Úrskurður

um kvörtun yfir uppflettingum [B] í sjúkraskrá, í máli nr. 2025051308:

Málsmeðferð

1. Hinn 12. maí 2025 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir uppflettingum [B] ([B]), starfsmanns Landspítala, í sjúkraskrá hennar án heimildar. Í rökstuðningi kvörtunar kemur fram að eftirlitsnefnd spítalans hafi staðfest að [B] hafi flett upp nafni kvartanda í sjúkraskrá í tiltekinn fjölda skipta.

2. Með bréfi Persónuverndar til Landspítala, dags. 21. apríl 2026, fór stofnunin fram á nánar tilgreindar upplýsingar og bauð spítalanum að tjá sig um kvörtunina. Svör Landspítala bárust með bréfi dags. 1. júlí s.á. Kvartanda var veittur kostur á að koma á framfæri athugasemdum við svör Landspítala með bréfi dags. 10. júlí s.á. og bárust þær með tölvupósti 5. ágúst s.á. Með bréfi Persónuverndar til [B], dags. 10. júlí s.á., fór Persónuvernd fram á nánar tilgreindar upplýsingar og bauð henni að tjá sig um kvörtunina. Engin svör bárust frá [B] innan tilgreinds svarfrests. Með bréfi Persónuverndar til Landspítala, dags. 21. ágúst s.á., óskaði stofnunin eftir afriti af niðurstöðu eftirlitsnefndar um rafræna sjúkraskrá og yfirliti yfir uppflettingar [B] í sjúkraskrá kvartanda, sem vísað hafði verið til í svarbréfi spítalans. Umbeðin gögn bárust 1. september s.á.

3. Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó svo að ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Ágreiningsefni

4. Ágreiningur er um lögmæti uppflettinga [B] í sjúkraskrá kvartanda, sem framkvæmdar voru dagana 23. desember 2021, 22. apríl og 6. desember 2022, 31. júlí 2023 og 23. júlí 2024 í sjúkraskrárkerfum Landspítala.

Atvik máls og fyrirliggjandi gögn

5. Yfirlit yfir uppflettingar í sjúkraskrá kvartanda sýna níu uppflettingar framkvæmdar af [B] í Sögu sjúkraskrárkerfi Landspítala. Tvær uppflettingar voru framkvæmdar dagana 23. desember 2021, 22. apríl 2022, 6. desember s.á. og 31. júlí 2023 og ein uppfletting 23. júlí 2024.

6. Eftirlitsnefnd um rafræna sjúkraskrá á Landspítala tók umræddar uppflettingar til skoðunar í kjölfar ábendingar frá kvartanda haustið 2024. Samkvæmt niðurstöðu nefndarinnar, dags. 30. desember s.á., sýndi [B] ekki fram á við rannsókn málsins að hún hefði átt lögmætt erindi í sjúkraskrá kvartanda í umrædd skipti, og því var [B] talin hafa brotið gegn ákvæðum laga nr. 55/2009 um sjúkraskrár og 21. gr. laga nr. 70/1996 um réttindi og skyldur starfsmanna ríkisins. Háttsemi [B] var tilkynnt til embættis landlæknis og Persónuverndar, í samræmi við 2. og 3. mgr. 22. gr. laga nr. 55/2009.

Sjónarmið aðila

Sjónarmið kvartanda

7. Kvartandi byggir á því að [B] hafi ekki haft lögmæta ástæðu til að fletta upp og skoða sjúkraskrá hennar, enda hafi [B] ekki komið að meðferð hennar á nokkurn hátt. [...].

Sjónarmið Landspítala

8. Landspítali vísar til niðurstöðu eftirlitsnefndar um rafræna sjúkraskrá, sbr. umfjöllun í efnisgrein 6. Þar sem [B] hafi farið út fyrir aðgangsheimildir sínar samkvæmt lögum nr. 55/2009 um sjúkraskrár og reglum spítalans, beri hún sjálf ábyrgð á uppflettingum í sjúkraskrá kvartanda. Vísar Landspítalinn í því sambandi til úrskurðar Persónuverndar í máli nr. 2025020534 sem varðaði áþekkar uppflettingar sama starfsmanns, sem taldar voru ólögmætar. Vísar spítalinn til fyrri svara sinna í því máli, um ætlaða lagaheimild uppflettinga [B], en það mál sé að mati spítalans sambærilegt þessu máli.

Sjónarmið [B]

9. Líkt og fyrr greinir, sbr. umfjöllun í efnisgrein 2, var [B] boðið að tjá sig um kvörtunina auk þess sem farið var fram á tilgreindar upplýsingar frá henni. Athygli hennar var vakin á því að bærust engin svör innan tilgreinds frests mætti gera ráð fyrir að málið yrði tekið til úrlausnar, án frekari tilkynninga, á grundvelli fyrirliggjandi gagna, þ.m.t. niðurstöðu eftirlitsnefndar um rafræna sjúkraskrá á Landspítalanum, sbr. umfjöllun í efnisgrein 6. Engin svör bárust frá [B].

Forsendur og niðurstaða

Lagaumhverfi

10. Mál þetta lýtur að uppflettingum starfsmanns Landspítala, [B], í sjúkraskrá kvartanda. Varðar það því vinnslu persónuupplýsinga sem fellur undir gildissvið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og þar með valdsvið Persónuverndar, sbr. 1. mgr. 4. gr., 2. mgr. 1. gr. og 1. mgr. 39. gr. laganna.

11. Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðar (ESB) 2016/679. Almennt er litið svo á að ábyrgðaraðili sé hlutaðeigandi stofnun eða fyrirtæki en ekki einstaka starfsmenn, hvort sem um ræðir stjórnendur eða almenna starfsmenn. Hafi starfsmaður stofnunar eða fyrirtækis hins vegar notað persónuupplýsingar í eigin þágu, eða vegna einhvers verks sem ekki fellur innan verksviðs ábyrgðaraðila, ber hann sjálfur ábyrgð á þeirri aðgerð.

12. Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna að heimilt er að vinna með persónuupplýsingar ef vinnslan er nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila, sbr. 3. tölul. lagaákvæðisins og c-lið reglugerðarákvæðisins. Mæla skal fyrir um grundvöll slíkrar vinnslu í lögum, sbr. 3. mgr. 6. gr. reglugerðarinnar.

13. Vinnsla viðkvæmra persónuupplýsinga, þ.m.t. heilsufarsupplýsinga, sbr. b-lið 3. tölul. 3. gr. laganna og 1. mgr. 9. gr. reglugerðarinnar, þarf jafnframt að samrýmast einhverju viðbótarskilyrða 1. mgr. 11. gr. laganna, sbr. 2. mgr. 9. gr. reglugerðarinnar. Eins og hér háttar til kemur til skoðunar 8. tölul. lagaákvæðisins og h-liður reglugerðarákvæðisins, um að vinnslan sé nauðsynleg til að unnt sé að fyrirbyggja sjúkdóma eða vegna atvinnusjúkdómalækninga, til að meta vinnufærni starfsmanns, greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og fyrir henni sé sérstök lagaheimild, enda sé hún framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu.

14. Vinnsla persónuupplýsinga verður jafnframt að samrýmast öllum meginreglum 1. mgr. 8. gr. laganna, sbr. 1. mgr. 5. gr. reglugerðarinnar. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða, sbr. 1. tölul. lagaákvæðisins og a-lið reglugerðarákvæðisins, og að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum eða ósamrýmanlegum tilgangi, sbr. 2. tölul. lagaákvæðisins og b-lið reglugerðarákvæðisins. Ábyrgðaraðili ber ábyrgð á því að vinnsla persónuupplýsinga uppfylli ávallt meginreglur persónuverndarlöggjafarinnar og skal geta sýnt fram á það, sbr. 2. mgr. laga- og reglugerðarákvæðisins.

15. Við mat á því hvort farið sé að þeim lagaákvæðum sem rakin eru hér að framan þarf að líta til ákvæða annarra laga sem við eiga hverju sinni. Í fyrirliggjandi máli koma til skoðunar lög nr. 55/2009 um sjúkraskrár.

16. Í lögum nr. 55/2009 segir í 2. gr. að við færslu og varðveislu sjúkraskráa og aðgang að þeim skuli mannhelgi og sjálfsákvörðunarréttur sjúklinga virtur og þess gætt að sjúkraskrár hafi að geyma viðkvæmar persónuupplýsingar og að upplýsingar í þeim séu trúnaðarmál. Samkvæmt 12. gr. laganna er aðgangur að sjúkraskrám óheimill nema til hans standi lagaheimild samkvæmt ákvæðum laganna eða öðrum lögum. Í 1. mgr. 13. gr. laganna er kveðið á um að heilbrigðisstarfsmenn sem komi að meðferð sjúklings og þurfi á sjúkraskrárupplýsingum hans að halda vegna meðferðarinnar skuli hafa aðgang að sjúkraskrá sjúklingsins með takmörkunum samkvæmt ákvæðum laganna og reglna settra á grundvelli þeirra. Samkvæmt 3. tölul. 3. gr. sömu laga felst í hugtakinu meðferð: rannsókn, aðgerð eða önnur heilbrigðisþjónusta sem læknir eða annar heilbrigðisstarfsmaður veitir til að greina, lækna, endurhæfa, hjúkra eða annast sjúkling.

Niðurstaða

17. Persónuvernd hefur almennt litið svo á að Landspítali teljist ábyrgðaraðili að uppflettingum starfsmanna sinna í sjúkraskrám, þegar þær eru framkvæmdar af þeim heilbrigðisstarfsmönnum sem koma að meðferð sjúklings og þurfa á sjúkraskrárupplýsingum hans að halda vegna meðferðarinnar, sbr. 13. gr. laga nr. 55/2009 um sjúkraskrár. Fari starfsmaður hins vegar út fyrir aðgangsheimildir sínar samkvæmt fyrrgreindum lögum ber hann sjálfur ábyrgð á því, sbr. einnig umfjöllun í efnisgrein 11. Er í þessu sambandi jafnframt vísað til úrskurða stofnunarinnar frá 29. apríl 2021 í máli nr. 2020010658 og frá 3. nóvember 2025 í máli nr. 2025020534. Í því tilviki sem hér um ræðir þarf því að taka afstöðu til þess hvort [B] var heimil sú vinnsla persónuupplýsinga sem kvörtunin lýtur að.

18. [B] hefur ekki látið sig málið varða og liggur afstaða hennar til umkvörtunarefnisins því ekki fyrir í málinu, sbr. umfjöllun í efnisgrein 9. Fyrir liggur að [B] fletti upp í sjúkraskrá kvartanda 23. desember 2021, 22. apríl og 6. desember 2022, 31. júlí 2023 og 23. júlí 2024. Líkt og vikið er að í efnisgrein 6 komst eftirlitsnefnd um rafræna sjúkraskrá Landspítala að þeirri niðurstöðu að [B] hefði ekki sýnt fram á við rannsókn málsins að hún hefði átt lögmætt erindi í sjúkraskrá kvartanda í umrædd skipti. Persónuvernd hefur ekki forsendur til að endurskoða mat á því hvenær aðgangur að sjúkraskrárupplýsingum er nauðsynlegur í þágu meðferðar og takmarkast eftirlit stofnunarinnar því við skoðun á því hvort sú vinnsla persónuupplýsinga, sem felst í uppflettingu í sjúkraskrá, hefur verið í samræmi við skilyrði persónuverndarlaga, þ.m.t. hvort uppflettingin telst hafa verið nauðsynleg í þágu skýrt tilgreinds tilgangs í ljósi skýringa ábyrgðaraðila.

19. Með hliðsjón af framangreindu verður [B] talin bera ábyrgð á þeirri vinnslu persónuupplýsinga sem fólst í uppflettingum í sjúkraskrá kvartanda í umrædd skipti, sbr. 6. tölul. 3. gr. laga nr. 90/2018 og 7. tölul. 4. gr. reglugerðar (ESB) 2016/679. Að mati Persónuverndar hefur [B] ekki sýnt fram á að uppflettingar í sjúkraskrá kvartanda hafi stuðst við viðeigandi vinnsluheimild, samkvæmt 9. gr. og 11. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. og 2. mgr. 9. gr. reglugerðar (ESB) 2016/679, sbr. einnig 2. mgr. 8. gr. laganna og 2. mgr. 5. gr. reglugerðarinnar.

20. Þegar af þeirri ástæðu er það niðurstaða Persónuverndar að sú vinnsla [B] á persónuupplýsingum um kvartanda, sem fólst í uppflettingum í sjúkraskrá hennar 23. desember 2021, 22. apríl og 6. desember 2022, 31. júlí 2023 og 23. júlí 2024, hafi ekki samrýmst lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Ákvörðun um beitingu valdheimilda

21. Persónuvernd getur veitt ábyrgðaraðila eða vinnsluaðila áminningu ef vinnsluaðgerðir hafa brotið í bága við reglugerð (ESB) 2016/679, sbr. 2. tölul. 42. gr. laga nr. 90/2018, og lagt stjórnvaldssektir á þá sem brjóta, af ásetningi eða gáleysi, gegn einhverju þeirra ákvæða reglugerðarinnar sem talin eru upp í 2. og 3. mgr. 46. gr. laga nr. 90/2018, sbr. 1. og 5. mgr. þeirrar lagagreinar. Samkvæmt 1. og 2. tölul. 3. mgr. 46. gr. eru þar á meðal ákvæði um grundvallarreglur vinnslu, meðal annars samkvæmt 1. mgr. 5. gr., 1. mgr. 6. gr. og 2. mgr. 9. gr. reglugerðarinnar.

22. Við ákvörðun um hvort framangreindum ákvæðum um sektarheimild skal beitt, sem og um fjárhæð sektar, ber að líta til 1. mgr. 47. gr. laga nr. 90/2018 þar sem kveðið er á um þau atriði sem ýmist geta verið metin hlutaðeigandi til málsbóta eða honum í óhag. Að virtum þeim sjónarmiðum sem tilgreind eru í tilvísuðu ákvæði og að gættum öðrum lögmæltum sjónarmiðum og málsatvikum í heild, svo og að teknu tilliti til reglna um meðalhóf, sbr. 1. mgr. 83. gr. reglugerðar (ESB) 2016/679 og 12. gr. stjórnsýslulaga nr. 37/1993, þykja ekki efni til að leggja stjórnvaldssekt á [B] vegna þeirra brota sem rakin eru í efnisgreinum 19 og 20. Rétt þykir þó að veita [B] áminningu, sbr. 2. tölul. 42. gr. laganna, vegna fyrrgreindra brota.

Ú r s k u r ð a r o r ð:

Vinnsla [B] á persónuupplýsingum [A], sem fólst í uppflettingum í sjúkraskrá hennar 23. desember 2021, 22. apríl og 6. desember 2022, 31. júlí 2023 og 23. júlí 2024, samrýmdist ekki lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

[B] er veitt áminning, sbr. 2. tölul. 42. gr. laga nr. 90/2018, vegna framangreindra brota.

Persónuvernd, 5. október 2026

Edda Þuríður Hauksdóttir Ósk Óskarsdóttir