Personvernnemndas vedtak 24. januar 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Heidi Talsethagen, Morten Goodwin, Malin Tønseth)
Sakens bakgrunn
A klaget i juni 2017 til fylkesmannen (nå statsforvalteren) i X vedrørende helsehjelp gitt til sin sønn. Statsforvalteren åpnet som følge av klagen tilsynssak mot sykehuset Y, jf. lov om statlig tilsyn med helse- og omsorgstjenester §§ 2 og 3, samt lov om pasient- og brukerrettigheter § 7-4. Statsforvalteren traff avgjørelse i tilsynssaken 20. juni 2018. Det er statsforvalterens framstilling av faktum i denne avgjørelsen som er bakgrunnen for klagesaken for nemnda idet A mener opplysningene som framkommer der er ufullstendige og uriktige og krever dem rettet.
I brev til A datert 26. april 2021 avsluttet Datatilsynet saken uten å gjøre nærmere undersøkelser eller treffe noe pålegg overfor statsforvalteren. Tilsynet vurderte det som lite sannsynlig at personvernreglene var brutt i saken og viste til at hoveddelen av saken dreide seg om hvorvidt statsforvalteren hadde overholdt reglene i forvaltningsloven, noe Datatilsynet ikke er tilsynsorgan for. A ble i brevet orientert om at tilsynets beslutning om å avslutte saken, ikke ga henne klagerett.
A klaget på Datatilsynets avgjørelse 20. mai 2021. Datatilsynet omgjorde sin tidligere beslutning om at A ikke hadde klageadgang. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse og oversendte saken til Personvernnemnda 17. august 2022. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A har gitt kommentarer i e-poster 1. og 8. september og brev 8. september 2022, brev 16. oktober og e-poster 19. og 26. oktober 2022 og e-post 10. november 2022.
Saken ble behandlet i nemndas møte 24. januar 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Heidi Talsethagen, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i hovedtrekk
Datatilsynet viser i sin avgjørelse 26. april 2021 til at personvernforordningen artikkel 57 nr. 1 bokstav f åpner for at tilsynet, etter en skjønnsmessig helhetsvurdering, kan velge hvilke saker det skal gjøres nærmere undersøkelser i ut fra hvor sannsynlig det er at det foreligger brudd og hvor alvorlig et mulig brudd på personvernregelverket vil være.
Datatilsynet anser det som lite sannsynlig at personvernreglene var brutt i denne saken, og at det derfor ikke var hensiktsmessig å gjøre ytterligere undersøkelser. Tilsynet viser til at klagen fra A hovedsakelig dreier seg om statsforvalteren har overholdt saksbehandlingsreglene i forvaltningsloven ved behandlingen av tilsynssaken mot sykehuset og at Datatilsynet ikke er et klageorgan overordnet statsforvalteren. Tilsynet viser til at eventuelle brudd på forvaltningslovens regler kan klages inn for Sivilombudet eller bringes inn for retten.
I oversendelsesbrevet til nemnda 17. august 2022 fastholder Datatilsynet at klagesaken faller utenfor det tilsynet har anledning til å uttale seg om som tilsynsmyndighet etter personvernregelverket og uttaler blant annet:
«Klagen gjelder gjengivelse av faktum i en tilsynssak hos Statsforvalteren. Statsforvalteren har helsefaglig kompetanse, herunder kompetanse innenfor tilsynssaker overfor helseforetak. Dette innebærer at det er Statsforvalteren som er nærmest til å vurdere hva som er riktige og relevante opplysninger for å ta stilling til de rettslige spørsmålene som reises i tilsynssaken. Datatilsynet er, i tråd med praksis fra Personvernnemnda, svært forsiktige med å overprøve fagmyndigheters vurderinger. Dette gjelder også forvaltningsrettslige spørsmål om hva som er relevante og riktige opplysninger i forbindelse med en konkret sak.»
Datatilsynet viser i oversendelsesbrevet også til at prinsippet om riktighet, jf. personvernforordningen artikkel 5, må vurderes i lys av formålet opplysningene behandles for. Statsforvalteren er et forvaltningsorgan som behandler personopplysninger for forvaltningsformål, nærmere bestemt for å drive kontroll med underordnede forvaltningsorganer. Riktigheten av opplysningene må derfor sees i sammenheng med formålet med saksbehandlingen hos statsforvalteren. Datatilsynet er tilbakeholdne med å overprøve fagmyndigheters behandling av personopplysninger. Det er ikke innenfor tilsynets kompetanse å vurdere den forvaltningsrettslige og helserettslige saksbehandlingen, og tilsynet tok derfor ikke stilling til om statsforvalteren har skrevet en korrekt og fullstendig beskrivelse av behandlingsforløpet.
Datatilsynet opprettholder vurderingen av sin kompetanse i saken og opprettholder vurderingen om å avslutte saken.
As syn på saken i korte trekk
Statsforvalteren i Xs framstilling av faktum i tilsynssaken er feil. Opplysningene om henne og hennes barn er mangelfulle og misvisende. Dette er et brudd på personvernreglene. Statsforvalterens uriktige framstilling av personopplysninger om henne og hennes barn må rettes/suppleres.
Statsforvalteren har ikke skrevet en korrekt/fullstendig beskrivelse av behandlingsforløpet og har ikke lagt alle relevante opplysninger i pasientjournalen fra sykehuset Y til grunn, bare et selektivt utvalg. Statsforvalterens framstilling stemmer ikke med journalen og annen samtidig dokumentasjon (fra 2014-2016), men baserer seg mye på framstillinger konstruert i ettertid av det involverte helsepersonellet, etter at tilsynssaken ble åpnet (i 2017). I brev til Datatilsynet 8. juni 2020 beskriver hun i detalj feil og mangler i statsforvalterens framstilling. Statsforvalteren har ikke sørget for at opplysningene er korrekte for formålet, både fordi relevante personopplysninger er utelatt og andre opplysninger er uriktig framstilt. Statsforvalterens framstilling skal være en beskrivelse av faktisk pasient/-hendelsesforløp i 2014-15, men er feil fordi essensielle opplysninger (som er nødvendige for å oppfylle formålet med behandlingen av opplysningene, nemlig å avgjøre om meldeplikt og avvergeplikt ble brutt i 2014 og 2015), er utelatt og/eller uriktig fremstilt.
Ettersom det ikke er mulig å klage på statsforvalterens avgjørelse, er det særlig viktig at de som behandler personopplysningene framstiller personopplysningene riktig.
Det er feil at Datatilsynet og/eller Personvernnemnda ikke skal ta stilling til om statsforvalteren har skrevet en korrekt og fullstendig beskrivelse av behandlingsforløpet. Det er snakk om et fagområde der selv statsforvalteren mangler grunnleggende kompetanse (psykisk mishandling), og der hennes rettelser derfor må tillegges stor vekt.
Statsforvalteren har verken oppfylt personvernforordningen artikkel 5 nr. 1 bokstav d (om at opplysningene skal være riktige og relevante for formålet), artikkel 12 nr. 2 (om å legge til rette for den registrertes rettigheter) eller artikkel 16 (rett til retting).
Det er også feil i Datatilsynets framstilling av denne saken i avgjørelse 26. april 2021. Der tilsynet forsøksvis gjengir det som står i statsforvalterens avgjørelse er det viktig at det også framkommer at statsforvalteren ikke har tatt med hennes kommentarer og rettelser til det sykehuset hadde sendt inn. Hun opplever nok en gang at det legges liten eller ingen vekt på informasjon fra henne om hva som mangler og er feil i det som er skrevet om henne og barnet. Datatilsynet legger utelukkende vekt på andre offentlige ansattes framstilling.
Når feil i personopplysninger spres fra en etat til en annen, er det ingen automatikk i at feilene oppdages og stoppes. Hun har dessverre lang erfaring med at feil ikke oppdages, men tvert imot forplanter seg og sementeres som (falske) «sannheter».
Personvernnemndas vurdering
Personvernnemnda har vurdert Datatilsynets avslutning av saken på grunn av manglende kompetanse som et vedtak om avvisning. Vedtak om avvisning gir klagerett, jf. forvaltningsloven § 28, jf. § 2 tredje ledd.
All behandling av personopplysninger hos statsforvalteren må, for å være lovlig, ha behandlingsgrunnlag i ett av alternativene i personvernforordningen artikkel 6. Dersom opplysningene også omfatter opplysninger som angitt i artikkel 9 nr. 1, må det også foreligge behandlingsgrunnlag i ett av alternativene i artikkel 9 nr. 2.
Nemnda legger til grunn at statsforvalteren kan behandle opplysninger i den aktuelle tilsynssaken med hjemmel i personvernforordningen artikkel 6 nr. 1 bokstav e (utøve offentlig myndighet), samt artikkel 9 nr. 2 bokstav f (fastsette rettskrav). Supplerende rettsgrunnlag, jf. artikkel 6 nr. 3, følger av lov om statlig tilsyn med helse- og omsorgstjenester §§ 2 og 3, samt lov om pasient- og brukerrettigheter § 7-4.
Det er i denne saken ikke et spørsmål om statsforvalteren har behandlet personopplysninger ulovlig, men A mener at statsforvalteren i sin avgjørelse i tilsynssaken har framstilt hennes og sønnens personopplysninger uriktig og/eller mangelfullt og krever denne delen av avgjørelsen rettet.
Etter nemndas vurdering er det klart at Datatilsynet ikke har kompetanse til å vurdere om statsforvalteren har framstilt faktum (herunder personopplysningene) korrekt eller fullstendig i sin avgjørelse i tilsynssaken og kan heller ikke pålegge statsforvalteren å endre utformingen av denne. Det var derfor korrekt av tilsynet å avvise kravet om retting og avslutte saken uten ytterligere undersøkelser.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets avvisning av As krav om retting opprettholdes.
Oslo, 24. januar 2023
Mari Bø Haugstad
Leder