Personvernnemndas avgjørelse av 26. mai 2010 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Ann R Sætnan, Jostein Halgunset, Ørnulf Rasmussen)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak om sletting av personopplysninger. Saken gjelder en tidligere sak som Personvernnemnda har behandlet, PVN-2009-08 CoCa-banken.
2 Saksgang
Som følge av Datatilsynets oversendelse av en klage fra Universitetet i Oslo i sak PVN-2009-08 CoCa-banken, behandlet Personvernnemnda spørsmålet om avslag på søknad om konsesjon til å behandle personopplysninger til forskning, samt varsel om vedtak om sletting/anonymisering. Personvernnemnda kom til at Datatilsynets vedtak skulle opprettholdes. Datatilsynet fattet etter at Personvernnemndas behandling var avsluttet, endelig vedtak den 6.11.2009 om at Universitetet i Oslo skal ”slette eller anonymisere” opplysningene. Datatilsynet henstillet videre om at opplysningene ble slettet og ikke anonymisert. Universitetet i Oslo, ved professor Torleiv Ole Rognum ved Rettsmedisinsk institutt, påklaget dette vedtaket i brev datert 30.11.2009.
Personvernnemnda mottok saken 10.12.2009, som ble oversendt fra Datatilsynet 9.12.2009. Klager ble orientert om dette i brev fra nemnda datert 16.12.2009, med frist til uttalelse innen 8.1.2010. REK sør-øst B uttalte seg i saken ved brev til nemnda datert 22.12.2009. Datatilsynet sendte deretter en e-post til nemnda den 8.1.2010 med tilsynets kommentarer til brevet fra REK sør-øst B. Professor Ragnhild A Lothe, ved Avdeling for kreftforebygging, Institutt for kreftforskning, Radiumhospitalet, uttalte seg til nemnda i brev datert 16.2.2010. Personvernnemnda henvendte seg til Lothe med ytterligere spørsmål til hennes brev i brev av 23.3.2010 og har mottatt en muntlig redegjørelse fra henne om de faktiske forhold i saken. Datatilsynet ble orientert om dette og har skriftlig poengtert at anonyme opplysninger defineres som opplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson.
3 Faktum
Faktum i saken fremgår av PVN-2009-08 CoCa-banken.
4 Klagers anførsler
Klager påklager det som oppfattes som Datatilsynets vedtak om ”sletting”. Klager har fått støtte fra REK. REK anfører at saken ikke har vært tilstrekkelig opplyst. Det anmodes også om at Personvernnemnda vurderer andre sanksjoner enn sletting. Det anføres også at Personvernnemnda må ta i betraktning at REK etter 1.7.2009 er den eneste instans som skal forhåndsgodkjenne forskningsprosjekter.
Klager opplyser at prosjektet ble gitt forlengelse til 30.9.2004 med hjemmel i personregisterloven. CoCa-banken ble registrert som forskningsbiobank i 2005 under overgangsordningen da den nye biobankloven trådte i kraft. Det finnes dispensasjon fra taushetsplikt fra Helsedirektoratet fra 1988-1992. Det foreligger dispensasjon fra taushetsplikten fra Statens helsetilsyn for prosjektet fra 1995 til prosjektslutt. Det finnes også en dispensasjon fra taushetsplikt fra Statens helsetilsyn fra 2000-2004.
Klager opplyser at innsamlingen av det biologiske materialet ble avsluttet for ca 20 år siden. Alle avgivere av materialet er døde. Den elektroniske databasen er avidentifisert. Den inneholder kun alder, kjønn, sykdommens stadium og mikroskopiske utseende samt 10 års overlevelse, hvor det inngår opplysning om cancerspesifikke dødsfall.
Klager anfører at ”for å komme Datatilsynets anliggende i møte, vil jeg foreslå at de manuelle protokollene oppbevares på et sted utpekt av Datatilsynet eller Personvernnemnda. Oppbevareren kan representere en garanti for materialets ekthet (at ingen data er fabrikkerte), og gi en mulighet for å kvalitetssikre overlevelsesratene og opplysningene om cancerspesifikk død”.
Videre argumenteres det med at ”Kreftpasienter er gjennomgående glade for at det forskes på prøver fra deres svulster og på opplysninger om deres sykdom (…) Det er intet som tyder på at kreftforskning opplever ”tillitskrise” ved at det forskes på samvittighetsfullt og lovlig innsamlet materiale selv om en formell feil – mangel på å søke om fornyet konsesjon – foreligger. Det er mer alvorlig for tilliten mellom pasienter/forsøkspersoner og forskere dersom offentlighetens muligheter for å kontrollere forskernes arbeid i ettertid avskjæres.”
Klager anfører også at mer enn 50 originalartikler og mer enn 12 doktorgradsarbeider har bakgrunn i materialet. Dersom avgjørelsen opprettholdes, vil et stort antall forskere bli part i saken.
Sletting av materialet ”for å statuere et eksempel” vil sette forskningen på cancer colon vesentlig tilbake. En sletting av datasettet vil i verste fall kunne utelukke muligheten til å benytte opplysninger generert fra det humant biologiske materiale i all fremtid. Dette er ikke til kreftpasientenes og samfunnets beste. Den elektroniske databasen oppbevares strengt atskilt fra de manuelle protokollene der personidentifiserbare opplysninger forekommer.
REK anfører i denne saken at det er uheldig om det aktuelle forskningsmaterialet går tapt. REK påpeker at vedtaket vil ramme forskere som har hatt tiltro til prosjektansvarlig, samt at materialet har stor verdi og er viktig for samfunnet.
REK anfører også at Datatilsynet ikke kan kreve sletting/anonymisering av personopplysninger som omfattes av begrepet forskningsbiobank i helseforskningsloven, da REK innehar kompetansen til å godkjenne opprettelsen av forskningsbiobanker. Grensedragningen har således betydning for hvilke opplysninger som kan kreves slettet av Datatilsynet. Et vedtak om sletting må begrenses til opplysninger som er utledet av forskningsbiobanken.
Professor Ragnhild A Lothe, forskningssjef ved avdeling for kreftforebygging, Institutt for kreftforskning, Radiumhospitalet, har uttalt seg om hvilke negative konsekvenser et vedtak om sletting vil ha for hennes forskningsgruppe. Lothe uttalte videre at alternativet anonymisering er praktisk gjørlig og uten nevneverdige skadevirkninger for pågående doktorgradsstudier.
5 Datatilsynets vurdering
Datatilsynet vil kommentere at forlengelse av konsesjon av 8.9.1999 gjaldt under forutsetning av at det forelå dispensasjon fra taushetsplikt. Uavhengig av dette var ikke konsesjonen lenger gyldig etter ikrafttredelsen av personopplysningsloven 1.1.2001, da prosjektet ikke ble meldt etter overgangsordningen. Forslaget om å komme Datatilsynet i møte endrer klart ikke realiteten i saken. Datatilsynet vil videre vise til sin entydige begrunnelse for avslag på søknad om konsesjon, samt kommentere at det finnes beviselig flere enn ”en formell feil” ved dette forskningsprosjektet. Datatilsynet har fått opplyst at datamaterialet fra prosjektet inngår i syv pågående prosjekter, samt er brukt i 13 doktorgradsavhandlinger. Samtlige pågående prosjekter har manglet og mangler fortsatt konsesjon/dispensasjon/tilrådning fra de respektive myndigheter.
En forskningsbiobank er i helseforskningsloven § 4 bokstav c definert som ”en samling humant biologisk materiale som anvendes i et forskningsprosjekt eller skal anvendes til forskning”. Det følger av merknadene til bestemmelsen at ”opplysninger som utledes av det humane biologiske materialet er å regne som helseopplysninger, og inngår ikke i forskningsbiobanken. Imidlertid må eventuelle identifikasjonskjennetegn ved materialet, som kan benyttes til å identifisere avgiveren av materialet, være omfattet”. (Ot prp nr 74 (2006-2007)) s 152.
Ordlyden i Datatilsynets vedtak er som følger: Universitetet i Oslo skal snarest, og senest innen 15.12.2009, slette eller anonymisere alle personopplysninger knyttet til, eller utledet fra, innsamlede prøver.
Etter Datatilsynets oppfatning synes det klart at Datatilsynet har kompetanse til å fatte det ovennevnte vedtak, dog med den begrensning at ” identifikasjonskjennetegn ved materialet, som kan benyttes til å identifisere avgiveren av materialet” omfattes av selve forskningsbiobanken og således kompetanseområdet til REK etter helseforskningsloven. Dette innebærer at analyseresultater, journaldata, opplysninger tilført fra Kreftregisteret og Dødsårsaksregisteret, samt spørreskjema, må slettes i samsvar med Datatilsynets vedtak.
Datatilsynet står fortsatt ved sin tidligere vurdering og vurderingen foretatt av Personvernnemnda i PVN-2009-08.
6 Personvernnemndas merknader
I denne saken skal nemnda vurdere Datatilsynets vedtak. I PVN-2009-08 kom nemnda til at det ikke forelå behandlingsgrunnlag for personopplysningene. Ved interesseavveiningen la Personvernnemnda vekt på at forsker hadde manglet nødvendige offentlige godkjennelser over lang tid. Personvernnemnda la videre vekt på at gjeldende regler var brutt gjentatte ganger i dette prosjektet. Nemnda konkluderte med at det ikke forelå hjemmel for å oppbevare materialet.
Dette er en klage over vedtaket som fulgte etter Personvernnemndas vedtak i saken. Klager har anmodet Personvernnemnda om å omgjøre sitt vedtak eller beslutte andre ”sanksjoner” enn sletting. Personvernnemnda har mulighet til å omgjøre sitt vedtak, jf forvaltningsloven § 35. Personvernnemnda skal imidlertid bemerke at sletting ikke er en sanksjon, det er en konsekvens av manglende hjemmel for å behandle materialet. Alternativet er anonymisering.
I saken PVN-2009-08 CoCa-banken uttalte nemnda at gjeldende regelverk var neglisjert. Det var ikke søkt om de nødvendige tillatelser og dermed var det ikke hjemmel for å oppbevare materialet.
Datatilsynets vedtak av 6. november 2009 går ikke bare ut på ”sletting”, men ”sletting eller anonymisering”. Alternativet med anonymisering er ikke påklaget.
Datatilsynet har, til tross for sitt vedtak om sletting eller anonymisering, fremsatt en henstillingom sletting i samme brev som redegjør for vedtaket. Datatilsynet begrunner dette med at NEM har uttalt at forskning på materiale som er samlet inn uten de nødvendige tillatelser er uetisk og således må materialet slettes. Personvernnemndas kompetanse omfatter ikke å ta stilling til henstillinger fra Datatilsynet. Det at brevets overskrift angir ”Vedtak om sletting av personopplysninger” kan ikke endre den klare angivelse av hva som er vedtakets innhold i brevet i øvrig. Datatilsynets vedtak omfatter således to alternative fremgangsmåter; sletting eller anonymisering.
Personvernnemnda finner at Datatilsynets siktemål med vedtaket oppfylles ved at dataene anonymiseres. En anonymisering kan skje ved at nøkkelen mellom person og prøver slettes, slik at det ikke beholdes noen kobling som åpner for å finne tilbake til fødselsnummeret eller person. Anonymisering vil tillate at pågående doktorgradsstudier kan fullføres.
Slik nemnda ser det, er Datatilsynets vedtak om sletting eller anonymisering rettmessig, basert på foregående behandling i Personvernnemnda. Klagen over sletting tas derfor ikke til følge. Klager står derimot fritt til å velge å oppfylle Datatilsynets vedtak ved hjelp av anonymisering av dataene.
7 Vedtak
Klagen tas ikke til følge.
Oslo, 26. mai 2010
Eva I. E. Jarbekk
Leder