JO dnr 3684-2009

I tidigare anmälningar till JO, ärende dnr 5698-2008, klagade J.H. på Rättspsykiatriska kliniken i Säter, Landstinget Dalarna. Klagomålen gällde bl.a. handläggningen av en framställning om utlämnande av journalhandlingar. JO anmodade Landstingsstyrelsen, Landstinget Dalarna, att göra en utredning och yttra sig över delar av de klagomål som hade framförts. Till remissen fogades de aktuella anmälningarna och vissa handlingar som J.H. hade gett in till JO. J.H. kom därefter in med ett antal skrivelser till JO och framförde ytterligare klagomål mot kliniken. Vissa av skrivelserna översändes till landstingsstyrelsen med uppgift om att även dessa handlingar skulle beaktas vid besvarandet av remissen.

Inför det sammanträde vid vilket landstingsstyrelsen fattade beslut om yttrande till JO publicerades de nyss nämnda remisserna och de handlingar som hade fogats till dessa samt landstingets utredning i vissa delar och förslag till yttrande på landstingets webbplats, www.ltdalarna.se.

I en anmälan till JO klagade J.H. på att Landstinget Dalarna hade publicerat handlingar som innehöll uppgifter om honom och hans anhöriga på landstingets webbplats. Han anförde bl.a. att publiceringen medfört att den som sökte på hans namn via sökmotorn Google fick tillgång till uppgifter om bl.a. hans personnummer, adress och diagnoser.

Till anmälan hade fogats bl.a. de handlingar som publicerats.

Landstingsstyrelsen, Landstinget Dalarna, anmodades, bl.a. mot bakgrund av den sekretess som gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden (25 kap. 1 § första stycket

offentlighets- och sekretesslagen , 2009:400, tidigare 7 kap. 1 c § första stycket sekretesslagen , 1980:100), att yttra sig över vilka överväganden som hade skett innan handlingar rörande J.H. hade gjorts tillgängliga på landstingets webbplats.

I remissvaret anförde landstingsstyrelsen bl.a. följande.

Av anmälan framgår bl.a. att N.N. hävdar att landstinget publicerat personuppgifter om N.N., hans diagnoser samt uppgifter om hans närstående på www.ltdalarna.se. [– – –]

Landstingsstyrelsen har tidigare behandlat en JO-anmälan från N.N. och avgivit yttrande i samband därmed 2009-03-30 § 42 (LD dnr 08/02943). Inför detta yttrande föreskrev JO följande: ”Till remissvaret ska fogas ett protokollsunderlag från det sammanträde vid vilket styrelsen fattade beslut om yttrande till JO.” Det innebär således att svaret inte kunde avlämnas av landstingsdirektören med stöd av delegeringsbestämmelserna, utan att samtliga 15 ledamöter samt deras ersättare i landstingsstyrelsen skulle ges tillgång till beslutsunderlaget och vara delaktiga i beslutet.

JO bifogade ett underlag för anmälan. JO:s remiss omfattade 20 sidor varav 18 sidor ingivits av N.N., genom hans juridiska ombud Brita Kjellin. De uppgifter som ingivits av N.N. innehöll bland annat personuppgifter om N.N. och kontaktuppgifter till närstående. Uppgifter om hotbild eller sekretessfrågor saknades. JO gav inte heller någon särskild föreskrift om sekretess.

Landstingsstyrelsens yttrande

De uppgifter som N.N. åberopar hänför sig inte till någon patientjournal. Av de sammanlagt 34 sidor som publicerats på landstingets webbsida inför sammanträdet, utgjorde totalt 20 sidor kopia av de handlingar som inkommit från JO, varav 18 sidor författats av N.N:s juridiska ombud, innehållande bland annat uppgifter om personuppgifter om N.N. och kontaktuppgifter till närstående. Uppgifter om hotbild eller sekretessfrågor saknades. Utredningen i ärendet bestod av 12 sidor, varav 7 sidor avsåg utdrag ur interna rutiner. Förslaget till yttrande bestod av 2 sidor.

Av den JO-anmälan som N.N. ingav 2008-10-31 med komplettering 2008-12-11 framgår att N.N. varit upprörd och kränkt bl.a. över att inte få ta del av journalhandlingar och en dom som rörde honom själv samt tidsutdräkt vid frågor rörande utlämnande av allmänna handlingar. Mot bakgrund av det som N.N. anfört i sin anmälan framstod det som uppenbart att N.N. sökte publicitet och krävde att landstingsstyrelsens ledamöter skulle avkrävas ansvar för de kränkningar som N.N. menade sig vara utsatt för i och med att han förmenades grundlagsfästa rättigheter. Enligt uppgift i anmälan hade anmälan utformats i samråd med en juridisk rådgivare. Det fanns inget i anmälan som antydde förekomsten av någon hotbild eller önskan om anonymitet. JO gav inte heller någon särskild föreskrift om sekretess.

Landstingsstyrelsen består av 15 politiskt valda fritidspolitiker. Inför varje sammanträde skall handlingar tillställas ordinarie ledamöter, suppleanter och politiska sekreterare. Alla sammanträden sker i en öppen, demokratisk ordning och allt underlag jämte protokoll finns tillgängliga för de medborgare som har rätt till insyn och kontroll i beslutsfattandet. Såväl aktuellt som arkiverat material inklusive bilagor finns publicerat på nätet. Sammanträdet föregås av förberedelser i såväl tjänstemanna- som politiska ledningsgrupper, olika politiska grupperingar samt s.k. MBL-förhandling. Landstingsstyrelsen sammanträder ca 9–10 ggr årligen. Alla handlingar som legat till grund för beslut jämte protokollen skall hållas tillgängliga för alla medborgare och publiceras därför löpande på nätet.

Beslutet om att inte sekretessbelägga några personuppgifter i samband med publiceringen på nätet föregicks av s.k. menprövning i enlighet med 7 kap. 1 § c) sekretesslagen (1980:100) . Det framstod som uppenbart att det inte fanns någon risk för men för N.N. eller dennes närstående vid utlämnandet av uppgifterna – tvärtom

JO-ärendet handlade i huvudsak om offentlighetsprincipens tillämpning. I sammanhanget skall också framhållas att vid beslutstillfället lades inga värderingar i det faktum att N.N. är tvångsintagen på en rättspsykiatrisk klinik för vård.

En annan omständighet som talade för att inte sekretessbelägga uppgifter var också det faktum att JO särskilt föreskrivit att beslutet skulle fattas av landstingsstyrelsen – med de krav på öppenhet och information som därvid följer vid politiska beslut, samt att JO inte lämnat någon föreskrift om sekretess avseende de handlingar som ingavs till landstinget från JO. Det framstod således som att JO gjort samma bedömning beträffande sekretessfrågan.

Landstinget kan också konstatera att två länstäckande dagstidningar baserat artiklar i detta ärende på innehållet i N.N:s senaste JO-anmälan. N.N. har också tidigare figurerat i pressen med såväl namn som uppgift om att han är intagen för tvångsvård vid rättspsykiatriska kliniken. Sekretessfrågan förefaller därmed inte helt självklar.

Med hänsyn tagen till att N.N. numera inkommit med ytterligare JO-anmälan och därvid anfört att han känner sig kränkt över att uppgifter i hans första JO-anmälan – såsom personuppgifter och uppgifter om diagnos och

behandling – kommit till allmänhetens kännedom – får det därmed anses stå klart att bedömningen var felaktig. Med kännedom om den kränkning som N.N. uppger att han nu upplever, står det numera klart att patienten borde ha tillfrågats om sin inställning till sekretessfrågan inför landstingsstyrelsens beslut.

De personuppgifter som fanns utlagda på nätet avlägsnades så snart kännedom erhölls om N.N:s inställning i frågan.

Oaktat detta föregicks utlämnandet av uppgifterna av en bedömning som i efterhand visat sig vara felaktig, men som vid beslutstillfället framstod som självklar. Det är således inte fråga om ett misstag eller något medvetet ont uppsåt. Landstingsstyrelsen menar dock att rutinerna kan förbättras, innebärande att patienter regelmässigt tillfrågas om sin inställning i dessa frågor inför remissyttranden för att undvika bedömningsmisstag, i de fall man överväger att inte sekretessbelägga personuppgifter. – – –

J.H. bereddes tillfälle att kommentera remissvaret.

I ett beslut den 4 mars 2011 anförde JO Wiklund följande.

Vid ett sammanträde den 30 mars 2009 behandlade landstingsstyrelsen två remisser från JO (JO:s ärende dnr 5698-2008). Inför sammanträdet publicerades remisserna och de handlingar som hade fogats till dessa samt landstingets utredning i vissa delar och förslag till yttrande på landstingets webbplats, www.ltdalarna.se.

I de publicerade handlingarna fanns uppgifter om J.H., som vårdades på Rättspsykiatriska kliniken i Säter, och om hans hustru. Av handlingarna framgick bl.a. J.H:s namn, personnummer och telefonnummer samt att han var intagen på den rättspsykiatriska kliniken. Vidare fanns det i handlingarna uppgifter om J.H:s psykiska hälsa. När det gällde hustrun förekom det uppgifter om hennes namn och hennes relation till J.H.

Den första frågan som inställer sig är om det på grund av sekretess fanns något hinder mot att publicera de aktuella handlingarna på webbplatsen.

Inom hälso- och sjukvården råder en stark sekretess. Enligt 25 kap. 1 § första stycket offentlighets- och sekretesslagen (2009:400) , OSL, gäller sekretess inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. (Motsvarande bestämmelse fanns före den 30 juni 2009 i 7 kap. 1 c § första stycket sekretesslagen [1980:100], SekrL). Av 25 kap. 10 § OSL (tidigare 7 kap. 2 § första stycket SekrL ) följer dock att beslut om frihetsberövande åtgärder enligt lagstiftningen om psykiatrisk tvångsvård eller rättspsykiatrisk vård inte omfattas av sekretess.

Det anförda innebär att när JO skickar en remiss till ett landsting och till remissen fogar handlingar som innehåller uppgifter som rör en enskilds hälsotillstånd eller andra personliga förhållanden, gäller en presumtion för att dessa uppgifter omfattas av sekretess hos landstinget. Sådana uppgifter får landstinget röja först efter en skadeprövning i det enskilda fallet.

Ett beslut om intagning på en viss sjukvårdsinrättning enligt 5 § förordningen ( 1991:1472 ) om psykiatrisk tvångsvård och rättspsykiatrisk vård är ett sådant beslut som enligt 25 kap. 10 § OSL är undantaget från sekretess. Det har därför från sekretessynpunkt inte funnits något hinder mot att publicera uppgiften att J.H. var intagen på Rättspsykiatriska kliniken i Säter. Genom publiceringen av de ovan nämnda handlingarna har emellertid även uppgifter rörande bl.a. J.H:s hälsotillstånd röjts. Dessa uppgifter omfattas typiskt sett av sekretess hos landstinget. I remissvaret har landstingsstyrelsen anfört att publiceringen föregicks av en skadeprövning och att det därvid framstod som uppenbart att uppgifterna kunde röjas utan att J.H. eller någon närstående till honom skulle lida men. Vid skadeprövningen synes landstinget ha fäst avseende vid den omständigheten att merparten av uppgifterna förekom i de JO-anmälningar som J.H. hade gjort och utgått från att dessa uppgifter var offentliga hos JO.

Sekretessen för en anmälan hos Riksdagens ombudsmän regleras i 42 kap. 2 § OSL (tidigare 11 kap. 4 § tredje stycket SekrL ). Där stadgas bl.a. att för uppgift som en justitieombudsman får från en enskild gäller sekretess till skydd för enskilds personliga förhållanden endast om en sekretessbestämmelse till skydd för sådana förhållanden skulle ha varit tillämplig hos den myndighet som ärendet får anses avse och det kan antas att den enskilde eller någon närstående till denne lider betydande men om uppgiften röjs.

Sekretessen för uppgift om enskilds personliga förhållanden är således avsevärt mer begränsad hos JO än inom landstinget. När en myndighet på hälso- och sjukvårdens område har att ta ställning till om sådana uppgifter kan lämnas ut ska myndigheten emellertid tillämpa den sekretess som gäller för den myndighetens verksamhet. Detta innebär att uppgifter som förekommer i en JO-anmälan kan vara

sekretessbelagda hos landstinget trots att uppgifterna inte skulle anses omfattade av sekretess hos JO.

Att en handling är offentlig hos JO kan i och för sig tänkas påverka landstingets skadeprövning. Det kan dock vara en vansklig uppgift för landstinget att bedöma om uppgifter i en handling skulle lämnas ut av JO (jfr JO:s ämbetsberättelse 1994/95 s. 503). Vidare vill jag framhålla att det förhållandet att remissen i JO:s ärende var ställd till landstingsstyrelsen självfallet inte kan tillmätas någon betydelse vid landstingets skadeprövning. Inte heller ankommer det på JO att upplysa en myndighet om att uppgifter som förekommer i handlingar i ett ärende som remitterats dit kan omfattas av sekretess hos den mottagande myndigheten. Som jag redan framhållit måste en myndighet göra en självständig sekretessprövning och tillämpa den sekretess som gäller för myndighetens verksamhet innan man röjer uppgifter i allmänna handlingar.

Landstingets bedömning att den s.k. hälso- och sjukvårdssekretessen inte innebar hinder mot att röja uppgifterna rörande J.H:s hälsotillstånd kan enligt min mening diskuteras. Jag anser mig dock inte ha grund för att hävda att landstingets publicering av uppgifterna på webbplatsen stod i strid med sekretessregleringen.

Publiceringen måste emellertid även bedömas i förhållande till bestämmelserna i personuppgiftslagen (1998:204) . När det gäller den frågan är Datainspektionens tillsynsärende dnr 1857-2009 av intresse:

I slutet av år 2009 inledde Datainspektionen tillsyn mot Landstinget Dalarna efter att ha uppmärksammats på att det fanns personuppgifter tillgängliga på landstingets webbplats, www.ltdalarna.se. Personuppgifterna avsåg dels en patient på Rättspsykiatriska kliniken i Säter (patienten), dels en person (anmälaren) som hade anmält Landstinget Dalarna till JO, bl.a. för hanteringen av en ansökan om att få besöka patienten. Datainspektionen avslutade sitt ärende genom beslut den 9 mars 2010. I beslutet konstaterade Datainspektionen att landstinget hade behandlat personuppgifter på sin webbplats i strid med personuppgiftslagen och anförde bl.a. följande.

Skäl för beslutet

Tillämpliga bestämmelser – missbruksregeln 5 a § personuppgiftslagen Datainspektionen bedömer att landstingets publicering av personuppgifterna på landstingets webbplats i detta fall utgör sådan behandling av personuppgifter i ostrukturerat material som, enligt den s.k. missbruksregeln i 5 a § personuppgiftslagen , är undantagen från tillämpning av huvuddelen av de s.k. hanteringsreglerna. Enligt missbruksregeln får en behandling av personuppgifter inte utföras om den innebär en kränkning av den registrerades personliga integritet.

Bedömningen av vad som är en kränkning enligt missbruksregeln bygger på att en intresseavvägning görs i det enskilda fallet där den registrerades intresse av en fredad, privat, sfär vägs mot andra motstående intressen. Bedömningen ska således inte göras schablonartat enbart utifrån vilka uppgifter som behandlas utan måste även ta sin utgångspunkt i t.ex. vilket sammanhang uppgifterna förekommer och för vilket syfte de har behandlats, vilken spridning de har fått eller riskerat att få samt vad behandlingen kan leda till. Hanteringsreglerna, som i och för sig inte behöver

Kommuners och landstings publicering på Internet av protokoll, diarier m.m. är föremål för särskild reglering i 12 § personuppgiftsförordningen . Även om denna bestämmelse formellt gäller undantag från överföringsförbudet i 33 § personuppgiftslagen , var syftet med bestämmelsen att reglera under vilka förutsättningar kommuner och landsting får publicera protokoll och diarier m.m. på Internet. Bestämmelsen kan därför ge vägledning för vad som ska anses vara en kränkning enligt missbruksregeln. Enligt denna bestämmelse får en kommun eller ett landsting till ett tredje land överföra personuppgifter som ingår i bl.a. ett ”justerat protokoll som har förts vid ett sammanträde med fullmäktige eller en nämnd”. Dock gäller att personuppgifter som direkt pekar ut den registrerade, t.ex. namn, får överföras endast om de gäller en förtroendevald (i dennes uppdrag), eller om övriga behandlade personuppgifter som gäller den registrerade (den direkt utpekade personen) inte är känsliga personuppgifter (enligt 13 § personuppgiftslagen ) eller uppgifter om lagöverträdelser (enligt 21 § personuppgiftslagen ) och det samtidigt saknas skäl för att anta att det finns risk för att den registrerades personliga integritet kränks genom överföringen. Dessutom föreskrivs ett förbud för överföring av personnummer och samordningsnummer. – – –

Publicering av personuppgifter avseende patienten

Av de publicerade personuppgifterna avseende patienten framgår, förutom dennes namn och personnummer, även att han är intagen på en rättspsykiatrisk klinik samt uppgifter om dennes relation till anmälaren. Vidare framgår bl.a. av ett citat i den publicerade JO-anmälan skälen till rättspsykiatriska klinikens beslut om besöksinskränkningar, vilka innehåller en bedömning av patientens psykiska hälsa.

Enligt 13 § personuppgiftslagen utgör uppgift om en persons hälsa en känslig personuppgift som, om missbruksregeln inte hade varit tillämplig, hade krävt särskilt stöd i personuppgiftslagen för att behandla. Även användningen av personnummer är särskilt reglerad i de s.k. hanteringsreglerna.

Behandlingen av denna typ av personuppgifter kan även utgöra en kränkning enligt 5 a § personuppgiftslagen . Det är troligt att personuppgifterna om patienten omfattas av sekretess till skydd för den enskilde. Behandling av personuppgifter som innebär brott mot en sekretessbestämmelse nämns i förarbetena som ett exempel på kränkning enligt 5 a § personuppgiftslagen . Genom publiceringen på webben har det också funnits en stor risk för omfattande spridning.

Datainspektionen anser att landstinget har behandlat personuppgifter i strid med personuppgiftslagen genom att lägga ut dessa uppgifter på landstingets webbplats. Landstinget har medgett att publiceringen har skett av misstag. Uppgifterna togs bort av landstinget så snart de blev medvetna om misstaget. De har vidare bett patienten om ursäkt. Det saknas därför anledning för Datainspektionen att vidta ytterligare åtgärder på grund av denna publicering.

Publicering av personuppgifter avseende anmälaren

Av de publicerade personuppgifterna avseende anmälaren framgår, förutom dennes namn och personnummer, även att anmälaren har haft en relation till patienten. Efter att landstinget har tagit bort protokollsbilagorna från webben kvarstår endast möteshandlingarna. Av dessa handlingar framgår att anmälaren har begärt att få besöka patienten men fått avslag samt att hon har försökt att smuggla in en webbkamera till patienten.

Landstinget har också hävdat att ett beslut att inte publicera anmälarens namn på landstingets webbplats hade kunnat uppfattas som ett försök att motverka själva syftet med JO-anmälan – att påvisa förhållanden eller behandling av myndigheter som den enskilde upplever som rättsvidriga eller kränkande. Datainspektionen anser inte att detta kan vara ett motiv för att publicera personuppgifter på webben. Tvärtom, kan risk för att bli namngiven på landstingets webbplats, och därmed sökbar via Internet, avskräcka enskilda från att göra en JO-anmälan mot landstinget. Om den enskilde lämnar sitt samtycke, kan naturligtvis publiceringen inte anses utgöra en kränkning.

Datainspektionen anser mot denna bakgrund att landstinget har behandlat personuppgifter om anmälaren i strid med personuppgiftslagen .

De faktiska omständigheter jag har att bedöma är i hög grad jämförbara med omständigheterna i Datainspektionens tillsynsärende. Mot den bakgrunden kan de uttalanden som Datainspektionen gjorde i sitt beslut i huvudsak föras över på publiceringen av personuppgifterna rörande J.H. och hans hustru på landstingets webbplats. Jag gör ingen annan bedömning i detta ärende än den Datainspektionen gjorde utan anser att landstinget genom publiceringen har behandlat personuppgifter i strid med 5 a § personuppgiftslagen .

I remissvaret har landstingsstyrelsen uppgett att uppgifterna togs bort så snart landstinget fick kännedom om att J.H. kände sig kränkt av den publicering som hade skett. Med hänsyn härtill och då jag utgår från att landstinget i anledning av Datainspektionens beslut den 9 mars 2010 i ärende dnr 1857- 2009 har sett över sina rutiner när det gäller publicering av personuppgifter på Internet anser jag mig kunna lämna saken med gjorda uttalanden.

Vad J.H. i övrigt har anfört föranleder inte någon åtgärd eller något uttalande från min sida.