Høyesterettsdom i Legelisten-saken
Sist november publiserte vi en artikkel angående den såkalte «Legelisten-saken». Kort oppsummert er dette en sak som først ble vurdert av Datatilsynet i 2017, og gradvis har beveget seg igjennom rettsapparatet opp til Høyesterett. At saken har sluppet igjennom sistnevnte sitt nåløye, betyr at Høyesterett har ansett saken for å være viktig å avklare.
Legelisten.no er en nettbasert tjeneste for informasjonsdeling om helsepersonell. Formålet med nettsiden er å gjøre det enklere for pasienter å velge behandler. Spørsmålet om lovligheten av slik omtale på nett har ikke vært vurdert tidligere av norske domstoler, og det har derfor vært knyttet en del spenning til Høyesterett sin behandling. I denne omgang kommer jeg kun til å trekke ut enkelte uttalelser i tilknytning til berettiget interesse som behandlingsgrunnlag. For sakens nærmere faktum, begrunnelser og konklusjon, viser jeg til dokumentet HR-2021-2403-A.
Spørsmålet i saken var om Legelisten hadde et gyldig behandlingsgrunnlag. Sistnevnte anførte at samtlige vilkår etter art. 6 (1) bokstav (f) var oppfylt. Den norske legeforening var ikke uenig om at det forelå en berettiget interesse, men anførte at nødvendighetsvilkåret ikke var oppfylt, samt at Legelisten sin berettigede interesse ikke veide tyngre enn personverninteressene til helsepersonell.
Nødvendighetsvilkåret
Legelisten begrunnet nødvendighetsvilkåret ut ifra behandlingsformålet. I tråd med ordlyden etter art. 6 (1) bokstav (f) må behandlingen være «nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige». Videre mente de det var klart at vurderingene av helsepersonell ikke gikk lenger enn nødvendig, særlig på bakgrunn av at de hadde en moderatorkontroll som fanget opp uriktige eller useriøse vurderinger.
Den norske Legeforening mente at nødvendighetsvilkåret innebærer en høy terskel. Sistnevnte presenterte to mulige tiltak for mindre inngripende behandling; (1) Legelisten kan hindre at vurderingene av helsepersonell kommer opp først ved rene navnesøk på internett (2) Legelisten kan være mer konsekvent med å påse at retningslinjene for nettstedet blir overholdt. Hensikten deres med å presentere tiltak, er for å forsøke å illustrere at behandlingen kan oppnås på en mindre inngripende måte. Slik er de mulige tiltak med på å begrunne deres anførsel om at registreringen og publiseringen går lenger enn nødvendig, og derfor ikke oppfyller nødvendighetskravet etter art. 6 (1) bokstav (f).
I avsnitt (54) uttales det at vilkåret er uttrykt på forskjellige måter i ulike kilder. Slik førstvoterende har forstått det, innebærer ikke ordet «nødvendig» et krav om at alle sider ved behandlingen må være absolutt påkrevet. I denne sammenheng kan uttalelsen forstås slik at Høyesterett i en viss grad stiller opp et noe lempeligere krav enn det den norske legeforening gjorde i sin anførsel angående registrering og publisering. Videre uttales det i avsnitt (55) at det sentrale vurderingstemaet er om de berettigede interesser med rimelighet kan realiseres like effektivt på en annen måte som er mindre inngripende. Merk ordet «rimelighet» i denne sammenheng. Tiltak for en mindre inngripende behandling må ikke være uforholdsmessig strenge, sett i sammenheng med behandlingens art og øvrige forhold. I avsnitt (61) kommer Høyesterett frem til at mer omfattende kontroll fra Legelisten sin side, ville ha motvirket deres berettigede interesse. Deres konklusjon er at nødvendighetskravet er oppfylt.
Interesseavveiningen
Avgjørende for vurderingen er om de berettigede interessene til en behandlingsansvarlig etter en interesseavveining, veier tyngre enn de registrertes interesser eller grunnleggende rettigheter og friheter. Ordlyden omfatter mer enn kun selve personopplysningsvernet, og avsnitt (63) fastslår dette ved å henvise til rettigheter og friheter som beskyttes av europaretten. Samt at det i fortalen (47) i GDPR er uttalt at det skal tas hensyn til «de registrertes rimelige forventninger på grunnlag av forholdet mellom dem og den behandlingsansvarlige». Med andre ord dekker ordlyden etter artikkelen meget bredt for hva som skal legges i vektskålen ved en interesseavveining.
Legelisten viste til ytringsfriheten og at de subjektive brukervurderingene hadde en allmenn interesse. For dem var det også et sentralt moment at vurderingene gjaldt en profesjonsutøvelse, og at helsepersonell har en rolle i det offentlig liv.
De grunnleggende rettigheter som Høyesterett viste til i denne sammenheng, var retten til respekt for privatliv og familieliv, herunder personlig omdømme. Videre retten til beskyttelse av personopplysninger, og til prinsippet om dataminimering etter art. 5 (1) bokstav (d) i GDPR. Sentrale moment i en interesseavveining er om opplysningene er offentlig kjent, grovheten ved krenkelsen av de registrertes rettigheter og friheter, herunder hvor følsomme personopplysningene er, antall personer som har tilgang til dem, og hvordan man kan få tilgang til dem, jf. avsnitt (65).
I denne vurderingen viste Høyesterett både til Legelisten sine økonomiske interesser ved behandlingen, samt den allmenne interessen av brukervurderingene. Det er her verdt å merke seg at Høyesterett har uttalt at den økonomiske interessen i denne saken isolert sett har begrenset vekt målt opp mot helsepersonellets personverninteresser. Hvilken vekt økonomiske interesser vil kunne utgjøre i en interesseavveining avhenger av den motstridende interessen, men et generelt utgangspunkt er at; jo mer følsomme opplysningene er, desto større må interessen være. En økonomisk interesse vil i mange sammenhenger fremstå som svak. I denne saken virker det økonomiske perspektivet mer som en tilleggs interesse til den allmenne interessen.
Etter å ha vurdert de ulike interessene opp mot hverandre, samt vurdert relevans og vekt ved tiltak for å begrense personvernulempene, konkluderer Høyesterett i Legelisten sin favør. «De berettigede hensyn som ligger til grunn for Legelisten.no – og da særlig allmennhetens behov for informasjon om tilbydere av helsetjenester – må veie tyngre enn hensynet til helsepersonellets personvern» se avsnitt (92).
Konklusjon
Høyesteretts syn var at samtlige vilkår etter art. 6 (1) bokstav (f) var oppfylt, og det forelå et gyldig behandlingsgrunnlag etter GDPR. Dommen er derfor i Legelisten sin favør. Legeforeningen har uttalt i ettertid at det er bekymringsfullt at leger sidestilles med kommersielle tjenesteytere, og at deres personvern bør vektlegges tyngre enn forbrukerhensyn.
