Personvernnemndas vedtak 15. september 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 5. september 2022 der tilsynet avviste saken under henvisning til at den falt utenfor personopplysningslovens saklige virkeområde, jf. personopplysningsloven § 2 andre ledd bokstav b.
Sakens bakgrunn
Datatilsynet mottok 22. november 2021 en henvendelse fra A om det hun mente var en ulovlig behandling av hennes personopplysninger fra If Skadeforsikrings side. I en, på det tidspunktet, pågående tvist for domstolene vedrørende tilkjenning av yrkesskadeforsikring hadde forsikringsselskapet oversendt sakens dokumenter (herunder As helseopplysninger) til en ekstern psykiater som selskapet engasjerte som privat (ikke rettsoppnevnt) sakkyndig. Det framkommer av framlagte prosesskriv at A også i den rettslige prosessen anførte at utleveringen av As helseopplysninger til den privat engasjerte sakkyndige representerte et brudd på personvernforordningen. Det er ikke opplyst hvorvidt det ble begjært bevisavskjæring og om Borgarting lagmannsrett traff noen avgjørelse om dette. Borgarting lagmannsrett hadde hovedforhandling i saken i desember 2021 og avsa dom 7. januar 2022. Det framkommer av dommen at retten mottok forklaring fra den privat engasjerte sakkyndige, men at retten ikke fant å legge avgjørende vekt på hans vurdering.
Datatilsynet traff følgende vedtak 5. september 2022:
«Klagen avvises. Klagen gjelder etter vår vurdering en behandling av personopplysninger som faller utenfor personvernregelverkets saklige virkeområde, jf. personopplysningsloven § 2 annet ledd bokstav b. Datatilsynet har dermed ikke kompetanse til å behandle saken etter personvernforordningen artikkel 55 og personopplysningsloven § 20.»
A klaget rettidig på vedtaket 26. september 2022. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 30. januar 2023. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har ikke gitt noen kommentarer.
Saken ble behandlet i nemndas møte 15. september 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Kort om Datatilsynets vedtak
Datatilsynet la til grunn at klagen gjaldt behandling av personopplysninger som faller utenfor personopplysningslovens virkeområde etter personopplysningsloven § 2 andre ledd bokstav b, og avviste klagen.
Datatilsynet viser til at selv om saken ikke gjelder domstolenes behandling av personopplysninger, så er det tale om en sak som ble behandlet i medhold av en rettspleielov. Ordlyden i § 2 andre ledd bokstav b trekker etter tilsynets vurdering klart i retning av at rettspleielovunntaket gjelder alle aktører som behandler personopplysninger i forbindelse med rettstvister. Rettspleielovunntaket gjelder «saker» i sin helhet uten at det er vist til en begrensning som taler for at det utelukkende er domstolenes behandling som omfattes. Formålet med og hensynene bak regelen taler også for at rettspleielovunntaket omfatter partenes behandlingsaktiviteter i forbindelse med rettstvisten.
I denne saken er det If, som part i saken for domstolen, som utleverte personopplysninger til en privat engasjert sakkyndig i saken. Den sakkyndige ble innkalt som vitne i saken og dette tilsier at utleveringen skjedde i kontekst av domstolsbehandlingen og at rettspleielovunntaket kommer til anvendelse, jf. personopplysningsloven § 2 andre ledd bokstav b.
As syn på saken i korte trekk
Datatilsynet har kompetanse til å behandle saken, ettersom foreliggende sak faller utenfor unntaket i personopplysningsloven § 2 andre ledd bokstav b.
Rekkevidden for unntaket i personopplysningsloven § 2 andre ledd bokstav b er uklar, jf. forarbeidene til loven, Prop. 56 LS (2017-2018) punkt 4.4.7 og 4.5.7. Spørsmålet har ikke tidligere blitt satt på spissen, og det er følgelig verken rettspraksis eller nemndspraksis som avklarer grensen nærmere.
Den rettslige prosessen er avsluttet og hensynet bak unntaket gjør seg ikke lenger gjeldende. Det er i saken ikke et spørsmål om avskjæring av bevis, ei heller et spørsmål om å overprøve domstolens vurdering. Lagmannsretten har i sin dom ikke behandlet problemstillingen som ble tatt opp i forkant av hovedforhandlingen ettersom A under ankesaken samtykket til at psykiateren forklarte seg som sakkyndig vitne i saken. Lagmannsretten ser i dommen 7. januar 2022 bort fra psykiaterens vurdering.
Borgarting lagmannsrett avsa en kjennelse 17. januar 2021 i en annen sak som berører tilsvarende tema som i foreliggende sak, se LB-2021-65580. Borgarting lagmannsrett uttaler:
«Ettersom lagmannsretten er kommet til at bevisene er skaffet til veie på utilbørlig måte i strid med helsepersonelloven § 21 a, er det ikke nødvendig for lagmannsretten å også vurdere om videreformidlingen av informasjonen fra Protector til dr. Weisæth og dr. Nordal er i strid med GDPR.»
Høyesterett avviste anken fra selskapet og kjennelsen er rettskraftig.
A ber om at saken behandles. Utlevering av sensitive personopplysninger til eksterne sakkyndige er vanlig hos If. Det er derfor viktig å avklare dette prinsipielle spørsmålet.
Personvernnemndas vurdering
Personopplysningsloven og personvernforordningen gjelder ved helt eller delvis automatisert behandling av personopplysninger og ved ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register. Loven og forordningen gjelder ikke når annet er bestemt i eller i medhold av lov, jf. personopplysningsloven § 2 første ledd.
Personopplysningsloven § 2 andre ledd bokstav b oppstiller unntak fra personopplysningslovens saklige anvendelsesområde slik:
«Loven og personvernforordningen gjelder ikke
[...]
b) for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.)»
Spørsmålet i saken er om forsikringsselskapets oversendelse av saksdokumentene med As helseopplysninger til en privat engasjert sakkyndig, i forbindelse med behandlingen av en sivil sak for lagmannsretten, faller utenfor personopplysningslovens virkeområde. Subsidiært er det reist spørsmål om vurderingen uansett blir annerledes etter at den rettslige prosessen er avsluttet.
Dagens rettspleielovunntak representerer en videreføring av tilsvarende unntak i den tidligere personopplysningsforskriften § 1-3. I Prop. 56 LS (2017–2018) omtaler departementet rettspleielovunntaket slik i punkt 4.5.7:
«Departementet foreslår at loven ikke skal gjelde for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.), se lovforslaget § 2 annet ledd bokstav b. Dette er en videreføring av någjeldende personopplysningsforskrift § 1-3, som har identisk ordlyd.»
Under høringsrunden påpekte flere høringsinstanser at det var uklarheter med det dagjeldende rettspleielovunntaket i personopplysningsforskriften, herunder Datatilsynet og Juristforbundet. Juristforbundet uttalte at det særlig er behov for å avklare unntakets rekkevidde for saker som behandles etter tvisteloven. Datatilsynet viste blant annet til at bestemmelsen ikke gir anvisning på hvilke aktører som omfattes av unntaket, noe Datatilsynet mente var problematisk ettersom det i tilknytning til saker som behandles eller avgjøres av rettspleielovene kan være en rekke forskjellige behandlingsansvarlige.
Departementet opprettholdt likevel den samme ordlyden, med slik begrunnelse i lovforarbeidene pkt. 4.5.7:
Departementet vil til dette bemerke at bestemmelsen viderefører gjeldende rett, slik at det ikke er nye tolkningsspørsmål som reises. Samtidig har departementet notert seg uttalelsene fra høringsinstansene, og mener det kan være aktuelt å ta bestemmelsen opp til nærmere vurdering. Departementet foreslår likevel ingen endring av bestemmelsen i proposisjonen her, se punkt 2.3.»
Justis- og beredskapsdepartementet har tidligere opplyst at de har til behandling en utredning knyttet til rekkevidden av rettspleielovunntaket. Det foreligger ingen opplysninger om når dette arbeidet ventes ferdigstilt.
Nemnda legger til grunn at unntaket for saker som behandles etter rettspleielovene er begrunnet i hensynet til en uavhengig rettspleie, samt at personvernet anses ivaretatt gjennom de alminnelige rettssikkerhetsgarantiene som rettspleielovene gir, jf. PVN-2022-16. Selv om det i ulike lovforarbeider har vært påpekt uklarhet med hensyn til rekkevidden av rettspleielovunntaket så har departementet i forarbeidene til personopplysningsloven 2018 gitt uttrykk for at tidligere rettstilstand videreføres.
Datatilsynet har i sin praksis lagt til grunn at unntaket også omfatter aktørenes behandling av personopplysninger i saker som behandles eller avgjøres i medhold av rettspleielovene. Personvernnemnda har også lagt det til grunn, jf. PVN-2022-16. Nemnda kan ikke se at det foreligger personvernhensyn som tilsier en innstramming av denne etablerte forvaltningspraksisen. Dersom rettspleielovunntaket bare skulle gjelde for domstolene, og ikke aktørene som enten er parter eller representerer parter i saker for domstolen, vil unntaket ikke ha noen reell betydning. Domstolen behandler ingen personopplysninger innenfor sin dømmende myndighet som ikke også nødvendigvis må behandles av sakens parter.
Nemnda legger, som Datatilsynet, til grunn at personopplysningsloven ikke regulerer hvilke bevis som kan føres i retten, og heller ikke innhenting og utlevering av personopplysninger som utgjør bevis i en sak som behandles i domstolene. Reglene om informasjonsadgang og framleggelse av bevis i rettslige prosesser framgår av prosesslovgivningen. Det er utenfor Datatilsynets og Personvernnemndas myndighet å regulere dette. Dersom en part anfører at et bevis er ulovlig, er det – for sivile saker – reglene om bevisforbud og bevisfritak i tvisteloven kapittel 22 som kommer til anvendelse. Det er domstolen som avgjør om beviset kan fremmes og tillates, jf. for eksempel tvisteloven § 22-7 som bestemmer at retten i særlige tilfeller kan nekte føring av bevis som er skaffet til veie på utilbørlig måte.
As henvisning til LB-2021-65580-1 endrer ikke nemndas vurdering av dette spørsmålet. Tvert imot illustrerer avgjørelsen at behandlingen av personopplysninger i forbindelse med saker for domstolene er tilstrekkelig regulert gjennom rettspleielovene og eventuell annen særlovgiving slik at det ikke er behov for regulering etter personvernlovgivningen i tillegg. Hovedsaken i avgjørelsen fra Borgarting lagmannsrett gjaldt et krav om yrkesskadeerstatning etter en arbeidsulykke. Under saksforberedelsen oppstod det tvist om forsikringsselskapet kunne framlegge som bevis erklæringer utarbeidet av sakkyndige vitner oppnevnt av forsikringsselskapet. De sakkyndige vitnene hadde basert seg på helseopplysninger (journaler mv.) om skadelidte som lå i saken. Skadelidte hadde uttrykkelig nektet samtykke til at disse sakkyndige vitnene fikk tilgang til og brukte hans helseopplysninger. Lagmannsretten kom til at slik bruk av helseopplysningene i dette tilfellet var i strid med helsepersonelloven § 21 a og at erklæringene fra de sakkyndige vitnene og deres forklaringer var ervervet på en utilbørlig måte og kunne avskjæres, jf. tvisteloven § 22-7. Lagmannsretten tok ikke stilling til om det også foreslå brudd på personvernforordningen, herunder om denne loven kom til anvendelse.
At behandlingen av en sak for domstolen er avsluttet medfører ingen endret eller ny vurdering av hvorvidt den behandlingen som har skjedd under sakens behandling i domstolen er lovlig eller ikke.
Nemnda er etter dette enig i den tolkningen av rettspleielovunntaket som Datatilsynet gir uttrykk for.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Konklusjon
Datatilsynets vedtak om avvisning opprettholdes.
Oslo, 15. september 2023
Mari Bø Haugstad
Leder