Læknablaðið - 15.10.2001, Blaðsíða 51

FRÆÐIGREINAR / PERSÓNUGREINING ( GAGNAGRUNNI
Einstaklingar haldnir ennþá „viðkvæmari“ sjúkdóm-
um eru greinanlegir á sama hátt af slíkum dulkóðuð-
um lista. Karlmaður sem fæddist 2. febrúar 1979 er
einn af (að meðaltali) sex karlmönnum sem fæddust
þann dag á landinu. Hann er 176 cm og býr á Dalvík.
Þetta hlýtur að vera Helgi. Hann er með sykursýki.
Það þarf hvorki lykil, ættartré né persónuauðkenni
að fylgja með til þess.
5. Lokaorð
Hér hafa verið tekin dæmi um það hvaða aðferðum
unnt er að beita af sanngirni til að smíða lykla sem
nota má til að persónugreina einstaklinga í gagna-
grunni á heilbrigðissviði. Persónugreining er ekki
fjarlægur, fræðilegur möguleiki (18) heldur er tiltölu-
lega auðvelt að persónugreina einstaklinga. Persónu-
greining er möguleg með lykh og dulkóðun í eina átt
breytir engu um það. Ef til dæmis Alþingi breytti lög-
unum síðar og segði heimilt að fara til baka eða ef
dómstóll dæmdi í einhverju máli að opna skyldi
gagnagrunninn þá er, tæknilega séð, hægt að gera það
á augabragði. Forsenda gagnagrunnslaganna um
ópersónugreinanleg gögn stenst því ekki.
Grunnregla laga (20) er að allir séu jafnir frammi
fyrir lögunum. Hugmyndafræði fyrstu gerða frum-
varpa um gagnagrunn byggðu á hugtaki fengnu úr til-
mælum ráðherranefndar Evrópuráðsins að ópersónu-
greinanleiki miðist við það sem þarf verulegan tíma
og mannafla til að leysa. Að mínu áliti getur þetta
samt ekki verið grunnregla við setningu laga. Ef hug-
tök ráðherranefndarinnar væru notuð væru þeir sem
hafa nægan tíma, mannafla og auð hafnir yfir lög en
það brýtur í bága við frumregluna að allir séu jafnir
fyrir lögum. Þá væru grunnatriði laganna einnig háð
stöðu tækniþróunar, sem einnig er vafasamt.
Ég tel að að það sé grundvallarmunur á tilskipun
Evrópusambandsins (95/46) og tilmælum Evrópu-
ráðsins (R(97)5). Tilskipunin, sem er nú orðin þjóð-
réttarlega skuldbindandi fyrir ísland, er lögleidd með
persónuverndarlögunum og skilgreining gagna-
grunnslaganna um persónuupplýsingar er komin úr
henni. Munurinn á tilskipuninni og tilmælunum er sá
að tilskipunin skilgreinir á afar víðan hátt einungis
hvað átt er við með persónugreiningu en ræðir ekki
sérstaklega hvað átt er við með ópersónugreiningu.
Það gera tilmælin hins vegar. Þar með varpar tilskip-
unin sönnunarbyrðinni á hvem þann sem heldur því
fram að hann sé að vinna með ópersónugreinanleg
gögn.
Dulkóðun persónuauðkenna í eina átt jafngildir
ekki aftengingu upplýsinganna þar sem grunnurinn
er langsum söfnun upplýsinga. Langsum tenging
gagna merkir að dulkóðunaraðferðin má ekki breyt-
ast í tíma því ella væri ekki hægt að uppfæra gagna-
grunninn. Dulkóðun sömu kennitölu mun því ætíð
gefa sama fastanúmer. Hver sá sem getur sent kenni-
tölur í gegnum dulkóðunarferlið og séð hvað kemur
Tafla II. Persónugreining af samhengi upplýsinga um þrídulkóðaöa einstaktinga án notkunar lykils og ættarupplýsinga. Kyn, fæðingardagur og ár, hæð og búsetusveitar- félag eru almennar upplýsingar sem nægja til að persónugreina dulkóðaða einstak- linga. Viðkvæmar heilsufarsupplýsingar úr töflu sem þessari má því tengja nafngreind- um einstaklingum. Einungis fyrstu átta stafir dulkóða eru teknir með til að minnka um- fang.
Dulkóði Kyn Fagðingar Hæð Búseta Krabbamein í Sykur- sýki Botn- langi
dagur ár maga brjóstum
012578Í7 i 2306 1922 177 Reykjavík i 0 0 0
5cel8blc 0 1101 1927 165 Reykjavík 0 0 0 0
766308e6 í 0312 1928 189 Akranes 0 0 0 0
823add31 0 0506 1930 178 Akranes 0 1 0 0
5f04fafb í 1009 1942 182 Reykjavík 0 0 0 0
192al5b6 0 0404 1945 166 USA 0 0 0 1
4e326404 0 3101 1949 164 Höfn 0 0 0 1
76276449 1 1508 1951 176 Akureyri 0 0 0 0
7el38088 0 1705 1955 172 Akureyri 0 0 0 0
454d832d 0 1910 1958 170 Reykjavík 0 1 0 1
de0218al 1 0202 1979 176 Dalvík 0 0 1 0
8b93dl3b 0 1508 1980 170 Dalvík 0 0 0 1
9f9d61a8 0 2111 1981 177 Reykjavík 0 0 0 0
727b4cb2 1 1309 1980 192 Reykjavík 0 0 0 0
út getur því smíðað uppflettitöflu sem er lykill (16).
Jafnvel þótt ekki kæmi til möguleiki að fletta upp
kennitölum og dulkóðuðum fastanúmerum er
persónugreining samt sem áður einnig möguleg með
ályktunum. Ættartré verða fljótt einstök þegar fjöldi
manna í hóp eykst. Samanburður á munstrum ættar-
trjáa úr ættargrunni með dulkóðuðum fastanúmerum
og ættargrunni með kennitölum eða nöfnum er því
leið til að smíða lykil að grunninum. Þá er unnt að
persónugreina einstaklinga af samhengi almennra
upplýsinga (18).
Af framansögðu er ljóst að sanngjarnt er að ætla
að til að persónugreina einstaklinga í gagnagrunni á
heilbrigðissviði yrði beitt aðferðum í þá veru sem hér
hefur verið lýst. Einstaklingar eru því persónugrein-
anlegir í gagnagrunni á heilbrigðissviði. Því er bæði
réttmætt og sanngjarnt að aflað verði fyrirfram sam-
þykkis sjúklinga fyrir notkun heilsufarsupplýsinga
þeirra í öðrum tilgangi en þeirra var aflað eins og
þjóðréttarlegar skuldbindingar íslands standa til
(7,8). Allt annað er ósanngjarnt.
Heimildir
1. Lög um gagnagrunn á heilbrigöissviði nr. 139/1998, desember
1998.
2. Björgvinsson DP, Arnardóttir OM, Matthíasson VM. Álits-
gerð um ýmis lögfræðileg efni í frumvarpi til laga um gagna-
grunn á heilbrigðissviði. Lagastofnun Háskóla íslands. Islensk
erfðagreining sendi alþingismönnum. Alþingi. Erindi nr. Þ
123/9, komudagur 28.10.98, október 1998.
3. Stefánsson K. Frumdrög að frumvarpi til laga um gagnagrunna
á heilbrigðissviði, 14 júlí 1997. URL http://www.mannvernd.is/
login/I E_frumdrog_ggr_fax.doc.
4. Frumvarp til laga um gagnagrunna á heilbrigðissviði, Pskj.
1134, apríl 1998. (Lagt fyrir Alþingi á 122. löggjafarþingi 1997-
1998.)
5. Recommendation No R(97)5 of the Committee of Ministers to
Member States on the Protection of Medical Data, 13
February 1997.
6. Lög um skráningu og meðferð persónuupplýsinga nr.
121/1989, maí 1989.
Læknablaðið 2001/87 815