Ny afgørelse fra Datatilsynet: ret til indsigt i lægekonsulentvurderinger

Sagsfremstilling

En person klagede over sit pensionsselskab, Juristernes og Økonomernes Pensionskasse (JØP), i et tilfælde, hvor personen ville have indsigt i en lægekonsulentvurdering, og hvor indsigtsanmodningen blev afvist af pensionsselskabet.

Pensionsselskabet JØP begrundede deres afvisning med den faste forretningspraksis hos pensionsselskabet, hvor der ikke normalt gives indsigt i lægekonsulentvurderinger, selvom det var fast praksis for selskabet at indhente vurderinger fra lægekonsulenter til brug for den interne behandling af kundernes sager.

De oplyste, at der er tale om interne dokumenter, og at det er fast praksis inden for branchen, at vurderingen ikke deles med de kunder, som vurderingen vedrører grundet et behov for fortrolighed, ligesom JØP påstod, at der var tale om forretningshemmeligheder.

Datatilsynets afgørelse

Hvorvidt der skal gives indsigt, beror på, om lægekonsulentvurderingen indeholder personoplysninger. Personoplysninger defineres i databeskyttelsesforordningens artikel 4, nr. 1, som enhver form for information om en identificeret eller identificerbar fysisk person. I dette tilfælde var der utvivlsomt tale om personoplysninger, da en lægekonsulentvurdering indeholder helbredsoplysninger.

Datatilsynet lagde i deres afgørelse vægt på, at der som altovervejende hovedregel skal gives indsigt i personoplysninger. Datatilsynet fremhævede, at der altid skal foretages en konkret vurdering af, om indsigt kan afslås efter undtagelsesreglerne.

Datatilsynet lagde derfor til grund, at der ikke i denne sag kunne ske en afvisning som sket, da der ikke var blevet foretaget en konkret vurdering af den pågældende persons forhold.

Det fremgår af databeskyttelsesforordningens artikel 15, at den registrerede har ret til at få bekræftelse af, om der behandles personoplysninger om den pågældende, og at den registrerede har adgang til indsigt i personoplysninger, der er indsamlet om vedkommende, herunder indsigt i helbredsoplysninger, så længe det ikke krænker andres rettigheder eller frihedsrettigheder.

JØP havde ikke godtgjort, at der skulle være tale om forretningshemmeligheder. Der var heller ikke tale om en undtagelse begrundet i artikel 22, da der ikke var fare for, at JØPs interesser ville lide skade af væsentlig betydning.

Datatilsynets påbud

Datatilsynet lagde til grund, at pensionsselskabet ikke havde handlet i overensstemmelse med databeskyttelsesforordningens artikel 15 og fandt anledning til at udtale alvorlig kritik af JØPs afvisning af indsigt. De gav herefter et påbud og en frist til den 19. december 2019 til at efterleve påbuddet og til at indsende en kopi af deres fornyede vurdering af spørgsmålet om indsigt i den pågældende sag til Datatilsynet.