sjúkratryggingar.
Herra forseti. Ég mæli hér fyrir nefndaráliti um frumvarp til laga um breytingu á lögum um sjúkratryggingar, nr. 112/2008, með síðari breytingum. Það fjallar um persónuvernd og vinnslu persónuupplýsinga, í þessu tilviki á sviði hjá stofnunum sem heyra að stærri hluta til undir heilbrigðisráðuneytið.
Frumvarpið felur í sér efnislega aðlögun laga um sjúkratryggingar að lögum um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018.
Frumvarpið hefur ekki í för með sér breytingar í tengslum við þá þjónustu sem sjúkratryggingastofnun er ætlað að veita, heldur gerir frumvarpið ráð fyrir nauðsynlegum breytingum á ákvæðum laga til að tryggja að vinnsla persónuupplýsinga á grundvelli viðkomandi laga samræmist ákvæðum laga um persónuvernd og vinnslu persónuupplýsinga. Fyrst og fremst felur breytingin í sér að sjúkratryggingastofnun þarf ekki að afla samþykkis fyrir fyrirhugaðri vinnslu persónuupplýsinga heldur styðst vinnslan við lagaheimild.
Við umfjöllun nefndarinnar kom fram það sjónarmið að með afnámi skilyrðis um samþykki væri ekki fyllilega tryggt að einstaklingur fengi upplýsingar um fyrirhugaða upplýsingaöflun sjúkratryggingastofnunar. Heimild stofnunarinnar til að afla upplýsinga frá skattyfirvöldum kallast á við þagnarskyldu yfirvaldanna samkvæmt 117. gr. laga um tekjuskatt, nr. 90/2003, enda gætu skattyfirvöld ekki staðfest að heimild væri til vinnslu persónuupplýsinga nema fyrir lægi samþykki frá viðkomandi fyrir vinnslunni.
Nefndin fellst ekki á þetta sjónarmið. Í 2. mgr. 34. gr. laga um sjúkratryggingar segir að sjúkratryggingastofnuninni sé heimilt að afla nauðsynlegra upplýsinga að fengnu skriflegu samþykki umsækjanda. Með frumvarpinu er lagt til að áskilnaður um samþykki falli brott. Með þeirri breytingu færi upplýsingaöflun fram á grundvelli lagaheimildar en ekki samþykkis viðkomandi. Því telur nefndin að ekki geti leikið vafi á því hvort heimild sé til staðar til vinnslu persónuupplýsinga þegar fyrir liggur umsókn um bætur samkvæmt 34. gr. laga um sjúkratryggingar.
Í því sambandi bendir nefndin á að í 8. tölulið 3. gr. laga um persónuvernd og vinnslu persónuupplýsinga segir að samþykki í skilningi laganna sé óþvinguð sértæk, upplýst og ótvíræð viljayfirlýsing hins skráða um að hann samþykki með yfirlýsingu eða ótvíræðri staðfestingu vinnslu persónuupplýsinga um sig. Þá segir í 2. tölulið 1. mgr. 11. gr. laganna að vinnsla viðkvæmra persónuupplýsinga sé heimil þegar vinnslan er nauðsynleg til þess að ábyrgðaraðili eða hinn skráði geti staðið við skuldbindingar sínar og nýtt sér tiltekin réttindi samkvæmt vinnulöggjöf og löggjöf um almannatryggingar og félagslega vernd og fari fram á grundvelli laga sem kveða á um viðeigandi og sértækar ráðstafanir til að vernda grundvallarréttindi og hagsmuni hins skráða.
Við umfjöllun nefndarinnar kom fram að sú breyting sem lögð er til í frumvarpinu væri nauðsynleg enda gæti samþykki ekki talist viðeigandi réttargrundvöllur fyrir heimild til vinnslu persónuupplýsinga af hálfu sjúkratryggingastofnunar. Var í því sambandi bent á að þegar einstaklingur er í þeirri stöðu að þurfa að veita samþykki, enda sé það forsenda fyrir því að hann fái notið lögbundinna réttinda, geti samþykkið ekki talist óþvingað. Því væri nauðsynlegt að upplýsingaöflunin færi fram á grundvelli lagaheimildar en ekki samþykkis einstaklingsins.
Með hliðsjón af því telur nefndin að afnám skilyrðis um samþykki sé í samræmi við lög um persónuvernd og vinnslu persónuupplýsinga.
Persónuvernd gerir í umsögn sinni athugasemd við að samkvæmt frumvarpinu beri sjúkratryggingastofnun að upplýsa viðkomandi um fyrirhugaða upplýsingaöflun eins og hægt er hverju sinni. Í 2. mgr. 17. gr. laga um persónuvernd og vinnslu persónuupplýsinga sé kveðið á um að hinn skráði eigi rétt til upplýsinga um vinnslu persónuupplýsinga með þeim undantekningum sem fram koma í 3. mgr. 17. gr. laganna og eru nánar útfærðar í 5. mgr. 14. gr. reglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679 frá 27. apríl 2016, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og frjálsa miðlun slíkra upplýsinga, og niðurfellingu tilskipunar 95/46/EB. Bendir Persónuvernd á að tilvísun til þess að sjúkratryggingastofnuninni beri að upplýsa viðkomandi eins og hægt sé hverju sinni feli í sér víðtækari heimild til takmörkunar á upplýsingarétti aðila en leiðir af reglugerðinni.
Nefndin tekur undir þetta sjónarmið enda hljóti mat sjúkratryggingastofnunar að þurfa að byggjast á þeim forsendum sem heimila slíka takmörkun samkvæmt reglugerðinni. Leggur nefndin til þá breytingu á b-lið 1. gr. frumvarpsins að skylda sjúkratryggingastofnunarinnar til að upplýsa um fyrirhugaða vinnslu persónuupplýsinga verði í samræmi við ákvæði 2. mgr. 17. gr. laga, um persónuvernd og vinnslu persónuupplýsinga.
Með hliðsjón af framangreindu leggur nefndin til að málið verði samþykkt með þeirri breytingartillögu sem hér var rakin.
Anna Kolbrún Árnadóttir, Guðmundur Ingi Kristinsson og Vilhjálmur Árnason voru fjarverandi við afgreiðslu málsins.
Undir álitið rita Halldóra Mogensen, Andrés Ingi Jónsson, Ólafur Þór Gunnarsson framsögumaður, Ásmundur Friðriksson, Guðjón S. Brjánsson og Halla Signý Kristjánsdóttir.
