Legelisten-saken i Høyesterett
Denne uken behandlet Høyesterett den såkalte Legelisten-saken. Vi har fulgt saken i spenning og var til stede under Høyesteretts behandling. Vi vil her dele hva denne saken gjelder og hvilke temaer som nå vurderes av Høyesterett.
Saken gjelder gyldigheten av Personvernnemndas vedtak om at Legelisten.no AS har behandlingsgrunnlag for innsamling og publisering av pasienters subjektive vurderinger av helsepersonell.
Legelisten
Legelisten.no AS («Legelisten») har utviklet og driver nettsiden Legelisten.no hvor pasienter kan gi en stjernevurdering fra 1-5 og skrive vurderinger om leger, tannleger, psykologer og andre helsepersonell.
Kort om sakens gang
Legelisten ble klaget inn til Datatilsynet i 2017. Datatilsynet konkluderte da med at det måtte innføres en mulighet for at helsepersonell kunne reservere seg mot å bli vurdert for at behandlingen skulle være lovlig. Legelisten klaget inn saken for Personvernnemnda (Datatilsynets klageorgan) og fikk medhold i at behandlingen var lovlig uten at det måtte innføres en generell reservasjonsadgang for helsepersonellet.
På vegne av helsepersonellet klaget Den Norske Legeforeningen («Legeforeningen») vedtaket inn for Oslo tingrett. Både tingretten og lagmannsretten har slått fast av behandlingen hadde et gyldig behandlingsgrunnlag og dermed at Personvernnemndas vedtak var gyldig.
De rettslige spørsmålene
Kjernen i saken er om Legelisten har et lovlig rettslig grunnlag, i personvernsammenheng et såkalt behandlingsgrunnlag, for å samle inn og publisere pasientenes subjektive vurderinger. All behandling av personopplysninger må ha et behandlingsgrunnlag for å være lovlig etter personopplysningsloven og personvernforordningen (GDPR).
Legelisten har basert behandlingen på behandlingsgrunnlaget i GDPR artikkel 6 nr. 1 bokstav f. Etter bestemmelsen kan Legelisten behandle personopplysninger dersom tre vilkår er oppfylt: Behandlingen må ivareta en berettiget interesse, behandlingen må være nødvendig, og det må gjøres en interesseavveining mellom den interessen Legelisten har i å samle inn og publisere vurderingene av helsepersonellet, og de personvernulempene helsepersonellet opplever.
Berettiget interesse
Det er uomtvistet i saken at Legelisten har en berettiget interesse. De berettigede interessene til Legelisten er pasienters ytringsfrihet, forbrukerinteresser, konkurransehensyn, andre allmennyttige hensyn som mulighet for bedre helsetilbud og Legelistens økonomiske formål, jf. tingrettens dom.
Nødvendighetsvilkåret
Partene er uenige om behandlingen er nødvendig. Legeforeningen mener at behandlingen går lenger enn nødvendig og at formålet kunne vært oppnådd med andre, mindre inngripende midler. Staten v/Personvernnemnda har på sin side argumentert med at formålet kun vil oppnås dersom vurderingene er anonyme og at helsepersonell ikke har en reservasjonsrett.
Under ankeforhandlingene i Høyesterett argumenterte Legeforeningen med at det ikke er nødvendig at helsepersonellets navn dukker opp ved et vanlig google-søk. På den måten vil man få opp anmeldelsen, selv om man ikke er en pasient på utkikk etter en ny lege. Legeforeningen mente at helsepersonellets navn bare skulle være søkbart på Legelistens egne nettsider. Legeforeningen argumenterte også med at formålet ikke oppnås når kvaliteten i vurderingene er for lav. Legeforeningen viste til at det er en rekke usaklige vurderinger som er i strid med Legelistens egne retningslinjer.
Legeforeningen er her uenig med Lagmannsretten, som konkluderte med at behandlingen er nødvendig fordi vurderingene kan gi nyttig informasjon til pasienter, og at pasientene i langt mindre grad ville legge inn vurderinger dersom de ikke var sikret anonymitet. I tillegg vektla lagmannsretten at 1 100 leger ønsket å reservere seg etter Datatilsynets vedtak i 2017, og at det derfor var sannsynlig at formålet ikke ville kunne oppnås dersom man innførte en generell reservasjonsrett.
Interesseavveiningen
Partene er også uenige om vektingene av momentene i interesseavveiningen.
Ved interesseavveiningen må den behandlingsansvarlige vurdere sin egen interesse opp mot personvernulempene de berørte opplever ved behandlingen. Ordlyden i bestemmelsen gir liten veiledning om hvordan interesseavveiningen skal gjennomføres, men Datatilsynet har delt vurderingen som må gjøres i fire trinn:
1. Vurdere de berettigede interessene
Vekten kan variere mellom ubetydelig til tungtveiende.
Allmennyttighetene interesser vil for eksempel være mer tungtveiende enn økonomiske interesser.
2. Vurdere personvernulempen for den berørte
Virkningen kan variere mellom begrenset til veldig inngripende.
Jo mer inngripende behandlingen er, desto mer tungtveiende må behandlingsansvarliges interesse være.
3. Vurdere tiltak som kan minimere inngrepet i personvernet
Et slikt tiltak kan for eksempel være at man gis en rett til å reservere seg mot behandlingen.
4. Foreta en endelig balansetest
Interessene og konsekvensene må måles mot hverandre.
