Persónuvernd hefur komist að þeirri niðurstöðu að starfsmaður Landspítalans hafi ekki farið eftir lögum um persónuvernd þegar viðkomandi fletti upp í sjúkraskrá sjúklings. Höfðu uppflettingarnar ekkert að gera með starf starfsmannsins eða umönnun sjúklingsins. Sagðist starfsmaðurinn hafa verið að hjálpa sjúklingnum að finna upplýsingar um hvar nákvæmlega á spítalanum hann ætti bókaðan tíma en til að komast að því hvert sjúklingar eiga að fara er ekki þörf á því að fletta upp í sjúkraskrám. Spítalinn komst einnig að þeirri niðurstöðu að uppflettingarnar hafi ekki verið lögmætar og að starfsmaðurinn einn bæri ábyrgð á þeim.
Sjúklingurinn kvartaði yfir uppflettingum starfsmannsins í nóvember 2024 og sagði starfsmanninn alls hafa flett upp í sjúkraskránni fimm sinnum í janúar og febrúar það ár. Með kvörtuninni fylgdi yfirlit yfir uppflettingarnar.
Eftirlitsnefnd um rafræna sjúkraskrá á Landspítala tók uppflettingarnar til skoðunar í september 2024, að beiðni sjúklingsins.
Nefndin rannsakaði hvort uppflettingarnar tengdust komum, tilvísunum, beiðnum, rannsóknum eða öðru á vegum þeirrar starfseiningar sem starfsmaðurinn starfaði á. Samkvæmt niðurstöðu nefndarinnar sýndi starfsmaðurinn ekki fram á, við rannsókn málsins, að hann hefði átt lögmætt erindi í sjúkraskrá sjúklingsins í umrædd skipti og var því talin hafa brotið gegn ákvæðum laga um sjúkraskrár og laga um réttindi og skyldur starfsmanna ríkisins. Háttsemi starfsmannsins var í kjölfarið tilkynnt til embættis landlæknis og Persónuverndar.
Í kvörtun sjúklingsins kom fram að starfsmaðurinn hafi ekki haft lögmæta ástæðu til að fletta upp í og skoða sjúkraskrána, enda hafi starfsmaðurinn ekki komið að meðferð hans á nokkurn hátt. Vegna fyrrum kynna þeirra, hefði sjúklingurinn óskað eftir öðrum starfsmanni, ef sú staða hefði komið upp að starfsmaðurinn ætti að koma að meðferðinni.
Sagði sjúklingurinn að þegar hann hafi tilkynnt komu sína til læknis á spítalanum hafi starfsmaðurinn einmitt verið staddur í móttöku spítalans og orðið síðan var við að hann væri inniliggjandi í febrúar. Í kjölfarið hafi uppflettingarnar átt sér stað.
Landspítalinn sagði í sínum athugasemdum að starfsmaðurinn hafi ekki verið með sjúklinginn til meðferðar. Ekki sé ætlast til þess að starfsmenn fletti upp í sjúkraskrám einstaklinga við komu þeirra á spítalann, í þeim tilgangi að leiðbeina þeim um hvert þeir eigi að mæta. Starfsmaðurinn hafi fengið fræðslu um umgengni við sjúkraskrárupplýsingar líkt og aðrir starfsmenn spítalans. Þar sem uppflettingarnar hafi ekki verið í samræmi við heimildir laga um sjúkraskrár beri starfsmaðurinn sjálfur ábyrgð á þeim.
Starfsmaðurinn vildi meina að uppflettingarnar hefðu átt sér eðlilegar skýringar.
Í það skipti þegar sjúklingurinn hafi átt bókaðan tíma hafi starfsmaðurinn verið staddur í mótttökunni. Hafi þá sjúklingurin komið inn ganginn og óskað eftir aðstoð þar sem hann hafi ekki vitað hvert hann ætti að mæta og hvort hann væri að koma í rannsókn eða viðtal. Starfsmaðurinn sagðist hafa kannast við sjúklinginn og því tekið skref til baka og flett upp í sjúkraskránni til að finna upplýsingar um hvort sjúklingurinn ætti að mæta í rannsókn eða viðtal. Starfsmaðurinn sagðist síðan aftur hafa þurft að fletta upp í sjúkraskránni þar sem sjúklingurinn hafi viljað vita hvern hann væri að fara að hitta.
Þegar kom að uppflettingunni þegar sjúklingurinn var inniliggjandi sagði starfsmaðurinn að það ætti sér eðlilegar skýringar. Hann þurfi oft að fara inn á þá deild sem sjúklingurinn var inniliggjandi á, starfs síns vegna, og pappírsvinna sé hluti af starfinu og að þurfa að fletta upp mörgum kennitölum á dag.
Í niðurstöðu Persónuverndar kemur fram að stofnunin hafi ekki forsendur til að endurskoða mat á því hvenær aðgangur að sjúkraskrárupplýsingum sé nauðsynlegur í þágu meðferðar og takmarkist eftirlit stofnunarinnar því við skoðun á því hvort sú vinnsla persónuupplýsinga, sem felist í uppflettingu í sjúkraskrá, hafi verið í samræmi við skilyrði persónuverndarlaga.
Með hliðsjón af skýringum starfsmannsins og niðurstöðu eftirlitsnefndar um rafræna sjúkraskrá er það mat Persónuverndar að starfsmaðurinn hafi ekki sýnt fram á nauðsyn þess að fletta upp í sjúkraskrá sjúklingsins í umrædd skipti, enda liggi fyrir að ekki sé ætlast til þess að starfsmenn fletti upp í sjúkraskrám einstaklinga við komu þeirra á Landspítala í þeim tilgangi að leiðbeina þeim um hvert þeir eigi að mæta.
Er það sömuleiðis niðurstaðan að starfsmaðurinn en ekki spítalinn hafi borið ábyrgð á þeirri vinnslu persónuupplýsinga sem fólst í uppflettingunum. Þessi vinnsla hafi ekki verið í samræmi við ákvæði laga um persónuvernd og vinnslu persónuupplýsinga.
Með vísan til ákvæða til laganna, öðrum lögmæltum sjónarmiðum og málsatvikum í heild, svo og að teknu tilliti til reglna um meðalhóf þótti hins vegar ekki tilefni til að leggja stjórnvaldssekt á starfsmanninn.
