Høring - Forskrift om Brukerplan

Legeforeningen ser at Brukerplan kan være et nyttig register for å kartlegge og synliggjøre omfanget av personer med rusmiddelproblemer eller psykiske helseproblemer som mottar kommunale tjenester, og deres levekår.

Legeforeningen er likevel kritiske til den foreslåtte forskriftsfestingen, som i betydelig grad utvider hjemmelen for innhenting av dels sensitive personopplysninger. De innspill vil har mottatt tyder på at ivaretakelsen av personvernet allerede i dagens ordning er omdiskutert. En utvidelse av formålet kan gjøre det mulig å koble data fra Brukerplan med andre registre og gi mer kunnskap bl. a. om kommunenes arbeid. Samtidig er formålet i den foreslåtte forskriften svært vidt, noe som gjør at det ikke er mulig å foreta en realistisk vurdering av hvilke personopplysninger det er nødvendig å samle inn for å oppfylle formålet. Dette utfordrer hensynene til formålsbegrensning og dataminimering, som er sentrale i personvernregelverket.

Legeforeningen kan på denne bakgrunn ikke støtte forskriftforslaget slik det foreligger. Legeforeningens støtte forutsetter at forskriften blir betryggende rammet inn gjennom tydelig formålsangivelse og grenser for hva slags informasjon som kan lagres, og av at det blir gitt klare føringer for å sikre at registrerte gis nødvendig informasjon for å ivareta sine interesser.

Formålsbegrensning

Helseopplysninger skal behandles i samsvar med prinsippene for behandling i personvernforordningen artikkel 5, jf. helseregisterloven § 6.

Prinsippene for behandling utgjør klare rammer for behandling av personopplysninger. Dette gjelder også for behandling av helseopplysninger i helseregistre, jf. forordningens saklige virkeområde samt helseregisterloven § 5.

Personopplysninger skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene, jf. personvernforordningen artikkel 5 nr. 1 bokstav b.

At personopplysninger skal samles inn for spesifikke formål, innebærer at det må være konkret angitt. Det følger av juridisk teori at det er en avhengighet mellom formålsangivelsen og kravet om at opplysningene som behandles må være nødvendige. Nødvendighetsvurderingen tar utgangspunkt i formålet med behandlingen. Formålet må være så konkret angitt at det er mulig å vurdere om de registrerte opplysningene er nødvendige, og om behandlingen skjer i samsvar med forordningens bestemmelser.[1]

At personopplysningene skal være adekvate, relevante og begrenset til det som er nødvendig for formålene som de behandles for, følger av personvernforordningens artikkel 5 nr. 1 bokstav c, og er således også et overordnet prinsipp som gjelder behandlinger av personopplysninger. Dette omtales som dataminimering.

Det er forskriftens foreslåtte § 2 som angir det personvernrettslige formålet med behandlingen. Her følger det at:

Registeret skal gi sentrale og kommunale myndigheter grunnlag for planlegging, styring, finansiering, evaluering og kvalitetsforbedring av kommunale tjenester knyttet til rusmiddelproblemer og psykiske helseproblemer. Opplysninger som er samlet inn etter første punktum skal også kunne brukes til forskning, helseanalyser og beredskap.

Registeret skal altså bistå til løsning av en hel del oppgaver hos sentrale og kommunale myndigheter.
Dette formålet må forstås som svært vidt. Det er ikke mulig å si noe om hvor mange, eller hvilke, personopplysninger som noen gang vil være tilstrekkelig for å oppnå et slikt formål.

Det er ikke på bakgrunn av det angitte formålet mulig å si noe om hvorvidt de personopplysningene som registrertes er nødvendige, slik man forstår kravet til et spesifikt formål etter personvernforordningen artikkel 5 nr. 1 bokstav b. Dette gjør at det ikke tas hensyn til dataminimering.

Kort sagt er det dermed slik at det foreslåtte formålet er for vidt angitt til at det er mulig å si noe om hvilke personopplysninger som er nødvendige for formålet.

Hva som kan samles inn

De opplysninger som foreslås at samlet inn følger av forskriftens foreslåtte § 4. Her følger det at:

I Brukerplan kan det registreres helseopplysninger og andre personopplysninger om personer som er fylt 16 år.

Når det er nødvendig etter registerets formål i § 2 første punktum, kan følgende opplysninger registreres:

1. bakgrunnsopplysninger om personen og dennes nærstående: fødselsår, kjønn, fødeland, arbeidserfaring mv.
2. opplysninger om personens situasjon og behov: bruk av rusmidler, bosituasjon, omsorg for barn, graviditet, helse, aktivitet, sosial fungering, selvmordsforsøk, økonomi, kilde til livsopphold mv.
3. hvilke tjenester personen mottar
4. hvem i kommunen som har gjort kartleggingen.

Som man kan lese av forskriften, er det ikke tale om en uttømmende beskrivelse av hvilke opplysninger som kan samles inn, jf. ordlyden "mv.". Om dette skriver departementet under punkt 4.9 at:

"Det er imidlertid hensiktsmessig at listen angis relativt generelt og ikke detaljert og uttømmende. Forskriften vil da være fleksibel nok til å kunne gjøre justeringer i forbindelse med revisjon av kartleggingsverktøyet (se punkt 4.18). Hvilke opplysningstyper som kan og skal registreres må uansett vurderes i lys av formålet med registeret, som vil sette en ytre ramme for dette. Kun opplysninger som er nødvendige ut fra formålet med registeret skal kunne registreres."

Legeforeningen forstår det ikke slik at formålet som er angitt i den foreslåtte forskriftens § 2 i realiteten vil sette en ytre ramme for hvilke opplysningstyper som kan og skal registreres. Formålet er ikke så konkret at det er mulig å si hva som er nødvendig og ikke for formålet.

Kilder til registeret

Det følger av forskriftens foreslåtte § 5 at:

Kommunen kan samle inn og sammenstille opplysninger som nevnt i § 4 fra kommunale helse- og omsorgstjenester, fra kommunen i arbeids- og velferdsforvaltningen og fra barnevernstjenesten. Tjenestene kan gi ut opplysningene uten hinder av taushetsplikten.

Opplysningene i det tidligere registeret har kun blitt hentet fra kommunale helse- og omsorgstjenester, med rettslig grunnlag i konsesjon fra Datatilsynet.

Da konsesjonsordningen ble avviklet i 2018 i sammenheng med gjennomføringen av EUs personvernforordning i norsk rett, ble registeret videreført med grunnlag i vedtak om dispensasjon fra taushetsplikten etter helsepersonelloven § 29b (nå § 29) og forordningen artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstavene g og i, jf. Helsedirektoratets vedtak 11. august 2020. Dette grunnlaget gir imidlertid ikke hjemmel til behandling av opplysninger fra kommunen i arbeids- og velferdsforvaltningen, barnevern og andre tjenester som faller utenfor helsepersonellovens virkeområde. Siden 2020 er det derfor ikke hentet inn opplysninger fra NAV og barnevernet.

Til dette kommer at departementet mener at "et viktig formål med forskriften er å få på plass en hjemmel til å inkludere opplysninger fra barnevernstjenesten og fra kommunens arbeids- og velferdsforvaltning, og i Brukerplan", jf. høringsnotatets punkt 4.1 – Behovet for forskrift.

Et mål med forskriftsfestingen er altså å finne hjemmel til opplysninger fra disse kildene.

Den delen av forskriften som gjelder opplysninger fra andre tjenester enn helse- og omsorgstjenesten hjemles i helseregisterloven § 3 femte ledd, jf. høringsnotatets punkt 4.3.2.

Av bestemmelsen følger det at:

Kongen i statsråd kan i forskrift bestemme at loven helt eller delvis skal gjelde for behandling av helseopplysninger utenfor helse- og omsorgsforvaltningen eller helse- og omsorgstjenesten.

Departementet skriver at forskriften må hjemles her siden formålet og virkeområdet til forskriften blir videre enn helseregisterlovens formål og virkeområde. Forskriftens formål og virkeområde vil også gjelde barnevernstjenesten og NAV.

En forutsetning for innsamling av opplysninger fra barnevernstjenesten og NAV, er dermed at forskriften kan hjemles i helseregisterloven § 3 femte ledd. En ytterligere forutsetning for bruk av bestemmelsen er at det dreier seg om "behandling av helseopplysninger".

Spørsmålet Legeforeningen stiller seg er om behandling av opplysninger fra barnevernstjenesten og NAV vil være en behandling av helseopplysninger, som gjør at opplysningene dermed kan tas inn i helseregisteret Brukerplan.

Om dette skriver departementet i punkt 4.3.1:

"En stor andel av dataene i Brukerplan er helseopplysninger fra kommunale helse- og omsorgstjenester. Brukerplan inneholder imidlertid også opplysninger for eksempel fra barnevernstjenesten som i utgangspunktet ikke er helseopplysninger. Men når slike opplysninger knyttes til opplysninger om den registrertes helse, skal opplysningene regnes som helseopplysninger. Opplysningene som kommunen samler inn fra ulike tjenester og registrerer i kartleggingsverktøyet, er dermed helseopplysninger når de overføres til og registreres i Brukerplan."

Legeforeningen ber om en grundigere redegjørelse for denne vurderingen, som vi mener er tvilsom.
Det settes spørsmålstegn ved at alle opplysninger som sammenstilles med helseopplysninger, vil regnes som helseopplysninger, som gjør at de kan inntas i et helseregister etter helseregisterloven. Dette vil åpne for registre med en betydelig mengde ulikeartet informasjon, slik som her, hvilket kan utfordre hensynet til personvernet.

Uansett vil hensynet til de registrertes personvern tale for at slike opplysninger ikke inntas. Dette vil igjen knytte seg til de perspektiver om formålsbegrensning og dataminimering som redegjort for tidligere, samt den konkrete avveiningen av ulemper som følger av helseregisterloven.

Personvernhensyn

Helt overordnet skal helseregisterloven sikre at behandlingen ivaretar den enkeltes personvern, jf. lovens § 1.

Videre er det slik at for å kunne fastsette forskrift må den helsefaglige eller samfunnsmessige nytten av registeret klart overstige personvernulempene, jf. helseregisterloven § 8.

Det må gjøres en konkret vurdering av registerets nytte, målt opp mot personvernulempene for de registrerte. Et helseregisters nytte måles for eksempel i form av den nytten pasientgrupper eller felleskapet kan få gjennom forbedret kunnskapsgrunnlag for bedre forebygging og behandling av sykdommer. Personvernulemper vil være på et individnivå, og vil avhenge av hvilke opplysninger som blir behandlet i registeret, den registrertes muligheter til å motsette seg behandling av opplysningene og graden av personidentifikasjon.[2]

Departementets vurdering er at nytten av Brukerplan er klart større enn inngrepet i personvernet som registeret innebærer for de registrerte. Redegjørelsen for dette følger av høringsnotatets punkt 4.2.

Opplysningene skal pseudonymiseres før de overføres fra kommunene til Brukerplan. Opplysningene vil være personentydige ved at de er koblet til et løpenummer eller et annet pseudonym.

Basert på den mengden informasjon som skal registreres i registret, setter Legeforeningen spørsmålstegn ved hvorvidt det faktisk er slik at informasjonen vil være pseudonym. Det vide formålet åpner som tidligere nevnt for at det samles inn store mengder personopplysninger, hvilket gjør at det fremstår som mulig å identifisere registrerte. Desto større mengde data, desto vanskeligere vil det være å holde opplysningene pseudonyme – og det vil da ikke hjelpe at de er forsøkt pseudonymisert ved hjelp av en koblingsnøkkel som slettes av kommunen ved overføring til Brukerplan.

Det er etter Legeforeningens syn ikke tilstrekkelig at alle opplysninger som overføres til Brukerplan vil være underlagt taushetsplikt.

Av forskriftens foreslåtte § 8 tredje ledd følger det at opplysninger som skal brukes i henhold til formålet i § 2 første punktum, kan tilgjengeliggjøres uten hinder av taushetsplikten.

I praksis kan det dermed fremstå som at store mengder informasjon kan deles nokså fritt, gitt at dette skjer i samsvar med et svært vidt angitt formål. Dette fremstår ikke som personvernvennlig overfor den registrerte.

Retten til å motsette seg behandlingen er inntatt i forskriftens § 10. Det fremstår som en svakhet at forskriften åpner for behandling av personopplysninger også om nærstående, og at disse ikke gis en rett til å motsette seg behandlingen. At det overhodet åpnes for en behandling av deres data, uten noen praktisk mulighet til å overholde dennes personvernrettigheter etter personvernforordningen kapittel III, er uheldig.

Til sist er det slik at de opplysningene som behandles i registeret er mange og sensitive, og knytter seg til en særlig utsatt gruppe – personer mer rusproblemer eller psykiske helseproblemer. Dette er et moment som klart må inn i vurderingen av personvernulempene ved forskriften.

Samlet sett mener Legeforeningen at nytten av Brukerplan slik det er foreslått i forskriften, ikke er klart større enn inngrepet i personvernet som utvidelsen av registeret innebærer for de registrerte.

Avslutning

Samlet sett er det slik at forskriften åpner for en svært vid adgang til innsamling av sensitive personopplysninger om en særlig utsatt gruppe – personer med rusproblemer eller psykiske helseproblemer.

Etter Legeforeningens syn må forskriften endres, slik at hensynet til personvern vektes tyngre.

Med hilsen
Den norske legeforening
Jus- og arbeidsliv

Siri Skumlien
generalsekretær

Lars Duvaland
direktør

Saksbehandler: Mathias Gravdehaug, rådgiver/advokatfullmektig

[1] Åste Marie Bergseng Skullerud mfl., Personvernforordningen. Lovkommentar, Artikkel 5. Prinsipper for behandling av personopplysninger, Juridika (kopiert 03. februar 2023) https://juridika.no/no/lov/2016-04-27-679/%C2%A75/kommentar/
[2] Aadel Heilemann, lovkommentar i Karnov, tredje punkt.