Sekta hvorki LSH né ÍE fyrir brot á per­sónu­vernd í tengslum við Co­vid-rann­sókn

Þetta er niðurstaða Persónuverndar sem hefur lokið frumkvæmisathugun sinni á öflun samþykkis Covid-19 sjúklinga á Landspítala fyrir notkun blóðsýna þeirra í þágu vísindarannsóknarinnar Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur.

Að sögn Persónuverndar varðar brotið viðbót við umrædda vísindarannsókn. Fram kemur í svari ÍE til Persónuverndar að blóðsýni hafi verið tekin frá 3. til 7. apríl 2020 úr einstaklingum með Covid-19-sjúkdóminn sem hafi legið inni á Landspítalanum eða komið á göngudeild spítalans vegna sjúkdómsins, áður en upplýst samþykki vegna rannsóknarviðbótar hafi verið undirritað. 

Þetta hafi verið gert í samræmi við fyrirmæli framkvæmdastjóra lækninga á Landspítalanum og um hafi verið að ræða klíníska vinnu. Þá segir að eftir að leyfi Vísindasiðanefndar fyrir viðbótinni við rannsóknina hafi verið veitt 7. apríl 2020 hafi einungis sýni frá þeim Covid-19-sjúklingum, sem hafi undirritað upplýst samþykki fyrir þátttöku, verið unnin sérstaklega, skömmtuð og flutt til ÍE.

Þurft að fá leyfið fyrst

Í niðurstöðu Persónuverndar er meðal annars rakið að samkvæmt lögum um vísindarannsóknir á heilbrigðissviði hafi Persónuvernd eftirlit með vinnslu persónuupplýsinga í slíkum rannsóknum. Af lögunum sé ljóst að ekki sé heimilt að hefja vinnslu persónuupplýsinga í þágu vísindarannsókna á heilbrigðissviði nema leyfi siðanefndar liggi fyrir. 

Þá segir að í málinu liggi fyrir að rannsóknarviðbót sú sem um ræðir hafi verið samþykkt af Vísindasiðanefnd 7. apríl 2020 eða eftir að blóðsýni voru tekin í þágu viðbótarinnar. 

Með hliðsjón af því, svo og því hvernig skýringar í tengslum við blóðsýnatökuna stangast hverjar á við aðrar, var það niðurstaða Persónuverndar að vinnsla persónuupplýsinga Landspítala og ÍE í aðdraganda viðbótar við umrædda vísindarannsókn, hafi ekki samrýmst persónuverndarlögum.

Persónuvernd tekur þó einnig fram að stofnunin gerir sér grein fyrir þeirri ógn sem stafað hefur af Covid-19-sjúkdóminum í íslensku samfélagi frá upphafi faraldursins og því álagi sem íslensk heilbrigðisyfirvöld hafi verið undir. Með hliðsjón af þessum sérstöku aðstæðum var málið ekki sett í sektarfarveg.

Fullnægðu ekki heldur kröfum persónuverndarlaga í öðru máli

Persónuvernd hefur sömuleiðis lokið úttekt sinni á öryggi persónuupplýsinga hjá þeim hluta sýkla- og veirufræðideildar Landspítalans sem staðsettur var á starfsstöð Íslenskrar erfðagreiningar frá ágúst 2020 til febrúar 2021.

Komst stofnunin að þeirri niðurstöðu að mat á áhrifum á persónuvernd hafi ekki fullnægt kröfum persónuverndarlaga. Þrátt fyrir það segir Persónuvernd að ekkert liggi fyrir um að öryggi persónuupplýsinga sem unnar hafi verið á starfsstöð ÍE hafi verið ábótavant.

Persónuvernd lagðist í úttekt á starfseminni eftir að yfirlæknir á Landspítala tilkynnti í ágúst að til stæði að flytja hluta af starfsemi sýkla- og veirufræðideildar Landspítala í húsnæði ÍE til að auka afköst skimunar fyrir kórónuveirunni.

Matið náði ekki til sambærilegrar vinnslu

Fram kom í svörum Landspítala til Persónuverndar að áður en byrjað hafi verið að skima fyrir Covid-19 við landamæri Íslands í júní 2020 hafi embætti landlæknis framkvæmt mat á áhrifum fyrirhugaðra vinnsluaðgerða á vernd persónuupplýsinga. Það mat hafi verið lagt til grundvallar þegar hluti sýkla- og veirufræðideildar Landspítalans var staðsettur á starfsstöð Íslenskrar erfðagreiningar frá ágúst 2020 til febrúar 2021.

Í ákvörðun Persónuverndar er komist að þeirri niðurstöðu að sú vinnsla sem umrætt mat náði til sé ekki sambærileg vinnslu persónuupplýsinga í málinu sem stofnunin var með til skoðunar. Þetta kemur fram í ákvörðun Persónuverndar.

„Við matið var einkum litið til þess eðlismunar sem var á aðgengi starfsmanna Íslenskrar erfðagreiningar að þeim persónuupplýsingum sem unnið var með. Við landamæraskimunina sem hófst sumarið 2020 höfðu starfsmenn fyrirtækisins, samkvæmt upphaflegu fyrirkomulagi, einungis aðgang að sýnanúmerum við greiningu sýna.

Þegar hluti sýkla- og veirufræðideildar Landspítalans var staðsettur á starfsstöð fyrirtækisins höfðu starfsmenn þess aðgang að nöfnum þeirra einstaklinga sem höfðu greinst jákvæðir í landamæraskimun í Virlab-kerfi þess. Þá voru sýni sem tekin voru á heilsugæslum, þ.e. svokölluð einkennasýni, með kóða sem hægt var að rekja niður á einstakling í sama kerfi.“

Það er því niðurstaða Persónuverndar að mat það sem lagt var til grundvallar, hafi ekki uppfyllt kröfur persónuverndarlaga og að framkvæma hafi átt nýtt mat á áhrifum á persónuvernd áður en hluti sýkla- og veirufræðideildar Landspítalans var fluttur á starfsstöð Íslenskar erfðagreiningar.

Bendir ekki til öryggi upplýsinga hafi ekki uppfyllt kröfur

Einnig er það niðurstaða Persónuverndar að ekkert hafi legið fyrir um að öryggi þeirra persónuupplýsinga sem unnar voru á starfsstöð Íslenskrar erfðagreiningar hafi ekki uppfyllt kröfur persónuverndarlaga. Var þar litið til þess að aðgangsstýring var að Virlab-kerfi-fyrirtækisins en aðgang að kerfinu höfðu einungis þrír starfsmenn sem komu að þarfagreiningu fyrir hönnun þess, forritun á því og gerð nauðsynlegra uppfærslna.

Áréttar Persónuvernd að það sé meðal annars hlutverk stofnunarinnar að hafa eftirlit með framkvæmd löggjafar um vinnslu persónuupplýsinga.

Gagnrýnir svör Landspítalans

Í ágúst óskaði Persónuvernd eftir því að svör Landspítala við fyrirspurn stofnunarinnar bærust áður en fyrirhuguð starfsemi sýkla- og veirufræðideildar Landspítalans hæfist á starfsstöð ÍE.

„Þrátt fyrir þessa beiðni Persónuverndar bárust stofnuninni umbeðin svör Landspítala eftir að umræddur flutningur hafði átt sér stað og eftir að hafa ítrekað erindi sitt í tvígang. Er það að mati Persónuverndar verulega ámælisvert í ljósi eftirlitshlutverks stofnunarinnar.“

Bendir Persónuvernd á að fylgja beri löggjöf um vinnslu persónuupplýsinga þrátt fyrir að heimsfaraldur geisi. Slíkt hafi til að mynda verið áréttað í yfirlýsingu Evrópska persónuverndarráðsins um vinnslu persónuupplýsinga í tengslum við útbreiðslu Covid-19, sem var gefin út í mars 2020.

„Persónuvernd tekur þó einnig fram að stofnunin gerir sér grein fyrir þeirri ógn sem stafað hefur af COVID-19-sjúkdóminum í íslensku samfélagi frá upphafi faraldursins og því álagi sem íslensk heilbrigðisyfirvöld hafa verið undir.“

Með hliðsjón af þessu sérstöku aðstæðum hafi málið ekki verið sett í sektarfarveg.