Saken gjelder spørsmål om behandling av personopplysninger på nettstedet Legelisten.no er i tråd med personopplysningsloven. Nemnda drøfter og tar stilling til hvem som er å anse som behandlingsansvarlig, om behandlingen faller inn under unntaket i personopplysningsloven 2018 § 3 (behandling av personopplysninger for utelukkende journalistiske formål), om det foreligger behandlingsgrunnlag for å samle inn brukernes e-postadresser og om det foreligger behandlingsgrunnlag for å behandle personopplysninger om helsepersonell på nettstedet, både objektive faktaopplysninger og subjektive vurderinger gitt av brukerne. Nemnda vurderer også om brukerne som legger inn vurderinger på siden skal tillates å være anonyme utad.

2. Faktum

Selskapet Legelisten.no AS (heretter Legelisten) lanserte nettstedet Legelisten.no i mai 2012. Legelisten.no er et kommersielt nettsted med en samlet oversikt over alle landets fastleger, med deres navn, kontaktinformasjon, kjønn og alder, slik det følger av oversikten over fastleger på helsenorge.no (den offentlige helseportalen). Sommeren 2013 ble Legelisten utvidet til å dekke tannleger. I 2014 og 2015 ble spesialistleger og kiropraktorer omfattet, og videoleger i 2018.

I tillegg til nevnte faktaopplysninger inneholder Legelisten en oversikt over brukernes vurderinger av den enkelte behandler med et fritekstfelt der det gis omtaler, og en karakterskala på inntil fem stjerner i kategoriene «samlet vurdering», «tilgjengelighet», «tillit og kommunikasjon» og «service». Hvem som helst kan legge inn vurderinger av en behandler på nettstedet, men ifølge nettstedets egne retningslinjer skal vurderinger kun gis av behandlers pasient. Vurderingene blir publisert anonymt, og kobles til en navngitt behandler.

Legelisten oppgir at formålet med tjenesten er at brukerne kan lese om de ulike legetjenestene før de velger en behandler. Legelisten oppgir videre at alle innlegg på nettstedet leses og godkjennes før publisering via en moderatorfunksjon. Legelisten opplyser på sitt nettsted at dette er «[f]or å kvalitetssikre vurderinger og sikre at de er i tråd med våre vilkår og retningslinjer […]»

Ifølge Legelisten har nettstedet ca. 2 millioner unike brukere hvert år. Det er registrert nærmere 12 000 helsepersonell på nettstedet, herunder 4 800 fastleger, som utgjør den største gruppen. Legelisten har opplyst at det er publisert 67 000 vurderinger siden oppstart i 2013 og at 14 000 vurderinger er avvist for publisering i samme periode.

I henhold til nettstedets vilkår og retningslinjer forbeholder selskapet seg «retten til etter eget skjønn og uten begrunnelse å fjerne eller unnlate å publisere vurderinger». Videre opplyses det følgende om innlevering av vurderinger:

«Når du leverer en vurdering går du god for alt innholdet i vurderingen. Videre står du inne for at vurderingen er basert på egne erfaringer, og at du ikke utgir deg for å være en annen person enn du er.

Du er alene ansvarlig for innholdet i vurderinger du innleverer. Selskapet tillater ikke vurderinger som:

er rasistiske, pornografiske eller på annen måte ulovlig og/eller krenkende

inneholder personhets, ærekrenkelser, injurier eller er egnet til å skade andre personer eller virksomheter

krenker immaterielle eller andre rettigheter, herunder men ikke begrenset til opphavsrett, varemerkerettigheter og patentrettigheter, eller forretningshemmeligheter

inneholder bedriftshemmeligheter og konfidensiell informasjon

inneholder konkrete anklager om feilbehandling, feildiagnostisering eller manglende akutt/livsviktig behandling

En vurdering må inneholde en begrunnelse for dine synspunkter eller en beskrivelse av din opplevelse, og skal ikke kun inneholde enkeltord som for eksempel "dårlig" eller "anbefales". Useriøse vurderinger og vurderinger med begrenset eller ingen informasjonsverdi for brukerne av tjenesten vil kunne avvises.

En vurdering skal være basert på en erfaring med behandleren i en medisinsk sammenheng, der man selv har oppsøkt helsehjelp.

Vi oppfordrer deg til unngå å dele informasjon om egen helse i vurderinger du skriver om helsepersonell.»

Legelisten tilbyr også en betalingstjeneste der brukere av nettstedet kan få vite om helsepersonell har mottatt administrative reaksjoner fra Statens helsetilsyn. Tjenesten inneholder også en automatisert løsning for å bestille innsyn i de tilknyttede saksdokumentene hos Helsetilsynet. Betalingstjenesten innebærer at brukeren også kan velge å få et varsel når en yter av helsetjenester mottar nye vurderinger eller når en fastlege får ledig plass på listen sin, og når legen sist åpnet for nye pasienter utenom ventelisten. Pr. desember 2018 kostet betalingstjenesten 95 kroner for tre måneder (engangsbetaling). Legelisten tilbyr også «skreddersydde annonsepakker» til fastleger som ønsker flere pasienter.

Slik tjenesten i dag er lagt opp, har ikke helsepersonell noen generell reservasjonsadgang mot å bli registrert og vurdert på nettstedet. Legelisten praktiserer en reservasjonsordning der helsepersonell kan be om å få reservere seg dersom tungtveiende grunner krever det. Ved slike henvendelser foretar Legelisten en konkret interesseavveining. Legelisten har opplyst at de, før denne saken, hadde mottatt i underkant av 50 anmodninger om reservasjoner, hvorav 11 av disse ble innvilget. Etter at Datatilsynet traff sitt vedtak med pålegg om å innføre en ordning med allmenn reservasjonsrett, har Legelisten mottatt anmodning om reservasjon fra ca. 1 100 helsepersonell, hvorav de aller fleste er fastleger.

3. Saksgang

Tannlege A kontaktet opprinnelig Datatilsynet 10. juli 2015 fordi hun hadde fått negativ omtale på Legelisten. Hun anførte at behandlingen av personopplysninger manglet behandlingsgrunnlag i personopplysningsloven 2000 § 8 bokstav f, og krevde blant annet egne personopplysninger slettet fra siden. Datatilsynet vurderte om A kunne kreve å få slettet negative vurderinger om seg selv på nettstedet og avslo hennes anmodning i vedtak 6. oktober 2016. A påklaget vedtaket til Personvernnemnda, som 1. november 2016 sendte saken tilbake til Datatilsynets for ny realitetsbehandling. Nemnda mente at Datatilsynet ikke hadde tatt stilling til As prinsipale krav om å få slettet alle personopplysninger om seg selv på Legelisten.

Datatilsynet gjenopptok behandlingen av saken. Det framgår av saksdokumentene at Datatilsynet, i den perioden de har jobbet med saken, er blitt kontaktet av flere leger og annet helsepersonell som føler sitt personvern krenket gjennom den etablerte tjenesten. Datatilsynet har også hatt møte og dialog med Legeforeningen, som er svært skeptiske til nettstedet og blant annet har påpekt faren for at nettstedet blir en offentlig gapestokk, mer enn et reelt hjelpemiddel for pasienter på leting etter ny fastlege. Datatilsynet har i tillegg mottatt ulike henvendelser fra brukere av tjenesten som er positive til tjenesten og ønsker at den videreføres. Forbrukerrådet har, på eget initiativ, sendt inn en redegjørelse for de forbrukerhensyn de mener er relevante for saken. Notatet er også publisert på Forbrukerrådets nettside og Forbrukerrådets argumenter gjengis i korte trekk nedenfor.

Datatilsynet traff 8. november 2017 vedtak med pålegg om ulike vilkår som måtte være oppfylt for at behandlingen skulle være i samsvar med loven: Vedtaket har følgende 10 punkter:

Legelisten.no AS pålegges å legge til rette for at helsepersonell kan reservere seg mot å bli vurdert på Legelisten.no og at vurderinger vises på nettstedet, da behandlingen ellers ikke har behandlingsgrunnlag.
Legelisten.no AS pålegges å fastsette sletteregler som sikrer at opplysninger om at helsepersonell har fått autorisasjon, lisens eller spesialistgodkjenning tilbakekalt, slettes senest fem år etter at eventuell ny autorisasjon, lisens eller spesialistgodkjenning er gitt, da behandlingen ellers ikke har behandlingsgrunnlag.
Legelisten.no AS pålegges å fastsette sletteregler som sikrer at opplysninger om at helsepersonell har fått rekvireringsrett tilbakekalt, slettes senest to år etter at eventuell ny rekvireringsrett er gitt, da behandlingen ellers ikke har behandlingsgrunnlag.
Legelisten.no AS pålegges å fastsette sletteregler som sikrer at opplysninger om at helsepersonells autorisasjon, lisens, spesialistgodkjenning eller rekvireringsrett har blitt begrenset, slettes senest to år etter at begrensningene eventuelt er opphevet, da behandlingen ellers ikke har behandlingsgrunnlag.
Legelisten.no AS pålegges å fastsette sletteregler som sikrer at opplysninger om at helsepersonell har blitt ilagt advarsler fra Statens helsetilsyn, slettes senest to år etter at advarselen ble gitt, da behandlingen ellers ikke har behandlingsgrunnlag.
Legelisten.no AS pålegges å sørge for at opplysninger om helsepersonells autorisasjon, lisens, spesialistgodkjenning og rekvireringsrett er korrekte og oppdaterte.
Legelisten.no AS pålegges å sørge for at opplysninger om tidligere helsepersonell som ikke lenger praktiserer yrket, fjernes, da denne behandlingen ikke er relevant for formålet.
Legelisten.no AS pålegges å opphøre å behandle sensitive personopplysninger ved å be om eller lagre e-postadressen til pasienter som har inngitt vurdering av helsepersonell i spesialisthelsetjenesten, da behandlingen mangler behandlingsgrunnlag.
Legelisten.no AS innvilges ikke dispensasjon fra konsesjonsplikt etter personopplysningsloven § 33 tredje ledd, da den aktuelle behandlingen av sensitive personopplysninger mangler behandlingsgrunnlag.
Legelisten.no AS pålegges å gi informasjon i tråd med personopplysningsloven § 20 til alt helsepersonell hvis personopplysninger virksomheten behandler, med mindre det er på det rene at helsepersonellet allerede kjenner til informasjonen varselet skal inneholde.

Legelisten anmodet 21. november 2017 Datatilsynet om at påleggene i vedtaket ble gitt utsatt iverksettelse. Datatilsynet ga 27. november 2017 utsatt iverksettelse for pålegget i vedtakets punkt 1, men ikke for de øvrige punktene.

A fremmet rettidig klage over Datatilsynets vedtak den 4. desember 2017. Legelisten framsatte også rettidig klage på vedtaket 15. januar 2018, etter utsettelse av klagefristen, og ba samtidig om utsatt iverksettelse av påleggene i vedtakspunktene 8 og 9. Datatilsynet avslo anmodningen.

Forbrukerrådet oversendte, på eget initiativ, en vurdering av relevante forbrukerhensyn i saken i brev 26. januar 2018.

Datatilsynet vurderte begge klagene, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda, som mottok saken 26. juni 2018. Både Legelisten og A har inngitt merknader til Datatilsynets oversendelsesbrev.

Legelisten framsatte ny begjæring om utsatt iverksettelse av påleggene i vedtakets punkter 8 og 9 for Personvernnemnda. Begjæringen om utsatt iverksettelse fikk i nemnda saksnummer PVN-2018-20. I beslutning 10. september 2018 ga nemnda utsatt iverksettelse i tråd med den framsatte begjæringen.

Saken ble deretter behandlet i nemndas møter 12. november og 10. desember 2018, og 21. januar 2019. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Line Coll, Gisle Hannemyr, Hans Marius Tessem og Heidi Talsethagen. Ellen Økland Blinkenberg deltok ikke på grunn av inhabilitet. Nemndas sekretær, Anette Klem Funderud var også tilstede.

4. As anførsler i korte trekk

Personvernnemnda bes treffe vedtak om at helsepersonell kan reservere seg mot all omtale på Legelisten, også av personalia.

Hun er uenig i Datatilsynets vurdering av at objektive personopplysninger kan publiseres på

Legelisten. Hun er også uenig i Legelisten sin anførsel om at nettstedets berettigede interesse tar utgangspunkt i allmennhetens interesser for valg av helsepersonell. Legelisten sin interesse må anses som utelukkende økonomisk, fordi listen tar sikte på inntjening i form av annonser o.l. Dette framgår klart av nettstedet. En slik interesse kan ikke veie tungt i interesseavveiningen. Personverninteressen må veie tyngre.

Helsepersonell har en klar interesse i hvor deres personalia gjengis, og har derfor en klar rett til å nekte gjengivelse på internettsider som de ikke ønsker å være med på å legitimere. Det må være uten betydning om opplysningene er tilgjengelig andre steder. Det må være opp til det enkelte helsepersonell å velge hvor man ønsker sine personalia omtalt. Hvis helsepersonell reserverer seg mot vurderinger, må det ikke være slik at dette sammen med personalia gir inntrykk av at noe negativt hefter ved vedkommende. Det vil lett kunne framstå slik, og også derfor må helsepersonell ha rett til fullstendig reservasjon.

Vurderingene som gjengis på Legelisten er gitt av personer som forblir anonyme. Datatilsynet har uttalt at «i denne saken noterer vi at anonyme vurderinger er negative for personvernet til legen, men positivt for personvernet og ytringsfriheten til pasientene». Det er ikke akseptabelt å legge inn anonyme brukervurderinger på en nettside. Det bør være et klart prinsipp at den som legger inn en vurdering, får stå for den med eget navn. Prinsippet om ytringsfrihet bør ledsages av et prinsipp om ytringsansvar. Dette vil dessuten virke begrensende på mange av de ytringer som inntas på nettsider og som for de fleste framstår som frastøtende i form og innhold.

5. Legelistens anførsler i korte trekk

Legelistens behandling av personopplysninger er omfattet av unntaket for journalistiske formål og er vernet av personopplysningsloven 2000 § 7. Legelisten kan dermed ikke pålegges plikter etter loven slik Datatilsynet har lagt til grunn i vedtaket. Dette er bakgrunnen for at samtlige pålegg er påklaget. Dersom nemnda kommer til at Legelisten ikke er vernet etter personopplysningsloven 2000 § 7, vil Legelisten rette seg etter Datatilsynets vedtak punkt 2-7 og 10. I så fall er det vedtakspunktene 1, 8 og 9 som påklages.

Datatilsynets vedtak bygger på uriktig forståelse av de rettslige spørsmålene saken reiser. Datatilsynet har også lagt uriktig faktum til grunn for sin vurdering. Dessuten opplever Legelisten at Datatilsynet ikke har opptrådt nøytralt i denne saken.

5.1 Behandlingsansvarlig

Legelisten er behandlingsansvarlig for de objektive opplysningene som samles inn om helsepersonell, opplysninger om administrative reaksjoner mot helsepersonell fra Statens helsetilsyn og opplysninger om brukerne som legger igjen vurderinger.

Legelisten er ikke behandlingsansvarlig for de subjektive vurderingene av helsepersonell som brukerne selv legger inn på nettstedet, men må anses som databehandlere for disse subjektive vurderingene.

5.2 Unntaket for journalistiske formål

Legelistens vurderingstjeneste er omfattet av journalistunntaket i personopplysningsloven 2000 § 7 og således vernet av informasjons- og ytringsfriheten.

Datatilsynet har en for snever forståelse av hvilke ytringer/informasjon som faller innunder journalistunntaket. Ytringer om helsetjenester må anses som særskilt vernet, jf. Den europeiske menneskerettighetsdomstolens (EMD) avgjørelse 02/08/2000, Bergens Tidende and others v. Norway, avsnitt 51.

Datatilsynet sondrer tilsynelatende mellom brukerens ytring (den originære ytringen) og Legelistens ytring. Datatilsynet mener at brukerens ytring i prinsippet er/kan være vernet av ytringsfriheten, mens Legelistens videreformidling ikke er det. Det er ingen holdepunkter i forarbeider eller i rettspraksis for en slik lovforståelse. Det avgjørende er om ytringen som sådan er vernet.

Legelisten er en kommunikasjonsplattform og videreformidler (i moderert form) brukeres ytringer. Slikt sett skiller ikke Legelisten seg fra andre medier som formidler lesere/brukeres meninger, for eksempel leserinnlegg og kommentarfelter i nettaviser. Leserinnlegg faller utvilsomt inn under personopplysningsloven § 7, jf. NOU 2009: 1 side 107.

Det å samle inn og presentere brukererfaringer på et samfunnsviktig område som helse, må anses for å være journalistisk virksomhet. Det kan ikke oppstilles krav om at opplysningene skal framgå i en samfunns- eller systemkritisk kontekst. Positiv omtale faller også innenfor begrepet.

Omtalene på Legelisten kan fungere som et barometer for hvordan helsetilbudet oppfattes, og informasjonen kan brukes av media eller som grunnlag for akademiske arbeider. En stor del av Legelistens samfunnsnytte utspiller seg på lokalt nivå. Vurderingene er en del av en lokal debatt som pågår i alle norske kommuner, og Legelisten gir innsikt i primærhelsetjenesten, noe som er nødvendig for å ansvarliggjøre politikere som har ansvar for at innbyggerne har tilfredsstillende helsetjenester.

Dersom brukerne ikke får lov til å formidle ytringene gjennom Legelisten innebærer dette et inngrep i brukernes ytringsfrihet. Og uansett; dersom Legelisten forbys å videreformidle vurderingene innebærer dette et inngrep i Legelistens ytringsfrihet. Også videreformidling av andres ytringer er vernet av ytringsfriheten.

Det er ikke klart hva Datatilsynet legger i kravet til at behandlingen «utelukkende» må være til journalistiske formål. EU-domstolen har i sak C-73/07, Tietosuojavaltuutettu v Satakunnan Markkinapörssi Oy and Satamedia Oy, tolket journalistiske formål vidt.

Legelisten har ingen annen interesse i driften av tjenesten enn å legge til rette for nøktern og saklig informasjonsformidling om helsepersonell. Legelisten har også en kommersiell interesse i at tjenesten gir avkastning til eiere og arbeidsplasser til de ansatte, i likhet med mediene, kunstnere og forfattere som normalt har økonomisk inntjening som endelig målsetning for sin virksomhet.

Det vises til nemndas tidligere praksis, blant annet PVN-2005-03 og PVN-2010-11. Nemnda kom i begge sakene til at ytringene var vernet av ytringsfriheten. Formålet med den senere lovendringen i 2012 var å foreta en «viss» endring i praksis i forhold til hva Personvernnemnda hadde gitt uttrykk for i PVN-2010-11, se Prop.47 L (2011-2012) punkt 4.6. Reelt sett er innholdet i unntaket imidlertid det samme, se Bjarne Kvam, Er Datatilsynets lovtolkning for restriktiv, Lov og Rett 2012 side 45-56.

De ytringer som lovgiver ville til livs ved lovendringen var ytringer som lå tett opp til det sjikanøse og uforsvarlige. I denne saken dreier det seg om nøkterne verdivurderinger om helsepersonells utøvelse av deres rolle som profesjonell yrkesutøver. Slike ytringer er vernet.

Dersom Personvernnemda kommer fram til at Legelisten ikke omfattes av journalistunntaket for ytringsfrihet, innebærer det en innsnevring av tidligere praksis. Dette er det ikke grunnlag for etter lovforarbeidene.

Juridisk teori underbygger at materiale som publiseres på nettsider som regel omfattes av journalistunntaket, se Wille Johansen m.fl., Personopplysningsloven kommentarutgave, Universitetsforlaget 2001, side 92.

Det følger av EMD-praksis etter Den Europeiske Menneskerettighetskonvensjon, EMK artikkel 10 og artikkel 8 at avveiningen skal foretas som en balansetest, der de motstående rettighetene skal tillegges «equal respect», jf. EMD sak 39954/08 Axel Springer AG mot Tyskland 2012, premiss 87. Datatilsynet har ikke foretatt noen konkret vurdering av de opplysninger som publiseres på Legelisten opp mot ytringsfriheten ved vurderingen av om journalistunntaket kommer til anvendelse. Synspunktet om at vurderinger av helsepersonell er verdivurderinger som nyter sterkt vern under ytringsfriheten, er fraværende. Det samme gjelder debatten om det offentlige helsevesenet, som ligger i kjerneområdet for hva som er vernet av ytringsfriheten.

Når det gjelder avveiningen mellom den ytringsfriheten til brukerne, som er vernet av Grunnloven § 100, og helsepersonells personvern vises det til Rt. 2014 side 152 (ambulansesjåfør) premiss 104 og 106.

Hvordan helsepersonell utøver sin legegjerning er klart et samfunnsmessig viktig tema. Sammenligning av helsetjenester er i høyeste grad innhold av journalistisk natur og har allmenn interesse. For det første ivaretar helsepersonell grunnleggende behov for helsehjelp i hele befolkningen. For det andre skal det i størst mulig grad være opp til den enkelte å avgjøre hvilke helsetjenester man ønsker å motta, samt hvem man ønsker å motta disse fra. For det tredje kan tilbakemeldingene i mange tilfeller sees på som innlegg i den alminnelige debatten om hvordan fastlegeordningen fungerer. For det fjerde er legene tiltrodd viktige oppgaver knyttet til forvaltning av velferdsgoder. For det femte er helsepersonellet selv mottaker av relativt betydelige midler fra det offentlige i form av tilskudds- og refusjonsordninger.

Hensynet til helsepersonellets personvern skal tillegges vekt, men kan ikke vektes for tungt all den tid informasjonen som publiseres om autorisert helsepersonells yrkesutøvelse i hovedsak er nøktern og saklig.

5.3 Behandlingsgrunnlag for å behandle personopplysninger om brukerne av nettstedet

Brukerne som inngir vurderinger på nettstedet oppgir e-postadresse til Legelisten. Dette er ikke sensitive personopplysninger. En e-postadresse i seg selv er ikke sensitiv. Det eventuelt sensitive ligger i koblingen mellom fysisk person, e-postadresse og at en pasient har besøkt spesialisthelsetjenesten.

Legelisten er ikke enig med Datatilsynet i at kjernen i Legelistens tjeneste er å være en «plattform for anonyme ytringer». Kjernen i Legelisten er derimot å være en «plattform for kvalitetssikrede, modererte, vurderinger». Dersom plattformen ikke modererer og kvalitetssikrer innkomne vurderinger, vil nettstedet fort bli forsøplet av useriøse og falske vurderinger og således miste sin verdi for brukere. I modereringen av vurderinger er det avgjørende å ha kontaktinformasjon til innsenderen. Uten kontaktinformasjon til innsenderen vil ikke nødvendig moderering kunne foregå og Legelisten vil ikke kunne publisere den innsendte vurderingen.

Legelisten har behandlingsgrunnlag for å lagre kontaktinformasjon fra brukene, jf. personopplysningsloven 2000 § 9 bokstav a «samtykke» eller d «den registrerte har frivillig gjort opplysningene alminnelig kjent». Personvernforordningens fortalepunkt 43 understøtter at Legelisten har gyldig samtykke. E-postadresse er nødvendig for tjenesten, og derfor er samtykke gyldig. Når det gjelder personopplysningsloven 2000 § 9 bokstav d, nevner forarbeidene til loven som eksempel at en person legger ut opplysninger om helse på egen hjemmeside. Det er helt frivillig å legge ut opplysninger, og ingen plikt til å inngi vurderinger på Legelisten.

Det vises for øvrig til andre plattformer i andre EØS-stater som krever identitet for å publisere vurderinger.

5.4 Behandlingsgrunnlag for å behandle personopplysninger om helsepersonell på nettstedet

5.4.1 Kommentarer til det faktiske grunnlaget Datatilsynet bygger sitt vedtak på

Det er ikke riktig, slik Datatilsynet har lagt til grunn, at subjektive vurderinger innebærer et betydelig inngrep i helsepersonells personvern. Fram til februar 2017 hadde Legelisten bare mottatt rundt 50 henvendelser om reservasjon, selv om 12 000 leger er registrert på siden. Et såpass beskjedent antall krav om reservasjon underbygger at personvernulempene ikke er spesielt framtredende. Legelisten har dessuten en reservasjonsordning der helsepersonell med tungtveiende grunner kan bli innvilget reservasjon etter en individuell vurdering.

Det er ikke holdepunkter for å hevde at nettstedet brukes til å bakvaske leger, slik Datatilsynet legger til grunn. De fleste vurderingene er positive. Negative vurderinger må anses velbegrunnet. Det er for øvrig vanskelig å forstå distinksjonen knyttet til om ytringen framsettes på Legelisten eller andre kanaler, og at argumentasjonsverdien skal oppfattes annerledes.

Datatilsynet legger tilsynelatende vekt på at helsepersonells faglige integritet står på spill dersom Legelisten får publisere subjektive vurderinger. Legelisten mener ivaretakelse av helsepersonells faglige integritet ikke er et relevant hensyn etter personopplysningsloven, og uansett ikke er et hensyn som kan tillegges særlig tung vekt.

Datatilsynet har lagt for stor vekt på personvernulemper som ikke er dokumentert, noe som antas skyldes en kampanjepreget pågang fra helsepersonellets interesseorganisasjoner og da særlig Legeforeningen. Den siste tids engasjement fra helsepersonell antas å være mer et uttrykk for lojalitet mellom helsepersonell, enn et uttrykk for reelle personvernulemper. I tillegg synes det å være begrunnet i økonomiske hensyn.

Datatilsynet har lagt til grunn at informasjonsverdien av vurderingene på nettstedet er begrenset. Det er ikke riktig. Vurderingene på Legelisten kan si noe om helsepersonells faglige dyktighet. Forskning viser at det er sammenheng mellom pasientvurderinger og kvaliteten på helsetjenester. Det finnes ikke andre tjenester der pasienter kan danne seg et inntrykk av helsepersonell. Legelisten har ca. 2 millioner unike brukere i året. Videre er det trolig mellom 100 000 og 300 000 nordmenn som hvert år bruker tjenesten når de skal finne en ny fastlege. Det sier noe om informasjonsverdien.

Det er ikke dokumentert at det er publisert falske vurderinger selv om det ikke kan utelukkes. Nettbrukere er vant til å lese subjektive vurderinger på nettet og er i stand til å vurdere verdien av informasjonen.

Datatilsynet har i sitt vedtak lagt til grunn at de ikke har «inntrykk av at ‘alle’ leger nå kommer til å reservere seg.» Etter Datatilsynets vedtak har Legelisten mottatt over 1 100 krav om reservasjon, hvorav de aller fleste fra fastleger. Det er om lag 4 800 fastleger i Norge og ca. 20 % av disse har altså reservert seg i løpet av den knappe tiden som er gått. Det er ingen grunn til å tro at antallet reservasjoner vil stoppe her. Allerede nå er tjenestens verdi kraftig redusert og Legelisten må, dersom vedtaket blir stående, vurdere om det er grunnlag for videre drift.

5.4.2 Kommentarer til de rettslige spørsmålene saken reiser

Legelisten fastholder at personopplysningsloven 2000 § 8 d («utføre en oppgave av allmenn interesse») er aktuelt behandlingsgrunnlag i tillegg til § 8 f («berettiget interesse»).

Datatilsynets interesseavveining etter § 8 f bestrides og det er vanskelig å se hvilket faktum Datatilsynet har lagt til grunn. Legelisten erkjenner at avveiningen i noen grad må bli skjønnsmessig, men mener det er grunnlag for å gjøre en kvantitativ analyse knyttet til interesseavveiningen.

Legelisten har i januar 2018 utarbeidet en slik kvantitativ interesseavveining. Analysen bygger på antallet personer som får nytte av tjenesten, hvor mye nytte de oppnår, antallet personer som opplever ulemper i forbindelse med tjenesten og hvor mye ulemper som påføres. Størrelsene tallfestes og sammenliknes. Analysen viser at fordelene ved nettstedet klart er større enn ulempene og at samfunnets berettigede interesse er mange ganger større enn personvernulempen leger eller annet helsepersonell blir påført. Dette taler for at siden har behandlingsgrunnlag i personopplysningsloven 2000 § 8 bokstav f.

Legelisten fastholder at ytringer på nettstedet er omfattet av journalistunntaket. Likevel, dersom Personvernnemnda finner at personopplysningsloven 2000 § 8 f kommer til anvendelse, vises det til de argumenter som er framsatt vedrørende journalistunntaket, som også gjør seg gjeldende i interesseavveiningen etter § 8 f.

Hovedregelen er at ytringsfriheten har forrang i de tilfellene der opplysningene har allmenn interesse - og det har informasjonen som publiseres på Legelisten. Helsepersonell er autorisert, fastleger har hjemmel fra kommunene til å drive fastlegetjenester, de fleste leger er finansiert av det offentlige for å vareta befolkningens helse, leger har samfunnsviktige oppgaver og pasientene er normalt i en sårbar stilling.

Det er ikke grunnlag for å gjøre unntak fra hovedregelen i denne saken, hovedsakelig av disse grunnene:

Helsepersonellet har en rolle i det offentlige liv.
Ytringene gjelder utøvelse av deres yrker og angår ikke private forhold/familieforhold.
Ytringene er saklige, nøkterne og relevante.

I Artikkel 29-gruppens veileder WP 225 (Article 29 Data Protection Working Party, 14/EN WP 225), framgår det på side 13 at medlemmer av de regulerte yrkene har en rolle i det offentlige liv. Legelisten deler Artikkel 29-gruppens vurdering om at terskelen for den omtalen personer i det offentlige liv må tåle, er høyere enn terskelen for personer som ikke kan anses å spille noen rolle i det offentlige liv.

De ulike kategoriene helsepersonell som er oppført på Legelisten spiller i forskjellig grad en rolle i det offentlige liv og vurderingen kan være ulik for fastleger, spesialistleger, tannleger og privatpraktiserende kiropraktorer og psykologer. Innslaget av offentlig finansiering, offentlig hjemmel og den sentrale portvokterfunksjonen som fastleger har, tilsier at i alle fall disse har en rolle i det offentlige liv. Samfunnet har en stor interesse i informasjon om hvordan slikt helsepersonell utøver sin rolle og forvalter sitt ansvar.

Kommer Personvernnemnda fram til at en reservasjonsordning er påkrevet, må dette kun omfatte helsepersonell som i liten eller ingen grad kan anses å ha en rolle i det offentlige liv, ellers blir inngrepet i ytringsfriheten for stort. Reservasjonsretten, slik Datatilsynet har gitt pålegg om, kan potensielt gripe inn i ytringsfriheten til flere millioner brukere. Legelisten er uenig i at reservasjonsretten bare ha begrensede konsekvenser for individets frie meningsdannelse.

Datatilsynets vedtak utgjør ulovlig forhåndssensur, jf. Grunnloven § 100, fordi det griper inn i Legelistens frihet til å videreformidle ytringer fra pasienter. En generell reservasjonsrett går uansett lengre enn det som er nødvendig etter Grunnloven § 100 og EMK artikkel 10. Datatilsynets vedtaket er ment å verne et mindretall, men en generell reservasjonsadgang går lengre enn det. En ordning der hver enkelt ytring vurderes fjernet etter en avveining vil fullt ut ivareta balansen mellom de motstridende menneskerettighetene. At avveiningen i et konkret tilfelle kan være vanskelig, eller at det kan være vanskelig å utforme kriteriene for slik avveining, er i seg selv ikke et argument for å fatte et vedtak som er mer inngripende enn nødvendig.

Datatilsynets vedtak går lengre enn det som kan begrunnes ut fra hensynet til personvern og er derfor uproporsjonalt. Rettslig sett består ikke vedtaket nødvendighetstesten som skal foretas både etter norske internregler og etter EMK. En ordning der helsepersonellet i etterkant kan kreve en vurdering fjernet etter en avveining mellom personvernet og ytringsfriheten vil fullt ut ivareta balansen mellom de motstående menneskerettighetene.

Legelisten har også lagt til rette for muligheten for helsepersonell til å imøtegå eventuell kritikk. Datatilsynet mener dette ikke fullt ut kan minimere personvernulempene fordi vurderingene er anonyme, fordi taushetsplikten setter skranker, fordi det er vanskelig å forsvare seg og fordi det krever at den enkelte må bruke tid på å skrive svar. Det kan imidlertid ikke kreves at personvernulempene fullt ut minimeres. Sammen med den eksisterende reservasjonsadgangen når tungtveiende grunner tilsier det, er personvernulempene dempet til et akseptabelt nivå.

Det er opprettet liknende nettsider i henholdsvis Danmark, Sverige, Tyskland,

Storbritannia, Østerrike, Slovenia, Polen og Irland. I disse landene tillates nettsider som tilsvarer Legelisten uten reservasjonsrett. Relevante myndigheters vurderinger kan tillegges ulikt vekt, men det er ikke grunnlag for å anta at Datatilsynets vurdering av saken er mer grundig enn tilsvarende vurderinger i andre land.

Den Svenske Datainspektionen har uttalt at denne typen sider er vernet av de svenske reglene for ytringsfrihet. I Tyskland, Storbritannia og Slovenia anses slike nettsider å ha behandlingsgrunnlag i bestemmelser som tilsvarer personopplysningsloven 2000 § 8 bokstav f uten reservasjonsrett. I Østerrike anså man at en nasjonal regel om ubetinget reservasjonsrett stred mot ytringsfriheten. I Polen og Irland driver tilsvarende tjenester lovlig uten reservasjonsadgang.

Andre virksomheter har allerede inntatt markedet til Legelistens marked i Norge. Den største konkurrenten er Google som opererer i det norske markedet og tillater pasienter å skrive vurderinger om svært mange helsepersonell, inkludert tannlegen som har klaget Legelisten inn for Datatilsynet. Helsepersonell har, etter hva Legelisten kjenner til, ingen anledning til å reservere seg mot å bli vurdert på Googles tjeneste.

Dersom Personvernnemnda finner at en reservasjonsordning er påkrevet, må dette samtidig innføres for alle aktører i det norske markedet, herunder Google og yelp.no.

6. Forbrukerhensyn

Forbrukerrådet har, på eget initiativ, sendt inn en redegjørelse for de forbrukerhensyn som etter deres syn gjør seg gjeldende i saken. Hovedsynspunktene i Forbrukerrådets uttalelse gjengis her:

Forbrukerrådet støtter Datatilsynets vurdering om at Legelisten har en berettiget interesse i å behandle subjektive personopplysninger om helsepersonell, og at behandlingen er nødvendig for å ivareta denne interessen. Forbrukerrådet mener videre at Legelisten har behandlingsgrunnlag for å behandle subjektive vurderinger av helsepersonell uten at det innføres en allmenn reservasjonsadgang og at det foreligger berettigede interesser som overstiger hensynet til legenes personvern.

Det finnes i dag få opplysninger av informasjonsverdi knyttet til hvert enkelt legekontor og hver enkelt lege på helsenorge.no. Opplysningene er i hovedsak begrenset til legens kjønn og alder, hvorvidt legen er del av et fellesskap og om legekontoret er tilpasset bevegelseshemmede. Etter vårt syn er disse opplysningene ikke tilstrekkelige for å dekke forbrukernes behov for informasjon om fastleger.

Legelisten framstår per i dag som det eneste tiltaket i Norge som gir forbrukerne mulighet til å orientere seg og til å innhente relevant informasjon om fastleger. Forbrukerrådet mener det foreligger en sterk allmenninteresse i formidlingen av slike opplysninger. Legelisten er det eneste tiltaket som møter pasientenes ønske om en tilbakemeldingstjeneste, som var et av hovedfunnene i Forbrukerrådets Pasientundersøkelse fra 2016.

Subjektive vurderinger fra brukere har stor betydning for at forbrukere skal kunne foreta et informert valg av fastlege. Tjenestens besøkstall og popularitet vitner om at legevurderinger er verdifulle for forbrukere. Forbrukerrådet i likhet med norske helsemyndigheter - anser retten til å velge sin egen fastlege som viktig, og mener at slike vurderinger vil være til nytte for forbrukerne ved valg eller bytte av fastlege.

Beskrivelser av hvordan pasienter opplevde å bli møtt av legen er av stor betydning for vurdering av kvaliteten av helsetjenesten. Forbrukerrådet mener denne typen ytringer fortjener et sterkt vern og mener dessuten at publisering av slike vurderinger kan bidra til å øke kvaliteten på fastlegenes helsetjeneste.

Forbrukerrådet er av den oppfatning at Den norske legeforening og enkeltlegers vektlegging av hvordan forbrukere kan tenkes å benytte nettstedet av lite beskyttelsesverdige grunner (hevn, private relasjoner, uenighet) er tillagt for stor vekt. Forbrukerrådet utelukker ikke at useriøse eller usaklige ytringer kan forekomme og er enige i at ytringer av denne art ikke omfattes av ytringsvernet. Her har Legelisten et redaksjonelt ansvar for å påse at useriøse ytringer ikke kommer på trykk.

Forbrukerrådets erfaring med lignende tjenester viser at forbrukerne har stor forståelse for hva slike «vurderingssider» er, og at det er styrker og svakheter med slike tjenester.

Datatilsynet legger i sitt vedtak vekt på at enkeltleger sier frykten for dårlige vurderinger gjør dem dårligere rustet til å stå i sitt samfunnsoppdrag, som tidvis kan være å avvise sykemeldinger, avvise spørsmål om visse typer medisiner og henvisninger til spesialist/kostbare undersøkelser. Datatilsynet synes videre å konkludere med at fravær av forbrukervurderinger vil avhjelpe legenes usikkerhet.

Forbrukerrådet kan ikke se at dette er rette løsning for leger som føler ubehag ved å stå for sine medisinfaglige vurderinger. Forbrukerrådet kan ikke se at dette stiller seg annerledes for leger enn for andre yrkesgrupper.

Datatilsynets pålegg om reservasjonsadgang er begrunnet i hensynet til personvernet til den enkelte lege. Etter Forbrukerrådets syn overstiger den berettigede interessen i å formidle forbrukernes subjektive vurderinger hensynet til legenes personvern i så stor grad at det ikke betinger en reservasjonsadgang.

Forbrukerrådet mener hensynet til personvernet er ivaretatt ved bruk av andre personvernfremmende tiltak som ved Legelisten sin redaksjonelle behandling av forbrukernes subjektive vurderinger. Hensynet til legenes personvern strekkes for langt dersom pålegget om reservasjonsadgang opprettholdes.

7. Hovedpunktene i Datatilsynets vurdering

7.1 Behandlingsansvarlig

Den behandlingsansvarlige er definert som den som bestemmer formålet med og hjelpemidlene for behandling av personopplysninger, jf. personopplysningsloven 2000 § 2 nr. 4.

Når det gjelder brukernes vurderinger av helsepersonell legger Datatilsynet til grunn at det er Legelisten som har satt rammene for vurderingenes form og innhold blant annet ved valg av tekniske løsninger, layout og databehandlere som skal benyttes. Brukernes ytringer brukes for å oppnå de formål Legelisten har definert. Ettersom Legelisten har bestemt formålet med behandlingen av opplysningene og hvilke hjelpemidler som nyttes i behandlingen, er Legelisten å anse som behandlingsansvarlig for samtlige av opplysningskategoriene.

7.2 Unntaket for journalistiske formål

Personopplysningsloven 2000 krever i utgangspunktet at den behandlingsansvarlige må ha et behandlingsgrunnlag for å publisere personopplysninger på Internett, jf. personopplysningsloven § 11 a, jf. §§ 8 og 9. Dette gjelder ikke dersom personopplysningene behandles utelukkende for kunstneriske, litterære eller journalistiske formål, jf. personopplysningsloven 2000 § 7. Bestemmelsen er ment å verne media, virksomheter og enkeltpersoners bidrag i samfunnsdebatten og til å formidle nyheter. Unntaket i § 7 gjelder uavhengig av hva slags medium den behandlingsansvarlige benytter eller den behandlingsansvarliges yrke.

Loven krever at formålet «utelukkende» er kunstnerisk, litterært eller journalistisk. Dette forhindrer ikke at en avis eller liknende har kommersielle interesser knyttet til sitt virke, jf. EU-domstolens sak C-73/07, Tietosuojavaltuutettu v Satakunnan Markkinapörssi Oy and Satamedia Oy, avsnitt 59. Ut over dette vil ordet «utelukkende» tilsi at det ikke kan foreligge noen egeninteresse ved publiseringen ut over det kunstneriske, litterære eller journalistiske.

Det er den behandlingsansvarliges formål med og arten av ytringen som er avgjørende. Hvordan andre ønsker å nyttiggjøre seg informasjonen, er ikke relevant. Også enkeltpersoner kan behandle personopplysninger for journalistiske formål. Det er ikke en tilstrekkelig eller nødvendig betingelse at behandlingen representerer en opinionsdannende ytring, jf. Ot.prp. nr. 92 (19981999) side 107 og Prop. 47 L (20112012) kap. 4.6.

Høyesterett har lagt til grunn at debatten om helsetjenesten kan ha samfunnsinteresse, jf. Rt. 2014 s. 152 (ambulansesjåfør), som omhandlet spørsmålet om skjult rasisme i helsevesenet. Saken skiller seg fra foreliggende sak. Legelisten kan langt på vei sammenlignes med en kvantitativ brukerundersøkelse som for eksempel gjennomføres i en kundegruppe, et utvalg av befolkningen eller liknende. I denne undersøkelsen er hele befolkningen invitert til å delta, og resultatet offentliggjøres til samfunnets felles nytte. Brukervurderingene handler om hvordan helsepersonell møter pasienter, hvordan de henviser til videre behandling, hvorvidt pasienten føler seg hørt, om helsesekretærene er imøtekommende og liknende. Datatilsynet mener at vurderingene ikke framgår i en samfunns- eller systemkritisk kontekst, for å sette helsevesenet under debatt eller i forbindelse med en aktuell sak. Det samme gjelder reaksjonene fra Statens helsetilsyn de brukes ikke i en journalistisk kontekst, for eksempel som del av en debatt om mangler i helsetjenesten eller om reaksjonene fungerer etter sin hensikt. Formålet med ytringene (både vurderingene og reaksjonene) synes derimot å være, slik Legelisten også har anført, å sette pasienter bedre i stand til å velge helsepersonell. Ratingsider som vurderer produkter og tjenester kan etter tilsynets vurdering derfor ikke sies å behandle personopplysninger utelukkende for journalistiske formål.

De tyske og britiske uttalelsene som Legelisten har vist til, har heller ikke har ansett denne typen nettsider som vernet etter deres motsvarighet til § 7.

Vurderingene i PVN-2017-06 er ikke relevante for vurderingene i denne saken.

Den informasjonsformidlingen Legelisten legger opp til, subjektive vurderinger av alle tjenestetilbydere i et marked, er ikke utelukkende av journalistisk art, jf. personopplysningsloven 2000 § 7.

7.3 Behandlingsgrunnlag for å behandle personopplysninger om brukerne av nettstedet

Personopplysningene om brukerne som sender inn vurderinger av helsepersonell er sensitive personopplysninger, jf. personopplysningsloven 2000 § 2.

Alle som inngir vurderinger må oppgi e-postadresse. E-postadresser inneholder ofte navn eller er knyttet til enkeltpersoners identitet på andre måter, for eksempel ved at e-postadressen er brukt ved registrering på sosiale medier. I tilfeller der helsepersonell i spesialisthelsetjenesten vurderes, kan det at man har besøkt vedkommende lege i seg selv si noe om ens helsetilstand.

Dersom e-postadressene slettes, forsvinner koblingen. Alternativt kan vurderingene fjernes. Å slette e-postadresser er den minst inngripende måten å sørge for at sensitive personopplysninger ikke lenger behandles.

Behandling av sensitive personopplysninger må ha behandlingsgrunnlag både i personopplysningsloven 2000 §§ 8 og 9. Legelisten mener at behandlingen har grunnlag i samtykke. Et samtykke må være frivillig, informert og uttrykkelig for å være gyldig, jf. personopplysningsloven 2000 § 2 nr. 7.

I kravet til frivillighet ligger det at personen fritt kan velge om han eller hun vil oppgi personopplysningen uten at det inntrer negative konsekvenser dersom samtykke ikke gis, jf. Artikkel 29-gruppen, Opinion 15/2011 on the definition on consent (WP 187), side 12-13. I dette tilfellet blir brukerne bedt om e-postadresse når de legger inn vurderinger av helsepersonell. Det er ikke valgfritt å oppgi e-postadressen, og dersom brukeren ikke ønsker å legge igjen e-postadresse, kan vedkommende heller ikke legge igjen vurderinger. Å oppgi e-postadresse er dermed et vilkår for tjenesten, og aksepterer man ikke dette, blir man utestengt fra tjenesten.

Dette er ikke til hinder for at kommentarfelt hos nettavisene og liknende krever e-postadresse i disse tilfellene vil ikke det at man ytrer seg i seg selv si noe sensitivt om vedkommende, og da kan nettavisene etter omstendighetene kreve enkelte personopplysninger med hjemmel i personopplysningsloven 2000 § 8 bokstav f. Dersom den enkelte selv velger å oppgi sensitive personopplysninger, har dette grunnlag i samtykke.

Legelisten mener at e-postadresse er nødvendig for avtalen, og derfor er samtykket gyldig. En slik forståelse av GDPR artikkel 7 nr. 4 er mangelfull. Dersom opplysningene er nødvendige for å oppfylle avtalen, har dette et eget behandlingsgrunnlag i artikkel 6 første ledd bokstav b. Her bes det om personopplysninger som ikke er nødvendige for å oppfylle avtalen.

Personvernforordningen fortalepunkt 43 henviser til artikkel 7 nr. 4. Denne regelen gjør ikke unntak fra kravene til samtykke, men oppstiller tilleggskrav. Regelen sier at dersom samtykke settes som vilkår for å bruke en tjeneste og de aktuelle personopplysningene ikke er nødvendige for gjennomføring av avtalen, er det en presumsjon for at samtykket ikke er gyldig. Ifølge Datatilsynet er det nettopp denne regelen, som også uttrykker gjeldende rett, som er grunnen til at Legelistens samtykker ikke er gyldige. Brukere blir utestengt fra den delen av tjenesten som går ut på å inngi vurderinger dersom de ikke oppgir e-postadresse. Samtidig er ikke personopplysningene nødvendige for å gjennomføre avtalen. Artikkel 29-gruppen har lagt til grunn at vilkåret «nødvendig for å oppfylle nevnte avtale» må tolkes strengt og at personopplysningene som kreves må være genuint nødvendig for å levere kjernen i tjenesten (her: plattform for anonyme ytringer). Hva som står i avtalens vilkår er derfor ikke i seg selv avgjørende. Artikkel 29-gruppen skriver også klart at opplysningene må være nødvendige for gjennomføringen av kontrakten i vanlige tilfeller, ikke for videre handlinger der avtalens vilkår brytes, jf. Opinion 06/201 on the nation of legitimate interests of the data controller under Article 7 of Directive 95/46/EC, s. 16-17.

Det er helt klart at e-postadresser ikke er strengt nødvendige for tjenesten i dette tilfellet. Det foreligger ikke reell valgfrihet. Samtykke er derfor ikke frivillig. Den aktuelle behandlingen av personopplysninger har ikke grunnlag i brukerens samtykke. Datatilsynet bemerker for øvrig at samtykke heller ikke er «informert».

Øvrige behandlingsgrunnlag i personopplysningsloven 2000 § 8 kommer heller ikke til anvendelse. Siden behandlingen av de aktuelle personopplysningene mangler grunnlag i personopplysningsloven 2000 § 8, er det ikke nødvendig å drøfte hvorvidt behandlingen har behandlingsgrunnlag i personopplysningsloven 2000 § 9.

Legelistens behandling av sensitive personopplysninger som skjer ved at tjenesten ber om eller lagrer e-postadressen til pasienter som gir vurderinger av helsepersonell i spesialisthelsetjenesten, mangler behandlingsgrunnlag og må derfor opphøre. Sensitive personopplysninger som allerede er samlet inn på denne måten, må slettes.

Tannlege A har problematisert at vurderingene framstår som anonyme på nettstedet. A ber derfor Datatilsynet vurdere om det i det hele tatt bør være tillatt å legge inn anonyme brukervurderinger på en nettside. Datatilsynet ser ulempene A tar opp. På den annen side vil nok mange kvie seg for å inngi vurderinger med navn, også i tilfeller der vurderingene er saklige og velbegrunnede, av frykt for at det vil skade forholdet til helsepersonellet. Siden Datatilsynet ikke er tillagt lovgivende kompetanse, kan vi ikke bestemme hvorvidt dette generelt er lov eller ikke og også anonyme ytringer kan nyte vern av ytringsfriheten. Datatilsynet er av den oppfatning at hver behandlingsansvarlig selv bør foreta en vurdering av om brukere kan ytre seg anonymt på deres plattform, og Datatilsynets rolle er å overprøve nettstedet slik den er. I denne saken noterer vi at anonyme vurderinger er negative for personvernet til legen, men positivt for personvernet og ytringsfriheten til pasientene.

7.4 Behandlingsgrunnlag for å behandle personopplysninger om helsepersonell på nettstedet

Datatilsynet har vurdert om det foreligger behandlingsgrunnlag etter personopplysningsloven § 8 bokstav f både for gruppen objektive personopplysninger og for subjektive personopplysninger (vurderinger) av helsepersonell.

Når det gjelder de objektive personopplysningene (som navn, kjønn, alder, autorisasjonsdato, arbeidssted mv.) mener Datatilsynet at Legelisten har en berettiget interesse i å behandle disse. Interessene er lovlige og reelle, og behandlingen anses nødvendig for å ivareta den berettigede interessen det er snakk om. De registrertes personverninteresse anses ikke å gå foran den berettigede interessen Legelisten ivaretar. Datatilsynet viser blant annet til at de objektive opplysningene er tilgjengelig også andre steder, blant annet på helsenorge.no. Denne tilgjengeligheten spiller inn i interesseavveiningen. Selv om det kan oppleves som ubehagelig for enkelte, er det begrenset hvor inngripende det er for helsepersonell at allerede offentlige opplysninger republiseres på Legelisten.

Når det gjelder behandling av de subjektive personopplysningene om helsepersonell fra brukere av nettstedet, har Datatilsynet kommet fram til at Legelisten ikke har behandlingsgrunnlag slik tjenesten framstår i dag, uten at det innføres en allmenn reservasjonsadgang mot subjektive vurderinger. Denne vurderingen redegjøres det nærmere for i det følgende.

7.4.1 Personvernulempene

Vurderingene på Legelisten gir uttrykk for hvordan enkeltpersoner utfører sitt yrke og møter pasienter. Dette er personopplysninger, og opplysninger om yrkesutøvelse og personlighetstrekk nyter et visst vern etter loven. I saker om kontroll i arbeidslivet, vil for eksempel de ansattes reaksjoner på og følelser om tiltaket være viktige momenter i vurderingene av om tiltaket kan iverksettes. Dersom helsepersonell føler at personvernet deres blir truet gjennom at enkeltpersoner fritt kan skrive vurderinger om dem uten navn, så bør det veie sterkt i vurderingen. Datatilsynet har mottatt flere henvendelser fra helsepersonell som opplever det svært ubehagelig å bli vurdert på nettstedet.

Det er vanskelig å kvantifisere personvernulemper, og antall henvendelser er et dårlig mål på hvor store personvernkonsekvensene er. Datatilsynet har heller ikke bygget vedtaket utelukkende på enkelthistorier, men det må antas at henvendelsene fra ulike leger peker på reelle problemstillinger.

Ratingsiden på Legelisten skiller seg fra andre ratingsider fordi helsepersonell har en særskilt rolle i samfunnet. Helsepersonell har som oppgave å yte forsvarlig helsehjelp. Dersom en lege nekter å skrive ut medikamenter, ikke gir sykemelding eller henviser til spesialist, kan avgjørelsen være upopulær, men helsefaglig riktig. Helsepersonells personvern er derfor mer utsatt ved at de er pålagt å ta avgjørelser som kan foranledige ugunstige vurderinger på nettstedet. Det vil ikke nødvendigvis være mulig å oppdage hvilke vurderinger som skyldes konflikt, fordi vurderingene kan framstå som saklige. Helsepersonell har på grunn av taushetsplikten liten mulighet til å forsvare seg mot omtalen på nettstedet, noe som også skiller denne yrkesgruppen fra mange andre. Det er heller ikke mulig å verifisere om vurderingene på Legelisten kommer fra faktiske pasienter. Legene rangeres i forhold til hverandre basert på rent subjektive og ikke-prøvbare kriterier, noe som også påvirker personvernet. Alt helsepersonell tildeles stjerner, som veldig raskt gir et overfladisk blikk av vedkommendes evner eller personlighetstrekk. Dersom helsepersonellet har få vurderinger, kan dette gi et forholdsvis skjevt bilde av vedkommende. Den usikre kvaliteten på vurderingene representerer en personvernulempe.

Opplysningene er i tillegg lett tilgjengelige på Legelisten, og de dukker opp ved Google-søk på vedkommendes navn. Vurderingene og personkarakteristikkene kan derfor ha store konsekvenser for helsepersonellets ry og omdømme.

Det finnes eksempler på at Legelisten har tillatt reservasjoner dersom tungtveiende grunner foreligger. Datatilsynet ser ikke hvordan denne ordningen kan fungere i praksis. Hvem som helst kan fortelle troverdige historier om psykiske vansker eller mobbing av barn, som i realiteten kan åpne for svært mange reservasjoner. Legelisten krever at påstandene sannsynliggjøres og underbygges ytterligere fordi for mange reservasjoner kan gå ut over sidens kommersielle drift. Det vil derfor være en viss terskel for reservasjon, og det er uheldig hvis Legelisten skal være dommer over hva som er «sant nok».

Datatilsynet har ikke tillit til at Legelistens vurdering av «tungtveiende» alltid vil gi tilfredsstillende utslag i praksis. Det er ikke alltid mulig å skille ut falske vurderinger etter deres innhold. Den betyr at en gruppe helsepersonell fremdeles ikke vil bli hørt.

Når det gjelder distinksjonen mellom Legelisten og ytringer på nettfora og sosiale medier, skyldes denne at Legelisten driver med sammenstilling og systematisering av informasjon. På den ene siden er dette positivt for informasjonsfriheten fordi flere vurderinger samles på ett sted. På den andre siden innebærer sammenstilling og systematisering at det behandles et større omfang av personopplysninger og at inngrepet i personvernet dermed kan være større.

7.4.2 Motstående interesser

Personvernulempene må veies opp mot de berettigede interessene til Legelisten og til tredjepersoner som opplysningene utleveres til.

Legelisten legger til rette for pasientenes mulighet til å velge mellom helsepersonell og tilby et bedre sammenlikningsgrunnlag. Legelisten legger til rette for en systematisk utveksling av erfaringer. Dette ivaretar hensynene bak fritt lege- og behandlingsvalg og gjør valget mer reelt. Dessuten bidrar det til friere meningsutveksling og økt informasjonsflyt og gir pasientene et talerør, som er hensyn ytringsfriheten er ment å vareta. Behandlingen av personopplysninger som skjer i tilknytning til Legelisten kommer altså flere til gode og framstår som allmennyttig. Legelistens interesse i å behandle og utlevere disse personopplysningene er derfor i utgangspunktet av stor vekt.

Legelisten har også en kommersiell interesse ved siden. Nettstedet har inntekter og sysselsetter for tiden to heltidsansatte. Også kommersielle interesser er berettigede (lovlige) interesser, men de vil ikke veie like tungt i en interesseavveining. Det er hensynet til fri informasjonsflyt og meningsutveksling som gjør at publisering av ytringer på Legelisten i utgangspunktet veier tungt i interesseavveiningen.

Legelisten har vist til forskning som viser en sammenheng mellom pasientvurderinger og kvaliteten på helsehjelp. Hvorvidt vurderingene reflekterer helsetjenestene, er imidlertid avhengig av at helsepersonellet har mottatt tilstrekkelig antall vurderinger slik at overordnede trender vises og usikkerhetsmomenter dempes.

Det er positivt for personvernet at Legelisten ikke åpner for beskyldninger om feilbehandlinger. Samtidig er det en forskjell mellom for eksempel vurderinger av hvordan helsepersonell møter pasienter og informasjonen gitt i avisen i Bergens Tidende and others v. Norway, som Legelisten sammenligner seg med.

7.4.3 Interesseavveining mellom personvernhensyn og andre hensyn

Opplysninger av allmenn interesse nyter et sterkt vern, men samfunnsnytten av opplysningene vil imidlertid variere, blant annet ut fra opplysningens karakter. Legelisten formidler opplysninger som er relevante for nivået på helsetjenester, men opplysningene er ikke essensielle for nivået på helsetjenester, slik Legelisten hevder.

Vurderinger av personers yrkesutøvelse er personopplysninger og kan knyttes til enkeltpersoner fordi yrkesutøvelsen henger sammen med personlighetstrekk. Vurderingene på Legelisten inneholder personkarakteristikker. EMD har lagt til grunn at profesjonelle aktiviteter også er vernet av retten til privatliv, jf. Niemietz v. Germany (13710/88), avsnitt 29. I saker om avindeksering av søketreff i søkemotorer (som er en form for publisering på Internett), har datatilsyn i EU-/EØS-området imidlertid lagt til grunn at hensynet til informasjonsflyt veier noe tyngre når det gjelder opplysninger om yrkesutøvelse, jf. også Artikkel 29-gruppens retningslinjer, WP 225 side 16.

Når det gjelder spørsmålet om hvorvidt en lege innehar en rolle i det offentlige liv, er det å tilhøre et regulert yrke, bare ett moment i vurderingen. Uansett er det å inneha en rolle i det offentlige liv ikke ensbetydende med at man må tåle all omtale. Det er 163 regulerte yrker i Norge, ikke alle har en rolle i det offentlige liv fordi yrket er lovregulert og krever autorisasjon. Datatilsynet har derfor i sin vurdering ikke lagt avgjørende vekt på dette hensynet.

Legelisten har anført at siden legene er profesjonelle yrkesutøvere som mottar inntekt fra det offentlige, må de tåle å motta kritikk. Datatilsynet er usikker på om inntektskilden alene er et godt vurderingstema, men er enige i at visse profesjoner, sett hen til deres samfunnsoppdrag og forvaltning av fellestjenester, må tåle kritikk og debatt. Spørsmålet i denne saken er imidlertid om leger, som til tider foretar upopulære avgjørelser, skal måtte tåle å havne i et offentlig tilgjengelig og søkbart register der hvem som helst kan kritisere deres persontrekk. Datatilsynet finner dette spørsmålet noe mer tvilsomt.

Legelisten har vist til liknende tjenester i andre land til støtte for sitt syn. I en dom fra Frankfurts oberlandesgericht, Urteil Az. 16 U 125/11 OLG Frankfurt am Main 8 März 2012 (høyeste regionale domstol, nest høyest i tysk domstolsystem), vurderer retten en side der man kan rangere leger etter tilsvarende bestemmelse som personopplysningsloven 2000 § 8 bokstav f. Retten kom fram til at nettstedets interesse i å publisere både objektive og subjektive vurderinger oversteg hensynet til legenes personvern. Ettersom navnet på nettstedet er sladdet, har ikke Datatilsynet hatt mulighet til å sammenlikne siden med Legelisten for å se om de er tilsvarende i format og innhold. Dommen tar heller ikke opp alle personvernkonsekvensene som er anført i denne saken. I denne saken er for eksempel trusler, vurderinger med hevnmotiv og vurderinger fra utenforstående fremtredende momenter, men dette er ikke vurdert i dommen. Dommen er relevant, men vekten er begrenset, både siden den kommer fra en tysk regional domstol og fordi den ikke tar stilling til sentrale spørsmål som denne saken reiser.

Uttalelsene fra Tyskland, Storbritannia og Slovenia som Legelisten har vist til drøfter ikke de momentene som er anført i denne saken, nemlig helsepersonells særskilt utsatte rolle som portvakt for medikamenter, sykemeldinger og henvisninger og de særskilte effektene dette kan ha på den enkeltes personvern. Det har ikke blitt innhentet uttalelser fra polske og irske myndigheter. Uttalelsen fra Sverige konkluderer ikke og inneholder henvisninger til særsvenske regler.

Den østerrikske bestemmelsen om ubetinget reservasjonsrett uavhengig av behandlingens karakter, er trolig i strid med ytringsfriheten. Pålegget om reservasjonsadgang, som Datatilsynets vedtak bygger på, er basert på en konkret interesseavveining mellom Legelisten og allmennhetens interesser og legenes personvern. Dette er altså en annen situasjon.

Legelisten har også vist til en veilednings-e-post fra ICO (det britiske datatilsynet) til innehaveren av et britisk nettsted der leger vurderes. Dette er også en relevant rettskildefaktor, men vekten er begrenset siden det er snakk om svært summarisk veiledning og ikke et begrunnet og bindende vedtak.

Legelisten har en vektig interesse i å behandle subjektive vurderinger av helsepersonell, og det finnes personvernminimerende tiltak. Likevel er interessen av begrenset vekt sett hen til legenes rolle og ansvar, vurderingenes innhold og hvordan enkelte bruker nettstedet. For noen grupper av helsepersonell er personvernkonsekvensene store. Datatilsynet finner under tvil at hensynet til personvernet ikke er tilstrekkelig ivaretatt. I utgangspunktet tilsier dette at behandlingen av subjektive personopplysninger ikke er tillatt og må opphøre.

7.4.4 Personvernfremmende tiltak – reservasjonsadgang

Legelisten har tiltak som er ment å ivareta personvernet, og modererer bort vurderinger som strider mot retningslinjene. Legelisten har avvist om lag 14 000 vurderinger, mens 67 000 vurderinger er publisert. Leger kan be om at vurderingene om dem fjernes fra nettstedet dersom svært spesielle forhold tilsier det, men tilsynet mener at reservasjonsretten er begrenset.

Datatilsynet legger til grunn at moderatorfunksjonen samt den begrensede reservasjonsadgangen ikke fullt ut kan minimere personvernulempene. Legelisten har også innført mulighet for leger til å svare på vurderinger. Legeforeningen har i telefonsamtale med Datatilsynet anført at en slik funksjon har begrenset verdi fordi anmeldelsene er anonyme og vanskelig å forsvare seg mot, samt at taushetsplikten er til hinder for et tilsvar. Legeforeningen mener det er vanskelig å forsvare seg mot subjektive vurderinger, og at tidsbruk til et tilsvar er vanskelig i en allerede presset ressurssituasjon.

Løsningen på nettstedet innebærer at den enkelte aktivt må følge med på nettstedet for å forsvare seg. Dette er relevant i en personvernrettslig sammenheng fordi det stiller store krav til den enkelte.

Datatilsynet har kommet fram til at dersom Legelisten skal kunne ha behandlingsgrunnlag i personopplysningsloven 2000 § 8 bokstav f, må personvernkonsekvensene minimeres. Adgangen for helsepersonell til å reservere seg mot å bli vurdert på nettstedet kan minimere personvernkonsekvensene i tilstrekkelig grad, og hensynet til personvernet vil ikke lenger veie tyngst.

Informasjon om helsepersonell vil da fortsatt være tilgjengelig på Legelisten. Reservasjonsadgangen retter seg kun mot muligheten til å bli underlagt vurdering av enkeltpersoner. Datatilsynet ønsker ikke å gjøre større inngrep enn nødvendig, men tilsynet kan ikke se at det vil være mulig å moderere bort useriøse vurderinger fordi det ikke er mulig for Legelisten å verifisere sannhetsgraden i vurderingene.

Saken handler i sin kjerne om vurderinger som etter sitt innhold kan virke legitime, men der formålet er urettmessig gjengjeldelse. Det er grunnen til at Datatilsynet ikke legger opp til en konkret vurdering av hver enkelt vurdering og dessuten eksplisitt har avstått fra å pålegge fjerning av enkeltvurderinger, jf. Personvernnemndas sak PVN-2016-04. Det er virksomhetens behandling av personopplysninger som helhet som er temaet. I den forbindelse har Datatilsynet lagt vekt på at det ikke vil være gjennomførbart for Legelisten å avgjøre hva som er godt nok for å kreve reservasjon. Den eneste måten å avhjelpe dette synes å være en generell reservasjonsadgang. Det er verdt å merke seg at reservasjon ikke fjerner ulempene, siden vedkommende vil ha en «blank side», noe som også kan gi negativt inntrykk av vedkommende.

Når det gjelder vedtakets proporsjonalitet, viser det store antallet reservasjoner Legelisten har mottatt, at tjenesten vil bli påvirket av vedtaket. Legelisten har mottatt over 1 000 reservasjoner. På den andre siden er ca. 12 000 helsepersonell oppført på siden. Datatilsynet er fremdeles svært usikker på om alle leger vil reservere seg. Som vi tidligere har pekt på, er det en fordel å stå på siden for helsepersonell med positive vurderinger, og Legelisten har selv pekt på at de aller fleste vurderingene på Legelisten er positive. Å reservere seg kan videre være en ulempe, som nevnt ovenfor, fordi det kan se ut som man har noe å skjule. Uansett ser virksomhetens inntjening ut til å basere seg i alle fall delvis på tjenester som ikke vil bli påvirket direkte av vedtakspunkt 1. Legelisten vil kunne fortsette sin drift, men innenfor rammene av en reservasjonsadgang. Legelisten kan også vurdere å utvikle tjenesten sin videre for å formidle informasjon om helsepersonell på andre måter enn gjennom subjektive vurderinger fra enkeltpersoner.

Datatilsynet mener altså at tjenesten ikke har behandlingsgrunnlag for formidling av vurderinger uten at helsepersonell er gitt mulighet til å reservere seg. Dersom andre virksomheter senere inntar markedet fra utlandet, vil Datatilsynet kunne delta i håndheving av personvernreglene etter konsistensmekanismen i personvernforordningen.

Reservasjonsordningen behøver bare å gjelde selve vurderingene som nevnt ovenfor har Legelisten behandlingsgrunnlag for å publisere objektive fakta om helsepersonell.

Legelisten mener at en reservasjonsordning vil virke konkurransevridende fordi datatilsyn i andre EU-/EØS-land ikke har foretatt den samme vurderingen som Datatilsynet. Aktører fra andre land i EØS kan dermed i teorien tilby den samme tjenesten uten tilsvarende begrensninger. Dette er et relevant argument fordi personverndirektivet skal sikre lik beskyttelse, men også fri flyt av personopplysninger i hele EØS, og derfor må reglene i personopplysningsloven i alle fall til en viss grad tolkes harmoniserende med hvordan relevante instanser i de andre landene ser på bestemmelsene. Imidlertid kan ikke Datatilsynet se at andre datatilsyn eller rettsinstanser har foretatt en like grundig vurdering som dem i denne saken, og flere av de sentrale momentene i saken har ikke engang blitt berørt i de få sakene Legelisten har nevnt. Det foreligger derfor ikke en foranledning til å endre konklusjon av harmoniseringshensyn.

En generell reservasjonsadgang vil verne det mindretallet som finner det svært belastende å bli vurdert på Internett eller som føler et sterkt press for å blidgjøre pasientene sine.

Datatilsynet mener at et slikt inngrep i ytringsfriheten lar seg forsvare opp mot Grunnloven § 100 og at inngrepene er hjemlet i lov. Tilsynet mener begrensningene som ligger i vedtaket er nødvendige for å verne enkeltpersoners rettigheter. Inngrepene er forholdsmessig og inngrepene i ytringsfriheten lar seg forsvare opp mot EMK artikkel 10.

Datatilsynets vedtak setter ingen skranker for hvilke ytringer som kan framsettes, og utgjør derfor ikke forhåndssensur, jf. forbudet i Grunnloven § 100 fjerde ledd.

8. Personvernnemndas vurdering

Saken gjelder spørsmål om den behandling av personopplysninger som skjer på nettstedet Legelisten.no er lovlig behandling av personopplysninger.

8.1 Lovvalg

Nemnda vil først si noe om hvilken lov som kommer til anvendelse.

Datatilsynet har vurdert saken etter personopplysningsloven 2000, før de oversendte den til Personvernnemnda i juni 2018.

Ny lov om behandling av personopplysninger (personopplysningsloven 2018) trådte i kraft 20. juli 2018. Det følger av personopplysningsloven 2018 § 1 at Europaparlaments- og rådsforordning (EU) 679/2016 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (GDPR eller forordningen), gjelder som norsk lov fra 20. juli 2018. Fra samme tidspunkt er personopplysningsloven 2000 opphevet.

Personopplysningsloven 2018 har overgangsregler i § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et mer gunstig resultat for den behandlingsansvarlige, jf. forbudet i Grunnloven § 97 mot at lover gis tilbakevirkende kraft. I denne saken er det ikke spørsmål om ileggelse av overtredelsesgebyr, og det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak.

Dette er også omtalt i forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) side 196, hvor departementet blant annet uttaler:

«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven [2018]. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler».

Selv om saken oppsto før den nye loven trådte i kraft og Datatilsynet vurderte saken etter personopplysningsloven 2000, skal nemnda altså behandle saken etter personopplysningsloven 2018.

Spørsmålet for nemnda blir etter dette om Legelisten behandler personopplysninger i tråd med de bestemmelsene som følger av personopplysningsloven 2018 og GDPR. Det betyr at punkt 9 i Datatilsynets vedtak om at Legelisten ikke innvilges dispensasjon fra konsesjonsplikten etter personopplysningsloven 2000 § 33 tredje ledd, bortfaller, i og med at konsesjonsordningen er opphevet i personopplysningsloven 2018. Spørsmålet for nemnda blir om den behandlingen av personopplysninger som skjer på Legelisten.no er lovlig i henhold til personopplysningsloven 2018.

8.2 Behandlingsansvarlig

Nemnda vil først ta stilling til hvem som er behandlingsansvarlig for personopplysninger som behandles av Legelisten.

I GDPR artikkel 4 nr. 7 er «behandlingsansvarlig» definert slik:

«…en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes […]»

Dette er i overensstemmelse med hvordan behandlingsansvarlig var definert etter personopplysningsloven 2000 § 2 første ledd nr. 4 og den nye loven medfører ingen endringer av definisjonen.

Legelisten behandler flere former for personopplysninger: objektive personopplysninger (som navn, kjønn, alder, autorisasjonsdato, arbeidssted, samt opplysninger om administrative reaksjoner mot helsepersonell fra Statens helsetilsyn), subjektive personopplysninger (vurderinger av helsepersonell), og opplysninger om brukerne som legger igjen vurderinger.

Det er ingen tvil om at Legelisten er behandlingsansvarlig for de objektive opplysningene som samles inn om helsepersonell, herunder opplysninger om administrative reaksjoner mot helsepersonell fra Statens helsetilsyn, og opplysninger om brukerne som legger igjen vurderinger. Legelisten bestrider imidlertid at de er behandlingsansvarlig for de subjektive vurderingene som brukerne selv legger inn på nettstedet. Legelisten anfører at de for disse opplysningene må anses som databehandler, det vil si at de behandler personopplysningene på vegne av privatpersonene som bruker nettstedet som selv er behandlingsansvarlige, jf. GDPR artikkel 4 nr. 8.

Nemnda er enig med Datatilsynet i at Legelisten er behandlingsansvarlig for alle opplysningene som samles inn, publiseres og på annen måte behandles i tilknytning til den tjenesten som Legelisten tilbyr. Det er Legelisten som har bestemt formålet med behandlingen av opplysningene og hvilke hjelpemidler som skal benyttes i behandlingen ved at de har satt opp den tekniske løsningen for nettjenesten, avgjør hvilke typer helsepersonell som skal omfattes og bestemmer hvilken type opplysninger som er tilgjengelig. Som begrunnelse for at det er Legelisten som bestemmer formålet med behandlingen av opplysningene, er det tilstrekkelig å vise til tjenestens egen nettside. Det framgår av forsiden til nettstedet at Legelisten:

«Hjelper deg å finne gode leger. Les andre pasienters vurderinger og del egne erfaringer».

Videre framgår det under beskrivelsen «Om oss» følgende:

«Vårt mål er å bli stedet folk oppsøker når de ønsker å finne en ny fastlege, spesialistlege, tannlege, kiropraktor og etter hvert også andre typer helsepersonell».

Nemnda er enig med Datatilsynet i at også når det gjelder brukernes subjektive vurderinger av helsepersonell, har Legelisten satt rammene for vurderingenes form og innhold, og ytringene på siden brukes for å oppnå de formål Legelisten har definert. Legelisten har en moderatorrolle og vurderer om innleggene er i tråd med retningslinjene, og det er Legelisten som i henhold til retningslinjene ensidig kan bestemme om vurderingene skal publiseres eller ikke. Det er derfor ingen grunn til å se annerledes på behandlingsansvaret for disse opplysningene enn for de andre opplysningene på nettstedet.

8.3 Unntaket for journalistiske formål i personopplysingsloven 2018 § 3

Det neste spørsmålet er om behandlingen av personopplysninger på nettstedet Legelisten.no faller inn under det såkalte journalistunntaket i personopplysningsloven 2018 § 3. Dersom den behandlingen av personopplysninger som skjer på nettstedet omfattes av denne bestemmelsen, har ikke Datatilsynet kompetanse til å gi et slikt pålegg som det er redegjort for innledningsvis.

Personopplysningsloven 2018 § 3 lyder:

«For behandling av personopplysninger utelukkende for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer gjelder bare bestemmelsene i personvernforordningen artikkel 24, 26 28, 29, 32 og 40 til 43, jf. personvernforordningen kapittel VI og VIII og kapittel 6 og 7 i loven her.»

Denne paragrafen har sitt utspring i GDPR artikkel 85, som er begrunnet i hensyn til ytringsfriheten, slik denne rettigheten er vernet av Grunnloven § 100, artikkel 10 i den europeiske menneskerettighetskonvensjon (EMK) og artikkel 19 i FNs konvensjon om sivile og politiske rettigheter (SP). Det framkommer av forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018), kap. 38.1, at § 3 viderefører rettstilstanden som fulgte av personopplysningsloven 2000 § 7. I Prop. 56 LS (2017-2018), kap. 14.1 redegjorde lovgiver også nærmere for begrepet «journalistiske formål»:

«Begrepet ‘journalistiske formål’ er ikke begrenset til profesjonell journalistikk. Unntaket omfatter enhver behandling av personopplysninger med utelukkende journalistiske formål, og det er en konkret vurdering av hensikten med og arten av behandlingen som er avgjørende».

Bestemmelsen omfatter alle som behandler personopplysninger uavhengig av profesjon så lenge behandlingen skjer utelukkende for journalistiske formål. Loven kommer til anvendelse på vanlig måte når behandlingen delvis har andre formål, for eksempel reklame for varer og tjenester, jf. Prop. 56 LS (2017-2018), kap. 14.1.

I EUs personverndirektiv 95/46/EF var forholdet til ytringsfriheten regulert i artikkel 9, og denne bestemmelsen sammenfaller i det vesentlige med GDPR artikkel 85. I sak C-73/07 uttalte EU-domstolen følgende om tolkningen av direktivets artikkel 9 (avsnitt 55 og 56):

«In order to reconcile those two “fundamental rights” for the purposes of the directive, the Member States are required to provide for a number of derogations or limitations in relation to the protection of data and, therefore, in relation to the fundamental right to privacy, specified in Chapters II, IV and VI of the directive. Those derogations must be made solely for journalistic purposes or the purpose of artistic or literary expression, which fall within the scope of the fundamental right to freedom of expression, in so far as it is apparent that they are necessary in order to reconcile the right to privacy with the rules governing freedom of expression.

In order to take account of the importance of the right to freedom of expression in every democratic society, it is necessary, first, to interpret notions relating to that freedom, such as journalism, broadly. Secondly, and in order to achieve a balance between the two fundamental rights, the protection of the fundamental right to privacy requires that the derogations and limitations in relation to the protection of data provided for in the chapters of the directive referred to above must apply only in so far as is strictly necessary.»

EU-domstolen gir her anvisning på at unntakene fra personopplysningsvernet i direktivet ikke kan være mer omfattende enn nødvendig («necessary») for å sikre ytringsfriheten. Nemnda viser i den forbindelse også til Prop. 56 LS (2017-2018), kap. 14.2. hvor det framgår at det ikke skal gjøres unntak fra personopplysningsvernet i større grad enn det som er nødvendig av hensyn til ytrings- og informasjonsfriheten, og at rekkevidden av unntaksregelen derfor er avhengig av hvilke krav reglene om ytrings- og informasjonsfrihet stiller, jf. Grunnloven § 100 og EMK artikkel 10. Avveiningen mellom personvernet og ytringsfriheten skal med andre ord skje med utgangpunkt i en forholdsmessighetsvurdering. EU-domstolen presiserer videre at unntakene fra vernet i direktivet ikke kan gå lengre enn strengt nødvendig («strictly necessary»), en formulering som normalt indikerer en særlig streng forholdsmessighetsvurdering, og i den sammenhengen dette framkommer her er det klart at det er hensynet til personopplysningsvernet som tilgodeses.

Nemnda anser at den ovenfor siterte uttalelsen fra EU-domstolen, selv om den gjaldt direktivets artikkel 9, også har relevans for tolkningen av GDPR artikkel 85, og nemnda legger for sin del til grunn at også GDPR artikkel 85 gir anvisning på en forholdsmessighetsvurdering. Unntak fra vernet i forordningen kan bare gjøres dersom dette er nødvendig for å sikre tilstrekkelig armslag for ytringsfriheten. Denne tolkningen finner også støtte i fortalens punkt 153, hvor det blant annet uttales:

«Medlemsstatene bør derfor treffe lovgivningsmessige tiltak som fastsetter de fritak og unntak som er nødvendige for å oppnå en balanse mellom disse grunnleggende rettighetene. Medlemsstatene bør vedta nevnte fritak og unntak med hensyn til allmenne prinsipper, den registrertes rettigheter, den behandlingsansvarlige og databehandleren, overføring av personopplysninger til tredjestater eller internasjonale organisasjoner, de uavhengige tilsynsmyndighetene, samarbeid og ensartethet samt særlige databehandlingssituasjoner.»

Det følger av GDPR artikkel 85 at medlemsstatene skal gjøre unntak fra bestemmelsene i kapitlene II, III, IV, V, VI, VII og IX, men dette kan etter nemndas vurdering ikke leses som et uttrykk for at det må gjøres unntak fra alle bestemmelsene i disse kapitlene. Fortalens punkt 153 forutsetter tvert imot at det kan være variasjoner i medlemsstatenes regulering av denne interesseavveiningen:

«Dersom slike fritak eller unntak varierer fra en medlemsstat til en annen, bør retten i medlemsstaten som den behandlingsansvarlige er underlagt, få anvendelse.»

Dette kan vanskelig tolkes på annen måte enn at medlemsstatene til en viss grad kan velge hvordan man rettslig sett vil gå fram for å regulere avveiningen mellom ytringsfriheten og personopplysningsvernet. Også Skullerud m.fl., Personvernforordningen (GDPR): Kommentarutgave (2018) s. 352 påpeker denne valgfriheten:

«[…] nasjonale tilpasninger kan gjøres nokså "sjablon[g]messig", gjennom at det etableres rene unntaksbestemmelser fra forordningen»

Det uttales videre at forordningen ikke er til:

«[…] hinder for at det etableres nasjonal særregulering som positivt regulerer denne behandlingen. Slik særregulering kan bidra til større forutsigbarhet og derved sikre bedre ivaretakelse av de ulike rettighetene».

Løsningen i Storbritannia kan tjene som eksempel på sistnevnte modell. I Data Protection Act 2018 er det i Schedule 2 (‘Exemptions etc from the GDPR’) Part 5 (‘Exemptions etc based on Article 85(2) for reasons of freedom of expression and information’) section 26 (9) listet opp en rekke bestemmelser i GDPR som ikke gjelder for behandling av personopplysninger som omfattes av journalistunntaket. Unntaket begrenses likevel av section 26 (3):

«The listed GDPR provisions do not apply to the extent that the controller reasonably believes that the application of those provisions would be incompatible with the special purposes.»

I publikasjonen «Data protection and journalism: a guide for the media», utgitt av Information Commissioner’s Office påpekes på s. 37 følgende om det tilsvarende unntaket i den forrige Data Protection Act (1998):

«Organisations must also be able to explain why complying with the relevant provision of the DPA is incompatible with the purposes of journalism. In other words, there must be a clear argument that the provision in question presents an obstacle to responsible journalism. You should be able to show it was impossible to both comply with a particular provision and to fulfil your journalistic purpose. Alternatively, you can show that it was unreasonable in the circumstances to comply with a particular provision, by virtue of it being impractical or inappropriate. You must balance the detrimental effect compliance would have on journalism against the detrimental effect non-compliance would have on the rights of the data subject.»

Det ligger i dette at behandlingen av personopplysninger bare unntas fra vernet i GDPR i den utstrekning det vil være uforenelig med den journalistiske virksomheten at den registrerte kan gjøre rettighetene i GDPR gjeldende.

Personvernnemnda ser det slik at løsningen som den norske lovgiveren har valgt, hvor det i personopplysningsloven 2018 § 3 gjøres unntak fra de aller fleste av bestemmelsene i GDPR, gjør det svært vanskelig å foreta de nyanserte avveiningene mellom ytringsfrihet og personopplysningsvern som både praksis fra EU-domstolen og fortalen til GDPR forutsetter at skal gjøres: Dersom det først legges til grunn at den aktuelle behandlingen er omfattet av unntaket i § 3, vil den registrerte langt på vei falle utenfor det vern som følger av GDPR. En slik rettstilstand vil kunne være vanskelig å forene med statens plikter etter EMK artikkel 8 til å sikre et tilstrekkelig vern av privatlivet, herunder personopplysningsvernet. For nemnda er det her viktig å minne om at hensynet til ytringsfriheten ikke bare ivaretas ved personopplysningsloven 2018 § 3, men også en rekke andre steder i GDPR. Av særlig betydning i denne saken er GDPR artikkel 6, som i nr. 1 bokstav f gir anvisning på en interesseavveining hvor ytringsfriheten kan utgjøre en av flere berettigede interesser.

Som allerede nevnt ovenfor, uttalte EU-domstolen i sak C-73/07 at hensynet til ytringsfriheten tilsier at begrepet journalistikk må tolkes vidt («broadly»). Dette var likevel ikke til hinder for at den finske Högsta forvaltningsdomstolen, som hadde stilt spørsmål til EU-domstolen om tolkningen av direktivets artikkel 9, kom til at publisering av store mengder skatteopplysninger om privatpersoner ikke var omfattet av journalistunntaket i den finske personopplysningsloven. Den finske forvaltningsdomstolen uttalte blant annet:

«The term “processing of personal data for journalistic purposes” cannot be regarded as covering the largescale publication of the journalistic background file, almost verbatim, as catalogues, albeit split into different parts and sorted by municipality.

Since the disclosure of registered data on such a scale is equivalent to the disclosure of the entire background file kept for journalistic purposes by the company, such disclosure does not represent solely an expression of information, opinions or ideas. As stated above, with a view to reconciling the requirements of freedom of expression with the protection of privacy, the collection of data before publication has been made permissible under section 2(5) of the Personal Data Act without any requirement of compliance with general conditions set out in section 8 of the Act. By contrast, the processing of personal data collected in the company’s background file by publishing it and by rendering it available to the general public to the extent that has been done in the present case, and beyond the scope of the minimum requirements set out in section 2(5) of the Act, cannot be regarded as compatible with the purpose of the Personal Data Act.»

Av det siterte, som er hentet fra EMDs dom i Satakunnan Markkinapörssi OY and Satamedia OY v. Finland fra 27. juni 2017, Storkammer, sak 931/13, avsnitt 22, side 9, kan det utledes at den finske forvaltningsdomstolen sondret mellom innsamling, lagring og annen form for behandling av personopplysninger før publisering, som klart nok var omfattet av journalistunntaket, og den senere behandlingen av opplysningene i form av publisering, som ikke var omfattet av unntaket. At det var mediebedrifter som hadde publisert skatteopplysningene var ikke i seg selv tilstrekkelig for at den aktuelle behandlingen av personopplysninger var omfattet av journalistunntaket. Forbudet mot slik massepublisering av skatteopplysninger ble ikke funnet å være en krenkelse av vernet av ytringsfriheten i EMK artikkel 10. EMD mente derimot at den finske forvaltningsdomstolen hadde funnet en rimelig balanse mellom hensynet til respekten for privatlivet på den ene siden, og hensynet til ytringsfriheten på den andre.

Nemnda legger tilsvarende betraktninger til grunn i vurderingen av om Legelisten er omfattet av journalistunntaket. Ettersom EMD sluttet seg til den finske dommen, som gjaldt medievirksomheters publisering av skatteopplysninger om ca. 1,2 millioner navngitte personer, finner ikke nemnda grunn til å vurdere journalistunntaket for Legelistens publisering av brukervurderingene på nettstedet på noen annen måte. I motsetning til den finske dommen, hvor det ikke var stilt spørsmål ved opplysningenes korrekthet, er det stilt spørsmål ved brukervurderingenes korrekthet om helsepersonell på Legelisten. Nemnda har også merket seg at EMD la vekt på at avgjørelsen i Finland ikke innebar et totalt forbud mot å publisere skatteopplysninger, og at domstolen sluttet seg til den finske avgjørelsen der det ble lagt til grunn at massepublisering av opplysninger i et slikt omfang ikke var journalistikk, men derimot behandling av personopplysninger.

Nemnda vil i tillegg presisere at det er lovens hovedregel om behandlingsgrunnlag som kommer til anvendelse dersom behandlingen av personopplysningene ikke «utelukkende» behandles for journalistiske formål, jf. unntaksbestemmelsen i personopplysningsloven 2018 § 3. Legelisten oppgir at formålet med tjenesten er at brukerne kan lese om de ulike legetjenestene før de velger en behandler. Nemnda har merket seg at Legelisten i tillegg til å tilby sine brukere å kjøpe tilleggstjenester, tilbyr særlige fordeler for helsepersonell ved kjøp av en «premium-profil», der helsepersonell betaler for bedre synlighet og kan framheve en brukervurdering i markedsføringsøyemed. En slik behandling av personopplysningene tilsier også at journalistunntaket ikke kommer til anvendelse, jf. Prop. 56 LS (2017-2018) kap. 14.1 der det uttales:

«Loven kommer derfor til anvendelse på vanlig måte når behandlingen delvis har andre formål, for eksempel reklame for varer og tjenester».

Personvernnemnda har etter dette kommet til at personopplysningsloven 2018 § 3 må tolkes i tråd med de føringer som kan utledes av EU-domstolens praksis, herunder slik denne er anvendt av den finske Högsta forvaltningsdomstolen. Den massepublisering av pasienterfaringer med leger som gjøres av Legelisten.no omfattes følgelig ikke av journalist-unntaket i personopplysningsloven 2018 § 3.

8.4 Behandlingsgrunnlag for å behandle personopplysninger om brukerne av nettstedet

Legelisten samler inn kontaktinformasjon (e-postadresse) fra de brukerne som sender inn vurderinger av helsepersonell. Datatilsynet har i sitt vedtak (pkt. 8) bestemt at Legelistens behandling av disse opplysningene må opphøre fordi Legelisten ikke har behandlingsgrunnlag.

Nemnda legger, som Datatilsynet, til grunn at en e-postadresse i de fleste tilfeller vil ha en utforming som gjør det mulig å identifisere den personen som har sendt e-posten. Den utgjør derfor en personopplysning. Datatilsynet har videre lagt til grunn at personopplysningen faller inn under særlige kategorier av personopplysninger, jf. GDPR artikkel 9 nr. 1, jf. artikkel 4 nr. 15. Legelisten bestrider dette.

Artikkel 4 nr. 15 lyder:

«I denne forordningen menes med
[…]
15) “helseopplysninger” personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand.»

Nemnda legger til grunn at opplysninger om hvem din fastlege eller tannlege er, eller opplysninger om at du har vært hos fastlege eller tannlege ikke er opplysninger som «gir informasjon om vedkommendes helsetilstand» i seg selv, og dermed heller ikke faller inn under særlig kategorier av personopplysninger i artikkel 9. Det er først når opplysningen gir tilleggsinformasjon, for eksempel at legen man har hatt kontakt med er psykiater eller kreftspesialist, at opplysningen om kontakten mellom brukeren og legen i seg selv også gir informasjon om brukerens helsetilstand og dermed omfattes av kategorien særlige personopplysninger som er undergitt regulering i artikkel 9. Selv om informasjonen om helsetilstanden også i et slikt tilfelle er svært begrenset, legger nemnda til grunn at behandling av disse personopplysningene må ha behandlingsgrunnlag i artikkel 9 nr. 2 i tillegg til artikkel 6 nr. 1.

Både ikke-sensitive og sensitive personopplysninger (særlige kategorier, jf. artikkel 9) kan behandles dersom den registrerte samtykker til behandlingen, jf. artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a. I artikkel 4 nr. 11 er samtykke fra den registrerte definert slik:

«[…] enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende.»

Det følger videre av artikkel 7 nr. 4:

«Ved vurderingen av om et samtykke er gitt frivillig skal det tas størst mulig hensyn til blant annet om oppfyllelse av en avtale, herunder om yting av en tjeneste, er gjort betinget av samtykke til behandling av personopplysninger som ikke er nødvendig for å oppfylle nevnte avtale.»

I fortalens punkt 42 til GDPR framkommer det blant annet:

«Samtykket skal ikke anses som frivillig dersom den registrerte ikke har en reell valgfrihet, eller ikke er i stand til å nekte å gi eller trekke tilbake et samtykke uten at det er til skade for vedkommende.»

Og videre i fortalens punkt 43:

«For å sikre at et samtykke gis frivillig bør det ikke utgjøre et gyldig rettslig grunnlag for behandling av personopplysninger i et bestemt tilfelle dersom det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige, særlig dersom den behandlingsansvarlige er en offentlig myndighet og det derfor er usannsynlig at samtykket er gitt frivillig med hensyn til alle omstendigheter som kjennetegner den bestemte situasjonen. Samtykket antas å ikke være gitt frivillig dersom det ikke er mulig å gi separat samtykke for forskjellige behandlingsaktiviteter, selv om det er hensiktsmessig i det enkelte tilfellet, eller dersom oppfyllelsen av en avtale, herunder yting av en tjeneste, avhenger av samtykket, til tross for at et slikt samtykke ikke er nødvendig for å oppfylle avtalen.»

Datatilsynet har lagt til grunn at et eventuelt samtykke fra brukerne ikke er frivillig fordi man blir utstengt fra å inngi vurderinger dersom man nekter å samtykke, jf. artikkel 7 nr. 4. Videre anser Datatilsynet at samtykkene uansett verken er informerte eller uttrykkelige slik GDPR krever, slik at de må anses ugyldige. Etter Datatilsynets vurdering medfører dette at de innsamlede e-postadressene må slettes.

Personvernnemnda har delt seg i et flertall og et mindretall ved vurderingen av om samtykke utgjør et gyldig behandlingsgrunnlag.

Personvernnemndas flertall (Haugstad, Borvik, Graasvold, Coll og Talsethagen) har kommet til et annet resultat enn Datatilsynet og mener at Legelisten kan bygge på samtykke som behandlingsgrunnlag for å registrere og lagre e-postadresser, eller annen kontaktinformasjon, til de brukerne som legger igjen subjektive vurderinger av helsepersonell på Legelisten.

Flertallet viser for det første til at alle brukere fritt kan lese og bruke den informasjonen som ligger på Legelisten, uten å legge igjen sin e-postadresse. Det er først dersom vedkommende ønsker å legge inn en egen vurdering av helsepersonell vedkommende bruker har vært hos, at brukerens e-postadresse/kontaktinformasjon etterspørres. Det er etter nemndas vurdering ikke naturlig å se på dette som «yting av en tjeneste, [som] er gjort betinget av samtykke», jf. artikkel 7 nr. 4. Den tjenesten Legelisten yter er å tilby et nettsted hvor ulike grupper helsepersonell sammenlignes og rates, basert på vurderinger inngitt av ulike brukere. Det er ikke muligheten for å skrive inn vurderinger som representerer tjenesten, men bearbeidingen, presentasjonen og publiseringen av de øvrig innsendte vurderingene. Alle brukere kan fritt benytte tjenesten uten selv å inngi vurderinger av eget helsepersonell.

Flertallet vil også peke på at Legelisten er behandlingsansvarlig for alle de personopplysningene som publiseres på nettstedet, og er dermed pålagt ulike plikter etter GDPR kapittel IV «Behandlingsansvarlig og databehandler». Etter artikkel 5 nr. 1 bokstav d påhviler det den behandlingsansvarlige også å sørge for at opplysningene er «korrekte og om nødvendig oppdaterte; det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes.» Legelisten har utarbeidet egne retningslinjer for innsendelse av vurderinger av helsepersonell og har forbeholdt seg en moderatorrolle og en uforbeholden rett til «etter eget skjønn og uten begrunnelse å fjerne eller unnlate å publisere vurderinger». I følge retningslinjene godtas ikke vurderinger av behandlere gitt fra behandlere ved samme klinikk, av behandleren selv eller av konkurrenter. Det stilles også krav om at vurderingene som gis skal være basert på egen erfaring og ikke sendes inn på vegne av andre. I følge retningslinjene kan det heller ikke fra samme bruker sendes inn mer enn én vurdering pr behandler. Det er redegjort for at Legelisten i noen sammenhenger foretar undersøkelser for å avklare om de brukerne som har sendt inn vurderinger følger retningslinjene. Selv om det må legges til grunn at disse retningslinjene ikke alltid følges og at Legelisten ikke har et system som gjør det mulig å oppdage alle tilfeller med avvik, vil en ordning hvor de innleverte vurderingene også var anonyme for Legelisten, klart redusere Legelistens mulighet for å foreta kontroller og utøve sin moderatorrolle. Det er også rimelig å anta at det faktum at man som bruker er identifisert, med for eksempel sin e-postadresse, i seg selv kan ha en regulerende effekt på de vurderingene som sendes inn. Nemnda mener derfor at identifisering av de personene som sender inn vurderinger til Legelisten er med å sikre kvaliteten på opplysningene som publiseres på nettstedet.

Det neste spørsmålet er om samtykkene som brukerne har gitt oppfyller lovens krav om å være en «informert og utvetydig viljesytring» jf. artikkel 4 nr. 11 og er avgitt «uttrykkelig» jf. artikkel 9 nr. 2 bokstav a (i de situasjoner hvor det enten direkte eller indirekte også gis helseopplysninger).

I Skullerud m.fl.; Personvernforordningen (GDPR) Kommentarutgave, Universitetsforlaget 2018, side 67 er kravet til uttrykkelighet blant annet omtalt slik:

«Et uttrykkelig samtykke etter forordningen skal være et uttrykk fra den registrerte om at han eller hun aksepterer en bestemt behandling av personopplysninger. Samtykket kan komme til uttrykk gjennom en bekreftende handling eller en erklæring som tydelig tilkjennegir at vedkommende aksepterer behandlingen av personopplysninger. Det stilles ikke krav om skriftlighet. Også andre måter å avgi samtykke på kan tilfredsstille kravet til uttrykkelighet. Det er likevel grunn til å minne om at det er den behandlingsansvarlige som bærer risikoen for at samtykket er gyldig, og som derfor må kunne påvise at den registrerte uttrykkelig har avgitt samtykke. Dette kan være krevende hvis samtykke kun avgis muntlig.»

Nemndas flertall legger dette til grunn for sin vurdering.

Legelisten opplyser i sin personvernerklæring at det samles inn kontaktopplysninger fra de som velger å sende inn vurderinger av helsepersonell og at kontaktopplysningene benyttes for å tilby ytterligere tjenester fra Legelisten, samt benyttes for formålet moderere vurderinger:

«For å kvalitetssikre vurderinger og sikre at de er i tråd med våre vilkår og retningslinjer, kontakte deg med informasjon og eventuelle spørsmål om din vurdering».

I tillegg framkommer det av brukervilkårene følgende:

«Hver Bruker kan kun skrive én vurdering per behandler. Forsøk på å omgå dette kan føre til at samtlige vurderinger en Bruker har skrevet blir fjernet. Dersom en Bruker etter å ha sendt inn en vurdering om en behandler senere ønsker å oppdatere eller endre innholdet i vurderingen, så kan en ny vurdering om behandleren skrives og sendes fra samme epostadresse som Brukeren benyttet til den opprinnelige vurderingen. Ved publisering vil så denne nye vurderingen automatisk overskrive og erstatte den gamle vurderingen.»

Etter flertallets vurdering får brukerne gjennom dette tilstrekkelig informasjon om hva opplysningene de sender inn brukes til. Videre avgir brukerne samtykke i form av en bekreftende handling når de sender inn de etterspurte opplysningene til Legelisten. Flertallet har under tvil kommet til at dette er et gyldig behandlingsgrunnlag i form av samtykke.

Flertallet har vært opptatt av at Legelisten må gi tydelig informasjon til brukerne i forbindelse med innhenting av samtykke. Særlig gjelder dette i og med at Legelisten også i noen tilfeller behandler sensitive personopplysninger. Legelisten må gi brukerne adgang til å kunne gi et differensiert samtykke, noe flertallet har merket seg at Legelisten.no har nå i form av avkryssingsbokser. Selv om nettstedet eventuelt har manglet denne løsningen tidligere, innebærer ikke det at de inngitte samtykkene anses ugyldige, og at opplysningene følgelig er ulovlig samlet inn. Flertallet forutsetter at det også fremover gis slik adgang til å kunne gi et differensiert samtykke.

Flertallets vurdering av dette spørsmålet innebærer en omgjøring av Datatilsynets vedtak, punkt 8. Etter nemndas vurdering har Legelisten behandlingsgrunnlag til å be om og lagre kontaktinformasjon om brukerne som legger inn vurderinger på nettstedet, jf. GDPR artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a.

Personvernnemndas mindretall (Hannemyr og Tessem) mener at Legelisten ikke har innhentet samtykke til behandling av brukernes e-postadresser på en måte som tilfredsstiller samtykkekravene i GDPR, og vil begrunne sitt standpunkt i det følgende.

Datatilsynet har påpekt det problematiske ved at alle som inngir vurderinger må oppgi e-postadresse. E-postadresser inneholder ofte navn eller er knyttet til enkeltpersoners identitet på andre måter, for eksempel ved at e-postadressen er brukt ved registrering på sosiale medier. I tilfeller der helsepersonell i spesialisthelsetjenesten vurderes, kan det at man har besøkt vedkommende lege i seg selv si noe om ens helsetilstand.

Helseopplysninger tilhører en særlig kategori opplysninger, jf. GDPR artikkel. 9, og i dette tilfellet er det kun samtykke som kan være gyldig behandlingsgrunnlag.

Mindretallet mener at spørsmålet om samtykke dreier seg om to ulike forhold:

Er det innhentet gyldig samtykke for den behandling av brukernes e-postadresser som Legelisten gjør i dag, jf. GDPR artikkel 4, nr. 11, artikkel 6 nr. 1 bokstav a, artikkel 7 og artikkel 9 nr. 2 bokstav a
Dersom dagens praksis er ugyldig, kan Legelisten i framtiden innrette innsamlingen av brukernes e-postadresser for ulike spesifiserte formål på en måte som gjør behandlingen lovlig?

Mindretallet vil først drøfte om det er innhentet gyldig (dvs. frivillig, spesifikt, informert og utvetydig) samtykke til de e-postadresser som allerede er samlet inn:

Legelistens samtykkeskjema er innrettet slik at ikke er mulig å samtykke til en tjeneste (som å bli tilsendt nyhetsbrev og oppdateringer), uten samtidig å samtykke til at Legelisten behandler helseopplysninger for modereringsformål.

Dette framgår av faksimilen av samtykkeskjemaet under, som uansett gir feilmelding dersom ikke feltet som tillater behandling av helseopplysninger er krysset av.

Dette strider mot GDPR artikkel 7 nr. 4, som slår fast at:

«Ved vurdering av om et samtykke er gitt frivillig skal det tas størst mulig hensyn til blant annet om oppfyllelse av en avtale, herunder om yting av en tjeneste, er gjort betinget av samtykke til behandling av personopplysninger som ikke er nødvendig for å oppfylle nevnte avtale.»

Slik mindretallet ser det, må samtykkeskjemaet tillate at man krysser av for at man ønsker å motta nyhetsbrev og oppdateringer, uten at man samtidig samtykker til at Legelisten behandler opplysninger knyttet til ens helse.

I dette tilfellet er det endog snakk om behandling av sensitive personopplysninger, som gjør feilen mer alvorlig.

I tillegg kommer at det framgår av den personvernerklæring Legelisten har lagt ut på sitt nettsted at Legelisten behandler e-postadressen for andre formål enn de to som framgår av samtykkeskjemaet, som eksempelvis markedsføring, og mulighet til å endre innholdet i en vurdering.

Det framgår av punkt 32 i fortalen at:

«Dersom det er flere formål med behandlingen, bør det gis samtykke til alle.»

Også dette innebærer at det samtykket Legelisten inntil nå har hentet inn via dette samtykkeskjemaet, er ugyldig.

Legelisten har derfor aldri innhentet gyldig samtykke for behandling av brukernes e-postadresser, og har derfor heller ikke gyldig grunnlag for å behandle disse. For mindretallet er det opplagt at personopplysninger som er registrert ulovlig, må slettes.

Mindretallet vil deretter videre drøfte om det skal gis pålegg som, dersom de blir fulgt, vil gjøre behandling av e-postopplysninger hentet inn fra brukere av nettstedet lovlig.

Slik mindretallet ser det, er det ikke er noe til hinder for at Legelisten kan behandle brukernes e-postadresser, forutsatt at Legelisten skaffer seg de samtykker som er nødvendig for å behandle brukernes e-postadressene for de spesifikke formål som Legelisten har listet opp i sin personvernerklæring. I praksis innebærer dette noen språklige forbedringer som gjør formålene klarere, men primært at Legelisten endrer samtykkeskjemaet slik at blir mulig å avgi spesifikke samtykke for hvert av de ulike formål som angis, og at ingen av disse samtykker er betinget av at det også må krysses av for et annet samtykke.

Mindretallet konkluderer derfor med at Legelisten må gis et klart pålegg om å endre sitt samtykkeskjema slik at det tilfredsstiller de krav som framgår av loven.

Nemndas konklusjon utformes i tråd med flertallets syn.

En samlet nemnd går så over til å vurdere om hensynet til personvernet for helsepersonell som blir vurdert på Legelisten tilsier at anonyme vurderinger på nettstedet skal forbys, slik A har anført i sin klage. Datatilsynet har bemerket at anonyme ytringer er «negative for personvernet til legen, men positivt for personvernet og ytringsfriheten til pasientene» og har i sin avgjørelse lagt avgjørende vekt på personvernet og ytringsfriheten til brukerne.

Nemnda er enig i Datatilsynets vurdering om at brukerne som legger inn subjektive vurderinger om helsepersonell på nettstedet kan framstå som anonyme for helsepersonellet som omtales og for andre brukere av tjenesten. Også anonyme ytringer er omfattet av ytringsfriheten. Det er sannsynlig at et krav om offentliggjøring av navn på dem som legger inn vurderinger på siden ville ha en «nedkjølende effekt» på negative omtaler i et slikt omfang at siden i stor grad vil miste sin informasjonsverdi. Det er imidlertid en viktig forutsetning for beskyttelsen av disse anonyme ytringene at den behandlingsansvarlige er kjent med ytrerenes identitet og har mulighet til å foreta en viss kontroll av at retningslinjene som er satt for ytringene blir fulgt.

Medlemmene Hannemyr og Tessem har følgende særmerknad til nemndas begrunnelse ovenfor: Etter medlemmenes vurdering medfører ikke tilgangen til e-postadresser noen signifikant endring i den behandlingsansvarliges evne eller mulighet til å foreta kontroll av at retningslinjene som er satt blir fulgt.

A gis etter dette ikke medhold i sin klage og Datatilsynets vedtak opprettholdes på dette punktet.

8.5 Behandlingsgrunnlag for å behandle personopplysninger om helsepersonell på nettstedet

I likhet med Datatilsynet legger nemnda til grunn at vurderinger av helsepersonells yrkesutøvelse som publiseres på Legelisten er behandling av personopplysninger i forordningens forstand, og omfattes av det saklige virkeområde for personopplysningsloven 2018, jf. § 2 og GDPR artikkel 2.

Personopplysningene om helsepersonell som behandles på Legelisten kan deles inn i en objektiv og en subjektiv kategori. I den objektive kategorien inngår typisk navn, adresse, klinikknavn, kvalifikasjoner og opplysninger om reaksjoner fra Helsetilsynet. I den subjektive kategorien inngår de personlige vurderingene som ulike brukere velger å legge inn på nettstedet. Ingen av disse kategoriene inneholder særlige kategorier personopplysninger som reguleres av GDPR artikkel 9. Det er derfor tilstrekkelig at det foreligger behandlingsgrunnlag etter GDPR artikkel 6.

Nemnda bemerker innledningsvis at aktuelt behandlingsgrunnlag etter personopplysningsloven 2018 er artikkel 6 nr. 1 bokstav f, som tilsvarer personopplysningsloven 2000 § 8 bokstav f.

Legelisten har anført at det også foreligger behandlingsgrunnlag etter personopplysningsloven 2000 § 8 bokstav d, som etter ikrafttredelse av ny lov er videreført i artikkel 6 nr. 1 bokstav e. Artikkel 6 nr. 1 bokstav e gir behandlingsgrunnlag for behandlinger som er nødvendig for å utføre en oppgave i allmennhetens interesse. Anvendelsen av dette behandlingsgrunnlaget forutsetter imidlertid at grunnlaget for behandlingen er fastsatt i unionsretten eller i nasjonal rett, jf. artikkel 6 nr. 3. Det er ikke tilfelle for den behandlingen av personopplysninger som skjer på Legelisten.no og nemnda går etter dette ikke nærmere inn på dette alternativet.

Etter GDPR artikkel 6 nr. 1 bokstav f kan personopplysninger behandles dersom:

«behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av opplysningene […].»

Bestemmelsen viderefører personopplysningsloven 2000 § 8 første ledd bokstav f, og gir adgang til å behandle opplysninger på grunnlag av en interesseavveining, jf. Prop. 56 LS (2017-2018) side 32.

Utøvelse av retten til ytringsfrihet eller informasjonsfrihet er en berettiget interesse også etter artikkel 6 nr. 1 bokstav f. Ytringsfriheten inngår som ett av flere hensyn ved interesseavveiningen som skal foretas etter denne bestemmelsen.

GDPR artikkel 6 nr. 1 bokstav f oppstiller et krav om at virksomheten må ha en nødvendig berettiget interesse i behandlingen av personopplysninger. At interessen er berettiget vil si at den må være lovlig og reelt begrunnet i virksomheten, mens nødvendighetsvilkåret innebærer at formålet ikke kan oppnås på en mindre personverninngripende måte.

I tillegg til at kravet til behandlingsgrunnlag i GDPR artikkel 6 må være oppfylt, må behandlingen av opplysningene også oppfylle de grunnleggende prinsippene i GDPR artikkel 5 for behandling av personopplysninger, blant annet at behandlingen skal skje på en «lovlig, rettferdig og åpen» måte av hensyn til den registrerte, jf. artikkel 5 nr. 1 a. Prinsippene i artikkel 5 er relevante ved fortolkningen av reglene og den interesseavveining som skal foretas etter artikkel 6 nr. 1 bokstav f.

Etter GDPR artikkel 21 nr. 1, har den registrerte rett til å protestere mot behandling av personopplysninger om vedkommende. Bestemmelsen lyder:

«Den registrerte skal til enhver tid, av grunner knyttet til vedkommendes særlige situasjon, ha rett til å protestere mot behandling av personopplysninger om vedkommende, og som har grunnlag i artikkel 6 nr. 1 bokstav e eller f, herunder profilering med grunnlag i nevnte bestemmelser. Den behandlingsansvarlige skal ikke lenger behandle personopplysningene, med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav».

GDPR artikkel 17 regulerer retten til sletting. Artikkel 17 nr. 1 bokstav c fastslår følgende:

«1. Den registrerte skal ha rett til å få personopplysninger om seg selv slettet av den behandlingsansvarlige uten ugrunnet opphold, og den behandlingsansvarlige skal ha plikt til å slette personopplysninger uten ugrunnet opphold dersom et av de følgende forhold gjør seg gjeldende:
[…]
c) den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen […]»

Artikkel 17 nr. 3 gjør deretter en rekke unntak fra retten til sletting, blant annet for utøvelsen av ytrings- og informasjonsfrihet, jf. artikkel 17 nr. 3 bokstav a. I forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017-2018) side 65 uttaler departementet:

«Bestemmelsen gir den registrerte rett til sletting av personopplysninger på en rekke ulike grunnlag, jf. artikkel 17 nr. 1 bokstav a til f. Regelen er imidlertid i stor grad knyttet til om vilkårene for behandling av personopplysningene er oppfylt, og medfører derfor først og fremst en tydeliggjøring og ingen vesentlig utvidelse av plikten til sletting.»

Nemnda vil først vurdere om Legelisten har behandlingsgrunnlag for å motta og publisere subjektive vurderinger om helsepersonell fra ulike brukere, herunder om Legelisten skal pålegges å legge til rette for en allmenn reservasjonsadgang for helsepersonell som ikke ønsker subjektive vurderinger om seg publisert på nettstedet.

Nemnda vil først si noe om de personvernulempene som gjør seg gjeldende for det registrerte helsepersonellet på Legelisten.no.

Vurderingen av personvernulempene må ses i sammenheng med formålet med behandlingen. Det er da relevant å se hen til om behandlingen skjer i helsepersonellets interesse, eller om behandlingen har negative konsekvenser for helsepersonellet som omtales. Selv om de fleste vurderingene på Legelisten er positive (Legelisten selv opplyser at de positive vurderingene utgjør 75 %), er det ingen tvil om at det også publiseres negative vurderinger som av ulike årsaker oppleves belastende eller krenkende for det helsepersonellet som omtales. Selv om Legelisten har innført en tilbakemeldingsfunksjon som gir helsepersonellet anledning til å gi generelle kommentarer, vil lovbestemt taushetsplikt ofte hindre legen (eller annet helsepersonell) i å uttale seg i saken. Dette innebærer at legen i realiteten ofte har begrensede muligheter til å imøtegå negative vurderinger. Videre kan det være svært tilfeldig hvem som velger å legge inn vurderinger og hvem som ikke gjør det. Det medfører at det er stor usikkerhet knyttet til hvor representative de publiserte vurderingene er, sammenlignet med vurderingene til den totale pasientgruppen vedkommende helsepersonell behandler.

Legene har en viktig oppgave i å forvalte samfunnets ressurser, hvilket innebærer at de i mange situasjoner ikke kan etterkomme en pasients ønske om for eksempel videre henvisning til spesialisthelsetjenesten, om å få utskrevet en type medisin eller om å skrive ut en sykemelding. Legen er også pålagt en meldeplikt til barnevernet ved bekymring for barns omsorgssituasjon i hjemmet, samt meldeplikt til Fylkeslegen dersom det er helseforhold hos en pasient som tilsier for eksempel tap av førerrett. Disse eksemplene viser at legen i mange situasjoner må ta upopulære avgjørelser, noe som igjen kan resultere i negative subjektive vurderinger fra pasienter selv om legen har foretatt gode faglige vurderinger og har utført sin samfunnsplikt i tråd med loven. Nemnda har forståelse for at legen i slike situasjoner kan oppleve negative subjektive vurderinger både som urimelige, uriktige og urettferdige og det kan ikke utelukkes at slike uttalelser kan medføre at vedkommende lege velges bort til fordel for en annen med flere positive vurderinger. Det er videre slik at legen har en plikt til å yte helsehjelp og han eller hun kan ikke selv velge bort vanskelige eller misfornøyde pasienter.

Spørsmålet er om disse personvernulempene veier tyngre enn de berettigede interessene som forfølges av den behandlingsansvarlige. Nemnda er ikke enig med A i at Legelistens interesse i å behandle opplysningene må anses som utelukkende økonomisk, men legger, som Datatilsynet, til grunn at det må foretas en bred vurdering av blant annet hensynet til ytringsfrihet, hensynet til forbrukerinteresser, eventuelle konkurransehensyn og andre allmennyttige hensyn, veid opp mot de registrertes hensyn til personvern. Kommersielle og økonomiske interesser utgjør også berettigede (lovlige) interesser, selv om vekten av disse, isolert, ofte vil være mindre målt opp mot personvernet.

Det følger av forordningen fortalepunkt 4 at retten til vern av personopplysninger ikke er en absolutt rettighet og at «den må ses i sammenheng med den funksjon den har i samfunnet, og veies mot andre grunnleggende rettigheter i samsvar med forholdsmessighetsprinsippet.»

I den konkrete interesseavveiningen har nemnda delt seg i et flertall og et mindretall.

Flertallet (Haugstad, Borvik, Graasvold, Coll og Talsethagen) har kommet til at de ulike berettigede interessene som gjennomgås i det følgende, samlet medfører at personvernhensynene til de registrerte må vike og at den behandlingen av personopplysninger som skjer på Legelisten er nødvendig for formålet og lovlig i henhold til GDPR artikkel 6 nr. 1 bokstav f.

Flertallet viser til at de subjektive ytringene fra den enkelte pasient i prinsippet er ytringer som er vernet av ytringsfriheten, jf. Grunnloven § 100 og EMK artikkel 10. Friheten til å framsette ytringer er en grunnleggende rettighet. Handlingsrommet skal være stort. Både positive og negative ytringer er i utgangspunktet ønsket som et bidrag i samfunnsdebatten.

Videre viser flertallet til at det er et viktig, lovfestet prinsipp innenfor det norske helsetilbudet at den enkelte borger har rett til fritt valg av helsetjenester. Dersom retten til fritt valg av helsetjenester skal være reell, er det sentralt at det også legges til rette for å utveksle erfaringer om helsepersonell slik at det er mulig å gjøre informerte valg. Selv om opplysningene på nettstedet er basert på opplevelser fra enkeltpasienter og at de registrerte vurderingene derfor ikke nødvendigvis er representative, er det flertallets vurdering at nettstedet muliggjør mer informerte valg for brukerne enn om den ikke inneholdt slike vurderinger.

Opplysningene som publiseres knytter seg til helsepersonellets yrkesutøvelse, ikke til deres privatliv eller familieliv. Etter flertallets syn innebærer det at personvernulempen er mindre enn om personopplysningene var av mer følsom art, og for eksempel handlet om personenes privatliv.

Flertallet legger til grunn at i alle fall hovedgruppen av helsepersonell som omtales på Legelisten er å anse som offentlige personer (personer som spiller eller har spilt en rolle i det offentlige liv), og som i større grad enn privatpersoner må akseptere at personverninteressen må vike for allmennhetens interesse i å finne informasjon om dem ved navnesøk på Legelisten.

Nemnda viser til Artikkel 29-gruppens kriterier i veileder WP 225 punkt 2: «Does the data subject play a role in public life? Is the data subject a public figure?». Artikkel 29-gruppens retningslinjer har aktualitet også etter GDPR, jf. GDPR artikkel 94, som i nr. 2 fastslår at:

«Henvisninger til det opphevede direktiv skal forstås som henvisninger til denne forordning. Henvisninger til arbeidsgruppen [Artikkel 29-gruppen] for personvern i forbindelse med behandling av personopplysninger nedsatt ved artikkel 29 i direktiv 95/46/EF skal forstås som henvisninger til Det europeiske personvernråd nedsatt ved denne forordning.»

I nemndas sak PVN-2018-07 uttalte nemnda:

«Det er ingen klar definisjon av hva som er en offentlig person eller hvem som anses å spille en rolle i det offentlige liv. Datatilsynet nevner som eksempler på offentlige personer “offentlige tjenestemenn med høytstående verv, som ministre, politikere eller direktører. […] kjente forretningspersoner eller personer i regulerte yrker som advokater, leger eller lignende”, men gir uttrykk for at eksemplene ikke er uttømmende og at det må foretas en helhetsvurdering. Nemnda er enig i den vurderingen.»

I foreliggende sak legger flertallet tilsvarende betraktninger til grunn.

Det vises til at det i Artikkel 29-gruppens veileder WP 225 side 13 uttales:

«However, by way of illustration, politicians, senior public officials, business-people and members of the (regulated) professions can usually be considered to fulfil a role in public life. There is an argument in favour of the public being able to search for information relevant to their public roles and activities.»

Helsepersonell som omtales på Legelisten.no innehar offentlige autorisasjoner og lisenser. Dette er regulerte yrker som spiller en rolle i det offentlige liv og mange sitter med ansvar for å forvalte offentlige velferdsgoder. Det er imidlertid forskjellige kategorier av helsepersonell som er oppført på Legelisten, herunder fastleger, avtalespesialister, spesialistleger, tannleger, psykologer og kiropraktorer. Disse mottar i varierende grad offentlig finansiering, og innehar i forskjellig grad en portvokterfunksjon når det gjelder tilgang til offentlige velferdsgoder. Selv om graden av «offentlig person» varierer noe for de ulike gruppene, har ikke flertallet funnet grunn til å vurdere dem ulikt. Samtlige kategorier ivaretar viktige samfunnsinteresser knyttet til befolkningens helse, og hvordan de utøver sin helsetjeneste er et viktig samfunnsmessig tema.

Legelistens formidling av subjektive brukervurderinger om navngitt helsepersonell, herunder hvordan pasienter opplever møte med helsepersonell, har etter flertallets syn allmenn interesse og tjenesten bidrar til å ivareta viktige forbrukerinteresser. Publiseringen er en relevant kilde til informasjon om andre pasienters erfaringer med helsepersonell. På det norske markedet finnes det per i dag ingen andre aktører som gir slike strukturerte og oversiktlige brukervurderinger som finnes på Legelisten. Antall registrerte helsepersonell er stort, og omfatter blant annet samtlige fastleger i Norge. Dette har betydning for informasjonsverdien av vurderingene. Fastlegedelen er de mest besøkte sidene, og er også den gruppen helsepersonell med flest vurderinger.

Flertallet har også lagt vekt på at omtalen av helsepersonell fra brukere er underlagt en viss kontroll av Legelisten. At Legelisten foretar en slik kontroll av opplysningene som publiseres bidrar til at nettstedet ikke blir en useriøs «gapestokk». En slik moderatorrolle innebærer selvsagt ingen sikring mot uriktige eller useriøse ytringer. Flertallet slutter seg for øvrig til Forbrukerrådets erfaring med lignende tjenester som viser at forbrukerne har stor forståelse for hva slike vurderingssider er, og at det er styrker og svakheter med slike tjenester.

Nemndas flertall mener også at denne typen subjektive vurderinger fra brukere kan bidra til å øke kvaliteten på fastlegenes helsetjeneste. Beskrivelser av hvordan pasienter opplever å bli møtt av legen er et viktig moment i vurderingen av kvaliteten på helsetjenesten. Dersom dårlige tilbakemeldinger kan bidra til å forbedre legens pasientbehandling, er det positivt. Flertallet legger til grunn at både tilgjengelighet, punktlighet, kommunikasjon og tillit, er viktige elementer i helsetjenesten og representerer forhold som i stor grad legen eller annet aktuelt helsepersonell har mulighet til selv å påvirke.

Flere leger og Legeforeningen har vist til helsepersonellets særskilte rolle i samfunnet som «portvoktere» for en del «goder», og at de i mange sammenhenger må ta upopulære avgjørelser i strid med en pasients ønske. De har videre vist til at frykten for negative vurderinger i verste fall kan påvirke helsepersonellets beslutning. Flertallet ser at upopulære avgjørelser i strid med pasienters ønsker kan utløse negative vurderinger på nettstedet, selv om legen har opptrådt korrekt ut fra en faglig vurdering. Flertallet har ikke funnet å legge avgjørende vekt på det. Når det gjelder anførselen om at noen kan la seg påvirke til å treffe faglig uriktige beslutninger av frykt for negativ omtale, legger flertallet til grunn at leger og annet helsepersonell er profesjonelle i sin yrkesutøvelse. Flertallet forventer at helsepersonell, som andre yrkesgrupper som også treffer upopulære avgjørelser, bestreber seg på å treffe sine avgjørelser på grunnlag av faglige gode vurderinger uten å la seg presse av sine brukere. Avvisning av sykmeldinger og andre trygdeytelser, så vel som avvisning av ønsker om medikamenter og kostbare undersøkelser hos spesialister, er en del av legegjerningen. I den grad leger ikke klarer å ivareta og følge opp dette ansvaret forsvarlig, finnes det administrative sanksjonsmuligheter hos Helsetilsynet som forutsettes å ivareta dette. Etter flertallets syn kan ikke dette begrunne en allmenn reservasjonsrett.

Slik flertallet ser det vil en generell reservasjonsrett redusere Legelistens verdi som informasjonskilde om visse sider ved kvaliteten på helsetjenestene i Norge. Utviklingen etter Datatilsynets vedtak hvor 20 % av fastlegene nærmest umiddelbart ba om å reservere seg mot vurderinger på nettstedet, viser at nettstedets informasjons- og nytteverdi vil bli vesentlig redusert dersom man innfører en slik allmenn reservasjonsadgang. En generell reservasjonsadgang vil motvirke de forbrukerhensyn som det er redegjort for ovenfor. Flertallet mener derfor at det ikke er grunnlag for å iverksette personvernfremmende tiltak i form av en generell reservasjonsrett slik Datatilsynet har lagt til grunn. Flertallet mener at den begrensede reservasjonsadgangen som i dag praktiseres basert på en konkret vurdering av om det foreligger helt særlige omstendigheter som tilsier en reservasjonsadgang, er tilstrekkelig.

Flertallet legger etter dette til grunn at den berettigede interessen til Legelisten i å formidle brukernes subjektive ytringer veier tyngre enn hensynet til helsepersonellets personvern. Legelisten har behandlingsgrunnlag for å samle inn og publisere subjektive vurderinger av helsepersonell, jf. artikkel 6 nr. 1 bokstav f, uten at helsepersonell gis en allmenn reservasjonsrett.

Det presiseres at Legelistens berettigede interesse i å behandle disse opplysningene gjelder så lenge de er korrekte og relevante for det formålet Legelisten har med sin nettside, jf. artikkel 5 bokstav c og d, noe nemnda legger til grunn ivaretas gjennom den moderatorfunksjonen Legelisten har, og ved gjennomføring av de pålegg som følger av Datatilsynets vedtak punkt 2 til 7 og 10.

Mindretallet (Hannemyr og Tessem) er enig i at det foreligger flere berettigede interesser i å publisere vurderinger av helsepersonell på nettstedet, og kan i hovedsak vise til den gjennomgangen flertallet har av disse hensynene ovenfor. I den konkrete avveiningen av interessene har imidlertid mindretallet kommet til et annet resultat enn flertallet.

Det er betydelige personvernulemper forbundet med å bli «vurdert» som person på et offentlig nettsted, der det til tider knyttes svært negative personkarakteristikker (eksempler funnet ved en forholdvis overfladisk gjennomgang: «dårlig», «usikker», «kald» «lite empatisk» «egensentrert»). Vurderingene leses ikke bare av potensielle kunder, med av barn og annen familie og venner. Legelisten utleverer alle vurderingene til Google og andre søkemotorer (selv om det er teknisk mulig ikke å gjøre en slik utlevering). At Legelisten har valgt å ikke benytte personvernøkende teknologi til å skjerme de subjektive vurderingene fra utlevering til søkemotorer innebærer at vurderingene ikke bare finnes hos Legelisten, men at de også dukker opp på søkeresultatsiden når det gjøres et generelt søk på Internett på personens egennavn også når søket ikke er relatert til personens profesjon.

Selv om Legelisten hevder at de foretar en kvalitetskontroll av vurderingene, framstår ikke vurderingene som kvalitetskontrollerte. For eksempel har det seg slik at leger som offentlig ytrer seg kritisk om alternative behandlingsformer, pådrar seg særlig mange negative vurderinger. Dersom kvalitetskontrollen til Legelisten hadde fungert bedre, eller personvernøkende tiltak som for eksempel å avstå fra å utlevere personopplysninger til Google og andre søkemotorer hadde vært benyttet, kunne forbrukerhensyn vært vektet tyngre.

Slik mindretallet ser det, er imidlertid vurderingene som publiseres av Legelisten for dårlig kvalitetssikret, og mangler dessuten personvernøkende tiltak som kunne vært benyttet. Dette er momenter som taler for at personvernulempene må veie tyngre enn forbrukerhensynene.

Mindretallet mener at den begrensede reservasjonsadgangen som i dag tilbys forutsetter at leger som ønsker å benytte seg av den må avgi en «egenerklæring» om svært personlige forhold herunder opplysninger om egen helse for at ønsket om reservere seg overhode skal bli vurdert av Legelisten. Dette er i seg selv en personvernulempe. I tillegg kommer det faktum (jf. brev fra Legelisten 5. juli 2018) at Legelisten ved minst to tilfeller på eget initiativ har utlevert personopplysninger de har fått fatt i gjennom denne egenerklæringen til tredjepart, tilsynelatende uten å være klar over de plikter som påhviler den behandlingsansvarlige i samband med utlevering. Den begrensede reservasjonsadgangen som Legelisten tilbyr avhjelper derfor ikke de personvernulempene som er omtalt, og har ved minst to anledninger bidratt til å forstørre disse ulempene.

Mindretallet slutter seg derfor til Datatilsynets vedtak og deres begrunnelse for å avhjelpe de nevnte personvernulempene ved å pålegge Legelisten å innføre en generell reservasjonsrett.

Når det gjelder de objektive personopplysningene, mener en samlet nemnd at Legelisten har en berettiget interesse i å behandle disse opplysningene så lenge de er korrekte og relevante for det formålet legelisten har med sin nettside, jf. artikkel 5 bokstav c og d. Datatilsynet har i sitt vedtak punkt 2 til 7 og 10 gitt ulike pålegg knyttet til retting og sletting av opplysninger, ved at det blant annet er satt slettefrister for enkelte typer opplysninger. Det er også i punkt 10 gitt pålegg om informasjon til helsepersonell som omtales. Påleggene skal sikre at personopplysningene på nettstedet er korrekte og oppdaterte og ikke lagres lenger enn hva som anses nødvendig ut fra formålet. Disse påleggene er akseptert av Legelisten og er ikke et tema for saken i Personvernnemnda. Spørsmålet for nemnda er om helsepersonell som ikke ønsker å være registrert på nettstedet, kan kreve alle opplysninger om seg slettet, slik A anfører i sin klage.

Personvernnemnda legger til grunn at personvernulempene knyttet til publisering av de objektive personopplysningene er klart mindre enn ulempene knyttet til de subjektive vurderingene. En samlet nemnd viser derfor til flertallets gjennomgang av Legelistens berettigede interesse ovenfor når det gjelder subjektive vurderinger. Den gjennomgangen tilsier etter nemndas vurdering at Legelisten har behandlingsgrunnlag for å samle inn og publisere disse opplysningene i artikkel 6 nr. 1 bokstav f. A får dermed ikke medhold i sin klage.

Vedtakets punkter 1 og 2, og 4 og 6 er enstemmig. Vedtakets punkt 3 og punkt 5 er avsagt med slik dissens som framgår ovenfor. Punktene 3 og 5 innebærer en omgjøring av Datatilsynets vedtak, for øvrig stadfestes Datatilsynets vedtak, med det unntaket at punktet om dispensasjon fra konsesjonsplikt er falt bort.

8.6 Vedtak

Legelisten er behandlingsansvarlig for alle personopplysningene som publiseres på nettstedet.
Legelistens publisering av vurderinger av helsepersonell på nettstedet omfattes ikke av unntaket for behandling av personopplysninger utelukkende i journalistisk virksomhet, jf. personopplysningsloven § 3.
Legelisten har behandlingsgrunnlag for å samle inn og lagre kontaktinformasjon om de brukerne som sender inn vurderinger av helsepersonell til nettstedet, jf. artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a.
Legelisten pålegges ikke å offentliggjøre identiteten til de brukerne som sender inn vurderinger av helsepersonell til nettstedet.
Legelisten har behandlingsgrunnlag for å samle inn og publisere subjektive vurderinger av helsepersonell, jf. artikkel 6 nr. 1 bokstav f, uten at helsepersonell gis en generell reservasjonsrett for slike vurderinger.
Legelisten har behandlingsgrunnlag for å samle inn og publisere objektive opplysninger om helsepersonell på nettstedet, jf. artikkel 6 nr. 1 bokstav f, uten at helsepersonell gis en generell reservasjonsrett for slike opplysninger.

Oslo, 21. januar 2019

Mari Bø Haugstad
Leder

PVN-2018-14 Behandling av personopplysninger på nettstedet Legelisten.no

Personvernnemndas vedtak 21. januar 2019 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Hans Marius Graasvold, Gisle Hannemyr, Hans Marius Tessem, Heidi Talsethagen)

Innholdsfortegnelse

1. Innledning