Personvernnemndas vedtak 8. november 2022 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth, Heidi Talsethagen)
Saken gjelder klage fra A på Datatilsynets avgjørelse 2. mai 2022 om ikke å foreta undersøkelser i saken fordi den ligger utenfor Datatilsynets kompetanse eller ansvarsområde, jf. personvernforordningen artikkel 57 nr. 1 bokstav a.
Sakens bakgrunn
A kontaktet Datatilsynet 18. desember 2020 fordi hun mente det var gjort urettmessige oppslag i sønnens barnevernjournal hos barneverntjenesten i X.
Datatilsynet fant ikke grunnlag for å gjøre undersøkelser i saken. Tilsynet anbefalte A å rette spørsmål om kommunens tilgangskontroll og rutiner for utlevering av personopplysninger til kommunens personvernombud og avsluttet saken 29. april 2021.
A fikk innsyn i barneverntjenestens tilgangslogger for sønnens journal og klaget også til Statsforvalteren i Y på det hun oppfattet som urettmessige oppslag i journalen.
Statsforvalteren åpnet tilsynssak og konkluderte 8. april 2021 slik:
«Barneverntjenesten i [X] har ikke handlet i strid med barnevernloven § 6-7, jf. forvaltningsloven § 13.
Barneverntjenesten i [X] har ikke handlet i strid med barnevernloven § 1-7.»
A anmodet Datatilsynet om å vurdere barneverntjenestens håndtering av taushetsbelagte personopplysninger på nytt i e-post 7. desember 2021.
I e-post til A 23. februar 2022 opprettholdt Datatilsynet sin vurdering om at tilsynet ikke hadde kompetanse til å vurdere hvem i barneverntjenesten som hadde rettmessig tilgang til sønnens barnevernjournal og hvem som ikke hadde det.
Datatilsynet gjentok sin vurdering i vedtak 2. mai 2022 og avsluttet saken. A klaget på Datatilsynets avslutning av saken samme dag.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sin avgjørelse og oversendte saken til Personvernnemnda 16. mai 2022. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med eventuelle kommentarer. A har inngitt sine merknader i brev 30. mai 2022. Barneverntjenesten i X har ikke har inngitt kommentarer.
Saken ble behandlet i nemndas møte 8. november 2022. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth og Heidi Talsethagen. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i hovedtrekk
Tilsynet har ikke kompetanse til å vurdere om ansatte hos barneverntjenesten har handlet i strid med reglene i barnevernloven § 6-5, som angir statsforvalteren som klageorgan. Datatilsynet er heller ikke overprøvingsorgan for statsforvalterens vedtak.
Datatilsynet avslutter derfor saken som følge av manglende kompetanse, jf. personvernforordningen artikkel 57 nr. 1 bokstav a.
Datatilsynet mener uansett at det ikke er hensiktsmessig å foreta nærmere undersøkelser av klagens rettslige og materielle sider, jf. personvernforordningen artikkel 57 nr. 1 bokstav f. Datatilsynet har ikke den nødvendige barnevernfaglige kompetansen til å vurdere hvilke ansatte hos barneverntjenesten som har hatt tjenstlig behov for å gjøre oppslag i journalen. Datatilsynet har derfor i praksis ingen mulighet til å overprøve barneverntjenestens egen vurdering av oppslagenes rettmessighet. Saken har også allerede vært til behandling hos statsforvalteren, og Datatilsynet kan ikke se at tilsynet ville ha kommet til et annet resultat.
As syn på saken i korte trekk
Å få innsyn i tilgangsloggen hos barneverntjenesten var en møysommelig prosess hvor hun ble nødt til å benytte advokat, og hvor kommunen brukte argumenter både om at det var til barnets beste at hun ikke fikk dette innsynet, og senere at det var av hensyn til deres ansatte.
Selv med to medhold hos statsforvalteren ville ikke kommunen utlevere henne tilgangsloggen. Dette underbygger at de ville prøve å holde skjult antall avvik; 9 A4 sider/ over 300 oppslag, hvor også nære venner av familien hadde vært inne og lest både mens saken pågikk, etter den var avsluttet, og etter de mottok klage fra A. I kommunens forklaring på antall innlogginger av personer som ikke jobbet med saken har de kun gitt en liste med navn og hvilken stilling de har. Det er ikke begrunnet hvorfor de har vært inne i saken. Hvorfor har nesten hele tjenesten vært inne i saken, hvorfor har de vært inne i henlagte saker, hvorfor har nære venner av familien vært inne i sakene? Og hvorfor lyver tjenesten både muntlig og skriftlig og påstår at mappene er lukket når de ikke er det?
Dette er brudd på personopplysningsloven og hun hadde forventet at Datatilsynet ville reagere på dette overfor kommunen. Kommunen har også skrevet i svar på klage at saken er behandlet i tråd med deres rutiner, det vil si at alle saker i X kommune behandles som denne. Slik det er nå kan hvilken som helst ansatt i kommunen gjemme seg bak taushetsplikten og logge seg inn i saker uten tjenstlig behov uten at det får konsekvenser. Personvernet til barn som av forskjellige årsaker har mapper hos kommunen er helt fraværende.
Hun undrer seg over at Datatilsynet ikke reagerer på at kommunen bruker saker med sensitiv- og taushetsbelagt informasjon til opplæring, uten å anonymisere. I denne saken blir personvernet til 10 personer krenket ved at det gjøres oppslag uten tjenstlig behov.
Personvernnemndas vurdering
Personvernnemnda har vurdert Datatilsynets avslutning av saken på grunn av manglende kompetanse som et vedtak om avvisning. Vedtak om avvisning gir klagerett, jf. forvaltningsloven § 28, jf. § 2 tredje ledd.
All behandling av personopplysninger hos barneverntjenesten må, for å være lovlig, ha behandlingsgrunnlag i ett av alternativene i personvernforordningen artikkel 6. Dersom opplysningene også omfatter opplysninger som angitt i artikkel 9 nr. 1 må det også foreligge behandlingsgrunnlag i ett av alternativene i artikkel 9 nr. 2. Det er den behandlingsansvarlige, i dette tilfellet den aktuelle kommunen eller barneverntjenesten, som må ha behandlingsgrunnlag etter personvernforordningen. Forordningen sier ikke noe om hvilke ansatte hos den behandlingsansvarlige som har tilgang til opplysningene.
Nemnda legger til grunn at barneverntjenesten kan behandle opplysninger om barn og foreldre med hjemmel i personvernforordningen artikkel 6 nr. 1 bokstav e (utøve offentlig myndighet), samt artikkel 9 nr. 2 bokstav b (oppfylle sine forpliktelser på området sosialrett), i den grad dette er tillatt i henhold til nasjonal rett.
Barnevernets oppgaver og plikter reguleres i nasjonal rett av flere lover. De mest sentrale bestemmelsene er gitt i barnevernloven og forvaltningsloven. Barnevernet er gitt en eksplisitt hjemmel til å behandle personopplysninger i barnevernloven § 6-7 c. Bestemmelsen er ny, men nemnda legger til grunn at bestemmelsen er en videreføring av det som var gjeldende rett på tidspunktet for statsforvalterens behandling av denne saken. De ulike bestemmelsene om taushetsplikt, opplysningsrett og opplysningsplikt som følger av barnevernloven og forvaltningsloven regulerer også i noen grad den enkelte ansattes plikter internt i barneverntjenesten.
I utgangspunktet er de ansatte i barneverntjenesten underlagt taushetsplikt om alle personlige forhold etter barnevernloven § 6-7, jf. forvaltningsloven § 13. Det følger imidlertid av forvaltningsloven § 13 b nr. 3 at taushetsplikten ikke er til hinder for at opplysningene «er tilgjengelig for andre tjenestemenn innen organet eller etaten i den utstrekning som trengs for hensiktsmessig arbeids- og arkivordning, bl.a. til bruk ved vegledning i andre saker.»
Det er statsforvalteren som i henhold til barnevernloven § 2-3 første ledd bokstav a skal føre tilsyn med at loven og forskriftene blir anvendt riktig og på en måte som fremmer lovens formål. Statsforvalteren har, etter henvendelse fra klager, åpnet tilsynssak og hatt en gjennomgang av tilgangsloggen for barnevernjournalen. Statsforvalteren konkluderte blant annet med at barneverntjenesten ikke har handlet i strid med barnevernloven § 6-7, jf. forvaltningsloven § 13.
Nemnda er enig med Datatilsynet i at tilsynet ikke er rett tilsynsmyndighet når det gjelder hvem hos barneverntjenesten som har lovlig tilgang til sønnens barnevernjournal. Statsforvalteren har vurdert klagers henvendelse og har konkludert med at de ulike ansattes innlogginger i sønnens journal har skjedd i tråd med reglene, jf. barnevernloven § 6-7, jf. forvaltningsloven § 13. Datatilsynet har ikke kompetanse til å overprøve denne avgjørelsen. Det var derfor riktig av Datatilsynet å avvise saken uten å treffe noen tiltak eller gjøre nærmere undersøkelser.
A får etter dette ikke medhold i sin klage.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak om å avvise saken opprettholdes.
Oslo, 8. november 2022
Mari Bø Haugstad
Leder