Personvernnemndas avgjørelse av 27. september 2012 (Eva I. E. Jarbekk, Arve Føyen, Ørnulf Rasmussen, Tom Bolstad, Leikny Øgrim, Gisle Hannemyr, Jostein Halgunset)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets avslag på søknad om konsesjon til å behandle personopplysninger i forskning i forbindelse med hovedoppgave om «Barn med påførte dødelige skader – hva gjør helsevesenet og rettsvesenet».
2 Saksgang
Datatilsynet Datatilsynet hadde tilsyn med Rettsmedisinsk institutt ved Universitetet i Oslo (heretter «RMI») 12.11.2010. Da ble det avdekket at RMI behandlet sensitive personopplysninger i forskningsprosjektet «Barn med påførte dødelige skader – hva gjør helsevesenet og rettsvesenet» uten at det var søkt om konsesjon.
Datatilsynet anbefalte RMI å søke konsesjon. RMI søkte om konsesjon 13.1.2011. Den 29.3.2011 avslo Datatilsynet søknaden om konsesjon.
Avslaget ble påklaget 11.5.2011. Riksadvokaten uttalte seg i saken i brev av 23.9.2011.
Saken ble oversendt Personvernnemnda 4.1.2012, som mottok saken 6.1.2012. Klager ble orientert om dette i brev fra nemnda datert 19.1.2012, med frist til uttalelse innen 6.2.2012. Folkehelseinstituttet sendte sine kommentarer til saken til Personvernnemnda i brev av 31.1.2012.
3 Faktum
Søknaden gjaldt innsamling og behandling av sensitive personopplysninger i forbindelse med et prosjekt som skulle gjennomføres som en hovedoppgave for en medisinstudent. Temaet var fatal barnemishandling. Saker fra 1979 til 2008 var undersøkt. Studenten skulle sammenligne behandlingen av barnesakene i rettsapparatet med den behandlingen tilsvarende saker med voksne ofre får.
Formålet var å bidra til økt kunnskap om fatal barnemishandling for å kunne drive forebyggende arbeid og styrke barns rettssikkerhet. Det var ikke opplyst hvor mange saker vedrørende voksne ofre som var undersøkt. Det var ikke opplyst hvor opplysningene om voksne ofre ble hentet fra.
Grunnlagsmaterialet for prosjektet er gjennomgang av rettsmedisinske obduksjonsrapporter som omhandler barn med påførte dødelige skader. Obduksjons-rapportene er ikke fullstendige med hensyn til resultat av den rettslige behandlingen av straffesaken. Det er derfor gjort henvendelser til politidistrikter for informasjon om utfallet av politiets etterforskning.
Da RMI mottok informasjon fra politiet ble opplysningene avidentifisert og gitt et løpenummer. Medisinstudenten har kun forholdt seg til løpenummeret. Løpenummeret har en kobling mot RM-nr som forskningsansvarlig (veileder i prosjektet) oppbevarer og har tilgang til.
4 Klagers anførsler
Klager påpeker at det ble uttalt fra Datatilsynet at det var mulig å søke om konsesjon med tilbakevirkende kraft for prosjektet da det ble oppdaget at prosjektet manglet konsesjon.
RMI misforsto rettstilstanden etter innføringen av helseforskningsloven i 2009. RMI trodde at helsefaglig forskning nå skulle få «én postkasse» – hos REK – i motsetning til tidligere hvor man måtte søke om tillatelser fra REK, Datatilsynet/personvernombudet og Helsedirektoratet. RMI beklager misforståelsen og konstaterer nå at forskning på helseopplysninger fra straffesaker ikke ble omfattet av lovgivers opprydding i 2009.
I denne saken har REK og riksadvokaten opphevet taushetsplikten. RMI mener at tillatelsene fra REK og riksadvokaten dekker innhenting av opplysningene fra politidistriktene (politirapportene). RMI har ikke gått ut over de tillatelser som er gitt ved å be politidistriktene utlevere disse opplysningene.
RMI er uenig i at opplysningene som innhentes fra politidistriktene er mer sensitive enn det som det gis inntrykk av i utfyllende skjema fra RMI til REK. RMI mener at dette kan sammenlignes med at det bak hovedgruppen «kjønn» finnes undergruppene «mann» og «kvinne».
RMI mener at det foreligger rettslig grunnlag for å gi konsesjon, jf personopplysningsloven § 8 bokstav d og f og § 9 bokstav h. Prosjektet har dessuten allerede et rettslig grunnlag i straffeprosessloven § 61e. Dessuten er det en oppgave av allmenn interesse, jf personopplysningsloven § 8 bokstav d. Prosjektet er vurdert av riksadvokaten og Rådet for taushetsplikt og forskning. Dette er svært kompetente instanser som har vurdert prosjektets samfunnsinteresse opp mot personvernhensyn.
RMI anfører at det er store betenkeligheter ved å stille krav om samtykke fra den eller de «registrerte». Det er åpenbare praktiske problemer – det kan dreie seg om en rekke registrerte som knapt har noen interesse i eller tilhørighet til saken – og den viktigste innvendingen er at straffesaksopplysninger tilhører i større grad samfunnet enn den registrerte. Det kan virke støtende om gjerningspersoner gis mandat til å stanse forskning på drap.
RMI fremhever at godkjenningsinstanser som er gitt et særlig mandat til å vurdere forskning på straffesaksopplysninger, Riksadvokaten og Rådet for taushetsplikt og forskning, har godkjent søknaden.
5 Kommentarer fra Folkehelseinstituttet
Folkehelseinstituttet (FHI) kommenterer at Datatilsynet legger stor vekt på argumentasjonen i en avgjørelse fra medisinsk og helsefaglig forskningsetikk som ikke gjelder denne saken, mens Datatilsynet unnlater å hente argumentasjon fra tilsvarende vurdering i denne sak, nemlig REKs godkjennelse av forskningsprosjektet.
Avgjørelsen fra NEM som Datatilsynet viser til har fått en viktig presisering i en nyere avgjørelse. NEM uttaler i sak 2011/6 at «det er en vesensforskjell mellom helsesektoren som primært skal ivareta tillit overfor pasienter og rettsvesenet som skal ivareta tillit overfor offentligheten. Det innebærer at samfunnet har krav på mer åpenhet rundt prosessene i retten enn i en lege/pasient-relasjon».
Alle aktuelle instanser har registrert at søknaden omhandlet opplysninger ut over obduksjonsrapportene. I oversendelsesbrevet tolker Datatilsynet riksadvokatens dispensasjon til kun å gjelde obduksjonsrapportene. Av riksadvokatens egen kommentar til klagen fremgår det at riksadvokaten samtykket til «at det ble gitt innsyn i ca 60 obduksjonsrapporter fra tidsperioden 1979-2008, og samtykke til å innhente ytterligere opplysninger fra påtalemyndigheten».
FHI beklager at det ikke ble søkt om konsesjon. Det er redegjort for årsaken til dette i klagen. Det vises til den forhåndskontroll REK, riksadvokaten og Rådet for taushetsplikt og forskning har gjennomført. Forskningsprosjektet har rettslig grunnlag i straffeprosessloven § 61e.
6 Kommentar fra Riksadvokaten
Riksadvokaten uttaler at saksfeltet som er knyttet til konsesjonsspørsmålet har de senere år vært viet betydelig oppmerksomhet ved Riksadvokatembetet. Forskningsprosjektet har etter riksadvokatens syn betydelig allmenn interesse, og kan bidra til å styrke barns rettssikkerhet på et område som stiller politiet og påtalemyndigheten overfor betydelige utfordringer. Riksadvokaten gir uttrykk for forståelse og anerkjennelse for klagen til Personvernnemnda som er inngitt fra RMI i saken. Det vises til at så vel Rådet for taushetsplikt og forskning og riksadvokaten samtykket til dispensasjon fra taushetsplikten i anledning prosjektet.
7 Datatilsynets vurdering
Datatilsynet fremhever at samtykke er hovedregelen for behandling av personopplysninger. Tilsynet viser til lovens forarbeider hvor det fremheves at behandlingen i størst mulig utstrekning bør baseres på samtykke fra den registrerte. Datatilsynet viser til at Personvernnemnda har støttet dette synspunktet blant annet i PVN-2004-01 («STAMI-saken»). Hensynet til den enkeltes autonomi utgjør et hovedprinsipp etter personverndirektivet. Det finnes tilsvarende hovedregel om samtykke fra den registrerte for behandling av sensitive personopplysninger til forskningsformål etter både helseregisterloven og helseforskningsloven.
I denne saken er det ikke innhentet samtykker fra de registrerte. Det faktum at ikke alle som blir spurt om å stille opp i et forskningsprosjekt sier ja, er ikke et argument som tilsier at samtykkeinstituttet omgås ved å registrere alle uten å be om samtykke. Retten til å si nei er et av personopplysningslovens grunnfundamenter (sic). Tilsynet savner dokumentasjon for at samtykke vil være en belastning for den enkelte og i seg selv en ulempe.
Datatilsynet viser til en avgjørelse fra NEM av 8.10.2009 om forskning på partnerdrap hvor NEM fant det etisk forsvarlig å innhente samtykke. NEM uttalte at en mulig reaktivering av vonde minner kan ikke være et argument mot å la samtykkekompetente mennesker ta stilling til om forskere skal få innsyn i de sensitive opplysningene som er knyttet til disse minnene.
I denne saken vil Datatilsynet peke på at det ikke er tale om å forske på en ensartet gruppe. Gruppen omfatter personer som har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, samt personer som ikke er dømt, og som er frikjente.
Datatilsynet har vurdert behandlingsgrunnlag i personopplysningsloven § 8 bokstav d og f og § 9 bokstav h. Tilsynet mener at behandlingsgrunnlag foreligger i personopplysningsloven § 8 bokstav d og må derfor vurdere § 9 bokstav h. Behandlingen må være nødvendig og samfunnets interesse må klart overstige ulempene for den enkelte.
Datatilsynet bemerker at opplysningene som innsamles fra politidistriktene er mer sensitive enn det gis inntrykk av i utfyllende skjema fra RMI til REK. Det er tale om sensitive personopplysninger. Datatilsynet legger til grunn at det vil bli kjent hvor i landet opplysningene er hentet fra. Det er selvmotsigende å anføre at den registrerte verken skal samtykke eller få informasjon fordi dette er så belastende, samtidig som det vises til at målet er å få trykt artikler og at enkelte vil gjenkjenne saken sin i media fordi det dreier seg om så få saker.
Det er grunn til å tro at prosjektet vil få stor medieinteresse fordi den offentlige interessen knyttet til barnedrap er stor. At studien først blir kjent gjennom media, uten at den registrerte verken har samtykket eller er blitt informert, er ekstra graverende.
Tilsynet legger vekt på at det i obduksjonsrapporten kan finnes sensitive opplysninger om den døde og tredjepersoner som ikke er meddelt direkte i åpen rett.
Samfunnsnytte er ikke i seg selv et argument for å unnlate samtykke. Datatilsynet finner at oppgaven har et godt formål. Dette må veies opp mot personvernulempene for de registrerte. Tilsynet kan ikke finne at søker har dokumentert samfunnsnytten i tilstrekkelig grad. Tilsynet betviler at et så omfattende forskningsprosjekt med til dels svært sensitive opplysninger har den tyngden som er nødvendig for å veie opp for de klart negative personvernkonsekvensene denne anses å ha for den enkelte registrerte.
Datatilsynet kan ikke se at det foreligger hjemmel for innhenting av opplysninger fra politidistriktene som går ut over det som følger av obduksjonsrapporten. Datatilsynet forstår tillatelsen slik at det gis tillatelse til å innhente ytterligere opplysninger der obduksjonsrapporten ikke er fullstendig, ikke tillatelse til å innhente opplysninger som går ut over det som er naturlig å finne i en obduksjonsrapport.
Datatilsynet påpeker at det er uakseptabelt at en så sentral og viktig virksomhet ikke har utarbeidet klare rutiner for innhenting av nødvendige tillatelser. Dette kan også gå ut over medisinstudenten, som kan risikere ikke å få levere hovedoppgaven sin. Prosjektet mangler rettslig grunnlag og det kan ikke gis konsesjon. Datatilsynet viser til hoftebruddprosjektet hvor NEM fant at prosjektene ikke kunne fullføres til tross for at stipendiatene ikke var å klandre for at alle tillatelser ikke var gitt.
Personopplysningsloven § 20 første ledd oppstiller hovedregelen om at det skal varsles og hva det skal informeres om, jf § 19 bokstavene a til e. Varsel er ikke påkrevd dersom varsling er umulig eller uforholdsmessig vanskelig. I denne saken har de registrerte nytte av å bli varslet. Det er tale om et lite antall personer. Det kan ikke være problematisk å finne ut hvor folk har flyttet. Datatilsynet viser også til PVN-2009-07.
I denne saken er også personopplysningsloven § 23 bokstav f anført. Bestemmelsen har strenge vilkår og disse er ikke oppfylt her. Åpenhet og informasjon om forskning er sentrale personverninteresser.
Overtredelse av informasjonsplikten er straffesanksjonert, jf personopplysningsloven § 48. Datatilsynet har ikke foretatt noen vurdering av dette i denne saken.
Den manglende overholdelse av informasjonsplikten trekker også i retning av at man ikke kan gi konsesjon med tilbakevirkende kraft. Informasjonsplikten er relevant i vurderingen av samtykke som behandlingsgrunnlag. De praktiske problemene med å innhente samtykke reduseres når det uansett foreligger en informasjonsplikt. Samtykke- og informasjonsskriv kunne vært sendt ut til utvalget i samme forsendelse.
Datatilsynet tar til etterretning at andre instanser har vurdert at det kan gis dispensasjon fra taushetsplikten. Tilsynet vurderer imidlertid søknaden ut fra personopplysningsloven og tilsynets forståelse av den loven.
Konklusjonen er at vilkårene ikke er til stede for å gjøre unntak fra hovedregelen om samtykke. Prosjektet har et godt formål, men det finnes ikke andre rettslige grunnlag for behandlingen enn samtykke. Dersom konsesjonssøknaden hadde blitt sendt til Datatilsynet i riktig tid, ville konklusjonen vært den samme. Det er derfor ikke mulig å reparere den ulovlige innsamlingen og behandlingen i ettertid.
8 Personvernnemndas merknader
Personvernnemnda skal ta stilling til om det foreligger behandlingsgrunnlag for en rettsmedisinsk studentoppgave. Prosjektet gjelder barn med påførte dødelige skader og en undersøkelse av hva helsevesenet og rettsvesenet gjør i den forbindelse. Studenten vil sammenligne behandlingen barnesakene får i rettsapparatet med den behandlingen tilsvarende saker med voksne ofre får.
Omfanget er på ca 60 barn som har omkommet som følge av påført ytre skade i perioden 1979 – 2008. Mange av sakene vil antakeligvis være alminnelig kjent i offentligheten. Studenten har fått samtykke til å bruke obduksjonsrapporter i arbeidet. Det er ikke omtvistet. Obduksjonsrapporter inneholder opplysninger om døde personer og da kommer ikke personopplysningsloven til anvendelse. Problemstillingen gjelder bruk av politirapporter. Helseforskningsloven og helseregisterloven får ikke anvendelse på bruk av personopplysninger fra politirapporter. Slik behandling reguleres av personopplysningsloven.
Samtlige data er avidentifisert – også for studenten som skriver oppgaven. Opplysningene skal bli brukt i statistikk. Ingen navn eller fødselsnummer vil bli publisert. Man kan ikke utelukke at allmennheten i enkelte tilfeller kan gjenkjenne den enkeltes identitet ved å koble opplysninger fra studentoppgaven med allerede kjent informasjon. Alle personopplysninger som studenten blir kjent med under arbeidet vil imidlertid være omfattet av studentens taushetsplikt og nemnda legger til grunn at taushetsplikten vil bli respektert.
Det er planlagt at studien i første omgang skal være en prosjektoppgave for en medisinstudent. I neste omgang vil resultatene bli søkt publisert i internasjonalt tidsskrift eller i Tidsskrift for Den Norske Legeforening. Ved prosjektslutt vil innhentede opplysninger fra påtalemyndigheten bli oppbevart i arkiv på rettsmedisinsk institutt. Bearbeidet materiale på studentens pc vil bli slettet.
Datatilsynet synes å legge til grunn at behandlingsgrunnlag som hovedregel skal være samtykke. Nemnda skal bemerke at etter en naturlig språklig forståelse av lovteksten i personopplysningsloven § 8 fremstår de ulike behandlingsgrunnlagene (samtykke, lov eller nødvendig) som likeverdige. I forarbeidene fremheves det riktignok at man «bør» forsøke å innhente samtykke, men nemnda kan ikke se at det dermed foreligger en hovedregel om samtykke, selv om nemnda ser at samtykke i det store antall saker likevel vil være det mest aktuelle behandlingsgrunnlag fordi de øvrige behandlingsgrunnlag fremstår med et snevrere anvendelsesområde. Uttalelsen i forarbeidene anses ikke som en rettslig normering, men som en hensiktsmessighetsbetraktning. Rettslig sett må de ulike behandlingsgrunnlagene derfor behandles som likestilte. Nemnda viser også til Personverndirektivet (95/46 EF) artikkel 7, samt til artikkelen «Vurdering af Personvernnemndas praksis 2001-2008» av Peter Blume (Complex 3/2009) hvor det ble rettet en viss kritikk mot nemnda for å ha lagt for stor vekt på samtykke som behandlingsgrunnlag. Blume uttaler på side 13 at «Direktivet (artikel 7 og artikel 8, stk 2) giver ikke efter min vurdering, modsat som indiceret bl.a. i nævnets afgørelse i PVN 2004/01, samtykke forrang».
I denne saken er det kun bruken av personopplysninger fra politirapporter som er bestridt. Riksadvokaten har gitt tillatelse til innsyn i ca 60 obduksjonsrapporter, jf straffeprosessloven § 61 e. Rådet for taushetsplikt og forskning og den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) har godkjent forskningsprosjektet og gitt dispensasjon fra taushetsplikten, jf helsepersonelloven § 13 d. Riksadvokaten har uttalt i et senere brev at det var meningen å gi tillatelse til å innhente opplysninger fra påtalemyndigheten, ikke bare for bruk av obduksjonsrapport. Nærmere bestemt ga riksadvokaten samtykke «for det tilfellet at det er behov for å innhente ytterligere opplysninger fra påtalemyndigheten».
Behandlingsgrunnlag for bruk av personopplysninger i politirapporter må finnes i personopplysningsloven. Datatilsynet har konkludert med at behandlingsgrunnlag må være samtykke fra de registrerte i denne saken. Tilsynet har anført at selv om materialet ikke inneholder personnavn vil publikum (lesere av en eventuell publikasjon eller rapport, eller lesere av resultatene av prosjektet) likevel, ved at slike saker er kjente via medieomtale, gjenkjenne enkeltsaker og dermed identifisere enkeltpersoner.
Personvernnemnda ser annerledes på saken. Nemnda legger til grunn at kun aggregerte data, ikke kasuistikk, blir publisert. Dette vil igjen gjøre det forutsetningsvis umulig å gjenkjenne enkelttilfeller. Nemnda legger til grunn at en forskningsrapport vil evaluere politiets handlemåter under etterforskning, men at taushetsplikten vil bli respektert hva gjelder omtale av den enkelte sak. Det er opplysninger om mistenkte, tiltalte, dømte etc som er personopplysninger. Opplysninger om døde personer er ikke omfattet av personopplysningsloven. Opplysninger om barnet er derfor ikke omfattet av personopplysningsloven. Taushetsplikten omfatter imidlertid også avdøde personer.
Når det gjelder behandlingsgrunnlaget, mener nemnda at dette finnes i personopplysningsloven § 8 bokstav f og § 9 bokstav h. Etter § 8 bokstav f kan personopplysninger behandles dersom det er «nødvendig for å ivareta en berettiget interesse og hensynet til den registreres personvern ikke overstiger denne interessen». Det følger av personopplysningsloven § 9 h at samfunnets interesser i at behandlingen finner sted må «klart overstige» ulempen det kan medføre for den enkelte. Nemnda legger vekt på at forskning på dette feltet har en betydelig samfunnsmessig interesse. Det er av stor betydning for samfunnet at det åpnes for forskning på barnedrap. Økt kunnskap om fatal barnemishandling og statistikk på dette området vil kunne være av avgjørende betydning for å kunne arbeide med forebygging og for å kunne styrke barns vilkår og rettssikkerhet. Datatilsynet er av den oppfatning at samfunnsnytten ikke oppveier personvernulempene for den enkelte. Personvernnemnda er ikke enig i dette syn. Tvert imot er nemnda av den oppfatning at de samfunnsmessige gevinstene ved dette prosjektet veier klart tyngre enn de eventuelle negative reaksjonene hos de registrerte forbundet med at deres personopplysninger blir brukt i forskning. De eventuelle personvernulempene i denne saken er små i og med at det bare er aggregerte data som vil bli publisert og offentliggjort, jf prosjektbeskrivelsen. Opplysningene vil bli avidentifisert og gitt et løpenummer. Nemnda har forutsatt at taushetsplikten vil bli respektert når studenten bruker dataene. Dermed kan ikke nemnda se at personvernulempene for de registrerte er spesielt store i denne saken, selv om det forståelig nok er belastende at opplysninger om en mulig befatning med drap blir brukt i forskning.
Nemnda er enig med REK at personvernulempene er små i dette prosjektet og at samfunnsnytten klart overstiger de eventuelle ulempene. Etter nemndas syn kan man ikke i denne saken legge avgjørende vekt på den mulige personvernulempe for de registrerte som foreligger ved at noen kan koble til virkelige personer ut fra publisering av en forskningsrapport med opplysninger fra medieomtale. Det er nemndas oppfatning at denne faren må tillegges liten vekt i forhold til samfunnets interesse i at det blir forsket på dette temaet.
Datatilsynet har vist til to saker fra Den nasjonale forskningsetiske komité for medisin og helsefag (NEM). Det gjelder NEM-sak 8.okt 2009 og NEM-sak 2011/6. Personvernnemnda kan ikke se at sakene er relevante for nærværende sak. Begge saker gjaldt bruk av rettspsykiatriske erklæringer uten å innhente samtykke fra de registrerte. I nærværende sak er det tale om å bruke politirapporter.
NEM-saken fra 2009 dreide seg om «Partnerdrap i Norge 1980-2008 – En kartlegging av risikofaktorer og rettslige utfall». NEM opprettholdt REKs vedtak og avviste prosjektet slik det var fremlagt. Saken gjaldt bruk av rettspsykiatriske erklæringer uten å innhente samtykke fra de registrerte. NEM hadde dog ingen innvendinger mot bruk av rettskraftige dommer eller KRIPOS’ arkiv.
Saken fra 2011 dreide seg også om innsyn i de rettspsykiatriske erklæringene. Prosjektet het «Partnerdrap i Norge – en kvalitativ analyse av et utvalg partnerdrap begått 2003-2009». NEM forkastet klagen med den begrunnelse at «prosjektsøknaden i nåværende form holder for svakt vitenskapelig nivå til at den forventede samfunnsnytten kan vurderes». NEM uttalte seg likevel om samtykke og ga prosjekteier medhold i at selv om det ikke ville være praktisk vanskelig å innhente samtykke i den saken, ville det bli vanskelig å få et tilfredsstillende utvalg ved en samtykkebasert prosedyre. Vilkåret om at innhenting av samtykke ville være vanskelig var derfor oppfylt i dette tilfellet. NEM uttalte også at den «deler klagers syn på at det er en vesensforskjell mellom helsesektoren som primært skal ivareta tillit overfor pasienter og rettsvesenet som skal ivareta tillit overfor offentligheten. Det innebærer at samfunnet har krav på mer åpenhet rundt prosessene i retten enn i en lege/pasient-relasjon».
Personvernnemnda legger til grunn at det kun vil være en liten minoritet samtykker til at man kan forske på ens mulige befatning med drap, jf NEM-sak 2011/6 (partnerdrap). Nemnda mener at denne saken i så måte skiller seg fra PVN-2009-06 Kreftregisterets mammografiprogram, hvor nemnda fant at det måtte innhentes samtykke. I den saken gjaldt det oppbevaring av opplysninger om personer som ikke hadde fått påvist kreft (negative funn) og kreftregisterforskriften var klar på at negativt funn skulle slettes etter senest seks måneder, med mindre den registrerte samtykket til at opplysninger registreres permanent.
Datatilsynet har uttalt at samfunnsnytten ved dette prosjektet ikke er dokumentert i tilstrekkelig grad. Nemnda er ikke enig i det. For det første legger nemnda vekt på REKs vurdering, hvor det fremkommer at prosjektet har stor samfunnsnytte. REK har vurdert saken og har uttalt at prosjektet er av vesentlig interesse for samfunnet. REK har dessuten funnet at prosjektet er av tilfredsstillende vitenskapelig kvalitet. REK påpeker også at faren for gjenkjennelse er liten («avdramatisert») da resultatet fra studien kun skal gjengis som statistikk.
Datatilsynet har uttalt at man tror at det vil bli publisert identifiserte casestudier som vil bli gjenkjent og således vil kunne identifisere partene som var involvert – slik som tiltalte, siktede, domfelte eller frikjente. Personvernnemnda kan ikke se at det er dekning for dette i prosjektbeskrivelsen. Etter nemndas syn er det uansett mulig å innvilge konsesjon på vilkår av at kasuistikk, casestudier, omtale av mindre grupper mv som gjør det mulig å identifisere enkeltpersoner, ikke kan publiseres.
Oppsummeringsvis er nemnda kommet til at samfunnsnytten er betydelig og overstiger klart personvernulempene for de registrerte. Vilkårene i personopplysningsloven § 8 bokstav f, jf § 9 bokstav h, er oppfylt når kun aggregerte data vil bli publisert og taushetsplikten etter forvaltningsloven § 13e opprettholdes.
Når det gjelder informasjonsplikten etter personopplysningsloven § 20, har behandlingsansvarlig (veilederen i prosjektet) en plikt til å informere de personer hvis personopplysninger studenten vil behandle. Det vil si at de som har krav på informasjon er de personer hvis personopplysninger vil bli behandlet elektronisk i forskningen. Det er 60 barnedrap det dreier seg om i denne saken og nemnda kan ikke se at det er umulig eller uforholdsmessig vanskelig å varsle de personer som studenten vil behandle personopplysninger om, jf personopplysningsloven § 20 annet ledd bokstav b. Nemnda er derfor kommet til at behandlingsansvarlig må sende informasjonsbrev til de aktuelle personer.
9 Vedtak
Klagen tas til følge. Behandlingsgrunnlag foreligger etter personopplysningsloven § 8 bokstav f og § 9 bokstav h. Informasjon etter personopplysningsloven § 20 må gis.
Oslo, 27. september 2012
Eva I E Jarbekk
Leder