Landlæknir í hart gegn Persónuvernd: „Ákvörðunin grefur undan öryggismenningu“

Embætti land­læknis krefst ógild­ingar á úrskurði Per­sónu­verndar frá því í fyrra en málið snýr að örygg­is­veik­leika á Heilsu­veru.

Per­sónu­vernd lagði stjórn­valds­sekt að upp­hæð 12.000.000 króna, á emb­ætti land­læknis vegna örygg­is­veik­leika í upp­lýs­inga­vefnum Heilsu­veru þann 27. júlí árið 2023. Hafði þá emb­ættið til­kynnt um örygg­is­brest er tveir ein­stak­lingar náðu sér í gögn sér óvið­kom­andi.

Embætti land­læknis sendi rétt í þessu frá sér frétta­til­kynn­ingu þar sem emb­ættið krefst ógild­ingar á úrskurði Per­sónu­verndar. Embættið telur ákvörð­un­ina efn­is­lega ranga, sam­kvæmt til­kynn­ing­unni og að með­ferð Per­sónu­verndar á mál­inu ekki „sam­boðna þeim reglum sem eru til grund­vallar íslensku rétt­ar­ríki,“ eins og það er orðað í frétta­til­kynn­ing­unni.

Enn­fremur segir í til­kynn­ing­unni að standi ákvörðun Per­sónu­verndar óhögguð, meðal ann­ars til þess fallin að grafa undan örygg­is­menn­ingu og per­sónu­vernd á land­inu og fæla ann­ars ábyrga aðila frá því að til­kynna um örygg­is­bresti og atvik sem snerta öryggi upp­lýs­inga­kerfa. Embættið segir einnig að ákvörð­unin hafi „veikt stöðu stofn­ana þjóð­fé­lags­ins sem reka og hafa umsjón með mik­il­vægum upp­lýs­inga­kerfum og dregið úr mik­il­vægu hlut­verki Per­sónu­verndar sem er að standa vörð um per­sónu­upp­lýs­ingar lands­manna.“

Þá gerir emb­ætti land­læknis alvar­legar og marg­vís­legar athuga­semdir við máls­með­ferð og starfs­hætti Per­sónu­verndar í mál­inu. Segist emb­ættið ekki skor­ast undan ábyrgð í mál­inu enda hafi verið tekið á því um leið og það kom upp.

Hér má lesa frétta­til­kynn­ing­una í heild sinni:

Frétta­til­kynn­ing 22. apríl 2024

Embætti land­læknis hefur ákveðið að krefj­ast þess fyrir Hér­aðs­dómi Reykja­víkur að ógild verði með dómi ákvörðun Per­sónu­verndar dags. 27. júlí 2023.  Telur emb­ættið ákvörð­un­ina vera efn­is­lega ranga. Málið tekur til örygg­is­veik­leika í upp­lýs­inga­kerf­inu Heilsu­veru. 

Embættið telur með­ferð Per­sónu­verndar á umræddu máli ekki sam­boðna þeim reglum sem eru til grund­vallar íslensku rétt­ar­ríki. 

Þá er ákvörðun Per­sónu­verndar, standi hún óhögguð, m.a. til þess að fallin að grafa undan örygg­is­menn­ingu og per­sónu­vernd hér á landi og fæla ann­ars ábyrga aðila frá því að til­kynna um örygg­is­bresti og atvik er varða öryggi upp­lýs­inga­kerfa. Þetta getur veikt stöðu stofn­ana þjóð­fé­lags­ins sem reka og hafa umsjón með mik­il­vægum upp­lýs­inga­kerfum og dregið úr mik­il­vægu hlut­verki Per­sónu­verndar sem er að standa vörð um per­sónu­upp­lýs­ingar lands­manna. 

Embætti land­læknis gerir marg­vís­legar og alvar­legar athuga­semdir við starfs­hætti og máls­með­ferð Per­sónu­verndar í mál­inu. Þar á meðal telur emb­ættið að bæði form- og efn­isann­markar séu á ákvörðun Per­sónu­verndar, for­sendur ákvörð­un­ar­innar séu rangar og að rann­sókn máls­ins af hálfu Per­sónu­verndar hafi verið ófull­nægj­andi. Að auki byggi sekt­ar­á­kvörðun á ólög­mætum og ómál­efna­legum sjón­ar­miðum. Þá telur emb­ætti land­læknis mik­il­vægt að fá umfjöllun dóm­stóla um ýmis þau atriði per­sónu­vernd­ar­laga sem uppi eru í þessu máli og máli skipta bæði fyrir emb­ætti land­læknis og almennt séð.

Embættið skor­ast ekki undan ábyrgð hvað varðar umræddan örygg­is­veik­leika. Við honum var brugð­ist með skjótum og fum­lausum hætti og með ítar­legri grein­ingu. Þá var stað­reynt að eng­inn mis­not­aði örygg­is­veik­leik­ann og að þær afmörk­uðu per­sónu­upp­lýs­ingar not­enda Heilsu­veru sem örygg­is­veik­leik­inn náði til lentu ekki í höndum ein­stak­linga sem reyndu að nýta þær í ólög­mætum til­gangi. Þannig leiddi örygg­is­veik­leik­inn til minni­háttar örygg­is­brests sem Per­sónu­vernd var til­kynnt um sam­dæg­urs.