Høyesterett om "berettigede interesser" som behandlingsgrunnlag etter GDPR

Dom 7. desember 2021 (Legelisten-saken)

Saken gjaldt spørsmålet om Legelisten.no (Legelisten), en nettbasert tjeneste for anonym deling av informasjon om blant annet fastleger og tannleger, har rettslig grunnlag for å registrere og publisere subjektive brukervurderinger av helsepersonell.

Bakgrunnen for saken var klager fra helsepersonell som ønsket å reservere seg mot å bli omtalt på nettstedet, begrunnet i at de opplever negativ og belastende omtale som for leger også er egnet til å påvirke rollen som "portvokter" for offentlige ytelser. Datatilsynet avslo anmodningen 6. oktober 2016, men etter at Personvernnemda sendte saken tilbake til Datatilsynet for ny behandling, påla Datatilsynet Legelisten blant annet å åpne en generell reservasjonsadgang. I etterkant av dette kom det inn omtrent 1 100 anmodninger om reservasjon fra helsepersonell.

Etter klage fastslo Personvernnemda imidlertid i vedtak 21. januar 2019 (dissens 5-2) at Legelisten hadde behandlingsgrunnlag etter EUs personvernforordning (GDPR) artikkel 6 nr. 1 bokstav f om "berettigede interesser", og at det ikke var plikt til å åpne for en slik generell reservasjonsadgang. GDPR gjelder etter personopplysningsloven 2018 § 1 som norsk lov og artikkel 6 bestemmer at behandling av personopplysninger bare er lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:

[…]

f) behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.

Både tingrett og lagmannsrett kom til at Personvernnemdas vedtak var gyldig og frifant Legelisten. Saken ble påanket til Høyesterett av Legeforeningen. For Høyesterett var partene enige om at Legelisten ivaretok "berettigede interesser" (pasienters ytringsfrihet, forbrukerinteresser, konkurransehensyn, andre allmennyttige hensyn som mulighet for bedre helsetilbud og Legelistens økonomiske formål), men Legeforeningen bestred at nødvendighetskravet i art. 6 nr. 1 bokstav f var oppfylt og fremholdt videre at interesseavveiningen måtte slå ut til fordel for helsepersonellets personvern, ikke befolkningens interesse.

Høyesteretts vurderinger

Høyesterett konstaterer først at domstolene har kompetanse til å prøve Personvernnemdas vedtak fullt ut, både faktisk og rettslig. Deretter konkluderer en enstemmig Høyesterett på samme måte som de foregående rettsinstansene med at det etter en helhetsvurdering av nødvendighetsvilkåret og av de relevante interessene i saken foreligger behandlingsgrunnlag etter GDPR art. 6 nr. 1 bokstav f. Høyesterett trakk frem følgende sentrale momenter i sin drøftelse:

• Legelisten dekker et viktig informasjonsbehov for brukerne
• Brukerne har få andre kilder til informasjon om kvaliteten av tjenestene
• Helsepersonell som omtales på nettsiden tilbyr tjenester i konkurranse med andre basert på prinsippet om fritt brukervalg
• Legelisten gir brukerne av helsetjenester mulighet til å utøve sin grunnleggende rett til ytringsfrihet og selv subjektive vurderinger har betydelig informasjonsverdi
• Legelistens tiltak for å begrense personvernulempene tilfredsstiller det man med rimelighet kan forvente, selv om det fra tid til annen slipper igjennom vurderinger som kan være i strid med Legelistens egne retningslinjer. Legeforeningen på sin side mente at Legelisten, i tillegg til eksisterende tiltak, burde hindre at vurderingene av helsepersonellet på Legelisten kom opp først ved rene navnesøk på Internett.
• De berettigede interesser kan ikke med rimelighet realiseres effektivt på en annen og mindre inngripende måte; f.eks. vil en frikobling av brukervurderingene på Legelisten.no fra de mest brukte søkemotorene (ved navnesøk) på internett innebære at de berettigede interessene bak nettstedet ikke ville kunne ivaretas like effektivt som i dag (behandlingen er mao. nødvendig)
• Derfor: allmenhetens behov for informasjon om tilbydere av helsetjenester må veie tyngre enn hensynet til helsepersonellets personvern

DLA Pipers observasjoner

Avgjørelsen er den første i Høyesterett etter at GDPR ble norsk lov. Etter vårt syn viser Høyesteretts vurderinger i saken at domstolene tillegger ytringsfriheten og informasjonshensyn betydelig vekt, uansett om avveiningen gjelder motstridende personverninteresser. Også forbrukerhensyn ble trukket inn i interesseavveiningen etter GDPR at. 6 (1) bokstav f.

Avgjørelsen gir ikke noen direkte veiledning om hva som kan være "berettigede interesser" i alminnelighet, men blant de interessene som partene for så vidt var enige om i saken, gir Høyesterett likevel noen indikasjoner på hvilke interesser som har mer eller mindre vekt når det uttales at "Legelistens økonomiske interesser har isolert sett relativt begrenset vekt målt opp mot helsepersonellets personverninteresser".

Høyesteretts konklusjon og interesseavveining bygger imidlertid på en forutsetning om at belastningen for helsepersonell - og dermed vekten av dette momentet i interesseavveiningen - må ses i lys av det er tale om en profesjonsutøvelse og ikke rent personlige forhold. Negativ omtale rammer da formodentlig mindre hardt, og helsepersonell må tåle saklig kritikk. Siterte uttalelser fra Legelisten viser utvilsomt karakteristikker av helsepersonell ut over det som med rimelighet kan kalles saklig kritikk, samtidig som det fremheves i dommen at de fleste omtalene er positive. Det er grunn til å reflektere ved om personvernulempene for de/den som rammes vil kunne ha større plass i helhetsvurderingen dersom det ikke er tale om en "gruppevurdering", slik tilfellet ble med helsepersonell i denne saken. Det er mulig befolkningens informasjonsbehov da vektlegges på en annen måte.

Les dommen i sin helhet her. 

Denne gjennomgangen kan også leses på engelsk ved å trykke her.