Personvernnemndas avgjørelse av 5. oktober 2009 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Ann Rudinow Sætnan, Jostein Halgunset, Ørnulf Rasmussen)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 23.4.2009 hvor det ble gitt avslag på søknad om konsesjon til å behandle helseopplysninger, samt varslet vedtak om sletting av personopplysninger knyttet til, eller utledet fra, innsamlede prøver.
2 Saksgang og faktum
Norsk samfunnsvitenskapelig datatjeneste AS (NSD) har inngitt søknad om konsesjon angående Colon Cancer banken (heretter CoCa-banken) på vegne av behandlingsansvarlig Universitetet i Oslo. Prosjektet ble startet opp i 1977 og gjaldt klinisk grunnforskning på tykktarmkreft. Formålet med prosjektet har vært å undersøke tumormarkørens diagnostiske og prognostiske betydning. Det er blitt hentet prøver av svulster fra pasienter operert for tykktarmkreft. Det er også hentet andre prøver fra polypper og tykktarmbetennelser. Til sammen inneholder registeret ca 1000 prøver.
I brev av 26.2.2009 ble det søkt om konsesjon til oppbevaring og bruk av datamaterialet. Materialet er blitt brukt i ulike prosjekter i perioden 1982 – 2008. Prosjektperioden er i søknaden angitt fra 1.11.1977 – 25.12.2015.
Det foreligger ikke gyldig konsesjon for grunnlagsmaterialet. Datamaterialet omfatter journaldata, registerdata, informasjon om biologisk materiale og data fra spørreskjema. Videre er det hentet data direkte fra Kreftregisteret. Store deler av utvalget er døde i dag.
Deler av behandlingen er basert på samtykke. Dette er den delen som foregikk i 1987-89 med en spørreundersøkelse der ca 400 personer deltok. For øvrig er det ikke innhentet samtykke til bruk av biologisk materiale eller andre personopplysninger til forskning.
Datatilsynet ga i brev 23.4.2009 avslag på søknad om konsesjon og varslet vedtak om sletting av ”alle personopplysninger knyttet til, eller utledet fra, innsamlede prøver”.
I brev av 17.6.2009 påklager NSD vedtaket. NSD presiserer at samtlige prøver er avidentifiserte. Det er kun tale om å bruke materialet en kort periode for å foreta en kvalitetssikring. Prosjektslutt er endret til 30.6.2011. Det er videre ønskelig med en kobling av materialet med data fra Kreftregisteret og Dødsårsaksregisteret for kvalitetssikring.
Personvernnemnda mottok saken, som ble oversendt fra Datatilsynet 24.6.2009. Klager ble orientert om dette i brev fra nemnda datert 7.7.2009, med frist til uttalelse innen 14.8.2009. I brev av 3.8.2009 kom NSD med kommentarer til Datatilsynets oversendelsesbrev. I e-post av 13.8.2009 kom Helsedirektoratet med kommentarer til saken og forholdet til biobankloven. Datatilsynet kom i brev av 12.8.2009 med ytterligere kommentarer til forholdet til biobankloven og Helsedirektoratets kompetanse. Datatilsynet kom med en rettelse i e-post av 18.8.2009. I brev av 18.8.2009 fra Torleiv Ole Rognum ved Universitetet i Oslo kom Rognum med en saksopplysning om søknaden til REK. I brev av 9.9.2009 meddelte REK at komiteen utsetter behandlingen av søknad om opprettelse av generell forskningsbiobank siden Personvernnemnda har saken til behandling som klagesak, men ønsket å signalisere at REK anser det som uheldig om det aktuelle forskningsmaterialet går tapt.
3 Klagers anførsler
NSD beklager at det ikke er søkt om nødvendige tillatelser på et tidligere tidspunkt. Det vises til at prosjektet har hatt godkjennelse deler av perioden og at man har innhentet samtykker til behandling av deler av materialet.
Materialet er meget viktig med hensyn til den kunnskap som dette kan generere, og som kan brukes med tanke på å selektere pasienter med tykktarmskreft til forskjellige oppfølgings- og behandlingsopplegg. Det ligger et omfattende innsamlings- og karakteriseringsarbeid bak biobanken og analysene. Det er få kliniske opplysninger om den enkelte pasient som er blitt behandlet og materialet er avidentifisert. Materialet er meget teknisk, hvor man på cellenivå analyserer og tester ut nye markører for oppkomst og utvikling av sykdom.
Det er ikke aktuelt å bruke materialet til genetisk veiledning.
Det er kun ønskelig å oppbevare datamaterialet for å foreta en kvalitetssikring av materialet en kortere periode. Derfor er det ønskelig med en kobling med data fra Kreftregisteret og Dødsårsaksregisteret. Når dette er gjort, kan alle personopplysninger anonymiseres. En slik uthenting av registeropplysninger og kobling til egne data er i henhold til nåværende lovgivning konsesjonspliktig, krever dispensasjon fra taushetsplikten fra Helsedirektoratet og en vurdering fra REK. Etter 1. juli 2009 vil vedtakskompetansen for alle disse forholdene ligge hos REK.
Mesteparten av materialet stammer fra pasienter som i dag er døde, og dermed omfattes ikke av personopplysningsloven. Når det gjelder de gjenlevende er det liten grunn til å tro at disse vil motsette seg forskning vedrørende egen sykdom. I den perioden da materialet ble innsamlet var det lite fokus på samtykke fra pasientene i forbindelse med denne typen medisinsk grunnlagsforskning. Mangel på slikt samtykke har vært en felles brist i mange av forskermiljøene på den tiden. Det er ikke realistisk å innhente samtykke til fortsatt oppbevaring av personopplysninger fra gjenlevende. Behandlingen kan hjemles i personopplysningsloven §§ 8 bokstav d og 9 bokstav h. Den potensielle nytten som materialet kan ha i grunnlagsforskning gjeldende en alvorlig kreftform og den forbindelse predisponerende tilstander, må kunne sies å klart oppveie for de eventuelle ulemper som behandlingen av personopplysningene kan ha for de registrerte. Forsker kan fritas fra informasjonsplikten overfor de gjenlevende i utvalget med hjemmel i personopplysningsloven § 20 bokstav b.
NSD ber om at Datatilsynet omgjør vedtaket og gir konsesjon etter personopplysningsloven § 33 med hensyn til de gjenlevende i databasen, til å oppbevare data i personidentifiserbar form for kvalitetskontroll frem til 30.6.2011.
Det vises til forvirring på bakgrunn av regelverksendring tilknyttet ikrafttredelsen av helseforskningsloven 1.7.2009. Søknad til REK er sendt, men denne vil først bli vurdert etter sommeren, det vil når helseforskningsloven er trådt i kraft.
NSD mener at Datatilsynet har misforstått avgjørelsen fra NEM sak 2008-115. Det var andre grunner enn at materialet var ulovlig innsamlet som gjorde at komiteen ikke kunne anbefale UiO at prosjektene burde ferdigstilles. Det er NEMs syn at avvisning utelukkende på prinsipielt eller formelt grunnlag er for restriktivt. Etter en konkret avveining av om det i det enkelte tilfelle er formålstjenlig å godkjenne et prosjekt i ettertid, mener NEM at komiteene kan gjøre dette. Datatilsynet har en for snever tolkning av NEMs uttalelse i hoftebruddsaken.
I denne saken er klagen en søknad om å få oppbevare datamaterialet i en tidsavgrenset periode for kvalitetssikring av forskning som allerede er utført på datamaterialet.
4 Kommentarer fra Helsedirektoratet
Helsedirektoratet har uttalt seg i saken. Helsedirektoratet har ønsket å gjøre oppmerksom på at ”CoCa-banken” er en forskningsbiobank med humant biologisk materiale og datasamling med helse- og personopplysninger, herunder analyseresultater. Helsedirektoratet har ikke innvilget dispensasjon fra taushetsplikten om bruk av helseopplysninger til forskning uten pasientens samtykke eller mottatt slike søknader fra prosjektet eller delprosjekter under CoCa-banken. Helsedirektoratet hadde ansvar for behandling av søknader om dispensasjon fra taushetsplikten i forbindelse med forskning i henhold til helsepersonelloven § 29 og forvaltningsloven § 13 fra 2001 – 1.7.2009. Helsedirektoratet har heller ikke mottatt eller behandlet noen søknader eller meldinger knyttet til forskningsbiobanken eller prosjekter knyttet til dette. Frem til 1.7.2009 var det biobankloven som regulerte bruk av humant biologisk materiale i forskning, og det var meldeplikt for opprettelse av forskningsbiobanker, jf biobankloven § 4. Helsedirektoratet hadde i perioden 2004 – 1.7.2009 forvaltningsansvar for biobankloven, herunder meldinger etter § 4, dispensasjon om ny og endret bruk uten samtykke etter § 13. Ved ny og endret bruk av materiale i en biobank, der det ikke forelå samtykke, skulle det som hovedregel innhentes samtykke, jf biobl. § 13, første ledd. Helsedirektoratet kunne etter søknad dispensere fra dette samtykkekravet, jf biobl. § 13, annet ledd. Det skulle også foreligge en vurdering fra REK. Biobankloven § 13, tredje ledd gjelder ny og endret bruk av materiale fra avdøde og angir vurderingstema for når søknad om bruk av dette kunne innvilges. CoCa-prosjektet har ikke søkt om eller fått noen dispensasjoner etter biobankloven § 13, og heller ikke meldt forskningsbiobank(er) etter § 4. Det var Statens helsetilsyn som hadde tilsynsmyndighet etter biobankloven, og det er fortsatt Helsetilsynet som har tilsynsmyndighet for forskningsbiobanker etter den nye helseforskningsloven. Helsetilsynet har også myndighet til å komme med pålegg om destruksjon og sletting av materiale i en forskningsbiobank.
5 Datatilsynets vurdering
CoCa-banken inneholder helseopplysninger som regnes som sensitive personopplysninger. Datatilsynet viser til at plikten til å søke konsesjon ved behandling av helseopplysninger er regulert i helseregisterloven § 5, jf personopplysningsloven § 33. Det følger av helseregisterloven § 5 at helseopplysninger bare kan behandles elektronisk dersom det er tillatt etter personopplysningsloven § 9 og § 33. Det er således på det rene at behandlingen er underlagt konsesjonsplikt.
Universitetet i Oslo som behandlingsansvarlig har behandlet helseopplysningene i CoCa-banken uten konsesjon. Datatilsynet har i enkelte saker gitt konsesjon til igangsatte prosjekter. Det har da blitt vektlagt at et brudd på plikten til å søke konsesjon alene ikke kan være utslagsgivende for om konsesjon skal gis. Tidsmomentet vil også være av betydning. Andre momenter har vært om feilen har medført følgefeil, om den lar seg reparere i etterkant etc.
Helseregisterloven trådte i kraft 1.1.2002. Da inntrådte en ny plikt til å søke konsesjon for eksisterende prosjekter.
Personopplysningsloven § 9, jf § 8, krever et behandlingsgrunnlag. Etter helseregisterloven § 5, 3. ledd skal det foreligge samtykke fra den registrerte før helseopplysninger innhentes for behandling. Den klare hovedregel er at behandling av helseopplysninger skal baseres på samtykke.
Dersom det verken foreligger samtykke fra den registrerte eller lovhjemmel, må det foretas en vurdering av om det finnes et annet behandlingsgrunnlag, jf personopplysningsloven §§ 8 bokstav f og 9 bokstav h. Det må foretas en interesseavveining, hvor samfunnets behov for behandlingen holdes opp mot personvernkrenkelsen for den enkelte. Et grunnvilkår er at behandlingen er nødvendig.
Da materialet i hovedsak er innsamlet fra pasienter som i dag er døde, vil det være vanskelig å reparere i form av innhenting av nytt samtykke eller ved å gi ny informasjon. Datatilsynet kan vanskelig se tiltak som kan iverksettes for å avhjelpe manglene og rettferdiggjøre en videre behandling av materialet.
Det fremgår av søknaden at diverse godkjennelser fra REK er ettersendt og at registrering av forskningsbiobank er ettersendt. Datatilsynet ser særlig alvorlig på at forsker har manglet samtlige offentlige godkjennelser av prosjektet. Avgivelse av sensitive personopplysninger baseres i stor grad på tillit til aktøren som innhenter opplysningene. Når det gjennomgående foreligger mangler knyttet til behandlingen, vil dette være med på å svekke tilliten til prosjektet som helhet.
Datatilsynet kan heller ikke se at det foreligger dispensasjon fra taushetsplikt for den videre behandlingen av data.
Datatilsynet viser til De nasjonale forskningsetiske komiteers (NEM) vurdering av hoftebruddsprosjektet i 2008. Tema for avgjørelsen var om det var etisk forsvarlig å benytte materiale (som nå er anonymisert) til tross for dets opphav var i strid med regelverket. Mangler ved prosjektet og manglende etterlevelse av lovverket medførte at NEM ikke kunne forsvare prosjektene.
Datatilsynet er kommet til at søknad om konsesjon må avslås. Prosjektgruppen har behandlet helseopplysninger uten behandlingsgrunnlag og uten nødvendig konsesjon. Det er lagt vekt på tidsmomentet og at forskergruppen vanskelig kan sies å ha vært i god tro med hensyn til krav etter helseregisterloven, jf personopplysningsloven, rutiner for innhenting og registrering av helseopplysninger i forskningsbiobank og godkjennelser fra offentlige instanser slik som meldeplikt til REK, melding om etablering av forskningsbiobank og søknad om dispensasjon fra taushetsplikt fra Helsedirektoratet.
Datatilsynet kommenterer at behandling av anonyme opplysninger faller utenfor Datatilsynets kompetanse. Imidlertid vil slik behandling av opplysninger som er innhentet i strid med gjeldende regelverk være med på å undergrave den tilliten som en behandling av personopplysninger i forskning er avhengig av. Det vises til NEMs uttalelse om at anonymisering i seg selv ikke er relevant hvis forsøkspersoner er inkludert i strid med forskningsetiske prinsipper og rettslige regler.
Datatilsynet avventer å fatte endelig vedtak om anonymisering/sletting til saken er ferdigbehandlet i Personvernnemnda.
6 Personvernnemndas merknader
I denne saken skal Personvernnemnda vurdere hvorvidt det skal innvilges konsesjon til behandling og oppbevaring av det angjeldende materialet frem til 2011, jf helseregisterloven § 5 og personopplysningsloven § 33.
Det må foreligge et behandlingsgrunnlag, jf personopplysningsloven § 9. Her er det ikke innhentet samtykke fra de registrerte. Datatilsynet har vurdert om det finnes et annet behandlingsgrunnlag enn samtykke, jf personopplysningsloven § 8 bokstav d og § 9 bokstav h. Ved interesseavveiningen legger Personvernnemnda vekt på at forsker har manglet nødvendige offentlige godkjennelser over lang tid. Personvernnemnda legger videre vekt på at gjeldende regler er brutt gjentatte ganger i dette prosjektet. Til tross for at forsker har manglet nødvendige offentlige godkjennelser av prosjektet, ønsker klager likevel å beholde personidentifiserbare opplysninger til 2011. Nemnda er kommet til at det i denne saken ikke foreligger hjemmel for å oppbevare materialet.
REK er av den oppfatning at skaden lar seg reparere. Nemnda mener imidlertid at dette er et uheldig signal. Klager har ikke søkt om tillatelser og det har forekommet systematiske brudd på regelverket over mange år. Etter Personvernnemndas syn ligger personverntrusselen nettopp i den praksis som innebærer at regelverket neglisjeres og at man tror at skaden lar seg reparere. Systematisk neglisjering av gjeldende regelverk vil skade tilliten til forskningen på sikt. En tildeling av konsesjon i etterhånd i et tilfelle som dette, ville skapt en uheldig presedens; en presedens som ville undergrave befolkningens tillit til forskning og bidra til å svekke personvernreglenes stilling.
Datatilsynets vedtak opprettholdes.
7 Vedtak
Klagen tas ikke til følge. Datatilsynets vedtak opprettholdes.
Oslo, 5. oktober 2009
Eva I. E. Jarbekk
Leder