúkraskrá, hefur verið í samræmi við skilyrði persónuverndarlaga, þ.m.t. hvort uppflettingin telst hafa verið nauðsynleg í þágu skýrt tilgreinds tilgangs í ljósi skýringa ábyrgðaraðila.

23. Í skýringum sínum til Persónuverndar hefur [B] borið því við að uppflettingarnar hafi verið nauðsynlegar vegna starfa hennar á Landspítalanum. Með hliðsjón af skýringum [B], sem raktar eru í efnisgreinum 11-13, og niðurstöðu eftirlitsnefndar um rafræna sjúkraskrá er það mat Persónuverndar að [B] hafi ekki sýnt fram á nauðsyn þess að fletta upp í sjúkraskrá kvartanda í umrædd skipti, enda liggur fyrir að ekki sé ætlast til þess að starfsmenn fletti upp í sjúkraskrám einstaklinga við komu þeirra á Landspítala í þeim tilgangi að leiðbeina þeim hvert þeir eigi að mæta, sbr. umfjöllun í efnisgrein 9.

24. Með hliðsjón af framangreindu verður [B] talin bera ábyrgð á þeirri vinnslu persónuupplýsinga sem fólst í uppflettingum í sjúkraskrá kvartanda í umrædd skipti, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679. Að mati Persónuverndar hefur [B] ekki sýnt fram á að uppflettingar í sjúkraskrá kvartanda hafi stuðst við viðeigandi vinnsluheimild, samkvæmt 9. gr. og 11. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. og 2. mgr. 9. gr. reglugerðar (ESB) 2016/679, sbr. einnig 2. mgr. 8. gr. laganna og 2. mgr. 5. gr. reglugerðarinnar.

25. Þegar af þeirri ástæðu er það niðurstaða Persónuverndar að sú vinnsla [B] á persónuupplýsingum um kvartanda, sem fólst í uppflettingum í sjúkraskrá hennar 17. janúar 2024 og 24. september s.á., hafi ekki samrýmst lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Ákvörðun um beitingu valdheimilda

26. Persónuvernd getur veitt ábyrgðaraðila eða vinnsluaðila áminningu ef vinnsluaðgerðir hafa brotið í bága við reglugerð (ESB) 2016/679, sbr. 2. tölul. 42. gr. laga nr. 90/2018, og lagt stjórnvaldssektir á þá sem brjóta, af ásetningi eða gáleysi, gegn einhverju þeirra ákvæða reglugerðarinnar sem talin eru upp í 2. og 3. mgr. 46. gr. laga nr. 90/2018, sbr. 1. og 5. mgr. þeirrar lagagreinar. Samkvæmt 1. og 2. tölul. 3. mgr. 46. gr. eru þar á meðal ákvæði um grundvallarreglur vinnslu, meðal annars samkvæmt 1. mgr. 5. gr., 1. mgr. 6. gr. og 2. mgr. 9. gr. reglugerðarinnar.

27. Við ákvörðun um hvort framangreindum ákvæðum um sektarheimild skal beitt, sem og um fjárhæð sektar, ber að líta til 1. mgr. 47. gr. laga nr. 90/2018 þar sem kveðið er á um þau atriði sem ýmist geta verið metin hlutaðeigandi til málsbóta eða honum í óhag. Að virtum þeim sjónarmiðum sem tilgreind eru í tilvísuðu ákvæði, og að gættum öðrum lögmæltum sjónarmiðum og málsatvikum í heild, svo og að teknu tilliti til reglna um meðalhóf, sbr. 1. mgr. 83. gr. reglugerðar (ESB) 2016/679 og 12. gr. stjórnsýslulaga nr. 37/1993, þykja ekki efni til að leggja stjórnvaldssekt á [B] vegna þeirra brota sem rakin eru í efnisgreinum 24-25.

Ú r s k u r ð a r o r ð:

Vinnsla [B] á persónuupplýsingum [A], sem fólst í uppflettingum í sjúkraskrá hennar 17. janúar 2024 og 24. september s.á., samrýmdist ekki lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Persónuvernd, 3. nóvember 2025

Edda Þuríður Hauksdóttir Harpa Halldórsdóttir