Ákvörðun um flutning gagnasafna Embættis Landlæknis til Advania - mál nr. 2017/1195 | Efst á baugi - Úrskurðir o.fl. | Persónuvernd. Þínar upplýsingar, þitt einkalíf.
Ákvörðun um flutning gagnasafna Embættis Landlæknis til Advania - mál nr. 2017/1195
Persónuvernd hefur tekið ákvörðun í máli er varðar flutning á gagnasöfnum Embættis landlæknis til Advania. Í niðurstöðu Persónuverndar eru gerðar alvarlegar athugasemdir við það hvernig staðið var að undirbúningi flutningsins.
Tildrög málsins voru þau að Persónuvernd barst símtal frá starfsmanni Embættis landlæknis í ágúst 2017 um að öll gagnasöfn embættisins hefðu verið flutt til Advania, en þau höfðu áður verið hýst hjá embættinu sjálfu. Þau gagnasöfn sem um ræðir innihalda viðkvæmar persónuupplýsingar um stóran hluta íslensku þjóðarinnar, en Embætti landlæknis skipuleggur og heldur skrár á landsvísu um heilsufar, sjúkdóma, slys, lyfjaávísanir, fæðingar, starfsemi og árangur heilbrigðisþjónustunnar, sbr. 1. mgr. 8. gr. laga nr. 41/2007, um landlækni og lýðheilsu.
Athugun Persónuverndar laut einkum að því hvort flutningur gagnasafnanna og undirbúningur hans hefði samrýmst ákvæðum persónuverndarlaga um öryggi upplýsinga, og reglum sem settar hafa verið með stoð í þeim. Í athuguninni fólst því meðal annars könnun á því hvort Embætti landlæknis hefði, áður en flutningurinn fór fram, framkvæmt mat á þeirri áhættu sem fylgdi því að flytja umrædd gögn í hýsingu hjá Advania; hvort gerður hefði verið samningur við Advania um vinnslu persónuupplýsinga (sk. vinnslusamningur); og hvort embættið hefði sannreynt, áður en vinnslusamningur var gerður, að Advania gæti framkvæmt viðeigandi öryggisráðstafanir og viðhaft innra eftirlit, eins og persónuverndarlögin gera ráð fyrir.
Af hálfu Embættis landlæknis var vísað til þess að áhættumat vegna flutningsins hefði verið framkvæmt í desember 2016. Persónuvernd taldi þó að í þessu áhættumati hefði ekki verið tekið með fullnægjandi hætti á þeim efnisþáttum sem nauðsynlegt hefði verið að fjalla um. Auk þess benti stofnunin á að hvergi væri að finna lýsingu á þeirri aðferðafræði sem beitt hefði verið við matið eða upplýsingar um hvaða mælikvarðar hefðu verið notaðir til að meta áhættuna. Niðurstaða Persónuverndar var því sú að matið hefði ekki uppfyllt þær kröfur sem gerðar væru til áhættumats í persónuverndarlögum og reglum Persónuverndar um öryggi persónuupplýsinga
Hvað varðar vinnslusamning Embættis landlæknis við Advania upplýsti embættið að það teldi slíkan samning hafa komist á við samþykkt á tilboði Advania í kjölfar örútboðs. Ítarlegri vinnslusamningur hefði svo verið undirritaður í nóvember 2017. Persónuvernd féllst á þessi rök embættisins, en benti jafnframt á að Embætti landlæknis hefði eftir sem áður borið að kanna, áður en vinnslusamningur var gerður, hvort Advania gæti framkvæmd viðeigandi öryggisráðstafanir og viðhaft innra eftirlit.
Í ljósi þess Embætti landlæknis hafði gripið til aðgerða á meðan meðferð málsins stóð, þ.e. útbúið nýtt áhættumat, framkvæmt sjálfstæða athugun á öryggi hjá Advania, undirritað nýjan vinnslusamning í nóvember 2017 og gefið út kerfishandbók, taldi Persónuvernd ekki tilefni til að mæla fyrir um úrbætur að svo stöddu.
Persónuvernd gerði engu að síður alvarlegar athugasemdir við að ekki hafi verið staðið að flutningnum í samræmi við kröfur um vandaða vinnsluhætti persónuupplýsinga, og gengið úr skugga um að öryggi upplýsinganna væri tryggt með öllum þeim úrræðum sem persónuverndarlög tilgreina, áður en gögnin voru flutt til Advania, sérstaklega í ljósi eðlis og umfangs þeirra upplýsinga sem hér um ræðir. Þá gerði Persónuvernd alvarlegar athugasemdir við að sjálfstæð athugun embættisins á öryggi hefði ekki verið framkvæmd áður en vinnslusamningur var gerður og gagnasöfnin flutt til Advania.