Personvernnemndas vedtak 11. januar 2022 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A på Datatilsynets vedtak 14. januar 2021 der Datatilsynet kom til at NAV ikke behandlet As personopplysninger ulovlig.
Sakens bakgrunn
Saken har sin bakgrunn i et prosjekt initiert av Arbeids- og velferdsdirektoratet (NAV) for å få langtidssykmeldte raskere tilbake i jobb. Forsøket hadde utgangspunkt i Sundvollen-plattformen til Solberg-regjeringen i 2013 hvor det ble formulert et krav om at «ingen skulle kunne sykmeldes mer enn 6 måneder av sin egen fastlege». Det resulterte i en tilleggsbevilling i Statsbudsjettet 2014 for å iverksette «et avgrenset forsøk med ny medisinsk vurdering av annen lege enn pasientens fastlege innen utgangen av seks måneders sykmelding». Forsøket innebar en plikt for tilfeldig utvalgte pasienter i Hordaland, ved seks måneders sammenhengende sykmelding, til å la seg undersøke av den legen NAV bestemte. Det innebar videre en plikt for pasientens fastlege, mot refusjon fra det offentlige i henhold til fastsatt takst, til å gi de erklæringer og uttalelser som var nødvendig for at den nye legen skulle kunne gjennomføre en ny medisinsk vurdering. NAV-legens skriftlige rapport fra vurderingen ble sendt fastlegen i etterkant slik at fastlegen kunne bruke denne i sin videre oppfølging av den sykmeldte. Forsøket ble hjemlet i en egen forskrift, FOR-2015-08-30-1002 (Forskrift om forsøksordning med ny medisinsk vurdering av en annen lege enn fastlegen ved seks måneders sykmelding), med hjemmel i folketrygdloven § 25-13. Forsøksperioden varte fra 1. september 2015 til 1. oktober 2017.
Det ble også utlyst et eget forskningsprosjekt for å evaluere forsøket. Prosjektet hadde en kvalitativ del og en kvantitativ del. I den kvalitative delen, utført av Forskningsinstituttet Uni Research AS (nå NORCE, Norwegian Research Centre AS), skulle det undersøkes hvordan tiltaket påvirket deltakerne. I den kvantitative delen, som NAV selv utførte, skulle det vurderes om tiltaket var mer effektivt med tanke på tilbakeføring til arbeid. NAV sto for innsamlingen av data, hadde prosjektansvaret og var behandlingsansvarlig. NORCE fikk tilgang til data først ett år etter at inklusjonsperioden var over.
En av fastlegene med pasienter som ble omfattet av forsøket, A, ble i vedtak fra NAV Kontroll Øst 26. april 2018, fratatt «retten til å praktisere for trygdens regning», jf. folketrygdloven § 25-7. I vedtaket er det også vist til medisinske journaler til pasienter som hadde deltatt i forsøket. NAV Kontroll skriver blant annet: «Ved gjennomgang av dine pasienter som er plukket ut til forsøket, gjenfinner vi flere eksempler hvor dine vurderinger står i sterk kontrast i forhold til den vurderingen som er gjort».
A kontaktet Datatilsynet 22. desember 2018 fordi han mente at NAV hadde behandlet personopplysninger ulovlig i forbindelse med gjennomføringen av prosjektet «Forsøk med ny medisinsk vurdering etter seks måneders sykmelding». Han viste særlig til at NAVs viderebehandling av opplysninger fra forsøksprosjektet til kontrollformål krenket hans personvernrettigheter.
A kontaktet også Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH) og Nasjonalt utvalg for gransking av uredelighet i forskning (Granskingsutvalget) som den 20. september 2019 sendte Datatilsynet et felles varsel om mulig brudd på personopplysningsloven i forbindelse med prosjektet, spesifikt knyttet til formålsbegrensning ved behandling av personopplysninger i prosjektet.
Datatilsynet ba NAV redegjøre for saken 20. mars 2020. NAV ga sin redegjørelse 4. juni 2020. Datatilsynet konkluderte 12. november 2020 med at NAV hadde hjemmel i folketrygdloven til å behandle personopplysninger til kontrollformål og at NAVs behandling av personopplysninger om A var lovlig. Datatilsynet varslet samtidig NAV om at tilsynet ville fatte vedtak om irettesettelse på grunn av brudd på informasjonsplikten til de registrerte i forbindelse med prosjektet.
NAV ga sine kommentarer til varselet 4. desember 2020 og var enig i tilsynets konklusjoner.
Datatilsynet traff slikt vedtak om irettesettelse 14. januar 2021:
«Arbeids- og velferdsetaten (NAV) gis en irettesettelse i medhold av personvernforordningen artikkel 58 nr. 2 bokstav b for brudd på personopplysningsloven (2000) § 19.»
I vedtaket er det også konkludert med at NAVs viderebehandling av personopplysninger til kontrollformål var lovlig. A fikk oversendt kopi av vedtaket 14. januar 2021. Ved oversendelsen opplyste tilsynet at A ikke hadde klagerett på tilsynets valg av reaksjon (irettesettelse).
A klaget på vedtaket 3. juli 2021. Datatilsynet foretok en ny vurdering av As klagerett og konkluderte med at selv om A ikke kan klage på tilsynets valg av reaksjon, har han rett til å klage på tilsynets konklusjon om at NAVs behandling av hans personopplysninger var lovlig. Tilsynet la til grunn at klagen er rettidig framsatt. Ved vurderingen la tilsynet vekt på at A ved oversendelse av vedtaket hadde fått uriktige opplysninger om sin klagerett.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse og oversendte saken til Personvernnemnda 22. november 2021. Partene ble orientert om saken i brev fra nemnda 26. november 2021, og fikk anledning til å komme med eventuelle kommentarer. A har gitt sine merknader i to brev til nemnda 27. november 2021. NAV har kommet med sine merknader i brev til nemnda 20. desember 2021.
Saken ble behandlet i nemndas møte 11. januar 2022. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i korte trekk
Datatilsynet har avgrenset sin behandling av saken til å gjelde:
- det rettslige grunnlaget for bruk av data innhentet i forbindelse med prosjektet «Forsøk med ny medisinsk vurdering etter seks måneders sykmelding» til kontrollformål, og
- informasjonen til de registrerte.
Datatilsynet fastslår innledningsvis at saken skal vurderes etter personopplysningsloven 2000 (LOV-2000-14-04-31) og personopplysningsforskriften 2000 (FOR-2000-12-15-1265) som var gjeldende regelverk på tidspunktet da prosjektet ble gjennomført.
Datatilsynet redegjør deretter for de rettslige utgangspunktene for behandling av personopplysninger i personopplysningsloven 2000 § 8, grunnkravene til behandling av personopplysninger i § 11 og kravene til informasjon i § 19.
Datatilsynet påpeker at de ulike aktørene som har vært involvert i prosjektet har ulik oppfatning av om prosjektet skal anses som forskning eller ikke. Tilsynet viser til at NESH anser hele prosjektet som forskning – både den kvalitative delen (utført av NORCE) og den kvantitative delen (utført av NAV). På bakgrunn av NESH og Granskingsutvalgets faglige vurdering, legger Datatilsynet til grunn at prosjektet «Forsøk med ny medisinsk vurdering etter seks måneders sykmelding» i sin helhet er å anse som forskning.
Datatilsynet legger videre til grunn at folketrygdloven § 25-13 åpner for å gjennomføre forsøksprosjekter som ledd i NAVs ordinære virksomhet, og at det kan gis egne forskrifter om slike forsøk. Forskning utført at NAV har dermed særskilt hjemmelsgrunnlag i folketrygdloven og tilsynet kan ikke se at dette er til hinder for at et forsøksprosjekt er å anse som forskning. Selv om forskningen foregår som del av NAVs generelle virksomhet og myndighetsutøvelse, er forskning noe annet enn kontrollformål.
Datatilsynet fastslår at det beror på en konkret vurdering om viderebehandlingen til kontrollformål er ulovlig. Relevante momenter er om kontrollen er en naturlig del av den virksomheten den behandlingsansvarlige driver, eller om ulempen for den registrerte kan forsvares sett i forhold til fordelene kontrolløren oppnår.
Datatilsynet påpeker videre at i denne saken har NAVs kontroll medført at i hvert fall én fastlege har mistet rett til å skrive attester for trygdens regning, noe tilsynet mener er svært inngripende overfor den kontrollerte. Datatilsynet fastslår på den annen side at kontroll av ulike ytelser en sentral del av NAVs generelle virksomhet og at kontroll av fastlegers virksomhet er lovhjemlet i folketrygdloven § 21-4.
Datatilsynet viser til forarbeidene til personopplysningsloven 2000 § 11, Ot.prp. nr. 92 (1998-1999) side 112 og 113 der det uttales at bruk av personopplysninger ikke vil være uforenlig med det opprinnelige formålet dersom den senere bruken er bestemt i egen lov. Datatilsynet legger deretter til grunn at NAV har hjemmel i folketrygdloven til å behandle personopplysninger til kontrollformål.
På denne bakgrunn mener Datatilsynet at NAV ikke har viderebehandlet personopplysninger ulovlig ved å bruke opplysningene samlet inn i prosjektet «Forsøk med ny medisinsk vurdering etter seks måneders sykmelding» til kontrollformål.
Datatilsynet drøfter deretter NAVs informasjon til de registrerte og konkluderer med at informasjonsplikten i personopplysningsloven 2000 § 19 er brutt. For dette ilegges NAV en irettesettelse. NAV har ikke klaget over vedtaket og denne delen av Datatilsynets vedtak er ikke en del av klagesaken for nemnda.
As syn på saken i korte trekk
Han ble tvunget til å delta i prosjektet «Forsøk med ny medisinsk vurdering etter seks måneders sykmelding».
NAVs viderebehandling av opplysninger fra forsøksprosjektet til kontrollformål krenket hans personvernrettigheter. Opplysninger innsamlet gjennom prosjektet ble brukt i NAVs tilsynssak der NAV fratok ham retten til å praktisere som lege i fem år. Verken han eller hans pasienter har samtykket til at data kan brukes fragmentert med det formål at han mistet jobben som lege.
Data fra tvangsprosjektet ble uten samtykke utvekslet nasjonalt og internasjonalt for å straffe ham som omsorgsfull lege.
Siden 2016 har han vært utsatt for kontinuerlig mobbing fra NAV og NAVs samarbeidspartnere. NAVs handlinger er i strid med menneskerettighetene, Grunnloven og forskningsetiske standarder i Nürnbergkodeksen.
Han har mistet sitt levebrød og hans helse er redusert etter langvarig kamp mot NAV.
NAVs syn på saken i korte trekk
NAV har behandlingsgrunnlag for å gjennomføre det aktuelle forsøket, jf. forskrift om forsøksordning med ny medisinsk vurdering av en annen lege enn fastlegen ved seks måneders sykemelding gitt i medhold av folketrygdloven § 25-13.
Folketrygdloven § 25-13 åpner for at NAV kan gjøre unntak fra den ordinære oppfølgingen som følger av folketrygdloven. Den alternative oppfølgingen er en del av NAVs utøvelse av offentlig myndighet overfor NAVs brukere, hvilket innebærer at saksbehandlingsreglene i folketrygdloven kapittel 21 samt de generelle saksbehandlingsreglene i forvaltningsloven gjelder ved all saksbehandling av de brukerne som er med i forsøket.
Krav fra brukere som søker sykepenger og som omfattes av forskriften, skal saksbehandles på vanlig måte, men etter de særskilte reglene (avvik fra folketrygdloven) som oppstilles i forskriften. Det dreier seg altså her om utøvelse av offentlig myndighet og opplysninger og dokumenter som innhentes skal lagres i fagsystemene som saksdokumenter.
Saksdokumenter skal oppbevares i henhold til gjeldende bevarings- og kassasjonsplan for Arbeids- og velferdsetaten, jf. arkivloven.
Når det gjelder viderebehandling av personopplysninger til kontrollformål er utgangspunktet at personopplysninger skal innhentes til uttrykkelig angitte formål jf. personopplysningsloven av 2000 § 11 førte ledd bokstav b. Hovedregelen er at personopplysningene ikke «brukes til senere formål som er uforenelig med det opprinnelige formålet med innsamlingen» jf. personopplysningsloven § 11 første ledd bokstav c. En ny behandling av personopplysninger må i utgangspunktet være forenelig med opprinnelig formål, eller ha hjemmel i lov.
Behandlingsgrunnlaget til NAV Kontroll for behandling av personopplysninger til kontrollformål etter den gamle personopplysningsloven var § 8 e og § 9 b jf. folketrygdloven § 21-4. NAV Kontroll hadde med andre ord hjemmel i lov til å gjennomføre kontroll med fastlegens bruk av L-takst.
A som fastlege var ikke en direkte deltaker i forsøket. Han ble som fastlege bedt om å utarbeide et resyme av relevant sykehistorie og oversende dette til NAV. Dette resymeet fikk fastlegen betalt for av NAV etter en egen takst L41 som går over statsbudsjettet.
Fastlegene fikk betalt for legeerklæringen på tilsvarende måte som de får betalt for andre erklæringer som leveres til NAV. L-takstsystemet er et tillitsbasert system, og én av oppgavene til NAV Kontroll er å kontrollere utbetalinger til leger, herunder om det er utbetalt korrekt L-takst ut fra det NAV har bestilt med henblikk på å oppdage urettmessig takstbruk. Det betyr at NAV Kontroll har tjenstlig behov for tilgang til disse opplysningene (i dette tilfellet legeerklæringen fra fastlegen).
NAV Kontroll har ikke deltatt i «Forsøk med ny medisinsk vurdering etter seks måneders sykmelding». Derimot har NAV Kontroll hatt to kontrollsaker knyttet til A som fastlege. Den ene gjaldt han refusjonskrav av L-takster (hvor takst L41 for forsøket inngikk). Den andre kontrollsaken gjaldt hans sykmeldingspraksis og utstedelse av legeerklæringer. Det er gjort en bred vurdering av mange forhold i kontrollsaken mot A. Den informasjonen som framkom fra kontrollen med taksten L41 (for forsøket), utgjør en meget liten del av beslutningsgrunnlaget som ligger til grunn for at han ble fratatt retten til å praktisere på trygdens regning. Etter en omfattende gjennomgang av mange forhold, konkluderte NAV Kontroll med at alle vilkårene for å kunne nektes å praktisere som lege på trygdens regning var oppfylt. A ble etter dette fratatt retten til å praktisere for trygdens regning i fem år.
Personvernnemndas vurdering
Saken skal behandles etter personopplysningsloven 2000, som var gjeldende lov på tidspunktet da «Forsøk med ny medisinsk vurdering etter seks måneders sykmelding» ble gjennomført.
All behandling av personopplysninger må ha et rettslig grunnlag (behandlingsgrunnlag) for å være lovlig. I § 8 framgår det:
«Personopplysninger (jf. § 2 nr. 1) kan bare behandles dersom den registrerte har samtykket, eller det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for […] e) å utøve offentlig myndighet […]».
Det følger videre av personopplysningsloven 2000 § 11 første ledd bokstav b at personopplysninger skal innhentes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet. Opplysningene skal ikke brukes til senere formål som er uforenelig med det opprinnelige formålet med innsamlingen, jf. § 11 første ledd bokstav c.
Nemnda legger til grunn at NAV hadde hjemmel for å gjennomføre det aktuelle forsøket i folketrygdloven § 25-13, jf. forskrift om forsøksordning med ny medisinsk vurdering av en annen lege enn fastlegen ved seks måneders sykemelding, FOR-2015-08-30-1002. Folketrygdloven § 25-13 åpner for at NAV kan gjøre unntak fra den ordinære oppfølgingen som følger av folketrygdloven i forbindelse med forsøksvirksomhet. I dette tilfellet innebar det at krav fra brukere som søkte sykepenger og som var omfattet av forskriften, skulle saksbehandles på vanlig måte, men etter de særskilte reglene (avvik fra folketrygdloven) som var oppstilt i forskriften. Nemnda er enig i at den alternative oppfølgingen, som var fastsatt i egen forskrift, må anses som en del av NAVs utøvelse av offentlig myndighet overfor NAVs brukere og at man ikke kan anse forskning som det eneste formålet for innsamlingen av disse opplysningene. Det betyr at opplysninger og dokumenter som ble innhentet skulle lagres i fagsystemene som saksdokumenter og oppbevares i henhold til gjeldende bevarings- og kassasjonsplan for Arbeids- og velferdsetaten, jf. arkivloven.
A som fastlege var ikke en direkte deltaker i forsøket. Han skulle, som fastlege for de pasientene som falt inn under forsøksordningen, utarbeide et resyme av relevant sykehistorie og oversende dette til NAV. Dette resymeet kunne han kreve refusjon for etter en fastsatt takst, L41.
En av oppgavene til NAV Kontroll er å kontrollere utbetalinger til leger, herunder om det er utbetalt korrekt L-takst. Formålet er å oppdage eventuell urettmessig takstbruk. NAV Kontroll har ikke hatt noen rolle i «Forsøk med ny medisinsk vurdering etter seks måneders sykemelding», men det er redegjort for at NAV Kontroll har hatt to kontrollsaker knyttet til A. Den ene gjaldt hans refusjonskrav av L-takster og den andre hans sykmeldingspraksis og utstedelse av legeerklæringer.
Nemnda legger til grunn at NAV Kontrolls behandlingsgrunnlag for behandling av personopplysninger til kontrollformål etter personopplysningsloven 2000 var § 8 bokstav e (utøvelse av offentlig myndighet), og når det gjelder pasientenes helseopplysninger, § 9 bokstav b (fastsatt i lov), jf. folketrygdloven § 21-4.
NAV har i sitt svarbrev til Datatilsynet 4. juni 2020 redegjort for hvordan en tilfeldig gruppe av en behandlers pasientgruppe trekkes ut for kontroll. Når det gjelder kontroll av refusjonskrav, vil det trekkes ut brukere fra den gruppen hvor det er krevd refusjon. I og med at brukerne som var omfattet av forsøket ga fastlegen grunnlag for å kreve refusjon etter takst L41, ble disse omfattet.
Når det gjelder kontrollsaken knyttet til legens sykmeldingspraksis og utstedelse av legeerklæringer foregår det ved at et mindre antall brukere trekkes ut. I denne saken trakk man ut 20 brukere som man så nærmere på. For disse 20 ble det innhentet pasientjournaler. Det er opplyst at dersom det avdekkes kritikkverdige funn, innhentes opplysninger fra et ytterligere antall brukere. I dette tilfellet er det opplyst at det ble innhentet pasientjournaler for 20 nye brukere. Av disse til sammen 40 brukerne var det åtte brukere som hadde vært omfattet av forsøksprosjektet. Hvilke brukere som ble valgt ut var tilfeldig og det var ingen andre prinsipper for uttrekk for de brukerne som hadde vært omfattet av forsøket og de som ikke var omfattet.
Kontrollvirksomhet av utbetalinger over folketrygden er en lovregulert og sentral del av NAVs virksomhet. NAV har hjemmel i folketrygdloven til å behandle personopplysninger til kontrollformål, jf. folketrygdloven § 21-4. Selv om opplysningene opprinnelig er samlet inn for å gi pasienten riktig behandling, herunder gi en pasient sykmelding og rett til sykepenger, vil en bruk av opplysningene til kontrollformål ikke være uforenlig med det opprinnelige formålet, jf. Ot.prp. nr. 92 (1998-1999) side 113:
«Når den senere bruken av opplysninger er bestemt i egen lov, vil denne bruken ikke være uforenlig med innsamlingsformålet. For eksempel vil utnytting av oppgaveplikter etter lov 6 juni 1997 nr. 35 om Oppgaveregisteret ikke være uforenlig med det opprinnelige innsamlingsformålet».
Nemnda slutter seg til Datatilsynets vurdering om at NAV i dette tilfellet ikke har behandlet personopplysninger ulovlig.
A får ikke medhold i sin klage.
Konklusjon
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Oslo, 11. januar 2022
Mari Bø Haugstad
Leder