Personvernnemndas avgjørelse av 20.9.2005 (Jon Bing, Gro Hillestad Thune, Mari Bø Haugstad, Tom Bolstad, Svein-Erik Ekeid, Siv Bergit Pedersen, Lars Erik Fjørtoft)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 7.10.2004 om delvis avslag på konsesjonssøknad fra Nasjonalt folkehelseinstitutt (FHI), vedrørende opprettelse av forskningsfilen "Sosiale og etniske forskjeller i perinatal helse". Personvernnemnda traff vedtak i klagesaken 9.8.2005. Personvernnemnda henviser til vedtaket for saksgang, bakgrunn og anførsler.
Vedtaket opprettholder Datatilsynets vedtak.
Imidlertid har Personvernnemnda unnlatt å ta stilling til ett av de spørsmål klagen omhandlet, nemlig Datatilsynets krav om at hvis tredjepart fikk overført opplysninger fra forskningsfilen, må denne tredjepart selv ha konsesjon for behandling av opplysningene. Tilleggsvedtaket tar stilling til dette spørsmålet.
2 Personvernnemndas vurdering
Forskningsfilene vil delvis være anonymisert under behandling ved FHI.
Hvis de opplysningene som utleveres fra FHI ikke kan knyttes til enkeltpersoner, vil de ikke være personopplysninger etter personopplysningsloven § 2 nr 1, og faller utenfor personopplysningslovens saklige virkeområde, jfr personopplysningsloven § 3. Slik utlevering reguleres altså ikke av personopplysningsloven.
Man vil derfor stå tilbake med personopplysninger utlevert fra FHI. Etter personopplysningsloven § 11 kan opplysningene ikke brukes til nye formål som er uforenlige med det opprinnelige formål, jfr personopplysningsloven § 11, 1.ledd litra c. Etter § 11, 2.ledd antas behandling for "historiske, statistiske eller vitenskapelige formål" ikke uforenlig med de opprinnelige formålene dersom "dersom samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene den kan medføre for den enkelte". Det påligger FHI som behandlingsansvarlig å påse at denne forpliktelsen overholdes.
Mottaker av slike opplysninger vil selv bli behandlingsansvarlig, og må da finne grunnlag i personopplysningsloven for sin behandling av dem. Hvis det er sensitive opplysninger blant de som utleveres, jfr personopplysningsloven § 2 nr 8, krever dette konsesjon, jfr personopplysningsloven § 33 sml § 9. I begge tilfeller vil her opplysninger samles inn fra andre enn den registrerte, og det utløser en varslingsplikt for mottaker av opplysningene, sml personopplysningsloven § 20.
FHI må i dette tilfellet ha konsesjon for registeret, jfr personopplysningsloven § 33 sml helseregisterloven § 8. I konsesjonen kan det stilles krav utover de som følger av loven. I dette tilfellet innebærer Datatilsynets konsesjonsvedtak at det stilles krav om konsesjon hos den tredjepart som mottar personopplysninger av FHI fra de konsesjonerte forskningsfilene, altså også i tilfeller hvor disse opplysningene ikke er sensitive.
Personvernnemnda anser det som en nærliggende styrking av de registrertes personvern at opplysninger fra filer av den karakter det her er tale om (jfr nærmere omtale og vurdering i klagevedtaket av 9.8.2005) at de tredjepersoner som skal motta opplysninger fra FHI også har konsesjon. Dette sikrer kontroll med flyt av personopplysninger fra filene.
Personvernnemnda slutter seg derfor til Datatilsynets vurdering, og opprettholder krav om at mottaker må ha konsesjon for å behandle opplysninger fra de aktuelle forskningsfilene. Dette innebærer at om FHI ønsker å overføre opplysninger til en tredjepart, og denne tredjepart ikke har en konsesjon fra Datatilsynet som tillater behandling av disse opplysningene, må tredjeparten søke om slik konsesjon. Dette gjelder også når de opplysningene som ønskes overfør ikke er av sensitiv karakter.
3 Vedtak
Klagen tas ikke til følge.
Oslo 3.10.2005
Jon Bing
Leder