Personvernnemndas avgjørelse av 12.01.04 (Jon Bing, Ingvild Mestad, Per Anders Stalheim, Hanne Bjurstrøm, Dag Elgesem, Siv Bergit Pedersen, Sidsel Rogde).
1. Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets vedtak av 18.07.03. Saken gjelder konsesjon til en rutinemessig kvalitetssikring av opplysingene i tuberkuloseregisteret, ved regelmessige påføringer av data fra Utlendingsdirektoratet.
2. Saksgang
Nasjonalt folkehelseinstitutt (Folkehelseinstituttet) søkte i brev av 17.04.02 om konsesjon til rutinemessig å kvalitetssikre data i Tuberkuloseregisteret ved regelmessig påføring av data fra Utlendingsdirektoratet (UDI). Datatilsynet fattet vedtak om avslag på søknaden i brev av 01.07.03. Folkehelseinstituttet påklaget vedtaket til Datatilsynet i brev av 13.08.03. Datatilsynet opprettholdt sitt vedtak og klagen ble oversendt Personvernnemnda 15.09.03. Personvernnemnda mottok 20.11.03 brev fra Folkehelseinstituttet med merknader til Datatilsynets vedtak.
3. Faktum
Tuberkuloseregisteret er et sentralt helseregister med hjemmel i helseregisterloven § 8. I dette registeret kan det registreres opplysninger om navn, fødselsnummer og andre direkte personidentifiserende kjennetegn uten å innhente samtykke fra den registrerte i den utstrekning det er nødvendig for å nå formålet med registeret. Tuberkuloseregisteret innholder personidentifiserbare opplysninger om personer i Norge som er smittet med tuberkulose, personer som får forebyggende behandling mot tuberkulose eller personer som oppdages som omslagere (person som er tuberkulosesmittet, og derved Pirquet-positiv, men ikke syk) i tuberkulinundersøkelse i grunnskolens 10. klasse. Registerets formål er å overvåke tuberkulose i Norge for å beskrive og kartlegge forekomsten av tuberkulose i Norge over tid, oppdage og oppklare årsaken til utbrudd av sykdommen, samt bruk av informasjon for å planlegge vernetiltak og evaluere vikninger av igangsatte behandlingstiltak. Kongen i Statsråd har fastsatt nærmere bestemmelser for Tuberkuloseregisteret i MSIS- og Tuberkuloseforskriften som sist ble endret 20.06.03.
Folkehelseinstituttet ønsker å supplere Tuberkuloseregisteret med data fra UDI for å sikre kvaliteten i Tuberkuloseregisteret. I dag innhentes opplysninger fra behandlende lege. Folkehelseinstituttet angir at to tredeler av nye tuberkulosetilfeller i Norge er blant personer født i utlandet. Den behandlende lege har sjelden tilgang til all den informasjon som Folkehelseinstituttet trenger. Videre medfører det vanskeligheter å kontakte pasienten da denne pasientgruppen har høy flyttehyppighet ved at de blir overført til nye asylmottak eller sendt ut av landet.
Opplysningene som Folkehelseinstituttet særlig trenger er ankomsttid i Norge, fødselsdato, personnummer eller annet personidentifiserende nummer (FK-nummer), fødeland, kategori utlending og eventuelt utreisedato. Disse opplysningene benyttes blant annet til å identifisere grupper av utledninger med økt risiko for tuberkulose, sikring av at enkeltpasienter blir fulgt opp ved at de gjenfinnes i behandlingssystemet, unngåelse av dobbeltregistreringer, og for å sikre at eventuelle tidligere behandlingsperioder blir kjent.
4. Anførslene
Folkehelseinstituttet anfører at Datatilsynets vurdering bygger på feil premisser. Folkehelseinstituttet har ikke bedt om at denne kvalitetssikringsrutinen skulle inngå i tuberkuloseregisterforskriften. Verken Folkehelseinstituttet eller Helsedepartementet vurderte om denne sammenstillingen skulle være med i den nye tuberkuloseforskriften da man på dette tidspunktet ikke var klar over at den behandlende lege ikke nødvendigvis var i besittelse av alle opplysningene.
Folkehelseinstituttet hevder at Datatilsynet har hjemmel til å gi konsesjon til samkjøring med UDIs register. Folkehelseinstituttet opplyser å ha vært i kontakt med en underdirektør i Helsedepartementet. Vedkommende bekrefter at problemstillingen ikke ble vurdert i arbeidet med den nye forskriften, og at Helsedepartementet ikke ser det som hensiktsmessig at samkjøringer mot UDIs register skal omfattes av tuberkuloseforskriften fordi denne i § 2-6 hovedsakelig regulerer samkjøringer mot andre registre som er under Helsedepartementets myndighetsområde. Helsedepartementet er for øvrig enig i at det er ønskelig å foreta en rutinemessig sammenstilling av registrene for kvalitetssikring. Samkjøring med UDIs register må derfor tillates ved konsesjon fra Datatilsynet jf tuberkuloseforskriften § 4-5 som gir Datatilsynet kompetanse til å gi tillatelse til behandling (sammenstilling, utlevering, etc) av personidentifiserende opplysninger.
Det er viktig å kvalitetssikre registeret. Ved å koble Tuberkuloseregisteret med UDIs register vil man spare tid og bedre kvaliteten i overvåkning av tuberkulose i Norge. Dagens innsamlingsmetode vanskeliggjør Folkehelseinstituttets arbeid med å ivareta sine plikter i henhold til Tuberkuloseregisterforskriften og Tuberkulosekontrollforskriften. Det understrekes at det kun dreier seg om en tillatelse til å følge en enklere rutine for å innhente opplysninger som skal registreres i henhold til Tuberkuloseforskriften, det er ikke snakk om å innhente andre typer opplysninger.
Helseregisterlovens nødvendighetsvilkår er oppfylt. Tuberkuloseregisteret skiller seg fra andre helseregistre ved at pasienter som meldes, må følges gjennom hele behandlingsforløpet, som strekker seg over seks måneder helt opp til to år. Folkehelseinstituttet anfører at tre fjerdedeler av tuberkulosepasientene i Norge i dag er utenlandsfødte personer og denne andelen øker for hvert år. Pasientidentifiserbar informasjon endrer seg gjennom behandlingsforløpet. Både navn, fødselsdato og personnummer endres og for noen opp til flere ganger. Asylsøkere flytter fra mottak til mottak, slik at stadig nye leger overtar behandlingen av den samme pasienten. Erfaring viser at den behandlende lege ikke alltid har informasjon om tidligere personalia eller opplysninger som er endret. Tuberkuloseregisteret har derfor ofte ikke fått meldt disse endringene når kontrollskjemaer på den enkelte pasient sendes til behandlende lege. Korrekt registrering og oppdatering av personalia i Tuberkuloseregisteret er nødvendig, ikke minst av hensyn til oppfølgning av den enkelte pasient.
Personopplysningsloven §§ 8c og 8d hjemler utlevering av opplysninger fra UDI. Hensikten med utleveringen er å sikre at pasienten får korrekt og fullstendig behandling for en potensielt dødelig og smittsom sykdom, noe som kan sies å vareta den registrertes vitale interesser. Forebyggelse av tuberkulosesmitte i samfunnet kan også sies å være å utføre en oppgave av allmenn interesse. Disse sensitive opplysningene kan behandles dersom behandlingen er nødvendig for forebyggende sykdomsbehandling, medisinsk diagnose, sykepleie, eller pasientbehandling eller behandling er nødvendig for historiske, statistiske eller vitenskaplige formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte, jf §§ 9 g og h. Grunnkravene til behandling av personopplysninger i § 11 må sies å være oppfylt i denne saken.
5. Datatilsynets vurdering
Datatilsynet tolker helseregisterloven § 8 dit hen at den setter grenser for Datatilsynets kompetanse til ved enkeltvedtak å gi tillatelse til behandlinger av opplysninger i sentrale helseregistre, herunder etablering av faste rutiner for kvalitetssikring av opplysningene. Kongen i statsråd har, med hjemmel i helseregisterloven og smittevernloven, gitt forskriftsbestemmelser om etablering av Tuberkuloseregisteret om behandling av opplysninger i registeret. I forskriftens § 2-6 er det angitt positivt hvilke andre registre Tuberkuloseregisteret kan samkjøre mot for å sikre kvaliteten på opplysningene i registeret. Datatilsynet kan ikke se at det har kompetanse til å reparere en påstått mangel ved den helt nye forskriften ved å gi konsesjon til omsøkte kvalitetssikringsrutine. Datatilsynet forventer at lovgiver har vurdert hvilke kvalitetssikringsrutiner som er nødvendige og ønskelige, og at forskriften gjenspeiler resultatet av denne vurderingen.
For det tilfelle at Datatilsynet har kompetanse til å gi konsesjon til innehenting av opplysningene fra UDI anføres det at helseregisterlovens nødvendighetsvilkår uansett ikke er oppfylt i dette tilfellet, jf helseregisterloven § 11 første ledd annet pkt. Datatilsynet mener at opplysningene skal innhentes fra den opplysningene gjelder - altså pasienten. Datatilsynet er av den oppfatning at opplysningenes kvalitet kan sikres forsvarlig ved eksisterende innhentingsmetode, og at Folkehelseinstituttet bør etablere rutiner for å sikre at alle relevante opplysninger fremkommer under legens samtale med pasienten. Datatilsynet finner ikke at det foreligger saklig behov for en regelmessig påføring av opplysninger fra UDI, og lovens vilkår for nevnte behandling er såledels ikke oppfylt.
Datatilsynet anfører at personopplysningslovens grunnkrav til behandlingen uansett ikke er oppfylt hva angår UDIs utlevering av opplysningene, jf personopplysningsloven § 11 første ledd litra a, jf §§ 8 og 9. Datatilsynet kan ikke se at det pr i dag foreligger et behandlingsgrunnlag for utleveringen. I henhold til personopplysningsloven § 11 litra c skal personopplysningene ikke benyttes senere til formål som er uforenlige med det opprinnelige formålet med behandlingen, uten at den registrerte samtykker. Datatilsynet finner det ikke sannsynliggjort at overvåkning av smittsomme sykdommer er forenlig med det opprinnelige formålet med UDIs innsamling av nevnte opplysninger. Under enhver omstendighet er Datatilsynet av den prinsipielle oppfatning at utlevering av opplysninger fra UDI, til dette formålet, må hjemles i lov.
6. Personvernnemndas vurderinger
Tuberkuloseregisteret er et sentralt helseregister som er opprettet med hjemmel i lov. Personvernnemnda mener derfor at eventuell bestemmelse om at Tuberkuloseregisteret regelmessig skal påføres data fra UDIs register må foretas i henhold til denne loven. Det følger av helseregisterloven § 8 fjerde ledd at Kongen i forskrift kan gi nærmere bestemmelser om behandlingen av helseopplysningene i helseregistrene. I dette tilfellet må det eventuelt skje gjennom en endring i tuberkuloseregisterforskriften (forskrift 20. juni 2003 nr. 740). Slik regulering er skjedd i forhold til andre registre som Tuberkuloseregisteret kan samkjøres mot. Av tuberkuloseregisterforskriften § 2-6 annet ledd fremgår det at Tuberkuloseregisteret, som ledd i en kvalitetskontroll, kan samkjøres mot Det sentrale folkeregister, Dødsårsaksregisteret og Rikshospitalets apoteks lister over pasienter som har fått foreskrevet legemidler mot tuberkulose.
Nemnda anser spørsmålet om en regelmessig påføring av data fra UDIs register til Tuberkuloseregisteret som et spørsmål av prinsipiell karakter, som Helsedepartementet må vurdere.
Personvernnemnda tar etter dette ikke stilling til hvorvidt Datatilsynet har kompetanse til å gi konsesjon til slik samkjøring. Nemnda finner det heller ikke nødvendig å ta stilling til vilkårene for innhenting av opplysninger etter helseregisterloven, eller utlevering av opplysninger etter personopplysningsloven.
7. Vedtak
Klagen tas ikke tilfølge.
For Personvernnemnda
Jon Bing
Leder