Personvernnemndas avgjørelse av 25. november 2016 (Eva I E Jarbekk, Arve Føyen, Ørnulf Rasmussen, Nina Melsom, Marta Ebbing, Ann R Sætnan, Gisle Hannemyr)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage over tilsynets avvisning av klage vedrørende sletting av journalopplysninger og tilsyn.
2 Saksgang og faktum
Saken handler om Datatilsynet mottok en henvendelse fra en privatperson, heretter klager, den 9. juni 2016. Klager informerte om at Fylkesmannen i Hedmark ikke slettet klagers journalopplysninger på forespørsel fra klager, og ba Datatilsynet om å foreta en realitetsbehandling av slettekravet, samt føre tilsyn med Fylkesmannen i Hedmark og øvrige involverte instansers behandling av klagers personopplysninger.
Datatilsynet besvarte henvendelsen med et veiledningsbrev hvor klager ble forklart at Datatilsynet ikke er riktig instans til å fatte endelig avgjørelse om sletting av opplysninger i pasientjournal, jf helsepersonelloven §§ 42 og 43. Klager ble forklart hvordan han kan gå frem for å få vurdert sitt krav om sletting av journalopplysning, samt informasjon om at det er Datatilsynet som selv avgjør hvilke offentlig etater og virksomheter man prioriterer å føre tilsyn med. Klager ble informert om at Datatilsynet ikke kom til å etterkomme hans krav om tilsyn med Fylkesmannen i Hedmark og øvrige involverte instanser.
Den 27. juni mottok Datatilsynet en klage på veilendingsbrevet og beslutningen om å ikke etterkomme klagers krav om tilsyn med instansene. Datatilsynet avviste klagen i brev av 30. juni 2016. Det er klage på dette avvisningsvedtaket som er gjenstand for klage til Personvernnemnda.
Saken ble oversendt Personvernnemnda 22. august 2016, som mottok saken 1. september 2016. Klager ble orientert om dette i brev fra nemnda datert 2. september 2016, med frist til uttalelse innen 22. september 2016. Det er ikke innkommet kommentarer.
3 Klagers anførsler
Klager anfører for det første at tilsynet har gjort en saksbehandlingsfeil ved å påstå at sletting av journalopplysninger følger av særskilt lov. Klager viser til personopplysningsloven § 27 og arkivloven. Klager krever at denne feilen må rettes og Datatilsynet må foreta en realitetsbehandling av kravet om sletting av journalopplysninger.
Klager anfører for det andre at Datatilsynets saksbehandling har vært uforsvarlig og basert på synsing ettersom Datatilsynet ikke har etterkommet klagers krav om å føre tilsyn hos blant annet Fylkesmannen i Hedmark og Sykehuset Innlandet HF, DPS Tynset.
4 Datatilsynets vurdering
Etter Datatilsynets mening følger det klart av ordlyden i helsepersonelloven § 43 at det er helsepersonellet selv, deretter fylkesmannen, som skal behandle krav om sletting av journalopplysninger fra pasient. Datatilsynet har ikke kompetanse til å overprøve spørsmål om sletting i slike saker. Det foreligger derfor ingen saksbehandlingsfeil når Datatilsynet ikke har realitetsbehandlet klagers krav om sletting. Datatilsynet har videre overholdt sin veiledningsplikt etter forvaltningsloven § 11 ved å informere klager om hvor og hvordan han kan anmode riktig instans å vurdere slettekravet.
I henhold til personopplysningslovens § 42 heter det blant annet at «Datatilsynet skal» «etter henvendelse eller eget tiltak gi uttalelse i spørsmål om behandling av personopplysninger». Datatilsynet skal også «kontrollere at lover og forskrifter som gjelder for behandling av personopplysninger blir fulgt, og at feil og mangler blir rettet». I den forbindelse kan Datatilsynet fatte vedtak i medhold av personopplysningslovens § 46.
Bestemmelsen kan imidlertid ikke leses som en plikt for Datatilsynet til å gjennomføre en kontroll i hver enkelt henvendelse som tilsynet mottar. Det ville fordre helt andre ressurser enn det tilsynet har til disposisjon. Personvernmyndighetene er forutsatt å ha en særlig uavhengig stilling. Dette tilsier at Datatilsynet må stå fritt til å beslutte hvordan det skal gjennomføre sine oppgaver etter loven, gitt de ressurser og øvrige rammevilkår som til enhver tid foreligger. Spørsmål som gjelder ressursbruk og intern organisering i et forvaltningsorgan har i stor grad vært overlatt til forvaltningsorganets frie skjønn.
Datatilsynets skjønnsutøvelse i den enkelte sak må være forsvarlig, og i tråd med god forvaltningsskikk. Ved skjønnsutøvelsen i dette tilfellet har tilsynet lagt vekt på forholdsmessig ressursbruk i henhold til besluttede prioriteringer for inneværende år inntatt i virksomhetsplanen for Datatilsynet.
Datatilsynet mottar svært mange henvendelser fra privatpersoner, som opplever at deres personvern er krenket. Tilsynet har ikke kapasitet til å realitetsbehandle alle disse sakene, og må gjøre en prioritering. Tilsynet kan ikke se at det foreligger forhold i denne konkrete saken, som tilsier at det skal foreta tilsyn med de angitte institusjonene. Slik klager har lagt frem saken er det ikke primært institusjonenes behandling av personopplysninger som er problemet. Slik tilsynet oppfatter situasjonen foreligger det uenigheten mellom klager og helsepersonell om helsefaglige vurderinger som er gjort i forbindelse med klagers diagnoser, og hva som har vært kommunisert i møter mellom klager og helsepersonell. Dette er noe Datatilsynet ikke har kompetanse til å uttale seg om. En generell kontroll av helseinstitusjonenes behandling av personopplysninger fremstår derfor som en uforholdsmessig bruk av tilsynets ressurser, særlig sett hen til at saken i seg selv ikke indikerer brudd på personopplysningslovens bestemmelser.
Tilsynet fastholder at det er helsepersonellet selv, deretter fylkesmannen, som skal realitetsbehandle krav om sletting av journalopplysninger. Tilsynet fastholder også at beslutningen om ikke å føre kontroll med de angitte institusjonene i denne saken er forsvarlig og i tråd med god forvaltningsskikk. Datatilsynet mener at det har overholdt sin plikt etter forvaltningslovens § 11 til å gi veiledning i denne saken.
5 Personvernnemndas syn
Saken gjelder en klage over at Datatilsynet avviste å realitetsbehandle klagers krav om sletting av klagers journalopplysninger samt krav om tilsyn hos Fylkesmannen i Hedmark. Datatilsynet besvarte henvendelsen med et veiledningsbrev hvor klager ble forklart at Datatilsynet ikke er riktig instans til å fatte endelig avgjørelse om sletting av opplysninger i pasientjournal, jf helsepersonelloven §§ 42 og 43. Klager ble forklart hvordan han kan gå frem for å få vurdert sitt krav om sletting av journalopplysning, samt informasjon om at det er Datatilsynet som selv avgjør hvilke offentlig etater og virksomheter man prioriterer å føre tilsyn med. Klager ble informert om at Datatilsynet ikke kom til å etterkomme hans krav om tilsyn med Fylkesmannen i Hedmark og øvrige involverte instanser.
Personvernnemnda har vurdert om Datatilsynets behandling av saken har vært tilstrekkelig og forsvarlig i samsvar med veiledningsplikten i forvaltningsloven. Datatilsynet har korrespondert med klager og gitt ham en grundig veiledning om reglene om sletting av journalopplysninger. Datatilsynet har påpekt at tilsynet ikke er riktig instans til å fatte vedtak om sletting av journalopplysninger og henvist til lovbestemmelsene i helsepersonelloven.
Etter nemndas syn har tilsynet veiledet klager i tilstrekkelig grad til at klager bør forstå at Datatilsynet ikke er rett forvaltningsorgan og hvilket forvaltningsorgan klager må henvende seg til. Datatilsynet kan ikke beslutte sletting. Klager er også blitt veiledet om hvordan han må gå frem for å få sitt slettekrav vurdert hos de korrekte forvaltningsorganer. Videre har Datatilsynet opplyst at det er tilsynet selv som prioriterer hvilke etater det skal føres tilsyn med. Personvernnemnda er kommet til at Datatilsynet har oppfylt sin veiledningsplikt etter forvaltningsloven. Det er ikke anført tilstrekkelige grunner til at nemnda vurderer saken annerledes enn Datatilsynet. Saken ble behandlet på en tilfredsstillende måte og det er ikke grunnlag for å kritisere Datatilsynets prioritering i denne saken.
Klagen har etter dette ikke ført frem.
6 Vedtak
Klagen tas ikke til følge.
Oslo, 25. november 2016
Eva I E Jarbekk
Leder