Statsforvaltningens brev til en advokat 2016-6 2 2 6 3 Dato: 21-12-2016 Din henvendelse vedrørende dataudtræk hos Region Nordjylland Du har den 11. juli 2016 indgivet klage til Aalborg Universitetshospital over Region Nordjyllands afgørelse af 6. juli 2016, hvori regionen meddelte dig afslag på aktindsigt i oplysninger om antallet af operationer af meningeomer i den cerebellopontine vinkel udført i regionen de sidste 8 år, fordelt på de enkelte år. Region Nordjylland har den 11. august 2016 oversendt sagen til Statsforvaltningen, som i medfør af regionslovens 30 fører tilsynet med regionerne. Resumé Statsforvaltningen finder ikke på det foreliggende grundlag, at Region Nordjylland med den angivne begrundelse har været berettiget til at afslå at udlevere det ønskede dataudtræk. Statsforvaltningen har derfor anmodet Region Nordjylland om at genoptage sagens behandling og tage fornyet stilling til din anmodning om dataudtræk, jf. offentlighedslovens 11, stk. 1. Tilsynet Statsforvaltningen Storetorv 10 6200 Aabenraa Sagsnummer.: 2016-62263 SAGSBEHANDLER: Maiken Christensen Telefon: 7256 7000 EAN-Nr. 5798000362222 skriv til os via borger.dk www.statsforvaltningen.dk ÅBNINGS- OG TELEFONTIDER findes på www.statsforvaltningen.dk/kontakt Her følger en gennemgang af sagens baggrund og en nærmere begrundelse for Statsforvaltningens opfattelse. Sagens baggrund Det fremgår af sagen, at du den 23. april 2016 rettede henvendelse til Aalborg Universitetshospital med anmodning om oplysninger til brug for et retssag. Du anmodede om fra Neurokirurgisk afdeling at modtage oplysninger om antallet af operationer af meningeomer specifikt i kraniebunden i den cerebellopontine vinkel udført på hospitalet de sidste 8 år, fordelt på de enkelte år. Aalborg Universitetshospital meddelte dig den 2. maj 2016, at man ikke så sig i stand til at efterkomme din anmodning. Hospitalet henviste til, at det ikke var muligt på en simpel måde at fremskaffe de ønskede op- 1
lysninger, og at den ledende overlæge på specialet skønnede, at der skulle en manuel gennemgang af journalmaterialer til, for at fremskaffe de efterspurgte oplysninger. Den 3. maj 2016 sendte du en mere begrundet anmodning til Aalborg Universitetshospital. Du oplyste samtidig, at du netop havde modtaget de ønskede oplysninger fra Odense Universitetshospital, og at operationskoderne var KAAE 30, KAAE 55 og KAAE 65. Aalborg Universitetshospital meddelte dig den 10. maj 2016, at man ikke umiddelbart havde tilgængelige data på de efterspurgte operationstyper. Det var desuden anført, at såfremt de efterspurgte data skulle fremskaffes, krævede det en ekstraordinær indsats herunder journalgennemlæsning, hvilket den fremsendte anmodning i den konkrete anledning ikke skønnedes at berettige. Den 2. juni 2016 rettede du fornyet henvendelse til Aalborg Universitetshospital med anmodning om genovervejelse af din anmodning. Du henviste bl.a. til, at antallet af operationer i forhold til koderne KAAE 30, KAAE 55 og KAAE 65 uden problemer blev fremsendt fra Odense Universitetshospital uden manuel gennemgang af journaler. Du oplyste desuden, at hver enkelt afdeling ifølge Sundhedsdatastyrelsen har pligt til at registrere disse SKS-koder, hver gang der bl.a. udføres en operation, af hensyn til rapportering og dokumentation af sundhedsvæsenets ydelser. Endvidere oplyste du, at såvel Odense Universitetshospital, Rigshospitalet og Aarhus Universitetshospital havde kunnet give dig de ønskede oplysninger. Endelig oplyste du, at du ville være indforstået med alene at modtage oplysninger om antallet af operationer ifølge kode KAAE 55 angivet for hvert af årene 2011-2015, hvis dette kunne tilvejebringes snarest. Den 7. juni 2016 meddelte Aalborg Universitetshospital dig, at man fastholdt, at de foreliggende data ikke muliggjorde en umiddelbar besvarelse, og at en besvarelse krævede en betydelig lægefaglig indsats. På dette grundlag kunne man ikke imødekomme dit ønske. Du rettede i brev af 26. juni 2016 fornyet henvendelse til Region Nordjylland og Aalborg Universitetshospital med anmodning om aktindsigt. Du gentog heri din anmodning om at modtage generelle oplysninger om antallet af operationer af meningeomer i den cerebellopontine vinkel udført i Region Nordjylland de sidste 8 år, fordelt på de enkelte år, specifikt vedrørende operationskoderne KAAE 30, KAAE 55 og KAAE 65. Du anførte bl.a., at du havde fået oplyst, at oplysningerne uden besvær ville kunne udskrives på basis af DRG-systemet, som med takstbekendtgørelsen og operationskoderne som grundlag styrer tilførslen af økonomiske ressourcer til den enkelte afdeling i forhold til antallet af operationer. Samtidig anmodede du regionen/hospitalet om indenfor lovens frist på 7 dage at imødekomme din begæring i det anførte omfang. Region Nordjylland, Jura og Forsikring, meddelte dig den 6. juli 2016 afslag på din anmodning. Regionen henviste til, at de oplysninger, du ønskede, ikke forelå i et dokument, som var indgået til eller oprettet af Region Nordjylland som led i regionens administrative sagsbehandling. Regionen havde derfor ikke mulighed for at give aktindsigt i oplysningerne i henhold til offentlighedslovens 7, stk. 1. Desuden havde regionen vurderet, i hvilket omfang det var muligt at lave et dataudtræk på grundlag af DRG-registreringerne. Regionen oplyste, at man ikke havde mulighed for at udlevere nærme- 2
re oplysninger om dette dataudtræk. Det skyldtes, at der var tale om et ganske spinkelt talmateriale, og at det følger af praksis, at regionen alene udleverer denne type statistiske oplysninger, når der er tale om værdier over 10. Regionen fandt det således ikke muligt at lave en anonymisering, som krævet i offentlighedslovens 11, stk. 1, 2. pkt. I den forbindelse henviste Region Nordjylland til Datatilsynets fortolkning af anonymisering, når der er tale om aggregerede oplysninger. Det var regionens vurdering, at det ikke kan udelukkes, at det vil være muligt at identificere enkeltpersoner ved kombination med andre oplysninger, hvis oplysningerne fra DRG-registeret udleveres. Regionen afviste desuden at meddele aktindsigt efter reglerne om meroffentlighed i offentlighedslovens 14, stk. 1, med henvisning til, at hensynet til fuldstændig anonymisering overstiger hensynet til de interesser, der ligger bag anmodningen om aktindsigt. Den 11. juli 2016 indgav du en klage til Aalborg Universitetshospital over regionens afgørelse af 6. juli 2016. Du oplyste bl.a., at Aalborg Universitetshospital, Neurokirurgisk afdeling, sammen med Odense Universitetshospital, Aarhus Universitetshospital og Rigshospitalet af Sundhedsstyrelsen er særligt akkrediteret til at udføre højtspecialiserede operationer, herunder hjerneoperationer. Med akkrediteringen følger en pligt til at kode og registrere antallet af disse operationer i forhold til specifikke operationskoder samlet i SKS-registeret. Du fremsendte samtidig et eksempel på en sådan specifik kodning i form af svar fra Odense Universitetshospital på samme anmodning om aktindsigt som sendt til Aalborg Universitetshospital. Du anførte desuden bl.a., at en lokal praksis med udlevering af oplysninger om værdier over 10, men ikke under 10 savner en saglig begrundelse. Endvidere anførte du, at den af universitetshospitalet anførte begrundelse hensynet til fuldstændig anonymisering i relation til afslaget på aktindsigt i medfør af offentlighedslovens 14 er i strid med bestemmelsens ordlyd. Du har i den forbindelse henvist til, at det ikke generelt fremgår af loven, at der er hjemmel til at afvise aktindsigt ud fra et skøn, hvori der indgår et skærpet krav om fuldstændig anonymisering. Region Nordjylland fastholdt den 11. august 2016 sin afgørelse. Samtidig beklagede regionen, at klagen ikke var genvurderet og fremsendt indenfor 7 dage, hvilket skyldtes afholdelse af ferie. Desuden beklagede regionen, at det tidligere i sagen var blevet oplyst, at det ville kræve en gennemgang af patientjournaler at finde de ønskede oplysninger, og at regionen derfor havde afvist anmodningen med denne begrundelse. Regionen oplyste, at det er muligt at lave et udtræk på diagnosekoderne, og at afslaget alene er begrundet i, at regionen ikke finder, at der kan ske tilstrækkelig anonymisering, idet der er tale om et spinkelt talmateriale. Region Nordjylland anførte desuden, at uanset, at andre regioner har vurderet anderledes, er det fortsat Region Nordjyllands opfattelse, at det ikke er muligt at udlevere helbredsoplysninger, medmindre der er tale om en fuldstændig anonymisering, hvilket regionen vurderer ikke er muligt, når talmaterialet er så spinkelt. 3
Statsforvaltningens kompetence Statsforvaltningen fører efter regionslovens 30-31, jf. kommunestyrelseslovens 48, stk. 1, tilsyn med, at regionerne overholder den lovgivning, der særligt gælder for offentlige myndigheder. Statsforvaltningen kan udtale sig om lovligheden af regionale dispositioner eller undladelser, jf. kommunestyrelseslovens 50. Statsforvaltningens udtalelse Udgangspunktet om retten til aktindsigt fremgår af offentlighedslovens 7, stk. 1. Det følger heraf, at enhver kan forlange at blive gjort bekendt med dokumenter, der er indgået til eller oprettet af en myndighed mv. som led i administrativ sagsbehandling i forbindelse med dens virksomhed. Derudover indeholder offentlighedslovens 11 regler om ret til dataudtræk. Følgende fremgår af offentlighedslovens 11, stk. 1: 11. Enhver kan forlange, at en forvaltningsmyndighed foretager og udleverer en sammenstilling af foreliggende oplysninger i myndighedens databaser, hvis sammenstillingen kan foretages ved få og enkle kommandoer. Såfremt oplysningerne er omfattet af 19-35, gælder sammenstillingsretten kun, hvis de hensyn, der er nævnt i disse bestemmelser, kan tilgodeses gennem anonymisering el.lign., der kan foretages ved få og enkle kommandoer. * + Af de specielle bemærkninger til bestemmelsen fremgår følgende: * + Hvis de oplysninger, der ønskes sammenstillet, er omfattet af undtagelsesbestemmelserne i 19-35, følger det af bestemmelsens 2. pkt., at sammenstillingsretten kun gælder, hvis de hensyn, der er nævnt i disse bestemmelser (eller følger af bestemmelserne), kan tilgodeses gennem anonymisering eller lignende. Det gælder f.eks., hvis de oplysninger, der anmodes om at få sammenstillet, er omfattet af lovforslagets 30, nr. 1, der undtager oplysninger om enkeltpersoners private forhold fra retten til aktindsigt. Det er i den forbindelse en betingelse, at sammenstillingen og anonymiseringen m.v. for en samlet betragtning kan foretages ved få og enkle kommandoer, jf. om dette udtryk nedenfor. Herudover er det en betingelse, at en eventuel anonymisering m.v. er tilstrækkelig effektiv. Der henvises herom til betænkningens kapitel 11, pkt. 4.3.1 (side 370 ff.), og kapitel 17, pkt. 5.2.2 (s. 703 ff.). Følgende fremgår af pkt. 5.2.2 (s. 703 ff.) i den i bemærkningerne nævnte betænkning 1 : * + Det anførte indebærer, at en forvaltningsmyndighed, når den foretager en anonymisering, skal sikre sig, at der er tale om effektiv anonymisering, således at der ikke sker et brud på tavshedspligten eller videregivelse i strid med de nævnte regler i persondataloven. I den forbindelse har kommissionen overvejet, hvornår et dokument, der f.eks. indeholder oplysninger om en enkeltpersons religiøse overbevisning og hvor oplysningerne derfor er omfattet af forvaltningslovens 27, stk. 1, nr. 6, og persondatalovens 7, stk. 1, hvis oplysningerne helt eller delvist er behandlet ved hjælp af edb er anonymiseret på en sådan effektiv måde, at en udlevering af oplysningerne til en udenforstående som led i meroffentlighed ikke vil være i strid med tavshedspligtreglerne i forvaltningsloven (straffeloven) og persondataloven. Da udleveringen i givet fald vil ske i forlængelse af offentlighedslovens principper om meroffentlighed (lovudkastets 14), finder kommissionen ikke, at kravet til anonymiserin- 1 O ffentlighedskommissionens betænkning nr. 1510/2009 om offentlighedsloven 4
gen af de fortrolige oplysninger om en enkeltperson, skal opfylde de strenge anonymiseringskrav, der gælder inden for persondataretten. Indenfor persondataretten gælder således et krav om, at personoplysningerne skal være gjort anonyme på en sådan måde, at den pågældende (den registrerede) ikke længere kan identificeres, og i den forbindelse skal alle hjælpemidler, der med rimelighed kan tænkes bragt i anvendelse for at identificere den pågældende enten af den dataansvarlige (forvaltningsmyndigheden) eller af enhver anden person, tages i betragtning, jf. Henrik Waaben og Kristian Korfits Nielsen, Lov om behandling af personoplysninger (2. udgave, 2008), side 96 f. Kommissionen finder derimod i overensstemmelse med kravet inden for forvaltningsretten at en anonymisering navnlig kan være utilstrækkelig, hvis der trods anonymiseringen er risiko for, at den pågældende person vil kunne genkendes i en lidt videre kreds. Forvaltningsmyndigheden må således i forbindelse med en eventuel anonymisering, der finder sted som led i meroffentlighed efter et princip svarende til lovudkastets 14, sikre sig, at oplysningerne (dokumentet) ikke indeholder sådanne kendetegn, at en identifikation af den pågældende enkeltperson er mulig i en lidt videre kreds. Det er kommissionens opfattelse, at det nævnte anonymiseringskrav ikke vil være tilsidesat, hvis der blot er tale om, at nogle, der i forvejen kender oplysningerne f.eks. den privatperson, oplysningerne angår, eller den forvaltningsmyndighed, der udleverer oplysningerne kan identificere den person, de udleverede (og anonymiserede) oplysninger angår, jf. således også John Vogter (Forvaltningsloven med kommentarer (3. udgave, 2001), side 523, samt betænkning nr. 998/1984 om tavshedspligt, side 75 og side 96. Om det nævnte anonymiseringskrav i det enkelte tilfælde er opfyldt beror efter kommissionens opfattelse på en konkret vurdering, herunder navnlig en vurdering af karakteren af oplysningerne og den sammenhæng, hvori de optræder. Anonymiseringen består i øvrigt (typisk) i en udeladelse af personnavne, præcise adresseangivelser og eventuelt andre oplysninger, der kan anvendes enten direkte eller indirekte til at identificere den person, oplysningerne angår. Det er således i visse tilfælde nødvendigt at anonymisere oplysninger, der isoleret set ikke er omfattet af lovudkastets 30, nr. 1, eller andre af lovudkastets undtagelsesbestemmelser, fordi de pågældende oplysninger gør det muligt at identificere den pågældende enkeltperson. * + Region Nordjylland har som begrundelse for at afvise at udlevere dataudtræk efter offentlighedslovens 11 henvist til, at det ikke er muligt at lave en anonymisering som krævet i offentlighedslovens 11, stk. 1, 2. pkt. Det skyldes ifølge regionen, at der er tale om et ganske spinkelt talmateriale, og at det følger af praksis, at regionen alene udleverer denne type statistiske oplysninger, når der er tale om værdier over 10. I den forbindelse har Region Nordjylland henvist til Datatilsynets fortolkning af anonymisering, når der er tale om aggregerede oplysninger. Det er regionens vurdering, at det ikke kan udelukkes, at det vil være muligt at identificere enkeltpersoner ved kombination med andre oplysninger, hvis oplysningerne fra DRG-registeret udleveres. Statsforvaltningen finder ikke på det foreliggende grundlag, at Region Nordjylland med den angivne begrundelse har været berettiget til at afslå at udlevere det ønskede dataudtræk. I den forbindelse lægger Statsforvaltningen vægt på den ovenfor citerede beskrivelse i Offentlighedskommissionens betænkning, jf. bemærkningerne til 11, til de krav, der stilles til effektiv anonymisering i forbindelse med dataudtræk, herunder: - at kravet til anonymiseringen af de fortrolige oplysninger om en enkeltperson, ikke skal opfylde de strenge anonymiseringskrav, der gælder inden for persondataretten, 5
- at en anonymisering navnlig kan være utilstrækkelig, hvis der trods anonymiseringen er risiko for, at den pågældende person vil kunne genkendes i en lidt videre kreds, - at forvaltningsmyndigheden i forbindelse med en eventuel anonymisering, der finder sted som led i meroffentlighed efter et princip svarende til lovudkastets 14, må sikre sig, at oplysningerne (dokumentet) ikke indeholder sådanne kendetegn, at en identifikation af den pågældende enkeltperson er mulig i en lidt videre kreds, og - at det nævnte anonymiseringskrav ikke vil være tilsidesat, hvis der blot er tale om, at nogle, der i forvejen kender oplysningerne f.eks. den privatperson, oplysningerne angår, eller den forvaltningsmyndighed, der udleverer oplysningerne kan identificere den person, de udleverede (og anonymiserede) oplysninger angår Det bemærkes, at Statsforvaltningen er opmærksom på det i betænkningen anførte om, at * + en forvaltningsmyndighed efter omstændighederne, når den foretager en anonymisering, bør holde sig for øje, om det pågældende dokument også er i en anden myndigheds besiddelse. Er det tilfældet, følger det af kravet om effektiv anonymisering, at myndigheden i forbindelse med anonymiseringen skal tage højde for, at den aktindsigtssøgende ved (også) at få udleveret et anonymiseret dokument hos den anden myndighed, kan sammenholde de to anonymiserede dokumenter, og derved kan identificere den person, oplysningerne angår. * + Region Nordjylland ses imidlertid ikke at have redegjort for, hvordan det vil kunne være muligt for nogen som ikke i forvejen kender oplysningerne at identificere enkeltpersonerne i det ønskede dataudtræk fra regionen, hvis der også sker en (anonymiseret) udlevering af oplysninger fra et andet register, hvor oplysningerne er indberettet til. Det bemærkes, at den ansvarlige for en eventuel udlevering af oplysningerne af oplysningerne et andet sted fra også vil skulle sikre sig, at udleveringen sker indenfor lovgivningens rammer, herunder foretage fornøden anonymisering. Regionen ses heller ikke at have begrundet det anførte om, at der kun udleveres denne type statistiske oplysninger, når der er tale om værdier over 10. Statsforvaltningen har på denne baggrund anmodet Region Nordjylland om at genoptage sagens behandling og tage fornyet stilling til din anmodning om dataudtræk, jf. offentlighedslovens 11, stk. 1. Statsforvaltningen har i øvrigt noteret sig, at Region Midtjylland er opmærksom på, at det tidligere i forbindelse med dine henvendelser til Aalborg Universitetshospital fejlagtigt er blevet oplyst over for dig, at det vil kræve en gennemgang af patientjournaler at finde de ønskede oplysninger, og at regionen afviste anmodningen med denne (fejlagtige) begrundelse. Endvidere har Statsforvaltningen umiddelbart konstateret en række sagsbehandlingsfejl i forbindelse med regionens behandling af dine anmodninger om aktindsigt. Statsforvaltningen bemærker således, at Region Nordjylland i forbindelse med behandlingen af din henvendelse med klage over regionens afgørelse af 6. juli 2016 ikke har overholdt fristen på 7 arbejdsdage i offentlighedslovens 37, stk. 2, jf. 38. Du har således den 11. juli 2016 henvendt dig til regionen med klage over regionens afgørelse, mens regionen først den 11. august 2016 har genvurderet og oversendt din henvendelse til Statsforvaltningen. 6
I den forbindelse har Statsforvaltningen noteret sig, at Region Nordjylland i sit brev af 11. august 2016 med fastholdelse af sin afgørelse er opmærksom på, at klagen ikke er rettidigt genvurderet og fremsendt. Statsforvaltningen bemærker desuden, at der ved afgørelserne af 28. april og 10. maj 2016 ikke ses at være givet vejledning om muligheden for at indbringe sagen for den kommunale og regionale tilsynsmyndighed (Statsforvaltningen), jf. offentlighedslovens 38. Disse sagsbehandlingsfejl har efter Statsforvaltningens opfattelse ikke haft betydning for sagens udfald. På den baggrund foretager Statsforvaltningen ikke yderligere for så vidt angår disse forhold, idet Statsforvaltningen lægger til grund, at Region Nordjylland fremadrettet vil overholde de omhandlede sagsbehandlingsregler. Statsforvaltningen har sendt en kopi af dette brev til Region Nordjylland. Udtalelsen vil blive offentliggjort på www.statsforvaltningen.dk. Med venlig hilsen Hanne Villumsen Kontorchef Maiken Christensen Chefkonsulent 7