Personvernnemndas vedtak 27. august 2024 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth og Hans Marius Tessem)
Saken gjelder klage fra A på Datatilsynets avgjørelse 8. desember 2023 om å avslutte sak om retting/sletting av helseopplysninger hos Sykehuset X, uten å treffe vedtak.
Sakens bakgrunn
A henvendte seg til Datatilsynet 20. november 2023. Hun klaget på at Sykehuset X ikke ville rette en spesialisterklæring skrevet av en seksjonsoverlege ved sykehuset i 2014 i forbindelse med hennes søknad om ménerstatning etter yrkesskade. NAV godkjente skaden som yrkesskade, men avslo As krav om ménerstatning. Etter As syn inneholder erklæringen uriktige opplysninger som hun har krevd rettet/slettet. Hennes krav om retting/sletting til sykehuset ved personvernombudet og til Statsforvalteren i Y, har ikke ført fram.
I brev til A 8. desember 2023 avsluttet Datatilsynet saken uten å ta stilling til om Sykehuset X hadde brutt personopplysningsloven, og uten å vurdere eventuelt korrigerende tiltak. Datatilsynet hadde behandlet As henvendelse, og besluttet ikke å gjøre nærmere undersøkelser i saken.
A klaget på Datatilsynets avslutning av saken 27. desember 2023.
Datatilsynet behandlet klagen og opprettholdt sin avgjørelse om ikke å gjøre nærmere undersøkelser. Saken ble oversendt Personvernnemnda 2. april 2024. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt sine kommentarer i e-post 26. april 2024.
Saken ble behandlet i nemndas møte 27. august 2024. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Hans Marius Tessem og Malin Tønseth. Utredningsleder Anette Klem Funderud var også til stede.
Kort om Datatilsynets avgjørelse
Datatilsynet viser til at det følger av helsepersonelloven at krav om retting og sletting av helseopplysninger må rettes til den virksomheten der helseopplysningene befinner seg, dvs. helseforetaket, og eventuelt til Statsforvalteren i forbindelse med klage på avslag om retting/sletting.
Datatilsynet legger til grunn at A har fremmet krav om retting og sletting til Sykehuset X og Fylkesmannen i Y (nå Statsforvalteren i Y), men at kravet ikke har ført fram, jf. Statsforvalterens brev til A 25. september 2023. I brevet 25. september har Statsforvalteren vist til to avgjørelser, som Datatilsynet ikke har innhentet ettersom tilsynet ikke har kompetanse til å overprøve Statsforvalterens saksbehandling, jf. personvernforordningen artikkel 57 nr. 1 bokstav a.
Datatilsynet påpeker at tilsynet ikke har medisinsk eller helsefaglig kompetanse. Med henvisning til Personvernnemndas sak, PVN-2023-06, legger Datatilsynet til grunn at tilsynet ikke kan gjøre en reell overprøving av hvilke opplysninger som er riktige eller relevante å ta med i en pasientjournal.
Datatilsynet konkluderer etter dette med at det ikke er hensiktsmessig å ta klagen til behandling, jf. personvernforordningen artikkel 57 nr. 1 bokstav f.
As syn på saken i korte trekk
Hun klager på at Datatilsynet ikke tar hennes sak til behandling. Datatilsynet skal kontrollere at regelverket blir fulgt. Regelverket er helt klart. Dersom hun anmoder om det, har hun krav på retting, supplering og sletting av feil i person-/helseopplysninger.
Hun har dokumentert at det i denne saken foreligger flere brudd på helsepersonelloven og personvernforordningen. Når Statsforvalteren har satt seg over lovverket, må Datatilsynet kunne lede Statsforvalteren på rett spor.
Hun har bedt Sykehuset X om å rette opp i alle feil i hennes personopplysninger som framgår av spesialisterklæringen fra 2014, men sykehuset nekter.
Det er ikke snakk om å overstyre en diagnose, men å rette opp i feil personopplysninger i spesialisterklæringen fra 2014 skrevet av seksjonsoverlegen. Opplysningene er gjengitt av en saksbehandler i NAV som avslo kravet om ménerstatning.
Personvernnemndas vurdering
Datatilsynet har, med henvisning til artikkel 57 nr. 1 bokstav f, avsluttet saken uten å treffe noe vedtak og uten å ta stilling til As klage. Begrunnelsen for at klagen ikke behandles er at tilsynet ikke har medisinsk eller helsefaglig kompetanse, og at tilsynet ikke anser det hensiktsmessig å ta saken til behandling.
Datatilsynets oppgaver følger av personvernforordningen artikkel 57. Datatilsynet skal etter bestemmelsen behandle en klage som er inngitt av en registrert og undersøke, i den grad det er hensiktsmessig, klagens gjenstand, samt underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, jf. personvernforordningen artikkel 57 nr. 1 bokstav f. Etter nemndas vurdering åpner ikke bestemmelsen for en skjønnsmessig vurdering av hvilke klager som skal behandles og hvilke som kan avsluttes uten behandling.
Personvernnemnda har i saker der Datatilsynet ikke har tatt stilling til klagen som hovedregel sendt saken i retur for ny behandling. Nemnda anser det likevel i dette tilfellet ikke som hensiktsmessig å sende saken tilbake til Datatilsynet. Nemnda legger vekt på at saken er tilstrekkelig opplyst og at resultatet i saken framstår som klart. Nemnda har derfor valgt å treffe et nytt vedtak.
Denne saken gjelder krav om retting og sletting av personopplysninger i en spesialisterklæring i As pasientjournal. Det å føre en pasientjournal innebærer behandling av personopplysninger. Det følger av pasientjournalloven § 26 at Datatilsynet fører tilsyn med loven og forskrifter gitt i medhold av loven, med unntak for tilsynsoppgaver som påligger Statens helsetilsyn og statsforvalteren etter helsetilsynsloven. Det framgår av helsepersonelloven §§ 39 og 40 at det er helsepersonell som utfører helsehjelpen som plikter å føre pasientjournal og som skal vurdere hva som er relevant og nødvendige opplysninger om pasienten og helsehjelpen. Formålet er å sikre at journalen oppfyller sin funksjon som redskap for at helsetjenestene skal kunne yte forsvarlig helsehjelp til pasienten. Hva som er relevante og nødvendige opplysninger avgjøres med grunnlag i helsefaglige vurderinger.
Sykehuset X har i denne saken avslått å rette og slette opplysninger i As journal. Fylkesmannen (nå Statsforvalteren) har som rett klageinstans opprettholdt sykehusets vurdering i 2014, 2015 og 2023, jf. helsepersonelloven §§ 42 og 43. Nemnda har ikke funnet det nødvendig å innhente sykehusets vurdering, eller Statsforvalterens vurdering fra 2014 og 2015, jf. personvernforordningen artikkel 5 nr. 1 bokstav c (om dataminimering).
Nemnda har i PVN-2023-06 uttalt seg om Datatilsynets og nemndas kompetanse til å ta stilling til sletting og retting i pasientjournal:
«Personvernlovgivningen gir verken Datatilsynet eller Personvernnemnda kompetanse til å gjennomgå opplysninger i pasientjournaler med det formål å pålegge endring av innholdet i en journal etter ønske fra en pasient eller hans/hennes pårørende. Dette gjelder ikke bare for helsefaglige vurderinger, men omfatter også journalnotater som for eksempel representerer legens referat av hva som ble sagt i en samtale mellom pasient og behandler. Riktigheten av slike journalføringer, må vurderes av helseforetaket og eventuelt av statsforvalteren i forbindelse med klage på avslag om retting. Ved uklarhet eller uenighet om hva som ble sagt, vil supplering være aktuelt. Hvilke opplysninger som hører hjemme i en journal og hva som skal arkiveres andre steder reguleres ikke av personvernlovgivningen og kan ikke bestemmes av Datatilsynet eller Personvernnemnda.»
Nemnda legger til grunn at As rettekrav er lagret i sykehusets systemer på en måte som oppfyller kravene til supplering av personopplysningene i personvernforordningen artikkel 16, og at hun dermed har fått oppfylt sitt krav om retting.
Retten til sletting etter artikkel 17 gjelder ikke pasientjournaler, jf. nr. 3 bokstav b, se Prop. 56 LS (2017-2018) pkt. 32.4.2 (side 188). Nemnda legger videre til grunn at kravet om sletting og begrunnelsen for avslaget er nedtegnet i As journal, jf. helsepersonelloven § 43 andre ledd.
På denne bakgrunn er Personvernnemnda enig med Datatilsynet i at det ikke er hensiktsmessig å gjøre ytterligere undersøkelser. De opplysningene som foreligger er tilstrekkelige til å kunne treffe vedtak om at A ikke har krav på sletting av opplysninger i sin journal etter personopplysningsloven og at hennes krav om retting etter personopplysningsloven § 16 er oppfylt.
A har fått medhold i sin klage over at Datatilsynet ikke tar saken til behandling, men har ikke fått medhold i at hun kan kreve sletting eller ytterligere retting.
Vedtaket er enstemmig.
Vedtak
A får ikke medhold i sitt krav om retting og sletting.
Oslo, 27. august 2024
Mari Bø Haugstad
Leder