Personvernnemndas vedtak 2. februar 2021 (Mari Bø Haugstad, Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin)

Saken gjelder klage fra A og B på Datatilsynets vedtak 16. januar 2020 der Datatilsynet kom til at helsestasjonen i X kommunes behandling av personopplysninger var lovlig. Det er spørsmål om utlevering av personopplysninger fra helsestasjonen til barneverntjenesten, spørsmål om behandlingsgrunnlag for fortsatt behandling av opplysningene, samt krav om innsyn, retting, sletting, eventuelt begrenset behandling av opplysninger.

Sakens bakgrunn

I forbindelse med en undersøkelsessak knyttet til klagernes datter, C, og hennes barn, ble opplysninger fra helsestasjonen i X kommune sendt til barneverntjenesten i Y, der C bodde.

I brevet fra helsestasjonen til barneverntjenesten 4. april 2018 framkommer det:

«Angående det siste punktet nr. 10: Andre opplysninger som kan ha betydning. Mor har selv vokst opp i et hjem der barnevernet har vært tungt inne, særlig overfor mors […] yngre søsken. Mor er nummer […], i en søskenflokk på […]. Det endte med plassering i nye hjem for dem alle grunnet omsorgssvikt og vold i hjemmet. Ved denne tiden er mor blitt cirka 16 år, og flytter selv ut. Se vedlagt notat fra 1998 om mor.»

Med «mor» i dette notatet siktes det til C, klagernes datter, og det er omsorgssituasjonen hjemme hos klagerne som omtales, herunder at [antall] av deres barn (Cs yngre søsken) ble plassert i nye hjem. Det vedlagte notatet fra 1998 gir, etter det nemnda forstår, ytterligere opplysninger om Cs situasjon under oppveksten, slik helsestasjonen vurderte den. Notatet om C er ikke en del av sakens dokumenter. C er heller ikke part i denne saken og dokumentet er ikke innhentet.

A og B klaget til personvernombudet i X kommune over ulovlig utlevering av personopplysninger fra helsestasjonen. De sendte tilsvarende klage til personvernombudene i Y og Z kommuner. X kommunes personvernombud vurderte klagen og konkluderte i brev 3. juni 2019 med at behandlingen av personopplysninger var lovlig og at det ikke hadde skjedd noe brudd på taushetsplikten.

A og B brakte saken inn for Datatilsynet 19. juni 2019 og klaget på helsestasjonens og kommunens behandling av personopplysninger.

Datatilsynet fattet vedtak i saken 16. januar 2020 med følgende konklusjon:

«Datatilsynet har kommet til at X kommune ikke har behandlet de aktuelle personopplysningene ulovlig etter personvernregelverket. Videre har vi kommet til at retten til retting etter personvernforordningen artikkel 16 er oppfylt, mens vilkårene for sletting etter artikkel 17 eller begrensning etter artikkel 18 ikke er til stede.»

A og B framsatte rettidig klage 5. februar 2020 på Datatilsynets vedtak. A og B klaget både over den behandlingen av personopplysninger som hadde skjedd på helsestasjonen i X kommune og hos barneverntjenesten i kommunen (Æ barneverntjeneste). Æ barneverntjeneste er en interkommunal barneverntjeneste for Ø, Å og X kommuner. Datatilsynet la opprinnelig til grunn at X kommune også var behandlingsansvarlig for behandling av personopplysninger i barneverntjenesten og behandlet derfor sakene samlet. I klageomgangen ble det avklart at det er Ø kommune (som vertskommune) som er behandlingsansvarlig for den behandlingen av personopplysninger som skjer i den interkommunale barneverntjenesten. Denne delen av Datatilsynets opprinnelige vedtak ble derfor under klageforberedelsen hos Datatilsynet behandlet på nytt som egen sak og er oversendt nemnda som egen klagesak (PVN-2020-22). Klagen for nemnda i denne saken gjelder derfor bare helsestasjonens behandling av personopplysninger.

Datatilsynet vurderte klagen, men opprettholdt sin materielle vurdering. Saken ble oversendt Personvernnemnda 28. september 2020. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A og B innga kommentarer i brev 23. oktober 2020.

Saken ble behandlet i nemndas møte 2. februar 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Line Coll, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også tilstede.

Datatilsynets vedtak i hovedtrekk

Lovvalg

Datatilsynet legger til grunn at selve utleveringen av opplysninger fra helsestasjonen i X skal vurderes etter personopplysningsloven 2000 med forskrift, da denne loven var gjeldende rett på tidspunktet for utleveringen. Tilsynet vurderer lovligheten av den fortsatte behandlingen og spørsmålet om de registrertes rettigheter etter personopplysningsloven 2018.

Særlige kategorier av personopplysninger

Datatilsynet legger til grunn at opplysninger om vold/omsorgssvikt overfor klagernes datter C, ikke omfattes av særlige kategorier personopplysninger etter personvernforordningen artikkel 9, og heller ikke er sensitive etter personopplysningsloven 2000 § 2 nr. 8.

Tilsynet reiser spørsmålet om opplysningene utgjør opplysninger om «lovovertredelser» som omfattes av personvernforordningen artikkel 10, men konkluderer med at slike opplysninger uansett vil kunne behandles dersom det skjer «under en offentlig myndighets kontroll», noe som er tilfellet i denne saken, jf. Prop. 56 LS (2017-2018) kapittel 8.5.

Utlevering av opplysninger fra helsestasjonen til kommunens barneverntjeneste

Lovligheten av utleveringen av opplysningene fra helsestasjonen i X til barneverntjenesten i kommunen, forutsetter at vilkårene i personopplysningsloven 2000 § 8 for å behandle personopplysninger og § 11 om grunnkrav til behandling av personopplysninger, var oppfylt på tidspunktet for utleveringen.

Datatilsynet viser til at helsepersonell ved helsestasjonen hadde opplysningsplikt til barnevernet, jf. barnevernloven § 6-4 og at Datatilsynet vanskelig kan overprøve kommunens henvisning til at utleveringen var nødvendig for å oppfylle opplysningsplikten. Tilsynet legger derfor til grunn at utlevering av opplysningene fra helsestasjonen var nødvendig for å oppfylle en rettslig forpliktelse, jf. personopplysningsloven 2000 § 8 bokstav a.

Datatilsynet går deretter inn på grunnkravene til behandling av personopplysninger i personopplysningsloven 2000 § 11.

Formålet med utleveringen var å gi opplysninger i en barnevernsak. Dette er saklig begrunnet i helsestasjonens virksomhet, og er heller ikke uforenlig med det opprinnelige formålet om oppfølging av barnet og barnets mor, jf. personopplysningsloven 2000 § 11 bokstav b og c.

I vurderingen av om opplysningene var tilstrekkelige og relevante for formålet, jf. § 11 bokstav d, påpeker tilsynet at det ikke har forutsetninger for å overprøve kommunens vurdering av dette, og legger kommunens vurdering til grunn.

Datatilsynet legger til grunn at helsestasjonen og barneverntjenesten anser opplysningene som nødvendige for å foreta helse- og barnevernfaglig oppfølging av C og hennes barn, ettersom opplysninger om at mor kan ha vært utsatt for vold/omsorgssvikt i sin oppvekst også kan si noe om hennes omsorgsevne i dag.

Personopplysningene skal i henhold til personopplysningsloven 2000 § 11 bokstav e være korrekte og oppdaterte, og ikke lagres lenger enn nødvendig. Tilsynet fastslår at det ikke er mulig å si om opplysningene er korrekte eller ikke da det dreier seg om subjektive uverifiserte påstander om vold/omsorgssvikt.

Fortsatt behandling av personopplysningene i X kommune - behandlingsgrunnlag

Datatilsynet konkluderer med at fortsatt behandling av personopplysningene er lovlig fordi det er nødvendig for å oppfylle en rettslig forpliktelse, jf. personvernforordningen artikkel 6 bokstav c, jf. arkiveringsplikten i arkivlova § 6 og forskrift om offentlige arkiv. Det er også vist til at behandlingen er nødvendig for å utøve offentlig myndighet, jf. artikkel 6 nr. 1 bokstav e.

Datatilsynet tar ikke stilling til spørsmålet om innsynsrett og viser til at klagerne må rette en henvendelse til kommunen/helsestasjonen og be om innsyn i notatet dersom de ønsker det. Dersom kravet eventuelt avslås, kan klagerne ta ny kontakt med Datatilsynet for en vurdering av retten til innsyn.

Sletting

Datatilsynet konkluderer med at personopplysningene i den aktuelle saken ikke skal slettes, da personvernforordningen artikkel 17 nr. 3 bokstav b og d er til hinder for dette. Tilsynet viser til kommunens arkivplikt etter arkivlova med tilhørende forskrift, samt til journalføringsplikten etter helsepersonelloven §§ 39 og 40. Tilsynet viser til Personvernnemndas avgjørelse, PVN-2018-02, der flertallet kom til at opplysninger som var nødvendige for å forklare og vurdere barnevernets framgangsmåte og beslutninger ikke kunne slettes, selv om klager opplevde opplysningene som sterkt belastende.

Begrenset behandling

Datatilsynet legger til grunn at en rett til begrenset behandling forutsetter at behandlingsansvarlig kan kontrollere riktigheten av de aktuelle personopplysningene, jf. personvernforordningen artikkel 18 nr. 1 bokstav a. Begrensningen vil i tilfelle gjelde fram til opplysningenes riktighet er avklart. I og med at Datatilsynet tidligere har konkludert med at det ikke er mulig å si om opplysningene er riktige eller ikke, kan de registrerte etter tilsynets vurdering ikke ha krav på en begrensning av behandling av personopplysningene.

Retting

Tilsynet påpeker at saken gjelder opplysninger om subjektive påstander som ikke lar seg bekrefte eller avkrefte og at retting da kan gjennomføres ved at den registrerte legger fram en supplerende erklæring for å komplettere opplysninger som foreligger. Datatilsynet legger til grunn at A og Bs rett til retting etter personvernforordningen artikkel 16 er oppfylt gjennom klagen til X kommune.

A og Bs syn på saken i korte trekk

Helsestasjonen i X har behandlet deres personopplysninger ulovlig i forbindelse med en undersøkelsessak i deres datters familie.

X helsestasjon sendte det aktuelle notatet fra 1998 til barneverntjenesten. De har ikke fått innsyn i notatet, men det er sannsynlig at de har lest det for over 20 år siden, da de den gang var part i sak for Fylkesnemnda. Opplysningene som helsestasjonen har behandlet er sensitive opplysninger om dem. Helsestasjonen er kilden for videre behandling av opplysningene ved oversendelsen til barneverntjenesten, og har således brutt taushetsplikten.

Opplysningene om dem er unøyaktige og uriktige. Det har aldri foregått noen politietterforskning knyttet til spørsmål om vold og omsorgssvikt i hjemmet, og det foreligger heller ingen tiltale eller dom for noe slikt forhold. Deres datter C har aldri vært under barnevernets omsorg. Opplysningene er stigmatiserende og belastende for dem.

Angivelige opplysninger om vold og omsorgssvikt overfor C er verken nødvendig, forholdsmessig eller relevant i undersøkelsessaken som gjelder situasjonen for C og hennes barn, og ikke dem som barnets besteforeldre.

Barneverntjenesten må vurdere omsorgssituasjonen tilfredsstillende uten bruk av disse opplysningene og formålet kan oppnås med andre midler.

Personopplysningene om dem som foreldre ble samlet inn for å vurdere omsorgsituasjonen i deres familie for mange år siden. Gjenbruk av opplysningene i forbindelse med en undersøkelsessak ca. 20 år senere er ikke i tråd med personvernregelverket.

Behandlingen er i strid med Grunnloven § 102 og Den europeiske menneskerettighetskonvensjon (EMK) artikkel 8 om retten til privatliv, jf. rettspraksis fra Den europeiske menneskerettsdomstolen (EMD).

Opplysningene om dem som X kommune besitter om påstått vold og omsorgssvikt overfor deres døtre, må slettes i tråd med personvernforordningen artikkel 17.

Subsidiært til slettekravet må behandlingen begrenses i henhold til forordningen artikkel 18. Det betyr at personopplysningene bare skal kunne brukes til et bestemt angitt formål, og sperres for bruk til andre formål enn det som gjorde at personopplysningene ikke ble slettet.

I den grad opplysningene ikke slettes, må opplysningene kompletteres i form av en supplerende erklæring fra dem i henhold til forordningen artikkel 16.

X kommunes syn på saken i korte trekk

Barnevernloven § 6-4 oppstiller en plikt for helsepersonell, etter pålegg, til å gi opplysninger til barneverntjenesten. Den som pålegges opplysningsplikt etter barnevernloven § 6-4 har plikt til å følge opp pålegget fra barneverntjenesten uten å foreta noen egen vurdering av om det foreligger opplysningsplikt, med mindre pålegget gjelder opplysninger som åpenbart ikke er relevant for den saken barneverntjenesten ønsker belyst, noe som er lagt til grunn i rundskriv og juridisk litteratur, jf. blant annet Andersens artikkel inntatt i FAB-2008-28 (Lovdata).

Opplysningene som ble oversendt barneverntjenesten for Y, er opplysninger som har relevans i undersøkelsessaken, og som dermed er omfattet av pålegg i henhold til barnevernloven § 6-4. Dette ga opplysninger om omsorgssituasjonen i mors barndomshjem som kan ha betydning for vurderingen av mors omsorgsevne i den aktuelle undersøkelsessaken. Opplysningene er, etter sin art, opplysninger som barnevernet har adgang til å innhente i medhold av barnevernloven § 6-4, jf. blant annet Frostating lagmannsretts kjennelse i LF-2015-13782, som omhandler behandling av dokumenter som barnevernet hadde innhentet i sak om omsorgsovertakelse.

Kommunen viser videre til forvaltningsloven § 13b nr. 3, hvor det framgår at taushetsbelagte opplysninger kan gjøres tilgjengelig «for andre tjenestemenn innen organet eller etaten i den utstrekning som trengs for en hensiktsmessig arbeids- og arkivordning (…)». Denne bestemmelsen gir vid adgang for en barneverntjeneste til å motta aktuelle opplysninger om barn og foreldre fra barneverntjenesten i en annen kommune, jf. blant annet rundskriv Q-2005-24 fra Barne- og familiedepartementet, punkt 6.1.5. Grunnlaget for dette er at alle administrative nivå innenfor barnevernmyndighetene, og alle regionale barneverntjenester, anses å tilhøre samme etat. Dette betyr at det aktuelle notatet fra 1998, som i 1998 ble sendt fra X helsestasjon til barneverntjenesten i X, og i april 2018 ble sendt til barneverntjenesten i Y, dermed dreier seg om opplysninger som barneverntjenesten allerede var i besittelse av. Etter forvaltningsloven § 13b nr. 3 ville derfor barneverntjenesten i Y hatt adgang til å innhente dokumentet fra barneverntjenesten i X.

Kommunen mener på denne bakgrunn at det ikke har skjedd noen ulovlig behandling av personopplysninger.

Personvernnemndas vurdering

Personvernnemnda skal ta stilling til om X helsestasjon har behandlet personopplysninger ulovlig. Dette gjelder for det første helsestasjonens utlevering av personopplysninger til barneverntjenesten, spørsmål om behandlingsgrunnlag for fortsatt behandling av opplysningene, samt krav om innsyn, retting, sletting, eventuelt begrenset behandling av opplysninger i helsestasjonens arkiv.

Lovvalg

Helsestasjonen i X utleverte opplysninger til barneverntjenesten før personopplysningsloven 2018 og personvernforordningen trådte i kraft 20. juli 2018. Datatilsynet har behandlet utleveringsspørsmålet etter personopplysningsloven slik den lød på handlingstidspunktet.

I forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) side 196, uttaler departementet blant annet følgende om valget mellom gammel og ny lov:

«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».

For de saker hvor det treffes vedtak om overtredelsesgebyr har personopplysningsloven 2018 overgangsregler i § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et gunstigere resultat for den behandlingsansvarlige.

I denne saken er det ikke ilagt overtredelsesgebyr. Det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak. Det tilsier, slik nemnda ser det, at det er riktig å ta utgangspunkt i personopplysningsloven 2018 også for den behandling av personopplysninger som skjedde før 2018-loven trådte i kraft. Bare dersom behandlingen av personopplysninger er ulovlig etter den nye loven, og det dermed kan være aktuelt å ilegge overtredelsesgebyr, vil det være nødvendig å vurdere om det samme følger av gammel lov eller om anvendelsen av denne fører til et gunstigere resultat.

Behandlingsansvar

A og B har klaget over det de oppfatter som ulovlig behandling av i hovedsak de samme personopplysningene i fire ulike kommuner og har anført at kommunene har felles behandlingsansvar. Det dreier seg om opplysninger opprinnelig innsamlet i X kommune i forbindelse med en barnevernsak vedrørende klagerne og deres omsorg for sine barn. Disse opplysningene er senere utlevert til barneverntjenester i andre kommuner og brukt i barnevernsaker som gjelder to av klagernes barn og deres omsorg for sine barn.

Datatilsynet har behandlet klagen i fire separate saker, en for hver kommune, og har ansett den enkelte kommune som behandlingsansvarlig for den behandlingen som har skjedd i hver kommune. Nemnda er enig med Datatilsynet i at det er riktig å anse den enkelte kommune som behandlingsansvarlig for den behandlingen av personopplysninger som har skjedd i hver kommune, og at ikke alle kommunene har felles behandlingsansvar for all behandling i alle kommunene. Også nemnda har derfor behandlet klagen i fire separate saker; PVN-2020-17, PVN-2020-18 og PVN-2020-22, i tillegg til denne saken PVN 2020-16.

Nemnda legger til grunn at det er X kommune som er behandlingsansvarlig for den behandlingen av personopplysninger som skjer på helsestasjonen i kommunen.

Særlige kategorier av opplysninger

I de utleverte opplysningene fra helsestasjonen framkommer det at C, som barn, var utsatt for «omsorgssvikt og vold i hjemmet». Personvernnemnda er enig med Datatilsynet i at dette ikke er opplysninger som faller inn under særlige kategorier av opplysninger i personvernforordningen artikkel 9. Hvilke opplysninger som framkommer om C i det vedlagte notatet fra helsestasjonen er ikke kjent. I og med at det er et notat som er utarbeidet på helsestasjonen i forbindelse med deres kontakt med en den gang 16 år gammel jente, er det en klar presumpsjon for at notatet blant annet inneholder opplysninger om enten fysisk eller psykisk helse for C, og nemnda legger det til grunn. Det betyr at opplysningene i notatet faller inn under særlige kategorier av opplysninger i artikkel 9 nr. 1 og behandling av dem forutsetter at ett av vilkårene i artikkel 9 nr. 2 er oppfylt.

Utlevering av personopplysninger til barneverntjenesten

Helsestasjonens utlevering av personopplysninger til barneverntjenesten representerer en behandling av personopplysninger som, for å være lovlig, må ha behandlingsgrunnlag i ett av alternativene i personvernforordningen artikkel 6. I tillegg må behandlingen falle inn under ett av alternativene i artikkel 9 nr. 2 bokstav a – j.

Det framkommer ikke av sakens dokumenter om C, som er part i undersøkelsessaken for barnevernet, samtykket til at barneverntjenesten innhentet opplysninger om henne, noe som ville gitt helsestasjonen behandlingsgrunnlag for å utlevere opplysningene etter artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a. Nemnda legger derfor for sin vurdering til grunn at det ikke foreligger slikt samtykke.

Helsestasjonens oppgaver og plikter reguleres av flere lover. De mest sentrale bestemmelsene er gitt i helse- og omsorgstjenesteloven, helsepersonelloven og forvaltningsloven. I utgangspunktet er helsestasjonens helsepersonell underlagt taushetsplikt og skal hindre at andre får adgang eller kjennskap til opplysninger om folks legems- eller sykdomsforhold eller andre personlige forhold som de får vite om i egenskap av å være helsepersonell, jf. helsepersonelloven § 21, jf. forvaltningsloven § 13. Helsepersonell skal imidlertid i sitt arbeid være oppmerksom på forhold som kan føre til tiltak fra barneverntjenesten. Helsestasjonens helsepersonell har derfor en opplysningsplikt til barnevernet, blant annet «når det er grunn til å tro at et barn blir eller vil bli mishandlet, utsatt for alvorlige mangler ved den daglige omsorgen eller annen alvorlig omsorgssvikt», jf. helsepersonelloven § 33 og barnevernloven § 6-4 fjerde ledd. Bakgrunnen for at opplysningsplikten i slike tilfeller går foran taushetsplikten er hensynet til barnets interesser og behovet for at saken er så godt opplyst som mulig før barnevernet fatter vedtak om tiltak. Det må imidlertid dreie seg om opplysninger som er relevante for saken.

Det følger av personvernforordningen artikkel 5 nr. 1 bokstav c at opplysningene som behandles må være «adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for». Nemnda har kommet til at disse vilkårene er oppfylt, selv om opplysningene er gamle og beskriver omsorgssituasjonen, slik den ble oppfattet av helsestasjonen, hjemme hos C og hennes foreldre (klagerne). Cs forhistorie kan gi kunnskap til forståelse av de utfordringer hun som mor har i dag. At dette innebærer at det også indirekte behandles opplysninger om Cs foreldre, som ikke er parter i den barnevernsaken som kommunen behandler, endrer ikke denne vurderingen. Det er heller ikke avgjørende at C ikke ble plassert i fosterhjem den gangen. Det er opplyst at de [antall] yngste i søskenflokken ble plassert i fosterhjem. C, som var en av de eldste, flyttet ut, men ikke i fosterhjem. Nemnda viser til kommunens redegjørelse for betydningen av denne typen opplysninger om omsorgspersoners oppvekst og egen omsorg som barn. Nemnda er enig med X kommune i at opplysningene som ble oversendt til barneverntjenesten er opplysninger som er relevante i undersøkelsessaken, og som dermed er omfattet av pålegget om å gi opplysninger, jf. barnevernloven § 6-4.

Utlevering av opplysningene er dermed lovlig etter artikkel 9 nr. 2 bokstav b og artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse), jf. barnevernloven § 6-4. I den grad opplysningene også omfatter opplysning om lovovertredelser, jf. artikkel 10, er behandlingen lovlig fordi den skjer under offentlig myndighets kontroll og er tillatt etter barnevernloven og forvaltningsloven. De registrertes rettigheter er ivaretatt gjennom barnevernlovens og forvaltningslovens regler om taushetsplikt mv.

Innsyn

A og B har bedt om innsyn i notatet om C fra 1998. Rett til innsyn i et dokument reguleres av forvaltningsloven og offentlighetsloven. Datatilsynet har korrekt opplyst at A og B eventuelt må henvende seg til helsestasjonen i X kommune og be om innsyn og at det er helsestasjonen som deretter avgjør om A og B har rett til innsyn eller ikke og også vil orientere om klageadgang for avgjørelsen. Nemnda vil likevel, for ordens skyld, bemerke at helsestasjonens notat, som omhandler klagernes datter C og er utarbeidet i 1998 da hun var 16 år gammel, vil i utgangspunktet være underlagt taushetsplikt for helsepersonell på helsestasjonen, jf. helsepersonelloven § 21 og dermed unntatt fra innsyn etter offentlighetsloven § 13. Det gjelder selv om det i notatet indirekte også framkommer opplysninger om klagerne ved at det for eksempel er beskrivelser av Cs oppvekst i foreldrehjemmet.

Det nemnda kan ta stilling til er den eller de registrertes krav til innsyn etter personvernforordningen artikkel 15. Etter denne bestemmelsen har den registrerte rett til å få en bekreftelse fra den behandlingsansvarlige på om personopplysninger om vedkommende behandles, og dersom det er tilfellet, innsyn i disse personopplysningene. Artikkel 15 gir ikke rett til innsyn i opplysninger om andre enn den registrerte selv. Det følger videre av artikkel 15 nr. 4 at retten til å motta en kopi som nevnt i artikkel 15. nr. 3 ikke skal ha negativ innvirkning på andres rettigheter og friheter. Nemnda legger til grunn at i den grad opplysningene i notatet er omfattet av helsepersonells taushetsplikt, kan notatet ikke utleveres til andre enn C selv.

Kravet om innsyn etter personvernforordningen artikkel 15 tas etter dette ikke til følge.

Sletting

A og B har bedt om at opplysningene slettes, jf. personvernforordningen artikkel 17. Nemnda oppfatter at A og B primært viser til artikkel 17 nr. 1 bokstav a som grunnlag for sletting: «personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for».

Nemnda vil først bemerke at artikkel 17 nr. 1 gir «den registrerte» på visse vilkår rett til å få opplysninger om seg slettet. Det omtalte notatet fra 1998 som kreves slettet omhandler primært C, som den gangen var barn, men nå er voksen. Cs foreldre har ikke uten videre rett til å kreve sletting av opplysninger om seg selv som indirekte framkommer av registrerte opplysninger om C. I og med at nemnda ikke er kjent med innholdet i det aktuelle notatet og nemnda uansett har kommet til at det etter arkivlova ikke er adgang til å etterkomme kravet om sletting, jf. nedenfor, går ikke nemnda nærmere inn på denne problemstillingen.

Artikkel 17 nr. 3 bokstav b og d gjør unntak fra retten til sletting dersom behandlingen av personopplysninger er nødvendig

«b) for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt,

[…]

d) for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, […]»

Om unntakene i artikkel 17 nr. 3 bokstav b og d sier departementet i Prop. 56 LS (2017-2018) side 81:

«Artikkel 17 nr. 3 bokstav d gjør på samme vilkår som i artikkel 14 nr. 5 bokstav b unntak fra retten til sletting. Den registrerte har altså ikke krav på sletting dersom dette vil umuliggjøre eller i alvorlig grad hindre oppfyllelsen av formålene med behandling for arkiv, forskning og statistikk i samsvar med artikkel 89 nr. 1. Det kan videre nevnes at den registrerte heller ikke har rett til sletting dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller nasjonal rett eller for å utføre en oppgave i allmennhetens interesse, jf. artikkel 17 nr. 3 bokstav b. Dette innebærer at arkivlovas regler om kassasjon og innskrenket råderett på samme måte som i dag vil gå foran retten til sletting, jf. § 28 første ledd i dagens lov [2000]. I motsetning til gjeldende personopplysningslov [2000] gir forordningen ingen kompetanse for Datatilsynet til å fatte vedtak om sletting som går foran arkivlovgivningen, sml. gjeldende personopplysningslov [2000] § 27 tredje ledd og § 28 fjerde ledd.»

Helsestasjonen i X kommune har ikke lenger noe oppfølging av C og formålet med fortsatt oppbevaring av opplysningene er nå begrunnet i arkivformål i allmennhetens interesse, jf. bestemmelsene om arkivverdig materiale i arkivlova. Det følger av personvernforordningen artikkel 5 nr. 1 bokstav b at en viderebehandling av opplysninger for arkivformål i allmennhetens interesse ikke anses uforenlig med det opprinnelige formålet.

Arkivlova med forskrifter har regler om arkivering og bevaring av dokumenter. Formålet med arkivlova er ifølge loven § 1:

«å tryggja arkiv som har monaleg kulturelt eller forskningsmessig verde eller som inneheld rettsleg eller viktig forvaltningsmessig dokumentasjon, slik at desse kan verta tekne vare på og gjorde tilgjengelege for ettertida».

Av Riksarkivarens forskrift (forskrift 19. desember 2017 nr. 2286) § 7-1 bokstav c følger det at formålet blant annet er å:

«sikre at arkiv ikke blir kassert før rettslige og forvaltningsmessige dokumentasjonsbehov er bortfalt.»

I forskriftens del III er det fastsatt hvilke sakstyper som ikke kan slettes («gjøres til gjenstand for kassasjon»), se § 7-23 og § 7-29. I § 7-29, andre ledd, bokstav h er det bestemt at «Pasient- og journalopplysninger fra helsestasjonstjenester, skolehelsetjenesten og tannhelsetjenesten» skal bevares for ettertiden og ikke gjøres til gjenstand for kassasjon. Helsestasjonen i X kommune kan derfor ikke pålegges å slette disse opplysningene. Dette følger både av personvernforordningen § 17 nr. 3 bokstav b (rettslig forpliktelse), jf. arkivlova § 9 bokstav c, og av personvernforordningen artikkel 17 nr. 3 bokstav d (arkivformål i allmennhetens interesse).

Kravet om sletting tas etter dette ikke til følge.

Begrenset behandling

Subsidiært har A og B påberopt retten til begrensning av behandlingen etter personvernforordningen artikkel 18.

Retten til begrenset behandling er en ny rettighet ved ikrafttredelsen av personopplysningsloven 2018. Begrensning av behandling er i forordningen artikkel 4 nr. 3 definert som «merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden».

Retten til begrensning etter artikkel 18 nr. 1 inntrer dersom a) opplysningenes riktighet er omtvistet, b) behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og i stedet anmoder om begrensning, c) behandling ikke lenger er nødvendig, men opplysningene trengs for å fastsette, gjøre gjeldende eller forsvare et rettskrav, eller d) den registrerte har protestert mot videre behandling i medhold av artikkel 21 nr. 1, i påvente av en avgjørelse av om videre behandling kan skje.

Nemnda slutter seg til Datatilsynets vurdering om at A og B ikke fyller vilkårene for begrensning av behandlingen av personopplysningene, jf. personvernforordningen artikkel 18. Selv om riktigheten av opplysningene er omtvistet ved at A og B bestrider riktigheten av dem, vil nemnda for det første peke på at denne saken i stor grad dreier seg om opplysninger som det ikke er aktuelt å få verifisert. Det dreier seg dels om subjektive vurderinger fra helsestasjonen og barnevernmyndighetene som beskriver disses vurdering av de faktiske forholdene. Videre er det etter nemndas oppfatning ikke naturlig å pålegge begrenset behandling av opplysninger som klagerne ikke har innsynsrett i, jf. ovenfor. Nemnda anser samlet sett at A og Bs personvern er tilfredsstillende ivaretatt ved at de gis rett til å framlegge en supplerende erklæring, jf. nedenfor.

Vilkårene for begrenset behandling etter artikkel 18 er dermed ikke til stede.

Retting

I likhet med Datatilsynet legger nemnda til grunn at A og B gjennom klagen til X kommune har fått adgang til å framlegge en supplerende erklæring, slik at retten til retting etter personvernforordningen artikkel 16 er oppfylt.

Konklusjon

A og B får ikke medhold i sin klage. X kommunes utlevering av opplysninger til barneverntjenesten var lovlig og i tråd med personvernforordningen. A og B har ikke rett til innsyn og de registrerte opplysningene kan ikke kreves slettet etter artikkel 17 eller begrenset etter artikkel 18. Retten til retting er oppfylt gjennom en supplerende erklæring.

Datatilsynets vedtak opprettholdes.

Vedtaket er enstemmig.

Oslo, 2. februar 2021

Mari Bø Haugstad

Leder