Læknablaðið - 15.10.2001, Blaðsíða 47

FRÆÐIGREINAR / PERSÓNUGREINING í GAGNAGRUNNI
Þetta stenst ekki. Dulkóðun í eina átt merkir ekki
að ekki sé til lykill. Dulkóðun í eina átt merkir ein-
ungis að erfitt eða reiknifrekt er að rekja sig beint til
baka frá fastanúmeri að kennitölu eða nafni. Með því
að taka þessa skilgreiningu inn er verið að koma
aftur með hugmyndina að „verulegan tíma og mann-
afla“ þurfi til. Þeirri hugmyndafræði var tölvunefnd
þegar búin að hafna enda er hún ekki hluti að tilskip-
un ESB. Þvert á móti ber að taka mið af öllum þeim
aðferðum sem með sanngirni má hugsa sér líklegt að
ábyrgðaraðili eða hvaða annar aðili sem er kynni að
beita til að bera kennsl á einstaklinginn (8).
Embættismenn ríkisins, sem falið er að framfylgja
þessum lögum, halda því sumir fram að í skilningi
laganna sé um ópersónugreinanleg gögn að ræða.
Sumir gagnrýnendur hafa kallað þetta flatjarðar-
kenninguna: ef lagatexti fullyrðir að jörðin sé flöt þá
er hún flöt í skilningi laganna. Par sem gagnagrunns-
lögin segi að dulkóðun í eina átt merki umbreytingu
persónuauðkenna í fastanúmer sem ekki sé hægt að
rekja til baka með greiningarlykli að þá sé ekki til
lykill í skilningi laganna.
1.6. Viðurkennt að lykill er enn til
Bæði Kári Stefánsson og heilbrigðishópur gagna-
grunnsdeildar íslenskrar erfðagreiningar hafa nýlega
staðfest að lykill er til. í viðtali við Kára Stefánsson í
New Scientist 15. júlí 2000 (11) segir hann varðandi
samtengingu erfðaupplýsinga við heilsufarsuplýsing-
ar:
„Once we have identified a family with one of
these diseases, what we will do is to go to those
people and ask them to give us blood so that we
can isolate DNA.... When we do this, we will ask
for their permission to cross-reference their
names with the help of the health-care database.
But in order to do this, we will have to get their
explicit, signed consent.
(NS:) Does this mean that you can identify
individuals from the database?
No. The information in the database will be
encrypted and the keys will be kept by the Data
Protection Commission of Iceland."
Kári Stefánsson viðurkennir því að til séu lyklar
og segir að þeir verði í vörslu Persónuverndar. Lykl-
arnir eru sagðir vera í vörslu annars aðila en þess sem
hefur gögnin. Þeirri hugmyndafræði hafði tölvunefnd
þegar hafnað þegar hún sagði það „engu máli skipta,
hvort sá aðili, sem upplýsingarnar hefur undir hönd-
um, hefur aðgang að greiningarlyklinum eða ekki.“.
I grein í Morgunblaðinu 27. febrúar 2001 (12)
segir heilbrigðishópur ÍE að heilsufarsupplýsingar
verði gerðar ópersónugreinanlegar:
„Mjög háþróaðar tæknilausnir hafa verið hannað-
ar og verða notaðar til að þrídulkóða kennitölu
einstaklinga í eina átt. Hver dulkóðun er gerð eftir
sérstökum dulkóðunarlykli sem stenst afar
strangar tæknilegar öryggiskröfur. Til að afkóða
kennitöluna og persónugreina þannig heilsufars-
upplýsingar sem einnig eru kóðaðar og dulkóðað-
ar þyrfti að nota alla þrjá lyklana í réttri röð. Svo
að slíkt geti ekki gerst er gert ráð fyrir að dulkóð-
unarlyklarnir verði í höndum þriggja mismunandi
aðila (heilbrigðisstofnananna sjálfra, Persónu-
verndar og IE). Þessi sjálfvirka þrefalda dulkóðun
brenglar kennitölur þannig að mögulegt verður að
uppfæra gögn einstaklinga þegar þau koma í
MGH (Miðlægan Gagnagrunn á Heilbrigðis-
sviði), án þess þó að þau verði nokkurn tíma per-
sónugreinanleg eftir að þau eru afrituð úr sjúkra-
skýrslum. Þrátt fyrir slíkar öryggisráðstafanir sem
fullyrða má að séu einstakar í sögu íslenskra vís-
indarannsókna draga jafnvel aðilar, sem kunnugir
eru vísindarannsóknum af þessu tagi, í efa að
gögnin verði í raun ópersónugreinanleg."
Hér viðurkennir einnig starfshópur ÍE að til eru
lyklar að upplýsingunum og að unnt er að persónu-
greina einstaklinga með því að beita lyklunum. Að
segja að „afar strangar tæknilegar öryggiskröfur“ séu
gerðar merkir væntanlega að „verulegan tíma og
mannafla“ þyrfti til að brjóta kóðann. Vel má vera að
svo sé en þeirri hugmyndafræði hafnaði tölvunefnd
og hún kemur málinu ekki lengur við, enda er sú hug-
myndafræði ekki hluti af tilskipun ESB.
1.7. Persónugreinanleg gögn
Eftir að hafa rakið þessa sögu er niðurstaða mín sú að
vissulega sé til lykill eða lyklar sem hægt er að nota til
að persónugreina einstakling. Engu máli skiptir,
hvort sá aðili, sem upplýsingarnar hefur undir hönd-
um, hefur aðgang að greiningarlyklinum eða ekki og
hvort greiningarlykillinn er í einum hluta eða fleiri.
Ekki er hægt að fallast á að dulkóðun í eina átt geri
upplýsingar ópersónugreinanlegar sem ekki er hægt
að rekja til baka með greiningarlykli. Sú forsenda
lokaútgáfu frumvarpsins og gagnagrunnslaganna að
ekki sé hægt að ljúka upp grunninum með lykli stenst
því ekki. Enda staðfesta nú Kári Stefánsson og
sérfræðingar ÍE það að til er lykill.
Sú forsenda frumvarpsins og laganna að ekki sé
hægt að rekja sig til baka með lykli er því ekki rétt.
Gögnin eru því persónugreinanleg samkvæmt gagna-
grunnslögunum (1) og samkvæmt persónuverndar-
lögunum (13) sem bæði byggja á tilskipun ESB
(95/46/EC). Island er nú þjóðréttarlega skuldbundið
skilyrðum og skilgreiningum tilskipunar ESB. Ef ís-
land ætlar að uppfylla þær skuldbindingar ber að afla
fyrirfram samþykkis fyrir flutning gagna í gagna-
grunn á heilbrigðissviði. Margföld dulkóðun í eina átt
breytir engu um það.
í lögunum (1) og í frumvarpinu og greinargerð
með því (9) er því haldið fram, eins og fram kemur í
þessum skilgreiningum, að dulkóðun í eina átt sé að-
ferð til að gera upplýsingar um persónugreinanlegan
Læknablaðið 2001/87 811