Persónuvernd og vinnsla persónuupplýsinga Greinargerð/athugasemdir úr lagafrumvarpi, mál nr. 446

Frumvarp til laga um breytingu á ýmsum lögum vegna laga um persónuvernd og vinnslu persónuupplýsinga, nr.

90/2018 (stofnanir á málefnasviði heilbrigðisráðherra).

Frá heilbrigðisráðherra.

I. KAFLI

Breyting á lögum um lífsýnasöfn og söfn heilbrigðisupplýsinga, nr. 110/2000, með síðari breytingum.

1. gr.

11. tölul. 3. gr. laganna fellur brott.

2. gr.

3. mgr. 7. gr. laganna orðast svo:

Heimilt er að safna lífsýnum vegna þjónusturannsókna og vista lífsýni í lífsýnasafni þjónustusýna til notkunar skv. 9. gr., enda sé þess getið í almennum upplýsingum frá heilbrigðisstarfsmanni eða heilbrigðisstofnun.

3. gr.

Í stað orðanna „afturkallað ætlað samþykki sitt fyrir að sýni hans verði vistað“ í 1. málsl. 4. mgr. 7. gr. laganna kemur „krafist þess að lífsýni hans verði ekki vistað“.

II. KAFLI

Breyting á lögum um landlækni og lýðheilsu, nr. 41/2007, með síðari breytingum.

4. gr.

Við 4. gr. laganna bætist ný málsgrein, svohljóðandi:

Embætti landlæknis er heimil vinnsla persónuupplýsinga, þar á meðal viðkvæmra persónuupplýsinga um heilsufar og lyfjanotkun einstaklinga, í þeim tilgangi að hafa eftirlit með gæðum og öryggi heilbrigðisþjónustu, lyfjaávísunum og stuðla að skynsamlegri lyfjanotkun landsmanna sem og til að sinna öðrum lögbundnum skyldum samkvæmt lögum þessum að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.

5. gr.

5. mgr. 6. gr. laganna orðast svo:

Landlæknir heldur skrá yfir rekstraraðila í heilbrigðisþjónustu og er honum heimilt að birta upplýsingar úr skránni með það að markmiði að tryggja gæði og öryggi í heilbrigðisþjónustu. Landlæknir skal tilkynna ráðherra og sjúkratryggingastofnuninni um allar breytingar sem verða á skránni.

6. gr.

Við 15. gr. laganna bætist ný málsgrein, svohljóðandi:

Embætti landlæknis er heimilt að birta upplýsingar um nafn og starfsleyfi heilbrigðisstarfsmanna, þar á meðal um takmarkanir á starfsleyfum heilbrigðisstarfsmanna, í því skyni að tryggja öryggi og gæði heilbrigðisþjónustu.

III. KAFLI

Breyting á sóttvarnalögum, nr. 19/1997, með síðari breytingum.

7. gr.

Við 4. gr. laganna bætist ný málsgrein, svohljóðandi:

Sóttvarnalækni er heimil vinnsla persónuupplýsinga, þar á meðal viðkvæmra persónuupplýsinga um heilsufar og lyfjanotkun einstaklinga, í þeim tilgangi að verjast alvarlegum heilsufarsógnum og til að sinna lögbundnu hlutverki sínu samkvæmt lögum þessum að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.

8. gr.

Á eftir 1. málsl. 2. mgr. 11. gr. laganna kemur nýr málsliður, svohljóðandi: Samstarfsnefnd skv. 2. mgr. er heimil vinnsla persónuupplýsinga, þar á meðal viðkvæmra persónuupplýsinga um heilsufar einstaklinga, til að uppfylla skyldur sínar samkvæmt lögum þessum að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.

IV. KAFLI

Breyting á lögum um brottnám líffæra, nr. 16/1991, með síðari breytingum.

9. gr.

Við 4. gr. laganna bætist ný málsgrein, svohljóðandi:

Heilbrigðisstofnunum er heimil vinnsla persónuupplýsinga, þar á meðal viðkvæmra persónuupplýsinga um heilsufar líffæragjafa og líffæraþega, í samvinnu við embætti landlæknis, til að tryggja öryggi og gæði líffæra sem ætluð eru til ígræðslu. Framangreindum aðilum er heimilt að halda sérstaka skrá eða fá aðgang að skrá sem haldin er í framangreindum tilgangi. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga.

V. KAFLI

Breyting á lyfjalögum, nr. 93/1994, með síðari breytingum.

10. gr.

Við 3. gr. laganna bætist ný málsgrein, svohljóðandi:

Lyfjastofnun er heimil vinnsla persónuupplýsinga, þar á meðal viðkvæmra persónuupplýsinga um lyfjanotkun einstaklinga, í þeim tilgangi að tryggja nægilegt framboð, gæði og öryggi lyfja og lyfjaþjónustu sem og til að sinna eftirliti með eftirlitsskyldum aðilum og öðrum skyldum samkvæmt lögum þessum að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.

VI. KAFLI

Breyting á lögum um lækningatæki, nr. 16/2001, með síðari breytingum.

11. gr.

Við 11. gr. laganna bætist ný málsgrein, svohljóðandi:

Lyfjastofnun er heimil vinnsla persónuupplýsinga, þar á meðal viðkvæmra persónuupplýsinga um heilsufar einstaklinga, til að sinna hlutverki sínu skv. 1. mgr. að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.

VII. KAFLI

Breyting á lögum um sjúkratryggingar, nr. 112/2008, með síðari breytingum.

12. gr.

Við 3. mgr. 29. gr. a laganna bætist nýr málsliður, svohljóðandi: Heilbrigðisstofnunum er heimilt að tengjast gagnagrunninum, nýta upplýsingar gagnagrunnsins og veita upplýsingar í hann, að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.

VIII. KAFLI

Breyting á lögum um heilbrigðisþjónustu, nr. 40/2007, með síðari breytingum.

13. gr.

Á eftir 34. gr. laganna kemur ný grein, ásamt fyrirsögn, svohljóðandi, og breytist númeraröð annarra greina samkvæmt því:

Vinnsla persónuupplýsinga.

Heilbrigðisstofnunum er heimil vinnsla persónuupplýsinga, þar á meðal viðkvæmra persónuupplýsinga um heilsufar og lyfjanotkun einstaklinga, í þeim tilgangi að uppfylla skyldur sínar samkvæmt lögum og til að tryggja gæði og öryggi heilbrigðisþjónustu, lyfja og lækningatækja, að uppfylltum skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga.

14. gr.

Lög þessi öðlast þegar gildi.

Greinargerð.

1. Inngangur.

Frumvarp þetta er lagt fram vegna nýrra laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, sem samþykkt voru á Alþingi 13. júní 2018. Lögin öðluðust gildi 15. júlí sama ár og á sama tíma voru lög um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000, með síðari breytingum, felld úr gildi. Með nýju lögunum var lögfest hér á landi reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679 frá 27. apríl 2016 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, eins og hún hefur verið aðlöguð að samningnum um Evrópska efnahagssvæðið ( Regulation (EU) 2016/679 of the European Parliament and of the Council on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC). Reglugerðin kom til framkvæmda innan Evrópusambandsins 25. maí 2018 og leysti af hólmi tilskipun Evrópuþingsins og ráðsins, 95/46/EB frá 24. október 1995, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga.

Frumvarpið var að meginefni til samið í tengslum við vinnu dómsmálaráðuneytisins við frumvarp sem varð að framangreindum lögum um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018. Við þá vinnu var settur á fót samráðshópur allra ráðuneyta. Hann hafði það hlutverk að fara yfir ákvæði sérlaga sem varða vinnslu persónuupplýsinga í samvinnu við stofnanir sem starfa á grundvelli hlutaðeigandi laga í því skyni að meta hvaða breytingar kynnu að vera nauðsynlegar vegna nýju persónuverndarreglnanna. Yfirferð samráðshópsins leiddi í ljós að gera þyrfti margvíslegar efnislegar breytingar á ákvæðum ýmissa laga í tengslum við frumvarpið. Með lögum um persónuvernd og vinnslu persónuupplýsinga voru aftur á móti aðeins gerðar lágmarksbreytingar á ýmsum lögum sem nauðsynlegar þóttu vegna beinna tilvísana til eldri laga um persónuvernd og meðferð persónuupplýsinga, sbr. 54. gr. þeirra laga.

2. Tilefni og nauðsyn lagasetningar.

Við vinnslu frumvarpsins sem varð að lögum um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, var ákveðið að gera aðeins lágmarksbreytingar á ákvæðum annarra laga vegna tilvísana til eldri laga um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000, með síðari breytingum. Gert var ráð fyrir að hvert og eitt ráðuneyti mundi ráðast í frekari efnislega endurskoðun á ákvæðum laga sem falla undir málefnasvið viðkomandi ráðuneytis. Undir málefnasvið heilbrigðisráðherra falla ýmis lög sem varða mikilvæg réttindi almennra borgara þar sem vinna þarf með persónuupplýsingar um einstaklinga sem oft og tíðum eru viðkvæmar, sbr. skilgreiningu á viðkvæmum persónuupplýsingum í 3. tölul. 3. gr. laga nr. 90/2018, svo sem upplýsingar um heilsufar, í því skyni að veita þeim örugga og góða heilbrigðisþjónustu. Mikilvægt er að vinna með slíkar upplýsingar sé vönduð og í samræmi við lög um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, og því er frumvarp þetta lagt fram.

Á vorþingi 2019 lagði heilbrigðisráðherra fram frumvarp (149. lögþ. 2018–2019, 644. mál, þskj. nr. 1050), þar sem gerðar voru breytingar á lögum um sjúkratryggingar, nr. 112/2008. Var við undirbúning þess frumvarps tekin afstaða til hugsanlegra breytinga á lögum um heilbrigðisþjónustu, nr. 40/2007, lögum um sjúkratryggingar, nr. 112/2008, lögum um sjúklingatryggingar, nr. 111/2000, lögum um Heyrnar- og talmeinastöð, nr. 42/2007, lögum um málefni aldraðra, nr. 125/1999 og lögum um slysatryggingar almannatrygginga, nr. 45/2015, en ekki voru þá lagðar til frekari breytingar en á lögum um sjúkratryggingar, nr. 112/2008.

Við undirbúning á frumvarpi því sem hér er lagt fram var tekin afstaða til vinnslu persónuupplýsinga í lögum um landlækni og lýðheilsu, nr. 41/2007, lögum um lífsýnasöfn og söfn heilbrigðisupplýsinga, nr. 110/2000, lögum um sjúkraskrár, nr. 55/2009, lögum um réttindi sjúklinga, nr. 74/1997, lögum um geislavarnir, nr. 44/2002, lögum um tóbaksvarnir, nr. 6/2002, sóttvarnalögum, nr. 19/1997, lögum um ófrjósemisaðgerðir, nr. 35/2019, lögum um þungunarrof, nr. 43/2019, lögum um ávana- og fíkniefni, nr. 65/1974, lögum um dánarvottorð, krufningar o.fl., nr. 61/1998, lögum um brottnám líffæra, nr. 16/1991, lögum um ákvörðun dauða, nr. 15/1991, lögum um lækningatæki, nr. 16/2001, lyfsölulögum, nr. 30/1963, lögum um græðara, nr. 34/2005, lögum um heilbrigðisstarfsmenn, nr. 34/2012, lögum um vísindarannsóknir á heilbrigðissviði, nr. 44/2014, lögum um tæknifrjóvgun og notkun kynfrumna og fósturvísa manna til stofnfrumurannsókna, nr. 55/1996, lyfjalögum, nr. 93/1994, lögum um bann við tilteknum frammistöðubætandi efnum og lyfjum, nr. 84/2018, og lögum um ráðgjöf og fræðslu varðandi kynlíf og barneignir, nr. 25/1975.

3. Meginefni frumvarpsins.

Með frumvarpinu eru lagðar til breytingar á tilteknum lögum úr framangreindri upptalningu ásamt lögum um sjúkratryggingar, nr. 112/2008, og lögum um heilbrigðisþjónustu, nr. 40/2007, en ekki var þörf á að gera breytingar á öðrum lögum. Er ætlunin að gera nauðsynlegar breytingar á ákvæðum framangreindra laga sem falla undir málefnasvið heilbrigðisráðherra til að tryggja að vinnsla persónuupplýsinga samkvæmt viðkomandi lögum samræmist ákvæðum laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018.

Við gerð frumvarpsins voru ákvæði ofangreindra laga rýnd og í ljós kom að þörf væri á að setja inn skýrari heimildir til vinnslu persónuupplýsinga í lög fyrir tilteknar stofnanir sem falla undir málefnasvið heilbrigðisráðherra þar sem slík vinnsla fer fram. Sérstaklega var tekið til skoðunar hvort gera ætti breytingu á ákvæði 8. gr. laga um landlækni og lýðheilsu, nr. 41/2007, en ákvæðið fjallar um heimildir landlæknis til reksturs gagnagrunna og heilbrigðisskráa. Í 2. mgr. ákvæðisins eru veittar heimildir til að skrá persónugreinanlegar upplýsingar, þ.e. nöfn sjúklinga, kennitölur og önnur tiltekin persónuauðkenni án samþykkis sjúklings. Þess ber þó að geta að eingöngu er unnið með upplýsingar úr skránum á dulkóðuðu formi, sbr. 3. mgr. 8. gr. Niðurstaða skoðunarinnar var sú að nauðsynlegt væri að umræddar upplýsingar væru skráðar á persónugreinanlegu formi. Heimildin í gildandi lögum væri nægilega skýr og nauðsynin ótvíræð. Embætti landlæknis hefur eftirlit með heilbrigðisþjónustu, þar á meðal gæðum og öryggi þjónustunnar, og til að embættið geti sinnt umræddu hlutverki á fullnægjandi hátt er talið nauðsynlegt að skrá upplýsingar á þann hátt sem heimilað er í 2. mgr. 8. gr. gildandi laga.

Meðal breytinga sem lagðar eru til með frumvarpinu eru eftirfarandi. Lagðar eru til breytingar á lögum um lífsýnasöfn og söfn heilbrigðisupplýsinga, nr. 110/2000, þar sem ætlað samþykki hins skráða fyrir vinnslu á persónuupplýsingum er fellt brott. Þá eru lagðar til breytingar á lögum um landlækni og lýðheilsu, nr. 41/2007, þar sem Embætti landlæknis eru veittar heimildir til vinnslu persónuupplýsinga til að geta sinnt lögbundnu hlutverki sínu. Einnig eru lagðar til breytingar á sóttvarnalögum, nr. 19/1997, þar sem tilteknum aðilum eru veittar heimildir til vinnslu persónuupplýsinga til að uppfylla lögbundnar skyldur sínar í þeim tilgangi að verjast alvarlegum heilsufarsógnum. Þá er lögð er til breyting á lögum um brottnám líffæra, nr. 16/1991, þar sem tilteknum aðilum er veitt heimild til vinnslu persónuupplýsinga til að tryggja gæði og öryggi líffæra sem ætluð eru til ígræðslu. Lögð er til breyting á lyfjalögum, nr. 93/1994, þar sem Lyfjastofnun er veitt heimild til vinnslu á persónuupplýsingum til að uppfylla lögbundið hlutverk sitt og einnig er lögð til breyting á lögum um lækningatæki, nr. 16/2001, þar sem Lyfjastofnun er veitt heimild til vinnslu á persónuupplýsingum til að uppfylla lögbundið hlutverk sitt. Lögð er til breyting á lögum um sjúkratryggingar, nr. 112/2008, þar sem heilbrigðisstofnunum er veitt heimild til aðgangs að gagnagrunni með upplýsingum um lyfjanotkun einstaklinga og einnig er lögð til breyting á lögum um heilbrigðisþjónustu, nr. 40/2007, þar sem heilbrigðisstofnunum er veitt heimild til vinnslu á persónuupplýsingum til að uppfylla skyldur sínar samkvæmt lögum.

4. Samræmi við stjórnarskrá og alþjóðlegar skuldbindingar.

Efni frumvarpsins gefur ekki tilefni til að ætla að tillögur þess stangist á við stjórnarskrá eða alþjóðlegar skuldbindingar. Þvert á móti er frumvarpinu ætlað að tryggja að tiltekin löggjöf samrýmist nýrri persónuverndarlöggjöf og þar af leiðandi persónuverndarreglugerð ESB sem Ísland hefur skuldbundið sig til að innleiða hér á landi með aðild sinni að EES-samningnum, sbr. ákvörðun sameiginlegu EES-nefndarinnar frá 6. júlí 2018, nr. 154/2018.

5. Samráð.

Frumvarpið var unnið í tengslum við starf samráðshóps ráðuneytanna þar sem öll ráðuneytin áttu fulltrúa. Þá voru haldnir fundir með persónuverndarfulltrúa embættis landlæknis við gerð frumvarpsins og var tekið tillit til efnislegra athugasemda sem fram komu frá embættinu. Einnig var haft samráð við fulltrúa frá Landspítala þar sem vakin var athygli á þörf stofnunarinnar til vinnslu persónuupplýsinga, m.a. vegna þess hlutverks að hafa umsjón og ábyrgð með greiðslu kostnaðar vegna tiltekinna lyfja.

Frumvarpið var birt í samráðsgátt stjórnvalda á vefnum Ísland.is 4. október 2019 (mál nr. S-245/2019) og lauk samráði 18. október sama ár. Voru helstu stofnanir sem efni frumvarpsins viðkemur upplýstar um það en þær eru Embætti landlæknis, Sóttvarnalæknir, Lyfjastofnun, Landspítali, Vísindasiðanefnd og Persónuvernd. Tvær umsagnir bárust og var tekið tillit til efnislegra athugasemda sem fram komu í þeim sem höfðu ekki komið fram áður. Í umsögn Lyfjastofnunar var vakin athygli á ákvæðum tiltekinna laga þar sem hugsanlegt væri að Lyfjastofnun þyrfti að vinna persónuupplýsingar og eru í frumvarpinu lagðar til breytingar á lyfjalögum, nr. 93/1994, og lögum um lækningatæki, nr. 16/2001, þar sem stofnuninni eru veittar heimildir til vinnslu á persónuupplýsingum í samræmi við lögbundið hlutverk hennar. Í lögum um ávana- og fíkniefni, nr. 65/1974, er Lyfjastofnun veitt heimild til að veita undanþágu annars vegar frá banni 1. mgr. 2. gr., sbr. 3. mgr. 2. gr. laganna, og hins vegar í 2. mgr. 3. gr. laganna og er mögulegt að Lyfjastofnun þurfi að taka á móti viðkvæmum persónuupplýsingum í tengslum við umsóknir um slíkar undanþágur, til dæmis um lyfjanotkun einstaklinga. Í lögum um bann við tilteknum frammistöðubætandi efnum og lyfjum, nr. 84/2018, er Lyfjastofnun í 2. mgr. 2. gr. veitt heimild til að veita undanþágu frá banni 1. mgr. 2. gr. í sérstökum tilvikum og er mögulegt að Lyfjastofnun þurfi að taka á móti viðkvæmum persónuupplýsingum í tengslum við umsóknir um slíkar undanþágur, til dæmis um lyfjanotkun einstaklinga. Ekki eru lagðar til breytingar á fyrrgreindum lögum. Í þeim tilvikum sem Lyfjastofnun þarf að vinna með viðkvæmar persónuupplýsingar við veitingu undanþága samkvæmt lögunum er gert ráð fyrir að Lyfjastofnun komi á fyrirkomulagi þar sem leitað sé eftir sérstöku samþykki hins skráða fyrir vinnslu persónuupplýsinganna. Byggir vinnsla viðkvæmra persónuupplýsinga í þeim tilvikum á 1. tölul. 9. gr. og 9. tölul. 11. gr. laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018.

6. Mat á áhrifum.

Mikilvægt er að gera greinarmun á þeim áhrifum sem ný lög um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, hafa í för með sér, svo sem á störf opinberra stofnana, og þeirra áhrifa sem efni frumvarps þessa kann að hafa á störf viðkomandi stofnana. Þannig hefur frumvarp þetta ekki í för með sér breytingar á þjónustu sem hlutaðeigandi stofnunum er ætlað að veita heldur er þar gert ráð fyrir nauðsynlegum breytingum á ákvæðum laga sem falla undir málefnasvið heilbrigðisráðherra til að tryggja að vinnsla persónuupplýsinga á grundvelli viðkomandi laga samræmist ákvæðum laga um persónuvernd og vinnslu persónuupplýsinga. Því er ekki talið að frumvarp þetta muni hafa áhrif á almannahagsmuni né helstu hagsmunaaðila svo teljandi sé.

Frumvarpið felur að litlu leyti í sér efnislegar breytingar frá gildandi framkvæmd eftir gildistöku laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018. Frumvarpinu er ætlað að setja skýra lagastoð fyrir nauðsynlegri vinnslu persónuupplýsinga innan stjórnsýslu heilbrigðismála.

Gefur efni frumvarpsins ekki tilefni til að ætla að það stuðli að mismunun á grundvelli kyns eða hafi misjöfn áhrif á stöðu kynjanna. Ekki er talið að frumvarpið hafi í för með sér kostnaðarauka fyrir ríkissjóð.

Um einstakar greinar frumvarpsins.

Um 1. gr.

Í greininni er lagt til að 11. tölul. 3. gr. laganna falli brott. Í núgildandi lögum er í ákvæðinu skilgreining á ætluðu samþykki sem felst í því að hafi lífsýnisgjafi ekki lýst sig mótfallinn því verður lífsýni sem tekið er úr honum við þjónusturannsókn varðveitt til frambúðar í lífsýnasafni skv. 9. gr. laganna. Í reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679 frá 27. apríl 2016 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga (hér eftir persónuverndarreglugerð ESB) er tekið fram í 32. gr. aðfaraorða reglugerðarinnar að samþykki fyrir vinnslu persónuupplýsinga eigi að vera veitt með skýrri staðfestingu hins skráða og að þögn eða aðgerðarleysi hins skráða eigi ekki að fela í sér samþykki. Í ljósi þessa er lagt til að ætlað samþykki falli brott úr lögunum þar sem með slíku er byggt á aðgerðarleysi eða þögn hins skráða um tiltekna vinnslu persónuupplýsinga um viðkomandi og heimildin til varðveislu byggi í staðinn á lagaheimild og nauðsyn til að greina sjúkdóma og veita umönnun eða meðferð á sviði heilbrigðisþjónustu, sbr. 8. tölul. 11. gr. laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018.

Um 2. gr.

Í greininni er lögð til breyting á 3. mgr. 7. gr. en í núgildandi lögum er byggt á ætluðu samþykki sjúklings fyrir vistun á lífsýni í lífsýnasafni þjónustusýna til tiltekinnar notkunar. Með breytingunni er lagt til að ætlað samþykki falli brott. Í slíku samþykki felst að hafi lífsýnisgjafi ekki lýst sig mótfallinn því verði lífsýni sem tekið er úr honum við þjónusturannsókn varðveitt til frambúðar í lífsýnasafni skv. 9. gr. laganna. Í persónuverndarreglugerð ESB er tekið fram í 32. gr. aðfaraorða reglugerðarinnar að samþykki fyrir vinnslu persónuupplýsinga eigi að vera veitt með skýrri staðfestingu hins skráða og að þögn eða aðgerðarleysi hins skráða eigi ekki að fela í sér samþykki. Í ljósi þessa er lagt til að ætlað samþykki falli brott úr lögunum þar sem með slíku er byggt á aðgerðarleysi eða þögn hins skráða um tiltekna vinnslu persónuupplýsinga um viðkomandi. Í staðinn er lagt til að heimild til varðveislu sé skýrt tekin fram í umræddu lagaákvæði og varðveislan fari fram í tengslum við veitingu heilbrigðisþjónustu.

Einnig er lögð til sú breyting að hugtakið meðferð falli brott úr ákvæðinu þar sem talið er að hugtakið þjónusturannsókn nái utan um hvort tveggja.

Um 3. gr.

Í greininni er lögð til breyting á 1. málsl. 4. mgr. 7. gr. laganna þar sem í núgildandi lögum er lífsýnisgjafa veittur réttur til að afturkalla ætlað samþykki sitt fyrir vistun á sýni hans í lífsýnasafni þjónustusýna til tiltekinnar notkunar. Hér er um orðalagsbreytingu að ræða þar sem ætlað samþykki er fellt úr ákvæðinu og eftir stendur réttur lífsýnisgjafa til að krefjast þess að sýni hans verði ekki vistað í lífsýnasafni þjónustusýna og er því ekki um efnislega breytingu á rétti lífsýnisgjafa að ræða.

Um 4. gr.

Í greininni er lagt til að vinnsla embættis landlæknis á persónuupplýsingum, þar á meðal vinnsla ákveðinna viðkvæmra persónuupplýsinga, verði veitt skýrari stoð í lögum. Umrædd vinnsla hefur hingað til verið talin heimil byggt á ákvæðum í lögum um landlækni og lýðheilsu um hlutverk embættisins en með umræddu ákvæði er lagt til að sérstakt ákvæði heimili slíka vinnslu. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga.

Embætti landlæknis hefur hlutverki að gegna gagnvart heilbrigðisþjónustu og lýðheilsu þar sem það hefur reglulegt eftirlit með því að veitt heilbrigðisþjónusta hér á landi uppfylli faglegar kröfur og ákvæði í heilbrigðislöggjöf á hverjum tíma. Til að sinna hlutverki sínu er embættinu nauðsyn að afla, skrá, flokka, nota og skoða persónuupplýsingar. Embættið hefur einnig eftirlit með heilbrigðisþjónustu og heilbrigðisstarfsmönnum samkvæmt lögunum og þarf við það eftirlit meðal annars að geta leitað í sjúkraskrám og skoðað lyfjaávísanir í lyfjagagnagrunni. Embættið verður einnig að geta unnið persónuupplýsingar við reglubundnar eftirlitsúttektir og að eigin frumkvæði á heilbrigðisstofnunum og starfsstofum. Þá þarf embættið að geta safnað og miðlað persónuupplýsingum í sérstaka færni- og heilsumatsskrá en tilgangur með slíkri skrá er að miðla upplýsingum um mat á dvalarþörf einstaklinga. Allar þessar aðgerðir falla undir vinnslu persónuupplýsinga. Við vinnsluna þarf að gæta meðalhófs og þarf hún að vera í samræmi við tilgang þann sem kveðið er á um í greininni. Ekki er heimilt að vinna upplýsingarnar í öðrum og ósamrýmanlegum tilgangi.

Með persónuupplýsingum er átt við sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti.

Um 5. gr.

Í greininni er lagt til að embætti landlæknis fái heimild til að miðla upplýsingum úr rekstraraðilaskrá embættis landlæknis. Um nýmæli er að ræða. Skv. 6. gr. laga um landlækni og lýðheilsu er þeim sem hyggjast hefja rekstur heilbrigðisþjónustu, þ.m.t. ríki og sveitarfélögum, gert að tilkynna fyrirhugaðan rekstur til landlæknis og staðfestir landlæknir hvort fyrirhugaður rekstur heilbrigðisþjónustu uppfyllir faglega kröfur og önnur skilyrði heilbrigðislöggjafar. Landlækni er í 5. mgr. greinarinnar gert að halda skrá yfir umrædda rekstraraðila og tilkynna ráðherra og sjúkratryggingastofnuninni um þær breytingar sem verða á skránni. Með þeirri breytingu sem hér er lögð til er landlækni veitt heimild til að miðla upplýsingum úr skránni um þá aðila sem tilkynnt hafa rekstur til embættisins og uppfylla faglega kröfur og önnur skilyrði heilbrigðislöggjafar. Er þetta mikilvæg breyting sem lögð er til með gæði og öryggi heilbrigðisþjónustu að leiðarljósi og til að tryggja gagnsæi um þá aðila sem landlæknir hefur staðfest að uppfylli faglegar kröfur og skilyrði heilbrigðislöggjafar.

Um 6. gr.

Í greininni er lagt til að embætti landlæknis fái heimild til að miðla ákveðnum persónuupplýsingum úr starfsleyfaskrá embættisins um einstaka heilbrigðisstarfsmenn. Um nýmæli er að ræða. Um er að ræða upplýsingar um stöðu starfsleyfa heilbrigðisstarfsmanna, þ.m.t. tímabundna og varanlega sviptingu á starfsleyfi. Mikilvægt er að embættið hafi slíka heimild til miðlunar upplýsinga um heilbrigðisstarfsmenn til að notendur heilbrigðisþjónustunnar hafi aðgang að upplýsingum um heimildir heilbrigðisstarfsmanna til að starfa sem slíkir. Er þetta liður í að tryggja gæði og öryggi í heilbrigðisþjónustu. Upplýsingar sem þessar eru birtar á hinum Norðurlöndunum, í mismiklu magni. Ekki er gert ráð fyrir að birtar verði upplýsingar um áminningar heilbrigðisstarfsmanna.

Um 7. gr.

Í greininni er lagt til að vinnsla sóttvarnalæknis á persónuupplýsingum, þar á meðal vinnsla ákveðinna viðkvæmra persónuupplýsinga, verði veitt skýrari stoð í lögum. Umrædd vinnsla hefur hingað til verið talin heimil á grundvelli ákvæða sóttvarnalaga um hlutverk sóttvarnalæknis en með umræddu ákvæði er lagt til að sérstakt ákvæði heimili slíka vinnslu. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga.

Sóttvarnalæknir hefur því hlutverki að gegna að bera ábyrgð á sóttvörnum. Til að sinna hlutverki sínu er sóttvarnalækni nauðsyn að afla, skrá, flokka, skoða og miðla persónuupplýsingum. Allar þessar aðgerðir falla undir vinnslu persónuupplýsinga. Við vinnsluna þarf að gæta meðalhófs og þarf hún að vera í samræmi við tilgang þann sem kveðið er á um í greininni. Ekki er heimilt að vinna upplýsingarnar í öðrum og ósamrýmanlegum tilgangi.

Með persónuupplýsingum er átt við sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Lagt er til að heimild sóttvarnalæknis nái einnig til nánar tiltekinna viðkvæmra persónuupplýsinga, þ.e. heilsufarsupplýsinga og lyfjanotkunar einstaklinga.

Um 8. gr.

Í greininni er lagt til að vinnsla samstarfsnefndar skv. 2. mgr. 11. gr. laganna á persónuupplýsingum, þar á meðal vinnsla ákveðinna viðkvæmra persónuupplýsinga, verði veitt skýrari stoð í lögum. Umrædd vinnsla hefur hingað til verið talin heimil á grundvelli ákvæða sóttvarnalaga um hlutverk samstarfsnefndarinnar en með umræddu ákvæði er lagt til að sérstakt ákvæði heimili slíka vinnslu. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga.

Samstarfsnefndin er skipuð af ráðherra og á að afla nauðsynlegra gagna og hafa yfirumsjón með nauðsynlegum aðgerðum til að meta smithættu eða hættu sem stafar af tilteknum þáttum í umhverfinu sem ógna heilsu manna, sbr. 2. mgr. 11. gr. gildandi laga. Nefndinni er í gildandi lögum veitt heimild til aðgangs að nauðsynlegum gögnum og öllum stöðum sem hún telur nauðsynlegt að skoða í þessu skyni. Nauðsynlegt er því að nefndin hafi heimild til að afla, skrá, flokka, nota og skoða persónuupplýsingar, þ.m.t. viðkvæmar persónuupplýsingar. Þá þarf nefndin að geta miðlað persónuupplýsingum sín á milli. Allar þessar aðgerðir falla undir vinnslu persónuupplýsinga. Við vinnsluna þarf að gæta meðalhófs og þarf hún að vera í samræmi við tilgang þann sem kveðið er á um í greininni. Ekki er heimilt að vinna upplýsingarnar í öðrum og ósamrýmanlegum tilgangi.

Með persónuupplýsingum er átt við sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Lagt er til að heimild samstarfsnefndarinnar nái einnig til tiltekinna viðkvæmra persónuupplýsinga, þ.e. um heilsufar einstaklinga. Heimildin takmarkast við upplýsingar sem samstarfsnefndinni er nauðsynlegt að krefjast á grundvelli lögbundins hlutverks hennar.

Um 9. gr.

Í greininni er lagt til að heilbrigðisstofnanir, í samvinnu við embætti landlæknis, fái heimild til vinnslu persónuupplýsinga, þar á meðal vinnslu ákveðinna viðkvæmra persónuupplýsinga, í þeim tilgangi að tryggja öryggi og gæði líffæra sem ætluð eru til ígræðslu. Þá getur vinnsla verið nauðsynleg vegna samninga við erlendar heilbrigðisstofnanir um líffæraígræðslur eða brottnám líffæra. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga. Lagt er til að framangreindum aðilum sé heimilt að halda sérstaka skrá í þessum tilgangi eða fá aðgang að slíkri skrá með ákveðnum upplýsingum um líffæragjafa og líffæraþega sem meðal annars á að tryggja rekjanleika milli líffæra, frá líffæragjafa til líffæraþega. Heimild fyrir umræddri skrá eða aðgangi að skrá er nýmæli í lögunum en samkvæmt reglugerð 312/2015 um kröfur varðandi gæði og öryggi líffæra úr mönnum sem eru ætluð til ígræðslu, sem sett er með stoð í 27. gr. a laga um heilbrigðisþjónustu, nr. 40/2007, er embætti landlæknis skylt að sjá til þess að fyrir hendi sé tilkynningakerfi til að greina frá, rannsaka, skrá og senda viðeigandi og nauðsynlegar upplýsingar varðandi alvarleg meintilvik sem kunna að hafa áhrif á gæði og öryggi líffæra sem hægt er að rekja til rannsókna, greiningar á eiginleikum, öflunar, varðveislu og flutnings líffæra milli staða, sem og um alvarlegar aukaverkanir sem koma fram meðan á líffæraígræðslu stendur eða að henni lokinni og sem hægt er að rekja til ígræðslu. Til að embætti landlæknis geti uppfyllt umræddar skyldur er nauðsynlegt að haldin sé skrá um heilsufar líffæragjafa og líffæraþega eða aðgangur fenginn að slíkri skrá og vinnsla upplýsinga úr skránni heimil.

Með persónuupplýsingum er átt við sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Lagt er til að heimildin nái einnig til nánar tiltekinna viðkvæmra persónuupplýsinga, þ.e. upplýsinga um heilsufar einstaklinga.

Um 10. gr.

Í greininni er lagt til að vinnsla Lyfjastofnunar á persónuupplýsingum, þar á meðal vinnsla ákveðinna viðkvæmra persónuupplýsinga, verði veitt skýrari stoð í lögum. Umrædd vinnsla hefur hingað til verið talin heimil á grundvelli ákvæða lyfjalaga um hlutverk Lyfjastofnunar en með umræddu ákvæði er lagt til að sérstakt ákvæði heimili slíka vinnslu. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga.

Lyfjastofnun hefur víðtæku hlutverki að gegna þar sem stofnuninni er lögum samkvæmt falið að hafa eftirlit með gæðum og öryggi lyfja, annast skráningu tilkynntra aukaverkana lyfja, sinna upplýsingagjöf til almennings um lyfjaöryggi, lyfjaframboð o.fl., hafa eftirlit með innflutningi lyfja, starfsemi lyfjabúða, handhöfum markaðsleyfa lyfja og annarra fyrirtækja, stofnana og einstaklinga sem selja, framleiða, flytja inn eða búa um lyf og skyldar vörur. Til að sinna hlutverki sínu er stofnuninni nauðsyn að afla, skrá, flokka, nota, skoða og miðla persónuupplýsingum. Allar þessar aðgerðir falla undir vinnslu persónuupplýsinga. Við vinnsluna þarf að gæta meðalhófs og þarf hún að vera í samræmi við tilgang þann sem kveðið er á um í greininni. Ekki er heimilt að vinna upplýsingarnar í öðrum og ósamrýmanlegum tilgangi.

Með persónuupplýsingum er átt við sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Lagt er til að heimild Lyfjastofnunar nái einnig til nánar tiltekinna viðkvæmra persónuupplýsinga, þ.e. upplýsinga um lyfjanotkun einstaklinga.

Um 11. gr.

Í greininni er lagt til að vinnsla Lyfjastofnunar á persónuupplýsingum, þar á meðal vinnsla ákveðinna viðkvæmra persónuupplýsinga, verði veitt skýrari stoð í lögum. Umrædd vinnsla hefur hingað til verið talin heimil á grundvelli ákvæða laga um lækningatæki um hlutverk Lyfjastofnunar en með umræddu ákvæði er lagt til að sérstakt ákvæði heimili slíka vinnslu.

Hlutverk stofnunarinnar felst í eftirliti með lækningatækjum og móttöku tilkynninga frá tilteknum aðilum um frávik, galla eða óvirkni á lækningatækjum sem kunna að valda eða hafa valdið notendum þeirra heilsutjóni eða dauða. Í ákveðnum tilvikum kann stofnunin að fá sendar viðkvæmar persónuupplýsingar, til dæmis sem varða sjúklinga sem hafa notað lækningatæki. Til að sinna hlutverki sínu er stofnuninni nauðsyn að afla, skrá, flokka, nota, skoða og miðla persónuupplýsingum en þær aðgerðir falla undir vinnslu persónuupplýsinga. Við vinnsluna þarf að gæta meðalhófs og þarf hún að vera í samræmi við tilgang þann sem kveðið er á um í greininni. Ekki er heimilt að vinna upplýsingarnar í öðrum og ósamrýmanlegum tilgangi. Um nýmæli er að ræða. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga.

Með persónuupplýsingum er átt við sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Lagt er til að heimild Lyfjastofnunar nái einnig til nánar tiltekinna viðkvæmra persónuupplýsinga, þ.e. upplýsinga um heilsufar einstaklinga.

Um 12. gr.

Í greininni er lagt til að heilbrigðisstofnanir fái heimild til aðgangs að miðlægum lyfjagreiðslugrunni. Um nýmæli er að ræða. Heimildin er veitt þar sem stofnununum er nauðsynlegt að fá tilteknar upplýsingar úr grunninum til að geta sinnt lögbundnu hlutverki sínu. Með lögbundnu hlutverki er til dæmis átt við skyldur lyfjanefndar Landspítala í tengslum við umsjón með ákveðnum lyfjum, vegna eiginleika þeirra eða útgjalda vegna þeirra. Landspítalinn ber ábyrgð á og hefur umsjón með notkun og greiðslu kostnaðar vegna tiltekinna dýrra lyfja sem bæði eru notuð á heilbrigðisstofnunum og afhent eru í lyfjabúðum. Í því skyni er stofnuninni m.a. nauðsynlegt að fá upplýsingar um ávísanir á hin umræddu lyf, skipt niður á einstaklinga, til að geta stemmt af viðskipti milli lyfjabúða og birgja á hinum umræddu lyfjum við þær kröfur sem íslenska ríkið á á birgja lyfjanna vegna afsláttar á verði lyfjanna sem ríkinu er veitt á grundvelli samninga, enda er um verulegar fjárhæðir að ræða. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga.

Um 13. gr.

Í greininni er lagt til að vinnsla heilbrigðisstofnana á persónuupplýsingum, þar á meðal vinnsla ákveðinna viðkvæmra persónuupplýsinga, verði veitt skýrari stoð í lögum. Umrædd vinnsla hefur hingað til verið talin heimil á grundvelli laga sem kveða á um hlutverk heilbrigðisstofnana, m.a. ákvæða laga um heilbrigðisþjónustu en með umræddu ákvæði er lagt til að sérstakt ákvæði heimili slíka vinnslu.

Til að uppfylla lagaskyldur sínar þurfa heilbrigðisstofnanir oft og tíðum að vinna með viðkvæmar persónuupplýsingar um sjúklinga. Heimildir til slíkrar vinnslu eru til að mynda að finna í lögum um sjúkraskrár en þær heimildir sem þar er að finna nægja ekki til að veita lagastoð fyrir allri þeirri nauðsynlegu vinnslu sem fram þarf að fara í tengslum við rekstur heilbrigðisstofnana. Heilbrigðisstofnanir þurfa til dæmis að vinna með viðkvæmar persónuupplýsingar í tengslum við uppgjör vegna lyfjakaupa og þá sérstaklega í tengslum við uppgjör Landspítala á lyfjum sem notuð eru á öðrum heilbrigðisstofnunum eða afgreidd í lyfjabúðum. Um nýmæli er að ræða. Áskilið er að uppfyllt séu skilyrði laga um persónuvernd og vinnslu persónuupplýsinga.

Með persónuupplýsingum er átt við sérhverjar upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, staðsetningargögn, netauðkenni eða einn eða fleiri þætti sem einkenna hann í líkamlegu, lífeðlisfræðilegu, erfðafræðilegu, andlegu, efnalegu, menningarlegu eða félagslegu tilliti. Lagt er til að heimild heilbrigðisstofnana nái einnig til nánar tiltekinna viðkvæmra persónuupplýsinga, þ.e. heilsufarsupplýsinga og lyfjanotkunar einstaklinga.

Um 14. gr.

Greinin þarfnast ekki skýringa.