PVN-2014-21 Norsk brannskaderegister

Personvernnemndas avgjørelse av 26. mai 2015 (Eva I E Jarbekk, Arve Føyen, Ørnulf Rasmussen, Nina Melsom, Marta Ebbing, Ann R Sætnan, Gisle Hannemyr)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets vilkår i konsesjon.

2 Saksgang og faktum

Helse Bergen HF sendte i brev av 12.7.2013 søknad om konsesjon for behandling av helseopplysninger i Norsk Brannskaderegister til Datatilsynet. Norsk Brannskaderegister er et nasjonalt medisinsk kvalitetsregister for pasienter med brannskader. Formålet med registeret er å sikre dokumentasjon av behandlingsresultater og gjennom systematiserte målinger bidra til at medisinsk behandling av pasienter med brannskader kan gjennomføres på best mulig måte. Registeret har som mål å danne basis for senere kvalitetsforbedring og forskningsprosjekter. Data skal registreres fra skaden inntreffer og gjennom hele behandlingsforløpet.

Datatilsynet ga i vedtak av 22. oktober 2013 delvis innvilgelse av søknad om konsesjon. Datatilsynets avslag var knyttet til innhenting av nye opplysninger fra registrerte barn når de fyller 16 år og til plikten til å gi de registrerte informasjon om hvordan data blir brukt i Norsk Brannskaderegister.

I epost av 27. november 2013 påklaget Helse Bergen HF den delen av Datatilsynets avslag som var knyttet til plikten til å gi informasjon til de registrerte. Samtidig opplyste Helse Bergen HF at de ville innrette seg etter Datatilsynet forutsetning om at det må innhentes samtykker fra barn når de fyller 16 år.

I vedtak datert 4. februar 2014, PVN-2013-07, ga Personvernnemnda en uttalelse om rekkevidden av et samtykke som er avgitt av verge. Nemnda mente at det ikke finnes rettslig grunnlag for å kreve nye samtykker fra registrerte barn så lenge de samtykkene som ble avgitt av deres foreldre er å anse som gyldige.

I brev av 18. februar presiserte Datatilsynet rekkevidden av konsesjon som er gitt vedrørende informasjonsplikten og innhenting av samtykke fra registrerte barn. Om informasjonsplikten uttalte Datatilsynet følgende:

Datatilsynet pålegger Helse Bergen HF å gi individuell informasjon til de registrerte om hvordan opplysninger i Norsk Brannskaderegister brukes i fremtiden. Datatilsynet viser til helseregisterloven § 23 som pålegger informasjonsplikt når det samles inn opplysninger fra den registrerte selv.

Helse Bergen HF mener at det er tilstrekkelig at den registrerte kan få opplysninger dersom vedkommende henvender seg til Nbr, og sammenligner med praksis i Norsk pasientregister (NPR). NPR er regulert i forskrift, og retten til informasjon og innsyn følger av forskriftens bestemmelser. Datatilsynet mener det er gode grunner for å skille mellom registre som er regulert gjennom en demokratisk prosess og registre som er opprettet og regulert gjennom enkeltvedtak fra et forvaltningsorgan. Det presumeres at forskriftsregulerte registre har større publisitet, og at man i større grad kan påregne hvordan opplysningene i registeret benyttes.

Helse Bergen HF viser til forslaget til ny helseregisterlov, men Datatilsynet kan kun legge til grunn gjeldende regelverk ved vurdering av tildeling av konsesjoner og innholdet i disse.

Det argumenteres også for at tidspunktet for informasjonsplikten er knyttet til «når det samles inn opplysninger fra den registrerte». Dette følger av ordlyden i § 23 i helseregisterloven. Helseregisterloven § 24 omhandler informasjonsplikt når opplysninger samles inn fra «andre enn den registrerte», og bestemmelsen pålegger informasjonsplikt «så snart opplysningene er innhentet».

Datatilsynet er enig i at det kan diskuteres hvorvidt informasjonsplikten etter § 23 i helseregisterloven kan anvendes ved «senere behandling» av personopplysninger. Tilsynet mener imidlertid at det ved koblinger til andre opplysninger kan argumenteres for at informasjonsplikten fortsatt eksisterer, da dette følger av lovens § 24.

Helse Bergen HF argumenterer også for at informasjonsplikten er vanskelig å gjennomføre, og tilsynet legger til grunn at man anfører at unntaket i helseregisterloven § 24, annet ledd, punkt 2. I medhold av denne bestemmelsen kan det gjøres unntak når varsling er «umulig eller uforholdsmessig vanskelig».

Det opplyses at det minst er 800 potensielle registrerte pr år. Videre uttaler Helse Bergen at det vil være vanskelig å sende ut mer enn anslagsvis 8000 individuelle brev «hver eneste gang opplysningene i registeret ønskes brukt».

Datatilsynet uttalte i konsesjonen at «vi imøteser praktiske løsninger på denne forutsetningen, for eksempel i form av jevnlige nyhetsbrev som sendes til de registrerte».

Det kan derfor synes som om klagen er basert på en feil forståelse av konsesjonens forutsetning. Datatilsynet mener ikke at det er nødvendig å sende ut individuelle brev hver eneste gang opplysningene i registeret blir brukt, så lenge de registrette gis informasjon på en annen tilfredsstillende måte. Tilsynet har selv nevnt nyhetsbrev som eksempel på hvordan informasjonen kan gis.

Om samtykkeproblematikken uttalte Datatilsynet følgende:

Helse Bergen HF har lagt til grunn Datatilsynets konsesjon, og opplyser at de vil innhente samtykker fra registrerte barn etter at de fyller16 år.

Datatilsynets krav om nye samtykker berodde på en oppfatning av kravene til samtykker som følger av helseregisterloven § 2 nr. 11. Datatilsynet har i sin praksis lagt til grunn at kravet til at samtykket skal innhentes «fra den registrerte» innebærer at samtykkene må innhentes på nytt når et barn oppnår selvstendig samtykkekompetanse.

Personvernnemnda har i et nylig vedtak overprøvd Datatilsynets forståelse av samtykkekravene i helseregisterloven, se vedtak PVN-2013-07 Nyrebiopsiregisteret. Nemnda uttaler at verken personopplysningsloven § 2 eller helseregisterloven § 2 angir noen tidsbegrensning for samtykke avgitt av verge, men at bestemmelsene baserer seg på at et samtykke er et rettsgrunnlag så lenge det opprettholdes.

Når det gjelder pasient- og brukerrettighetsloven kan ikke nemnda se at den er relevant i denne saken i det den regulerer en behandlingssituasjon. Etter nemndas syn er samtykket således et gyldig rettsgrunnlag så lenge opplysningene i registeret bare benyttes til det opprinnelige registerformålet.

Nemnda uttaler videre at de ikke kan se at det foreligger rettslig grunnlag for å hevde at endring av samtykkekompetansen utløser krav om nytt samtykke.

Datatilsynet må legge Personvernnemndas uttalelser til grunn. Dette innebærer at kravene til samtykke ikke kan forstås på den måten det er lagt til grunn i konsesjonen til Norsk Brannskaderegister av 22. oktober 2013.

Datatilsynet kan imidlertid stille vilkår i konsesjonen, jf. helseregisterloven § 5, jf. personopplysningsloven § 35, jf. § 33. Vilkår kan stilles når de er nødvendige for å begrense ulempene behandlingen ellers ville ha medført for den registrerte.

I medhold av personopplysningsloven § 35 stilles følgende konsesjonsvilkår for behandlingen av personopplysninger i Norsk Brannskaderegister:

1. Det må innhentes nye samtykker fra registrerte barn når de fyller 16 år og anses å ha oppnådd selvstendig samtykkekompetanse.

Begrunnelsen for vilkåret er at Datatilsynet mener at dette er et nødvendig tiltak for å avveie ulempene det kan medføre at de registrerte selv ikke har samtykket til deltakelsen i registeret.  På denne måten kan man sikre at de registrerte er klar over at det behandles opplysninger om dem i Nbr, og de kan selv velge videre deltakelse eller ikke.

Datatilsynets adgang til å omgjøre vedtak uten klage følger av forvaltningsloven § 35. Etter bestemmelsens første ledd kan vedtak endres dersom endringen ikke er til skade for noen som vedtaket retter seg mot.

Tilsynets vilkår anses å ikke være til skade, ettersom Helse Bergen HF har lagt til grunn at det skal innhentes nye samtykker når registrerte barn fyller 16 år.

Vedtaket om vilkår kan påklages etter forvaltningslovens kapittel VI.

I brev av 12.3.2014 påklagde Helse Bergen HF Datatilsynets vedtak om konsesjon hva gjelder avslag om unntak fra informasjonsplikt og vilkår om innhenting av samtykker fra registrerte barn ved fylte 16 år.

Saken ble oversendt Personvernnemnda 12.11.2014, som mottok saken 17.11.2014. Klager ble orientert om dette i brev fra nemnda datert 1.12.2014, med frist til uttalelse innen 5.1.2015. Helse Bergen HF/Haukeland universitetssykehus har kommentert saken i brev av 5.1.2015.

3 Klagers anførsler

3.1 Innhenting av samtykke fra barn når de fyller 16 år

Helse Bergen HF opplyser at de anser premissene for å kreve samtykker fra 16-åringene som endret i løpet av saksbehandlingen av søknaden om konsesjon. Helseforetaket innrettet seg etter Datatilsynets premisser som ble gitt i det opprinnelige vedtak. Etter nemndas uttalelse endret Datatilsynet sitt vedtak og påla innhenting av nye samtykker gjennom vilkår gitt i medhold av personopplysningsloven § 35.

Helse Bergen HF anser at avveiningen av ulempene som er et krav for å kunne stille vilkår etter personopplysningsloven§ 35 er gjort gjennom Personvernnemndas uttalelse. De anser at vilkårets begrunnelse allerede er vurdert av Personvernnemnda og at resultatet vilkåret kan medføre også kan oppnås på andre måter. Helse Bergen anfører at Personvernnemndas uttalelse kan tolkes dithen at registeret valgfritt kan sende varsel til de registrerte som inneholder informasjon og dermed en mulighet til å trekke seg fra registeret.

Videre hevder Helse Bergen at vilkåret har preg av «myndighetsomkamp» og at det fremstår som uforholdsmessig.

3.2 Plikt til å informere de registrerte

Helse Bergen HF presiserer at klagen opprinnelig gjaldt plikten til å gi informasjon etter helseregisterloven § 23, som Datatilsynet la til grunn i det opprinnelige avslag.

Datatilsynet har i oppfølgende saksbehandling vurdert informasjonsplikten etter også helseregisterloven § 24. I klagen opplyses det at klager deler Datatilsynets oppfatning om at det oppstår en informasjonsplikt når registeropplysninger kobles til andre opplysninger som den registrerte ikke allerede kjenner til. Helse Bergen HF anfører imidlertid at dette er et annet tema enn det som ble opprinnelig omtalt i Datatilsynets brev av 22. oktober 2013.

Helse Bergen legger til grunn at de utarbeidede samtykkeskjemaene og informasjonsskrivene for Norsk Brannskaderegister oppfyller de krav som helseregisterloven stiller.

Det presiseres også i klagen at informasjonsplikten etter § 24 i helseregisterloven først vil bli aktuell når det skal kobles mot andre registre, og at dette må vurderes etter helseforskningsloven av REK i konkrete helseforskningsprosjekter. Helse Bergen HF påpeker at det er REK og ikke Datatilsynet som skal stille vilkår for informasjonsplikt.

Det opplyses at registeret vil ha oppdatert og løpende informasjon tilgjengelig på egne nettsider.

I den første klagen fra Nbr er det også anført at informasjonsplikten i Nbr ikke burde være annerledes enn i Norsk Pasientregister (NPR), og at det burde være tilstrekkelig å tilgjengeliggjøre informasjon ved etterspørsel.

Helse Bergen HF anfører også i sin første klage at det uansett vil være uforholdsmessig vanskelig å informere de registrerte på grunn av antallet registrerte i Norsk Brannskaderegister.

I oversendelsen til nemnda tar Datatilsynet frem forholdet mellom informasjonsplikt og krav til samtykke, noe som er naturlig all den tid både §§ 23 og 24 har likelydende unntak fra informasjonsplikten om det er på det rene at den registrerte allerede kjenner til informasjonen som varslet skal inneholde. Tilsynet hevder aktuelle informasjonsskriv og samtykkeskjema som registeret bruker, er for generelt til å kunne si at de registrerte ikke allerede kjenner til det et varsel skal inneholde (sic).

Helse Bergen HF deler ikke Datatilsynets syn på informasjonen som de registrerte gis. I informasjonsskrivet står det:

Forskning
Utlevering av opplysninger fra registeret vil bare skje til forskere i form av avidentifiserte oversikter. Det vil si at alle opplysningene vil bli behandlet uten navn og fødselsnummer eller andre direkte gjenkjennende opplysninger. En kode knytter deg til dine opplysninger og prøver gjennom en navneliste. Det er kun autorisert personell knyttet til registeret som har adgang til navnelisten og kan finne tilbake til deg. For forskningsprosjekter kan det i tillegg være aktuelt å sammenstille informasjon fra registeret med relevante opplysninger fra sykejournal og fra følgende andre offentlige registre: Dette kan være

• Medisinsk fødselsregister
• Norsk pasientregister
• Norsk nyfødtmedisinsk kvalitetsregister
• Kreftregisteret
• Reseptregisteret
• Dødsårsaksregisteret
• Norsk kvalitetsregister for sped- og småbarns psykiske helse
• Nasjonale skoleprøver
• Registre under Statistisk Sentralbyrå
• Registre under Norsk arbeids og velferdsforvaltning (NAV)

Alle forskningsprosjekter må imidlertid forhåndsgodkjennes av Den regionale komite for medisinsk forskningsetikk (REK) og andre offentlige instanser som loven krever. Når et prosjekt er godkjent, vil du finne informasjon på www.helse-bergen.no/

Opplysningene i registeret vil kunne bli sammenstilt med opplysninger fra Norsk pasientregister for å beregne registerets dekningsgrad.

Er det noe du lurer på eller ønsker å diskutere kan du ta kontakt med koordinator
Eli Haugsmyr
Tlf 55970941
e-post eli.haugsmyr@helse-bergen.no
eller daglig leder
Hartmut Heisterkamp
Tlf 55973560 l 55976287
e-post Hartmut.heisterkamp@helse-bergen.no

Registeransvarlig: Avdelingsleder Kari Lybak
Avdeling for plastikkirurgi og brannskade
Haukeland Universitetssjukehus
Tlf 55972773
e-post
kari.lybak@helse-bergen.no

Det er altså oppgitt ti, og maksimalt ti, andre registre som opplysningene i brannskaderegisteret eventuelt kan kobles til. Dette kjenner de registrerte til og de har samtykket til det. Brannskaderegisteret har dermed etter vårt syn ingen informasjons­varslingsplikt om det kobles til en av disse registrene, fordi det er på det rene at de registrerte allerede kjenner til informasjonen som varslet skal inneholde, jf § 24.

Avslutningsvis viser Datatilsynet til hjemmelen for internkontroll og kvalitetssikring i helsepersonelloven § 26, men klager er usikker på relevansen her i relasjon til den informasjonsplikt som påberopes.

Atter avslutningsvis gjentar Datatilsynet det samme som tilsynet opprinnelig hevdet i vedtak av 22. oktober 2013, nemlig at informasjonsplikten må knyttes til «bruken av data fra selve registeret». For Helse Bergen HFs del ser man på et slikt standpunkt som svært problematisk: Enhver plikt må hjemles i lov. Den plikt som tilsynet her ønsker å pålegge eksisterer etter klagers syn ikke i påberopte bestemmelse.

Klager ber nemnda ta stilling til om helseregisterloven § 24 her pålegger en informasjons­varslingsplikt.

4 Datatilsynets vurdering

Datatilsynet ønsker å påpeke at saksbehandlingen i denne saken har medført at saken har blitt uoversiktlig og kompleks.

4.1 Vilkår om innhenting av nye samtykker

Personopplysningsloven § 35 gir hjemmel for å kunne sette vilkår i konsesjon når slike vilkår er nødvendige for å begrense ulempene behandlingen ellers ville medføre for den registrerte.

Slik Datatilsynet oppfatter klagen, er det tre forhold tilsynet må ta stilling til vedrørende vurderingen av vilkåret knyttet til samtykke. Tilsynet må A) vurdere rekkevidden av Personvernnemndas vedtak knyttet til Nyrebiopsiregisteret i saksnummer PVN-2013-07. Videre må tilsynet B) vurdere anførslene om at Datatilsynet ikke har vurdert ulempene som vilkåret skal forsøke å avhjelpe, og at Helse Bergen HF anser at Personvernnemnda har vurdert ulempene i sin uttalelse.

Til slutt må tilsynet C) vurdere om vilkåret er gitt i samsvar med personopplysningsloven § 35 og den alminnelige vilkårslæren, herunder om det kan anses som uforholdsmessig tyngende.

A) Personvernnemndas uttalelse i saksnummer PVN-2013-07

Helse Bergen HF anser at avveiningen av ulempene som er et krav for å kunne stille vilkår etter personopplysningsloven § 35 er gjort gjennom Personvernnemndas uttalelse. Helse Bergen mener at vilkåret har preg av «myndighetsomkamp». Datatilsynet er ikke enig i Helse Bergen HFs vurderinger. Datatilsynets oppfatning av Personvernnemndas uttalelse, er at den kun vurderer rekkevidden av et gyldig samtykke avgitt av en foresatt. Tilsynets vilkår om samtykker fra 16-åringer er gitt ut fra en vurdering av personvernkonsekvensene og ulempene for den enkelte, mens Personvernnemndas vurdering er knyttet til den rettslige rekkevidden av samtykker avgitt av verger eller foreldre på vegne av sine barn.

Personvernnemnda kommer i sin avgjørelse til at samtykket i Nyrebiopsiregisteret fortsatt er å anse som et gyldig rettsgrunnlag så lenge opplysningene bare benyttes til det opprinnelige registerformålet. De mener at det ikke var rettslig grunnlag for å hevde at endring av samtykkekompetansen utløser krav om nytt samtykke. Nemnda har vurdert om personopplysningsloven § 2 eller helseregisterloven § 2 angir noen tidsbegrensning på samtykke avgitt av verge, og de har kommet til at et samtykke er et rettsgrunnlag så lenge det opprettholdes. Nemnda kommer til at lovens utgangspunkt er at gyldig avgitt samtykke ikke er tidsbegrenset, men at det gjelder så lenge det ikke blir trukket tilbake. Personvernnemnda viser også til vergemålsloven som heller ikke har krav om at nye samtykker må innhentes når man eventuelt blir myndig.

Personvernnemnda har etter tilsynets mening ikke vurdert personvernkonsekvensene denne konklusjonen medfører for de det gjelder i Norsk Brannskaderegister, ettersom sakens problemstillinger var knyttet til den rettslige rekkevidden av samtykker avgitt av andre enn den registrerte selv.

Datatilsynet har i vedtaket hvor det stilles vilkår om nye samtykker lagt nemndas vurderinger til grunn. Datatilsynets vurdering er ikke knyttet til den rettslige rekkevidden av samtykker avgitt av andre enn den registrerte selv. Datatilsynet har tatt Personvernnemndas uttalelse til følge, og mener at et krav om nye samtykker fra 16-åringer kun kan stilles dersom det gjøres i form av vilkår i samsvar med det personopplysningsloven § 35 og den generelle forvaltningsretten gir adgang til.

Tilsynet har gjort en vurdering av personvernkonsekvensene av nemndas tolkninger, og kommet til at det i samsvar med personopplysningsloven § 35, jf. § 34 er nødvendig å stille vilkåret som er gjort i vedtak om konsesjon.

Vedtaket kan etter tilsynets syn ikke anses som en «myndighetsomkamp», ettersom Personvernnemnda i tilknytning til Nyrebiopsiregisteret og Datatilsynet i Norsk Brannskaderegister gjør vurderingen ut fra to forskjellige grunnlag og av helt forskjellige forhold.

B) Vurdering av ulempene behandlingen av opplysninger medfører

I medhold av personopplysningsloven § 35 stilte Datatilsynet følgende konsesjonsvilkår for behandlingen av personopplysninger i Norsk Brannskaderegister:

1. Det må innhentes nye samtykker fra registrerte barn når de fyller 16 år og anses å ha oppnådd selvstendig samtykkekompetanse.

Datatilsynet la i vurderingen til grunn at det var en ulempe at de som blir registrert med foreldres samtykke ikke selv har samtykket til deltakelse i registeret.

Retten til selv å bestemme er en sentral i personvernretten, sammen med kravet til tilfredsstillende informasjon om hvordan opplysninger skal eller vil bli behandlet. Ved å sette vilkår om at nye samtykker nå innhentes fra den personen som faktisk er registrert, mener Datatilsynet at man sikrer at vedkommende får en reell mulighet til selv å vurdere deltakelse.

Mange kvalitetsregistre, som for eksempel Norsk Brannskaderegister, er ment opprettet på permanent basis. Datatilsynets vurdering er at det kan være vanskelig å overskue konsekvensene av hva et samtykke til deltakelse i et permanent kvalitetsregister kan bli. I mange tilfeller endrer registre seg, og Datatilsynets opplevelse er at opprinnelige samtykker blir strukket langt og anses å ha en rekkevidde i mange tilfeller ikke har vært mulig å forutse ved inkludering. Disse problemstillingene gjør seg særlig gjeldende når det rettslige grunnlaget for registrering er basert på samtykke fra noen andre enn den det faktisk gjelder ­ selv om dette samtykket rettslig sett er gyldig.

Personvernnemnda uttaler også at registeret (Nyrebiopsiregisteret) kan velge å informere 16-åringene om at de kan trekke samtykket tilbake, men at de ikke er forpliktet til dette.

Datatilsynet mener at det med en slik forståelse av samtykket og plikten til informasjon er en reell risiko for at de som har blitt inkludert i registre med foreldres samtykke ikke vil få kunnskap om behandlingen. Dette anses som en klar ulempe for de registrerte, og Datatilsynet mener at det gitte vilkåret er nødvendig for å avhjelpe og til og med forhindre ulempen manglende kunnskap utgjør.

C) Vurdering av vilkårets forholdsmessighet

Datatilsynet må også vurdere om vilkåret er forholdsmessig. Datatilsynet mener at vilkåret har nær sammenheng med vedtaket om konsesjon, hvor Datatilsynets oppgave er å vurdere personvernulemper mot nytteverdien av behandlingen av opplysninger, jf. personopplysningsloven § 34, jf. § 33 og§ 35.

Tilsynet er kjent med at 16-åringer kan være en gruppe det er vanskeligere å få samtykke til deltakelse fra, uten at tilsynet er kjent med grunnene til dette. Tradisjonelle krav til at det sendes ut brev for å be om samtykker vil etter Datatilsynets oppfatning være lite praktisk i fremtiden. Det arbeides i helseforvaltningen med sikre løsninger for kommunikasjon som også vil kunne benyttes i forbindelse med innhenting av samtykke, og som vil være mye enklere enn å hente inn samtykker pr post.

Datatilsynet legger også til grunn at mange av de brannskadde barna er i et langvarig behandlingsopplegg, og at nye samtykker kan innhentes i forbindelse med behandling.

Helse Bergen HF har angitt at registeret vil omfatte ca. 800 pasienter i året, og totalt på sikt ca. 8000 personer. Det er ikke nærmere spesifisert hvor mange av disse som er barn under 16 som foreldre samtykker på vegne av, men Datatilsynet antar at det ikke vil være så mange at vilkåret om å innhente nye samtykker fra disse vil anses uforholdsmessig på grunn av antallet registrerte.

4.2 Plikt til å informere de registrerte

Datatilsynet imøtekom anførslene om at helseregisterloven § 23 gjelder informasjonsplikt når opplysningene samles inn fra den registrerte selv, og at det er § 24 som regulerer informasjonsplikt når opplysninger samles inn fra andre enn den registrerte.

Informasjon om behandling av egne personopplysninger er en viktig forutsetning for at den registrerte skal kunne utøve kontroll over egne personopplysninger, kreve innsyn og eventuelt retting og sletting. Den databehandlingsansvarlige er derfor pålagt plikt til å av eget tiltak informere den registrerte om visse forhold, både når det samles inn opplysninger fra den registrerte selv og når det samles inn opplysninger fra andre, jf. helseregisterloven §§ 23 og 24.

For å vurdere om informasjonsplikten skal vurderes etter helseregisterloven § 23 eller 24 må man først ta stilling til hvorvidt opplysningene er innsamlet av «den registrerte selv» eller av «andre enn den registrerte selv». Sondringen mellom disse alternativene er sentrale for å vurdere om det er § 23 eller § 24 man skal vurdere. Datatilsynet mener at informasjonsplikten uansett gjelder dersom den gjelder behandlinger den registrerte ikke har kunnskap om. Dette er også i tråd med kravene som stilles til at gyldige samtykker skal være informerte, jf. helseregisterloven § 2 nr. 11.

I forarbeidene til helseregisterloven uttales det at informerte samtykker at den registrerte skal forstå hva han eller hun samtykker i. Nødvendig informasjon som er regnet opp i forarbeidene samsvarer med innholdet i informasjonsplikten som er oppramset i helseregisterloven § 23. Her går det blant annet frem at man skal få informasjon om hvorvidt opplysningene skal utleveres og hvem som er mottaker, og at den behandlingsansvarlige skal gi informasjon som gjør den registrerte i stand til å bruke sine rettigheter etter loven.

Formålet med informasjonsplikten er å sikre at den registrerte blir best mulig i stand til å ivareta sine rettigheter etter loven, blant annet retten til innsyn og retting og sletting.  Dette kan enten skje på registreringstidspunktet, eller i etterkant hvis den informasjonen som ble gitt opprinnelig ikke er tilstrekkelig for å kunne oppnå formålet om å sette den registrerte i best mulig stand til å ivareta sine rettigheter.

Det er naturlig å unnta for informasjonsplikt hvis den registrerte allerede kjenner til innholdet i informasjonen. Ordlyden i helseregisterloven §§ 23 og 24 angir at det kan gjøres unntak fra informasjon når det er «på det rene» at den registrerte kjenner innholdet fra før. Dette er et relativt strengt krav som innebærer at den behandlingsansvarlige må være sikker på at informasjonen er kjent før unntaket kan anvendes.

Datatilsynet er enig i at det i mange tilfeller kan være til strekkelig å gi den registrerte informasjon en gang, mens det ved langvarig behandling eller gjentatt innsamling må gis informasjon jevnlig. I forarbeidene til helseregisterloven, Ot. prp. nr. 5, 1999-2000 s 137 går det frem at det ikke utløses ny informasjonsplikt dersom samme behandling gjentas mange ganger, for eksempel gjennom oppdatering av registre.

Helse Bergen HF anfører at de registrerte i Norsk Brannskaderegister er tilstrekkelig informert i forbindelse med inkluderingen i registeret, og at unntakene som fritar for informasjonsplikt fordi den registrerte allerede kjenner til innholdet kommer til anvendelse. Dette unntaket følger av helseregisterloven § 23, siste ledd og av § 24, annet ledd, litra 3 og gjelder uavhengig av hvordan opplysningene er innsamlet.

Datatilsynets vurdering er at informasjonen forut for samtykket til registrering i Norsk Brannskaderegi ster er generell.  Den sier at registeret vil være et viktig grunnlag for kvalitetssikring og forskning. Videre opplyses det at utleveringer vil skje til forskere, og det er angitt hvilke koblinger det kan være aktuelt å gjøre mot andre registre.

Tilsynet mener at denne generelle informasjonen ikke kan sies å oppfylle forutsetningen om at den registrerte allerede kjenner til det et varsel skal inneholde i henhold til både helseregisterloven § 23 og § 24. Informasjonen som gis ved inkludering er ikke til strekkelig for at den registrerte skal kunne bli i stand til å ivareta sine rettigheter etter personvernregelverket.

Helse Bergen HF anfører at det vil bli gitt informasjon på deres nettsider, men har ikke oppgitt noen adresse til denne nettsiden.  Det er derfor vanskelig for Datatilsynet å vurdere tilgjengeligheten på informasjonen.

Registeret er ment å være permanent, og tilsynet mener det er nærliggende å anta at bevisstheten rundt deltakelsen er synkende over tid, og at det derfor vil være nødvendig å gi ny informasjon om behandlingene som foretas. Dette taler for at aktiviteten som informasjonen forutsetter bør ligge hos den behandlingsansvarlige og ikke hos den registrerte selv.

Helse Bergen HF mener også at informasjonsplikten må vurderes konkret i de enkelte prosjektene som benytter opplysninger fra Norsk Brannskaderegister. Videre mener Helse Bergen at det vil være opp til REK å ta stilling til dette, og Datatilsynet ikke kan stille vilkår knyttet til informasjonsplikten.

Datatilsynet er ikke enig i denne forståelsen. REKs kompetanse er begrenset til prosjekter som faller inn under helseforskningslovens anvendelsesområde. Formålet med Norsk Brannskaderegister er både forskning og kvalitetssikring, og det er derfor grunn til å tro at mange behandlinger av personopplysninger fra registeret skjer uten forhåndsvurdering fra REK.

Som eksempel hjemler helsepersonelloven § 26 behandling av helseopplysninger for intern kvalitetssikring.

I tillegg mener Datatilsynet at det er et sentralt moment at REK vurderer enkeltprosjekter isolert sett. For å ta stilling til om informasjonsplikten ivaretas i stilstrekkelig grad totalt sett i Norsk Brannskaderegister, er det etter Datatilsynets vurdering helt avgjørende å knytte informasjonsplikten til bruken av data fra selve registeret og ikke henvise til vurderinger i enkeltprosjekter som utledes fra registeret.

I den opprinnelige klagen av 12.3.2014 anfører Helse Bergen HF at informasjonsplikten bør være lik som for andre sammenlignbare registre som for eksempel Norsk Pasientregister.

Datatilsynet fastholder sin vurdering om at NPR er regulert i forskrift, og retten til informasjon og innsyn følger av forskriftens bestemmelser. Datatilsynet mener det er gode grunner for å skille mellom registre som er regulert gjennom en demokratisk prosess og registre som er opprettet og regulert gjennom enkeltvedtak fra et forvaltningsorgan. Det presumeres at forskriftsregulerte registre har større publisitet, og at man i større grad kan påregne hvordan opplysningene i registeret benyttes.

Helse Bergen HF har også anført at oppfyllelse av Datatilsynets forutsetning om informasjonsplikt vil være uforholdsmessig vanskelig å gjennomføre, og at unntaket i helseregisterloven § 24, annet ledd, bokstav 2 (sic) kommer til anvendelse.

Helse Bergen har opplyst at det minst er 800 potensielle registrerte pr år. Videre uttaler Helse Bergen at det vil være vanskelig å sende ut mer enn anslagsvis 8000 individuelle brev «hver eneste gang opplysningene i registeret ønskes brukt».

Datatilsynet uttalte i opprinnelige konsesjon at «vi imøteser praktiske løsninger på denne forutsetningen, for eksempel i form av jevnlige nyhetsbrev som sendes til de registrerte». Det kan derfor synes som om klagen er basert på en feil forståelse av konsesjonens forutsetning. Datatilsynet mener ikke at det er nødvendig å sende ut individuelle brev hver eneste gang opplysningene i registeret blir brukt, så lenge de registrerte gis informasjon på en annen tilfredsstillende måte. Tilsynet har selv nevnt nyhetsbrev som eksempel på hvordan informasjonen kan gis. I følge med digitaliseringen av kommunikasjon innen offentlig sektor legger Datatilsynet til grunn at slik utsendelse i fremtiden kan skje via sikre elektroniske kanaler, og følgelig på en enda mindre byrdefull måte.

Datatilsynets vilkår om nye samtykker fra registrerte selv når de fyller 16 år opprettholdes. Datatilsynets forutsetning om at det skal gis individuell informasjon om behandlingen av personopplysninger i Norsk Brannskaderegister opprettholdes.

5 Personvernnemndas merknader

Den nye helseregisterloven (L20.06.2014 nr 43 Lov om helseregistre og behandling av helseopplysninger) trådte i kraft 1.1.2015. Klagen kom inn mens den gamle helseregisterloven gjaldt. Saken må derfor behandles etter gammel lov (L18.05.2001 nr 24 Lov om helseregistre og behandling av helseopplysninger). Ny lov inneholder imidlertid ikke endringer på dette punkt.

I Nyrebiopsiregistersaken PVN-2013-07 vurderte nemnda hvorvidt barn må samtykke på nytt når det fyller 16 år når foreldrene allerede har samtykket til behandling av barnets personopplysninger før det fylte 16 år. Spørsmålet ble vurdert i tilknytning til Nyrebiopsiregisteret, men også på generelt grunnlag. Temaet ble gjenstand for en grundig og prinsipiell vurdering.

Datatilsynet har tatt nemndas syn til følge vedrørende Nyrebiopsiregisteret, men har likevel satt som konsesjonsvilkår for Brannskaderegisteret at barnet må samtykke når det oppnår selvstendig samtykkekompetanse (ved fylte 16 år).

Nemnda er fortsatt av den oppfatning at et samtykke til å behandle personopplysninger bare kan bortfalle ved at samtykket trekkes tilbake. Nemndas vedtak i Nyrebiopsiregister-saken var prinsipielt. Verken personopplysningsloven § 2 eller helseregisterloven § 2 angir noen tidsbegrensning for samtykke avgitt av verge, men baserer seg på at et samtykke er et rettsgrunnlag så lenge det det ikke er trukket tilbake. Samtykke er en grunnleggende forutsetning i lovgivningen – både personopplysningsloven og tidligere og gjeldende helseregisterlov. Ved at man setter et konsesjonsvilkår om det motsatte, at foreldrenes samtykke bortfaller ved barnets 16 årsdag og barnet må samtykke på nytt, setter tilsynet seg ut over grunnvilkårene i loven. Det foreligger ikke en rettslig adgang til å begrense samtykkekompetansen gjennom vilkår i en konsesjon.

6 Vedtak

Klagen tas til følge.

Oslo, 26. mai 2015

Eva I E Jarbekk
Leder