Kvartað var yfir uppflettingum trúnaðarlæknis Samgöngustofu í sjúkraskrá kvartanda og meðferð Samgöngustofu á viðkvæmum persónuupplýsingum. Með vísan til þess að í sjúkraskrá er að finna mjög viðkvæmar persónuupplýsingar taldi kvartandi að aðrir en þeir læknar og heilbrigðisstarfsfólk sem hann leitar sjálfur til í meðferðarskyni ættu ekki að hafa aðgang að henni. Kvartandi taldi því að trúnaðarlækni Samgöngustofu hefði borið að óska frekari upplýsinga frá meðferðarlækni hans eða fá samþykki kvartanda fyrir frekari upplýsingaöflun ef hann taldi sig þurfa gleggri mynd af heilsufari hans.

Samgöngustofa byggði á því að nauðsynlegt hefði verið fyrir trúnaðarlækni stofnunarinnar að fletta upp í sjúkraskrá kvartanda vegna þess eftirlits sem Samgöngustofa fer með, m.a. samkvæmt ákvæðum laga nr. 119/2012 um Samgöngustofu, stjórnsýslustofnun samgöngumála. Hefði trúnaðarlækni stofnunarinnar verið úthlutaður aðgangur að sameiginlegri sjúkraskrá á grundvelli samnings Samgöngustofu og Heilsugæslu höfuðborgarsvæðisins í samræmi við VI. kafla laga nr. 55/2009 um sjúkraskrár.

Persónuvernd komst að þeirri niðurstöðu að þrátt fyrir þær eftirlitsskyldur sem hvíla á Samgöngustofu og heimildir hennar til að afla og vinna heilsufarsupplýsingar þar að lútandi hefði skort skýra lagaheimild til að veita trúnaðarlækni stofnunarinnar beinan aðgang að sjúkraskrá samkvæmt 12. gr. laga nr. 55/2009 um sjúkraskrár. Að því virtu að trúnaðarlæknir Samgöngustofu sinnti ekki meðferð kvartanda taldi Persónuvernd enn fremur ekki fyrir hendi lagaheimild fyrir aðgangi hans að sjúkraskrá kvartanda í öðrum ákvæðum laga nr. 55/2009. Loks taldi Persónuvernd skilyrði 20. gr. laganna, um sameiginlegt sjúkraskrárkerfi, ekki vera fyrir hendi í málinu en þar er áskilið að rekstur slíks kerfis sé í þágu öryggis sjúklinga við meðferð.

Að framangreindu virtu taldi Persónuvernd uppflettingu trúnaðarlæknis Samgöngustofu í sjúkraskrá kvartanda ekki uppfylla áskilnað 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, um að vinnsla persónuupplýsinga sé nauðsynleg til að uppfylla lagaskyldu sem hvílir á ábyrgðaraðila, og var vinnslan þegar af þeirri ástæðu talin óheimil og ólögmæt. Með hliðsjón af þeirri niðurstöðu var frekari vinnsla Samgöngustofu á upplýsingum úr sjúkraskrá kvartanda, þ.e. varðveisla þeirra og áframsending, jafnframt talin óheimil og ólögmæt.

Þá taldi Persónuvernd að fyrirliggjandi samningur Samgöngustofu og Heilsugæslu höfuðborgarsvæðisins um sameiginlegt sjúkraskrárkerfi uppfyllti ekki að öðru leyti skilyrði 20. gr. laga nr. 55/2009, þar sem hvorki lá fyrir leyfi ráðherra né staðfesting Persónuverndar á öryggi persónuupplýsinga í kerfinu.