Personvernnemndas avgjørelse av 15.2.2005 (Jon Bing, Gro Hillestad Thune, Per Anders Stalheim, Hanne Bjurstrøm, Dag Elgesem, Siv Bergit Pedersen, Sidsel Rogde).
1. Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets vedtak av 5.4.2004. Saken gjelder klage på Datatilsynets vedtak om å nekte konsesjon for ferdigstillelse av forskningsprosjektet "Suicidal atferd i Bergensområdet"
2. Saksgang
9.1.2004 sendte Norsk samfunnsvitenskaplige datatjeneste (NSD) på vegne av prosjektleder inn konsesjonssøknad til Datatilsynet. Datatilsynet behandlet søknaden og fattet vedtak i brev av 15.4.2004, hvor det gis avslag på søknad samt varsel om pålegg.
Prosjektleder påklaget vedtaket i brev med bilag av 10.5.2004. Datatilsynet opprettholdt sitt vedtak og oversendte saken til Personvernnemnda i brev av 4.6.2004. Personvernnemnda gir i brev av 27.8.2004 klager utsatt frist for tilsvar og tillatelse til oppbevaring av personopplysninger inntil nemnda har truffet vedtak i saken. Personvernnemnda mottok klagers kommentarer i saken i brev med vedlegg av 20.10.2004. Personvernnemnda mottok dokumenter til støtte for klagers prosjekt i brev av 18.10.2004 fra professor dr med Lars Mehlum ved Universitetet i Oslo, og brev av 20.10.2004 fra professor dr med Ole Danbolt Mjøs ved Universitetet i Tromsø.
3. Faktum
Forskningsprosjektet "Suicidal atferd i Bergensområdet", hvor det søkes konsesjon for innhenting av supplerende informasjon og fortsatt lagring av personopplysninger, har pågått i ca 20 år og er forventet ferdigstilt om ca 4 år.
Formålet med prosjektet er å finne ut mer om hva som karakteriserer denne pasientgruppen. Prosjektansvarlige, som også er klager, har fulgt pasientgruppen forut for og under prosjektet.
Opplysningene ble innhentet fra personer innlagt ved Haukeland Sykehus og Diakonissehjemmets sykehus Haraldsplass i perioden 1985 - 1986. Det opprinnelige utvalget besto av 470 personer som alle var innlagt for selvpåført skade. Opplysningene ble samlet inn gjennom intervju med pasientene, blodprøver og journalopplysninger. Alle deltakerne ble muntlig informert om prosjektet ved rekruttering og samtykket skriftlig til deltagelse i prosjektet. I tillegg ble det informert om, og samtykket til at prosjektleder kunne registrere andre eventuelt fremtidige innleggelser. Prosjektleder mottok frem til 2003 opplysninger om innleggelser i somatiske og psykiatriske avdelinger i Bergen for de 470 personene som var med i prosjektet. Totalt er det registrert om lag 11.000 innleggelser, varierende fra 1 til 350 innleggelser pr person. Av de 470 var 43 døde ved innkomst.
Den opprinnelige konsesjonen av 29.8.1983 er gitt under rammekonsesjon for NAVF (daværende Norges allmennvitenskapelige forskningsråd) etter personregisterloven. Konsesjonen forutsatte at gjenpart av Sosialdepartementets dispensasjonsskrivelse jf forvaltningslovens § 13, eller kopi av samtykkeerklæring ble oversendt Datatilsynet. Konsesjonene er ikke tidsbegrenset, og det ble ikke tatt stilling til arkivering.
De opprinnelige opplysningene ble i 1987 koblet til dødsårsaksregisteret, konsesjon for koblingen ble innvilget av Datatilsynet 5.2.1997. Etter 10 års observasjon var det 80 døde blant de 427, dette utgjør 18,7 % av gruppen og representerer en voldsom overdødelighet i forhold til kjønn og alder sammenlignet med befolkningen for øvrig.
Prosjektet er anbefalt av NSD, og det foreligger støtteerklæringer fra Bjørg Njå, leder i Landsforeningen for Pårørende innen Psykiatri (LLP), og fra professor dr med Lars Mehlum ved Seksjon for selvmordsforskning og forebygging, Universitetet i Oslo.
4. Anførslene
Klager mener at Datatilsynet ikke kan benytte avslag på konsesjon som sanksjon for manglende melding i overgangsperioden til ny lov. Det vises til Personvernnemndas vedtak i sak 2004/02 NTNU.
Etter klagers oppfatning baserer Datatilsynets vurdering seg på konkrete misforståelser og feil, av både rettslig og faktisk art. Videre har Datatilsynet endret oppfatning, og søker å iverksette denne med tilbakevirkende kraft.
Klager mener at behandlingen kan skje med hjemmel i personopplysingslovens §§ 8 og 9. Det er uholdbart at Datatilsynet konkluderer, nærmest uten drøftelse, med at ingen av vilkårene er oppfylt.
Krav om samtykke var ikke berørt i Datatilsynets vedtak av 15.4.2004. Kritikk for manglende innhenting av samtykke ble fremsatt i oppfølgingsbrevet av 4.6.2004. For klager fremstår Datatilsynets begrunnelse som uforankret, fragmentarisk og varierende. Ved oppstart av forskningsprosjektet var det ikke krav om samtykke. Datatilsynets krav om samtykke synes knyttet opp mot behandling av opplysninger fra Dødsårsaksregisteret, opplysningene angår dermed pasienter som er avgått ved døden, og det er ikke mulig å innhente samtykke. Man måtte i så tilfelle kontakte eventuelle pårørende for innhenting av samtykke, noe som naturligvis ikke er ønskelig, dessuten har Helsedirektoratet i brev av 17.1.1992 nedlagt forbud mot ytterligere kontakt med de registrerte eller deres pårørende. Til tross for at det ikke var satt som krav at samtykke skulle innhentes ved oppstart, ble dette gjort. Det anføres at innhenting av samtykke tilfredsstilte kravene som den gang gjaldt. Det reageres på at Datatilsynet anvender de nye samtykkeregler i personopplysningsloven med tilbakevirkende kraft. Datatilsynets krav om nye samtykker fremstår som rettslig ufundert. I tilfelle det opprinnelige samtykke ikke skulle tilfredsstille nye krav, vil den registrerte ha blitt tilført tilstrekkelige opplysninger til at personopplysningslovens § 19, 2. ledd kommer til anvendelse.
Det anføres at rammekonsesjon og fritak fra taushetsplikt klart foreskriver at prosjektet skal fortsette inntil det anses avsluttet. Prosjektleder anser ikke prosjektet som avsluttet. Det er i konsesjonen ikke satt frist for avslutning av prosjektet. Det fremkommer av meldeskjema og konsesjonssøknad at prosjektet var ment å ha et langvarig forløp. Datatilsynets bemerkning om at det fant "prosjektleders innvendig om at prosjektet ikke er å anse som avsluttet som lite holdbar", fremstår for klager som uforståelig. Det er på det rene at prosjektet ikke er avsluttet. Vilkåret i Datatilsynets brev av 5.2.1997, i forbindelse med kobling mot Dødsårsaksregisteret, om sletting av opplysninger så snart prosjektet var gjennomført, kan ikke forståes som at prosjektet var avsluttet når koblingen var foretatt.
Datatilsynet har ikke villet foreta vurdering om anvendelse av personopplysningsloven, og begrunner dette med at konsesjonsvilkårene er brutt. Hvorvidt personopplysningslovens §§ 8 og 9 kommer til anvendelse skal vurderes. Sentralt vurderingstema er om prosjektet har allmenn interesse. Det anføres at prosjektet har stor betydning både for enkeltpersoner og for samfunnet. Prosjektet har som fokus å avhjelpe situasjonen for en gruppe av sterkt lidende og hjelpetrengende mennesker. Det foreligger støtteerklæringer fra Bjørg Njå, leder i Landsforeningen for Pårørende innen Psykiatri (LLP), og fra professor dr med Lars Mehlum ved Seksjon for selvmordsforskning og forebygging, Universitetet i Oslo. Prosjektet har også fått støtte fra NAVF og Helsedirektoratet. Denne brede støtten gir uttrykk for at prosjektet er vurdert som viktig og samfunnsnyttig av sentrale aktører. Prosjektet vil også kunne ha stor nytteverdi for de registrerte om den gruppen de tilhører.
5. Datatilsynets vurdering
Samtykket som ble benyttet ved rekruttering av deltakere oppfyller ikke dagens krav til samtykke, jf personopplysningslovens § 2 nr 7.
Konsesjon for lagring ble berørt i tilknyting til søknad om utvidelse av prosjektet ved kobling til Dødsårsaksregisteret i 1997. Det ble stilt som vilkår for utvidelsen at data skulle anonymiseres straks etter kobling. Vilkåret ble satt som følge av at Helsedirektoratet i sitt vedtak om dispensasjon fra taushetsplikten hadde satt som vilkår at personidentifiserbare opplysninger skulle slettes så snart prosjektet var gjennomført. Datatilsynet finner prosjektleders innvending om at prosjektet ikke er å anse som avsluttet, som lite holdbar. De fleste forskningsprosjekter vil være interessante å videreføre i lang tid for å belyse langtidsvirkninger med mer. Denne videreføringen kan imidlertid ikke anses som del av prosjektet med mindre det fremgår klart av den opprinnelige søknaden at man ønsker å foreta en analyse over lang tid, og nettopp derfor søker om en konsesjon som strekker seg over tilsvarende lang tid. Det bemerkes at vilkåret i konsesjonen i 1997 ikke er knyttet til prosjektslutt, men til at den omsøkte koblingen er gjennomført. Datatilsynet mener derfor at prosjektleders oppfatning med hensyn til prosjektets varighet ikke kan tillegges noen betydning i forhold til det avslag som er gitt. Datatilsynet legger derfor til grunn at opplysningene har vært oppbevart i strid med gitt konsesjon i tiden etter at kobling til Dødsårsaksregisteret fant sted.
Søknad om ny konsesjon ble mottatt hos Datatilsynet 12.1.2004, mer enn ett år etter at samtlige overgangsordninger etter personopplysningsloven er løpt ut.
På bakgrunn av overnevnte har Datatilsynet ikke funnet grunn til å vurdere prosjektet etter reglene i personopplysningsloven §§ 8 og 9. Datatilsynet vil likevel kort bemerke at prosjektet ikke ville ha tilstrekkelig behandlingsgrunnlag dersom man vurderte prosjektet etter disse bestemmelsene. Bakgrunnen for dette er at man ønsker å bygge videre på et samtykkebasert prosjekt uten at det innhentes nytt samtykke. Datatilsynet anser dette for å uthule prinsippet som ligger bak kravet til samtykke - at den enkelt skal ha kontroll med hvilke opplysninger om vedkommende som til enhver tid behandles. I vurderingen etter personopplysningslovens §§ 8 og 9 vil det også måtte tillegges vekt at vilkårene i tidligere gitt konsesjon er brutt og at søknaden kommer svært lenge etter at overgangstiden etter personopplysningsloven er løpt ut. En vurdering etter personopplysningslovens § 8 litra f, ville etter dette falle ut til fordel for den registrerte. Det er Datatilsynets oppfatning at det ikke er gitt opplysninger som tilsier at prosjektet oppfyller kravet til at det er nødvendig for å utføre en oppgave av allmenn interesse jf personopplysningsloven § 8 litra d eller at samfunnsinteressen overstiger hensynet til den enkelte jf personopplysningsloven § 9 litra h.
6. Personvernnemndas vurderinger
6.1. Innledning
Datatilsynet og klager synes å ha ulike oppfatninger av faktum i saken. Derfor vil Personvernnemnda først angi hvilket saksforhold nemnda legger til grunn ved tolkning av den opprinnelige konsesjon (29.8.1983) og andre dokumenter i saken. Nemnda mener at uenighet om hva som tidligere er skjedd under saksgangen, ikke er av avgjørende betydning. Som nemnda kommer tilbake til, må saken vurderes som en ny søknad om konsesjon. Selve prosjektbeskrivelsen av prosjektet som sådan vil være viktig i vurderingen av hvorvidt konsesjon bør gis.
Datatilsynet sier i sitt oversendelsesbrev at tilsynet ikke har funnet grunn til å vurdere prosjektet etter reglene i personopplysningsloven §§ 8 og 9. Etter nemndas oppfatning har Datatilsynet i realiteten allikevel foretatt en slik vurdering, jfr oversendelsesbrevet (s 2) hvor det etter at tilsynet har angitt at det ikke finner grunn til å vurdere prosjektet etter reglene i personopplysningsloven §§ 8 og 9, heter:
"Vi vil likevel kort bemerke at prosjektet etter vårt syn ikke ville ha tilstrekkelig behandlingsgrunnlag dersom man vurdere prosjektet etter disse paragrafene."
Denne vurderingen blir så gitt en kortfattet begrunnelse.
Personvernnemnda vurderer det slik at tilsynet med dette har tatt et standpunkt, og nemnda behandler derfor sakens realitet i stedet for å sende den tilbake til Datatilsynet. Personvernnemnda anser dermed klagen som en søknad om å få konsesjon for fortsatt behandling av opplysningene, og behandler saken på dette grunnlag.
Personvernnemnda legger til grunn det faktum som fremkommer av opprinnelige rammekonsesjon av 29.8.1983. Det fremkommer av meldeskjema og den prosjektbeskrivelse som var vedlegg til søknaden, at innhenting av opplysninger fra de registrerte skulle skje i en tidsbegrenset periode på ca ett år. Prosjektet er gitt rammekonsesjon under NAVF som tillater at man innhenter opplysninger fra innlagte ved somatiske og psykiatriske sykehus i 1982, og opprettelse av et personregister hvor de innhentede personopplysninger i prosjektet skulle lagres. I vedlegg til kvitteringen for denne rammekonsesjonen pkt 18 "Sletting av data" opplyses: "Det foreligger ikke planer om sletting av opplysningene."
Det ble ikke tatt stilling til arkivering, dette skulle Datatilsynet komme tilbake til "når dette er nærmere utredet", jfr Datatilsynets brev av 29.8.1983. Ut fra dokumentene i saken, kan nemnda imidlertid ikke se at Datatilsynet er kommet tilbake til spørsmålet om arkivering.
Det er ikke satt som vilkår i konsesjonen at det foreligger samtykke fra den registrerte. Prosjektet kan dermed ikke sies å være samtykkebasert. I konsesjonen er det satt som vilkår at Datatilsynet mottar gjenpart av Sosialdepartementets dispensasjonsbeskrivelse jf forvaltningslovens § 13d eller kopi av samtykkeerklæring. Forvaltningslovens § 13d lyder:
§ 13d. (opplysninger til bruk for forsking).
Når det finnes rimelig og ikke medfører uforholdsmessig ulempe for andre interesser, kan departementet bestemme at et forvaltningsorgan kan eller skal gi opplysninger til bruk for forsking, og at dette skal skje uten hinder av organets taushetsplikt etter § 13.
Til vedtak som nevnt i første ledd kan det knyttes vilkår. Disse kan bl.a. gi bestemmelser om hvem som skal ha ansvar for opplysningene og hvem som skal ha adgang til dem, om oppbevaring og tilbakelevering av utlånt materiale, om tilintetgjøring av avskrifter, om hvorvidt forskerne skal ha adgang til å henvende seg til eller innhente nærmere opplysninger om dem det er gitt opplysninger om, og om bruken av opplysningene for øvrig.
Kongen kan gi nærmere forskrifter om vedtak etter denne paragraf.
Vilkåret som er satt i konsesjonen, henspiller på Sosialdepartementets dispensasjon eller kopi av samtykkeerklæring fra Sosialdepartementet i henhold til forvaltingslovens § 13d, og Personvernnemnda tolker dette ikke som et krav om samtykkeerklæring fra den registrerte.
6.2. Behandlingsgrunnlag
Etter personopplysningsloven § 11, 1.ledd litra a skal den behandlingsansvarlige sikre seg at behandlingen av personopplysninger er tillatt etter personopplysningsloven §§ 8 og 9. I dette tilfellet dreier det seg om sensitive personopplysninger, jf personopplysningsloven § 2 nr 8 litra c. Behandlingen av slike opplysninger faller inn under personopplysningsloven § 9, behandlingen krever derfor konsesjon fra Datatilsynet, jf personopplysningsloven § 33, 1.ledd. Personopplysningsloven § 9 angir rammene for Datatilsynets kompetanse til å gi konsesjon for behandlingen av sensitive opplysninger. Gjennom henvisningen fra personopplysningsloven § 9 til personopplysningsloven § 8, endrer også personopplysningsloven § 8 karakter i et slikt tilfelle fra å være en pliktnorm som direkte regulerer den behandlingsansvarliges plikter, til å bli en kompetansenorm som setter grenser for Datatilsynets adgang til å gi konsesjon.
Grunnkravet er at konsesjon bare kan gis når betingelsene i personopplysningsloven § 8 er oppfylt, og dersom i tillegg minst ett av de ytterligere vilkårene i personopplysningsloven § 9, 1.ledd litra a-h er oppfylt.
Etter personopplysningsloven § 8 er det tre alternative grunnlag for å gjennomføre behandling av personopplysninger.
Ett av disse er samtykke fra den registrerte (jf personopplysningsloven § 2 nr 7). Samtykke er ikke aktuelt i denne saken da det vil være i strid med vilkårene i tillatelse fra Helsedirektoratet av 17.1.1992 i forbindelse med søknad om tilgang til blant annet Dødsårsaksregisteret.
I denne forbindelse nevner Personvernnemnda at opplysninger om avdøde knapt anses som personopplysninger i personopplysningslovens forstand, jf Johansen, Kaspersen og Skullerud Personopplysningsloven - Kommentarutgave (Universitetsforlaget, Oslo 2001) s 69 med henvisning til forarbeidene. Av denne grunn er det ikke aktuelt å innhente samtykke fra etterlatte for så vidt det gjelder opplysninger om avdøde personer.
Uansett mener nemnda at innhenting av samtykke i dette prosjektet ikke bør være behandlingsgrunnlag på grunn av hensynet til de registrerte. Denne gruppen registrerte bør ikke belastes med ytterligere kontakt i forbindelse med at de har vært innlagt for selvpåført skade.
Et annet alternativt grunnlag er en "nødvendighetsbegrunnelse" slik angitt i personopplysningsloven § 8 litra a-f. Det tredje alternativet, lovhjemmel, er ikke aktuelt i denne saken.
6.3. Nødvendighetsbegrunnelse - personopplysningsloven § 8 litra d
Om forholdet mellom samtykke og nødvendighetsbegrunnelse vises det til Personvernnemndas vedtak i klagesak 2004-01 - STAMI.
Etter personopplysningsloven § 8 litra d, kan personopplysninger behandles uten samtykke når behandlingen er nødvendig for å utføre en oppgave av allmenn interesse. I merknadene til bestemmelsen i Ot prp nr 92 (1998-99) side 109 nevnes vitenskaplig virksomhet som eksempel på oppgaver som kan være av allmenn interesse. Hvorvidt det enkelte forskningsprosjekt tilfredsstiller dette kravet, vil bero på en konkret vurdering av i hvilken grad behandlingen av de aktuelle personopplysninger i prosjektet er av allmenn interesse.
Etter nemndas oppfatning er forskningsprosjektet om selvskading av stor allmenn interesse fordi det er en viktig samfunnsmessig oppgave å yte bistand til denne gruppen. Nemnda er av den oppfatning at forskningsprosjektet vil kunne føre til bedre behandlingsmetoder. Nemnda viser til støtteerklæring for prosjektet, anbefalingen fra NSD og prosjektbeskrivelsen.
6.4. Avveiningen av samfunnets interesser i forhold til ulempene for den enkelte
Etter personopplysningsloven § 9, 1.ledd er det ikke tilstrekkelig at man finner å kunne bygge behandlingen av personopplysninger på nødvendighetsbegrunnelsen i personopplysningsloven § 8. I tillegg må en av de nevnte begrunnelsene i personopplysningsloven § 9, 1.ledd foreligge. Personopplysningsloven § 9, 1.ledd litra h forutsetter at samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene den kan medføre for den enkelte. I klagesak 2004-01 STAMI har Personvernnemnda gått nærmere inn på tolkningen av loven på dette punkt.
I dette konkrete tilfelle legger Personvernnemnda vekt på de argumenter som den prosjektansvarlige med tilslutning fra NSD har fremmet. Forskningsprosjektet bygger på et unikt materiale som det vil ha betydning for å vinne innsikt som kan utnyttes i behandlingen av personer med suicidal atferd. Nemnda viser også til støtteerklæringer for prosjektet fra Landsforeningen for Pårørende innen Psykiatri, og professor Lars Mehlum ved Seksjon for selvmordsforskning og forebygging, Universitetet i Oslo. Overrepresentasjon av dødelighet i gruppen og det store antall innleggelser viser også at forskning innenfor dette feltet er nødvendig og viktig. Nemnda ser også behovet og begrunnelsen for å følge gruppen med registrerte over lang tid.
Personvernnemnda legger vekt på at ulempene for de registrerte synes å være begrenset, da dette er en ren registerstudie. Nemnda mener også at det har betydning i hvilken grad prosjektets formål sammenfaller med andre interesser enn personverninteresser man må anta at de personer som omfattes av prosjektet, måtte ha. Resultater vil kunne komme den gruppen de registrerte tilhører til gode, ved at man får kunnskap som kan føre til bedre behandlingsmetoder. Nemnda viser i denne sammenheng til Personvernnemndas vedtak i klagesak 2002-06 - SIRUS.
Personvernnemnda understreker at avveiningen er skjedd helt konkret på grunnlag av de faktiske omstendigheter og særlige hensyn som fremkommer i denne saken.
6.5. Brudd på konsesjonsvilkår
Datatilsynet har i vurderingen om konsesjon skal gis også lagt vekt på at reglene for tidligere konsesjon er brutt ved at konsesjonssøknaden er kommet etter at overgangsperioden angitt i personopplysningsloven er løpt ut, det siktes her til personopplysningsloven § 51 nr 1 som angir frister for melding til Datatilsynet. Den aktuelle behandlingen er konsesjonspliktig etter personopplysningsloven § 33, og det fremgår da av personopplysningsloven § 51 nr 1 at det skal sendes melding til Datatilsynet i henhold til denne bestemmelsen innen ett år regnet fra lovens ikrafttredelse. Når dette ikke gjøres, åpnes det for sanksjoner etter personopplysningsloven § 48, 1.ledd litra b.
Personvernnemnda peker på at tilsynet ikke kan bruke andre sanksjoner enn de som følger av loven. Datatilsynet har derfor ikke anledning å bruke avslag på konsesjon som en sanksjon. Personvernnemnda utelukker imidlertid ikke at konsesjonærs overholdelse av betingelser i tidligere konsesjoner kan ha betydning i konsesjonsbehandlingen Det vil da være naturlig å se hen til hva slags betingelser som måtte være brutt, og årsaken til slike eventuelle brudd. I konsesjonsbehandlingen vil f eks konsesjonærs evne eller vilje til å sikre kvalitet og sikkerhet være et tema.
6.6. Konklusjon
Etter dette kommer Personvernnemnda til at behandlingen av personopplysninger kan bygge på nødvendighetsbegrunnelsen i personopplysningsloven § 8 litra d, slik behandlingen kan skje uten å innhente samtykke fra den enkelte.
Personvernnemnda finner dessuten at samfunnets interesse i at behandlingen finner sted i dette tilfellet klart overstiger de ulemper behandlingen kan medføre for den enkelte. Personvernnemnda anser derfor at betingelsene i personopplysningsloven § 9 litra h er oppfylt. Datatilsynet har med hjemmel i personopplysningsloven § 33 adgang til å gi konsesjon.
7. Vedtak
Klagen tas til følge.
Saken sendes tilbake til Datatilsynet, som har kompetanse til å gi konsesjon for forskningsprosjektet, jf personopplysningsloven § 33, 1.ledd, 1.pkt, jf personopplysningsloven § 9 sml. personopplysningsloven § 8 litra d og personopplysningsloven § 9 litra h.
For Personvernnemnda
Jon Bing
Leder