Personvernnemndas beslutning 10. september 2018 (Mari Bø Haugstad, Bjørnar Borvik, Line Coll, Gisle Hannemyr, Hans Marius Graasvold)
Saken gjelder anmodning fra Legelisten.no om oppsettende virkning (utsatt iverksettelse) av deler av Datatilsynets vedtak 8. november 2017 (pkt. 8. og 9), jf. forvaltningsloven § 42.
Anmodning om oppsettende virkning
Etter henvendelse fra en tannlege vedrørende behandling av personopplysninger på nettsiden «Legelisten.no» fattet Datatilsynet 8. november 2017 vedtak som innebar pålegg om ulike vilkår som måtte være oppfylt for at behandlingen skulle være i samsvar med loven. Vedtaket hadde følgende 10 punkter:
- Legelisten.no AS pålegges å legge til rette for at helsepersonell kan reservere seg mot å bli vurdert på Legelisten.no og at vurderinger vises på nettsiden, da behandlingen ellers ikke har behandlingsgrunnlag.
- Legelisten.no AS pålegges å fastsette sletteregler som sikrer at opplysninger om at helsepersonell har fått autorisasjon, lisens eller spesialistgodkjenning tilbakekalt, slettes senest fem år etter at eventuell ny autorisasjon, lisens eller spesialistgodkjenning er gitt, da behandlingen ellers ikke har behandlingsgrunnlag.
- Legelisten.no AS pålegges å fastsette sletteregler som sikrer at opplysninger om at helsepersonell har fått rekvireringsrett tilbakekalt, slettes senest to år etter at eventuell ny rekvireringsrett er gitt, da behandlingen ellers ikke har behandlingsgrunnlag.
- Legelisten.no AS pålegges å fastsette sletteregler som sikrer at opplysninger om at helsepersonells autorisasjon, lisens, spesialistgodkjenning eller rekvireringsrett har blitt begrenset, slettes senest to år etter at begrensningene eventuelt er opphevet, da behandlingen ellers ikke har behandlingsgrunnlag.
- Legelisten.no AS pålegges å fastsette sletteregler som sikrer at opplysninger om at helsepersonell har blitt ilagt advarsler fra Statens helsetilsyn, slettes senest to år etter at advarselen ble gitt, da behandlingen ellers ikke har behandlingsgrunnlag.
- Legelisten.no AS pålegges å sørge for at opplysninger om helsepersonells autorisasjon, lisens, spesialistgodkjenning og rekvireringsrett er korrekte og oppdaterte.
- Legelisten.no AS pålegges å sørge for at opplysninger om tidligere helsepersonell som ikke lenger praktiserer yrket, fjernes, da denne behandlingen ikke er relevant for formålet.
- Legelisten.no AS pålegges å opphøre å behandle sensitive personopplysninger ved å be om eller lagre e-postadressen til pasienter som har inngitt vurdering av helsepersonell i spesialisthelsetjenesten, da behandlingen mangler behandlingsgrunnlag.
- Legelisten.no AS innvilges ikke dispensasjon fra konsesjonsplikt etter personopplysningsloven § 33 tredje ledd, da den aktuelle behandlingen av sensitive personopplysninger mangler behandlingsgrunnlag.
- Legelisten.no AS pålegges å gi informasjon i tråd med personopplysningsloven § 20 til alt helsepersonell hvis personopplysninger virksomheten behandler, med mindre det er på det rene at helsepersonellet allerede kjenner til informasjonen varselet skal inneholde.
Legelisten.no anmodet 21. november 2017 Datatilsynet om at vedtaket ble gitt oppsettende virkning. Datatilsynet ga oppsettende virkning for vedtakets punkt 1., men ikke for de øvrige punktene.
Legelisten.no v/advokat Terje Lundby Michaelsen fremsatte rettidig klage på vedtaket 15. januar 2018, etter utsettelse av klagefristen, og ba samtidig om oppsettende virkning av vedtakspunktene 8. og 9. Legelisten.no begrunnet begjæringen blant annet med at det vil kunne medføre irreversibel skade for virksomhetens konkurranseposisjon. Datatilsynet avslo anmodningen om oppsettende virkning av de to punktene i vedtaket.
Datatilsynet opprettholdt sin vurdering i klagesaken og oversendte saken til Personvernnemnda 26. juni 2018. Saken har i nemnda fått saksnummer PVN-2018-14.
Legelisten.no har deretter fremsatt ny begjæring om oppsettende virkning av vedtakets punkter 8. og 9. for Personvernnemnda, som mottok begjæringen 6. august 2018.
Saken har blitt behandlet skriftlig i Personvernnemnda. Nemnda har hatt følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Line Coll, Gisle Hannemyr og Hans Marius Graasvold.
Personvernnemndas vurdering
Lov av 10. februar 1967 om behandlingsmåten i forvaltningssaker (forvaltningsloven) § 42 har regler om utsatt iverksetting av vedtak. Bestemmelsens første ledd første punktum lyder:
«Underinstansen, klageinstans eller annet overordnet organ kan beslutte at vedtak ikke skal iverksettes før klagefristen er ute eller klagen er avgjort.»
Bestemmelsen er et unntak fra hovedregelen om at forvaltningsvedtak har umiddelbar rettsvirkning uavhengig av om avgjørelsen er påklaget eller ikke. Bestemmelsen gir forvaltningsorganet en diskresjonær adgang som kan anvendes etter forvaltningsorganets eget skjønn, uten at loven har oppstilt bestemte vilkår. Rettsvirkningene av forvaltningens vedtak vil blant annet kunne utsettes der hvor en umiddelbar gjennomføring vil kunne medføre en uopprettelig skade eller et tap.
Realiteten i vedtakspunkt 9. gjelder spørsmålet om å gi dispensasjon fra konsesjonsplikten i personopplysningsloven 2000 § 33 tredje ledd. Fra 20. juli 2018 har ny lov om behandling av personopplysninger (personopplysningsloven nr. 38/2018) trådt i kraft og loven fra 2000 er samtidig opphevet. Fra samme tidspunkt gjelder EUs personvernforordning, (EU) 679/2016 av 27. april 2016, som norsk lov, jf. personopplysningsloven § 1. Etter de nye reglene faller konsesjonsordningen i personopplysningsloven 2000 bort. Det gir derfor ikke mening å gi oppsettende virkning for dette vedtakspunktet. Ved iverksettelsen av nytt regelverk er konsesjonsordningen erstattet med en plikt for den behandlingsansvarlige til å sørge for at behandlingen skjer i tråd med forordningens generelle bestemmelser og eventuelle supplerende lover og forskrifter, herunder sikre at den behandlingen av personopplysninger som skjer har et behandlingsgrunnlag. Spørsmålet om Legelisten.no har behandlingsgrunnlag for sin behandling av personopplysninger er ett av de spørsmålene nemnda skal ta stilling ved realitetsbehandling av saken.
Nemnda har merket seg at Legelisten.no mener at slettingen som påkrevet for å gjennomføre pålegget etter vedtakets punkt 8. vil innebære en uopprettelig skade. Etter det nemnda forstår omfatter dette sletting av e-postadressen til pasienter som har inngitt vurdering av helsepersonell. Datatilsynet har kommet til at Legelisten.no ikke har behandlingsgrunnlag for å lagre disse opplysningene fordi opplysningene må anses som sensitive. Legelisten.no har klaget over dette og anfører flere mulige behandlingsgrunnlag, blant annet samtykke fra de som velger å gi sine vurderinger på Legelisten.no. Dersom Legelisten.no sin klageadgang til nemnda skal være reell, finner nemnda at det er grunnlag for å gi vedtakets punkt 8. utsatt iverksettelse. Nemnda viser for øvrig til at saken som helhet skal behandles av nemnda i løpet av relativt kort tid (2 til 3 måneder).
Oslo, 10. september 2018
Mari Bø Haugstad
Leder