Datatilsynets referanse: 03/00206-22/hpg

PVN-2007-01 Arvelighetsregisteret
Klage på Datatilsynets vedtak om å plassere behandlingsansvaret for ”Arvelighetsregisteret” hos Universitetet i Oslo. Avgjørelsen innebærer samtidig et avslag på klagers konsesjonssøknad for det aktuelle materialet.

Personvernnemndas avgjørelse av 24. mai 2007 (Jon Bing, Ingvild Mestad, Lars Erik Fjørtoft, Siv Bergit Pedersen, Tom Bolstad)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 14.7.2006 om å plassere behandlingsansvaret for ”Arvelighetsregisteret”, herunder ”Tvillingregisteret”, hos Universitetet i Oslo, Institutt for medisinsk genetikk (heretter UiO). Avgjørelsen innebærer samtidig et avslag på klagers konsesjonssøknad for det samme materialet. Både UiO og klager har søkt om konsesjon for bruk av det aktuelle materialet, det vil si at klager har søkt om en såkalt ”arbeidskonsesjon” eller ”brukskonsesjon”. UiOs konsesjonssøknad er ikke ferdigbehandlet av Datatilsynet, men Datatilsynet har vedtatt at UiO er behandlingsansvarlig.

2 Saksgang

I brev av 27.3.2002 søkte UiO om at professor Per Magnus overtar som behandlingsansvarlig for ”Arvelighetsregisteret”. Tilsynet besvarer henvendelsen 18.4.2002 og påpeker at slik overføring ikke er nødvendig da konsesjonen opprinnelig ble gitt til UiO. Det gjøres samtidig oppmerksom på at det må søkes om ny konsesjon innen 31.12.2002.

I brev av 30.12.2002 søkes det om midlertidig forlengelse av konsesjonen.

Datatilsynet mottok 13.1.2003 en søknad fra klager om konsesjon for ”Tvillingregisteret”. Av søknaden fremgår det at registeret er en del av ”Arvelighetsregisteret” ved UiO.

I brev av 15.1.2003 innvilger Datatilsynet Ullevål universitetssykehus’ (UUS) søknad om forlenget overgangsperiode for behandlinger relatert til forskningsprosjekter.

UiO viser, i brev av 31.1.2003, til at denne innvilgelsen også må gjelde for instituttet som en del av UUS. Datatilsynet besvarer henvendelsen 6.3.2003 og gir uttrykk for at konsesjonssøknaden anses fremmet, men at søknad ikke vil bli realitetsbehandlet før nødvendig informasjon i relasjon til den pågående eiendomstvisten er oversendt.

I brev av 19.3.2003 til klager, viser Datatilsynet til at også UUS hadde søkt om konsesjon for det samme materialet, og at tilsynet ikke fant det naturlig å vurdere konsesjonssøknadene før forholdet til eiendomsretten var klarlagt rettslig. Tilsynet mottok svarbrev 25.3.2003 der klager påpeker at søknaden gjelder bruksrett til materialet og at klager personlig har stått for innsamlingen av dataene og samtykke fra de registrerte.

Datatilsynet gir i brev av 26.8.2003 uttrykk for at spørsmålet vedrørende eiendomsretten til materialet må avklares før tilsynet realitetsvurderer konsesjonssøknaden. Klager besvarer brevet 27.8.2003 og etterlyser kopi av Datatilsynets korrespondanse med UUS.

Datatilsynet besvarer brevet 25.9.2003 og oversender kopi av etterspurt korrespondanse. Det gjøres oppmerksom på at opprinnelig konsesjon ble gitt til UiO med klager som registeransvarlig.

I faks av 9.10.2003 informerer klager om at saken vedrørende eiendomsretten søkes løst hos Sivilombudsmannen.

I brev av 23.5.2005 gjentar klager sin søknad om brukskonsesjon for materialet og gir uttrykk for at UUS bør overta forvaltningsansvaret for materialet når klager ikke lenger kan arbeide med det. Datatilsynet mottar ytterligere informasjon fra klager i brev av 6.6.2005, 30.6.2005 og 12.7.2005. På dette tidspunktet ble også Forskerforbundet involvert i saken.

UiO kontaktet Datatilsynet i brev av 29.6.2005. Det beklages at fullstendig konsesjonssøknad fremdeles ikke er fremsatt. Det informeres om at UiO og Nasjonalt folkehelseinstitutt (FHI) vurderer sammenslåing av de respektive etaters Tvillingregistre. UiO hevder at det omtvistede materialet tilhører institusjonen og ikke klager, etter at klager trakk sitt søksmål.

I brev til klager av 22.7.2005 finner Datatilsynet det nødvendig å gjenta at konflikten ikke synes løst. Tilsynet påpeker at UiO har informert om at saken ble løst ved forlik. I følge UiO innebar forliket at klager ble tilkjent tilgang til materialet, men at databehandlingsansvaret etter helseregisterloven ble tillagt UiO. Tilsynet påpeker at en aksept for bruk av materialet fra UiO bør foreligge før søknaden kan realitetsbehandles. Et tilsvarende brev ble sendt til UiO.

Klager besvarte brevet 9.8.2005. Klager hevder at det ikke er inngått forlik med UiO, men derimot med UUS. Klager søker samtidig om en begrenset konsesjon. Datatilsynet mottar 20.8.2005 kopi av klagers henvendelse til UUS angående bruk av materialet. I brev av 16.11.2005 etterlyser tilsynet dokumentasjon for at UiO aksepterer klagers bruk av materialet. Tilsynet begrunnet dokumentasjonskravet i sakens kompliserte forhistorie.

UiO inviterer, i brev av 21.10.2005, Datatilsynet til et møte vedrørende ”Arvelighetsregisteret”. Datatilsynet bekrefter sin deltakelse og grunnlagsmateriale for møtet ble oversendt per faks 15.11.2005.

I brev fra klager av 18.11.2005 anmodes det om at Datatilsynet benytter tilgjengelige sanksjoner mot UiO. Klager mener at materialet er benyttet uten rettslig grunnlag. Det vises til en artikkel i Tidsskrift for Den norske lægeforening. I brev av 7.12.2005 gjør klager tilsynet oppmerksom på nok et prosjekt som skal ha benyttet data fra Tvillingregisteret. I brev av 8.12.2005 ber klager på nytt om en arbeidskonsesjon.

UiO sender konsesjonssøknad for ”Arvelighetsregisteret” 27.12.2005. Datatilsynet mottar samtidig et brev fra UiO ved rektor og universitetsdirektøren der det understrekes viktigheten av å få konsesjonsspørsmålet i orden.

Datatilsynet besvarer klagers tre siste henvendelser i brev av 14.7.2006. Datatilsynet informerer klager om at det til en viss grad har akseptert at materialet ved UiO ble oppbevart uten konsesjon all den tid det ikke ble benyttet. Dette brevet er å anse som et vedtak der tilsynet tar endelig stilling til plassering av behandlingsansvaret. Datatilsynet må derfor avslå klagers søknad om konsesjon for selve registeret. Samtidig påpekes det at klager kan innvilges konsesjon for et konkret prosjekt dersom det finnes behandlingsgrunnlag, jf personopplysningsloven § 11, 1. ledd bokstav a og UiO vil utlevere materialet.

I brev av 14.7.2006 til UiO kommenterer Datatilsynet konsesjonssøknaden fra UiO som et ledd i saksbehandlingen og informerer om at tilsynet har funnet det naturlig å plassere behandlingsansvaret hos UiO. Tilsynet etterspør mer informasjon for å kunne behandle konsesjonssøknaden. UiO ber om et møte, som bli avholdt 28.9.2006.

I brev av 20.11.2006 mottar Datatilsynet svar fra UiO på spørsmålene som ble stilt i brevet av 14.7.2006.

Den 4.12.2006 mottar Datatilsynet klagen fra klager. Tilsynet henvender seg den 17.1.2007 til klager og UiO for å få bekreftet hvilken del av materialet det er uenighet om.

Klager svarer 24.1.2007 og presiserer at konsesjonssøknaden gjelder Det norske tvillingpanel og alle mulige avleggere av dette. UiO besvarer henvendelsen 25.1.2007 og presiserer at UiO søker om konsesjon for alt materiale som finnes ved Institutt for medisinsk genetikk.

Oversendelsen av klagen til Personvernnemnda gjelder således konsesjonssøknader for alt forskningsmateriale ved Institutt for medisinsk genetikk ved UiO med unntak av Sentralregisteret for arvelige lidelser. Datatilsynet har besluttet i vedtak av 14.7.2006 at behandlingsansvaret skal plasseres hos UiO. Konsesjon er imidlertid ennå ikke tildelt UiO. Det er vedtaket av 14.7.2006 som er påklaget i denne saken.

Personvernnemnda mottok saken fra Datatilsynet 21.3.2007. Klager ble orientert om dette i brev fra nemnda 29.3.2007 med frist til uttalelse innen 20.4.2007. Personvernnemnda mottok svarbrev fra klager datert 17.4.2007. Videre mottok nemnda e-post med vedlegg fra UiO den 23.4.2007. Klager kommenterte brevet fra UiO i brev datert 2.5.2007. Klager sendte ytterligere et brev datert 15.5.2007. I brevet påklages at Datatilsynet aksepterer at UiO arbeider med et personvernregister uten konsesjon.


3 Faktum

Saken knytter seg til plassering av behandlingsansvaret for forskningsdata innsamlet som en del av ”Arvelighetsregisteret”, inkludert ”Det norske tvillingpanel” – også kalt ”Tvillingregisteret”. Klager har søkt om en ”arbeidskonsesjon” eller ”brukskonsesjon” til dette materialet.

”Tvillingregisteret” inneholder zygositetsinformasjon (om det er eneggede eller toeggede tvillingpar) og svar på en lang rekke spørsmål om helse og sykdom hos norske tvillinger. Det er flere tusen norske tvillinger som har avgitt informasjon til tvillingregisteret. Registeret inneholder informasjon fra 1960-tallet og frem til i dag.

Konsesjonen for ”Arvelighetsregisteret” av 22.12.1982 er utstedt til Institutt for medisinsk genetikk, UiO. Det er UiO, ved klager, som etter den gamle personregisterloven var såkalt ”registeransvarlig” for disse registrene. Klager har vært drivkraften bak registrene i en årrekke og den videre forskning som er kommet i stand på bakgrunn av disse registrene. Klager har hatt tett kontakt med de registrerte.

Nå har både klager og UiO søkt om konsesjon for det samme materialet. Klager har spesifisert dette til en ”brukskonsesjon”.

Det har vært stor uenighet om det er klager personlig eller UiO som har rettighetene til det aktuelle forskningsmaterialet.

Med bakgrunn i den opprinnelige konsesjonen og innholdet i informasjonsskrivene til de registrerte, fant Datatilsynet til slutt at det var riktig å plassere behandlingsansvaret hos UiO. Dette betyr at det er UiO som er databehandlingsansvarlig for registrene. Det er derfor mest nærliggende at UiO vil få konsesjon for registrene, men det er ikke avgjort ennå.

4 Klagers anførsler

Klager gjør gjeldende at ”Tvillingregisteret” ble etablert, utviklet og ledet av klager mens klager var professor ved UiO og avdelingsoverlege ved UUS.

Klager opplyser at dette ikke var en del av hans tjenesteplikt eller kan anses som et resultat av oppdragsforskning.

Klager mener at de registrerte samtykket overfor klager. Klager har derfor ansvar for at forskningen videreføres og at de registrertes personopplysninger behandles korrekt.

Klager er enig i at konsesjonen formelt sett ble utstedt til UiO, men mener at dette er av mindre betydning da det er klager som var registeransvarlig, ansvarlig forsker og pådriver for prosjektet.

Klager viser til uenigheter med tidligere dekanus ved Det medisinske fakultet. Klager hevder at UiO ikke tilrettela for den aktuelle forskningen, verken med ressurser eller utstyr.

Klager påpeker at det ikke ble inngått noe forlik mellom UiO og klager, men mellom UUS og klager. UUS har i følge klager forsøkt å implementere forliket, mens UiO har motsatt seg dette.

Klager mener at Datatilsynet uriktig har lagt vekt på tvistemålsloven § 67. Klager trakk søksmålet av økonomiske grunner. Klager mener at han ikke har oppgitt sin rett som forsker, bare sin rett til å på ny reise søksmål. Spørsmålet om klagers rettigheter som forsker er ikke behandlet rettslig, idet retten kun vurderte om det forelå sikringsgrunn da klager fremsatte krav om midlertidig forføyning.

Videre mener klager at Datatilsynet har brutt forvaltningsloven ved å legge til grunn informasjon fra UiO som klager ikke er blitt gitt anledning til å kommentere, herunder telefonsamtaler med UUS.

Det anføres at forskere som hovedregel har krav på å forske i egne materialer og fullføre igangsatte forskningsprosjekter. Forskere har rett til tilgang til forskningsmateriale de selv har samlet inn. Forskerforbundet mener at en slik rett vedvarer også etter oppnådd aldersgrense (pensjonsalder).

Klager ber om at det utstedes en arbeidskonsesjon og at materialet allokeres til UUS.


5 Datatilsynets kommentarer til klagers anførsler

Datatilsynet understreker at det ikke har ønsket å gi inntrykk av at det har dratt klagers faglige integritet og kompetanse i tvil gjennom avslaget på konsesjonssøknaden, og dermed indirekte avslag på kravet om behandlingsansvar.

Datatilsynet mener at konsesjonen ble formelt utstedt til UiO som institusjon og ikke til klager personlig. Tilsynet har ikke lagt til grunn at klager var kun kontaktperson.

Når det gjelder klagers rett til en arbeidskonsesjon, er tilsynet av den oppfatning at det kan utstedes arbeidskonsesjon, for eksempel for enkeltstående prosjekter, men at slik utstedelse er betinget av at UiO tillater den ønskede bruk. Det er tilsynets oppfatning at en konsesjon ikke gir behandlingsansvarlige for ønskede kilder noen plikt til å utlevere personopplysninger, men at konsesjonen gir innehaveren en rett til å benytte disse opplysningene når de er mottatt. Tilsynet forstår at det er tyngende for klager å være avhengig av UiOs samtykke for bruk av materialet. Når UiO imidlertid ikke har en plikt til å utlevere opplysningene, til tross for at klager tildeles en konsesjon, er dette en hensiktsmessig fremgangsmåte.

Klager har påpekt brudd på forvaltningslovens regler om kontradiksjon. Datatilsynets telefonsamtaler med UUS var kun for å gi beskjed om at man ønsket kontakt. Vedkommende var på ferie. Det ble ikke gjort saksnotat fra samtalen. Datatilsynet har i hovedsak lagt vekt på den opprinnelige konsesjonen og det faktum at den er utstedt til UiO som institusjon.

Datatilsynet har også lagt til grunn tidligere informasjonsskriv ved avgjørelsen. Disse er utformet av klager og tilsynet mente derfor at det ikke var nødvendig å forelegge klager disse til uttalelse.

Tilsynet erkjenner at forholdet til tvistemålsloven § 67 ble tillagt betydning i saken, men understreker at denne informasjonen ikke har hatt avgjørende betydning. Det vises til Ot.prp nr 3 1976-77 s 73 der det står at forvaltningslovens § 17, 2. ledd bokstav c også gjør unntak for det tilfellet at opplysningene ikke har hatt avgjørende betydning.

Datatilsynet ser at det kunne rutinemessig ha sendt kopi av all kommunikasjon fra UiO til Datatilsynet. Tilsynet mener likevel at vedtaket ikke er beheftet med saksbehandlingsfeil.

Materialet befinner seg i dag hos UUS. Det er inngått avtale mellom UiO og UUS om at UUS skal være databehandler. Tilsynet ser ikke grunn til at UUS skal overta ansvaret for datamaterialet.


6 UiOs anførsler

UiO påpeker at UiO ikke har inngått noe forlik med klager. Klager fikk ikke medhold for sine krav verken i tingretten eller lagmannsretten. Klager valgte deretter å trekke søksmålet og har dermed oppgitt det materielle kravet, jf tvistemålsloven § 67.

UiO mener at det er korrekt at klager har arbeidet med registrene, men det er ikke et soloprosjekt fra hans side. En rekke personer ved Institutt for medisinsk genetikk har bidratt til dette arbeidet.

Det er ikke uklart at det er UiO som har tilgangsrett, disposisjonsrett og eiendomsrett til materialet. UiO (og UUS) vant på alle punkter i rettssaken angående hvem som har disse rettighetene.

7 Datatilsynets vurdering

Datatilsynet fant etter gjennomgang av all innsendt dokumentasjon fra begge parter at det var riktig å legge til grunn at UiO er behandlingsansvarlig. Tidligere konsesjon for ”Arvelighetsregisteret” er utstedt til UiO som institusjon – ikke til klager personlig. Flertallet av spørreskjemaene er merket med ”Universitetet i Oslo, Institutt for medisinsk genetikk”. Dette gir uttrykk for at disse er utstedt av UiO og at UiO er ansvarlig for registreringen.

I søknaden om tillatelse til å opprette personregister av 13.3.1981 er UiO angitt som registereier og klager er oppført som kontaktperson. Dette viser at det overordnede ansvaret lå på institusjonsnivå også den gang.

I praksis tas ofte initiativet til iverksettelse av ulike studier av enkeltstående forskere og ikke av institusjonene disse er ansatt ved. Det er likevel slik at dette i utgangspunktet ikke har noen betydning for ansvarsplasseringen. Tilsynet finner det ikke avgjørende at de registrerte har samtykket til klager direkte. Dette medfører likevel ikke at vedkommende er (data)behandlingsansvarlig i personopplysningsloven eller helseregisterlovens forstand.

Det er videre lagt vekt på at klager ved å trekke sitt søksmål mot UiO, samtidig måtte frafalle sitt krav etter tvistemålsloven § 67, og at dette innebar at hans krav om eiendomsrett til materialet ble trukket.

Denne saken dreier seg i stor grad om kartlegging av faktum. Datatilsynet er av den oppfatning at saken var tilstrekkelig opplyst til å ta en avgjørelse den 14.7.2006 da vedtaket ble fattet.

8 Personvernnemndas merknader

Klager har anført at Datatilsynet har brutt forvaltningslovens saksbehandlingsregler i denne saken. Personvernnemnda kan ikke se at det har skjedd brudd på saksbehandlingsregler som eventuelt kan ha fått innflytelse på resultatet.

Personvernnemnda legger til grunn at det var UiO som fikk den opprinnelige konsesjonen i 1982. Det var med andre ord ikke klager personlig som fikk konsesjonen. Forskningen har funnet sted ved Institutt for medisinsk genetikk.

Behandlingsansvarlig er definert i personopplysningsloven § 2 nr 4 som ”den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes”. Behandlingsansvarlig har ulike plikter etter personopplysningsloven. Blant annet skal behandlingsansvarlig sørge for informasjonssikkerheten, jf personopplysningsloven § 13, og gi informasjon til de registrerte om formålet med behandlingen, utlevering av opplysninger og retten til å kreve innsyn og retting, jf personopplysningsloven § 19.

Normalt avgjøres spørsmålet om hvem som er behandlingsansvarlig ut fra følgende momenter:

  • Hvem initierer prosjektet?
  • Hva informeres respondentene om i forhold til ansvar?
    • Respondentene skal få informasjon om hvem som er behandlingsansvarlig (med adresse etc) slik at det er klart hvor man skal henvende seg ved innsyn, retting, sletting etc.
  • Skjer forskerens befatning med personopplysningene i egenskap av å være ansatt eller ikke?
  • Hvordan finansieres prosjektet?

Nemnda er enig med Datatilsynet i at det er mest nærliggende å plassere behandlingsansvaret hos UiO ved Institutt for medisinsk genetikk. Nemnda går ut i fra at UiO derfor også vil få konsesjon for registrene. Spørsmålet blir da om dette utelukker at klager kan få tilgang til det samme materialet.

Datatilsynet har lagt noe vekt på en tidligere tvist mellom klager og UUS og UiO. UUS og klager inngikk et rettsforlik i 2001 angående klagers tilgang til materialet i registrene etter pensjonsalder. I rettsforliket står det at gjennomføringen av klagers tilgang skal skje etter nærmere drøftelser mellom klager, UUS og UiO. Klager begjærte i 2002 midlertidig forføyning for at UUS og UiO skulle gi ham full tilgang til forskningsmaterialet, men fikk ikke medhold i verken tingretten eller lagmannsretten. Klager trakk deretter søksmålet. Det har derfor oppstått en diskusjon rundt tvistemålsloven § 67, det vil si om klager også har oppgitt selve kravet og om hvem som har ”eiendomsrett” til materialet.

Personvernnemnda vil ikke gå inn på spørsmålet om det er klager eller UiO som ”eier” materialet. For det første er det ikke nødvendigvis slik at den behandlingsansvarlige er den som har eiendomsretten. For det annet kan begrepet ”eiendomsrett” vanskelig brukes angående opplysninger og informasjon. Etter nemndas mening vil det mest korrekte være å snakke om retten til å disponere over opplysninger. Nemnda vil derfor ikke gå nærmere inn på diskusjonen angående eiendomsrett til materialet.

I denne saken er det bedt søkt om konsesjon til det samme materialet som UiO har behandlingsansvaret for (og sannsynligvis vil bli konsesjonsinnehaver for). Det er mulig å få en egen selvstendig konsesjon innenfor den vide konsesjonen for et spesifikt prosjekt. Det er det imidlertid ikke søkt om i denne saken. I denne saken er det bedt om å få en ”arbeidskonsesjon” eller ”brukskonsesjon”. Etter nemndas mening må det korrekte være å be om en tilgang til det materialet som UiO disponerer over som behandlingsansvarlig. Hvorvidt den behandlingsansvarlige skal gi forskere tilgang til forskningsmateriale er ikke behandlet i personopplysningsloven. Det følger av helseregisterloven § 13 at det bare er den databehandlingsansvarlige, databehandlere og den som arbeider under den databehandlingsansvarliges eller databehandlers instruksjonsmyndighet som kan gis tilgang til helseopplysninger. Bestemmelsens annet punktum fastslår at tilgang kan bare gis i den grad det er nødvendig for vedkommendes arbeid. Tilgang til andre enn de som er nevnt i helseregisterloven § 13 regnes som utlevering av opplysninger og må ha hjemmel i helseregisterloven §§ 5,7 eller 8.

Nemnda legger til grunn at det er opp til UiO som behandlingsansvarlig å håndtere forespørsler om tilgang til forskningsmaterialet. Etter nemndas syn er en professor emeritus ved institusjonen normalt ikke en utenforstående tredjeperson, men vil normalt være en forsker som faller inn under konsesjonen. Det blir derfor opp til UiO å ta stilling til om videre forskning skal skje, ut fra forskningsetiske prinsipper og arbeidsrettslige retningslinjer.

9 Vedtak

Klagen tas ikke til følge. Datatilsynets vedtak opprettholdes.

 

 

Oslo, 24. mai 2007

Jon Bing
Leder