1. Sakens bakgrunn
Saken gjelder forvaltningens plikt til å gi riktig informasjon, herunder korrigere uriktige opplysninger i Helsepersonellregisteret (HPR). Saken gjelder også forvaltningens veiledningsplikt.
HPR er et offentlig register som viser godkjenninger som Helsedirektoratet har gitt til helsepersonell. Administrative reaksjoner som Statens Helsetilsyn (Helsetilsynet) har gitt til helsepersonell registreres også i HPR.
Det er to versjoner av HPR: 1. fullversjonen av HPR og 2. den offentlige versjonen av HPR på Helsedirektoratets nettside som viser den til enhver tid gjeldende autorisasjonsstatusen for helsepersonell. I fullversjonen av HPR fremgår blant annet datoen da helsepersonellet først ble autorisert, en historisk oversikt over senere endringer i status for autorisasjon og eventuelle administrative reaksjoner.
Klager fikk autorisasjon som hjelpepleier i februar 2006. Helsetilsynet tilbakekalte hennes autorisasjon i vedtak 10. desember 2021, jf. helsepersonelloven § 57 første ledd.
Klagers advokat påklaget vedtaket. Statens Helsepersonellnemnd (Helsepersonellnemnda) kom 14. mars 2023 til at det ikke var grunnlag for å tilbakekalle klagerens autorisasjon og omgjorde Helsetilsynets vedtak om tilbakekall slik at klager fikk tilbake autorisasjonen. I den offentlige versjonen av HPR fremgår det nå at klagers autorisasjon er «gyldig fra 14. mars 2023».
Klagers advokat ba Helsedirektoratet 21. april 2023 om å endre informasjonen i den offentlige versjonen av HPR slik at det fremgår at hun har hatt autorisasjon fra 2006 og ikke fra 2023. Helsedirektoratet svarte 24. april 2023 at det var Helsetilsynets vedtak som var omgjort, og at henvendelsen måtte rettes dit.
Advokaten kontaktet Helsetilsynet som svarte 25. april 2023 at Helsedirektoratet var systemeier og forvaltningsansvarlig for HPR, også de offentlige sidene. Når Helsedirektoratet hadde vist til at faktisk historikk skal fremgå av HPR, selv om et vedtak er blitt omgjort, kunne Helsetilsynet ikke slette historikk. Helsetilsynet var enig i at dette var uheldig, og var i dialog med Helsedirektoratet om endring i HPR. Ytterligere spørsmål om sletting måtte tas med Helsedirektoratet.
I brev 29. april 2023 til Helsetilsynet svarte advokaten at han allerede hadde vært i kontakt med Helsedirektoratet og ba Helsetilsynet ta ansvar for at opplysningene i den offentlige HPR stemte med datoen da klager faktisk fikk autorisasjon. Helsetilsynet viste på nytt til Helsedirektoratet som rett instans.
Advokaten ba på nytt Helsedirektoratet om å rette og viste til sin tidligere korrespondanse med Helsetilsynet. Helsedirektoratet svarte 22. mai 2023 at det var Helsetilsynet selv som måtte avgjøre hva som skulle registreres eller slettes i HPR når Helsetilsynets vedtak var omgjort.
Klagers advokat klaget til Sivilombudet 30. mai 2023 over manglende retting av feil i HPR. Han viste til at han ble sendt frem og tilbake mellom Helsetilsynet og Helsedirektoratet. HPR må vise korrekt informasjon om en autorisasjon, og ikke bare dato for når et vedtak om tilbakekall er omgjort. Når faktisk dato for autorisasjon ikke vises for arbeidsgivere eller andre som ønsker å kontrollere en autorisasjon, ville dette medføre ekstra straff for klager. I tillegg var det misvisende at dato for autorisasjon i HPR ble likestilt med dato for omgjørelse av vedtak i klageinstansen.
2. Våre undersøkelser
Vi fant grunn til å undersøke saken nærmere med Helsetilsynet i brev 17. oktober 2023. Våre spørsmål gjaldt opplysningene som fremgår om klagers autorisasjon i den offentlige visningen av HPR på Helsedirektoratets nettside.
Vårt første spørsmål var om den offentlige versjonen av HPR gir riktig og/eller fullstendig opplysninger om klager når registeret viser hun fikk autorisasjon i mars 2023, som var datoen da Helsepersonellnemnda omgjorde vedtaket om tilbakekall.
I svaret viste Helsetilsynet til at den offentlige visningen av HPR på Helsedirektoratets nettside viser oppdatert status i sanntid om helsepersonells autorisasjon eller lisens på søketidspunktet. En gyldig autorisasjon eller lisens fremgår av HPR som «Gyldig fra» og «Gyldig til». Den offentlige visningen av HPR viser ikke historikk. Datoen for siste endring som er gjort i HPR genereres automatisk fra fullversjonen og vises i den offentlige versjonen.
Helsetilsynet svarte videre at betegnelsen «Gyldig fra:» i den offentlige visningen av HPR var uheldig når status endres på grunn av at et vedtak blir kjent ugyldig av klageorganet eller i domstolen. Selv om datoen for endring av status i registeret isolert sett er korrekt, var informasjonen egnet til å misforstås. En løsning kunne være å fjerne rubrikken «Gyldig fra» i den offentlige visningen av HPR. Helsetilsynet hadde imidlertid ikke nødvendige tilganger for å gjøre denne endringen manuelt, siden denne informasjonen ble automatisk generert fra fullversjonen av HPR. Helsedirektoratet som eier av HPR beslutter hvilke opplysninger som skal fremgå av den offentlige visningen på deres nettside. Helsetilsynet ville igjen ta kontakt med Helsedirektoratet med anmodning om å få endret den offentlige visningen av HPR.
Vi stilte videre spørsmål om personvernforordningen (pvf.) artikkel 16 om at «uriktige personopplysninger» kan kreves «rettet» og «ufullstendige» opplysninger kan kreves komplettert er ivaretatt i denne saken hvis HPR ikke gir riktige og/eller fullstendige opplysninger om klager.
Helsetilsynet svarte at informasjon om «Gyldig fra:» i den offentlige versjonen av HPR, som er tidspunktet for siste endring i registeret, kunne mistolkes og bli oppfattet som «uriktige personopplysninger» når et vedtak om tilbakekall ble kjent ugyldig. Helsetilsynet hadde erfart at enkelte helsepersonell ønsket at denne dateringen ble endret. Henvendelsen fra Sivilombudet medførte en ny vurdering av spørsmålet, noe de ville følge opp med Helsedirektoratet. Dagens løsning var problematisk i forhold til pvf. artikkel 16.
Deretter ba vi Helsetilsynet begrunne hvorfor et vedtak om tilbakekall som er omgjort av Helsepersonellnemnda, likevel ikke gir grunnlag for å slette historikk eller rette uriktige opplysninger fra offentlige visningen av HPR på Helsedirektoratets nettside.
Helsetilsynet svarte at det kan være ulike grunner til at et vedtak blir omgjort. I tillegg var det lang saksbehandlingstid i nemnda. Informasjon om at et helsepersonell har vært uten eller har hatt begrenset autorisasjon var riktig i fullversjonen av HPR i perioden fra Helsetilsynets vedtak og til vedtaket eventuelt ble omgjort av Helsepersonellnemda eller i domstolene. I fullversjonen av HPR fremgikk det av en egen påtegning hvis et vedtak senere ble kjent ugyldig. Helsetilsynet mente at det var relevant at fullversjonen av HPR inneholdt opplysninger om at det var gitt en administrativ reaksjon. Opplysningene som var lagt inn kunne være relevante for andre brukere av HPR enn Helsedirektoratet og Helsetilsynet.
Deretter spurte vi om det etter Helsetilsynets vurdering var forskjell på en situasjon der tilbakekall blir omgjort, og vilkårene for tilbakekall dermed ikke var oppfylt, og situasjonen der tilbakekall ikke blir omgjort, men det senere blir gitt ny autorisasjon etter søknad når vilkårene for det er oppfylt.
Helsetilsynet gjentok forslaget om å fjerne rubrikken «Gyldig fra» i den offentlige visningen av HPR. Grunnlaget for endring i autorisasjonsstatus ville da ikke ha betydning for hvordan autorisasjonsstatus fremsto i den offentlige visningen. Det kunne være ulike grunner til at et vedtak ble omgjort av nemnda, og det ville være relevant at fullversjonen av HPR hadde informasjon om hvilken type administrativ reaksjon et helsepersonell har vært ilagt, og hvor lenge. I fullversjonen av HPR fremgikk det også dersom vedtak senere var omgjort i nemnda eller i domstolene.
Til sist ba vi om Helsetilsynets øvrige kommentarer. Helsetilsynet erkjente problemstillingen og ønsket å finne en god løsning sammen med Helsedirektoratet. Ulike løsningsforslag kunne få ulik innvirkning for alle som brukte HPR, og måtte drøftes videre. Det kunne derfor ta noe tid før endringer i HPR ble iverksatt.
Vi forela svarene fra Helsetilsynet for klagers advokat. Advokaten mente at svarene var i strid med pvf. artikkel 16.
3. Ytterligere undersøkelser i saken
Sivilombudet fant grunn til å undersøke saken ytterligere etter å ha mottatt Helsetilsynets svar, og sendte brev 21. mars 2024 til Helsedirektoratet.
Vi spurte om den offentlige versjonen av HPR gir riktige og/eller fullstendige opplysninger om klager når registeret viser at hun fikk autorisasjon i mars 2023 som var datoen da Helsepersonellnemnda omgjorde vedtaket om tilbakekall.
Helsedirektoratet svarte at det i dag ikke er teknisk mulig å vise historisk data i den offentlige web-visningen av HPR. For klageren, som har hatt opphold i registreringen på grunn av tilbakekall, vil kun ny registrering være synlig i den offentlige visningen. Historikk og utgåtte registreringer vises ikke i web-visingen. I selve registeret er all historikk registrert.
Vi spurte videre om pvf. artikkel 5 om at personopplysninger skal være korrekte og artikkel 16 om retting ivaretatt i denne saken dersom HPR ikke gir riktige og/eller fullstendige personopplysninger om klager.
Helsedirektoratet svarte at det kun er den offentlige web-visningen av HPR som ikke viser historisk data. Dette skyldes tekniske begrensninger. Ingen registreringer slettes i registeret, heller ikke de historiske og utgåtte registreringene.
Vi viste deretter til Helsetilsynets svar til klagers advokat om at spørsmål om sletting måtte tas med Helsedirektoratet og Helsetilsynets svar om at de ikke kunne slette historikk i HPR. På denne bakgrunn spurte vi Helsedirektoratet om det er teknisk mulig å korrigere opplysninger i den offentlige versjonen av HPR uten å slette historikk fra fullversjonen.
Helsedirektoratet bekreftet at det er teknisk mulig å korrigere opplysningene ved at det ikke foretas en ny registrering ved omgjøring i klageorganet, samtidig som registreringen av stans av autorisasjonen fjernes. Da vil kun opprinnelig autorisasjonsdato bli stående. Når Helsepersonellnemnda har omgjort tilbakekall av autorisasjon, må Helsetilsynet avgjøre om stans i registreringen skal slettes eller bli stående. Helsedirektoratet, som heller ikke var part i saken, kunne ikke korrigere tilsynsmyndighetens vedtak. Helsetilsynet var i kommunikasjonen med Helsedirektoratet informert om at når et vedtak er kjent ugyldig av Helsepersonellnemnda, så er det opp til Helsetilsynet om det skal foretas sletting av registrering av opphør. Spørsmål om pvf. art 5 og 16 burde derfor rettes til Helsetilsynet.
Vi spurte videre om hvilken informasjon som blir gitt til helsepersonell om behandlingen av personopplysninger ved registrering i HPR og ba vi om å få oversendt eventuelt skriftlig informasjonsmateriale.
Helsedirektoratet opplyste at navn, fødselsdato, personnummer, statsborgerskap og adresse registreres i HPR. I den offentlige visningen fremgår navn, fødselsdato, helsepersonellnummer og godkjenningens gyldighetsperiode. l selve autorisasjons- eller lisensvedtaket står det at personellet vil bli registrert i HPR. Registreringen er personlig og må derfor inneholde navn og fødselsdato.
Vi viste deretter til at Helsetilsynet i sitt svar til ombudet hadde opplyst at de ville ta initiativ overfor Helsedirektoratet for å endre den tekniske løsningen i den offentlige versjonen av HPR. Vi ba om å få opplyst status og planlagt fremdrift for dette arbeidet.
Helsedirektoratet svarte at det arbeides med en løsning for å vise historiske registreringer i den offentlige web-visningen. Dette er et tidkrevende arbeid som krever større endringer i registeret og som omfatter mer enn 500 000 personer som er registrert i HPR.
Til slutt ba vi om Helsedirektoratets øvrige kommentarer til problemstillingene i saken.
Helsedirektoratet presiserte at Helsetilsynet har selvstendig registreringstilgang i HPR og står fritt til å endre tidligere registreringer i henhold til egne vedtak. Hvis helsepersonellet har hatt et reelt opphold i registreringen, er det imidlertid nødvendig at dette fremkommer av HPR, fordi HPR er koblet mot andre registre, for eksempel apotekenes rekvireringssystem.
Dersom oppholdet er ugyldiggjort i vedtak fra klageorganet, gjør dette hensynet seg ikke gjeldende. Helsedirektoratet viste for øvrig til sitt svar på spørsmål 3.
Helsedirektoratets svar ble sendt til klagers advokat, som bemerket at Helsetilsynet tilsynelatende hadde hatt mulighet til å rette informasjon i HPR hele tiden uten å gjøre det.
Helsetilsynet og Helsedirektoratet fikk anledning til å kommentere hverandres svar. Helsetilsynet gjentok sitt forslag om å fjerne rubrikken «Gyldig fra» i den offentlige visningen av HPR, og at Helsetilsynet ikke hadde nødvendige tilganger for å gjøre denne endringen manuelt, siden informasjonen automatisk genereres fra fullversjonen av HPR. Helsetilsynet skulle ha et møte med Helsedirektoratet om problemstillingen 30. mai 2024. Helsedirektoratet hadde ikke ytterligere merknader.
4. Sivilombudets syn på saken
Saken gjelder forvaltningens plikt til og ansvar for å gi riktig informasjon. I dette tilfellet dreier det seg nærmere om plikt til å korrigere uriktige opplysninger i HPR. Videre gjelder saken om Helsetilsynet og Helsedirektoratet har oppfylt veiledningsplikten og om saksbehandlingen har vært i tråd med god forvaltningsskikk.
4.1 Rettslig grunnlag
4.1.1 Forvaltningsrettslige prinsipper – plikten til å gi korrekt informasjon
Forvaltningen er en sentral informasjons- og opplysningsleverandør til offentligheten. Forvaltningen gir informasjon på ulike måter, for eksempel gjennom enkeltsaker, utredninger, media og informasjons- og veiledningsmateriell. Det er et generelt prinsipp at informasjon fra forvaltningen skal være korrekt, saklig og pålitelig. Dette følger implisitt av det alminnelige, uskrevne kravet til god forvaltningsskikk, og er en forutsetning for at forvaltningen skal oppfylle sitt samfunnsoppdrag og ha tillit i befolkningen. Det er særlig viktig at informasjon som gjelder enkeltindivider er korrekt. Plikten til å gi korrekt informasjon innebærer også at forvaltningen har en plikt til å korrigere uriktig eller misvisende informasjon.
Forvaltningen gir også informasjon gjennom ulike offentlige registre og godkjenningsordninger. For at slike registre skal fylle sitt formål, må opplysningene være korrekte og pålitelige. Informasjon fra slike registre hentes også ofte inn som ledd i forvaltningsorganer saksbehandling. Det er viktig for befolkningens tillit til registeret, og for enkeltindividers rettigheter og rettssikkerhet at informasjonen i slike registre er korrekt. Korrekt informasjon er også viktig for å sikre at vedtak fra offentlige organer som henter informasjon fra registrene i sin saksbehandling blir godt nok opplyst og bygger på riktig faktum. Korrekt informasjon, for eksempel om hvem som er autorisert helsepersonell, kan også ha betydning for hvorvidt enkeltpersoner får forsvarlig helsehjelp.
4.1.2 GDPR/personvernregelverket
For personopplysninger følger det også av personvernregelverket (GDPR – General Data Protection Regulation) at personopplysninger skal være korrekte og skal rettes uten ugrunnet opphold hvis de er feil, jf. personvernforordningens innledning (preambelet) pkt. 39 og pvf. artikkel 16.
Hvem som har plikt til å rette følger av pvf. artikkel 4 nr. 7 om den behandlingsansvarlige, som defineres som en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ «som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes (…)».
4.2 Om HPR
HPR eies av Helsedirektoratet og viser godkjenninger som Helsedirektoratet har gitt til helsepersonell, jf. helsepersonelloven § 53. Etter helsetilsynsloven § 10 skal tilsynsmyndighetene, herunder Helsetilsynet, registrere administrative reaksjoner som er gitt til helsepersonell i HPR. Dette omfatter tilbakekall av autorisasjon jf. helsepersonelloven § 57.
På Helsedirektoratets hjemmeside blir HPR beskrevet som «et offentlig register hvor alle offentlige godkjenninger gitt til helsepersonell og dyrehelsepersonell i Norge er registrert. Formålet med HPR er å gi en oppdatert status på helsepersonell og hvilke rettigheter de innehar for å yte forsvarlig helsehjelp». Det fremgår videre at «[d]en offentlige visningen av HPR er designet for å gi status for helsepersonell i dag. Derfor vil ikke tidligere og utgåtte godkjenninger være synlig, som for eksempel utløpte lisenser. Det samme gjelder ved vedtak fra Statens helsetilsyn. Dersom en autorisasjon har vært trukket tilbake for en periode, vil HPR bare vise den siste datoen autorisasjonen ble gitt tilbake».
I sitt svar hit viser Helsetilsynet til at det kan være relevant at fullversjonen av HPR inneholder opplysninger om at det var gitt en administrativ reaksjon. Slike opplysninger kan være relevante for andre brukere av fullversjonen av HPR, f.eks. apotekene, Helfo, Norsk pasientskadeerstatning og Nav.
4.3 Nærmere om klagers sak
4.3.1 Er opplysningene om klager i HPR riktige?
Etter at Helseklagenemnda opphevet tilbakekallet, fremgår det nå at klagers autorisasjon er «gyldig fra 14. mars 2023». Den naturlige forståelsen av dette er at hun fikk autorisasjon 14. mars 2023. Dersom autorisasjonen ikke hadde blitt tilbakekalt, ville datoen da hun først fikk autorisasjon i 2006 fortsatt fremgått av den offentlige visningen av HPR. Slik den offentlige visningen av HPR er utformet, fremgår det ikke at klagers autorisasjon er fra 2006. Informasjonen i den offentlige visningen av HPR er dermed etter ombudets syn misvisende og ikke korrekt.
I sitt svar til Sivilombudet er Helsetilsynet enig i at informasjonen er egnet til å misforstås, selv om datoen for endring i status i registeret isolert sett er korrekt. Helsetilsynet har selv vist til at opplysningene i HPR må være riktige, av hensyn til tilliten til HPR og for at registeret skal fylle sitt formål. I lys av disse hensynene og det offentliges plikt til å gi korrekt informasjon, mener ombudet at opplysningene skulle ha vært rettet av ansvarlig myndighet.
4.3.2 Helsetilsynets og Helsedirektoratets saksbehandling
Klagers krav om retting av opplysningene har ikke blitt etterkommet. Klager ble sendt frem og tilbake mellom Helsetilsynet og Helsedirektoratet uten at noen av dem tok ansvar for retting av den uriktige informasjonen.
Etter forvaltningsloven § 11 har forvaltningen en alminnelig veiledningsplikt, slik at parter og andre gis «adgang til å vareta sitt tarv» i bestemte saker på best mulig måte. Det ligger blant annet i dette at en part som henvender seg til feil forvaltningsorgan, må gis veiledning om hvor henvendelsen skal rettes. Dersom ansvarsforholdene mellom ulike organer er uklare, må organene avklare dette slik at parten gis korrekt og tydelig informasjon om hvem som er rette mottaker av henvendelsen. Dette fremgår også av regjeringens Digitaliseringsstrategi for offentlig sektor 2019–2025 «Én digital offentlig sektor» pkt. 2 om sammenhengende tjenester med brukeren i sentrum om at «[o]ffentlige tjenester skal oppleves sammenhengende og helhetlige av brukerne, uavhengig av hvilke offentlige virksomheter som tilbyr dem. Kommuner, fylkeskommuner og statlige virksomheter må samarbeide på tvers av forvaltningsnivåer og sektorer for å lykkes med denne ambisjonen».
I dette tilfellet ble klager sendt frem og tilbake flere ganger, på en måte som gir inntrykk av at det ikke skjedde noen avklaring av ansvarsforholdene. Klager fikk dermed ikke veiledning som gjorde henne i stand til å ivareta sine interesser, slik det følger av forvaltningsloven § 11. Veiledningsplikten ble dermed ikke ivaretatt hverken av Helsetilsynet eller Helsedirektoratet.
Måten klager ble sendt frem og tilbake mellom Helsetilsynet og Helsedirektoratet er etter ombudets syn heller ikke i samsvar med det alminnelige, uskrevne prinsippet om god forvaltningsskikk. Som nevnt i pkt. 4.1.1 innebærer dette prinsippet at informasjon fra forvaltningen skal være korrekt, saklig og pålitelig, og slik at borgerne kan ha tillit til den informasjonen forvaltningen gir. I denne saken ble konsekvensene av uklare ansvarsforhold skjøvet over på klageren. Samhandling mellom ulike offentlige organer, for eksempel gjennom felles registre, må ikke føre til uklare ansvarsforhold og ansvarspulverisering slik at brukerne ikke får ivaretatt sine rettigheter.
Etter fvl. § 11 a første ledd skal forvaltningen følge opp en sak «uten ugrunnet opphold». Hvor lang saksbehandlingstid som kan aksepteres, avhenger blant annet av sakens omfang og kompleksitet. I klagers sak er opplysningene ennå ikke rettet, mer enn ett år etter at anmodningen ble fremsatt.
Helsetilsynet har vist til manglende tilgang til å gjøre manuelle endringer i HPR, siden informasjonen genereres automatisk fra fullversjonen av HPR. Helsetilsynet har også opplyst at tilsynet ikke alene kan endre den tekniske løsningen i systemet eller designet av den offentlige visningen, f.eks. ved å fjerne «Gyldig fra», men at det pågår dialog om systemendringer mellom Helsetilsynet og Helsedirektoratet.
Sivilombudet forstår svarene fra Helsedirektoratet og Helsetilsynet slik at Helsetilsynet rent faktisk kan endre registreringen i denne konkrete saken, ved å slette registreringen av tilbakekallet og ikke registrere Helseklagenemndas klagevedtak. Etter det vi forstår, kan dette gjøres uten at historikken fjernes fra fullversjonen. Sivilombudet er enig i at historikken bør være komplett i fullversjonen av HPR. Dette må imidlertid kunne sikres på en måte som ikke gir uriktig eller upresis informasjon i den offentlige versjonen. Forvaltningens bruk av digitale løsninger må innrettes slik at brukerne får ivaretatt sine rettigheter. Digitale systemer må derfor utformes slik at det blir mulig å rette feilopplysninger.
Denne muligheten til å endre den konkrete registreringen har Helsetilsynet, etter det ombudet forstår, hatt hele tiden. Ombudet finner det klart at kravet i fvl. § 11 a ikke er overholdt, når rettingen ennå ikke er foretatt.
4.3.3 Saksbehandlingsregler i GDPR/personvernregelverket
Personvernregelverket kan være et selvstendig grunnlag for retting der de uriktige opplysningene er personopplysninger. Personvernforordningen har egne regler om rett til retting (pvf. artikkel 16), frist for retting (pvf. artikkel 12 nr. 3 og nr. 4) og veiledningsplikt (pvf. artikkel 12) som supplerer forvaltningslovens bestemmelser. Pvf. artikkel 37 fastsetter at offentlige organer skal å ha et personvernombud. Det følger videre av forordningen artikkel 12 nr. 4 at den behandlingsansvarlige skal informere om klageadgangen til tilsynsmyndighet jf. pvf. artikkel 51. I Norge er Datatilsynet tilsynsmyndighet jf. personvernloven § 20.
Sivilombudet har ikke funnet grunn til å ta stilling til eventuelle krav som følger av personvernforordningen i denne saken. Plikten til å rette følger uansett av den alminnelige plikten til å gi korrekt informasjon etter forvaltningsrettslige prinsipper.
Vi vil likevel påpeke at selv om den som fremsetter et krav om retting ikke uttrykkelig viser til personvernforordningen som rettslig grunnlag for kravet, må forvaltningen vurdere om et krav om retting gjelder personopplysninger og om plikt til retting følger av personvernforordningen. Hverken Helsetilsynet eller Helsedirektoratet har her behandlet anmodningen som et krav om retting etter personvernregelverket, med opplysning om klageadgang til Datatilsynet eller oppfordring til å kontakte personvernombudet for bistand.
Både Helsetilsynets og Helsedirektoratets hjemmeside har informasjon om behandling av personopplysninger og hvordan man kan henvende seg til personvernombudet. Det fremgår i tillegg av hjemmesiden til Helsedirektoratet at personvernombudet «bistår med å ivareta rettigheter for den som har opplysninger registrert hos Helsedirektoratet». Etter Sivilombudets syn er det tilstrekkelig at informasjon om behandling av personopplysninger fremgår av en virksomhets hjemmeside, fordi en hjemmeside er lett tilgjengelig, og en effektiv og rettferdig måte å nå publikum på med generell informasjon som er av almen interesse. I en konkret sak kan det imidlertid følge av veiledningsplikten at det må gis uttrykkelig informasjon om personvernombudet i tillegg til det som fremgår på hjemmesiden.
5. Videre oppfølging
Sivilombudet har fått opplyst at Helsetilsynet og Helsedirektoratet hadde et møte 30. mai 2024 om behov for endringer i HPR. Helsedirektoratet (som er eier av HPR), Norsk helsenett (som er ansvarlig for drift, forvaltning og utvikling av HPR) og Helsetilsynet ble enige om at Helsetilsynet skal utarbeide en detaljert kravspesifikasjon knyttet til behovet for oppdateringer og endringer i HPR-registeret.
Konklusjon
Sivilombudet er kommet til at forvaltningens plikt til å gi korrekt informasjon ikke er oppfylt. I tillegg har Helsetilsynet og Helsedirektoratet opptrådt i strid med veiledningsplikten.
Opplysningene om klager må rettes slik at informasjonen om klagers autorisasjon ikke er misvisende i den offentlige visningen av HPR. Helsetilsynet og Helsedirektoratet må sammen sørge for at HPR innrettes slik at systemet gir riktig informasjon om autorisasjonsdato i den offentlige visningen av HPR i tilfeller der tilbakekall blir omgjort etter klage. Helsetilsynet og Helsedirektoratet bes merke seg Ombudets syn på innholdet i veiledningsplikten i fvl. § 11.
Helsetilsynet og Helsedirektoratet anmodes om å legge Sivilombudets konklusjoner til grunn i sitt videre arbeid, og gi Sivilombudet en tilbakemelding om oppfølgingen av saken innen 16. september 2024.