NAVs innsynsrett i pasientjournaler uten samtykke – og plikter når de vil se hele eller deler av den

Posted by bjoernar on 03.07.201623.09.2016

NAVs innsynsrett i pasientjournaler uten samtykke - og plikter når de vil se hele eller deler av den

(Denne artikkelen ble opprinnelig postet den 12.11.2009 på Helsebloggen på de gamle nettsidene www.jussboka.no. Siden den gang har det skjedd vesentlige endringer i relevant lovgivning. Denne oppdaterte og utvidede artikkelen er uttrykk for den rettslige reguleringen av temaet pr 3.7.2016.)

1. Oversikt
2. NAVs hjemmel for innsyn i pasientjournaler
3. NAVs informasjonsplikt etter personopplysningsloven
4. NAVs praksis med å ikke gi pasientene informasjon måtte endres
5. Datatilsynets vedtak 2.10.2009
6. NAVs klage til Personvernnemnda
7. Noen ord om NAVs svært omfattende hjemmel

1. Oversikt

NAV har på nærmere vilkår rett til å kreve å få innsyn i hele eller deler av pasientjournaler til personer som mottar eller har mottatt støtte fra dem, uten å måtte be om samtykke fra pasienten selv – såkalt etterkontroll. NAV hadde tidligere (frem til 2010) innhentet journaler med pasientopplysninger uten å informere pasientene om dette. Datatilsynet kom i vedtak 2.10.2009 til at NAV måtte slutte med denne praksisen om ikke å informere pasientene. I vedtaket påla Datatilsynet NAV å gi alle pasienter informasjon om blant annet hva som innhentes, og hvilket formål innhentingen har, når opplysninger samles inn fra pasientjournaler i forbindelse med etterkontroll etter folketrygdloven § 21-4. NAV var ikke enig i vedtaket og påklaget det til Personvernnemnda, men i vedtak 24.3.2010 ga Personvernnemnda fullt medhold til Datatilsynet.

2. NAVs hjemmel for innsyn i pasientjournaler

For å kreve innsyn i personers pasientjournaler har NAV påberopt seg bestemmelser i folketrygdloven kapittel 21, blant annet § 21-4 som lyder (min utheving av det relevante her):

§ 21-4. Innhenting av opplysninger og uttalelser

Arbeids- og velferdsetaten, Helsedirektoratet eller det organ Helsedirektoratet bestemmer har rett til å innhente de opplysninger som er nødvendige for å kontrollere om vilkårene for en ytelse er oppfylt, vil kunne være oppfylt eller har vært oppfylt i tilbakelagte perioder, eller for å kontrollere utbetalinger etter en direkte oppgjørsordning. Opplysninger kan innhentes fra helsepersonell, andre som yter tjenester forutsatt at de gjør det for trygdens regning, arbeidsgiver, tidligere arbeidsgiver, tilbyder av posttjenester, utdanningsinstitusjon, barnetilsynsordning, offentlig virksomhet, pensjonsinnretning, forsikringsselskap og annen finansinstitusjon og regnskapsfører. Adgangen til å innhente opplysninger etter første og andre punktum omfatter også opplysninger om andre enn stønadstakeren. Arbeids- og velferdsetaten har også rett til å innhente opplysninger fra arbeidsgiver og tidligere arbeidsgiver i forbindelse med utredning og produksjon av statistikk på de områdene etaten administrerer. Den som blir pålagt å gi opplysninger, plikter å gjøre dette uten godtgjørelse.

Helsepersonell plikter etter krav fra Arbeids- og velferdsetaten, Helsedirektoratet eller det organ Helsedirektoratet bestemmer å undersøke eller intervjue en pasient og gi de erklæringer og uttalelser som er nødvendige for å kunne vurdere rettigheter og plikter etter loven her. Det samme gjelder andre som yter tjenester, forutsatt at de gjør det for trygdens regning, og andre særskilt sakkyndige. I en legeerklæring om sykefravær plikter legen å oppgi om en sykdom eller skade kan ha sammenheng med arbeidssituasjonen. Arbeids- og velferdsdirektoratet fastsetter godtgjørelsen for uttalelser og erklæringer som nevnt etter drøfting med berørte organisasjoner. Det kan ikke kreves betaling fra pasienten i forbindelse med innhenting av erklæringer og uttalelser. Departementet kan gi forskrift om at erklæringer og uttalelser skal sendes elektronisk til Arbeids- og velferdsetaten.

Ved innhenting av opplysninger mv. etter første og andre ledd gjelder reglene i § 21-4 c.

Helsepersonell eller andre som avgir uttalelser eller erklæringer mv. av betydning for retten til ytelser, skal ved kontakt med stønadstakeren med sikte på slike uttalelser eller erklæringer, kreve at han eller hun legitimerer seg ved å framvise gyldig legitimasjon. Det skal gå fram av erklæringen eller uttalelsen at vedkommende har legitimert seg på gyldig måte. Det er likevel ikke nødvendig å kreve legitimasjon dersom stønadstakeren er kjent for den som skal avgi erklæring eller uttalelse.

Arbeids- og velferdsetaten kan pålegge helseinstitusjoner, fengsler og boformer for heldøgns omsorg og pleie å gi rutinemessige meldinger om innskriving og utskriving av klienter. Skoler kan pålegges å gi rutinemessige meldinger når elever har fravær som kan skyldes utenlandsopphold. Videre kan departementet ved forskrift pålegge utlendingsmyndighetene å gi rutinemessige meldinger om vedtak av avgjørende betydning for rettigheter eller medlemskapet i folketrygden.

De som blir pålagt å gi opplysninger, erklæringer og uttalelser, plikter å gjøre dette uten hinder av taushetsplikt.

Arbeids- og velferdsetaten, Helsedirektoratet eller det organ Helsedirektoratet bestemmer har videre rett til å innhente nødvendige opplysninger ved bevissikring etter reglene i tvisteloven § 28-3 tredje ledd og § 28-4 eller ved politiet. Krav om bevissikring fremmes for den tingrett hvor de som skal avhøres, bor eller oppholder seg eller realbevis skal undersøkes.

Det fremgår av denne bestemmelsen at ved begjæring om innsyn i pasientjournaler skal fremgangsmåten i § 21-4 c følges, som lyder (min kursivering):

§ 21-4 c. Nærmere om innhenting av opplysninger

Adgangen til innhenting av opplysninger etter § 21-4 første ledd i saker om stønad etter loven her og ved rutinemessig kontroll av behandlere omfatter ikke innhenting av fullstendig pasientjournal. Det kan imidlertid kreves spesifiserte eller redigerte utdrag av journalen når dette anses nødvendig.

Dersom forhold ved en behandlers praksis gir grunnlag for å anta at det har skjedd urettmessige utbetalinger fra trygden, eventuelt ved et samarbeid mellom behandler og stønadsmottaker, kan det kreves fullstendig og uredigert pasientjournal. Krav om dette skal framsettes av Arbeids- og velferdsdirektoratet eller Helsedirektoratet eller av særskilt utpekte enheter.

Det innhentende organ skal oppgi formålet med opplysninger og erklæringer mv. som innhentes etter § 21-4 eller § 21-4 a første ledd. Det skal videre opplyses om hjemmelen for innhentingen og om klageadgangen, se forvaltningsloven § 14. Dersom det i saker som nevnt i andre ledd i paragrafen her er fare for at kontrollhensyn motvirkes, kan formålet oppgis etter at opplysningene er utlevert.

Personopplysningslovens regler om informasjonsplikt og om behandling av opplysninger, herunder tilgang, oppbevaring, viderebefordring og sletting, gjelder for opplysninger innhentet etter reglene i loven her, med de unntak som følger av § 21-4 b.

Reglene om bevisfritak i tvisteloven §§ 22-8 og 22-9 gjelder tilsvarende ved anvendelsen av bestemmelsene i § 21-4 og § 21-4 a første ledd.

Opplysninger, uttalelser og erklæringer etter § 21-4 og § 21-4 a første ledd skal gis uten ugrunnet opphold.

3. NAVs informasjonsplikt etter personopplysningsloven

Som man ser av ovenstående uthevede tekst i § 21-4 c fjerde ledd gjelder blant annet personopplysningslovens krav om informasjonsplikt for NAV. Den viktige bestemmelsen i forhold til dette temaet finnes i personopplysningsloven § 20 som lyder:

§ 20. Informasjonsplikt når det samles inn opplysninger fra andre enn den registrerte

En behandlingsansvarlig som samler inn personopplysninger fra andre enn den registrerte selv, skal av eget tiltak informere den registrerte om hvilke opplysninger som samles inn og gi informasjon som nevnt i § 19 første ledd så snart opplysningene er innhentet. Dersom formålet med innsamling av opplysningene er å gi dem videre til andre, kan den behandlingsansvarlige vente med å varsle den registrerte til utleveringen skjer.

Det fremgår av første ledd at NAV som hovedregel plikter å informere pasientene av eget tiltak, om hvilke opplysninger som samles inn, og NAV skal også gi nærmere opplysninger som fremgår av personopplysningsloven § 19 første ledd, som lyder:

§ 19. Informasjonsplikt når det samles inn opplysninger fra den registrerte

Når det samles inn personopplysninger fra den registrerte selv, skal den behandlingsansvarlige av eget tiltak først informere den registrerte om

a) navn og adresse på den behandlingsansvarlige og dennes eventuelle representant,

b) formålet med behandlingen,

c) opplysningene vil bli utlevert, og eventuelt hvem som er mottaker,

d) det er frivillig å gi fra seg opplysningene, og

e) annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på best mulig måte, som f.eks. informasjon om retten til å kreve innsyn, jf. § 18, og retten til å kreve retting, jf. § 27 og § 28.

Den registrerte har ikke krav på varsel etter første ledd dersom

a) Innsamlingen eller formidlingen av opplysningene er uttrykkelig fastsatt i lov,

b) varsling er umulig eller uforholdsmessig vanskelig, eller

c) det er på det rene at den registrerte allerede kjenner til informasjonen varslet skal inneholde.

Når varsling unnlates med hjemmel i bokstav b, skal informasjonen likevel gis senest når det gjøres en henvendelse til den registrerte på grunnlag av opplysningene.

Varsling er ikke påkrevd dersom det er på det rene at den registrerte allerede kjenner til informasjonen i første ledd.

4. NAVs praksis med å ikke gi pasientene informasjon måtte endres

Kravet om å gi informasjon til pasientene har NAV hittil i en rekke saker bortfortolket ved å hevde at de ikke har plikt til å informere pasientene om hva de innhenter av opplysninger fra pasientjournaler, fordi varslingsplikt ikke gjelder når innsamlingen har direkte hjemmel i lov, se personopplysningsloven § 20 annet ledd bokstav a).

Denne praksisen ble blant annet beskrevet av NAV i dette intervjuet i ABC Nyheter 7.8.2009. Som man ser gikk NAV så langt som at de insisterte på hemmelighold overfor pasienten for sitt innsyn i pasientjournaler.

Også i sitt høringssvar av 29.5.2009 til Personvernkommisjonens rapport inntatt i NOU 2009:1 - Individ og integritet uttrykte NAV at de anså at de hadde rett til å ikke gi pasientene informasjon (se siste avsnitt i brevet).

5. Datatilsynets vedtak 2.10.2009

Datatilsynet var imidlertid uenig med NAV i denne vurderingen, og fattet et vedtak av 2.10.2009, hvor de ga NAV en frist på 4 uker til å endre praksis. Datatilsynets vedtak lyder:

Vedtak
Med hjemmel i personopplysningslovens § 46 fatter Datatilsynet følgende vedtak:
NAV skal snarest, og senest innen fire uker fra vedtaksdato, etablere rutiner i henhold til personopplysningslovens § 14, for å sikre at pasienter gis informasjon i medhold av personopplysningslovens § 20, når det hentes inn opplysninger fra pasientjournaler i forbindelse med etterkontroll, jf folketrygdlovens §§ 21-4 flg.

6. NAVs klage til Personvernnemnda

NAV valgte å påklage Datatilsynets vedtak til Personvernnemnda. Personvernnemnda er et frittstående overordnet organ etablert for å behandle klagesaker på vedtak fra Datatilsynet.

I sitt vedtak av 24.3.2010 i sak PVN-2009-22 ga Personvernnemnda fullt medhold til det syn Datatilsynets vedtak bygget på. Konsekvensen av dette ble at NAV måtte endre sin praksis.

7. Noen ord om NAVs svært omfattende hjemmel

Helseopplysninger er ansett som de mest sensitive opplysninger vi har. Det kan være opplysninger om alvorlige somatiske lidelser, kjønnssykdommer, opplysninger om seksuelle overgrep som har medført alvorlige psykiske lidelser, opplysninger om familiemedlemmer mv. Helseopplysninger i pasientjournaler er innsamlet for å benyttes i behandling av den aktuelle personen. Helsepersonell som behandler helseopplysningene er faglig kvalifisert til å behandle dem. NAVs ansatte er ikke helsepersonell, og er således ikke kompetent til å vurdere disse.

Helseopplysninger er underlagt streng regulering i internasjonale konvensjoner, og er for eksempel underlagt særskilt vern i Den europeiske menneskerettskonvensjonen (EMK). I annen personvernrettslig lovgivning er helseopplysninger også underlagt spesielt streng regulering. I personopplysningsloven § 2 nr 8 inngår helseopplysninger i gruppen av sensitive opplysninger som det stilles særskilt strenge krav for å få lov til å behandle.

På mange områder i samfunnet kan aktører ha vektige grunner for å skulle få innsyn i helseopplysninger. Det mest praktiske eksempelet er politiet og påtalemyndigheten. Det er imidlertid svært strenge begrensninger på politiets anledning til å få innsyn i opplysninger fra pasientjournaler. En av årsakene er at vi ikke ønsker en situasjon hvor helsevesenet/ helsepersonell oppfattes som en forlenget arm av politiet og påtalemyndigheten hvor opplysninger kan utveksles. Helsepersonell har kun anledning til å gi opplysninger til politiet hvis det er nødvendig for å avverge alvorlig skade på person eller eiendom, se helsepersonelloven § 31.

Eksempler på områder hvor politiet ikke får innsyn i helseopplysninger vil være hvor sykehuset finner for eksempel 1 kg kokain hos en pasient. En besittelse av et slikt kvantum narkotika vil høyst sannsynlig føre til lovens strengeste straff hvis politiet får kjennskap til pasienten og kvantumet. Likevel er det ikke tvilsomt at taushetsplikten forhindrer helsepersonell fra å gi disse opplysningene til politiet, selv når de overlater kokainen til politiet. Dette er illustrert ved Høyesterettsdommen i Rt 2013 side 1442, hvor en anestesilege ble frikjent for å fysisk ødelegge biologisk bevismateriale politiet hadde mot en pasient, som var i politiets besittelse, og ville ledet til domfellelse av pasienten.

Et annet eksempel hvor politiet er forhindret fra å få innsyn i helseopplysninger er hvor politiet har en sterkt mistanke om fyllekjøring hos en pasient og sjåfør som har medført at en annen trafikant mistet livet, men ikke hadde begjært noen blodprøve som kunne bekrefte at vedkommende var påvirket da han kom inn til akuttmottaket på sykehuset, jf vegtrafikkloven § 22 a og helsepersonelloven § 12. Selv om sykehuset rutinemessig har tatt blodprøve av vedkommende da hun kom inn, som viste hvor stor og ulovlig påvirkning av alkohol sjåføren hadde, var politiet på grunn av taushetsplikten forhindret fra å få innsyn i disse helseopplysningene. Dette fremkommer av Høyesteretts dom i Rt 2005 side 1329. Også i en rekke andre tilfeller med alvorlig kriminalitet involvert, er selv politiet forhindret fra å få innsyn i helseopplysninger, så lenge den mistenkte ikke gir sitt samtykke. Kjente og etterlyste kriminelle kan for eksempel oppsøke helsepersonell og sykehus, i trygg forvissning om at de er beskyttet av helsepersonells taushetsplikt slik at deres tilstedeværelse der ikke kan meldes til politiet.

Det kan med rette reises vektige innsigelser mot at vi har en slik streng taushetsplikt i helsevesenet, som forhindrer vår politimyndighet fra å avdekke og oppklare så alvorlige forbrytelser. Allmennpreventive straffehensyn kan i stor grad påberopes mot å skulle ha en slik streng taushetsplikt.

Men når vi kommer til NAV, et organ som i hovedsak har ansvar for å sørge for utbetaling av økonomiske ytelser til nordmenn, har de fått en utrolig vid hjemmel til å innhente helseopplysninger og pasientjournaler, uten at de trenger noe samtykke fra pasienten. Den eneste grunnen NAV trenger for å kreve slikt innsyn er at de foretar en etterkontroll av for eksempel en lege av om vilkårene for en økonomisk ytelse er oppfylt. Strafferammen for et helsepersonell som bryter disse bestemmelsene er relativt begrenset, i hvert fall sett i forhold til andre forbrytelser hvor selv politiet ikke har innsyn. Og hjemmelen NAV har omfatter ikke bare adgang til å innhente enkeltstående pasientjournaler fra noen stakkars pasienter - de har fått rett til å masseinnhente fysiske pasientjournaler.

Spørsmålet er om det er forholdsmessighet i at NAV besitter et slikt verktøy. Når politiet som etterforsker svært alvorlige forbrytelser som gir inntil lovens strengeste straff, ikke har anledning til dette, kan man spørre om NAV burde hatt det. Begrunnelsen for at NAV har fått en slik mulighet ligger i de relativt omfattende organiserte trygdesvindelsakene vi har sett på 2000-tallet. Det har blitt avdekket omfattende svindel mot vårt trygdesystem. Lovgivers resonnement har vært at det er så viktig å få avdekket denne type organisert svindel, som truer hele troverdigheten av våre velferdsordninger, at NAV har fått en slik hjemmel. Men man kan også fremføre sterke argumenter for at også NAV må finne andre måter å følge opp mistanke om slik økonomisk kriminalitet på, enn ved å kunne bane seg adgang til pasientjournaler. Og selv om NAVs ansatte har lovfestet taushetsplikt, er det ikke tale om en slik streng og kallsmessig taushetsplikt som helsepersonell er underlagt.

I lys av det ovenstående er det etter mitt syn grunn til å reagere strengt mot det som fremstår som klare overtramp av denne svært vide hjemmelen. I denne artikkelen fra Dagens Medisin av 1.7.2011 er det rapportert om et tilfelle hvor et NAV-kontor åpenbart gikk for langt. Her hadde det lokale NAV i Tana og Nesseby innhentet fullstendig journalopplysninger fra en pasients fastlege, i forbindelse med en arbeidskonflikt med en ambulansearbeider i Finnmark. Ambulansesjåføren hadde vist til at han hadde betydelige plager som følge av dårlig arbeidsmiljø i i sin jobb som helsepersonell ved ambulansetjenesten i Tana Bru i Helse Finnmark, og hadde oppsøkt to leger og beskrevet sine plager. Første lege vurderte at dette ikke ga grunn til sykemelding, men den andre legen kom til at det var grunn til å sykemelde ambulansearbeideren i 10 dager. Det lokale NAV-kontoret mente det ikke var grunn til sykemelding, og henvendte seg til kommuneoverlegen i Tana og Nesseby i et brev 18.11.2010. Her ba NAV-lederen om å få oversendt "Utskrift av komplette journaler og epikriser", noe NAV-lederen fikk tilsendt. Det følger uttrykkelig av folketrygdloven § 21-4 c første ledd at adgangen NAV ellers har til å innhente journaler etter § 21-4 ikke omfatter innhenting av fullstendig pasientjournal. Kun ved såkalte etterkontrollundersøkelser rettet mot helsepersonellet som behandlet pasienten, det vil si kontroll av legen som behandlet pasienten (ambulansesjåføren) kan det innhentes fullstendig og uredigert journal, se § 21-4c annet ledd. Påtroppende leder av dette NAV-kontoret gjorde derfor svært klokt i å beklage dette klare lovbruddet/ overtrampet. Det illustrerer imidlertid at slike vide hjemler både frister til misbruk, og vil bli misbrukt. Hvilken reaksjon vedkommende NAV-leder som hadde forfattet brevet av 18.10.2010 fikk er ikke kjent for undertegnede.