Personvernnemndas vedtak 8. november 2022 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth, Heidi Talsethagen)
Saken gjelder klage fra A på Datatilsynets avgjørelse 26. april 2021 om å avvise en klage fordi anmodningen om bistand åpenbart er overdreven eller grunnløs.
Sakens bakgrunn
A kontaktet Datatilsynet 21. oktober 2020 fordi han mener at hans tidligere fastlege, B, har forfalsket helseopplysninger i pasientjournalen hans. Han krever at det reises sak mot fastlegen, at han ilegges bot, at han pålegges å utlevere alle journalene om A, samt at han pålegges å betale As saksomkostninger.
Datatilsynet sendte A et foreløpig svar 28. oktober 2020 om at forventet saksbehandlingstid var seks måneder. Etter dette har A henvendt seg til Datatilsynet flere ganger på telefon og sendt betydelige mengder dokumentasjon.
Datatilsynet ba A i e-post 25. januar 2021 om å vente med å sende inn ytterligere dokumentasjon. Han ble orientert om at saksbehandlingen er skriftlig og at det ikke var hensiktsmessig at han stadig kontaktet saksbehandler, samt at han ville bli kontaktet hvis det var behov.
I brev til A 8. mars 2021 orienterte Datatilsynet om at de i utgangspunktet oppfattet klagen som et krav om sletting av journalopplysninger. Som følge av et stort antall henvendelser (av Datatilsynet oppgitt til 111 henvendelser på dette tidspunktet) fant Datatilsynet klagen uoversiktlig og ba A om å klargjøre klagens tema, herunder klargjørehvilke opplysninger han ønsket å få slettet og hos hvem.
Datatilsynet informerte også om tilsynets adgang til ikke å ta saker til behandling, jf. personvernforordningen artikkel 57 nr. 1 bokstav f og artikkel 57 nr. 4, og at brevet var en forhåndsvarsling om at tilsynet ville avvise klagen dersom han ikke svarte på det etterspurte, jf. forvaltningsloven § 16. Tilsynet orienterte også om at tilsynet ikke har helsefaglig kompetanse til å vurdere korrektheten av helsefaglige vurderinger i hans journal.
I brev til Datatilsynet 9. mars 2021 redegjør A for at han ønsker sletting av en rekke personopplysninger hos X legesenter, Y kommune ved Helse Norge, Y kommune ved NAV, Telenor, politiet Z og Statsforvalteren i Z. Han ønsker videre utlevert journaler fra to andre legekontor, samt NAV, og ber om at slettekravene innberettes til Helsedirektoratet og Stortinget. Han ber om at Datatilsynet pålegger innklagede å dekke utgifter til tolkehjelp.
Datatilsynet veiledet A i brev 26. april 2021 om at krav om innsyn, retting og sletting må rettes til de behandlingsansvarlige for de aktuelle opplysningene og at klage på manglende etterlevelse av disse rettighetene må sendes til aktuell klageinstans på området. Datatilsynet gjentok at tilsynet ikke har helsefaglig kompetanse til å ta stilling til hva som er korrekt pasientinformasjon. Datatilsynet avviste saken under henvisning til artikkel 57 nr. 4 som sier at Datatilsynet kan nekte å etterkomme anmodninger som er «åpenbart grunnløse eller overdrevne, især fordi de gjentas».
A klaget på vedtaket 4. mai 2021. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse. Tilsynet oversendte saken til Personvernnemnda først ett år senere, den 27. april 2022. A ble orientert om saken i brev fra nemnda 27. april 2022, og fikk anledning til å komme med eventuelle kommentarer. Han ble gitt utsatt kommentarfrist, men har ikke inngitt merknader.
Saken ble behandlet i nemndas møte 8. november 2022. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth og Heidi Talsethagen. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i korte trekk
Etter Datatilsynets vurdering er henvendelsene i saken åpenbart overdrevne, noe som gir tilsynet hjemmel til å avvise klagen jf. artikkel 57 nr. 4. Tilsynets plikt til å undersøke innholdet av en klage og påståtte personvernbrudd er også begrenset til det som er hensiktsmessig, jf. personvernforordningen artikkel 57 nr. 1 bokstav f.
På tidspunktet for Datatilsynets avvisningsvedtak 26. april 2021 besto saken av over 120 innkommende dokumenter fra A, dokumenter tilsynet anser som lite relevant for å vurdere saken. Klagene er rettet mot mange instanser. Ved oversendelse til nemnda består saken av 155 dokumenter, hvorav 150 av disse er fra A. Å behandle dette vil beslaglegge betydelige ressurser hos Datatilsynet og føre til at andre mer fremtredende oppgaver må nedprioriteres. Samfunnsmessige hensyn tilsier at tilsynet ikke bør prioritere eller for øvrig behandle de aktuelle sakene, jf. Kuner, Bygrave, Docksey, i kommentarutgave til The EU General Data Protection Regulation (GDPR), Oxford University Press 2020, side 936 om at tilsynet ikke bør bli «swamped because they need to dedicate a large part of their resources to complaint handling».
Det er muligheten for å gjøre slike prioriteringer som er hensynet og formålet bak innføringen av hjemmelen i artikkel 57 nr. 4. Vilkåret «åpenbart […] overdrevne» må etter tilsynets vurdering tolkes på samme måte som artikkel 12 nr. 5. I dette ligger også at det må gjøres en forholdsmessighetsvurdering, jf. det britiske datatilsynets uttalelse:
«To determine whether a request is manifestly excessive you need to consider whether it is clearly or obviously unreasonable. You should base this on whether the request is proportionate when balanced with the burden or costs involved in dealing with the request.»
I tilfeller der anmodningene er åpenbart overdrevne, kan Datatilsynet med hjemmel i artikkel 57 nr. 4 enten nekte å behandle klagen eller kreve et rimelig gebyr basert på administrasjonskostnadene. Tilsynet har i denne saken sett det nødvendig å nekte å etterkomme anmodningene, og følgelig konkludert med at anmodningene skal avvises.
Bakgrunnen for Datatilsynets avvisning, istedenfor å kreve kostnadene dekket, er at saksbehandlingen vil legge beslag på medarbeidere og tid som kunne ha vært benyttet til andre prioriterte oppgaver. Det vil ikke alltid være tilstrekkelig å bøte på disse ulempene ved å kreve kostnadene dekket, jf. Skullerud m.fl. i Kommentarutgave til personopplysningsloven og personvernforordningen (GDPR), Universitetsforlaget 2019, side 421.
Datatilsynet kan ikke utelukke at det har skjedd avvik fra personvernregelverket i As sak. Ut fra dokumentasjonen han har sendt, ser det imidlertid ut til at klagene har vært behandlet i omfattende grad av rette instanser, uten at han har fått medhold.
Datatilsynets vurdering er at klagene fra A er åpenbart overdrevne, jf. personvernforordningen artikkel 57 nr. 4 og at det derfor er grunnlag for tilsynet å nekte å etterkomme anmodningen.
As syn på saken i korte trekk
Han er uenig i at klagen avvises. Datatilsynet må behandle klagen eller sende den til Personvernnemnda.
At saken gjelder mange instanser og inneholder mange dokumenter er ikke hans feil. Datatilsynet er et offentlig forvaltningsorgan og skal etterleve forvaltningsloven § 17. Nekter Datatilsynet å motta viktige dokumenter oppfyller ikke tilsynet loven. Å behandle saken uten dokumentene er i strid med forvaltningsloven om at saken skal være godt belyst før vedtak fattes.
Han ble ilagt besøksforbud overfor sin fastlege fra 14. desember 2020 til 14. april 2021, jf. straffeprosessloven § 222 a. Besøksforbudet har medført at han ikke kunne levere Datatilsynets og statsforvalterens brev til fastlegen for oppfyllelse av hans rettigheter etter pasientrettighetsloven og personvernforordningen uten å bryte loven. Her er lovene i strid med hverandre.
Statsforvalteren har ikke behandlet klagen hans på grunn av besøksforbudet som strider mot pasientrettighetsloven og helsepersonelloven om retting, sletting og utlevering.
Han anser fastlegens bruk av straffeprosessloven § 222 a (begjæring om besøksforbud) som en nektelse mot å ta imot myndighetens ordre om retting, sletting og utlevering.
Personvernnemndas vurdering
Personvernnemnda har vurdert Datatilsynets nektelse av å etterkomme anmodningene fra A som et vedtak om avvisning. Vedtak om avvisning gir klagerett, jf. forvaltningsloven § 28, jf. § 2 tredje ledd.
Datatilsynets oppgaver følger av personvernforordningen artikkel 57. Ifølge bestemmelsen nr. 1 bokstav a skal Datatilsynet blant annet «føre tilsyn med og håndheve anvendelsen av denne forordning». Datatilsynets undersøkelsesplikt etter forordningen gjelder «i den grad det er hensiktsmessig», jf. artikkel 57 nr. 1 bokstav f. I dette ligger at tilsynet har myndighet til i noen grad å vurdere om det er nødvendig å foreta nærmere undersøkelser og hvilke undersøkelser som er hensiktsmessige.
I personvernforordningen artikkel 57 nr. 4 er Datatilsynet videre gitt en mulighet til å nekte å etterkomme en anmodning. Bestemmelsen lyder slik:
«Dersom anmodninger er åpenbart grunnløse eller overdrevne, især fordi de gjentas, kan tilsynsmyndigheten kreve et rimelig gebyr basert på administrasjonskostnadene, eller nekte å etterkomme anmodningen. Tilsynsmyndigheten skal bære bevisbyrden for at en anmodning er åpenbart grunnløs eller overdreven.»
Spørsmålet for nemnda er om denne bestemmelsen gir Datatilsynet hjemmel til å unnlate å etterkomme As anmodning om bistand til innsyn, retting og sletting av opplysninger hos X legesenter, Y kommune ved Helse Norge, Y kommune ved NAV, Telenor, politiet Z og Statsforvalteren i Z. Han ønsker også bistand til å få utlevert journaler fra to andre legekontor, samt fra NAV.
Det finnes ingen definisjon av begrepet «overdreven» i personvernforordningen. Personopplysningsloven eller forarbeidene til denne gir heller ingen veiledning. Formuleringen «åpenbart overdrevne» indikerer imidlertid at bestemmelsen skal tolkes snevert.
I Skullerud mfl., Personvernforordningen. Lovkommentar, (per 1. mai 2022, juridika.no) uttales det blant annet følgende om «grunnløse og overdrevne anmodninger» i kapittel IV, avsnitt 2:
«Saksbehandling av grunnløse og overdrevne anmodninger vil uansett legge beslag på medarbeidere og tid som kunne ha vært benyttet til andre og kanskje viktigere oppgaver. Dekning av kostnader ved saksbehandlingen vil derfor ikke alltid være tilstrekkelig til å bøte på ulempene. Som alternativ til gebyr kan tilsynsmyndigheten derfor velge å ikke behandle slike anmodninger. […]
Det må uansett legges til grunn at tilsynsmyndighetens adgang til å ta saksbehandlingsgebyr eller nekte å behandle en henvendelse er snever, jf. at adgangen gjelder "åpenbart" grunnløse eller overdrevne henvendelser. Sentralt i vurderingen av om vilkårene for å benytte art. 57 nr. 4 foreligger, vil trolig være om den eller de registrertes rett til personvern allerede er ivaretatt gjennom behandling av andre henvendelser.»
Nemnda legger til grunn at As krav om å få utlevert, rettet og slettet opplysninger hos ulike offentlige instanser, samt noen legekontorer har sin bakgrunn i den samme saken; As misnøye med sin tidligere fastlege som han mener ikke har gjort jobben sin og som han mener har forfalsket journaler. Det er dette som er bakgrunnen for As kontakt også med X kommune, NAV, Statsforvalteren i Z og politiet i Z.
As gjentatte henvendelser til sin tidligere fastlege og det legekontoret han jobber ved resulterte i at Z politidistrikt 14. desember 2020 ila A besøksforbud overfor denne fastlegen og det aktuelle legesenteret. Besøksforbudet gjaldt, da det ble besluttet, frem til 14. april 2021.
Det fremgår av dokumentene som A har sendt til Datatilsynet at samme brev, med krav om utlevering, retting og sletting av opplysninger, også er sendt til andre instanser, herunder statsforvalteren, NAV, politiet og domstolene.
Etter at A klaget til Datatilsynet 21. oktober 2020 har han kontaktet Datatilsynet skriftlig over 140 ganger og jevnlig oversendt betydelige mengder dokumentasjon, i lange perioder ukentlig. I tillegg har A hatt hyppige telefonsamtaler med tilsynet i denne perioden. På tidspunktet for Datatilsynets oversendelse av saken til Personvernnemnda 26. april 2022 utgjør saksdokumentene over 850 sider. Dokumentene er hovedsakelig utarbeidet av A. Etter nemndas syn har ikke oversendelsene fra A bidratt til sakens opplysning.
Antall dokumenter er i utgangspunktet ikke bestemmende for hvorvidt tilsynet kan nekte å etterkomme en anmodning. Sett hen til henvendelsenes hyppighet, dokumentenes omfang og manglende relevans, har tilsynet i denne saken godtgjort at As anmodninger er åpenbart overdrevne. Nemnda viser også til at klagene A har framsatt allerede er behandlet av en rekke instanser, herunder Helsetilsynet og statsforvalter, og at hans personvern dermed er tilstrekkelig ivaretatt.
Nemnda mener derfor at Datatilsynet i dette tilfellet har hjemmel i artikkel 57 nr. 4 for å nekte å etterkomme anmodningene fra A.
A får ikke medhold i sin klage.
Konklusjon
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Oslo, 8. november 2022
Mari Bø Haugstad
Leder