                        højesterets dom
                      afsagt tirsdag den 16. oktober 2018
sag bs-8151/2018-hjr
(1. afdeling)
patientdataforeningen
(advokat eigil lego andersen)
mod
region syddanmark
(advokat kim trenskow)
i tidligere instanser er afsagt dom af københavns byret den 22. december 2016
og af østre landsrets 23. afdeling den 14. september 2017.
i pådømmelsen har deltaget fem dommere: poul dahl jensen, henrik waaben,
hanne schmidt, lars apostoli og anne louise bormann.
påstande
appellanten, patientdataforeningen, har nedlagt følgende påstande:
1) østre landsrets dom af 14. september 2017 og københavns byrets dom af 22.
december 2016 ophæves, og sagen hjemvises til byretten til fortsat behandling.
2) indstævnte, region syddanmark, skal betale 45.000 kr. med procesrente fra
højesterets modtagelse af ankestævningen.
påstand 2 angår tilbagebetaling af sagsomkostninger for byret og landsret, som
patientdataforeningen har betalt.
                                             2
region syddanmark har over for patientdataforeningens påstand 1 påstået
stadfæstelse og over for påstand 2 påstået frifindelse.
hvis patientdataforeningen får medhold i sin påstand om hjemvisning til fort-
sat behandling ved byretten, vil foreningen nedlægge de samme påstande, som
blev nedlagt for byret og landsret, idet påstandene dog efter omstændighederne
vil kunne blive justeret.
anbringender
patientdataforeningen har supplerende anført navnlig, at it-programmet senti-
nel løbende kopierer fra de praktiserende lægers journaldata, herunder diagno-
ser, og de ulovlige data, der tidligere lå i dansk almenmedicinsk database
(damd), ligger derfor nu decentralt som kopier på lægernes servere. kopierin-
gen er en databehandling udført af dansk almenmedicinsk kvalitetsenhed
(dak-e) som databehandler for region syddanmark, som regionen er dataan-
svarlig for. lægerne kan ikke tilgå de kopierede data på serveren, hvilket dak-
e derimod kan. muligheden for at genskabe kvalitetsdatabasen damd – uan-
set, om dette måtte forudsætte enten, at regionen ændrer sin instruks til dak-e,
eller at dak-e tilsidesætter instruksen – er en så alvorlig mangel i en effektiv
sletning af de ulovligt indsamlede data, at domstolenes indgriben er nødven-
dig.
det er muligt, at de praktiserende læger i den nye version af sentinel kan fra-
vælge overførslen til de godkendte kliniske kvalitetsdatabaser, men lægerne
kan ikke fravælge kopieringen af patientdata i sentinel eller slette kopierede
data, der er lagret af sentinel forud for installationen af den nye version.
højesteret skal ikke tage stilling til de it-tekniske spørgsmål, der, såfremt pa-
tientdataforeningen anses for søgsmålsberettiget, og sagen hjemvises, skal bely-
ses yderligere, herunder via processuelle opfordringer, begæringer om parts-
og/eller tredjemandsedition, vidneførsel af it-konsulenter for læger og måske
syn og skøn.
det er tænkeligt, at der, inden sagen efter hjemvisning skal afgøres, er gennem-
ført sådanne ændringer i sentinels funktion, at sagen løser sig selv. det er også
tænkeligt, at byretten når til, at det efter bevisførelsen må lægges til grund, at
den af patientdataforeningen hævdede kopiering ikke finder sted, at den er ret-
mæssig, eller at region syddanmark ikke er ansvarlig for kopieringen. det er
imidlertid ikke relevant for denne sag, der kun angår spørgsmålet, om patient-
dataforeningen har søgsmålsret og retlig interesse.
                                          3
det giver ikke grundlag for at afvise sagen, at de praktiserende læger ikke er
part i sagen, da de enkelte læger ikke vil være berørt af den sletning af de kopi-
erede data, som er omhandlet i foreningens påstande vedrørende sagens reali-
tet. synspunktet om, at påstandene ikke kan tages under pådømmelse, fordi de
praktiserende læger ikke er part i sagen, ville under alle omstændigheder kun
ramme påstand 1 og 2 og ikke påstand 3.
region syddanmark har supplerende anført navnlig, at regionen alene er data-
ansvarlig myndighed for anvendelsen af data i den kliniske kvalitetsdatabase
damd med henblik på at føre kontrol med og forbedre kvaliteten af behandlin-
gen i sundhedsvæsenet. dak-e er alene databehandler for regionen for data,
der behandles i damd-regi. dak-e kan være berettiget – og forpligtet – til at
tilgå patientdata hos de praktiserende læger på andet grundlag. region syd-
danmark har alene instruktionsbeføjelse i forhold til dak-e i relation til
damd.
de praktiserende læger er hver især dataansvarlige for den databehandling, der
foregår i forbindelse med journalisering i egne journalsystemer og indberetning
af oplysninger til godkendte kliniske kvalitetsdatabaser. lægerne er herunder
ansvarlige for egne servere og aftaler med systemhuse. sentinel er et it-værktøj,
der er udviklet af dak-e til elektronisk at hente data fra lægernes elektroniske
journaler mv. anvendelsen og udbredelsen af sentinel hos praktiserende læger
er fastlagt ved overenskomst. regionen er ikke dataansvarlig for den imple-
mentering af sentinel, som dak-e varetager i henhold til overenskomst eller af-
tale med de praktiserende læger. hverken regionen eller dak-e som databe-
handler for regionen i damd-regi har adgang til data på de praktiserende læ-
gers eller deres systemhuses servere. den enkelte læge har fuld kontrol over
egne data og kan fjerne sentinel, hvis lægen ønsker dette.
supplerende sagsfremstilling
patientdataforeningen anmodede den 19. juni 2015 dak-e om at oplyse, om
dak-e var enig i foreningens opfattelse af bl.a., hvordan sentinel lagrer data på
lægernes servere, og hvem der kan tilgå disse data. dak-e svarede den 25. juni
2015, at bestyrelsen ville behandle sagen og vende tilbage med svar efter som-
merferien, hvilket efter det oplyste ikke er sket.
der er for højesteret fremlagt en vejledning fra 2016 om sentinel datafangst.
under overskriften ”hvad er nyt i sentinel?” fremgår bl.a., at det er blevet let-
tere for lægen at administrere og kontrollere, hvilke data der gemmes lokalt, og
hvilke data der udveksles. det fremgår endvidere, at det er blevet nemt for den
dataansvarlige læge at stoppe sentinel og at slette alle data i lokaldatabasen.
                                          4
højesterets begrundelse og resultat
sagens baggrund og problemstilling
frem til 2014 blev der til dansk almenmedicinsk database (damd), som re-
gion syddanmark er dataansvarlig for, uden lovhjemmel indsamlet oplysninger
fra praktiserende lægers journaler vedrørende andre sygdomme end de fire
sygdomsområder (hjertesvigt, voksendiabetes, depression og kol), hvor data-
indsamlingen var godkendt. dataindsamlingen blev foretaget af dansk almen-
medicinsk kvalitetsenhed (dak-e) som databehandler. region syddanmark in-
struerede i oktober 2014 dak-e om at indskrænke indsamlingen af data til de
fire sygdomsområder, hvor dataindsamling var lovlig. parterne er enige om, at
der ikke herefter er sket ulovlig indsamling af data til damd, og at dak-e i
maj 2015 slettede de ulovligt indsamlede data i damd.
det er patientdataforeningens opfattelse, at it-programmet sentinel, som er ud-
viklet af dak-e og installeret på lægernes servere, virker på den måde, at der
automatisk kopieres visse data fra lægernes journal til et datalager på lægens
server, som lægen ikke har rådighed over og ikke kan slette, men som dak-e
kan tilgå, således at dak-e kan indsamle og gendanne den ulovlige del af
damd – endog i en opdateret version.
det er region syddanmarks opfattelse, at lægerne har fuld kontrol over egne
data, og at dak-e ikke uden lægernes medvirken kan indsamle data fra læger-
nes journalnoteringer.
sagen angår for højesteret alene, om patientdataforeningen har søgsmålskom-
petence til at få pådømt sine påstande om bl.a. sletning af de data på de prakti-
serende lægers servere, som ifølge foreningen uberettiget er tilgængelige for
dak-e, eller om sagen skal afvises.
patientdataforeningens søgsmålskompetence
en person, der mener, at oplysninger om den pågældendes helbredsforhold i
strid med sundhedslovgivningen og persondatalovgivningen er gjort tilgænge-
lige for andre end dem, der lovligt kan behandle de pågældende oplysninger,
har som udgangspunkt en retlig interesse i ved domstolene at få prøvet, om
dette er tilfældet. det samme gælder som udgangspunkt en læge, som mener, at
den pågældendes journaloplysninger i strid med lovgivningen gøres tilgænge-
lige for andre, uden at lægen kan forhindre det.
denne sag er ikke anlagt af patienter eller læger, som selv vil være berørt af en
eventuel tilsidesættelse af reglerne om beskyttelse af deres eller deres patienters
helbredsoplysninger, men af patientdataforeningen i eget navn.
                                            5
patientdataforeningen er efter det oplyste stiftet på baggrund af den ulovlige
dataindsamling i den oprindelige damd og tvisten om aflevering af de ulov-
ligt indsamlede data til rigsarkivet, som førte til, at denne sag blev anlagt. for-
eningen har bl.a. til formål at anlægge retssager.
foreningen er ikke selv konkret og individuelt berørt af de spørgsmål, der øn-
skes pådømt i denne sag. som anført af landsretten er patientdataforeningen
ikke ved lov tillagt klageret, partsstatus eller søgsmålskompetence eller på an-
den måde tillagt en særstatus i forbindelse med databehandling af patientoplys-
ninger. foreningen har heller ikke som en faglig organisation eller en branche-
forening i øvrigt til opgave at handle på sine medlemmers vegne i tvister, der
angår medlemmernes forhold.
højesteret finder, at der ikke i øvrigt er særlige omstændigheder ved denne sag,
der taler for at lade patientdataforeningen føre sagen i eget navn. højesteret har
herved navnlig lagt vægt på sagens karakter, herunder at den angår enkeltper-
soners forhold, og at det som sagen er oplyst er uklart, om de påstande, som pa-
tientdataforeningen ønsker prøvet, kan afgøres generelt, eller om de afhænger
af forholdene hos den enkelte læge.
på den anførte baggrund tiltræder højesteret, at patientdataforeningen ikke har
søgsmålskompetence til at føre denne sag i eget navn, og højesteret tiltræder
derfor, at sagen afvises.
det tilføjes, at højesteret ikke har haft anledning til eller grundlag for at tage
stilling til, om en pådømmelse i givet fald ville kunne ske uden inddragelse af
de læger, på hvis servere data er lagret, og af dak-e.
konklusion
landsrettens dom stadfæstes. som følge heraf frifindes region syddanmark for
patientdataforeningens påstand 2.
                           thi kendes for ret:
landsrettens dom stadfæstes.
region syddanmark frifindes for patientdataforeningens påstand 2.
i sagsomkostninger for højesteret skal patientdataforeningen inden 14 dage ef-
ter denne højesteretsdoms afsigelse betale 30.000 kr. til region syddanmark. be-
løbet forrentes efter rentelovens § 8 a.
                                   til bekræftelse:
