Smitrakningateymi almannavarna fékk í að minnsta kosti þrjú skipti aðgang að upplýsingum um kortanotkun fólks á veitingastöðum í þeim tilgangi að rekja hverjir höfðu verið á stöðunum sem um ræddi. Þetta staðfesti Jóhann Björn Skúlason, yfirmaður smitrakningateymis almannavarna, í samtali við blaðamann. Sagði hann að fjöldi skipta sem þessari aðferð hafi verið beitt væru „teljandi á fingrum annarrar handar,“ og að þeim væri aðeins beitt í ýtrustu neyð.
Í einu tilfellinu var um að ræða nöfn um hundrað einstaklinga. Afhending gagnanna fór þannig fram að nöfn einstaklinga sem greitt höfðu með kortum sínum á þeim stöðum sem til skoðunar var voru tekin úr kerfum færsluhirðanna Borgunar og Valitors og send til embættis ríkislögreglustjóra. Þar voru þau notuð til þess að koma skilaboðum til þeirra sem notuð höfðu kortin á umræddum stöðum um að það þyrfti að grípa til viðeigandi ráðstafana.
Færsluhirðarnir Borgun og Valitor afhentu gögnin að kröfu lögreglunnar, sem gerði kröfuna í skjóli álits persónuverndar þar sem sóttvarnalækni var veitt umrædd heimild. Frekari spurningar hafa svo vaknað um hvort álit Persónuverndar, um að sóttvarnalæknir hafi þessa heimild yfir höfuð, sé réttmæt.
„Rúmar heimildir“ sóttvarnalæknis
Málið var til umfjöllunar í fréttatíma Stöðvar 2 mánudaginn 5. október og var þar meðal annars rætt við Helgu Þórisdóttur, forstjóra Persónuverndar. Þar kom fram að Persónuvernd hafi verið látin vita af tilhögun smitrakningateymisins í tengslum við eitt málið. Sagði Helga jafnframt við það tækifæri að sóttvarnalæknir hefði „mjög rúmar“ heimildir til öflunar persónuupplýsinga í þeim tilgangi að hemja hópsýkingu. Sagði hún að sóttvarnalæknir þyrfti einnig að fara eftir almennum reglum persónuverndar, til dæmis hvað varðar „gagnsæi og fræðslu.“ Þá kom fram að Helga teldi heimildina þurfa að vega og meta í samhengi við alvarleika farsóttarinnar sem um ræddi. „Ef um væri að ræða einhverja almenna magakveisu sem þarna væri undir, þá er nokkuð ljóst að persónuvernd hefði litið öðruvísi á þetta inngrip sóttvarnalæknis,“ sagði Helga.
Orð Helgu eru í samræmi við álit Persónuverndar frá því 26. febrúar sem unnið var að frumkvæði sóttvarnalæknis. Þar kemur fram að túlkun sóttvarnalæknis á sóttvarnalögum sé sú að „honum sé heimil öflun allra gagna sem nauðsynleg teljast til að grípa til viðeigandi ráðstafana til að hamla útbreiðslu farsóttar, óháð því hvort um sé að ræða almennar eða viðkvæmar persónuupplýsingar.“ Vísar sóttvarnalæknir til 11. greinar laganna. Niðurstaða Persónuverndar er að mestu leyti í samræmi við álit sóttvarnalæknis á eigin heimild.
Ellefta greinin fjallar um að sérstök samstarfsnefnd skuli starfa að tilskipan ráðherra. Skulu í þeirri nefnd sitja auk sóttvarnalæknis, tveir fulltrúar Matvælastofnunar, aðrir tveir frá Umhverfisstofnun og einn frá Geislavörnum ríkisins. Er nefndinni heimilaður víðtækur aðgangur að persónuupplýsingum auk þess sem henni er veitt heimild til þess að leita „aðstoðar“ lögreglu við sín verkefni. Þessi nefnd hefur ekki enn verið skipuð, og er því ekki starfandi.
Álit Persónuverndar er orðið gamalt, og eru nú vangaveltur uppi um hvort það sé hreinlega úrelt. Í því er talað um „Wuhan-veiruna,“ og þegar álitið er samið átti fyrsta smitið enn eftir að greinast hér á landi. Enn fremur hafa spurningar nú vaknað um hvort Persónuvernd hafi verið heimilt að yfirfæra heimildina sem samstarfsnefndinni er veitt yfir á sóttvarnalækni.
Í samtali við blaðamann DV segir Helga Þórisdóttir, forstjóri Persónuverndar, að ekki sé kominn tími á að endurskoða álitið. „Nei, er stutta svarið,“ sagði Helga. „Þegar við gefum út álit er það gefið út á grundvelli gildandi laga. Svo getur fólk auðvitað haft skoðanir á því og það verið til umfjöllunar síðar.“ Helga segir að Persónuvernd hafi verið í miklu sambandi við embætti landlæknis og sóttvarnalæknis undanfarið og fjöldi mála komið upp sem unnið hafi verið að í samvinnu embættanna. Nefnir Helga þar til að mynda aðgang sóttvarnalæknis að kortaupplýsingum og nafnbirtingu veitingastaða í fjölmiðlum.
DV sendi fyrirspurn á kortafyrirtækin Borgun og Valitor um afhendingu gagnanna til smitrakningateymisins. Kemur fram í svari Borgunar, að stjórnendur hafi ákveðið að „verða við beiðni lögreglu“ um að fá upplýsingarnar afhentar. Báru þau fyrir sig mat lögreglu að hagsmunir yfirvalda væru „ríkari en persónuverndarhagsmunir korthafa.“ Sömu sögu er að segja af svörum Valitors, sem segjast hafa haft samráð við persónuverndarfulltrúa Landlæknis og Persónuvernd og vísuðu í áðurnefnt álit Persónuverndar frá því í febrúar. „Álitum við okkur rétt og skylt að verða við beiðni ríkislögreglustjóra um afhendingu umbeðinna upplýsinga,“ sagði í svari Valitor.
Af svörum kortafyrirtækjanna er ljóst að ríkislögreglustjóri óskaði í báðum tilfellum eftir gögnunum. Er það sérstaklega athyglisvert í ljósi þess að heimildin til öflunar slíkra gagna er í lögum bundin við „sérstöku samstarfsnefndina,“ og að ekki er að sjá á neinum gögnum málsins að lögregla hafi heimild til þess að óska eftir þessum gögnum. Þannig er til dæmis aldrei minnst á lögreglu í áliti Persónuverndar.
Í ljósi fyrri svara kortafyrirtækjanna sendi DV aðra fyrirspurn á Borgun og Valitor og spurði hvort fjallað hafi verið um lögmæti beiðninnar innanhúss, í hve mörg skipti afhending gagna fór fram, hvað gögnin vörðuðu marga korthafa fyrirtækjanna og hvort korthafar hafi verið látnir vita af afhendingu gagnanna. Svör Valitor voru að fjölmiðlum yrði ekki veitt frekari upplýsingar um málið. Svar Borgunar hafði enn ekki borist DV við birtingu þessa fréttar.
Hvað varðar aðkomu lögreglu að óskinni um upplýsingarnar sagði forstjóri Persónuverndar: „Embætti landlæknis tilkynnti okkur um hvernig þetta yrði framkvæmt. Það getur vel verið að eftir á í tíma og rúmi þurfum við að skoða einhverja ferla betur, en heilt yfir höfum við metið stöðu sóttvarnalæknis vera sterka og rúma, en það er alveg greinilegt að einhverjum kann að þykja að það þyrfti að skýra einstaka atriði betur.“
Í áliti Persónuverndar kemur jafnframt fram að áfram hvíli sú skylda á sóttvarnalækni að fara eftir meginreglum persónuverndar. Segir í því samhengi, meðal annars, „að upplýsingarnar séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða.“ Ein þessara meginreglna er jafnframt sú að láta á einstaklinga vita þegar unnið hefur verið með persónuupplýsingar þeirra. Dæmi um þetta er að í kjölfar hlerunar símtala í þágu sakamálarannsóknar eru viðfangsefni hlerunarinnar látin vita af henni. Ekki er að sjá að einstaklingar, nöfn hverra komu fram í gögnunum sem kortafyrirtækin létu af hendi, hafi verið sagt frá því.
Jóhann Björn Skúlason hjá smitrakningateymi almannavarna staðfesti að teymið hafi ekki látið fólk sérstaklega vita að þessi háttur hafi verið hafður á smitrakningunni, en sagði þó að fólk væri að verða meðvitaðra um einkalíf sitt. Í því samhengi nefndi Jóhann að teyminu bærist nú reglulega fyrirspurnir er varða appið sem almannavarnir gáfu út og áttu að aðstoða teymið við smitrakningu.
Aðspurður um hvort innra eftirlit starfaði innan eða utan smitrakningateymisins og hvort fylgst væri með hverjir hefðu aðgang að gögnunum sem um ræðir, sagði Jóhann að aðeins tveir hefðu aðgang að þessum gögnum og að ekkert innra eftirlit væri með þeirra störfum. „Lögreglan hefur auðvitað alltaf þurft að svara til saka með allt sem við gerum,“ sagði Jóhann, „og við erum auðvitað undir eftirliti persónuverndar, en innra eftirlit er ekki til staðar.“
