højesterets dom

højesterets dom afsagt tirsdag den 16. oktober 2018 sag bs-8151/2018-hjr (1. afdeling) patientdataforeningen (advokat eigil lego andersen) mod region syddanmark (advokat kim trenskow) i tidligere instanser er afsagt dom af københavns byret den 22. december 2016 og af østre landsrets 23. afdeling den 14. september 2017. i pådømmelsen har deltaget fem dommere: poul dahl jensen, henrik waaben, hanne schmidt, lars apostoli og anne louise bormann. påstande appellanten, patientdataforeningen, har nedlagt følgende påstande: 1) østre landsrets dom af 14. september 2017 og københavns byrets dom af 22. december 2016 ophæves, og sagen hjemvises til byretten til fortsat behandling. 2) indstævnte, region syddanmark, skal betale 45.000 kr. med procesrente fra højesterets modtagelse af ankestævningen. påstand 2 angår tilbagebetaling af sagsomkostninger for byret og landsret, som patientdataforeningen har betalt. 2 region syddanmark har over for patientdataforeningens påstand 1 påstået stadfæstelse og over for påstand 2 påstået frifindelse. hvis patientdataforeningen får medhold i sin påstand om hjemvisning til fort- sat behandling ved byretten, vil foreningen nedlægge de samme påstande, som blev nedlagt for byret og landsret, idet påstandene dog efter omstændighederne vil kunne blive justeret. anbringender patientdataforeningen har supplerende anført navnlig, at it-programmet senti- nel løbende kopierer fra de praktiserende lægers journaldata, herunder diagno- ser, og de ulovlige data, der tidligere lå i dansk almenmedicinsk database (damd), ligger derfor nu decentralt som kopier på lægernes servere. kopierin- gen er en databehandling udført af dansk almenmedicinsk kvalitetsenhed (dak-

1. e)som databehandler for region syddanmark, som regionen er dataan- svarlig for. lægerne kan ikke tilgå de kopierede data på serveren, hvilket dak- e derimod kan. muligheden for at genskabe kvalitetsdatabasen damd – uan- set, om dette måtte forudsætte enten, at regionen ændrer sin instruks til dak-e, eller at dak-e tilsidesætter instruksen – er en så alvorlig mangel i en effektiv sletning af de ulovligt indsamlede data, at domstolenes indgriben er nødven- dig. det er muligt, at de praktiserende læger i den nye version af sentinel kan fra- vælge overførslen til de godkendte kliniske kvalitetsdatabaser, men lægerne kan ikke fravælge kopieringen af patientdata i sentinel eller slette kopierede data, der er lagret af sentinel forud for installationen af den nye version. højesteret skal ikke tage stilling til de it-tekniske spørgsmål, der, såfremt pa- tientdataforeningen anses for søgsmålsberettiget, og sagen hjemvises, skal bely- ses yderligere, herunder via processuelle opfordringer, begæringer om parts- og/eller tredjemandsedition, vidneførsel af it-konsulenter for læger og måske syn og skøn. det er tænkeligt, at der, inden sagen efter hjemvisning skal afgøres, er gennem- ført sådanne ændringer i sentinels funktion, at sagen løser sig selv. det er også tænkeligt, at byretten når til, at det efter bevisførelsen må lægges til grund, at den af patientdataforeningen hævdede kopiering ikke finder sted, at den er ret- mæssig, eller at region syddanmark ikke er ansvarlig for kopieringen. det er imidlertid ikke relevant for denne sag, der kun angår spørgsmålet, om patient- dataforeningen har søgsmålsret og retlig interesse. 3 det giver ikke grundlag for at afvise sagen, at de praktiserende læger ikke er part i sagen, da de enkelte læger ikke vil være berørt af den sletning af de kopi- erede data, som er omhandlet i foreningens påstande vedrørende sagens reali- tet. synspunktet om, at påstandene ikke kan tages under pådømmelse, fordi de praktiserende læger ikke er part i sagen, ville under alle omstændigheder kun ramme påstand 1 og 2 og ikke påstand 3. region syddanmark har supplerende anført navnlig, at regionen alene er data- ansvarlig myndighed for anvendelsen af data i den kliniske kvalitetsdatabase damd med henblik på at føre kontrol med og forbedre kvaliteten af behandlin- gen i sundhedsvæsenet. dak-e er alene databehandler for regionen for data, der behandles i damd-regi. dak-e kan være berettiget – og forpligtet – til at tilgå patientdata hos de praktiserende læger på andet grundlag. region syd- danmark har alene instruktionsbeføjelse i forhold til dak-e i relation til damd. de praktiserende læger er hver især dataansvarlige for den databehandling, der foregår i forbindelse med journalisering i egne journalsystemer og indberetning af oplysninger til godkendte kliniske kvalitetsdatabaser. lægerne er herunder ansvarlige for egne servere og aftaler med systemhuse. sentinel er et it-værktøj, der er udviklet af dak-e til elektronisk at hente data fra lægernes elektroniske journaler mv. anvendelsen og udbredelsen af sentinel hos praktiserende læger er fastlagt ved overenskomst. regionen er ikke dataansvarlig for den imple- mentering af sentinel, som dak-e varetager i henhold til overenskomst eller af- tale med de praktiserende læger. hverken regionen eller dak-e som databe- handler for regionen i damd-regi har adgang til data på de praktiserende læ- gers eller deres systemhuses servere. den enkelte læge har fuld kontrol over egne data og kan fjerne sentinel, hvis lægen ønsker dette. supplerende sagsfremstilling patientdataforeningen anmodede den 19. juni 2015 dak-e om at oplyse, om dak-e var enig i foreningens opfattelse af bl.a., hvordan sentinel lagrer data på lægernes servere, og hvem der kan tilgå disse data. dak-e svarede den 25. juni 2015, at bestyrelsen ville behandle sagen og vende tilbage med svar efter som- merferien, hvilket efter det oplyste ikke er sket. der er for højesteret fremlagt en vejledning fra 2016 om sentinel datafangst. under overskriften ”hvad er nyt i sentinel?” fremgår bl.a., at det er blevet let- tere for lægen at administrere og kontrollere, hvilke data der gemmes lokalt, og hvilke data der udveksles. det fremgår endvidere, at det er blevet nemt for den dataansvarlige læge at stoppe sentinel og at slette alle data i lokaldatabasen. 4 højesterets begrundelse og resultat sagens baggrund og problemstilling frem til 2014 blev der til dansk almenmedicinsk database (damd), som re- gion syddanmark er dataansvarlig for, uden lovhjemmel indsamlet oplysninger fra praktiserende lægers journaler vedrørende andre sygdomme end de fire sygdomsområder (hjertesvigt, voksendiabetes, depression og kol), hvor data- indsamlingen var godkendt. dataindsamlingen blev foretaget af dansk almen- medicinsk kvalitetsenhed (dak-
2. e)som databehandler. region syddanmark in- struerede i oktober 2014 dak-e om at indskrænke indsamlingen af data til de fire sygdomsområder, hvor dataindsamling var lovlig. parterne er enige om, at der ikke herefter er sket ulovlig indsamling af data til damd, og at dak-e i maj 2015 slettede de ulovligt indsamlede data i damd. det er patientdataforeningens opfattelse, at it-programmet sentinel, som er ud- viklet af dak-e og installeret på lægernes servere, virker på den måde, at der automatisk kopieres visse data fra lægernes journal til et datalager på lægens server, som lægen ikke har rådighed over og ikke kan slette, men som dak-e kan tilgå, således at dak-e kan indsamle og gendanne den ulovlige del af damd – endog i en opdateret version. det er region syddanmarks opfattelse, at lægerne har fuld kontrol over egne data, og at dak-e ikke uden lægernes medvirken kan indsamle data fra læger- nes journalnoteringer. sagen angår for højesteret alene, om patientdataforeningen har søgsmålskom- petence til at få pådømt sine påstande om bl.a. sletning af de data på de prakti- serende lægers servere, som ifølge foreningen uberettiget er tilgængelige for dak-e, eller om sagen skal afvises. patientdataforeningens søgsmålskompetence en person, der mener, at oplysninger om den pågældendes helbredsforhold i strid med sundhedslovgivningen og persondatalovgivningen er gjort tilgænge- lige for andre end dem, der lovligt kan behandle de pågældende oplysninger, har som udgangspunkt en retlig interesse i ved domstolene at få prøvet, om dette er tilfældet. det samme gælder som udgangspunkt en læge, som mener, at den pågældendes journaloplysninger i strid med lovgivningen gøres tilgænge- lige for andre, uden at lægen kan forhindre det. denne sag er ikke anlagt af patienter eller læger, som selv vil være berørt af en eventuel tilsidesættelse af reglerne om beskyttelse af deres eller deres patienters helbredsoplysninger, men af patientdataforeningen i eget navn. 5 patientdataforeningen er efter det oplyste stiftet på baggrund af den ulovlige dataindsamling i den oprindelige damd og tvisten om aflevering af de ulov- ligt indsamlede data til rigsarkivet, som førte til, at denne sag blev anlagt. for- eningen har bl.a. til formål at anlægge retssager. foreningen er ikke selv konkret og individuelt berørt af de spørgsmål, der øn- skes pådømt i denne sag. som anført af landsretten er patientdataforeningen ikke ved lov tillagt klageret, partsstatus eller søgsmålskompetence eller på an- den måde tillagt en særstatus i forbindelse med databehandling af patientoplys- ninger. foreningen har heller ikke som en faglig organisation eller en branche- forening i øvrigt til opgave at handle på sine medlemmers vegne i tvister, der angår medlemmernes forhold. højesteret finder, at der ikke i øvrigt er særlige omstændigheder ved denne sag, der taler for at lade patientdataforeningen føre sagen i eget navn. højesteret har herved navnlig lagt vægt på sagens karakter, herunder at den angår enkeltper- soners forhold, og at det som sagen er oplyst er uklart, om de påstande, som pa- tientdataforeningen ønsker prøvet, kan afgøres generelt, eller om de afhænger af forholdene hos den enkelte læge. på den anførte baggrund tiltræder højesteret, at patientdataforeningen ikke har søgsmålskompetence til at føre denne sag i eget navn, og højesteret tiltræder derfor, at sagen afvises. det tilføjes, at højesteret ikke har haft anledning til eller grundlag for at tage stilling til, om en pådømmelse i givet fald ville kunne ske uden inddragelse af de læger, på hvis servere data er lagret, og af dak-e. konklusion landsrettens dom stadfæstes. som følge heraf frifindes region syddanmark for patientdataforeningens påstand 2. thi kendes for ret: landsrettens dom stadfæstes. region syddanmark frifindes for patientdataforeningens påstand 2. i sagsomkostninger for højesteret skal patientdataforeningen inden 14 dage ef- ter denne højesteretsdoms afsigelse betale 30.000 kr. til region syddanmark. be- løbet forrentes efter rentelovens § 8 a. til bekræftelse: