Personvernnemndas vedtak 18. juni 2024 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets avgjørelse 13. juni 2023 om å avslutte sak om politiets innhenting og utlevering av opplysninger i en straffesak.
Sakens bakgrunn
A kontaktet Datatilsynet 24. april 2022 og klaget over politiets innhenting og utlevering av helseopplysninger om henne i forbindelse med politiets arbeid med en straffesak der hun hadde status som fornærmet.
I 2019 anmeldte A et straffbart forhold hos Sør-Øst politidistrikt. Politiet ba i den forbindelse om As samtykke til å innhente hennes legejournal. A signerte på samtykkeskjema, men oppdaget i ettertid at politiet innhentet langt flere helseopplysninger enn hun hadde trodd. Hun var heller ikke klar over at blant annet siktede fikk tilgang til de innhentede dokumentene. Hun mente også at bistandsadvokaten fikk oversendt opplysninger fra politiet etter at hun ikke lenger utførte arbeid som bistandsadvokat for A.
Datatilsynet ba om en redegjørelse fra Sør-Øst politidistrikt 23. mars 2023 om hvilke opplysninger som var innhentet og det rettslige grunnlaget for innhenting av opplysningene. Tilsynet ba også om en redegjørelse for politiets rutiner når det gjelder innhenting og bruk av helseopplysninger om en fornærmet under etterforskning av et straffbart forhold.
I brev til A samme dag orienterte tilsynet om at det ba politiet om en redegjørelse, samt at den delen av saken som gjaldt utlevering av opplysninger til bistandsadvokaten ville bli avsluttet uten ytterligere undersøkelser eller tiltak.
Sør-Øst politidistrikt redegjorde for saken i brev 8. mai 2023.
Datatilsynet avsluttet deretter saken 13. juni 2023 uten å gi anmerkning eller pålegg. Datatilsynet skriver at deres undersøkelser ikke har avdekket behandling av personopplysninger om A i strid med politiregisterloven med tilhørende forskrifter. Tilsynet opplyste at vedtaket kan påklages, jf. politiregisterloven § 60 og politiregisterforskriften § 42-5.
A klaget rettidig på Datatilsynets avgjørelse 1. juli 2023. Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse og oversendte saken til Personvernnemnda 24. oktober 2023. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Nemnda har ikke mottatt kommentarer.
Saken ble behandlet i nemndas møte 18. juni 2024. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Hans Marius Tessem og Malin Tønseth. Utredningsleder Anette Klem Funderud og førstekonsulent Emilie Winther Løvli var også til stede.
Datatilsynets vurdering i korte trekk
Ved behandling av personopplysninger i en straffesak kan Datatilsynet gi den behandlingsansvarlige pålegg om at behandling av opplysninger i strid med lovens §§ 15 og 16 skal opphøre eller stille vilkår som må oppfylles for at behandlingen skal være i samsvar med disse bestemmelsene, jf. politiregisterloven § 60 første ledd og politiregisterforskriften § 42-2.
I de tilfellene der Datatilsynet ikke kan gi pålegg kan tilsynet gi en anmerkning, jf. politiregisterloven § 60 annet ledd. Dette gjelder blant annet behandling av opplysninger i den enkelte straffesak, jf. politiregisterforskriften § 42-3 første ledd nr. 1.
Datatilsynets vedtak om pålegg etter politiregisterloven § 60 første ledd kan påklages til Personvernnemnda. Med vedtak om pålegg menes også vedtak hvor det ikke er gitt et pålegg, jf. politiregisterforskriften § 42-5 første ledd.
Tilsynets undersøkelser i denne saken har ikke avdekket behandling av personopplysninger om A i strid med politiregisterloven og forskrifter gitt i medhold av loven og tilsynet har avsluttet saken uten pålegg og uten anmerkning.
Datatilsynet påpeker i sin avslutning av saken at helseopplysninger er underlagt lovbestemt taushetsplikt etter helsepersonelloven § 21. Datatilsynet presiserer at et samtykke til unntak fra taushetsplikt etter helsepersonelloven § 22 ikke nødvendigvis innebærer at det foreligger et samtykke i personvernrettslig forstand (samtykke som rettslig grunnlag).
Datatilsynet understreker betydningen av at fornærmede i straffesaker gis informasjon om de forskjellige alternativene ved innhentning av helseopplysninger. Det er særlig viktig at den fornærmede gis mulighet til å ha kontroll over egne opplysninger i forbindelse med innhentingen. Når opplysningene først er innhentet, vil de inngå i straffesaken og dermed være tilgjengelige for tjenestepersoner i politi og påtalemyndighet samt for mistenkte og dennes forsvarer.
Datatilsynet oppfordrer politiet til å utarbeide skriftlig informasjon i forbindelse med innhenting av samtykke etter helsepersonelloven § 22, som støtte og supplement til den muntlige informasjonen som gis. Tilsynet mener dette kan være et tiltak for å sikre at det i straffesaker gis lik og kvalitetssikret informasjon om den videre bruken av opplysningene, herunder straffeprosessuell kontradiksjon. Tilsynet finner ikke grunnlag for videre oppfølging og avslutter saken med dette.
Når det gjelder klagen vedrørende korrespondanse mellom politiet/påtalemyndigheten og bistandsadvokaten, finner Datatilsynet ikke grunn til å foreta nærmere undersøkelser. Tilsynets vurdering er at det er lite sannsynlig at regelverket var brutt, og i tillegg tilsier arten av et eventuelt brudd at dette neppe ville føre til noen sanksjon fra Datatilsynets side.
As syn på saken i korte trekk
A er ikke er fornøyd med politiets svar i saken. Hun fikk muntlig informasjon om at politiet kun skulle innhente journaler fra fastlegen tilknyttet det anmeldte forholdet og at bare politiet skulle se dette. Dersom hun hadde fått informasjon om at politiet skulle innhente alt av journaler i flere tiår og la siktede og andre få lese det, hadde hun ikke signert samtykkeerklæringen. Politiet villedet henne. Innhenting av helseopplysninger burde gå gjennom bistandsadvokaten, eller fornærmede selv, noe hun ikke fikk opplysninger om. Hun viser til at siktede ikke har taushetsplikt.
A kjemper for at dette ikke skal skje med andre som er traumatisert. Andre fornærmede som sitter alene hos politiet og blir spurt om å signere et ark hvor politiet kan hente ut legejournal, uten å få forklart hva det i virkeligheten innebærer.
Hun klager også over at politiet ikke har tatt bort eller strøket over opplysningene i journalen som ikke har med det straffbare forholdet å gjøre, eller strøket over andre personer nevnt i journalene.
Sør-Øst politidistrikts syn på saken
I denne saken var utleveringen av helseopplysninger fra fastlegekontoret til politiet basert på samtykke i form av et standardisert samtykkeskriv som leses og underskrives av fornærmede som sendes helsepersonell og helseinstitusjoner som kan ha opplysninger relevant for etterforskningen og straffesaken. Helsepersonellet utleverer helseopplysninger innenfor rammen av det samtykket som er gitt.
Det standardiserte samtykkeskjemaet er bredt utformet, både i tematikk og i tid. Dette har sammenheng med at det er utfordrende for politiet å fastsette hva som er relevant for straffesaken uten å ha sett og vurdert hva helseopplysningene omhandler. Politiet vurderer at det i en tidlig fase av etterforskningen ikke vil være hensiktsmessig å avskjære kategorisk hvilke helseopplysninger som er relevante.
Det ble ikke fastsatt noen presiseringer i samtykket i denne saken som innskrenket hva som kunne utleveres. Dette medførte at hele fastlegejournalen ble utlevert. Ifølge politiet presiseres det overfor fornærmede at de har anledning til å gi et mer avgrenset samtykke, eventuelt ikke avgi samtykke i det hele tatt eller innhente journalen selv og dele det de ønsker med politiet.
Helseopplysningene som innhentes inngår i straffesaken, jf. politiregisterloven § 26 og straffeprosessloven § 242. Dette innebærer at opplysningene er tilgjengelige for tjenestepersoner i politi og påtalemyndigheten involvert i etterforskningen, samt for siktede og forsvarer. Alle opplysninger og dokumenter som er gjort til del av etterforskningen må av hensyn til forsvarlig rettergang og straffeprosessuell kontradiksjon deles med siktede og forsvarer.
Politiet vurderer at innhenting av helseopplysninger ofte vil være et viktig etterforskningsskritt. At begge parter har tilgang til opplysningene som innhentes, er også avgjørende for å ivareta sakens opplysning og rettssikkerheten generelt.
Det på det rene at helseopplysninger ofte vil være relevante i forholdsvis alvorlige straffesaker som også er av stor betydning for den som er mistenkt. I slike saker må politiet etterforske bredt, særlig i starten, og undersøke alle forhold som kan tale for eller mot den mistenktes skyld. Selv om de opplysninger som innhentes deles med den siktede, vil politiet i en eventuell rettsprosess ha stort fokus på at opplysningene brukes på en korrekt, relevant og skånsom måte av begge parter.
Personvernnemndas vurdering
Politiet og påtalemyndighetens behandling av personopplysninger reguleres av politiregisterloven med tilhørende forskrifter. Det følger av § 3 at loven gjelder for politiets og påtalemyndighetens behandling av opplysninger som faller innenfor politimessige formål, jf. § 4. Loven gjelder for behandling av personopplysninger både i og utenfor den enkelte straffesak, jf. Ot.prp. nr. 108 (2008-2009) s. 293.
Den registrerte, eller den som antar å være registrert, kan påklage avgjørelser truffet i medhold av politiregisterloven til overordnet organ, jf. politiregisterloven § 55. For avgjørelser truffet av politiet er det Politidirektoratet som er overordnet organ.
I tillegg til denne klageordningen, er Datatilsynet tilsynsmyndighet og skal føre kontroll med at politiregisterloven med tilhørende forskrifter følges og at feil eller mangler blir rettet, jf. politiregisterloven § 58. Dette omtales som «det tosporede system», se Ot.prp. nr. 108 (2008-2009) punkt 15.1.1, og går ut på at den registrerte både kan påklage vedtak truffet i medhold av loven til Politidirektoratet, og i tillegg kan henvende seg til Datatilsynet for kontroll. Datatilsynet skal, etter begjæring fra den registrerte, kontrollere at opplysningene om vedkommende er behandlet i samsvar med loven og at reglene om innsyn er fulgt, jf. politiregisterloven § 59.
Datatilsynet har ulike virkemidler dersom det, enten ved generelt tilsyn eller ved behandling av begjæring etter § 59, finner at opplysninger behandles i strid med bestemmelsene i politiregisterloven eller politiregisterforskriften (forskrift 20. september 2013 nr. 1097). Av lovens § 60 fremgår det at det kan gis pålegg eller gis anmerkning, avhengig av hvilke opplysninger og hvilken behandling det er snakk om. I politiregisterforskriften §§ 42-2 og 42-3 er det gitt nærmere regler om Datatilsynets kompetanse til å gi henholdsvis pålegg og anmerkning.
As klage gjelder politiets behandling av helseopplysninger i en straffesak, jf. politiregisterloven § 2 nr. 11 som definerer straffesak som «sak som behandles etter straffeprosessloven». I praksis vil «opplysninger i den enkelte straffesak» bety opplysninger i straffesaksdokumentene, se Prop. 139 L (2020-2021) punkt 3.6.1. For behandling av opplysninger i den enkelte straffesak, herunder innhenting av opplysninger, samt for overholdelse av regler om utlevering av opplysninger, er Datatilsynets kompetanse begrenset til å gi anmerkning.
I sitt oversendelsesbrev av saken til nemnda fremkommer det at Datatilsynet vurderer at deres kompetanse i denne saken, dersom tilsynet hadde avdekket ulovlig behandling av personopplysninger, ville vært begrenset til å gi anmerkning. Nemnda er enig i den vurderingen.
I saker der Datatilsynet bare har anmerkningskompetanse, treffes ikke enkeltvedtak og saken kan ikke påklages til Personvernnemnda, jf. politiregisterloven § 60 tredje ledd og politiregisterforskriften § 42-5 andre ledd. Det innebærer at Datatilsynets avgjørelse om det skal gis anmerkning eller ikke, ikke kan påklages.
Etter nemndas syn er ordlyden i Datatilsynets brev om avslutning av saken 13. juni 2023, hvor tilsynet opplyser om klageadgang, misvisende. Det burde framgått av brevet at Datatilsynets kompetanse når det gjelder behandling av opplysninger i forbindelse med straffesaker er begrenset, og uansett ikke kan påklages.
Vilkårene for å behandle klagen fra A er ikke oppfylt og saken avvises.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Klagen avvises.
Oslo, 18. juni 2024
Mari Bø Haugstad
Leder