Með ó­lög­mætum hætti streyma við­kvæmustu per­sónu­upp­lýsingar krabba­meins­sjúk­linga til Krabba­meins­fé­lags Ís­lands

Vegna sérlega erfiðra persónulegra heilsufarsatburða í fjölskyldunni á undanförnum árum hef ég sem aðstandandi þurft að setja mig inn í fjölmarga hluti sem tengjast krabbameini. Meðal annars hvernig farið er með viðkvæmustu heilsufarsupplýsingar landsmanna þegar sjúkdómsgreining krabbameins er annars vegar. Það sem blasir við eftir þá yfirferð er mjög alvarlegt.

Þann 27. júní 2025 tóku gildi lög nr. 34/2025. Með samþykkt þessara laga breytti Alþingi 8. gr. laga um landlækni og lýðheilsu og felldi úr gildi lagaheimild sem hafði legið til grundvallar fyrirkomulagi um rekstur krabbameinsskrár. Áður mátti landlæknir fela heilbrigðisstofnunum og sjálfstætt starfandi heilbrigðisstarfsmönnum, „eða öðrum aðilum“, umsjón með heilbrigðisskrám, sem annars eru samkvæmt lögum alfarið á herðum landlæknis.

Það var einmitt vegna orðalagsins „eða öðrum aðilum“ sem Krabbameinsfélag Íslands, almannaheillafélag úti í bæ, sem ekki er hluti af opinbera heilbrigðiskerfinu, gerði samning um að reka krabbameinsskrá á grundvelli samnings við embætti landlæknis. Nýja 8. gr. a í lögunum frá því í fyrra heimilar hins vegar eingöngu „heilbrigðisstofnunum“ eða „starfsstofum heilbrigðisstarfsmanna“ eins og það er orðað, að taka að sér slíkt verkefni. „Aðrir aðilar“ eru ekki lengur á listanum og mega samkvæmt þeim lögum ekki taka að sér rekstur heilbrigðisskráa.

Krabbameinsfélag Íslands getur á engan hátt talist „heilbrigðisstofnun“ eða „starfsstofa heilbrigðisstarfsmanna“. Það er samkvæmt öllum skilgreiningum, þar með talinni eigin skilgreiningu á vefsíðu félagsins, almannaheillafélag sem starfar samkvæmt lögum nr. 110/2021.

Áhrifin eru afdráttarlaus. Engin bráðabirgðaákvæði eru í lögunum sem viðhalda eldri samningum. Ekkert ákvæði heimilar ráðherra að gefa undanþágu eða setja reglugerð. Engin innri túlkun, ekkert minnisblað, engin lögfræðileg álitsgerð getur staðið framar skýrum ákvæðum laga frá Alþingi Íslendinga. Lögmætisreglan er ekki valkostur. Alþingi felldi í raun brott þá lagaheimild sem áður heimilaði samning landlæknis við Krabbameinsfélagið með lagasetningunni, og girti þar að auki fyrir að hægt væri að gera nýjan samning á sama grundvelli við það félag.

Þannig hafa frá og með 27. júní 2025 (í heilt ár) margskonar, persónulegar og viðkvæmar heilsufarsupplýsingar þúsunda Íslendinga verið sendar frá rannsóknarstofum í meinafræði, sjúkrahúsum, heilsugæslustöðvum, læknastofum og einstökum læknum, til Krabbameinsfélags Íslands, án lagaheimildar.

Viðkvæmustu persónulegu upplýsingar sem við tökum saman og geymum

Þetta eru ekki venjulegar persónuupplýsingar. Krabbameinsskrá geymir nöfn, kennitölur, búsetuupplýsingar, sjúkdómsgreiningar, rannsóknir, meðferðarsögur og afdrif sjúklinga með alvarlegan sjúkdóm. Oft á tíðum ólæknandi sjúkdóm. Lögin um krabbameinsskrána eru svo afgerandi að einstaklingur sem fær krabbameinsgreiningu getur ekki sagt: „Ég vil ekki vera í skránni.“

Eftir greiningu einstaklinga, og næstu vikur og mánuði þar á eftir, fara auðkennanlegar sjúkdómsupplýsingar um einstaklinga inn í gagnagrunn sem rekinn er af almannaheillafélagi úti í bæ, sem hefur einnig ýmis önnur verkefni eins og fjáröflun, markaðsstarf, fjármálastarfsemi, happdrætti, fasteignaþróun, netsölu varnings og verslun. Félag sem þar að auki er mjög ógagnætt með óeðlilega tregðu að gefa upplýsingar um fjölmörg mikilvæg atriði í starfsemi sinni og fjármálum þrátt fyrir að vera meðlimur í félaginu Almannaheill.

Landlæknir hafði ekki lesið nýjustu lög um sjálfan sig

Þann 8. desember 2025 sendi ég embætti landlæknis erindi þar sem ég óskaði eftir því að samningi við Krabbameinsfélagið yrði slitið, m.a. vegna skorts á gagnsæi, tæplega hálfu ári eftir að ofangreind ný lög tóku gildi. Svar barst þann 26. febrúar 2026, tæpum þremur mánuðum síðar, sem er í engu samræmi við eðlilegan málshraða þegar um er að ræða jafn alvarlegt álitaefni. Svarið er undirritað af settum landlækni, Elísabetu Benedikz, og er tvær blaðsíður að lengd. Það fjallar í smáatriðum um sögu krabbameinsskrárinnar frá 1954 og vísar til þess að skráin hefði fengið lagagrunn árið 2007. Þar er einnig fjallað um trúnaðarskyldu starfsfólks, um aðgreiningu í bókhaldi og um þá reynslu sem byggst hefur upp hjá Krabbameinsfélaginu. Bréfinu lýkur á setningunni: „Í ljósi þessa sér embætti landlæknis ekki ástæðu til að breyta núverandi fyrirkomulagi.“ Landlæknir svaraði með fortíðinni og sagnfræðilegu ívafi. Vandinn varðar hins vegar núgildandi lög.

Og það er einmitt málið. Lög nr. 34/2025 eru ekki nefnd í þessu bréfi landlæknis. Nýja 8. gr. a er ekki nefnd. Brotthvarf orðasambandsins „eða öðrum aðilum“ úr lagatextanum er ekki nefnt. Settur landlæknir tók sér tæpa þrjá mánuði til að svara og virðist ekki hafa áttað sig á því þegar bréfið var skrifað að Alþingi hafði þá þegar fellt brott þá lagaheimild sem áður gat leyft slíkan samning sem ég var að biðja um að yrði slitið. Hafði í raun fellt úr gildi heimild landlæknis til að láta senda gögnin til Krabbameinsfélags Íslands.

Í svarinu er hvergi að sjá að landlæknir hafi tekið mið af lagabreytingunni eða endurmetið lagagrundvöll samningsins. Hún hafði sem sagt ekki uppfært sinn eigin þekkingargrunn miðað við gildandi lög um það opinbera embætti sem henni er treyst fyrir. Enda sá hún „ekki ástæðu til að breyta núverandi fyrirkomulagi“, sem Alþingi Íslendinga hafði samt breytt með miklum meirihluta atkvæða og sagt með skýrum hætti að yrði að breyta.

Úrræðaleysi landlæknis og Persónuverndar

Þann 21. maí sl. ræddi ég bæði við aðstoðarmann landlæknis annars vegar og lögfræðing Persónuverndar hins vegar vegna þessa máls. Báðir komu af fjöllum varðandi nýju lögin þrátt fyrir að ég væri búinn að senda báðum erindi frá því í desember 2025. Innan embættis landlæknis virðist enginn hafa tekið mið af þeirri grundvallarbreytingu sem fólst í brottfalli orðanna „eða öðrum aðilum“. Aðstoðarmaðurinn sagðist ætla að vísa málinu til lögfræðinga embættisins. Líklega til að hafa skýringu á svari sem (miðað við fyrri reynslu af skilningi landlæknis á upplýsingaskyldu stjórnvalda) mun í besta falli berast í september, október eða jafnvel nóvember. Að minnsta kosti virðist málið fast hjá lögfræðingum embættisins þar sem það hefur dvalið í meira en þrjár vikur.

Þessi samtöl, ásamt bréfi setts landlæknis, sýna mér með nokkurri vissu að enginn hjá embætti landlæknis hefur tekið þá lagabreytingu sem Alþingi gerði fyrir ári alvarlega. Enginn hefur yfirleitt áttað sig á henni. Hvorki settur landlæknir né aðstoðarmaðurinn virðast hafa lesið lögin sem fjalla um og skilgreina þeirra eigin starfssvið og stofnun.

Samtalið við lögfræðing Persónuverndar var heldur ekki mjög gagnlegt. Hún sá fyrir sér langt og mikið ferli af stjórnsýslulegri þoku, mjög hægum takti embættismanna og nefndi bæði vinnureglur og andmælarétt hér og þar og að þau fengju þúsundir fyrirspurna. Jafnvel þó að ég ítrekaði að þetta væru allra alvarlegustu persónuupplýsingar sem safnað er saman í íslensku samfélagi og að ég hefði sent þeim erindi fyrir mörgum mánuðum og að málið væri mjög alvarlegt og ekki í samræmi við landslög.

Hér er mikilvægt að undirstrika að þegar um er að ræða viðkvæmustu persónuupplýsingar fólks, þá gildir sú meginregla að allt sem er ekki sérstaklega heimilað í lögum, er bannað. Skortur á heimild jafngildir því að brotið sé gegn persónuverndarlögum. Það er í raun ólöglegt.

Fordæmalaus óvirðing gagnvart Alþingi Íslendinga

Þetta mál er ekkert minna en stjórnsýslulegur stórskandall. Á Alþingi voru sett lög og enginn hlutaðeigandi ábyrgðaraðili í stjórnkerfinu virðist hafa haft vilja, getu eða þekkingu til að fara eftir þeim. Samt sem áður voru þetta mikilvægar breytingar þar sem samningi landlæknis og Krabbameinsfélags Íslands um krabbameinsskrá var í raun sagt upp af Alþingi Íslendinga fyrir ári síðan. Ekki einu sinni Krabbameinsfélagið sjálft hafði sómatilfinningu til að láta í sér heyra heldur hélt áfram að taka við ólöglegum sendingum viðkvæmra persónulegra upplýsinga, eins og ekkert hefði í skorist. Upplýsingar sem mér hefur þótt, allt frá krabbameinsgreiningu eiginkonu minnar, óljóst hvernig eru notaðar, í félagi sem ber mjög sterkt svipmót fjárfestingafélags. Þess vegna óskað eftir því að Persónuvernd og Embætti landlæknis að kanna hvernig upplýsingar úr Krabbameinsskrá eru aðskildar frá annarri starfsemi Krabbameinsfélagsins, þar á meðal fjáröflun og markaðsstarfi. En svo virðist sem enginn í öllu ferlinu hafi skoðað, skilið og þaðan af síður haft áhuga á að fara eftir lögunum. Samt voru bæði landlæknir og Persónuvernd umsagnaraðilar þegar frumvarpið var til meðferðar í Alþingi á þremur þingum!

Ég velti fyrir mér hvort þetta sé skýrt dæmi um vanvirðingu embættismanna og Krabbameinsfélagsins gagnvart löggjafanum, Alþingi Íslendinga (sem ég persónulega hef alltaf borið mikla virðingu fyrir). Sérstaklega þar sem hvergi er hægt að finna á neinum stað að heilbrigðisráðherra eða heilbrigðisráðuneytið, sem þó standa Alþingi nær, hafi sagt eitt orð um þetta mál allan þennan tíma frá því að lögin tóku gildi. Það er líka athyglisvert að allan þann tíma sem frumvarpið er í meðferð á tveim þingum var Alma Möller landlæknir og hálfu ári fyrir samþykkt þessara laga er hún orðin heilbrigðisráðherra. Sem ráðherra lagði hún frumvarpið fram og undirstrikaði Í fyrstu umræðu að í heilbrigðisskrár færu viðkvæmar persónuupplýsingar og að Ríkisendurskoðun og Persónuvernd hefðu bent á að lagaumgjörðin þyrfti að vera sérstaklega skýr. Þess vegna voru lögin sett.

Hér er rétt að hafa í huga að í þessu máli gerði Alþingi Íslendinga nákvæmlega það sem Alþingi á að gera, með sóma. Frumvarpið fór í samráð, umsagnir bárust, málið fór í þinglega meðferð og lög voru samþykkt með skýru orðalagi.

Mat sérfræðinga í stjórnsýslu og lögum

Á sama tíma hafa viðkvæmar upplýsingar um krabbameinsgreiningar þúsunda landsmanna haldið áfram að streyma inn í gagnagrunn sem er rekinn af félagi úti í bæ og landslög heimila ekki lengur að sjái um þetta verkefni. Þessi lögleysa hefur viðgengist í næstum því ár án þess að nokkur í gjörvöllu stjórnkerfinu hafi vaknað til meðvitundar um þá alvarlegu stöðu sem upp er komin. Þetta er ekki tæknilegt smáatriði. Landlæknir hefur ekki fulla þekkingu á málinu og Persónuvernd segist einhvern tíma hafa svigrúm til að skoða málið, líklega seint og um síðir. Félag úti í bæ heldur áfram að taka við upplýsingunum með ólöglegum hætti og fær þar að auki greitt fyrir tugi milljóna á ári, frá landlækni. Eftirlit og eftirfylgni heilbrigðisráðuneytisins með lagasetningum sem tilheyra heilbrigðismálum virðist óvirkt.

Ég hef fengið nokkra aðila á svið stjórnsýslu og lögfræði til að fara yfir málið. Niðurstöðu allar eru í öllum grundvallaratriðum í samhljóma mínum skilningi. Skýrust er þó niðurstaða Hauks Arnþórssonar stjórnsýslufræðings, sem hefur veitt mér leyfi til að vitna í mat sitt.

„Landlæknir getur falið til þess bærum aðilum umsjón og ábyrgð á daglegum rekstri heilbrigðisskráa samkvæmt 8. gr. a. í lögum um Landlækni nr. 41/2007. Með lagabreytingunni sumarið 2025 (1. gr. 34/2025) voru skilyrðin þrengd um hverjir mega vera slíkir aðilar (út falla orðin „eða öðrum aðilum“). Einvörðungu „heilbrigðisstofnanir eða starfsstofnanir heilbrigðisstarfsmanna“ geta orðið verktakar. Þar sem Krabbameinsfélagið uppfyllir ekki lagaskilyrði lengur og tilgangur lagabreytingarinnar var einfaldlega að þrengja þau skilyrði – Alþingi hafði jafnvel það félag í huga – getur það og einstakar deildir innan þess geta ekki verið slíkir aðilar. Landlæknir þarf því að slíta samningi sínum við Krabbameinsfélagið – og vilji hann halda áfram útvistun verkefnisins – þarf hann að gera nýjan samning við til þess bæran aðila. Framkvæmi Landlæknir engu að síður samning sinn við Krabbameinsfélagið að nýja lagaákvæðunum settum virðist það ótvírætt brot á lögum nr. 41/2007 og persónuverndarlögum. En vegna alvarleika þess má reikna með að 71. gr. stjórnarskrár um friðhelgi einkalífs kæmi til álita hjá dómstóli, einnig 8. gr. Mannréttindasáttmála Evrópu sem krefst þess að íhlutun í einkalíf sé „í samræmi við lög“. Mögulega er um brot á fleiri lögum að ræða sem varða stöðu almennings gagnvart ríkisvaldinu, s.s. stjórnsýslulögum og eftir atvikum kæmu skaðabótalög og hegningarlög til skoðunar.“

Ef einhver sem les þessa grein hefur efast um réttmæti eða alvarleika málsins held ég að Haukur Arnþórsson taki hér af öll tvímæli.

Það er lágmarkskrafa:

• Að nú þegar verði farið að lögum og ólöglegar sendingar viðkvæmra persónulegra heilsufarsupplýsinga til félags úti í bæ með ákaflega ógagnsæja starfsemi, sem ekki uppfyllir lagaleg skilyrði til að taka við gögnunum, verði stöðvaðar.
• Að embætti landlæknis lesi yfir ný lög um embættið sjálft sem Alþingi Íslendinga setti fyrir tæpu ári og taki til sín alla umsýslu krabbameinsskrár og haldi henni innan heilbrigðiskerfisins eins og landslög kveða á um.
• Að Persónuvernd ýti þessu máli í fremstu röð í sínum risastóra verkefnabunka og leiðbeini landlækni um það hvernig eigi að fara eftir persónuverndarlögum og hvaða lög og reglur gildi um meðferð viðkvæmra persónulegra heilsufarsupplýsinga.
• Að heilbrigðisráðuneytið sjái til þess að lögum sem tilheyra ráðuneytinu sé fylgt eftir, frá gildistöku.
• Að Umboðsmaður Alþingis taki málið til skoðunar.

Stjórnmálafræðingur og aðstandandi krabbameinssjúklings