Personvernnemndas vedtak 26. mai 2020 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem)
Saken gjelder klage fra A på Datatilsynets vedtak 16. januar 2020 der tilsynet avslo kravet om sletting av personopplysninger i to journaler hos vedtakskontoret for helse- og omsorgstjenester i X kommune.
Sakens bakgrunn
A søkte X kommune om helse- og omsorgstjenester som følge av psykiske plager høsten 2014 og høsten 2017.
As søknad høsten 2014 ble framsatt i forlengelsen av et kartleggingsmøte med vedtakskontorets saksbehandler, der hun selv og fastlegen deltok. Formålet med møtet var å vurdere hennes behov for et kommunalt oppfølgingstilbud. Etter møtet utarbeidet vedtakskontorets saksbehandler et journalnotat, som blant annet inneholder vurderinger av As oppfølgingsbehov.
Søknaden høsten 2017 ble framsatt av A etter et møte på vedtakskontoret i september 2017. Saksbehandleren utarbeidet også i forlengelsen av dette journalnotater og kartla rutinemessig behovet for bistand, blant annet ved telefonsamtale med As fastlege. A fikk innvilget individuell oppfølging i vedtak fra kommunen.
A mener opplysningene i journalnotatene både fra 2014 og 2017 ikke er korrekte og anmodet kommunen om å slette opplysningene. Kravet om sletting, som opprinnelig også gjaldt andre journalnotater, ble gjennomgått i et møte i kommunen hvor også A deltok. Kravet om sletting ble delvis imøtekommet, men kommunen avslo kravet om sletting i de omtalte journalnotatene fra 2014 og 2017. Kommunen viste til arkivlova § 9 bokstav d som grunnlag for avslaget. A fikk anledning til å supplere journalnotatetene slik at det framkommer hva hun mener er feil.
A anmodet Datatilsynet om bistand til å få slettet de opplysningene som kommunen hadde avslått å slette 11. desember 2018. Datatilsynet oppfattet at henvendelsen gjaldt krav om sletting av opplysninger i pasientjournal og avslo henvendelsen under henvisning til at saken falt utenfor tilsynets ansvarsområde. Tilsynet viste til Fylkesmannen som rett instans for krav om sletting i henhold til pasient- og brukerrettighetsloven §§ 42 og 43. Nemnda antar at tilsynet her mener å henvise til helsepersonelloven §§ 42 og 43. Etter ytterligere henvendelser ble det avklart at kravet om sletting ikke gjaldt opplysninger i pasientjournal og Datatilsynet tok saken til behandling.
På Datatilsynets anmodning, redegjorde kommunen for saken i brev 13. september 2019. I vedtak 16. januar 2020 avslo Datatilsynet kravet om sletting, og avsluttet saken.
A framsatte rettidig klage på Datatilsynets vedtak 16. februar 2020. Tilsynet vurderte klagen, men opprettholdt sitt vedtak. Saken ble oversendt Personvernnemnda 27. februar 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med merknader. A har i e-post til nemnda 19. mars 2020 gitt sine kommentarer. Kommunen har ikke inngitt kommentarer.
Saken ble behandlet i nemndas møte 26. mai 2020. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Gisle Hannemyr, Hans Marius Graasvold, Ellen Økland Blinkenberg og Hans Marius Tessem. Sekretariatsleder Anette Klem Funderud var også tilstede.
As syn på saken i korte trekk
Vedtakskontorets journalnotater fra henholdsvis 31. oktober 2014 og 18. oktober 2017 skal slettes for å hindre spredning av uriktige opplysninger som kan sette liv og helse i fare.
Hun ble nektet å uttale seg i forbindelse med søknaden i 2014. Søknaden den gang var ikke frivillig, hun opplevde seg presset. Hun trengte hjelp med bosituasjonen og nevnte ingenting om samtaler.
Da hun søkte i 2017 innhentet saksbehandleren opplysninger om henne som ikke var relevant og heller ikke nødvendige fordi de ikke hadde sammenheng med hvorfor hun søkte.
Det er ikke riktig at vedtakskontoret rettet alt i journalene i henhold til hennes presiseringer, slik Datatilsynet legger til grunn. Hun fikk ikke muligheten til det før vedtakskontoret avsluttet møtet 16. november 2018.
Vedtakskontoret har ikke gitt henne informasjon om hvordan opplysninger er blitt håndtert og har unnlatt å svare når hun har etterlyst informasjon. I tillegg har hun blitt løyet for fra hun søkte vedtakskontoret første gang i 2013.
Det er særlig uttalelsen om en bekymringsmelding som er viktig å få slettet, da den kan brukes mot henne senere. Hun opplevde for endel år siden å bli uriktig anklaget for en brann og satt i flere timers langt avhør, hvor hun ble utskjelt og presset til å tilstå. At hun hadde alibi brydde ikke politiet seg om, men brukte fortiden hennes som argument. Hun hadde dessverre gjort sånt ved et par tilfeller tidligere. Hun hadde fått orden på livet, fikk leilighet og jobb, men havnet i fengsel, mistet jobb og bolig, måtte «rømme» fra hjembygda fordi folk skulle ta henne. Hun har hatt mye problemer etterpå. Hun mistenker at hun har fått PTSD (posttraumatisk stresslidelse) på grunn av dette. Helsehjelpen hun fikk som følge av opplysningene hun ikke fikk uttale seg om retraumatiserte henne.
Hun hadde aldri søkt hjelp hvis hun visste hvordan dette fungerte. Nå er hun redd for at politiet kan få tak i opplysningene og bruke disse mot henne slik de brukte fortiden mot henne da de anklaget henne. Dette påvirker hverdagen hennes. Ingen bryr seg om opplysningene stemmer eller ikke. Hun tør ikke søke støttekontakt eller bruke fastlegen fordi hun ikke er trygg på at opplysningene forblir fortrolige.
Kommunens syn på saken i korte trekk
Journalnotatene fra 31. oktober 2014 og 18. oktober 2017 skal ikke slettes, jf. personvernforordningen artikkel 17 nr. 3 bokstav b som fastslår at retten til sletting ikke får anvendelse dersom nevnte behandling er nødvendig:
«for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt».
Vedtakskontoret har som offentlig organ en direkte lovpålagt plikt etter arkivlova § 6 til å holde arkiv som skal være ordnet og innrettet slik at dokumentene er sikret som informasjonskilder for samtid og ettertid. Arkivverdig materiale skal i utgangpunktet ikke slettes, jf. arkivlova § 9 bokstav d.
I denne saken er det gjort flere konkrete tiltak for å oppfylle prinsippet om dataminimering. As anmodning om sletting av opplysninger ble vurdert på møtet 16. november 2018, og hennes krav ble imøtekommet ved at enkelte opplysninger ble rettet med hennes påtegninger, mens arkivverdige opplysninger ikke ble slettet, jf. arkivlova § 9 bokstav d. I brev til A 19. november 2018 redegjorde kommunen for hvilke vurderinger som ble gjort om de aktuelle journalnotatene.
Kommunen vurderer journalnotatene fra 18. oktober 2017 som arkivpliktige, jf. arkivlova § 9 bokstav d. Opplysningene kan ikke rettes på en slik måte at tidligere urette eller ufullstendige opplysninger blir slettet, dersom disse har hatt noe å si for saksforberedelsen, vedtaket eller annet som etter formålet med denne loven bør kunne dokumenteres. Opplysningene fra fastlegen som framkommer i dette journalnotatet var av betydning for saksforberedelsen og ledet til vedtak om støttesamtaler. Opplysningene kan derfor ikke slettes. A fikk imidlertid anledning til å komplettere journalen slik at det framkommer hvilke opplysninger hun er uenig i.
Når det gjelder journalnotatet fra 31. oktober 2014 så framkommer det blant annet en bekymringsmelding fra As fastlege. Opplysningene gir uttrykk for fastlegens vurdering av situasjonen på dette tidspunktet. Det er nødvendig og reelt ut fra et dokumentasjonsbehov at disse opplysningene framkommer i journalen. Opplysningene er arkivverdige og kan ikke slettes. Også i dette journalnotatet er det tatt inn rettelser fra A slik at det framkommer hva hun er uenig i.
Datatilsynets vurdering
Kommunen har oppfylt As rett til retting av hennes personopplysninger i vedtakskontorets journalnotater ved å tilføye hennes presiseringer og innvendinger til opplysningene hun ønsker slettet, jf. personvernforordningen artikkel 16.
Når det gjelder retten til sletting viser tilsynet til kommunens lovpålagte arkivplikt etter arkivlova § 6 og forskrift om offentlige arkiv. Dette tilsier som utgangspunkt at personvernforordningen artikkel 17 nr. 3 bokstav b er til hinder for sletting av opplysningene. Også uttalelser i forarbeidene til personopplysningsloven, Prop. 56 LS (2017-2018) kapittel 11.3.2 taler for å avslå A krav om sletting.
Av kommunens vedtak 19. november 2018 framgår det at kommunen anser de aktuelle opplysningene i notatene fra 2014 og 2017 som nødvendige for å dokumentere sin saksbehandling og vurderingene som er gjort. Tilsynet legger til grunn at kommunen har vurdert notatene som arkivpliktige.
Når det gjelder personvernforordningen artikkel 17 nr. 3 bokstav d om behandling for arkivformål i allmennhetens interesse, kreves det at sletting eventuelt vil hindre at målene med arkiveringen nås. Det vises til PVN-2018-02 hvor Personvernnemndas flertall kom fram til at opplysninger som var nødvendige for å forklare og vurdere en barneverntjenestes framgangsmåte og beslutninger ikke kunne slettes. Dette gjaldt selv om opplysningene ble opplevd som sterkt belastende for klager. Nemnda vektla at klager hadde fått anledning til å komme med en egen framstilling av saken overfor barnevernet.
Tilsvarende betraktninger vil være relevante i denne saken, ettersom kommunen har gitt uttrykk for at opplysningene er nødvendige for å kunne ettergå vedtakskontorets handlemåte. Dette gjelder selv om A opplever opplysningene som belastende.
Tilsynet har også lagt vekt på at As syn på opplysningenes riktighet og relevans framkommer gjennom klagebehandlingen i kommunen. Hennes mening om saken vil på denne måten være dokumentert for ettertiden.
Datatilsynet har samlet sett kommet til at personopplysningene i den aktuelle saken ikke skal slettes da personvernforordningen artikkel 17 nr. 3 bokstav b og d er til hinder for dette.
Personvernnemndas vurdering
Personvernnemnda skal ta stilling til om A kan kreve at vedtakskontoret for helse- og omsorgstjenester i X kommune skal slette utvalgte journaler knyttet til As søknad om å bli innvilget helse- og omsorgstjenester fra kommunen.
Nemnda tar utgangspunkt i personvernforordningen artikkel 17 som regulerer retten til sletting. I artikkel 17 nr. 1 listes det opp hjemler for å pålegge sletting. Artikkel 17 nr. 3 åpner imidlertid for flere unntak fra retten til sletting. De relevante unntakene fra sletteplikt i denne saken følger av artikkel 17 nr. 3 bokstav b og d. De lyder slik:
«Nr. 1 og 2 får ikke anvendelse dersom nevnte behandling er nødvendig
[…]
b) for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,
[…]
d) for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, […]»
Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:
«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»
Nemnda legger til grunn at formålet med innsamling av opplysningene opprinnelig var knyttet til kommunens behandling av As søknad om kommunale helse- og omsorgstjenester. I og med at det dreier seg om opplysninger fra 2014 og 2017, vil formålet med fortsatt oppbevaring av opplysningene nå være begrunnet i arkivformål i allmennhetens interesse i tråd med bestemmelsene om arkivverdig materiale arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.
Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med arkivlova er ifølge loven § 1:
«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».
Av Riksarkivarens forskrift (forskrift 19. desember 2017 nr. 2286) § 7-1 bokstav c følger det at formålet blant annet er å:
«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»
Videre er det fastlagt i artikkel 5 nr. 1 bokstav c at personopplysninger skal:
«være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for ("dataminimering")».
Kommunen har i brev til Datatilsynet 13. september 2019 redegjort generelt for sine rutiner for dataminimering, samt redegjort for hvilke konkrete tiltak som er gjort i dette tilfellet. Det framgår av dokumentasjonen at det i et møte med A er foretatt en konkret gjennomgang av alle journalnotatene og alle registrerte opplysninger som A ønsker skal slettes. De opplysningene som av kommunen ikke anses å ha hatt noen betydning for saksforberedelsen eller vedtaket, er blitt slettet. For de opplysningene som anses å ha hatt betydning for saksforberedelsen og vedtaket er slettingskravet avslått, men A er gitt anledning til å supplere journalen med sitt syn. Kommunen har ved dette, slik nemnda ser det, ivaretatt sin plikt til dataminimering, slik den framkommer i artikkel 5.
I forskriften del III er det fastsatt hvilke sakstyper som ikke kan slettes («gjøres til gjenstand for kassasjon»), se § 7-23, jf. § 7-29 (5) bokstav d der det er bestemt at «pasient- og journalopplysninger fra tjenester innen rusomsorg og psykososial omsorg» skal bevares for ettertiden og ikke gjøres til gjenstand for kassasjon. Kommunen kan derfor ikke pålegges å slette disse opplysningene. Dette følger både av personvernforordningen § 17 nr. 3 bokstav b (rettslig forpliktelse), jf. arkivlova § 9 bokstav d, og av personvernforordningen artikkel 17 nr. 3 bokstav d (arkivformål i allmennhetens interesse).
A får ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak opprettholdes. A gis ikke medhold i sitt krav om sletting av personopplysninger.
Oslo, 26. mai 2020
Mari Bø Haugstad
Leder