Oversendelse endelse av klage til Personvernnemnda - klage på vedtak

Transkript

1 Personvernnemnda Postboks SANDEFJORD Deres referanse Vår referanse (bes oppgitt ved svar) Dato 10/ /HTE 3. juli 2012 Oversendelse endelse av klage til Personvernnemnda - klage på vedtak Datatilsynet har mottatt en klage datert 23. februar 2012 fra Stiftelsen SUSS-telefonen (heretter SUSS), ved adv. Vebjørn Søndersrød. Klagen gjelder Datatilsynets vedtak av 18. januar Klagen på Datatilsynets pålegg er rettidig fremsatt, jf. forvaltningsloven 29. Datatilsynet har foretatt en ny vurdering av saken, men finner ikke grunnlag for å oppheve eller endre vedtaket. I medhold av helseregisterloven 32 oversendes saken til klagebehandling i Personvernnemnda. En kopi av dette oversendelsesbrevet er sendt klager. Informasjon om stiftelsen SUSS SUSS ble dannet i 1987 i forbindelse med gjennomføringen av to store nasjonale kampanjer i regi av Statens Helsetilsyn. SUSS arbeider for å sikre ungdom hjelp til å oppnå bedre helse, spesielt forebygge uønskede graviditeter, abort og overføring av seksuelt overførbare sykdommer. SUSS er en landsdekkende stiftelse som drives av og med helsepersonell som har spesiell kompetanse i helseforebyggende og rådgivende arbeid blant unge. SUSS gir råd og veiledning over telefon, SMS og sikker e-post til enkeltpersoner ut i fra deres spørsmål eller problemstilling. SUSS har egenutviklet programvare som skal sørge for at identiteten til brukerne ikke blir avslørt for de ansatte som besvarer spørsmålene og omvendt. SUSS lagrer kontaktopplysninger om hvem som kontakter dem, enten telefonnummer eller brukerid på Internett. I tillegg registreres det i et journalsystem hva problemstillingen eller spørsmålet var, samt hvilke råd eller veiledning som ble gitt. Den ansatte registrerer også hvilken kategori spørsmålet eller problemstillingen omhandlet. Det ble opplyst under den stedlige kontrollen at samtlige av virksomhetens henvendelser ble lagret (journalført). Saksgang 5. oktober 2010 gjennomførte Datatilsynet en varslet kontroll hos SUSS, med hjemmel i personopplysningsloven. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside:

2 Den 22. desember 2010 fikk SUSS tilsendt en foreløpig kontrollrapport samt varsel om vedtak. I brev av 17. januar 2011 kommenterer SUSS den foreløpige kontrollrapporten. På bakgrunn av kommentarene ber Datatilsynet i brev av 10. februar 2011 Helsedirektoratet om en avklaring på om SUSS oppfyller kriteriene i helsepersonelloven 3 tredje ledd. 25. oktober 2011 mottar Datatilsynet avklaringene fra både Helsedirektoratet (heretter Hdir) samt Helse- og omsorgsdepartementet (heretter HOD). 18. januar 2012 blir den endelige kontrollrapporten ferdigstilt samt følgende pålegg fattet: 1. Virksomheten må slette personopplysningene som innhentes i forbindelse med SUSS sin råd og veiledning, med mindre det kan påvises et gyldig rettslig grunnlag for behandlingen, alternativt kan opplysningene som behandles anonymiseres. Det vises til kontrollrapportens pkt Virksomheten pålegges å oppfylle sin informasjonsplikt overfor sine brukere, jf. helseregisterloven 23. Det vises til kontrollrapportens pkt Virksomheten må avklare hvilken plikt de har til å informere den registrerte om utleveringsplikten til de sentrale helseregistre. Det vises til tilsynsrapportens pkt Virksomheten må i sin internkontroll avklare hvilke lover som regulerer deres virke, samt hvordan personopplysningene skal behandles i virksomheten. Det vises til kontrollrapportens pkt I brev av 23. februar 2012 klager SUSS på pkt. 1, 2 og 3. Det hevedes at pkt. 3 og 4 er etterkommet og gjennomført av SUSS, men at pkt. 3 likevel påklages fordi tilsynet ikke har lagt korrekt forståelse av faktum og regelanvendelse til grunn for dette punktet i vedtaket. I den videre behandlingen av klagen presenterer vi det enkelte påklagede vedtakspunkt i kronologisk rekkefølge med redegjørelse for henholdsvis SUSS og Datatilsynets forståelse av faktum og deretter regelanvendelsen. Innvendinger om faktum Klager anfører at Datatilsynet har lagt galt faktum til grunn, jf. klagens pkt. 2. Datatilsynet vil her presisere at kontrollrapporten gjenspeiler forholdet på kontrolltidspunktet. Eventuelle endringer etter dette tidspunkt er ikke relevante for den endelige kontrollrapporten, men vil kunne være relevant ved utforming av eventuelle vedtak. På kontrolltidspunktet var frasen helt anonym vitterlig å finne på SUSS sin hjemmeside 1, det kan i den forbindelse vises til media oppslag om saken Det vises blant annet til vg.no sin nettartikkel SUSS-telefonen har sex-register fra

3 SUSS sier videre at det ikke er korrekt at det har forekommet noen diskusjoner etter 2001 med Hdir om hvorvidt SUSS driver helsehjelp, slik det nevnes i endelig kontrollrapport på side 9. Det påstås at SUSS er ukjent med hvilke opplysninger Datatilsynet bygger på. Opplysningene det her er tale om stammer fra opplysninger som SUSS egne representanter ga til Datatilsynet under den stedlige kontrollen. Ulike synspunkter på lovanvendelse Datatilsynet vil innledningsvis redegjøre for tilsynets forståelse for deler av helselovgivningen, da enkelte av klagers innsigelser, viser et avvikende syn. I følge klager kommer ikke helseregisterloven til anvendelse, siden helsepersonelloven regulerer forholdet. Datatilsynets synspunkter: Helseregisterloven samt helsepersonelloven utelukker ikke hverandre, men vil etter tilsynets vurdering utfylle hverandre. Helsepersonell vil, etter tilsynets vurdering, ikke bare være regulert av en lov ved behandling av personopplysninger, men av flere lover og forskrifter avhengig av blant annet hvilken rolle helsepersonellet har, hva formålet med behandlingen er og hva slags tjenester som ytes. Lovens formål og virkeområde vil således stå sentralt i vurderingen av om den aktuelle loven kommer til anvendelse eller ikke. Helsepersonelloven har til formål å bidra til sikkerhet for pasienter og kvalitet i helse- og omsorgstjenesten samt tillit til helsepersonell og helse- og omsorgstjenesten, jf lovens 1. Loven gjelder for helsepersonell og virksomheter som yter helsehjelp i riket, jf. lovens 2. Helseregisterloven har til formål å bidra til å gi helsetjenesten og helseforvaltningen informasjon og kunnskap uten å krenke personvernet, slik at helsehjelp kan gis på en forsvarlig og effektiv måte. Loven skal videre sikre at helseopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på helseopplysninger, jf. lovens 1. Loven gjelder for behandling av helseopplysninger i helseforvaltningen og helsetjenesten som skjer helt eller delvis med elektroniske hjelpemidler for å fremme formålet som beskrevet i 1, og annen behandling av helseopplysninger i helseforvaltningen og helsetjenesten til slike formål, når helseopplysningene inngår eller skal inngå i et helseregister, jf. lovens 3. Datatilsynet oppfatter at SUSS plikter å etterleve de regler som følger av både helsepersonelloven og helseregisterloven ettersom lovene ikke ekskluderer hverandre, men utfyller hverandre. Klagers anførsler samt tilsynets merknader til vedtaks pkt. 1 Klager anfører at det ikke foreligger faktiske eller rettslige grunnlag for å dele SUSS sin virksomhet i to teoretiske kategorier. Det vises til Helsepersonelloven med kommentarer, 2. utgave 2001 side 26, der det siteres følgende: 3

4 «Avgjørende momenter er om man gir uttrykk for å være helsepersonell og opptrer som helsepersonell.» Ut i fra dette sitatet subsumerer klager følgende: «Fordi SUSS er bemannet av helsepersonell som har som formål å drive helsehjelp og fordi SUSS brukere kontakter helsepersonellet nettopp i den oppfatning tilsier helsepersonellovens formålsbestemmelse klart at hele SUSS virksomhet er helsehjelp når SUSS har kontakt med sine brukere. Lovens formål hindrer at kun deler av SUSS sin virksomhet blir å anse som helsehjelp slik Datatilsynet har lagt til grunn.» Klager viser til at det ikke foreligger noe i HOD sitt brev til Hdir av 20. september 2011 som støtter Datatilsynets vurdering av at SUSS bare delvis driver helsehjelp. Klager viser videre til at Hdir har slått fast at SUSS driver med helsehjelp, og hvis det var slik at deler av SUSS sin virksomhet ikke faller inn under definisjonen av helsehjelp, medførte det ikke at SUSS av denne grunn mistet status som enhet som driver helsehjelp. Det anføres at det ikke er «faktisk mulig» å dele SUSS virksomhet i to deler slik Datatilsynet indikerer. En slik grensedragning måtte nødvendigvis blitt skjønnsmessig og ikke praktisk gjennomførbar. Det tillegges at den ansatte i SUSS hele tiden opptrer som helsepersonell overfor brukeren, og at brukeren avleverer personopplysninger til SUSS nettopp etter denne oppfatning. Det anføres at SUSS ansatte (som helsepersonell), under utøvelse av helsepersonellfaglige handlinger, er kompetente til å vurdere hvorvidt kommunikasjon med SUSS brukere er helsehjelp i det enkelte tilfelle, eller eventuelt ikke. Og at Datatilsynet ikke har kompetanse til å overprøve denne faglige vurderingen. Datatilsynets merknader: Etter Hdir sin avklaring (fortolkning) legger Datatilsynet til grunn at SUSS sin virksomhet er å anse som en helsetjeneste etter helseregisterloven 3. Det er videre ikke tvilsomt at SUSS behandler helseopplysninger for å fremme formål som er beskrevet i helseregisterloven 1. Datatilsynet legger derfor til grunn at SUSS sin virksomhet reguleres etter helseregisterloven, jf. helseregisterloven 3 nr. 1. Etter helseregisterloven 5 kan helseopplysninger bare behandles elektronisk når dette er tillatt etter personopplysningsloven 9 og 33, helseforskningsloven eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag. Det samme gjelder annen behandling av helseopplysninger, dersom opplysningene inngår eller skal inngå i et helseregister. Hdir har i brev av 21. oktober 2011 avklart at SUSS vil være å anse som en helsetjeneste, jf. pasientrettighetsloven 1-3, og at SUSS i enkelte tilfeller yter helsehjelp. Datatilsynet har etter dette lagt til grunn at i de tilfeller SUSS driver helsehjelp, vil tjenesten (jf. avklaringen) 4

5 være utført av helsepersonell, jf. helsepersonellovens 3 nr. 3, jf 3 tredje ledd, samt vil være journalpliktig, jf. helsepersonelloven 39 og 40. SUSS vil i slike tilfeller oppfylle helseregisterloven 5, ved at en slik elektronisk behandling følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag. Det er dermed godgjort at SUSS har et gyldig rettslig grunnlag for å oppbevare de helseopplysningene som er innhentet når de yter helsehjelp. Klagers påstand om at tilsynets vedtak vil stride med helsepersonelloven 39 og 40, beror på den forståelsen at generelle råd og veiledning må anses som opplysninger som SUSS er pålagt å føre journal over, jf. helsepersonelloven 39 og 40. Datatilsynet mener at Hdir og HOD sine avklaringer, i henholdsvis brev av 21. oktober 2011 og 29. september 2011, legger til grunn at deler av SUSS sin helsetjeneste må anses som helsehjelp. Dette gjelder særlig ved foreskrivelse av resepter og henvisninger til spesialisthelsetjenesten. Videre vil konkret og handlingsrettet råd og veiledning individuelt tilpasset innringeren og basert på informasjon fra innringer falle innunder begrepet helsehjelp Hdir, samt HOD tar etter tilsynets vurdering, høyde for at SUSS ikke bare yter helsehjelp, men også behandler personopplysinger som vil falle utenfor hva som kan karakteriseres som helsehjelp. Det vises i den sammenheng til Hdir sin vurdering om at «Dette er ofte tilfellet for SUSS telefonen» (vår understrekning). 3 Og når HOD skriver at «Deler av tilbudet som gis innringerne er av en slik karakter at dette klart må regnes som utøvelse av helsehjelp» (vår understrekning). 4 I tilfeller der SUSS gir råd og veiledning av en mer generell og uforpliktende karakter, som ikke er tilpasset den enkelte bruker, vil det etter tilsynets vurdering av Hdir samt HOD sin avklaring, ikke være å anse som helsehjelp etter helsepersonellovens forstand. Datatilsynet finner støtte for denne forståelsen i brev datert 31. mars 2011 (ref. 10/793) fra Hdir. Det vises til direktoratets brev til HOD vedrørende utkast til endring av journalføringsplikten for apotektilsatte etter helsepersonelloven 39 og I brevet skriver direktoratet følgende på side 2: Definisjonen av helsehjelp er relativt vid. Helsedirektoratet har tidligere konkludert med følgende rapport av 2008 helsehjelp i apotek : Der apotek innfører tjenester som innebærer individrettet oppfølging eller behandlingstilbud, vil dette kunne være helsehjelp. Slike tjenester må være basert på kunnskap om den aktuelle pasienten. Videre må den inneholde en individuell faglig vurdering som er av kvalifisert handlingsrettet karakter. Direktoratet er av den oppfatning at veiledning, råd og informasjon om bruk av legemidler som gis i forbindelse med ekspedering, er helsehjelp i den grad veiledningen og 3 Helsedirektoratet sitt brev av 21. oktober 2011 side 2. 4 HOD sitt brev av 29. september 2011 side 1 (2. setning). 5 Utkast til forslag til endringer i forskrift av 21. desember 2000 nr om pasientjournal (utdyper journalføringsplikten for apotektilsatte etter helsepersonelloven 39 og 40). Dokumentet er tilgjengelig på sine nettsider. 5

6 informasjonen er individuelt tilpasset, av handlingsrettet karakter og basert på informasjon personen gir i fra seg. Dersom rådene som gis er av en mer generell og uforpliktende karakter, ikke tilpasset den enkelte person, men som for eksempel vil gjelde for en større gruppe mennesker, vil ikke dette være helsehjelp etter definisjonen.(vår understrekning) Hdir samt HOD har fortolkningsansvaret for Helsepersonelloven og har på bakgrunn av Datatilsynets henvendelse besvart på spørsmålet om SUSS yter helsehjelp. Denne (nye) avklaringen, fra kompetent fagorgan, må følgelig ha større rettskildemessig betydning, enn en setning hentet fra kommentarutgaven til helsepersonelloven fra Direktoratet og HOD sine avklaringer må således være retningsgivende for SUSS sitt virke. Klager anfører at tilsynet har lagt til grunn en gal lovforståelse i strid med relevant fagmyndighets vurderinger. Som det fremkommer ovenfor deler ikke tilsynet klagers syn. Datatilsynets vurderinger er helt i tråd med relevant fagmyndigheters fortolkning. Tilsynet stiller seg uforstående til at en sondring mellom helsehjelp og generelle råd og veiledning ikke er praktisk gjennomførbart, siden øvrige helsepersonell i førstelinjen foretar denne distinksjonen daglig. Det at skillet kan oppfattes som skjønnsmessig, er etter tilsynets vurdering, ikke et argument for å anse generelle råd og veiledning som helsehjelp. Klager viser til et eksempel om at allmennpraktiserende leger ikke har to journalsystemer på legekontoret (for hhv. helsehjelp og det andre for generelle råd og veiledning). Datatilsynet legger til grunn at allmennpraktiserende leger ikke journalfører de generelle råd og veiledningene de gir sine pasienter, og av den grunn ikke har behov for et slikt journalsystem. Klager anfører at tilsynet ikke er kompetente til å overprøve den faglige vurderingen som helsepersonell foretar under utøvelsen av helsepersonellfaglige handlinger. Datatilsynet deler dette syn, men kan ikke se at tilsynets vedtak overprøver helsepersonellfaglige handlinger. Datatilsynet har pålagt SUSS om å slette eller anonymisere personopplysninger, med mindre det kan påvises et gyldig behandlingsgrunnlag. Pålegget overprøver ikke helsepersonellfaglige handlinger, men håndhever helseregisterloven 5, jf. helsepersonellovens 39 og 40, i tråd med Hdir samt HOD avklaring. Etter avklaringen av hhv. Hdir og HOD, må det etter tilsynets vurdering, fremstå som klart at helsepersonelloven 39 og 40 ikke hjemler en plikt til å føre journal over råd og veiledning som er av generell og uforpliktende karakter. Klagers anførsler samt tilsynets merknader til vedtaks pkt. 2 Klager anfører at Datatilsynet har lagt til grunn galt faktum og en gal regelforståelse for vedtakets pkt. 2. SUSS har siden kontrolltidspunktet endret informasjonen på sin hjemmeside. Som nevnt ovenfor så skal kontrollrapporten gjenspeile forholdet på kontrolltidspunktet. Eventuelle endringer etter dette tidspunkt er ikke relevante for den endelige kontrollrapporten, men vil 6

7 kunne være relevant ved utforming av vedtak. Faktum basert på SUSS sin hjemmeside og som er lagt til grunn anses derfor å være korrekt. Datatilsynet har lagt til grunn at helseregisterloven kommer til anvendelse og en følge av dette er at informasjonsplikten, jf. lovens 23, kommer til anvendelse. Datatilsynet kan ikke se at klagen (pkt. 3.2) inneholder noen klare innvendinger mot dette. Klager argumenterer at siden SUSS ikke er en spesialisthelsetjeneste og ikke har en plikt til å utlevere personopplysninger, så har man heller ikke plikt til å informere sine brukere etter helseregisterloven 23. Datatilsynet vil her presisere at informasjonsplikten etter helseregisterloven 23, jf. vedtakets pkt. 2, viser til SUSS sin plikt til å informere brukeren at det samles inn opplysninger om han eller henne. På bakgrunn av hvordan hjemmesiden til SUSS var og (til dels) er utformet, er det tilsynets vurdering at 23 ikke er og ikke har blitt oppfylt. Etter tilsynets vurdering skal SUSS av eget tiltak informere om de forhold som er nevnt i helseregisterloven 23 nr. 1 til 5. Bruk av begrep som «anonym» synes ikke å kunne benyttes ettersom dette vil være misvisende overfor brukerne. Informasjonen må etter tilsynets vurdering være klar, entydig og lettfattelig, særlig med tanke på at SUSS sin målgruppe er ungdom. Ut fra den informasjon som ble gitt på hjemmesiden som grunnlag for de henvendelser SUSS mottar er det vanskelig å se at ungdom oppfatter det tilbudet som presenteres som at de går til legen, med påfølgende journalføring, med mindre dette opplyses eksplisitt. Klagers anførsler samt tilsynets merknader til vedtaks pkt. 3 SUSS anfører under dette punkt at tilsynet har lagt galt faktum og en gal regelforståelse til grunn. Anførselen forstås dit hen at SUSS mener at man ikke er en spesialisthelsetjeneste. Det er imidlertid noe uklart hvordan anførselen om gal regelforståelse gjør seg gjeldende. Etter vedtak pkt. 3 ble SUSS bedt om å avklare hvilken plikt de har til å informere den registrere om utleveringsplikten til de sentrale helseregistre. Virksomheten har etter helseregisterloven 17 plikt til å etablere og holde ved like systematiske tiltak som er nødvendige for å oppfylle kravene i helseregisterloven og regelverk gitt i medhold av denne. Bestemmelsen er utdypet i personopplysningsforskriftens kapittel 3. Helseregisterloven 17 innebærer en plikt til å gå igjennom hele loven med forskrift, og på det grunnlaget vurdere om det er behov for tiltak som sikrer etterlevelse av aktuelle bestemmelser. Det er med andre ord ingen plikt til å iverksette tiltak for alle lovens krav, jf. ordlyden nødvendig i bestemmelsens første ledd. Personopplysningsforskriften 3-1 stiller utfyllende krav. De systematiske tiltakene skal tilpasses virksomhetens art, aktiviteter og størrelse. Det er krav om at den databehandlingsansvarlige kjenner reglene for behandling av helseopplysninger og at det utarbeides de nødvendige rutiner i denne sammenheng. 7

8 I denne sammenheng er lovens og forskriftens generelle krav mest relevant virksomheten må gjennom planlagte og systematiske tiltak sikre etterlevelse av regelverkets krav. For å tilfredsstille kravet bør virksomheten, etter en alminnelig tilnærming for internkontroll, etablere styrende, gjennomførende og kontrollerende dokumenter. Datatilsynet vil her poengtere at tilsynet ikke har konkludert med at SUSS er en spesialisthelsetjeneste, slik SUSS anfører. Pålegget går klart ut på at SUSS selv skal avklare dette spørsmålet. SUSS sin plikt til å avklare om virksomheten er en spesialisthelsetjeneste, vil her følge av helseregisterloven 17. Datatilsynet tar til etterretning at SUSS har etterkommet og gjennomført vedtaks punkt 3, men kan ikke se at tilsynet har lagt galt faktum eller en gal regelforståelse til grunn. Klagers anførsler samt tilsynets merknader til vedtaks pkt. 4 SUSS har ikke klaget over vedtakets pkt. 4, og mener at man har etterkommet og gjennomført vedtaket. Etter kommentarene i klagens pkt. 3.4 kan det imidlertid settes spørsmålstegn ved gjennomføringen av dette punkt. Klager hevder at det er dokumentasjonshåndtering for den som driver helsehjelp, jf. helsepersonelloven og pasientjournalforskriften, som regulerer hvilke tiltak og vurdering SUSS må foreta. Denne forståelsen er ikke i samsvar med tilsynets vurdering, og kan således tolkes som en innsigelse mot tilsynets pålegg. Etter tilsynets vurdering vil helseregisterloven 17 samt personopplysningsforskriftens 3-1 være de sentrale bestemmelsene som regulerer hvilke tiltak og vurdering SUSS må foreta for å oppfylle reglene om internkontroll. Tilsynet har ovenfor konkludert med at helseregisterloven kommer til anvendelse for SUSS sin virksomhet. Når et forhold ikke er regulert i helseregisterloven, vil personopplysningsloven med forskrift utfylle helseregisterloven. Det vises i den forbindelse til helseregisterloven 36, der det heter «I den utstrekning ikke annet følger av denne lov, gjelder personopplysningsloven med forskrifter som utfyllende bestemmelser.» Med bakgrunn i kommentarene i klagen (pkt. 3.4) er det uklart for tilsynet om vedtakets pkt. 4 kan anses etterkommet. Datatilsynet ber derfor nemnda ta stilling til klagers påstander knyttet til vedtak pkt. 4. 8

9 Avslutningsvis For ordens skyld anmodes det om at eventuelle kommentarer til Personvernnemnda sendes i kopi til Datatilsynet. Med vennlig hilsen Bjørn Erik Thon direktør Henok Tesfazghi rådgiver Kopi: Kopi: Kopi: Advokatfirma Ræder DA v/adv. Vebjørn Søndersrød, Postboks 2994 Solli, 0230 Oslo Helsedirektoratet, avd. bioteknologi og helserett, Postboks 7000 St. Olavs plass, 0130 Oslo Helsetilsynet, Postboks 8128 Dep, 0032 Oslo Vedlegg: Relevante dokumenter i saken og Helsedirektoratet sitt utkast til forslag til endringer i forskrift av 21. desember 2000 nr om pasientjournal (utdyper journalføringsplikten for apotektilsatte etter helsepersonelloven 39 og 40.) av 31. mars