Avslag på bruk av fremtidsfullmakt på helsenorge.no

Sakens bakgrunn

Helsenorge er den offentlige helseportalen for innbyggere i Norge. Ved å logge inn på Helsenorge, får man tilgang til ulike helsetjenester og kan se helseopplysninger om seg selv. Man kan blant annet finne informasjon om timeavtaler med helsetjenesten, lese prøvesvar, få oversikt over henvisninger, resepter og vaksiner, lese pasientjournal fra sykehus og få tilgang til ulike helseregistre. Helsenorge driftes av Norsk helsenett SF, som er et statsforetak heleid av Helse- og omsorgsdepartementet.

A søkte 17. september 2023 om å få tilgang til sin fars informasjon på Helsenorge med grunnlag i en fremtidsfullmakt som var stadfestet iverksatt av Statsforvalteren. Bakgrunnen for anmodningen om tilgang til Helsenorge, var at faren hadde fått en innkalling til en helseundersøkelse som man måtte logge inn i portalen for å lese. Det fremgikk av fremtidsfullmakten at A hadde fullmakt til å ivareta alle personlige og økonomiske interesser for faren, herunder ta beslutninger om medisinsk behandling. Det var presisert i fullmakten at A skulle ha rett til innsyn der det var nødvendig for å kunne utøve vervet.

Helsenorges veiledningstjeneste avslo å gi tilgang til portalen med grunnlag i fremtidsfullmakten. Veiledningstjenesten opplyste at for å få tilgang til de innloggede tjenestene på Helsenorge, var det to ulike fremgangsmåter som var akseptert: Enten måtte faren selv gi alminnelig fullmakt til sønnen på eget fullmaktsskjema. Dette kunne gjøres digitalt innlogget i portalen eller sendes per papirpost. Alternativt, dersom faren ikke lenger var samtykkekompetent, kunne sønnen få tilgang som nærmeste pårørende. For å få slik tilgang måtte han sende inn bekreftelse fra farens lege om at faren hadde varig manglende samtykkekompetanse.

A innhentet legeerklæring fra farens lege. Legen skrev i legeerklæringen at As far ikke lenger var i stand til å ivareta sine helsemessige interesser, men at han var samtykkekompetent på andre områder. Siden Helsenorges skjema ikke skilte mellom ulike grader av manglende samtykkekompetanse, opplyste legen at hun ikke kunne fylle ut det standardiserte skjemaet.

A henvendte seg på nytt til Helsenorge. I svarbrev gjentok Helsenorge at det kun var deres egne fullmaktsskjema eller dokumentasjon fra lege på varig manglende samtykkekompetanse, som kunne gi ham tilgang til farens informasjon. Alternativt, hvis faren ikke lenger ønsket å bruke den digitale helseportalen, kunne han trekke tilbake sitt tidligere avgitte samtykke til bruk av Helsenorge. Da ville ingen lenger ha tilgang til hans informasjon der.

A klaget saken inn for til Helse- og omsorgsdepartementet, som han av Helsenorge hadde fått opplyst var klageinstans. I brev 21. november 2023 opplyste departementet at de ikke kunne overprøve Helsenorges avslag på bruk av fremtidsfullmakten, fordi avslaget ikke var et enkeltvedtak.

A brakte deretter saken inn til Sivilombudet. I klagen opplyste han at faren, på grunn av sin helsetilstand, ikke lenger var i stand til å fylle ut et vanlig fullmaktsskjema eller bruke BankID for å gi fullmakt digitalt. A opplyste også at siden han som fullmektig ikke fikk tilgang til farens informasjon på Helsenorge, kunne han ikke finne ut hvilken helseaktør som hadde sendt faren innkalling til undersøkelse og tidspunktet for timen. Manglende tilgang til Helsenorge gjorde det derfor umulig for ham å ivareta farens helsemessige interesser.

Våre undersøkelser

Vi innhentet sakens dokumenter fra Norsk helsenett. I den forbindelse ba vi om å få oversendt kopi av eventuell dokumentasjon som viste hvilke rettslige vurderinger Norsk helsenett hadde gjort om sine krav til fullmakter. I brev 4. januar 2024 ga Norsk helsenett en redegjørelse om bakgrunnen for sine rutiner. Etter en gjennomgang av disse, fant vi grunn til å stille flere spørsmål til Norsk helsenett. Spørsmålene som ble stilt og Norsk helsenetts svar, vil bli gjennomgått i det følgende.

Vi stilte i brev 8. februar 2024 følgende spørsmål:

Hva er det rettslige grunnlaget til Norsk helsenett for å ikke godta fremtidsfullmakter på Helsenorge?
Mener Norsk helsenett at tilgang til Helsenorge må regnes som et «særlig personlig forhold» som faller utenfor det som kan besluttes i en fremtidsfullmakt, jf. vergemålsloven § 80 tredje ledd?
Ville Norsk helsenett akseptert en fremtidsfullmakt dersom den uttrykkelig nevnte at tilgang til tjenestene på Helsenorge var omfattet av fullmakten?
Aksepterer Norsk helsenett utelukkende bruk av egne skjema for fullmakter på Helsenorge? Hva er i så fall begrunnelsen og det rettslige grunnlaget for det?
Mener Norsk helsenett at en fremtidsfullmakt ikke gir fullmektigen kompetanse til å samtykke til behandling av personopplysninger – herunder helseopplysninger – på fullmaktsgiverens vegne innenfor fullmaktens område, jf. vergemålsloven § 80 fjerde ledd?

Norsk helsenetts redegjørelse i brev 4. januar 2024 og svar i brev 28. februar 2024 kan sammenfattes slik:

Helsenorge er en ulovfestet innbyggerportal som består av svært mange forskjellige tjenester og tjenestetilbydere, herunder helseforvaltning, fastleger, sykehus og kommunale helse- og omsorgstjenester. Portalen gir også tilgang til innsyn i helseregistre og pasientjournal. Mengden sensitiv informasjon om den enkelte er stor, og det er dermed strenge krav til informasjonssikkerhet.
Bruk av tjenestene på Helsenorge bygger på samtykke fra hver enkelt bruker. Norsk helsenett kan ikke gi noen tilgang til andres helseopplysninger uten gyldig samtykke, som må være eksplisitt, jf. personvernforordningen (GDPR) artikkel 6 (1) bokstav a. Norsk helsenett mener at en fremtidsfullmakt med et generelt mandat til ivaretakelse av personlige forhold ikke oppfyller kravet til gyldig samtykke. Alle innbyggere blir betraktet som samtykkekompetente til å gi alminnelig fullmakt, med mindre ansvarlig lege har avkreftet dette i legeerklæring. Hvis brukeren ikke lenger har samtykkekompetanse, kan den som er utpekt som nærmeste pårørende få tilgang til Helsenorge ved å fremlegge legeerklæring.
Norsk helsenett vurderer ikke det å gi en fremtidsfullmektig tilgang til Helsenorges tjenester som et «særlig personlig forhold», jf. vergemålsloven § 80 tredje ledd.
Norsk helsenett kunne akseptert en fremtidsfullmakt dersom det sto uttrykkelig i fullmakten at fullmektigen skulle ha tilgang til Helsenorge. Kravet om gyldig samtykke fra den registrerte ville da være oppfylt. Norsk helsenett har imidlertid ikke med dette tatt stilling til om virksomheten organisatorisk er i stand til å motta eksterne fullmakter.
Det er sikkerhetshensyn som ligger til grunn for Norsk helsenetts krav om bruk av egne fullmaktsskjema på Helsenorge. Bruk av Helsenorges tjenester er ikke en rett for den enkelte, men kan bare skje der bruken er egnet, hensiktsmessig og forsvarlig. Norsk helsenett har ikke kompetanse til å foreta skjønnsmessige tolkinger av fremtidsfullmakter, eller et forvaltningsapparat for mottak og oppbevaring av fremtidsfullmakter.
Norsk helsenett ville gitt tilgang til Helsenorge dersom det var gitt uttrykkelig samtykke til dette i en fremtidsfullmakt. Det ville blitt ansett som en delegering fra den registrerte av retten til å samtykke, jf. GDPR artikkel 6 (1) bokstav a. Uten slikt samtykke, mener Norsk helsenett at fremtidsfullmektigen må ta direkte kontakt med de ulike helseaktørene slik at de kan vurdere konkret om de har adgang til å levere ut helseopplysninger.

Sivilombudets syn på saken

1. Innledning

Saken reiser flere rettslige spørsmål. For det første er det et spørsmål om Norsk helsenett har rettslig grunnlag for å ikke akseptere fremtidsfullmakter på Helsenorge. Hvis svaret på dette spørsmålet er nei, er neste spørsmål om det følger av personvernforordningen (GDPR) at fullmaktsgiveren uttrykkelig må samtykke i fremtidsfullmakten til at fullmektigen skal få tilgang til fullmaktsgiverens helseopplysninger på Helsenorge, før slik tilgang lovlig kan gis av Norsk helsenett. Det er også et spørsmål om det følger av vergemålslovens bestemmelser at det uttrykkelig må fremgå av fremtidsfullmakten at fullmektigen skal ha tilgang til Helsenorge.

Ombudet vil først kort gjennomgå de overordnede reglene om instituttet for fremtidsfullmakter. Deretter vil ombudet under punkt 3 komme med sine merknader knyttet til spørsmålet om bruk av fremtidsfullmakter på Helsenorge. Under punkt 4 vil ombudet gi sine merknader til den fremlagte fremtidsfullmakten som ikke ble akseptert av Norsk helsenett.

2. Instituttet for fremtidsfullmakter

En fremtidsfullmakt er en fullmakt til én eller flere personer om å representere fullmaktsgiveren etter at fullmaktsgiveren på grunn av sinnslidelse, herunder demens, eller alvorlig svekket helbred ikke lenger er i stand til å ivareta sine interesser innen de områdene som omfattes av fullmakten, jf. vergemålsloven § 78. Fremtidsfullmakt er en privat representasjonsordning som alternativ til offentlig vergemål.

Reglene om fremtidsfullmakter er gitt i vergemålsloven kapittel 10. I tillegg gjelder avtalelovens regler om fullmakter også for fremtidsfullmakter, med mindre noe annet følger av vergemålsloven, jf. vergemålsloven § 92. Avtaleloven har ingen særskilt definisjon av begrepet fullmakt. Kjernen i en fullmakt er at en person (fullmektigen) kan stifte rett og plikt umiddelbart for en annen person (fullmaktsgiveren) overfor en tredjeperson, jf. Lie, Karnov lovkommentar: Avtaleloven 1918, note 1 til § 10 1. ledd, Lovdata.no.

Rettsvirkningen av en fremtidsfullmakt er at tredjeparter vil være rettslig forpliktet til å etterkomme de krav som fremsettes med grunnlag i fullmakten. For eksempel la Høyesterett i HR-2019-1758-A til grunn at en generalfullmakt til å ivareta fullmaktsgivers interesser i personlige forhold, ga grunnlag for å fremsette krav om skifte i medhold av fullmakten, se avsnitt 53. I juridisk teori fremholdes det at det normalt må legges til grunn at fullmakten gir fullmektigen anledning til å inngå avtaler og representere fullmaktsgiveren overfor forvaltningen og domstolene innenfor de forhold fullmakten omfatter, se Sande mfl. Vergemålsloven og utlendingsloven kapittel 11 A med kommentarer (2017) side 639.

Formålet med en fremtidsfullmakt er å sikre voksne mennesker rett til å bestemme over eget privatliv livet ut, jf. Ot.prp.nr.110 (2008-2009) side 142. Utgangspunktet er derfor at det er opp til fullmaktsgiveren å bestemme hva fullmakten skal omfatte, jf. Ot.prp.nr.110 (2008-2009) side 213. Fullmakten kan utformes som en generalfullmakt til å ivareta alle økonomiske og personlige interesser, eller den kan avgrenses til bestemte oppgaver, jf. vergemålsloven § 80 første ledd. Kompetanse i «særlig personlige forhold», slik som inngåelse av ekteskap, samtykke til donasjon av organer eller samtykke til tvang, kan imidlertid ikke overføres til en fullmektig, jf. vergemålsloven § 80 tredje ledd.

For at fremtidsfullmakten skal være gyldig, må formkravene i vergemålsloven § 81 være oppfylt. En fremtidsfullmakt skal gjøres skriftlig med to vitner som fullmaktsgiveren har godtatt, og som er til stede sammen og vet at dokumentet skal være en fremtidsfullmakt. Man kan ikke få forhåndsgodkjent en fremtidsfullmakt, men man kan be Statsforvalteren stadfeste fullmakten når den skal tre i kraft, jf. vergemålsloven § 84. Ifølge informasjon på Statsforvalterens nettsider om fremtidsfullmakter, krever flere aktører, slik som Kartverket, banker og tingretter, at en fremtidsfullmakt er stadfestet før de vil foreta disposisjoner basert på fremtidsfullmakten.

Ikrafttredelse av en fremtidsfullmakt bygger ikke på en rent medisinsk vurdering, men skal skje ut fra om det etter «en helhetlig vurdering av fullmaktsgiverens helsetilstand er behov for bistand innenfor de områdene fullmakten omfatter», jf. Ot.prp. nr. 110 (2008-2009) s. 215. Et behov for bistand fra en fremtidsfullmektig kan typisk inntre gradvis ettersom helsetilstanden svekkes. Det er i forarbeidene presisert at fullmakten kan være trådt i kraft selv om fullmaktsgiveren fortsatt er i stand til å håndtere visse dagligdagse anliggender, se proposisjonen på side 215.

Hvilken kompetanse som kan overføres til en fremtidsfullmektig innenfor helse- og sosialområdet, er nærmere omtalt i forarbeidene til vergemålsloven. Når det gjelder helse- og sosialspørsmål, skriver departementet at fremtidsfullmektigen bør kunne gis en tilsvarende stilling som nære pårørende eller hjelpeverger i dag er tillagt etter helse- og sosiallovgivningen, se Ot.prp.nr.110 (2008-2009) side 144. Fullmaktsgiver kan i fullmakten utpeke hvem som skal være nærmeste pårørende. For andre beslutninger på helse- og sosialområdet, vurderte departementet om det skulle oppstilles krav om at myndigheten til fullmektigen måtte være særskilt angitt i fullmakten. Departementet kom til at dette ikke skulle være et krav. Hvilken myndighet fullmektigen i et konkret tilfelle er gitt, skal bero på en tolkning av fremtidsfullmakten, se proposisjonen side 145. I juridisk teori legges det til grunn at dersom fullmakten helt generelt angir å ivareta fullmaktsgiverens interesser på det personlige plan, kan dette legges til grunn uten en nærmere tolkning av om de enkelte disposisjoner fullmaktsgiveren har behov for, faller innenfor, se Sande mfl. Vergemålsloven og utlendingsloven kapittel 11 A med kommentarer (2017) side 642.

Forholdet mellom en fremtidsfullmektigs kompetanse og den tidligere personopplysningslovens regel om samtykke fra fullmaktsgiveren, er også kort omtalt i forarbeidene. Departementet la til grunn at en fremtidsfullmakt normalt må anses som en bemyndigelse til fullmektigen, jf. daværende personopplysningsloven § 2 nr. 7, til å samtykke til behandling av personopplysninger på fullmaktsgiverens vegne innenfor de saklige grenser for fullmektigens oppdrag som fremtidsfullmakten setter, jf. proposisjonen side 145. Fullmektigens kompetanse til å samtykke på vegne av fullmaktsgiveren ble lovfestet i vergemålsloven § 80 fjerde ledd. I Sande mfl. Vergemålsloven og utlendingsloven kapittel 11 A med kommentarer (2017) side 644 er det uttalt at bestemmelsen fremstår «noe overflødig, da en slik myndighet ellers ville fulgt naturlig av den myndighet fullmektigen gis på et bestemt område dersom ivaretakelsen av den aktuelle oppgaven betinger at det gis samtykke til behandling av personopplysninger om fullmaktsgiveren.»

3. Spørsmålet om bruk av fremtidsfullmakter på Helsenorge.no

3.1 Har Norsk helsenett rettslig grunnlag for å ikke godta fremtidsfullmakter på Helsenorge?

Som nevnt under punkt 2, innebærer en fullmakt – herunder en fremtidsfullmakt – at den overfører rettslig kompetanse fra fullmaktsgiveren til fullmektigen, og at tredjeparter er forpliktet til å etterkomme de krav som fremsettes med grunnlag i fullmakten. Med dette rettslige utgangspunktet finner ombudet det ikke tvilsomt at alle aktører i samfunnet må godta fremtidsfullmakter. Spørsmålet er om dette utgangspunktet stiller seg annerledes for tjenesteleverandører som Norsk helsenett, som drifter en offentlig helseportal der man får tilgang til en rekke helseopplysninger og digitale helsetjenester.

Ombudet finner først grunn til å minne om at det er en uttalt politisk målsetting at offentlige tjenester skal digitaliseres. Offentlige digitale tjenester skal være trygge, helhetlige, brukervennlige og universelt utformet, jf. blant annet Digitaliseringsrundskrivet for offentlig sektor punkt 1.1 (Rundskriv D-2024-1). Ombudet legger til grunn at alle innbyggere i utgangspunktet skal kunne ha mulighet til å bruke offentlige digitale tjenester, også personer som trenger bistand fra andre for å ivareta egne interesser. Det betyr at offentlige digitale tjenester må være tilrettelagt for bruk av fullmektiger, inkludert fremtidsfullmektiger. Ved digitalisering av helsevesenet vil tilgang til nettbaserte helsetjenester for timebestilling, oversikt over vaksiner, resepter og henvisninger, lesning av prøvesvar osv. ofte også være nødvendig for å ivareta egne – eller andres – interesser på en hensiktsmessig måte.

Så over til spørsmålet om Norsk helsenett må godta fremtidsfullmakter. Ombudet finner verken i vergemålsloven eller i forarbeidene til loven holdepunkter for at fremtidsfullmakter ikke skal kunne gi en fullmektig kompetanse til å få tilgang til nettbaserte helseportaler. Med unntak av «særlig personlige forhold», jf. vergemålsloven § 80 tredje ledd, har lovgiver bestemt at fremtidsfullmektigen kan gis bred – og generell – kompetanse til ivaretakelse av fullmaktsgiverens personlige interesser. Dette tilsier at fremtidsfullmektigen med grunnlag i fullmakten også har kompetanse til å kreve tilgang til nettbaserte helseportaler, der slik tilgang er nødvendig for å utføre mandatet. En motsatt tolking vil gjøre det vanskelig for fullmektigen å ivareta fullmaktsgiverens personlige forhold i et digitalisert offentlig helsetilbud.

Ombudet kan heller ikke se at organisatoriske forhold hos Norsk helsenett, slik som manglende kompetanse til å tolke fullmakter eller mangel på et forvaltningsapparat for mottak og oppbevaring av fremtidsfullmakter, kan føre til at virksomheten kan nekte å akseptere fremtidsfullmakter. Slike utfordringer må alle virksomheter – både offentlige og private – løse gjennom kompetanseheving og interne rutiner.

Konklusjonen er derfor at Norsk helsenett må akseptere fremtidsfullmakter på Helsenorge.

3.2 Følger det av GDPR at fullmaktsgiveren må gi uttrykkelig samtykke i fremtidsfullmakten til at fullmektigen skal få tilgang til Helsenorge?

Ombudet forstår Norsk helsenett slik at det først og fremst er vurderingen av at virksomheten må ha et gyldig – herunder uttrykkelig – samtykke fra den registrerte, jf. GDPR artikkel 6 (1) a, som ligger til grunn for at Norsk helsenett ikke vil godta fremtidsfullmakter med et generelt utformet mandat. Virksomheten vurderer det slik at samtykke fra den registrerte er det eneste aktuelle rettsgrunnlaget for bruk av Helsenorges tjenester. Informasjonssikkerhetshensyn forstås imidlertid også som et tilleggsargument mot at fremtidsfullmakter kan aksepteres.

Etter personopplysningsloven § 1 gjelder EUs personvernforordning (GDPR) som norsk lov. Enhver behandling av personopplysninger skal skje i samsvar med de grunnleggende prinsippene i GDPR artikkel 5. I tillegg må behandlingen ha rettslig grunnlag i artikkel 6, og også i artikkel 9, dersom personopplysningene utgjør «særlige kategorier» personopplysninger. Behandling av helseopplysninger krever rettslig grunnlag i både artikkel 6 og 9.

Det følger av fortalen til GDPR punkt 4 at retten til vern av personopplysninger ikke er en absolutt rettighet, men at den må ses i sammenheng med den funksjon den har i samfunnet, og veies mot andre grunnleggende rettigheter i samsvar med forholdsmessighetsprinsippet. Personopplysningsvernet må derfor avbalanseres mot den grunnleggende retten ethvert menneske har til å bli bistått av andre hvis vedkommende har behov for det. Som nevnt under punkt 2, ligger vern av selvbestemmelsesretten til grunn for instituttet for fremtidsfullmakter.

GDPR regulerer ikke adgang til rettslig representasjon. Bruk av en fullmektig eller lignende, for eksempel for å kreve innsyn i egne personopplysninger, reguleres av nasjonal rett, se EDPB Guidelines 1/2022 on data subjects rights – Right of access, avsnitt 3.4. På dette grunnlaget kan ombudet ikke se at det vil være i strid med GDPR å gi en fremtidsfullmektig tilgang til Helsenorge, dersom fullmakten gir vedkommende kompetanse til å ivareta fullmaktsgiverens helsemessige interesser og innsyn er nødvendig i den forbindelse.

Ombudet legger videre til grunn at dersom det er krav om rettslig grunnlag i GDPR, vil GDPR artikkel 6 (1) bokstav c (nødvendig for å oppfylle en rettslig forpliktelse hos den behandlingsansvarlige), GDPR artikkel 6 (1) bokstav d (vern av den registreres vitale interesser) og GDPR artikkel 9 (2) bokstav c (behandlingen er nødvendig for å verne den registrertes vitale interesser der den registrerte fysisk eller juridisk ikke er i stand til å gi samtykke) være aktuelle rettslige grunnlag. Ombudet viser i den forbindelse til at per i dag gir Norsk helsenett nærmeste pårørende tilgang til Helsenorge hvis personen varig har mistet sin samtykkekompetanse. Slik tilgang antar ombudet at ikke bygger på samtykke fra den registrerte, men på andre rettsgrunnlag i GDPR. Ombudet kan vanskelig se at Norsk helsenett har snevrere adgang etter GDPR til å gi tilgang til Helsenorge til en fremtidsfullmektig, enn til personens nærmeste pårørende ved varig manglende samtykkekompetanse.

Når det gjelder krav til informasjonssikkerhet for eksterne fullmakter, finner ombudet grunn til å komme med følgende merknad: Formkravene for opprettelsen av en fremtidsfullmakt – herunder krav om skriftlighet og vitner – er ment å sikre notoritet om hva som er fullmaktsgiverens vilje, og trygghet for at fullmakten er gyldig opprettet. Stadfestelseserklæring fra Statsforvalteren, som riktignok ikke er et gyldighetskrav, skal bidra til å sikre ytterligere tillit til fremtidsfullmakten. Etter ombudets syn må dermed fremtidsfullmakter anses minst like betryggende som de egne skjemaene for fullmakter Norsk helsenett tilbyr.

Konklusjonen er derfor at det ikke kan legges til grunn at GDPR krever uttrykkelig samtykke i fremtidsfullmakten for at tilgang til Helsenorge kan gis til fremtidsfullmektigen.

3.3 Følger det av vergemålsloven at tilgang til digitale helseportaler – slik som Helsenorge – må være uttrykkelig nevnt i fremtidsfullmakten?

Det følger av vergemålsloven § 80 første ledd at det er anledning til å utstede en fremtidsfullmakt med et helt generelt mandat på det personlige området. Videre følger det av klare uttalelser i forarbeidene at det på helse- og sosialområdet ikke er krav om at myndigheten til fullmektigen er særskilt angitt i fullmakten, jf. Ot.prp.nr.110 (2008-2009) side 145. Fullmaktens omfang skal fastlegges ved tolking, der formålet vil være å komme frem til hva som var fullmaktsgiverens hensikt ved opprettelsen av fullmakten, jf. Ot.prp.nr. 110 (2008-2009) side 145. Det er ingenting i lovtekst eller forarbeider som tilsier at tilgang til digitale helseportaler ikke er omfattet av disse forutsetningene fra lovgivers side. Både lovens ordlyd og forarbeider tilsier dermed at det ikke er et krav i norsk rett at tilgang for en fullmektig til digitale portaler må være uttrykkelig presisert i fullmakten.

Formålsbetraktninger taler også mot at dette skulle være et krav. Ordningen med fremtidsfullmakter blir vanskelig oppnådd hvis det kreves at ulike digitale tjenester må presiseres i fullmakten. I den forbindelse viser ombudet til Norsk helsenetts orientering om at «Helsenorge har et bredt samlet tjenestetilbud som stadig utvikles». Ombudet mener dette er en treffende beskrivelse for det som kjennetegner utviklingen av digitale tjenestetilbud. Det er vanskelig i dag å vite hvilke tjenester og løsninger som vil være tilgjengelige i fremtiden. Denne vanskeligheten tilsier at det ikke fra digitale tjenestetilbyderes side kan forutsettes at deres tjeneste er uttrykkelig nevnt i fremtidsfullmakten.

For øvrig kan ombudet ikke se at det vil bidra til å oppnå formålet med instituttet for fremtidsfullmakter at fremtidsfullmektigen henvises til å ta direkte kontakt med hver enkelt helseaktør for å be om innsyn. Jo mer digitalisert helsetjenesten blir, jo større blir behovet for at en fremtidsfullmektig får tilgang til nettbaserte portaler – slik som Helsenorge – for å kunne ivareta fullmaktsgiverens helsemessige interesser.

Det er avslutningsvis viktig å påpeke at selv om en fremtidsfullmektig får tilgang til mange helseopplysninger på Helsenorge, så vil adgangen for fullmektigen til å gjøre oppslag og finne informasjon være begrenset til det som er nødvendig for å oppfylle mandatet i fullmakten. Fremtidsfullmektigen har en lovpålagt plikt til å lojalt og samvittighetsfullt ivareta fullmaktsgiverens grunnleggende interesser, jf. vergemålsloven § 85 første ledd. Virksomheter som gir en fremtidsfullmektig tilgang til personopplysninger, må derfor som utgangspunkt forutsette at fremtidsfullmektigen vil benytte tilgangen på en måte som ivaretar og er i tråd med fullmaktsgiverens interesser.

Konklusjonen er etter dette at Norsk helsenett må akseptere fremtidsfullmakter på Helsenorge. Videre mener ombudet at det verken etter GPDR eller vergemålsloven kan oppstilles krav om at nettbaserte helseportaler ¬¬– slik som Helsenorge – må være uttrykkelig nevnt i fullmakten før tilgang kan gis. Det avgjørende er om fullmakten etter en konkret tolking må anses å gi fullmektigen rett til tilgang.

4. Vurdering av den fremlagte fremtidsfullmakten

I saken som ble klaget inn til ombudet, avslo Norsk helsenett å gi tilgang til Helsenorge under henvisning til at fremtidsfullmakter ikke godtas.

Ombudet har vanskelig for å se at avslaget på tilgang til Helsenorge med grunnlag i den fremviste fremtidsfullmakten, var berettiget. Fremtidsfullmakten var stadfestet iverksatt av Statsforvalteren og det var dermed klart at klagerens far var kommet i en helsetilstand som gjorde ham ute av stand til å ivareta egne interesser, jf. vergemålsloven § 78. Videre var det etter ombudets syn klart at mandatet i fullmakten ga A rett til tilgang til de helseopplysningene om faren som var nødvendige for å ivareta hans helseinteresser.

Ombudet mener Norsk helsenetts henvisning til at As far likevel måtte fremlegge en ordinær fullmakt – hovedsakelig under henvisning til plikten til å beskytte farens personopplysninger – verken var praktisk mulig eller rettslig holdbar. Som nevnt, må det legges til grunn at alle aktører i samfunnet er rettslig forpliktet til å akseptere fremtidsfullmakter og gjøre en konkret tolking av disse for å vurdere hvilken kompetanse fullmektigen er gitt. Verken sikkerhetsmessige, kompetansemessige eller organisatoriske grunner kan frita fra plikten til å akseptere en fremtidsfullmakt.

Avslaget på tilgang medførte etter ombudets syn risiko for helsetap for As far. Etter det opplyste klarte ikke A å finne ut hvilken helseaktør som hadde sendt innkallingen og tidspunktet for timen, siden han ikke fikk logget inn på farens side på Helsenorge. Avslaget på å gi tilgang til portalen, fremsto derfor å kunne ha vitale negative konsekvenser for faren.

På denne bakgrunn ber ombudet om at Norsk helsenett foretar en fornyet vurdering av den innsendte fremtidsfullmakten fra A med de rettslige utgangspunktene ombudet har gjennomgått.

Konklusjon

Sivilombudet mener at Norsk helsenett må akseptere fremtidsfullmakter på Helsenorge. Videre finner ombudet ikke rettslige holdepunkter for at en fremtidsfullmakt eksplisitt må nevne tilgang til Helsenorges tjenester før den kan legges til grunn, verken etter GDPR eller reglene i vergemålsloven. Hvilken myndighet en fremtidsfullmektig er gitt, beror – også på helse- og sosialområdet – på en tolking av fullmakten. En slik tolking må Norsk helsenett – i likhet med alle andre virksomheter – foreta.

Sivilombudet ber Norsk helsenett tolke den fremlagte fremtidsfullmakten i den konkrete saken på nytt i lys av ombudets merknader. Videre ber Sivilombudet Norsk helsenett tilrettelegge for at fremtidsfullmakter kan brukes på Helsenorge i fremtidige saker i tråd med føringene gitt i denne uttalelsen.