Persónuvernd hefur birt ákvörðun í máli sem stofnunin tók upp á sína arma að eigin frumkvæði en henni hafði borist upplýsingar um að læknir hefði flett upp í sjúkraskrám á Landspítalanum og sent viðkomandi einstaklingum skilaboð. Þetta hafi hann gert í þeim tilgangi að afla einkafyrirtæki, sem hann starfaði hjá meðfram starfi sínu á spítalanum, viðskiptavina. Er það niðurstaða Persónuverndar að með þessu athæfi sínu hafi læknirinn brotið í bága við persónuverndarlög en embætti landlæknis hafði áður komist að þeirri niðurstöðu að læknirinn hafi ekki haft heimild til þessara uppflettinga samkvæmt ákvæðum laga um sjúkraskrár.
Persónuvernd komst að niðurstöðu í málinu um miðjan júlí en birti niðurstöður sinar ekki fyrr en í dag. Stofnunin birtir ekki ákvörðunina í heild sinni heldur aðeins útdrátt en ekki er tekið fram hvaða ástæður liggja þar að baki. Viðkomandi læknir er ekki nafngreindur en fram kemur að hann hafi starfað á Landspítalanum og þannig haft aðgang að sjúkraskránum.
Viðkomandi fyrirtæki er ekki nafngreint og ekkert kemur fram í útdrættinum um hvort Persónuvernd hafi leitað skýringa eða sjónarmiða þess í málinu. Það kemur heldur ekkert fram um það í útdrættinum hvort læknirinn hafi sent skilaboðin alfarið að eigin frumkvæði eða hvort einhver annar aðili innan fyrirtækisins hafi verið með í ráðum. Það kemur sömuleiðis ekki fram hvort skilaboðasendingar læknisins hafi borið þann árangur að einhver hafi samþykkt að koma í viðskipti við fyrirtækið.
Þess er heldur ekki getið hvort að Persónuvernd hafi leitað viðbragða og skýringa Landspítalans vegna málsins og því er ekki vitað á þessari stundu hvort læknirinn hafi hugsanlega farið á svig við einhverjar starfsreglur spítalans eða hvort spítalinn hafi eða ætli að bregðast á einhvern hátt við málinu.
Í ákvörðun Persónuverndar segir að stofnunin hafi tekið málið til athugunar að eigin frumkvæði eftir að henni barst ábending þess efnis að viðkomandi læknir hefði nýtt sér aðgang sinn að sjúkraskrárkerfi Landspítalans til að afla sér fjárhagslegs ávinnings með því að beina sjúklingum í viðskipti við hið einkarekna fyrirtæki sem hann starfaði jafnframt hjá.
Það virðist því aðeins ein ábending hafa borist Persónuvernd en þó segir í útdrættinum að fleiri en einn einstaklingur hafi fengið skilaboð frá lækninum eftir uppflettingu í sjúkraskrá viðkomandi. Um hversu marga einstaklinga var að ræða kemur ekki fram í útdrætti Persónuverndar.
Persónuvernd leitað skýringa hjá lækninum og samkvæmt útdrættinum sagði hann vinnslu þeirra persónuupplýsinga sem hann fletti upp hafa samrýmst persónuverndarlöggjöfinni og farið fram í umboði Landspítalans. Féllist Persónuvernd ekki á ábyrgð Landspítalans, á þeirri vinnslu persónuupplýsinga sem athugunin laut að, byggði viðkomandi læknir á því að vinnslan hefði engu að síður verið lögmæt, enda hefði hún verið nauðsynleg vegna lagaskyldu hans, þar sem hún hefði verið nauðsynleg til að veita umönnun og meðferð á sviði heilbrigðisþjónustu, á grundvelli sérstakrar lagaheimildar, og framkvæmd af starfsmanni slíkrar þjónustu sem bundinn sé þagnarskyldu.
Um niðurstöðu Persónuverndar segir í útdrættinum að viðkomandi læknir sé ábyrgðaraðili þeirrar vinnslu persónuupplýsinga, sem fólst í uppflettingum hans í sjúkraskrám viðkomandi einstaklinga og sendingu skilaboða til þeirra, enda hefði hann notað persónuupplýsingarnar í eigin þágu, vegna verks sem hafi ekki fallið innan verksviðs Landspítalans.
Vísar Persónuvernd til niðurstöðu embættis landlæknis, í þessu sama máli, um að lagaheimild hefði ekki staðið til umræddra uppflettinga í sjúkraskrám samkvæmt lögum um sjúkraskrár. Taldi Persónuvernd sömuleiðis að vinnsla læknisins á umræddum persónuupplýsingum gæti ekki stuðst við vinnsluheimildir laga um persónuvernd og vinnslu persónuupplýsinga. Það sama ætti við um heimildir sama efnis í Evrópureglugerð um persónuvernd. Vinnslan var jafnframt ekki talin hafa farið fram með lögmætum hætti gagnvart hinum skráðu eða í málefnalegum tilgangi.
