PVN-2024-21 Klage på Datatilsynets vedtak om avslutning av sak om barnevernstjenestens behandling av særlige kategorier personopplysninger

Saken gjelder klage fra A på Datatilsynets vedtak 4. april 2024, der Datatilsynet avsluttet sak om X kommune barnevernstjenestes behandling av særlige kategorier personopplysninger under henvisning til at det ikke var sannsynliggjort at det forelå brudd på personvernforordningen.

1. Sakens bakgrunn

A kontaktet Datatilsynet 29. juli 2023. Bakgrunnen for henvendelsen var at barnevernstjenesten i X hadde utlevert helseopplysninger om A til hennes ektemanns ekskone. Kommunen hadde selv innhentet opplysningene fra As fastlege i mai 2023. Utleveringen skjedde etter at barnevernstjenesten mottok en bekymringsmelding i mars 2023 knyttet til […] barn, og barnevernet besluttet å åpne to undersøkelsessaker rettet mot omsorgssituasjonen hjemme hos A og hennes ektefelle, B. B har […] barn med sin ekskone, som den ene saken omhandlet. Disse […] barna bodde 50 % hos A og B, og 50 % hos sin mor. Den andre barnevernssaken omhandlet As eget barn, som bor sammen med A og B.

Barnevernstjenesten utleverte helseopplysninger om A til moren til Bs […] barn. Det fremgår av barnevernstjenestens brev 29. juni 2023 til B at barnevernstjenesten la til grunn at «dette er opplysninger som mor til barna må få innsyn i for å kunne ivareta sine plikter under foreldreansvaret og vurdere samvær».

X kommune har opplyst at følgende opplysninger ble utlevert:

«X barnevernstjeneste har i undersøkelsen gjennomført flere samtaler med [klager] og [klagers ektemann], hvor de reagerer med sterke følelsesuttrykk, som blant annet sinne og gråt. Barnevernstjenesten har forstått at det har vært og er store belastninger i familien, men vurderer at det ikke kan forklare eller unnskylde fars og stemors reaksjonsmønster. Det har vært utfordrende å samarbeide med [klagers ektemann] og [klager].

Det er gjennomgående i opplysningshenting rundt [klager] sin fungering at hun har sterke følelsesuttrykk som blant annet sinne, gråt og sterke uttalelser. Det er knyttet bekymring til hvorvidt hun ved slike følelsesmessige svingninger evner å skjerme barna og se deres behov framfor egne.

Fastlege har hatt tett kontakt med [klager] og uttaler at pasienten ikke er begrenset av sine utfordringer i hverdagen. Han uttaler videre at det forståelig at hun har fått en kraftigreaksjon på den oppfattet urettferdighet som hun og hennes familie har blitt utsatt for som en følge av konflikt mellom ektemanns ekskone og mor til hennes stebarn. Finnes et notat i 2011 hvor […] har satt diagnose […], men den stiller han seg tvilende på om er gyldig. Forekommer ikke i noen epikriser seinere. Fastlege sier at han ikke er redd for pasientens psykiske situasjon eller hvordan denne påvirker hennes omsorgsevne.»

Datatilsynet ba X kommune om å redegjøre for saken 12. februar 2024.

Kommunen anmodet 16. februar 2024 om partsinnsyn i As henvendelse til Datatilsynet. Datatilsynet svarte samme dag at Datatilsynet ikke ønsket å oversende klagen av personvernhensyn, og ga i stedet en oppsummering av klagen. Kommunen fastholdt kravet. Datatilsynet avslo deretter kravet 19. februar 2024, jf. forvaltningsloven § 19 annet ledd bokstav b. Datatilsynet viste til at A hadde motsatt seg utlevering og at kommunen uansett hadde nok informasjon til å kunne redegjøre for saken.

X kommune ga sin redegjørelse i brev 8. mars 2024 og oversendte samtidig barnevernstjenestens interne rutiner ved innsynskrav. A fikk oversendt en kopi av kommunens redegjørelse.

I Datatilsynets vedtak 5. april 2024 til A avsluttet Datatilsynet saken. Vedtaket har slik slutning:

«Datatilsynet har kommet til at det ikke er sannsynliggjort at barneverntjenesten i X kommune har delt og/eller utlevert helseopplysninger om deg i strid med reglene om rettslig grunnlag i personvernforordningen artikkel 6 og 9.

Vi har ikke den nødvendige barnevernfaglige kompetansen til å overprøve barneverntjenestens vurderinger, jf. personvernforordningen artikkel 57 nr. 1 bokstav a.»

En kopi av vedtaket ble sendt til barnevernstjenesten i X kommune. 

A påklaget Datatilsynets vedtak 13. mai 2024. Datatilsynet behandlet klagen og opprettholdt sin avgjørelse. Saken ble oversendt til Personvernnemnda ved brev 3. juli 2024. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Kommunen ga sine merknader 5. september 2024. A ga sine merknader brev til nemnda 23. september 2024.

Personvernnemnda kontaktet Datatilsynet 17. mars 2025 for å få avklart om tilsynet hadde lagt til grunn at klagen var rettidig fremsatt, eller om det alternativt var gitt fristoppreisning. Datatilsynet opplyste 18. mars 2025 at tilsynet la til grunn at klagen var rettidig fremsatt. Nemnda har ingen innvendinger til det.

Saken ble behandlet i nemndas møte 12. juni 2025. Personvernnemnda hadde følgende sammensetning: Marius Stub (leder), Ruth Louise Osborg, Morten Goodwin, Malin Tønseth, Malgorzata Agnieszka Cyndecka og Bjørn Aslak Juliussen. Utredningsleder Anette Klem Funderud var også til stede.

 2.  As syn på saken i korte trekk

A gjør gjeldende at barnevernstjenesten ikke hadde rettslig grunnlag for å utlevere hennes helseopplysninger til moren til stebarna, eller for å dele hennes medisinliste med alle som var til stede på et møte.

A har ingen alvorlige psykiske helseutfordringer som påvirker hennes omsorgsevne og barnas mor har ikke rett til å få hennes private helseopplysninger. Hennes […]-diagnose er godt regulert, og hun har aldri hatt utfordringer med å følge opp noen av de barna som er bosatt i hennes hjem, verken sitt eget barn eller de […] stebarna. Det er sterkt kritikkverdig at ansatte i X kommune gir ut opplysninger om hennes […]-diagnose når den er uten betydning for hennes omsorgsevne. Disse opplysningene er misbrukt av mottakeren i etterkant, og brukes nå aktivt i samværstvisten mellom hennes ektemann og hans ekskone.

Familiens fastlege tok flere ganger kontakt med barnevernet og ba om at helseopplysningene ikke skulle utleveres til barnas mor. Fastlegen er ikke bekymret for hennes omsorgsevne. Det er heller ikke andre som kjenner henne. Det vises til fremlagt dokumentasjon fra blant annet lege, psykiater, psykolog og rektor mv.

Belastningene i denne saken har gjort A så syk at hun måtte slutte i jobben. Hun ønsker å flytte fra kommunen, men familien sliter økonomisk og har ikke råd til å flytte.

Hun krever erstatning og oppreisning for det uføret kommunen har satt henne i.

3.  X kommunes syn på saken i korte trekk

Kommunen gjør gjeldende at barnevernsloven gir rettslig grunnlag for behandling av personopplysninger i personvernforordningen artikkel 6 nr. 1 bokstav c og e. Behandling av personopplysninger er hjemlet i barnevernsloven § 13-6, jf. personvernforordningen artikkel 9 nr. 2. bokstav b og h. Denne bestemmelsen gir barnevernstjenesten adgang til å behandle alle personopplysninger som kan være relevante for en undersøkelse av et barns helhetlige omsorgssituasjon, jf. barnevernsloven § 2-2.

I en sak som involverer både foreldre, steforeldre, barn og stebarn, er det i en del tilfeller behov for å overføre informasjon fra en sak til en annen. Det er tilfellet i denne saken, og det var nødvendig å overføre enkelte opplysninger fra barnevernssaken til As barn til saken som gjaldt As stebarn. A ble da innlemmet i undersøkelsen knyttet til stebarna. Hjemmelen for overføring av nødvendige opplysninger er barnevernsloven § 2-2, jf. § 13-4. Opplysningene som overføres blir da en del av saken til As stebarn, hvor mor og far til barna er parter og i utgangspunktet har rett til innsyn etter forvaltningsloven § 18.

Forvaltningsloven § 19 annet ledd bokstav a gir adgang til å gjøre unntak fra partsinnsyn i en annen persons helseopplysninger, med mindre det er av «vesentlig betydning for en part».

Spørsmålet for barnevernstjenesten var om det var av vesentlig betydning for stebarnas mor å få visse helseopplysninger om A. I vurderingen skal det gjøres en interesseavveining mellom partens behov for innsyn på den ene side, og de grunner som taler for at opplysningene ikke skal gis videre på den annen. Barnevernstjenesten viser til Bufdirs saksbehandlingsrundskriv punkt 15.4.9.2, som gjelder opplysninger om en annens helseforhold, og Statsforvalterens rundskriv Q-24 punkt 5.3.1, som gjelder begrensninger i partsoffentligheten.

Ved vurderingen av hvorvidt stebarnas mor skulle få tilgang til helseopplysningene, la barnevernstjenesten vekt på at barnevernstjenesten og flere andre instanser rundt familien opplevde A som følelsesmessig ustabil. Det påvirket As evne til å samhandle med skole, helsesykepleier og barnevernstjenesten. Atferden ga bekymring for barnas omsorgssituasjon. A samtykket ikke til hjelpetiltak. Det viser at hun ikke selv så de utfordringene barnevernstjenesten og instansene rundt så.

Det ble ansett nødvendig for å ivareta stebarna at deres mor ble satt i stand til selv å vurdere omfanget og innholdet av barnas samvær med A og hennes ektemann, i tråd med de plikter som hører under foreldreansvaret. As diagnoser, sammenholdt med hennes psykiske helse for øvrig, tilsa at det var av «vesentlig betydning» for stebarnas mor å få innsyn i informasjonen, jf. forvaltningsloven § 19 annet ledd bokstav a.

A var sterkt involvert i foreldrekonflikten, og motsatte seg enhver deling av informasjon med stebarnas mor, som hun ikke hadde tillit til. Informasjonsdelingen ble begrenset til det som ble ansett som nødvendig for å ivareta barnas beste, jf. barnevernsloven § 1-3. A ble informert før delingen. Hun reagerte konkret på at […]-diagnosen skulle deles. Diagnosen ble ikke ansett som sentral for hennes fungering, og opplysningene om diagnosen ble derfor unntatt fra partsinnsyn.

A reagerte ikke særskilt på at diagnosen […] og barnevernstjenestens vurderinger skulle deles med stebarnas mor, men samtykket heller ikke til delingen. […] er en diagnose som beskriver et mønster av […] hos den det gjelder, og kan ha stor betydning for den omsorgen som gis. Denne diagnosen ble derfor i større grad ansett å være relevant for stebarnas mor å være klar over, særlig tatt i betraktning den adferden barnevernstjenesten og andre instanser opplevde, som nettopp var intense følelsesutbrudd. Barnevernstjenesten mente også at åpenhet om dette kunne medføre større forståelse fra stebarnas mor, slik at samarbeidet mellom hjemmene kunne bli bedre. For å gi et helhetlig bilde, var også viktig å samtidig informere stebarnas mor om at fastlegen anså diagnosen […] som usikker.

Barnevernstjenesten foretok en konkret avveining mellom de ulike hensynene, og konkluderte med at As adferd var så avvikende at det var av «vesentlig betydning» for stebarnas mor å få de aktuelle opplysningene for å ivareta sine barn, jf. forvaltningsloven § 19 annet ledd bokstav a. Det var ikke mulig med mindre inngripende tiltak for å oppnå det samme formålet.

4.  Personvernnemndas vurdering

4.1 Innledning

Saken gjelder klage fra A på Datatilsynets vedtak 5. april 2024 om avslutning av sak om X kommunes behandling av helseopplysninger. Grunnlaget for vedtaket var at Datatilsynet ikke fant det «sannsynliggjort at barneverntjenesten i X kommune har delt og/eller utlevert helseopplysninger om deg i strid med reglene om rettslig grunnlag i personvernforordningen artikkel 6 og 9».

Hovedspørsmålet i saken er om kommunen hadde rettslig grunnlag (behandlingsgrunnlag) i personvernforordningen artikkel 6 nr. 1 og artikkel 9 for å overføre helseopplysningene fra den ene til den andre barnevernssaken (punkt 4.3.1) og til å utlevere helseopplysningene til barnas stemor (punkt 4.3.2).

Datatilsynet har lagt til grunn at tilsynet «ikke har den nødvendige barnevernfaglige kompetansen til å overprøve barneverntjenestens vurderinger, jf. personvernforordningen artikkel 57 nr. 1 bokstav a». Nemnda er ikke enig i denne tilnærmingen. Artikkel 57 nr. 1 bokstav a fastslår at Datatilsynet skal «føre tilsyn med og håndheve anvendelsen av denne forordning». Det er Datatilsynet som er tilsynsmyndighet når det gjelder spørsmål om rettslig grunnlag for behandlingen av personopplysninger, og som skal ta stilling til om lovens vilkår er oppfylt. Datatilsynet må derfor kunne overprøve barnevernstjenestens vurdering. En annen sak er barnevernstjenestens faglige vurdering som regel vil måtte tillegges atskillig vekt.

4.2 Noen rettslige utgangspunkter

All behandling av personopplysninger hos barnevernstjenesten må ha behandlingsgrunnlag i ett av alternativene i personvernforordningen artikkel 6 nr. 1. Ved behandling av opplysninger som angitt i artikkel 9 nr. 1, må det i tillegg foreligge rettslig grunnlag (behandlingsgrunnlag) i ett av alternativene i artikkel 9 nr. 2. I denne saken er det kommunen som er behandlingsansvarlig og som må ha behandlingsgrunnlag.

Behandling av personopplysninger som har rettslig grunnlag i artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse) eller e (nødvendig for å utøve offentlig myndighet), må ha i henhold til artikkel 6 nr. 3 ha supplerende rettsgrunnlag i unionsretten (bokstav a) eller i nasjonal rett (bokstav b). Behandlingen av personopplysninger må faktisk oppfylle det formålet som fremgår av behandlingsgrunnlaget og ikke gå ut over hva som er nødvendig for å nå dette formålet, jf. EU-domstolens dom 22. juni 2021 i sak C-439/19 (Latvijas Republikas Saeima) avsnitt 109 og 110. Nødvendighetskravet vil ikke vil være oppfylt dersom formålet kan oppfylles fullt ut på en mindre inngripende måte.

Det følger av personvernforordningen artikkel 6 nr. 3 annet ledd at formålet med behandlingen etter artikkel 6 nr. 1 bokstav c skal være fastsatt i det supplerende rettslige grunnlaget. Når det gjelder artikkel 6 nr. 1 bokstav e, må behandlingen være nødvendig for å utføre en oppgave i allmenhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Det er derimot ikke nødvendig at det supplerende rettsgrunnlaget regulerer behandlingen uttrykkelig, jf. Prop. 56 LS (2017–2018) punkt 6.3.2:

«Samlet sett taler altså ordlyden i artikkel 6 nr. 3 for at det må påvises et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, men at det ikke er nødvendig at det supplerende rettsgrunnlaget uttrykkelig regulerer behandling av personopplysninger. Departementet viser i denne forbindelse også til artikkel 35 nr. 10, hvor det forutsetningsvis fremgår at det rettslige grunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e ikke behøver å spesifikt regulere behandlingsaktivitetene.

Heller ikke forordningens fortale gir støtte for et ubetinget krav om at behandlingen av personopplysninger må være regulert uttrykkelig i det supplerende rettsgrunnlaget. Fortalepunkt 45 gir uttrykk for at behandlingen i disse tilfellene bør ‘ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett’, men at det ikke kreves ‘en særlig lovbestemmelse for hver enkelt behandling’.»

Departementet uttaler samme sted at det er tilstrekkelig etter ordlyden i artikkel 6 nr. 3 at det supplerende rettsgrunnlaget pålegger den behandlingsansvarlige «en rettslig forpliktelse som det er nødvendig å behandle personopplysninger for å oppfylle».

Det supplerende rettsgrunnlaget må for øvrig oppfylle de krav som måtte følge av Grunnloven § 102 første ledd eller EMK artikkel 8, jf. Prop. 56 LS (2017–2018) punkt 6.4.

4.3 Den konkrete vurderingen

4.3.1 Overføringen av personopplysninger fra den ene barnevernssaken til den andre

Nemnda drøfter først om kommunen har rettslig grunnlag (behandlingsgrunnlag) til å overføre As helseopplysninger fra den ene barnevernssaken til den andre.

Etter personvernforordningen artikkel 6 nr. 1 vil behandlingsgrunnlag blant annet foreligge dersom behandlingen er «nødvendig for å oppfylle en rettslig forpliktelse» (bokstav c), «nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser» (bokstav d), eller «utøve offentlig myndighet som den behandlingsansvarlige er pålagt» (bokstav e). Grunnlaget for behandlingen må etter forordningen artikkel 6 nr. 3 være fastsatt i unionsretten (bokstav a) eller i medlemsstatenes nasjonale rett (bokstav b). I tillegg må de særlige vilkårene i artikkel 9 være oppfylt.

Disse spørsmålene har Datatilsynet drøftet slik:

«Redegjørelsen viser at barneverntjenesten har utført en konkret vurdering av hvilkeopplysninger som var å anse som ‘nødvendig’ for å oppfylle sine plikter etter barnevernsloven. Datatilsynet har ikke den barnevernfaglige kompetansen til å overprøve de skjønnsmessige vurderingene barneverntjenesten har utført. Vurderingen anses forsvarlig.

Vi finner det derfor ikke sannsynliggjort at barneverntjenesten har overført helseopplysningene mellom barnevernssakene i strid med personvernforordningens regler om rettslig grunnlag, jf. artikkel 6 og artikkel 9.»

Etter nemndas syn er begrunnelsen for denne delen av vedtaket mangelfull, og den etterlater tvil om Datatilsynet har tatt stilling til de spørsmål saken reiser på selvstendig grunnlag, jf. artikkel 57 nr. 1 bokstav a. Det er ikke tilstrekkelig å påpeke at kommunens egen vurdering «anses forsvarlig», eller at det «ikke [er] sannsynliggjort» at det foreligger brudd. Datatilsynet må selv ta standpunkt til om kommunen har behandlingsgrunnlag etter artikkel 6 og 9, og må også vurdere om kravene i artikkel 5 nr. 1 bokstav b og d og artikkel 6 nr. 4, er oppfylt.

Denne delen av vedtaket må derfor oppheves.

4.3.2 Utlevering av helseopplysninger til ektemannens ekskone

Når det gjelder spørsmålet om kommunen hadde adgang til å utlevere As helseopplysninger til ektemannens ekskone, drøftes dette slik i Datatilsynets vedtak:

«Datatilsynet kan heller ikke her se at vi har den nødvendige barnevernfaglige kunnskap til å overprøve kommunens vurderinger av hva som er av ‘vesentlig betydning’ for en part i en barnevernssak.

Etter å ha gjennomgått kommunens redegjørelse og de interne rutinene for innsyn, har vi kommet til at det ikke er sannsynliggjort at barneverntjenesten har behandlet helseopplysningene i strid med personvernforordningens regler om rettslig grunnlag, jf.artikkel 6 og artikkel 9.»

Etter nemndas syn er denne begrunnelsen mangelfull, og den etterlater tvil om Datatilsynet har tatt selvstendig stilling til de spørsmål saken reiser, jf. artikkel 57 nr. 1 bokstav a. Det er ikke tilstrekkelig å påpeke at Datatilsynet mangler barnevernfaglig kunnskap. Datatilsynet må uansett – i lys av kommunens redegjørelse og de barnevernfaglige momenter som fremgår der – selv ta standpunkt til om kommunen har behandlingsgrunnlag etter artikkel 6 og 9, og må også vurdere om kravene i artikkel 5 nr. 1 bokstav b og d, og artikkel 6 nr. 4, er oppfylt.

Denne delen av vedtaket må derfor oppheves.

* * *

På denne bakgrunn oppheves vedtaket i sin helhet, og saken returneres til Datatilsynet for ny behandling.

As klage har ført frem.

Vedtaket er enstemmig.

4.4 Konklusjon

Datatilsynet vedtak 4. april 2024 oppheves.

Oslo, 12. juni 2025

Marius Stub

leder