Dómur Hæstaréttar

1. Mál þetta dæma hæstaréttardómararnir Benedikt Bogason, Ása Ólafsdóttir, Ólafur Börkur Þorvaldsson, Sigurður Tómas Magnússon og Skúli Magnússon.

2. Áfrýjandi skaut málinu til Hæstaréttar 29. janúar 2025. Hann krefst þess að ógilt verði ákvörðun stefnda Persónuverndar 23. nóvember 2021 í máli nr. 2020061951 með eftirfarandi ákvörðunarorði: „Vinnsla persónuupplýsinga Landspítala og Íslenskrar erfðagreiningar í aðdraganda viðbótar við rannsóknina Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur, sem samþykkt var af vísindasiðanefnd 7. apríl 2020, samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.“ Þá krefst áfrýjandi málskostnaðar úr hendi stefnda Persónuverndar.

3. Stefndi Landspítali krefst þess að framangreind dómkrafa áfrýjanda um ógildingu ákvörðunar stefnda Persónuverndar 23. nóvember 2021 nái fram að ganga.

4. Stefndi Persónuvernd krefst þess að hinn áfrýjaði dómur verði staðfestur og áfrýjanda gert að greiða sér málskostnað fyrir Hæstarétti.

Ágreiningsefni

5. Dagana 3. til 7. apríl 2020 voru tekin blóðsýni úr sjúklingum á Landspítala með COVID-19-sjúkdóminn en starfsmenn áfrýjanda tóku við sýnunum, meðhöndluðu og varðveittu í frysti hjá sér. Aðilar deila um hvort sýnatakan hafi eingöngu verið í þágu vísindarannsóknar sem leyfi vísindasiðanefndar hefði þurft að liggja fyrir um sem og samþykki sjúklinga eftir lögum nr. 44/2014 um vísindarannsóknir á heilbrigðissviði eða hvort hún hafi þjónað klínískum tilgangi.

6. Í fyrrgreindri ákvörðun Persónuverndar var fjallað um vinnslu persónuupplýsinga vegna töku blóðsýna fram að því að vísindasiðanefnd samþykkti umsókn áfrýjanda 7. apríl 2020. Komist var að þeirri niðurstöðu að vinnslan hefði ekki samrýmst lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679, þar sem vísindasiðanefnd hefði ekki samþykkt rannsóknina fyrr en búið var að taka blóðsýnin í þágu hennar.

7. Með héraðsdómi 16. mars 2023 var ákvörðun Persónuverndar felld úr gildi en með hinum áfrýjaða dómi 14. nóvember 2024 var þeirri niðurstöðu hnekkt. Þar var talið að blóðsýnatakan hefði hafist í kjölfar þess að umsókn áfrýjanda barst vísindasiðanefnd 2. apríl 2020 og haldið áfram þá daga sem hún var til meðferðar hjá nefndinni allt fram til samþykkis hennar 7. sama mánaðar. Á þessu dagabili hefði ekki verið aflað upplýsts samþykkis sjúklinga. Athugun Persónuverndar hefði lotið að vísindarannsókn sem vísindasiðanefnd hefði samþykkt að færi fram og eftir atvikum aðdraganda þess að það leyfi lá fyrir. Því stæði 1. mgr. 10. gr. laga nr. 44/2014 ekki í vegi fyrir athugun stofnunarinnar.

8. Áfrýjunarleyfi var veitt 29. janúar 2025, með ákvörðun réttarins nr. 2024-167, á þeim grunni að dómur í málinu kynni að hafa fordæmisgildi á sviði persónuverndar og stjórnsýsluréttar, svo og um túlkun laga nr. 44/2014 og samspil þeirra við lög nr. 90/2018.

Málsatvik

9. Áfrýjandi og Landspítali undirrituðu vinnslusamning 12. mars 2020 um söfnun og skimun fyrir COVID-19-veirunni í lífsýnum frá einstaklingum sem áfrýjandi skyldi safna sjálfur eða fá send frá Landspítala. Samningurinn var gerður á grundvelli vinnslusamnings embættis landlæknis, sóttvarnalæknis og Landspítala 15. desember 2015 þar sem rannsóknarstofum Landspítala var heimilað að starfa með öðrum aðilum og heilbrigðisstofnunum utan spítalans að söfnun og vinnslu persónuupplýsinga.

10. Áfrýjandi, yfirlæknir smitsjúkdómadeildar Landspítala, sóttvarnalæknir, landlæknir og yfirlæknir sýkla- og veirufræðideildar Landspítala sendu vísindasiðanefnd umsókn 20. mars 2020 um rannsókn á „Faraldsfræði SARS-CoV-2 veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19 sjúkdóminn sem hún veldur“. Sama dag sendi nefndin umsóknina Persónuvernd til umsagnar eins og henni var skylt samkvæmt þágildandi 1. mgr. 13. gr. laga nr. 44/2014. Persónuvernd afgreiddi málið 23. sama mánaðar og gerði ekki athugasemdir við að vísindasiðanefnd tæki erindið til efnislegrar afgreiðslu. Vísindasiðanefnd veitti leyfi fyrir rannsókninni sama dag.

11. Áfrýjandi sendi umsókn um svonefnda viðbót 1 við fyrrgreinda rannsókn til vísindasiðanefndar 2. apríl 2020. Fleiri viðbætur voru síðar gerðar við rannsóknina en þær koma ekki við sögu í máli þessu. Í umsókninni var óskað eftir leyfi til öflunar blóðsýna til mælinga á próteinmynstri og mótefnum hjá einstaklingum sem hefðu greinst með COVID-19-sjúkdóminn og legðust inn eða kæmu á göngudeild Landspítala. Sama dag voru gefin fyrirmæli af hálfu yfirlæknis smitsjúkdómadeildar Landspítala um að tekin yrðu dagleg blóðsýni úr þeim sem væru til meðferðar vegna COVID-19. Þetta fyrirkomulag væri liður í því að afla gagna um sjúkdóminn og hæfist blóðsýnatakan daginn eftir. Blóðsýni úr slíkum sjúklingum munu þó hafa verið tekin daglega á Landspítala allt frá upphafi faraldursins.

12. Í tölvubréfi vísindasiðanefndar til áfrýjanda 3. apríl 2020 var óskað skýringa á hvort sýna yrði aflað áður en einstaklingum yrði boðin þátttaka í viðbótarrannsókninni. Í svari áfrýjanda sama dag sagði að sýnataka og mælingar væru vegna klínískrar vinnu á Landspítala. Umsókninni væri ætlað að tryggja að leyfi lægi fyrir því að sýnin yrðu tekin, unnin og varðveitt í þeim tilgangi að auk mælinga fyrir klíníska vinnu væri unnt að nota þau síðar og niðurstöður mælinga á þeim til vísindarannsókna. Í umsögn Persónuverndar sama dag gerði stofnunin ekki athugasemd við að vísindasiðanefnd afgreiddi umsóknina efnislega. Persónuvernd tæki ekki afstöðu til umfangs gagnaöflunar vegna rannsóknarinnar heldur byggði á því að vísindasiðanefnd mæti það. Með tölvubréfi 6. sama mánaðar óskaði vísindasiðanefnd eftir frekari gögnum vegna umsóknarinnar. Í framhaldi af því sendi áfrýjandi nefndinni skýringar á fyrirkomulagi rannsóknarinnar sem og staðfestingu sóttvarnalæknis á mikilvægi þess að tekin væru blóðsýni úr þeim sem hefðu greinst með COVID-19-sjúkdóminn.

13. Vísindasiðanefnd veitti leyfi fyrir rannsóknarviðbótinni 7. apríl 2020 en setti það skilyrði að aflað yrði afmarkaðs upplýsts samþykkis hjá þeim einstaklingum sem væru hæfir til að veita slíkt samþykki, sbr. 1. mgr. 22. gr. laga nr. 44/2014, áður en sýna yrði aflað hjá þeim í vísindaskyni. Á hinn bóginn væri heimilt að afla sýna hjá þeim sem ekki væru hæfir til að taka upplýsta ákvörðun vegna veikinda að uppfylltum skilyrðum 1. mgr. 23. gr. laganna. Þessu verklagi var fylgt í kjölfarið.

14. Persónuvernd bárust í apríl 2020 óformlegar ábendingar um að gefin hefðu verið fyrirmæli um töku blóðsýna á Landspítala og sendingu þeirra til áfrýjanda, að því er talið var til rannsókna utan hefðbundinnar klínískrar vinnu á spítalanum. Í kjölfarið hóf stofnunin frumkvæðisathugun sem tilkynnt var um með bréfi 7. október 2020. Athugunin laut að blóðsýnatöku úr COVID-19-sjúklingum á Landspítala dagana 3. til 7. apríl sama ár og öflun samþykkis þeirra í þágu vísindarannsóknar sem og hvort vinnsla persónuupplýsinga í tengslum við sýnatökurnar hefði verið með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráðu. Var henni beint að áfrýjanda og Landspítala. Í fyrrgreindu bréfi Persónuverndar var kallað eftir skýringum Landspítala og áfrýjanda. Bárust svör þeirra 10. nóvember og 11. desember sama ár. Persónuvernd kallaði jafnframt eftir frekari skýringum Landspítala með bréfum 11. mars og 22. júní 2021 sem svarað var 24. mars og 1. september sama ár. Einnig óskaði Persónuvernd eftir skýringum vísindasiðanefndar sem bárust 16. mars 2021.

15. Í ákvörðun stefnda Persónuverndar 23. nóvember 2021 kom meðal annars fram að skýringar í tengslum við blóðsýnatökuna stönguðust hverjar á við aðrar. Þá lægi fyrir að rannsóknarviðbótin hefði verið samþykkt af vísindasiðanefnd eftir að blóðsýni hefðu verið tekin í þágu rannsóknarviðbótarinnar. Vinnsla persónuupplýsinga á tímabilinu 3. til 7. apríl 2020 hefði því ekki fullnægt kröfu um að persónuupplýsingar skyldu unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráðu, sbr. 1. tölulið 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, svo og kröfunni um skýrt tilgreindan tilgang með vinnslu, sbr. 2. tölulið 1. mgr. 8. gr. laganna og b-lið 1. mgr. 5. gr. reglugerðarinnar.

Málsástæður

Helstu málsástæður áfrýjanda og stefnda Landspítala

16. Áfrýjandi byggir á að blóðsýnatakan 3. til 7. apríl 2020 hafi verið í klínískum tilgangi. Á þeim tíma hafi verið óvissa um framgang COVID-19-sjúkdómsins og meðferð vegna hans. Starfsmenn áfrýjanda hafi einungis unnið sýnin að beiðni Landspítala en áfrýjandi unnið fjölbreytta vinnu í þágu stjórnvalda, sóttvarnalæknis og Landspítala og veitt margþætta ráðgjöf á þessum tíma. Þá hafi niðurstöður áfrýjanda nýst við undirbúning sóttvarna og útfærslu samkomutakmarkana. Það hafi verið á grundvelli laga nr. 40/2007 um heilbrigðisþjónustu og rannsóknarheimilda sóttvarnalaga nr. 19/1997 og áfrýjandi hefði mátt vera í góðri trú um að unnið væri á grundvelli þeirra laga. Blóðsýnin sem Landspítali geymdi í frystigeymslum áfrýjanda hafi auk þess verið heilsufarsgögn án persónuauðkenna sem enga vinnslu hafi verið hægt að framkvæma á eða vinna fyrr en 8. apríl 2020 eftir að tengiskrá fyrstu sýnanna hafði borist frá dulkóðunarstjóra Þjónustumiðstöðvar rannsóknarverkefna.

17. Einnig hafi ákvörðun Persónuverndar byggst á rangri forsendu um að fyrrgreindum blóðsýnum hafi fyrst og fremst verið safnað í þágu vísindarannsóknar. Vísindasiðanefnd hafi metið upphaflegu umsóknina sem gagnarannsókn og jafnframt talið að blóðsýnum hafi verið safnað í klínískum tilgangi. Það falli undir valdsvið vísindasiðanefndar að meta hvort um sé að ræða rannsókn á mönnum, gagnarannsókn eða rannsókn sem er hvort tveggja í senn, rannsókn á mönnum og gagnarannsókn. Því hafi Persónuvernd farið út fyrir valdsvið sitt við töku hinnar umdeildu ákvörðunar auk þess sem við meðferð málsins hafi verið brotið gegn rannsóknarreglu stjórnsýsluréttar og ekki gætt að andmælarétti áfrýjanda. Í ákvörðuninni hafi Persónuvernd vísað til þess að skýringar í tengslum við blóðsýnatökuna hafi stangast hverjar á við aðrar. Samkvæmt viðurkenndum sjónarmiðum í stjórnsýslurétti eigi slíkt undantekningarlaust að leiða til frekari rannsóknar á málinu og að komist sé fyrir slíkt misræmi og orsakir þess. Þessa hafi Persónuvernd ekki gætt.

18. Landspítali tekur undir málsástæður og sjónarmið áfrýjanda. Hann áréttar að gerðar hafi verið ýmsar ráðstafanir á spítalanum við meðferð COVID-19-sjúklinga. Meðal þeirra hafi verið dagleg taka blóðsýna úr slíkum sjúklingum enda um nýjan, alvarlegan og óþekktan sjúkdóm að ræða. Blóðsýnataka úr sjúklingum dagana 3. til 7. apríl 2020 hafi því verið í meðferðartilgangi og óháð þeirri viðbótarrannsókn sem mál þetta varði. Getið hafi verið um hana í sjúkraskrá en ekki um niðurstöður þar sem sýnin hafi á endanum ekki nýst til mælinga. Það breyti þó engu um upphaflegan meðferðartilgang sýnatökunnar.

Helstu málsástæður stefnda Persónuverndar

19. Persónuvernd byggir á að tekin hafi verið blóðsýni úr COVID-19-sjúklingum á Landspítala 3. til 7. apríl 2020 í þágu vísindarannsóknar auk tengdrar vinnslu persónuupplýsinga án þess að aflað hafi verið samþykkis sjúklinga og án leyfis vísindasiðanefndar. Í ákvörðun Persónuverndar hafi meðal annars verið tekið fram að lög nr. 44/2014 giltu um framkvæmd vísindarannsókna á heilbrigðissviði. Fara bæri eftir þeirri löggjöf þótt heimsfaraldur geisaði. Hins vegar hafi verið uppi sérstakar aðstæður í íslensku samfélagi sem réttlættu að málið væri ekki sett í sektarfarveg. Samkvæmt 3. mgr. 2. gr. laga nr. 44/2014 gildi lög um persónuvernd og vinnslu persónuupplýsinga á sviði vísindarannsókna á heilbrigðissviði að svo miklu leyti sem annað sé ekki ákveðið í lögunum. Við öflun samþykkis fyrir vinnslu persónuupplýsinga í vísindarannsókn á heilbrigðissviði samkvæmt lögum nr. 44/2014 beri því að fara að öllum kröfum persónuverndarlöggjafarinnar nema að því marki sem lögin kunna að hafa að geyma sérreglur. Lög nr. 44/2014 hafi ekki að geyma slíkar sérreglur.

20. Persónuvernd byggir einnig á því að hún hafi sinnt rannsóknarskyldu sinni. Ítrekað hafi verið leitað eftir skýringum Landspítala vegna þess misræmis sem var í skýringum einstakra aðila sem stofnuninni bárust við rannsókn málsins, einkum um hvort blóðsýni hefðu nýst við meðferð sjúklinga. Þá hafi áfrýjanda ítrekað verið gefinn kostur á að koma skýringum sínum að með fullnægjandi hætti við meðferð málsins. Hann hafi hins vegar ekki sýnt fram á að vinnulag við öflun samþykkis vegna blóðsýnatökunnar og vinnsla persónuupplýsinga í tengslum við hana hafi verið lögmæt á grundvelli annarra lagaheimilda, svo sem á grundvelli þágildandi sóttvarnalaga. Það stoði ekki fyrir áfrýjanda að lýsa því að vinna af hans hálfu fyrir stjórnvöld, sóttvarnalækni og Landspítala hafi verið víðtæk og fjölþætt. Fyrir liggi að starfsmenn áfrýjanda hafi verið á sólarhringsvöktum við að flytja blóð úr sjúklingum frá spítalanum til áfrýjanda án samþykkis þeirra.

21. Loks byggir Persónuvernd á að ætluð góð trú eða neyðarréttur geti ekki leyst áfrýjanda undan því að taka ábyrgð á að meðferð persónuupplýsinga í tengslum við framkvæmd vísindarannsóknar uppfylli kröfur laga nr. 90/2018 og persónuverndarreglugerðarinnar.

Um málatilbúnað aðila

22. Fyrir héraðsdómi krafðist Landspítali sýknu af kröfu áfrýjanda. Undir rekstri málsins þar lýsti hann því yfir að hann myndi ekki láta málið til sín taka. Það gerði hann einnig fyrir Landsrétti. Fyrir Hæstarétti krefst hann þess hins vegar að fallist verði á kröfur áfrýjanda.

23. Varnaraðila máls er ætíð heimilt að breyta kröfum sínum og málatilbúnaði til ívilnunar fyrir sóknaraðila. Við flutning málsins fyrir Hæstarétti samþykkti áfrýjandi kröfur Landspítalans og málatilbúnað hans. Sú breyting var til hagsbóta fyrir áfrýjanda. Var grundvelli málsins ekki raskað með þessu enda byggir Landspítali á sömu málsástæðum og áfrýjandi tefldi fram í stefnu málsins.

Niðurstaða

Rannsóknir áfrýjanda á COVID-19-sjúkdómnum

24. Ágreiningur aðila lýtur einkum að því hvort hafin hafi verið vísindarannsókn áður en samþykki vísindasiðanefndar var veitt 7. apríl 2020. Verður því fyrst fjallað um meðferð umsóknar áfrýjanda til vísindasiðanefndar þar að lútandi.

25. Fyrir liggur að vísindasiðanefnd samþykkti 23. mars 2020 rannsóknina „Faraldsfræði SARS-CoV-2 veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19 sjúkdóminn sem hún veldur“. Vísindasiðanefnd barst umsókn áfrýjanda um viðbót 1 við þá rannsókn 2. apríl sama ár sem var samþykkt 7. sama mánaðar. Í báðum tilvikum óskaði vísindasiðanefnd eftir umsögn Persónuverndar eins og nefndinni var skylt eftir þágildandi 1. mgr. 13. gr. laga nr. 44/2014 án þess að athugasemdir væru gerðar af hálfu stofnunarinnar.

26. Við meðferð vísindasiðanefndar á viðbótarumsókninni óskaði hún 3. apríl 2020 eftir frekari upplýsingum frá áfrýjanda, meðal annars um hvort sýna yrði aflað frá einstaklingum áður en þeim yrði boðin þátttaka í henni. Í svari starfsmanns áfrýjanda sama dag kom fram að sýnataka og mælingar væru vegna klínískrar vinnu á Landspítala sem áfrýjandi myndi annast að hluta til. Með umsókninni hefði áfrýjandi viljað tryggja að leyfi lægi fyrir því að sýni væru tekin, unnin og varðveitt í þeim tilgangi að auk mælinga fyrir klíníska vinnu yrði hægt að nota þau, svo og niðurstöður mælinga á þeim, til vísindarannsókna. Myndi áfrýjandi sækja um leyfi vísindasiðanefndar fyrir vísindarannsóknum sem byggðust á viðkomandi sýnum og niðurstöðum mælinga þeirra. Þá svaraði starfsmaðurinn fyrirspurn vísindasiðanefndar 6. sama mánaðar um fyrirkomulag vinnslu blóðsýna auk þess sem áfrýjandi áframsendi nefndinni sama dag staðfestingu sóttvarnalæknis á mikilvægi þess að blóðsýna væri aflað til mótefnamælinga og próteingreininga á vegum áfrýjanda. Kom þar fram að slík mæling myndi nýtast embætti hans og Landspítala til vísindarannsókna að fengnum tilskildum leyfum.

27. Meðal gagna málsins er bréf fyrrgreinds starfsmanns áfrýjanda til vísindasiðanefndar 12. apríl 2020 vegna munnlegrar fyrirspurnar framkvæmdastjóra nefndarinnar um hvort blóðsýni hefðu verið tekin vegna vísindarannsóknar áður en undirritun samþykkisyfirlýsinga fyrir þátttöku í rannsókninni lágu fyrir. Þar er vísað til fyrri upplýsinga um að sýnataka og mælingar hefðu farið fram vegna klínískrar vinnu á Landspítala sem áfrýjandi hefði annast að hluta auk þess sem niðurstöður myndu einnig nýtast sóttvarnalækni. Sýnin hefðu verið tekin vegna þjónustu við Landspítalann, unnin og skömmtuð áður en upplýst samþykki hefði verið undirritað. Þá skammta sem ekki voru nýttir til þjónustu væri fyrirhugað að nýta til vísindarannsókna. Í bréfinu er jafnframt óskað upplýsinga um hvort nefndin teldi að eyða ætti þeim sýnum sem aflað hefði verið vegna þjónustu við Landspítala og sóttvarnalækni áður en undirritaðs upplýsts samþykkis hefði verið aflað. Óumdeilt er að fyrrgreindu erindi var ekki svarað af hálfu vísindasiðanefndar eða fyrirmæli um eyðingu blóðsýnanna gefin.

28. Af fyrrgreindum samskiptum áfrýjanda og vísindasiðanefndar liggur fyrir að nefndin tók til sérstakrar skoðunar hvort hafin væri vísindarannsókn í skilningi 1. töluliðar 1. mgr. 3. gr. laga nr. 44/2014 áður en umsókn áfrýjanda var samþykkt 7. apríl 2020 og kannaði það jafnframt að eigin frumkvæði í kjölfarið. Af forsendum ákvörðunar Persónuverndar 23. nóvember 2021 má ráða að stofnunin hafi tekið þá niðurstöðu vísindasiðanefndar til efnislegrar endurskoðunar meðal annars í ljósi gagna og skýringa sem stofnunin aflaði við frumkvæðisathugun sína og þá einnig frá Landspítala. Áður en fjallað er um heimildir Persónuverndar að þessu leyti verður því að víkja að þeim gögnum sem fyrir liggja um öflun blóðsýnanna fyrrgreinda daga á Landspítala.

Söfnun blóðsýna á Landspítala dagana 3. til 7. apríl 2020

29. Í umsókn áfrýjanda 2. apríl 2020 um rannsóknarviðbót 1 var óskað eftir leyfi til að taka serum- og plasmasýni úr sjúklingum sem hefðu greinst með COVID-19-sjúkdóminn. Var afrit umsóknarinnar sent Má Kristjánssyni, ábyrgðarmanni rannsóknarinnar og yfirlækni smitsjúkdómadeildar á Landspítalanum. Sama dag sendi hann tölvubréf til starfsmanna spítalans með fyrirmælum um að nýtt fyrirkomulag blóðsýnatöku skyldi hefjast daginn eftir. Var um það vísað til leyfis vísindasiðanefndar og samstarfssamnings milli spítalans og áfrýjanda um rannsókn á faraldsfræði COVID-19-sýkingar, klínískum einkennum og viðbrögðum sjúklinga í sjúkdómsganginum. Verður að leggja til grundvallar að með tilvísun til leyfis vísindasiðanefndar hafi verið átt við fyrrgreint samþykki nefndarinnar 23. mars 2020 fyrir gagnarannsókn. Til viðbótar þessu kom fram í bréfinu að liður í því að afla gagna væri að taka blóðsýni úr sjúklingum daglega og væru áform um að gera „„proteomics“ og mótefnamælingar með framangreindum prufum“. Lífeindafræðingur frá áfrýjanda á rannsóknarstofu tæki við sýnum, spynni niður og kæmi í kæli. Myndi fyrirkomulagið hefjast daginn eftir.

30. Fyrir Hæstarétti hefur Landspítali vísað til þess að þótt skilja megi orðalag fyrrgreinds tölvubréfs á þann hátt að blóðsýnatakan hafi hafist 3. apríl 2020 sé það ekki alls kostar nákvæmt. Blóðsýni hafi verið tekin daglega úr COVID-19-sjúklingum á spítalanum bæði fyrir og eftir fyrrgreint tímabil. Það hafi verið liður í meðferð og söfnun upplýsinga vegna nýs og óþekkts sjúkdóms. Þannig hafi Ólafur Baldursson framkvæmdastjóri lækninga með tölvubréfi sama dag falið yfirlækni rannsóknarkjarna Landspítala að tryggja að til væru sýni úr blóði COVID-19-sjúklinga svo að hver og einn sjúklingur gæti fengið mikilvæg prótein mæld úr sínu sýni ef á það reyndi að slíkar niðurstöður gætu haft úrslitaáhrif á meðferð eða bólusetningu sjúklinga. Um aðra nýtingu sýnanna sem yrðu til með þessum hætti á vegum Landspítala, svo sem vegna vísindarannsókna, giltu reglur spítalans um vísindarannsóknir og þyrfti að sækja um nýtingu sýnanna sérstaklega í þeim tilgangi. Í svari yfirlæknisins sama dag hefði einnig komið fram að spítalinn myndi koma upp sýnasöfnum þar sem hluti af því sermi sem tekið væri aukalega úr hverjum COVID-19-sjúklingi yrði sett í frysti sem smitsjúkdómadeildin hefði yfir að ráða.

31. Samkvæmt nýju skjali fyrir Hæstarétti sendi fyrrgreindur framkvæmdastjóri lækninga einnig tölvubréf til starfsmanna spítalans 6. apríl 2020 þar sem fram kom að það væri skilningur hans að spítalinn ætti að eiga í sinni vörslu blóðsýni úr öllum COVID-19-sjúklingum „til að nota síðar í klínískum tilgangi ef upp koma aðferðir eða ný þekking, sem gerir það að verkum að mæla þurfi prótein/mótefni eða annað úr sýnum“. Afar brýnt væri að COVID-19-skjólstæðingar spítalans gætu treyst því að hann geymdi eitt sýni úr hverjum þeirra til hugsanlegra nota síðar. Óvissa ríkti um meingerð sjúkdómsins og ekki verjandi að bjóða ekki upp á þennan möguleika fyrir sjúklinga spítalans í hreinum klínískum tilgangi.

32. Eins og rakið er í framangreindum samskiptum starfsmanna Landspítala 2. til 7. apríl 2020 voru þar tekin blóðsýni daglega úr COVID-19-sjúklingum. Af þeim gögnum sem lögð voru fram við meðferð málsins fyrir Hæstarétti má ráða að getið hafi verið í sjúkraskrá um töku blóðsýna og eftir atvikum sendingu þeirra til áfrýjanda, sbr. 8. tölulið 1. mgr. 6. gr. laga nr. 55/2009 um sjúkraskrár. Einnig liggur fyrir að tekin hafi verið sú ákvörðun af hálfu Landspítalans að geyma hluta sýnanna í þeim tilgangi að rannsaka nánar ef á þyrfti að halda í meðferðarskyni, meðal annars vegna þeirrar óvissu sem ríkti um sjúkdóminn á þessum tíma. Haggar það ekki þessari ályktun þótt engar slíkar rannsóknir hafi að lokum verið gerðar og því ekki um að ræða niðurstöður sem færa bar í sjúkraskrá.

33. Með hliðsjón af því víðtæka samstarfi Landspítala, sóttvarnalæknis og áfrýjanda eftir að COVID-19-faraldurinn kom upp hér á landi, vinnslusamningum sem gerðir höfðu verið við áfrýjanda svo og málatilbúnaði Landspítalans verður jafnframt að leggja til grundvallar að á tímabilinu 3. til 7. apríl 2020 hafi meðferð og varðveisla blóðsýna hjá áfrýjanda alfarið verið í þágu Landspítalans.

34. Því næst verður fjallað um hina umdeildu ákvörðun Persónuverndar, einkum hvort stofnuninni hafi verið rétt að leggja efnislegt mat á hvort umræddra blóðsýna hefði verið aflað í þágu vísindarannsóknar áður en leyfi til hennar lá fyrir.

Lögbundið hlutverk vísindasiðanefndar og Persónuverndar

35. Fjallað er um vísindasiðanefnd í III. kafla laga nr. 44/2014. Hlutverk nefndarinnar er samkvæmt 1. mgr. 10. gr. laganna að meta vísindarannsóknir á heilbrigðissviði í þeim tilgangi að tryggja að þær samrýmist vísindalegum og siðfræðilegum sjónarmiðum. Einnig segir í 9. gr. að þess skuli gæta að innan nefndarinnar séu aðilar með sérþekkingu á sviði aðferðafræði heilbrigðisvísinda, siðfræði, lögfræði og persónuverndar. Þá kemur fram í 1. mgr. 10. gr. laganna að leiki vafi á hvort um vísindarannsókn á heilbrigðissviði er að ræða skeri nefndin úr um það.

36. Persónuvernd er eftirlitsstjórnvald, sbr. 39. gr. laga nr. 90/2018, og annast eftirlit með framkvæmd laganna, persónuverndarreglugerðarinnar, sérákvæða í lögum sem fjalla um vinnslu persónuupplýsinga og annarra reglna sem við eiga. Í 30. gr. laga nr. 44/2014 segir jafnframt að Persónuvernd hafi eftirlit með vinnslu persónuupplýsinga í vísindarannsóknum. Samkvæmt 3. mgr. 2. gr. laganna gilda lög um persónuvernd og vinnslu persónuupplýsinga að svo miklu leyti sem annað er ekki ákveðið í þeim.

37. Í 12. gr. laga nr. 44/2014 segir að ekki sé heimilt að hefja vísindarannsókn á heilbrigðissviði nema vísindasiðanefnd eða siðanefnd heilbrigðisrannsókna hafi veitt leyfi fyrir rannsókninni. Í 1. mgr. 13. gr. laganna eins og þau voru þegar atvik máls þessa áttu sér stað kom meðal annars fram að vísindasiðanefnd og siðanefndir heilbrigðisrannsókna skyldu senda Persónuvernd yfirlit yfir umsóknir um leyfi til vísindarannsókna. Með lögum nr. 98/2024 var þessu fyrirkomulagi breytt og er vísindasiðanefnd nú samkvæmt 2. mgr. 13. gr. laganna heimilt en ekki skylt að senda Persónuvernd umsóknir um vísindarannsóknir og óska eftir umsögn stofnunarinnar ef vafi leikur á um hvort vísindarannsókn á heilbrigðissviði uppfylli skilyrði laga um persónuvernd og vinnslu persónuupplýsinga. Þá setti Persónuvernd reglur um öryggi persónuupplýsinga við framkvæmd vísindarannsókna á heilbrigðissviði samkvæmt heimild í þágildandi 3. mgr. 13. gr. laganna, sbr. nú 1. mgr. 13. gr. laganna.

38. Samkvæmt þessu mæla lög fyrir um ákveðna verkaskiptingu Persónuverndar og vísindasiðanefndar vegna vísindarannsókna á heilbrigðissviði. Þannig liggur fyrir að Persónuvernd hefur ríkar skyldur til eftirlits með því að gætt sé að vernd persónuupplýsinga við framkvæmd slíkra rannsókna. Svo að stofnunin geti rækt lögbundið eftirlit sitt með vinnslu persónuupplýsinga hefur með fyrrgreindum reglum laga nr. 44/2014 verið komið á formlegu samstarfi stofnunarinnar og vísindasiðanefndar. Þannig bar nefndinni við móttöku umsóknar um vísindarannsókn á heilbrigðissviði að framsenda hana Persónuvernd. Eftir þá breytingu sem gerð var með lögum nr. 98/2024 metur vísindasiðanefnd hins vegar hverju sinni hvort þess gerist þörf. Slík framsending umsóknar um leyfi til rannsóknar getur eftir atvikum leitt til þess að ekki skuli gefa út leyfi ef meðferð persónuupplýsinga telst að mati stofnunarinnar brjóta í bága við reglur um persónuvernd og meðferð persónuupplýsinga. Aftur á móti leiðir af lögum nr. 44/2014 að það er vísindasiðanefndar að skera endanlega úr um hvort um vísindarannsókn á heilbrigðissviði sé að ræða og veita leyfi fyrir henni eftir atvikum að fenginni fyrrgreindri afstöðu Persónuverndar.

Niðurstaða um gildi ákvörðunar Persónuverndar 23. nóvember 2021

39. Persónuvernd getur fjallað um einstök mál og tekið í þeim ákvörðun að eigin frumkvæði, sbr. 3. mgr. 39. gr. laga nr. 90/2018. Sem fyrr segir hófst frumkvæðisathugun stofnunarinnar með bréfi til Landspítala og áfrýjanda 7. október 2020.

40. Við meðferð málsins óskaði Persónuvernd eftir upplýsingum frá vísindasiðanefnd með bréfi 11. mars 2021. Var annars vegar spurt um hvort fyrir lægi sú afstaða nefndarinnar sem kallað var eftir í fyrrgreindu bréfi áfrýjanda 12. apríl 2020 og hins vegar hvers vegna Persónuvernd hefði ekki verið veitt færi á að veita umsögn um geymslu sýna sem tekin voru fyrir 7. apríl 2020. Í svari vísindasiðanefndar sagði meðal annars:

Niðurstaða vísindasiðanefndar var að sýni sem um ræðir voru tekin í meðferð og þau síðan notuð í vísindarannsókn. Þannig var ekki talin ástæða til að hafa frekara samband við Íslenska erfðagreiningu út af málinu. Nefndin leit á þessi sýni sem fyrirliggjandi gögn, sýni sem upphaflega voru tekin í meðferðarskyni. Það væri því ekki á færi nefndarinnar að gefa fyrirmæli um eyðingu þeirra sem klínískra sýna. Hvað seinni töluliðinn varðar þá var umsókn til nefndarinnar um ofangreinda vísindarannsókn sem og allar viðbætur framsend til Persónuverndar á grundvelli laga nr. 44/2014 og gerði Persónuvernd ekki athugasemdir við að nefndin tæki erindin til efnislegrar umfjöllunar.

41. Þegar um er að ræða mögulegt inngrip stjórnvalda í mikilvæg réttindi, eftir atvikum með heimildum til stjórnvaldssekta, skiptir máli hvert er nánara eðli og inntak þeirra hagsmuna sem fyrirhuguð ákvörðun varðar, hverjar réttmætar væntingar hlutaðeigandi eru og jafnframt hvernig staðið er að undirbúningi og rannsókn. Þá ber stjórnvöldum að taka ákvörðun á réttum lagagrundvelli, gæta málefnalegra sjónarmiða og almennrar meðalhófsreglu stjórnsýsluréttar við meðferð valdheimilda sinna.

42. Sem fyrr segir taldi vísindasiðanefnd að öflun blóðsýna dagana 3. til 7. apríl 2020 hefði verið í klínískum tilgangi og því ekki á færi nefndarinnar að mæla fyrir um eyðingu þeirra. Hefur því mati nefndarinnar ekki verið hnekkt auk þess sem þessi afstaða nefndarinnar lá fyrir Persónuvernd áður en stofnunin tók ákvörðun sína 23. nóvember 2021.

43. Þrátt fyrir víðtækt eftirlitshlutverk og ríkar valdheimildir Persónuverndar gat frumkvæðiseftirlit stofnunarinnar, að gættu því lögbundna hlutverki sem hún gegnir andspænis lögbundnu hlutverki vísindasiðanefndar, ekki náð til þess að Persónuvernd endurmæti í reynd hvað teldist vísindarannsókn á heilbrigðissviði, hvort slík rannsókn teldist hafin eða eftir atvikum hvort gagna hefði verið aflað í þágu slíkrar rannsóknar. Það mat fór vísindasiðanefnd með samkvæmt lögum nr. 44/2014. Af þessu leiðir að Persónuvernd gat ekki lagt til grundvallar ákvörðun sinni eigið mat á þeim gögnum sem fyrir lágu í málinu og komist að annarri niðurstöðu en vísindasiðanefnd hafði gert áður um hvort blóðsýna hefði verið aflað í þágu vísindarannsóknar.

44. Fyrir liggur einnig að við rannsókn málsins aflaði Persónuvernd ekki frekari upplýsinga frá áfrýjanda eftir að tilkynnt hafði verið um upphaf frumkvæðisathugunar. Var þó ríkt tilefni til þess í ljósi misræmis sem fram hafði komið í svörum aðila stjórnsýslumálsins. Var það ekki samrýmanlegt rannsóknarskyldu Persónuverndar samkvæmt 10. gr. stjórnsýslulaga að byggja ákvörðun sína að verulegu leyti á þessu misræmi og þá með þeim afleiðingum að áfrýjandi og Landspítali bæru halla af.

45. Að öllu framangreindu gættu er fallist á kröfu áfrýjanda um að ógilda ákvörðun stefnda Persónuverndar 23. nóvember 2021.

46. Eftir þessum úrslitum verður stefnda Persónuvernd gert að greiða áfrýjanda málskostnað sem verður ákveðinn í einu lagi á öllum dómstigum eins og í dómsorði greinir. Málskostnaðarkrafa er ekki gerð á hendur stefnda Landspítala.

Dómsorð:

Ógilt er ákvörðun stefnda Persónuverndar 23. nóvember 2021 í máli nr. 2020061951 með eftirfarandi ákvörðunarorði: „Vinnsla persónuupplýsinga Landspítala og Íslenskrar erfðagreiningar í aðdraganda viðbótar við rannsóknina Faraldsfræði SARS-CoV-2-veirunnar og áhrif erfða og undirliggjandi sjúkdóma á COVID-19-sjúkdóminn sem hún veldur, sem samþykkt var af vísindasiðanefnd 7. apríl 2020, samrýmdist ekki lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, sbr. reglugerð (ESB) 2016/679.“

Stefndi, Persónuvernd, greiði áfrýjanda, Íslenskri erfðagreiningu ehf., samtals 4.000.000 króna vegna reksturs málsins á öllum dómstigum.