Personvernnemndas vedtak 22. juni 2021 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin)
Saken gjelder klage fra A på Datatilsynets avgjørelse 29. september 2020 om at X distriktspsykiatriske senters behandling av opplysninger om hans etniske opprinnelse var lovlig etter personvernforordningen.
Sakens bakgrunn
A kontaktet Datatilsynet 18. november 2019 fordi han mener at X distriktspsykiatriske senter (heretter X DPS) har behandlet opplysninger om hans etniske opprinnelse uten rettslig grunnlag og at hans personvernrettigheter derfor er krenket.
Bakgrunnen for henvendelsen var at fastlegen i sin henvisning av A til X DPS hadde oppgitt «Tilhørende "Romanifolket"». I epikrisen til fastlegen etter avslutning av tilbudet fra X DPS skrev overlegen ved X DPS «Opprinnelig av Romanifolket».
A klaget både over X DPS’ og fastlegens behandling av opplysninger. Denne saken gjelder bare X DPS’ behandling av personopplysninger.
Datatilsynet ga A først veiledning om personvernreglene i brev 27. januar 2020.Etter at Datatilsynet mottok flere henvendelser fra A tok Datatilsynet saken opp til klagebehandling.
Datatilsynet ba X DPS om en redegjørelse 8. september 2020, som ble gitt i brev 15. september 2020. Datatilsynet kom til at X DPS hadde behandlingsgrunnlag for å behandle opplysningene om etnisk opprinnelse og avsluttet saken 29. september 2020.
A klaget rettidig på Datatilsynets vedtak 5. oktober 2020.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse og oversendte saken til Personvernnemnda 28. april 2021. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A har gitt sine merknader i e-post 12. mai 2021. X DPS har ikke inngitt merknader.
Saken ble behandlet i nemndas møte 22. juni 2021. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Hans Marius Graasvold, Hans Marius Tessem og Morten Goodwin. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i korte trekk
Etter artikkel 6 nr. 1 bokstav c kan personopplysninger behandles dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige. Helsepersonell og helsetjenesten har en lovpålagt plikt til å yte forsvarlig helsehjelp blant annet i helsepersonelloven § 4, helse- og omsorgstjenesteloven § 4-1 og spesialisthelsetjenesteloven § 2-2.
Når det gjelder behandlingen av særlig kategorier av personopplysninger, viser Datatilsynet til at personvernforordningen artikkel 9 nr. 2 bokstav h gjerne vil være relevant for helsehjelp. Etter denne bestemmelsen kan slike opplysninger behandles dersom behandlingen er nødvendig for yting av helsetjenester som behandlingsansvarlig er pålagt gjennom nasjonal rett. Tilsynet viser på dette punktet til helsepersonells og helsetjenestens plikt til å yte forsvarlig helsehjelp, som nevnt over.
Datatilsynet vurderer at X DPS har hatt rettslig grunnlag i personvernforordningen artikkel 6 nr. 1 bokstav c, jf. artikkel 9 nr. 2 bokstav h, for behandlingen av opplysningen om klagers etnisitet. Tilsynet viser til X DPS’ redegjørelse om at opplysningen om klagers etniske bakgrunn var relevant både for vurderingen av henvisningen og for helsehjelpen som ble gitt der, samt at opplysningene om klagers etnisitet ikke er videreformidlet til andre enn hans fastlege, som allerede var kjent med denne informasjonen.
Datatilsynet fremholder at tilsynet vanskelig kan overprøve medisinskfaglige vurderinger av hvilke personopplysninger som er relevante for ytelse av helsehjelp og konkluderer med at behandlingen av personopplysninger har vært lovlig.
As syn på saken i korte trekk
Han har klaget X DPS inn for Fylkesmannen i Y (nå Statsforvalter), og fått til svar at Fylkesmannen mener det er nødvendig for helsepersonell å vite om hans etniske bakgrunn. Det er han uenig i og han ønsker at Datatilsynet avgjør dette.
Opplysninger om at han tilhører romanifolket har ingen ting med hans helsetilstand å gjøre. Helsetjenesten, inkludert X DPS, kan derfor ikke behandle opplysninger om hans etniske bakgrunn. Etnisitet er ikke relevant for helsehjelp og skal ikke oppgis i epikriser eller henvisninger. Bruk og utlevering av slike opplysninger er i strid med hans grunnleggende personvernrettigheter.
Han har vært i kontakt med Statens Helsetilsyn og helse- og omsorgsminister Bent Høie. Høie er helt klar på hva som skal stå i en helsejournal og sier at det er strenge regler for hva som skal stå i en pasientjournal og hvem opplysningene skal kunne deles med.
Romanifolket er en etnisk minoritetsgruppe og reagerer ikke annerledes på seksuelle overgrep, vold og omsorgssvikt enn etnisk norske. Dette har aldri blitt forsket på og kan umulig gi ham bedre helsehjelp.
I henhold til Rammekonvensjonen er det ikke lov med registering av nasjonale minoriteter i Norge. Dette er et gammelt gufs fra fortiden.
X DPS’ syn på saken i korte trekk
X DPS fikk opplysninger om As etnisitet i henvisningsbrevet fra fastlegen. Opplysningen «Tilhørende Romanifolket» ble gitt i sammenheng med en utfyllende beskrivelse av As bakgrunn. Henvisningsbrevet dannet grunnlaget for å innvilge A rett til helsehjelp innenfor psykisk helsevern. Helsehjelpen er i dag avsluttet.
Ved avslutningen av behandlingen ved X DPS skrev overlegen i epikrisen til fastlegen «Opprinnelig av Romanifolket». Utleveringen er i tråd med god medisinsk praksis, og opplysningen var allerede kjent for fastlegen. X DPS er ikke kjent med at opplysninger om As etnisitet skal ha blitt gitt til helsepersonell i andre sammenhenger.
Opplysningen om etnisitet er i likhet med all annen bakgrunnsinformasjon relevant, men ikke avgjørende, for den helsehjelpen som er gitt.
Personvernnemndas vurdering
For at en behandling av personopplysninger skal være lovlig, må den ha et rettslig grunnlag. De rettslige grunnlagene for behandling av personopplysninger framgår av personvernforordningen artikkel 6 nr. 1. Dersom opplysningene faller inn under særlige kategorier av personopplysninger, jf. artikkel 9 nr.1, må behandlingen i tillegg være lovlig etter minst ett av alternativene i artikkel 9 nr. 2.
Det følger av artikkel 6 nr. 1 bokstav c at behandlingen er lovlig dersom den er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige. Den rettslige forpliktelsen må i henhold til artikkel 6 nr. 3 være fastsatt i unionsretten (bokstav a) eller i nasjonal rett (bokstav b). Det er ikke et krav om at det supplerende rettsgrunnlaget regulerer behandlingen uttrykkelig, jf. Prop. 56 LS (2017-2018) punkt 6.3.2 side 33 og forordningens fortalepunkt 45.
Nemnda legger til grunn at helsepersonelloven § 4, helse- og omsorgstjenesteloven § 4-1 og spesialisthelsetjenesteloven § 2-2 som pålegger helsepersonell og helsetjenesten en plikt til å yte forsvarlig helsehjelp, tilfredsstiller kravet til supplerende rettsgrunnlag, jf. artikkel 6 nr. 3.
Personopplysninger som omfattes av særlige kategorier av opplysninger jf. artikkel 9 nr. 1, er gitt et særskilt vern. Det framgår av forordningens fortalepunkt 51 at dette er personopplysninger som av natur er særlig sensitive med hensyn til grunnleggende rettigheter og friheter, og som fortjener et særskilt vern, ettersom sammenhengen de behandles i, kan skape betydelige risikoer for de grunnleggende rettigheter og friheter. Det er ingen tvil om at opplysningen «Tilhørende Romanifolket» faller inn under særlig kategorier av opplysninger i artikkel 9.
Det følger av artikkel 9 nr. 1 jf. artikkel 9 nr. 2 bokstav h at opplysninger om etnisk opprinnelse blant annet kan behandles dersom det er nødvendig i forbindelse med medisinsk diagnostikk, yting av helse- og sosialtjenester og behandling eller forvaltning av helse- eller sosialtjenester, forutsatt at opplysningene behandles av en fagperson som har taushetsplikt i henhold til nasjonal rett, jf. artikkel 9 nr. 3.
De rettslige grunnlagene, både artikkel 6 nr. 1 bokstav c og artikkel 9 nr. 2 bokstav h oppstiller et krav om nødvendighet. Behandlingen av opplysningene må være nødvendige for den rettslige forpliktelsen helsepersonellet eller helsetjenesten er pålagt, og nødvendige for yting, behandling eller forvaltning av helsetjenester.
X DPS har opplyst at henvisningsbrevet fra fastlegen med informasjon om As etniske opprinnelse framkom i sammenheng med en utfyllende beskrivelse av hans bakgrunn og dannet grunnlag for å innvilge ham rett til helsehjelp innenfor psykisk helsevern.
A har opplyst at han også har klaget til Statsforvalteren (tidligere Fylkesmannen), som har konkludert med at helsetjenesten hadde behov for å få opplysninger om hans etniske opprinnelse for å gi ham forsvarlig helsehjelp. Nemnda er, som Datatilsynet, varsom med å overprøve fagmyndighetens helsefaglige vurderinger av hvilke opplysninger helsetjenesten har behov for å få tilgang til for å yte forsvarlig helsehjelp.
Nemnda har, som Datatilsynet, kommet til at X DPS hadde behandlingsgrunnlag for sin behandling av opplysninger om As etniske opprinnelse i artikkel 6 nr. 1 bokstav c og artikkel 9 nr. 2 bokstav h, jf. artikkel 9 nr. 3 da behandlingen var nødvendig for X DPS’ yting av helse- eller sosialtjenester i henhold til helsepersonelloven § 4, helse- og omsorgstjenesteloven § 4-1 og spesialisthelsetjenesteloven § 2-2, og bare ble behandlet av fagpersoner underlagt taushetsplikt.
A får ikke medhold i sin klage.
Konklusjon
X DPS har ikke behandlet personopplysninger om A ulovlig.
Vedtaket er enstemmig.
Oslo, 22. juni 2021
Mari Bø Haugstad
Leder