Personvernnemndas avgjørelse av 5. oktober 2009 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Ann Rudinow Sætnan, Jostein Halgunset, Ørnulf Rasmussen)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 26.1.2009 hvor det ble gitt avslag på søknad om konsesjon til å behandle helseopplysninger i forbindelse med forskning.
2 Saksgang
Folkehelseinstituttet søkte 24.11.2008 om konsesjon til prosjektet ”Tvillingundersøkelsen. Følger av personlighetsforstyrrelser: En populasjonsbasert studie av unge voksne”. Prosjektet ble godkjent av REK i brev av 27.10.2008.
Datatilsynet ga i brev av 26.1.2009 avslag på søknad om konsesjon.
Folkehelseinstituttet anmodet om ny behandling av søknaden i brev av 25.2.2009, med enkelte endringer av prosjektet. Blant annet skal kobling mot det sentrale straffe- og bøteregisteret utelates.
Datatilsynet fastholdt sitt avslag i brev av 14.4.2009.
I brev av 6.5.2009 påklaget Folkehelseinstituttet vedtaket.
Personvernnemnda mottok saken, som ble oversendt fra Datatilsynet 30.6.2009. Klager ble orientert om dette i brev fra nemnda datert 7.7.2009, med frist til uttalelse innen 14.8.2009. I brev av 13.8.2009 kom Folkehelseinstituttet med kommentarer til Datatilsynets oversendelsesbrev. Personvernnemnda tilskrev Folkehelseinstituttet på nytt 28.8.2009 og ba om samtykkeskjemaene fra 1998 og den informasjon som ble gitt til deltakerne i 1998. Nemnda fikk svar fra Folkehelseinstituttet 4.9.2009 med kopier av samtykkeskjemaer, invitasjon med informasjon om studien og samtykke for intervju.
3 Faktum
Folkehelseinstituttet (FHI) opplyser i søknaden at populasjonen i det omsøkte studiet vil bestå av 8045 personer som i 1998 deltok i en spørreundersøkelse for voksne tvillinger. Skjemaene inneholdt blant annet spørsmål om psykiske lidelser. Som mål for hvordan det går med de undersøkte, ønskes det nå å hente opplysninger fra flere offentlige registre, som Nasjonal utdanningsdatabase, Forløpsdatabasen – Trygd, Reseptregisteret og Dødsårsaksregisteret. Ved å foreta slike koblinger, vil forskningen gis et langsiktig perspektiv. Koblingsnøkkelen skal slettes og studien skal gjennomføres på en anonymisert datafil. Koblingen skal foretas av SSB eller annen kompetent tredjepart.
4 Klagers anførsler
Prosjektet baserer seg på en kobling av allerede innsamlede opplysninger for å danne en anonymisert forskningsfil. FHI oppgir personopplysningsloven § 9 bokstav h og § 8 bokstav d som hjemmelsgrunnlag for behandlingen av opplysningene og at krav om samtykke kan frafalles. Prosjektets formål er å undersøke hvilken betydning personlighetsforstyrrelser har for et individs psykososiale funksjonsnivå og helse, med spesielt fokus på uføretrygd og sykefravær. Norge har i dag verdens høyeste andel uføretrygdede (340 557 personer med uføreytelse per 10.08.09 ifølge NAVs nøkkeltall) i forhold til innbyggertallet, og andelen stiger, uten at vi kjenner årsakene. Behandlingen er nødvendig av vitenskapelige hensyn. Ny kunnskap er nødvendig for å snu utviklingen. Forskning på dette området er sterkt etterspurt – også internasjonalt. Samfunnsnytten overstiger personvernulempene.
Det skal ikke innhentes nye opplysninger, kun en kobling mot allerede eksisterende opplysninger i andre registre. Det skal forskes på en anonym datafil – løpenummer vil fjernes i anonymiseringen slik at bakveisidentifisering ikke skal være mulig. Koblingen skal skje ved SSB eller annen kompetent tredjepart.
På tross av at mengden opplysninger om hver enkelt vil bli utvidet gjennom kobling til registeropplysninger, mener klager at anonymiseringen av dataene, gjennom bl.a. fjerning av spesifikke opplysninger om bosted, yrke etc., vil bidra til at personverntrusselen ikke øker.
Den opprinnelige tvillingundersøkelsen bygger på samtykke fra de registrerte. Det er ikke aktuelt å innhente nye samtykker fra de registrerte. Dette vil være vanskelig fra et så stort utvalg og trolig føre til stort frafall. En må regne med at mange av de man forsøker å kontakte ikke svarer. Et stort frafall vil medføre metodisk forringelse. Frafall vil erfaringsmessig være selektivt, det vil si at det ikke er tilfeldig hvem som unnlater å svare eller som ikke kan nås. Et konsistent funn i tidligere studier er at lav sosioøkonomisk status og lav utdannelse signifikant reduserer oppslutningen i store helseundersøkelser. Dermed får man ikke svar fra de svakeste gruppene, som er de som lettest faller utenfor i arbeidslivet og samfunnet for øvrig.
Det vises til at det tidligere er gitt konsesjon til å koble informasjon fra Tvillingundersøkelsen med andre registre.
Klager vil vi påpeke en formulering i Datatilsynets brev, der det hevdes at de registrerte i Tvillingundersøkelsen er ”blitt utsatt foromfattende forskning”, som om dette var et onde som ble påført dem. Klager vil presisere at tvillingene gjennom sitt samtykke har uttrykt ønske om å bidra til forskning, og at klager således ikke utsetter dem for noe negativt, men tvert imot utfører sine forpliktelser overfor dem gjennom å utnytte dataene på en best mulig måte.
5 Datatilsynets vurdering
Databasen inneholder helseopplysninger som regnes som sensitive personopplysninger. Datatilsynet viser til at plikten til å søke konsesjon ved behandling av helseopplysninger er regulert i helseregisterloven § 5, jf personopplysningsloven § 33. Det følger av helseregisterloven § 5 at helseopplysninger bare kan behandles elektronisk dersom det er tillatt etter personopplysningsloven § 9 og § 33. Det er således på det rene at behandlingen er underlagt konsesjonsplikt.
Avslaget ble begrunnet i at behandlingen ikke hadde grunnlag i personopplysningsloven § 8 bokstav d og § 9 bokstav h. Forskningsprosjektet vil innebære en sammenstilling av et stort omfang av data, hvor store deler er av sensitiv karakter. Sammenstillingen vil si mye om hver enkelt registrert. Dette innebærer en betydelig personverntrussel.
Tidligere konsesjon ble gitt under forutsetning at det ble innhentet samtykker fra de registrerte. Datatilsynet påpekte da at kobling med andre registre krever egen konsesjon. Opplysningene er innhentet basert på samtykke fra de registrerte, men samtykkene omfatter ikke slik kobling som FHI nå ønsker å gjøre. Etter Datatilsynets vurdering forutsetter derfor behandlingen at det innhentes nye samtykker fra de registrerte. Det at FHI skal orientere deltakerne gjennom sin informasjonsstrategi for Tvillingundersøkelsen, avhjelper ikke personverntrusselen som utvidelsen av prosjektet utgjør for de registrerte.
Datatilsynet vurderer ikke utvalget som så stort at det vil være uforholdsmessig vanskelig å innhente nye samtykker. Det forhold at frafallet kan bli høyere ved innhenting av samtykker kan ikke tillegges avgjørende vekt, vurdert opp mot personverntrusselen som undersøkelsen utgjør. Datatilsynet legger stor vekt på prinsippet om at den enkelte har råderett over opplysninger om seg selv og at de kan ta aktiv stilling til eventuell deltakelse i forskningsprosjektet. Tilsynet legger også vekt på at Tvillingundersøkelsen står i en særstilling, fordi det i ettertid er blitt gjenstand for omfattende forskning uten at nye samtykker er blitt innhentet.
Konsesjon til prosjektet innvilges derfor ikke uten at samtykker først innhentes.
6 Personvernnemndas merknader
I denne saken søkes det om konsesjon til å koble Tvillingregisteret med en rekke andre registre. Datatilsynet vil ikke gi konsesjon uten at samtykke fra utvalget først innhentes.
Klager påberoper seg behandlingsgrunnlag i personopplysningsloven § 9 bokstav h og § 8 bokstav d. Klager anfører at det er tungvint å innhente samtykke og at frafallsfaren er stor. Det store problemet med frafall, er at det erfaringsmessig vil være et selektivt frafall. Dette er uheldig når forskningen skal være rettet mot de svake i samfunnet.
Personvernnemnda skal vurdere behandlingsgrunnlag i personopplysningsloven § 9 bokstav h og § 8 bokstav d. Nemnda merker seg at registrene det skal kobles mot inneholder ulike sensitive opplysninger. Nemnda legger videre vekt på at registeret ble opprinnelig opprettet basert på samtykke. Et samtykke kan trekkes tilbake. Da de aktuelle tvillingene samtykket til å delta, ble de samtidig informert om formålet med behandlingen av personopplysningene. Følgende fremgår av informasjonen fra 1998:
”I 1992 foretok Folkehelsa en spørreskjemaundersøkelse om helse blant tvillinger født 1967 til 1974. Vi vil nå følge opp 1992-undersøkelsen med en ny undersøkelse. Denne gangen spør vi om flere helseforhold og psykisk velvære og om personlige problemer. Vi inviterer også tvillinger født 1975 til 1979. Totalt vil undersøkelsen omfatte ca 13 500 tvillinger. I Norge er alle personer født siden 1967 registrert i Medisinsk fødselsregister. Vi har fått tillatelse fra Statens helsetilsyn, Den regionale forskningsetiske komité og Datatilsynet til å hente ut personnumrene til alle tvillingene som er registrert i fødselsregisteret, og så finne navn og adresser fra Folkeregisteret. Det er frivillig om du vil delta, og du har anledning til å trekke deg når som helst og få opplysningene om deg slettet. Navn, adresse og personnummer vil ikke bli lagret sammen med informasjonen du gir i spørreskjemaet. Forskere som analyserer datamaterialet vil ikke ha tilgang til opplysninger om hvem som har svart ”.
Samtykkeskjemaene og den informasjon som ble gitt i 1998 omfattet ikke kobling med andre registre. Når samtykke er gitt til opprettelsen av en database, kan man i utgangspunktet ikke gjøre noe annet eller mer enn det samtykket omfattet uten å innhente nytt samtykke, jf personopplysningsloven § 11. Det er grunn til å tro at de registrerte ga sitt samtykke i tillit til den informasjon som ble gitt på samtykketidspunktet. Det fremgår av informasjonen fra 1998 at ”Vi ønsker å ha mulighet for å ta kontakt med deg på et senere tidspunkt for en eventuell etterundersøkelse. For dette trenger vi ditt samtykke (…) Etter prosjektavslutning vil vi sende et brev til alle der vi forteller om resultater fra undersøkelsen. Vi regner med at prosjektet vil vare ut år 2003”. De registrerte hadde derfor grunn til å tro at det ikke ville bli forsket på noe annet eller mer enn det de nettopp samtykket til uten at de ville bli kontaktet på nytt. Klager hevder at behandlingsgrunnlaget er personopplysningsloven § 9 bokstav h og § 8 bokstav d.
Nemnda er imidlertid enig i Datatilsynets interesseavveining, der Datatilsynet legger til grunn at samfunnets behov for behandlingen i dette tilfellet må vike for personvern-interessene. Personvernnemnda er derfor kommet til samme resultat som Datatilsynet.
Datatilsynets vedtak opprettholdes.
7 Vedtak
Klagen tas ikke til følge. Datatilsynets vedtak opprettholdes.
Oslo, 5. oktober 2009
Eva I. E. Jarbekk
Leder