Personvernnemndas vedtak 28. mars 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 26. april 2021 der Datatilsynet, etter klage fra statsforvalteren, omgjorde tidligere vedtak om å pålegge statsforvalteren sletting av personopplysninger i sitt arkiv.
Sakens bakgrunn
Saken startet i 2011 med en rekke henvendelser fra A til Fylkesmannen i X (nå Statsforvalteren i Y, heretter omtalt som statsforvalteren) som resulterte i en tilsynssak mot Sykehuset Y HF. Tilsynssaken ble avsluttet 8. mai 2012 uten at det ble funnet grunnlag for å påpeke pliktbrudd hos involvert helsepersonell eller Sykehuset Y HF.
A hadde deretter en slettesak overfor sykehuset vedrørende opplysninger i sin journal etter helsepersonelloven § 43 og sykehuset vedtok som følge av dette sletting av opplysninger. Statsforvalteren slettet som følge av sykehusets vedtak om sletting av journalopplysninger de samme opplysningene og erstattet dem med sladdet versjon fra sykehuset. A krevde i tillegg at hele tilsynssaken hos statsforvalteren skulle slettes fra statsforvalterens arkiv, herunder brev oversendt fra A og hennes mor til statsforvalteren i anledning saken, samt korrespondanse mellom statsforvalteren og pasient- og brukerombudet i anledning saken. Statsforvalteren avslo As krav om sletting 5. juni 2015 under henvisning til arkivplikten for offentlige myndigheter og oversendte saken til Kommunal- og moderniseringsdepartementet 21. juni 2016. Departementet videresendte 18. august 2016 saken til Statens Helsetilsyn som rett klageinstans, jf. forvaltningsloven § 28.
Statens helsetilsyn vurderte at Datatilsynet var rett instans for henvendelsen og sendte saken videre dit 23. februar 2017. Etter dagjeldende personopplysningslov (lov-2000-04-14-31) § 27 kunne Datatilsynet pålegge sletting og/eller sperring også av arkivverdig materiale dersom det forelå tungtveiende personvernhensyn som tilsa sletting. Lovens ordning var at Datatilsynet først skulle innhente Riksarkivarens syn. Det fulgte med andre ord av 2000-loven at Datatilsynets pålegg om sletting på grunn av tungtveiende personvernhensyn gikk foran arkivlovas regler om kassasjonsforbud.
Datatilsynet innhentet statsforvalterens syn på saken 31. mai 2017. Statsforvalteren ga sin redegjørelse i brev 21. juni 2017.
I vedtak 19. februar 2018 avslo Datatilsynet begjæringen om sletting av opplysninger. Datatilsynet konkluderte med at personvernulempene for A ble tilstrekkelig avhjulpet ved at sakens dokumenter ble sperret, jf. personopplysningsloven 2000 § 27. Sperring innebar at dokumentene skulle fjernes fra det elektroniske arkivet og at papirkopier skulle oppbevares forsvarlig med streng tilgangsstyring.
A klaget på vedtaket 16. mars 2018. Datatilsynet vurderte omgjøring av sitt vedtak og varslet 9. juli 2018 statsforvalteren om at tilsynet ville fatte vedtak om sletting av arkiverte personopplysninger om A.
Datatilsynet ba om Arkivverkets syn på det varslede vedtaket 9. juli 2018. Riksarkivaren ga sin uttalelse i brev til Datatilsynet 20. september 2018 og motsatte seg sletting.
Datatilsynet traff 9. januar 2019 slikt vedtak:
«1. Fylkesmannen i X pålegges å slette de opplysninger om A som Sykehuset Y HF har besluttet at er uriktige, uavhengig av i hvilket dokument de fremkommer, jf. personvernforordningen art. 21 nr. 1, jf. art. 5 nr. 1 bokstav c og d, jf. art. 17 nr. 1 bokstav c.
2. Fylkesmannen i X pålegges å underrette Kommunal- og moderniseringsdepartementet og Helsetilsynet om at opplysninger om A er slettet, jf. personvernforordningen art. 19.»
Statsforvalteren klaget over vedtaket 15. februar 2019. Datatilsynet vurderte klagen og kom, etter en ny vurdering, til at vedtaket skulle omgjøres slik at statsforvalteren ikke skulle pålegges å slette de arkiverte personopplysningene. Datatilsynet redegjør for sin nye vurdering i brev til statsforvalteren 26. april 2021. I brev til A samme dag redegjør Datatilsynet for at de har besluttet «å omgjøre sitt tidligere pålegg om sletting og avslutte saken uten å fatte nytt pålegg om sletting». I brevet skriver Datatilsynet at tilsynets beslutning om å avslutte saken ikke er et enkeltvedtak etter forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a, og at A derfor ikke har klagerett på beslutningen.
A klaget likevel på Datatilsynets avgjørelse 27. mai 2021 og utdypet klagen i brev 30. juni 2021.Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse. Datatilsynet sendte saken til Personvernnemnda 6. oktober 2022. Ved oversendelse av saken til nemnda er tilsynets tidligere standpunkt om at Datatilsynets avgjørelse 26. april 2021 ikke er et enkeltvedtak som gir klagerett, ikke omtalt.
Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt kommentarer i brev 21. november og 12. desember 2022.Statsforvalteren i Y har gitt kommentarer i brev 18. november 2022.
Saken ble behandlet i nemndas møte 28. mars 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i korte trekk
I tiden som har gått etter at saken ble klaget inn til tilsynet har det skjedd en viktig endring i regelverket. Personvernforordningen som trådte i kraft i 2018 og erstattet personopplysningsloven av 2000, gir ikke lenger Datatilsynet kompetanse til å pålegge sletting av arkivverdig materiale i saker der det er vurdert at sletting ikke kan gjennomføres som følge av arkivplikten. Det vises til departementets uttalelser om forholdet mellom arkivplikt og retten til sletting i forarbeidene til den nye personopplysningsloven.
I 2019 var det fortsatt noe uklart hvilken rekkevidde denne endringen hadde for slettekrav, men som følge av tiden det har tatt å behandle saken har rettstilstanden blitt mer avklart.
Datatilsynet legger derfor nå til grunn at tilsynet ikke lenger har kompetanse til å pålegge sletting av arkivpliktig materiale når forvaltningsorganet har realitetsvurdert spørsmålet. Eventuell tvist om hva som er riktig praktisering av arkivlova må påklages til og avgjøres av statsforvalteren, eventuelt i samråd med Riksarkivaren.
Retten til å kreve sletting av opplysninger i offentlige arkiver med hjemmel i personvernlovgivningen er ikke absolutt. Tilsynet viser til Personvernnemndas avgjørelse PVN-2020-05 der det gjøres rede for forholdet mellom forvaltningens oppbevaringsplikt etter arkivlova og den registrertes rett til å kreve sletting, samt Datatilsynets kompetanse til å pålegge sletting. I denne saken framgår det også at det faktum at opplysninger er uriktig eller ulovlig opprettet i et forvaltningsorgan ikke nødvendigvis betyr at de samme opplysningene kan kreves slettet fra et annet organ som har mottatt de samme opplysningene i forbindelse med klagebehandling eller annen saksbehandling.
Sammenholdt med uttalelsene fra Riksarkivaren og flere relevante avgjørelser av beslektede problemstillinger i Personvernnemnda anser Datatilsynet det ikke lenger som riktig å opprettholde pålegget om sletting.
As syn på saken i korte trekk
Det utgjør en klar saksbehandlingsfeil at Datatilsynet avslutter en sak, der et vedtak om å pålegge en behandlingsansvarlig å slette personopplysninger, er påklaget av den behandlingsansvarlige, med et brev. Riktig saksbehandling og avgjørelsesform skulle i dette tilfellet være at Datatilsynet fattet et vedtak i klagesaken, der klagen enten ble forkastet eller klager ble gitt helt eller delvis medhold i sin klage. Dersom klager fikk medhold, måtte Datatilsynet begrunnet konkret hvorfor det opprinnelige vedtaket ikke kunne opprettholdes.
Datatilsynets konklusjon om at avgjørelsen ikke er et enkeltvedtak, framstår som «kreativ juss». Datatilsynet skriver at beslutningen om å avslutte saken uten klageadgang, ikke er bestemmende for klagers rettigheter eller plikter. Det er uforståelig.
I denne saken er det fattet et vedtak om å pålegge statsforvalteren å slette de uriktige opplysningene om klager, og det er åpenbart at det er et enkeltvedtak når dette vedtaket omgjøres, slik at statsforvalteren stadig kan lagre de uriktige opplysningene om klager i sine arkiver. Ettersom saken direkte gjelder klager og klagers personopplysninger, er det heller ikke tvilsomt at klager er «part» i saken, jf. forvaltningsloven § 2 første ledd bokstav e.
Datatilsynets forståelse av egen kompetanse er feil. At Datatilsynet ikke skal kunne pålegge sletting av beviselig uriktige og krenkende personopplysninger, som ikke har noen konkret påviselig betydning i den aktuelle saken hvor arkivplikten har oppstått, framstår som en ansvarsfraskrivelse og åpenbar misforståelse av Datatilsynets myndighet og ansvar.
Norge er forpliktet overfor EØS til å følge personvernforordningen, som ved motstrid går foran norsk lov, jf. EØS-loven § 2. Når forordningen viser til nasjonal lovgivning, ligger det innenfor Datatilsynets myndighet og ansvarsområde å foreta nødvendige avveininger, å ta stilling til hvilket regelsett som skal gå foran, og i tilfelle om nasjonale regler kan begrunne unntak fra den registrertes rettigheter etter forordningen.
Det er ikke i tråd med lovgivers intensjon at Datatilsynet overlater vurderingen av arkivplikten, og dermed også unntak fra rettigheter som den registrerte har etter personvernforordningen, til statsforvalteren og Riksarkivaren.
Det er uklart hvorfor Datatilsynet understreker at regelverket og rettspraksisen har endret seg siden tilsynet mottok saken i 2017 når vedtaket ble fattet etter nytt regelverk i 2019. Klager stiller spørsmål ved om det er vanlig praksis å unnlate å behandle en sak i en periode på over to år i påvente av at rettspraksis skal utvikle seg.
Datatilsynet mener klagerens slettekrav er behørig behandlet i flere instanser. Det er ikke riktig. Klager aksepterer ikke å bli henvist på nytt til å klage til statsforvalteren. Mange år har gått uten at Datatilsynet har behandlet saken. Hennes krav gjelder sletting. Sperring av personopplysninger er ikke en tilfredsstillende løsning.
Denne saken, og Datatilsynets lange saksbehandlingstid, har vært og er fremdeles en stor belastning for klager siden de aktuelle opplysningene fortsatt ligger lagret hos statsforvalteren, og i tillegg er spredt videre til andre instanser, som følge av klagesaken.
Statsforvalteren i Ys syn på saken i korte trekk
Opplysningene klager ønsker fjernet hos statsforvalteren er knyttet til statsforvalterens behandling av en tilsynssak. Det omfatter opplysninger i statsforvalterens åpningsbrev i tilsynssaken til sykehuset og i sykehusets og ansattes svar til statsforvalteren. Saken ble startet opp etter klagers ønske. Selv om klager ikke er fornøyd med statsforvalterens konklusjon i klagesaken, er det viktig å huske på at andre enn klager også har en interesse i at sakens gang er dokumentert (f.eks. part i saken).
Som offentlig myndighet er statsforvalteren pålagt å føre tilsyn med helsetjenesten og må dokumentere hvordan dette gjennomføres i tråd med regelverket. Sivilombudet er opptatt av at statsforvalteren gjennomfører en forsvarlig saksbehandling, og mottar da samtlige av sakens dokumenter til gjennomsyn.
Videre vises det til at opplysningene er nødvendig for arkivformål i allmennhetens interesse. Dette innebærer at statsforvalteren må kunne dokumentere at kravet til rettslig forpliktelse er oppfylt og at tilsynssak, som ble startet opp etter ønske fra klager, ble behandlet. I denne aktuelle saken har klagers ønsker endret seg underveis, og det er derfor fortsatt et behov for å dokumentere sakens gang. Ved en eventuell senere tilsynssak overfor statsforvalteren har statsforvalteren ansvaret for å dokumentere hva som er utført og at dette er i tråd med reglene. Dette lar seg ikke gjøre dersom saksdokumenter slettes i det omfang klager ønsker. Arkivering i henhold til arkiveringslovverket er nødvendig for etterrettelighet i statsforvalterens saksbehandling.
Opplysninger om A skal ikke slettes fra statsforvalterens arkiv fordi statsforvalteren er en offentlig myndighet som utøver oppgaver i allmennhetens interesse, og fordi statsforvalteren plikter å ivareta arkivformål i allmennhetens interesse, jf. personopplysningsloven artikkel 17 nr. 3 bokstav b og d.
Statsforvalteren mener at As interesser er tilstrekkelig ivaretatt dersom saken sperres i statsforvalterens arkiv. Kun et begrenset antall personer med administratorrettigheter har tilgang til opplysningene.
Personvernnemndas vurdering
As klagerett på Datatilsynets avgjørelse
A har klagerett over Datatilsynets vedtak, jf. personopplysningsloven § 22 andre ledd, forutsatt at vedtaket er truffet under tilsynets utøving av offentlig myndighet og er bestemmende for As rettigheter og plikter, jf. forvaltningsloven § 2 bokstav a og b.
I denne saken er det truffet flere vedtak som er bestemmende for A og Statsforvalteren i Ys rettigheter og plikter. Datatilsynet traff først 19. februar 2018 et vedtak hvor As krav om sletting ble avslått. A klaget på dette vedtaket og under saksforberedelsen av klagesaken, jf. forvaltningsloven § 33 andre ledd, kom Datatilsynet til at vedtaket skulle endres. Tilsynet traff dermed et nytt vedtak 9. januar 2019 hvor A fikk medhold i sitt slettekrav og statsforvalteren ble pålagt å slette opplysninger i sitt arkiv. Også dette vedtaket ble påklaget og under saksforberedelsen av denne klagen endret tilsynet sin vurdering tilbake i tråd med det første vedtaket. Nytt vedtak ble truffet 26. april 2021 hvor As krav om sletting av personopplysninger ble avslått.
Det er ingen tvil om at også dette siste vedtaket fra 26. april 2021 er et enkeltvedtak som gir A klagerett. Avgjørelsen er truffet under utøving av offentlig myndighet og er utvilsomt bestemmende for As rettigheter og plikter, jf. forvaltningsloven § 2 første ledd bokstav b, jf. bokstav a. Datatilsynet har i sin avgjørelse 26. april 2021 redegjort for at tilsynet mener at omgjøringen av tidligere vedtak ikke er et nytt enkeltvedtak som kan påklages. Tilsynet har likevel behandlet klagen som en klage på et enkeltvedtak og oversendt saken til nemnda 6. oktober 2022. Nemnda har forståelse for at tilsynets saksbehandling har skapt uklarheter for A som er part i saken og som utvilsomt har klagerett på Datatilsynets vedtak 26. april 2021, jf. personopplysningsloven § 22 andre ledd, jf. forvaltningsloven § 28.
As krav om sletting av opplysninger
Artikkel 17 nr. 1 gir den registrerte rett til å få opplysninger om seg slettet på visse vilkår. Det aktuelle alternativet for å kreve sletting i dette tilfellet er artikkel 17. nr. 1 bokstav c (den registrerte protesterer mot behandlingen etter artikkel 21 nr. 1 og det ikke finnes mer tungtveiende grunner til behandlingen).
Artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig for å oppfylle en rettslig forpliktelse (bokstav b) eller for arkivformål i allmennhetens interesse (bokstav d).
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til
sletting, jf. § 28 første ledd i dagens lov. I motsetning til gjeldende personopplysningslov gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov § 27 tredje ledd og § 28 fjerde ledd.»
Dette innebærer at A ikke kan kreve opplysningene om seg slettet fra statsforvalterens arkiv dersom fortsatt lagring av opplysningene er begrunnet i arkivformål i allmennhetens interesse, jf. personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, jf. personopplysningsloven § 8 og personvernforordningen artikkel 9 nr. 2 bokstav j (for helseopplysninger som tilhører særlige kategorier personopplysninger).
Nemnda legger til grunn at statsforvalterens formål med innsamling av personopplysningene opprinnelig var å behandle tilsynssaken overfor Sykehuset Y HF. Tilsynssaken er avsluttet og statsforvalterens formål med fortsatt oppbevaring av opplysningene er nå begrunnet i arkivformål i allmennhetens interesse i tråd med bestemmelsene i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med loven er ifølge § 1:
«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».
Av Riksarkivarens forskrift 19. desember 2017 nr. 2286 § 7-1 bokstav c følger det at formålet blant annet er å:
«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»
Det rettslige utgangspunktet er et kassasjonsforbud, jf. arkivlova § 9 bokstav c, og innebærer at offentlig arkiv ikke kan kasseres uten en kassasjonstillatelse.
Nemnda understreker at det er Datatilsynet som er tilsynsmyndighet når det gjelder krav om sletting etter artikkel 17 nr. 1. Det innebærer at Datatilsynet blant annet skal ta stilling til rekkevidden av unntakene som følger av artikkel 17 nr. 3 bokstav b og d. Dette gjelder også krav om sletting av arkiverte dokumenter hos offentlige myndigheter. Det er derfor ikke riktig når Datatilsynet sier at det ikke har kompetanse til å ta stilling til krav om sletting av personopplysninger som er lagret i offentlige arkiv. Ved Datatilsynets behandling av et slettekrav har tilsynet mulighet til å innhente en uttalelse fra Riksarkivaren i saker der tilsynet anser det nødvendig for å kunne ta stilling til slettekravet. At den offentlige myndighetens egen vurdering av om opplysningene er nødvendig for arkivformål skal tillegges stor vekt, endrer ikke på at Datatilsynet er rette myndighet for å ta imot og behandle slettekrav etter artikkel 17.
I denne saken har Datatilsynet innhentet Riksarkivarens syn som har motsatt seg sletting med den begrunnelse at dokumentene inneholder viktig forvaltningsmessig dokumentasjon og har stor rettssikkerhetsmessig verdi.
Nemnda legger etter dette til grunn at statsforvalteren har behandlingsgrunnlag for fortsatt lagring av personopplysningene i personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, jf. personopplysningsloven § 8 og personvernforordningen artikkel 9 nr. 2 bokstav j.
Når de aktuelle personopplysningene representerer materiale som er underlagt bevaringsplikt etter arkivlova § 6 jf. § 9, jf. Riksarkivarens uttalelse 20. september 2018, har statsforvalteren også en rettslig forpliktelse til å oppbevare opplysningene jf. personvernforordningen artikkel 6 nr. 1 bokstav c. Formålsbegrensningsprinsippet i artikkel 5 første ledd bokstav c innebærer at opplysningene ikke kan behandles til andre formål enn arkivformål.
Konklusjon
A får ikke medhold i sitt krav om sletting av opplysninger i statsforvalterens arkiv, jf. personvernforordningen artikkel 17 nr. 3 bokstav b og d.
Vedtaket er enstemmig.
Oslo, 28. mars 2023
Mari Bø Haugstad
Leder