Personvernnemndas vedtak 10. oktober 2023 (Mari Bø Haugstad, Gunn Elin Lode, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage på Datatilsynets vedtak 15. juli 2022 der Datatilsynet konkluderte med at klager hadde fått oppfylt sin rett til retting og supplering av opplysninger i sønnens journal.
Sakens bakgrunn
A hadde i juni 2019 sendt en anmodning til Sykehuset X med 18 punkter hvor hun ønsket sønnens journal endret eller supplert. I brev til A 8. juli 2019 etterkom sykehuset to av disse punktene. De øvrige anmodningene om retting/supplering ble avslått. A klaget sykehusets avslag til Fylkesmannen i Y som i vedtak 8. januar 2020 opprettholdt vedtaket fra Sykehuset X.
A brakte saken inn for Datatilsynet i november 2019. As klage til Datatilsynet er omfattende og har omhandlet flere ulike behandlingsansvarlige. Denne saken gjelder krav om retting av journal ved Sykehuset X.
Datatilsynet ba 26. april 2021 Sykehuset X redegjøre for saksbehandlingen ved sykehuset og hvilke vurderinger som var gjort knyttet til As slette- og rettekrav. Sykehuset X redegjorde i brev 21. mai 2021.
Datatilsynet la til grunn at Sykehuset X hadde oppfylt sin plikt til retting/supplering og avsluttet saken i vedtak 15. juli 2022. A klaget rettidig 21. august 2022 på Datatilsynets vedtak. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse. Datatilsynet oversendte saken til Personvernnemnda 19. april 2023. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A har gitt kommentarer og sendt inn ytterligere dokumentasjon i brev 1. og 14. august 2023 og i e-post 26. september 2023.
Saken ble behandlet i nemndas møte 10. oktober 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Gunn Elin Lode, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Kort om Datatilsynets vedtak
Datatilsynet viser til at det følger av helsepersonelloven at helsefaglige vurderinger, herunder vurderinger av journaloppføringenes riktighet, må gjøres av helseforetaket og eventuelt av statsforvalteren i forbindelse med klage på avslag om retting.
Tilsynet mener at As innvendinger, som er lagret i sykehusets systemer, oppfyller kravene til supplering av personopplysningene. Det er ikke et krav at opplysningene skal suppleres direkte i journalen. Personvernnemnda har i flere saker som gjelder barneverntjenesten konkludert med at supplering av journal er tilstrekkelig for å innfri et krav om retting, jf. PVN-2020-17, PVN-2020-18 og PVN 2020-22. Samme prinsipp må gjelde ved krav om retting i pasientjournal.
Datatilsynet konkluderer med at A har fått oppfylt sin rett til retting etter personvernforordningen artikkel 16.
Kort om As klage
Nemnda oppfatter at As hovedsynspunkt er at Sykehuset X ved sin behandling av saken har brutt personvernforordningen artikkel 12 nr. 2 – 4, artikkel 16, artikkel 19 og artikkel 5 nr. 1 bokstav d.
A kritiserer sykehusets saksbehandling av hennes rettekrav og mener at måten rettingen/suppleringen er skjedd på ikke er i tråd med loven. Hun er kritiserer også sykehusets rutiner for arkivering, herunder deres vurdering av hvilke e-poster som legges inn som vedlegg i journalen og hvilke e-poster som arkiveres andre steder enn i journal. Hun klager også over lang saksbehandlingstid og redegjør for at denne saken i realiteten startet med hennes kontakt med sykehuset i 2014.
Oppsummeringsvis anmoder A Personvernnemnda om å be Sykehuset X om å:
- redegjøre for hvordan de har oppfylt artikkel 12 punkt 2 – 4, spesielt fra februar 2014 og til oktober 2019.
- komme med konkrete vurderinger på hvorfor e-post 22. juni 2015 ikke skal tas inn i journal (som første eksplisitte skriftlige informasjon om pågående psykisk mishandling), når de har tatt inn e-posten hun sendte 20. august.
- redegjøre for hvorfor journalen ikke ble rettet (i selve journalen) i 2016 rett er at de fikk brevet hennes, og hvorfor de ikke tar hensyn til brevet hennes fra 2016 da de behandlet kravet om retting i 2019.
- begrunne hvorfor e-postene hennes som supplerer pasientjournalen (bl.a. e-postene fra 22. juni 2015) ikke ble arkivert i «sykehuset s systemer» før i oktober 2017 (2 år etter Sykehuset X mottok dem), og hvorfor disse supplerende opplysningene (som til nå er arkivert i sak 15/10395) ikke er videreformidlet hverken til Fylkesmannen i 2017, barnevernet i 2019 og Datatilsynet i 2021.)
- redegjøre for hvordan journalen (slik den foreligger i dag, stort sett urettet) oppfyller Helsepersonellovens § 39 om journalføring, hvor det står at den som er ansvarlig for å føre journal har ansvar for at journalen «føres i samsvar med god yrkesskikk og skal inneholde relevante og nødvendige opplysninger om pasienten og helsehjelpen, samt de opplysninger som er nødvendige for å oppfylle meldeplikt eller opplysningsplikt fastsatt i lov eller i medhold av lov».
Videre påpeker A:
Denne saken handler ikke om helsefaglige vurderinger. Det er snakk om retting av faktiske, objektive opplysninger om hva som kom fram i utredningen våren 2014, som er dokumentert i journalen, men som Sykehuset X ikke har gjengitt korrekt og utfyllende til Fylkesmannen i 2017, barnevernet i 2019 og Datatilsynet i 2021. Følgefeil spres videre.
PVN-2020-18 og PVN-2020-22 handlet om retting av subjektive opplysninger. Det er ikke tilfellet i denne saken.
Reell retting kan bare skje ved at sykehuset retter i selve journalen. Dette er viktig for både henne og sønnens rettssikkerhet at opplysninger om volden de var utsatt for kommer tydelig fram i journalen fordi flere instanser forholder seg til innholdet i selve journalen og ikke til dokumenter arkivert andre steder i «sykehusets systemer». Opplysninger som framgår av journal, sikrer barnets rett til riktig helsehjelp.
Datatilsynets henvisning til barnevernssakene fra Personvernnemnda viser manglende kunnskap om hvor ulikt personopplysninger arkiveres i barnevernet og ved et sykehus. I barnevernet samles alle dokumenter i en mappe/journal og påtegninger der vil fungere som retting. Dette i motsetning til sykehuset som arkiverer rettinger til en pasientjournal et annet sted i «sykehusets systemer» enn i journalen.
Sykehuset Xs syn på saken i korte trekk
A har anmodet om retting, sletting og supplering av opplysninger i sønnens pasientjournal. Sykehuset har vurdert anmodningen i henhold til helsepersonelloven og pasientjournalforskriften.
Sykehuset skal føre «relevante og nødvendige opplysninger om pasienten og helsehjelpen» i pasientjournalen. Sykehuset er også underlagt arkivloven med tilhørende arkivforskrift. Korrespondansen fra og til A er derfor ikke inntatt i hennes sønns journal, men er løpende arkivert i foretakets saksarkiv.
BUP har siden 2016 og fram til i dag mottatt en mengde omfattende e-postkorrespondanse
fra A. E-postene har vært adressert til flere ulike aktører. Det har vært utfordrende å håndtere mengden av e-poster som har hatt ulikt innhold; alt fra klage om retting og sletting, orientering om artikler og lovtekst, påstander og anklager rettet mot enkeltbehandlere-, system- og klinikkledelse. Sykehuset X har forsøkt å håndtere korrespondansen løpende og forsøkt å svare ut dette, dersom henvendelsene fra A har inneholdt nye opplysninger.
Sykehuset opplever at det er et stort gap mellom det som er BUP-klinikks gjennomgang og konklusjoner og det som er A oppfatning av saken.
Personvernnemndas vurdering
Retten til retting av personopplysninger følger av personvernforordningen artikkel 16:
«Den registrerte skal ha rett til å få uriktige personopplysninger om seg selv rettet av den behandlingsansvarlige uten ugrunnet opphold. Idet det tas hensyn til formålene med behandlingen skal den registrerte ha rett til å få ufullstendige personopplysninger komplettert, herunder ved å framlegge en supplerende erklæring.»
Bestemmelsen må ses i sammenheng med kravet om riktighet i artikkel 5 nr. 1 bokstav d.
Denne saken gjelder krav om retting av personopplysninger i en pasientjournal. Det er helsepersonell som utfører helsehjelpen som plikter å føre pasientjournal og som skal vurdere hva som er relevant og nødvendige opplysninger om pasienten og hjelpehjelpen, jf. helsepersonelloven §§ 39 og 40. Formålet er å sikre at journalen oppfyller sin funksjon som redskap for at helsetjenestene skal kunne yte forsvarlig helsehjelp til pasienten. Hva som er relevante og nødvendige opplysninger avgjøres med grunnlag i helsefaglige vurderinger.
Helsepersonelloven § 41 fastslår at det er helsepersonell som skal rette «uriktige eller ufullstendige opplysninger, jf. personvernforordningen artikkel 16». Sykehuset X anser ikke opplysningene A ønsker rettet som relevante og nødvendige opplysninger om sønnen og helsehjelpen og mener derfor at opplysningene ikke skal inntas i journalen. Fylkesmannen (nå statsforvalteren) har som rett klageinstans opprettholdt sykehusets vurdering, jf. helsepersonelloven § 42.
Personvernlovgivningen gir verken Datatilsynet eller Personvernnemnda kompetanse til å gjennomgå opplysninger i pasientjournaler med det formål å pålegge endring av innholdet i en journal etter ønske fra en pasient eller hans/hennes pårørende. Dette gjelder ikke bare for helsefaglige vurderinger, men omfatter også journalnotater som for eksempel representerer legens referat av hva som ble sagt i en samtale mellom pasient og behandler. Riktigheten av slike journalføringer, må vurderes av helseforetaket og eventuelt av statsforvalteren i forbindelse med klage på avslag om retting. Ved uklarhet eller uenighet om hva som ble sagt, vil supplering være aktuelt. Hvilke opplysninger som hører hjemme i en journal og hva som skal arkiveres andre steder reguleres ikke av personvernlovgivningen og kan ikke bestemmes av Datatilsynet eller Personvernnemnda.
Nemnda slutter seg til Datatilsynets vurdering om at sykehuset har behandlet de framsatte rette- og suppleringskravene på en måte som oppfyller personvernregelverkets krav etter personvernforordningen artikkel 16. A’ innvendinger, som er lagret i sykehusets systemer, oppfyller kravene til supplering av personopplysningene. Nemnda er enig med Datatilsynet i at det ikke er et krav at opplysningene skal suppleres direkte i journalen.
Konklusjonen er at A har fått oppfylt sin rett til retting etter personvernforordningen artikkel 16.
Antallet henvendelser og mengden dokumenter som er oversendt i saken medfører at det etter nemndas vurdering ikke er grunn til å kritisere den lange saksbehandlingstiden.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak opprettholdes.
Oslo, 10. oktober 2023
Mari Bø Haugstad
Leder