4.1 Innledning

Saken reiser spørsmål om Helfo hadde rettslig grunnlag for å innhente personopplysninger om A fra Helseklage, jf. personvernforordningen artikkel 6 nr. 1. I tillegg reiser saken spørsmål om Helfo har behandlet As personopplysninger i samsvar med kravene til personopplysningssikkerhet, jf. forordningen artikkel 5 nr. 1 bokstav f og artikkel 32.

Nemnda bemerker innledningsvis at A ikke har klagerett over behandling av personopplysninger om tredjepersoner, herunder sine pasienter, jf. artikkel 77 nr. 1, som gir den registrerte rett til å klage på behandling av personopplysninger som gjelder «vedkommende». Anførselen knyttet til pasientenes personvern vil derfor ikke bli behandlet av nemnda. Nemnda tar kun stilling til de forhold som gjelder As egne personopplysninger.

Nemnda bemerker videre at As opprinnelige henvendelse til Datatilsynet var rettet både mot Helfo og mot Helseklage. I Datatilsynets videre behandling av saken ser det ut til at det er forholdet til Helfo som i særlig grad er behandlet. Nemnda har forståelse for det, siden spørsmålet om Helfo hadde adgang til å innhente opplysninger og spørsmålet Helseklage hadde adgang til å utlevere dem, er to sider av samme sak. Den tilskjæringen av saken som Datatilsynet har foretatt, er i tråd med artikkel 57 nr. 1 bokstav f, og utgjør derfor ikke noe innhugg i As rettigheter etter forordningen. En annen sak er at denne tilskjæringen burde vært kommentert.

4.2 Foreligger det rettslig grunnlag for innhenting av opplysninger fra Helseklage?

For å innhente personopplysninger må Helfo ha rettslig grunnlag i artikkel 6, samt unntak i artikkel 9 nr. 2 dersom behandlingen også omfatter særlige kategorier av personopplysninger, for eksempel helseopplysninger. I tillegg må behandlingen skje på en lovlig, rettferdig og åpen måte, jf. artikkel 5, slik at den registrertes rettigheter fastsatt i forordningen kapittel III ivaretas.

Nemnda legger til grunn at et aktuelt rettslig grunnlag i denne saken er artikkel 6 nr. 1 bokstav e («nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt»). I den utstrekning det er tale om behandling av særlige kategorier av personopplysninger i artikkel 9, antar nemnda et aktuelt unntak kan være artikkel 9 nr. 2 bokstav b («oppfylle sine forpliktelser [...] på området [...] trygderett og sosialrett»).

Vilkåret i artikkel 6 nr. 1 bokstav e må ses i sammenheng med artikkel 6 nr. 3, som krever at det må foreligge et supplerende rettsgrunnlag i nasjonal rett (f.eks. lov eller forskrift) som gjør den aktuelle behandlingen «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt». I forarbeidene er kravene til det supplerende rettsgrunnlaget nærmere beskrevet, jf. Prop. 56 LS (2017–2018) punkt 6.3.2 side 33.

Helfo er en statlig etat underlagt Helsedirektoratet, som forvalter refusjonsordninger for helsetjenester og har kompetanse til å treffe vedtak om ytelser etter folketrygdloven kapittel 5, jf. § 21-11 a andre ledd.

Helfo har i medhold av folketrygdloven § 21-4 første ledd første punktum «rett til å innhente de opplysninger som er nødvendige for å kontrollere om vilkårene for en ytelse er oppfylt, vil kunne være oppfylt eller har vært oppfylt i tilbakelagte perioder». Bestemmelsens første ledd første punktum lyder:

«Arbeids- og velferdsetaten, Helsedirektoratet eller det organ Helsedirektoratet bestemmer, og Nasjonalt klageorgan for helsetjenesten har rett til å innhente de opplysninger som er nødvendige for å kontrollere om vilkårene for en ytelse er oppfylt, vil kunne være oppfylt eller har vært oppfylt i tilbakelagte perioder, eller for å kontrollere utbetalinger etter en direkte oppgjørsordning.»

Bakgrunnen for Helfos innhenting av opplysninger fra Helseklage i mai 2021 var at A hadde bedt om utsatt iverksettelse av Helfos vedtak om tap av retten til å praktisere for trygdens regning, som han hadde påklaget. For å ta stilling til begjæringen om utsatt iverksettelse måtte Helfo vurdere om det var grunn til å tro at klageinstansen ville komme til et annet resultat enn førsteinstansen. En slik vurdering forutsatte at Helfo hadde tilgang til sakens dokumenter. Det var derfor nødvendig å innhente de dokumentene som A hadde sendt direkte til klageinstansen.

A har anført at opplysningene ble innhentet uten hans samtykke. Nemnda bemerker at samtykke ikke er nødvendig når behandlingen har annet gyldig rettslig grunnlag etter artikkel 6 nr. 1. Nemnda legger til grunn at innhentingen av opplysninger fra Helseklage var nødvendig for at Helfo kunne utføre sine lovpålagte oppgaver. Behandlingen hadde rettslig grunnlag i forordningen artikkel 6 nr. 1 bokstav e, med supplerende rettsgrunnlag i folketrygdloven § 21-4, jf. artikkel 6 nr. 3.

Når det gjelder forbudet mot å behandle særlige kategorier av personopplysninger, legger nemnda til grunn at behandlingen omfattes av unntaket i artikkel 9 nr. 2 bokstav b («oppfylle sine forpliktelser [...] på området [...] trygderett og sosialrett»). Det var nødvendig å innhente opplysningene for å kunne ta stilling til begjæringen om utsatt iverksetting.

4.3 Feilsendt og bortkommet forsendelse

Nemnda kan ikke se at det er sannsynliggjort at Helfo har feilsendt dokumenter til en annen tannklikk, slik A anfører. Den fremlagte dokumentasjonen i saken tilsier at det var A selv som sendte den aktuelle forsendelsen til tannklinikken. Nemnda viser i den forbindelse til at klinikken sendte forsendelsen tilbake til A med spørsmålet «RETUR! Hvorfor i all verden sender du dette til oss???». A har på sin side ikke fremlagt noen opplysninger som underbygger at forsendelsen kom fra Helfo.

Når det gjelder forsendelsen av minnepinnen med kryptert innhold til As advokat, legger nemnda til grunn at minnepinnen ble returnert til Helfo av Posten, og at den deretter ble sendt på nytt og mottatt av advokaten 8. januar 2021. Nemnda er enig med Datatilsynet i at opplysningene – på tross av feilsendingen – ikke har vært tilgjengelige for uvedkommende, og at det derfor ikke foreligger brudd på artikkel 5 nr. 1 bokstav f.

Klagen tas ikke til følge.

Vedtaket er enstemmig.