Personvernnemndas avgjørelse av 18. desember 2012 (Eva I. E. Jarbekk, Arve Føyen, Ørnulf Rasmussen, Tom Bolstad, Leikny Øgrim, Ann Sætnan, Jostein Halgunset)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets vedtak om pålegg vedrørende virksomheten til stiftelsen SUSS.
2 Saksgang
Datatilsynet gjennomførte den 5. oktober 2010 en varslet kontroll hos Stiftelsen SUSS-telefonen (heretter «SUSS»), med hjemmel i personopplysningsloven. Den 22. desember 2010 fikk SUSS tilsendt en foreløpig kontrollrapport samt varsel om vedtak.
I brev av 17. januar 2011 kommenterte SUSS den foreløpige kontrollrapporten. På bakgrunn av kommentarene ba Datatilsynet i brev av 10. februar 2011 Helsedirektoratet om en avklaring på om SUSS oppfyller kriteriene i helsepersonelloven § 3 tredje ledd.
Den 25. oktober 2011 mottok Datatilsynet avklaringene fra både Helsedirektoratet (heretter «Hdir») samt Heise- og omsorgsdepartementet (heretter «HOD»).
Den 18. januar 2012 ble den endelige kontrollrapporten ferdigstilt samt følgende pålegg fattet:
- Virksomheten må slette personopplysningene som innhentes i forbindelse med SUSS sin råd- og veiledning, med mindre det kan påvises et gyldig rettslig grunnlag for behandlingen, alternativt kan opplysningene som behandles anonymiseres. Det vises til kontrollrapportens pkt. 5.1.2.
- Virksomheten pålegges å oppfylle sin informasjonsplikt overfor sine brukere, jf helseregisterloven § 23. Det vises til kontrollrapportens pkt. 5.1.3.
- Virksomheten må avklare hvilken plikt de har til å informere den registrerte om utleveringsplikten til de sentrale helseregistre. Det vises til tilsynsrapportens pkt. 5.1.3.
- Virksomheten må i sin internkontroll avklare hvilke lover som regulerer deres virke, samt hvordan personopplysningene skal behandles i virksomheten. Det vises til kontrollrapportens pkt 5.1.4.
I brev av 23. februar 2012 klaget SUSS på pkt. 1, 2 og 3. SUSS hevder at pkt. 3 og 4 er etterkommet og gjennomført av SUSS, men at pkt. 3 likevel påklages fordi tilsynet ikke har lagt korrekt forståelse av faktum og regelanvendelse til grunn for dette punktet i vedtaket.
Saken ble oversendt Personvernnemnda 3.7.2012, som mottok saken 9.7.2012. Klager (ved Advokatfirma Ræder DA), samt Helsedirektoratet og Helsetilsynet, ble orientert om dette i brev fra nemnda datert 13.7.2012, med frist til uttalelse innen 15.8.2012. Advokatfirma Ræder har kommentert klagen på vegne av klager i brev av 15.8.2012, samt i brev av 20.8.2012. Videre har Datatilsynet kommentert Advokatfirma Ræders brev i brev av 24.8.2012. Advokatfirma Ræder har igjen kommentert Datatilsynets brev i brev av 28.8.2012.
Den norske legeforening uttalte seg i saken i brev av 21.9.2012. Datatilsynet kommenterte Legeforeningens brev i brev av 26.9.2012.
3 Faktum
Stiftelsen SUSS ble dannet i 1987 i forbindelse med gjennomføringen av to store nasjonale kampanjer i regi av Statens Helsetilsyn. SUSS arbeider for å sikre ungdom hjelp til å oppnå bedre helse, spesielt forebygge uønskede graviditeter, abort og overføring av seksuelt overførbare sykdommer. SUSS er en landsdeldekkende stiftelse som drives av og med helsepersonell som har spesiell kompetanse i helseforebyggende og rådgivende arbeid blant unge.
SUSS gir råd og veiledning over telefon, SMS og «sikker e-post» til enkeltpersoner ut i fra deres spørsmål eller problemstilling. SUSS har egenutviklet programvare som skal sørge for at identiteten til brukerne ikke blir avslørt for de ansatte som besvarer spørsmålene og omvendt. SUSS lagrer kontaktopplysninger om hvem som kontakter dem, enten telefonnummer eller brukerid på Internett. I tillegg registreres det i et journalsystem hva problemstillingen eller spørsmålet var, samt hvilke råd eller veiledning som ble gitt. De ansatte registrerer også hvilken kategori spørsmålet eller problemstillingen omhandlet. Det ble opplyst under den stedlige kontrollen at samtlige av virksomhetens henvendelser ble lagret (journalført).
4 Uttalelse fra Helsedirektoratet
Helsedirektoratet har uttalt i saken at studentene ved SUSS telefonen anses som helsepersonell etter helsepersonellovens definisjon. Direktoratet mener videre at i de tilfeller hvor SUSS gir konkret veiledning og rådgivning som er individuelt tilpasset brukeren og basert på informasjon brukeren gir fra seg, vil de yte helsehjelp etter definisjonen i helsepersonelloven. Da kommer blant annet journalføringsplikten for relevante og nødvendige opplysninger i helsepersonelloven til anvendelse. Det vises til at journalføring, meldeplikt og opplysningsplikt skal utføres i samsvar med helsepersonelloven §§ 39 og 40. Helsedirektoratet legger til grunn at i de tilfeller brukeren er anonym, er det tilstrekkelig at det journalføres informasjon som er tilgjengelig, blant annet om tid, telefonnummer, IP-adresse og innhold av helsehjelpen som er ytt.
5 Uttalelse fra Helse- og omsorgsdepartementet
Helse- og omsorgsdepartementet (HOD) har uttalt at SUSS er å anse som en helsetjeneste. Deler av tilbudet som gis innringerne er helsehjelp. Det betyr at alt personellet som utøver helsehjelp, faller inn under definisjonen av helsepersonell etter helsepersonelloven § 3 første ledd nr 1 og 2. De ulike pliktbestemmelsene i helsepersonelloven kommer da til anvendelse, herunder plikten til forsvarlighet og plikten til å føre journal. Dersom innringer er anonym, må helsepersonellet vurdere hvor langt det er forsvarlig å gå i å gi helsehjelp. I den grad det vurderes som forsvarlig å gi helsehjelp uten å få oppgitt navn, vil departementet anta at det er tilstrekkelig at helsepersonellet journalfører den informasjon de har tilgjengelig om tid og innhold av telefonsamtalen.
6 Uttalelse fra Legeforeningen
Legeforeningen uttaler at de vil kommentere Datatilsynets forståelse av legers journalføringsplikt og hvordan denne i praksis etterleves. Datatilsynet har lagt til grunn at SUSS er en virksomhet som bare ”delvis” driver helsehjelp. Tilsynet skriver at ”I tilfeller der SUSS gir råd og veiledning av mer generell og uforpliktende karakter, som ikke er tilpasset den enkelte bruker, vil det etter tilsynets vurdering av Hdir samt HOD sin avklaring, ikke være å anse som helsehjelp etter helsepersonellovens forstand”. Legeforeningen oppfatter det slik at Datatilsynet mener at slik rådgivning dermed ikke er omfattet av den dokumentasjonsplikt som gjelder ved ytelse av helsehjelp, og at tilsynet dermed anser at SUSS i utgangspunktet ikke har noe rettslig grunnlag for å journalføre slik informasjon. Slik Legeforeningen forstår Datatilsynet vil eventuell dokumentasjon av opplysninger som ikke omfattes av Datatilsynets definisjon av helsehjelp, måtte skje i et eget register som det må søkes tillatelse for å opprette. Datatilsynet støtter sitt resonnement på uttalelser i brev fra Helsedirektoratet og Helse- og omsorgsdepartementet. Basert på de aktuelle brevene finner Legeforeningen ikke holdepunkter for å trekke de samme slutninger som Datatilsynet gjør.
Legeforeningen stiller spørsmål ved hensiktsmessigheten av den sondring mellom helsehjelp og ”annen type helserelatert rådgivning” som Datatilsynet mener helsepersonellet i SUSS skal gjøre. Et slikt skille synes ut fra virksomhetens karakter kunstig og lite praktisk gjennomførbart. Sonderingen vil også lett komme i strid med de krav som gjeldende regelverk oppstiller.
Helsepersonelloven § 3 definerer helsehjelp som enhver handling som har forebyggende, diagnostisk, behandlende, helsebevarende eller rehabiliterende mål og som utføres av helsepersonell. Som det fremgår er definisjonen av helsehjelp meget vid. Såfremt helsehjelpen er en handling som har et av disse målene, og er ytt av helsepersonell, gjelder lovens krav til forsvarlighet, journalføring, taushetsplikt m.v.
Slik Legeforeningen vurderer det vil SUSS’ rådgivning overfor innringere som den klare hovedregel falle innenfor helsepersonellovens definisjon av helsehjelp. Riktignok skiller tjenesten seg fra den tradisjonelle behandlerrollen. Legeforeningen oppfatter likevel at det i realiteten vil finne sted en dialog mellom helsepersonell og en bruker, som innebærer at det gis helseråd som er av en slik karakter av tjenesten i regelen må karakteriseres som helsehjelp.
Legeforeningen peker også på at brukernes forventninger må tillegges vekt når et helsetilbud skal kategoriseres. Brukere av SUSS’ tjenester må i regelen antas å oppsøke tjenesten nettopp for å få informasjon fra personer de vet er helsepersonell. Det skjer en konkret dialog mellom personen og helsepersonellet. Denne situasjonen skiller seg således på et vesentlig punkt fra situasjoner der personer mer tilfeldig søker helseinformasjon uten noen form for individuell tilpasning, og ofte uten kunnskap om avgiveren av informasjonen eller dialog med denne. Legeforeningen vil anta at selv om en innringer til SUSS velger å formulere seg generelt, vil vedkommende legge den informasjon som helsepersonellet gir, til grunn i sin videre vurdering av egen helse (eventuelt helsen til den som spørsmålene gjelder).
Legeforeningen vil poengtere at journalføringsplikten ved helsehjelp hviler på særlig to sentrale hensyn – hensynet til å kunne gi en forsvarlig oppfølgning av pasienten og hensynet til at journalen skal kunne ivareta kontrollformål. Når helsepersonell oppsøkes og gir råd og informasjon om helsespørsmål, og hvor det må forventes at brukeren innretter seg etter rådene, må det kunne stilles krav til kvaliteten på informasjonen, at denne kan dokumenteres etc. Dels er dette viktig for å kunne sikre forsvarlig oppfølgning av pasienten. Dels er det viktig at det er en mulighet for at tilsynsmyndigheten skal kunne etterprøve kvaliteten på tjenesten som ytes. Dette forvanskes dersom SUSS - på et nødvendigvis skjønnsmessig grunnlag - skal skille ut deler av rådgivningstjenesten og vurdere denne som noe annet enn helsehjelp, og derfor ikke journalføre denne.
Noen innringere til SUSS vil være anonyme og kanskje gjelder telefonen kun et enkeltstående spørsmål. Hensynet til at journalens formål skal være et arbeidsverktøy for oppfølgning av pasienten bortfaller i stor grad i slike tilfeller. Det er like fullt viktig at det føres journal også fra slike samtaler, slik at hensynet til at journalen skal kunne ivareta kontrollformål overholdes.
SUSS har i sin argumentasjon vist til allmennlegers journalføringspraksis, og pekt på at allmennleger ikke har to journalsystemer på legekontoret (for hhv. helsehjelp og det andre for generelle råd og veiledning). Til dette har Datatilsynet bemerket at det ”legger til grunn at allmennpraktiserende leger ikke journalfører de generelle råd og veiledningene de gir sine pasienter, og av den grunn ikke har behov for et slikt journalsystem.” Datatilsynets oppfatning av gjeldende praksis på dette punktet er neppe riktig. Det må i denne sammenheng fremheves at den opplisting som er gjort av forhold som skal journalføres etter journalforskriften § 8, ikke er uttømmende. Legen må uavhengig av opplistingen alltid vurdere konkret hva som er nødvendig og relevant å ta inn i journalen. Dette kan også være opplysninger ut over punktene opplistet i § 8, jf tredje ledd. Ofte vil det være viktig for en allmennlege å kunne dokumentere også hva slags mer generell informasjon som er blitt gitt til en pasient under konsultasjon. Dette kan ha betydning for oppfølgning av pasienten i senere konsultasjoner. Ved en tilsynssak kan det etter omstendighetene være avgjørende for en allmennlege nettopp å kunne vise til hvilke generelle råd som faktisk er blitt gitt.
Legeforeningen understreker for øvrig at det av helsepersonelloven § 39 følger at det ikke ville være tillatt for allmennleger å ha to ulike journalføringssystemer.
7 Klagers anførsler
7.1 Vedtakets punkt 1 – personopplysninger registrert ved SUSS’ råd- og veiledning
Klager har anført at Datatilsynet har lagt galt faktum til grunn, jf. klagens pkt. 2. Datatilsynet vil her presisere at kontrollrapporten gjenspeiler forholdet på kontrolltidspunktet. Eventuelle endringer etter dette tidspunkt er ikke relevante for den endelige kontrollrapporten, men vil kunne være relevant ved utforming av eventuelle vedtak. På kontrolltidspunktet var frasen
«helt anonym» vitterlig å finne på SUSS’ hjemmeside.
SUSS anfører videre at det ikke er korrekt at det har forekommet noen diskusjoner etter 2001 med Helsedirektoratet om hvorvidt SUSS driver helsehjelp, slik det nevnes i endelig kontrollrapporten på side 9.
Klager anfører at det ikke foreligger faktiske eller rettslige grunnlag for å dele SUSS’ virksomhet i to teoretiske kategorier. Det vises til helsepersonelloven med kommentarer, 2. utgave 2001 side 26, der det siteres følgende:
«Avgjørende momenter er om man gir uttrykk for å være helsepersonell og opptrer som helsepersonell.»
Fordi SUSS er bemannet av helsepersonell som har som formål å drive helsehjelp og fordi SUSS’ brukere kontakter helsepersonellet nettopp i den oppfatning tilsier helsepersonellovens formålsbestemmelse klart at hele SUSS' virksomhet er helsehjelp når SUSS har kontakt med sine brukere. Lovens formål hindrer at kun «deler av SUSS sin virksomhet blir å anse som
helsehjelp» slik Datatilsynet har lagt til grunn.
Klager viser til at det ikke foreligger noe i HOD sitt brev til Helsedirektoratet av 20. september 2011 som støtter Datatilsynets vurdering av at SUSS bare «delvis» driver helsehjelp.
Klager viser videre til at Helsedirektoratet har slått fast at SUSS driver med helsehjelp, og hvis det var slik at deler av SUSS sin virksomhet ikke faller inn under definisjonen av helsehjelp, medfører det ikke at SUSS av denne grunn mister status som enhet som driver helsehjelp.
Det anføres at det ikke er «faktisk mulig» å dele SUSS' virksomhet i to deler slik Datatilsynet indikerer. En slik grensedragning måtte nødvendigvis blitt skjønnsmessig og ikke praktisk gjennomførbar. Det tillegges at den ansatte i SUSS hele tiden opptrer som helsepersonell overfor brukeren, og at brukeren avleverer personopplysninger til SUSS nettopp etter denne oppfatning.
Det anføres at SUSS’ ansatte (som helsepersonell), under utøvelse av helsepersonellfaglige handlinger, er kompetente til å vurdere hvorvidt kommunikasjon med SUSS' brukere er helsehjelp i det enkelte tilfelle, eller eventuelt ikke. Datatilsynet har ikke kompetanse til å overprøve denne faglige vurderingen.
SUSS vil bemerke at i alle tilfeller der SUSS lagrer opplysninger, så fremgår det ikke av det som lagres, hvilken person opplysningene gjelder. Likeledes kan den SUSS-ansatte som besvarer henvendelser heller ikke se hvem personen som ringer/sender sms/sender e-post, er. Den SUSS-ansatte som er i kontakt med SUSS' brukere vet derfor aldri hvem brukeren er.
Det er feil å forstå Helsedirektoratets brev slik at helseregisterloven er det rettslige utgangspunkt for SUSS' behandling av personopplysninger. Tvert imot er Helsedirektoratet som relevant fagmyndighet, enig med SUSS i at SUSS driver helsehjelp. Dette leder, slik SUSS hele tiden har hevdet, til at SUSS er underlagt helsepersonelloven og dennes journalføringsforskrift. Helsepersonelloven er det rettslige utgangspunkt for bedømmelsen av SUSS’ behandling av personopplysninger.
Det beror videre på en feil forståelse av Helsedirektoratets og Helse- og omsorgsdepartementets brev, samt feil forståelse av helsepersonelloven, når Datatilsynet hevder at Helsedirektoratets uttaler at SUSS bare «i enkelte tilfeller yter helsehjelp».
SUSS yter i all hovedsak helsehjelp ved kontakt med SUSS' brukere. Det avgjørende er at hvilke personopplysninger som lagres etter en slik samtale beror, og skal bero, på helsepersonalets skjønn etter helsepersonellovens § 40, hvor det heter at «Journalen skal føres i samsvar med god yrkesskikk og skal inneholde relevante og nødvendige opplysninger om pasienten og helsehjelpen ...» jf. også journalforskriften § 8.
Dersom en bruker dels stiller spørsmål av generell art, og dels gir opplysninger om seg selv og får et tilpasset svar basert på opplysninger gitt av denne brukeren, ytes det helsehjelp i helsepersonellovens forstand. I slike tilfeller har SUSS rett og plikt til å føre journal. Det vises i denne sammenheng til SUSS’ klage til Personvernnemnda punkt 3.1. Som der beskrevet er det praktisk umulig å sondre mellom opplysninger avgitt av brukeren og som ikke er behandlet som en del av helsehjelp og opplysninger avgitt av samme bruker under samme samtale, og som er opplysninger som behandles som en del av helsehjelp. En slik sondring vil videre være i strid med helsepersonellovens formål.
Det beror på en gal lovforståelse når Datatilsynet legger til grunn at SUSS ikke har hjemmel til å behandle personopplysninger når SUSS i en samtale som for øvrig er helsehjelp, også måtte gi råd og veiledning av generell og uforpliktende karakter.
Rent faktisk foregår lagringen slik at det ved henvendelser til SUSS på "sikker e-post" og SMS lagres spørsmål og svar. Ved telefonhenvendelser lages det et referat av henvendelsen der det angis hovedinnholdet i spørsmål, svar og den informasjon som er gitt.
De opplysninger helsepersonellet hos SUSS etter helsepersonelloven § 40 og journalforskriftens § 8, etter god yrkesskikk vurderer at skal journalføres, skal og må journalføres. Hvilke opplysninger det er nødvendig å journalføre, beror på en helsefaglig vurdering. Datatilsynet er ikke kompetente til å overprøve helsefaglige vurderinger, hvilket tilsynet i oversendelsesbrevet til Personvernnemnda synes å være enige i, jf. Datatilsynets oversendelsesbrev s. 6.
Det vises til Datatilsynets oversendelsesbrev s. 6, vedrørende allmennpraktiserende leger. Tilsynet legger her til grunn at allmennpraktiserende leger ikke journalfører generelle råd og veiledning gitt til pasienter. Dette stemmer etter SUSS erfaring ikke. SUSS viser for det første til at allmennpraktiserende leger journalfører nøyaktig de samme opplysninger som SUSS gjør, etter en helsefaglig vurdering med hjemmel i helsepersonelloven og journalforskriften. Det er videre SUSS påstand at også allmennpraktiserende leger etter en helsefaglig vurdering i visse tilfeller vil journalføre generelle råd og veiledninger når disse er gitt som en del av en helsekonsultasjon. Som det for øvrig fremgår av klagen, mener SUSS dette ikke bare er tillatt, men også en plikt etter helsepersonelloven.
Det vises i denne sammenheng til journalforskriften § 8 pkt i) hvor det fremgår at det skal journalføres
«Om det er gitt råd og informasjon til pasient og pårørende, og hovedinnholdet i dette, jf pasientrettighetsloven § 3-2. Pasientens eventuelle reservasjon mot å motta informasjon».
SUSS’ påstand er at allmennpraktiserende leger ofte gir råd og informasjon i pasientkonsultasjoner og at dette journalføres av legen, med grunnlag i reglene om journalføring, herunder nevnte regel i journalforskriften § 8 pkt i).
Det vises i denne sammenheng igjen til definisjonen av helsehjelp i helsepersonelloven § 3, tredje avsnitt hvor det heter at:
"Med helsehjelp menes enhver handling som har forebyggende, diagnostisk, behandlende, helsebevarende, rehabiliterende eller pleie- og omsorgsformål og som utføres av helsepersonell".
Det Datatilsynet kaller generell råd og veiledning vil etter dette for allmennpraktiserende leger være helsehjelp når det eksempelvis ytes råd om kosthold, røyking, søvnhygiene, bivirkninger av aktuelle medisiner osv. For SUSS’ vedkommende vil rådgivning og veiledning være helsehjelp når det gjelder prevensjon eller beskyttelse mot kjønnssykdommer.
Det bemerkes at det for øvrig er svært sjeldent at SUSS’ råd til sine brukere, ikke er individuelt tilpasset.
Hva gjelder SUSS’ lagring av opplysninger vises det også til behovet for og plikten til, internkontroll for enheter som driver helsehjelp. Det er nødvendig også av internkontrollhensyn å lagre opplysninger slik at SUSS i etterkant kan kontrollere kvaliteten på de svar som gis, herunder om de ansattes opptreden og kvalitet er god.
SUSS viser til at det slik som beskrevet i kommentarutgaven til helsepersonelloven, er avgjørende at SUSS' helsepersonell gir uttrykk for å være helsepersonell og opptrer som dette overfor SUSS' brukere. Datatilsynets referanse til helsedirektoratets uttalelser vedrørende apotekansatte endrer ikke på dette. Denne er ikke helt treffende ved at apotekansatte hovedsakelig er selgere av legemidler og andre varer, og som mer leilighetsvis yter helsehjelp. SUSS' ansatte er i motsetning helsepersonell hvis oppgave hovedsakelig er å yte helsehjelp. Det kan legges til grunn at publikum i mindre grad forventer å motta helsehjelp ved a oppsøke et apotek, og at publikum i stor grad forventer å motta helsehjelp ved å kontakte SUSS. Publikums oppfattelse er som tidligere beskrevet, relevant ved vurderingen av hva som er helsehjelp.
Avslutningsvis viser SUSS til at både personopplysningsloven, helsepersonelloven og helseregisterloven alle skal sikre den enkeltes personvern.
Det er SUSS påstand at når SUSS fører journal etter helsepersonelloven er personvernet godt ivaretatt ved at regelsettet SUSS følger, er strengt.
7.2 Vedtakets punkt 2 – informasjonsplikt overfor brukerne
Så vidt SUSS kan se, har Datatilsynet justert sitt krav i vedtakets punkt 2. SUSS forstår Datatilsynet nå slik at tilsynet mener at SUSS tydeligere skal opplyse (for eksempel gjennom SUSS’ nettsider) at det samles inn opplysninger om SUSS’ brukere og at det føres journal. SUSS er ikke uenig med Datatilsynet i at slike opplysninger tydelig skal gis. Det vises samtidig til www.suss.no. Etter SUSS’ oppfatning opplyses det tydelig at personopplysninger om den enkelte blir lagret. SUSS’ internettsider har blitt endret etter at Datatilsynet gjennomførte sin kontroll, blant annet på bakgrunn av Datatilsynets vurdering. SUSS kan samtidig ikke se at det relevante faktum for Personvernnemndas bedømmelse av saken er faktum da kontrollen ble gjennomført. Tilsynets vedtak skal lede til at regler om behandling av personopplysninger etterleves. SUSS’ nettsider slik disse ser ut i dag, gir tilstrekkelig informasjon til brukerne til at helseregisterloven § 23 er oppfylt. Følgelig er SUSS virksomhet på dette punkt i tråd med loven.
7.3 Vedtakets punkt 3 – informere den registrerte om utleveringsplikten til de sentrale helseregistre
Når det gjelder vedtakets punkt 3, vises det til SUSS' klage, punkt 3.3 samt til Datatilsynets vedtak punkt 5.1.3. Datatilsynets vedtak er vanskelig å forstå annerledes enn at Datatilsynet la til grunn for vedtaket at SUSS var å regne som en spesialisthelsetjeneste, hvilket SUSS har påklaget fordi dette er et galt premiss som ikke kunne bli stående. Datatilsynet synes samtidig nå å ha endret oppfatning ved at det i oversendelsesbrevet til Personvernnemnda presiseres at Datatilsynet ikke har konkludert med at SUSS er en spesialisthelsetjeneste. Etter denne avklaring er det ikke lengre nødvendig for SUSS å opprettholde klagen om feil i rettsanvendelse og feil i faktum under vedtakets punkt 3. SUSS har samtidig etterkommet vedtakets punkt 3 ved at SUSS har avklart hvilken plikt SUSS har til å informere den registrerte om utleveringsplikten til de sentrale helseregistre.
SUSS forstår Datatilsynet slik at Datatilsynet for Personvernnemnda er enige i at vedtakets punkt 3 er etterkommet.
7.4 Vedtakets punkt 4 – internkontroll
Vedrørende vedtakets punkt 4 vises det til det som tidligere er anført i klagen samt i tidligere korrespondansen med Datatilsynet i saken. SUSS har her godtgjort at de nødvendige vurderinger er gjort og at de nødvendige tiltak er iverksatt, slik at regler om internkontroll er overholdt. Hva gjelder internkontroll vises det også til at det er viktig for SUSS’ internkontroll herunder for oppfølgning av ansatte og kontroll av kvalitet på de svar som er gitt av SUSS, at spørsmål og svar er tilgjengelige i etterkant av at disse er gitt.
8 Datatilsynets vurdering
Datatilsynet vil innledningsvis redegjøre for tilsynets forståelse for deler av helselovgivningen, da enkelte av klagers innsigelser, viser et avvikende syn.
I følge klager kommer ikke helseregisterloven til anvendelse, siden helsepersonelloven regulerer forholdet. Datatilsynet mener at helseregisterloven samt helsepersonelloven ikke utelukker hverandre, men vil etter tilsynets vurdering utfylle hverandre. Helsepersonell vil, etter tilsynets vurdering, ikke bare være regulert av en lov ved behandling av personopplysninger, men av flere lover og forskrifter avhengig av blant annet hvilken rolle helsepersonellet har, hva formålet med behandlingen er og hva slags tjenester som ytes. Lovens formål og virkeområde vil således stå sentralt i vurderingen av om den aktuelle loven kommer til anvendelse eller ikke.
Helsepersonelloven har til formål å bidra til sikkerhet for pasienter og kvalitet i helse- og omsorgstjenesten samt tillit til helsepersonell og helse- og omsorgstjenesten, jf lovens § 1. Loven gjelder for helsepersonell og virksomheter som yter helsehjelp i riket, jf lovens § 2.
Helseregisterloven har til formål å bidra til å gi helsetjenesten og helseforvaltningen informasjon og kunnskap uten å krenke personvernet, slik at helsehjelp kan gis på en forsvarlig og effektiv mate. Loven skal videre sikre at helseopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på helseopplysninger, jf lovens § 1. Loven gjelder for behandling av helseopplysninger i helseforvaltningen og helsetjenesten som skjer helt eller delvis med elektroniske hjelpemidler for å fremme formålet som beskrevet i § 1, og annen behandling av helseopplysninger i helseforvaltningen og helsetjenesten til slike formål, når helseopplysningene inngår eller skal inngå i et helseregister, jf lovens § 3.
Datatilsynet oppfatter at SUSS plikter å etterleve de regler som følger av både helsepersonelloven og helseregisterloven ettersom lovene ikke ekskluderer hverandre, men utfyller hverandre.
8.1 Vedtakets punkt 1 – personopplysninger registrert ved SUSS’ råd- og veiledning
Etter Helsedirektoratets avklaring (fortolkning) legger Datatilsynet til grunn at SUSS sin virksomhet er å anse som en helsetjeneste etter helseregisterloven § 3. Det er videre ikke tvilsomt at SUSS behandler helseopplysninger for å fremme formål som er beskrevet i helseregisterloven § 1. Datatilsynet legger derfor til grunn at SUSS sin virksomhet reguleres etter helseregisterloven, jf. helseregisterloven § 3 nr. 1.
Etter helseregisterloven § 5 kan helseopplysninger bare behandles elektronisk når dette er tillatt etter personopplysningsloven §§ 9 og 33, helseforskningsloven eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag. Det samme gjelder annen behandling av helseopplysninger, dersom opplysningene inngår eller skal inngå i et helseregister.
Helsedirektoratet har i brev av 21. oktober 2011 avklart at SUSS vil være å anse som en «helsetjeneste», jf. pasientrettighetsloven § 1-3, og at SUSS i enkelte tilfeller yter helsehjelp. Datatilsynet har etter dette lagt til grunn at i de tilfeller SUSS driver helsehjelp, vil tjenesten (jf. avklaringen) være utført av helsepersonell, jf. helsepersonellovens § 3 nr. 3, jf § 3 tredje ledd, samt vil være journalpliktig, jf. helsepersonelloven §§ 39 og 40. SUSS vil i slike tilfeller oppfylle helseregisterloven § 5, ved at en slik elektronisk behandling følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag. Det er dermed godtgjort at SUSS har et gyldig rettslig grunnlag for å oppbevare de helseopplysningene som er innhentet når de yter helsehjelp.
Klagers påstand om at tilsynets vedtak vil stride med helsepersonelloven §§ 39 og 40, beror på den forståelsen at generelle råd og veiledning må anses som opplysninger som SUSS er pålagt å føre journal over, jf. helsepersonelloven §§ 39 og 40.
Datatilsynet mener at Helsedirektoratet og HOD sine avklaringer, i henholdsvis brev av 21. oktober 2011 og 29. september 2011, legger til grunn at deler av SUSS sin helsetjeneste må anses som helsehjelp. Dette gjelder særlig ved foreskrivelse av resepter og henvisninger til spesialisthelsetjenesten. Videre vil konkret og handlingsrettet råd- og veiledning individuelt tilpasset innringeren og basert på informasjon fra innringer falle innunder begrepet helsehjelp.
Helsedirektoratet, samt HOD, tar etter tilsynets vurdering høyde for at SUSS ikke bare yter helsehjelp, men også behandler personopplysninger som vil falle utenfor hva som kan karakteriseres som helsehjelp. Det vises i den sammenheng til Helsedirektoratets vurdering om at «Dette er ofte tilfellet for SUSS telefonen». Og når HOD skriver at «Deler av tilbudet som gis innringerne er av en slik karakter at dette klart må regnes som utøvelse av helsehjelp» (Datatilsynets understrekning).
I tilfeller der SUSS gir råd og veiledning av en mer generell og uforpliktende karakter, som ikke er tilpasset den enkelte bruker, vil det etter tilsynets vurdering av Helsedirektoratet samt HOD sin avklaring ikke være å anse som helsehjelp etter helsepersonellovens forstand. Datatilsynet finner støtte for denne forståelsen i brev datert 31. mars 2011 (ref. 10/793) fra Helsedirektoratet. Det vises til direktoratets brev til HOD vedrørende utkast til endring av journalføringsplikten for apotektilsatte etter helsepersonelloven §§ 39 og 40. 5 I brevet skriver direktoratet følgende på side 2:
Definisjonen av helsehjelp er relativt vid. Helsedirektoratet har tidligere konkludert med følgende rapport av 2008 "helsehjelp i apotek": "Der apotek innfører tjenester som innebærer individrettet oppfølging eller behandlingstilbud, vil dette kunne være helsehjelp. Slike tjenester må være basert på kunnskap om den aktuelle pasienten. Videre må den inneholde en individuell faglig vurdering som er av kvalifisert handlingsrettet karakter".
Direktoratet er av den oppfatning at veiledning, råd og informasjon om bruk av legemidler som gis i forbindelse med ekspedering, er helsehjelp i den grad veiledningen og informasjonen er individuelt tilpasset, av handlingsrettet karakter og basert på informasjon personen gir ifra seg. Dersom rådene som gis er av en mer generell og uforpliktende karakter, ikke tilpasset den enkelte person, men som for eksempel vil gjelde for en større gruppe mennesker, vil ikke dette være helsehjelp etter definisjonen.
(Datatilsynets understrekning)
Helsedirektoratet samt HOD har fortolkningsansvaret for helsepersonelloven og har på bakgrunn av Datatilsynets henvendelse svart på spørsmålet om SUSS yter helsehjelp. Denne (nye) avklaringen, fra kompetent fagorgan, må følgelig ha større rettskildemessig betydning, enn en setning hentet fra kommentarutgaven til helsepersonelloven fra 2001. Direktoratet og HOD sine avklaringer må således være retningsgivende for SUSS sitt virke.
Klager anfører at tilsynet har lagt til grunn en gal lovforståelse i strid med relevant fagmyndighets vurderinger. Som det fremkommer ovenfor deler ikke tilsynet klagers syn. Datatilsynets vurderinger er helt i tråd med relevant fagmyndigheters fortolkning. Tilsynet stiller seg uforstående til at en sondring mellom helsehjelp og generelle råd og veiledning ikke er praktisk gjennomførbart, siden øvrige helsepersonell i førstelinjen foretar denne distinksjonen daglig. Det at skillet kan oppfattes som skjønnsmessig, er etter tilsynets vurdering ikke et argument for å anse generelle råd og veiledning som helsehjelp.
Klager viser til et eksempel om at allmennpraktiserende leger ikke har to journalsystemer på legekontoret (for hhv. helsehjelp og det andre for generelle råd og veiledning). Datatilsynet legger til grunn at allmennpraktiserende leger ikke journalfører de generelle råd og veiledningene de gir sine pasienter, og av den grunn ikke har behov for et slikt journalsystem.
Klager anfører at tilsynet ikke er kompetente til å overprøve den faglige vurderingen som helsepersonell foretar under utøvelsen av helsepersonellfaglige handlinger. Datatilsynet deler dette syn, men kan ikke se at tilsynets vedtak overprøver helsepersonellfaglige handlinger. Datatilsynet har pålagt SUSS å slette eller anonymisere personopplysninger, med mindre det kan påvises et gyldig behandlingsgrunnlag. Pålegget overprøver ikke helsepersonellfaglige handlinger, men håndhever helseregisterloven § 5, jf. helsepersonellovens §§ 39 og 40, i tråd med Helsedirektoratets samt HODs avklaring.
Etter avklaringen fra Helsedirektoratet og HOD må det etter tilsynets vurdering, fremstå som klart at helsepersonelloven §§ 39 og 40 ikke hjemler en plikt til å føre journal over råd og veiledning som er av generell og uforpliktende karakter.
8.2 Vedtakets punkt 2 – informasjonsplikt overfor brukerne
Klager har anført at Datatilsynet har lagt til grunn galt faktum og en gal regelforståelse for vedtakets pkt. 2. SUSS har siden kontrolltidspunktet endret informasjonen på sin hjemmeside. Datatilsynet fastholder at kontrollrapporten skal gjenspeile forholdet på kontrolltidspunktet. Eventuelle endringer etter dette tidspunkt er ikke relevante for den endelige kontrollrapporten, men vil kunne være relevant ved utforming av vedtak. Faktum basert på SUSS sin hjemmeside og som er lagt til grunn anses derfor å være korrekt.
Datatilsynet har lagt til grunn at helseregisterloven kommer til anvendelse og en følge av dette er at informasjonsplikten, jf. lovens § 23, kommer til anvendelse. Datatilsynet kan ikke se at klagen (pkt. 3.2) inneholder noen klare innvendinger mot dette. Klager argumenterer med at siden SUSS ikke er en spesialisthelsetjeneste og ikke har en plikt til å utlevere personopplysninger, så har man heller ikke plikt til å informere sine brukere etter helseregisterloven § 23.
Datatilsynet vil her presisere at informasjonsplikten etter helseregisterloven § 23, jf. vedtakets pkt. 2, viser til SUSS sin plikt til å informere brukeren om at det samles inn opplysninger om han eller henne. På bakgrunn av hvordan hjemmesiden til SUSS var og (til dels) er utformet, er det tilsynets vurdering at § 23 ikke er og ikke har blitt oppfylt.
Etter tilsynets vurdering skal SUSS av eget tiltak informere om de forhold som er nevnt i helseregisterloven § 23 nr. 1 til 5. Bruk av begrep som «anonym» synes ikke å kunne benyttes ettersom dette vil være misvisende overfor brukerne. Informasjonen må etter tilsynets vurdering være klar, entydig og lettfattelig, særlig med tanke på at SUSS’ målgruppe er ungdom. Ut fra den informasjon som ble gitt på hjemmesiden som grunnlag for de henvendelser SUSS mottar er det vanskelig å se at ungdom oppfatter det tilbudet som presenteres som at de «går til legen», med påfølgende journalføring, med mindre dette opplyses eksplisitt.
8.3 Vedtakets punkt 3 – informere den registrerte om utleveringsplikten til de sentrale helseregistre
SUSS anfører under dette punkt at tilsynet har lagt galt faktum og en gal regelforståelse til grunn. Anførselen forstås dit hen at SUSS mener at man ikke er en spesialisthelsetjeneste. Det er imidlertid noe uklart hvordan anførselen om gal regelforståelse gjør seg gjeldende.
Etter vedtak pkt. 3 ble SUSS bedt om å avklare hvilken plikt de har til å informere den registrerte om utleveringsplikten til de sentrale helseregistre. Virksomheten har etter helseregisterloven § 17 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene i helseregisterloven og regelverk gitt i medhold av denne. Bestemmelsen er utdypet i personopplysningsforskriftens kapittel 3. Helseregisterloven § 17 innebærer en plikt til å gå igjennom hele loven med forskrift, og på det grunnlaget vurdere om det er behov for tiltak som sikrer etterlevelse av aktuelle bestemmelser. Det er med andre ord ingen plikt til å iverksette tiltak for alle lovens krav, jf. ordlyden «nødvendig» i bestemmelsens første ledd.
Personopplysningsforskriften § 3-1 stiller utfyllende krav. De systematiske tiltakene skal tilpasses virksomhetens art, aktiviteter og størrelse. Det er krav om at den databehandlingsansvarlige kjenner reglene for behandling av helseopplysninger og at det utarbeides de nødvendige rutiner i denne sammenheng.
I denne sammenheng er lovens og forskriftens generelle krav mest relevant – virksomheten må gjennom planlagte og systematiske tiltak sikre etterlevelse av regelverkets krav. For å tilfredsstille kravet bør virksomheten, etter en alminnelig tilnærming for internkontroll, etablere styrende, gjennomførende og kontrollerende dokumenter.
Datatilsynet vil her poengtere at tilsynet ikke har konkludert med at SUSS er en spesialisthelsetjeneste, slik SUSS anfører. Pålegget går klart ut på at SUSS selv skal avklare dette spørsmålet. SUSS sin plikt til å avklare om virksomheten er en spesialisthelsetjeneste, vil her følge av helseregisterloven § 17.
Datatilsynet tar til etterretning at SUSS har etterkommet og gjennomført vedtakets punkt 3, men kan ikke se at tilsynet har lagt galt faktum eller en gal regelforståelse til grunn.
8.4 Vedtakets punkt 4 – internkontroll
SUSS har ikke påklaget vedtakets pkt. 4, og mener at man har etterkommet og gjennomført vedtaket. Etter kommentarene i klagens pkt. 3.4 kan det imidlertid settes spørsmålstegn ved gjennomføringen av dette punkt.
Klager hevder at det er dokumentasjonshåndtering for den som driver helsehjelp, jf. helsepersonelloven og pasientjournalforskriften, som regulerer hvilke tiltak og vurdering
SUSS må foreta. Denne forståelsen er ikke i samsvar med tilsynets vurdering, og kan således tolkes som en innsigelse mot tilsynets pålegg. Etter tilsynets vurdering vil helseregisterloven § 17 samt personopplysningsforskriftens § 3-1 være de sentrale bestemmelsene som regulerer hvilke tiltak og vurdering SUSS må foreta for å oppfylle reglene om internkontroll.
Tilsynet har ovenfor konkludert med at helseregisterloven kommer til anvendelse for SUSS sin virksomhet. Når et forhold ikke er regulert i helseregisterloven, vil personopplysningsloven med forskrift utfylle helseregisterloven. Det vises i den forbindelse til helseregisterloven § 36, der det heter «I den utstrekning ikke annet følger av denne lov, gjelder personopplysningsloven med forskrifter som utfyllende bestemmelser.»
Med bakgrunn i kommentarene i klagen (pkt. 3.4) er det uklart for tilsynet om vedtakets pkt. 4 kan anses etterkommet. Datatilsynet ber derfor nemnda ta stilling til klagers påstander knyttet til vedtak pkt. 4.
8.5 Særlig til Legeforeningens uttalelse
Datatilsynet har kommentert Legeforeningens uttalelse. Innledningsvis vil tilsynet presisere at verken Legeforeningen eller Datatilsynet har fortolkningsansvaret etter helseregisterloven eller helsepersonelloven. Denne myndigheten er tillagt Helse- og omsorgsdepartementet (heretter HOD) og delegert videre til Helsedirektoratet (heretter Hdir). Datatilsynet deler Legeforeningens oppfatning av at begrepet helsehjelp har en vid definisjon. Datatilsynet er imidlertid av den oppfatning at selv om helsehjelpbegrepet har en vid definisjon, sa vil det finnes en ytre grense for hva som kan defineres som helsehjelp. Datatilsynet har på bakgrunn av HOD og Hdir sin konkrete fortolkning lagt til grunn at SUSS har hjemmel i lov til å journalføre den helsehjelpen de yter, og at generell råd og veiledning som ikke er å anse som helsehjelp, faller utenfor denne hjemmelen.
Datatilsynet er av den oppfatning at man ikke på forhand kan legge til grunn at alle fremtidige generelle råd og veiledninger som SUSS vil gi er å anse som helsehjelp. Dette vil være et forhold som må vurderes konkret, og er det slik at man ønsker å dokumentere generell råd og veiledning som ikke er helsehjelp, må dette ha et eget rettslig grunnlag etter helseregisterloven eller personopplysningsloven.
Legeforeningen stiller spørsmålstegn ved hensiktsmessigheten av en sondring og karakteriserer skillet som «kunstig» og «lite praktisk gjennomførbart». Det påstås videre at sondringen lett vil komme i strid med de krav gjeldende regelverk oppstiller. Legeforeningen understreker at det er særlig to hensyn som journalføringsplikten hviler på, nemlig å kunne gi en forsvarlig oppfølgning av pasienten og hensynet til at journalen skal kunne ivareta et kontrollformål. Det hevdes at hvis helsepersonellet (på et skjønnsmessig grunnlag) må skille ut generell råd og veiledning fra journalen, vil deler av formålet bak journlføringsplikten «forvanskes». I merknadene til forskrift om pasientjournal § 8 heter det at:
I henhold til helsepersonelloven § 40 første ledd første punkt skal journalen føres i samsvar med god yrkesskikk og inneholde relevante og nødvendige opplysninger om pasienten og helsehjelpen, samt de opplysninger som er nødvendige for å oppfylle meldeplikt eller opplysningsplikt fastsatt i eller i medhold av lov.
Merknadene angir at helsepersonell på et skjønnsmessig grunnlag skal føre journal av den helsehjelp som er gitt. Sondringen mellom helsehjelp og generell råd og veiledning (også kalt helserådgivning) er ikke en ny problemstilling. Datatilsynet viser til uttalelser fra Statens helsetilsyn og Sosial- og helsedirektoratet vedrørende Lege 24. I den saken fant Helsetilsynet at deler av de tjenestene Lege 24 Interaktiv AS ønsket å tilby måtte karakteriseres som helsehjelp. Lege 24 Interaktiv AS tilbød en tjeneste som ligger mer knyttet til ordinær legekonsultasjon. Saken illustrerer hvordan en virksomhet både kan yte helsehjelp og generell råd og veiledning.
Datatilsynet viser også til egen høringsuttalelse til forskriftsendring:
Datatilsynet deler Legemiddelverkets vurdering av at det er behov for å utarbeide veiledning om dokumentasjonskravet, og grensedragningen mot dokumentasjonsplikten for helsehjelp i henhold til pasientjournalkravet. Datatilsynet anbefaler at en slik veiledning også knyttes opp mot forholdet til personvernregelverket.
Dokumentasjon av generelle råd og veiledning som ikke er å anse som helsehjelp må ha et annet rettslig grunnlag enn helsepersonelloven § 39, jf. helseregisterloven § 5. Det foreligger for øvrig mange ulike typer helseregistre, det kan i den sammenheng vises til helsepersonelloven § 26 annet ledd om pasientadministrative systemer.
9 Personvernnemndas merknader
Personvernnemnda skal vurdere følgende spørsmål:
- hvorvidt:
- det foreligger rettslig grunnlag for behandlingen,
- alternativt om opplysningene som behandles kan anonymiseres,
- eller om SUSS må slette personopplysningene som innhentes i forbindelse med SUSS’ råd- og veiledning
- hvorvidt SUSS oppfyller sin informasjonsplikt overfor sine brukere, jf helseregisterloven § 23,
- hvorvidt SUSS har plikt de har til å informere den registrerte om utleveringsplikten til de sentrale helseregistre, og
- hvorvidt SUSS har tilfredsstillende internkontroll for så vidt gjelder hvilke lover som regulerer deres virke, samt hvordan personopplysningene skal behandles i virksomheten.
9.1 Hvorvidt det foreligger rettslig grunnlag for behandlingen
Personvernnemnda skal først ta stilling til om det foreligger rettslig grunnlag for behandlingen av personopplysningene som innhentes i forbindelse med SUSS' råd- og veiledning. Hvis det ikke foreligger et rettslig grunnlag, må personopplysningene innhentet i forbindelse med råd og veiledning enten anonymiseres eller slettes.
Datatilsynet mener at etter avklaringen fra Helsedirektoratet og HOD er det klart at helsepersonelloven §§ 39 og 40 ikke hjemler en plikt til å føre journal over råd og veiledning som er av "generell og uforpliktende karakter". Tilsynet vil derfor at SUSS kun fører journal når det ytes helsehjelp, men at det ikke innhentes eller registreres personopplysninger i forbindelse med SUSS' generelle rådgivning og veiledning.
Personvernnemnda ser det slik at SUSS skal føre journal i samsvar med helsepersonelloven når det ytes helsehjelp i helsepersonellovens forstand. Dette kan også etter omstendighetene omfatte mer generelle helseråd og helseveiledning i det enkelte tilfelle i samsvar med vanlig praksis for leger, jf Legeforeningens kommentar. Nemnda oppfatter at Datatilsynet er enig i at journal skal føres i disse tilfeller, men at journal ikke skal føres for generelle helseopplysninger og felles alminnelige helseråd som gjelder for alle mennesker i en gruppe, med en type sykdom, tilstand etc.
Når SUSS gir råd av slik generell eller nærmest universell karakter, er nemnda enig med Datatilsynet i at dette ikke skal journalføres, idet dette ikke er "helsehjelp" i lovens forstand. Dette gjelder særlig når slike generelle råd gis til personer som vil være anonyme, men det kan også gjelde helt generelle råd til identifiserbare personer. Da vil det ikke foreligge rettslig grunnlag for å registrere personopplysninger, men rådene – samt ikke-personidentifiserbare opplysninger som kjønn og alder – kan eventuelt loggføres i en anonym logg og benyttes til statistikkformål og ensretting av praksis. Anonyme registre vil ikke omfattes av personopplysningsloven. Opplysninger i SUSS' register som gjelder slike helt generelle helseråd må derfor være anonyme eller slettes.
Når det gjelder å yte helsehjelp til personer som ønsker å være anonyme, må SUSS for det første vurdere i hvilken grad det er forsvarlig å gi helsehjelp til en anonym person. I den grad dette finnes forsvarlig (Helsedirektoratet synes å forutsette at det kan ut fra situasjonen være forsvarlig å yte helsehjelp til en anonym person) og det ytes helsehjelp til en person som vil være anonym, mener Personvernnemnda at dette bare kan føres i en anonym logg.
Personvernnemnda er således enig med Datatilsynet i at SUSS driver to typer virksomhet, én som betinger anonym loggføring og én som betinger journalføring (helsehjelp), men begge registre kan etter forholdene inneholde både helsehjelp og generelle råd.
Nemnda er videre enig med Datatilsynet i at helsepersonelloven og helseregisterloven supplerer hverandre. Det er ikke tvilsomt. SUSS må derfor dele opp virksomheten sin og følge de lovene som regulerer de to typer virksomhet som SUSS driver. Nemnda kan ikke se at SUSS som konsekvens av dette må fysisk dele opp virksomheten i to.
Dersom SUSS vil lage en logg over råd som er gitt til anonyme, må loggen kun inneholde anonyme opplysninger. Loggen kan ikke inneholde telefonnummer eller andre opplysninger som er eller kan være personidentifiserbare. Loggen kan brukes til kvalitetssikring, statistikk o.l., men vil være uten kontaktmuligheter. Det må med andre ord være slik at det ikke er mulig å koble opplysninger til en personidentifikator.
Nemnda mener med andre ord at SUSS må ha to registre – et journalsystem og en logg. SUSS anfører at disse to delene av virksomheten er uløselig forbundet og ikke kan deles opp. Nemnda er ikke enig i dette. Nemnda kan ikke se at dette behøver å bli problematisk i praksis. Loggen kan føres i samme database som journalen. I loggen vil man da ikke fylle ut persondatafelt og andre felt som kan være personidentifiserbare, mens i journalen vil disse felter være utfylt.
Personvernnemnda er således kommet til at SUSS må rydde opp i de allerede registrerte opplysninger, ved enten å anonymisere eller å slette alle personopplysninger som er registrert i forbindelse med at SUSS har gitt veiledning eller råd til personer som ønsker å være anonyme. Det foreligger ingen sletteplikt for anonyme data idet en anonym logg vil falle utenfor personopplysningsloven. SUSS er således ikke pålagt å slette loggen dersom den anonymiseres ved at forbindelsen mellom opplysningen og personen slettes. For journalføring og loggføring i fremtiden må SUSS innrette seg etter det skillet som skisseres her.
9.2 Informasjonsplikt
Personvernnemnda er enig med Datatilsynet i at SUSS har en informasjonsplikt som gjelder journalen, det vil si når det ytes helsehjelp, jf helseregisterloven § 23. SUSS har plikt til å informere brukeren om at det samles inn opplysninger om han eller henne. Nettsiden til SUSS, slik den fremstår i dag, oppfyller ikke bestemmelsen i § 23. SUSS må derfor omformulere informasjonen på nettsiden slik at SUSS informerer om de forhold som er nevnt i helseregisterloven § 23 nr. 1 til 5.
Når det opplyses på SUSS' nettside at man kan henvende seg til SUSS "uten at vi som svarer vet hvem du er", mener Personvernnemnda at barn vil oppfatte dette som et løfte om anonymitet for den som ønsker det, og at barns ønske om anonymitet bør respekteres. SUSS må derfor sørge for tilfredsstillende anonym loggføring dersom innringer ønsker å være anonym.
Nemnda er enig med tilsynet i at bruk av begrepet "anonym" ikke kan benyttes dersom dette vil være misvisende overfor brukerne, men subtile omskrivinger kan være like misvisende. Informasjonen må være klar, entydig og lettfattelig, særlig med tanke på SUSS' målgruppe. Tjenesten kan ikke presenteres på nettsiden som at "vi som svarer" ikke vet hvem innringeren er, eller at det bare er de som kontakter SUSS "flere ganger" som blir registrert. Dette fremstår som villedende idet det ikke bare er de som henvender seg flere ganger som blir registrert – slik nemnda forstår det blir man registrert allerede ved første henvendelse. Teksten på nettsiden er således misvisende. Det samme gjelder sms-tjenesten, hvor man ikke bare blir registrert dersom man henvender seg flere ganger, man blir registrert allerede ved første gangs henvendelse. Nemnda er av den oppfatning at telefonnummer og andre personidentifiserbare opplysninger bare kan registreres dersom personen samtykker til å være identifisert. SUSS må altså føre en anonym logg for henvendelser fra de som ønsker anonymitet, og må informere tydelig om denne muligheten.
Etter at de nødvendige omformuleringer er gjort, må de fremlegges Datatilsynet for godkjennelse.
9.3 Utleveringsplikt
Datatilsynet har lagt til grunn at SUSS har etterkommet og gjennomført vedtakets punkt 3. Nemnda går derfor ikke inn på dette punkt.
9.4 Internkontroll
Når det gjelder internkontroll anfører SUSS at SUSS har godtgjort at de nødvendige vurderinger er gjort og at de nødvendige tiltak er iverksatt, slik at regler om internkontroll er overholdt. SUSS har ikke påklaget vedtakets punkt 4. Datatilsynet er likevel i tvil om gjennomføringen av dette punkt og ber om nemndas vurdering.
Etter nemndas syn vil SUSS måtte skrive om internkontrollsystemet sitt under enhver omstendighet etter dette vedtaket. Personvernnemnda setter en frist på to måneder fra vedtaksdato til å implementere nemndas avgjørelse i virksomheten. Datatilsynet kan eventuelt, dersom tilsynet ser behov for det, utføre tilsyn etter denne fristen.
9.5 Sakskostnader
Klagen har ikke ført frem og klager skal derfor ikke tilkjennes dekning av sakskostnader, jf. forvaltningsloven § 36. Nemnda vil bemerke at salæret fremstår som svært høyt i denne saken.
10 Vedtak
Klagen tas ikke til følge.
Oslo, 18. desember 2012
Eva I E Jarbekk
Leder