Beiðni embættis ríkislögreglustjóra um fyrirframsamráð frá Persónuvernd varðandi tilraunaverkefni um yfirlýst samstarf fagaðila og einstaklinga með sjálfsvígshugsanir
Mál nr. 2022122151
Efni: Beiðni embættis ríkislögreglustjóra um fyrirframsamráð frá Persónuvernd varðandi tilraunaverkefni um yfirlýst samstarf fagaðila og einstaklinga með sjálfsvígshugsanir
1.
Erindi embættis ríkislögreglustjóra
Mál þetta lýtur að beiðni embættis ríkislögreglustjóra um fyrirframsamráð frá Persónuvernd varðandi tilraunaverkefni um yfirlýst samstarf fagaðila og einstaklinga með sjálfsvígshugsanir, dags. 20. desember 2022. Fram kemur í erindinu að tilgangur með umræddu tilraunaverkefni sé aðstoð við einstaklinga í sjálfsvígshættu.
Einnig kemur fram í erindinu að í þeim tilvikum sem einstaklingur í sjálfsvígshættu óskar ekki sjálfur eftir aðstoð og ekki er um bráðatilfelli að ræða þá skorti lögregluna nauðsynleg úrræði til að aðstoða viðkomandi. Að mati embættis ríkislögreglustjóra kemur því til greina að í þeim tilvikum sem lögregla hefur af einhverjum ástæðum haft afskipti af einstaklingi sem hún metur í sjálfsvígshættu verði viðkomandi boðið að skrifa undir beiðni um aðstoð vegna sjálfsvígshugsana. Lögreglan komi þeirri beiðni í framhaldinu áfram til heilbrigðisstofnunar og/eða félagsþjónustu, allt eftir óskum viðkomandi, sem hefur í framhaldinu samband við viðkomandi með viðeigandi þjónustu í huga innan tiltekins tíma.
Með vísan í framangreint er í erindinu óskað í fyrsta lagi eftir áliti Persónuverndar á því hvort lögregla hafi heimild, samkvæmt 11. gr. lögreglulaga nr. 90/1996, til þess að bjóða einstaklingum sem hún hefur afskipti af og eru metnir í sjálfsvígshættu að skrifa undir beiðni um aðstoð. Í öðru lagi er óskað eftir áliti Persónuverndar á því hvort lögreglu sé heimilt að miðla upplýsingum um einstaklinga í sjálfsvígshættu til félagsþjónustu og/eða heilbrigðisstofnana.
Persónuvernd vill árétta að í máli þessu er um að ræða einstaklinga sem ekki eru metnir í bráðri sjálfsvígshættu þannig að lögreglan geti tryggt öryggi þeirra með handtöku. Því tekur álit þetta einungis til þeirra einstaklinga sem metnir eru í sjálfsvígshættu af hálfu lögreglu þegar ekki er um bráðatilfelli að ræða.
2.
Gildissvið - ábyrgðaraðili
Samkvæmt 1. mgr. 3. gr. laga nr. 75/2019 um vinnslu persónuupplýsinga í löggæslutilgangi gilda þau um vinnslu persónuupplýsinga hjá lögbærum yfirvöldum sem fram fer í löggæslutilgangi. Í 8. tölul. 2. gr. laga nr. 75/2019 er löggæslutilgangur skilgreindur svo: „sá tilgangur að koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot eða fullnægja refsiviðurlögum, þ.m.t. að vernda gegn og koma í veg fyrir ógnir við almannaöryggi“. Ljóst er að lögregla er lögbært yfirvald. Hins vegar er það mat Persónuverndar að aðstoð við einstaklinga í sjálfsvígshættu feli ekki í sér löggæslutilgang eins og hann er skilgreindur í 8. tölul. 2. gr. laga nr. 75/2019 og gilda þau lög því ekki í máli þessu.
Í 3. mgr. 3. gr. laga nr. 75/2019 kemur fram að lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga gilda um vinnu lögbærra yfirvalda á persónuupplýsingum í öðrum tilgangi, eftir því sem við á.
Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 og reglugerð (ESB) 2016/679 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laga nr. 90/2018 er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður, einn eða í samvinnu við aðra, tilgang og aðferðir við vinnslu persónuupplýsinga. Eins og hér háttar til telst lögreglan ábyrg fyrir þeirri vinnslu persónuupplýsinga sem um ræðir í máli þessu og er því ábyrgðaraðili hennar.
3.
Afstaða Persónuverndar
3.1
Almennar vinnsluheimildir
Sem fyrr segir er tilgangurinn með hinni fyrirhuguðu vinnslu persónuupplýsinga að aðstoða einstaklinga í sjálfsvígshættu. Almennt séð verður öll vinnsla persónuupplýsinga að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 20216/679.
Það er mat Persónuverndar að vinnsla persónuupplýsinga af hálfu lögreglunnar geti að öllu óbreyttu ekki byggst á afdráttarlausu samþykki einstaklinga sem metnir eru í sjálfsvígshættu. Ástæða þess er sú að ólíklegt verður að teljast almennt séð að einstaklingar í sjálfsvígshættu séu færir um að veita óþvingað, upplýst og ótvírætt samþykki fyrir vinnslu persónuupplýsinga um þá á þeim tímapunkti sem lögreglu ber að garði. Þó er það mat Persónuverndar að ekki sé með öllu útilokað að heimild kunni að standa til að byggja á samþykki einstaklinganna en slíkt færi alfarið eftir því á hvaða tímapunkti slíks samþykkis yrði aflað af hálfu lögreglu sem og því að tryggt yrði að viðkomandi væri fær um að veita afdráttarlaust samþykki. Sem fyrr segir, miðað við þær forsendur sem fram koma í erindi embættis ríkislögreglustjóra, telur Persónuvernd þó hæpið að samþykki geti verið fullnægjandi vinnsluheimild persónuupplýsinga í málinu. Að mati Persónuverndar gætu vinnsluheimildir á grundvelli 3. og 5. tölul. 9. gr. laga nr. 90/2018 að öllu óbreyttu helst komið til álita í máli þessu.
Þá skal bent á að við mat á heimild til vinnslu persónuupplýsinga verður einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í a-lið 2. mgr. 1. gr. lögreglulaga nr. 90/1996 segir að hlutverk lögreglu sé m.a. að gæta almannaöryggis og halda uppi lögum og reglu og leitast við að tryggja réttaröryggi borgaranna. Í d-lið sömu greinar kemur fram að hlutverk lögreglu sé m.a. að aðstoða borgaranna þegar hætta steðjar að og í f-lið segir að hlutverk lögreglu sé að starfa í samvinnu við önnur stjórnvöld og stofnanir sem hafa með höndum verkefni sem tengjast starfssviði lögreglu. Einnig kemur fram í 2. mgr. 11. gr. lögreglulaganna að lögregla skuli eftir því sem þörf er á, hafa gagnkvæmt samstarf við önnur stjórnvöld, stofnanir, félagasamtök og einkaaðila við lögreglurannsóknir, framkvæmd löggæslu og önnur verkefni. Jafnframt kemur þar fram að lögreglu og samstarfsaðilum sé heimilt að skiptast á upplýsingum, þar á meðal persónuupplýsingum, að því marki sem nauðsynlegt er, til að lögregla eða samstarfsaðili geti sinnt lögbundnu hlutverki sínu.
3.2
Vinnsla viðkvæmra persónuupplýsinga
Auk heimildar samkvæmt 9. gr. laga nr. 90/2018 verður vinnsla viðkvæmra persónuupplýsinga einnig að samrýmast einhverju af viðbótarskilyrðum 1. mgr. 11. gr. laganna, sbr. 9. gr. reglugerðar (ESB) 2016/679. Samkvæmt b-lið 3. tölul. 3. gr. laganna eru heilsufarsupplýsingar, þ.e. persónuupplýsingar sem varða líkamlegt eða andlegt heilbrigði einstaklings, viðkvæmar.
Í erindi embættis ríkislögreglustjóra kemur fram að útbúin hafi verið drög að samstarfssamningi lögreglu við félagsþjónustuna og heilbrigðisstofnanir. Þá kemur fram í erindinu að útbúin hafi verið drög að starfssamningi og drög að fræðslu sem einstaklingum verður boðið að undirrita og að samstarfsaðilar lögreglu hafi óskað eftir því að umræddri þjónustubeiðni fylgi að einhverju marki upplýsingar um það atvik og þær aðstæður sem uppi voru í afskiptum lögreglu og urðu grundvöllur hennar.
Það er mat Persónuverndar að hvað snertir vinnsluheimild viðkvæmra persónuupplýsinga geti 8. tölul. 1. mgr. 11. gr. laga nr. 90/2018 einkum komið til skoðunar í málinu í ljósi hins fyrirhugaða starfssamnings á milli lögreglu, heilbrigðisstofnana og félagsþjónustu. Í umræddu ákvæði er fjallað um vinnslu viðkvæmra persónuupplýsinga sem er nauðsynleg m.a. til að veita umönnun eða meðferð á sviði heilbrigðis- eða félagsþjónustu og sem fyrir er sérstök lagaheimild, enda sé vinnslan framkvæmd af starfsmanni slíkrar þjónustu sem bundinn er þagnarskyldu. Almennt hefur verið talið að gildissvið umræddrar vinnsluheimildar sé allvíðtækt og nái til vinnslu viðkvæmra persónuupplýsinga tengdrar hvers kyns þjónustu sem einstaklingar njóta innan heilbrigðis- og félagslega kerfisins.
4.
Niðurstaða
Að framangreindu virtu er það álit Persónuverndar að umrædd vinnsla persónuupplýsinga um einstaklinga í sjálfsvígshættu, þ. á m. miðlun upplýsinganna frá lögreglu til félagsþjónustu og/eða heilbrigðisstofnana, geti stuðst við heimild í 3. tölul. og 5. tölul. 9. gr. laga nr. 90/2018. Það er jafnframt álit Persónuverndar að vinnslan geti stuðst við heimild til vinnslu viðkvæmra persónuupplýsinga í 8. tölul. 1. mgr. 11. gr. laga nr. 90/2018. Að mati Persónuverndar er að öllu óbreyttu ekki unnt að byggja á samþykki sem fullnægjandi vinnsluheimild í málinu.
Auk framangreinds vill Persónuvernd árétta að í 13. gr. reglugerðar (ESB) 2016/679, sbr. 17. gr. laga nr. 90/2018, er fjallað um fræðslu til hins skráða. Samkvæmt ákvæðinu ber ábyrgðaraðila að veita hinum skráða fræðslu um tiltekin atriði þegar upplýsinga er aflað hjá honum sjálfum nema að því marki sem hinn skráði hefur þegar fengið vitneskju um þau. Jafnframt vill Persónuvernd árétta að þegar vinnsla persónuupplýsinga byggist á annars konar heimild en samþykki verður almennt ekki litið svo á að yfirlýsing hins skráða um að hann fallist á vinnsluna þurfi að liggja fyrir. Hins vegar er það mat Persónuverndar að mikilvægt sé að lögreglan veiti aðilum í sjálfsvígshættu, sem til stendur að miðla persónuupplýsingum um til félagsþjónustu og/eða heilbrigðisstofnana, skriflega fræðslu um vinnsluna. Þá getur einnig verið ástæða til að fyrir liggi umboð eða beiðni frá hinum skráða um hina fyrirhuguðu vinnslu persónuupplýsinga þótt ekki sé þar um eiginlegt samþykki að ræða í skilningi persónuverndarlaga.
Loks telur Persónuvernd rétt að árétta í fyrsta lagi mikilvægi þess að gert sé mat á áhrifum á persónuvernd, sbr. 29. gr. laga nr. 90/2018 og 35. gr. reglugerðar (ESB) 2016/679. Í öðru lagi telur Persónuvernd nauðsynlegt að árétta mikilvægi þess að fyrirhuguð vinnsla persónuupplýsinga samrýmist öllum meginreglum 1. mgr. 8. gr. laganna, sbr. 5. gr. reglugerðar (ESB) 2016/679. Sérstaklega telur Persónuvernd brýnt að gætt verði að sjónarmiðum um meðalhóf og að lögreglan miðli ekki meiri upplýsingum til félagsþjónustu og/eða heilbrigðisstofnana en brýna nauðsyn ber til í hverju máli fyrir sig.
Persónuvernd, 23. október 2023
Þórður Sveinsson Ína Bzowska Grétarsdóttir