Datatilsynets referanse: 09/00075-13/EOL

PVN-2013-17 Tvillingregisteret

Klage på Datatilsynets Datatilsynets delvise avslag på forlengelse og utvidelse av Nasjonalt tvillingregister

Personvernnemndas avgjørelse av 23. april 2014 (Eva I. E. Jarbekk, Arve Føyen, Ørnulf Rasmussen, Nina Melsom, Gisle Hannemyr, Ann R Sætnan)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets delvise avslag på forlengelse og utvidelse av Nasjonalt tvillingregister.

2 Saksgang

I november 2005 ble det inngått avtale mellom Universitetet i Oslo (UiO),
Folkehelseinstituttet (FHI) og Ullevål Universitetssykehus HF (UUS) om opprettelse av et nasjonalt tvillingregister. Avtalen gikk ut på å samle person- og helseopplysninger fra de respektive institusjonenes tvillingstudier hos FHI. Konsesjoner gitt til de forskjellige forskningsprosjektene skulle overføres til FHI som behandlingsansvarlig.

Datasettene som er overført til Nasjonalt tvillingregister er:

•   Tvillinger født 1895 -1945, Datatilsynets saksnummer 89/234
•   Tvillingregisteret UiO, Datatilsynets saksnummer 02/00759
•   Tvillingundersøkelsen FHI, Datatilsynets saksnummer 03/01365

Datatilsynet har i konsesjon av 26. mars 2009 konkludert med at register over tvillinger født
1895-1945 ikke inneholder helseopplysninger eller sensitive personopplysninger, og at behandling følgelig ikke er konsesjonspliktig. Personopplysningsloven med forskrift kommer likevel til anvendelse og Datatilsynet forutsetter at behandling av disse opplysningene gjøres i tråd med dette regelverket.

I vedtak av 14.6.2007 ga Datatilsynet tematisk konsesjon til ''Tvillingregisteret", med UiO som behandlingsansvarlig. Registeret omfatter tvillinger født i perioden 1915-1960. Totalt ble det rekruttert 15 250 personer, og opplysningene i registeret er basert på besvarte spørreundersøkelser. Konsesjonen er tidsbegrenset til 31.12.2027. Datatilsynet knyttet vilkår om at deltakerne før sammenslåing med Folkehelseinstituttets tvillingregister, og senest innen 31.12.2012, måtte gis tilfredsstillende informasjon om sammenslåingen.

Datatilsynet ga konsesjon til behandling av helseopplysninger til "Tvillingundersøkelsen"
13.4.2004. FHI var behandlingsansvarlig for prosjektet. Konsesjonen erstattet tidligere gitte konsesjoner til tvillingstudier hvor FHI var behandlingsansvarlig. Datatilsynet påpekte i konsesjonen at den videre behandlingen av materialet vil være begrenset av den informasjon den enkelte har mottatt og avgitt samtykke til, og samtykket må være i samsvar med kravene i helseregisterlovens § 2, nr.11. Etter en forlengelse av konsesjonen, gitt fra Datatilsynet i vedtak av 16.10.2007, ble konsesjonen tidsbegrenset til 31.12.2009.

Den 19. januar 2009 mottok Datatilsynet en søknad fra FHI om konsesjon for opprettelsen av et nasjonalt tvillingregister. Konsesjon ble gitt i vedtak av 26. mars 2009 med forbehold om at de registrertes samtykker var dekkende for FHIs planlagte behandling.

Datatilsynet gjennomførte i mars 2010 en stedlig kontroll av blant annet FHIs behandling av helseopplysninger i tilknytning til Nasjonalt tvillingregister. FHI ble i forbindelse med denne kontrollen pålagt å vurdere hvorvidt de eksisterende samtykkene for registrering i tvillingregisteret tilfredsstilte kravene til samtykke i helseregisterloven § 2 nr 11.

FHI gjennomførte en slik vurdering og kom til at kravet til informert samtykke var ivaretatt på en etisk og juridisk forsvarlig måte. FHI erkjenner imidlertid at det kan stilles spørsmål ved om kravet til at samtykket skal være uttrykkelig er oppfylt, men mener at dette kravet kan ivaretas med løpende informasjon.

I forbindelse med søknad av 3. desember 2010 om forlengelse av konsesjonen ble tolkingen av enkeltdeler av konsesjonen tatt opp av FHI, og det ble avholdt et møte mellom FHI og Datatilsynet i saken. Tema for møtet var særlig spørsmål om hvorvidt samtykkene gitt i tvillingundersøkelsene var dekkende for overføring av helseopplysninger til Nasjonalt tvillingregister.

Den 20. desember 2011 mottok Datatilsynet en ny søknad om konsesjon fra FHI der de opprettholdt sin forrige søknad, dels på grunnlag av samtykke og dels på grunnlag av personopplysningsloven §§ 8 bokstav d) og 9 bokstav h).

Den 31. januar 2013 fattet Datatilsynet vedtak om konsesjon som innebærer et delvis avslag i forhold til det omsøkte. Avslaget er knyttet til de deler av registeret som er søkt opprettet på basis av personopplysningsloven §§ 8 bokstav d) og 9 bokstav h).

Den 20. februar 2013 mottok Datatilsynet kommentarer til premissene for avslaget og vilkårene som ble stilt i konsesjonen. FHI presiserer at de til tross for at det søkes om konsesjon dels på grunnlag av personopplysningsloven §§ 8 bokstav d) og 9 bokstav h) mener at samtykkene som er gitt i tvillingundersøkelsene er dekkende for registrering av helseopplysninger i Nasjonalt tvillingregister.

Den 15. april 2013 ga Datatilsynet tilbakemelding på FHI sine kommentarer. Den 30. april 2013 mottok Datatilsynet en klage på Datatilsynets vedtak om delvis avslag på forlengelse og utvidelse av konsesjon til Nasjonal tvillingregister. Klagen gjelder vilkår 2 og 3 som lyder:

2.   Før konsesjonen anses gyldig skal FHI kunne dokumentere at deltakerne i FHI sitt opprinnelige tvillingprogram har samtykket til å bli registrert i Nasjonalt tvillingregister.

3.   Konsesjonen gir kun adgang til lagring av datasettene slik de fremstår på tidspunktet for søknaden. Det er følgelig ikke adgang til å tilføre registeret nye opplysninger, f eks ved at analyseresultater fra enkeltprosjekter tilbakeføres til registeret.

Saken ble oversendt Personvernnemnda 25.9.2013, som mottok saken 4.10.2013. Den 15.10.2013 sendte nemnda et brev til klager med to ukers frist for kommentarer. FHI besvarte henvendelsen med kommentarer i brev av 1.11.2013.

3 Faktum

FHI har søkt om konsesjon for å forlenge og utvide Nasjonalt tvillingregister.

4 Klagers anførsler

4.1 Helseregisterloven versus helseforskningsloven – «bredt samtykke»

FHI stiller seg undrende til Datatilsynets syn på at krav til samtykke etter helseforskningsloven ikke nødvendigvis oppstiller kravene til helseregisterloven. I begge lover er kravene til samtykke at dette skal være «frivillig, uttrykkelig og informert», jf. helseregisterloven § 2 nummer 11 og helseforskningsloven § 13 andre ledd. I tillegg stiller helseforskningsloven et krav om at samtykker skal være dokumenterbare. På denne måten kan kravene til samtykke anses å være strengere i helseforskningsloven. Disse kravene til samtykke etter helseforskningsloven § 13 foreligger også ved såkalte «brede samtykker», jf. helseforskningsloven § 14 første ledd.

For en nærmere forståelse av begrepet «bredt samtykke» viser FHI til Ot.prp.nr. 74 (2006-2007) Lov om medisinsk og helsefaglig forskning, kapittel 12. Her presiseres hva som ligger i samtykkekravet, herunder at «bredt samtykke» ikke er et unntak fra samtykke som sådan. Bakgrunnen for et «bredt samtykke» er å kunne differensiere kravene til samtykke utfra hvilken type forskning det gjelder. Bredt samtykke er ment for større undersøkelser, som for eksempel HUNT. En lovfesting av bredt samtykke skulle gjøre at forskningsdeltakere ikke må kontaktes på nytt ved mindre endringer av et prosjekt eller ved utvikling av nye analysemetoder. Det skal likevel ikke medføre en lemping av samtykkekravet, men at det kan samtykkes til nærmere bestemte og bredt definerte forskningsformål, hvor det ikke er spesifikt informert om alle detaljer og delprosjekter.

Folkehelseinstituttet er innforstått med at det opprinnelige samtykket må være frivillig, uttrykkelig og informert for at det skal kunne stå seg i dag, og at det kun er mindre endringer som kan foretas uten at nytt samtykke innhentes. Ettersom de opprinnelige samtykkene har vært nokså vide, har FHI behandlet tvillingene på lik linje med deltakere som har et bredt samtykke i tråd med helseforskningsloven § 14. Bakgrunnen for dette er at FHI ser store likheter mellom Nasjonalt tvillingregister og HUNT. FHI er videre klar over at det er informasjonsplikten etter helseregisterloven §§ 23 og 24 som gjelder for helseregistre, og at det er denne loven man må forholde seg til.

4.2 Endringer for deltakerne i Folkehelseinstituttets tidligere tvillingprogram

FHI anfører at etablering av Nasjonalt tvillingregister ikke innebærer noen forandring med hensyn til behandling av helseopplysningene. Nasjonalt tvillingregister er kun en videreføring av den gamle samlekonsesjonen. Eneste forskjell er at tvillingregisteret ved UiO/OUS er lagt til.

Etablering av Nasjonalt tvillingregister medfører ingen vesentlige endringer for deltakerne i Folkehelseinstituttets opprinnelige tvillingprogram. Nasjonalt tvillingregister ble etablert i 2009 etter sammenslåing av ulike tvillingregistre. Sammenslåingen medførte at antallet deltakere i registeret økte, men det er ikke registret ytterligere informasjon om hver enkelt tvilling. Ettersom en sammenstilling med andre tvillingundersøkelser ikke påvirker formålet med behandlingen av opplysningene, eller tilfører ytterligere opplysninger om den enkelte tvilling, har FHI ansett dette som en mindre endring for deltakeren.

4.3 Samtykkenes gyldighet

Prinsipalt mener FHI at samtykkene gitt til deltakelse i tidligere tvillingstudier også kan være dekkende for registrering av de samme opplysningene i Nasjonalt tvillingregister. Dette begrunnes med at informasjon gitt på tidspunktet for inklusjon i en studie og informasjon gitt i ettertid samlet sett oppfyller kravene til et gyldig samtykke i helseregisterloven.

Alle samtykkene er basert på skriftlig informasjon til deltakerne, der samtykket er bekreftet gjennom skriftlig erklæring (samtykkeerklæring) eller ved konkludent adferd (innsendelse av utfylt spørreskjema). I informasjonen til deltakerne kommer det tydelig frem at de innsamlede dataene skal benyttes til medisinsk og helsefaglig forskning på arv og miljø, noe FHI anser som et nærmere bestemt forskningsformål.

Avgjørende for gyldigheten av samtykkene er hvorvidt tvillingene var innforstått med videre bruk av opplysningene. Tvillingene fikk ikke informasjon om at opplysningene senere ville sammenstilles med andre tvillingstudier og at de ville inngå i et Nasjonalt tvillingregister. Ettersom sammenstilling med andre tvillingundersøkelser ikke påvirker formålet med behandlingen av opplysningene eller tilfører ytterligere opplysninger om den enkelte tvilling, har FHI ansett dette som en mindre endring for deltakeren, og at det har vært tilstrekkelig å informere deltakerne om sammenslåingen. Varigheten av prosjektet var heller ikke avklart i de opprinnelige samtykkene. Det samme gjelder kobling mot andre registre. Slik kobling skjer ikke i registeret som sådan. Kobling mot andre registre vil kun skje ved medisinske og helsefaglige forskningsprosjekter angående arv og miljø etter en konkret vurdering fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk. For å sikre at tvillingene er tilstrekkelig informert om bruken av registeret, er det gitt informasjon i ettertid, slik brede samtykker nå forvaltes av etter helseforskningsloven § 14. Denne forvaltningen er et supplement til informasjonsplikten FHI er pålagt etter helseregisterloven §§ 23 og 24.

4.4 Personopplysningsloven § 8 bokstav d og § 9 bokstav h

Subsidiært, for det tilfellet at noen av samtykkene gitt til deltakelse i tidligere studier ikke skulle være gyldige, anfører FHI at helseopplysningene kan overføres til Nasjonal tvillingregister med hjemmel i personopplysningsloven §§ 8 bokstav d) og 9 bokstav h). Dette begrunnes med at opplysningene må anses som av vesentlig interesse for samfunnet og at deltakernes integritet er ivaretatt ved informasjon i nyhetsbrev i 2001 og 2008.

FHI anfører at et krav om innhenting av nye samtykker fra deltakerne i FHIs egne tvillingstudier vil innebære urimelig forskjellsbehandling av FHI i forhold til UiO og de krav som er stilt til konsesjon for tvillingregisteret der. FHI viser til at Datatilsynet ga konsesjon til UiO under forutsetning av at deltakerne i tvillingstudien ble informert om muligheten for at deres helseopplysninger skulle overføres Nasjonalt tvillingregister, og gitt muligheten til å reservere seg mot dette. Informasjonsskriv ble sendt ut til deltakerne i UiO studien i 2009.

FHI anfører dessuten at forskning på data fra Nasjonalt tvillingregister metodisk sett vil forringes ved at frafallet vil bli høyere dersom det må innhentes samtykker fra de registrerte.

FHI er videre ikke enig med Datatilsynets vurdering av at det er nødvendig å begrense tilførselen av nye opplysninger til tvillingregisteret av hensyn til kontroll med innholdet. FHI mener at de registrerte selv har kontroll på hvilke opplysninger som tilføres registeret ved at delprosjektene innhenter de nye opplysningene basert på samtykke.

Innhenting av nye samtykker vil medføre betydelig frafall, først og fremst fordi FHI ikke lykkes med å få tak i tvillingene eller med å få svar tross purringer. Folkehelseinstituttet mener dermed at de vitenskapelige formål og samfunnets interesser klart overstiger personvernulempene det vil medføre for den enkelte ikke å innhente et nytt samtykke.

4.5 Hvordan ivaretas personvernet i denne interesseavveiningen?

Folkehelseinstituttet presiserer her kun enkeltindividets selvbestemmelsesrett, da andre personverninteresser ikke er omstridt. Personverninteressen er ivaretatt ved at deltakerne i utgangspunktet har samtykket i å delta i medisinsk og helsefaglig forskning på arv og miljø. Denne delen av registeret er etablert på basis av helseopplysninger innhentet ved to tidligere spørreundersøkelser (1992 og 1998). Tilbud om å delta i 1998 gikk til dem som hadde svart i 1992 og en gruppe yngre tvillinger som ikke hadde deltatt tidligere. I spørreskjema av 1992 er det ikke angitt tidsavgrensning, mens det i 1998 er angitt at man regner med at prosjektet vil vare ut 2003. Det står ikke at prosjektet skal avsluttes og heller ikke at data skal slettes. For å sikre at tvillingene ikke er av oppfatningen at prosjektet er avsluttet, har FHI sendt ut informasjonsbrev til alle tvillinger i 2008. Flere av tvillingene har også deltatt i senere undersøkelser som gjør det klart at avgitte data er grunnlag for nye prosjekter, som tvillingene også har fått mulighet til å ta aktivt stilling til. FHIs inntrykk er at de aller fleste allerede har en oppfatning om at de er inkludert i et tvillingregister hos FHI. Denne oppfatningen underbygges ved at FHI svært sjelden får negative eller overraskede tilbakemeldinger ved henvendelser til tvillingene gjennom nyhetsbrev eller tilbud om å delta i nye undersøkelser. Det viser seg for eksempel at:

  • Av de totalt 9490 som har deltatt i disse to spørreskjemaundersøkelsene, har bare 94 reservert seg mot ytterligere henvendelser, og bare 17 (0,18 %) har bedt om å få sine data slettet. Dette til tross for at de aller fleste har fått en rekke henvendelser, inkludert nyhetsbrev med opplysning om etablering av Nasjonalt tvillingregister, fra FHI.
  • Ved utsendelse av informasjonsskriv om kobling av opplysninger til offentlige registre i 2010 til 7600 av de 9490 deltakerne, der FHI også informerte om Nasjonalt tvillingregister, valgte bare 38 å reservere seg og 5 å bli slettet fra registeret – totalt 0,065 %.
  • Ved forlengelse av biobanken (som utgår fra disse deltagerne) og registering i Nasjonalt tvillingregister i 2011, ønsket 0,15 % å reservere seg fra dette.

4.6 Hvorfor de vitenskapelige formål og samfunnsinteressen klart overstiger ulempene for den enkelte

En av Folkehelseinstituttets viktigste oppgaver er å drive forskning knyttet til forståelse og forebygging av viktige helseproblemer. Tvillingundersøkelser utgjør en uvurderlig kilde til slik forskning. Tvillingdata brukes til å undersøke i hvor stor grad genetiske og miljømessige faktorer påvirker helsen, og de har i de senere årene også fått en sentral plass i undersøkelser av spesifikke risikofaktorer for sykdom. I motsetning til undersøkelser der deltakerne ikke er i slekt, kan man i tvillingstudier kontrollere for effekter av arv og oppvekstmiljø. Dermed kommer man nærmere reelle årsakssammenhenger også når randomiserte studier av etiske hensyn ikke lar seg gjennomføre. Tvillingstudier er imidlertid særlig sårbare i forhold til oppslutning. Dette gjelder både fordi hendelsene man studerer er sjeldne, fordi utvalget ofte er skjevt i forhold til faktorer som er viktige for helseatferd og sykdomsmål, og fordi FHI er avhengige av komplette par, dvs. at begge tvillingene i hvert par deltar i undersøkelsen. Faller en tvilling fra, er frafallet i realiteten begge tvillingene i paret. FHI mener derfor at samfunnsnytten av å ha et så komplett som mulig tvillingregister er udiskutabel, og at frafallet man kan forvente dersom man skal innhente nytt informert samtykke, er til alvorlig ulempe for samfunnet fordi det hindrer forskning på viktige helseproblemer.

4.7 Tilbakeføring av analyseresultater og tilførsel av nye opplysninger

Folkehelseinstituttet hevder at tilbakeføring av analyseresultater fra det biologiske materialet ikke bør anses som en utvidelse av registret, men som en analyse av registerets allerede tilstedeværende innhold.

Bakgrunnen for dette er at ved avgivelse av en blodprøve i en forskningsundesøkelse, som dette registeret baserer seg på, er formålet at den skal analyseres og at resultatene skal benyttes videre til forskning. Det biologiske materialet, analyseresultatene og registeret må dermed ses i sammenheng.

5 Datatilsynets vurdering

5.1 Vilkår 2: Behandlingsgrunnlag

Helseregisterloven kapittel 2 regulerer blant annet etablering av helseregistre. FHI er tydelige
på at Nasjonalt tvillingregister er ment å være et landsomfattende og permanent register som skal være leverandør av helseopplysninger til bruk for forskning. Dette fremgår av konsesjonssøknad, samt av FHI sine nettsider om registeret.

Helseopplysninger kan i henhold til helseregisterloven § 5 bare behandles elektronisk når dette er tillatt etter personopplysningsloven §§ 9 og 33, helseforskningsloven eller følger av lov.

Opprettelse av Nasjonalt tvillingregister reguleres ikke av helseforskningsloven, og følger heller ikke av lov. Opprettelse av dette registeret krever således hjemmel i personopplysningsloven §§ 8 og 9, samt enten konsesjon fra Datatilsynet eller egen forskriftshjemmel.  Behovet for forskriftshjemmel har vært tema i saken, men er ikke tema i klagebehandlingen.

Ved avgjørelsen av om konsesjon skal gis, skal det kartlegges om behandlingen av personopplysninger kan volde ulemper for den enkelte som ikke kan avhjelpes gjennom bestemmelsene i kapitlene II-V og vilkår etter § 35. I så fall må det vurderes om ulempene blir oppveid av hensyn som taler for behandlingen, jf. personopplysningsloven § 34.

Prinsipalt hevder FHI at samtykkene som er gitt til de enkelte tvillingstudiene, sammen med senere gitt informasjon, er til strekkelig for registrering av helseopplysningene i Nasjonalt tvillingregister.

Når samtykke fra de registrerte er behandlingsgrunnlaget etter helseregisterloven § 5 og personopplysningsloven § 9 bokstav a), må samtykket tilfredsstille kravene i helseregisterloven § 2 nr. 11.

Etter helseregisterloven § 2 nr. 11 er et samtykke definert som «en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av helseopplysninger om seg selv». Det må fremgå klart og utvetydig hvilke behandlinger samtykket omfatter og hvilke behandlingsansvarlige det er rettet til, jf. kravet om at samtykket skal være «uttrykkelig». I kravet til at samtykket skal være «frivillig» ligger det at det ikke må være avgitt under noen form for tvang fra den behandlingsansvarlige eller andre. Kravet til at samtykke skal være «informert» medfører at den registrerte må gis tilstrekkelig informasjon slik at vedkommende vet hva det samtykkes til.

Det vises til Ot.prp. nr 92 (1998-1999) side 103. I NOU 1997: 19 kapittel 21 står følgende om kravet til at samtykket må være informert: "dette ligger at den registrerte må forstå hva……. gjelder, og hvilke konsekvenser denne får eller kan få". I EUs personverndirektiv (95/46/EF) artikkel 2 bokstav h er samtykke definert som; "enhver frivillig, spesifikk og informert viljesytring om at den registrerte gir sitt samtykke til at personopplysninger om vedkommende blir behandlet."

Hva det skal informeres om må ses i sammenheng med helseregisterloven § 23 og 24 om informasjonsplikt. Bestemmelsene gir uttrykk for hva som minst må fremgå av informasjonen som gis til den registrerte. Dette omfatter blant annet opplysninger om hvem som er behandlingsansvarlig, formålet med behandlingen, om opplysningene vil bli utlevert og eventuelt til hvem. Det må også informeres om hvilke rettigheter den registrerte har etter loven, og at det er frivillig å samtykke. Det påpekes at informasjonsplikten gjelder uavhengig av kravet til samtykke.

Da søknaden om konsesjon av 20. desember 2011 baserer etablering av Nasjonalt tvillingregister dels på samtykke fra de registrerte og dels på grunnlag av personopplysningsloven §§ 8 bokstav d) og 9 bokstav h) vil dette grunnlaget drøftes subsidiært.

For behandling av helseopplysninger med grunnlag i personopplysningsloven §§ 8 bokstav d) og 9 bokstav h) må samfunnsinteressen i behandlingen avveies mot personverninteressene involvert og ulempene det kan medføre for de registrerte. Det må foreligge en klar overvekt i favør av de samfunnsmessige fordelene, jf. personopplysningsloven § 9 h.

Faktorer som typisk vektlegges i en slik interesseavveining er:
•   kort lagringstid
•   begrenset omfang (få variabler, lite sensitiv informasjon etc.)
•   god identitetsforvaltning, for eksempel tiltak for å skjerme de registrertes identitet
     (psuedonymisering, avidentifisering)

5.2 Vilkår 3: Tilbakeføring av analyseresultater og tilførsel av nye opplysninger

Ved avgjørelse av om konsesjon skal gis er det Datatilsynets oppgave å klarlegge om
behandlingen av personopplysninger kan volde ulemper for den enkelte som ikke avhjelpes gjennom bestemmelsene i kapitlene II-V og vilkår etter § 35, jf. personopplysningsloven § 34.

I konsesjonssaker som gjelder helseregistre har Datatilsynet praksis for at det settes som
vilkår at datamaterialet i helseregisteret skal lagres slik det fremstår på søknadstidspunktet, og at det f eks ikke skal berikes med analyseresultater fra enkeltprosjekter. Vilkåret stenger ikke for at helseregisteret kan vokse, men betyr at en tilføring av opplysninger fra enkeltprosjekter må sees på som en utvidelse av helseregisteret som krever ny konsesjonssøknad, evt. endringsmelding til personvernombudet.

5.3 Endret behandling eller ikke

FHI mener at etablering av Nasjonalt tvillingregister ikke innebærer noen forandring med hensyn til behandling av helseopplysningene i tvillingundersøkelsen. Nasjonalt tvillingregister er kun en videreføring av den gamle samlekonsesjonen, samt at registeret fra UiO er lagt til.

FHI har rett i at søknaden av 20.12.2011 ikke representerer en endring som i seg selv begrunner avslaget fra Datatilsynet. Endringen som begrunner det delvise avslaget skjedde i
2009 da helseopplysningene ikke lengre skulle tilhøre tidsavgrensede enkeltprosjekter, men overføres til et permanent helseregister. Helt fra samlekonsesjonen ble gitt i 2009 har det vært
forutsatt fra Datatilsynets side at gyldige samtykker skulle være på plass.

Når det etter fire år ikke er blitt bragt orden i samtykkegrunnlaget, og registeret nå søkes ytterligere utvidet, er dette momenter som taler i retning av at gyldige samtykker må på plass.

Hovedregelen om at den enkelte skal ha råderett over sine helseopplysninger tilsier at alle forskningsdeltakerne bør ha muligheten til å ta aktiv stilling til en eventuell registrering i et permanent nasjonalt helseregister.

5.4 Samtykke

Konsesjonene gitt for behandling av helseopplysninger i de opprinnelige tvillingstudiene var basert på at det forela gyldig samtykke fra de registrerte for deltakelse i studiene. Også da det ble gitt konsesjon for sammenslåing av de tre registrene til et nasjonalt tvillingregister ble det forutsatt at samtykker som lå til grunn for de enkelte studiene dekket registrering i Nasjonalt tvillingregister. Det ble presisert at dersom de foreliggende samtykker ikke var dekkende måtte nye samtykker innhentes.

Alle som er registrert i Nasjonalt tvillingregister er rekruttert via deltakelse i enkeltstudier. Den informasjonen deltakerne har mottatt om hvordan deres helseopplysninger er planlagt brukt har først og fremst vært knyttet til studien de har deltatt i. Dette betyr at deltakerne i de ulike studiene har mottatt ulik informasjon, og at det er vanskelig å slå fast en type informasjon som alle har fått. Noen fellestrekk er likevel følgende:

•   Opprinnelig informasjon som ble gitt alle deltakerne fra henholdsvis UiO/OUS og FHI
     var at helseopplysningene skulle brukes til forskning på arv og miljø
•   Opprinnelig informasjonen inneholdt ikke opplysninger om at den enkeltes helseopplysninger ville kobles mot andre registre
•   Opprinnelig informasjonen inneholdt ikke opplysninger om at helseopplysningene ville registreres i et nasjonalt helseregister

Når samtykke er gitt til deltakelse i et enkeltstående forskningsprosjekt, kan man i
utgangspunktet ikke bruke disse opplysningene til noe annet enn det samtykket omfattet uten
å innhente nytt samtykke, jf personopplysningsloven § 11.

Datatilsynet finner støtte for en slik argumentasjon i Personvernnemndas avgjørelse PNV-
2009-07. Saken gjaldt Datatilsynets avslag på søknad om konsesjon til kobling av FHIs tvillingundersøkelse med blant annet Nasjonal utdanningsdatabase, FD-trygd, Dødsårsaksregisteret og Reseptregisteret. I denne saken la Personvernnemnda avgjørende vekt på den informasjonen som ble gitt de registrerte da de samtykket til å delta i tvillingundersøkelsen. Deltakerne ble forespeilet at prosjektet ville vare ut 2003 og at de ville bli kontaktet på nytt for eventuell etterundersøkelse. Nemnda uttaler at: «De registrerte hadde derfor god grunn til å tro at det ikke ville bli forsket på noe annet eller mer enn det de nettopp samtykket til uten at de ville bli kontaktet på nytt

All den tid det ikke ble informert om at deltakernes helseopplysninger skulle inngå i et permanent, nasjonalt helseregister kan tilsynet vanskelig se at samtykket skulle dekke en slik behandling.

Av FHIs søknad av 20. desember 2011 om å opprette Nasjonalt tvillingregister går det også tydelig frem at samtykker som er gitt med tidsbegrensing, eller som er avgitt til konkrete prosjekter, ikke oppfyller kravene som stilles til samtykke i helseregisterloven for registrering av helseopplysninger i et helseregister. Fra søknaden siteres: «Samtykkene som er gitt med en tidsbegrensning eller som er avgitt til et konkret prosjekt, er problematiske og gir et usikkert behandlingsgrunnlag».

I ettertid har FHI imidlertid kommet til at alle samtykker er gyldige. FHI anfører som grunn for dette at noen av deltakerne har avgitt generelle og tidsubegrensede samtykker i etterkant av det opprinnelige samtykket som var tidsbegrenset til 2003. FHI anfører dessuten at det faktum at det ikke er gitt noen informasjon om sletting taler for at helseopplysningene kan oppbevares uten tidsbegrensning.

FHI anfører videre at informasjon som er gjort tilgjengelig for deltakerne via nyhetsbrev og nettsider reparerer eventuelle mangelfulle samtykker. I nyhetsbrev og på nettsidene fremgår det hva person- og helseopplysningene brukes til, resultater fra prosjekter og informasjon om retten til å reservere seg mot at ens helseopplysninger brukes videre til forskning.

Datatilsynet mener at helseregisterloven for det første ikke åpner for generelle (brede) samtykker slik helseforskningsloven til en viss grad gjør. Samtykke etter helseforskningsloven er ment å omfatte også ukjente behandlinger i fremtiden. Dette nettopp for å utvide mulighetene for å forske videre på innhentede opplysninger. Denne åpningen har ikke helseregisterloven. Et samtykke som kan være gyldig etter helseforskningsloven vil dermed ikke nødvendigvis være gyldig etter helseregisterloven.

FHI synes for det andre å være av den oppfatning at informasjon og reservasjonsrett gir tilsvarende behandlingsgrunnlag som et samtykke. Dette er ikke riktig. Samtykke er et behandlingsgrunnlag etter helseregisterloven – informasjon og rett til reservasjon (som FHI kaller «passivt samtykke») er det ikke.

FHI anfører at Datatilsynet har akseptert passivt samtykke som behandlingsgrunnlag tidligere og viser til Helseundersøkelsen i Nord-Trøndelag (HUNT 2). FHI har rett i at det finnes tilfeller hvor Datatilsynet har funnet å kunne gi konsesjon på grunnlag av andre behandlingsgrunnlag enn samtykke, men passivt samtykke er ikke et gyldig behandlingsgrunnlag. Når det gjelder forskning er det nesten uten unntak personopplysningsloven §§ 8 bokstav d) og 9 bokstav h) som er aktuelt som rettslig grunnlag. Etter denne bestemmelsen skal det foretas en interesseavveining mellom samfunnsinteressen og personverninteressen. I en slik kontekst vil det å sette som vilkår at de registrerte skal gis retten til å reservere seg mot at helseopplysningene blir brukt til forskning en måte å minske
personvernulempen. Interesseavveiningen må for øvrig gjøres konkret i hver enkelt sak, og det kan vanskelig trekkes paralleller mellom saker med mindre faktum er likt. Tilsynet kan ikke se at dette er tilfelle med HUNT 2 og Nasjonalt tvillingregister.

5.5 Interesseavveining

For behandling av helseopplysninger om personer som ikke kan sies å ha samtykket til registrering i Nasjonalt tvillingregister anføres det at helseregisterloven § 5, jf. personopplysningsloven §§ 8 bokstav d) og 9 bokstav h) er rettslig grunnlag for registrering.

FHI har i søknaden beskrevet nytten av Nasjonalt tvillingregister. Datatilsynet bestrider ikke nytteverdien av registeret, men skal avveie samfunnsinteressen mot personverninteressene og ulempene det kan medføre for de registrerte. Det må foreligge en klar overvekt i favør av de samfunnsmessige fordelene, jf. personopplysningsloven § 9 h.

Faktorer som typisk vektlegges for å kunne si at personverninteressen er ivaretatt er:
•   kort lagringstid
•   begrenset omfang (få variabler, lite sensitiv informasjon, etc)
•   god identitetsforvaltning, for eksempel tiltak for å skjerme de registrertes identitet
     (psuedonymisering, avidentifisering)

Nasjonalt tvillingregister skal være permanent. Lagringstid kan dermed ikke vektlegges som et moment som ivaretar personverninteressen.

Nasjonalt tvillingregister inneholder mye, og dels svært sensitiv, informasjon om den enkelte registrerte (f eks psykiatri). Omfang kan dermed heller ikke vektlegges som et moment som ivaretar personverninteressen.

FHI har etablert et godt system for identitetsforvaltning i forskningsprosjekter. Identitetsforvaltning kan dermed vektlegges som et moment som ivaretar personverninteressen.

FHI har etter hvert etablert gode kanaler for å gi forskningsdeltakerne informasjon om bruken av helseopplysningene. Jevnlig kontakt med de registrerte og gode informasjonskanaler har i flere tilfeller blitt vektlagt som momenter som taler for at personvernet er ivaretatt på en god nok måte til at personopplysningsloven §§ 8 d 9 h er oppfylt. Informasjon er imidlertid sjelden tilstrekkelig alene – behandlingsansvarlig er uansett forpliktet til å informere de registrerte om den behandling av helse- og personopplysninger som gjøres. For å oppfylle vilkårene personopplysningsloven §§ 8 d 9 h må det noe mer til. I Datatilsynets praksis finnes flere eksempler på at prosjekter med kort varighet og et begrenset omfang variabler, i kombinasjon med god informasjon og god identitetsforvaltning, i sum har blitt ansett for å oppfylle vilkårene.

FHI har etablert et permanent, nasjonalt helseregister på basis av helseopplysninger innhentet i to spørreundersøkelser i 1992 og 1998. Registeret inneholder mye og detaljerte helseopplysninger og andre sensitive personopplysninger om den enkelte, og er ment for bruk til forskning både nasjonalt og internasjonalt.

Datatilsynet står fast ved at deltakerne i spørreundersøkelsene har en berettiget interesse i aktivt å ta stilling til om de vil være registrert i Nasjonalt tvillingregister. God identitetsforvaltning alene er ikke tilfredsstillende for å ivareta personvernet. Heller ikke det faktum at det i senere tid er etablert gode informasjonskanaler. Disse kanalene vil dessuten være best kjent for de som har deltatt i delprosjekter etter 1998, og dette er ikke alle. Samlet sett mener Datatilsynet derfor at samfunnets behov for behandlingen i dette tilfellet må vike for personverninteressene.

5.6 Konsekvenser av krav om samtykke

FHI anfører at forskning på data fra Nasjonalt tvillingregister metodisk sett vil forringes ved at frafallet vil bli høyere dersom det må innhentes samtykker fra de registrerte.

Datatilsynet vurderer dette argumentets vekt som liten sett opp mot ulempen for den enkelte ved ikke selv å kunne bestemme om en ønsker å være registrert i et nasjonalt helseregister som skal brukes til forskning nasjonalt og internasjonalt.

5.7 Forskjellsbehandling

FHI anfører at Datatilsynet opererer med to forskjellige krav til samtykke, og at dette bidrar til uforutsigbarhet i forvaltningen.

For avgjørelsen av hva som er et gyldig samtykke forholder Datatilsynet seg til definisjonen av samtykke i helseregisterloven § 2 nr. 11. For at et samtykke skal være «informert» skal de registrerte ha mottatt den informasjon som blir listet opp helseregisterloven §§ 23 og 24.

Dersom samtykket ikke oppfyller vilkårene i helseregisterloven §§ 2 nr. 11, 23 og 24 må behandlingen søkes basert på et av nødvendighetskriteriene i personopplysningsloven § 8 a-f samt oppfylle et av vilkårene i § 9 b-h.

I konsesjonssaken til UiO var det på det rene at informasjonen som var gitt deltakerne i tvillingregisteret ikke tilfredsstilte kravene i helseregisterloven §§ 23 og 24. Kravene til gyldig samtykke var dermed ikke oppfylt. Når det likevel ble vurdert om konsesjon skulle gis må dette ha vært på et alternativt behandlingsgrunnlag. Det fremkommer ikke av konsesjonen, og heller ikke av de øvrige dokumentene i saken, på hvilket grunnlag konsesjonen er gitt. Datatilsynet mener dette er beklagelig, og erkjenner at det er en svakhet ved vedtaket.

Som nevnt ovenfor er helseregisterloven § 5, jf. personopplysningsloven §§ 8 d 9 h aktuelt rettslig grunnlag for behandling av helseopplysninger i forskningsprosjekter hvor kravene til samtykke ikke er oppfylt. Datatilsynet skal i så fall avveie samfunnsinteressen mot personverninteressene.

Det kommer som nevnt ikke direkte frem av konsesjonsteksten om Datatilsynet har basert konsesjonen på en slik interesseavveining eller hva som i så fall er vektlagt i interesseavveiningen. Det fremgår imidlertid at informasjonen som var gitt deltakerne etter Datatilsynets vurdering ikke fullstendig tilfredsstilte dagens krav. Den informasjonen som deltakerne hadde fått tilsendt ble gjennomgått i forbindelse med konsesjonsbehandlingen, og tydeligvis ansett for å være nokså tilfredsstillende, men altså ikke fullstendig tilfredsstillende. Dette var også begrunnelsen for at det ble stilt som vilkår at deltakerne skulle få mer informasjon i forbindelse med sammenslåingen med FHIs register.

Det er et grunnprinsipp i personvernretten at jo mer inngripende en behandling av personopplysninger anses å være, jo strengere krav stilles til informasjon og samtykke. Deltakerne i UiOs tvillingregister fikk god informasjon i forbindelse med alle tre spørreundersøkelsene, og alle deltakerne fikk samme informasjon. Slik invitasjonen til deltakelse i forskningen var formulert ble det ikke forespeilet at dette var tidsavgrensede studier. Tvert i mot sies det at «Institutt for medisinsk genetikk (arvelighetsforskning) ved Universitetet i Oslo er i gang med en undersøkelse av norske tvillinger og deres etterkommere». Det kan således legges til grunn at deltakerne var innforstått med at dette var forskning som ikke hadde et endepunkt.

De registrerte hadde imidlertid hele tiden forholdt seg til Universitetet i Oslo, så et skifte i ansvarsforhold ville være en endring som utløste enten et krav om samtykke eller mer informasjon. På det tidspunktet konsesjonen ble gitt var det Datatilsynets vurdering at personverninteressen ville bli tilfredsstillende ivaretatt ved at deltakerne fikk informasjon om sammenslåingen med FHI, og mulighet til å reservere seg.

Det ble også presisert at bruk av tvillingregisteret til forskningsprosjekter som kan oppfattes som spesielt inngripende, eller som berører spesielt følsomme områder, vil utløse en plikt til å gi mer detaljert informasjon, jf. personverndirektivets art. 6 bokstav c) og 7 og personopplysningslovens § 11om proporsjonalitet. Bruk av helseopplysningene i tvillingregisteret til forskning på særlig sensitive tema (psykiatri, abort, kjønnssykdommer, HIV etc.) vil dermed kunne bety at nytt samtykke må innhentes eller at mer spesifikk informasjon må sendes ut.

FHI anfører at det innebærer en urimelig forskjellsbehandling av tvillingundersøkelsen ved FHI og tvillingregisteret ved UiO at sistnevnte kun må informere, mens førstnevnte må innhente nye samtykker. Tilsynet vil i det følgende forsøke å forklare hva som begrunner denne forskjellen.

UiOs tvillingregister ble startet opp i 1977 og var opprinnelig en del av det såkalte
«Arvelighetsregisteret» som fikk konsesjon fra Datatilsynet 22.12.82. Tvillingregisteret ble senere skilt ut som en egen tematisk konsesjon etter en lang prosess for å avklare ansvarsforholdene rundt registeret. UiOs tvillingregister besto av deltakernes svar på spørreskjemaer som ble sendt ut til den enkelte i tre omganger, 1977-82, 1978-82 og 1990-98.

Som nevnt ovenfor fikk deltakerne i UiOs tvillingregister god informasjon i forbindelse med alle tre spørreundersøkelsene, og til forskjell fra deltakerne i FHIs tvillingregister har alle deltakerne fått samme informasjon.

Slik UiOs invitasjon til deltakelse var formulert ble deltakerne heller ikke forespeilet at dette var tidsavgrensede studier. Dette i motsetning til ved FHIs informasjon som gir deltakerne en forventning om at forskningsprosjektet skal avsluttes i 2003.

Vedtaket som gjelder UiOs tvillingregister ble dessuten fattet i en tid hvor personopplysningsloven og helseregisterloven var forholdsvis nye lovverk, og er mangelfull hva gjelder begrunnelse for hvorfor hovedregelen om samtykke er fraveket. Vedtaket i saken som gjaldt FHI sitt tvillingregister er grundigere behandlet, basert på konklusjoner fra stedlig kontroll, begrunnet og av nyere dato. Datatilsynet mener vedtaket som gjelder tvillingregisteret hos FHI er den mest riktige fortolkingen av regelverket. Personvernnemndas avgjørelse i saken PVN-2009-09 stadfester etter tilsynets oppfatning også dette.

Oppsummert mener tilsynet at det er gode grunner til å skille mellom tvillingregisteret som opprinnelig kom fra UiO og det som er etablert av FHI. Det kan hende at Datatilsynet i dag ville stilt strengere krav overfor UiO enn tilfellet var i 2007, men dette kan uansett ikke være avgjørende for hvordan tilsynet skal ivareta personvernet for de øvrige registrerte. Vedtaket i saken som gjelder FHIs tvillingregister er etter tilsynets oppfatning mest i tråd med gjeldende rett.

6 Personvernnemndas merknader

Marta Ebbing arbeider ved Folkehelseinstituttet og fratrådte behandlingen av saken som inhabil. Ebbings vararepresentant Anne Forus ble også ansett som inhabil i denne saken og deltok ikke i behandlingen.

Personvernnemnda har forstått at Datatilsynet har gitt konsesjon til FHI for sammenslåing av ulike tvillingregistre til «Nasjonalt tvillingregister» og stilt som vilkår for konsesjonen at deltakerne før sammenslåing, og senest innen 31.12.2012, måtte gis tilfredsstillende informasjon om dette. Datatilsynet ga konsesjonen med forbehold om at de registrertes samtykker var dekkende for FHIs planlagte behandling. Ved et senere stedlig tilsyn fikk FHI pålegg fra Datatilsynet om å dokumentere at deltakerne i de opprinnelige tvillingprosjektene hadde samtykket til å bli registrert i Nasjonalt tvillingregister. FHI har anført at samtykkene som er gitt i de ulike tvillingundersøkelsene er dekkende også for registrering av tvillingenes helseopplysninger i det nasjonale tvillingregisteret. Subsidiært har FHI anført at konsesjon uansett kan gis på grunnlag av personopplysningsloven §§ 8 bokstav d) og 9 bokstav h).

Nemnda ser at de ulike samtykkeskjemaene fra tvillingundersøkelsene har ulike tidsangivelser. Det er angitt forskjellig varighet i de forskjellige skjemaene fordi det har vært tale om ulike prosjekter med ulike formål. For eksempel er et prosjekt fra «Folkehelsa» kalt «Helse hos tvillinger» (udatert) definert til å vare ut år 2003. I samtykkeerklæringen for «blodprøvene ved Tvillingundersøkelsen ved Folkehelsa» er det oppgitt at blodprøvene kan lagres «for senere analyser, inntil 10 år». Det samme står i samtykkeskjema for «DNA delen av Tvillingundersøkelsen», hvor det fremgår at «materialet kan oppbevares i 10 år». FHI har også sendt ut et generelt informasjonsbrev hvor det informerer om at man skal koble tvillingopplysningene med FD-trygd (en forløpsdatabase med opplysninger om trygdeforhold), SSB og nasjonal utdanningsdatabase – uten å be om samtykke, bare med opplysning om reservasjonsadgangen. Nemnda har ikke gått nærmere inn på spørsmålet om behandlingsgrunnlag for sistnevnte kobling, men kan ikke se at det er dokumentert at det foreligger samtykke eller annet behandlingsgrunnlag.

I 2009 overtok FHI ansvaret for oppbevaring av undersøkelsene etter at dette delvis hadde ligget under Universitetet i Oslo, FHI og Ullevål Universitetssykehus HF. Sammenslåingen dannet utgangspunktet for oppbyggingen av Nasjonalt tvillingregister. Problemstillingen for nemnda er om deltakerne i de ulike tvillingundersøkelsene i de forskjellige prosjektene har samtykket til slik sammenslåing eller om konsesjon kan gis med hjemmel i personopplysningsloven §§ 8 d) og 9 h).

De ulike tvillingforskningsprosjektene er beskrevet i samtykkeskjemaene. I flere av skjemaene er det uttrykkelig angitt oppbevaringstid eller prosjektslutt. Noen av prosjektbeskrivelsene er snevert angitt, for eksempel «luftveissykdommer» eller «kullsyre-toleranse og angstreaksjoner». Etter nemndas syn gir dette deltakerne en begrunnet forventning om at de deltar i et enkeltstående forskningsprosjekt som skal avsluttes innen viss tid og har et spesifikt formål. Det kan ikke utelukkes at dette kan ha vært avgjørende for tvillingen som har samtykket til deltakelse i prosjektet. En uttrykkelig oppbevaringstid og sluttdato spesifisert i et samtykkeskjema skal overholdes.

Etter nemndas syn kan man ikke argumentere for at dette er ny bruk av lovlig registrert materiale. Lovligheten falt bort etter 10 år – eller ved prosjektslutt – da dette var eksplisitte forutsetninger for forskningsprosjektet.

Når det senere skjer en sammenslåing av flere registre under en felles konsesjon og en administrasjon, ble konsesjon gitt på betingelse av at FHI skulle rydde opp i de ulike samtykkene. Etter hva nemnda kan se er dette ikke blitt gjort idet FHI har argumentert for at samtykke til slik sammenslåing og oppbevaring i et nasjonalt register kan utledes av de opprinnelige samtykkeerklæringene. Nemnda er ikke enig i at alle samtykkeerklæringene kan tolkes dithen. Dette gjelder særlig de prosjekter som er eksplisitt tidsbegrenset og som har spesifikke forskningsformål. Etter nemndas syn er ikke vilkåret i påleggspunkt nr 2 («Før konsesjonen anses gyldig skal FHI kunne dokumentere at deltakerne i FHI sitt opprinnelige tvillingprogram har samtykket til å bli registrert i Nasjonalt tvillingregister») dokumentert oppfylt av FHI i denne saken. Slik nemnda ser det må det innhentes nye samtykker fra deltakerne i noen av prosjektene. Nemnda kan ikke se at deltakere i de opprinnelige tidsbegrensede og formålsbestemte tvillingprosjektene har avgitt samtykke, opprinnelig eller senere, til å bli registrert i Nasjonalt tvillingregister. Konsesjonen kan således ikke anses gyldig ved bare å hevde at opprinnelige samtykker dekker sammenslåingen.

FHI har subsidiært anført at konsesjon kan gis med hjemmel i personopplysningsloven §§ 8 bokstav d) og 9 bokstav h). Etter nemndas syn bygger en vurdering etter § 8 d) og § 9 h) på en faktisk situasjon; at det foreligger et lovlig innsamlet datasett, for eksempel ved at det ligger et samtykke i bunnen. Dersom behandlingsgrunnlaget er samtykke og samtykkenes gyldighet er utløpt som følge av en tidsbegrensning angitt i samtykkeskjemaet, foreligger det ikke et lovlig innsamlet datasett. Dette vil dermed utelukke at man kan oppbevare et tidsbegrenset datasett med hjemmel i § 8 d) eller § 9 h). Det kan imidlertid stille seg noe annerledes for de prosjekter som ikke er tidsbegrenset, men som har et spesifikt bestemt formål. Utgangspunktet er likevel at det opprinnelige behandlingsgrunnlaget danner rammen for hva opplysningene kan benyttes til. Det vil kunne uthule samtykket som behandlingsgrunnlag dersom man kunne innhente opplysninger til et bestemt prosjekt ved samtykke for deretter å oppbevare dette til andre og nye formål med hjemmel i §§ 8 d) og 9 h).

De opprinnelige prosjektene var relativt spesifikk forskning, med konkrete prosjektbeskrivelser, mens det nasjonale registeret er et permanent register som skal brukes til ulike formål, herunder men ikke begrenset til helseforskning. Vi vet derfor ikke i dag hva formålene vil være for fremtiden. De nye formålene er således for lite spesifikke til at vi kan vurdere om de er forenlige med det opprinnelige formålet.

Nemnda er kommet til at de prosjektene som er spesifikke, konkrete og tidsavgrensede er utløpt og at det må det innhentes nye samtykker til sammenslåingen.

Klager har også påklaget punkt 3 om at konsesjonen bare gir adgang til lagring av datasettene slik de fremstår på tidspunktet for søknaden. Det er følgelig ikke adgang til å tilføre registeret nye opplysninger. Etter nemndas syn vil det som er beskrevet i samtykkeerklæringene og prosjektbeskrivelsene i informasjonsbrevene til deltakere være førende for hvilken adgang det er til å tilføre registeret nye opplysninger. For de datasettene som lovlig kan overføres til det sentrale registeret må samtykkeerklæringene tolkes for å avgjøre om samtykkene er brede nok til å omfatte tilføring av nye opplysninger. Etter hva nemnda kan se sier ikke samtykkene noe om koblinger. Tilføring av nye opplysninger vil være en utvidelse av registeret, enten dette gjøres ved kobling med andre registre eller ved nye analyser av innsamlede blodprøver. Nemnda er enig med tilsynet i at dette krever konsesjon. Nemnda merker seg at klager har anført at man vil analysere blodprøvene på nytt og at dette ikke er en utvidelse av registeret – bare en analyse av tilstedeværende innhold. Nemnda er ikke enig i det resonnementet. Blodprøver er ikke en del av registeret. Biologisk materiale er ikke data i seg selv og kan ikke være en del av registeret. Nemnda vil derfor skille mellom de prosjekter hvor det er gitt samtykke til oppbevaring av blodprøven i 10 år – da ligger det implisitt samtykke til analyse i 10 år – og øvrige prosjekter. Når tiden er utløpt kan det ikke foretas analyser av blodprøvene. Tilføring av tilleggsopplysninger er her ikke kobling med andre registre, men tilføring av nye analyseresultater på samme materiale. Det er tillatt så lenge det biologiske materialet lovlig kan oppbevares. I de prosjekter hvor det ikke er angitt noen tidsbegrensning kan nye analyser foretas. Opplysninger og materiale kan imidlertid ikke behandles til andre formål enn det samtykket omfatter – for eksempel i prosjektet vedrørende kullsyre-toleranse og angst, jf personopplysningsloven § 11 c). All tilførsel av nye opplysninger og analyseresultater til registeret må være i samsvar med samtykket som er gitt av deltakerne. Nemnda viser til Datatilsynets resonnement og tiltrer dette.

7 Vedtak

Klagen tas ikke til følge.

 

 

Oslo, 23. april 2014

Eva I E Jarbekk
Leder