Personvernnemndas vedtak 8. november 2022 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth, Heidi Talsethagen)
Saken gjelder klage fra A på Datatilsynets avgjørelse 23. februar 2022 om ikke å foreta undersøkelser i saken fordi den ligger utenfor Datatilsynets kompetanse eller ansvarsområde, jf. personvernforordningen artikkel 57 nr. 1 bokstav a.
Sakens bakgrunn
A, som i saken er representert ved sin mor B, kontaktet Datatilsynet 4. mars 2021 fordi hun mente det var gjort urettmessige oppslag i hennes barnevernjournal hos barneverntjenesten i X.
I brev 27. april 2021 orienterte Datatilsynet klager om at tilsynet ikke hadde kompetanse til å vurdere hvem i barneverntjenesten som hadde rettmessig tilgang til hennes barnevernjournal og hvem som ikke hadde det. Tilsynet veiledet om retten til innsyn i personopplysningene hennes lagret hos kommunen, herunder tilgangslogg, i tillegg til retten til å klage til statsforvalteren.
B fikk innsyn i barneverntjenestens tilgangslogger for datterens journal og klaget også til Statsforvalteren i Y på det hun oppfattet som urettmessige oppslag i journalen.
Statsforvalteren åpnet tilsynssak og konkluderte 8. april 2021 slik:
«Barneverntjenesten i [X] har ikke handlet i strid med barnevernloven § 6-7, jf. forvaltningsloven § 13.
Barneverntjenesten i [X] har ikke handlet i strid med barnevernloven § 1-7.»
Etter en ny henvendelse fra B til Datatilsynet 16. februar 2022 avsluttet tilsynet saken i e-post til B 23. februar 2022 og opprettholdt sin vurdering av at tilsynet ikke hadde kompetanse til å vurdere hvem i barneverntjenesten som hadde rettmessig tilgang til hennes barnevernjournal og hvem som ikke hadde det.
B klaget på Datatilsynets avslutning av saken 28. februar 2022. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse og oversendte saken til Personvernnemnda 6. april 2022. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. Ingen av partene har inngitt kommentarer.
Saken ble behandlet i nemndas møte 8. november 2022. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth og Heidi Talsethagen. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i hovedtrekk
Tilsynet har ikke kompetanse til å vurdere om ansatte hos barneverntjenesten har handlet i strid med reglene i barnevernloven § 6-5, som angir statsforvalteren som klageorgan. Datatilsynet er heller ikke overprøvingsorgan for statsforvalterens vedtak.
Datatilsynet avslutter derfor saken som følge av manglende kompetanse, jf. personvernforordningen artikkel 57 nr. 1 bokstav a.
Datatilsynet mener uansett at det ikke er hensiktsmessig å foreta nærmere undersøkelser av klagens rettslige og materielle sider, jf. personvernforordningen artikkel 57 nr. 1 bokstav f. Datatilsynet har ikke den nødvendige barnevernfaglige kompetansen til å vurdere hvilke ansatte hos barneverntjenesten som har hatt tjenstlig behov for å gjøre oppslag i journalen. Datatilsynet har derfor i praksis ingen mulighet til å overprøve barneverntjenestens egen vurdering av oppslagenes rettmessighet. Saken har også allerede vært til behandling hos statsforvalteren, og Datatilsynet kan ikke se at tilsynet ville ha kommet til et annet resultat.
As syn på saken i korte trekk
Ansatte i barneverntjenesten i X har foretatt urettmessige oppslag i hennes barnevernjournal. Personene som har gjort oppslag i barnevernjournalen er venner og kjente av familien, uten at de har hatt tjenstlig behov. Dette er snoking. Hun synes det er ubehagelig og krenkende at personer hun kjenner, uten rettmessig grunn, har gjort oppslag i barnevernjournalen og blitt kjent med sensitiv informasjon om henne.
I de fleste undersøkelsessaker hos barneverntjenesten innhentes opplysninger fra helsestasjon, lege, BUP etc. Dette er sensitiv informasjon som er taushetsbelagt og strengt lovregulert av helselovene. Men med en gang den samme lovregulerte informasjonen innhentes av barneverntjenesten er det fritt frem å tilegne seg disse opplysningene, slik statsforvalteren tolker lovverket i denne saken. Med en slik praksis er sårbare barns rettssikkerhet i fare.
Personvernnemndas vurdering
Personvernnemnda har vurdert Datatilsynets avslutning av saken på grunn av manglende kompetanse som et vedtak om avvisning. Vedtak om avvisning gir klagerett, jf. forvaltningsloven § 28, jf. § 2 tredje ledd.
All behandling av personopplysninger hos barneverntjenesten må, for å være lovlig, ha behandlingsgrunnlag i ett av alternativene i personvernforordningen artikkel 6. Dersom opplysningene også omfatter opplysninger som angitt i artikkel 9 nr. 1 må det også foreligge behandlingsgrunnlag i ett av alternativene i artikkel 9 nr. 2. Det er den behandlingsansvarlige, i dette tilfellet den aktuelle kommunen eller barneverntjenesten, som må ha behandlingsgrunnlag etter personvernforordningen. Forordningen sier ikke noe om hvilke ansatte hos den behandlingsansvarlige som har tilgang til opplysningene.
Nemnda legger til grunn at barneverntjenesten kan behandle opplysninger om barn og foreldre med hjemmel i personvernforordningen artikkel 6 nr. 1 bokstav e (utøve offentlig myndighet), samt artikkel 9 nr. 2 bokstav b (oppfylle sine forpliktelser på området sosialrett), i den grad dette er tillatt i henhold til nasjonal rett.
Barnevernets oppgaver og plikter reguleres i nasjonal rett av flere lover. De mest sentrale bestemmelsene er gitt i barnevernloven og forvaltningsloven. Barnevernet er gitt en eksplisitt hjemmel til å behandle personopplysninger i barnevernloven § 6-7 c. Bestemmelsen er ny, men nemnda legger til grunn at bestemmelsen er en videreføring av det som var gjeldende rett på tidspunktet for statsforvalterens behandling av denne saken. De ulike bestemmelsene om taushetsplikt, opplysningsrett og opplysningsplikt som følger av barnevernloven og forvaltningsloven regulerer også i noen grad den enkelte ansattes plikter internt i barneverntjenesten.
I utgangspunktet er de ansatte i barneverntjenesten underlagt taushetsplikt om alle personlige forhold etter barnevernloven § 6-7, jf. forvaltningsloven § 13. Det følger imidlertid av forvaltningsloven § 13 b nr. 3 at taushetsplikten ikke er til hinder for at opplysningene «er tilgjengelig for andre tjenestemenn innen organet eller etaten i den utstrekning som trengs for hensiktsmessig arbeids- og arkivordning, bl.a. til bruk ved vegledning i andre saker.»
Det er statsforvalteren som i henhold til barnevernloven § 2-3 første ledd bokstav a skal føre tilsyn med at loven og forskriftene blir anvendt riktig og på en måte som fremmer lovens formål. Statsforvalteren har, etter henvendelse fra klager, åpnet tilsynssak og hatt en gjennomgang av tilgangsloggen for klagerens barnevernjournal. Statsforvalteren konkluderte blant annet med at barneverntjenesten ikke har handlet i strid med barnevernloven § 6-7, jf. forvaltningsloven § 13.
Nemnda er enig med Datatilsynet i at tilsynet ikke er rett tilsynsmyndighet når det gjelder hvem hos barneverntjenesten som har lovlig tilgang til klagers barnevernjournal. Statsforvalteren har vurdert klagers henvendelse og har konkludert med at de ulike ansattes innlogginger i klagers journal har skjedd i tråd med reglene, jf. barnevernloven § 6-7, jf. forvaltningsloven § 13. Datatilsynet har ikke kompetanse til å overprøve denne avgjørelsen. Det var derfor riktig av Datatilsynet å avvise saken uten å treffe noen tiltak eller gjøre nærmere undersøkelser.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak om å avvise saken opprettholdes.
Oslo, 8. november 2022
Mari Bø Haugstad
Leder