Personvernnemndas avgjørelse av 27. mai 2009 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Ann Rudinow Sætnan, Svein-Erik Ekeid, Ørnulf Rasmussen)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets saksbehandling vedrørende påberopte brudd på personvernlovgivningen i forskningsprosjekter. Klager mener at Datatilsynet skulle ha foretatt seg mer i denne saken.
2 Saksgang
Datatilsynet har siden 2002 mottatt flere henvendelser fra klager. Klager har arbeidet som stipendiat ved SINTEF Unimed og har oppdaget flere brudd på personvernlovgivningen i forbindelse med forskningsprosjekter ved St Olavs Hospital og SINTEF. Klager navngir en professor ved SINTEF som han mener har brutt personvernreglene i sitt virke.
Datatilsynet henvendte seg til professoren ved SINTEF i brev av 5.8.2003 og ba om en nærmere redegjørelse for eventuelle forskningsprosjekt han var behandlingsansvarlig for. Professoren besvarte henvendelsen i brev av 11.2.2004.
Datatilsynet gjennomførte i april/mai 2004 kontroll av SINTEF Unimed. Kontrollen ble avsluttet i brev av 19.10.2004. Datatilsynet påpekte enkelte avvik og disse ble rettet etter kontrollen.
Klager kontaktet Datatilsynet på nytt i mars 2005. Deretter kontaktet Datatilsynet St Olavs Hospital og SINTEF med forespørsel om redegjørelse av enkelte problemstillinger. Foretakene besvarte dette og Datatilsynet avsluttet saken i brev av 1.8.2005.
Klager kontaktet Datatilsynet gjentatte ganger etter dette. Etter kontakt med Helsetilsynet, sendte Datatilsynet varsel om stedlig kontroll hos St Olavs Hospital og SINTEF Unimed. Kontrollene ble gjennomført hos SINTEF Unimed 29.11.2007 og hos St Olavs Hospital 30.11.2007. Datatilsynet fant ingen forhold under kontrollene som ga grunnlag for reaksjon. Saken hos SINTEF ble avsluttet ved brev av 5.12.2007 og hos St Olavs Hospital i brev av 21.12.2007.
Klager fortsatte å kontakte Datatilsynet i 2008. Datatilsynet besvarte alle henvendelsene og opplyste at det ikke var grunnlag for reaksjoner mot virksomhetene eller mot professoren personlig.
I brev av 23.12.2008 ber klager om at Datatilsynet vurderer saken på nytt, med særlig fokus på om professoren har fulgt regelverket vedrørende melde- og konsesjonsplikt for sine artikler. Klager ber om at saken sendes Personvernnemnda dersom Datatilsynet ikke gir klager medhold.
Datatilsynet mener at de har oppfylt forvaltningsloven § 17 om å opplyse saken og ser ikke at det er nødvendig å igangsette nye undersøkelser i denne saken.
Personvernnemnda mottok saken fra Datatilsynet 19.2.2009. Klager ble orientert om dette i brev fra nemnda av 23.2.2009, med frist til uttalelse innen 13.3.2009. Klager har ikke uttalt seg til nemnda innen fristen.
3 Faktum
Klager har arbeidet som stipendiat ved SINTEF Unimed med en navngitt professor som veileder og skriver at han har oppdaget flere brudd på personvernlovgivningen i forbindelse med forskningsprosjekter ved St Olavs Hospital og SINTEF. Bruddene gjaldt blant annet innsamling og oppbevaring av sensitive opplysninger uten konsesjon og uten anonymisering, at dokumenter med sensitive opplysninger ble skannet hos utenforstående foretak uten databehandleravtale og at meldepliktige forskningsprosjekter ble foretatt uten melding til Datatilsynet.
Datatilsynet hadde en del korrespondanse med partene og gjennomførte stedlig kontroll. Kontrollene avdekket noe av det klager påpekte, blant annet at dokumenter med sensitive opplysninger ble skannet av utenforstående foretak uten databehandleravtale. Dette ble rettet opp i etter kontrollene og Datatilsynet ga derfor ingen pålegg til partene. For øvrig er Datatilsynets konklusjon at forskeren har fulgt regelverket vedrørende melde- og konsesjonsplikt og Datatilsynet har ikke funnet at forskeren har brutt regelverket gjennom sin behandling av sensitive opplysninger. På denne bakgrunn er Datatilsynet kommet til at det ikke var grunnlag for reaksjon fra tilsynsmyndighetens side, at saken er blitt grundig opplyst og at saken ikke skal forfølges videre.
4 Klagers anførsler
Klager anfører at Datatilsynets konklusjon i denne saken ikke er korrekt. Professoren har i følge Datatilsynet bare fått en konsesjon, det var i 1988 og den er ikke gyldig lenger. Likevel har forskeren publisert en rekke artikler uten konsesjon i perioden 1988 til 2003 (og eventuelt senere). Klager mener derfor at professoren ikke har fulgt regelverket vedrørende melde- og konsesjonsplikt og at han har brutt regelverket gjennom sin behandling av sensitive opplysninger i en årrekke. Klager mener at Datatilsynet bør undersøke dette grundig og eventuelt ilegge sanksjoner for bruddene.
5 Datatilsynets vurdering
Datatilsynet viser til at tilsynet har en plikt til å påse at saken er så godt opplyst som mulig før vedtak treffes, jf forvaltningsloven § 17. Datatilsynet mener at det har besvart henvendelser fra klager og fulgt opp saken på en adekvat måte. Tilsynet har gjennomført både brevlig og stedlig kontroll. Tilsynet har konkludert med at det ikke har funnet grunnlag for pålegg om endring, eller opphør av ulovlige behandlinger av personopplysninger etter personopplysningsloven § 46 da Datatilsynet ikke fant noen behandling som var ulovlig. Datatilsynet kan derfor ikke se at det er nødvendig å igangsette nye undersøkelser av professorens virksomhet.
6 Personvernnemndas merknader
Personvernnemnda tok først opp spørsmålet om medlem i nemnda Jostein Halgunset er inhabil i denne saken. Klagen retter seg primært mot en navngitt professor, men også SINTEF Unimed og St Olavs Hospital er involvert i saken. Jostein Halgunset er ansatt i en bistilling ved St Olavs Hospital. Nemnda diskuterte spørsmålet og konkluderte med at Jostein Halgunset skal fratre behandlingen av denne saken. Varamedlem Svein-Erik Ekeid trådte inn i stedet.
Det nemnda skal vurdere i denne saken er hvorvidt saksbehandlingen hos Datatilsynet har vært forsvarlig. Datatilsynet har foretatt undersøkelser i form av korrespondanse og stedlig kontroll hos begge virksomheter. Etter de stedlige kontrollene ble enkelte forhold rettet opp hos de to virksomhetene. Datatilsynet fulgte også opp de stedlige tilsynene og har konkludert med at det ikke er grunnlag for reaksjoner mot virksomhetene eller mot professoren. Når det gjelder professoren skal nemnda bemerke at det ikke er anledning til å publisere taushetsbelagte opplysninger uten samtykke fra den opplysningene gjelder. Det kreves konsesjon for å behandle sensitive opplysninger. Nemnda legger til grunn at Datatilsynet har kommet til at det ikke i forbindelse med publisering av de aktuelle artiklene foretas behandling av sensitive opplysninger som krever konsesjon. For publisering av medisinske artikler kreves imidlertid ikke konsesjon.
Nemnda er på denne bakgrunn kommet til at saken er tilstrekkelig opplyst og Datatilsynet har oppfylt sin utredningsplikt etter forvaltningsloven § 17.
Klagen tas ikke til følge. Datatilsynets avvisningsvedtak opprettholdes.
7 Vedtak
Klagen tas ikke til følge.
Oslo, 27. mai 2009
Eva I. E. Jarbekk
Leder