Personvernnemndas vedtak 20. juni 2022 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Klage fra A v/B på Datatilsynets vedtak 7. januar 2022 der tilsynet avsluttet sak om Statsforvalterens innhenting av helseopplysninger fra pasientjournal i forbindelse med stadfesting av en fremtidsfullmakt. Datatilsynet konkluderte med at saken falt utenfor tilsynets myndighet etter personvernforordningen artikkel 57 nr. 1 bokstav a, jf. artikkel 55, og avsluttet saken uten å ta stilling til om Statsforvalterens innhenting av helseopplysninger hadde behandlingsgrunnlag.
Sakens bakgrunn
A opprettet 15. desember 2019 en fremtidsfullmakt hvor hun ga sin ektemann, B, fullmakt til å representere og handle på hennes vegne dersom hun ikke lenger selv var i stand til å ivareta sine interesser, jf. vergemålsloven § 78. Den 1. desember 2020 ble det opprettet et tillegg til fremtidsfullmakten.
B kontaktet Statsforvalteren i Oslo og Viken sommeren 2021 og ba om å få ikrafttredelsen av fremtidsfullmakten stadfestet, jf. vergemålsloven § 84. Under Statsforvalterens behandling av saken innhentet Statsforvalteren opplysninger fra As pasientjournal på sykehjemmet hvor hun bodde og hos hennes fastlege.Formålet med å innhente pasientopplysningene var å utrede om fullmaktsgiveren, da fremtidsfullmakten(e) ble signert, var i stand til å forstå hva det innebar å opprette en fremtidsfullmakt.
Statsforvalteren stadfestet 7. september 2021 ikrafttredelsen av fremtidsfullmakten opprettet 15. desember 2019. Statsforvalteren stadfestet ikke tillegg til fremtidsfullmakten datert 1. desember 2020. Statsforvalteren kom til at det var «klart at fullmaktsgiveren […] manglet evnen til å forstå disposisjonens betydning når fremtidsfullmakten ble opprettet», jf. vergemålsloven § 84 andre ledd bokstav a.
B brakte saken inn for Datatilsynet 23. desember 2021 og anførte at Statsforvalteren hadde behandlet personopplysninger ulovlig i det Statsforvalteren ikke har lovhjemmel til å innhente helseopplysninger fra pasientjournal.
Datatilsynet la til grunn at saken gjaldt spørsmål om Statsforvalteren overholdt saksbehandlingsreglene i forbindelse med stadfesting av en fremtidsfullmakt, og ikke spørsmål om konkrete brudd på personvernregelverket. Datatilsynet konkluderte med at de ikke hadde kompetanse til å vurdere om saksbehandlingen var i tråd med loven og avsluttet saken i brev til B 7. januar 2022.
B klaget rettidig på Datatilsynets vedtak 2. februar 2022. Tilsynet vurderte klagen, men opprettholdt sin vurdering. Saken ble oversendt Personvernnemnda 1. mars 2022. Partene ble orientert om saken i brev fra nemnda 4. mars 2022, og fikk anledning til å komme med kommentarer. Statsforvalteren i Oslo og Viken har gitt kommentarer i brev 14. mars 2022. B har gitt sine kommentarer i brev 23. mars, 18. april og 11. mai 2022.
Saken ble behandlet i nemndas møte 20. juni 2022. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Hans Marius Tessem, Ellen Økland Blinkenberg, Malin Tønseth og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i hovedtrekk
Bs henvendelse til Datatilsynet gjelder spørsmål om Statsforvalteren har overholdt saksbehandlingsregler i forbindelse med stadfesting av fremtidsfullmakt etter vergemålsloven § 84. Dette omfatter en vurdering av hvorvidt fullmaktsgiveren var i en tilstand som beskrevet i § 79 på tidspunktet fremtidsfullmakten ble opprettet.
Ifølge forarbeidene har Statsforvalteren adgang til å utrede slike forhold på eget initiativ, herunder innhente legeerklæring om fullmaktsgivers helsetilstand uten hinder av taushetsplikt, jf. Ot.prp. nr. 110 (2008-2009), side 216.
Saken gjelder ikke spørsmål om konkrete brudd på personvernregelverket. Datatilsynets oppgave er å føre kontroll med at personvernregelverket etterleves, og medvirke til at enkeltpersoner ikke blir krenket gjennom bruk av opplysninger som kan knyttes til dem, jf. personvernforordningen artikkel 57 nr. 1 bokstav a, jf. artikkel 55. Videre skal Datatilsynet behandle klager fra de registrerte i den grad det er hensiktsmessig, jf. artikkel 77, jf. artikkel 57 nr. 1 bokstav f.
Datatilsynet viser til at tilsynet ikke har kompetanse til å overprøve hvorvidt Statsforvalteren har overholdt saksbehandlingsreglene i vergemålsloven. Datatilsynet er heller ikke overprøvingsorgan for Statsforvalterens vedtak. B er heller ikke den registrerte i saken.
På denne bakgrunn avslutter Datatilsynet saken.
Bs syn på saken i korte trekk
Han klager på Statsforvalterens tilegnelse av pasientopplysninger.
Statsforvalteren i Oslo og Viken har i forbindelse med vurdering av stadfestelse av fremtidsfullmakt skaffet seg innsyn i hans ektefelles helseopplysninger uten rettslig grunnlag i lov eller forskrift. Helseopplysninger er underlagt reglene om taushetsplikt i helsepersonelloven §§ 21 og 21 a og pasientjournalloven § 16. Høyesterett har uttalt at helsepersonelloven § 21 a har som formål «å verne pasientens integritet og hindre unødvendig spredning av pasientopplysninger», jf. HR-2021-2389-A, avsnitt 47.
Statsforvalteren har ikke hatt lovlig tilgang til fullmaktsgiverens helseopplysninger da innhentingen av opplysningene ikke har noen tilknytning til å yte henne helsehjelp. Statsforvalteren har dermed krenket fullmaktsgivers personvern ved å innhente hennes helseopplysninger.
I motsetning til hva Datatilsynet legger til grunn gjelder denne saken brudd på personvernregelverket. Det er Datatilsynet som skal føre tilsyn med loven, jf. pasientjournalloven § 26.
Det er fullmektigen som i henhold til vergemålsloven § 84 kan innhente opplysninger om fullmaktsgiverens aktuelle helsetilstand, ikke Statsforvalteren. Lovgiver har vært oppmerksom på at det kreves lovhjemmel for innhenting av ikke-behandlingsrelaterte helseopplysninger, og har derfor gitt nødvendig unntak i loven. Lovgiver har ikke gjort unntak for å innhente historiske helseopplysninger, slik Statsforvalteren har gjort i denne saken. En slik innhenting reiser også spørsmål om hvordan helseopplysninger oppbevares, og om tilgangskontroll.
Han viser til Katrine Kjærheim Fredwall, Vergemålsloven: Fremtidsfullmakter mv. Lovkommentar, Universitetsforlaget 2022, hvor det i kommentaren til § 84 om stadfesting uttales på side 137: «[…] Statsforvalteren skal kun foreta kontroll av fullmakten i tråd med ordlyden i § 84, og skal gjennom det søke å redusere risikoen […].» Det er som det framgår både av loven og av boken, ingen adgang til å innhente helseopplysninger for Statsforvalteren, verken historiske eller aktuelle. Som det imidlertid framgår av lovens ordlyd, er det fullmektigen som kan innhente legeerklæring om fullmaktsgivers «aktuelle helsetilstand». Statsforvalteren har intet unntak i loven for å innhente erklæring om fullmaktsgivers aktuelle helsetilstand, og enn mindre den historiske, jf. bokens side 146.
Statsforvalteren har i denne saken etterspurt opplysninger som lå mer enn halvannet år forut for forespørselen. Disse opplysningene ville ikke engang fullmektigen kunne etterspurt, se boken side 146. Statsforvalterens innhenting av helseopplysninger er ulovlig.
Statsforvalteren i Oslo og Vikens syn på saken i korte trekk
Statsforvalteren stadfestet i avgjørelse 7. september 2021 ikrafttredelsen av As fremtidsfullmakt 15. desember 2019, og besluttet samtidig at tillegget til fremtidsfullmakten 1. desember 2020 ikke oppfyller vilkårene for stadfesting. Statsforvalteren mener det forelå for stor grad av usikkerhet knyttet til fullmaktsgivers forståelsesevne i desember 2020, og innhentet i forbindelse med saksbehandlingen helseopplysninger fra opprettelsestidspunktet.
Etter vergemålsloven § 84, kan fullmektigen be Statsforvalteren om å stadfeste ikrafttredelsen av en fremtidsfullmakt. Stadfesting skal likevel ikke skje hvis «det er klart at fullmaktsgiveren ikke hadde fylt 18 år eller manglet evnen til å forstå disposisjonens betydning når fremtidsfullmakten ble opprettet, jf. § 79 første ledd», jf. bestemmelsens andre ledd, bokstav a.
Det er lagt til grunn i bestemmelsens forarbeider at Statsforvalteren, av eget initiativ, kan undersøke om fullmaktsgiver var i stand til å forstå fremtidsfullmaktens betydning på opprettelsestidspunktet, jf. Ot.prp. nr. 110 (2008-2009).
Da Statsforvalteren mottok søknad om stadfesting av fremtidsfullmaktens ikrafttredelse, hadde søker vedlagt en legeerklæring datert 26. mai 2021, som bekreftet at fremtidsfullmakten har trådt i kraft. I saker hvor det er kort tid mellom fremtidsfullmaktens opprettelse og tidspunktet for ikrafttredelse, er Statsforvalterens praksis å undersøke fullmaktsgivers forståelsesevne på opprettelsestidspunktet. Dette er i tråd med forarbeidene, hvor Statsforvalteren kan undersøke saken på eget initiativ. I dette tilfellet ble tillegget 1. desember 2020 opprettet omtrent seks til sju måneder før fremtidsfullmakten trådte i kraft. Statsforvalteren har rettslig grunnlag for å undersøke slike saker på eget initiativ. Helseopplysninger er i denne saken ikke innhentet ulovlig. Helseopplysninger kan gjøres tilgjengelig for andre formål enn helsehjelp når den enkelte samtykker eller dette er fastsatt i lov eller i medhold av lov, jf. helsepersonelloven § 20.
Statsforvalteren har hjemmel i lov til å innhente opplysninger for å undersøke om fullmaktsgiver var i stand til å forstå fremtidsfullmaktens betydning på opprettelsestidspunktet, jf. vergemålsloven § 84.
Personvernnemndas vurdering
Saken gjelder hvorvidt Statsforvalteren i Oslo og Viken hadde lovlig behandlingsgrunnlag for å innhente pasientopplysninger om A i forbindelse med sitt arbeid med stadfestelse av en fremtidsfullmakt, samt et tillegg til denne. Klagen er fremsatt av B som i henhold til fremlagt fremtidsfullmakt har fullmakt til å handle på As vegne, jf. ordlyden: «Fullmakten omfatter også mine personlige forhold som eksempelvis å representere meg overfor NAV, kommunale og statlige myndigheter og helsepersonell, herunder sykehus og sykehjem». Det er derfor uten betydning at B ikke er den registrerte i saken.
Statsforvalterens innhenting av As helseopplysninger representerer en behandling av personopplysninger og omfattes av de alminnelige reglene i personopplysningsloven og personvernforordningen, jf. loven § 1 og forordningen artikkel 4 nr. 1 og 2. Datatilsynet er tilsynsmyndighet etter personvernforordningen artikkel 51, jf. personopplysningsloven § 20. Datatilsynets oppgaver etter personvernforordningen artikkel 57 nr. 1 bokstav a og h er å føre tilsyn med og håndheve bruken av personvernforordningen.
For at en behandling av personopplysninger skal være lovlig, må den ha et rettslig grunnlag (behandlingsgrunnlag). De rettslige grunnlagene for behandling av personopplysninger framgår av personvernforordningen artikkel 6 nr. 1. Dersom opplysningene faller inn under særlige kategorier av personopplysninger, jf. artikkel 9 nr. 1, må behandlingen i tillegg være lovlig etter minst ett av alternativene i artikkel 9 nr. 2. Det er ingen tvil om at opplysninger fra en pasientjournal faller inn under særlig kategorier av opplysninger i artikkel 9.
Nemnda legger til grunn at de aktuelle behandlingsgrunnlagene er artikkel 6 nr. 1 bokstav e (utøvelse av offentlig myndighet) og artikkel 9 nr. 1, jf. artikkel 9 nr. 2 bokstav f (nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav). Grunnlaget for behandlingen må i henhold til artikkel 6 nr. 3 være fastsatt i unionsretten (bokstav a) eller i nasjonal rett (bokstav b).
Helsepersonell er underlagt taushetsplikt etter helsepersonelloven § 21. Tilegnelse av slike opplysninger er forbudt «uten at det er begrunnet i helsehjelp til pasienten, administrasjon av slik hjelp eller har særskilt hjemmel i lov eller forskrift», jf. helsepersonelloven § 21 a.
Det samme framgår av forarbeidene til personopplysningsloven hvor det heter: «Helseopplysninger som behandles for formålene som omfattes av helselovgivningen, er i utgangspunktet underlagt lovfestet taushetsplikt, jf. helsepersonelloven § 21, pasientjournalloven § 15, helseregisterloven § 17 og helseforskningsloven § 7. Dersom det skal gis tilgang til helseopplysninger fra pasientjournaler eller andre helseregistre, kreves det derfor lovhjemmel, samtykke eller dispensasjon fra taushetsplikt», jf. Prop. 56 LS (2017–2018) pkt. 32.3.3.
Etter vergemålsloven § 84 kan en fullmektig be Statsforvalteren om å stadfeste ikrafttredelsen av en fremtidsfullmakt. Det følger av bestemmelsens tredje ledd hvilke dokumenter fullmektigen skal fremskaffe:
«Fullmektigen skal legge frem fremtidsfullmakten, bevis for at pårørende er varslet, jf. § 83 annet ledd, og en legeerklæring om fullmaktsgiverens aktuelle helsetilstand. Slik legeerklæring kan fullmektigen innhente uten hinder av taushetsplikt. Statsforvalteren sørger for sakens opplysning ellers.»
Loven gjør med andre ord uttrykkelig unntak for helsepersonells taushetsplikt slik at fullmektigen kan innhente en legeerklæring om fullmaktgivers «aktuelle helsetilstand», dvs. en legeerklæring som angir om fullmaktsgiveren er kommet i en slik tilstand at hun ikke lenger selv er i stand til å ivareta sine interesser, jf. vergemålsloven § 78. Videre skal Statsforvalteren «sørge for sakens opplysning ellers». Denne ordlyden gir ikke hjemmel for å innhente taushetsbelagte opplysninger.
I forarbeidene til vergemålsloven, Ot.prp.nr.110 (2008-2009) side 216, fremkommer det at Statsforvalteren:
«[ikke] kan forutsettes på eget tiltak å utrede om fullmaktsgiveren hadde rettslig handleevne da fremtidsfullmakten ble oppfylt, eller om vitnene oppfylte kravene i § 81 annet ledd. Derfor oppstiller annet ledd bokstav a og b slike forhold som hindre for stadfesting, som først og fremst vil få anvendelse når noen overfor fylkesmannen har kommet med en innvending om at fullmaktsgiveren manglet rettslig handleevne, eller at et vitne ikke oppfylte kravene i § 81 annet ledd. Til støtte for en slik innvending må det fremlegges en begrunnelse for innvendingen. Fylkesmannen har selvfølgelig også rett til å utrede slike forhold av eget initiativ».
Heller ikke disse uttalelsene i forarbeidene gir etter nemndas vurdering Statsforvalteren noen hjemmel for å innhente opplysninger fra en pasientjournal. Statsforvalterens «rett til å utrede» må derfor forstås som en rett til å utrede innen de grenser gjeldende lovgivning fastsetter, for eksempel ved å innhente ytterligere opplysninger fra de to personene som er vitner på fremtidsfullmakten.
Tilsvarende betraktninger framkommer også i Katrine Kjærheim Fredwall, Vergemålsloven: Fremtidsfullmakter mv. Lovkommentar, Universitetsforlaget 2022, side 137:
«I § 84 annet ledd angis tre forhold som skal føre til at stadfestelse likevel nektes. Dette er når det er «klart» at fullmaktsgiver ikke hadde kompetanse til å opprette fullmakten, når det er «klart» at vitnene ikke oppfyller kravene i loven, og når det er grunn til å anta at fullmektigen ikke er egnet. Fullmakten kan imidlertid også være rammet av andre ugyldighetsgrunner som ikke nødvendigvis er synbare for statsforvalteren, og som statsforvalteren heller ikke har plikt til å undersøke. Statsforvalteren skal kun foreta kontroll av fullmakten i tråd med ordlyden i § 84, og skal gjennom det søke å redusere risikoen for at forvaltningsorganet bekrefter en ugyldig fullmakt eller representasjon ved en uegnet fullmektig med den risikoen det kan gi for fullmaktsgiver.»
Slik nemnda leser loven og forarbeidene har lovgiver uttrykkelig tatt standpunkt til at det ikke gis noen lovhjemmel til å innhente historiske opplysninger om fullmaktsgivers helsetilstand på tidspunktet da fremtidsfullmakten ble skrevet, verken for Statsforvalteren eller fullmektigen.
Nemnda har etter dette kommet til at Statsforvalteren i Oslo og Viken ikke har lovhjemmel til å innhente pasientjournalopplysninger i forbindelse med stadfesting av en fremtidsfullmakt. Statsforvalteren har dermed ikke gyldig behandlingsgrunnlag for sin innhenting av helseopplysninger.
Nemnda er enig med Datatilsynet i at tilsynet ikke har kompetanse til å vurdere om Statsforvalteren har anvendt vergemålsloven riktig når de enten stadfester eller ikke stadfester ikrafttredelsen av de fremlagte fremtidsfullmaktene. Det er imidlertid Datatilsynet oppgave etter personvernforordningen artikkel 57 nr. 1 bokstav a å føre tilsyn med og håndheve anvendelsen av personvernforordningen, herunder å vurdere om det foreligger gyldig behandlingsgrunnlag og tilstrekkelig lovhjemmel for behandlingen der personopplysningsloven krever det.
A v/B får medhold i sin klage.
Vedtaket er enstemmig.
Konklusjon
Statsforvalteren i Oslo og Vikens innhenting av helseopplysninger hadde ikke gyldig behandlingsgrunnlag.
Hamar, 20. juni 2022
Mari Bø Haugstad
Leder